Príloha č. 1 k Podmienkam používania

Zmluva o spracovaní osobných údajov (DPA)

Zmluvné strany

Prevádzkovateľ (Controller):
Používateľ, ktorého identifikačné údaje (obchodné meno, sídlo, IČO, DIČ, zastupujúca osoba) sú vedené v jeho Používateľskom účte v aplikácii SureDocs Redact — vyplnené pri registrácii z verejných registrov (IČO lookup) a doplnené o údaje, ktoré z registrov nie sú dostupné.
Aktuálne live dáta konkrétneho Prevádzkovateľa a dátum/osoba potvrdenia tejto Zmluvy sú k dispozícii v jeho tlačiteľnom potvrdení Podmienok používania v SureDocs (Dashboard → Objednávky).
(ďalej len „Prevádzkovateľ")

Sprostredkovateľ (Processor):
InnovativeIT, s.r.o.
Sídlo: Častkovce 61, 916 27 Častkovce, Slovenská republika
Zapísaná v Obchodnom registri Okresného súdu Trenčín, oddiel: Sro, vložka č. 47355/R
IČO: 56427689 | DIČ: 2122313380 | IČ DPH: SK2122313380
Zastúpený: Ing. Pavol Žiška, konateľ
E-mail: [email protected]
(ďalej len „Sprostredkovateľ" alebo „SureDocs")

Preambula

Prevádzkovateľ a Sprostredkovateľ uzatvárajú túto Zmluvu o spracovaní osobných údajov (ďalej len „Zmluva") v súlade s čl. 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov (GDPR).

Sprostredkovateľ poskytuje Prevádzkovateľovi službu SureDocs Redact — automatizovanú anonymizáciu osobných údajov v dokumentoch. V rámci poskytovania tejto služby spracúva Sprostredkovateľ osobné údaje výlučne v mene a podľa pokynov Prevádzkovateľa.

Článok 1 — Predmet zmluvy

1.1 Predmetom tejto Zmluvy je úprava práv a povinností zmluvných strán pri spracúvaní osobných údajov v rámci využívania služby SureDocs Redact.

1.2 Táto Zmluva je neoddeliteľnou súčasťou (Príloha č. 1) Podmienok používania služby SureDocs Redact a nadobúda platnosť akceptáciou Podmienok používania.

1.3 Táto Zmluva sa uzatvára v elektronickej podobe. Prevádzkovateľ vyjadruje svoj výslovný súhlas s celým jej znením zaškrtnutím príslušného políčka pri registrácii do Služby — takto uzatvorená Zmluva je pre obe strany rovnako záväzná ako zmluva podpísaná vlastnoručne alebo kvalifikovaným elektronickým podpisom; samostatné papierové/elektronické podpisové vyhotovenie sa nevyžaduje.

Článok 2 — Rozsah, povaha a účel spracúvania

Účel spracúvania:
Automatická detekcia, klasifikácia a anonymizácia osobných údajov v dokumentoch nahraných Prevádzkovateľom do Služby za účelom plnenia povinností Prevádzkovateľa vyplývajúcich z GDPR a iných predpisov o ochrane osobných údajov.

Povaha spracúvania:

• Načítanie obsahu dokumentu (text extraction / OCR)
• Analýza textu modelom umelej inteligencie
• Identifikácia a klasifikácia osobných údajov
• Generovanie anonymizovaného výstupu
• Zápis záznamu o schválení do audit logu

Typy spracúvaných osobných údajov (v závislosti od obsahu nahraných dokumentov):

• Mená a priezviská fyzických osôb
• Adresy trvalého/prechodného pobytu
• Telefónne čísla a e-mailové adresy
• Čísla bankových účtov (IBAN)
• Rodné čísla a čísla dokladov totožnosti
• Dátumy narodenia
• Iné identifikátory fyzických osôb

Kategórie dotknutých osôb:
Fyzické osoby, ktorých osobné údaje sú obsiahnuté v dokumentoch nahraných Prevádzkovateľom (zákazníci, zamestnanci, zmluvné strany a pod.).

Trvanie spracúvania:
Po dobu trvania zmluvného vzťahu medzi stranami, prípadne po dobu nevyhnutnú na splnenie zákonných povinností.

Článok 3 — Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

3.1 Spracúvanie len na základe pokynov
Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov týkajúcich sa prenosu osobných údajov do tretích krajín, pokiaľ mu to neukladá právo EÚ alebo právo členského štátu; v takom prípade Sprostredkovateľ informuje Prevádzkovateľa o tejto právnej požiadavke pred spracúvaním, pokiaľ príslušné právo takéto informovanie nezakazuje.

3.2 Mlčanlivosť
Zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti.

3.3 Bezpečnostné opatrenia
Prijať všetky opatrenia požadované podľa čl. 32 GDPR, vrátane:

• Šifrovania prenášaných dát (TLS/HTTPS)
• Automatizovaného lokálneho filtra osobitných kategórií údajov podľa čl. 9 GDPR: text dokumentu (u skenov a fotografií po jeho lokálnom prečítaní) sa vyhodnotí na serveri Sprostredkovateľa ešte pred odoslaním akémukoľvek sub-sprostredkovateľovi a pri jasných znakoch zdravotných údajov sa dokument neodošle a odmietne; filter nie je 100 % spoľahlivý a nenahrádza povinnosť Prevádzkovateľa podľa čl. 4.2
• Dočasného spracovania dokumentov v operačnej pamäti servera a v jeho dočasnej kópii (interná databáza na tom istom serveri, dostupná len lokálne, uchovávaná najviac 12 hodín, pri API 4 hodiny, a mazaná pri ukončení relácie), bez trvalého ukladania obsahu po ukončení relácie; na účely automatickej analýzy sú dáta zasielané zvolenému sub-sprostredkovateľovi (čl. 6) výhradne cez jeho API, opäť bez trvalého uloženia na jeho strane po dokončení spracovania
• Riadenia prístupu k produkčnému prostrediu
• Pravidelného testovania bezpečnosti systémov (interné code review, automatizované CI kontroly; Sprostredkovateľ aktuálne nemá externú bezpečnostnú certifikáciu ISO 27001/SOC 2 ani formálny penetračný test — detail a kontext v internom dokumente dpia_lia_interne_posudenie.md Časť C)

Voliteľná zložka SureDocs Print driver (lokálne inštalovaná virtuálna tlačiareň) prijíma tlačové úlohy výhradne na 127.0.0.1 (nie je dostupná zo siete) a dokument ostáva len lokálne v počítači Používateľa, kým ho Používateľ v prehľadovom okne aplikácie sám nepotvrdí na spracovanie — až vtedy sa odošle na server SureDocs rovnakou cestou (/v1/api/jobs) ako pri bežnej API integrácii. Nejde teda o samostatný dátový tok mimo tejto Zmluvy, len o alternatívny spôsob odovzdania dokumentu na spracovanie.

3.4 Sub-sprostredkovatelia
Aktuálny zoznam sub-sprostredkovateľov je uvedený v Prílohe 1 — jeho akceptáciou udeľuje Prevádzkovateľ všeobecný písomný súhlas v zmysle čl. 28 ods. 2 GDPR. Sprostredkovateľ informuje Prevádzkovateľa o plánovaných zmenách (nový sub-sprostredkovateľ alebo jeho výmena) e-mailom najmenej 14 dní vopred. Prevádzkovateľ má právo vzniesť odôvodnenú námietku do 7 dní od tohto oznámenia; ak námietku v tejto lehote nevznesie, má sa za to, že so zmenou súhlasí.

3.5 Pomoc Prevádzkovateľovi
Zohľadňujúc povahu spracúvania pomáhať Prevádzkovateľovi prostredníctvom vhodných technických a organizačných opatrení pri plnení povinnosti Prevádzkovateľa odpovedať na žiadosti o výkon práv dotknutej osoby.

3.6 Pomoc pri plnení povinností podľa čl. 32–36 GDPR
Pomáhať Prevádzkovateľovi pri zabezpečení súladu s povinnosťami podľa čl. 32–36 GDPR (bezpečnosť, ohlasovanie porušení, posúdenie vplyvu, predchádzajúca konzultácia). Formálna povinnosť vykonať posúdenie vplyvu (DPIA, čl. 35) leží na Prevádzkovateľovi — Sprostredkovateľ nad rámec tejto pomoci aj sám interne posúdil riziko vlastného spracovania (rozsah, kategórie údajov, sub-spracovatelia) ako súčasť due diligence; záznam tohto posúdenia je interný dokument dpia_lia_interne_posudenie.md.

3.7 Vymazanie alebo vrátenie údajov
Na základe rozhodnutia Prevádzkovateľa po skončení poskytovania Služby vymazať alebo vrátiť všetky osobné údaje a vymazať existujúce kópie, pokiaľ právo EÚ alebo členského štátu nepožaduje ich uchovanie.

3.8 Audit a kontrola
Sprístupniť Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s povinnosťami stanovenými v tomto článku a umožniť audity a inšpekcie zo strany Prevádzkovateľa alebo iného auditora povereného Prevádzkovateľom, pričom k týmto auditom prispeje. Prevádzkovateľ je oprávnený vykonať audit maximálne raz za kalendárny rok, po predchádzajúcom písomnom oznámení najmenej 30 dní vopred (mimo tejto lehoty len pri dôvodnom podozrení na závažné porušenie). Sprostredkovateľ má voči Prevádzkovateľovi právo na náhradu reálne vynaložených nákladov na asistenciu pri audite podľa svojho platného hodinového cenníka.

3.9 Okamžité informovanie
Bezodkladne informovať Prevádzkovateľa, ak sa podľa jeho názoru pokyn porušuje GDPR alebo iné predpisy EÚ alebo členského štátu o ochrane údajov.

Článok 4 — Povinnosti Prevádzkovateľa

Prevádzkovateľ sa zaväzuje:

4.1 Nahrávaním dokumentov do Služby potvrdzuje, že disponuje zákonným základom pre spracúvanie osobných údajov obsiahnutých v týchto dokumentoch.

4.2 Zabezpečiť, aby nahrávané dokumenty NEOBSAHOVALI špeciálne kategórie osobných údajov podľa čl. 9 GDPR (zdravotné záznamy, biometrické údaje, genetické údaje, údaje o trestných rozsudkoch) — tento zákaz je absolútny a bez výnimky (zhodne s čl. 5 písm. b) Podmienok používania), Sprostredkovateľ naň neudeľuje a nemôže udeliť súhlas.

4.3 Informovať Sprostredkovateľa o akýchkoľvek pokynoch, požiadavkách alebo zmenách, ktoré by mohli mať vplyv na spracúvanie osobných údajov.

4.4 Zabezpečiť, aby schválenie anonymizácie v aplikácii vykonávali len oprávnené osoby s príslušnými právomocami.

Článok 5 — Prenos do tretích krajín

5.1 Prevádzkovateľ berie na vedomie, že v závislosti od zvoleného AI backendu môže dochádzať k prenosu obsahu dokumentov do tretích krajín:

5.2 Sprostredkovateľ zabezpečí, aby každý sub-sprostredkovateľ v tretej krajine bol viazaný primeranými zárukami v zmysle čl. 46 GDPR (Štandardné zmluvné doložky alebo iný vhodný mechanizmus).

5.2a Posúdenie vplyvu prenosu (Transfer Impact Assessment): Prevádzkovateľ berie na vedomie, že orgány USA (najmä podľa § 702 FISA a Executive Order 12333) môžu za určitých okolností požadovať prístup k dátam spracúvaným poskytovateľmi so sídlom alebo infraštruktúrou v USA, a to aj napriek existencii štandardných zmluvných doložiek. Sprostredkovateľ identifikoval toto riziko a prijal nasledujúce zmierňujúce opatrenia:

• doba spracovania dokumentu u AI sub-sprostredkovateľa je krátka (rádovo sekundy až nízke jednotky minút za bežnej prevádzky), nejde o trvalé uloženie — znižuje, ale nevylučuje pravdepodobnosť zachytenia dát v okne aktívneho spracovania (pozri aj čl. 8.1 a výnimku pre trust & safety monitorovanie);
• Anthropic je od júna 2026 certifikovaný podľa rámca EU-US Data Privacy Framework — doplnkový právny mechanizmus popri Štandardných zmluvných doložkách (čl. 45 GDPR);
• Používateľ sa môže prenosu do USA úplne vyhnúť voľbou backendu Mistral (EÚ) alebo Ollama (lokálne spracovanie) — pozri čl. 5.3.

Sprostredkovateľ nevyhlasuje, že technické opatrenia (napr. dočasné spracovanie bez trvalého ukladania obsahu) bránia prístupu orgánov verejnej moci tretej krajiny k dátam počas aktívneho spracovania — takéto vyhlásenie by bolo nepodložené. Používateľ spracúvajúci dokumenty s obzvlášť citlivým obsahom by mal zvážiť backend Mistral alebo Ollama.

5.3 Prevádzkovateľ môže minimalizovať prenos do tretích krajín výberom backendu Mistral (EÚ) alebo Ollama (lokálne) v nastaveniach aplikácie.

Článok 6 — Sub-sprostredkovatelia

Príloha 1 — Schválení sub-sprostredkovatelia

Sprostredkovateľ zaistí, aby sub-sprostredkovatelia boli viazaní rovnakými povinnosťami v oblasti ochrany osobných údajov, aké sa vzťahujú na Sprostredkovateľa podľa tejto Zmluvy. V súlade s čl. 28 ods. 4 GDPR zodpovedá Sprostredkovateľ Prevádzkovateľovi za riadne plnenie povinností ochrany osobných údajov zo strany sub-sprostredkovateľov v plnom rozsahu.

Poznámka — verejné registrové vyhľadávania (nie sú sub-sprostredkovatelia v zmysle čl. 28): SureDocs pri overovaní IČO počas registrácie/obnovy volá verejné register API (RPO ŠÚ SR, ZRSR a RMNO MV SR, Finančná správa SR, ARES ČR). Odosiela sa len IČO; odpoveďou sú prevažne verejné registrové údaje TRETÍCH subjektov (obchodné meno, adresa, právna forma), nie osobné údaje zákazníka Prevádzkovateľa — v tejto časti nejde o spracúvanie osobných údajov v mene Prevádzkovateľa a tieto služby zámerne NIE SÚ v tabuľke vyššie. Výnimka: ak register k danému IČO vráti aj meno štatutára/konateľa (fyzickej osoby), toto meno SureDocs ďalej spracúva ako osobný údaj — právny základ a retencia sú uvedené v tabuľke „Aké údaje zbierame" vyššie (meno štatutára), nie v tejto poznámke.

Článok 7 — Porušenie ochrany osobných údajov

7.1 V prípade porušenia ochrany osobných údajov (security breach) Sprostredkovateľ informuje Prevádzkovateľa bez zbytočného odkladu po tom, ako sa o porušení dozvedel.

7.2 Oznámenie obsahuje: popis povahy porušenia, kategórie a počet dotknutých osôb, kontaktné údaje zodpovednej osoby, opis pravdepodobných dôsledkov, opis opatrení prijatých na nápravu.

7.3 Prevádzkovateľ zodpovedá za splnenie oznamovacej povinnosti voči dozornému orgánu (pre slovenského Prevádzkovateľa ÚOOÚ SR, inak príslušný dozorný orgán) v zákonnej lehote 72 hodín podľa čl. 33 GDPR.

Článok 8 — Retenčná politika a výmaz

8.1 Obsah nahraných dokumentov nie je trvalo ukladaný — spracúva sa v operačnej pamäti servera a v jeho dočasnej kópii (čl. 3.3), ktorá sa po dokončení spracovania alebo ukončení relácie maže a najneskôr po 12 hodinách (pri API po 4 hodinách) vyprší. Stopy dočasnej kópie môžu v technickom žurnáli a snímke databázy na disku servera zostať, kým ich systém automaticky neprepíše (spravidla dni až týždne). Výnimka: AI sub-sprostredkovatelia (Anthropic, Mistral) môžu, v súlade s vlastnými zásadami dôveryhodnosti a bezpečnosti (trust & safety) a nezávisle od dohody o netrénovaní modelov, krátkodobo uchovávať vstupy/výstupy na účely monitorovania zneužitia — spravidla do 30 dní, vo výnimočných prípadoch zisteného porušenia podmienok používania aj dlhšie (pozri Podmienky používania čl. 2.2b).

8.2 Audit log (záznam o schválení anonymizácie) obsahuje: názov súboru, SHA-256 hash originálu, meno schvaľovateľa, časovú pečiatku, počet anonymizovaných polí, použitý backend. Audit log neobsahuje obsah dokumentu.

8.2a Audit log slúži na preukázanie súladu podľa čl. 5 ods. 2 a čl. 30 GDPR (interný záznam o spracovateľskej činnosti) — nemá povahu kvalifikovanej elektronickej pečate ani iného právne kvalifikovaného osvedčenia času/integrity, pokiaľ nie je medzi stranami výslovne dohodnuté inak.

8.3 Záznamy audit logu sú uchovávané po dobu 3 rokov (36 mesiacov) od ich vytvorenia, následne sú automaticky vymazané.

8.4 Registračné údaje Používateľa sú po zrušení účtu vymazané do 90 dní, pokiaľ ich uchovanie nevyžaduje zákon (napr. účtovné doklady — 10 rokov).

Článok 9 — Záverečné ustanovenia

9.1 Táto Zmluva sa riadi právnym poriadkom Slovenskej republiky a príslušnými predpismi EÚ, najmä GDPR.

9.2 V prípade rozporu medzi touto Zmluvou a Podmienkami používania má táto Zmluva prednosť v rozsahu ochrany osobných údajov.

9.3 Zmeny tejto Zmluvy sú platné len v písomnej forme (vrátane e-mailovej akceptácie).

9.4 Ak je niektoré ustanovenie tejto Zmluvy neplatné, ostatné ustanovenia zostávajú v platnosti.

9.5 Táto Zmluva nadobúda platnosť akceptáciou Podmienok používania služby SureDocs Redact — v elektronickej podobe podľa čl. 1.3, bez potreby papierového alebo kvalifikovaného elektronického podpisu.

9.6 Táto zmluva môže byť sprístupnená aj v preklade do iných jazykov. Preklad má výlučne informatívny charakter; v prípade rozporu medzi slovenským znením a prekladom má vždy prednosť slovenské znenie. Súhlas Používateľa sa vzťahuje na slovenské znenie; odsúhlasené slovenské znenie sa uloží ako oficiálny dokument v účte Používateľa (Dashboard → Objednávky) spolu s prekladom, ktorý mal Používateľ pri súhlase zobrazený.

Zásady ochrany osobných údajov (Privacy Policy)

Kto sme

InnovativeIT, s.r.o., Častkovce 61, 916 27 Častkovce, Slovenská republika, IČO: 56427689
Kontakt: [email protected] (žiadosti dotknutých osôb, ochrana osobných údajov)
Zodpovedná osoba (DPO): Prevádzkovateľ v súčasnosti nemá menovanú zodpovednú osobu; v otázkach ochrany osobných údajov kontaktujte priamo Poskytovateľa na kontakte vyššie.

Aké údaje zbierame

IP adresa a log prístupu sa zaznamenávajú ako technicky nevyhnutná súčasť prevádzky webového servera (rovnako ako u každej webovej služby) — nejde o súbor cookie ani o sledovací mechanizmus, a tento záznam sa vytvára nezávisle od voľby v cookie banneri. Voliteľné (analytické) súbory cookie SureDocs v súčasnosti nepoužíva. V produkčnej prevádzke prechádzajú požiadavky pred SureDocs cez Cloudflare (reverzný tunel, pozri Prílohu 1) — Cloudflare ako sub-sprostredkovateľ spracúva rovnaké IP/HTTP metadáta na vlastnej edge infraštruktúre podľa svojej DPA, nezávisle od 90-dňovej retencie SureDocs.

Pre položky so základom "Oprávnený záujem" bol vykonaný test proporcionality (balancing test) — záznam je v internom dokumente dpia_lia_interne_posudenie.md Časť B.

Vaše práva

Máte právo na: prístup · opravu · výmaz · obmedzenie spracúvania · prenosnosť · námietku · sťažnosť na dozornom orgáne (na Slovensku ÚOOÚ SR — dataprotection.gov.sk; alebo dozorný orgán členského štátu vášho obvyklého pobytu či miesta výkonu práce, čl. 77 GDPR).

Žiadosť pošlite na: [email protected] — odpovieme do 30 dní.