Zpracování zákaznických kontaktů
Tario je nový název produktu Navio. Provozovatel se tímto přejmenováním nemění. Níže zůstává původní přijaté znění včetně historického názvu; nejde o nové smluvní podmínky ani nový souhlas.
Verze public-2026-10-21
Zpracovatelská smlouva Navio
Znění schválené vlastníkem ke zveřejnění dne 21. října 2026. Identifikační a provozní údaje dosud nejsou úplné: IČO, sídlo, daňový režim a některé provozní přílohy zbývá doplnit. Zveřejnění ani registrace nejsou potvrzením dokončené právní revize. Placená služba vzniká až potvrzením konkrétní nabídky. Kontakt provozovatele: Jakub Sokol, Vexx, jakub@vexx.cz.
B1. Předmět, role a pokyny
Zákazník označený v nabídce je správce a provozovatel Navia v ní pravdivě identifikovaný je zpracovatel. Zpracovatel zpracovává jen údaje nezbytné pro správu kontaktů, přípravu, plánování, předání a evidenci SMS, příjem odpovědí a odhlášení a sjednanou podporu. Zpracování trvá po dobu služby a nezbytného předání/výmazu. Účelem není vlastní reklama provozovatele, prodej databází nebo trénování modelů na datech zákazníka.
Subjekty údajů jsou zákazníci a potenciální zákazníci správce, kontaktní osoby jeho obchodních partnerů a osoby, které mu odpověděly. Kategorie údajů jsou identifikační a kontaktní údaje, telefon, klientem vložené poznámky a štítky, relevantní data vztahu, text SMS, odpověď, čas a stav komunikace a informace o námitce/odhlášení. Zvláštní kategorie údajů a údaje o odsouzeních nejsou zahrnuty. Operace zahrnují uložení, uspořádání, výběr, použití, předání zvoleným příjemcům, omezení, export a výmaz.
Pokyny tvoří smlouva, uživatelské úkony v rozsahu služby a doložené požadavky oprávněné osoby. Zpracovatel nezpracuje údaje nad pokyn včetně předání do třetí země, ledaže to vyžaduje použitelné právo; v takovém případě předem informuje správce, není-li to zákonem zakázáno. Na pokyn, který podle jeho názoru odporuje předpisům ochrany údajů, správce bezodkladně upozorní a pozastaví dotčenou operaci do vyjasnění. Správce odpovídá za titul zpracování, oprávněnost rozesílky a vyřízení práv, ale zpracovatel tím není zbaven vlastních povinností.
B2. Důvěrnost a zabezpečení
Přístup mají jen pověřené osoby v nezbytném rozsahu, zavázané mlčenlivostí nebo odpovídající zákonnou povinností. Zpracovatel vede oprávnění, odebírá nepotřebné přístupy a nepoužívá sdílená veřejná hesla. Podpora má předem vymezený účel a přístup k obsahu se minimalizuje.
Zpracovatel přijme a udržuje opatření přiměřená riziku podle čl. 32: izolaci workspace, autorizaci serverových operací, ochranu přístupových a integračních tajemství, zabezpečenou komunikaci, řízení změn, sledování bezpečnostních událostí bez nadbytečného obsahu, zálohování a obnovu s ověřenou konfigurací a pravidelné přezkoumávání účinnosti. Detail aktuálně doložených opatření a otevřených nastavení je v DATA_OPERATIONS_DRAFT.md. Příloha nesmí deklarovat neověřenou certifikaci, RPO/RTO nebo region. Před účinností DPA se nahradí schváleným seznamem opatření a důkazů.
B3. Další zpracovatelé a zahraniční předání
Navrhuje se obecné písemné povolení jen pro konkrétní schválený registr dalších zpracovatelů přiložený k nabídce. Prázdný nebo pouze brandový seznam není schválením všech budoucích dodavatelů. Zpracovatel sdělí zamýšlenou změnu nejméně 30 dnů před zapojením a umožní správci odůvodněnou námitku týkající se ochrany údajů. Strany hledají dostupnou alternativu; není-li rozumně možná, správce může před změnou ukončit dotčenou službu bez nové sankce, s vypořádáním nevyužité předplacené části. Tato lhůta a vypořádání jsou návrhem ke schválení, nikoli současným závazkem.
Další zpracovatel musí mít odpovídající smluvní povinnosti ochrany údajů; původní zpracovatel odpovídá správci za jejich plnění v rozsahu GDPR. GoSMS sjednané přímo zákazníkem se popíše podle skutečného smluvního vztahu a nelze automaticky zahrnout jako subzpracovatele Navia. Před relevantním předáním mimo EHP se doloží mechanismus kapitoly V, příslušné záruky a případné posouzení a doplňková opatření; správce má dostupné potřebné informace. Změna regionu podpory může být relevantní i bez změny datacentra.
B4. Žádosti osob, incidenty a asistence
Zpracovatel poskytne s ohledem na povahu zpracování přiměřenou součinnost pro práva podle kapitoly III. Žádost přijatou přímo předá správci bez zbytečného odkladu, navrženě do dvou pracovních dnů; neposkytne neoprávněné osobě data jiné osoby nebo klienta. Standardní součinnost zahrnuje dohledání relevantních dat, omezení a bezpečné předání. O nároku nebo odmítnutí vůči subjektu rozhoduje správce, pokud zpracovateli právo neukládá jinak.
Zjištěné porušení zabezpečení osobních údajů oznámí správci bez zbytečného odkladu. Provozní cíl prvního oznámení je do 24 hodin od zjištění, s dostupnými informacemi; není oprávněním odkládat známý incident. Uvede povahu, dotčené kategorie a odhad počtů, známé důsledky, opatření a kontakt. Informace doplňuje průběžně, uchová důkazy a pomáhá omezit dopady. Samostatně nevystupuje jménem správce vůči úřadu nebo subjektům bez pověření nebo zákonné povinnosti. Správce posuzuje vlastní zákonnou 72hodinovou ohlašovací povinnost; ta není obecnou lhůtou, po kterou může zpracovatel mlčet.
Zpracovatel s přihlédnutím k povaze zpracování a dostupným informacím pomáhá správci s čl. 32–36: podklady k bezpečnosti a posouzení rizik, oznámením incidentu, informováním dotčených osob, posouzením vlivu a případnou předchozí konzultací. Samotný provoz běžného SaaS nepotvrzuje ani nevylučuje povinnost DPIA u konkrétního zákazníka. Případná cena nadstandardní asistence musí být dohodnuta předem a nesmí znemožnit splnění zákonných povinností; tento návrh nezavádí nový sazebník.
B5. Prokazování, audit a konec zpracování
Zpracovatel zpřístupní informace potřebné k prokázání povinností čl. 28 a umožní a podpoří přiměřený audit včetně inspekce správcem nebo jeho pověřeným auditorem. Obvyklý audit se dohodne s předstihem a ochrání data ostatních klientů a tajemství; informace a doložené zprávy mohou rozsah prakticky zjednodušit. Naléhavý incident nebo požadavek dozorového orgánu nesmí blokovat běžná plánovací lhůta. Nenahrazuje se právo auditu pouhým odkazem na neexistující certifikaci.
Po skončení správce zvolí bezpečné vrácení a následný výmaz nebo přímý výmaz údajů. Zpracovatel odstraní existující kopie, nevyžaduje-li právo uchování konkrétní části; uvede její rozsah, důvod a omezení přístupu. Zálohy doběhnou v doloženém cyklu, jsou izolované od běžného použití a při obnově se znovu uplatní provedené výmazy. Navržené lhůty jsou uvedeny v provozním návrhu a smějí být smluvně potvrzeny až po ověření proveditelnosti. Nárok zákazníka na výmaz neznamená automatické smazání jeho samostatného GoSMS účtu.
B6. Přijetí a přílohy
DPA se uzavírá spolu s konkrétní smlouvou, nikoli fiktivním přijetím dosud neschváleného draftu při registraci. Evidence má identifikovat účet a oprávněného jednajícího, čas, verzi a hash archivovaného znění VOP a DPA. Privacy je informace o zpracování, ne všeobecný souhlas; zaznamenání předložení či seznámení se nemá zaměnit za smluvní souhlas. Změna pouhé Privacy nesmí být použita jako tichá změna obchodních podmínek.
Před přijetím přiložit: pravdivé identifikace obou stran, skutečný registr dalších zpracovatelů a transferů, schválená opatření, retenční a výmazový režim a kontakty incidentů. Tyto přílohy nyní nejsou plně potvrzené.