Zmluva o spracúvaní osobných údajov

Podľa čl. 28 GDPR · Účinné od: 12. októbra 2026

Táto zmluva o spracúvaní osobných údajov (ďalej len „DPA“) upravuje spracúvanie osobných údajov, ktoré klient (prevádzkovateľ) sprístupní v rámci služby KwargsAI, spoločnosťou Kwargs, s. r. o., IČO: 48136484, so sídlom Tallerova 2/4, 811 02 Bratislava, mestská časť Staré Mesto (ďalej len „sprostredkovateľ“ alebo „KwargsAI“). DPA je súčasťou zmluvy o poskytovaní služby a nadväzuje na Všeobecné obchodné podmienky.

Prevádzkovateľom je klient, ktorý určuje účel a prostriedky spracúvania. KwargsAI spracúva osobné údaje výlučne v mene klienta a na základe jeho pokynov.

1. Predmet a trvanie spracúvania

Sprostredkovateľ spracúva osobné údaje obsiahnuté v podkladoch a dátach klienta na účel poskytovania služby (privátna firemná AI). Spracúvanie trvá počas platnosti zmluvy o poskytovaní služby a končí sa podľa článku 8.

Povaha a účel spracúvania, kategórie dotknutých osôb a kategórie osobných údajov sú vymedzené v Prílohe A. Pri konkrétnom klientovi sa Príloha A spresní podľa reálneho rozsahu napojených podkladov.

2. Pokyny prevádzkovateľa

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov prevádzkovateľa, vrátane pokynov týkajúcich sa prenosov do tretích krajín, ak mu spracúvanie neukladá právo EÚ alebo právo členského štátu; v takom prípade o tejto povinnosti prevádzkovateľa informuje.

Sprostredkovateľ bezodkladne informuje prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov.

3. Dôvernosť

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.

4. Bezpečnosť spracúvania

Sprostredkovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR na zaistenie úrovne bezpečnosti primeranej riziku. Prehľad opatrení je v Prílohe B. Kľúčovým opatrením je logická izolácia dát každého klienta v samostatnom prostredí a prístup výlučne pre oprávnených používateľov klienta.

5. Ďalší sprostredkovatelia (sub-spracovatelia)

Prevádzkovateľ udeľuje sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov uvedených v Prílohe C. Sprostredkovateľ im zmluvne uloží rovnaké povinnosti ochrany údajov, aké má podľa tejto DPA, a zostáva voči prevádzkovateľovi zodpovedný za ich plnenie.

O zamýšľanej zmene v zozname ďalších sprostredkovateľov (pridanie alebo nahradenie) informuje sprostredkovateľ prevádzkovateľa vopred, e-mailom na kontaktnú adresu prevádzkovateľa najmenej 30 dní pred zavedením zmeny, a umožní mu voči zmene v tejto lehote namietať. Aktuálny zoznam ďalších sprostredkovateľov je uvedený v Prílohe C.

6. Prenos do tretích krajín

Osobné údaje sú uložené a spracúvané v EÚ/EHP, s výnimkou uvedenou nižšie pre doručovanie e-mailov. Jazykový model (Azure OpenAI Service) je nasadený ako Data Zone (EÚ), takže spracúvanie požiadaviek, teda promptov aj odpovedí, prebieha v rámci EÚ/EHP, na základe podmienok spracúvania údajov spoločnosti Microsoft (Data Protection Addendum). Prepis hlasu na text (diktovanie) zabezpečuje podľa nastavenia služby buď ten istý jazykový model za rovnakých podmienok, alebo služba Azure AI Speech; prevod textu odpovede na reč (čítanie odpovede nahlas) zabezpečuje služba Azure AI Speech. Tá je nasadená v regióne EÚ a spracúva údaje len v tomto regióne. Ak má prevádzkovateľ zapnuté odosielanie e-mailov, systémové e-maily služby (pozvánky, obnovenie hesla) doručuje Mailgun Technologies, Inc. z dátového centra v EÚ; keďže ide o spoločnosť so sídlom v USA, prípadný prístup z tretej krajiny je zabezpečený štandardnými zmluvnými doložkami (SCC) a rámcom EU-US Data Privacy Framework. Iný prenos osobných údajov do tretích krajín mimo EÚ/EHP sa v rámci služby nevykonáva.

7. Pomoc prevádzkovateľovi

Sprostredkovateľ je prevádzkovateľovi nápomocný pri plnení jeho povinností, najmä pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, namietanie), pri posúdení vplyvu na ochranu údajov a pri zabezpečení bezpečnosti spracúvania, a to primeranými technickými a organizačnými opatreniami s prihliadnutím na povahu spracúvania.

Oznamovanie porušení: sprostredkovateľ po tom, ako sa dozvie o porušení ochrany osobných údajov, oznámi porušenie prevádzkovateľovi bez zbytočného odkladu, najneskôr do 48 hodín od zistenia porušenia, a poskytne mu súčinnosť a informácie potrebné na splnenie jeho oznamovacích povinností.

8. Výmaz alebo vrátenie údajov

Po ukončení poskytovania služby sprostredkovateľ podľa rozhodnutia prevádzkovateľa osobné údaje vymaže alebo vráti a vymaže existujúce kópie, ak právo EÚ alebo právo členského štátu nevyžaduje ich uchovanie. Výmaz sa vykoná bez zbytočného odkladu, spravidla do 30 dní od skončenia zmluvy.

Výmaz zahŕňa celé prostredie klienta: dokumenty, vyhľadávací index, konverzácie, účty používateľov a záznamy. Kópie v zálohách zaniknú v rámci bežného cyklu zálohovania, najneskôr do 30 dní od výmazu prostredia. Sprostredkovateľ výmaz prevádzkovateľovi na požiadanie písomne potvrdí.

9. Audit a preukázanie súladu

Sprostredkovateľ poskytne prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity vrátane kontrol vykonávaných prevádzkovateľom alebo ním povereným audítorom. Audity sa uskutočňujú po predchádzajúcej primeranej dohode, počas pracovného času a tak, aby neprimerane nezasahovali do prevádzky.

10. Zodpovednosť

Zodpovednosť zmluvných strán sa riadi GDPR a zmluvou o poskytovaní služby vrátane obmedzení zodpovednosti v nej dohodnutých, v rozsahu, ktorý pripúšťajú predpisy o ochrane osobných údajov.

Príloha A: Opis spracúvania

Predmet: spracúvanie osobných údajov obsiahnutých v podkladoch a dátach klienta v rámci služby KwargsAI.
Účel: poskytovanie odpovedí a vyhľadávania nad podkladmi klienta pre jeho oprávnených používateľov.
Povaha a operácie: ukladanie, načítavanie zo zdrojov, ktoré klient na službu napojil (konektory), indexovanie, vyhľadávanie, sprístupnenie oprávneným používateľom, generovanie odpovedí, výpočty z tabuliek a tvorba súborov z podkladov klienta, prepis hlasu na text (ak používateľ diktuje otázku), prevod textu odpovede na reč (ak si používateľ dá odpoveď prečítať nahlas), zálohovanie, výmaz.
Trvanie: počas platnosti zmluvy o poskytovaní služby.
Kategórie dotknutých osôb: používatelia služby (zamestnanci a spolupracovníci klienta, ktorým klient vytvoril účet) a osoby uvedené v obsahu klienta, spravidla zamestnanci, zákazníci, dodávatelia a obchodní partneri klienta.
Kategórie osobných údajov: podľa obsahu klienta, spravidla identifikačné a kontaktné údaje a údaje obsiahnuté v dokumentoch klienta. Klient je zodpovedný za rozhodnutie, aké údaje do služby sprístupní; osobitné kategórie údajov (čl. 9 GDPR) by mal sprístupňovať len s primeranými zárukami.
Údaje používateľov služby: meno, e-mailová adresa, pozícia, zaradenie do tímov a rola; prihlasovacie údaje (heslo len vo forme odtlačku, nastavenie dvojstupňového overenia); otázky, odpovede a história konverzácií; údaje, ktoré si používateľ uloží do svojho profilu a pamäte (ak ju má klient zapnutú); nahrané a vytvorené súbory; štatistiky využívania služby podľa používateľa, tímu a asistenta; záznamy v Audit Logs vrátane času a IP adresy prihlásenia; pri prihlásení z mobilnej aplikácie názov zariadenia, platforma, verzia aplikácie a čas posledného použitia.
Hlasový záznam pri diktovaní: ak používateľ otázku nadiktuje, krátky záznam jeho hlasu (najviac 1 minúta) sa spracuje výlučne na prepis do textu. Záznam sa neukladá a nepoužíva sa na identifikáciu ani overenie totožnosti osoby; uchová sa len prepísaný text, ktorý používateľ odošle ako otázku.

Príloha B: Technické a organizačné opatrenia

Samostatné prostredie pre každého klienta: vlastný server, databáza a vyhľadávací index, bez zdieľania dát s inými klientmi.
Riadenie prístupu: prístup k údajom klienta majú len oprávnení používatelia klienta a nevyhnutne poverené osoby poskytovateľa. Oprávnenie používateľa k priečinkom a asistentom sa overuje pri každej otázke a pri každom otvorení dokumentu.
Prihlasovanie: heslá uložené len vo forme odtlačku, voliteľné dvojstupňové overenie (povinné pre poverené osoby poskytovateľa), prihlásenie firemným kontom (SSO) podľa plánu, jednorazové odkazy na nastavenie hesla, deaktivácia účtov.
Mobilná aplikácia (ak ju má klient povolenú): komunikuje len šifrovane a výlučne s prostredím klienta; prihlásenie telefónu je časovo obmedzené, používateľ ho môže kedykoľvek zrušiť a deaktivácia účtu alebo zmena hesla ho ukončí; prihlasovací token je uložený v zabezpečenom úložisku systému telefónu; konverzácie sa do telefónu neukladajú a dočasne stiahnuté dokumenty sa mažú pri odhlásení a pri spustení aplikácie; voliteľný zámok aplikácie biometriou telefónu. Klient môže prístup z mobilnej aplikácie pre svoje prostredie vypnúť.
Šifrovanie prenosu (TLS).
Vedenie záznamov o zmenách prístupov, asistentov, priečinkov a dokumentov a o prihláseniach (Audit Logs), uchovávaných štandardne 60 dní.
Kód, ktorý služba spúšťa pri výpočtoch a tvorbe súborov, beží v izolovanom prostredí bez prístupu na internet a k iným častiam systému.
Zásada najmenších oprávnení a mlčanlivosť poverených osôb.
Denné zálohovanie dát prostredia a postupy obnovy.
Pravidelné aktualizácie služby a jej komponentov.
Postupy pre riešenie a oznamovanie bezpečnostných incidentov.

Príloha C: Zoznam ďalších sprostredkovateľov

Poskytovateľ jazykového modelu (AI): Microsoft Ireland Operations Limited (Azure OpenAI Service). Model je nasadený ako Data Zone (EÚ); údaje sú uložené a spracúvané v EÚ/EHP, a to na základe podmienok spracúvania údajov spoločnosti Microsoft (Data Protection Addendum). Účel: generovanie odpovedí nad podkladmi klienta a, podľa nastavenia služby, prepis hlasového záznamu používateľa na text otázky (diktovanie). Poskytovateľ modelu nepoužíva obsah klienta na trénovanie modelov. Na účely odhaľovania zneužitia služby môže požiadavky a odpovede uchovávať najviac 30 dní, a to v rámci EÚ/EHP.
Poskytovateľ prepisu a syntézy reči (diktovanie, čítanie odpovede nahlas): Microsoft Ireland Operations Limited (Azure AI Speech). Služba je nasadená v regióne EÚ a údaje spracúva len v tomto regióne, na základe podmienok spracúvania údajov spoločnosti Microsoft (Data Protection Addendum). Účel: prepis hlasového záznamu používateľa na text otázky (ak ho nezabezpečuje jazykový model) a prevod textu odpovede na reč. Záznam ani text odpovede sa po spracovaní neuchováva a nepoužíva sa na trénovanie modelov. Využíva sa len vtedy, keď má klient diktovanie alebo čítanie nahlas zapnuté.
Doručovanie e-mailov: Mailgun Technologies, Inc. (USA), služba nasadená v regióne EÚ, na základe zmluvy o spracúvaní údajov so štandardnými zmluvnými doložkami (SCC) a rámca EU-US Data Privacy Framework. Účel: doručenie systémových e-mailov používateľom (pozvánka, odkaz na nastavenie alebo obnovenie hesla). Spracúva e-mailovú adresu, meno a obsah správy; sledovanie otvorení a kliknutí je vypnuté. Využíva sa len vtedy, keď má klient odosielanie e-mailov zapnuté.
Poskytovateľ hostingu (infraštruktúra): Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemecko. Prostredie a databázu služby prevádzkuje Kwargs, s. r. o. na serveroch spoločnosti Hetzner v dátových centrách v EÚ/EHP, na základe uzavretej zmluvy o spracúvaní údajov (Auftragsverarbeitungsvertrag). Účel: poskytovanie serverovej a databázovej infraštruktúry služby.

Zoznam sa pri konkrétnom klientovi spresní podľa nasadenej konfigurácie.

Mobilnú aplikáciu KwargsAI distribuujú obchody App Store (Apple) a Google Play (Google). Obsah klienta ani údaje z prostredia klienta sa im neposkytujú, preto nie sú ďalšími sprostredkovateľmi podľa tejto DPA. Aplikácia nepoužíva analytické ani sledovacie nástroje tretích strán.

Kontakt

Vo veciach tejto DPA nás kontaktujte na info@kwargs.sk, +421 917 576 462.