Zpracování osobních údajů

Účinné od: 24. 6. 2026

Poslední aktualizace: 19. 7. 2026

‍

Tento dokument upravuje zpracování osobních údajů, při kterém společnost SUBVENTUM s.r.o. vystupuje jako zpracovatel osobních údajů pro zákazníka služby ProfitEcom.

‍

Tento dokument tvoří standardní smlouvu o zpracování osobních údajů pro službu ProfitEcom, pokud se zákazník a SUBVENTUM s.r.o. nedohodnou písemně jinak.

‍

Zpracovatel:

SUBVENTUM s.r.o.

Kaprova 42/14

110 00 Praha 1

Česká republika

IČO: 08239771

DIČ: CZ08239771

Kontakt pro ochranu osobních údajů: privacy@profitecom.com

Kontakt pro bezpečnostní záležitosti: security@profitecom.com

‍

‍

1. Role stran

Pro účely tohoto dokumentu platí:

• Zákazník je správcem osobních údajů, pokud do služby ProfitEcom předává, nahrává, připojuje nebo zpřístupňuje osobní údaje ze svých systémů.
• SUBVENTUM s.r.o. je zpracovatelem osobních údajů, pokud tato data zpracovává za účelem poskytování služby ProfitEcom.
• ProfitEcom je služba, prostřednictvím které zpracovatel poskytuje zákazníkovi analytiku, reporting, integrace, datové transformace a související služby.

‍

Tento dokument se nepoužije na případy, kdy SUBVENTUM s.r.o. vystupuje jako samostatný správce osobních údajů, například při správě vlastních obchodních kontaktů, uživatelských účtů, fakturace nebo bezpečnosti služby. Tyto případy jsou popsány v dokumentu Ochrana osobních údajů.

‍

‍

2. Předmět zpracování

Předmětem zpracování je zpracování osobních údajů a zákaznických dat, která zákazník zpřístupní službě ProfitEcom za účelem poskytování sjednaných služeb.

‍

ProfitEcom může zpracovávat data zejména z:

• e-shopových platforem,
• ERP systémů,
• PIM systémů,
• CRM systémů,
• marketingových platforem,
• webově analytických platforem,
• skladových a logistických systémů,
• zákaznických tabulek,
• dalších zdrojů podle konkrétní implementace.

‍

Rozsah konkrétního zpracování se řídí zejména:

• smlouvou se zákazníkem,
• objednávkou,
• implementační analýzou,
• data contractem,
• technickou specifikací,
• nastavením integrací,
• pokyny zákazníka v aplikaci nebo při implementaci.

‍

‍

3. Doba zpracování

Zpracování osobních údajů trvá po dobu poskytování služby ProfitEcom zákazníkovi.

Po ukončení služby budou zákaznická data smazána nebo anonymizována podle pravidel uvedených v dokumentech Ochrana osobních údajů a Smazání dat, pokud se strany nedohodnou jinak nebo pokud právní předpisy nevyžadují delší uchování.

‍

Zákaznická data po ukončení služby zpravidla smažeme nebo anonymizujeme do 30 dnů.

‍

Technické zálohy a technické kopie mohou existovat po omezenou dobu podle zálohovacích cyklů a standardů použitých poskytovatelů. Cílem je, aby technické kopie nebyly uchovávány déle než 90 dnů, pokud delší doba nevyplývá z technického nastavení poskytovatele nebo právní povinnosti.

‍

‍

4. Povaha a účel zpracování

Zpracování probíhá za účelem poskytování služby ProfitEcom.

‍

Zpracování může zahrnovat zejména:

• načtení dat ze systémů zákazníka,
• příjem dat přes API, soubory, tabulky nebo integrace,
• načtení dat z autorizovaných marketingových a webově analytických platforem, například Google Ads, Google Analytics, Meta nebo obdobných služeb,
• uložení dat v datové platformě,
• datové transformace,
• čištění a sjednocení dat,
• vytváření analytických tabulek,
• propojení marketingových, webově analytických, obchodních a ekonomických dat,
• výpočet marží, nákladů, vratek, profitability a dalších metrik,
• tvorbu dashboardů a reportů,
• zpřístupnění reportů oprávněným uživatelům zákazníka,
• kontrolu kvality dat,
• řešení technických chyb,
• bezpečnostní a provozní logování,
• správu integrací.

‍

Zpracovatel nesmí zpracovávat osobní údaje zákazníka pro vlastní účely, které nejsou slučitelné s poskytováním služby ProfitEcom nebo s pokyny zákazníka.

‍

‍

5. Typy osobních údajů

Rozsah osobních údajů závisí na konkrétní implementaci zákazníka.

‍

Standardní datový model ProfitEcomu nevyžaduje přímé identifikátory koncových zákazníků e-shopu, jako jsou jména, e-maily, telefonní čísla nebo adresy.

‍

Podle konkrétní implementace však mohou být zpracovávány zejména tyto typy údajů:

• pseudonymizované identifikátory koncových zákazníků,
• identifikátory objednávek,
• údaje o objednávkách,
• údaje o položkách objednávek,
• údaje o produktech,
• údaje o vratkách,
• údaje o nákladech, maržích a cenách,
• údaje o obchodních kanálech,
• údaje o zemích nebo trzích,
• údaje o platebních a dopravních metodách,
• údaje o skladových pohybech,
• údaje o marketingových kampaních, nákladech, kliknutích, impresích, konverzích a výkonnostních metrikách,
• údaje o webové návštěvnosti, zdrojích návštěvnosti, kampaních, událostech, konverzích, e-commerce metrikách, zařízeních, zemích a vstupních stránkách,
• údaje o obchodních případech,
• údaje o CRM leadových nebo obchodních záznamech,
• firemní kontaktní údaje,
• údaje o uživatelích zákazníka,
• technické identifikátory a logy,
• další údaje podle implementační analýzy.

‍

U custom reportů může být rozsah dat širší, vždy však podle odsouhlaseného datového rozsahu.

‍

‍

6. Kategorie subjektů údajů

Podle konkrétní implementace se zpracování může týkat zejména těchto kategorií osob:

• uživatelé zákazníka,
• zaměstnanci nebo spolupracovníci zákazníka,
• kontaktní osoby zákazníka,
• koncoví zákazníci e-shopu zákazníka,
• obchodní leady,
• zákazníci nebo obchodní partneři zákazníka,
• kontaktní osoby ve firmách,
• osoby obsažené v CRM nebo obchodních datech zákazníka.

‍

Standardně se ProfitEcom zaměřuje na obchodní, ekonomická a analytická data, nikoliv na detailní osobní profily fyzických osob.

‍

‍

7. Zvláštní kategorie osobních údajů a citlivá data

Zákazník nesmí do ProfitEcomu předávat zvláštní kategorie osobních údajů ani jiná citlivá data, pokud to nebylo výslovně písemně dohodnuto.

‍

Bez výslovné dohody nesmí zákazník předávat zejména:

• údaje o zdravotním stavu,
• biometrické údaje,
• genetické údaje,
• údaje o politických názorech,
• údaje o náboženském nebo filozofickém přesvědčení,
• údaje o členství v odborech,
• údaje o sexuálním životě nebo orientaci,
• údaje o trestních věcech,
• rodná čísla,
• údaje dětí,
• čísla platebních karet,
• hesla a přístupové údaje třetích osob.

Pokud zákazník taková data předá bez předchozí dohody, odpovídá za právní důsledky takového předání. Zpracovatel může požadovat jejich odstranění, odmítnout jejich zpracování nebo dočasně omezit zpracování dotčeného datového zdroje.

‍

‍

8. Pokyny zákazníka

Zpracovatel zpracovává osobní údaje pouze na základě pokynů zákazníka.

‍

Za pokyny zákazníka se považují zejména:

• smlouva,
• objednávka,
• tyto podmínky zpracování,
• implementační analýza,
• data contract,
• nastavení integrací,
• nastavení aplikace,
• písemné pokyny zákazníka,
• pokyny oprávněných uživatelů v aplikaci.

Pokud by podle názoru zpracovatele pokyn zákazníka porušoval právní předpisy, zpracovatel na to zákazníka upozorní, pokud mu v tom nebrání právní předpisy.

‍

‍

9. Povinnosti zpracovatele

Zpracovatel se zavazuje zejména:

• zpracovávat osobní údaje pouze pro účely poskytování služby ProfitEcom,
• zpracovávat osobní údaje pouze podle pokynů zákazníka,
• zajistit, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí,
• přijmout přiměřená technická a organizační opatření,
• pomáhat zákazníkovi při plnění povinností podle GDPR v přiměřeném rozsahu,
• pomáhat zákazníkovi při vyřizování žádostí subjektů údajů, pokud je to technicky možné a přiměřené,
• informovat zákazníka o bezpečnostních incidentech týkajících se jeho dat bez zbytečného odkladu,
• zapojovat další zpracovatele pouze za podmínek uvedených v tomto dokumentu,
• po ukončení služby smazat nebo anonymizovat zákaznická data podle sjednaných pravidel,
• poskytnout zákazníkovi přiměřené informace potřebné k doložení plnění povinností podle tohoto dokumentu.

‍

‍

10. Povinnosti zákazníka

Zákazník se zavazuje zejména:

• zajistit, že má právní základ pro zpracování osobních údajů,
• zajistit, že má právo data předat nebo zpřístupnit ProfitEcomu,
• informovat subjekty údajů, pokud je to potřeba,
• dodržovat sjednaný datový rozsah,
• nepředávat data, která nejsou pro službu potřebná,
• nepředávat zvláštní kategorie osobních údajů bez výslovné dohody,
• zajistit správu uživatelských oprávnění,
• chránit přístupové údaje svých uživatelů,
• zajistit správnost a zákonnost dat,
• reagovat na žádosti subjektů údajů, pokud je správcem údajů,
• informovat zpracovatele o relevantních pokynech a změnách.

‍

Zákazník odpovídá za obsah, zákonnost, přesnost a přiměřenost dat, která do ProfitEcomu předá nebo zpřístupní.

‍

‍

11. Technická a organizační opatření

Zpracovatel používá přiměřená technická a organizační opatření k ochraně dat.

‍

Mezi tato opatření patří zejména:

• šifrovaný přenos dat přes HTTPS/TLS,
• šifrované ukládání dlouhodobých autorizačních tokenů,
• oddělení dat jednotlivých zákazníků a tenantů,
• řízení přístupů podle rolí,
• omezení interního přístupu k produkčním datům,
• MFA u klíčových služeb,
• používání dedikované Xano instance,
• zpracování dat v primárně evropské infrastruktuře,
• řízení přístupu v Power BI pomocí RLS,
• omezení ukládání citlivých tokenů mimo backend,
• předávání pouze krátkodobých access tokenů do integrační vrstvy pro autorizované platformy, například Google Ads, Google Analytics nebo Meta,
• revokace nebo odstranění tokenů při odpojení integrace,
• technické logování a omezené uchování execution dat,
• incidentní postup,
• zálohy a technické kopie podle možností použitých poskytovatelů.

‍

Podrobnější veřejný popis bezpečnostních opatření je uveden na stránce Bezpečnost.

Zpracovatel může bezpečnostní opatření průběžně měnit, pokud tím nesníží celkovou úroveň ochrany.

‍

‍

12. Další zpracovatelé

Zákazník souhlasí se zapojením dalších zpracovatelů a technologických poskytovatelů potřebných pro provoz služby ProfitEcom.

‍

Mezi používané dodavatele mohou patřit zejména:

• Auth0 / Okta,
• Microsoft Azure / Microsoft Fabric / Power BI,
• Microsoft 365,
• Xano,
• Hetzner,
• Webflow,
• Cookiebot / Usercentrics,
• Mandrill / Mailchimp Transactional Email,
• Stripe,
• Raynet,
• Google,
• Meta,
• Microsoft Advertising,
• LinkedIn,
• Smartsupp,
• další dodavatelé podle konkrétní implementace nebo nasazených nástrojů.

Aktuální přehled hlavních dodavatelů je uveden v dokumentu Ochrana osobních údajů.

‍

Zpracovatel zajistí, aby další zpracovatelé poskytovali přiměřené záruky ochrany osobních údajů a byli vázáni odpovídajícími smluvními nebo právními povinnostmi.

‍

Pokud by změna dalšího zpracovatele měla významný dopad na zpracování zákaznických osobních údajů, může zpracovatel zákazníka informovat vhodným způsobem, například aktualizací dokumentace, e-mailem nebo oznámením v aplikaci.

‍

‍

13. Předávání mimo EU/EHP

Data ProfitEcomu jsou primárně zpracovávána v rámci Evropské unie nebo Evropského hospodářského prostoru.

‍

Někteří dodavatelé však mohou v rámci svých služeb zpracovávat osobní údaje i mimo EU/EHP.

Pokud dochází k předání osobních údajů mimo EU/EHP, zpracovatel se spoléhá na odpovídající právní mechanismy, zejména:

• rozhodnutí o odpovídající ochraně,
• standardní smluvní doložky,
• smluvní a technická opatření dodavatelů,
• jiné mechanismy podle GDPR.

‍

‍

14. Pomoc při právech subjektů údajů

Pokud subjekt údajů uplatní žádost týkající se osobních údajů, které zpracovatel zpracovává pro zákazníka, zpracovatel poskytne zákazníkovi přiměřenou součinnost.

‍

Může jít zejména o žádosti týkající se:

• přístupu k údajům,
• opravy údajů,
• výmazu,
• omezení zpracování,
• přenositelnosti,
• námitky proti zpracování.

‍

Pokud subjekt údajů kontaktuje přímo zpracovatele a zpracovatel je schopen určit příslušného zákazníka jako správce, může žádost předat zákazníkovi nebo subjekt údajů na zákazníka odkázat.

‍

‍

15. Bezpečnostní incidenty

Pokud zpracovatel zjistí bezpečnostní incident, který se týká osobních údajů zpracovávaných pro zákazníka, informuje zákazníka bez zbytečného odkladu po zjištění incidentu.

‍

Oznámení může obsahovat zejména:

• popis povahy incidentu,
• dotčené systémy nebo datové zdroje,
• předpokládaný rozsah,
• přijatá nebo navržená opatření,
• dostupné informace potřebné pro posouzení rizika,
• kontaktní místo pro další komunikaci.

‍

Zpracovatel poskytne zákazníkovi přiměřenou součinnost při splnění jeho povinností podle právních předpisů.

‍

Zákazník jako správce odpovídá za posouzení, zda je nutné oznámit incident dozorovému úřadu nebo subjektům údajů, pokud právní předpisy nestanoví jinak.

‍

‍

16. Součinnost při auditu

Zpracovatel poskytne zákazníkovi přiměřené informace potřebné k doložení plnění povinností podle tohoto dokumentu.

‍

Zákazník může požádat o informace týkající se:

• bezpečnostních opatření,
• zapojených dodavatelů,
• základního popisu zpracování,
• incidentního postupu,
• mazání dat,
• technické dokumentace relevantní pro zpracování.

‍

Audity, kontroly nebo dotazníky musí být přiměřené, předem oznámené, nesmí ohrozit bezpečnost služby, důvěrnost dat jiných zákazníků ani provoz infrastruktury.

‍

Pokud by audit nebo součinnost přesahovaly běžný rozsah podpory, mohou se strany dohodnout na náhradě přiměřených nákladů.

‍

‍

17. Smazání nebo vrácení dat

Po ukončení poskytování služby zpracovatel zákaznická data smaže nebo anonymizuje podle dokumentů Ochrana osobních údajů a Smazání dat, pokud se strany nedohodnou jinak.

‍

Zákazník může před ukončením služby požádat o export dat, pokud je to technicky možné a pokud to odpovídá sjednanému rozsahu služby.

‍

Některá data mohou být uchována po delší dobu, pokud je to nezbytné pro:

• splnění právní povinnosti,
• účetnictví,
• ochranu právních nároků,
• bezpečnostní logy,
• technické zálohy,
• doložení plnění smlouvy.

‍

Taková data nebudou používána pro běžné poskytování služby.

‍

‍

18. Mlčenlivost

Zpracovatel zajistí, aby osoby s přístupem k osobním údajům byly vázány mlčenlivostí nebo odpovídající povinností důvěrnosti.

‍

Interní přístup k produkčním datům je omezen na osoby, které jej potřebují pro provoz, vývoj, podporu, bezpečnost nebo správu služby.

‍

‍

19. Změny tohoto dokumentu

Zpracovatel může tento dokument aktualizovat zejména při změně služby, právních požadavků, dodavatelů, technických opatření nebo způsobu zpracování.

‍

Aktuální verze bude dostupná na webu ProfitEcom.

‍

Pokud bude změna podstatná, může zpracovatel zákazníky informovat e-mailem nebo oznámením v aplikaci.

‍

‍

20. Kontakt

Pro dotazy ke zpracování osobních údajů kontaktujte: privacy@profitecom.com

Pro bezpečnostní oznámení: security@profitecom.com

‍

Zpracovatel:

SUBVENTUM s.r.o.

Kaprova 42/14

110 00 Praha 1

Česká republika

IČO: 08239771

DIČ: CZ08239771