Táto zmluva podľa čl. 28 ods. 3 GDPR je súčasťou obchodných podmienok služby Ozvi na ozvi.io (ďalej „Podmienky“) a uzatvárate ju ich prijatím. Pri rozpore v otázkach ochrany osobných údajov má prednosť táto zmluva. Ak ju potrebujete podpísanú osobitne, napíšte na support@ozvi.io.
Zmluvné strany
- Prevádzkovateľ (ďalej „Zákazník“): vlastník priestoru v službe Ozvi, teda firma alebo osoba, ktorá službu používa.
- Sprostredkovateľ (ďalej „Ozvi“): Zamiska solutions s.r.o., so sídlom Bajkalská 45G, 821 05 Bratislava-Ružinov, IČO 54580242, DIČ 2121731106, IČ DPH SK2121731106, zapísaná v obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 160737/B, kontakt: support@ozvi.io.
1. Predmet, trvanie, povaha a účel spracúvania
- Predmet: prevádzka boardu spätnej väzby Zákazníka v službe Ozvi: hlásenia chýb, nápady, hlasovanie, komentáre, roadmapa, novinky, widget v aplikácii Zákazníka, e-mailové upozornenia a integrácie, ktoré Zákazník sám zapne.
- Trvanie: po dobu používania služby Zákazníkom; po zrušení projektu, priestoru alebo účtu sa postupuje podľa bodu 10.
- Povaha: ukladanie, usporiadanie, zobrazenie, prenos (e-maily, integrácie), vyhľadávanie, export a vymazanie; pri zapnutých AI funkciách aj automatizované spracovanie textu (súhrny, návrhy, preklady), ktorého výstup je vždy označený a návrhy schvaľuje človek.
- Účel: výlučne poskytovanie služby Zákazníkovi podľa Podmienok. Ozvi údaje nepredáva a nepoužíva na reklamu ani na trénovanie modelov.
2. Dotknuté osoby a kategórie údajov
Dotknuté osoby: používatelia aplikácie Zákazníka, ktorí na boarde alebo cez widget niečo pošlú, zahlasujú alebo sa prihlásia; členovia tímu Zákazníka; kontakty, ktoré Zákazník importuje alebo pridá cez agenta (MCP).
- Identita z aplikácie Zákazníka: identifikátor používateľa, e-mail, meno, avatar, rola.
- Údaje o zákazníkoch Zákazníka (vidí len tím): firma, plán, MRR, ak ich Zákazník posiela pri prihlásení.
- Obsah spätnej väzby: nápady, hlásenia chýb, komentáre, hlasy, prílohy.
- Technický kontext hlásení: adresa stránky, verzia aplikácie, prehliadač, chyby z konzoly, záznam sieťových požiadaviek a krokov, odkazy na záznam relácie, screenshot; maskované v prehliadači aj na serveri.
- Prevádzkové údaje: e-mailová fronta a stav doručenia, záznam aktivity, prihlasovacie kódy.
Služba nie je určená na osobitné kategórie údajov (čl. 9 GDPR) ani na údaje o deťoch. Zákazník zabezpečí, aby ich do služby neposielal (napríklad maskovaním polí atribútom data-ozvi-mask).
3. Pokyny Zákazníka
- Ozvi spracúva osobné údaje len na základe zdokumentovaných pokynov Zákazníka. Pokynmi sú táto zmluva, Podmienky a nastavenia, ktoré Zákazník urobí v službe (napríklad uchovávanie dát, integrácie, AI funkcie, moderovanie).
- Ak by pokyn podľa Ozvi porušoval GDPR alebo iný predpis, Ozvi na to Zákazníka bez zbytočného odkladu upozorní.
- Ak právo EÚ alebo členského štátu ukladá Ozvi spracúvanie nad rámec pokynov, Ozvi Zákazníka pred spracúvaním informuje, ak to právo nezakazuje.
4. Mlčanlivosť
Ozvi zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti. Prístup k produkčným dátam má len prevádzkovateľ služby, a to len v rozsahu nevyhnutnom na prevádzku a podporu.
5. Technické a organizačné opatrenia (čl. 32 GDPR)
- Oddelenie dát projektov: každý záznam nesie identifikátor projektu a databáza vynucuje oddelenie na úrovni riadkov (row-level security); aplikácia sa k databáze nepripája ako superpoužívateľ.
- Šifrovanie: všetka komunikácia so službou cez HTTPS (TLS); tajné kľúče (SSO, OIDC, integrácie) sú šifrované AES-256-GCM; prístupové tokeny sa ukladajú len ako odtlačky (SHA-256); kópia záloh mimo dátového centra je šifrovaná.
- Minimalizácia pri zdroji: widget maskuje citlivé hodnoty (heslá, tokeny, e-maily, IBAN, čísla kariet) ešte v prehliadači a server ich maskuje znova. Hlavičky požiadaviek sa nezaznamenávajú nikdy.
- Prístup: hlásenia chýb a ich technický záznam vidí len autor a tím projektu; do integrácií (GitHub, Linear, Jira) a webhookov sa technický záznam neposiela.
- Uchovávanie: Zákazník si v nastaveniach projektu volí automatické mazanie technického záznamu hlásení (predvolene po 180 dňoch), príloh uzavretých chýb a neaktívnych importovaných kontaktov; mazanie prebieha každú noc a zapisuje sa do záznamu aktivity.
- Odolnosť: denné zálohy uchovávané najviac 30 dní, na samostatnom disku servera a šifrovane mimo dátového centra.
- Záznam aktivity: zmeny nastavení, rolí, tokenov a integrácií sa zapisujú do záznamu aktivity priestoru.
- Ochrana proti zneužitiu: obmedzenie počtu požiadaviek, moderovanie, blokovanie používateľov.
Ozvi môže opatrenia meniť, ak tým neznižuje úroveň ochrany.
6. Ďalší sprostredkovatelia (subdodávatelia)
- Zákazník udeľuje Ozvi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Aktuálny zoznam je na ozvi.io/subprocessors a je súčasťou tejto zmluvy.
- Ozvi Zákazníka upozorní e-mailom na zamýšľané pridanie alebo výmenu ďalšieho sprostredkovateľa aspoň 30 dní vopred. Zákazník môže z oprávnených dôvodov ochrany údajov namietať; ak sa strany nedohodnú, môže službu vypovedať s okamžitou účinnosťou a Ozvi mu vráti pomernú časť predplatného za nevyčerpané obdobie.
- Ozvi uloží každému ďalšiemu sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má podľa tejto zmluvy, a za jeho plnenie zodpovedá Zákazníkovi.
- Integrácie, ktoré Zákazník pripojí vlastným účtom (GitHub, Linear, Jira, webhooky, chatové kanály), sú príjemcami na pokyn Zákazníka; ich výber a zmluvný vzťah s nimi je vecou Zákazníka.
7. Prenosy mimo EÚ/EHP
Údaje sa ukladajú na serveri v dátovom centre Hetzner v Nemecku (EÚ). Prenos do tretej krajiny nastáva len cez ďalších sprostredkovateľov podľa bodu 6, a to na základe rozhodnutia o primeranosti (vrátane rámca EÚ – USA pre ochranu údajov) alebo štandardných zmluvných doložiek; mechanizmus pri každom z nich je uvedený v zozname subdodávateľov.
8. Pomoc Zákazníkovi
- Práva dotknutých osôb: služba umožňuje každému používateľovi stiahnuť svoje údaje a zmazať ich (Moje údaje na boarde) a Zákazníkovi exportovať a zmazať celý projekt. Ak Ozvi dostane žiadosť dotknutej osoby priamo, postúpi ju bez zbytočného odkladu Zákazníkovi a sama na ňu neodpovie, ak ju Zákazník nepoverí.
- Bezpečnosť, posúdenie vplyvu, predchádzajúca konzultácia: Ozvi poskytne Zákazníkovi informácie, ktoré má k dispozícii, potrebné na plnenie povinností podľa čl. 32 až 36 GDPR.
9. Porušenie ochrany osobných údajov
Ozvi oznámi Zákazníkovi porušenie ochrany osobných údajov, ktoré sa týka jeho údajov, bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, na e-mail vlastníka priestoru. Oznámenie obsahuje, nakoľko je to v tom čase známe: povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia a kontakt na osobu, ktorá poskytne ďalšie informácie. Chýbajúce informácie Ozvi doplní postupne.
10. Vrátenie a vymazanie údajov
- Zákazník si môže kedykoľvek stiahnuť export projektu (JSON a CSV) v nastaveniach projektu.
- Po zmazaní projektu alebo priestoru Zákazníkom Ozvi vymaže jeho dáta z databázy a úložiska príloh okamžite; zo záloh zmiznú najneskôr do 30 dní.
- Po zrušení účtu alebo ukončení služby Ozvi vymaže zostávajúce dáta Zákazníka do 30 dní, ak právo EÚ alebo členského štátu nevyžaduje ich ďalšie uchovanie.
11. Preukázanie súladu a audit
- Ozvi poskytne Zákazníkovi na požiadanie informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR (najmä túto zmluvu, opis opatrení a zoznam subdodávateľov).
- Zákazník alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit, s oznámením aspoň 30 dní vopred a najviac raz za 12 mesiacov, ak nejde o podozrenie z porušenia. Audit prebieha prednostne písomne (dotazník a podklady); audit na mieste ide na náklady Zákazníka a nesmie ohroziť dáta iných zákazníkov.
12. Zodpovednosť
Zodpovednosť voči dotknutým osobám sa riadi čl. 82 GDPR. Medzi stranami platí obmedzenie zodpovednosti podľa Podmienok, s výnimkou škody spôsobenej úmyselne alebo z hrubej nedbanlivosti.
13. Záverečné ustanovenia
- Zmluva je účinná prijatím Podmienok (pri prihlásení do služby) a trvá, kým Ozvi spracúva osobné údaje Zákazníka.
- Zmluva sa riadi právom Slovenskej republiky. Zmeny Ozvi oznámi e-mailom aspoň 30 dní vopred; zmenu zoznamu subdodávateľov upravuje bod 6.
- Ak by niektoré ustanovenie bolo neplatné, ostatné zostávajú v platnosti.