Ochrana osobních údajů

A) V roli správce osobních údajů ve smyslu čl. 4 bodu 7 GDPR vystupuje ve vztahu k údajům, které zpracovává pro své vlastní účely, tedy zejména k registračním, kontaktním, fakturačním, přístupovým, provozním a komunikačním údajům Klienta a osob, které Klient určí jako uživatele svého Účtu. Účel a prostředky tohoto zpracování určuje Správce a Klient je nemůže změnit svým pokynem. Zpracování v této roli upravují čl. II až XI těchto Zásad.

B) V roli zpracovatele osobních údajů ve smyslu čl. 4 bodu 8 GDPR vystupuje ve vztahu k osobním údajům obsaženým ve Vstupních datech a Výstupech, tedy k údajům, které do Aplikace vkládá Klient v rámci své vlastní činnosti, včetně údajů o vlastních klientech Klienta, a dále k údajům, které si Aplikace na pokyn Klienta vyžádá z veřejných rejstříků nebo z veřejně dostupných internetových zdrojů při vyřizování dotazu. Do této role spadá i záznam o průběhu zpracování dotazu v rozsahu, v jakém obsahuje znění dotazu nebo Výstupu. Správcem těchto údajů je Klient, který odpovídá za právní základ jejich zpracování a za splnění informační povinnosti vůči dotčeným subjektům údajů. Zpracování v této roli se řídí Smlouvou o zpracování osobních údajů (DPA) dostupnou na www.consulaio.cz/dpa a čl. XII těchto Zásad.

Hranice mezi oběma rolemi je dána kategorií údaje, nikoli osobou, které se údaj týká. Přihlašovací, přístupové, provozní a fakturační údaje osob, které Klient určí jako uživatele svého Účtu, zpracovává Správce vždy v roli dle písm. A), i jde-li o zaměstnance Klienta.

Tyto Zásady jsou primárně určeny osobám, jejichž údaje Správce zpracovává v roli dle písm. A). Subjekty údajů, jejichž údaje byly do Aplikace vloženy Klientem, uplatňují svá práva u Klienta jako správce; obrátí-li se na Správce, předá Správce žádost bez zbytečného odkladu příslušnému Klientovi a informuje o tom subjekt údajů.

Odešle-li uživatel z Aplikace hlášení chyby, předává se spolu s popisem chyby jeho jméno, přihlašovací e-mail, adresa obrazovky a případný přiložený snímek obrazovky nebo soubor poskytovateli nástroje pro sledování chyb uvedenému na stránce Dílčí zpracovatelé. Přiložený soubor může obsahovat Vstupní data; v tomto rozsahu s ním Správce nakládá podle Smlouvy o zpracování osobních údajů a použije jej výhradně k vyřešení hlášené chyby. Po jejím vyřešení, nejpozději však do 12 měsíců od hlášení, je příloha smazána.

V roli zpracovatele dle čl. I písm. B) může Správce zpracovávat jakékoli kategorie osobních údajů obsažené ve Vstupních datech, které do Aplikace vloží Klient. Rozsah těchto údajů určuje výhradně Klient. Podmínky tohoto zpracování upravuje čl. XII a DPA.

Zdroje osobních údajů. Osobní údaje získává Správce zpravidla přímo od subjektu údajů, zejména při registraci, při objednávce a při vzájemné komunikaci. Údaje o osobách, které Klient určí jako uživatele svého Účtu, získává Správce od Klienta; zdrojem těchto údajů je Klient. Údaje o interakcích s profily Správce na sociálních sítích získává Správce od provozovatele příslušné sítě v rozsahu, v jakém je zpřístupňuje správci profilu. Vyžaduje-li vyřízení dotazu údaj z veřejného rejstříku, zejména z registru ARES, nebo z veřejně dostupného internetového zdroje, získává jej Aplikace na pokyn Klienta a v roli dle čl. I písm. B); zdrojem takového údaje je příslušný rejstřík nebo veřejně dostupný zdroj. Jiné zdroje Správce nevyužívá.

Po uplynutí uvedených dob Správce osobní údaje nenávratně vymaže nebo je nezvratně anonymizuje. Je-li týž údaj zpracováván pro více účelů, uchovává jej Správce po nejdelší z uvedených dob. Probíhá-li daňová kontrola, daňové řízení, soudní nebo jiné řízení, ve kterém jsou uchovávané záznamy potřebné, pozastaví Správce jejich výmaz do pravomocného ukončení řízení.

Poskytnutí identifikačních, kontaktních a fakturačních údajů je smluvním požadavkem nezbytným pro uzavření a plnění Smlouvy; bez jejich poskytnutí nelze Účet zřídit ani Služby poskytovat. Poskytnutí údajů pro účely založené na souhlasu je dobrovolné a jejich neposkytnutí nemá vliv na poskytování Služeb.

Jsou-li údaje pouze pseudonymizovány nebo zbaveny přímých identifikátorů, aniž je vyloučena možnost opětovné identifikace, zůstávají osobními údaji a Správce s nimi nakládá podle těchto Zásad.

Obsah Vstupních dat a Výstupů Správce nepoužívá k trénování ani dotrénování jazykových modelů, a to ani ve prospěch svých dílčích zpracovatelů. Záznamy o průběhu dotazů podle čl. III slouží výhradně k provozu Aplikace, k řešení chyb a k vyhodnocení kvality odpovědí; k jinému účelu, zejména k profilování Klienta nebo k marketingu, Správce obsah Vstupních dat a Výstupů nepoužívá.

Aktuální seznam dílčích zpracovatelů včetně země zpracování je dostupný na stránce Dílčí zpracovatelé. O plánované změně tohoto seznamu, tedy o přidání nového nebo nahrazení stávajícího dílčího zpracovatele, informuje Správce Klienta e-mailem nejméně 30 dní před jejím účinkem a současně uvedenou stránku aktualizuje. Klient jako správce je oprávněn vznést proti změně písemnou námitku do 30 dnů od doručení oznámení; nedohodnou-li se strany jinak, je Klient oprávněn Smlouvu vypovědět ke dni účinnosti změny a Správce mu vrátí poměrnou část předem uhrazeného Předplatného. Postup při námitce, naléhavé případy a další podrobnosti upravuje čl. V Smlouvy o zpracování osobních údajů; rozhodné je znění uvedené tam.

Připojí-li Klient k Aplikaci externí nástroj nebo server, který si sám zvolí, předává Aplikace tomuto nástroji údaje v rozsahu nezbytném pro provedení vyžádané operace. Volbou takového nástroje určuje příjemce údajů Klient jako správce; Správce jej neposkytuje jako svého dílčího zpracovatele a neodpovídá za zpracování, které u něj probíhá. Totéž platí, zpřístupní-li Klient obsah svého Účtu externímu nástroji prostřednictvím přístupového oprávnění vydaného v Účtu. Přehled připojených nástrojů a vydaných oprávnění je Klientovi dostupný v Účtu a Klient je oprávněn je kdykoli zrušit.

Dochází-li v souvislosti s poskytováním Služeb k předání osobních údajů do třetí země mimo EHP, zajišťuje Správce, aby se tak dělo pouze na základě některého z právních titulů dle čl. 44 a násl. GDPR, zejména:

Kategorie příjemců ve třetích zemích, konkrétní příjemci, země zpracování a použitý právní titul předání jsou uvedeny v seznamu dílčích zpracovatelů na www.consulaio.cz/subprocessors. Kopii standardních smluvních klauzulí nebo informaci o jiných zárukách poskytne Správce na žádost zaslanou na kontaktní e-mail uvedený v úvodu těchto Zásad.

Svá práva může subjekt údajů uplatnit prostřednictvím Aplikace nebo na kontaktním e-mailu uvedeném v úvodu těchto Zásad. Správce žádost vyřídí bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího doručení; tuto lhůtu lze v případě složitých nebo mnohočetných žádostí prodloužit o další dva měsíce, o čemž Správce subjekt údajů informuje. Je-li to nezbytné k ověření totožnosti žadatele, může Správce požádat o doplňující informace.

Uvedená práva nejsou absolutní a jejich uplatnění může být v konkrétním případě omezeno, zejména brání-li výmazu právní povinnost Správce údaje uchovávat, nebo je-li zpracování nezbytné pro určení, výkon nebo obhajobu právních nároků.

Subjekt údajů má rovněž právo podat stížnost u dozorového úřadu, kterým je Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz, případně se obrátit na příslušný soud.

Zjistí-li Správce porušení zabezpečení osobních údajů, ohlásí je Úřadu pro ochranu osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže není pravděpodobné, že by mělo za následek riziko pro práva a svobody subjektů údajů (čl. 33 GDPR). Je-li pravděpodobné, že porušení bude mít za následek vysoké riziko, oznámí je Správce bez zbytečného odkladu též dotčeným subjektům údajů (čl. 34 GDPR).

Dojde-li k porušení zabezpečení u údajů, které Správce zpracovává v roli zpracovatele dle čl. I písm. B), ohlásí je Správce bez zbytečného odkladu Klientovi jako správci; ohlašovací povinnost vůči dozorovému úřadu a vůči subjektům údajů v takovém případě plní Klient.

Správce upozorňuje, že žádný přenos dat prostřednictvím sítě internet nebo elektronické pošty není zcela bezpečný, a doporučuje proto zvážit, jaké informace jsou touto cestou sdělovány, a využívat funkce Aplikace určené k zabezpečenému vkládání dokumentů.

Záznam průběhu relace podle čl. III se pořizuje pouze v přihlášené části Aplikace a pouze v okamžiku vzniku chyby; textový obsah je v něm maskován a média jsou blokována. Na veřejných stránkách se tento záznam nepořizuje.

Souhlas lze udělit i odmítnout prostřednictvím nastavení cookies dostupného na webových stránkách a lze jej kdykoli změnit nebo odvolat se stejnou snadností, s jakou byl udělen. Podrobný přehled používaných cookies, jejich účelů a doby platnosti obsahují Zásady používání cookies dostupné na www.consulaio.cz/cookies.

Klient bere na vědomí, že takové údaje mohou být obsaženy v podkladech, které do Aplikace vkládá, zejména v podkladech mzdové a personální agendy. Klient je povinen před vložením takových podkladů posoudit, zda je pro zpracování dán titul podle čl. 9 odst. 2 GDPR, a údaje, které pro vyřízení dotazu nejsou potřebné, před vložením odstranit, anonymizovat nebo pseudonymizovat. Hodlá-li Klient vkládat zvláštní kategorie údajů soustavně, oznámí to Správci předem podle čl. II odst. 3 Smlouvy o zpracování osobních údajů. Odpovědnost za vložení zvláštních kategorií údajů nese Klient jako správce; Správce technická a organizační opatření podle čl. VIII dimenzuje tak, aby odpovídala riziku plynoucímu z předvídatelné přítomnosti údajů mzdové a personální agendy.

Aplikace není určena osobám mladším 18 let a Správce vědomě nezpracovává jejich osobní údaje pro účely uzavření Smlouvy. Věková hranice 18 let je smluvním požadavkem vyplývajícím z povahy Služby, nikoli hranicí způsobilosti k udělení souhlasu se zpracováním osobních údajů – tu stanoví § 7 zákona č. 110/2019 Sb. u služeb informační společnosti nabízených přímo dítěti na patnáct let. Zjistí-li Správce, že zpracovává osobní údaje osoby mladší 18 let bez odpovídajícího titulu, přijme kroky k jejich neprodlenému výmazu, nebrání-li tomu právní povinnost údaje uchovávat.

Správce je poskytovatelem systému umělé inteligence ve smyslu čl. 3 bodu 3 nařízení Evropského parlamentu a Rady (EU) 2024/1689 (AI Act). Každá fyzická osoba, která Aplikaci užívá, je nejpozději při první interakci s Aplikací informována o tom, že komunikuje se systémem umělé inteligence, a nikoli s člověkem. Výstupy jsou syntetickým textovým obsahem. Správce je označuje strojově čitelným údajem tam, kde to formát výstupu umožňuje, zejména v metadatech generovaných dokumentů a ve strukturovaném exportu konverzace (čl. 50 odst. 2 nařízení (EU) 2024/1689); u formátů, které pro takový údaj nemají místo, označení neuvádí. Do textu samotného Výstupu Správce upozornění nevkládá. Povinnost uvést při zveřejnění Výstupu, že text vytvořila umělá inteligence, má Klient podle čl. 50 odst. 4 nařízení. Podrobnosti upravují čl. 1.4 a čl. 9.4 obchodních podmínek.

Správce nečiní vůči Klientovi ani vůči jiným subjektům údajů rozhodnutí založená výhradně na automatizovaném zpracování, včetně profilování, která by pro ně měla právní účinky nebo se jich obdobně významně dotýkala ve smyslu čl. 22 GDPR. Výstupy Aplikace nejsou rozhodnutím Správce; jejich vyhodnocení a použití je vždy na uvážení Klienta, jehož povinnost Výstupy před použitím ověřit upravuje čl. 9.3 obchodních podmínek.

Výstup může obsahovat nesprávné tvrzení o fyzické osobě, například o členovi statutárního orgánu dohledaném ve veřejném rejstříku. Výstup není záznamem Správce o této osobě ani jejím hodnocením, Správce jej nepoužívá k rozhodování o subjektu údajů a neuchovává jej jako údaj o jejích vlastnostech. Uplatní-li subjekt údajů právo na opravu podle čl. 16 GDPR ve vztahu k obsahu Výstupu, postupuje se podle čl. I písm. B) těchto Zásad a žádost vyřizuje Klient jako správce; Správce mu k tomu poskytne součinnost.

Správce neprovádí profilování Klientů pro účely hodnocení jejich osobnostních aspektů, chování nebo důvěryhodnosti.

Vstupní data a Výstupy jsou uchovávány po dobu trvání Smlouvy a dále 30 dnů po jejím ukončení, po jejichž uplynutí jsou nenávratně smazány, nebrání-li tomu pokyn Klienta nebo právní povinnost. Klient je oprávněn Vstupní data a Výstupy exportovat po dobu trvání Smlouvy a dále ve lhůtě 30 dnů od jejího ukončení.

Dojde-li k podstatné změně, zejména k rozšíření účelů zpracování nebo ke změně kategorií příjemců, informuje Správce Klienty e-mailem alespoň 30 dní před nabytím účinnosti nového znění.

Tyto Zásady plní informační povinnost Správce dle čl. 13 a 14 GDPR a nejsou smluvním ujednáním; jejich změna proto nevyžaduje souhlas subjektu údajů. Práva a povinnosti Klienta jako správce, zejména postup při změně dílčího zpracovatele a s ním spojené právo Smlouvu vypovědět, zakládá Smlouva o zpracování osobních údajů a obchodní podmínky, nikoli tyto Zásady; údaje o nich uvedené v těchto Zásadách mají informační povahu a jednostrannou změnou Zásad je nelze zúžit ani zrušit.

Je-li konkrétní zpracování založeno na souhlasu, vyžádá si Správce pro nový nebo rozšířený účel souhlas nový; dosavadní souhlas se změnou Zásad na nové účely nevztahuje.