Zásady ochrany osobních údajů

1. Správce a kontaktní údaje

Správcem osobních údajů je:

Provozní označení používané na webu je Direct Response Duo / Direct Duo. Správce nejmenoval pověřence pro ochranu osobních údajů.

2. Jaké osobní údaje můžeme zpracovávat

Rozsah se liší podle toho, zda pouze navštívíte web, odešlete poptávku, objednáte marketingovou nebo leadovou službu, nebo s námi řešíte CRM projekt.

• Identifikační a kontaktní údaje – zejména jméno, příjmení, pracovní pozice, firma, e-mail a telefon.
• Firemní a fakturační údaje – obchodní firma, IČO, DIČ, sídlo, fakturační údaje a informace o platbě.
• Údaje z poptávky – obor, typ služby, rozpočet, hodnota zakázky, současný způsob akvizice, cíl a další informace, které nám sami předáte.
• Komunikace a projektové údaje – e-maily, poznámky, podklady, schválení, zadání, informace potřebné k realizaci služby a případně záznamy o řešení reklamací nebo podpory.
• Technické údaje – údaje nezbytné pro provoz webu a zabezpečení, typicky IP adresa, čas požadavku, technický log a základní údaje o zařízení/prohlížeči, pokud je zpracovává hosting nebo bezpečnostní infrastruktura.
• Údaje z kampaní a leadových formulářů – jejich konkrétní rozsah je vždy určen konkrétním formulářem a účelem dané kampaně.

Nežádáme po Vás zvláštní kategorie osobních údajů, pokud nejsou pro konkrétní službu objektivně potřebné a výslovně sjednané.

3. Účely a právní tituly zpracování

Poptávka a předsmluvní jednání

Údaje z kontaktního formuláře používáme k vyřízení poptávky, posouzení vhodnosti služby, přípravě nabídky a navazující komunikaci. Právním titulem je podle povahy vztahu provedení kroků před uzavřením smlouvy nebo oprávněný zájem na komunikaci s obchodním kontaktem.

Plnění smlouvy a projektová komunikace

Údaje zpracováváme, abychom mohli dodat objednané marketingové, leadové, vývojové nebo jiné služby, fakturovat je, řešit podporu, reklamace, předání výstupů a související komunikaci.

Právní a účetní povinnosti

Některé údaje musíme uchovávat a zpracovávat z důvodu účetních, daňových nebo jiných zákonných povinností.

Ochrana práv a bezpečnost

V nezbytném rozsahu můžeme údaje zpracovávat pro ochranu právních nároků, doložení průběhu plnění, prevenci zneužití, bezpečnost systémů a řešení incidentů.

Obchodní sdělení

Stávajícím zákazníkům můžeme v zákonném rozsahu zasílat nabídky obdobných vlastních služeb s možností jednoduchého odmítnutí. U osob, u nichž je souhlas vyžadován, zasíláme obchodní sdělení pouze na základě takového souhlasu.

Leadové kampaně a předání partnerovi

Pokud formulář vzniká v kampani určené pro konkrétního klienta nebo partnera, může být údaj předán tomuto klientovi či partnerovi jako samostatnému správci pouze tehdy, pokud to odpovídá účelu formuláře a jste o tom před odesláním formuláře informováni.

4. B2C akvizice, lead generation a předání údajů obchodním partnerům

Direct Response Duo vedle B2B marketingu realizuje také B2C akviziční kampaně. V jejich rámci mohou spotřebitelé nebo jiné fyzické osoby dobrovolně vyplnit formulář se zájmem o konkrétní produkt, službu, nabídku nebo další kontakt.

Co je účelem takového formuláře

U některých kampaní není účelem pouze komunikace s Direct Response Duo. Účelem může být také vytvoření obchodní poptávky (leadu) a její předání jednomu nebo více vybraným obchodním klientům / partnerům, kteří nabízejí poptávanou nebo související službu. Direct Response Duo může za vytvoření, kvalifikaci nebo předání takového leadu od obchodního klienta získat odměnu.

Jaké údaje mohou být součástí leadu

Konkrétní rozsah vždy určuje daný formulář. Vedle jména, telefonu a e-mailu může podle typu kampaně zahrnovat například lokalitu, parametry nemovitosti, plánované opatření nebo investici, preferovaný způsob financování, údaje potřebné pro předběžnou kvalifikaci, informace o domácnosti nebo jiné údaje, které osoba sama ve formuláři poskytne.

U finančních nebo jinak citlivějších kvalifikačních formulářů mohou být požadovány také informace o příjmech, závazcích, exekucích či insolvenci, pokud jsou relevantní k účelu konkrétní poptávky. Takové údaje se nemají sbírat „pro jistotu“, ale jen tehdy, pokud je jejich účel předem vysvětlen.

Komu mohou být údaje předány

Příjemcem může být firma nebo podnikatel, který poskytuje službu odpovídající poptávce – například dodavatel technického řešení, stavební či realizační firma, finanční zprostředkovatel, realitní profesionál nebo jiný relevantní obchodní partner podle konkrétní kampaně.

Před odesláním formuláře musí být zřejmé, že údaje mohou být obchodnímu partnerovi předány. Pokud konkrétní právní titul nebo způsob následného marketingového oslovení vyžaduje souhlas, musí být souhlas svobodný, konkrétní, informovaný a prokazatelný. Je-li okruh partnerů širší, formulář nebo navazující informace musí partnera nebo dostatečně určitelný seznam / kategorii příjemců transparentně popsat.

Role po předání leadu

V rozsahu, v jakém obchodní partner po převzetí leadu sám rozhoduje, jak bude osobu kontaktovat, jakou nabídku jí předloží a jak dlouho bude údaje dále uchovávat, vystupuje zpravidla jako samostatný správce. Odpovídá proto za vlastní právní titul, informační povinnost, zabezpečení, případná obchodní sdělení a další nakládání s údaji.

Placené předání nemění práva subjektu údajů

Skutečnost, že je obchodní klient za lead nebo akviziční službu zpoplatněn, nesnižuje práva osoby, jejíž údaje jsou zpracovávány. Rozhodující je vždy transparentní informace před odesláním formuláře a právní titul odpovídající konkrétnímu účelu zpracování.

5. Příjemci, dodavatelé a předání mimo EHP

Pro provoz webu a dodání služeb využíváme dodavatele technických, cloudových, e-mailových, automatizačních, účetních a marketingových služeb. Přístup mají pouze v rozsahu potřebném pro konkrétní účel.

Vedle technických zpracovatelů mohou být příjemci údajů také obchodní klienti a partneři, kterým je v rámci lead-generation služby předána poptávka. Takový přenos není pouhým technickým zpracováním: pokud partner používá údaje pro vlastní obchodní nabídku, je typicky samostatným správcem a jeho identita nebo dostatečně určitelný okruh musí odpovídat informaci poskytnuté osobě v konkrétní kampani.

Typicky může jít o poskytovatele hostingu/CDN, databází, e-mailu, automatizací, reklamních platforem, účetních nástrojů a dalších integračních služeb. U webové poptávky může být technickým zpracovatelem také služba použitá pro přenos formuláře do interního workflow.

Pokud konkrétní poskytovatel nebo jeho subdodavatelé zpracovávají údaje mimo Evropský hospodářský prostor, používají se odpovídající právní mechanismy podle GDPR a podmínek konkrétní služby.

6. Doba uchování

Osobní údaje uchováváme pouze po dobu, která odpovídá účelu jejich zpracování, a následně po dobu nezbytnou k ochraně práv nebo splnění zákonných povinností.

• údaje z poptávek po dobu vyřízení a přiměřeného navazujícího obchodního jednání,
• smluvní, účetní a fakturační údaje po dobu vyžadovanou právními předpisy a pro ochranu právních nároků,
• údaje pro obchodní sdělení do odvolání souhlasu nebo do uplatnění námitky, podle použitého právního titulu,
• technické a bezpečnostní logy po dobu nezbytnou pro provoz, diagnostiku a bezpečnost.

Konkrétní pravidla pro odstranění dat z CRM vývoje, migrace a technické správy jsou upravena v DPA a projektové dokumentaci.

7. Vaše práva

V rozsahu stanoveném GDPR máte zejména právo:

• na informace o zpracování a přístup k osobním údajům,
• na opravu nepřesných nebo neúplných údajů,
• na výmaz nebo omezení zpracování, pokud jsou splněny zákonné podmínky,
• na přenositelnost údajů v případech stanovených GDPR,
• kdykoliv odvolat souhlas, pokud je zpracování založeno na souhlasu,
• vznést námitku proti zpracování založenému na oprávněném zájmu; u přímého marketingu bude zpracování po námitce ukončeno.

Práva můžete uplatnit na Surgutanov@directduo.cz. Pokud se domníváte, že je zpracování v rozporu s právními předpisy, můžete se obrátit také na Úřad pro ochranu osobních údajů.

8. Cookies, analytika a online marketing

Technologie nezbytné pro funkčnost a bezpečnost webu mohou být používány bez souhlasu v rozsahu povoleném právními předpisy. Analytické nebo marketingové technologie, které souhlas vyžadují, mají být aktivovány až po jeho udělení.

Pokud jsou na webu nasazeny nástroje třetích stran pro měření kampaní nebo remarketing, zpracování se řídí také podmínkami těchto poskytovatelů a nastavením souhlasu na webu.

9. CRM projekty, DPA a použití AI při vývoji

Při vývoji, migraci, testování, opravách, nasazení nebo následné technické správě CRM může Jan Surgutanov / Direct Response Duo zpracovávat osobní údaje jménem klienta. Klient v takovém případě vystupuje jako správce a Direct Response Duo jako zpracovatel. Podrobnosti upravuje projektová zpracovatelská smlouva (DPA) podle čl. 28 GDPR.

9.1. Rozlišujeme „AI píše kód“ a „AI zpracovává data“

Samotné použití AI při vývoji neznamená, že poskytovateli AI předáváme klientskou databázi. AI může například vytvořit importní skript podle datového modelu, názvů sloupců, API dokumentace nebo anonymizovaného vzorku. Skript následně běží na lokálním zařízení nebo infrastruktuře klienta a klientská data mohou téct přímo mezi zdrojovým souborem a databází bez toho, aby jejich obsah byl součástí vstupu nebo výstupu AI služby.

Pokud poskytovatel AI neobdrží klientské osobní údaje, není pro tuto konkrétní operaci subzpracovatelem těchto osobních údajů. Poskytovatel samozřejmě může samostatně zpracovávat provozní údaje svého vlastního uživatele podle svých podmínek; to je odlišná otázka od zpracování klientské databáze.

9.2. Kdy se poskytovatel AI stává subzpracovatelem klientských dat

Jestliže AI služba dostane identifikovatelné údaje klienta – například prostřednictvím nahraného Excelu/CSV, JSONu, screenshotu, zkopírovaných řádků, logu s osobními údaji nebo tím, že agent soubor otevře a jeho obsah odešle modelu – jde o zpracování klientských osobních údajů poskytovatelem AI.

Takové použití je dovoleno pouze tehdy, pokud:

• projektová DPA s klientem použití relevantních subzpracovatelů umožňuje,
• klient má sjednaný obecný nebo konkrétní souhlas a právo reagovat na změny subzpracovatelů v režimu projektové DPA,
• Direct Response Duo má vůči poskytovateli AI účinný smluvní režim a DPA odpovídající roli zpracovatele / subzpracovatele,
• konkrétní produkt a účet poskytovatele AI je skutečně zahrnut v tomto komerčním/DPA režimu,
• rozsah předaných dat je omezen na minimum nezbytné pro konkrétní technický účel.

9.3. Anthropic / Claude

Pro klientská osobní data se používá pouze komerční produkt Anthropic, na který se vztahují Commercial Terms a Anthropic DPA – typicky Anthropic API nebo Claude for Work, případně jiný produkt výslovně zahrnutý v odpovídající smlouvě. Anthropic uvádí, že u komerčních produktů vystupuje pro zákaznická data jako zpracovatel a že vstupy a výstupy z těchto komerčních produktů standardně nepoužívá k trénování modelů, není-li zákazník výslovně zapojen do režimu sdílení dat.

Spotřebitelské produkty Claude Free, Pro nebo Max – včetně Claude Code používaného přes takový spotřebitelský účet – nejsou pro účely Direct Response Duo považovány za dostatečný DPA režim pro předávání identifikovatelných klientských dat. V takovém režimu se používají pouze neosobní, syntetická nebo skutečně anonymizovaná data.

9.4. OpenAI / ChatGPT

Pro klientská osobní data se používá pouze služba OpenAI pro firmy nebo vývojáře, na kterou se vztahuje OpenAI Services Agreement a DPA – například OpenAI API, ChatGPT Business nebo ChatGPT Enterprise, pokud konkrétní služba a konfigurace splňuje požadovaný režim. OpenAI uvádí, že u těchto business služeb standardně nepoužívá vstupy a výstupy k trénování modelů.

Osobní ChatGPT Free, Plus nebo Pro workspace není pro běžné konverzační prompty a nahrané soubory kryt stejným business DPA. Samotné vypnutí trénování v nastavení osobního účtu proto není náhradou za zpracovatelskou smlouvu. V osobním režimu se klientská osobní data nepředávají; používají se pouze technické informace bez identifikovatelných osobních údajů.

9.5. Hesla, klíče a produkční přístupy

Produkční hesla, servisní role klíče, API tokeny, privátní klíče a jiné tajné údaje se záměrně nevkládají do AI promptů, nahraných souborů ani zdrojového repozitáře. Ve zdrojovém kódu mohou být bezpečné odkazy na proměnné prostředí nebo způsob konfigurace. Pokud je tajný údaj omylem zpřístupněn, je bez zbytečného odkladu revokován nebo rotován.

9.6. Subzpracovatelé, odpovědnost a změny

Pokud se poskytovatel AI stane subzpracovatelem klientských osobních údajů, uplatní se pravidla projektové DPA pro seznam subzpracovatelů, informování o změnách a případné námitky klienta. Na dalšího zpracovatele musí být přeneseny odpovídající povinnosti ochrany osobních údajů a Direct Response Duo zůstává vůči klientovi odpovědné za plnění povinností subzpracovatele v rozsahu čl. 28 odst. 4 GDPR a projektové DPA.

9.7. Incidenty, ukončení zpracování a audit

Standardní CRM DPA dále upravuje bezpečnostní incidenty, součinnost při právech subjektů údajů, audit, ukončení přístupů a vrácení nebo výmaz dat. Konkrétní pravidla se vždy řídí verzí DPA přiloženou ke konkrétní Specifikaci Díla.

10. Závěrečná ustanovení

Tyto zásady můžeme aktualizovat, pokud se změní služby, používané nástroje nebo právní požadavky. Aktuální verze je vždy zveřejněna na této stránce.

Účinné od 19. 9. 2026.