Dodatok o spracovaní údajov

Na účely tohto dodatku o spracúvaní údajov majú pojmy písané veľkými písmenami, ktoré nie sú definované v tomto dokumente, význam uvedený v zmluvných podmienkach AI92. Pojmy týkajúce sa ochrany údajov písané veľkými písmenami majú význam uvedený v platných zákonoch o ochrane údajov, ako sú definované v tejto časti.

Platné zákony o ochrane údajov. „Platné zákony o ochrane údajov“ znamenajú všetky zákony o ochrane údajov, súkromí a podobné zákony, ktoré sa vzťahujú na spracúvanie osobných údajov podľa tohto DPA, ktoré môžu byť časom zmenené alebo nahradené, vrátane, bez obmedzenia:

Európa. Všeobecné nariadenie Európskej únie o ochrane údajov (nariadenie (EÚ) 2016/679, „GDPR“), všeobecné nariadenie Spojeného kráľovstva o ochrane údajov čítané spolu so zákonom o ochrane údajov z roku 2018, federálny zákon Švajčiarska o ochrane údajov („FADP“), nórsky zákon o osobných údajoch, islandský zákon č. 90/2018, zákon Lichtenštajnska o ochrane údajov a vykonávacie zákony o ochrane údajov každého členského štátu Európskeho hospodárskeho priestoru.

Severná Amerika. V Spojených štátoch: kalifornský zákon o ochrane osobných údajov spotrebiteľov v znení zákona o kalifornských právach na ochranu osobných údajov („CCPA/CPRA“), virgínsky zákon o ochrane osobných údajov spotrebiteľov, coloradský zákon o ochrane osobných údajov, connecticutský zákon o ochrane osobných údajov, utahský zákon o ochrane osobných údajov spotrebiteľov, texaský zákon o ochrane osobných údajov a bezpečnosti údajov, oregonský zákon o ochrane osobných údajov spotrebiteľov a obdobné zákony o ochrane osobných údajov na úrovni štátov, keď nadobudnú platnosť. V Kanade: zákon o ochrane osobných informácií a elektronických dokumentov („PIPEDA“), quebecký zákon 25, albertský zákon o ochrane osobných informácií, zákon Britskej Kolumbie o ochrane osobných informácií a zákon o ochrane súkromia.

Latinská Amerika a Karibik. Brazílsky všeobecný zákon o ochrane údajov („LGPD“, zákon 13.709), mexický federálny zákon o ochrane osobných údajov, ktoré vlastnia súkromné strany („LFPDPPP“), argentínsky zákon o ochrane osobných údajov 25.326, kolumbijský štatutárny zákon 1581 z roku 2012, čilský zákon 19.628, peruánsky zákon 29733, uruguajský zákon 18.331, ekvádorský organický zákon o ochrane osobných údajov, kostarický zákon 8968, zákon Dominikánskej republiky 172-13, panamský zákon 81 z roku 2019, paraguajský zákon 6534/2020 a obdobné štatúty každej inej krajiny v regióne.

Afrika. Juhoafrický zákon o ochrane osobných informácií („POPIA“), nigérijský zákon o ochrane údajov Nigérie z roku 2023 („NDPA“) a nariadenie o ochrane údajov Nigérie z roku 2019, kenský zákon o ochrane údajov z roku 2019, egyptský zákon o ochrane osobných údajov (zákon 151 z roku 2020), ghanský zákon o ochrane údajov z roku 2012, marocký zákon 09-08, tuniský organický zákon 2004-63, zákon Maurícia o ochrane údajov z roku 2017, senegalský zákon 2008-12, zákon Pobrežia Slonoviny 2013-450, zákon Rwandy 058/2021, ugandský zákon o ochrane údajov a súkromia z roku 2019, tanzánijský zákon o ochrane osobných údajov z roku 2022, zimbabwiansky zákon o kybernetickej bezpečnosti a ochrane údajov 5 z roku 2021, alžírsky zákon 18-07, madagaskarský zákon 2014-038, Dohovor Africkej únie o kybernetickej bezpečnosti a ochrane osobných údajov („Malabský dohovor“), dodatkový zákon ECOWAS o ochrane osobných údajov a obdobné štatúty každého iného afrického národa.

Ázia a Tichomorie. Australský zákon o ochrane súkromia z roku 1988, novozélandský zákon o ochrane súkromia z roku 2020, japonský zákon o ochrane osobných informácií („APPI“), juhokórejský zákon o ochrane osobných informácií („PIPA“), singapurský zákon o ochrane osobných údajov z roku 2012 („PDPA“), thajský zákon o ochrane osobných údajov B.E. 2562 (2019), vietnamský dekrét o ochrane osobných údajov 13/2023, filipínsky zákon o ochrane osobných údajov z roku 2012, indonézsky zákon o ochrane osobných údajov 27/2022, malajzijský zákon o ochrane osobných údajov z roku 2010, indický zákon o digitálnej ochrane osobných údajov z roku 2023 („DPDPA“), čínsky zákon o ochrane osobných informácií („PIPL“), taiwanský zákon o ochrane osobných údajov, hongkongské nariadenie o osobných údajoch (súkromie), macauský zákon o ochrane osobných údajov a obdobné štatúty každej inej jurisdikcie v ázijsko-tichomorskej oblasti.

Stredný východ. Federálny dekrétny zákon Spojených arabských emirátov 45 z roku 2021 o ochrane osobných údajov a zákon o ochrane údajov Dubajského medzinárodného finančného centra, zákon Saudskej Arábie o ochrane osobných údajov, izraelský zákon o ochrane súkromia 5741-1981 a jeho vykonávacie predpisy, katarský zákon o ochrane osobných údajov (zákon 13/2016) a predpisy QFC o ochrane údajov, bahrajnský zákon o ochrane osobných údajov (zákon 30/2018), ománsky zákon o ochrane osobných údajov (kráľovský dekrét 6/2022), jordánsky zákon o ochrane osobných údajov z roku 2023, turecký zákon o ochrane osobných údajov („KVKK“, zákon 6698) a obdobné štatúty každej inej jurisdikcie na Strednom východe.

Eurázia a ďalšie regióny. Federálny zákon Ruskej federácie o osobných údajoch (č. 152-FZ), kazašský zákon o osobných údajoch a ich ochrane, uzbecký zákon o osobných údajoch a obdobné štatúty každej inej jurisdikcie, v ktorej AI92 alebo zákazník spracúvajú osobné údaje.

Všeobecne. Akýkoľvek iný zákon o ochrane údajov, súkromí, dôvernosti telekomunikácií, sektorový alebo podobný zákon akejkoľvek jurisdikcie, ktorý sa vzťahuje na AI92 alebo zákazníka v súvislosti so spracúvaním osobných údajov zákazníka podľa tohto DPA. AI92 monitoruje regulačný vývoj na celom svete a aktualizuje tento zoznam (a postupy, ktoré ho implementujú), keď nadobúdajú platnosť nové zákony.

Ak tieto režimy používajú odlišnú terminológiu pre obdobné koncepty, tento DPA používa terminológiu GDPR a zaobchádza s ekvivalentmi podľa iných platných zákonov o ochrane údajov ako s kompatibilnými pojmami. Ak režim ukladá povinné dodatočné požiadavky (ako napríklad registrácia u dozorného orgánu, určenie miestneho zástupcu alebo špecifické zmluvné doložky), AI92 a zákazník súhlasia s tým, že tieto požiadavky uvedú do platnosti prostredníctvom štandardných zmluvných doložiek, dodatku Spojeného kráľovstva alebo jazdca špecifického pre daný režim, ako je uvedené v časti o medzinárodných prenosoch údajov.

Prevádzkovateľ znamená stranu, ktorá určuje účely a prostriedky spracúvania osobných údajov.

Spracovateľ znamená stranu, ktorá spracúva osobné údaje v mene prevádzkovateľa.

Osobné údaje zákazníka znamenajú akékoľvek osobné údaje obsiahnuté vo vstupe zákazníka alebo generované v súvislosti s používaním služieb API zákazníkom.

Subspracovateľ znamená akéhokoľvek spracovateľa, ktorého AI92 poverí spracúvaním osobných údajov zákazníka v mene zákazníka, vrátane poskytovateľov hostingu, spracovateľa platieb a poskytovateľov služieb AI92.

Vo vzťahu upravenom Podmienkami a týmto DPA je Zákazník Správcom osobných údajov Zákazníka a AI92 je Spracovateľom. AI92 prevádzkuje spoločnosť Masada Gateway Ltd. Integrácie s platformami Meta (Facebook, Instagram a Threads) sú poskytované prostredníctvom spoločnosti Koloxo West Africa Ltd, registrovaného vývojára našich aplikácií Meta, ktorá pôsobí ako spracovateľ pre tieto integrácie v mene spoločnosti Masada Gateway Ltd.

AI92 môže tiež spracúvať určité osobné údaje ako samostatný prevádzkovateľ, vrátane údajov potrebných na prevádzkovanie podnikania AI92 (údaje o vzťahoch so zákazníkmi, fakturačné údaje, autentifikačné poverenia, údaje auditu). Podmienky, ktorými sa riadi takéto spracovanie prevádzkovateľom, sú opísané v Zásadách ochrany osobných údajov spoločnosti AI92 na adrese ai92.ai/privacy-policy.

AI92 spracúva osobné údaje zákazníka iba na základe zdokumentovaných pokynov zákazníka, ako je uvedené v Podmienkach a tomto DPA, alebo ako to vyžaduje platný zákon.

Ak sa od spoločnosti AI92 vyžaduje platným zákonom spracúvať osobné údaje zákazníka inak, ako nariadil zákazník, AI92 (ak to zákon povoľuje) informuje zákazníka o tejto požiadavke pred spracovaním.

AI92 zabezpečí, aby sa na personál oprávnený spracúvať osobné údaje zákazníka vzťahovali povinnosti zachovávať dôvernosť, ktoré nie sú menej ochranné ako tie, ktoré sú uvedené v Podmienkach služby.

AI92 zavedie vhodné technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku, ktoré predstavuje spracovanie osobných údajov zákazníka, vrátane:

(a) pseudonymizácia a šifrovanie osobných údajov v stave nečinnosti a počas prenosu;

(b) schopnosť zabezpečiť nepretržitú dôvernosť, integritu, dostupnosť a odolnosť systémov spracovania;

(c) schopnosť obnoviť dostupnosť a prístup k osobným údajom včas v prípade fyzickej alebo technickej udalosti;

(d) proces pravidelného testovania, posudzovania a hodnotenia účinnosti týchto opatrení.

Súčasná implementácia týchto opatrení je opísaná v bezpečnostnej dokumentácii spoločnosti AI92. Audítorské správy SOC 2 spoločnosti AI92 sú zákazníkovi k dispozícii na požiadanie za podmienok zachovania dôvernosti.

Zákazník splnomocňuje spoločnosť AI92, aby zapojila subdodávateľov na spracovanie osobných údajov zákazníka za nasledujúcich podmienok:

(a) AI92 vedie aktuálny zoznam subdodávateľov na adrese ai92.ai/sub-processors;

(b) AI92 poskytne zákazníkovi aspoň tridsať (30) dní vopred oznámenie o akomkoľvek pridaní alebo nahradení subdodávateľa;

(c) Zákazník môže vzniesť námietku proti akémukoľvek novému subdodávateľovi na základe opodstatnených dôvodov do pätnástich (15) dní od oznámenia – ak námietku Zákazníka nemožno vyriešiť, Zákazník môže ukončiť dotknuté služby API a získať pomernú náhradu akýchkoľvek vopred zaplatených poplatkov;

(d) AI92 ukladá každému subdodávateľovi povinnosti ochrany údajov, ktoré nie sú menej ochranné ako tie v tomto DPA.

Počiatoční subdodávatelia zahŕňajú poskytovateľov hostingu AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform – pre regióny a služby zdokumentované na ai92.ai/sub-processors), spracovateľa platieb (Stripe, Inc.) a hostiteľa dokumentácie (Mintlify, Inc.). Zoznam na ai92.ai/sub-processors je záväzným aktuálnym záznamom.

Spracúvanie osobných údajov zákazníka spoločnosťou AI92 môže zahŕňať prenos týchto údajov mimo krajiny, v ktorej má zákazník alebo dotknuté osoby bydlisko. Akýkoľvek takýto prenos je v rozsahu, v akom je obmedzený platnými zákonmi o ochrane údajov, AI92 implementuje mechanizmus cezhraničného prenosu požadovaný zákonom jurisdikcie pôvodu alebo uznaný podľa neho. Mechanizmy v tejto časti sa uplatňujú na základe jurisdikcie a AI92 sa môže spoliehať na viac ako jeden mechanizmus pre daný prenos.

Európa a Spojené kráľovstvo. Pre prenosy riadené GDPR alebo UK GDPR strany prijímajú Štandardné zmluvné doložky Európskej komisie (vykonávacie rozhodnutie 2021/914/EÚ, Modul 2 – Prevádzkovateľ-Spracovateľ) začlenené odkazom a vyplnené nasledovne: (i) časové obdobia v doložkách 9 a 14 SCC sú vyplnené v súlade s platnými prahovými hodnotami GDPR; (ii) doložka o dokovaní sa nevzťahuje na dodatočné strany bez súhlasu Zákazníka; (iii) Príloha I (Zoznam strán) je vyplnená identifikačnými údajmi Zákazníka z registrácie a AI92 ako dovozcu údajov; (iv) Príloha II (Technické a organizačné opatrenia) odkazuje na bezpečnostnú dokumentáciu AI92; a (v) Príloha III (Subdodávatelia) odkazuje na zoznam subdodávateľov vedený spoločnosťou AI92. Pre prenosy podľa UK GDPR strany dodatočne prijímajú Dodatok k medzinárodnému prenosu údajov britského informačného komisára k SCC. Ak AI92 vlastní platnú certifikáciu podľa Rámca ochrany osobných údajov EÚ – USA, Rámca ochrany osobných údajov Švajčiarsko – USA alebo Rozšírenia Spojeného kráľovstva k Rámcu ochrany osobných údajov EÚ – USA, strany sa môžu na túto certifikáciu spoliehať aj pri prenosoch do infraštruktúry AI92 v Spojených štátoch.

Švajčiarsko. V prípade prenosov, na ktoré sa vzťahuje švajčiarsky FADP, strany prijímajú SCC, ako ich uznáva švajčiarsky federálny komisár pre ochranu údajov a informácií („FDPIC“), s úpravami zverejnenými FDPIC pre švajčiarsky právny kontext.

Latinská Amerika. V prípade prenosov, na ktoré sa vzťahuje brazílsky LGPD, strany uvádzajú do platnosti režim cezhraničného prenosu podľa článkov 33 až 36 LGPD, vrátane spoliehania sa (podľa potreby) na štandardné zmluvné doložky prijaté brazílskym orgánom Autoridade Nacional de Proteção de Dados („ANPD“) podľa uznesenia 19/2024 a akéhokoľvek špecifického povolenia vydaného ANPD, ak sa to vyžaduje. V prípade prenosov, na ktoré sa vzťahuje mexický LFPDPPP, AI92 poskytuje zákazníkovi informácie požadované článkom 36 LFPDPPP a vykonávacím nariadením a zákazník získava súhlas dotknutých osôb. V prípade prenosov, na ktoré sa vzťahuje argentínsky zákon 25.326, kolumbijský zákon 1581, čilský zákon 19.628, peruánsky zákon 29733 alebo iné režimy LATAM, AI92 implementuje štandardné zmluvné doložky alebo iný mechanizmus uznaný dozorným orgánom príslušnej jurisdikcie.

Afrika. V prípade prenosov, na ktoré sa vzťahuje juhoafrický POPIA, AI92 zabezpečuje súlad s oddielom 72 POPIA a získava súhlas dotknutej osoby alebo sa spolieha na platný zákonný základ. V prípade prenosov, na ktoré sa vzťahuje nigérijský NDPA, kenský zákon o ochrane údajov alebo iné africké režimy, AI92 zabezpečuje súlad s požiadavkami na cezhraničný prenos uloženými príslušným dozorným orgánom (vrátane nigérijskej komisie pre ochranu údajov, úradu komisára pre ochranu údajov Kene, juhoafrického regulátora informácií a iných rovnocenných regulátorov) a implementuje štandardné zmluvné doložky, certifikáciu alebo iný mechanizmus uznaný týmto orgánom. AI92 sa v prípade potreby zaregistruje alebo určí miestneho zástupcu a odpovie na otázky miestneho regulátora v rámci platných lehôt.

Ázia a Tichomorie. V prípade prenosov, na ktoré sa vzťahuje čínsky PIPL, strany prijímajú štandardnú zmluvu o cezhraničnom prenose osobných informácií vydanú správou pre kybernetický priestor Číny, vykonajú bezpečnostné posúdenie s CAC, ak sú prekročené prahové hodnoty prenosu, alebo sa spoliehajú na certifikáciu uznanú podľa PIPL, podľa potreby. V prípade prenosov, na ktoré sa vzťahuje indický DPDPA, AI92 obmedzuje prenosy na jurisdikcie povolené oznámeniami vydanými podľa oddielu 16 DPDPA a dodržiava všetky špecifické podmienky uložené pravidlami. V prípade prenosov, na ktoré sa vzťahuje austrálsky zákon o ochrane súkromia, AI92 podniká primerané kroky podľa austrálskeho princípu ochrany súkromia 8, aby zabezpečila, že zámorský príjemca bude s osobnými informáciami zaobchádzať v súlade s APP. V prípade prenosov, na ktoré sa vzťahuje japonský APPI, juhokórejský PIPA, singapurský PDPA, thajský PDPA, vietnamský PDPD, filipínsky DPA, indonézsky zákon PDP, malajzijský PDPA, taiwanský PDPA, hongkongský PDPO alebo iné režimy v ázijsko-tichomorskej oblasti, AI92 implementuje štandardné zmluvné doložky, certifikáciu, mechanizmus primeranosti medzi vládami alebo iný mechanizmus prenosu uznaný dozorným orgánom príslušnej jurisdikcie.

Stredný východ. V prípade prenosov, na ktoré sa vzťahuje zákon UAE PDPL, zákon o ochrane údajov Dubajského medzinárodného finančného centra, zákon Saudskej Arábie PDPL, izraelský zákon o ochrane súkromia, katarský PDPPL, bahrajnský PDPL, ománsky PDPL, jordánsky PDPL, turecký KVKK alebo iné režimy na Strednom východe, AI92 implementuje štandardné zmluvné doložky, rozhodnutie o primeranosti alebo iný mechanizmus uznaný dozorným orgánom príslušnej jurisdikcie a v prípade potreby sa zaregistruje alebo určí miestneho zástupcu.

Eurázia a ďalšie regióny. V prípade prenosov, na ktoré sa vzťahuje federálny zákon Ruskej federácie 152-FZ, AI92 dodržiava požiadavky na lokalizáciu podľa článku 18 ods. 5 a v prípade potreby získava písomný súhlas dotknutej osoby. V prípade prenosov, na ktoré sa vzťahuje kazašský zákon o osobných údajoch, uzbecký zákon o osobných údajoch alebo akýkoľvek iný platný zákon o ochrane údajov, AI92 implementuje mechanizmus cezhraničného prenosu požadovaný zákonom jurisdikcie pôvodu alebo uznaný podľa neho.

Všeobecne. Ak platné zákony o ochrane údajov jurisdikcie zákazníka vyžadujú špecifický mechanizmus prenosu, zmluvné doložky alebo regulačné podanie, ktoré nie sú výslovne uvedené vyššie, AI92 na primeranú žiadosť zákazníka a na náklady zákazníka (ak existujú) vykoná alebo implementuje dodatočnú dokumentáciu, ktorá je primerane potrebná na uvedenie tohto mechanizmu do platnosti. AI92 monitoruje regulačný vývoj na celom svete a aktualizuje vyššie uvedené mechanizmy prenosu, keď nadobúdajú platnosť nové požiadavky.

AI92, v rozsahu povolenom zákonom, bezodkladne oznámi zákazníkovi, ak AI92 dostane žiadosť od dotknutej osoby o prístup, opravu, vymazanie, obmedzenie spracovania, prenosnosť alebo námietku (ďalej len Žiadosť dotknutej osoby). AI92 neodpovie na takúto žiadosť dotknutej osoby, s výnimkou pokynov zákazníka, pokiaľ to nevyžaduje platný zákon.

AI92 poskytne zákazníkovi také informácie a primeranú pomoc, akú môže zákazník požadovať, aby zákazníkovi umožnil odpovedať na žiadosť dotknutej osoby, vrátane poskytnutia alebo uľahčenia poskytovania exportu údajov.

AI92 bez zbytočného odkladu a v každom prípade do sedemdesiatich dvoch (72) hodín od zistenia oznámi zákazníkovi akékoľvek porušenie ochrany osobných údajov, ktoré sa týka osobných údajov zákazníka.

Oznámenie bude obsahovať, v rozsahu, v akom je to vtedy známe: (a) opis povahy porušenia, vrátane kategórií osobných údajov a približného počtu dotknutých osôb; (b) pravdepodobné následky; (c) opatrenia prijaté alebo navrhované na riešenie porušenia; a (d) meno a kontaktné údaje úradníka pre ochranu údajov alebo iného kontaktného miesta pre ďalšie informácie.

Na požiadanie poskytne AI92 zákazníkovi primeranú pomoc pri akomkoľvek posúdení vplyvu na ochranu údajov alebo predchádzajúcej konzultácii s dozornými orgánmi, ktorú je zákazník povinný vykonať podľa článku 35 GDPR alebo analógových ustanovení zákona o ochrane údajov LATAM.

Po ukončení platnosti podmienok AI92, podľa voľby zákazníka, vráti alebo vymaže osobné údaje zákazníka, s výhradou uchovávania, ako to vyžaduje platný zákon a ako to povoľuje táto DPA.

AI92 si môže ponechať osobné údaje zákazníka len v rozsahu, v akom to vyžaduje platný zákon (vrátane povinností daňových záznamov), alebo ako to povoľuje táto DPA, počas obdobia uchovávania audítorského protokolu uvedeného v Zásadách ochrany osobných údajov alebo počas obdobia uchovávania úverovej knihy uvedeného v Zásadách ochrany osobných údajov.

Zákazník (alebo nezávislý audítor tretej strany, ktorý je pre AI92 primerane prijateľný a je viazaný povinnosťami zachovania dôvernosti) môže auditovať súlad spoločnosti AI92 s touto DPA najviac raz za dvanásťmesačné obdobie, na základe písomného oznámenia aspoň tridsať (30) dní vopred, počas bežnej pracovnej doby spoločnosti AI92 a na náklady zákazníka.

Namiesto auditu na mieste môže AI92 poskytnúť zákazníkovi svoje vtedy aktuálne audítorské správy SOC 2, správy o penetračnom testovaní a iné relevantné potvrdenia tretích strán. Zákazník ich prijme ako uspokojenie svojich audítorských práv, pokiaľ neriešia primerané obavy zákazníka.

Táto DPA sa riadi rovnakým právom ako Podmienky služby, s výnimkou prípadov, keď záväzné právo na ochranu údajov vyžaduje iné rozhodné právo.

V prípade rozporu medzi Podmienkami a týmto dodatkom DPA má tento dodatok DPA prednosť, pokiaľ ide o spracovanie osobných údajov.

Ak ste podnikovým zákazníkom s hlavnou zmluvou o poskytovaní služieb (MSA), podmienky DPA môžu byť upravené vašou zmluvou MSA. V prípade rozporu má prednosť zmluva MSA.

Ak máte akékoľvek otázky týkajúce sa tohto dodatku o spracovaní údajov, kontaktujte nás:

• Všeobecné otázky: [email protected]
• Otázky týkajúce sa ochrany údajov a súkromia: [email protected]
• Právne záležitosti: [email protected]