Sprostredkovateľská zmluva (GDPR)

Podľa čl. 28 GDPR · služba Trackless · verzia 1.3 · účinná od 1. 7. 2026

Úvodné ustanovenia

Táto sprostredkovateľská zmluva (ďalej len „Zmluva") upravuje spracúvanie osobných údajov podľa čl. 28 Nariadenia (EÚ) 2016/679 (GDPR) medzi:

Prevádzkovateľom - prevádzkovateľom webu alebo e-shopu, ktorý používa napojenie Trackless (najmä modul pre PrestaShop, plugin pre WordPress/WooCommerce, modul pre OpenCart, Magento 2, Shopware 6, Sylius, Joomla / VirtueMart, merací JavaScript t.js alebo vlastnú integráciu cez API) a odosiela dáta do vyhodnocovacej aplikácie Trackless;
Sprostredkovateľom - Dominik Ulrich, IČO 74729381, DIČ CZ9005173595, so sídlom K Blahobytu 1699, 530 02 Pardubice, Česká republika, prevádzkovateľ služby Trackless.cz a vyhodnocovacej aplikácie dostupnej na trackless.cz (ďalej len „Aplikácia").

Zmluva nadobúda účinnosť okamihom, keď Prevádzkovateľ odsúhlasí obchodné podmienky alebo túto Zmluvu a aktivuje odosielanie dát do Aplikácie; najneskôr prvým úspešným odoslaním osobných údajov do Aplikácie. Odosielanie dát cez napojenie alebo API je doloženým pokynom Prevádzkovateľa na spracúvanie.

1. Predmet a účel spracúvania

Sprostredkovateľ spracúva osobné údaje výhradne pre Prevádzkovateľa a výhradne na účel poskytovania webovej analytiky: meranie návštevnosti, zdrojov návštev, správania návštevníkov, výkonu obsahu, objednávok, tržieb, marží, kampaní a súvisiacich reportov. Sprostredkovateľ údaje nespracúva na vlastné marketingové, reklamné ani iné samostatné účely.

2. Povaha a doba spracúvania

Povaha spracúvania: príjem dát cez napojenie alebo API, overenie požiadavky, uloženie, usporiadanie, analýza, agregácia, zobrazenie v Aplikácii, export a technické zálohovanie.
Doba spracúvania: dáta na úrovni jednotlivých návštev a udalostí (odtlačok IP adresy, pseudonymný identifikátor návštevníka, údaje o zariadení a jednotlivé udalosti) sa automaticky mažú najneskôr po 180 dňoch od záznamu; potom zostávajú len agregované štatistiky (denné súhrny), ktoré neidentifikujú konkrétne osoby a z ktorých sa zostavujú reporty. Záznamy o objednávkach a tržbách sa uchovávajú počas používania Služby Prevádzkovateľom a ďalej počas doby nevyhnutnej na splnenie účtovných a daňových povinností. Po ukončení Služby sa postupuje podľa čl. 10 (export, výmaz a dobeh technických záloh).

3. Kategórie dotknutých osôb

Návštevníci webu, zákazníci e-shopu, registrovaní používatelia e-shopu a osoby, ktorých aktivita alebo objednávka je Prevádzkovateľom odoslaná do Aplikácie.

4. Kategórie osobných údajov

Spracúvajú sa pseudonymné a minimalizované údaje, ktoré Prevádzkovateľ odosiela cez napojenie alebo API, a nevyhnutný technický kontext prichádzajúcej požiadavky. Pri nasadení meracieho JavaScriptu t.js odosiela dáta Aplikácii priamo prehliadač návštevníka; Aplikácia preto pri prijatí požiadavky spracuje aj IP adresu a serverové geo hlavičky, a to prechodne na vytvorenie jednosmerného odtlačku, ochranu endpointu, vylúčenie vlastnej prevádzky a určenie krajiny. Do analytických dát sa IP adresa v pôvodnej podobe neukladá. Ide najmä o:

pseudonymný identifikátor návštevníka - jednosmerný odtlačok používaný na rozlíšenie návštevníka v rámci merania; typicky sa denne mení a neslúži na priamu identifikáciu osoby;
odtlačok IP adresy - solený alebo inak pseudonymizovaný hash IP adresy vytvorený napojením alebo Aplikáciou; pri serverových napojeniach sa samotná IP adresa do Aplikácie bežne neposiela, pri meracom JavaScripte t.js je súčasťou HTTP požiadavky na Aplikáciu a spracúva sa iba prechodne; do analytických dát sa neukladá v pôvodnej podobe;
zdroj návštevy a atribúcia - referrer, UTM parametre, gclid/fbclid, vstupná URL, kanál, zdroj, médium, kampaň, session a súvisiace atribučné údaje;
kontext zariadenia - typ zariadenia, prehliadač, operačný systém, krajina, jazyk a obdobné technické údaje; typ zariadenia, prehliadač a operačný systém Aplikácia odvodzuje z hlavičky User-Agent, ktorú napojenie odosiela - bežne sa používa na odvodenie týchto údajov a rozpoznanie robotov bez dlhodobého uloženia v pôvodnej podobe; počas technickej diagnostiky bot klasifikácie môže byť krátkodobo uložená ako obmedzená vzorka bez IP adresy, URL, visitor ID a session ID, typicky najviac 14 dní;
sieť pri serverovej prevádzke - pri návštevách vyhodnotených ako datacentrum, cloud alebo VPN sa ukladá číselný identifikátor siete (ASN), z ktorej prišli, aby sa dalo takéto vyhodnotenie spätne doložiť a prípadnú chybu opraviť; ide o údaj o sieti jej prevádzkovateľa, nie o osobe, a je hrubší než krajina, ktorú Aplikácia ukladá bežne. Pri návštevách z bežných spotrebiteľských a mobilných sietí sa neukladá vôbec - tie sú z databázy serverových rozsahov vylúčené;
údaje o objednávkach bez priamych identifikátorov - interné číselné ID objednávky, zákazníka alebo košíka, stav objednávky, sumy, mena, doprava, platobná metóda, kupón, produkty, kategórie, referencie, množstvo a nákupné ceny používané na výpočet marže;
udalosti správania - zobrazenia stránok, produktov a kategórií, akcie v košíku, checkout, vyhľadávanie, registrácia alebo prihlásenie ako typ udalosti, URL, referrer a ďalšie udalosti odoslané Prevádzkovateľom.

Prevádzkovateľ je povinný nastaviť napojenie tak, aby do Aplikácie neodosielal mená, e-maily, telefónne čísla, poštové ani fakturačné adresy, platobné údaje, poznámky s osobným obsahom ani osobitné kategórie údajov podľa čl. 9 GDPR. Táto povinnosť sa vzťahuje aj na voľné polia, najmä URL, referrer, vyhľadávacie dotazy, kódy kupónov, názvy kampaní a vlastné udalosti.

Ak Prevádzkovateľ v rozpore s touto Zmluvou alebo dokumentáciou odovzdá priamy identifikátor alebo nadbytočný údaj, zodpovedá za také odovzdanie Prevádzkovateľ; Sprostredkovateľ ho spracuje len ako technický príjemca pokynu a je oprávnený požadovať nápravu, obmedziť príjem takých dát alebo údaje odstrániť.

5. Povinnosti Prevádzkovateľa

Určiť účel a právny základ spracúvania, splniť informačnú povinnosť voči dotknutým osobám a posúdiť spracúvanie v kontexte svojho webu, e-shopu a ďalších používaných nástrojov.
Odosielať len údaje nevyhnutné na účel webovej analytiky a neodosielať priame identifikátory ani osobitné kategórie údajov.
Chrániť API kľúč, read-only tokeny a prístupy do Aplikácie a bez zbytočného odkladu hlásiť podozrenie na ich kompromitáciu.
Zabezpečiť, aby osoby s prístupom do Aplikácie boli oprávnené pracovať s dátami Prevádzkovateľa.

6. Povinnosti Sprostredkovateľa (čl. 28 ods. 3 GDPR)

Sprostredkovateľ:

a) spracúva osobné údaje iba na základe doložených pokynov Prevádzkovateľa, ktorými sú táto Zmluva, obchodné podmienky, nastavenie Aplikácie a dáta odoslané cez napojenie alebo API;
b) upozorní Prevádzkovateľa, ak sa domnieva, že určitý pokyn porušuje GDPR alebo iné predpisy na ochranu údajov;
c) zabezpečuje, že oprávnené osoby sú viazané mlčanlivosťou alebo zákonnou povinnosťou dôvernosti;
d) prijíma vhodné technické a organizačné opatrenia podľa čl. 32 GDPR - pozri čl. 7;
e) zapája ďalších sprostredkovateľov len podľa čl. 8;
f) je Prevádzkovateľovi nápomocný pri vybavovaní žiadostí dotknutých osôb podľa čl. 12-23 GDPR v rozsahu, ktorý umožňuje povaha pseudonymných údajov a dostupné identifikátory;
g) je Prevádzkovateľovi nápomocný pri zabezpečení súladu s povinnosťami podľa čl. 32-36 GDPR, najmä pri zabezpečení, hlásení incidentov a posúdení vplyvov, ak je to vzhľadom na spracúvanie relevantné;
h) po ukončení poskytovania Služby osobné údaje vymaže alebo vráti podľa čl. 10;
i) poskytne informácie potrebné na doloženie súladu a umožní primeranú kontrolu podľa čl. 8.

7. Technické a organizačné opatrenia (čl. 32 GDPR)

minimalizácia a pseudonymizácia už na úrovni napojenia a API; priame identifikátory nie sú potrebné na bežné fungovanie Služby;
cookieless meranie - pri serverových moduloch priamo na serveri e-shopu, pri prenajatých platformách odľahčeným kódom v prehliadači; v oboch prípadoch Trackless na analytiku neukladá do prehliadača návštevníka (vr. localStorage/sessionStorage) vlastné analytické cookies ani obdobné meracie identifikátory a takéto identifikátory z prehliadača ani nečíta;
šifrovaný prenos cez HTTPS a podpis ingest dávok algoritmom HMAC-SHA256 zdieľaným kľúčom;
oddelenie dát jednotlivých Prevádzkovateľov v multi-tenant aplikácii a riadenie prístupov podľa účtov;
obmedzenie prístupu k produkčným dátam na oprávnené osoby a len v nevyhnutnom rozsahu;
monitoring, logovanie, zálohovanie a obnova na zabezpečenie dostupnosti, integrity a odolnosti Služby; prevádzkové, bezpečnostné a diagnostické záznamy môžu v obmedzenom rozsahu obsahovať IP adresu alebo User-Agent (napr. serverové logy alebo interný ingest audit log dostupný administrátorom), sú oddelené od reportných analytických dát a používajú sa na prevádzku, ochranu endpointov, diagnostiku a riešenie incidentov;
spracúvanie v EÚ a neodovzdávanie analytických dát mimo EÚ/EHP podľa čl. 11.

8. Ďalší sprostredkovatelia, zmeny a audit

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov nevyhnutných na prevádzku Služby. Serverovú a databázovú infraštruktúru vrátane prevádzkových záloh poskytuje ako ďalší sprostredkovateľ Hetzner Online GmbH; dáta sú uložené na serveroch v Nemecku v rámci EÚ. Službu a prístupy k Aplikácii naďalej spravuje Sprostredkovateľ pod značkou OpenServis. Prípadných ďalších sprostredkovateľov nevyhnutných na prevádzku (napr. zálohovacie alebo sieťové služby v EÚ) a ich aktuálny zoznam poskytne Sprostredkovateľ Prevádzkovateľovi na žiadosť zaslanú na info@trackless.cz. Voliteľná funkcia AI auditu odosiela agregované dáta do Prevádzkovateľom zvolenej AI služby (napr. OpenAI, Anthropic, Google) na základe jeho pokynu a pod jeho vlastným API kľúčom; ide o samostatné rozhodnutie Prevádzkovateľa mimo štandardného zapojenia ďalšieho sprostredkovateľa Sprostredkovateľom. Prevádzkovateľ zodpovedá za voľbu AI služby, právny základ, zmluvné zabezpečenie voči zvolenej AI službe, prípadné odovzdanie mimo EÚ/EHP a za to, že do funkcie nezadá ani na odoslanie neurčí priame identifikátory osôb ani tak malé alebo špecifické skupiny dát, ktoré by umožnili spätnú identifikáciu; tým nie sú dotknuté povinnosti Sprostredkovateľa pri technickom vykonaní doloženého pokynu Prevádzkovateľa podľa tejto Zmluvy.

Sprostredkovateľ zabezpečí, že ďalší sprostredkovatelia budú viazaní povinnosťami ochrany osobných údajov v rozsahu zodpovedajúcom tejto Zmluve. Ak ďalší sprostredkovateľ neplní svoje povinnosti v oblasti ochrany údajov, zodpovedá Prevádzkovateľovi za plnenie povinností dotknutého ďalšieho sprostredkovateľa aj naďalej v plnom rozsahu Sprostredkovateľ (čl. 28 ods. 4 GDPR). O zamýšľaných podstatných zmenách informuje Prevádzkovateľa e-mailom, v Aplikácii alebo zverejnením na webe a umožní mu vzniesť námietku. Ak sa strany na riešení námietky nedohodnú, môže Prevádzkovateľ ukončiť dotknuté používanie Služby.

Sprostredkovateľ poskytne Prevádzkovateľovi na žiadosť informácie potrebné na doloženie súladu a umožní primeraný audit spravidla najviac raz ročne; nad tento rámec aj v prípade dôvodného podozrenia na bezpečnostný incident týkajúci sa dát Prevádzkovateľa, dôvodného podozrenia na porušenie tejto Zmluvy v oblasti ochrany osobných údajov alebo na základe doloženej žiadosti dozorného úradu. Audit prebieha po predchádzajúcom oznámení aspoň 14 dní vopred (okrem prípadu, keď kratšiu lehotu odôvodňuje bezpečnostný incident alebo požiadavka dozorného úradu), v bežnom pracovnom čase a spôsobom, ktorý nenaruší prevádzku Služby, bezpečnosť ani ochranu dát iných prevádzkovateľov. Náklady rozsiahlejšieho auditu hradí Prevádzkovateľ, ak sa strany nedohodnú inak.

9. Súčinnosť a porušenie zabezpečenia

Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb, najmä exportom, dohľadaním alebo výmazom dát podľa dostupných pseudonymných identifikátorov. Keďže Služba bežne nepracuje s priamymi identifikátormi osôb, niektoré žiadosti môžu byť možné len so súčinnosťou Prevádzkovateľa.

Hneď ako Sprostredkovateľ zistí porušenie zabezpečenia osobných údajov týkajúce sa dát Prevádzkovateľa, oznámi ho Prevádzkovateľovi bez zbytočného odkladu. Oznámenie bude obsahovať informácie dostupné Sprostredkovateľovi v danom okamihu, najmä povahu incidentu, dotknuté dáta, pravdepodobné dopady a prijaté alebo navrhované opatrenia; ak nie sú všetky informácie dostupné naraz, môžu byť poskytované postupne bez ďalšieho zbytočného odkladu.

10. Ukončenie, export a výmaz

Po ukončení poskytovania Služby Sprostredkovateľ podľa voľby Prevádzkovateľa osobné údaje vráti formou dostupného exportu alebo ich vymaže, spravidla do 30 dní od ukončenia, ak tomu nebráni právna povinnosť alebo oprávnená potreba ochrany práv. Prevádzkové zálohy môžu obsahovať kópie dát po dobu potrebnú na obnovu, spravidla najviac 14 dní, a potom sú prepísané.

Ukončenie tejto Zmluvy sa nedotýka spracúvania údajov, pri ktorých Sprostredkovateľ (ako Poskytovateľ podľa obchodných podmienok služby Trackless.cz) vystupuje ako samostatný prevádzkovateľ, najmä fakturačných, účtovných, zmluvných a bezpečnostných záznamov vedených k účtu Prevádzkovateľa.

11. Miesto spracúvania a prenos do tretích krajín

Osobné údaje odosielané do Aplikácie sú spracúvané v rámci Európskej únie. Sprostredkovateľ neodovzdáva analytické dáta mimo EÚ/EHP, pokiaľ na to nedostane doložený pokyn Prevádzkovateľa alebo ak to nevyžaduje právny predpis; v takom prípade sa použijú zodpovedajúce mechanizmy podľa GDPR.

12. Zodpovednosť a záverečné ustanovenia

Zmluva sa riadi právnym poriadkom Českej republiky a GDPR.
V otázkach neupravených touto Zmluvou sa použijú obchodné podmienky služby Trackless.cz.
Sprostredkovateľ môže Zmluvu primerane meniť pri zmene Služby, právnych predpisov, bezpečnostných požiadaviek alebo technickej prevádzky; o podstatných zmenách informuje Prevádzkovateľa primeraným spôsobom.
Verzia 1.3, účinná od 1. 7. 2026; revízia 3. 7. 2026 (upresnenia bez vecného zhoršenia práv Prevádzkovateľa).

Obchodné podmienky · ← Späť na úvod