Kreedl - Smlouva o zpracování osobních údajů

„Osobní údaje", „správce", „zpracovatel", „zpracování", „subjekt údajů", „porušení zabezpečení osobních údajů" a „dozorový úřad" mají význam podle Nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES („GDPR"). „Osobní údaje Zákazníka" jsou osobní údaje, které Zákazník Kreedlu poskytne, zpřístupní nebo které Kreedl při poskytování služeb shromáždí jménem Zákazníka, včetně obsahu komunikace, nahrávek a přepisů, a to bez ohledu na to, zda tyto údaje slouží k identifikaci Zákazníka, či jiné třetí strany, která se Zákazníkem vstupuje do smluvního vztahu. „Subzpracovatel" je jakákoli třetí strana, kterou Kreedl pověří zpracováním osobních údajů Zákazníka. „UK GDPR" je GDPR převzaté do práva Spojeného království.

Zákazník je správcem Osobních údajů Zákazníka. Kreedl je zpracovatelem těchto údajů. Kreedl je samostatným správcem pouze u vlastních účtových, fakturačních, provozních a marketingových údajů Zákazníka, či v případě, že třetí osoba užívá služby Kreedl mimo uzavření smluvního vztahu se Zákazníkem. Bližší popis činností je uveden v dokumentu Kreedl titulovaném Zásady zpracování osobních údajů, dostupném na adrese kreedl.com/privacy („Zásady").

Předmět a účel. Provoz AI asistenta, který jménem Zákazníka komunikuje s nájemníky, obyvateli, uživateli objektů, zájemci, dodavateli a dalšími osobami přes telefon, WhatsApp, SMS a e-mail a provádí úkony, které Zákazník povolil.

Povaha zpracování. Přijímání, nahrávání, přepis, ukládání, analýza a shrnutí komunikace; nahlížení do záznamů Zákazníka nebo jejich ukládání podle zvoleného režimu (sekce 4); rezervace termínů; vysílání dodavatelů; na pokyn řazení zájemců nebo shrnutí veřejně dostupných informací o zájemcích o nájem.

Kategorie subjektů údajů. Nájemníci, obyvatelé, zájemci o nájem nebo koupi nemovitosti, vedoucí provozoven a uživatelé objektů, dodavatelé a technici, zaměstnanci a zástupci Zákazníka a jakákoli další osoba kontaktující budovu obsluhovanou Kreedlem.

Typy osobních údajů. Jméno, kontaktní údaje, budova a jednotka, doba a podmínky nájmu, výše nájemného a stav plateb, nájemní smlouvy, hlášení závad, fotografie, hlasové zprávy, nahrávky hovorů, přepisy, obsah zpráv a metadata. U zájemců o nájem nebo koupi dále předpokládané datum nastěhování, počet členů domácnosti, zaměstnání, výše příjmu, způsob financování a reference, pokud je Zákazník pro posouzení žádosti vyžaduje. Pokud Zákazník zadá ověření totožnosti, mohou být poslední čtyři číslice rodného čísla porovnány se záznamy Zákazníka; rodné číslo se neukládá v celé podobě. Kreedl nezpracovává kódy dveří ani jiné přístupové údaje k objektům.

Doba. Zpracování osobních údajů bude prováděno po dobu poskytování objednané služby a dále do dokončení vrácení a výmazu podle sekce 12. Retenční limity dat budou stranami nastaveny tak, aby zohledňovaly inherentní povahu poskytované služby. Zejména, nikoliv však výlučně, zohlední retenční limity ukončení nájemních vztahů mezi Zákazníkem a třetími stranami, ochranu oprávněných zájmů Správce ve vztahu k majetku a povinné retenční doby dat stanovené obecně závaznými právními předpisy.

4.1 Zákazník zvolí jeden ze tří režimů popsaných v Zásadách zpracování osobních údajů. Režim A - bez přístupu k záznamům Zákazníka. Režim B - přístup ke čtení systémů Zákazníka bez ukládání záznamů. Režim C - záznamy Zákazníka uložené u Kreedlu. V každém režimu Kreedl ukládá obsah komunikace, nahrávky, přepisy a kontaktní údaje osob, které s ním komunikují.

4.2 Doložené pokyny Zákazníka tvoří zvolený režim, konfigurace sjednaná při onboardingu, nastavení provedená Zákazníkem v aplikaci Kreedl, data, která Zákazník nahraje nebo zpřístupní, a jakýkoli písemný pokyn zaslaný na [email protected]. Nahrání dat, aktivace předplatného, vytvoření profilu nebo jakékoli jiné poskytnutí dat Kreedlu je pokynem Zákazníka ke zpracování těchto dat pro účely sekce 3.

4.3 Zákazník může režim nebo pokyny kdykoli změnit e-mailem, v aplikaci nebo jednáním, ze kterého změna jasně vyplývá. Kreedl změny provede do 14 dnů.

4.4 Kreedl může odmítnout pokyn, který podle jeho důvodného názoru porušuje GDPR nebo jiný právní předpis, a informuje o tom Zákazníka. Kreedl může osobní údaje Zákazníka zpracovat také tam, kde to vyžaduje právo EU nebo členského státu; v takovém případě Zákazníka informuje, pokud to právo nezakazuje.

Zákazník prohlašuje a zavazuje se, že -

• má a náležitě určuje platný právní základ pro všechny získané i předávané osobní údaje Zákazníka, které Kreedlu poskytuje, a pro každou komunikaci, kterou Kreedlu zadá zahájit. Za absenci právního základu pro poskytnutí či přenos dat odpovídá výlučně Zákazník;
• plní vůči subjektům údajů informační povinnost podle čl. 12, čl. 13 a čl. 14 GDPR, včetně zveřejnění informací pro volající obsažených v části A Compliance podmínek Kreedl, a tuto povinnost nese výhradně on bez ohledu na to, zda Kreedl zveřejňuje informace o předmětné činnosti v rámci Zásad či nikoliv. Tím není dotčena informační povinnost Kreedl v režimu samostatného správcovství osobních údajů;
• pokud Kreedlu zadá shromáždění veřejně dostupných informací o zájemcích o nájem, informuje tyto osoby o zdroji údajů nejpozději při prvním kontaktu;
• pokud poskytuje rodná čísla, dodržuje § 13c zákona č. 133/2000 Sb.;
• odpovídá za limity autonomie, které nastaví, a za vyřizování eskalací;
• přijímá takové technické a implementační řešení, aby docházelo k maximální ochraně osobních údajů subjektů údajů, a za tato výlučně odpovídá, nejsou-li tato data uchovávána na zařízení či v databázi výlučně v držení nebo provozované Kreedl;
• jeho pokyny jsou v souladu s právními předpisy. Za dodržování zákonnosti pokynů, stejně tak jako za veškeré sankce s nedodržením této zákonnosti spojené, výlučně Zákazník odpovídá. Dojde-li však kterákoliv ze stran k názoru, že vykonání pokynu Zákazníka může být podmíněno zpracováním Posouzení vlivu na ochranu osobních údajů („DPIA"), bude provedení takového pokynu odloženo do doby schválení zákonnosti jeho vykonání na základě DPIA, jehož náklady nese Zákazník. Kreedl však není povinen aktivně zákonnost pokynů Zákazníka přezkoumávat či jinak prověřovat.

Kreedl -

• zpracovává osobní údaje Zákazníka výlučně na základě jeho doložených pokynů a pouze pro účely sekce 3;
• zajišťuje, že osoby oprávněné zpracovávat osobní údaje Zákazníka jsou vázány mlčenlivostí a dohodami o důvěrnosti, pověřil-li je k tomuto zpracování Kreedl;
• zavádí technická a organizační opatření podle Přílohy 1;
• nepoužívá osobní údaje Zákazníka k trénování ani doladění žádného AI modelu;
• pomáhá Zákazníkovi s žádostmi subjektů údajů (sekce 9), zabezpečením, ohlašováním porušení a posouzením vlivu na ochranu osobních údajů (sekce 10) s přihlédnutím k povaze zpracování;
• vymaže nebo vrátí osobní údaje Zákazníka podle sekce 12;
• zpřístupní informace nezbytné k doložení souladu s čl. 28 GDPR a umožní audity podle sekce 11;
• odděluje data zpřístupněná Zákazníkem od dat, která zpracovává v režimu samostatného správce;
• přijímá takové technické a implementační řešení, aby docházelo k maximální ochraně osobních údajů subjektů údajů, jsou-li tato data uchovávána na zařízení či v databázi výlučně v držení nebo provozované Kreedl.

7.1 Zákazník uděluje Kreedlu obecné povolení k zapojení subzpracovatelů. Aktuální seznam je uveden v sekci 7 Zásad zpracování osobních údajů na kreedl.com/privacy.

7.2 Kreedl oznámí Zákazníkovi přidání nebo nahrazení subzpracovatele e-mailem nejméně 14 dní před účinností změny.

7.3 Pokud Zákazník do 14 dnů od oznámení vznese námitku z důvodných důvodů ochrany osobních údajů, může Kreedl navrhnout alternativu. Nedojde-li k dohodě, je jediným nárokem Zákazníka vypovědět dotčené služby písemným oznámením bez sankce za vypovězenou část, a to s účinností ke dni účinnosti změny subzpracovatele. Kreedl není povinen subzpracovatele měnit.

7.4 Kreedl ukládá každému subzpracovateli povinnosti ochrany osobních údajů ne méně přísné než v této DPA a odpovídá za jejich plnění.

7.5 Bude-li ze strany Kreedl přijat nový subzpracovatel, Kreedl odpovídá za to, že identita nového subzpracovatele bude uvedena v Zásadách a oznámena Zákazníkovi dle čl. 7.2, aby Zákazník mohl plnit informační povinnost dle sekce 5.

Kreedl ukládá osobní údaje Zákazníka v Evropské unii. AI zpracování a telefonie mohou zahrnovat poskytovatele mimo EHP nebo Spojené království. Pro každé takové předání se Kreedl opírá o standardní smluvní doložky EU, rozhodnutí o odpovídající ochraně (včetně rámce EU-US Data Privacy Framework, je-li poskytovatel certifikován), nebo u údajů ze Spojeného království o UK International Data Transfer Addendum. Kreedl nabízí konfiguraci zpracování výhradně v EU na písemnou žádost; za její vyžádání odpovídá Zákazník. Zákazník zmocňuje Kreedl k uzavření standardních smluvních doložek se subzpracovateli jeho jménem. UK Addendum je k dispozici na vyžádání.

Obdrží-li Kreedl žádost subjektu údajů týkající se osobních údajů Zákazníka, předá ji Zákazníkovi do 3 pracovních dnů a bez pokynu na ni věcně neodpovídá. Kreedl poskytne přiměřenou součinnost, aby Zákazník mohl odpovědět v zákonných lhůtách. Součinnost nad pět žádostí měsíčně nebo vyžadující více než přiměřené úsilí je účtována aktuální hodinovou sazbou Kreedlu.

10.1 Kreedl ohlásí Zákazníkovi porušení zabezpečení osobních údajů Zákazníka bez zbytečného odkladu, nejpozději však do 48 hodin od zjištění. Prvotní oznámení obsahuje informace známé v danou chvíli. Strany si pro eliminaci rizik, následků porušení a pokut od dozorového úřadu, stejně tak pro úspěšné prošetření porušení zabezpečení, poskytují nezbytnou součinnost dle čl. 33 a čl. 34 GDPR.

10.2 Za ohlášení dozorovému úřadu a subjektům údajů odpovídá ta strana, která spravuje databázi nebo zařízení, v rámci kterého k porušení zabezpečení osobních údajů došlo.

10.3 Musí-li Zákazník provést DPIA, Kreedl mu poskytne popis zpracování, opatření podle Přílohy 1 a přiměřené další informace zcela nezbytné pro účely vyhotovení DPIA. Posouzení dokončuje, schvaluje a vlastní Zákazník. Zákazník hradí náklady na vyhotovení DPIA.

10.4 Bez ohledu na schválení Zákazníka dle čl. 10.3 není Kreedl povinen provést takový pokyn Zákazníka, má-li Kreedl přes existenci DPIA důvodné podezření na nezákonnost daného pokynu, nedostatečné zohlednění zásady minimalizace při tvorbě DPIA, či na kvalitu a legitimitu vyhotovení daného posudku.

Jednou za kalendářní rok může Zákazník s 30denním písemným předstihem požádat o vyplněný bezpečnostní dotazník Kreedlu, kopii Přílohy 1 a dostupnou dokumentaci dokládající soulad s touto DPA. Kontrola na místě se koná pouze na místě a v čase, kde to vyžaduje dozorový úřad nebo zákon, při zachování důvěrnosti, bez přístupu k datům jiných Zákazníků a na náklady Zákazníka. Kreedl nemá certifikaci ISO 27001 ani SOC 2, neručí za provedení interních šetření v souladu s touto certifikací a Zákazník tuto skutečnost bere na vědomí.

12.1 Při skončení smlouvy se Zákazníkem a kdykoli na písemnou žádost Kreedl vyexportuje osobní údaje Zákazníka ve strukturovaném strojově čitelném formátu (JSON, u nahrávek zvukové soubory) a do 30 dnů od skončení smlouvy osobní údaje Zákazníka vymaže. Šifrované zálohy jsou vymazány do 90 dnů. Kreedl výmaz na žádost písemně potvrdí. Kreedl může údaje uchovat tam, kde to vyžaduje zákon, a pouze pro tento účel.

12.2 Pomine-li právní titul uchovávání dat třetí strany, který svědčí Zákazníkovi vůči dané třetí straně, Zákazník o tom Kreedl informuje a za poskytnutí této informace výlučně odpovídá. Kreedl v souladu s retenčními limity osobních údajů provede výmaz, netrvá-li Zákazník na uchování záznamu pro některý ze svých oprávněných zájmů. V tomto případě Zákazník oprávněný zájem dokládá. Zákazník je odpovědný za veškeré správní či jiné sankce, které vzniknou ve vztahu k jeho selhání v povinnosti informovat Kreedl o pominutí existence právního titulu, či ve vztahu k neoprávněnosti jeho zájmu, je-li tento podkladem pro prodloužení retence dat.

13.1 V nejširším rozsahu povoleném zákonem je celková odpovědnost Kreedlu vzniklá z této DPA nebo v souvislosti s ní, včetně jakékoli správní pokuty nebo nároku subjektu údajů, omezena na částku uhrazenou Zákazníkem za dvanáct měsíců předcházejících události zakládající nárok, a Kreedl neodpovídá za nepřímou ani následnou škodu, ušlý zisk, ztrátu dat ani poškození pověsti.

13.2 Kreedl nemá povinnost Zákazníka odškodnit.

13.3 Zákazník odškodní Kreedl za jakýkoli nárok, pokutu, ztrátu nebo náklad (včetně přiměřených nákladů právního zastoupení a včetně případu, kdy Kreedlu vzhledem k jednání výlučně nepřičitatelnému Kreedl vznikne škoda či povinnost uhradit nárok či pokutu dle čl. 13.1 nad limit odpovědnosti stanovený v čl. 13.1) vzniklý z porušení této DPA nebo GDPR Zákazníkem, z pokynu Zákazníka, z údajů poskytnutých bez právního základu nebo bez požadovaného informování subjektů údajů tam, kde to DPA výslovně určí, nebo z nastavení autonomie Zákazníkem.

Tato DPA trvá i po skončení smlouvy se Zákazníkem, a to do momentu, kdy je dle českého práva promlčen poslední potenciální nárok přímo či nepřímo související s právy a povinnostmi vyplývajícími z této DPA. DPA se řídí právem České republiky a spory vzniklé výlučně na základě této DPA rozhodují příslušné soudy v Praze. Je zveřejněna v angličtině a češtině; přednost má anglická verze, nestanoví-li smlouva se Zákazníkem jinak. Kreedl může tuto DPA jednostranně aktualizovat s 14denním e-mailovým oznámením Zákazníkům; pokračující užívání po datu účinnosti znamená souhlas.

Šifrování. Osobní údaje Zákazníka jsou šifrovány v klidu (AES-256 nebo ekvivalent) i při přenosu (TLS 1.2 a vyšší). Nahrávky hovorů a soubory jsou uloženy v šifrovaném objektovém úložišti.

Řízení přístupu. Přístup podle rolí. Přístup mají jen pracovníci Kreedlu, kteří ho potřebují k provozu služby. Vícefaktorové ověření je povinné pro všechny pracovníky Kreedlu a pro veškerý administrátorský přístup k infrastruktuře. Přístupy se revidují při personálních změnách a nejméně čtvrtletně.

Logování a auditovatelnost. Každá akce AI asistenta a každý přístup pracovníka k osobním údajům Zákazníka je zaznamenán s časem a identitou. Logy se uchovávají 12 měsíců a Zákazník k nim má u vlastních dat přístup.

Správa tajemství. Přihlašovací údaje k poskytovatelům a API klíče jsou uloženy ve správci tajemství, nikdy v kódu ani zpřístupněny uživatelům, a rotují se při odchodu pracovníka nebo podezření na kompromitaci.

Oddělení Zákazníků. Data každého Zákazníka jsou logicky oddělena. Žádný Zákazník nemá přístup k datům jiného.

Zálohy. Šifrované zálohy nejméně denně, uchovávané 90 dní, obnova testována nejméně ročně.

Poskytovatelé AI modelů. Poskytovatelé modelů mají smluvně zakázáno používat osobní údaje Zákazníka k trénování. Kreedl na osobních údajích Zákazníka modely netrénuje ani nedolaďuje.

Personál. Všichni pracovníci a spolupracovníci podepisují před získáním přístupu dohody o mlčenlivosti a důvěrnosti a absolvují školení ochrany osobních údajů. Přístup je odebrán v den odchodu.

Reakce na incidenty. Dokumentovaný postup s odpovědnou osobou, oznámení Zákazníkovi do 48 hodin a poincidentní vyhodnocení.

Fyzická bezpečnost. Infrastruktura je hostována u poskytovatelů uvedených v Zásadách zpracování osobních údajů, provozujících certifikovaná datová centra (ISO 27001 / SOC 2 na úrovni poskytovatele). Kreedl vlastní datová centra neprovozuje.

Výmaz. Automatická pravidla retence mažou komunikační data po 12 měsících nebo v jiné lhůtě nastavené Zákazníkem dle sekce 3 a čl. 12.2. Výmaz při ukončení do 30 dnů, zálohy do 90 dnů.