GDPR a zpracování údajů

2. Role: správce a zpracovatel

U údajů o účtu, fakturačních a bezpečnostních údajů je správcem Mets.

Pokud Mets používá Organizace (tarif Business nebo Enterprise), je Organizace správcem obsahu schůzek — nahrávek, přepisů, shrnutí, chatu a seznamů účastníků — a Mets tyto údaje zpracovává jejím jménem jako zpracovatel (čl. 28 GDPR).

3. Kategorie údajů a subjektů údajů

Zpracováváme údaje držitelů účtů, hostů schůzek, účastníků a registrovaných účastníků webinářů a osob, které nás kontaktují. Kategorie údajů:

• identifikační a kontaktní údaje (zobrazované jméno, e-mail);
• autentizační údaje (hash hesla, identifikátor poskytovatele identity);
• metadata schůzek (termíny, účast, časy připojení);
• obsah komunikace: zvuk a video v reálném čase (neukládají se, pokud není zapnuto nahrávání), chat, nahrávky, přepisy, překlady, shrnutí, obsah tabule;
• technické údaje (IP adresa, prohlížeč, statistiky kvality připojení);
• fakturační údaje (údaje o firmě, historie plateb).

4. Právní základy (čl. 6 GDPR)

• čl. 6 odst. 1 písm. b) — plnění smlouvy: Účty, schůzky, webináře, nahrávky, přepisy a shrnutí;
• čl. 6 odst. 1 písm. c) — plnění právní povinnosti: účetnictví a daně, odpovědi na žádosti příslušných orgánů;
• čl. 6 odst. 1 písm. f) — oprávněné zájmy: zabezpečení služby, prevence zneužití, právní nároky, servisní komunikace;
• čl. 6 odst. 1 písm. a) — souhlas: newsletter a volitelné průzkumy. Souhlas lze kdykoli odvolat.

5. Doby uchovávání

Obsah schůzek se uchovává do smazání uživatelem nebo podle zásad uchovávání Organizace (v tarifu Business lze nastavit automatické mazání po 30, 90 nebo 365 dnech). Údaje o účtu se mažou do 30 dnů od smazání Účtu a ze záloh do 35 dnů. Bezpečnostní protokoly se uchovávají nejdéle 90 dní a účetní záznamy po dobu 5 let od konce zdaňovacího období.

6. Zpracovatelé

Využíváme malý počet poskytovatelů vázaných smlouvami o zpracování osobních údajů. Mediální přenosy schůzek, nahrávky a zpracování AI zůstávají na naší vlastní infrastruktuře v Polsku (Azure Poland Central, Varšava).

7. Předávání mimo EHP

Hlavní zpracování probíhá v EHP. K předávání do třetích zemí dochází pouze u výše uvedených poskytovatelů, na základě standardních smluvních doložek (čl. 46 odst. 2 písm. c GDPR) nebo rozhodnutí Evropské komise o odpovídající ochraně (čl. 45 GDPR), doplněných posouzením dopadů předání a dodatečnými technickými opatřeními.

8. Funkce AI

Přepis řeči, překlad a výchozí shrnutí probíhají lokálně na našich serverech v Polsku (Azure Poland Central, Varšava) s využitím otevřených modelů. Pokročilá shrnutí pomocí externího poskytovatele jazykového modelu jsou volitelná — Organizace je musí vědomě zapnout. Údaje zákazníků se nikdy nepoužívají k trénování modelů, a to ani námi, ani našimi poskytovateli.

Nepřijímáme rozhodnutí o uživatelích založená výhradně na automatizovaném zpracování, včetně profilování, která by měla právní účinky (čl. 22 GDPR).

9. Práva subjektů údajů (čl. 15–22)

Každý subjekt údajů má právo:

• na přístup ke svým údajům a získání jejich kopie (čl. 15);
• na opravu (čl. 16);
• na výmaz — „právo být zapomenut“ (čl. 17);
• na omezení zpracování (čl. 18);
• na přenositelnost údajů ve strukturovaném formátu (čl. 20);
• vznést námitku proti zpracování založenému na oprávněných zájmech (čl. 21);
• nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování (čl. 22).

10. Stížnosti u dozorového úřadu

Pokud se domníváte, že vaše údaje zpracováváme protiprávně, můžete podat stížnost u předsedy Úřadu na ochranu osobních údajů (UODO), ul. Stawki 2, 00-193 Varšava, Polsko (uodo.gov.pl), nebo u dozorového úřadu v členském státě svého obvyklého bydliště nebo místa výkonu práce. Doporučujeme nejprve kontaktovat nás — většinu problémů vyřešíme rychle.

11. Smlouva o zpracování osobních údajů pro podnikatele (čl. 28)

Podnikatelským zákazníkům nabízíme smlouvu o zpracování osobních údajů (DPA) v souladu s čl. 28 GDPR, včetně seznamu dalších zpracovatelů, popisu technických a organizačních opatření a postupu oznamování porušení zabezpečení. V tarifu Business se DPA uzavírá elektronicky v panelu Organizace; zákazníci Enterprise mohou vyjednat individuální podmínky. Plánované změny dalších zpracovatelů oznamujeme 30 dní předem s možností vznést námitku.

12. Bezpečnostní opatření (čl. 32)

• TLS 1.2+ pro veškerý síťový provoz a DTLS-SRTP pro média;
• místnosti s koncovým šifrováním (E2EE), v nichž klíč nikdy nedorazí na server;
• šifrování v klidu (databáze a úložiště souborů);
• Row Level Security — každý řádek databáze je přístupný pouze oprávněným uživatelům;
• krátkodobé přístupové tokeny do místností (nejdéle 2 hodiny), hashovaná hesla místností a účtů;
• omezování počtu požadavků, auditní protokoly a přístup zaměstnanců podle zásady nejnižších oprávnění;
• pravidelné zálohy a testy obnovy.

13. Porušení zabezpečení osobních údajů

V případě porušení zabezpečení osobních údajů to oznámíme předsedovi UODO do 72 hodin od okamžiku, kdy se o něm dozvíme (čl. 33 GDPR), a pokud pravděpodobně povede k vysokému riziku, bez zbytečného odkladu uvědomíme dotčené subjekty údajů (čl. 34). Organizace, pro něž jednáme jako zpracovatel, informujeme bez zbytečného odkladu, aby mohly splnit své vlastní povinnosti.