Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

1. Prevádzkovateľ: používateľ služby Koncipio, ktorý je podnikateľom podľa VOP (ďalej „prevádzkovateľ“ alebo „vy“), identifikovaný údajmi svojho účtu.
2. Sprostredkovateľ: Nightsun s. r. o., Hanojská 2543/1, 040 13 Košice - mestská časť Sídlisko Ťahanovce, IČO 57794669, Obchodný register Mestského súdu Košice, oddiel Sro, vložka č. 66869/V (ďalej „sprostredkovateľ“ alebo „my“), kontakt [email protected].

2. Predmet, povaha, účel a doba spracúvania

1. Predmet a povaha: ukladanie, usporiadanie, vyhľadávanie, zobrazovanie, výpočty, spracovanie jazykovými modelmi, export a výmaz osobných údajov, ktoré prevádzkovateľ vloží do služby.
2. Účel: výlučne poskytovanie služby Koncipio podľa VOP, teda výpočet trov a príprava vyúčtovaní, evidencia prípadov a úkonov, odpovede právneho asistenta a ďalšie funkcie, ktoré prevádzkovateľ použije.
3. Doba: po dobu trvania zmluvy o službe a následne po dobu potrebnú na výmaz podľa čl. 12.
4. Dotknuté osoby: klienti prevádzkovateľa a ich zástupcovia, protistrany, obvinení a obžalovaní, poškodení, svedkovia, ďalší účastníci konaní, adresáti vyúčtovaní a iné osoby, ktorých údaje prevádzkovateľ vloží.
5. Kategórie údajov: identifikačné a kontaktné údaje, údaje o konaniach a úkonoch právnej služby, spisové značky, finančné údaje (odmeny, trovy, bankové spojenie), obsah dokumentov a otázok. Podľa rozhodnutia prevádzkovateľa to môžu byť aj osobitné kategórie údajov (čl. 9 GDPR) a údaje týkajúce sa uznania viny za trestné činy a priestupky (čl. 10 GDPR); za právny základ na ich spracúvanie zodpovedá prevádzkovateľ.

3. Pokyny prevádzkovateľa

1. Údaje spracúvame len na základe vašich zdokumentovaných pokynov, a to aj pri prenose do tretej krajiny. Pokynmi sú táto zmluva, VOP a úkony, ktoré v službe urobíte (napríklad uloženie prípadu, odoslanie otázky asistentovi, export, výmaz). Ďalšie pokyny nám môžete dať písomne alebo e-mailom.
2. Ak nám právo Únie alebo Slovenskej republiky ukladá spracúvanie mimo vašich pokynov, vopred vás o tom informujeme, ak to zákon nezakazuje.
3. Ak sa domnievame, že pokyn porušuje GDPR alebo iný predpis o ochrane údajov, bez odkladu vás upozorníme.

4. Povinnosti prevádzkovateľa

Zodpovedáte za zákonnosť spracúvania, za právny základ, za informovanie dotknutých osôb a za to, že vložením údajov do služby neporušíte povinnosť mlčanlivosti podľa § 23 zákona č. 586/2003 Z. z. o advokácii ani stavovské predpisy. Vkladajte len údaje, ktoré na daný účel potrebujete.

5. Mlčanlivosť

1. Berieme na vedomie, že obsah, ktorý do služby vložíte, môže podliehať vašej povinnosti mlčanlivosti podľa § 23 zákona č. 586/2003 Z. z. o advokácii. O osobných údajoch a o všetkých skutočnostiach z tohto obsahu preto zachovávame mlčanlivosť najmenej v rozsahu, v akom ju máte vy podľa § 23 ods. 1 zákona o advokácii, a to bez ohľadu na to, či sa na nás povinnosť vzťahuje aj priamo podľa § 23 ods. 8 písm. b) tohto zákona. Mlčanlivosti nás môžete zbaviť len písomne a len v rozsahu, ktorý určíte.
2. Zabezpečíme, aby všetci naši zamestnanci, spoločníci, konatelia a ďalšie osoby, ktoré sa na prevádzke služby podieľajú, boli mlčanlivosťou viazaní písomne alebo zo zákona ešte predtým, ako získajú prístup k údajom. K údajom majú prístup len osoby, ktoré ho nevyhnutne potrebujú, a len v rozsahu potrebnom na riešenie vašej žiadosti, bezpečnostného incidentu alebo zákonnej povinnosti (čl. 28 ods. 3 písm. b) GDPR).
3. Každý ďalší sprostredkovateľ je viazaný zmluvou o spracúvaní podľa čl. 28 GDPR, ktorá ho zaväzuje k mlčanlivosti osôb s prístupom k údajom a rovnakú povinnosť ukladá aj jeho ďalším sprostredkovateľom (čl. 28 ods. 4 GDPR). Ide o štandardné zmluvné podmienky týchto poskytovateľov; odkaz na ne je pri každom z nich v prílohe A a v zozname sprostredkovateľov.
4. Ak orgán verejnej moci požiada o vydanie údajov, bez zbytočného odkladu vás o tom informujeme, ak to zákon nezakazuje, aby ste mohli uplatniť svoju povinnosť mlčanlivosti, a údaje vydáme len v rozsahu, ktorý nám zákon ukladá.
5. Povinnosť mlčanlivosti trvá aj po skončení zmluvy.

6. Zákaz trénovania a vlastného využitia

1. Údaje nepoužijeme na trénovanie ani dolaďovanie modelov umelej inteligencie, na analýzu pre vlastné obchodné účely, na reklamu ani na iný účel než poskytovanie služby vám. Prevádzkové údaje bez obsahu (napríklad počet otázok, použitý model alebo spotreba tokenov) používame na uplatnenie limitov plánu a na sledovanie nákladov.
2. Poskytovateľov jazykových modelov a vyhľadávania používame len v režime, v ktorom trénovanie na údajoch nie je dovolené:
   • komerčné podmienky spoločnosti Anthropic, ktoré sa vzťahujú na prístup cez API, ustanovujú: „Anthropic may not train models on Customer Content from Services“ (čl. B, znenie účinné od 17. júna 2025), pričom obsahom zákazníka sú vstupy aj výstupy; režim, v ktorom by Anthropic smel dáta na trénovanie použiť (Development Partner Mode), nemáme zapnutý,
   • pri službe Voyage AI máme v nastavení organizácie vypnuté poskytovanie údajov na trénovanie (opt-out podľa čl. 3 jej podmienok), takže sa údaje po spracovaní hneď zmažú.
3. Cloudflare podľa svojho vyhlásenia nepoužíva obsah zákazníkov na trénovanie modelov bez ich súhlasu; údaje o sieťovej prevádzke a vzorky prevádzky však používa na zlepšovanie ochrany pred útokmi.
4. Záruky tejto zmluvy, najmä mlčanlivosť a zákaz trénovania, platia rovnako pre všetky funkcie služby, aj pre funkcie, ktoré náš poskytovateľ označuje ako beta alebo ukážkové. Nepoužívame funkcie, na ktoré sa zmluva poskytovateľa o spracúvaní alebo zákaz trénovania nevzťahuje. Ktoré funkcie poskytovateľov sú v beta režime, uvádzame na stránke Koncipio a pravidlá SAK.

7. Bezpečnosť

Prijímame technické a organizačné opatrenia podľa čl. 32 GDPR, ktoré zodpovedajú rizikám spracúvania údajov chránených advokátskou mlčanlivosťou. Ich prehľad je v prílohe B. Opatrenia priebežne vyhodnocujeme a zlepšujeme; úroveň ochrany neznížime.

8. Ďalší sprostredkovatelia

1. Udeľujete nám všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov. Aktuálny zoznam je v prílohe A a verejne na stránke Zoznam sprostredkovateľov, kde je aj história zmien.
2. O každom zamýšľanom pridaní alebo nahradení sprostredkovateľa vás vopred informujeme e-mailom na adresu účtu, spravidla najmenej 14 dní pred zmenou; ak nám náš poskytovateľ oznámi zmenu s kratšou lehotou, informujeme vás bez zbytočného odkladu. Proti zmene môžete do 14 dní od oznámenia namietať e-mailom. Ak námietke nevyhovieme, môžete zmluvu o službe s okamžitou účinnosťou vypovedať a vrátime vám pomernú časť zaplatenej ceny. Ak nenamietnete, platí, že so zmenou súhlasíte.
3. Každého ďalšieho sprostredkovateľa zaväzujeme zmluvou k povinnostiam ochrany údajov podľa čl. 28 ods. 3 GDPR, ktoré zodpovedajú tejto zmluve. Za plnenie jeho povinností zodpovedáme vám ako za vlastné (čl. 28 ods. 4 GDPR).
4. Naši sprostredkovatelia vedú vlastné zoznamy svojich sprostredkovateľov; odkazy na ne sú v zozname sprostredkovateľov. Zmeny v týchto zoznamoch vám samostatne neoznamujeme.

9. Prenos do tretích krajín

Údaje ukladáme v EÚ (databáza v Írsku, server v Nemecku). Mimo EÚ sa spracúvajú pri funkciách umelej inteligencie (Anthropic v USA alebo v inej krajine, kde prevádzkuje servery; Voyage AI v USA), pri prenose cez sieť Cloudflare, ktorej záznamy môžu byť uložené kdekoľvek na svete, a pri technickej podpore poskytovateľov z tretích krajín. Každý taký prenos je chránený štandardnými zmluvnými doložkami schválenými Európskou komisiou, prípadne aj rozhodnutím o primeranosti (EU-US Data Privacy Framework) pri poskytovateľovi, ktorý je v ňom certifikovaný. Mechanizmus pri každom poskytovateľovi je uvedený v prílohe A.

10. Funkcie, ktoré odošlú údaje tretej strane

Niektoré funkcie, ak ich použijete, odošlú časť údajov samostatnému prevádzkovateľovi, ktorý nie je naším sprostredkovateľom. Použitím funkcie na to dávate pokyn. Týka sa to výpočtu trasy v kalkulačke (názvy miest začiatku a cieľa cesty) a vyhľadávania v judikatúre (vyhľadávací dotaz). Požiadavky posiela náš server, takže tieto služby nevidia vašu IP adresu ani iné údaje o prípade. Do týchto polí nezadávajte adresy bydliska fyzických osôb ani mená, ak to nie je nevyhnutné.

• OpenStreetMap

  OpenStreetMap Foundation, Cambridge, Spojené kráľovstvo (vyhľadanie miest); FOSSGIS e.V., Berlín, Nemecko (výpočet trasy)

  Účel

  Doplnenie vzdialenosti a času cesty v kalkulačke

  Údaje

  Názvy miest, ktoré zadáte ako začiatok a cieľ cesty, a ich súradnice; požiadavku posiela náš server, nie váš prehliadač

  Miesto spracúvania

  Spojené kráľovstvo a Holandsko (vyhľadanie miest); FOSSGIS umiestnenie servera neuvádza

  Prenos mimo EÚ

  Rozhodnutie Komisie o primeranosti ochrany (Spojené kráľovstvo)

  Záruky

  Vlastné podmienky prevádzkovateľov

• Ministerstvo spravodlivosti SR

  Ministerstvo spravodlivosti Slovenskej republiky, Račianska 71, 813 11 Bratislava

  Účel

  Vyhľadávanie súdnych rozhodnutí v judikatúre a pri odpovedi asistenta

  Údaje

  Vyhľadávací dotaz (napríklad právny pojem alebo ustanovenie); požiadavku posiela náš server

  Miesto spracúvania

  Slovensko

  Prenos mimo EÚ

  Bez prenosu mimo EÚ

  Záruky

  Verejná služba štátu

11. Súčinnosť

1. Práva dotknutých osôb. Pomôžeme vám vybaviť žiadosti dotknutých osôb (čl. 12 až 22 GDPR). Väčšinu vybavíte sami: údaje v službe upravíte, zmažete alebo exportujete. Ak dostaneme žiadosť priamo od dotknutej osoby, pošleme vám ju a sami na ňu vecne neodpovieme.
2. Porušenie ochrany údajov. O porušení ochrany osobných údajov, ktoré sa týka vašich údajov, vás informujeme bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia, s informáciami podľa čl. 33 ods. 3 GDPR, ktoré máme k dispozícii, aby ste mohli splniť svoju ohlasovaciu povinnosť.
3. Poskytneme vám primeranú súčinnosť pri posúdení vplyvu na ochranu údajov a predchádzajúcej konzultácii (čl. 35 a 36 GDPR) a pri zabezpečení údajov (čl. 32 GDPR).

12. Uchovávanie, výmaz a vrátenie údajov

1. V službe: prípady, evidencia, otázky, odpovede, zhrnutia rozhovorov a odoslané prílohy uchovávame, kým ich nezmažete. Zmazaním rozhovoru zmažeme jeho správy aj súbory príloh. Prílohy, ktoré ste nahrali, ale neodoslali s otázkou, automaticky zmažeme najneskôr do 2 dní.
2. U poskytovateľov umelej inteligencie: Anthropic vstupy a výstupy automaticky vymaže do 30 dní; dlhšie, najviac 2 roky, ich uchová len vtedy, ak jeho bezpečnostné systémy označia požiadavku za porušenie pravidiel používania. Voyage AI údaje zmaže hneď po spracovaní.
3. Vrátenie: údaje si kedykoľvek stiahnete v Nastaveniach (export vo formáte JSON s prílohami), čím sú vám vrátené.
4. Výmaz: zrušením účtu údaje okamžite zmažeme z databázy aj úložiska súborov; zo záloh zmiznú najneskôr do 30 dní. Ak zmluvu ukončujeme my, zachováme vám prístup k exportu najmenej 30 dní a potom údaje zmažeme. Kópie uchováme len vtedy, ak to vyžaduje právo Únie alebo Slovenskej republiky.

13. Informácie a audit

Na požiadanie vám poskytneme informácie potrebné na preukázanie plnenia tejto zmluvy, najmä popis opatrení a zmluvné záruky našich sprostredkovateľov. Audit alebo kontrolu vykonanú vami alebo vami povereným audítorom viazaným mlčanlivosťou umožníme po oznámení najmenej 30 dní vopred, v pracovnom čase, bez prístupu k údajom iných používateľov a na vaše náklady. Ak na preukázanie postačujú dokumenty, prednostne ich poskytneme namiesto kontroly na mieste.

14. Záverečné ustanovenia

1. Zmluva trvá, kým trvá zmluva o službe, a povinnosti, ktoré majú podľa svojej povahy pretrvať (najmä mlčanlivosť a výmaz), trvajú aj po jej skončení.
2. Vo veciach ochrany osobných údajov má táto zmluva prednosť pred VOP. Na zodpovednosť za škodu sa použije čl. 11 VOP; zodpovednosť voči dotknutým osobám podľa čl. 82 GDPR tým nie je dotknutá.
3. Zmluvu môžeme meniť rovnakým spôsobom ako VOP (čl. 14 VOP); zmenu vám oznámime priamo e-mailom, nie len zverejnením na webe.

Príloha A: Ďalší sprostredkovatelia

• Cloudflare

  Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA

  Účel

  Sieť, cez ktorú sa doručuje web koncipio.sk, a ochrana pred útokmi; šifrované spojenie z vášho prehliadača sa ukončuje na serveri Cloudflare a odtiaľ pokračuje šifrovane na náš server

  Údaje

  Všetko, čo si váš prehliadač vymieňa s aplikáciou, teda aj obsah prípadov, otázok, odpovedí a príloh počas prenosu; IP adresa a technické údaje o požiadavke v záznamoch Cloudflare

  Miesto spracúvania

  Dátové centrum siete Cloudflare najbližšie k vám (pri prístupe zo Slovenska spravidla v EÚ); záznamy o požiadavkách môžu byť uložené v hlavných dátových centrách Cloudflare kdekoľvek na svete

  Prenos mimo EÚ

  EU-US Data Privacy Framework a štandardné zmluvné doložky (modul 2 a 3) v zmluve o spracúvaní Cloudflare

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR (súčasť zmluvy s Cloudflare); obsah zákazníkov Cloudflare podľa svojho vyhlásenia nepoužíva na trénovanie modelov bez súhlasu, údaje o sieťovej prevádzke však používa na zlepšovanie ochrany pred útokmi

  Dokumenty

  Cloudflare Customer DPAIch ďalší sprostredkovatelia

• Hostinger

  Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Cyprus

  Účel

  Server, na ktorom beží aplikácia a naše meranie návštevnosti (Umami)

  Údaje

  Všetky údaje, ktoré prechádzajú aplikáciou počas spracovania požiadavky; štatistika návštevnosti bez identifikátorov

  Miesto spracúvania

  Nemecko (EÚ)

  Prenos mimo EÚ

  Server je v EÚ; pre prípadný prístup mimo EÚ štandardné zmluvné doložky (modul 2 a 3) v zmluve o spracúvaní Hostinger

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR (súčasť podmienok Hostinger)

  Dokumenty

  Hostinger Data Processing Agreement

• Hetzner

  Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemecko

  Účel

  Server, na ktorom beží náš systém chybových záznamov (GlitchTip)

  Údaje

  Technické záznamy o chybách: typ a miesto chyby v programe, adresa stránky bez parametrov, typ prehliadača a zariadenia, skrátená IP adresa; bez obsahu prípadov, otázok, odpovedí a príloh

  Miesto spracúvania

  Nemecko (EÚ)

  Prenos mimo EÚ

  Bez prenosu mimo EÚ

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR uzavretá v zákazníckom účte Hetzner

  Dokumenty

  Hetzner: ochrana údajov a zmluva o spracúvaníIch ďalší sprostredkovatelia

• Supabase

  Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513

  Účel

  Databáza, prihlasovanie, odosielanie prihlasovacích e-mailov, úložisko príloh

  Údaje

  Údaje účtu, prípady, evidencia, rozhovory s asistentom, prílohy

  Miesto spracúvania

  Dáta uložené v Írsku (EÚ, dátové centrum AWS); technická podpora môže mať prístup zo Singapuru a USA

  Prenos mimo EÚ

  Štandardné zmluvné doložky (modul 2 a 3) v zmluve o spracúvaní Supabase

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR (súčasť podmienok Supabase); šifrovanie AES-256 v pokoji a TLS pri prenose

  Dokumenty

  Supabase Data Processing AddendumIch ďalší sprostredkovatelia

• Anthropic

  Anthropic Ireland, Limited, 6th Floor South Bank House, Barrow Street, Dublin 4, D04 TR29, Írsko

  Účel

  Jazykové modely Claude: odpovede a rešerš právneho asistenta, AI predvyplnenie úkonov, návrhy špecifikácie, názvy rozhovorov, zhrnutie dlhých rozhovorov

  Údaje

  Text otázok, história rozhovoru, obsah príloh a obrázky, vložený zoznam úkonov, špecifikácie prípadov

  Miesto spracúvania

  USA alebo iná krajina, v ktorej Anthropic prevádzkuje servery; spracovanie len v EÚ Anthropic neponúka

  Prenos mimo EÚ

  Štandardné zmluvné doložky (modul 2 a 3) v zmluve o spracúvaní Anthropic; Anthropic nie je certifikovaný v EU-US Data Privacy Framework

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR (súčasť komerčných podmienok); mlčanlivosť osôb s prístupom; zákaz trénovania modelov na vstupoch a výstupoch; výmaz vstupov a výstupov do 30 dní, pri označení požiadavky za porušenie pravidiel používania až po 2 rokoch

  Dokumenty

  Anthropic Data Processing AddendumIch ďalší sprostredkovatelia

• Voyage AI

  Voyage AI Innovations, Inc. (skupina MongoDB), USA

  Účel

  Vyhľadávanie v právnych predpisoch a rozhodnutiach podľa významu textu

  Údaje

  Text otázky, vyhľadávacie dotazy a pracovné poznámky rešerše, podľa ktorých sa radia nájdené ustanovenia (môžu stručne zhŕňať aj obsah príloh); samotné prílohy nie

  Miesto spracúvania

  USA

  Prenos mimo EÚ

  EU-US Data Privacy Framework (MongoDB, Inc. a jej pridružené spoločnosti) a štandardné zmluvné doložky v zmluve o spracúvaní Voyage AI

  Záruky

  Zmluva o spracúvaní podľa čl. 28 GDPR (súčasť podmienok Voyage AI); trénovanie na údajoch vypnuté nastavením našej organizácie, údaje sa po spracovaní hneď zmažú

  Dokumenty

  Voyage AI Data Processing Addendum

Platby spracúva platobná brána Comgate a.s., ktorá však dostáva len vaše platobné údaje, nie údaje vašich klientov, preto nie je sprostredkovateľom podľa tejto zmluvy. Pozri Zásady ochrany osobných údajov.

Príloha B: Technické a organizačné opatrenia

• šifrovanie komunikácie (TLS) na každom úseku: medzi prehliadačom a sieťou Cloudflare, medzi Cloudflare a naším serverom a medzi naším serverom a databázou či poskytovateľmi umelej inteligencie,
• šifrovanie databázy, úložiska súborov a záloh v pokoji (Supabase: AES-256); Anthropic podľa svojej zmluvy o spracúvaní šifruje údaje v pokoji najmenej AES-256 a pri prenose TLS 1.2 alebo novším,
• oddelenie dát používateľov pravidlami na úrovni riadkov databázy (row level security); súbory v súkromnom úložisku v priečinku používateľa,
• databáza a server aplikácie v dátových centrách v EÚ (Írsko, Nemecko),
• heslá uložené len ako kryptografický odtlačok; prihlásenie cez Google s overením PKCE, pri ktorom sa uplatní aj dvojstupňové overenie vášho účtu Google, ak ho máte zapnuté,
• dvojfaktorové overenie prihlásenia kódom z overovacej aplikácie (TOTP), dostupné pre každý účet; účet so zapnutým overením sa bez kódu do aplikácie nedostane,
• prístup k produkčným systémom a kľúčom len pre oprávnené osoby poskytovateľa; servisný prístup do databázy len na nevyhnutné administratívne úkony,
• obmedzenie počtu požiadaviek na ochranu pred zneužitím,
• pravidelné zálohy databázy u poskytovateľa Supabase,
• minimalizácia: do analytiky a technických záznamov sa neposiela obsah prípadov, otázok ani príloh; vyhľadávacia služba Voyage AI nedostáva prílohy; služby mimo nás dostávajú požiadavky zo servera, nie z vášho prehliadača,
• automatický výmaz neodoslaných príloh a starých analytických údajov,
• export a úplný výmaz účtu dostupné používateľovi v Nastaveniach,
• mlčanlivosť všetkých osôb podieľajúcich sa na prevádzke.

Pripravujeme záznam prístupov (audit log) a nezávislý penetračný test. Kým nebudú nasadené, neuvádzame ich ako súčasť opatrení.