Zpracování osobních údajů

Podmínky zpracování podle čl. 28 GDPR Verze 1.4 · účinné ode dne zveřejnění této verze na recenzik.cz.

Tento dokument je nedílnou součástí smlouvy mezi klientem a poskytovatelem. Upravuje zpracování osobních údajů, které pro klienta provádíme při poskytování služby Recenzík.

1. Strany a jejich role

Správce: klient — podnikatel, který si službu objednal. Zpracovatel: Bc. Xinchi Jiang, OSVČ, IČO 21591202, Jindř. Lukeše 244, 273 08 Pchery.

Klient určuje pravidla pro výběr recenzí a obsah odpovědí a rozhoduje, zda a jak se zveřejní. V režimu se schválením schvaluje jednotlivá přesná znění a současně nám musí písemně povolit, abychom schválené odpovědi zveřejňovali. Ve spravovaném režimu nám písemné pověření určuje, které běžné odpovědi můžeme zveřejňovat bez jednotlivého schválení a které případy mu máme předložit. Pověření a případná schválení jsou pokyny klienta podle obchodních podmínek, čl. 3.2. Samotné udělení technického přístupu k profilu není pokynem ke zveřejnění. My zpracováváme údaje pouze podle doložených pokynů klienta.

Pro vlastní obchodní evidenci, fakturaci a akvizici jsme naopak správcem sami — to popisuje dokument Ochrana soukromí.

2. Předmět, povaha a účel zpracování

Účel: příprava návrhů odpovědí na zákaznické recenze u jednoho Google profilu klienta a jejich předání klientovi ke schválení či vlastnímu zveřejnění, nebo — v pilotu či průběžné péči podle písemně sjednaného režimu a doložených pokynů klienta — jejich ruční zveřejnění na tomto profilu.

Povaha operací: přijetí podkladů, jejich uložení, nahlédnutí, úprava formátu, vytvoření návrhu odpovědi s využitím jazykového modelu dalšího zpracovatele uvedeného v čl. 6, lidská kontrola návrhu, předání klientovi ke schválení či vlastnímu zveřejnění nebo ruční zveřejnění odpovědi na Google profilu klienta v mezích písemného pověření a případného schválení a následné odstranění.

Doba zpracování: po dobu trvání služby a nejdéle 30 dnů po jejím ukončení, do vypořádání podle čl. 8.

3. Kategorie subjektů údajů

• autoři zákaznických recenzí,
• osoby zmíněné v textu recenze (zaměstnanci klienta, další hosté či zákazníci),
• kontaktní a schvalující osoby na straně klienta.

4. Kategorie osobních údajů

• text recenze a jeho hodnocení, jazyk, datum a odkaz na zdroj,
• jméno nebo přezdívka autora recenze, případně příznak anonymity,
• údaje, které autor sám v textu uvedl — může jít i o popis zdravotního stavu, obvinění nebo jiný citlivý obsah; o jeho rozsahu rozhoduje autor, nikoli my,
• podklady od klienta: styl odpovědí, ověřená fakta o provozovně, témata, která otevírat nemáme, podpis,
• návrh odpovědi a záznam o jeho schválení, případně o jeho zveřejnění podle pověření,
• kontaktní údaje schvalující osoby.

Nepožadujeme a nezpracováváme hesla, tokeny ani přístupové údaje do systémů klienta.

5. Naše povinnosti

Zavazujeme se, že:

1. zpracováváme údaje pouze na doložené pokyny klienta, včetně pokynů k předání do třetí země; máme-li za to, že pokyn porušuje právní předpisy, upozorníme na to;
2. zavážeme k mlčenlivosti každou osobu, která k údajům získá přístup — dnes je to pouze poskytovatel sám;
3. přijmeme vhodná technická a organizační opatření podle čl. 32 GDPR (viz čl. 7);
4. dalšího zpracovatele zapojíme jen za podmínek podle čl. 6;
5. budeme klientovi nápomocni při vyřizování žádostí subjektů údajů — obrátí-li se někdo se žádostí přímo na nás, žádost sami nevyřídíme a bez zbytečného odkladu ji předáme klientovi;
6. budeme klientovi nápomocni při plnění povinností podle čl. 32 až 36 GDPR, s ohledem na povahu zpracování a údaje, které máme k dispozici;
7. po ukončení služby údaje vrátíme nebo vymažeme podle volby klienta (čl. 8);
8. poskytneme klientovi informace potřebné k doložení splnění těchto povinností a umožníme audit podle čl. 9;
9. ohlásíme klientovi každé porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvíme (čl. 33 odst. 2 GDPR), a poskytneme mu informace, které o něm máme, aby mohl splnit vlastní ohlašovací povinnost.

6. Další zpracovatelé

Klient tímto uděluje obecné písemné povolení k zapojení dalších zpracovatelů.

Aktuální seznam je veřejně dostupný v dokumentu [Subdodavatelé](/subdodavatele). K datu účinnosti těchto podmínek jde zejména o:

• poskytovatele jazykového modelu (OpenAI) — zpracovává text recenze, její hodnocení a jazyk, označení autora recenze, název podniku a podklady o stylu odpovědí; zpracování probíhá po dobu jednoho volání rozhraní, vstupy se u poskytovatele neukládají pro trénování,
• poskytovatele e-mailové schránky a onboardingových formulářů (Google Workspace) — komunikace s klientem, podklady předávané e-mailem a odpovědi z onboardingového formuláře (Google Forms, případně Google Sheets),
• poskytovatele hostingu webu — technické údaje návštěvy webu.

Veřejný registr, účely zapojení a umístění jednotlivých poskytovatelů jsou uvedené v dokumentu Subdodavatelé. Smluvně relevantní kategorie údajů zůstávají uvedené v tomto dokumentu.

Zavazujeme se, že:

• každému dalšímu zpracovateli uložíme stejné povinnosti, jaké máme my,
• o zamýšlené změně informujeme klienta předem, nejméně 30 dnů dopředu,
• klient může proti změně v této lhůtě vznést námitku; nedohodneme-li se, může smlouvu ukončit a vrátíme mu poměrnou část ceny za nevyužité dny,
• za plnění povinností dalšího zpracovatele odpovídáme klientovi my.

7. Zabezpečení

S ohledem na povahu zpracování — jde o jednoosobní službu bez klientského přístupu do našich systémů — uplatňujeme zejména:

• zpracování na vlastních zařízeních a prostřednictvím schválených dodavatelů,
• přístup omezený na jedinou osobu, poskytovatele; žádný další personál a žádný vzdálený přístup klientů ani třetích osob,
• oddělení podkladů jednotlivých klientů; podklady jednoho klienta nepoužíváme pro zakázku jiného,
• zásadu minimalizace: nepřebíráme údaje, které k přípravě odpovědi nepotřebujeme, zejména zbytečné identifikátory autorů recenzí,
• požadavek na poskytovatele modelu, aby vstupy neukládal a nepoužíval k trénování (čl. 6),
• odstranění podkladů po uzavření zakázky podle čl. 8,
• žádné uchovávání přístupových údajů, hesel ani tokenů klienta.

Neuvádíme zde opatření, která nemáme ověřená. Klient, který potřebuje konkrétní závazek k šifrování, zálohování nebo době obnovy, si jej s námi může sjednat samostatně; bez takového ujednání jej z těchto podmínek dovozovat nelze.

Podklady si předáváme e-mailem, případně přes onboardingový formulář. Klient bere na vědomí, že e-mail není plně zabezpečený kanál, a zavazuje se neposílat nám e-mailem ani formulářem údaje nad rámec toho, co je k přípravě odpovědi nutné.

8. Vrácení a výmaz

Po ukončení služby klient zvolí, zda mu podklady vrátíme, nebo je vymažeme. Nesdělí-li volbu do 30 dnů od ukončení, podklady vymažeme.

Výmaz zahrnuje texty recenzí, označení autorů, všechny verze návrhů odpovědí včetně zamítnutých, podklady o stylu a ověřených faktech, a to i v pracovních kopiích, v e-mailové komunikaci a v odpovědích z onboardingového formuláře.

Ponechat si můžeme pouze:

• minimální smluvní a fakturační evidenci, k jejímuž uchování nás zavazuje právo,
• záznam o rozsahu a době zakázky pro případnou obhajobu právních nároků.

Tato evidence neobsahuje texty recenzí ani údaje jejich autorů.

Výmaz na požádání písemně potvrdíme.

9. Audit

Na písemnou žádost klienta mu poskytneme informace potřebné k doložení plnění těchto podmínek.

Klient může jednou ročně provést kontrolu; termín oznámí alespoň 30 dnů předem a provede ji tak, aby nenarušila náš provoz a neohrozila údaje jiných klientů. Náklady kontroly nese klient, ledaže se prokáže podstatné porušení na naší straně.

10. Předávání mimo EU

Naše vlastní zpracování probíhá v České republice.

K předání mimo EU/EHP dochází v rozsahu, v jakém je provádějí poskytovatelé uvedení v dokumentu Subdodavatelé — zejména předání textu recenze a souvisejících údajů poskytovateli jazykového modelu. Tato předání se opírají o standardní smluvní doložky přijaté Evropskou komisí, případně o rozhodnutí o odpovídající ochraně, podle smluvních podmínek daného poskytovatele.

Mimo tento rámec údaje do třetích zemí nepředáváme.

11. Trvání

Tyto podmínky platí po dobu, po kterou pro klienta zpracováváme osobní údaje, a jejich ustanovení o mlčenlivosti, výmazu a auditu trvají i po ukončení smlouvy.

Ukončením smlouvy nezanikají povinnosti podle čl. 8.