Pogodba o obdelavi osebnih podatkov – standardni DPA

1. Pogodbeni stranki in uvodne določbe

Upravljavec: naročnik storitve Truebar, ki je sklenil naročniško razmerje za kateri koli paket in ta dokument sprejel (v nadaljevanju: upravljavec).

Obdelovalec: VITASIS, informacijske tehnologije, d.o.o., Partizanska cesta 8A, 1381 Rakek, matična številka: 8299919000, davčna številka: SI 73387797, (v nadaljevanju: obdelovalec).

1.1 Ta pogodba ureja obdelavo osebnih podatkov, ki jo obdelovalec izvaja v imenu upravljavca pri zagotavljanju storitve Truebar, skladno s 28. členom Uredbe (EU) 2016/679 (GDPR) in Zakonom o varstvu osebnih podatkov (ZVOP-2).

1.2 Pogodba je sestavni del Pogojev uporabe storitve Truebar. Ob neskladju med njima glede varstva osebnih podatkov prevladajo določbe te pogodbe.

1.3 Pogodba začne veljati, ko jo upravljavec sprejme elektronsko ali podpiše, in velja ves čas trajanja naročniškega razmerja ter do izbrisa podatkov po 10. členu.

1.4 Pogodba se uporablja v enotni obliki za vse pakete. Z naročniki paketa Enterprise se lahko z individualno pogodbo dogovorijo prilagojeni pogoji in specifike posameznega okolja (lokacija obdelave, podobdelovalci, dostopi, revizije); individualna pogodba ima pri neskladju prednost pred to pogodbo.

2. Opredelitev pojmov

Pojmi, kot so osebni podatek, obdelava, upravljavec, obdelovalec, posameznik, na katerega se nanašajo osebni podatki, in kršitev varnosti osebnih podatkov, imajo pomen, določen v 4. členu GDPR. Poleg tega v tej pogodbi pomenijo:

3. Predmet, narava, namen in trajanje obdelave

3.1 Obdelovalec obdeluje osebne podatke izključno za namen zagotavljanja storitve upravljavcu: razpoznavo govora, segmentacijo govorcev, urejanje, prevajanje, ustvarjanje podnapisov, AI povzemanje in shranjevanje vsebin upravljavca.

3.2 Vrste osebnih podatkov, kategorije posameznikov in načini obdelave so podrobneje opisani v Prilogi 1.

3.3 Upravljavec samostojno odloča, katere vsebine naloži v storitev. Če vsebine vsebujejo posebne vrste osebnih podatkov po 9. členu GDPR (npr. zdravstvene podatke) ali podatke o kazenskih obsodbah, upravljavec na podlagi lastne ocene tveganja presodi, ali so ukrepi iz Priloge 2 zanj zadostni, in po potrebi z obdelovalcem z individualno pogodbo dogovori dodatne ukrepe.

3.4 Obdelava traja ves čas naročniškega razmerja in se konča z izbrisom podatkov po 10. členu.

4. Obveznosti obdelovalca

Obdelovalec se zavezuje, da bo:

1. osebne podatke obdeloval samo po dokumentiranih navodilih upravljavca; za navodila štejejo ta pogodba, Pogoji uporabe in upravljavčeva uporaba funkcij storitve;
2. upravljavca brez odlašanja obvestil, če meni, da je navodilo v nasprotju z GDPR ali drugo zakonodajo o varstvu podatkov;
3. zagotovil, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti;
4. izvajal tehnične in organizacijske ukrepe iz Priloge 2;
5. vsebin upravljavca ne bo uporabljal za lastne namene, vključno z učenjem ali izboljševanjem modelov umetne inteligence, in tega ne bo dovolil niti podobdelovalcem;
6. upravljavcu pomagal pri izpolnjevanju obveznosti iz 8. člena te pogodbe;
7. upravljavcu na zahtevo posredoval informacije, potrebne za dokazovanje skladnosti s to pogodbo in 28. členom GDPR, skladno s členom 9.

5. Obveznosti upravljavca

5.1 Upravljavec zagotavlja, da ima za obdelavo osebnih podatkov, ki jih naloži v storitev, ustrezno pravno podlago po 6. členu GDPR (in po potrebi 9. členu).

5.2 Upravljavec je odgovoren za obveščanje posameznikov, zlasti udeležencev snemanih sestankov ali pogovorov, o snemanju, transkripciji in obdelavi njihovih podatkov.

5.3 Upravljavec samostojno oceni, ali so ukrepi, opisani v tej pogodbi in Prilogi 2, primerni za vrsto podatkov, ki jih obdeluje, vključno z lokacijo obdelave iz 7. člena.

5.4 Upravljavec skrbi za varnost svojega uporabniškega računa, vključno z gesli, in obdelovalca obvesti o morebitni zlorabi.

6. Podobdelovalci

6.1 Upravljavec s sprejemom te pogodbe daje splošno pisno dovoljenje za vključitev podobdelovalcev, navedenih na seznamu podobdelovalcev, objavljenem na spletni strani obdelovalca, v vsakokrat veljavni različici (Priloga 3).

6.2 Obdelovalec seznam podobdelovalcev objavlja na https://truebar.si/podobdelovalci in o nameravanih spremembah (dodajanju ali zamenjavi) upravljavca obvesti po e-pošti ali v aplikaciji najmanj 14 dni vnaprej. Seznam za vsakega podobdelovalca navaja ime, namen obdelave, lokacijo obdelave in podlago za morebiten prenos v tretjo državo.

6.3 Upravljavec lahko spremembi iz utemeljenih razlogov varstva podatkov ugovarja v tem roku. Če stranki ne najdeta rešitve, lahko upravljavec naročniško razmerje odpove brez odpovednega roka.

6.4 Obdelovalec s vsakim podobdelovalcem sklene pogodbo, ki mu nalaga enake obveznosti varstva podatkov, kot jih ima obdelovalec po tej pogodbi, in za njegovo delo upravljavcu odgovarja.

7. Lokacija obdelave in prenos v tretje države

7.1 Storitev gostuje v podatkovnem centru podobdelovalca v Sloveniji, kjer se hranijo vsebine upravljavca. Posamezne funkcije izvajajo podobdelovalci s seznama podobdelovalcev, pri katerih obdelava poteka v EU.

7.2 Za naročnike paketa Enterprise z namenskim ločenim okoljem ali lokalno (on-premise) namestitvijo lokacijo obdelave in morebitne podobdelovalce lahko določa individualna pogodba (točka 1.4).

7.3 Nekateri podobdelovalci imajo sedež zunaj EGP (npr. v ZDA). Če pride do prenosa osebnih podatkov v tretjo državo ali dostopa iz nje, obdelovalec zagotovi ustrezno podlago po V. poglavju GDPR, zlasti sklep o ustreznosti (npr. okvir EU-ZDA za zasebnost podatkov) ali standardne pogodbene klavzule Evropske komisije.

7.4 Za AI povzemanje obdelovalec uporablja ponudnika s seznama podobdelovalcev, pri katerem se zahteve obdelujejo v EGP. Če ima ponudnik sedež zunaj EGP, se za morebiten dostop iz tretje države uporablja podlaga iz točke 7.3.

7.5 Za razpoznavo govora v paketih OSNOVNI, ZAČETNI in PRO ter za prevajanje v vseh paketih obdelovalec uporablja zunanjega ponudnika s seznama podobdelovalcev, pri katerem obdelava poteka v EU. V paketu Enterprise razpoznava govora privzeto poteka z lastnimi modeli obdelovalca, nameščenimi v njegovem okolju (točka 7.1), tako da se zvok za prepis ne posreduje tretjim osebam; naročnik lahko izbere, da se za razpoznavo govora uporablja zunanji ponudnik. Obdelovalec rezultate obdelave (prepise in prevode) prevzame v svoje okolje, kjer jih hrani skladno s točko 7.1, in takoj po prevzemu pri zunanjem ponudniku izbriše posredovane datoteke in rezultate, tako da pri njem ne ostanejo shranjeni. Zunanji ponudnik podatkov ne uporablja za učenje modelov. Če ima ponudnik sedež zunaj EGP, se za sistemske podatke (npr. metapodatke zahtev) in morebiten omejen dostop iz tretje države uporablja podlaga iz točke 7.3.

8. Varnost, kršitve in pomoč upravljavcu

8.1 Obdelovalec izvaja tehnične in organizacijske ukrepe iz Priloge 2, ki ustrezajo tveganjem obdelave v skladu s 32. členom GDPR. Ukrepe lahko posodablja, če se raven zaščite ne zmanjša.

8.2 Obdelovalec upravljavca brez nepotrebnega odlašanja, najpozneje v 72 urah po seznanitvi, obvesti o kršitvi varnosti osebnih podatkov, ki zadeva vsebine upravljavca. Obvestilo vsebuje podatke, ki so obdelovalcu na voljo in jih upravljavec potrebuje za izpolnitev obveznosti iz 33. in 34. člena GDPR.

8.3 Obdelovalec upravljavcu v razumnem obsegu pomaga pri odgovarjanju na zahteve posameznikov za uveljavljanje pravic (dostop, popravek, izbris, omejitev, prenosljivost, ugovor). Upravljavec lahko večino zahtev izvede sam z uporabo funkcij storitve (izvoz in brisanje sej). Zahtevo, ki jo posameznik naslovi neposredno na obdelovalca, ta posreduje upravljavcu.

8.4 Obdelovalec upravljavcu na zahtevo posreduje informacije, potrebne za oceno učinka v zvezi z varstvom podatkov in predhodno posvetovanje z nadzornim organom, kolikor se nanašajo na storitev.

9. Revizije

9.1 Obdelovalec da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz člena 28 GDPR (opis ukrepov, seznam podobdelovalcev, dnevnike dostopa v obsegu, ki zadeva upravljavca), ter omogoči in prispeva k revizijam, vključno s pregledom dokumentacije, odgovori na pisni vprašalnik ali oddaljenim pregledom, ki jih izvaja upravljavec ali revizor po njegovem pooblastilu. Tak pregled se najavi najmanj 30 dni prej, izvede med običajnim delovnim časom, največ enkrat letno (razen ob kršitvi ali zahtevi nadzornega organa) in tako, da ne posega v podatke drugih naročnikov.

9.2 Fizični pregled na lokaciji obdelovalca je mogoč le, če pregled po točki 9.1 ne zadošča za dokazovanje skladnosti, kadar ga nalaga nadzorni organ ali kadar pride do kršitve varnosti, ki zadeva upravljavčeve podatke. Fizični pregled se najavi vsaj 30 dni vnaprej (ob kršitvi varnosti v razumnem krajšem roku) in izvede med običajnim delovnim časom tako, da ne posega v podatke drugih naročnikov in poslovne skrivnosti obdelovalca. Revizor mora biti zavezan k zaupnosti, stroške fizičnega pregleda pa krije upravljavec.

10. Hramba in izbris podatkov

10.1 Vsebine upravljavca se hranijo, dokler jih upravljavec ne izbriše sam. Izvorni posnetki in prepisi se samodejno brišejo po 90 dneh od nastanka.

10.2 Po prenehanju naročniškega razmerja ali ukinitvi računa ima upravljavec 14 dni časa za izvoz svojih vsebin. Po izteku tega roka obdelovalec vsebine izbriše, varnostne kopije pa v največ 90 dneh, razen če zakon zahteva daljšo hrambo.

10.3 Podobdelovalec za AI povzemanje ne hrani zahtev in odgovorov dlje, kot je potrebno za obdelavo.

11. Odgovornost

11.1 Za odgovornost strank za škodo, nastalo zaradi kršitve te pogodbe, se uporabljajo določbe o omejitvi odgovornosti iz Pogojev uporabe, kolikor to dopušča 82. člen GDPR in drugi prisilni predpisi.

12. Končne določbe

12.1 Obdelovalec lahko to pogodbo spremeni zaradi spremembe zakonodaje, navodil nadzornega organa ali storitve. O bistvenih spremembah upravljavca obvesti najmanj 14 dni vnaprej; upravljavec ima v tem primeru pravico do odpovedi po točki 6.3.

12.2 Za pogodbo se uporablja pravo Republike Slovenije. Za spore je pristojno stvarno pristojno sodišče v Ljubljani.

12.3 Če je katera določba neveljavna, to ne vpliva na veljavnost drugih določb.

12.4 Kontakt za varstvo osebnih podatkov pri obdelovalcu: dpo@vitasis.si.

Priloga 1: Opis obdelave

Priloga 2: Tehnični in organizacijski ukrepi

• Šifriranje: prenos podatkov prek TLS 1.2.
• Nadzor dostopa: dostop zaposlenih do vsebin upravljavca le, kadar je nujen za podporo ali odpravo napak, na podlagi načela najmanjših pravic; dvostopenjsko preverjanje za administrativne dostope.
• Avtentikacija uporabnikov: prijava prek Keycloak; možnost dvostopenjskega preverjanja.
• Ločevanje podatkov: logična ločenost podatkov posameznih uporabnikov.
• Beleženje: beleženje dostopov in administrativnih dejanj, hramba dnevnikov 90 dni.
• Razpoložljivost: redne varnostne kopije, načrt obnove po incidentu.
• Upravljanje ranljivosti: redne posodobitve sistemov, periodični varnostni pregledi.
• Zaposleni: pogodbene zaveze k zaupnosti, usposabljanje o varstvu podatkov.
• Podobdelovalci: pogodbe o obdelavi, ocena varnostnih praks pred vključitvijo; za AI povzemanje ponudnik ne uporablja podatkov za učenje modelov.

Priloga 3: Seznam podobdelovalcev

Seznam podobdelovalcev je objavljen na https://truebar.si/podobdelovalci in je sestavni del te pogodbe v vsakokrat veljavni različici. Spremembe seznama se izvajajo po postopku iz 6. člena.