Zmluva o spracúvaní osobných údajov (DPA)

Zmluva o spracúvaní údajov podľa čl. 28 GDPR (nariadenie (EÚ) 2016/679)  •  Súčasť Všeobecných obchodných podmienok  •  Autentický jazyk: angličtina  •  Preklady tohto dokumentu do iných jazykov sa poskytujú pre pohodlie. Anglický text je autentickou verziou a má prednosť na účely výkladu. Ak sa však preklad odchýli od anglického textu, nebudeme sa tejto odchýlky dovolávať na ujmu Zákazníka.

1. Zmluvné strany

LLC "DataPrime", spoločnosť registrovaná v krajine Ukrajina, je spoločnosť, ktorá prevádzkuje službu Lingverra. „Lingverra“ je obchodné označenie, pod ktorým spoločnosť službu poskytuje, a nejde o samostatnú právnickú osobu; v tomto dokumente „Lingverra“ alebo „my“ znamená LLC "DataPrime".

Táto zmluva o spracúvaní údajov („DPA“) sa uzatvára medzi:

Sprostredkovateľ:
LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukrajina
Registračné číslo: 46215708
E-mail: support@lingverra.com (ďalej len „Sprostredkovateľ“)

Prevádzkovateľ:
Súdny/oprávnený prekladateľ alebo prekladateľská agentúra, ktorá prijme Všeobecné obchodné podmienky a zaregistrovala si používateľské konto na platforme Lingverra (ďalej len „Zákazník“ alebo „Prevádzkovateľ“). Služba je určená výlučne podnikateľom (B2B); nie je určená spotrebiteľom.

Táto DPA je súčasťou Všeobecných obchodných podmienok a je do nich začlenená. Prijatím Všeobecných obchodných podmienok Prevádzkovateľ prijíma aj túto DPA. DPA nadobúda účinnosť v okamihu, keď Prevádzkovateľ prijme Všeobecné obchodné podmienky.

2. Rozdelenie postavenia (prevádzkovateľ / sprostredkovateľ)

Pokiaľ ide o osobné údaje obsiahnuté v dokumentoch nahraných Zákazníkom (klienti Zákazníka, osoby uvedené v listinách, tretie osoby), prevádzkovateľom je Zákazník v zmysle čl. 4 bodu 7 GDPR a Lingverra je sprostredkovateľom v zmysle čl. 4 bodu 8 GDPR. Zákazník určuje účely a prostriedky spracúvania týchto údajov; Lingverra ich spracúva výlučne na poskytnutie prekladateľskej služby v jeho mene.

2.1 Zdokumentovaný pokyn nahratím dokumentu

Používanie platformy je dobrovoľné a vždy ho iniciuje Zákazník. Predtým, než sa akýkoľvek dokument spracuje, sa Zákazník musí zaregistrovať, prijať Všeobecné obchodné podmienky vrátane tejto DPA a udeliť na platforme súhlas; až potom sa sprístupní pracovná časť služby. Každé nahratie dokumentu na preklad predstavuje samostatný, vedomý a zdokumentovaný pokyn Prevádzkovateľa Sprostredkovateľovi v zmysle čl. 28 ods. 3 písm. a) GDPR, udelený s predchádzajúcou znalosťou technických prostriedkov opísaných v oddiele 2.2 a v zozname ďalších sprostredkovateľov. Sprostredkovateľ nespracúva žiadny obsah dokumentov, kým Prevádzkovateľ takýto pokyn nevydá nahratím dokumentu.

2.2 Sprostredkovateľ určuje len technické prostriedky vykonania

Prevádzkovateľ určuje účel spracúvania (či, prečo a ktorý dokument sa prekladá) a zachováva si kontrolu nad obsahom a nad dotknutými osobami. Sprostredkovateľ určuje len nepodstatné, technické prostriedky vykonania tohto pokynu, a to: použitý prekladový model umelej inteligencie („Claude“) a kanál a región v EÚ, cez ktoré sa k nemu pristupuje (pozri zoznam ďalších sprostredkovateľov), dobu uchovávania, po ktorej sa obsah automaticky vymaže, schému šifrovania (samostatný kľúč pre každý dokument) a hostingovú infraštruktúru. V súlade s ustáleným rozlišovaním medzi podstatnými a nepodstatnými prostriedkami (pozri usmernenia EDPB 07/2020 k pojmom prevádzkovateľ a sprostredkovateľ) určenie takýchto technických prostriedkov sprostredkovateľom nerobí zo sprostredkovateľa prevádzkovateľa.

Služba sa poskytuje prostredníctvom jedinej, štandardizovanej technickej konfigurácie; Sprostredkovateľ neponúka a Zákazník nevyberá alternatívne prostriedky (model, región, uchovávanie alebo šifrovanie). Prijatím tejto DPA a nahratím dokumentu Prevádzkovateľ dáva Sprostredkovateľovi pokyn vykonať spracúvanie práve týmito technickými prostriedkami. Neexistencia voľby medzi jednotlivými prostriedkami odráža štandardizovanú, nástrojovú povahu služby a nezveruje Sprostredkovateľovi žiadnu rozhodovaciu právomoc nad účelmi spracúvania. Rozhodnutie, či technické prostriedky ponúkané Sprostredkovateľom vôbec využije, patrí úplne Prevádzkovateľovi: Prevádzkovateľ slobodne rozhoduje, či na spracovanie daného dokumentu použije súbor prostriedkov Sprostredkovateľa, a môže sa kedykoľvek zdržať používania služby. Prostriedky sa tak dávajú Prevádzkovateľovi k dispozícii a ich použitie na spracúvanie je vlastným dobrovoľným rozhodnutím Prevádzkovateľa; práve táto dobrovoľná voľba Prevádzkovateľa, a nie akékoľvek jednostranné určenie zo strany Sprostredkovateľa, rozhoduje o tom, či k spracúvaniu dôjde.

2.3 Žiadne vlastné využitie obsahu

Sprostredkovateľ spracúva obsah dokumentov výlučne na vykonanie prekladu, ktorý mu Prevádzkovateľ uložil. Sprostredkovateľ obsah dokumentov nepoužíva na žiadne vlastné účely, neanalyzuje ho ani z neho nevytvára profily, neposkytuje ho tretím osobám okrem ďalších sprostredkovateľov potrebných na poskytovanie služby (oddiel 6) a obsah sa nepoužíva na trénovanie, doladenie ani zlepšovanie žiadneho modelu umelej inteligencie. Sprostredkovateľ z obsahu nezískava žiadny samostatný prospech nad rámec poskytnutia dohodnutej služby.

Zákazník vykonáva svoje povolanie na vlastnú zodpovednosť a sám rozhoduje, či a na akom právnom základe nahrá dokument klienta na platformu na preklad. Lingverra neoveruje a nezodpovedá za to, či je Zákazník oprávnený príslušné údaje odovzdať; táto zodpovednosť patrí výlučne Zákazníkovi ako prevádzkovateľovi (pozri oddiel 13).

Lingverra vystupuje ako sprostredkovateľ len dovtedy, kým príslušný obsah drží. Po vymazaní obsahu podľa oddielu 11 (štandardne 72 hodín po dodaní), alebo skôr, ak ho Prevádzkovateľ vymaže vo svojom konte Lingverra tento obsah ďalej nespracúva a prestáva voči nemu vystupovať ako sprostredkovateľ.

3. Predmet a účel spracúvania

Lingverra prevádzkuje cloudovú platformu typu softvér ako služba na preklad úradných a iných dokumentov s podporou umelej inteligencie, určenú súdnym či oprávneným prekladateľom. Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa len v rozsahu potrebnom na poskytovanie tejto služby.

Cenové ponuky (odhady nákladov). To isté platí, ak Prevádzkovateľ nahrá dokument, aby sa odhadol jeho rozsah a vytvorila ocenená ponuka na vlastnej hlavičke Prevádzkovateľa. Jeden rozdiel je podstatný a uvádza sa tu na vylúčenie pochybností: pri tejto funkcii nie je zapojený žiadny model umelej inteligencie a žiadne údaje sa neodovzdávajú žiadnemu poskytovateľovi modelov. Text sa z dokumentu načíta softvérom na rozpoznávanie textu bežiacim na vlastnej infraštruktúre Sprostredkovateľa v rámci EÚ/EHP. Nahraný súbor sa vymaže hneď, ako je odhad vyhotovený; vytvorené PDF je šifrované pri uložení a po 72 hodinách sa vymaže (oddiel 11).

Faktúry vlastnému klientovi Prevádzkovateľa. To isté platí, ak Prevádzkovateľ vytvorí faktúru z uloženej cenovej ponuky. Meno a adresu klienta Prevádzkovateľa, ktoré Prevádzkovateľ na tento účel zadal, spracúva Sprostredkovateľ výlučne na ich vytlačenie na faktúre; adresa sa uchováva šifrovaná. Faktúra sa vystavuje na hlavičke Prevádzkovateľa a v jeho mene: Sprostredkovateľ nie je jej vystaviteľom ani jej stranou, neprideľuje čísla faktúr a faktúru neodosiela príjemcovi. Vytvorené PDF a adresa klienta sa po 72 hodinách vymažú; dovtedy môže Prevádzkovateľ kedykoľvek vymazať cenovú ponuku alebo faktúru vo svojom konte; uchovanie faktúry počas zákonných lehôt platných pre Prevádzkovateľa je jeho vlastnou povinnosťou.

Mimo tejto Zmluvy: dopyty od potenciálnych klientov. Sprostredkovateľ samostatne prevádzkuje na svojej verejnej webovej stránke formulár, cez ktorý osoba hľadajúca úradný preklad môže požiadať o spojenie s prekladateľom. Pri týchto kontaktných údajoch vystupuje Sprostredkovateľ ako samostatný prevádzkovateľ na základe súhlasu tejto osoby, nie ako sprostredkovateľ Prevádzkovateľa, a táto Zmluva sa na ne nevzťahuje. Ak Prevádzkovateľ takýto dopyt prijme, stáva sa rovnako samostatným prevádzkovateľom prijatých kontaktných údajov a sám rozhoduje, ako s nimi naloží; Sprostredkovateľ v tejto súvislosti nedáva žiadne pokyny a nedostáva žiadny podiel na zákazke, ktorá z toho vzíde. Toto spracúvanie je opísané v Zásadách ochrany osobných údajov, oddiel 3.5.

Sprostredkovateľ spracúva osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, ibaže mu spracúvanie ukladá právo Únie alebo členského štátu. V takom prípade Sprostredkovateľ informuje Prevádzkovateľa o týchto právnych požiadavkách pred spracúvaním, ibaže dané právo takúto informáciu zakazuje z dôležitých dôvodov verejného záujmu (čl. 28 ods. 3 písm. a) GDPR).

4. Povaha, rozsah a kategórie údajov

4.1 Povaha a účel spracúvania

Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa na tieto účely:

• uloženie a správa dokumentov a súborov nahraných Prevádzkovateľom;
• preklad obsahu dokumentov s podporou umelej inteligencie. Na poskytovanie prekladateľskej služby spracúva obsah dokumentov jazykový model „Claude“ prostredníctvom kanála v EÚ uvedeného v zozname ďalších sprostredkovateľov; poskytovateľ tohto kanála vystupuje ako ďalší sprostredkovateľ podľa oddielu 6. Spracúvanie zostáva v rámci EHP bez ohľadu na to, ktorý z uvedených kanálov požiadavku vybavuje. Toto spracúvanie je neoddeliteľnou a nevyhnutnou súčasťou služby; bez neho nemožno poskytnúť žiadny preklad. Nahratím dokumentu na preklad vydáva Prevádzkovateľ zdokumentovaný pokyn (čl. 28 ods. 3 písm. a) GDPR), ktorý toto ďalšie spracúvanie zahŕňa. Obsah dokumentov zostáva v rámci EHP, spracúva sa len dočasne na účel prekladu a nepoužíva sa na trénovanie žiadnych modelov;
• poskytnutie preloženého dokumentu a dvojstĺpcového porovnávacieho/poeditačného editora na kontrolu Prevádzkovateľom;
• dočasné uloženie zdrojového dokumentu a prekladu počas doby uchovávania (pozri oddiel 11), aby si Prevádzkovateľ mohol výsledok znovu otvoriť;
• vedenie záznamov (auditných záznamov) o bezpečnostne významných udalostiach v konte Prevádzkovateľa;
• odhad rozsahu dokumentu a vytvorenie ocenenej cenovej ponuky na hlavičke Prevádzkovateľa. Text sa z dokumentu načíta softvérom na rozpoznávanie textu na vlastnej infraštruktúre Sprostredkovateľa v rámci EÚ/EHP; nie je zapojený žiadny model umelej inteligencie ani žiadny poskytovateľ modelov, na rozdiel od prekladovej funkcie vyššie;
• vytvorenie faktúry z uloženej cenovej ponuky, na hlavičke Prevádzkovateľa a v jeho mene, s použitím mena a adresy klienta Prevádzkovateľa, ktoré Prevádzkovateľ na tento účel zadal; Sprostredkovateľ tieto údaje vytlačí na faktúre a nič iné s nimi nerobí.

4.2 Kategórie osobných údajov

Údaje obsiahnuté v nahraných dokumentoch určuje Prevádzkovateľ a môžu svojou povahou zahŕňať osobitné kategórie osobných údajov podľa čl. 9 GDPR (napr. údaje o zdraví v lekárskych potvrdeniach, údaje odhaľujúce náboženské alebo filozofické presvedčenie, biometrické údaje v dokladoch totožnosti), ako aj osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa čl. 10 GDPR (napr. výpisy z registra trestov). Lingverra nemá vedomosť o konkrétnom obsahu dokumentov a jeho obsah nijako neposudzuje.

Kategória	Prvky údajov
Údaje z dokumentov (obsah)	Nahrané súbory (PDF, obrázky), text získaný a preložený umelou inteligenciou, metaúdaje dokumentu. Môžu obsahovať osobitné kategórie údajov (čl. 9 GDPR): údaje o zdraví, náboženské/filozofické údaje, biometrické údaje z dokladov totožnosti; a údaje týkajúce sa uznania viny za trestné činy a priestupky (čl. 10 GDPR): napr. výpisy z registra trestov.
Identifikačné údaje dotknutých osôb	Mená, dátumy narodenia, adresy, čísla záznamov a spisov, podpisy uvedené v dokumentoch
Údaje o konte a profile Zákazníka	E-mailová adresa, meno, profesijné údaje (vymenovanie, jazyky, osvedčovacia doložka)
Technické údaje	IP adresy, identifikátor prehliadača, identifikátory relácií, záznamy v auditnom denníku
Fakturačné údaje	Počet preložených normostrán, kredit, história platieb

Poznámka: údaje o konte, profile, technické a fakturačné údaje samotného Zákazníka spracúva Lingverra ako vlastný prevádzkovateľ (plnenie zmluvy, čl. 6 ods. 1 písm. b) GDPR); v tomto ohľade sa uplatnia Zásady ochrany osobných údajov. Predmetom tejto DPA sú údaje tretích osôb obsiahnuté v dokumentoch, pri ktorých je prevádzkovateľom Zákazník.

4.3 Kategórie dotknutých osôb

• klienti Zákazníka (fyzické osoby);
• tretie osoby uvedené v dokumentoch (napr. osoby uvedené v listinách, podpisujúce osoby, vydávajúce osoby);
• samotný Zákazník, pokiaľ sú jeho osobné údaje obsiahnuté v jeho dokumentoch.

4.4 Doba spracúvania

Spracúvanie prebieha počas trvania zmluvného vzťahu. Okrem toho sa obsah zdrojového dokumentu a prekladu automaticky vymaže po uplynutí doby uchovávania (pozri oddiel 11). Po skončení Zmluvy sa osobné údaje vymažú alebo anonymizujú podľa oddielu 11.

5. Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

• spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa;
• zabezpečiť, aby sa osoby oprávnené spracúvať údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala primeraná zákonná povinnosť mlčanlivosti (čl. 28 ods. 3 písm. b) GDPR);
• prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR (pozri oddiel 7);
• dodržiavať podmienky zapojenia ďalších sprostredkovateľov podľa oddielu 6;
• pomáhať Prevádzkovateľovi primeranými technickými a organizačnými opatreniami pri plnení jeho povinností podľa čl. 32 – 36 GDPR;
• podľa voľby Prevádzkovateľa vymazať alebo vrátiť všetky osobné údaje po skončení spracúvania (pozri oddiel 11);
• poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie súladu s čl. 28 GDPR;
• bezodkladne informovať Prevádzkovateľa, ak podľa názoru Sprostredkovateľa pokyn porušuje GDPR alebo iné predpisy o ochrane údajov.

Žiadosti orgánov verejnej moci. Ak súd alebo iný orgán verejnej moci ktoréhokoľvek štátu vrátane Ukrajiny žiada sprístupnenie Údajov Zákazníka alebo prístup k nim, Sprostredkovateľ (a) ich dobrovoľne nesprístupní a ak je to možné, odkáže orgán na Prevádzkovateľa; (b) bez zbytočného odkladu a pred akýmkoľvek sprístupnením informuje Prevádzkovateľa, pokiaľ to právo rozhodné pre žiadosť nezakazuje, v takom prípade sa usiluje o zrušenie zákazu; (c) preskúma zákonnosť žiadosti a napadne ju, ak sú dôvodné pochybnosti o jej zákonnosti; a (d) sprístupní len minimum, ktoré žiadosť vyžaduje. Sprostredkovateľ každú takúto žiadosť zdokumentuje. Čl. 28 ods. 3 písm. a) GDPR zostáva nedotknutý.

6. Ďalší sprostredkovatelia

Prevádzkovateľ týmto udeľuje Sprostredkovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Sprostredkovateľ informuje najmenej 30 dní vopred v textovej podobe o každom zamýšľanom doplnení alebo nahradení ďalšieho sprostredkovateľa. Prevádzkovateľ môže do 30 dní od informovania vzniesť námietku. Ak Sprostredkovateľ námietku neodstráni, je Prevádzkovateľ oprávnený ukončiť Zmluvu s 30-dňovou výpovednou lehotou bez akejkoľvek nevýhody.

Aktuálny zoznam ďalších sprostredkovateľov — vrátane poskytovateľa kanála na preklad s podporou umelej inteligencie a poskytovateľa infraštruktúry/hostingu — je verejne dostupný na /legal/subprocessors.

Pri zapojení ďalších sprostredkovateľov im Sprostredkovateľ zmluvne ukladá rovnocenné povinnosti v oblasti ochrany údajov (čl. 28 ods. 4 GDPR). Sprostredkovateľ zodpovedá Prevádzkovateľovi za plnenie povinností zo strany ďalšieho sprostredkovateľa.

7. Technické a organizačné opatrenia (TOO)

Sprostredkovateľ prijíma tieto technické a organizačné opatrenia podľa čl. 32 GDPR:

Opatrenie	Vykonanie
Šifrovanie pri prenose	TLS 1.2+ pri každom prenose údajov; HTTPS vynútené na všetkých koncových bodoch
Šifrovanie pri uložení	Samostatný kľúč AES-256-GCM pre každý jednotlivý dokument a cenovú ponuku (nielen jeden kľúč na používateľa), takže žiadny jediný kľúč neotvára viac než položku, ku ktorej patrí. Ten istý kľúč pokrýva nahraný súbor, preložený text uložený v databáze aj PDF cenovej ponuky; šifrované ukladanie relácií; šifrované zálohy
Kryptografické vymazanie	Po uplynutí doby uchovávania a pri vymazaní Prevádzkovateľom sa kľúč daného dokumentu zničí v tej istej transakcii ako vymazanie. Akákoľvek kópia šifrového textu mimo dosahu aplikácie — krátkodobá záloha, snímka hostingovej vrstvy, flash bunky vyradené diskom — sa tým stáva trvalo nedešifrovateľnou, pre Sprostredkovateľa rovnako ako pre kohokoľvek iného. Kľúče na úrovni dokumentu sú z databázového výpisu vylúčené: výpis sa uchováva dlhšie než záloha súborov a kľúč, ktorý by prežil dokument, ktorý otvára, by z opatrenia urobil formalitu
Správa kľúčov	Hlavný kľúč obaľujúci kľúče jednotlivých používateľov (ktoré ďalej obaľujú kľúč každého jednotlivého dokumentu) je uložený v spravovanej službe kľúčov v rámci EÚ (AWS KMS), nie na aplikačnom serveri ani v databáze; každé dešifrovanie je výslovným volaním služby kľúčov zaznamenaným v auditnej stope (CloudTrail). Samotné kompromitovanie databázy alebo disku obsah nesprístupní a k prístupu k obsahu nemôže dôjsť bez toho, aby zostal záznam v denníku
Žiadny bežný prístup (prístup len výnimočne, vždy zaznamenaný)	Sprostredkovateľ nemá funkčnú potrebu čítať obsah dokumentov a pri bežnej prevádzke tak nerobí; dešifrovanie je technicky podmienené službou kľúčov a organizačne sa nevyužíva (vývoj nikdy nepoužíva dokumenty zákazníkov). Správcovia obsah nečítajú; s plnými oprávneniami na serveri by bol prístup technicky možný, dešifrovanie dokumentu si však vyžaduje volanie služby kľúčov, ktorá ho zaznamená do svojho auditného záznamu; vývojár nemôže dokument dešifrovať bez toho, aby zanechal auditný záznam
Dešifrovanie viazané na reláciu vlastníka	Prístup k dokumentu je v kóde viazaný na vlastníka údajov (každá dokumentová cesta filtruje podľa používateľského id vlastníka); kľúč používateľa sa pri bežnej prevádzke odomkne len v rámci overenej relácie vlastníka. Každé odomknutie kľúča sa zaznamenáva spolu s vlastníkom údajov aj s iniciujúcim subjektom. Každé odomknutie iniciované iným než vlastníkom (napr. zamestnancom) sa označí ako výnimka a spustí interné upozornenie; jediným očakávaným prístupom iného než vlastníka je export údajov dotknutej osoby vyžiadaný touto osobou, ktorý sa zaznamenáva aj s dôvodom. Tým je preukázateľné, že pri bežnom chode kľúč vyžaduje dotknutá osoba, a nie personál
Pseudonymizácia / anonymizácia	Osobné údaje sa pri zmazaní konta anonymizujú; obsah dokumentov sa po uplynutí doby uchovávania automaticky vymaže (v histórii zostáva datovaný záznam, bez dokumentu a bez akejkoľvek časti jeho textu)
Riadenie prístupu	Riadenie prístupu podľa rolí (prekladateľ / správca / účtovník); prísne oddelenie nájomníkov na úrovni používateľa; zásada najmenšieho oprávnenia
Overovanie totožnosti	Hashovanie hesiel; dvojfaktorové overenie (TOTP); tokeny dôveryhodných zariadení; uplynutie relácie
Ochrana pred škodlivým softvérom	Antivírusová kontrola nahraných súborov; kontrola typu a signatúry súboru pred spracovaním
Ochrana CSRF	Token CSRF pri všetkých požiadavkách meniacich stav
Politika bezpečnosti obsahu	Prísna Content-Security-Policy bez unsafe-inline (script-src a style-src obmedzené na 'self' plus nonce pre každú požiadavku); žiadne vložené skripty ani štýly, čím sa zmierňuje cross-site scripting (XSS) a injektovanie vo frontende
Zaznamenávanie	Auditné záznamy chránené režimom WORM (databázové spúšťače bránia zmene a vymazaniu); oddelenie prístupových a prevádzkových záznamov
Zálohovanie a obnova	Pravidelné automatické zálohy; šifrované úložisko záloh; zdokumentovaný postup obnovy
Odolnosť	Prevádzka na vyhradenom serveri s limitmi zdrojov pre jednotlivé služby; spracovanie chýb a monitorovanie na úrovni aplikácie
Riadenie zraniteľností	Pravidelné bezpečnostné aktualizácie operačného systému, závislostí a aplikácie
Personál a školenia	Všetky osoby s prístupom k osobným údajom sú viazané mlčanlivosťou; prístupové práva sa pravidelne prehodnocujú
Bezpečné vymazanie	Osobné údaje sa vymazávajú anonymizáciou alebo bezpečným prepísaním; uchovávanie záloh je zosúladené s politikou vymazávania
Oddelenie prostredí	Produkčné a testovacie/vývojové prostredia sú prísne oddelené; v testovacích prostrediach sa nepoužívajú skutočné osobné údaje
Reakcia na incidenty	Postupy zisťovania, eskalácie a nahlasovania porušení ochrany osobných údajov; oznámenie Prevádzkovateľovi bez zbytočného odkladu po zistení (čl. 33 ods. 2 GDPR)

8. Práva na audit a kontrolu

Prevádzkovateľ má právo overiť dodržiavanie tejto DPA a čl. 28 GDPR prostredníctvom auditov, a to za týchto podmienok:

• Frekvencia: najviac raz za kalendárny rok, ibaže existuje odôvodnený dôvod (napr. porušenie ochrany údajov alebo úradné vyšetrovanie);
• Oznámenie: najmenej 30 dní vopred v textovej podobe, s uvedením rozsahu a účelu;
• Náklady: na náklady Prevádzkovateľa, ibaže audit odhalí podstatné porušenie zo strany Sprostredkovateľa;
• Dôvernosť: audítor musí pred prístupom k systémom alebo údajom podpísať dohodu o mlčanlivosti;
• Dôkazy: Sprostredkovateľ môže povinnosť auditu splniť poskytnutím aktuálnych certifikátov alebo audítorských správ (napr. podľa uznávaných noriem); audit na mieste zostáva možný v rozsahu, v akom konkrétne pochybnosti nie sú týmito správami rozptýlené.

9. Práva dotknutých osôb

Sprostredkovateľ pomáha Prevádzkovateľovi primeranými technickými opatreniami pri plnení práv dotknutých osôb podľa kapitoly III GDPR (čl. 15 – 22). Za odpovedanie na žiadosti dotknutých osôb zodpovedá Prevádzkovateľ. Ak sa dotknutá osoba obráti priamo na Sprostredkovateľa, ten žiadosť bez zbytočného odkladu postúpi Prevádzkovateľovi.

10. Oznamovanie porušení ochrany údajov

Sprostredkovateľ oznámi Prevádzkovateľovi každé porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie (čl. 33 ods. 2 GDPR), a v každom prípade do 24 hodín. Táto lehota zámerne zostáva pod vlastnou 72-hodinovou lehotou Prevádzkovateľa voči dozornému orgánu (čl. 33 ods. 1): tá plynie od okamihu, keď sa Prevádzkovateľ dozvie, takže oznámenie doručené v 72. hodine by Prevádzkovateľovi nenechalo žiadny čas konať. Ak ešte nie je známy úplný obraz, Sprostredkovateľ oznamuje na základe dostupných skutočností a dopĺňa ich, ako vychádzajú najavo, namiesto toho, aby prvé oznámenie odkladal. Oznámenie obsahuje, pokiaľ je to Sprostredkovateľovi známe:

• povahu porušenia vrátane kategórií a približného počtu dotknutých osôb a dotknutých záznamov;
• meno a kontaktné údaje kontaktného miesta Sprostredkovateľa pre ochranu údajov;
• pravdepodobné následky porušenia;
• opatrenia prijaté alebo navrhnuté na jeho nápravu.

Oznámenie príslušnému dozornému orgánu a oznámenie dotknutým osobám podľa čl. 33 a 34 GDPR prislúchajú Prevádzkovateľovi.

11. Vymazanie a vrátenie údajov

Obsah zdrojového dokumentu a prekladu sa uchováva len dočasne a po uplynutí doby uchovávania sa automaticky a trvalo vymaže (štandardne 72 hodín po dodaní), alebo skôr, ak ho Prevádzkovateľ vymaže vo svojom konte; v histórii zostáva len datovaný záznam o tom, že bol spracovaný dokument — bez dokumentu a bez akejkoľvek časti jeho textu. Presná doba uchovávania je uvedená v Zásadách ochrany osobných údajov. Po vymazaní obsahu ho Sprostredkovateľ ďalej nedrží, neovláda ani k nemu nemá prístup a spracúvanie tohto obsahu Sprostredkovateľom sa končí; povinnosti Sprostredkovateľa podľa tejto DPA vo vzťahu k vymazanému obsahu sú tým splnené (čl. 28 ods. 3 písm. g) GDPR).

Vymazanie je kryptografické aj fyzické: bajty sa prepisujú tam, kde sa k nim aplikácia dostane, a kľúč patriaci danému dokumentu sa zničí. Vyššie uvedené tvrdenie — že Sprostredkovateľ už nemá prístup k vymazanému obsahu — sa preto neopiera o úplnosť prepísania naprieč zálohami, snímkami a úložným hardvérom, ale o neexistenciu akéhokoľvek kľúča, ktorým by bolo možné obsah prečítať.

Cenové ponuky. Dokument nahraný na účel odhadu sa vymaže hneď, ako je odhad vyhotovený — neuchováva sa počas 72-hodinového okna, ktoré platí pre preklady, pretože to už pracovný postup ďalej nevyžaduje. Vytvorené PDF cenovej ponuky je šifrované pri uložení a po 72 hodinách sa vymaže, pričom zostáva vlastný obchodný záznam Prevádzkovateľa o ponuke (číslo, adresát, súhrnné sumy), ktorý už neobsahuje dokument klienta. Prevádzkovateľ môže cenovú ponuku kedykoľvek predtým vymazať.

Po skončení Zmluvy platí:

• Vymazanie (predvolené): osobné údaje sa anonymizujú alebo bezpečne vymažú. Pred skončením môže Prevádzkovateľ na získanie svojich údajov použiť samoobslužné exportné funkcie platformy;
• Vrátenie (na požiadanie): formálne vrátenie všetkých osobných údajov v strojovo čitateľnom formáte na základe žiadosti v textovej podobe podanej pred skončením.

Sprostredkovateľ uchováva minimálny záznam o vymazaní (dátum, podnet, potvrdenia) ako dôkaz vymazania v súlade s GDPR podľa čl. 28 ods. 3 písm. g) GDPR; tento záznam neobsahuje žiadne osobné údaje dotknutých osôb Prevádzkovateľa.

12. Prenosy do tretích krajín

Spracúvanie obsahu dokumentov (údajov, ktoré Sprostredkovateľ spracúva v mene Prevádzkovateľa, vrátane kroku prekladu s podporou umelej inteligencie) prebieha na serveroch v rámci EÚ/EHP a neprenáša sa do žiadnej tretej krajiny. Je šifrovaný pri uložení kľúčom držaným v rámci EÚ, takže samotná správa infraštruktúry obsah nesprístupňuje. Preklad pomocou umelej inteligencie beží cez kanál v EÚ uvedený na /legal/subprocessors; požiadavka je smerovaná na trasu modelu v rámci EÚ/EHP a neposiela sa do Spojených štátov. Voľba kanála a trasy sa overuje v režime fail-closed: región, koncový bod alebo trasa mimo EÚ sa odmietne namiesto obslúženia.

• Spracovatelia platieb: prenos výlučne platobných údajov (nikdy obsahu dokumentov). Platby kartou spracúva ukrajinská zúčtovacia banka ПУМБ (hutko), samostatný prevádzkovateľ; prenáša sa len suma a referencia objednávky, a to na základe čl. 49 ods. 1 písm. b) GDPR.

Sprostredkovateľ je usadený na Ukrajine, v tretej krajine bez rozhodnutia EÚ o primeranosti. To sa nedotýka obsahu dokumentov, ktorý zostáva šifrovaný v EÚ, ako je opísané vyššie. Údaje o konte a fakturačné údaje Zákazníka sú z Ukrajiny prístupné vlastným zamestnancom Sprostredkovateľa v rozsahu nevyhnutnom na plnenie ich úloh. Obsah dokumentov nie je z Ukrajiny bežne prístupný. Prístup k nemu je možný len vo výnimočnom prípade a z doloženého dôvodu (najmä na vlastnú žiadosť Zákazníka, napr. pri požiadavke na podporu týkajúcej sa konkrétneho dokumentu); každý takýto prístup si vyžaduje použitie šifrovacieho kľúča uchovávaného v EÚ a zaznamenáva ho služba správy kľúčov (AWS CloudTrail). Fakturačné údaje Sprostredkovateľ spracúva na účely zákonného účtovníctva na základe čl. 6 ods. 1 písm. b) a čl. 6 ods. 1 písm. f) GDPR (plnenie zmluvy a oprávnený záujem na plnení zákonných účtovných povinností). Zákonné účtovníctvo Sprostredkovateľa vedie buď jeho vedenie, alebo externý poskytovateľ účtovných služieb usadený na Ukrajine. Ak je takýto poskytovateľ poverený, poskytujú sa mu účtovné doklady zbavené priamych identifikátorov — namiesto mena zákazníka nevypovedajúci referenčný kód, bez mena, e-mailovej adresy či poštovej adresy — a nedrží ani databázu Sprostredkovateľa, ani kľúč, z ktorého sú kódy odvodené. Nedostáva preto žiadne osobné údaje, nie je ďalším sprostredkovateľom v zmysle čl. 28 GDPR a z tohto usporiadania nevzniká žiadny prenos osobných údajov. Prístup k príslušným fakturačným údajom v systémoch Sprostredkovateľa je len na čítanie a zaznamenáva sa. Inak Sprostredkovateľ neprenáša osobné údaje do tretích krajín bez zabezpečenia primeranej úrovne ochrany podľa kapitoly V GDPR.

13. Povinnosti Prevádzkovateľa

Prevádzkovateľ zaručuje a zaväzuje sa, že:

• má platný právny základ podľa čl. 6 GDPR pre všetky osobné údaje nahrané na platformu;
• pokiaľ sa spracúvajú osobitné kategórie osobných údajov podľa čl. 9 GDPR (najmä údaje o zdraví, náboženské/filozofické údaje, biometrické údaje z dokladov totožnosti), má platný právny základ podľa čl. 9 ods. 2 GDPR a zaviedol primerané záruky;
• pokiaľ sa spracúvajú osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa čl. 10 GDPR (najmä výpisy z registra trestov), takéto spracúvanie sa vykonáva pod kontrolou úradného orgánu alebo je povolené právom Únie či členského štátu poskytujúcim primerané záruky;
• výlučne zodpovedá za zákonnosť pokynov na spracúvanie daných Sprostredkovateľovi;
• splnil si informačné povinnosti voči vlastným dotknutým osobám podľa čl. 13 a 14 GDPR;
• používa platformu len na zákonné účely a v súlade s platným právom ochrany údajov;
• výlučne zodpovedá za správu prístupov vo svojom konte;
• bezodkladne informuje Sprostredkovateľa o zmenách, ktoré majú vplyv na dodržiavanie tejto DPA.

14. Zodpovednosť

Každá strana zodpovedá za porušenia platného práva ochrany údajov, ktoré jej možno pričítať. Ak je Sprostredkovateľ braný na zodpovednosť za porušenie založené na pokyne alebo konaní Prevádzkovateľa, Prevádzkovateľ Sprostredkovateľa odškodní v rozsahu, v akom Sprostredkovateľovi nemožno pričítať zavinenie.

Zmluvná zodpovednosť Sprostredkovateľa podľa tejto DPA podlieha obmedzeniu zodpovednosti dohodnutému vo Všeobecných obchodných podmienkach. Zákonná zodpovednosť Sprostredkovateľa voči dotknutým osobám podľa čl. 82 GDPR zostáva nedotknutá. Pokuty podľa čl. 83 GDPR znáša tá strana, ktorej ich uloží dozorný orgán; zmluvne ich nemožno preniesť.

15. Rozhodné právo a príslušnosť súdov

Táto DPA sa riadi právom krajiny, v ktorej je sprostredkovateľ registrovaný (Ukrajina). Na spory vyplývajúce z tejto DPA sú príslušné súdy tejto krajiny, ibaže kogentné ustanovenia platné v mieste Prevádzkovateľa ustanovujú inak. Toto ustanovenie o príslušnosti sa nedotýka práva dotknutých osôb podať žalobu na súdoch uvedených v čl. 79 ods. 2 GDPR.

Vnútroštátne právo ochrany údajov Sprostredkovateľa. Popri GDPR sa na spracovateľské činnosti Sprostredkovateľa na Ukrajine vzťahuje ukrajinský zákon o ochrane osobných údajov (č. 2297-VI).

16. Kontakt

LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukrajina
E-mail: support@lingverra.com