Zpracovatelská smlouva

Zpracovatelem je ANOVIA Finance s.r.o., IČO 01757237, se sídlem Na Zámku 636, 250 81 Nehvizdy, provozovatel služby Lorela (dále jen "zpracovatel" nebo "my").

Správcem jste Vy, tedy podnikatel nebo společnost, která si službu Lorela zřídila a jejímž jménem Lorela přijímá hovory (dále jen "správce" nebo "Vy").

Tato smlouva se uzavírá zřízením účtu a trvá po celou dobu, po kterou službu používáte. Nevyžaduje samostatný podpis; požádáte-li o podepsané vyhotovení, pošleme Vám ho na adresu uvedenou v závěru.

Rozdělení rolí: ve vztahu k osobním údajům Vašich volajících a Vašich kontaktů jsme zpracovatel a Vy správce. Ve vztahu k údajům o Vás jako o zákazníkovi (fakturace, přihlášení, komunikace s podporou) jsme naopak správcem my a řídí se to našimi zásadami ochrany osobních údajů.

Zpracováváme osobní údaje výhradně za účelem poskytování služby Lorela, tedy: přijetí telefonního hovoru přesměrovaného na Vaše Lorela číslo, vedení rozhovoru s volajícím, pořízení zvukového záznamu a jeho přepisu, vytvoření shrnutí hovoru a jeho doručení Vám do zvolených kanálů, a rozpoznání volajícího podle kontaktů, které do služby nahrajete.

Povahou zpracování je automatizované zpracování hlasu a textu prostřednictvím systémů umělé inteligence.

Nezpracováváme osobní údaje k žádnému vlastnímu účelu nad rámec této smlouvy, s výjimkou zlepšování služby podle článku 8.

Přepis a shrnutí hovoru uchováváme jeden rok od hovoru, poté je automaticky mažeme. Tato lhůta běží nezávisle na trvání smlouvy.

Zvukový záznam hovoru neukládáme na vlastních serverech; drží ho subdodavatel hlasových technologií uvedený v příloze B. Lhůtu, po které záznam smaže, s ním v okamžiku uzavření této smlouvy nemáme sjednanou a neuvádíme zde proto žádnou; jakmile ji sjednáme, doplníme ji sem a oznámíme Vám to postupem podle článku 6.

Kontakty, které do služby nahrajete, mažeme neprodleně při zrušení účtu, nejpozději do 30 dnů.

Po skončení smlouvy osobní údaje na Vaši volbu vymažeme nebo Vám je vrátíme, nejpozději do 30 dnů od Vaší žádosti. Nedotčena zůstávají data, která jsme povinni uchovávat podle právních předpisů, a evidenční záznam o existenci účtu.

Trvale si ponecháváme pouze záznam o telefonních číslech, u kterých bylo vyžádáno, aby je služba již nekontaktovala. Tento záznam vedeme právě proto, abychom takové číslo znovu neoslovili, a jeho výmaz by ten účel zmařil.

Podrobný popis je v příloze A. Ve zkratce jde o osobní údaje volajících (telefonní číslo, jméno, obsah hovoru), osobní údaje z kontaktů, které do služby nahrajete (jméno a telefonní číslo), a údaje osob, které za Vás účet obsluhují.

Služba není určena ke zpracování zvláštních kategorií osobních údajů podle článku 9 GDPR ani údajů o dětech. Volající je však může do hovoru sám vyslovit a my nad tím nemáme kontrolu; nesmíte proto službu používat způsobem, který systematické zpracování takových údajů předpokládá, aniž nás na to předem upozorníte a dohodneme se na dalších opatřeních.

Osobní údaje zpracováváme pouze na základě Vašich doložených pokynů, včetně pokynů k předání do třetí země. Vaším pokynem je i nastavení, které si ve službě zvolíte. Pokud bychom měli za to, že Váš pokyn porušuje právní předpisy o ochraně osobních údajů, neprodleně Vás na to upozorníme.

Zavazujeme osoby, které mají k osobním údajům přístup, k mlčenlivosti. Přístup mají pouze pověřené osoby, a to jen v rozsahu nezbytném pro provoz služby a pro vyřízení Vašich požadavků na podpoře; přístup je vázán na jmenovité účty.

Přijímáme technická a organizační opatření podle článku 32 GDPR; jejich popis je v příloze C.

Poskytujeme Vám součinnost při plnění Vašich povinností podle článků 32 až 36 GDPR, tedy při zabezpečení, ohlašování případů porušení zabezpečení a při posouzení vlivu na ochranu osobních údajů.

Poskytujeme Vám součinnost při vyřizování žádostí subjektů údajů podle článků 12 až 23 GDPR. Obrátí-li se subjekt údajů s takovou žádostí přímo na nás, sami ji nevyřizujeme a bez zbytečného odkladu Vás na ni upozorníme.

Udělujete nám obecné písemné povolení zapojit do zpracování další zpracovatele. Přehled kategorií subdodavatelů a míst zpracování je v příloze B a je vždy zveřejněn na této adrese.

Jmenný seznam subdodavatelů včetně jejich sídel Vám poskytneme na vyžádání, a to do 5 pracovních dnů od doručení žádosti na adresu uvedenou v závěru. Veřejně jej neuvádíme proto, že spolu s popisem rolí tvoří návod, jak službu složit; není to však informace, kterou bychom Vám odpírali.

Změnu seznamu, tedy zapojení nového subdodavatele nebo nahrazení stávajícího, Vám oznámíme e-mailem nejméně 30 dnů předem. Proti změně můžete do 15 dnů od oznámení vznést odůvodněnou námitku. Nepodaří-li se nám námitku vypořádat, můžete smlouvu i službu vypovědět bez sankce k datu, kdy má změna nastat.

Každému subdodavateli ukládáme stejné povinnosti ochrany osobních údajů, jaké máme podle této smlouvy vůči Vám. Za plnění jejich povinností Vám odpovídáme my.

Údaje ukládáme v Evropské unii. Databáze s Vaším účtem, kontakty, přepisy a shrnutími je provozována v jediném regionu ve Frankfurtu a nemá repliku mimo něj; tam běží i aplikace a rozhraní pro mobilní aplikace.

Část zpracování však probíhá mimo Evropský hospodářský prostor, a to zpracování hlasu během hovoru a vytvoření shrnutí z přepisu. Píšeme to sem výslovně, protože z formulace "data v EU" by to nebylo patrné; místo zpracování u každého subdodavatele je uvedeno v příloze B.

Pro tato předání máme uzavřeny standardní smluvní doložky schválené Evropskou komisí a posuzujeme dopady předání do dané země. Na vyžádání Vám doložíme, jaké záruky jsou u konkrétního subdodavatele sjednány.

Zvukové záznamy a přepisy hovorů používáme také ke zlepšování služby, zejména k lepšímu rozpoznávání českých jmen, adres a mluvené řeči. Považujeme to za zpracování na základě Vašeho pokynu uděleného přijetím této smlouvy.

Tento pokyn můžete kdykoli odvolat, a to vypnutím volby "Pomáhat zlepšovat Lorelu" v nastavení účtu. Odvolání nemá žádný vliv na fungování služby.

Osobní údaje nikdy neprodáváme ani nepředáváme třetím osobám k jejich vlastním obchodním účelům.

Zjistíme-li porušení zabezpečení osobních údajů, oznámíme Vám to bez zbytečného odkladu, nejpozději do 48 hodin od okamžiku, kdy jsme se o něm dozvěděli.

V oznámení uvedeme povahu porušení, dotčené kategorie a přibližný počet subjektů údajů a záznamů, pravděpodobné důsledky a opatření, která jsme přijali nebo navrhujeme přijmout. Nemáme-li v tu chvíli všechny údaje, doplníme je následně.

Ohlášení dozorovému úřadu a případné oznámení subjektům údajů zůstává Vaší povinností jako správce; poskytneme Vám k němu veškerou potřebnou součinnost.

Na Vaši žádost Vám poskytneme informace potřebné k doložení splnění povinností podle článku 28 GDPR, a to do 30 dnů od doručení žádosti.

Umožníme Vám audit nebo inspekci, a to nejvýše jednou za dvanáct měsíců, na základě předchozí dohody o termínu a rozsahu, v pracovní době a při zachování mlčenlivosti o našich obchodních informacích a o údajích jiných zákazníků. Náklady auditu nese správce; to neplatí, prokáže-li audit podstatné porušení této smlouvy.

Nemáme certifikaci ISO/IEC 27001 ani zprávu SOC 2 a neuvádíme certifikace svých subdodavatelů jako vlastní.

Odpovědnost stran se řídí článkem 82 GDPR a obchodními podmínkami služby Lorela.

Tato smlouva se řídí právním řádem České republiky. Je-li mezi touto smlouvou a obchodními podmínkami rozpor v otázkách zpracování osobních údajů, má přednost tato smlouva.

Znění smlouvy můžeme měnit; o podstatné změně Vás budeme informovat e-mailem nejméně 30 dnů předem a budete mít stejné právo námitky jako u změny subdodavatele.

Kontaktním místem pro věci ochrany osobních údajů je hello@lorela.cz.