Zmluva o spracúvaní osobných údajov (DPA)
Táto Zmluva o spracúvaní osobných údajov („DPA“) tvorí súčasť zmluvy medzi zákazníckou organizáciou („Prevádzkovateľ“) a spoločnosťou Alusia s.r.o. („Sprostredkovateľ“) a upravuje spracúvanie osobných údajov obsiahnutých v zákazníckom obsahu podľa čl. 28 GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov.
1. Zmluvné strany a role
Prevádzkovateľom je zákaznícka organizácia, ktorá do Služby nahráva dokumenty. Sprostredkovateľom je Alusia s.r.o., sídlo [TO BE COMPLETED], IČO [TO BE COMPLETED], zapísaná v Obchodnom registri [TO BE COMPLETED]. O účeloch a prostriedkoch spracúvania osobných údajov v zákazníckom obsahu rozhoduje zákazník; Alusia ich spracúva výlučne v jeho mene.
2. Predmet a doba spracúvania
Predmetom je spracúvanie osobných údajov obsiahnutých v dokumentoch, ktoré Prevádzkovateľ nahrá do Služby, a v otázkach kladených nad nimi. Spracúvanie trvá počas trvania zmluvy o poskytovaní Služby a končí vymazaním alebo vrátením zákazníckeho obsahu podľa bodu 12.
3. Povaha a účel spracúvania
Spracúvanie zahŕňa uloženie, extrakciu textu, indexovanie (kľúčové slová aj vektory), vyhľadávanie, generovanie odpovedí s citáciami pomocou AI, zobrazovanie oprávneným členom, zálohovanie a vymazanie - výlučne na poskytovanie služby dokumentovej inteligencie. Zákaznícky obsah sa nikdy nepoužíva na trénovanie modelov strojového učenia.
4. Typy osobných údajov a kategórie dotknutých osôb
O obsahu dokumentov rozhoduje Prevádzkovateľ. Typicky ide o identifikačné a kontaktné údaje, profesijné údaje a zmluvné údaje zamestnancov, klientov, dodávateľov a ďalších osôb uvedených v obchodných dokumentoch. Služba nie je určená na osobitné kategórie údajov podľa čl. 9 GDPR; ak ich Prevádzkovateľ nahrá, zodpovedá za právny základ. Dotknutými osobami sú osoby uvedené v nahratých dokumentoch a používatelia pracovného priestoru Prevádzkovateľa.
5. Zdokumentované pokyny
Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa - udelených prostredníctvom ovládacích prvkov Služby (nahratie, organizácia, otázky, zdieľanie, export, vymazanie) a zmluvy - a to aj pri prenosoch do tretích krajín, s výnimkou spracúvania vyžadovaného právom EÚ alebo členského štátu; v takom prípade Prevádzkovateľa vopred informuje, ak to právo nezakazuje. Ak sa Sprostredkovateľ domnieva, že pokyn porušuje predpisy o ochrane údajov, bezodkladne to Prevádzkovateľovi oznámi.
6. Mlčanlivosť
Sprostredkovateľ zabezpečuje, aby každá osoba oprávnená spracúvať osobné údaje bola viazaná zmluvnou alebo zákonnou mlčanlivosťou. Prístup personálu Sprostredkovateľa k zákazníckemu obsahu je obmedzený na to, čo vyžaduje prevádzka, zabezpečenie alebo podpora Služby, a administratívny prístup sa zaznamenáva.
7. Bezpečnosť spracúvania (čl. 32)
S prihliadnutím na stav techniky a riziká Sprostredkovateľ zavádza a udržiava: šifrovanie počas prenosu aj v pokoji; izoláciu organizácií vynucovanú bezpečnosťou na úrovni databázových riadkov a opätovne overovanú pri vyhľadávaní pred akýmkoľvek AI spracovaním; riadenie prístupu podľa rolí a oprávnení na úrovni kolekcií; prihlasovacie údaje a API kľúče výhradne na strane servera; audit administratívnych akcií; obmedzovanie počtu požiadaviek; oddelenie prostredí; a zdokumentované postupy zálohovania a obnovy.
8. Subdodávatelia (ďalší sprostredkovatelia)
Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie subdodávateľov uvedených na stránke Zoznam sprostredkovateľov, ktorá pri každom uvádza účel a miesto spracúvania. Sprostredkovateľ ukladá každému subdodávateľovi povinnosti ochrany údajov najmenej rovnako prísne ako táto DPA a za ich plnenie zostáva plne zodpovedný. Zamýšľané doplnenia alebo zmeny oznamuje vopred; Prevádzkovateľ môže do 30 dní namietať z odôvodnených dôvodov ochrany údajov a ak sa nenájde riešenie, môže dotknutú službu vypovedať.
9. Medzinárodné prenosy
Zákaznícky obsah je v pokoji uložený v Európskej únii (Frankfurt, Nemecko). AI odpovede a výpočet embeddingov na štandardných plánoch vykonáva OpenAI a môžu zahŕňať spracúvanie mimo EÚ/EHP; takéto prenosy sú chránené štandardnými zmluvnými doložkami Európskej komisie a tam, kde sa uplatňuje, rámcom EU-US Data Privacy Framework, pričom API podmienky OpenAI zakazujú použitie údajov na trénovanie modelov. Spracúvanie AI výhradne v regióne EÚ je dostupné ako konfigurácia plánu Enterprise. Iný pravidelný prenos zákazníckeho obsahu mimo EÚ sa neuskutočňuje.
10. Súčinnosť Prevádzkovateľovi
S prihliadnutím na povahu spracúvania Sprostredkovateľ pomáha Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka) - predovšetkým prostredníctvom vstavaného vyhľadávania, exportu a mazania v Službe - a so zreteľom na informácie, ktoré má k dispozícii, pri plnení povinností podľa čl. 32 až 36 GDPR. Porušenie ochrany osobných údajov týkajúce sa zákazníckeho obsahu oznámi Prevádzkovateľovi bez zbytočného odkladu po tom, čo sa o ňom dozvie, s informáciami podľa čl. 33 ods. 3 tak, ako budú dostupné.
11. Audit a informácie
Sprostredkovateľ sprístupňuje informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožňuje audity vrátane inšpekcií vykonávaných Prevádzkovateľom alebo ním povereným audítorom a prispieva k nim - po primeranom predchádzajúcom oznámení, najviac raz ročne, ak nedošlo k porušeniu ochrany údajov, počas pracovných hodín, bez prístupu k údajom iných zákazníkov a pod mlčanlivosťou. Bežné žiadosti o informácie pokrýva aktuálna bezpečnostná dokumentácia a stránka Bezpečnosť.
12. Vymazanie, vrátenie a záverečné ustanovenia
Po skončení zmluvy o poskytovaní Služby si Prevádzkovateľ môže zákaznícky obsah exportovať; po dohodnutej retenčnej lehote (30 dní, ak nie je dohodnuté inak) Sprostredkovateľ zákaznícky obsah vymaže z dokumentov, indexov, embeddingov, konverzácií, citácií aj úložiska, pokiaľ právo EÚ alebo členského štátu nevyžaduje ďalšie uchovávanie. Táto DPA sa spravuje slovenským právom. Dozorným orgánom je Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho 16130/7B, 821 04 Bratislava, statny.dozor@pdp.gov.sk. Kontakt pre ochranu údajov: privacy@alusia.net.
Otázky k týmto dokumentom nám môžete poslať cez kontaktnú stránku, kým sa pripravuje vyhradená právna adresa. alusia.net/sk/kontakt