o zpracování osobních údajů podle čl. 28 nařízení GDPR pro platformu NakedPapaya

Verze: 1.0
Účinné od: 5. 11. 2026

1. SMLUVNÍ STRANY A ÚVODNÍ USTANOVENÍ

1.1. Tato Zpracovatelská smlouva (Data Processing Agreement, dále jen „DPA“) upravuje práva a povinnosti při zpracování osobních údajů podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů (dále jen „GDPR“) mezi:
a) Uživatelem platformy NakedPapaya, který v rámci používání služby vkládá do platformy osobní údaje třetích osob a určuje účely a prostředky jejich zpracování (dále jen „Správce“ nebo „Uživatel“), a
b) Poskytovatelem platformy NakedPapaya:
Mecado tech s.r.o.
IČO: 24597376
Sídlo: Školská 660/3, Nové Město, 110 00 Praha 1
Zápis v obchodním rejstříku: Městský soud v Praze, oddíl C, vložka 443874
E-mail: hello@nakedpapaya.com
Web: https://www.nakedpapaya.com (dostupný též přes https://www.nakedpapaya.cz)
(dále jen „Zpracovatel“ nebo „Poskytovatel“).

1.2. Tato DPA tvoří nedílnou součást smluvního vztahu založeného mezi Uživatelem a Poskytovatelem podle Všeobecných obchodních podmínek platformy NakedPapaya (dále jen „VOP“). Dokončením registrace uživatelského účtu nebo objednáním placeného tarifu a přijetím VOP Uživatel uzavírá tuto DPA v elektronické podobě ve smyslu čl. 28 odst. 9 GDPR.
1.3. Tato DPA se uplatní v rozsahu, v jakém Poskytovatel při poskytování služby NakedPapaya zpracovává osobní údaje jménem Uživatele a podle jeho pokynů. Pokud Uživatel sám vystupuje vůči svému klientovi v postavení zpracovatele osobních údajů, vystupuje Poskytovatel ve vztahu k těmto údajům jako další zpracovatel (subzpracovatel).

2. PŘEDMĚT, POVAHA, ÚČEL A DOBA ZPRACOVÁNÍ

2.1. Předmět a účel zpracování: Předmětem zpracování je technické zajištění provozu cloudové SaaS platformy NakedPapaya a jejích funkcí pro Uživatele. Účelem zpracování je umožnit Uživateli zejména:
a) vytvářet a provozovat webové stránky, prodejní trychtýře (funnely) a kontaktní či objednávkové formuláře,
b) ukládat a spravovat databázi kontaktů a zákazníků (CRM) včetně přiřazování štítků,
c) rozesílat e-mailové kampaně, newslettery a automatizované zprávy,
d) provozovat online kurzy, členské sekce, webináře, komunity a rezervační kalendáře,
e) evidovat objednávky a fakturační podklady koncových zákazníků Uživatele.
2.2. Povaha zpracování: Zpracování probíhá automatizovaně prostřednictvím cloudové infrastruktury platformy a zahrnuje zejména shromažďování, zaznamenávání, ukládání, uspořádávání, zobrazování v rozhraní účtu Uživatele, přenos, zálohování a výmaz osobních údajů na základě pokynů Uživatele.
2.3. Doba zpracování: Tato DPA se uzavírá na dobu trvání uživatelského účtu Uživatele podle VOP a dále na přechodnou dobu nezbytnou pro zpřístupnění, export a následný výmaz dat po skončení smluvního vztahu podle článku 9 této DPA a článku 16 VOP.

3. KATEGORIE SUBJEKTŮ ÚDAJŮ A KATEGORIE OSOBNÍCH ÚDAJŮ

3.1. Kategorie subjektů údajů: Subjekty údajů, jejichž osobní údaje Uživatel do platformy vkládá, jsou zejména:
a) koncoví zákazníci, klienti a poptávající Uživatele,
b) odběratelé newsletterů a příjemci e-mailových kampaní Uživatele,
c) návštěvníci webových stránek a prodejních trychtýřů vytvořených Uživatelem,
d) studenti online kurzů, účastníci webinářů, členové komunit a osoby rezervující si termín u Uživatele.
3.2. Kategorie osobních údajů: V závislosti na tom, jaké funkce Uživatel využívá, jsou zpracovávány zejména:
a) identifikační a kontaktní údaje (jméno, příjmení, e-mailová adresa, telefonní číslo, adresa či sídlo, IČO, DIČ),
b) údaje o objednávkách, zakoupených produktech či kurzech, fakturační údaje a historie transakcí,
c) údaje o přiřazených štítcích (tags), souhlasech, doručení a otevření e-mailů či kliknutí na odkazy,
d) údaje o přístupu, postupu v online kurzech a příspěvky či komentáře vložené v komunitách Uživatele,
e) technické údaje související s vyplněním formuláře nebo přístupem na stránky Uživatele (např. IP adresa a časový údaj).
3.3. Zákaz citlivých údajů: Uživatel se zavazuje, že do platformy nebude ukládat ani jejím prostřednictvím zpracovávat zvláštní kategorie osobních údajů podle čl. 9 GDPR (např. údaje o zdravotním stavu, biometrické údaje, náboženské vyznání) ani údaje o trestních odsouzeních a trestných činech podle čl. 10 GDPR.

4. POVINNOSTI A ODPOVĚDNOST UŽIVATELE (SPRÁVCE)

4.1. Uživatel jako správce osobních údajů plně odpovídá za:
a) zákonnost zpracování osobních údajů, které do platformy vloží nebo prostřednictvím platformy shromáždí, včetně existence platného právního titulu podle čl. 6 GDPR,
b) splnění informační povinnosti vůči svým zákazníkům a kontaktům podle čl. 13 a 14 GDPR (zejména za uvedení vlastních zásad ochrany osobních údajů na svých webových stránkách a prodejních trychtýřích),
c) dodržování pravidel pro zasílání obchodních sdělení podle zákona č. 480/2004 Sb. (zejména za prokazatelný souhlas příjemce nebo splnění podmínek zákaznické výjimky a za funkční možnost odhlášení v každém obchodním sdělení).
4.2. Pokyny Uživatele ke zpracování osobních údajů jsou dány touto DPA, VOP a samotným nastavením a ovládáním funkcí v uživatelském rozhraní platformy Uživatelem.

5. POVINNOSTI POSKYTOVATELE (ZPRACOVATELE)

5.1. Poskytovatel se zavazuje:
a) zpracovávat osobní údaje výhradně na základě doložených pokynů Uživatele (včetně pokynů zadávaných prostřednictvím uživatelského rozhraní platformy), ledaže mu zpracování ukládá právo Evropské unie nebo České republiky; v takovém případě Poskytovatel Uživatele o tomto právním požadavku před zpracováním informuje, pokud právní předpis toto informování z důležitých důvodů veřejného zájmu nezakazuje,
b) nepoužívat databáze kontaktů a osobní údaje vložené Uživatelem pro vlastní marketingové účely Poskytovatele ani je neprodávat třetím osobám,
c) zajistit, aby se veškeré osoby oprávněné zpracovávat osobní údaje u Poskytovatele (zaměstnanci, jednatelé, pověření techničtí správci) zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti; tato povinnost trvá i po skončení této DPA.

6. TECHNICKÁ A ORGANIZAČNÍ OPATŘENÍ (ZABEZPEČENÍ DAT)

6.1. Poskytovatel přijímá s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování vhodná technická a organizační opatření podle čl. 32 GDPR k zajištění úrovně zabezpečení odpovídající danému riziku, zejména:
a) šifrování přenosu dat prostřednictvím protokolu HTTPS / TLS,
b) ukládání dat v zabezpečené cloudové infrastruktuře podkladové platformy (datová centra Amazon Web Services v Irsku / EU se šifrováním uložených dat a pravidelným zálohováním),
c) přísné řízení přístupových oprávnění (přístup k obsahu účtu Uživatele ze strany Poskytovatele a jeho technické podpory je omezen výhradně na případy nezbytné pro vyřešení technického dotazu Uživatele, odstranění chyby, prevenci zneužití nebo splnění zákonné povinnosti),
d) zabezpečení přihlašovacích údajů a ochranu infrastruktury proti škodlivému kódu a neoprávněným útokům.

7. ZAPOJENÍ DALŠÍCH ZPRACOVATELŮ (SUBZPRACOVATELŮ) A PŘEDÁVÁNÍ DAT

7.1. Uživatel tímto uděluje Poskytovateli obecné povolení k zapojení dalších zpracovatelů (subzpracovatelů) ve smyslu čl. 28 odst. 2 GDPR pro účely technického provozu, hostingu, doručování zpráv a správy platformy.
7.2. Uživatel bere na vědomí a souhlasí s tím, že hlavním technologickým subzpracovatelem zajišťujícím cloudovou infrastrukturu a softwarové řešení platformy je společnost:

• ITACWT Limited, se sídlem 2 Cruise Park Rise, Tyrrelstown, Dublin 15, Irsko (provozovatel platformy Systeme.io, využívající datová centra Amazon Web Services v Irsku, EU), a dále

• pověřené osoby zajišťující pro Poskytovatele technickou správu, údržbu a zákaznickou podporu platformy NakedPapaya.
  7.3. Pokud Poskytovatel zapojí dalšího zpracovatele, zavazuje se uložit tomuto dalšímu zpracovateli smluvně (včetně přijetí standardních podmínek ochrany dat daného poskytovatele) v podstatě stejné povinnosti na ochranu údajů, jaké jsou stanoveny v této DPA. O případné zamýšlené změně spočívající v přijetí nebo nahrazení klíčového dalšího zpracovatele bude Poskytovatel Uživatele informovat aktualizací této DPA nebo oznámením podle VOP; nesouhlasí-li Uživatel se změnou, je oprávněn svůj účet a smluvní vztah ukončit podle VOP.
  7.4. Pokud by v souvislosti se zapojením dílčích technických služeb docházelo k předání osobních údajů mimo Evropský hospodářský prostor (EHP), zajistí Poskytovatel, aby takové předání probíhalo pouze při splnění podmínek kapitoly V GDPR (zejména na základě rozhodnutí Evropské komise o odpovídající ochraně, rámce EU–US Data Privacy Framework nebo standardních smluvních doložek SCC).
  7.5. Pokud si Uživatel ve svém účtu sám aktivuje a napojí vlastní účet u třetí strany (např. vlastní platební bránu Stripe, Fapi, SimpleShop nebo externí nástroj přes API/webhook), vystupuje tato třetí strana v přímém smluvním vztahu s Uživatelem, nikoli jako subzpracovatel Poskytovatele.

8. SOUČINNOST, HLÁŠENÍ INCIDENTŮ A KONTROLA SOULADU

8.1. Žádosti subjektů údajů: Poskytovatel poskytuje Uživateli s ohledem na povahu zpracování přiměřenou součinnost pro splnění povinnosti Uživatele reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR (právo na přístup, opravu, výmaz, omezení zpracování či přenositelnost). Většinu těchto úkonů (úprava, export do CSV či smazání kontaktu) může Uživatel provést samoobslužně přímo v rozhraní svého účtu. Obrátí-li se subjekt údajů Uživatele se svou žádostí přímo na Poskytovatele, Poskytovatel žadatele odkáže na Uživatele nebo žádost předá Uživateli.
8.2. Ohlašování porušení zabezpečení (Data Breach): Pokud Poskytovatel zjistí porušení zabezpečení osobních údajů zpracovávaných jménem Uživatele, ohlásí tuto skutečnost Uživateli bez zbytečného odkladu poté, co se o ní dozví, na registrovaný e-mail Uživatele a poskytne mu dostupné informace nezbytné k posouzení incidentu a případnému splnění oznamovací povinnosti dle čl. 33 a 34 GDPR.
8.3. Posouzení vlivu a doložení souladu (Audit): Poskytovatel poskytne Uživateli na jeho odůvodněnou písemnou žádost informace potřebné k doložení toho, že byly splněny povinnosti stanovené v této DPA a čl. 28 GDPR (zejména zpřístupněním bezpečnostních informací a dokumentace podkladové infrastruktury). Vzhledem k tomu, že platforma běží ve sdílené multi-tenant cloudové infrastruktuře třetí strany, bere Uživatel na vědomí, že případné ověření probíhá primárně formou předložení dokumentace a písemných informací tak, aby nebyla ohrožena bezpečnost, provoz ani důvěrnost dat ostatních uživatelů platformy.

9. UKONČENÍ ZPRACOVÁNÍ, EXPORT A VÝMAZ DAT

9.1. Po dobu trvání smluvního vztahu a v přechodném období nejméně 30 kalendářních dnů po jeho skončení (v souladu s článkem 16 VOP) má Uživatel možnost kdykoli exportovat a stáhnout osobní údaje ze svého účtu ve strojově čitelném formátu (zejména CSV soubor kontaktů).
9.2. Po skončení poskytování služby a uplynutí lhůty pro převzetí dat podle článku 16.8 a 16.17 VOP (nebo dříve na základě výslovného písemného pokynu Uživatele k okamžitému výmazu) Poskytovatel zajistí trvalé vymazání osobních údajů vložených Uživatelem do platformy včetně jejich kopií (s přihlédnutím ke 30denní technické lhůtě ochranného koše v podkladové platformě Systeme.io), pokud zvláštní právní předpis nevyžaduje uložení daných osobních údajů.

10. ZÁVĚREČNÁ USTANOVENÍ

10.1. Tato DPA se řídí právním řádem České republiky a nařízením GDPR. V otázkách touto DPA výslovně neupravených (včetně pravidel pro doručování, změny podmínek a omezení odpovědnosti v obchodních vztazích dle čl. 15 VOP, v rozsahu dovoleném GDPR) se použijí ustanovení VOP.
10.2. Kontaktní e-mail Poskytovatele pro veškeré záležitosti týkající se této DPA a ochrany osobních údajů je: hello@nakedpapaya.com.
10.3. Tato DPA nabývá platnosti a účinnosti dne 5. 11. 2026.