Přeskočit na obsah
Obchodní podmínky

Zpracovatelská smlouva

(příloha obchodních podmínek – smlouva o zpracování osobních údajů dle čl. 28 nařízení (EU) 2016/679, „GDPR“)

ThriveAds s.r.o., se sídlem Na Folimance 2155/15, 120 00 Praha 2 – Vinohrady, IČO: 22485236, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 417297 (dále jen „zpracovatel“)

a

klient dle smlouvy o poskytování služeb uzavřené podle obchodních podmínek zpracovatele (dále jen „správce“)

uzavírají tuto zpracovatelskou smlouvu. Smlouva se stává součástí smluvního vztahu okamžikem uzavření smlouvy o poskytování služeb, při jejichž plnění dochází ke zpracování osobních údajů.

1. Předmět, povaha a účel zpracování

  1. Zpracovatel poskytuje správci služby v oblasti výkonnostního marketingu – zejména správu reklamních kampaní na platformách Meta (Facebook, Instagram) a Google, e-mailový marketing, generování poptávek (leadgen), práci s CRM správce, audity a související poradenství. Při tom má přístup k osobním údajům, jejichž správcem je klient, a zpracovává je.
  2. Účel zpracování: výhradně poskytnutí sjednaných služeb (nastavení, správa, optimalizace a vyhodnocování reklamních kampaní a měření, příprava a rozesílka e-mailových kampaní, správa kontaktů a poptávek, práce v CRM). Zpracovatel nesmí údaje zpracovávat pro vlastní účely; pokud by tak učinil, považuje se ve vztahu k takovému zpracování za správce se všemi povinnostmi z toho plynoucími.
  3. Povaha zpracování: přístup k údajům v reklamních, analytických, e-mailingových a CRM systémech správce, nahlížení, třídění, analýza, tvorba a správa publik a segmentů, rozesílka sdělení na pokyn správce, sběr a předávání poptávek správci.
  4. Doba trvání zpracování: po dobu trvání smlouvy o poskytování služeb.

2. Typ osobních údajů a kategorie subjektů údajů

  1. Typ údajů: identifikační a kontaktní údaje (jméno, příjmení, e-mail, telefon, případně adresa), profily a identifikátory na sociálních sítích, údaje o nákupním a zákaznickém chování a historii objednávek, obsah komunikace a poptávek (leady z formulářů), technické identifikátory a cookies, údaje obsažené v publikách, segmentech a měření reklamních a e-mailingových systémů (např. Meta Pixel, Conversions API, Google Ads, CRM a e-mailingové nástroje).
  2. Kategorie subjektů údajů: zákazníci a potenciální zákazníci správce, odběratelé jeho obchodních sdělení, osoby, které odeslaly poptávku (leady), návštěvníci jeho webu a sociálních profilů, uživatelé interagující s jeho reklamou.
  3. Zvláštní kategorie osobních údajů (čl. 9 GDPR) nejsou předmětem zpracování; správce se zavazuje je zpracovateli nezpřístupňovat.

3. Pokyny správce

  1. Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně případného předání do třetí země; za doložený pokyn se považuje smlouva o poskytování služeb, tato smlouva a pokyny udělené e-mailem či v projektových nástrojích.
  2. Pokud se zpracovatel domnívá, že pokyn správce porušuje GDPR nebo jiné právní předpisy, bez zbytečného odkladu jej na to upozorní.
  3. Rozšířit účel zpracování může pouze správce.

4. Zabezpečení

Zpracovatel přijme a udržuje technická a organizační opatření odpovídající riziku dle čl. 32 GDPR, zejména:

  1. přístup k zařízením a účtům chráněný jedinečnými přihlašovacími údaji a vícefaktorovým ověřením tam, kde je k dispozici;
  2. přístup k osobním údajům pouze pro osoby, které jej nezbytně potřebují k poskytnutí služeb;
  3. používání softwaru a služeb splňujících standardní bezpečnostní požadavky a normy platné v EU;
  4. šifrování či jiné vhodné zabezpečení dat při přenosu a uložení, dle povahy dat;
  5. zákaz vytváření kopií databází správce bez jeho předchozího souhlasu;
  6. zpracování údajů pouze v podobě a rozsahu nezbytném pro sjednaný účel a zákaz sdružování údajů získaných k rozdílným účelům.

5. Mlčenlivost

  1. Zpracovatel zajistí, aby se všechny osoby oprávněné zpracovávat osobní údaje (zaměstnanci i spolupracovníci) zavázaly k mlčenlivosti, nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.
  2. Zpracovatel zachovává mlčenlivost o osobních údajích i o přijatých bezpečnostních opatřeních; tato povinnost trvá i po skončení spolupráce.

6. Podzpracovatelé

  1. Správce uděluje zpracovateli obecné povolení zapojit do zpracování další zpracovatele – spolupracující odborníky a online nástroje nezbytné pro poskytnutí služeb.
  2. Zpracovatel informuje správce o zamýšlených změnách týkajících se přijetí či nahrazení podzpracovatelů a poskytne mu možnost vyslovit vůči změnám námitku.
  3. Zpracovatel uloží každému podzpracovateli smlouvou stejné povinnosti na ochranu údajů, jaké jsou stanoveny v této smlouvě, a odpovídá správci za plnění povinností podzpracovatelů, jako by plnil sám.

7. Součinnost se správcem

  1. Zpracovatel je správci nápomocen při plnění povinnosti reagovat na žádosti subjektů údajů o výkon jejich práv (čl. 12–23 GDPR); žádost doručenou přímo zpracovateli předá správci bez zbytečného odkladu.
  2. Zpracovatel je správci nápomocen při zajišťování souladu s povinnostmi dle čl. 32–36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu), s přihlédnutím k povaze zpracování a informacím, jež má k dispozici.
  3. Porušení zabezpečení osobních údajů ohlásí zpracovatel správci bez zbytečného odkladu poté, co se o něm dozví, včetně popisu povahy porušení, pravděpodobných důsledků a přijatých opatření.
  4. Zpracovatel poskytne správci veškeré informace potřebné k doložení souladu s čl. 28 GDPR a umožní audity či inspekce prováděné správcem nebo jím pověřeným auditorem a přispěje k nim. Audit se provádí po předchozím oznámení, v běžné pracovní době a způsobem nenarušujícím nepřiměřeně provoz zpracovatele.

8. Předávání do třetích zemí

Zpracovatel předává osobní údaje mimo EU/EHP pouze při využití nástrojů, u nichž je předání ošetřeno rozhodnutím Evropské komise o odpovídající ochraně nebo standardními smluvními doložkami (to se týká zejména samotných platforem Meta).

9. Ukončení spolupráce

Po ukončení poskytování služeb zpracovatel dle rozhodnutí správce všechny osobní údaje vymaže, nebo je vrátí správci, a vymaže existující kopie (ledaže právo EU nebo ČR ukládá jejich uložení). Zároveň předá správci veškeré přístupy k jeho účtům a odstraní své přístupy.

10. Závěrečná ustanovení

  1. Tato smlouva se řídí právem České republiky a GDPR.
  2. Odpovědnost stran se řídí čl. 82 GDPR a smlouvou o poskytování služeb.
  3. Smlouva je uzavírána v elektronické podobě jako součást obchodních podmínek; trvá po dobu trvání smlouvy o poskytování služeb, povinnosti mlčenlivosti a povinnosti dle čl. 9 trvají i po jejím skončení.

V Praze dne 14. 7. 2026