Kreedl – Zmluva o spracúvaní osobných údajov

„Osobné údaje“, „prevádzkovateľ“, „sprostredkovateľ“, „spracúvanie“, „dotknutá osoba“, „porušenie ochrany osobných údajov“ a „dozorný orgán“ majú význam vymedzený v nariadení Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES („GDPR“). „Osobné údaje Zákazníka“ znamenajú osobné údaje, ktoré Zákazník Kreedlu poskytne alebo sprístupní, alebo ktoré Kreedl získa v mene Zákazníka pri poskytovaní služieb, vrátane obsahu komunikácie, nahrávok a prepisov, a to bez ohľadu na to, či tieto údaje identifikujú Zákazníka alebo tretiu osobu, ktorá so Zákazníkom vstupuje do zmluvného vzťahu. „Ďalší sprostredkovateľ“ znamená akúkoľvek tretiu osobu, ktorú Kreedl poverí spracúvaním Osobných údajov Zákazníka. „UK GDPR“ znamená GDPR v znení, v akom bolo prevzaté do práva Spojeného kráľovstva.

Zákazník je prevádzkovateľom Osobných údajov Zákazníka. Kreedl je sprostredkovateľom týchto údajov. Kreedl je samostatným prevádzkovateľom len vo vzťahu k vlastným údajom Zákazníka týkajúcim sa jeho účtu, fakturácie, využívania služieb a marketingu, alebo ak tretia osoba využíva služby Kreedlu bez toho, aby so Zákazníkom vstúpila do zmluvného vzťahu. Tieto činnosti sú podrobnejšie opísané v dokumente Kreedlu s názvom Zásady ochrany osobných údajov, ktorý je dostupný na adrese kreedl.com/sk/privacy („Zásady ochrany osobných údajov“).

Predmet a účel. Prevádzka AI asistenta, ktorý v mene Zákazníka komunikuje s nájomcami, obyvateľmi, užívateľmi objektov, záujemcami, dodávateľmi a ďalšími osobami prostredníctvom telefónu, WhatsAppu, SMS a e-mailu a vykonáva úkony, na ktoré ho Zákazník oprávnil.

Povaha spracúvania. Prijímanie, nahrávanie, prepisovanie, uchovávanie, analyzovanie a zhrňovanie komunikácie; nahliadanie do záznamov Zákazníka alebo ich uchovávanie podľa zvoleného režimu (oddiel 4); rezervácia termínov; privolávanie dodávateľov; a na základe pokynu aj zostavovanie poradia záujemcov alebo zhrňovanie verejne dostupných informácií o záujemcoch o nájom.

Kategórie dotknutých osôb. Nájomcovia, obyvatelia, záujemcovia o nájom alebo kúpu, vedúci prevádzok a užívatelia objektov, dodávatelia a technici, zamestnanci a zástupcovia Zákazníka a akákoľvek iná osoba, ktorá kontaktuje budovu obsluhovanú Kreedlom.

Typy osobných údajov. Meno, kontaktné údaje, budova a jednotka, doba a podmienky nájmu, výška nájomného a stav platieb, dokumenty k nájmu, hlásenia porúch, fotografie, hlasové správy, nahrávky hovorov, prepisy, obsah správ a metaúdaje. Pri záujemcoch o nájom alebo kúpu aj predpokladaný dátum nasťahovania, počet členov domácnosti, zamestnanie, príjem, spôsob financovania a referencie, ak ich Zákazník vyžaduje na posúdenie žiadosti. Ak Zákazník dá pokyn na overenie totožnosti, posledné štyri číslice českého rodného čísla sa môžu porovnať so záznamami Zákazníka; celé rodné číslo sa neuchováva. Kreedl nespracúva prístupové kódy k dverám ani iné prostriedky fyzického prístupu do objektov.

Doba. Osobné údaje sa spracúvajú počas trvania objednanej služby a následne až do dokončenia ich vrátenia a vymazania podľa oddielu 12. Zmluvné strany nastavia doby uchovávania údajov tak, aby zodpovedali samotnej povahe poskytovanej služby. Doby uchovávania zohľadňujú najmä, nie však výlučne, skončenie nájomných vzťahov medzi Zákazníkom a tretími osobami, ochranu oprávnených záujmov Prevádzkovateľa vo vzťahu k jeho majetku a povinné lehoty uchovávania ustanovené všeobecne záväznými právnymi predpismi.

4.1 Zákazník si zvolí jeden z troch režimov opísaných v Zásadách ochrany osobných údajov. Režim A - bez prístupu k záznamom Zákazníka. Režim B - prístup k systémom Zákazníka len na čítanie, bez uchovávania záznamov. Režim C - záznamy Zákazníka uchováva Kreedl. V každom režime Kreedl uchováva obsah komunikácie, nahrávky, prepisy a kontaktné údaje osôb, ktoré s ním komunikujú.

4.2 Zdokumentovanými pokynmi Zákazníka sú zvolený režim, konfigurácia dohodnutá pri zavedení služby (onboardingu), nastavenia, ktoré Zákazník vykoná v aplikácii Kreedl, údaje, ktoré Zákazník nahrá alebo sprístupní, a akýkoľvek písomný pokyn zaslaný na adresu [email protected]. Nahratie údajov, aktivácia predplatného, vytvorenie profilu alebo akékoľvek iné poskytnutie údajov Kreedlu je pokynom Zákazníka na spracúvanie týchto údajov na účely oddielu 3.

4.3 Zákazník môže režim alebo svoje pokyny kedykoľvek zmeniť e-mailom, v aplikácii alebo konaním, z ktorého zmena jednoznačne vyplýva. Kreedl zmeny vykoná do 14 dní.

4.4 Kreedl môže odmietnuť pokyn, ktorý podľa jeho dôvodného názoru porušuje GDPR alebo iný právny predpis, a o tejto skutočnosti Zákazníka informuje. Kreedl môže Osobné údaje Zákazníka spracúvať aj vtedy, ak sa to vyžaduje podľa práva Únie alebo práva členského štátu; v takom prípade o tom Zákazníka informuje, pokiaľ to dané právo nezakazuje.

Zákazník vyhlasuje a zaväzuje sa, že -

• má a riadne určuje platný právny základ pre všetky Osobné údaje Zákazníka, ktoré získa a odovzdá Kreedlu, ako aj pre každú komunikáciu, na ktorej začatie dá Kreedlu pokyn. Za chýbajúci právny základ na poskytnutie alebo prenos údajov zodpovedá výlučne Zákazník;
• plní voči dotknutým osobám informačnú povinnosť podľa čl. 12, 13 a 14 GDPR vrátane zverejnenia informácií pre volajúcich uvedených v časti A Podmienok compliance Kreedlu a túto povinnosť nesie výlučne sám bez ohľadu na to, či Kreedl informácie o príslušnej činnosti zverejňuje vo svojich Zásadách ochrany osobných údajov. Tým nie je dotknutá informačná povinnosť Kreedlu v postavení samostatného prevádzkovateľa;
• ak dá Kreedlu pokyn na získavanie verejne dostupných informácií o záujemcoch o nájom, informuje tieto osoby o zdroji údajov najneskôr pri prvom kontakte;
• ak poskytuje české rodné čísla, dodržiava § 13c zákona č. 133/2000 Sb.;
• zodpovedá za limity autonómie, ktoré nastaví, a za vybavovanie eskalácií;
• prijíma technické a implementačné opatrenia zabezpečujúce čo najvyššiu ochranu osobných údajov dotknutých osôb a výlučne za ne zodpovedá, ibaže sú tieto údaje uchovávané v zariadení alebo v databáze, ktoré sú vo výlučnej držbe Kreedlu alebo ktoré výlučne prevádzkuje Kreedl;
• jeho pokyny sú v súlade s právnymi predpismi. Za zákonnosť svojich pokynov, ako aj za akékoľvek sankcie spojené s ich nesúladom s právnymi predpismi, zodpovedá výlučne Zákazník. Ak ktorákoľvek zo zmluvných strán dospeje k záveru, že vykonanie pokynu Zákazníka môže byť podmienené posúdením vplyvu na ochranu údajov („DPIA“), vykonanie takého pokynu sa odloží až do schválenia jeho zákonnosti na základe DPIA, ktorého náklady znáša Zákazník. Kreedl však nie je povinný zákonnosť pokynov Zákazníka aktívne preskúmavať ani inak overovať.

Kreedl -

• spracúva Osobné údaje Zákazníka výlučne na základe zdokumentovaných pokynov Zákazníka a len na účely oddielu 3;
• zabezpečuje, aby osoby oprávnené spracúvať Osobné údaje Zákazníka boli viazané dohodami o mlčanlivosti a dôvernosti, ak ich na toto spracúvanie poveril Kreedl;
• prijíma technické a organizačné opatrenia uvedené v prílohe č. 1;
• nepoužíva Osobné údaje Zákazníka na trénovanie ani dolaďovanie žiadneho AI modelu;
• pomáha Zákazníkovi pri vybavovaní žiadostí dotknutých osôb (oddiel 9), v oblasti bezpečnosti, pri oznamovaní porušení ochrany osobných údajov a pri posúdeniach vplyvu na ochranu údajov (oddiel 10), s prihliadnutím na povahu spracúvania;
• vymaže alebo vráti Osobné údaje Zákazníka v súlade s oddielom 12;
• sprístupní informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity v súlade s oddielom 11;
• uchováva údaje sprístupnené Zákazníkom oddelene od údajov, ktoré spracúva ako samostatný prevádzkovateľ;
• prijíma technické a implementačné opatrenia zabezpečujúce čo najvyššiu ochranu osobných údajov dotknutých osôb, ak sú tieto údaje uchovávané v zariadení alebo v databáze, ktoré sú vo výlučnej držbe Kreedlu alebo ktoré výlučne prevádzkuje Kreedl.

7.1 Zákazník udeľuje Kreedlu všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálny zoznam je uvedený v oddiele 7 Zásad ochrany osobných údajov na adrese kreedl.com/sk/privacy.

7.2 Kreedl oznámi Zákazníkovi e-mailom pridanie alebo nahradenie ďalšieho sprostredkovateľa najmenej 14 dní pred nadobudnutím účinnosti zmeny.

7.3 Ak Zákazník do 14 dní od oznámenia vznesie námietku z opodstatnených dôvodov týkajúcich sa ochrany osobných údajov, Kreedl môže navrhnúť alternatívne riešenie. Ak sa zmluvné strany nedohodnú, jediným prostriedkom nápravy Zákazníka je písomne vypovedať dotknuté služby, a to bez sankcie za vypovedanú časť a s účinnosťou ku dňu, keď zmena ďalšieho sprostredkovateľa nadobudne účinnosť. Kreedl nie je povinný ďalšieho sprostredkovateľa zmeniť.

7.4 Kreedl ukladá každému ďalšiemu sprostredkovateľovi povinnosti v oblasti ochrany osobných údajov, ktoré nie sú menej prísne ako povinnosti podľa tejto DPA, a naďalej zodpovedá za ich plnenie.

7.5 Ak Kreedl zapojí nového ďalšieho sprostredkovateľa, zodpovedá za to, že identitu nového ďalšieho sprostredkovateľa uvedie v Zásadách ochrany osobných údajov a oznámi ju Zákazníkovi podľa bodu 7.2, aby Zákazník mohol plniť svoju informačnú povinnosť podľa oddielu 5.

Kreedl uchováva Osobné údaje Zákazníka v Európskej únii. Na spracúvaní pomocou AI a na telefónnych službách sa môžu podieľať poskytovatelia mimo EHP alebo Spojeného kráľovstva. Pri každom takomto prenose postupuje Kreedl na základe štandardných zmluvných doložiek EÚ, rozhodnutia o primeranosti (vrátane rámca EU-US Data Privacy Framework, ak je poskytovateľ certifikovaný) alebo, v prípade údajov zo Spojeného kráľovstva, na základe UK International Data Transfer Addendum. Kreedl na písomnú žiadosť ponúka konfiguráciu so spracúvaním výlučne v EÚ; za podanie takejto žiadosti zodpovedá Zákazník. Zákazník splnomocňuje Kreedl, aby v jeho mene uzavrel štandardné zmluvné doložky s ďalšími sprostredkovateľmi. UK Addendum je k dispozícii na požiadanie.

Ak Kreedl dostane žiadosť dotknutej osoby týkajúcu sa Osobných údajov Zákazníka, postúpi ju Zákazníkovi do 3 pracovných dní a bez pokynu na ňu vecne neodpovedá. Kreedl poskytne primeranú súčinnosť, aby Zákazník mohol odpovedať v zákonných lehotách. Súčinnosť nad rámec piatich žiadostí mesačne alebo súčinnosť, ktorá si vyžaduje viac než primerané úsilie, sa účtuje podľa aktuálnej hodinovej sadzby Kreedlu.

10.1 Kreedl oznámi Zákazníkovi porušenie ochrany Osobných údajov Zákazníka bez zbytočného odkladu, najneskôr do 48 hodín po tom, ako sa o ňom dozvedel. Prvotné oznámenie obsahuje informácie známe v čase jeho podania. Zmluvné strany si navzájom poskytujú súčinnosť potrebnú podľa čl. 33 a 34 GDPR na elimináciu rizík, následkov porušenia a pokút zo strany dozorného orgánu, ako aj na úspešné prešetrenie porušenia.

10.2 Za oznámenie porušenia dozornému orgánu a dotknutým osobám zodpovedá tá zmluvná strana, ktorá spravuje databázu alebo zariadenie, v ktorom k porušeniu ochrany osobných údajov došlo.

10.3 Ak je Zákazník povinný vykonať DPIA, Kreedl mu poskytne opis spracúvania, opatrenia uvedené v prílohe č. 1 a primerané ďalšie informácie nevyhnutne potrebné na vypracovanie DPIA. Posúdenie dokončuje a schvaľuje Zákazník, ktorý je zároveň jeho vlastníkom. Náklady na vypracovanie DPIA znáša Zákazník.

10.4 Bez ohľadu na schválenie Zákazníkom podľa bodu 10.3 nie je Kreedl povinný vykonať pokyn Zákazníka, ak má Kreedl napriek existencii DPIA dôvodné podozrenie, že pokyn je nezákonný, že sa pri vypracovaní DPIA nedostatočne zohľadnila zásada minimalizácie údajov alebo že posúdenie vykazuje nedostatky z hľadiska kvality a legitímnosti.

Zákazník môže raz za kalendárny rok na základe písomného oznámenia doručeného 30 dní vopred požiadať o bezpečnostný dotazník vyplnený Kreedlom, kópiu prílohy č. 1 a dostupnú dokumentáciu preukazujúcu súlad s touto DPA. Kontrola na mieste sa uskutoční len na takom mieste a v takom čase, kde a kedy to vyžaduje dozorný orgán alebo zákon, pri zachovaní dôvernosti, bez prístupu k údajom iných Zákazníkov a na náklady Zákazníka. Kreedl nemá certifikáciu ISO 27001 ani SOC 2, neručí za to, že interné šetrenia prebiehajú v súlade s takouto certifikáciou, a Zákazník túto skutočnosť berie na vedomie.

12.1 Pri skončení zmluvy so Zákazníkom a kedykoľvek na základe písomnej žiadosti Kreedl exportuje Osobné údaje Zákazníka v štruktúrovanom, strojovo čitateľnom formáte (JSON; v prípade nahrávok zvukové súbory) a do 30 dní od skončenia zmluvy Osobné údaje Zákazníka vymaže. Šifrované zálohy sa natrvalo odstránia do 90 dní. Kreedl na požiadanie písomne potvrdí vymazanie. Kreedl môže údaje uchovať, ak to vyžaduje zákon, a výlučne na tento účel.

12.2 Ak zanikne právny základ, podľa ktorého Zákazník uchováva údaje tretej osoby vo vzťahu k tejto tretej osobe, Zákazník o tom informuje Kreedl a za poskytnutie tejto informácie zodpovedá výlučne on. Kreedl vykoná vymazanie v súlade s dobami uchovávania osobných údajov, ibaže Zákazník trvá na uchovaní záznamu z dôvodu niektorého zo svojich oprávnených záujmov; v takom prípade Zákazník tento oprávnený záujem preukáže. Zákazník zodpovedá za akékoľvek správne alebo iné sankcie vyplývajúce z porušenia jeho povinnosti informovať Kreedl o zániku právneho základu alebo z neoprávnenosti jeho záujmu, ak je tento záujem dôvodom na predĺženie doby uchovávania údajov.

13.1 V najširšom rozsahu, ktorý pripúšťa zákon, je celková zodpovednosť Kreedlu vyplývajúca z tejto DPA alebo v súvislosti s ňou, vrátane akejkoľvek správnej pokuty alebo nároku dotknutej osoby, obmedzená na sumu, ktorú Zákazník zaplatil v priebehu dvanástich mesiacov predchádzajúcich udalosti, ktorá zakladá nárok, a Kreedl nezodpovedá za nepriamu ani následnú škodu, ušlý zisk, stratu údajov ani poškodenie dobrej povesti.

13.2 Kreedl nemá povinnosť odškodniť Zákazníka.

13.3 Zákazník odškodní Kreedl v súvislosti s akýmkoľvek nárokom, pokutou, stratou alebo nákladom (vrátane primeraných nákladov na právne zastúpenie, ako aj vrátane prípadu, keď v dôsledku konania, ktoré Kreedlu nemožno nijako pripísať, vznikne Kreedlu škoda alebo povinnosť uhradiť nárok či pokutu podľa bodu 13.1 nad rámec limitu zodpovednosti podľa bodu 13.1), ktoré vzniknú z porušenia tejto DPA alebo GDPR Zákazníkom, z pokynu Zákazníka, z údajov poskytnutých bez právneho základu alebo bez požadovaného informovania dotknutých osôb tam, kde to táto DPA výslovne ustanovuje, alebo z nastavení autonómie zvolených Zákazníkom.

Táto DPA zostáva v platnosti aj po skončení zmluvy so Zákazníkom, a to až do okamihu, keď sa podľa českého práva premlčí posledný potenciálny nárok priamo alebo nepriamo súvisiaci s právami a povinnosťami vyplývajúcimi z tejto DPA. DPA sa riadi právnym poriadkom Českej republiky a spory vzniknuté výlučne na základe tejto DPA rozhodujú príslušné súdy v Prahe. DPA sa zverejňuje v anglickom a českom jazyku; táto slovenská verzia je informatívnym prekladom. Prednosť má anglická verzia, ak zmluva so Zákazníkom neustanovuje inak. Kreedl môže túto DPA jednostranne aktualizovať na základe oznámenia zaslaného Zákazníkom e-mailom 14 dní vopred; pokračovanie v používaní služieb po dni nadobudnutia účinnosti znamená jej prijatie.

Šifrovanie. Osobné údaje Zákazníka sú šifrované pri uložení (AES-256 alebo rovnocenný štandard) aj pri prenose (TLS 1.2 alebo vyššia verzia). Nahrávky hovorov a súbory sa uchovávajú v šifrovanom objektovom úložisku.

Riadenie prístupu. Prístup na základe rolí. Prístup majú len pracovníci Kreedlu, ktorí ho potrebujú na prevádzku služby. Viacfaktorová autentifikácia je povinná pre všetkých pracovníkov Kreedlu a pre každý administrátorský prístup k infraštruktúre. Prístupy sa preverujú pri personálnych zmenách a najmenej raz za štvrťrok.

Logovanie a auditovateľnosť. Každý úkon AI asistenta a každý prístup pracovníka k Osobným údajom Zákazníka sa zaznamenáva s uvedením času a identity. Záznamy (logy) sa uchovávajú 12 mesiacov a Zákazník má k nim prístup v rozsahu svojich vlastných údajov.

Správa tajných údajov. Prístupové údaje k poskytovateľom a API kľúče sú uložené v nástroji na správu tajných údajov (secrets manager), nikdy nie v kóde, nie sú sprístupnené používateľom a menia sa pri odchode pracovníka alebo pri podozrení na ich kompromitáciu.

Oddelenie Zákazníkov. Údaje každého Zákazníka sú logicky oddelené. Žiadny Zákazník nemá prístup k údajom iného Zákazníka.

Zálohy. Šifrované zálohy najmenej raz denne, uchovávané 90 dní, obnova testovaná najmenej raz ročne.

Poskytovatelia AI modelov. Poskytovatelia modelov majú zmluvne zakázané používať Osobné údaje Zákazníka na trénovanie. Kreedl na Osobných údajoch Zákazníka modely netrénuje ani nedolaďuje.

Personál. Všetci pracovníci a externí spolupracovníci pred udelením prístupu podpisujú dohody o mlčanlivosti a dôvernosti a absolvujú školenie o ochrane osobných údajov. Prístup sa im odoberá v deň odchodu.

Reakcia na incidenty. Zdokumentovaný postup so zodpovednou osobou, oznámenie Zákazníkovi do 48 hodín a vyhodnotenie po incidente.

Fyzická bezpečnosť. Infraštruktúra je hostovaná u poskytovateľov uvedených v Zásadách ochrany osobných údajov, ktorí prevádzkujú certifikované dátové centrá (ISO 27001 / SOC 2 na úrovni poskytovateľa). Kreedl neprevádzkuje vlastné dátové centrá.

Vymazanie. Automatické pravidlá uchovávania vymazávajú komunikačné údaje po 12 mesiacoch alebo v inej lehote, ktorú Zákazník nastaví podľa oddielu 3 a bodu 12.2. Vymazanie pri skončení zmluvy do 30 dní, v zálohách do 90 dní.