Ugovor o obradi osobnih podataka
Ugovorne strane
- Voditelj obrade: pravna ili fizička osoba koja kupuje uslugu AI recepcionar, AI chatbot ili AI automatizacija (dalje: „Klijent”), s podacima navedenima pri narudžbi.
- Izvršitelj obrade: DIGITALNI SUPERHEROJ j.d.o.o., Arnoldova 1, 10000 Zagreb, OIB 79823407772 (dalje: „Izvršitelj”).
Ovaj ugovor dio je ugovora o usluzi (narudžba i Opći uvjeti) i sklapa se prihvaćanjem pri narudžbi usluge.
1. Predmet i trajanje
- Izvršitelj obrađuje osobne podatke u ime Klijenta isključivo radi pružanja naručene usluge: odgovaranje na pozive i poruke Klijentovih kupaca, zakazivanje i podsjetnici, prikupljanje upita, slanje sažetaka Klijentu te povezane automatizacije.
- Ugovor traje dok traje usluga, a obveze o povjerljivosti i brisanju vrijede i nakon toga.
2. Vrsta podataka, ispitanici i svrha
| Ispitanici | Klijentovi kupci, pacijenti, gosti i drugi pozivatelji, posjetitelji Klijentove web stranice i osobe koje Klijentu pišu porukom. |
|---|---|
| Vrste podataka | Ime i prezime, broj telefona, e-mail, sadržaj poziva i poruka (transkript, a za pozive i snimka ako je uključena), podaci o terminu ili upitu, tehnički podaci o pozivu (vrijeme, trajanje). |
| Posebne kategorije | Usluga nije namijenjena obradi posebnih kategorija podataka (npr. zdravstveni podaci). Ako ih Klijent ipak očekuje u razgovorima (npr. ordinacije), o tome nas obavještava prije početka, a asistent se podešava tako da ih ne traži. |
| Svrha | Isključivo pružanje usluge Klijentu prema ovom ugovoru. Izvršitelj podatke ne koristi za vlastiti marketing niti za treniranje AI modela. |
3. Obveze Izvršitelja
- Obrađuje podatke samo prema dokumentiranim uputama Klijenta (narudžba, podaci koje Klijent unese u portal i pisane upute e-mailom), osim ako to zahtijeva pravo EU ili Republike Hrvatske; u tom slučaju o tome obavještava Klijenta, osim ako je to zakonom zabranjeno.
- Osigurava da su se osobe ovlaštene za obradu obvezale na povjerljivost.
- Provodi odgovarajuće tehničke i organizacijske mjere iz članka 32. GDPR-a (točka 5).
- Poštuje uvjete za angažiranje podizvršitelja (točka 4).
- Pomaže Klijentu odgovoriti na zahtjeve ispitanika (pristup, ispravak, brisanje, prigovor) i u pravilu ih prosljeđuje Klijentu u roku od 5 radnih dana od primitka.
- Pomaže Klijentu u ispunjavanju obveza iz članaka 32. do 36. GDPR-a, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne.
- Bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od saznanja, obavještava Klijenta o povredi osobnih podataka, s podacima koje tada ima.
- Nakon prestanka usluge, po izboru Klijenta, briše ili vraća podatke te briše postojeće kopije u roku od 30 dana, osim ako pravo EU ili Republike Hrvatske zahtijeva čuvanje.
- Klijentu stavlja na raspolaganje informacije potrebne za dokazivanje ispunjavanja ovih obveza i omogućuje revizije uz najavu od najmanje 14 dana, u razumnom opsegu i u radno vrijeme.
4. Podizvršitelji
- Klijent daje opće odobrenje za angažiranje podizvršitelja potrebnih za uslugu. Izvršitelj s njima sklapa ugovore s jednakim obvezama zaštite podataka i odgovara Klijentu za njihov rad.
- O namjeravanoj promjeni podizvršitelja Izvršitelj obavještava Klijenta e-mailom najmanje 14 dana unaprijed; Klijent može u tom roku uložiti prigovor, a ako se ne nađe rješenje, raskinuti uslugu bez naknade.
- Dio podizvršitelja nalazi se u SAD-u ili podatke obrađuje i izvan EGP-a. Takav prijenos provodi se samo uz zaštitne mjere iz poglavlja V. GDPR-a: odluku o primjerenosti za okvir EU-SAD za privatnost podataka (EU-US Data Privacy Framework, „DPF”) za certificirane pružatelje i/ili standardne ugovorne klauzule Europske komisije („SCC”). Gdje lokacija obrade nije ograničena na EU, u tablici piše „EU/SAD”.
- Popis podizvršitelja na dan ove verzije:
| Podizvršitelj | Za što | Lokacija i osnova prijenosa |
|---|---|---|
| Twilio | telefonski brojevi Klijenta, dolazni pozivi, prebacivanje poziva, snimke poziva i SMS sažeci (AI recepcionar) | SAD, dio prometa preko EU (Irska); DPF + SCC |
| OpenAI | glasovni AI model recepcionara: razumijevanje govora, odgovori i transkript poziva u stvarnom vremenu | SAD; SCC |
| Anthropic | AI model chatbota: odgovori posjetiteljima Klijentove web stranice | SAD; SCC |
| Typesafe | automatska provjera kvalitete AI razgovora tijekom poziva (iz transkripta) | EU/SAD; SCC |
| Railway | hosting glasovnog mosta koji prenosi zvuk poziva između Twilija i AI modela | EU/SAD; SCC |
| Supabase | baza podataka i pohrana: podaci usluge, transkripti, snimke poziva, upiti | EU (Frankfurt, Njemačka) |
| Vercel | hosting web aplikacije, API-ja i chatbot widgeta | EU/SAD; SCC |
| Twilio SendGrid | slanje e-mail sažetaka poziva i poruka Klijentu | SAD; DPF + SCC |
| Google (Workspace: Gmail, Kalendar) | e-mail korespondencija s Klijentom; čitanje Klijentova kalendara za podsjetnike, kad Klijent to uključi | EU/SAD; DPF + SCC |
| Stripe | naplata usluge (podaci Klijenta, ne njegovih kupaca) | EU (Irska) i SAD; DPF + SCC |
5. Sigurnosne mjere (sažetak)
- Šifrirani prijenos podataka (TLS) i pristup sustavima samo ovlaštenim osobama, uz zasebne korisničke račune.
- Pristupni podaci koje Klijent preda (npr. za kalendar) čuvaju se šifrirano i koriste samo za uslugu.
- Odvojeni podaci po klijentu i evidencija bitnih radnji u sustavu.
- Redovite sigurnosne kopije uz provjeru povrata.
- AI asistent se na upit predstavlja kao AI i ne traži podatke koji nisu potrebni za uslugu.
6. Obveze Klijenta
- Klijent je odgovoran za zakonitost obrade: pravnu osnovu, obavijest ispitanicima (npr. najava da poziv vodi AI asistent i da se razgovor bilježi) i, gdje je potrebno, privolu za podsjetnike i poruke.
- Klijent u uslugu unosi samo podatke potrebne za njezino pružanje.
7. Završne odredbe
- U slučaju proturječja u pitanjima zaštite podataka, ovaj ugovor ima prednost pred Općim uvjetima.
- Na ugovor se primjenjuje pravo Republike Hrvatske.
- Kontakt za pitanja o zaštiti podataka: info@digitalnisuperheroj.com.