Zmluva o spracúvaní osobných údajov

Dátum účinnosti: 20. 6. 2026 · Verzia: 1.0

Táto Zmluva o spracúvaní osobných údajov („DPA") tvorí súčasť zmluvy medzi spoločnosťou bryk s. r. o., poskytovateľom platformy zede.ai (ďalej len „zede.ai" alebo „Sprostredkovateľ"), a zákazníkom („Zákazník" alebo „Prevádzkovateľ") upravujúcej používanie služieb zede.ai („Služby"). Upravuje spracúvanie osobných údajov obsiahnutých v obsahu, ktorý Zákazník odosiela do Služieb – vrátane promptov, vstupov a súborov zaslaných cez API („Obsah zákazníka").

Táto DPA sa uzatvára okamihom jej akceptácie Zákazníkom, vrátane akceptácie v rámci produktu, ktorá sa zobrazí pred prvým prenosom Obsahu zákazníka ďalšiemu sprostredkovateľovi. Aktuálny zoznam ďalších sprostredkovateľov a samostatných prevádzkovateľov je dostupný na zede.ai/models a v Prílohe a je Zákazníkovi sprístupnený v okamihu akceptácie.

---

1. Pojmy

Táto DPA je postavená na GDPR (nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679). Pojmy GDPR sa používajú v ich zákonnom význame; pre zrozumiteľnosť uvádzame slovenský pojem a jeho anglický ekvivalent podľa GDPR:

• osobné údaje (personal data)
• spracúvanie (processing)
• prevádzkovateľ (controller) – určuje účely a prostriedky spracúvania;
• sprostredkovateľ (processor) – spracúva osobné údaje v mene prevádzkovateľa;
• ďalší sprostredkovateľ (sub-processor) – sprostredkovateľ zapojený sprostredkovateľom (čl. 28 ods. 2 a 4 GDPR);
• samostatný prevádzkovateľ (independent controller) – subjekt, ktorý spracúva osobné údaje na vlastné účely a sám určuje ich účely a prostriedky (čl. 28 ods. 10 GDPR);
• dotknutá osoba (data subject);
• porušenie ochrany osobných údajov (personal data breach);
• dozorný orgán (supervisory authority);
• tretia krajina (third country) – krajina mimo EÚ/EHP (čl. 44–50 GDPR).

Ďalšie pojmy používané v tejto DPA (nejde o pojmy GDPR):

• Obsah zákazníka – obsah, ktorý Zákazník (alebo jeho používatelia) odosiela do Služieb na spracovanie (prompty, vstupy a súbory zaslané cez API).
• Externý poskytovateľ AI služieb (ďalej len „Externý poskytovateľ") – externý poskytovateľ modelu alebo inferencie, ktorého si Zákazník zvolí; vystupuje ako ďalší sprostredkovateľ, prípadne pri spracúvaní na vlastné účely ako samostatný prevádzkovateľ.
• Predpisy o ochrane osobných údajov – GDPR a ďalšie uplatniteľné predpisy o ochrane osobných údajov.

2. Postavenie strán

Zákazník vystupuje ako prevádzkovateľ (alebo ako sprostredkovateľ konajúci v mene vlastných prevádzkovateľov) vo vzťahu k Obsahu zákazníka. zede.ai vystupuje ako sprostredkovateľ, a ak je Zákazník sám sprostredkovateľom, ako ďalší sprostredkovateľ. zede.ai spracúva Obsah zákazníka výlučne na zdokumentovaný pokyn Zákazníka.

3. Predmet a podrobnosti spracúvania (čl. 28 ods. 3 GDPR)

• Predmet: spracúvanie osobných údajov obsiahnutých v Obsahu zákazníka s cieľom poskytovať Služby.
• Doba trvania: počas trvania zmluvy a do vymazania alebo vrátenia Obsahu zákazníka podľa bodu 12.
• Povaha a účel: prenos, smerovanie (routing), dočasné spracovanie a vrátenie Obsahu zákazníka k modelom a poskytovateľom, ktorých Zákazník zvolil, s cieľom vygenerovať a vrátiť výstup inferencie.
• Typ osobných údajov: akékoľvek osobné údaje, ktoré sa Zákazník rozhodne zahrnúť do Obsahu zákazníka. Zákazník kontroluje, čo odosiela; môže ísť aj o osobitné kategórie osobných údajov, ak ich Zákazník odošle.
• Kategórie dotknutých osôb: akékoľvek osoby uvedené v Obsahu zákazníka, vrátane koncových používateľov Zákazníka a tretích osôb.
• Práva a povinnosti prevádzkovateľa: Zákazník je zodpovedný za zákonnosť Obsahu zákazníka a za to, že má právny základ na spracúvanie a na zapojenie zede.ai ako sprostredkovateľa.

4. Pokyny zákazníka – konfigurácia ako pokyn

zede.ai spracúva Obsah zákazníka výlučne na zdokumentovaný pokyn Zákazníka, vrátane prenosov, ak to nevyžaduje právo Únie alebo členského štátu (v takom prípade zede.ai o tejto požiadavke Zákazníka informuje pred spracúvaním, ak to právo nezakazuje).

Konfigurácia routerov a poskytovateľov, ktorú Zákazník nastaví v Službách, predstavuje jeho zdokumentovaný pokyn na spracúvanie, vrátane regiónov, správania pri uchovávaní a charakteristík nakladania s údajmi opísaných pri každej zvolenej možnosti. Zákazník zodpovedá za výber routerov a poskytovateľov v súlade s vlastným právnym základom a požiadavkami.

5. Povinnosti sprostredkovateľa (čl. 28 ods. 3 písm. a–h GDPR)

zede.ai:

a) spracúva Obsah zákazníka len na zdokumentovaný pokyn Zákazníka, vrátane prenosov, ak to nevyžaduje zákon (a vtedy s predchádzajúcim informovaním, ak to nie je zakázané);

b) zabezpečí, aby osoby oprávnené spracúvať Obsah zákazníka boli viazané mlčanlivosťou;

c) prijme primerané technické a organizačné bezpečnostné opatrenia podľa čl. 32 GDPR (bod 10);

d) zapája ďalších sprostredkovateľov iba v súlade s bodom 6;

e) zohľadňujúc povahu spracúvania pomáha Zákazníkovi vhodnými opatreniami, pokiaľ je to možné, pri plnení jeho povinnosti reagovať na žiadosti dotknutých osôb (kapitola III GDPR);

f) pomáha Zákazníkovi zabezpečiť plnenie povinností podľa čl. 32–36 GDPR (bezpečnosť, oznamovanie porušenia ochrany osobných údajov, posúdenie vplyvu a predchádzajúca konzultácia), zohľadňujúc povahu spracúvania a informácie dostupné zede.ai;

g) podľa voľby Zákazníka po skončení poskytovania Služieb vymaže alebo vráti všetok Obsah zákazníka a vymaže existujúce kópie, ak uchovávanie nevyžaduje zákon;

h) sprístupní Zákazníkovi všetky informácie potrebné na preukázanie súladu s týmto bodom a čl. 28 a umožní audity vrátane kontrol a prispeje k nim v súlade s bodom 13.

Ak je zede.ai povinný spracúvať nad rámec pokynov Zákazníka na základe zákona, alebo ak je pokyn v rozpore s Predpismi o ochrane osobných údajov, zede.ai o tom Zákazníka informuje.

6. Ďalší sprostredkovatelia (čl. 28 ods. 2 a 4 GDPR)

6.1 Zákazník udeľuje zede.ai všeobecné písomné poverenie zapájať ďalších sprostredkovateľov – Externých poskytovateľov aj poskytovateľov infraštruktúry – na spracúvanie Obsahu zákazníka, za podmienok tohto bodu.

6.2 Aktuálny zoznam poskytovateľov spolu s ich lokalitou, regiónom, uchovávaním a údajom o tom, či je povolený tréning, je priebežne zverejnený na zede.ai/models. Tento zoznam je záväzným zdrojom informácií o nakladaní s údajmi a je Zákazníkovi dostupný v okamihu akceptácie tejto DPA aj počas používania Služieb.

6.3 Pri Službách, kde poskytovateľa volí Zákazník, si Zákazník v Službách sám volí poskytovateľa alebo viacerých poskytovateľov vrátane konfigurácie smerovania medzi nimi. Voľbou poskytovateľa ho Zákazník poveruje ako ďalšieho sprostredkovateľa a dáva pokyn na spracúvanie (v súlade s bodom 4). Pri týchto Službách zede.ai smeruje Obsah zákazníka výlučne k poskytovateľom, ktorých si Zákazník zvolil.

6.4 Nakladanie s údajmi pri každom poskytovateľovi (región, uchovávanie, tréning) je opísané na zede.ai/models. Zákazník zodpovedá za výber poskytovateľov v súlade s vlastným právnym základom a požiadavkami; ak chce vylúčiť tréning alebo obmedziť región, zvolí poskytovateľov, ktorých záznam to spĺňa.

6.5 Keďže sa zoznam mení často (aj viackrát denne) a poskytovateľa si volí Zákazník, namiesto predchádzajúceho oznamovania platí:

• a) pridanie poskytovateľa sa Zákazníka nedotýka, kým si ho sám nezvolí – Obsah zákazníka sa k nemu nesmeruje bez jeho voľby (poverenie vzniká až voľbou);
• b) zede.ai upozorní Zákazníka na podstatnú nepriaznivú zmenu nakladania s údajmi u poskytovateľa, ktorého Zákazník aktívne používa (napríklad začatie tréningu alebo presun mimo EÚ), aby mohol svoju voľbu zmeniť;
• c) Zákazník zodpovedá za priebežné sledovanie zoznamu pri poskytovateľoch, ktorých používa.

6.6 zede.ai zabezpečí, aby bol každý ďalší sprostredkovateľ viazaný povinnosťami ochrany údajov rovnocennými s touto DPA – spravidla prostredníctvom vlastnej DPA poskytovateľa (čl. 28 ods. 4 GDPR).

6.7 zede.ai posudzuje a audituje ďalších sprostredkovateľov a samostatných prevádzkovateľov minimálne raz za 12 mesiacov, vrátane kontroly ich zmlúv o ochrane osobných údajov (DPA).

6.8 Pri spravovaných Službách, kde poskytovateľa vyberá zede.ai podľa vlastného uváženia, vyberá zede.ai ďalšieho sprostredkovateľa na základe všeobecného poverenia podľa bodu 6.1 a v súlade s parametrami nakladania s údajmi opísanými pre danú Službu. Na podstatnú nepriaznivú zmenu takéhoto ďalšieho sprostredkovateľa zede.ai Zákazníka vopred upozorní; Zákazník môže voči zmene namietať a ak ju nemožno vyriešiť, môže príslušnú Službu prestať používať.

7. Použitie Obsahu zákazníka na tréning

7.1 zede.ai nepoužíva Obsah zákazníka na tréning vlastných modelov.

7.2 Externí poskytovatelia spracúvajú Obsah zákazníka podľa vlastných podmienok, ktoré pri niektorých môžu zahŕňať tréning alebo uchovávanie. Či je tréning povolený, je pri každom Externom poskytovateľovi uvedené na zede.ai/models; rozhoduje o tom Externý poskytovateľ, ktorého si Zákazník zvolí.

7.3 Zákazník berie na vedomie, že Externý poskytovateľ, ktorý použije Obsah zákazníka na vlastné účely (napríklad na tréning vlastných modelov), môže vo vzťahu k tomuto spracúvaniu vystupovať ako samostatný prevádzkovateľ (čl. 28 ods. 10 GDPR). Zákazník zodpovedá za výber Externých poskytovateľov v súlade s vlastným právnym základom. Tréning vylúči tým, že zvolí Externých poskytovateľov, ktorých záznam na zede.ai/models tréning nepovoľuje.

8. Medzinárodné prenosy

Ak sa ďalší sprostredkovateľ nachádza v tretej krajine, prenos Obsahu zákazníka sa uskutočňuje na základe rozhodnutia o primeranosti, štandardných zmluvných doložiek EÚ (SCC) alebo rámca EÚ–USA pre ochranu osobných údajov (DPF), podľa toho, čo sa pri danom ďalšom sprostredkovateľovi uplatní; uplatniteľný mechanizmus vyplýva z jeho DPA a z údajov na zede.ai/models. Strany uzatvárajú štandardné zmluvné doložky tam, kde sa to vyžaduje; tieto sa začleňujú odkazom.

9. Porušenie ochrany osobných údajov

zede.ai oznámi Zákazníkovi bez zbytočného odkladu po tom, ako sa dozvie o porušení ochrany osobných údajov týkajúcom sa Obsahu zákazníka, a poskytne primerane dostupné informácie na pomoc Zákazníkovi pri plnení jeho povinností podľa čl. 33 a 34 GDPR.

10. Bezpečnosť (čl. 32 GDPR)

zede.ai prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR, najmä:

• šifrovanie Obsahu zákazníka pri prenose (TLS) prostredníctvom Cloudflare;
• hosting v EÚ (Hetzner, Nemecko);
• firewall;
• logovanie a monitoring;
• pravidelné zálohovanie;
• kontrolu a posúdenie zmlúv o ochrane údajov (DPA) ďalších sprostredkovateľov.

Žiadny spôsob prenosu ani uchovávania nie je úplne bezpečný; absolútnu bezpečnosť nevieme zaručiť.

Ak sa Obsah zákazníka spracúva priamo zede.ai (na infraštruktúre, ktorú zede.ai kontroluje – či už si takéto spracúvanie zvolí Zákazník, alebo ho pri spravovanej Službe vyberie zede.ai podľa bodu 6.8), prebieha na infraštruktúre ako Hetzner cloud, iný cloud alebo dedikovaný/bare-metal server. Poskytovateľ tejto infraštruktúry vystupuje ako infraštruktúrny ďalší sprostredkovateľ a spracúva Obsah zákazníka v rozsahu nevyhnutnom na hosting.

11. Spracúvanie podľa zvoleného poskytovateľa

Nakladanie s Obsahom zákazníka závisí od poskytovateľa, ktorý ho spracúva. Poskytovateľa volí buď Zákazník, alebo – pri spravovaných Službách – zede.ai podľa vlastného uváženia (bod 6.8):

• Externý poskytovateľ (napríklad OpenAI, Novita): inferenciu prevádzkuje Externý poskytovateľ podľa vlastných podmienok. Vystupuje ako ďalší sprostredkovateľ a tam, kde Obsah zákazníka použije na vlastné účely, môže byť vo vzťahu k tomuto spracúvaniu samostatným prevádzkovateľom.
• Spracúvanie priamo zede.ai (napríklad self-hosted OCR alebo endpointy zede-eu-1, zede-us-1, zede-us-2): Obsah zákazníka spracúva priamo zede.ai na vlastnej infraštruktúre; poskytovateľ tejto infraštruktúry vystupuje ako infraštruktúrny ďalší sprostredkovateľ (len hosting).

12. Vrátenie a vymazanie

Pri bezstavovom (stateless) smerovaní inferencie sa Obsah zákazníka spracúva prechodne a neuchováva sa nad rámec nevyhnutný na poskytnutie Služieb, okrem prípadov opísaných pri zvolenej možnosti. Po skončení Služieb alebo na žiadosť Zákazníka zede.ai vymaže alebo vráti Obsah zákazníka (podľa voľby Zákazníka) a vymaže existujúce kópie, ak uchovávanie nevyžaduje zákon.

13. Audit

zede.ai sprístupní Zákazníkovi informácie potrebné na preukázanie súladu s čl. 28 a umožní audity vrátane kontrol a prispeje k nim. Audity možno vykonať raz za 12 mesiacov alebo na základe primeraného predchádzajúceho oznámenia, možno ich splniť poskytnutím relevantných správ alebo certifikácií tretích strán a podliehajú mlčanlivosti a primeranému rozdeleniu nákladov.

14. Zodpovednosť

Zodpovednosť každej strany podľa tejto DPA alebo v súvislosti s ňou podlieha obmedzeniam a vylúčeniam zodpovednosti uvedeným v zmluve / Všeobecných obchodných podmienkach, ktoré sa vzťahujú aj na túto DPA.

15. Rozhodné právo

Táto DPA sa riadi právom Slovenskej republiky a tvorí súčasť zmluvy medzi stranami a podlieha jej. Tým nie je dotknutá priama uplatniteľnosť GDPR. V prípade rozporu medzi touto DPA a zmluvou vo veci spracúvania osobných údajov má prednosť táto DPA.

---

Príloha – Ďalší sprostredkovatelia a samostatní prevádzkovatelia

Aktuálny a záväzný zoznam Externých poskytovateľov – vrátane toho, či pri spracúvaní na vlastné účely vystupujú ako samostatní prevádzkovatelia, a vrátane nakladania s údajmi (logy, uchovávanie, tréning) – je zverejnený na zede.ai/models. Ďalší sprostredkovatelia zapojení pre konkrétneho Zákazníka sú tí, ktorých si Zákazník zvolil.