Ochrana osobních údajů
Co o vás a o návštěvnících vašeho webu Creative WebMind AI ukládá, proč, na jak dlouho a kdo k tomu má přístup. Součástí je zpracovatelská smlouva pro data vašich návštěvníků.
Verze 1.0 · účinnost od 12. 9. 20261. Kdo údaje zpracovává
DOPLNIT — jméno a příjmení / název společnostiIČO DOPLNIT — IČO, není plátcem DPH
DOPLNIT — ulice č. p., PSČ obec
DOPLNIT — např. „zapsán v živnostenském rejstříku“ nebo „zapsána u Městského soudu v Praze, oddíl C, vložka …“
E‑mail: info@creative-design.cz · podpora pracovní dny 9–17 h
Pověřence pro ochranu osobních údajů nemáme jmenovaného; ve všech věcech ochrany údajů pište na info@creative-design.cz.
2. Tři role, tři různé situace
- Zákazník — máte u nás účet. Pro vaše údaje (e‑mail, jméno, platby, nastavení) jsme správcem. Platí čl. 3–8.
- Návštěvník webu zákazníka — píšete s chatbotem na cizím webu. Správcem vašich údajů je provozovatel toho webu; my jsme jeho zpracovatelem a řídíme se jeho pokyny a zpracovatelskou smlouvou v čl. 10. Obraťte se nejprve na provozovatele webu; pomůžeme mu vaši žádost vyřídit.
- Návštěvník webu webmind.cz — prohlížíte tuto stránku. Neukládáme o vás nic kromě krátkodobých technických záznamů serveru; nepoužíváme analytické ani reklamní cookies (čl. 7).
3. Jaké údaje zpracováváme a proč
| Údaje | Účel | Právní základ | Doba uchování |
|---|---|---|---|
| Účet: e‑mail, jméno, heslo (jen otisk, ukládá Supabase), datum registrace | vedení účtu, přihlášení, komunikace o službě | plnění smlouvy | po dobu účtu, poté 30 dní |
| Platby: identifikátor zákazníka ve Stripe, tarif, období, stav platby, fakturační údaje | předplatné, daňové doklady | plnění smlouvy, zákonná povinnost (účetnictví) | 10 let od vystavení dokladu (zákon o účetnictví); u nás jen identifikátory |
| Klíče k Poskytovateli AI | volání modelu vaším jménem | plnění smlouvy | do odpojení nebo smazání účtu; ukládají se zašifrované (AES‑256‑GCM), nikdy se nezobrazují zpět |
| Obsah webu a vložené podklady: text stránek, dokumenty, FAQ, jejich vektorové reprezentace | znalostní báze chatbota | plnění smlouvy | do smazání zdroje nebo účtu |
| Konverzace Návštěvníků: text otázek a odpovědí, anonymní identifikátor relace, čas, hodnocení nalezených zdrojů | fungování chatbota (paměť konverzace), přehled a statistiky pro Zákazníka | zpracovatel pro Zákazníka (čl. 10) | 90 dní, pak automatický výmaz |
| Poptávky: e‑mail Návštěvníka, jeho otázka a zpráva | aby se Zákazník mohl ozvat | zpracovatel pro Zákazníka | do smazání Zákazníkem nebo smazání účtu |
| Ochrana proti zneužití: otisk IP adresy Návštěvníka (HMAC, nevratný), počty požadavků | omezení počtu zpráv, obrana proti zahlcení | oprávněný zájem (bezpečnost) | počítadla se přepisují průběžně, nejdéle 1 hodina; IP samotná se neukládá |
| Provozní záznamy: záznamy o načítání webu, chybách, zásazích správce | provoz, diagnostika, doložitelnost změn | oprávněný zájem | 90 dní |
Údaje nepoužíváme k profilování, k rozhodování s právními účinky ani k trénování modelů umělé inteligence. Nepředáváme je za úplatu ani je nespojujeme s daty jiných zákazníků.
4. Co odchází Poskytovateli AI
Aby chatbot odpověděl, odešle Služba Poskytovateli AI, kterého jste zvolili, otázku Návštěvníka, několik posledních zpráv téže konverzace a úryvky z vaší znalostní báze. Při načítání webu mu odesílá text vašich stránek k vytvoření vektorové reprezentace. Nic jiného — žádné údaje o účtu, žádné poptávky.
Protože Služba používá váš klíč, jste ve vztahu k Poskytovateli AI vy jeho zákazníkem a podmínky zpracování se řídí vaší smlouvou s ním. Všichni tři podporovaní poskytovatelé nabízejí pro API smluvní závazek data z API netrénovat a zpracovatelskou smlouvu; doporučujeme ji přijmout:
| Poskytovatel | Země | Podmínky zpracování |
|---|---|---|
| OpenAI, L.L.C. | USA | openai.com/policies/data-processing-addendum |
| Anthropic, PBC | USA | anthropic.com/legal/commercial-terms |
| Google LLC (Gemini API) | USA / EU dle nastavení | cloud.google.com/terms/data-processing-addendum |
5. Kdo další má k údajům přístup
K provozu Služby využíváme tyto subdodavatele (další zpracovatele). Každý zpracovává jen to, co potřebuje ke své roli, a je vázán smlouvou o zpracování.
| Subdodavatel | Role | Umístění dat | Předání mimo EU |
|---|---|---|---|
| Supabase Inc. | databáze, přihlašování, ověřovací e‑maily | EU (datové centrum ve Frankfurtu) — DOPLNIT dle regionu projektu | standardní smluvní doložky |
| Zerops s.r.o. | hosting aplikace | Česká republika | — |
| Stripe Payments Europe, Ltd. | platby a daňové doklady | Irsko; zpracování i v USA | standardní smluvní doložky, DPF |
| DOPLNIT — poskytovatel e‑mailů (např. Postmark / Mailgun / Resend) | odesílání upozornění | DOPLNIT | DOPLNIT |
Přístup k údajům má dále Provozovatel (osoby vázané mlčenlivostí) a v zákonem stanovených případech orgány veřejné moci. O změně subdodavatele informujeme Zákazníky e‑mailem nejméně 14 dní předem (čl. 10.6).
6. Vaše práva
Máte právo na přístup k údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost a právo vznést námitku proti zpracování z oprávněného zájmu. Většinu věcí zvládnete sami v administraci (změna údajů, odpojení klíče, smazání zdrojů a poptávek). Ostatní žádosti vyřizujeme e‑mailem do 30 dnů. Stížnost můžete podat u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.
8. Zabezpečení
- Veškerá komunikace probíhá šifrovaně (HTTPS). Klíče k Poskytovatelům AI a hesla k SMTP jsou v databázi šifrovány klíčem, který v databázi není.
- Data zákazníků jsou v databázi oddělena na úrovni řádků; každý dotaz na znalostní bázi je vázán na konkrétní projekt.
- Widget smí být použit jen z domény, kterou Zákazník nastavil; každé připojení dostává krátkodobý podepsaný lístek.
- Zásahy správce (pozastavení účtu, změna tarifu, nastavení odesílání) se zaznamenávají.
- Porušení zabezpečení, které se týká údajů Zákazníka nebo jeho Návštěvníků, oznámíme Zákazníkovi bez zbytečného odkladu, nejpozději do 48 hodin od zjištění.
9. Změny tohoto dokumentu
Změny oznamujeme Zákazníkům e‑mailem nejméně 14 dní před účinností; verze a datum jsou v záhlaví. Podstatná změna (nový subdodavatel, jiná doba uchování) je zároveň změnou zpracovatelské smlouvy a platí pro ni její čl. 10.6.
10. Zpracovatelská smlouva
Ujednání podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi Zákazníkem jako správcem a Provozovatelem jako zpracovatelem. Je součástí Obchodních podmínek a uzavírá se registrací; samostatný podpis není nutný. Na žádost ji poskytneme jako podepsaný dokument.
10.1 Předmět a doba
Zpracovatel zpracovává pro správce osobní údaje Návštěvníků jeho webu v rozsahu nezbytném k provozu Služby, po dobu trvání smlouvy o poskytování Služby.
10.2 Povaha, účel, kategorie
- Povaha a účel: automatizované zodpovídání dotazů Návštěvníků z obsahu poskytnutého správcem; uložení konverzací pro jejich kontinuitu a přehled správce; uložení kontaktů, které Návštěvník dobrovolně zanechá; ochrana proti zneužití.
- Subjekty údajů: návštěvníci webu správce.
- Kategorie údajů: obsah zpráv (může obsahovat jakékoli údaje, které Návštěvník sám napíše), anonymní identifikátor relace, e‑mailová adresa a zpráva u poptávek, nevratný otisk IP adresy. Zvláštní kategorie údajů se nepředpokládají; správce je povinen chatbota nenasazovat tam, kde by jejich sdělování bylo pravidlem.
10.3 Pokyny správce
Zpracovatel zpracovává údaje pouze na doložených pokynech správce; za pokyny se považují tyto Obchodní podmínky a nastavení, která správce provede v administraci (volba Poskytovatele AI, obsah znalostní báze, zapnutí sběru kontaktů). Upozorní správce, pokud pokyn podle jeho názoru porušuje právní předpisy.
10.4 Povinnosti zpracovatele
- zajistí, že osoby s přístupem k údajům jsou vázány mlčenlivostí;
- přijme technická a organizační opatření podle čl. 8 tohoto dokumentu;
- pomůže správci s vyřízením žádostí subjektů údajů a s plněním povinností podle čl. 32–36 GDPR, v rozsahu, v jakém to Služba umožňuje (přehled konverzací, výmaz poptávek, export);
- oznámí správci porušení zabezpečení bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s dostupnými informacemi podle čl. 33 odst. 3 GDPR;
- po skončení smlouvy údaje vymaže do 30 dnů, nestanoví‑li právo EU nebo ČR jinak; před tím si je správce může z administrace stáhnout;
- poskytne správci informace nezbytné k doložení plnění povinností a umožní audit, a to nejdříve písemným dotazem; audit na místě nejvýše jednou ročně, po dohodě o termínu, na náklady správce.
10.5 Poskytovatel AI
Poskytovatel AI, jehož klíč správce do Služby vložil, není dalším zpracovatelem zpracovatele; správce s ním má vlastní smluvní vztah a odpovídá za to, že má s ním sjednány podmínky zpracování. Zpracovatel mu předává pouze údaje uvedené v čl. 4 a výhradně na pokyn správce daný vložením klíče.
10.6 Další zpracovatelé
Správce uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v čl. 5. Změnu nebo doplnění zpracovatel oznámí e‑mailem nejméně 14 dní předem; správce může do dne účinnosti vznést námitku a smlouvu o poskytování Služby vypovědět. Zpracovatel ukládá dalším zpracovatelům stejné povinnosti ochrany údajů a odpovídá za jejich plnění.
10.7 Předání mimo EU
Předání dalším zpracovatelům mimo EU se opírá o standardní smluvní doložky Evropské komise, případně o rozhodnutí o odpovídající ochraně (Data Privacy Framework). Předání Poskytovateli AI je předáním správce podle čl. 10.5.
10.8 Odpovědnost
Odpovědnost stran za porušení této smlouvy se řídí čl. 9 Obchodních podmínek; tím není dotčena odpovědnost vůči subjektům údajů a dozorovému úřadu podle čl. 82 GDPR.
11. Text pro váš web
Jako správce máte povinnost informovat své Návštěvníky. Tento odstavec můžete vložit do zásad ochrany osobních údajů na svém webu a upravit podle své situace:
„Na webu používáme automatizovaného asistenta (chatbota) provozovaného službou Creative WebMind AI (DOPLNIT — jméno a příjmení / název společnosti, IČO DOPLNIT — IČO), který odpovídá na dotazy z obsahu našeho webu. Obsah konverzace se ukládá po dobu 90 dnů, abychom mohli asistenta zlepšovat a navázat na rozhovor; poté se automaticky maže. Pokud nám v chatu zanecháte e‑mail, použijeme ho jen k tomu, abychom se vám ozvali. Pro vytvoření odpovědi se text vašich dotazů odesílá poskytovateli jazykového modelu [OpenAI / Anthropic / Google], se kterým máme uzavřenou smlouvu o zpracování; k trénování modelů se nepoužívá. Nepište do chatu citlivé údaje. Právním základem je náš oprávněný zájem na poskytování informací návštěvníkům; máte právo vznést námitku na [váš e‑mail].“