Smlouva o zpracování osobních údajů (DPA)

Tato smlouva o zpracování osobních údajů se uplatní mezi vámi jako zákazníkem (správcem) a Ad Vitam Invest AB (ProfitLens Consulting) (zpracovatelem) a začne se uplatňovat, jakmile začnete službu používat. Podpis se nevyžaduje; podmínky se uplatní v jejich nejnovější zveřejněné verzi a lze je stáhnout z této stránky.

V případě rozporu mezi touto smlouvou a nákupními podmínkami má v otázkách týkajících se zpracování osobních údajů přednost tato smlouva.

Zpracování zahrnuje automatizovanou cenovou analýzu: ukládání klientských souborů, kontroly kvality, deterministické výpočty v prohlížeči zákazníka, rozhovory, přepisy, výsledky analýz, zprávy a obsah prezentací. Podpora AI využívá Azure OpenAI v EU. Hlas je volitelný, aktivuje jej pouze respondent a lze jej vypnout; ProfitLens nepořizuje ani neukládá zvukové záznamy a ukládá pouze písemné přepisy.

Pro poskytování pokynů v průvodci nápovědou se do Azure OpenAI v EU odesílá omezený souhrn názvů sloupců, mapování, výsledků kontrol a, je-li tato možnost povolena, pseudonymizovaných vzorových řádků. Zákazník může sdílení vzorových řádků vypnout. Microsoft tento obsah nepoužívá k trénování základních modelů; jeho příslušné podmínky zabezpečení a sledování zneužití mohou povolovat omezené uchovávání.

Zpracování trvá po celou dobu používání služby a po dobu uchovávání stanovenou v zásadách ochrany osobních údajů.

Subjekty údajů: vaši zaměstnanci používající službu, respondenti rozhovorů a fyzické osoby, které se mohou vyskytovat v nahraných datech, například obchodní zástupci nebo kontaktní osoby u vašich zákazníků.

Údaje: jméno, pracovní pozice, e-mail, identifikátory zákazníků a transakční údaje. Zvláštní kategorie údajů podle Article 9 GDPR nesmějí být nahrávány. Názvy zákazníků lze maskovat za předpokladu, že maskování je konzistentní.

Osobní údaje zpracováváme pouze na základě vašich doložených pokynů, přičemž vaše používání služby a tyto podmínky představují takový pokyn.

Pracovníci s přístupem jsou vázáni mlčenlivostí. Přístup je řízen oprávněními a omezen na rozsah nezbytný pro výkon práce.

Zavádíme vhodná technická a organizační bezpečnostní opatření podle Article 32: šifrování při uložení i při přenosu, oddělení podle účtu a analýzy, vedení protokolů a postupy obnovy.

Pomáháme vám při vyřizování žádostí subjektů údajů a při posuzování vlivu a předchozích konzultacích v rozsahu, který lze přiměřeně požadovat.

O každém porušení zabezpečení osobních údajů, které se týká vašich údajů, vás informujeme bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění.

Při ukončení vaše osobní údaje vymažeme, nebo vám je vrátíme, pokud o to požádáte do třiceti dnů, s výjimkou případů, kdy nám právní předpisy ukládají jejich uchování.

Udělujete nám obecné předchozí povolení k zapojení dalších zpracovatelů. Každému dalšímu zpracovateli ukládáme povinnosti alespoň rovnocenné povinnostem podle této smlouvy a za jejich zpracování nadále odpovídáme jako za vlastní.

Současní další zpracovatelé a jejich funkce: Microsoft Ireland Operations Limited (Azure Blob Storage, klientské soubory ve Švédsku; Azure Database for PostgreSQL, přepisy, analýzy, zprávy a obsah prezentací v Irsku; Azure OpenAI, textová AI a volitelný hlas/přepis v EU Data Zone). Supabase (platforma webových stránek a aplikace, přístup na straně serveru a orchestrace služeb, účty, ověřování totožnosti, metadata přístupu a kredity). Poskytovatelé e-mailových služeb doručují systémová oznámení. Toto rozdělení popisuje používané služby; netvrdí, že hosting nebo podpora probíhají výhradně v EU.

Před zahájením využívání nového dalšího zpracovatele vás informujeme. Můžete vznést námitku z přiměřených důvodů, a pokud jí nemůžeme vyhovět, můžete službu ukončit a nechat si vrátit peníze za nevyužité kredity.

Primární úložiště klientského obsahu se nachází v regionech Azure EU: soubory v regionu Sweden Central (Švédsko) a přepisy, výsledky analýz, zprávy a obsah prezentací v regionu North Europe (Irsko). Inference Azure OpenAI EU Data Zone může probíhat v různých členských státech EU. Nasazení Global AI se nepoužívají. Deterministické výpočty probíhají lokálně v prohlížeči zákazníka. Ukládání a inference v EU neznamenají, že každý aplikační server nebo podpůrný dodavatel zpracovává data pouze v EU.

Dočasné kopie klientského obsahu v předchozím úložišti Supabase EU zůstávají zachovány po dobu ověřování a možnosti návratu k předchozímu řešení. Konečné odstranění vyžaduje samostatně schválený výmaz a neprobíhá automaticky při změně těchto podmínek. U přístupu podpůrných dodavatelů ze třetích zemí nebo předávání do třetích zemí uplatňujeme záruky pro předávání podle GDPR, včetně standardních smluvních doložek, jsou-li vyžadovány. Zabezpečení a sledování zneužití se rovněž řídí příslušnými podmínkami ochrany údajů a služby Microsoft; nebyla ověřena žádná výjimka zajišťující nulové uchovávání.

Na vyžádání poskytujeme dokumentaci potřebnou k doložení souladu s Article 28 GDPR. Audit lze provést jednou ročně po oznámení v přiměřeném předstihu a bez zpřístupnění údajů jiných zákazníků.

Podpora AI se používá pouze v několika krocích a nikdy neobdrží celý nahraný datový soubor. Výpočty provádí verzovaný kód bez AI.

Před odesláním vzorových hodnot dalšímu zpracovateli AI jsou názvy zákazníků, názvy produktů, obchodní zástupci a segmenty nahrazeny stabilními kódy. Převodní tabulka se dočasně vytváří v paměti a neukládá se.

Zákazník může zvolit Standardní režim (kódované vzorové hodnoty), Omezený režim (pouze názvy sloupců a listů) nebo režim Bez AI pro data (podpora AI v datových krocích je vypnuta). Nastavení platí pro účet a lze je změnit pro jednotlivou analýzu.

Před každým voláním AI si zákazník může zobrazit přesný odesílaný text. Každé volání se zaznamenává pro příslušnou analýzu s uvedením času, kroku, režimu, počtu znaků a informace, zda byly zahrnuty vzorové hodnoty; protokol lze stáhnout a slouží jako podklad pro vaše vlastní záznamy podle Article 30 GDPR.