GDPR a spracúvanie údajov

2. Úlohy: prevádzkovateľ a sprostredkovateľ

Pokiaľ ide o údaje o účte, fakturačné a bezpečnostné údaje, Mets je prevádzkovateľom.

Keď Organizácia používa Mets (plán Business alebo Enterprise), Organizácia je prevádzkovateľom obsahu stretnutí – nahrávok, prepisov, súhrnov, chatu a zoznamov účastníkov – a Mets tieto údaje spracúva v jej mene ako sprostredkovateľ (čl. 28 GDPR).

3. Kategórie údajov a dotknutých osôb

Spracúvame údaje držiteľov účtov, hostí stretnutí, účastníkov a registrovaných účastníkov webinárov a osôb, ktoré nás kontaktujú. Kategórie údajov:

• identifikačné a kontaktné údaje (zobrazované meno, e-mail);
• autentifikačné údaje (hash hesla, identifikátor poskytovateľa identity);
• metaúdaje stretnutí (termíny, účasť, časy pripojenia);
• obsah komunikácie: zvuk a video v reálnom čase (neukladajú sa, pokiaľ nie je zapnuté nahrávanie), chat, nahrávky, prepisy, preklady, súhrny, obsah tabule;
• technické údaje (adresa IP, prehliadač, štatistiky kvality pripojenia);
• fakturačné údaje (údaje o spoločnosti, história platieb).

4. Právne základy (čl. 6 GDPR)

• čl. 6 ods. 1 písm. b) – plnenie zmluvy: Účty, stretnutia, webináre, nahrávky, prepisy a súhrny;
• čl. 6 ods. 1 písm. c) – zákonná povinnosť: účtovníctvo a dane, odpovede na žiadosti príslušných orgánov;
• čl. 6 ods. 1 písm. f) – oprávnené záujmy: bezpečnosť služby, predchádzanie zneužitiu, právne nároky, komunikácia týkajúca sa služby;
• čl. 6 ods. 1 písm. a) – súhlas: newsletter a voliteľné prieskumy. Súhlas možno kedykoľvek odvolať.

5. Doba uchovávania

Obsah stretnutí sa uchováva do jeho odstránenia používateľom alebo podľa politiky uchovávania údajov Organizácie (v pláne Business možno nastaviť automatické odstránenie po 30, 90 alebo 365 dňoch). Údaje o účte sa odstránia do 30 dní od odstránenia Účtu a zo záloh do 35 dní. Bezpečnostné záznamy sa uchovávajú až 90 dní a účtovné záznamy 5 rokov od konca zdaňovacieho obdobia.

6. Sprostredkovatelia

Spoliehame sa na malý počet poskytovateľov viazaných zmluvami o spracúvaní osobných údajov. Médiá stretnutí, nahrávky a spracovanie umelou inteligenciou zostávajú na našej vlastnej infraštruktúre v Poľsku (Azure Poland Central, Varšava).

7. Prenosy mimo EHP

Základné spracúvanie prebieha v EHP. Prenosy do tretích krajín sa uskutočňujú iba v prípade vyššie uvedených poskytovateľov, na základe štandardných zmluvných doložiek (čl. 46 ods. 2 písm. c) GDPR) alebo rozhodnutia Európskej komisie o primeranosti (čl. 45 GDPR), doplnených posúdením vplyvu prenosu a dodatočnými technickými opatreniami.

8. Funkcie umelej inteligencie

Prepis reči, preklad a predvolené súhrny prebiehajú lokálne na našich serveroch v Poľsku (Azure Poland Central, Varšava) s použitím otvorených modelov. Pokročilé súhrny s využitím externého poskytovateľa jazykového modelu sú voliteľné – Organizácia ich musí zámerne zapnúť. Údaje zákazníkov sa nikdy nepoužívajú na trénovanie modelov, ani nami, ani našimi poskytovateľmi.

Neprijímame rozhodnutia o používateľoch založené výlučne na automatizovanom spracúvaní vrátane profilovania, ktoré by mali právne účinky (čl. 22 GDPR).

9. Práva dotknutých osôb (čl. 15 – 22)

Každá dotknutá osoba má právo:

• na prístup k svojim údajom a na získanie ich kópie (čl. 15);
• na opravu (čl. 16);
• na vymazanie – „právo byť zabudnutý“ (čl. 17);
• na obmedzenie spracúvania (čl. 18);
• na prenosnosť údajov v štruktúrovanom formáte (čl. 20);
• namietať proti spracúvaniu založenému na oprávnených záujmoch (čl. 21);
• nebyť predmetom rozhodnutia založeného výlučne na automatizovanom spracúvaní (čl. 22).

10. Sťažnosť dozornému orgánu

Ak sa domnievate, že vaše údaje spracúvame protiprávne, môžete podať sťažnosť predsedovi Úradu na ochranu osobných údajov (UODO), ul. Stawki 2, 00-193 Varšava, Poľsko (uodo.gov.pl), alebo dozornému orgánu v členskom štáte svojho obvyklého pobytu alebo miesta výkonu práce. Odporúčame vás najprv kontaktovať nás – väčšinu problémov vyriešime rýchlo.

11. Zmluva o spracúvaní údajov pre podnikateľov (čl. 28)

Podnikateľským zákazníkom ponúkame zmluvu o spracúvaní osobných údajov (DPA) v súlade s čl. 28 GDPR, ktorá zahŕňa zoznam ďalších sprostredkovateľov, opis technických a organizačných opatrení a postup oznamovania porušení ochrany údajov. V pláne Business sa DPA uzatvára elektronicky v paneli Organizácie; zákazníci plánu Enterprise môžu rokovať o individuálnych podmienkach. Plánované zmeny ďalších sprostredkovateľov oznamujeme 30 dní vopred s právom namietať.

12. Bezpečnostné opatrenia (čl. 32)

• TLS 1.2+ pre všetku sieťovú komunikáciu a DTLS-SRTP pre médiá;
• miestnosti s koncovým šifrovaním (E2EE), kde sa kľúč nikdy nedostane na server;
• šifrovanie uložených údajov (databáza a úložisko súborov);
• Row Level Security – každý riadok databázy je prístupný iba oprávneným používateľom;
• krátkodobé prístupové tokeny do miestností (až 2 hodiny), hašované heslá miestností a účtov;
• obmedzovanie počtu požiadaviek, auditné záznamy a prístup zamestnancov podľa princípu najnižších oprávnení;
• pravidelné zálohy a testy obnovy.

13. Porušenia ochrany osobných údajov

V prípade porušenia ochrany osobných údajov oznámime túto skutočnosť predsedovi UODO do 72 hodín od zistenia (čl. 33 GDPR) a ak je pravdepodobné, že povedie k vysokému riziku, bez zbytočného odkladu informujeme dotknuté osoby (čl. 34). Organizácie, pre ktoré konáme ako sprostredkovateľ, informujeme bez zbytočného odkladu, aby mohli splniť svoje vlastné povinnosti.