Zmluva o spracúvaní osobných údajov (DPA)

Zmluvné strany

Prevádzkovateľ:
zákazník služby DAKOTY, t. j. právnická osoba alebo fyzická osoba – podnikateľ, ktorá si v službe DAKOTY zriadila organizáciu a uzatvorila so Sprostredkovateľom zmluvu o poskytovaní služby podľa Všeobecných obchodných podmienok. Identifikačné údaje Prevádzkovateľa sú údaje uvedené v nastaveniach organizácie v službe DAKOTY (obchodné meno, sídlo, IČO) v čase akceptácie tejto Zmluvy.
(ďalej len „Prevádzkovateľ“)

Sprostredkovateľ:
JEDNA TRICAŤ s. r. o.
so sídlom Budatínska 3916/22, 851 06 Bratislava - Petržalka
IČO: 51 773 244, DIČ: 2120848807
zapísaná v Obchodnom registri Okresného súdu Bratislava I, oddiel: Sro, vložka č. 129497/B
prevádzkovateľ služby DAKOTY
kontakt pre ochranu osobných údajov: privacy@dakoty.com
(ďalej len „Sprostredkovateľ“ alebo „DAKOTY“)

(Prevádzkovateľ a Sprostredkovateľ ďalej spolu len „zmluvné strany“.)

Článok 1 – Vymedzenie pojmov

1.1 Pojmy „osobné údaje“, „spracúvanie“, „prevádzkovateľ“, „sprostredkovateľ“, „dotknutá osoba“, „porušenie ochrany osobných údajov“, „posúdenie vplyvu“ a ďalšie pojmy majú význam podľa čl. 4 GDPR.

1.2 Na účely tejto Zmluvy:

• „Služba“ je softvér ako služba DAKOTY poskytovaný Sprostredkovateľom podľa VOP, najmä moduly CRM, rezervačný systém Calendri, e-shop (storefront), fakturácia a účtovné doklady, elektronická výmena faktúr, sklad, komunikácia (e-mail, SMS), call centrum a Funkcie AI, vrátane webovej, desktopovej a mobilnej aplikácie a API;
• „VOP“ sú Všeobecné obchodné podmienky používania služby DAKOTY v platnom znení;
• „Hlavná zmluva“ je zmluva o poskytovaní Služby uzatvorená medzi zmluvnými stranami podľa VOP;
• „Osobné údaje Prevádzkovateľa“ sú osobné údaje, ktoré Sprostredkovateľ spracúva v mene Prevádzkovateľa pri poskytovaní Služby (vymedzené v čl. 3);
• „Ďalší sprostredkovateľ“ (subdodávateľ) je osoba, ktorú Sprostredkovateľ zapojí do spracúvania Osobných údajov Prevádzkovateľa (čl. 28 ods. 2 a 4 GDPR);
• „Oprávnený používateľ“ je na účely tejto Zmluvy fyzická osoba, ktorej Prevádzkovateľ zriadil prístup do Služby (pojem „Používateľ“ vo VOP označuje zákazníka, t. j. Prevádzkovateľa);
• „SCC“ sú štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914;
• „DPF“ je rámec ochrany údajov medzi EÚ a USA (EU-U.S. Data Privacy Framework) podľa vykonávacieho rozhodnutia Komisie (EÚ) 2023/1795;
• „Funkcie AI“ sú funkcie Služby, ktoré na spracúvanie údajov využívajú jazykové modely alebo iné modely umelej inteligencie (čl. 12);
• „Výstup AI“ je text, údaj, súhrn, prepis, návrh alebo iný výsledok vytvorený Funkciou AI;
• „EHP“ je Európsky hospodársky priestor.

Článok 2 – Predmet a trvanie spracúvania

2.1 Predmetom Zmluvy je úprava práv a povinností zmluvných strán pri spracúvaní Osobných údajov Prevádzkovateľa Sprostredkovateľom v súvislosti s poskytovaním Služby podľa Hlavnej zmluvy.

2.2 Zmluva sa uzatvára na dobu trvania Hlavnej zmluvy. Povinnosti Sprostredkovateľa podľa čl. 7 (mlčanlivosť), čl. 15 (vrátenie a výmaz) a čl. 17 (zodpovednosť) trvajú aj po jej skončení, kým Sprostredkovateľ alebo Ďalší sprostredkovatelia spracúvajú akékoľvek Osobné údaje Prevádzkovateľa.

2.3 Táto Zmluva sa nevzťahuje na spracúvanie, pri ktorom je DAKOTY samostatným prevádzkovateľom, najmä:
a) správa zákazníckeho účtu, registrácia a autentifikácia Oprávnených používateľov, fakturácia a platby za Službu vrátane poplatkov platformy pri platbách cez Stripe Connect;
b) komunikácia zákazníckej podpory s Prevádzkovateľom a jeho Oprávnenými používateľmi (tikety, e-maily, chat), t. j. údaje o tom, kto podporu kontaktoval, kedy a s akou požiadavkou. Ak však požiadavka podpory alebo hlásenie chyby obsahuje Osobné údaje Prevádzkovateľa (napr. snímku obrazovky so záznamom klienta alebo údaje z dokladu), ich spracúvanie pri riešení požiadavky vrátane evidencie hlásení chýb u Ďalšieho sprostredkovateľa (Príloha 1, A13) je spracúvaním v mene Prevádzkovateľa a riadi sa touto Zmluvou; to platí aj pre prístup k Osobným údajom Prevádzkovateľa pri riešení požiadavky (čl. 6.4);
c) zabezpečenie Služby, prevádzkové a bezpečnostné záznamy, prevencia podvodov a zneužitia a telemetria o používaní aplikácie (napr. používanie funkcií, kliknutia, výkon a chyby aplikácie), ktorou DAKOTY sleduje fungovanie a rozvoj Služby;
d) vlastný marketing a analytika webových stránok DAKOTY (napr. dakoty.com) na základe súhlasu s cookies;
e) plnenie zákonných povinností DAKOTY (napr. účtovníctvo, daňové povinnosti).

Toto spracúvanie upravujú Zásady ochrany osobných údajov DAKOTY.

Článok 3 – Povaha a účel spracúvania, kategórie údajov a dotknutých osôb

3.1 Povaha spracúvania: ukladanie, uchovávanie, usporiadanie, vyhľadávanie, prehliadanie, úprava, štruktúrovanie (vrátane automatizovaného vyťaženia údajov z dokumentov), prenos (odosielanie e-mailov, SMS, elektronických faktúr, notifikácií), sprístupnenie Oprávneným používateľom, nahrávanie, prepis a sumarizácia hovorov a stretnutí, zálohovanie, obmedzenie, výmaz a likvidácia – vždy výlučne v rozsahu potrebnom na poskytovanie Služby.

3.2 Účel spracúvania: poskytovanie Služby Prevádzkovateľovi podľa Hlavnej zmluvy, najmä:
a) vedenie evidencie obchodných kontaktov, klientov, obchodných príležitostí, aktivít a komunikácie (CRM);
b) správa rezervácií a termínov (Calendri) vrátane verejného rezervačného formulára a zákazníckych účtov koncových zákazníkov Prevádzkovateľa;
c) prevádzka e-shopu Prevádzkovateľa a spracovanie objednávok, platieb a doručenia;
d) vystavovanie, prijímanie, evidencia a odosielanie faktúr a ďalších dokladov vrátane elektronickej výmeny faktúr;
e) odosielanie e-mailov, SMS a notifikácií v mene Prevádzkovateľa;
f) telefonické call centrum a online stretnutia (telefónne čísla, smerovanie hovorov, záznamy o hovoroch, nahrávky a prepisy, ak ich Prevádzkovateľ zapne);
g) Funkcie AI podľa čl. 12;
h) technická podpora, údržba, zálohovanie a zabezpečenie Služby.

3.3 Kategórie dotknutých osôb:

3.4 Kategórie osobných údajov:

3.5 Osobitné kategórie osobných údajov (čl. 9 GDPR) a údaje o trestných činoch (čl. 10 GDPR) nie sú predmetom Služby ako takej. Ak ich Prevádzkovateľ do Služby vloží (napr. zdravotné údaje v poznámke k rezervácii), zodpovedá za existenciu právneho základu a za posúdenie, či opatrenia podľa Prílohy 2 sú pre takéto údaje primerané.

Článok 4 – Pokyny Prevádzkovateľa

4.1 Sprostredkovateľ spracúva Osobné údaje Prevádzkovateľa len na základe zdokumentovaných pokynov Prevádzkovateľa (čl. 28 ods. 3 písm. a) GDPR), a to aj pokiaľ ide o prenos do tretej krajiny, s výnimkou prípadu, keď mu spracúvanie ukladá právo Únie alebo členského štátu. V takom prípade Sprostredkovateľ Prevádzkovateľa o tejto právnej požiadavke informuje pred spracúvaním, pokiaľ to právo takéto informovanie nezakazuje z dôvodov verejného záujmu.

4.2 Zdokumentovanými pokynmi sú:
a) táto Zmluva, Hlavná zmluva a VOP;
b) nastavenia a úkony vykonané Prevádzkovateľom alebo jeho Oprávnenými používateľmi v Službe (napr. zapnutie modulu, importu, integrácie, Funkcie AI, nahrávania hovorov, odoslanie správy);
c) písomné pokyny zaslané oprávnenou osobou Prevádzkovateľa na privacy@dakoty.com alebo cez zákaznícku podporu, ak sú v súlade s rozsahom Služby.

4.3 Pokyn, ktorý presahuje rozsah Služby, môže Sprostredkovateľ podmieniť dohodou o rozsahu a odplate.

4.4 Ak sa Sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bez zbytočného odkladu na to Prevádzkovateľa upozorní (čl. 28 ods. 3 druhý pododsek GDPR) a do potvrdenia alebo zmeny pokynu ho nemusí vykonať.

4.5 Sprostredkovateľ nesmie Osobné údaje Prevádzkovateľa spracúvať na vlastné účely. Najmä ich nepoužíva na marketing, nepredáva ich tretím osobám a nepoužíva ich na trénovanie modelov umelej inteligencie (čl. 12.3). Prevádzkovateľ poveruje Sprostredkovateľa, aby z údajov o používaní Služby vytváral agregované štatistické údaje, z ktorých nemožno identifikovať dotknuté osoby ani Prevádzkovateľa, a to na účely prevádzky, fakturácie, bezpečnosti a zlepšovania Služby. Takto vytvorené anonymné údaje nie sú osobnými údajmi a Sprostredkovateľ ich môže používať aj po skončení Zmluvy. Telemetria podľa čl. 2.3 písm. c) tým nie je dotknutá.

Článok 5 – Povinnosti Prevádzkovateľa

5.1 Prevádzkovateľ zodpovedá za zákonnosť spracúvania, ktoré Sprostredkovateľovi prikáže, najmä za:
a) existenciu právneho základu pre spracúvanie (čl. 6, prípadne čl. 9 GDPR);
b) splnenie informačnej povinnosti voči dotknutým osobám (čl. 13 a 14 GDPR), vrátane informácie o využití Funkcií AI a o nahrávaní a prepise hovorov;
c) získanie súhlasov, ak sa vyžadujú, najmä na nahrávanie hovorov (§ 12 zákona č. 40/1964 Zb. Občiansky zákonník, § 109 zákona č. 452/2021 Z. z. o elektronických komunikáciách), na marketingové e-maily a SMS a na automatické volacie systémy (§ 116 zákona č. 452/2021 Z. z.);
d) správnosť a aktuálnosť údajov, ktoré do Služby vkladá, a nastavenie oprávnení svojich Oprávnených používateľov;
e) rozhodnutie o použití integrácií s tretími stranami (čl. 9.8);
f) súlad sledovania otvorení e-mailov (sledovací pixel), ak ho pri svojich e-mailoch používa, s pravidlami ukladania informácií do koncového zariadenia a prístupu k nim (čl. 5 ods. 3 smernice 2002/58/ES a predpisy, ktoré ju preberajú), vrátane získania súhlasu adresáta, ak sa vyžaduje.

5.2 Prevádzkovateľ nebude Funkcie AI používať na účely, ktoré sú zakázané alebo vysokorizikové podľa nariadenia (EÚ) 2024/1689 o umelej inteligencii (ďalej len „AI Act“), v rozsahu podľa čl. 12.7 a VOP.

Článok 6 – Povinnosti Sprostredkovateľa

Sprostredkovateľ najmä:

6.1 spracúva Osobné údaje Prevádzkovateľa len podľa čl. 4 (čl. 28 ods. 3 písm. a) GDPR);

6.2 zabezpečí mlčanlivosť osôb oprávnených spracúvať Osobné údaje Prevádzkovateľa podľa čl. 7 (čl. 28 ods. 3 písm. b) GDPR);

6.3 prijme opatrenia podľa čl. 32 GDPR, opísané v čl. 8 a v Prílohe 2 (čl. 28 ods. 3 písm. c) GDPR);

6.4 do Osobných údajov Prevádzkovateľa pristupuje prostredníctvom svojich zamestnancov len v nevyhnutnom rozsahu, najmä pri riešení požiadavky podpory, ktorú Prevádzkovateľ alebo jeho Oprávnený používateľ zadá, pri riešení incidentu alebo poruchy alebo na základe právnej povinnosti. Každé podporné prihlásenie do organizácie Prevádzkovateľa sa zaznamenáva a zmeny vykonané počas neho sú v zázname zmien označené ako zmeny podpory;

6.5 dodržiava podmienky zapojenia Ďalších sprostredkovateľov podľa čl. 9 (čl. 28 ods. 3 písm. d) GDPR);

6.6 pomáha Prevádzkovateľovi pri plnení povinnosti reagovať na žiadosti dotknutých osôb podľa čl. 11 (čl. 28 ods. 3 písm. e) GDPR);

6.7 pomáha Prevádzkovateľovi pri plnení povinností podľa čl. 32 až 36 GDPR podľa čl. 8, 13 a 14 (čl. 28 ods. 3 písm. f) GDPR);

6.8 po skončení poskytovania Služby Osobné údaje Prevádzkovateľa vráti a vymaže podľa čl. 15 (čl. 28 ods. 3 písm. g) GDPR);

6.9 poskytne Prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audity podľa čl. 16 (čl. 28 ods. 3 písm. h) GDPR);

6.10 vedie záznamy o kategóriách spracovateľských činností vykonávaných v mene prevádzkovateľov (čl. 30 ods. 2 GDPR);

6.11 bez zbytočného odkladu informuje Prevádzkovateľa o žiadosti orgánu verejnej moci o sprístupnenie Osobných údajov Prevádzkovateľa, ak to právo nezakazuje, a vyhovie jej len v rozsahu, ktorý právo vyžaduje;

6.12 spolupracuje s dozorným orgánom (Úrad na ochranu osobných údajov Slovenskej republiky) pri plnení jeho úloh.

Článok 7 – Mlčanlivosť

7.1 Sprostredkovateľ zabezpečí, aby sa osoby oprávnené spracúvať Osobné údaje Prevádzkovateľa (zamestnanci a iné osoby konajúce na jeho pokyn) zaviazali zachovávať dôvernosť alebo aby ich viazala zákonná povinnosť mlčanlivosti (§ 79 zákona č. 18/2018 Z. z.).

7.2 Povinnosť mlčanlivosti trvá aj po skončení pracovného alebo iného vzťahu oprávnenej osoby a po skončení tejto Zmluvy.

7.3 Sprostredkovateľ poučí oprávnené osoby o ich povinnostiach pri spracúvaní osobných údajov. Prístup majú len osoby, ktoré ho potrebujú na plnenie svojich úloh.

Článok 8 – Bezpečnosť spracúvania

8.1 Sprostredkovateľ prijíma a udržiava technické a organizačné opatrenia uvedené v Prílohe 2 tak, aby zaistil úroveň bezpečnosti primeranú riziku (čl. 32 GDPR), s prihliadnutím na najnovšie poznatky, náklady, povahu, rozsah, kontext a účely spracúvania a na riziká pre práva a slobody fyzických osôb.

8.2 Sprostredkovateľ môže opatrenia meniť, ak nová úroveň ochrany nebude nižšia ako úroveň opísaná v Prílohe 2. O podstatných zmenách informuje Prevádzkovateľa aktualizáciou Prílohy 2.

8.3 Prevádzkovateľ zodpovedá za bezpečnosť na svojej strane, najmä za správu prístupov a oprávnení Oprávnených používateľov, ochranu prihlasovacích údajov, zapnutie dvojfaktorového overenia, zabezpečenie svojich zariadení a za bezpečnosť systémov tretích strán, ktoré so Službou prepojí.

Článok 9 – Ďalší sprostredkovatelia

9.1 Všeobecné povolenie. Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť Ďalších sprostredkovateľov (čl. 28 ods. 2 GDPR). Ďalší sprostredkovatelia zapojení ku dňu uzatvorenia Zmluvy sú uvedení v Prílohe 1, ktorej aktuálne znenie je zverejnené na https://dakoty.com/dpa.

9.2 Oznámenie zmeny. Sprostredkovateľ informuje Prevádzkovateľa o každej zamýšľanej zmene týkajúcej sa pridania alebo nahradenia Ďalšieho sprostredkovateľa najmenej 30 dní vopred, a to:
a) e-mailom vlastníkovi a administrátorom organizácie Prevádzkovateľa v Službe (alebo na e-mail určený Prevádzkovateľom pre oznámenia o ochrane údajov) a
b) aktualizáciou zoznamu podľa čl. 9.1 s vyznačením zmeny a dátumu jej účinnosti.
Oznámenie obsahuje názov a sídlo Ďalšieho sprostredkovateľa, účel, kategórie údajov, miesto spracúvania a záruku pri prenose do tretej krajiny.

9.3 Námietka. Prevádzkovateľ môže proti zmene namietať písomne na privacy@dakoty.com do uplynutia lehoty podľa čl. 9.2, ak má na to opodstatnené dôvody týkajúce sa ochrany osobných údajov. Zmluvné strany sa v dobrej viere pokúsia nájsť riešenie (napr. nevyužívať dotknutú funkciu, alternatívne nastavenie). Ak sa riešenie nenájde do 30 dní od námietky, Prevádzkovateľ môže Hlavnú zmluvu alebo dotknutú časť Služby vypovedať s účinnosťou ku dňu, keď by sa zmena uplatnila, bez sankcie. Sprostredkovateľ mu vráti alikvotnú časť vopred zaplatenej odplaty za obdobie po skončení. Ak Prevádzkovateľ v lehote nenamietne, zmena sa považuje za povolenú.

9.4 Naliehavá zmena. Ak je nahradenie Ďalšieho sprostredkovateľa nevyhnutné z dôvodu bezpečnosti, ukončenia jeho činnosti alebo inej okolnosti mimo kontroly Sprostredkovateľa, môže Sprostredkovateľ lehotu podľa čl. 9.2 skrátiť. Prevádzkovateľa o zmene informuje bez zbytočného odkladu s uvedením dôvodu a Prevádzkovateľ má práva podľa čl. 9.3 v lehote 30 dní od oznámenia.

9.5 Preklopenie povinností (čl. 28 ods. 4 GDPR). Sprostredkovateľ s každým Ďalším sprostredkovateľom uzatvorí písomnú zmluvu (aj v elektronickej podobe), ktorá mu uloží v podstate rovnaké povinnosti ochrany údajov, aké sú stanovené v tejto Zmluve, najmä poskytnutie dostatočných záruk primeraných technických a organizačných opatrení. Ak sú podmienky Ďalšieho sprostredkovateľa štandardizované (všeobecné zmluvné podmienky veľkých poskytovateľov), Sprostredkovateľ posúdi, či poskytujú v podstate rovnocennú úroveň ochrany.

9.6 Ak Ďalší sprostredkovateľ nesplní svoje povinnosti ochrany údajov, Sprostredkovateľ zodpovedá Prevádzkovateľovi za plnenie jeho povinností v plnom rozsahu (čl. 28 ods. 4 druhá veta GDPR).

9.7 Sprostredkovateľ na žiadosť Prevádzkovateľa poskytne relevantné časti zmluvy s Ďalším sprostredkovateľom alebo odkaz na jej verejné znenie. Obchodné tajomstvo môže začierniť.

9.8 Integrácie zvolené Prevádzkovateľom. Ďalšími sprostredkovateľmi nie sú tretie strany, ktorých služby Prevádzkovateľ sám pripojí k Službe a s ktorými má vlastný zmluvný vzťah, najmä e-mailové schránky (Google, Microsoft a iné), kalendáre, e-shopové platformy a porovnávače, dopravcovia, ktorých účet si Prevádzkovateľ pripojí, platobné brány na vlastný účet Prevádzkovateľa, nástroje na meranie návštevnosti nasadené Prevádzkovateľom (napr. Google Tag Manager v e-shope) a AI asistenti tretích strán pripojení cez MCP konektor alebo API. Prenos údajov do takých služieb sa vykonáva na pokyn Prevádzkovateľa a za ich spracúvanie DAKOTY nezodpovedá. Príklady takých integrácií sú v časti C Prílohy 1. Ďalšími sprostredkovateľmi nie sú ani služby, ktorým Sprostredkovateľ na pokyn Prevádzkovateľa odovzdáva údaje a ktoré ich spracúvajú ako samostatní prevádzkovatelia, najmä zasielateľ Pošta bez hranic (FROGMAN s.r.o.) a dopravcovia pri doprave a doručení zásielok e-shopu (časť C Prílohy 1, „Doprava a doručenie“). Zapnutím takej funkcie dáva Prevádzkovateľ pokyn na odovzdanie údajov potrebných na prepravu a doručenie; informovanie príjemcov o tomto odovzdaní (čl. 13 GDPR) zabezpečuje Prevádzkovateľ.

Článok 10 – Prenosy do tretích krajín

10.1 Sprostredkovateľ ukladá Osobné údaje Prevádzkovateľa v primárnej databáze a úložisku súborov v dátových centrách vo Frankfurte nad Mohanom (Nemecko). Niektorí Ďalší sprostredkovatelia však majú sídlo alebo spracúvajú údaje mimo EHP, prípadne majú prístup k údajom z tretej krajiny (napr. podpora, prevádzka). Zoznam s uvedením miesta spracúvania a záruky je v Prílohe 1.

10.2 Prenos Osobných údajov Prevádzkovateľa do tretej krajiny sa uskutoční len, ak je splnená niektorá z podmienok kapitoly V GDPR, najmä:
a) rozhodnutie Komisie o primeranosti (čl. 45 GDPR) vrátane DPF pre príjemcov v USA, ktorí sú certifikovaní podľa DPF;
b) SCC (čl. 46 ods. 2 písm. c) GDPR), spravidla modul 3 (sprostredkovateľ – sprostredkovateľ), uzatvorené medzi Sprostredkovateľom a Ďalším sprostredkovateľom alebo v zmluve Ďalšieho sprostredkovateľa s jeho subdodávateľom, doplnené o posúdenie vplyvu prenosu a o doplnkové opatrenia, ak sú potrebné;
c) ak štandardné podmienky Ďalšieho sprostredkovateľa obsahujú len SCC modul 2 (prevádzkovateľ – sprostredkovateľ), SCC modul 2 začlenené do jeho zmluvy so Sprostredkovateľom v spojení s touto Zmluvou, podľa ktorej Sprostredkovateľ koná na pokyn Prevádzkovateľa a jeho pokyny prenáša na Ďalšieho sprostredkovateľa (čl. 4 a 9.5), doplnené o posúdenie vplyvu prenosu a o doplnkové opatrenia, ak sú potrebné (Príloha 1, B1).

10.3 Prevádzkovateľ týmto dáva Sprostredkovateľovi pokyn na prenosy uvedené v Prílohe 1 za podmienok podľa čl. 10.2.

10.4 Ak sa záruka prenosu stane neplatnou (napr. zrušenie DPF), Sprostredkovateľ bez zbytočného odkladu zabezpečí náhradnú záruku (spravidla SCC) alebo prenos ukončí a Prevádzkovateľa o tom informuje.

10.5 Pri prenosoch na základe SCC Sprostredkovateľ posúdi právo a prax tretej krajiny a potrebu doplnkových opatrení a na žiadosť poskytne Prevádzkovateľovi zhrnutie tohto posúdenia.

Článok 11 – Pomoc pri právach dotknutých osôb

11.1 S prihliadnutím na povahu spracúvania Sprostredkovateľ pomáha Prevádzkovateľovi vhodnými technickými a organizačnými opatreniami pri plnení povinnosti reagovať na žiadosti o výkon práv dotknutej osoby podľa kapitoly III GDPR (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietka, práva pri automatizovanom rozhodovaní).

11.2 Služba umožňuje Prevádzkovateľovi vyhľadať, opraviť, exportovať a vymazať záznamy o dotknutých osobách v jednotlivých moduloch. Ak Prevádzkovateľ nemôže žiadosť vybaviť sám (napr. výmaz naprieč viacerými modulmi alebo z odvodených údajov), Sprostredkovateľ mu na žiadosť poskytne súčinnosť do 10 pracovných dní. Funkcie Služby na vyhľadanie, opravu, export a výmaz údajov a súčinnosť Sprostredkovateľa pri exporte alebo výmaze, ktorý Prevádzkovateľ nemôže vykonať sám, sú bezplatné. Inú súčinnosť nad rámec funkcií Služby (napr. ručné spracovanie rozsiahlej žiadosti) môže Sprostredkovateľ účtovať len podľa sadzby uvedenej v platnom cenníku Služby (https://dakoty.com/cennik), okrem prípadov, keď potreba súčinnosti vznikla porušením tejto Zmluvy Sprostredkovateľom.

11.3 Ak sa dotknutá osoba obráti so žiadosťou priamo na Sprostredkovateľa a z nej je zrejmé, že sa týka Prevádzkovateľa, Sprostredkovateľ ju bez zbytočného odkladu, najneskôr do 5 pracovných dní, postúpi Prevádzkovateľovi a dotknutej osobe oznámi, že ju postúpil. Na žiadosť sám nereaguje, ak ho Prevádzkovateľ nepoverí.

Článok 12 – Funkcie umelej inteligencie

12.1 Rozsah. Funkcie AI zahŕňajú najmä:
a) AI asistenta Milan v aplikácii (odpovede na otázky nad údajmi Prevádzkovateľa, návrhy textov, vykonávanie úkonov na pokyn Oprávneného používateľa);
b) AI chat v rezervačnom systéme Calendri pre koncových zákazníkov Prevádzkovateľa;
c) čítanie dokumentov (OCR) – vyťaženie údajov z faktúr, bločkov, bankových výpisov a iných dokumentov, vrátane automatického spracovania príloh e-mailov, ak ho Prevádzkovateľ zapne;
d) prepis nahrávok hovorov a stretnutí, ich súhrn a témy, ak Prevádzkovateľ nahrávanie a prepis zapne;
e) inteligentné (sémantické) vyhľadávanie – prevod textov záznamov na vektory (embeddingy);
f) návrhy odpovedí v zákazníckej komunikácii.

Funkcie AI sa uplatňujú len v moduloch, ktoré Prevádzkovateľ používa. AI asistenta a AI chat v Calendri môže Prevádzkovateľ vypnúť v nastaveniach organizácie.

12.2 Hlasové AI funkcie (AI telefonický agent, hlasový asistent) Služba neponúka a sú vypnuté.

12.3 Bez trénovania. Sprostredkovateľ nepoužíva Osobné údaje Prevádzkovateľa na trénovanie, doladenie ani iné zlepšovanie modelov umelej inteligencie – ani vlastných, ani modelov tretích strán. Požiadavky na modely odosiela s nastavením, ktoré zakazuje zber údajov a ich použitie na trénovanie (pri sprostredkovateľovi smerovania OpenRouter s nastavením „data_collection: deny“ a bez uchovávania obsahu požiadaviek podľa čl. 12.4).

12.4 Miesto spracúvania a uchovávanie. Vstupy do modelov a ich výstupy sa spracúvajú v EÚ:
a) jazykové modely Claude (Anthropic) sa volajú cez EÚ endpoint sprostredkovateľa smerovania OpenRouter (eu.openrouter.ai, režim spracúvania len v EÚ) a inferencia prebieha u Google Cloud (Vertex AI, región Európa) alebo Amazon Web Services (Amazon Bedrock, región Írsko);
b) embeddingy pre sémantické vyhľadávanie (Mistral Embed) a prepisy hovorov a stretnutí (Mistral Voxtral) sa spracúvajú u Mistral AI v EÚ, rovnako cez EÚ endpoint OpenRouter.

Požiadavky sa odosielajú bez uchovávania obsahu požiadaviek (Zero Data Retention), ako ho zaručuje OpenRouter pre zvolených poskytovateľov; metadáta podľa Prílohy 1. Priame volanie API spoločnosti Anthropic mimo EÚ sa nepoužíva. Metadáta požiadaviek (napr. čas požiadavky, použitý model, objem) môže OpenRouter, Inc. spracúvať v USA; týkajú sa účtu DAKOTY, pretože Sprostredkovateľ v požiadavkách neposiela identifikátory Oprávnených používateľov ani dotknutých osôb (Príloha 1, B1). Výstupy AI (napr. súhrny, prepisy, odpovede asistenta) ukladá Služba v údajoch Prevádzkovateľa a riadia sa lehotami podľa Prílohy 2.

12.5 Zmena modelu alebo poskytovateľa. Zmenu poskytovateľa modelu, ktorá je zmenou Ďalšieho sprostredkovateľa alebo miesta spracúvania, oznamuje Sprostredkovateľ podľa čl. 9.

12.6 Ľudský dohľad a transparentnosť. Funkcie AI nevykonávajú rozhodnutia s právnymi alebo podobne významnými účinkami na dotknuté osoby (čl. 22 GDPR). Výstupy AI sú návrhy a podklady, ktoré Oprávnený používateľ môže skontrolovať, upraviť alebo nepoužiť. AI asistent koná len na pokyn Oprávneného používateľa a v rozsahu jeho oprávnení v Službe. Systémy, ktoré komunikujú s fyzickými osobami (AI asistent, AI chat v Calendri), sa predstavujú ako AI. Výstupy AI sú v Službe označené a nesú aj strojovo čitateľné označenie, že ich vytvorila umelá inteligencia (čl. 50 AI Act).

12.7 Roly podľa AI Act. Pri Funkciách AI je DAKOTY poskytovateľom systému AI postaveného na modeloch AI na všeobecné účely tretích strán a Prevádzkovateľ nasadzujúcim subjektom. Prevádzkovateľ nebude Funkcie AI používať na účely uvedené v čl. 5 AI Act ani na vysokorizikové účely podľa prílohy III AI Act (napr. hodnotenie alebo monitorovanie výkonu zamestnancov, nábor, rozhodovanie o prístupe k úveru alebo k základným službám, rozpoznávanie emócií). Tento zákaz platí bez výnimky. Podrobnosti upravujú VOP.

12.8 MCP konektory a API. Ak Prevádzkovateľ pripojí k Službe AI asistenta tretej strany (napr. cez MCP konektor), údaje, ktoré tento asistent zo Služby načíta, spracúva jeho dodávateľ podľa zmluvy s Prevádzkovateľom. Nejde o Ďalšieho sprostredkovateľa DAKOTY (čl. 9.8).

Článok 13 – Posúdenie vplyvu a predchádzajúca konzultácia

13.1 Sprostredkovateľ poskytne Prevádzkovateľovi súčinnosť pri posúdení vplyvu na ochranu osobných údajov (čl. 35 GDPR) a pri predchádzajúcej konzultácii s dozorným orgánom (čl. 36 GDPR) v rozsahu informácií, ktoré má k dispozícii, najmä:
a) opis spracovateľských operácií Služby a tokov údajov vrátane Funkcií AI a call centra;
b) zoznam Ďalších sprostredkovateľov a miest spracúvania (Príloha 1);
c) opis bezpečnostných opatrení (Príloha 2).

13.2 Súčinnosť nad rámec informácií podľa čl. 13.1 môže Sprostredkovateľ účtovať len podľa sadzby uvedenej v platnom cenníku Služby (https://dakoty.com/cennik, čl. 11.2). Súčinnosť pri porušení ochrany osobných údajov podľa čl. 14 je bezplatná.

Článok 14 – Porušenie ochrany osobných údajov

14.1 Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany Osobných údajov Prevádzkovateľa bez zbytočného odkladu po tom, čo sa o ňom dozvedel (čl. 33 ods. 2 GDPR), najneskôr do 72 hodín od potvrdenia porušenia, s cieľom oznámiť ho do 48 hodín. Oznámenie zašle e-mailom vlastníkovi a administrátorom organizácie Prevádzkovateľa (prípadne na kontakt určený Prevádzkovateľom) a podľa potreby aj oznámením v Službe.

14.2 Oznámenie obsahuje v rozsahu, v akom sú informácie dostupné:
a) opis povahy porušenia vrátane kategórií a približného počtu dotknutých osôb a záznamov;
b) kontaktné miesto pre ochranu osobných údajov;
c) opis pravdepodobných následkov;
d) opis prijatých alebo navrhovaných opatrení vrátane opatrení na zmiernenie možných nepriaznivých dôsledkov.
Ak nie je možné poskytnúť všetky informácie naraz, Sprostredkovateľ ich poskytuje postupne bez zbytočného odkladu.

14.3 Sprostredkovateľ bez zbytočného odkladu prijme primerané opatrenia na zastavenie porušenia a zmiernenie jeho následkov, zdokumentuje porušenie a poskytne Prevádzkovateľovi bezplatne súčinnosť pri oznámení dozornému orgánu (čl. 33 GDPR) a dotknutým osobám (čl. 34 GDPR). Oznámenie dozornému orgánu a dotknutým osobám je povinnosťou Prevádzkovateľa. Sprostredkovateľ ho za Prevádzkovateľa urobí len na jeho výslovný pokyn.

14.4 Šifrovanie databázy na úrovni poskytovateľa infraštruktúry samo osebe nezakladá výnimku z oznámenia dotknutým osobám podľa čl. 34 ods. 3 písm. a) GDPR. O tom, či sa výnimka uplatní, rozhoduje Prevádzkovateľ na základe informácií od Sprostredkovateľa.

Článok 15 – Vrátenie a výmaz po skončení

15.1 Prevádzkovateľ môže počas trvania Hlavnej zmluvy kedykoľvek exportovať svoje údaje v štandardných formátoch (napr. CSV, JSON, PDF) prostredníctvom Služby (VOP čl. 7.2).

15.2 Po skončení Hlavnej zmluvy alebo zrušení organizácie:
a) Sprostredkovateľ sprístupní údaje Prevádzkovateľa na export počas 30 dní (VOP čl. 9.3); v tejto lehote sa organizácia v Službe už nepoužíva, údaje sa však ešte nevymazávajú;
b) po uplynutí tejto lehoty Sprostredkovateľ Osobné údaje Prevádzkovateľa vymaže alebo nezvratne anonymizuje v produkčných systémoch najneskôr do 30 dní, t. j. spravidla do 60 dní od skončenia;
c) kópie v zálohách databázy zaniknú postupne uplynutím doby uchovávania záloh u poskytovateľa databázy (Príloha 2, bod 3.1). Dovtedy sa zálohy používajú len na obnovu po incidente a sú chránené podľa Prílohy 2. Ak by sa zo zálohy obnovovali údaje, Sprostredkovateľ zabezpečí, aby sa vymazané údaje Prevádzkovateľa znova nesprístupnili;
d) Sprostredkovateľ zabezpečí výmaz alebo uplynutie retencie aj u Ďalších sprostredkovateľov podľa ich podmienok (napr. záznamy o odoslaných e-mailoch a SMS).

15.3 Prevádzkovateľ môže písomne požiadať o skorší výmaz (aj pred uplynutím lehoty podľa čl. 15.2 písm. a)). Sprostredkovateľ ho vykoná do 30 dní od doručenia žiadosti a na požiadanie výmaz písomne potvrdí.

15.4 Povinnosť výmazu sa neuplatní, ak právo Únie alebo Slovenskej republiky vyžaduje ďalšie uchovávanie (čl. 28 ods. 3 písm. g) GDPR). V takom prípade Sprostredkovateľ údaje uchová len v nevyhnutnom rozsahu, obmedzí ich spracúvanie a po uplynutí zákonnej lehoty ich vymaže. Za archiváciu svojich účtovných dokladov podľa osobitných predpisov zodpovedá Prevádzkovateľ (pri elektronických faktúrach VOP čl. 3a.6).

Článok 16 – Audit a informácie

16.1 Sprostredkovateľ poskytne Prevádzkovateľovi na požiadanie všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR, najmä aktuálnu Prílohu 1 a 2, odpovede na bezpečnostný dotazník v primeranom rozsahu a dostupné správy a certifikáty Ďalších sprostredkovateľov.

16.2 Ak informácie podľa čl. 16.1 nestačia, Prevádzkovateľ alebo audítor ním poverený, ktorý je viazaný mlčanlivosťou a nie je konkurentom Sprostredkovateľa, môže vykonať audit vrátane kontroly na mieste, a to:
a) po písomnom oznámení najmenej 30 dní vopred s uvedením rozsahu (pri podozrení na porušenie ochrany údajov alebo na žiadosť dozorného orgánu v kratšej lehote);
b) spravidla najviac raz za 12 mesiacov;
c) počas pracovného času a bez neprimeraného narušenia prevádzky, bez prístupu k údajom iných zákazníkov a k obchodnému tajomstvu Sprostredkovateľa, ktoré nesúvisí s plnením tejto Zmluvy.

16.3 Náklady auditu znáša Prevádzkovateľ. Ak audit preukáže podstatné porušenie Zmluvy Sprostredkovateľom, znáša primerané náklady auditu Sprostredkovateľ. Audit dátových centier Ďalších sprostredkovateľov sa nahrádza ich certifikátmi a správami (napr. ISO/IEC 27001, SOC 2), ak ich Ďalší sprostredkovateľ neumožňuje inak.

Článok 17 – Zodpovednosť

17.1 Každá zmluvná strana zodpovedá za škodu spôsobenú porušením svojich povinností podľa tejto Zmluvy a GDPR. Zodpovednosť voči dotknutým osobám sa riadi čl. 82 GDPR a táto Zmluva ju neobmedzuje.

17.2 Rozsah predvídateľnej škody. Zmluvné strany so zreteľom na povahu Služby a výšku odplaty vyhlasujú, že škoda, ktorú zmluvná strana pri uzatvorení Zmluvy predvídala alebo mohla predvídať ako možný následok porušenia svojich povinností podľa tejto Zmluvy (§ 379 Obchodného zákonníka), nepresahuje v úhrne za všetky škodové udalosti v jednom kalendárnom roku vyššiu z týchto súm:
a) trojnásobok odplaty zaplatenej Prevádzkovateľom za 12 mesiacov predchádzajúcich škodovej udalosti, alebo
b) 25 000 EUR.
Tento rozsah sa uplatní samostatne a nezapočítava sa do rozsahu podľa čl. 8.2 VOP.

17.3 Výnimky. Článok 17.2 sa neuplatní:
a) na škodu spôsobenú úmyselne alebo z hrubej nedbanlivosti,
b) ak Sprostredkovateľ spracúval Osobné údaje Prevádzkovateľa v rozpore so zákonnými pokynmi Prevádzkovateľa alebo nad ich rámec (čl. 28 ods. 10 GDPR),
c) na nároky dotknutých osôb podľa čl. 82 GDPR (čl. 17.1).

17.4 Vnútorné vyrovnanie. Ak zmluvná strana nahradila dotknutej osobe celú škodu podľa čl. 82 ods. 4 GDPR, má voči druhej zmluvnej strane nárok na tú časť náhrady, ktorá zodpovedá jej podielu zodpovednosti za škodu (čl. 82 ods. 5 GDPR). Na tento nárok sa uplatní čl. 17.2, ak nejde o prípad podľa čl. 17.3 písm. a) alebo b).

17.5 Náhrada škody zo strany Prevádzkovateľa. Prevádzkovateľ nahradí Sprostredkovateľovi škodu vrátane primeraných nákladov právneho zastúpenia, ktorá Sprostredkovateľovi vznikne v dôsledku:
a) pokynu Prevádzkovateľa, ktorý je v rozpore s právom, alebo
b) porušenia povinností Prevádzkovateľa podľa čl. 5.
Sprostredkovateľ o uplatnení nároku tretej osoby bez zbytočného odkladu informuje Prevádzkovateľa a umožní mu vyjadriť sa k nemu. Bez súhlasu Prevádzkovateľa nárok neuzná ani o ňom neuzavrie zmier. Prevádzkovateľ súhlas bezdôvodne neodoprie.

17.6 Pokuty. Pokutu uloženú dozorným orgánom znáša zmluvná strana, ktorej bola uložená. Ak bola pokuta uložená v príčinnej súvislosti s porušením povinností druhej zmluvnej strany, môže ju zmluvná strana požadovať od druhej zmluvnej strany ako náhradu škody podľa čl. 17.1 alebo 17.5, a to v rozsahu, v akom to právo pripúšťa, a v rozsahu podľa čl. 17.2.

17.7 Oznámenie porušenia ochrany osobných údajov ani poskytnutie súčinnosti podľa tejto Zmluvy nie je uznaním zodpovednosti.

Článok 18 – Uzatvorenie Zmluvy, zmeny a prednosť

18.1 Uzatvorenie. Zmluva tvorí súčasť Hlavnej zmluvy a uzatvára sa v elektronickej podobe:
a) nový zákazník: pri registrácii a zriadení organizácie, keď osoba konajúca za Prevádzkovateľa potvrdí súhlas s VOP a s touto Zmluvou s odkazmi na ich aktuálne znenie; potvrdenie nie je predvyplnené;
b) existujúci zákazník: akceptáciou Zmluvy vlastníkom alebo administrátorom organizácie v Službe po jej zobrazení;
c) na žiadosť: Prevádzkovateľ môže požiadať o vyhotovenie Zmluvy vo formáte PDF podpísanom zaručeným alebo kvalifikovaným elektronickým podpisom.

18.2 Záznam akceptácie. Sprostredkovateľ uchováva záznam o akceptácii: organizácia, Oprávnený používateľ, ktorý akceptoval, verzia znenia, dátum a čas a IP adresa. Na žiadosť Prevádzkovateľa mu poskytne záznam a znenie akceptovanej verzie vo formáte PDF. Všetky verzie Zmluvy sú dostupné na https://dakoty.com/dpa alebo na žiadosť. Záznam akceptácie spracúva Sprostredkovateľ ako prevádzkovateľ na preukázanie uzatvorenia Zmluvy; dobu jeho uchovávania upravujú Zásady ochrany osobných údajov DAKOTY.

18.3 Osoba, ktorá Zmluvu akceptuje, vyhlasuje, že je oprávnená konať za Prevádzkovateľa.

18.4 Zmeny. Sprostredkovateľ môže Zmluvu zmeniť, ak to vyžaduje zmena právnych predpisov, rozhodnutie dozorného orgánu alebo zmena Služby. Zmenu oznámi najmenej 30 dní pred účinnosťou e-mailom a v Službe. Zmena nesmie znížiť úroveň ochrany Osobných údajov Prevádzkovateľa. Ak Prevádzkovateľ so zmenou nesúhlasí, môže Hlavnú zmluvu vypovedať ku dňu účinnosti zmeny. Zmeny Prílohy 1 sa riadia čl. 9, zmeny Prílohy 2 čl. 8.2.

18.5 Prednosť. V otázkach ochrany osobných údajov má Zmluva prednosť pred VOP a Hlavnou zmluvou. Ak sa medzi zmluvnými stranami uplatnia SCC, majú prednosť pred touto Zmluvou.

18.6 Ak je niektoré ustanovenie neplatné alebo neúčinné, ostatné ustanovenia ostávajú platné. Zmluvné strany ho nahradia ustanovením, ktoré sa mu svojím účelom najviac približuje.

18.7 Účinnosť. Táto verzia Zmluvy je účinná od 1. 11. 2026. Pre Prevádzkovateľa, ktorý ju uzatvorí alebo akceptuje neskôr (čl. 18.1 a) alebo b)), nadobúda účinnosť dňom uzatvorenia alebo akceptácie. Pre existujúceho zákazníka, ktorý ju neakceptuje skôr, sa stáva súčasťou Hlavnej zmluvy ako zmena VOP uplynutím 30 dní od jej oznámenia podľa VOP (najskôr 1. 11. 2026); dovtedy platia ustanovenia o ochrane osobných údajov podľa doterajšieho znenia VOP. Existujúci zákazník, ktorý so Zmluvou nesúhlasí, môže Hlavnú zmluvu vypovedať ku dňu, keď by sa pre neho stala účinnou.

Článok 19 – Rozhodné právo a riešenie sporov

19.1 Zmluva sa riadi právnym poriadkom Slovenskej republiky, najmä GDPR, zákonom č. 18/2018 Z. z. o ochrane osobných údajov a zákonom č. 513/1991 Zb. Obchodný zákonník.

19.2 Spory zo Zmluvy sa riešia primárne dohodou. Ak sa dohoda nedosiahne, rozhodujú príslušné súdy Slovenskej republiky. Tým nie je dotknuté právo podať návrh na začatie konania na Úrade na ochranu osobných údajov Slovenskej republiky.

Prílohy

• Príloha 1 – Zoznam ďalších sprostredkovateľov
• Príloha 2 – Technické a organizačné opatrenia

Kontakty

A. Ďalší sprostredkovatelia – infraštruktúra a prevádzka Služby

B. Ďalší sprostredkovatelia – Funkcie AI (čl. 12 Zmluvy)

Modely Claude sa nevolajú priamo cez API spoločnosti Anthropic. Hlasové AI funkcie Služba neponúka (čl. 12.2 Zmluvy).

C. Služby tretích strán aktivované Prevádzkovateľom (nie sú Ďalšími sprostredkovateľmi DAKOTY – čl. 9.8 Zmluvy)

Tieto služby Prevádzkovateľ pripája sám a spravidla má s ich poskytovateľom vlastnú zmluvu, alebo ide o služby, ktorým DAKOTY odovzdáva údaje na pokyn Prevádzkovateľa a ktoré ich spracúvajú ako samostatní prevádzkovatelia. Údaje do nich DAKOTY odovzdáva na pokyn Prevádzkovateľa.

Doprava a doručenie

D. Mimo rozsahu Zmluvy – DAKOTY ako samostatný prevádzkovateľ (informatívne)

Tieto služby nespracúvajú Osobné údaje Prevádzkovateľa v jeho mene. Upravujú ich Zásady ochrany osobných údajov DAKOTY.

Notifikácie v reálnom čase a fronta úloh bežia vo vlastnej infraštruktúre DAKOTY u A2 a nie sú samostatnými Ďalšími sprostredkovateľmi.

1. Šifrovanie a pseudonymizácia (čl. 32 ods. 1 písm. a) GDPR)

1.1 Komunikácia medzi zariadeniami Oprávnených používateľov a Službou je šifrovaná protokolom TLS (HTTPS).

1.2 Spojenie medzi aplikáciou a databázou je šifrované (TLS).

1.3 Databáza a jej zálohy sú šifrované v pokoji na úrovni poskytovateľa databázy (Príloha 1, A1).

1.4 Súbory v úložisku objektov sú šifrované v pokoji na úrovni poskytovateľa úložiska (Príloha 1, A2).

1.5 Prístupové údaje k pripojeným službám (heslá a OAuth tokeny e-mailových schránok, API kľúče a tajomstvá integrácií e-shopov a ďalších systémov) sú navyše šifrované na aplikačnej úrovni algoritmom AES-256-GCM samostatným kľúčom, oddeleným od databázy. Aplikačné šifrovanie sa nevzťahuje na všetky osobné údaje.

1.6 Heslá Oprávnených používateľov a zákazníckych účtov koncových zákazníkov (Calendri) sa ukladajú výlučne ako jednosmerný haš (bcrypt).

1.7 Záznam obchodných udalostí neobsahuje kontaktné údaje ani položky objednávok, len identifikátory, stav a sumy.

2. Dôvernosť, integrita, dostupnosť a odolnosť (čl. 32 ods. 1 písm. b) GDPR)

2.1 Riadenie prístupu Oprávnených používateľov

• riadenie prístupu na základe rolí a oprávnení s možnosťou individuálnych výnimiek pre Oprávneného používateľa;
• dvojfaktorové overenie (2FA) a prihlásenie cez passkeys (WebAuthn);
• pri zmene alebo obnove hesla sa zrušia aj dlhodobé prístupy do účtu (osobné API tokeny, oprávnenia MCP konektorov, heslá aplikácií CalDAV, ICS kanály, push tokeny) a prihlasovacie relácie;
• obmedzenie počtu požiadaviek (rate limiting) na verejnom API a pri citlivých operáciách;
• ochrana verejných formulárov pred robotmi (Cloudflare Turnstile).

2.2 Oddelenie údajov

• logické oddelenie údajov organizácií: každý záznam je viazaný na organizáciu a aplikácia pri každej požiadavke overuje, že Oprávnený používateľ má prístup k danej organizácii a k danému záznamu;
• oddelené vývojové, testovacie a produkčné prostredie.

2.3 Prístup personálu Sprostredkovateľa

• prístup k produkčným systémom a administrácii Služby má len obmedzený okruh oprávnených osôb;
• podporné prihlásenie personálu do organizácie Prevádzkovateľa je technicky odlíšené od bežného prihlásenia, jeho začiatok sa zaznamenáva v auditnom zázname administrácie a zmeny vykonané počas neho sú v zázname zmien označené ako zmeny podpory; podporné prihlásenie je obmedzené počtom pokusov;
• tajomstvá aplikácie (kľúče, heslá) sú uložené mimo zdrojového kódu v správe tajomstiev infraštruktúry.

2.4 Záznamy a monitoring

• auditný záznam zmien a úkonov s identifikáciou Oprávneného používateľa (vrátane úkonov cez API a MCP);
• prevádzkový monitoring a zaznamenávanie chýb aplikácie vo vlastnej infraštruktúre, bez služieb tretích strán na zber chýb.

2.5 Infraštruktúra

• aplikácia beží v spravovanom Kubernetes a databáza v spravovanej databázovej službe, obe v dátových centrách vo Frankfurte (Príloha 1, A1 a A2);
• z internetu sú dostupné len služby publikované cez vstupnú bránu (ingress); interné služby, napr. fronta úloh, nie sú verejne dostupné a prístup k nim je obmedzený sieťovými pravidlami.

2.6 Bezpečnosť vývoja

• zmeny kódu prechádzajú revíziou a automatickými testami pred nasadením;
• funkcie s prístupom k údajom viacerých organizácií sa testujú aj na oddelenie údajov medzi organizáciami.

3. Obnova dostupnosti (čl. 32 ods. 1 písm. c) GDPR)

3.1 Databáza sa zálohuje automaticky u poskytovateľa databázy s možnosťou obnovy k bodu v čase v rámci doby uchovávania histórie podľa nastavenia služby. Staršie kópie zanikajú automaticky.

3.2 Súbory v úložisku objektov sú uložené redundantne v infraštruktúre poskytovateľa úložiska.

3.3 Pri výpadku fronty úloh sa môžu oneskoriť alebo zopakovať nespracované úlohy (napr. odoslanie notifikácie); uložené údaje Prevádzkovateľa tým nie sú dotknuté.

4. Testovanie a hodnotenie účinnosti (čl. 32 ods. 1 písm. d) GDPR)

4.1 Bezpečnostné opatrenia sa revidujú pri vývoji, pri zmenách infraštruktúry a pri zmenách Ďalších sprostredkovateľov.

4.2 Táto príloha a zoznam Ďalších sprostredkovateľov sa revidujú najmenej raz ročne a pri každej podstatnej zmene.

5. Organizačné opatrenia

5.1 Určené kontaktné miesto pre ochranu osobných údajov (privacy@dakoty.com), ktoré prijíma žiadosti, pokyny a hlásenia a zabezpečuje ich vybavenie. Sprostredkovateľ posúdil povinnosť určiť zodpovednú osobu podľa čl. 37 GDPR a § 44 zákona č. 18/2018 Z. z. a posúdenie aktualizuje pri podstatnej zmene rozsahu spracúvania.

5.2 Osoby s prístupom k osobným údajom sú viazané povinnosťou mlčanlivosti a sú poučené o svojich povinnostiach (čl. 7 Zmluvy).

5.3 Školenie personálu o ochrane údajov a o používaní AI (opatrenia na podporu AI gramotnosti podľa čl. 4 AI Act), a to zamestnancov aj externých spolupracovníkov, ktorí s AI systémami pracujú v mene Sprostredkovateľa.

5.4 Postup pri porušení ochrany osobných údajov: zistenie a zastavenie, posúdenie rozsahu a rizika, oznámenie Prevádzkovateľovi bez zbytočného odkladu, najneskôr do 72 hodín od potvrdenia porušenia (cieľ do 48 hodín), dokumentácia a analýza príčin.

5.5 Výber Ďalších sprostredkovateľov s ohľadom na záruky ochrany údajov a uzatvorenie zmlúv o spracúvaní údajov s nimi.

5.6 Vedenie záznamov o kategóriách spracovateľských činností (čl. 30 ods. 2 GDPR).

6. Funkcie AI

6.1 Vstupy do Funkcií AI sa odosielajú len poskytovateľom uvedeným v Prílohe 1, časť B, cez EÚ endpoint so spracúvaním v EÚ, bez uchovávania obsahu požiadaviek (Zero Data Retention), ako ho zaručuje OpenRouter pre zvolených poskytovateľov (metadáta podľa Prílohy 1), a so zákazom použitia údajov na trénovanie. Konfigurácia prepisov odmieta odoslanie nahrávky na iný ako EÚ endpoint.

6.2 AI asistent pracuje s oprávneniami Oprávneného používateľa, ktorý ho používa – vidí a mení len údaje, ku ktorým má prístup daný Oprávnený používateľ, a jeho úkony sa zaznamenávajú rovnako ako úkony cez MCP. AI chat v Calendri má prístup len k údajom rezervačného systému danej prevádzky (služby, pracovníci, voľné termíny, rezervácie), nie k ostatným modulom Služby.

6.3 Výstupy AI sú v Službe označené a nesú strojovo čitateľné označenie, že ich vytvorila umelá inteligencia.

6.4 Prevádzkovateľ môže AI asistenta a AI chat v Calendri vypnúť v nastaveniach organizácie. Nahrávanie a prepis stretnutí sa zapínajú pre konkrétne stretnutie.

7. Uchovávanie údajov