Zmluva o spracúvaní osobných údajov

1. Predmet

Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa v rozsahu nevyhnutnom na poskytovanie služby Baaito podľa zmluvy.

2. Trvanie

Táto DPA sa uplatňuje počas trvania zmluvy a po celý čas, počas ktorého Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa, vrátane obdobia na export a vymazanie podľa oddielu 12.

3. Povaha a účel spracúvania

Spracúvanie zahŕňa uchovávanie, usporadúvanie, vyhľadávanie, prenos do povolených služieb a vymazávanie osobných údajov na účely prípravy dokumentov, konverzácií s asistentom Baaito a vyhľadávania v zdrojoch poskytnutých Prevádzkovateľom.

4. Kategórie údajov a dotknutých osôb

• Dotknuté osoby: používatelia Prevádzkovateľa; osoby uvedené v dokumentoch a zdrojoch Prevádzkovateľa.
• Kategórie údajov: identifikačné a kontaktné údaje, údaje o organizačnom zaradení a rolách a akékoľvek osobné údaje obsiahnuté v konverzáciách, dokumentoch, nahraných zdrojoch a vstupoch a výstupoch generovania.
• Prevádzkovateľ nesmie poskytovať osobitné kategórie osobných údajov, pokiaľ nemá právny základ a neposúdil riziká.

5. Spracúvanie na základe zdokumentovaných pokynov

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenosy do tretích krajín, okrem prípadov, keď to vyžaduje právo EÚ alebo členského štátu; v takom prípade o tom informuje Prevádzkovateľa pred spracúvaním, pokiaľ to zákon nezakazuje. Zmluva, táto DPA a nastavenia vykonané správcami Prevádzkovateľa v službe (napríklad povolené modely AI a integrácie) predstavujú pokyny Prevádzkovateľa. Sprostredkovateľ informuje Prevádzkovateľa, ak sa domnieva, že pokyn porušuje právne predpisy o ochrane osobných údajov.

6. Mlčanlivosť personálu

Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali zachovávať mlčanlivosť alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti.

7. Technické a organizačné opatrenia

Sprostredkovateľ vykonáva opatrenia uvedené v prílohe 2 a udržiava ich primerané riziku v súlade s čl. 32 GDPR.

8. Ďalší sprostredkovatelia

Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov uvedených na /legal/subprocessors. Sprostredkovateľ informuje Prevádzkovateľa o každom zamýšľanom pridaní alebo nahradení najmenej 30 dní vopred; Prevádzkovateľ môže v tejto lehote vzniesť námietku z opodstatnených dôvodov týkajúcich sa ochrany osobných údajov. Ak sa nenájde riešenie, Prevádzkovateľ môže ukončiť využívanie dotknutej služby. Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi povinnosti ochrany osobných údajov rovnocenné povinnostiam podľa tejto DPA a naďalej zodpovedá za plnenie jeho povinností.

9. Medzinárodné prenosy

Osobné údaje sa prenášajú mimo EÚ/EHP len na základe rozhodnutia o primeranosti alebo štandardných zmluvných doložiek (modul 3, prenos medzi sprostredkovateľmi) s prípadnými potrebnými doplňujúcimi opatreniami.

10. Súčinnosť Prevádzkovateľovi

Sprostredkovateľ s prihliadnutím na povahu spracúvania pomáha Prevádzkovateľovi prostredníctvom primeraných opatrení pri vybavovaní žiadostí dotknutých osôb, pri posudzovaní vplyvu na ochranu osobných údajov, predchádzajúcich konzultáciách s dozornými orgánmi a plnení ďalších povinností Prevádzkovateľa podľa čl. 32 až 36 GDPR.

11. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od okamihu, keď sa o ňom dozvedel, spolu s informáciami dostupnými v danom čase, a ďalšie informácie poskytuje priebežne, ako sa stávajú dostupnými.

12. Vrátenie a vymazanie

Po skončení zmluvy môže Prevádzkovateľ počas 30 dní exportovať svoje údaje. Sprostredkovateľ následne osobné údaje vymaže; záložné kópie sa vymažú do 35 dní, pokiaľ právo EÚ alebo členského štátu nevyžaduje ich uchovávanie.

13. Audity

Sprostredkovateľ sprístupní informácie potrebné na preukázanie súladu s čl. 28 GDPR, predovšetkým prostredníctvom certifikátov, správ a odpovedí na bezpečnostné dotazníky. Ak to nepostačuje, Prevádzkovateľ môže po primeranom predchádzajúcom oznámení vykonať audit na mieste počas pracovného času, na vlastné náklady a pri zachovaní mlčanlivosti.

Príloha 1 – Opis spracúvania

Príloha 2 – Technické a organizačné opatrenia

• Šifrovanie údajov pri prenose (TLS).
• Logické oddelenie údajov podľa organizácií a riadenie prístupu na základe rolí.
• Vedenie auditných záznamov o úkonoch významných z hľadiska bezpečnosti a o administratívnych úkonoch.
• Šifrované ukladanie tajných údajov a prihlasovacích údajov ku konektorom.
• Uchovávanie záloh počas 35 dní.
• Zdokumentované riešenie incidentov vrátane oznámenia porušenia ochrany osobných údajov do 48 hodín.