Zpracovatelská smlouva (DPA)

Vy = správce osobních údajů (zaměstnanců, zákazníků a obchodních kontaktů, které do agentu pošlete nebo která jsou v napojených systémech). cdoagent.ai (provozovatel Dan Burian, IČO 03537099, DIČ CZ8905214076) = zpracovatel.

Předmět: poskytování AI agenta pro e-commerce delivery, fulfillment, returns, supply chain - včetně volitelného napojení na zdrojové systémy (Shopify, ERP, monitoring atd.).
Povaha: čtení a kešování dat z vámi povolených zdrojů; uchovávání zpráv s agentem; generování odpovědí přes Anthropic API; ukládání do vašeho privátního Postgres schématu `tenant_<id>`.
Účel: výhradně poskytnutí služby vám; nikdy ne sekundární účel jako trénink modelů, profilování nebo prodej dat.

Po dobu trvání smlouvy + max. 90 dní pro rollback; pak data smažeme. Stisknutím "Smazat všechna data" v účtu trvá smazání včetně `DROP SCHEMA tenant_<id> CASCADE` do 60 sekund. Účetní záznamy (`credit_transactions`, fakturace) zůstávají dle českého zákona o účetnictví 10 let, ale jsou anonymizované.

Subjekty: vaši zaměstnanci (admin signing up + uživatelé v týmu), zákazníci v napojených systémech (jména, e-maily, adresy v objednávkách), business kontakty v dokumentech, které pošlete.
Kategorie dat: identifikační, kontaktní, transakční (objednávky, platby - pokud připojíte e-shop), provozní (logy, telemetrie). Žádné zvláštní kategorie podle čl. 9 GDPR (zdravotní, biometrie, atd.) - pokud byste je posílali, kontaktujte nás předem.

Smluvně se zavazujeme nikdy nezapisovat zpět do vašich zdrojových systémů. Toto omezení je vynuceno třemi vrstvami:
1. TypeScript typy: HTTP volání mají typ `'GET' | 'HEAD'` literal - non-GET nezkompiluje.
2. Database CHECK constraint: `connections.scopes` přes trigger zamítá `write_*`/`manage_*`/`modify_*`/`admin`.
3. Runtime guard + CI test: každý fetch v connector kódu prochází `connectorHttp`, který runtime ověří metodu a loguje porušení do `connector_runs.status = 'invariant_violation'`. CI grep gate selže buildu, pokud někdo přidá literální `'POST'`/`'PUT'`/`'DELETE'` mimo `http.ts`.

Pokud najdete v našem kódu jediný `INSERT`/`UPDATE`/`DELETE`/`POST` zpět do vašeho systému, máte právo na roční předplatné zdarma + odpovědnost dle čl. 82 GDPR.

Aktuální sub-procesoři (3. května 2026):

| Subjekt | Účel | Oblast | SCC |
|---|---|---|---|
| Anthropic, PBC | LLM inference (Claude API) | USA | EU SCC modul 2 + "no training on customer data" v MSA |
| Google LLC | Google Workspace pro produkční mailbox `[email protected]` (support korespondence) | EU servery | EU SCC + Workspace DPA |
| DigitalOcean LLC | Hosting + Postgres | EU region (Frankfurt) | EU SCC |

Změnu sub-procesora oznámíme min. 30 dní předem na admin e-mail. Můžete vznést námitku; pokud ji nevyřešíme do 30 dnů, máte právo smlouvu vypovědět bez sankce.

• Šifrování při přenosu: TLS 1.2+ globálně.
• Šifrování v klidu: DigitalOcean disková AES-256.
• Šifrování přihlašovacích údajů konektorů: pgcrypto symmetric s klíčem v env mimo DB.
• MCP API klíče: SHA-256 hash, plaintext zobrazen jen při generaci.
• Hesla uživatelů: scrypt hash (`users.password_hash`); plaintext nikdy.
• Rate limiting per IP + per company (5/h pro login a signup).
• Cross-tenant izolace: privátní Postgres schéma `tenant_<id>` s `SET search_path` per session.
• Audit log: tabulka `connector_runs`, immutable, exportovatelná do CSV.
• Incident response: oznámení do 72 h od zjištění porušení (čl. 33).
• Backup: 7-denní snapshoty na DO, 1× ročně restore drill.

• Audit / kontrola: 1× ročně po předchozí dohodě (min. 14 dní); my poskytneme dokumentaci, security review, audit log export. Frequentnější audit hradí žadatel.
• Export dat: konverzace, dokumenty, audit log → CSV/JSON kdykoliv.
• Erasure (čl. 17): `/account → Smazat všechna data` (60 s) nebo na vyžádání e-mailem (do 30 dnů).
• Subject access requests od vašich subjektů: my pomáháme dle čl. 28(3)(e) - předáme vám relevantní záznamy do 14 dnů.
• Subject deletion requests: agent může smazat konkrétní záznam v `tenant_<id>` - kontaktujte nás se Subject ID.
• Notifikace porušení (čl. 33): do 72 h od našeho zjištění.

Anthropic, Google a DigitalOcean (corporate) jsou v USA. Předávání pokryto EU Standard Contractual Clauses modulem 2 (controller-to-processor, decision (EU) 2021/914) + supplementary measures (šifrování v transitu, no-training u Anthropicu, audit logy).

Naši zaměstnanci a kontraktoři jsou zavázáni mlčenlivostí (NDA / pracovní smlouva). Přístup k zákaznickým datům omezen na need-to-know.

Tato online DPA je platná od momentu akceptace nástrojem `accept_dpa` v agentu (eviduje se v `companies.metadata.dpa_accepted_at`). Pokud potřebujete podepsanou PDF verzi pro vašeho compliance officera, vyžádejte si ji na [email protected] - vystavíme do 5 pracovních dnů.