Dodatok o spracovaní údajov

Na účely tohto dodatku o spracúvaní údajov majú pojmy písané veľkými písmenami, ktoré nie sú v tomto dokumente definované, význam uvedený v zmluvných podmienkach AI92. Pojmy týkajúce sa ochrany údajov písané veľkými písmenami majú význam uvedený v platných zákonoch o ochrane údajov, ako sú definované v tejto časti.

Platné zákony o ochrane údajov. „Platné zákony o ochrane údajov“ znamenajú všetky zákony o ochrane údajov, súkromí a podobné zákony, ktoré sa vzťahujú na spracúvanie osobných údajov podľa tohto DPA, ako sa môžu z času na čas meniť alebo nahrádzať, vrátane, bez obmedzenia:

Európa. Všeobecné nariadenie Európskej únie o ochrane údajov (nariadenie (EÚ) 2016/679, „GDPR“), všeobecné nariadenie Spojeného kráľovstva o ochrane údajov čítané spolu so zákonom o ochrane údajov z roku 2018, federálny zákon Švajčiarska o ochrane údajov („FADP“), nórsky zákon o osobných údajoch, islandský zákon č. 90/2018, zákon Lichtenštajnska o ochrane údajov a vykonávacie zákony o ochrane údajov každého členského štátu Európskeho hospodárskeho priestoru.

Severná Amerika. V Spojených štátoch: kalifornský zákon o ochrane osobných údajov spotrebiteľov v znení zákona o kalifornských právach na ochranu osobných údajov („CCPA/CPRA“), virgínsky zákon o ochrane osobných údajov spotrebiteľov, coloradský zákon o ochrane osobných údajov, connecticutský zákon o ochrane osobných údajov, utahský zákon o ochrane osobných údajov spotrebiteľov, texaský zákon o ochrane osobných údajov a bezpečnosti údajov, oregonský zákon o ochrane osobných údajov spotrebiteľov a obdobné zákony o ochrane osobných údajov na úrovni štátov, keď nadobudnú platnosť. V Kanade: zákon o ochrane osobných údajov a elektronických dokumentov („PIPEDA“), quebecký zákon 25, albertský zákon o ochrane osobných údajov, zákon Britskej Kolumbie o ochrane osobných údajov a zákon o ochrane súkromia.

Latinská Amerika a Karibik. Brazílsky všeobecný zákon o ochrane údajov („LGPD“, zákon 13.709), mexický federálny zákon o ochrane osobných údajov, ktoré vlastnia súkromné strany („LFPDPPP“), argentínsky zákon o ochrane osobných údajov 25.326, kolumbijský štatutárny zákon 1581 z roku 2012, čilský zákon 19.628, peruánsky zákon 29733, uruguajský zákon 18.331, ekvádorský organický zákon o ochrane osobných údajov, kostarický zákon 8968, zákon Dominikánskej republiky 172-13, panamský zákon 81 z roku 2019, paraguajský zákon 6534/2020 a obdobné štatúty každej inej krajiny v regióne.

Afrika. Juhoafrický zákon o ochrane osobných informácií („POPIA“), nigérijský zákon o ochrane údajov Nigérie z roku 2023 („NDPA“) a nariadenie o ochrane údajov Nigérie z roku 2019, kenský zákon o ochrane údajov z roku 2019, egyptský zákon o ochrane osobných údajov (zákon 151 z roku 2020), ghanský zákon o ochrane údajov z roku 2012, marocký zákon 09-08, tuniský organický zákon 2004-63, maurícijský zákon o ochrane údajov z roku 2017, senegalský zákon 2008-12, zákon Pobrežia Slonoviny 2013-450, rwandský zákon 058/2021, ugandský zákon o ochrane údajov a súkromia z roku 2019, tanzánsky zákon o ochrane osobných údajov z roku 2022, zimbabwiansky zákon o kybernetickej bezpečnosti a ochrane údajov 5 z roku 2021, alžírsky zákon 18-07, madagaskarský zákon 2014-038, Dohovor Africkej únie o kybernetickej bezpečnosti a ochrane osobných údajov („Malabský dohovor“), doplnkový akt ECOWAS o ochrane osobných údajov a obdobné štatúty každého iného afrického štátu.

Ázia a Tichomorie. Australský zákon o ochrane súkromia z roku 1988, novozélandský zákon o ochrane súkromia z roku 2020, japonský zákon o ochrane osobných informácií („APPI“), juhokórejský zákon o ochrane osobných informácií („PIPA“), singapurský zákon o ochrane osobných údajov z roku 2012 („PDPA“), thajský zákon o ochrane osobných údajov B.E. 2562 (2019), vietnamské nariadenie o ochrane osobných údajov 13/2023, filipínsky zákon o ochrane osobných údajov z roku 2012, indonézsky zákon o ochrane osobných údajov 27/2022, malajzijský zákon o ochrane osobných údajov z roku 2010, indický zákon o digitálnej ochrane osobných údajov z roku 2023 („DPDPA“), čínsky zákon o ochrane osobných informácií („PIPL“), taiwanský zákon o ochrane osobných údajov, hongkongské nariadenie o osobných údajoch (súkromie), macauský zákon o ochrane osobných údajov a obdobné štatúty každej inej jurisdikcie v ázijsko-tichomorskej oblasti.

Stredný východ. Federálny dekrétny zákon Spojených arabských emirátov č. 45 z roku 2021 o ochrane osobných údajov a zákon o ochrane údajov Dubajského medzinárodného finančného centra, zákon Saudskej Arábie o ochrane osobných údajov, izraelský zákon o ochrane súkromia 5741-1981 a jeho vykonávacie predpisy, katarský zákon o ochrane osobných údajov (zákon 13/2016) a nariadenia QFC o ochrane údajov, bahrajnský zákon o ochrane osobných údajov (zákon 30/2018), ománsky zákon o ochrane osobných údajov (kráľovský dekrét 6/2022), jordánsky zákon o ochrane osobných údajov z roku 2023, turecký zákon o ochrane osobných údajov („KVKK“, zákon 6698) a obdobné štatúty každej inej blízkovýchodnej jurisdikcie.

Eurázia a ďalšie regióny. Federálny zákon Ruskej federácie o osobných údajoch (č. 152-FZ), kazašský zákon o osobných údajoch a ich ochrane, uzbecký zákon o osobných údajoch a obdobné štatúty každej inej jurisdikcie, v ktorej AI92 alebo zákazník spracúva osobné údaje.

Všeobecné ustanovenie. Akýkoľvek iný zákon o ochrane údajov, súkromí, dôvernosti telekomunikácií, sektorový alebo podobný zákon akejkoľvek jurisdikcie, ktorý sa vzťahuje na AI92 alebo zákazníka v súvislosti so spracúvaním osobných údajov zákazníka podľa tohto DPA. AI92 monitoruje regulačný vývoj na celom svete a aktualizuje tento zoznam (a postupy, ktoré ho implementujú), keď nadobudnú platnosť nové zákony.

Ak tieto režimy používajú odlišnú terminológiu pre obdobné pojmy, tento DPA používa terminológiu GDPR a zaobchádza s ekvivalentmi podľa iných platných zákonov o ochrane údajov ako s kompatibilnými pojmami. Ak režim ukladá povinné dodatočné požiadavky (ako napríklad registrácia u dozorného orgánu, určenie miestneho zástupcu alebo špecifické zmluvné doložky), AI92 a zákazník súhlasia s tým, že tieto požiadavky zohľadnia prostredníctvom štandardných zmluvných doložiek, dodatku Spojeného kráľovstva alebo jazdca špecifického pre daný režim, ako je uvedené v časti o medzinárodných prenosoch údajov.

Prevádzkovateľ znamená stranu, ktorá určuje účely a prostriedky spracúvania osobných údajov.

Spracovateľ znamená stranu, ktorá spracúva osobné údaje v mene prevádzkovateľa.

Osobné údaje zákazníka znamenajú akékoľvek osobné údaje obsiahnuté vo vstupe zákazníka alebo generované v súvislosti s používaním služieb API zákazníkom.

Subdodávateľ znamená akéhokoľvek spracovateľa, ktorého AI92 poverí spracúvaním osobných údajov zákazníka v mene zákazníka, vrátane poskytovateľov hostingu AI92, spracovateľa platieb a poskytovateľov služieb nižšej úrovne.

Vo vzťahu riadenom Podmienkami a touto DPA, Zákazník je Prevádzkovateľom Osobných údajov Zákazníka a AI92 je Spracovateľom. AI92 prevádzkuje spoločnosť Masada Gateway Ltd. Integrácie s platformami Meta (Facebook, Instagram a Threads) sú poskytované prostredníctvom Koloxo West Africa Ltd, registrovaného vývojára našich aplikácií Meta, ktorá pôsobí ako spracovateľ pre tieto integrácie v mene Masada Gateway Ltd.

AI92 môže tiež spracúvať určité osobné údaje ako samostatný prevádzkovateľ, vrátane údajov potrebných na prevádzkovanie činnosti AI92 (údaje o vzťahoch so zákazníkmi, fakturačné údaje, autentifikačné poverenia, údaje auditu). Podmienky upravujúce takéto spracúvanie prevádzkovateľom sú opísané v Zásadách ochrany osobných údajov spoločnosti AI92 na adrese ai92.ai/privacy-policy.

AI92 spracúva osobné údaje zákazníka len na základe zdokumentovaných pokynov zákazníka, ako je uvedené v Podmienkach a tomto dodatku DPA, alebo ako to vyžaduje platný zákon.

Ak sa od spoločnosti AI92 vyžaduje, aby podľa platných zákonov spracúvala osobné údaje zákazníka inak, ako podľa pokynov zákazníka, spoločnosť AI92 (ak to zákon povoľuje) informuje zákazníka o tejto požiadavke pred spracúvaním.

AI92 zabezpečí, aby sa na personál oprávnený spracúvať osobné údaje zákazníka vzťahovali povinnosti zachovávať dôvernosť, ktoré nie sú menej ochranné ako tie, ktoré sú uvedené v Podmienkach služby.

AI92 zavedie primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku, ktoré predstavuje spracúvanie osobných údajov zákazníka, vrátane:

(a) pseudonymizácia a šifrovanie osobných údajov v stave nečinnosti a počas prenosu;

(b) schopnosť zabezpečiť nepretržitú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania;

(c) schopnosť obnoviť dostupnosť a prístup k osobným údajom včas v prípade fyzickej alebo technickej udalosti;

(d) proces pravidelného testovania, posudzovania a hodnotenia účinnosti týchto opatrení.

Súčasná implementácia týchto opatrení je opísaná v bezpečnostnej dokumentácii spoločnosti AI92. Audítorské správy SOC 2 spoločnosti AI92 sú zákazníkovi k dispozícii na požiadanie za podmienok zachovania dôvernosti.

Zákazník oprávňuje spoločnosť AI92 zapojiť subdodávateľov na spracovanie osobných údajov zákazníka, za nasledujúcich podmienok:

(a) Spoločnosť AI92 vedie aktuálny zoznam subdodávateľov na adrese ai92.ai/sub-processors;

(b) Spoločnosť AI92 poskytne zákazníkovi aspoň tridsať (30) dní vopred upozornenie na akékoľvek pridanie alebo nahradenie subdodávateľa;

(c) Zákazník môže namietať voči akémukoľvek novému subdodávateľovi z primeraných dôvodov do pätnástich (15) dní od oznámenia – ak nemožno vyriešiť námietku zákazníka, zákazník môže ukončiť dotknuté služby API a získať pomernú náhradu akýchkoľvek vopred zaplatených poplatkov;

(d) Spoločnosť AI92 ukladá každému subdodávateľovi povinnosti ochrany údajov, ktoré nie sú menej ochranné ako tie v tomto dodatku DPA.

Medzi počiatočných subdodávateľov patria poskytovatelia hostingu spoločnosti AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform – pre regióny a služby zdokumentované na ai92.ai/sub-processors), spracovateľ platieb (Stripe, Inc.) a hostiteľ dokumentácie (Mintlify, Inc.). Zoznam na ai92.ai/sub-processors je smerodajný aktuálny záznam.

Spracovanie osobných údajov zákazníka spoločnosťou AI92 môže zahŕňať prenos týchto údajov mimo krajiny, v ktorej má zákazník alebo dotknuté osoby bydlisko. V rozsahu, v akom je akýkoľvek takýto prenos obmedzený platnými zákonmi o ochrane údajov, AI92 implementuje mechanizmus cezhraničného prenosu požadovaný zákonom jurisdikcie pôvodu alebo uznaný podľa neho. Mechanizmy v tejto časti sa uplatňujú na základe jednotlivých jurisdikcií a AI92 sa môže spoliehať na viac ako jeden mechanizmus pre daný prenos.

Európa a Spojené kráľovstvo. Pre prenosy, ktoré sa riadia nariadením GDPR alebo UK GDPR, strany prijímajú štandardné zmluvné doložky Európskej komisie (vykonávacie rozhodnutie 2021/914/EÚ, Module 2 – prevádzkovateľ – sprostredkovateľ) začlenené odkazom a doplnené nasledovne: (i) časové obdobia v doložkách 9 a 14 SCC sú vyplnené v súlade s platnými prahmi GDPR; (ii) doložka o dokovaní sa nevzťahuje na ďalšie strany bez súhlasu zákazníka; (iii) príloha I (zoznam strán) je vyplnená identifikačnými údajmi zákazníka z registrácie a AI92 ako dovozcu údajov; (iv) príloha II (technické a organizačné opatrenia) odkazuje na bezpečnostnú dokumentáciu AI92; a (v) príloha III (subdodávatelia) odkazuje na zoznam subdodávateľov, ktorý vedie AI92. Pre prenosy podľa UK GDPR strany dodatočne prijímajú medzinárodný dodatok komisára pre informácie Spojeného kráľovstva k SCC. Ak má AI92 aktuálnu certifikáciu podľa rámca ochrany osobných údajov medzi EÚ a USA, rámca ochrany osobných údajov medzi Švajčiarskom a USA alebo rozšírenia Spojeného kráľovstva na rámec ochrany osobných údajov medzi EÚ a USA, strany sa môžu spoliehať aj na túto certifikáciu pre prenosy do infraštruktúry AI92 v Spojených štátoch.

Švajčiarsko. Pre prenosy, ktoré sa riadia švajčiarskym FADP, strany prijímajú SCC uznané švajčiarskym federálnym komisárom pre ochranu údajov a informácií („FDPIC“) s úpravami zverejnenými FDPIC pre švajčiarsky právny kontext.

Latinská Amerika. Pre prenosy, ktoré sa riadia brazílskym LGPD, strany uplatňujú režim cezhraničného prenosu podľa článkov 33 až 36 LGPD, vrátane spoliehania sa (podľa potreby) na štandardné zmluvné doložky prijaté brazílskym Autoridade Nacional de Proteção de Dados („ANPD“) podľa rezolúcie 19/2024 a akéhokoľvek osobitného povolenia vydaného ANPD, ak je to potrebné. Pre prenosy, ktoré sa riadia mexickým LFPDPPP, AI92 poskytuje zákazníkovi informácie požadované článkom 36 LFPDPPP a vykonávacím nariadením a zákazník získava súhlas dotknutých osôb. Pre prenosy, ktoré sa riadia argentínskym zákonom 25.326, kolumbijským zákonom 1581, čílskym zákonom 19.628, peruánskym zákonom 29733 alebo inými režimami LATAM, AI92 implementuje štandardné zmluvné doložky alebo iný mechanizmus uznaný orgánom dohľadu príslušnej jurisdikcie.

Afrika. Pre prenosy, ktoré sa riadia juhoafrickým POPIA, AI92 zabezpečuje súlad s oddielom 72 POPIA a získava súhlas dotknutej osoby alebo sa spolieha na platný zákonný základ. Pre prenosy, ktoré sa riadia nigérijskym NDPA, kenským zákonom o ochrane údajov alebo inými africkými režimami, AI92 zabezpečuje súlad s požiadavkami na cezhraničný prenos uloženými príslušným orgánom dohľadu (vrátane Nigérijskej komisie pre ochranu údajov, Úradu komisára pre ochranu údajov Kene, Juhoafrického informačného regulátora a iných rovnocenných regulátorov) a implementuje štandardné zmluvné doložky, certifikáciu alebo iný mechanizmus uznaný týmto orgánom. AI92 v prípade potreby zaregistruje alebo určí miestneho zástupcu a odpovie na otázky miestneho regulátora v rámci platných lehôt.

Ázia a Tichomorie. Pre prenosy, ktoré sa riadia čínskym PIPL, strany prijímajú štandardnú zmluvu pre cezhraničný prenos osobných údajov vydanú správou kybernetického priestoru Číny, dokončia posúdenie bezpečnosti s CAC, ak sú prekročené prahové hodnoty prenosu, alebo sa spoliehajú na certifikáciu uznanú podľa PIPL, podľa potreby. Pre prenosy, ktoré sa riadia indickým DPDPA, AI92 obmedzuje prenosy do jurisdikcií povolených oznámeniami vydanými podľa oddielu 16 DPDPA a dodržiava všetky osobitné podmienky uložené pravidlami. Pre prenosy, ktoré sa riadia austrálskym zákonom o ochrane súkromia, AI92 podniká primerané kroky podľa austrálskeho princípu ochrany súkromia 8, aby zabezpečila, že zámorský príjemca bude s osobnými údajmi zaobchádzať v súlade s APP. Pre prenosy, ktoré sa riadia japonským APPI, juhokórejským PIPA, singapurským PDPA, thajským PDPA, vietnamským PDPD, filipínskym DPA, indonézskym zákonom PDP, malajzijským PDPA, taiwanským PDPA, hongkongským PDPO alebo inými režimami Ázie a Tichomoria, AI92 implementuje štandardné zmluvné doložky, certifikáciu, mechanizmus primeranosti medzi vládami alebo iný mechanizmus prenosu uznaný orgánom dohľadu príslušnej jurisdikcie.

Blízky východ. Pre prenosy, ktoré sa riadia UAE PDPL, zákonom o ochrane údajov Dubajského medzinárodného finančného centra, saudskoarabským PDPL, izraelským zákonom o ochrane súkromia, katarským PDPPL, bahrajnským PDPL, ománskym PDPL, jordánskym PDPL, tureckým KVKK alebo inými režimami Blízkeho východu, AI92 implementuje štandardné zmluvné doložky, rozhodnutie o primeranosti alebo iný mechanizmus uznaný orgánom dohľadu príslušnej jurisdikcie a v prípade potreby zaregistruje alebo určí miestneho zástupcu.

Eurázia a ďalšie regióny. Pre prenosy, ktoré sa riadia federálnym zákonom Ruskej federácie 152-FZ, AI92 dodržiava požiadavky na lokalizáciu článku 18 ods. 5 a v prípade potreby získa písomný súhlas dotknutej osoby. Pre prenosy, ktoré sa riadia kazašským zákonom o osobných údajoch, uzbeckým zákonom o osobných údajoch alebo akýmkoľvek iným platným zákonom o ochrane údajov, AI92 implementuje mechanizmus cezhraničného prenosu požadovaný zákonom jurisdikcie pôvodu alebo uznaný podľa neho.

Všeobecné. Ak platné zákony o ochrane údajov jurisdikcie zákazníka vyžadujú osobitný mechanizmus prenosu, zmluvné doložky alebo regulačné podanie, ktoré nie sú výslovne uvedené vyššie, AI92 na primeranú žiadosť zákazníka a na náklady zákazníka (ak existujú) vykoná alebo implementuje dodatočnú dokumentáciu, ktorá je primerane potrebná na uplatnenie tohto mechanizmu. AI92 monitoruje regulačný vývoj na celom svete a aktualizuje mechanizmy prenosu uvedené vyššie, keď nadobudnú účinnosť nové požiadavky.

Spoločnosť AI92, v rozsahu povolenom zákonom, bezodkladne oznámi Zákazníkovi, ak spoločnosť AI92 dostane žiadosť od dotknutej osoby o prístup, opravu, vymazanie, obmedzenie spracúvania, prenosnosť alebo námietku (ďalej len Žiadosť dotknutej osoby). Spoločnosť AI92 nebude na takúto Žiadosť dotknutej osoby reagovať, s výnimkou pokynov Zákazníka, pokiaľ to nevyžaduje platný zákon.

Spoločnosť AI92 poskytne Zákazníkovi také informácie a primeranú pomoc, akú môže Zákazník požadovať, aby Zákazníkovi umožnila reagovať na Žiadosť dotknutej osoby, a to aj poskytnutím alebo uľahčením poskytovania exportu údajov.

Spoločnosť AI92 bez zbytočného odkladu a v každom prípade do sedemdesiatich dvoch (72) hodín od zistenia oznámi Zákazníkovi akékoľvek porušenie ochrany osobných údajov, ktoré sa týka osobných údajov Zákazníka.

Oznámenie bude obsahovať, v rozsahu, v akom je to vtedy známe: a) opis povahy porušenia, vrátane kategórií osobných údajov a približného počtu dotknutých osôb; b) pravdepodobné následky; c) opatrenia prijaté alebo navrhované na riešenie porušenia; a d) meno a kontaktné údaje osoby zodpovednej za ochranu údajov alebo iného kontaktného miesta pre ďalšie informácie.

Na požiadanie spoločnosť AI92 poskytne Zákazníkovi primeranú pomoc pri akomkoľvek posúdení vplyvu na ochranu údajov alebo predchádzajúcej konzultácii s dozornými orgánmi, ktorú je Zákazník povinný vykonať podľa článku 35 nariadenia GDPR alebo analógových ustanovení zákona o ochrane údajov LATAM.

Po ukončení platnosti Podmienok spoločnosť AI92, podľa voľby Zákazníka, vráti alebo vymaže osobné údaje Zákazníka, s výhradou uchovávania, ako to vyžaduje platný zákon a ako to povoľuje tento DPA.

Spoločnosť AI92 môže uchovávať osobné údaje Zákazníka len v rozsahu, v akom to vyžaduje platný zákon (vrátane povinností týkajúcich sa daňových záznamov), alebo ako to povoľuje tento DPA, počas obdobia uchovávania audítorského záznamu stanoveného v Zásadách ochrany osobných údajov alebo počas obdobia uchovávania úverovej knihy stanoveného v Zásadách ochrany osobných údajov.

Zákazník (alebo nezávislý audítor tretej strany, ktorý je pre spoločnosť AI92 primerane prijateľný a je viazaný povinnosťami zachovávania dôvernosti) môže auditovať súlad spoločnosti AI92 s týmto DPA najviac raz za dvanásťmesačné obdobie, na základe písomného oznámenia aspoň tridsať (30) dní vopred, počas bežnej pracovnej doby spoločnosti AI92 a na náklady Zákazníka.

Namiesto auditu na mieste môže spoločnosť AI92 poskytnúť zákazníkovi svoje aktuálne audítorské správy SOC 2, správy o penetračných testoch a iné relevantné osvedčenia tretích strán. Zákazník ich prijme ako uspokojenie svojich audítorských práv, pokiaľ neriešia primerané obavy zákazníka.

Toto DPA sa riadi rovnakým právom ako Podmienky služby, s výnimkou prípadov, keď si záväzné právo na ochranu údajov vyžaduje iné rozhodné právo.

V prípade rozporu medzi Podmienkami a týmto DPA má toto DPA kontrolu, pokiaľ ide o spracovanie osobných údajov.

Ak ste podnikovým zákazníkom s hlavnou servisnou zmluvou (MSA), podmienky DPA môžu byť upravené vašou MSA. V prípade rozporu má MSA kontrolu.

Ak máte akékoľvek otázky týkajúce sa tohto dodatku o spracovaní údajov, kontaktujte nás:

• V prípade všeobecných otázok: [email protected]
• V prípade otázok týkajúcich sa ochrany údajov a súkromia: [email protected]
• V právnych záležitostiach: [email protected]