Dodatek o zpracování osobních údajů

Tento Dodatek uzavírají MAŃSKI AI s.r.o., IČO 17571987, se sídlem Nové sady 988/2, Staré Brno, 602 00 Brno, Česká republika („Zpracovatel“), a Zákazník určený při elektronickém přijetí v účtu nebo v Objednávce („Zákazník“). Je součástí příslušných profesních, podnikatelských a institucionálních Podmínek prostřednictvím začleňovacího ustanovení v článku 3 Podmínek poskytování služby. Je přijat a závazný současným elektronickým přijetím těchto Podmínek; samostatný podpis ani individuálně vyplněné DPA nejsou vyžadovány. Standardní přílohy A–D platí automaticky. Pouhé zobrazení této stránky není přijetím.

Pro zpracování podle pokynů je Zákazník správcem a Poskytovatel zpracovatelem. Je-li Zákazník sám zpracovatelem, potvrzuje oprávnění od konečného správce a tento vztah a příslušné pokyny zachytí v dokumentovaných instrukcích v rámci standardní přílohy A; Poskytovatel jedná jako další zpracovatel. Pojmy definované v GDPR mají význam podle GDPR. „Osobní údaje“ v tomto DPA znamenají údaje zpracovávané podle těchto pokynů; samostatné účely správy, fakturace a bezpečnosti vlastní služby Poskytovatele popisují Zásady ochrany osobních údajů a nesmějí sloužit ke změně účelu Zákaznického obsahu.

DPA upravuje zpracování podle GDPR. Zpracování podléhající režimu prosazování práva, nařízení (EU) 2018/1725 nebo jinému zvláštnímu zpracovatelskému režimu vyžaduje před zahájením výslovnou doplňující smlouvu. Použije-li se britské právo ochrany údajů, platí Dodatek pro Spojené království. Žádné ustanovení neopravňuje k nezákonnému zpracování.

Individuálně podepsaná smlouva je volitelným enterprise postupem. Standard nahrazuje pouze ve výslovně určeném rozsahu. Odlišný zákonný režim nebo specifický bezpečnostní požadavek může vyžadovat doplňující dohodu; běžné profesní SaaS použití ji nevyžaduje.

Předmětem je poskytování objednaných funkcí Veritas Ask. Zpracování může zahrnovat získání, uložení, vytěžení, indexaci, vyhledání, porovnání, inferenci, generování, zobrazení, export a výmaz vybraných údajů pro rešeršní a analytické účely Zákazníka. Konkrétní rozsah, trvání, osoby a údaje stanoví příloha A. Pokyny tvoří DPA, Objednávka, sjednané přílohy, oprávněná nastavení a zákonné zdokumentované úkoly v tomto rozsahu.

Zpracovatel zpracovává Osobní údaje pouze podle zdokumentovaných pokynů, včetně pokynů k předávání, pokud mu závazné právo EU nebo členského státu neukládá jinak. V takovém případě předem informuje Zákazníka, ledaže zákon oznámení zakazuje z důležitého veřejného zájmu. Bezodkladně upozorní, považuje-li pokyn za porušující právo ochrany údajů, podle potřeby pozastaví dotčené zpracování a požádá o upřesnění. Nesmí jednostranně určit nový účel.

Zpracovatel nesmí Zákaznický obsah používat k trénování Veritas Ask, prodávat jej, využívat k reklamě nebo dovolit dalšímu zpracovateli použití mimo sjednaný účel. Zákazník poskytuje zákonné pokyny, odpovídající informace a právní titul a nevkládá údaje mimo dohodnuté kategorie. Toto rozdělení nezbavuje Zpracovatele jeho vlastních zákonných povinností.

Zpracovatel zajistí, aby oprávněné osoby byly vázány mlčenlivostí nebo odpovídající zákonnou povinností, přistupovaly jen k údajům potřebným pro úkol a po zániku oprávnění přístup ztratily. Udržuje opatření odpovídající riziku podle článku 32 GDPR a sjednané přílohy B, s ohledem na stav techniky, náklady, povahu, rozsah, kontext, účely a rizika pro osoby.

Základní TOMs na https://www.veritasask.com/toms ve verzi zaznamenané s tímto DPA automaticky tvoří přílohu B. Určují doložená opatření; neověřené certifikace, šifrování nebo obnovu nelze dovozovat mlčky. Zpracovatel během trvání podstatně nesníží sjednanou ochranu. Podstatné změny podléhají oznamovacímu a změnovému procesu; naléhavá ochranná opatření lze přijmout s bezodkladnou následnou informací. Potřebuje-li Zákazník další opatření, může je před takovým použitím sjednat ve volitelné enterprise příloze.

Dalším zpracovatelem je pro tento Dodatek externí subjekt, který skutečně zpracovává Osobní údaje podle pokynů Zákazníka jménem Poskytovatele při plnění jeho zpracovatelských povinností. Pouhá dodávka technologie, vlastní správcovské zpracování jiného subjektu nebo zpracování výhradně pro samostatné správcovské účely Poskytovatele tuto roli automaticky nezakládají. Kvalifikace je věcná; název smlouvy ani chybějící zpracovatelská smlouva skutečnou roli nemění.

Zákazník uděluje obecné písemné oprávnění jmenně uvedeným dalším zpracovatelům ve verzovaném registru na https://www.veritasask.com/subprocessors začleněném jako příloha C. Samostatný podpis zákazníka pro každý uvedený subjekt není nutný. Doplnění nebo náhrada vyžadují písemné oznámení alespoň 30 dní předem s určením subjektu, účelu, kategorií údajů, zemí zpracování, rozsahu přístupu a data zahájení. Zákazník může v této lhůtě vznést námitku z rozumných důvodů ochrany údajů. Zkrácení lhůty vyžaduje výslovnou dohodu nebo závazný zákonný požadavek; naléhavý problém dodavatele automaticky neschvaluje neznámou náhradu. Prázdný nebo neúplný registr nezakládá schválení nezveřejněného nebo neidentifikovaného subjektu.

Zpracovatel navrženého dodavatele posoudí a písemně mu uloží povinnosti zajišťující stejnou úroveň příslušné ochrany údajů, včetně mlčenlivosti, bezpečnosti, pokynů, výmazu a součinnosti. Za jejich plnění odpovídá Zákazníkovi. Poskytne informace přiměřeně potřebné k ověření řetězce při ochraně nesouvisejících důvěrných podmínek.

Při důvodné námitce strany hledají alternativu bez sporného zpracování. Není-li rozumně dostupná, dotčené zpracování nesmí začít a Zákazník může dotčenou Službu ukončit bez sankce, s vrácením nebo výmazem dat a vrácením nevyužitého předplatného. Nezveřejnění dodavatelského jména neznamená neexistenci dalšího zpracovatele ani schválení neuvedeného subjektu.

Zpracovatel s ohledem na povahu zpracování vhodnými opatřeními pomáhá s přístupem, opravou, výmazem, omezením, přenositelností, námitkami a dalšími příslušnými právy subjektů údajů. Žádost týkající se zpracování podle pokynů neprodleně předá Zákazníkovi a věcně neodpovídá bez pokynu, ledaže to ukládá zákon. Dostupné informace a exporty poskytne včas k dodržení zákonné lhůty Zákazníka.

S ohledem na zpracování a dostupné informace pomáhá plnit články 32–36 GDPR, včetně bezpečnostních posouzení, reakce na porušení, DPIA a předchozí konzultace. Spolupracuje s příslušným dozorovým úřadem podle zákona. Běžná pomoc a pomoc vyvolaná porušením Zpracovatele jsou zahrnuty ve Službě; mimořádnou práci specifickou pro Zákazníka lze předem samostatně nacenit, avšak splnění povinné nebo naléhavé zákonné povinnosti nelze podmiňovat předchozí platbou.

Zpracovatel informuje Zákazníka bez zbytečného odkladu poté, co zjistí porušení ochrany Osobních údajů zpracovávaných podle pokynů. Nečeká na úplné vyšetření ani nepoužije 72hodinovou oznamovací lhůtu správce vůči úřadu jako vlastní reakční lhůtu. Kratší číselný cíl oznámení platí pouze při výslovném sjednání v příloze B.

První oznámení uvede dostupné skutečnosti o povaze porušení, dotčených kategoriích a přibližném počtu osob a záznamů, pravděpodobných důsledcích, kontaktní osobě a přijatých nebo navržených opatřeních k omezení a nápravě. Neznámé podrobnosti se označí a následně doplní bez dalšího zbytečného odkladu. Zpracovatel zachová relevantní důkazy, přijme přiměřené kroky k omezení a nápravě a poskytne podklady pro rozhodnutí Zákazníka o oznámení.

Oznámení osobám a úřadům pro své zpracování řídí Zákazník, aniž omezuje samostatné zákonné povinnosti Zpracovatele. Strany koordinují komunikaci, je-li to zákonné. Oznámení samo není uznáním odpovědnosti. Výchozím incidentním kontaktem Zákazníka je ověřený e-mail smluvního účtu nebo určený kontakt organizace; kontakt Poskytovatele je contact@veritasask.com. Kontakt lze změnit ověřeným nastavením nebo zdokumentovaným oznámením bez podpisu nového DPA.

Osobní údaje se ukládají a zpracovávají v Evropské unii, včetně schválených dalších zpracovatelů a podpůrného personálu jednajícího za Zpracovatele. Neexistuje běžné oprávnění pro vzdálený přístup nebo zpracování mimo EU. Podrobné infrastrukturní lokality se podle potřeby zpřístupňují pouze v odpovídajícím důvěrném přezkumu; informace o zemích a právnických osobách vyžadované právem nebo smlouvou však musí být poskytnuty.

Hranici nelze změnit bez předchozí zdokumentované dohody Zákazníka, případného zákonného mechanismu předání, posouzení potřebných záruk a požadovaného zákonného schválení. Standardní smluvní doložky ani rozhodnutí o odpovídající ochraně samy nemění závazek EU-only. Zpracovatel posoudí závazné žádosti o zpřístupnění, přiměřeně dostupnými prostředky napadne nezákonné požadavky, omezí zákonné zpřístupnění na nezbytné minimum a informuje Zákazníka, není-li to zakázáno.

Zpracovatel zpřístupní všechny informace potřebné k doložení souladu s článkem 28 GDPR a umožní a podpoří audity včetně inspekcí Zákazníka nebo jím pověřeného nezávislého auditora. Strany mohou nejprve využít relevantní existující podklady k omezení zbytečné zátěže; tím se neruší právo inspekce ani nenahrazují důkazy neověřenou certifikací.

Běžný audit vyžaduje přiměřené oznámení, určený rozsah a přiměřenou mlčenlivost a bezpečnost chránící ostatní zákazníky. Lhůty nebo omezení četnosti nesmějí bránit důvodnému auditu po porušení, věrohodném podezření nebo požadavku regulátora. Audit nelze podmínit vzdáním se zákonných práv. Každá strana nese své běžné interní náklady; přiměřené mimořádné náklady lze sjednat předem, avšak nápravu a přiměřené ověření vyvolané podstatným porušením Zpracovatele hradí Zpracovatel.

DPA trvá po dobu zpracování podle pokynů včetně dohodnuté fáze vrácení a výmazu. Po skončení služeb Zpracovatel podle volby Zákazníka vrátí nebo vymaže Osobní údaje a vymaže existující kopie, nevyžaduje-li právo EU nebo členského státu uchování. Příloha D stanoví export, získání dat, expiraci záloh, výmaz u dodavatelů a potvrzení dokončení. Povinně uchované záznamy se oddělí od běžného použití, omezí na zákonný účel a vymažou po skončení povinnosti.

Zpracovatel na žádost potvrdí dokončení dohodnutých kroků výmazu a sdělí pokračující zákonné uchování. Úplný výmaz nesmí potvrdit před dokončením příslušných kroků u dodavatelů a záloh. Zákazník sdělí zákonný retenční pokyn před výmazem; pozastavení výmazu musí určit základ a rozsah.

Podstatné nenapravené porušení umožňuje pozastavení dotčeného zpracování a ukončení podle Podmínek. Smluvní pravidla odpovědnosti se použijí mezi stranami, ale nesmějí omezit práva subjektů údajů, pravomoci úřadů ani odpovědnost danou kogentním právem. DPA má ve zpracování osobních údajů přednost před rozpornými obecnými podmínkami. Mlčenlivost, audit, součinnost a výmaz trvají v rozsahu potřebném k zákonnému dokončení zpracování.

Zpracovatelem je MAŃSKI AI s.r.o. podle článku 1. Zákazníkem je samostatný profesionál, podnik nebo instituce uvedená při elektronickém přijetí nebo v Objednávce. Ověřený účet jednajícího uživatele, prohlášení o oprávnění a identita Zákazníka tvoří záznam identifikace stran. Samostatný podpisový blok není nutný. Kontaktem je ověřený e-mail účtu nebo určený organizační kontakt a u Poskytovatele contact@veritasask.com.

Předmětem je poskytování objednaných profesních AI rešerší, analýzy, porovnávání, extrakce, přípravy textů a podpory rozhodování. Účelem je poskytování, údržba a zabezpečení těchto požadovaných funkcí podle pokynů Zákazníka. Povaha zahrnuje přijetí, uložení, vytěžení, uspořádání, indexaci, vyhledání, inferenci, generování, zobrazení, export a výmaz. Zpracování probíhá průběžně nebo podle úkolů dle využití po dobu Smlouvy a potřebné fáze vrácení a výmazu.

Subjekty údajů jsou osoby, jejichž informace Zákazník zákonně předá nebo vybere; mohou zahrnovat uživatele, zaměstnance, klienty, protistrany, svědky, pacienty, dodavatele a účastníky výzkumu. Typy údajů jsou odpovídající identifikační a kontaktní údaje, profesní nebo spisové materiály, korespondence, finanční a výzkumné informace a výstupní údaje skutečně předané nebo vytvořené. Skutečné kategorie určuje Zákazník přípustnými úkoly a nastavením; příklady nejsou pokynem shromažďovat každou kategorii.

Zvláštní kategorie a údaje o trestných činech se zahrnují pouze při zákonném předání pro přípustný účel s potřebnou podmínkou článku 9 nebo oprávněním článku 10, minimalizací, omezeným přístupem a přiměřeně posouzeným řízeným nastavením. Zákazník dokumentuje tyto podmínky a potřebné DPIA; nemusí podepisovat nové standardní DPA pro každý případ. Utajované informace jsou vyloučeny. Odlišný zákonný režim nadále vyžaduje zákonem potřebné doplňující uspořádání.

Verzovaná Technická a organizační opatření na https://www.veritasask.com/toms se začleňují do této přílohy B bez dalšího podpisu. Přijatý dokument a jeho obsahový otisk jsou součástí balíčku přijetí. Základ zahrnuje serverové ověření identity, role a oprávnění k záznamům, oddělení osobního a organizačního rozsahu, řízený výběr soukromých dokumentů, vybraná auditní metadata, export a výmaz aktivních dat a ukládání a zpracování v EU, v mezích popsaných v TOMs.

Povinnost Zpracovatele podle článku 32, mlčenlivost personálu, povinnosti k dodavatelům, incidentní pomoc a audit platí vedle tohoto popisu. Přijetí Zákazníkem není vzdáním se těchto povinností ani potvrzením existence neurčených záruk. Neověřené konfigurace šifrování, certifikace, cíle obnovy ani nepřetržitá SLA se neslibují. Dodatečná opatření lze sjednat pro volitelné enterprise nasazení; potřebuje-li použití nedostupné opatření, nesmí do vyřešení pokračovat.

Centrálně vedený verzovaný registr Další zpracovatelé na https://www.veritasask.com/subprocessors tvoří odkazem tuto přílohu C. Záznamy musí určit skutečný smluvní právní subjekt, službu, kategorie Osobních údajů, země zpracování v EU, rozsah podpůrného přístupu, relevantní navazující zpracování, záruky a datum zařazení nebo změny. Značka produktu nenahrazuje právnickou osobu. Pro původní uvedené subjekty ani řádně oznámené změny podle článku 4 se individuální podpis zákazníka nevyžaduje.

Poskytovatel vede tento společný registr podle doložených skutečných toků a rolí; Zákazníci jej individuálně nevyjednávají ani nepodepisují. Zveřejňují se pouze potvrzené právní subjekty. Neurčené role se evidují interně k ověření a nesmějí být vydávány za potvrzené další zpracovatele. Prázdný registr je přípustný, jestliže je doloženo, že pro příslušné zpracování žádní další zpracovatelé nejsou; samotná absence zveřejněných položek tento závěr nedokládá. Nezveřejnění nemění skutečnou právní roli ani nezakládá oprávnění k neautorizovanému zpracování. Závaznost standardního DPA vzniká společným elektronickým přijetím Podmínek.

Standardním retenčním pokynem je uchování pracovního obsahu po dobu, kdy jej Zákazník ponechává v účtu, do oprávněného pokynu k výmazu nebo příslušného administrátorem spuštěného organizačního úklidu. Nastavená retence se neprezentuje jako automatická úloha na pozadí. Pokyny dále trvají pouze v rozsahu nutném pro sjednanou fázi vrácení a výmazu. Samotné zrušení předplatného není pokynem smazat uloženou práci.

Po skončení zpracovatelské služby Zákazník dostupnými funkcemi nebo zdokumentovanou žádostí volí vrácení nebo výmaz. Formáty a kogentní práva přechodu a získání dat se začleňují z https://www.veritasask.com/data-portability. Po vrácení nebo příslušné lhůtě získání dat se zbývající Osobní údaje a kopie vymažou bez zbytečného odkladu, nevyžaduje-li právo EU nebo členského státu uchování. Autentizační identity, kopie dodavatelů a zálohy se odstraňují příslušnými procesy; netvrdí se nepodložená číselná expirace záloh.

Kopie čekající na dokončení výmazového cyklu zůstává chráněna a nedostupná pro nové běžné použití; obnovená kopie nadále podléhá pokynu k výmazu. Zpracovatel na žádost poskytne informace o příslušném cyklu a stavu dokončení a nesmí předčasně potvrdit úplný výmaz. Zákonně vyžadované uchování určuje základ, rozsah a podmínku skončení a neopravňuje k obecnému opětovnému použití. Volitelná enterprise retenční příloha může určit další doby a ověřování, ale není potřebná k závaznosti těchto výchozích povinností.