Zmluva o spracúvaní osobných údajov

Sprostredkovateľ spracúva osobné údaje obsiahnuté v podkladoch a dátach klienta na účel poskytovania služby (privátna firemná AI). Spracúvanie trvá počas platnosti zmluvy o poskytovaní služby a končí sa podľa článku 8.

Povaha a účel spracúvania, kategórie dotknutých osôb a kategórie osobných údajov sú vymedzené v Prílohe A. Pri konkrétnom klientovi sa Príloha A spresní podľa reálneho rozsahu napojených podkladov.

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, vrátane pokynov týkajúcich sa prenosov do tretích krajín, ak mu spracúvanie neukladá právo EÚ alebo právo členského štátu; v takom prípade o tejto povinnosti prevádzkovateľa informuje.

Sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov.

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.

Sprostredkovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR na zaistenie úrovne bezpečnosti primeranej riziku. Prehľad opatrení je v Prílohe B. Kľúčovým opatrením je logická izolácia dát každého klienta v samostatnom prostredí a prístup výlučne pre oprávnených používateľov klienta.

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov uvedených v Prílohe C. Sprostredkovateľ im zmluvne uloží rovnaké povinnosti ochrany údajov, aké má podľa tejto DPA, a zostáva voči prevádzkovateľovi zodpovedný za ich plnenie.

O zamýšľanej zmene v zozname ďalších sprostredkovateľov (pridanie alebo nahradenie) informuje sprostredkovateľ prevádzkovateľa vopred, e-mailom na kontaktnú adresu prevádzkovateľa najmenej 30 dní pred zavedením zmeny, a umožní mu voči zmene v tejto lehote namietať. Aktuálny zoznam ďalších sprostredkovateľov je uvedený v Prílohe C.

Osobné údaje sú uložené v EÚ/EHP. Pri generovaní odpovedí jazykovým modelom (Azure OpenAI Service) môže spracúvanie požiadaviek prebiehať na globálnej infraštruktúre Microsoft Azure aj mimo EÚ/EHP; takýto prenos je zabezpečený primeranými zárukami podľa kapitoly V GDPR (štandardné zmluvné doložky a podmienky spracúvania údajov spoločnosti Microsoft).

Sprostredkovateľ je prevádzkovateľovi nápomocný pri plnení jeho povinností, najmä pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, namietanie), pri posúdení vplyvu na ochranu údajov a pri zabezpečení bezpečnosti spracúvania, a to primeranými technickými a organizačnými opatreniami s prihliadnutím na povahu spracúvania.

Oznamovanie porušení: sprostredkovateľ po tom, ako sa dozvie o porušení ochrany osobných údajov, oznámi porušenie prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia porušenia, a poskytne mu súčinnosť a informácie potrebné na splnenie jeho oznamovacích povinností.

Po ukončení poskytovania služby sprostredkovateľ podľa rozhodnutia prevádzkovateľa osobné údaje vymaže alebo vráti a vymaže existujúce kópie, ak právo EÚ alebo právo členského štátu nevyžaduje ich uchovanie. Výmaz sa vykoná bez zbytočného odkladu, spravidla do 30 dní od skončenia zmluvy.

Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity vrátane kontrol vykonávaných prevádzkovateľom alebo ním povereným audítorom. Audity sa uskutočňujú po predchádzajúcej primeranej dohode, počas pracovného času a tak, aby neprimerane nezasahovali do prevádzky.

Zodpovednosť zmluvných strán sa riadi GDPR a zmluvou o poskytovaní služby vrátane obmedzení zodpovednosti v nej dohodnutých, v rozsahu, ktorý pripúšťajú predpisy o ochrane osobných údajov.