Dohoda o spracúvaní osobných údajov – rámec
Pracovná štruktúra podľa čl. 28 GDPR; NIE uzavretá DPA. Pred použitím musí byť doplnená a schválená zmluvnými stranami.
1. Strany a roly
Firemný zákazník ako prevádzkovateľ; právny subjekt poskytujúci MyAI-KO ako sprostredkovateľ v rozsahu spracovania dát návštevníkov v mene zákazníka. Samostatné účtovné a bezpečnostné údaje môže poskytovateľ spracúvať ako vlastný prevádzkovateľ.
2. Predmet a trvanie
Spracúvanie textov otázok a odpovedí, kontaktov, príloh, hlasového vstupu a metadát podľa aktivovaných modulov počas trvania služby a do konca dohodnutých lehôt výmazu.
3. Kategórie
Dotknuté osoby: návštevníci webu a aplikácie, zamestnanci klienta, kontaktné osoby. Údaje: obsah otázok, identifikátory relácie, prípadné kontakty, fotografie, nahrávky/prepisy hlasu. Osobitné kategórie údajov nie sú určené na bežné používanie a vyžadujú samostatné posúdenie.
4. Pokyny a mlčanlivosť
Sprostredkovateľ spracúva údaje podľa dokumentovaných zákonných pokynov prevádzkovateľa, zabezpečí primeranú mlčanlivosť oprávnených osôb a upozorní na pokyn, ktorý môže byť v rozpore s predpismi.
5. Bezpečnostné opatrenia
Treba priložiť konkrétny popis opatrení (prístupové práva, šifrovanie, logy, zálohy, izolácia tenantov, testy, riešenie incidentov, retenčné lehoty). Všeobecný prísľub nestačí.
6. Ďalší sprostredkovatelia a transfery
Vyžaduje sa konkrétny zoznam ďalších sprostredkovateľov, mechanizmus povolenia a oznamovania zmien, ako aj posúdenie prípadného prenosu mimo EHP.
7. Súčinnosť a incidenty
Sprostredkovateľ bez zbytočného odkladu oznámi relevantný incident prevádzkovateľovi, poskytne primeranú súčinnosť pri právach dotknutých osôb, DPIA, konzultáciách a auditoch podľa dohodnutých podmienok.
8. Ukončenie
Po skončení služby sa údaje vrátia alebo vymažú podľa zákonných pokynov a povinností; doplniť lehoty a riešenie záloh.
9. Vzťah k osobným účtom – pracovná poznámka 0.2
Táto DPA je určená predovšetkým pre situácie, v ktorých MyAI-KO spracúva osobné údaje v mene firemného zákazníka. Samotná registrácia osobného používateľa a správa jeho peňaženky spravidla vyžadujú samostatné posúdenie roly prevádzkovateľa v dokumente o ochrane osobných údajov, nie automatické pripojenie osobného používateľa ako zmluvnej strany DPA.