Smlouva o zpracování osobních údajů – věrnostní program KafePOS

Platné od 25. 10. 2026

uzavřená podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi

provozovatelem provozovny, který v aplikaci KafePOS aktivoval věrnostní program (dále „správce“), a

Janem Hajflerem, Na Pařeničkách 2960, 756 61 Rožnov pod Radhoštěm, IČO 06162991 (dále „zpracovatel“).

Smlouva je součástí Obchodních a licenčních podmínek aplikace KafePOS. Uzavírá se aktivací věrnostního programu v aplikaci.

1. Předmět, doba a povaha zpracování

1.1 Zpracovatel pro správce provozuje server věrnostního programu: vede věrnostní karty zákazníků správce, eviduje sbírání a uplatnění razítek a vydává a aktualizuje karty v Apple Wallet a Google Wallet.

1.1a Pokud správce zapne vydávání souhlasu s newsletterem, zpracovatel navíc eviduje, zda a kdy zákazník udělil samostatný souhlas se zasíláním novinek a akcí e-mailem (odděleně od souhlasu s vedením karty), a zda a kdy ho odvolal. Zpracovatel sám e-maily s novinkami nerozesílá — rozesílání provádí správce sám nebo prostřednictvím vlastní rozesílací služby (např. Ecomail, Mailchimp), kterou si správce zvolí a se kterou uzavírá vlastní smluvní vztah; taková služba není subzpracovatelem podle této smlouvy. Zpracovatel na žádost správce vystaví vývozní seznam odběratelů (e-mail, jméno, datum a zdroj souhlasu, odkaz na odhlášení) a umožní nastavit automatické propsání odhlášení z rozesílací služby zpět (webhook). Pokud správce v administraci zadá přístupový klíč své rozesílací služby (napojení přes API), zpracovatel na jeho pokyn předává této službě e-mail a jméno odběratele a informaci o odhlášení; přístupový klíč uchovává šifrovaně a používá ho jen k tomuto účelu.

1.2 Zpracování trvá po dobu, po kterou správce věrnostní program používá (trvání předplatného), a dále po dobu podle čl. 6.

2. Kategorie údajů a subjektů

2.1 Subjekty údajů: zákazníci správce, kteří se zapojí do věrnostního programu.

2.2 Osobní údaje:

• kód věrnostní karty,
• jméno a e-mail, pokud je zákazník poskytne,
• historie transakcí na kartě (datum, provozovna, počet razítek, uplatněné odměny),
• technické identifikátory zařízení a tokeny pro oznámení Apple Wallet nebo Google Wallet,
• údaj, zda a kdy zákazník udělil nebo odvolal samostatný souhlas se zasíláním novinek e-mailem (newsletter), zdroj udělení (web nebo pokladna) a znění souhlasu v okamžiku udělení.

2.3 Zvláštní kategorie osobních údajů se nezpracovávají.

3. Povinnosti zpracovatele

Zpracovatel:

• zpracovává osobní údaje jen na základě doložených pokynů správce. Pokyny jsou dány touto smlouvou a nastavením věrnostního programu v aplikaci. Pokud podle zpracovatele pokyn porušuje právní předpisy, upozorní na to správce.
• zajistí, aby osoby oprávněné osobní údaje zpracovávat byly zavázány mlčenlivostí,
• přijme technická a organizační opatření podle čl. 32 GDPR, zejména šifrované spojení, oddělení dat jednotlivých správců, přístup jen pro oprávněné osoby, pravidelné zálohy a aktualizace,
• bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, oznámí správci porušení zabezpečení osobních údajů. Poskytne mu informace potřebné ke splnění jeho povinností podle čl. 33 a 34 GDPR.
• pomáhá správci vyřizovat žádosti subjektů údajů. Zejména na pokyn správce vydá nebo vymaže údaje konkrétního zákazníka. Žádost zákazníka doručenou přímo zpracovateli předá správci.
• poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní audit v přiměřeném rozsahu, po předchozím ohlášení alespoň 30 dní předem a na náklady správce,
• nepoužívá osobní údaje k vlastním účelům, neprodává je a nesdílí je s jinými správci.

3a. Doba uložení údajů o zákaznících

Karta zákazníka, na které 12 měsíců neproběhla žádná aktivita (připsání ani uplatnění razítek), se automaticky smaže včetně historie transakcí a údajů pro Wallet. V auditním záznamu zůstane jen počet smazaných karet, bez osobních údajů. Na pokyn správce zpracovatel smaže kartu dříve.

4. Další zpracovatelé

4.1 Správce dává obecný souhlas s využitím těchto dalších zpracovatelů:

• WEDOS, a.s., Masarykova 1230, 373 41 Hluboká nad Vltavou, IČO 28115694, jako poskytovatel serveru v datacentru v České republice, na kterém běží věrnostní program,
• Apple Inc. a Google LLC, v rozsahu nutném pro vydání a aktualizaci karet ve Wallet. Předání do USA probíhá na základě EU-US Data Privacy Framework.

4.2 Server věrnostního programu běží v datacentru společnosti WEDOS v České republice. Aplikaci a databázi na něm spravuje zpracovatel sám a přístup k nim má jen zpracovatel.

4.3 O zamýšleném přidání nebo výměně dalšího zpracovatele informuje zpracovatel správce alespoň 30 dní předem e-mailem nebo v aplikaci. Správce může vznést námitku a ukončit používání věrnostního programu.

5. Předávání mimo EU

Mimo Evropský hospodářský prostor se osobní údaje předávají jen podle čl. 4.1, a to za podmínek kapitoly V GDPR.

6. Ukončení

6.1 Po ukončení předplatného věrnostního programu zpracovatel na žádost správce předá data ve strojově čitelném formátu (CSV nebo JSON). Žádost je třeba podat do 30 dnů.

6.2 Do 90 dnů od ukončení zpracovatel osobní údaje vymaže, včetně záloh v jejich běžném cyklu. Výjimkou jsou případy, kdy jejich uchování ukládá právní předpis.

7. Povinnosti správce

Správce odpovídá za to, že má pro zpracování údajů svých zákazníků právní základ a že zákazníky informuje o zpracování, včetně toho, že jejich údaje zpracovává KafePOS jako zpracovatel. K tomu může použít text zveřejněný na kafepos.cz.

8. Závěrečná ustanovení

Smlouva se řídí právem České republiky a GDPR. V otázkách ochrany osobních údajů má tato smlouva přednost před Obchodními a licenčními podmínkami.

Zpracovatel může tuto smlouvu převést na obchodní společnost, kterou ovládá nebo kterou založí pro provoz KafePOS (například KafePOS s.r.o.), a správce s tím souhlasí. Nabyvatel převezme všechny povinnosti zpracovatele beze změny a zajistí stejnou úroveň zabezpečení. Zpracovatel o převodu správce informuje alespoň 14 dní předem. Správce může smlouvu k datu převodu ukončit postupem podle článku 6.