Zmluva o spracúvaní osobných údajov

Prevádzkovateľ: klient (názov, sídlo, IČO, zástupca)
Sprostredkovateľ: Digimania, s.r.o., Záhrebská 4, 811 05 Bratislava, IČO 35 943 556

Čl. 1 Predmet

1. Sprostredkovateľ prevádzkuje pre prevádzkovateľa AI službu podľa objednaného balíka (chatbot na webe alebo aplikácia) a pri tom spracúva osobné údaje v mene prevádzkovateľa.
2. Účel: odpovedanie návštevníkom webu alebo používateľom aplikácie, uchovanie rozhovorov na zlepšenie odpovedí, prijatie a doručenie kontaktu záujemcu, ktorý dal súhlas, a funkcie aplikácie dohodnuté v zmluve.
3. Dotknuté osoby: návštevníci webu prevádzkovateľa, záujemcovia, používatelia administrácie a aplikácie, osoby v dátach, ktoré prevádzkovateľ do aplikácie vloží.
4. Kategórie údajov: text rozhovoru (môže obsahovať údaje, ktoré návštevník sám napíše), meno, priezvisko, e-mail, telefón, údaje o súhlase, jednosmerný odtlačok IP adresy, prihlasovacie údaje používateľov, údaje v aplikácii podľa zmluvy.
5. Doba: počas trvania služby. Rozhovory sa uchovávajú 90 dní (pri citlivejších službách kratšie), kópia kontaktov záujemcov 90 dní po doručení prevádzkovateľovi, ak sa strany nedohodnú inak.

Čl. 2 Povinnosti sprostredkovateľa

1. Spracúva údaje len na základe zdokumentovaných pokynov prevádzkovateľa. Pokynom je aj nastavenie služby v administrácii.
2. Zabezpečí, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti.
3. Prijme opatrenia podľa čl. 32 GDPR uvedené v prílohe č. 1.
4. Nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho všeobecného písomného povolenia. Prevádzkovateľ povoľuje sprostredkovateľov v prílohe č. 2. O zmene sprostredkovateľ informuje aspoň 14 dní vopred a prevádzkovateľ môže namietať.
5. Pomáha prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb (prístup, výmaz, prenosnosť) a pri povinnostiach podľa čl. 32 až 36 GDPR.
6. Porušenie ochrany osobných údajov oznámi prevádzkovateľovi bez zbytočného odkladu, najneskôr do 24 hodín od zistenia.
7. Po skončení zmluvy údaje podľa rozhodnutia prevádzkovateľa vráti (export) alebo vymaže vrátane záloh do 30 dní, ak právo neukladá ich uchovanie.
8. Poskytne informácie potrebné na preukázanie plnenia povinností a umožní audit po predchádzajúcom oznámení.
9. Údaje ukladá a spracúva na svojom serveri v Bratislave a zálohy uchováva na Slovensku. Údaje neodovzdáva žiadnej externej AI službe.

Čl. 3 Povinnosti prevádzkovateľa

1. Zodpovedá za zákonnosť spracúvania, za informovanie dotknutých osôb (zásady ochrany osobných údajov na svojom webe) a za obsah, z ktorého služba odpovedá.
2. Nastaví odkaz na svoje zásady ochrany osobných údajov a e-mail na doručovanie kontaktov.
3. Zodpovedá za používateľov, ktorým pridelí prístup, a za bezpečnosť ich prihlasovacích údajov.

Príloha č. 1 - technické a organizačné opatrenia

• šifrovaný prenos (HTTPS/TLS), server nemá otvorené verejné porty (pripojenie cez Cloudflare Tunnel)
• logické oddelenie údajov jednotlivých prevádzkovateľov, každý vidí len svoje údaje
• prihlásenie e-mailom a heslom (hašované PBKDF2-SHA256), roly, obmedzenie pokusov o prihlásenie, voliteľné dvojfaktorové overenie
• ochrana proti CSRF, Content Security Policy, obmedzenie počtu správ, chat prístupný len z domén prevádzkovateľa
• minimalizácia: rozhovory bez IP adries, automatické maskovanie e-mailov, telefónov, IBAN a rodných čísel pred uložením, hlas sa neukladá
• automatické mazanie po uplynutí doby uchovania, denné zálohy s históriou 14 dní uložené na Slovensku
• záznam zmien v administrácii, jazykový model beží na serveri sprostredkovateľa bez odosielania údajov tretím stranám
• dohľad nad dostupnosťou a automatický reštart služby po výpadku

Príloha č. 2 - ďalší sprostredkovatelia