1. Prevádzkovateľ
Prevádzkovateľom osobných údajov podľa čl. 4 bodu 7 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) je:
Mgr. Matej Suľovský
miesto podnikania: Fraňa Kráľa 2494/9, 052 01 Spišská Nová Ves
IČO: 57303002
DIČ: 1123094412
zapísaný v Živnostenskom registri Okresného úradu Spišská Nová Ves, číslo živnostenského registra: 860-33728
e-mail: klinikagent@proton.me
telefón: +421 940 988 700
web: www.klinikagent.sk
(ďalej len „prevádzkovateľ“)
Prevádzkovateľ nie je platiteľom dane z pridanej hodnoty.
Prevádzkovateľ neurčil zodpovednú osobu, pretože nie sú splnené podmienky čl. 37 GDPR. Vo všetkých veciach ochrany osobných údajov sa možno obrátiť priamo na prevádzkovateľa na uvedených kontaktných údajoch.
Tieto zásady opisujú spracúvanie osobných údajov v súvislosti s webovým sídlom www.klinikagent.sk a so službou Klinik Agent (ďalej len „služba“) – automatizovaným komunikačným asistentom využívajúcim umelú inteligenciu, ktorý prevádzkovateľ poskytuje poskytovateľom zdravotnej starostlivosti (každý z nich ďalej len „klinika“).
2. Postavenie prevádzkovateľa pri jednotlivých spracúvaniach
Pri službe Klinik Agent vystupuje Mgr. Matej Suľovský v dvoch odlišných postaveniach. Tieto zásady ich uvádzajú oddelene.
2.1 Postavenie prevádzkovateľa
Pri prevádzke webového sídla www.klinikagent.sk, pri obchodnej komunikácii a pri správe zmluvných vzťahov Mgr. Matej Suľovský určuje účely a prostriedky spracúvania sám, a je preto prevádzkovateľom. Toto spracúvanie sa týka návštevníkov webového sídla, kontaktných osôb kliník a zástupcov zmluvných partnerov a tieto zásady sú k nemu informáciou podľa čl. 13 a 14 GDPR. Spracúvanie v postavení sprostredkovateľa (článok 2.2) opisujú len pre úplnosť; informáciu pre pacientov poskytuje klinika.
2.2 Postavenie sprostredkovateľa pre kliniky
Pri prevádzke chatového asistenta na webovom sídle kliniky Mgr. Matej Suľovský spracúva osobné údaje pacientov a záujemcov o zdravotnú starostlivosť v mene kliniky a podľa jej pokynov. V tomto vzťahu je sprostredkovateľom podľa čl. 4 bodu 8 GDPR a prevádzkovateľom údajov pacientov je klinika.
Z toho vyplýva najmä, že:
- osobné údaje pacientov nespracúva na vlastné účely, nepoužíva ich na marketing a neposkytuje ich nikomu okrem ďalších sprostredkovateľov a poskytovateľa komunikačnej služby Telegram v rozsahu podľa článku 7 a orgánov verejnej moci, ak to ukladá právny predpis,
- s každou klinikou má uzavretú zmluvu o spracúvaní osobných údajov podľa čl. 28 GDPR vrátane prílohy s technickými a organizačnými opatreniami a so zoznamom ďalších sprostredkovateľov,
- pacient uplatňuje svoje práva u kliniky, s ktorou komunikoval; ak žiadosť doručí Mgr. Matejovi Suľovskému, ten ju bez zbytočného odkladu postúpi klinike a pacienta o tom informuje – sám ju vybaviť nemôže, pretože nie je prevádzkovateľom údajov pacienta,
- informáciu o spracúvaní osobných údajov pacientov zverejňuje klinika na svojom webovom sídle.
Technické a organizačné opatrenia podľa článku 8 sa uplatňujú v oboch postaveniach rovnako.
3. Návšteva webového sídla
Webové sídlo www.klinikagent.sk je statická stránka prevádzkovaná na platforme Cloudflare Workers. Nepoužívajú sa na ňom analytické nástroje, reklamné pixely, nástroje na sledovanie správania návštevníkov ani nástroje tretích strán, ktoré by vytvárali profil návštevníka.
Pri načítaní stránky spracúva poskytovateľ hostingu technické údaje nevyhnutné na jej doručenie do prehliadača – IP adresu, typ prehliadača a operačného systému, čas požiadavky a adresu načítanej stránky. Tieto údaje vznikajú automaticky pri každom pripojení k webovému serveru a slúžia výlučne na doručenie obsahu a na ochranu pred útokmi.
| Účel | doručenie obsahu webového sídla, bezpečnosť a stabilita prevádzky |
| Právny základ | čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na funkčnom a bezpečnom webovom sídle |
| Doba uchovávania | podľa praxe poskytovateľa hostingu, spravidla niekoľko dní |
| Príjemca | Cloudflare, Inc. (Spojené štáty americké) – hosting a DNS |
3.1 Súbory cookie
Webové sídlo nepoužíva súbory cookie ani obdobné technológie na analytické, reklamné ani iné sledovacie účely, a preto nezobrazuje lištu so žiadosťou o súhlas. Poskytovateľ hostingu môže na ochranu pred automatizovanými útokmi nastaviť technicky nevyhnutný súbor cookie, na ktorý sa súhlas podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách nevyžaduje.
Ak by prevádzkovateľ v budúcnosti zaviedol analytické alebo reklamné nástroje, vyžiadal by si súhlas návštevníka ešte pred ich načítaním v súlade s uvedeným ustanovením a tieto zásady by doplnil.
Kód chatového widgetu nasadeného na webových sídlach kliník neukladá do koncového zariadenia pacienta žiadne údaje – nepoužíva súbory cookie ani iné úložisko prehliadača. Identifikátor relácie, podľa ktorého asistent nadväzuje na priebeh rozhovoru, existuje len v pamäti otvorenej stránky a jej zatvorením alebo obnovením zaniká.
4. Komunikácia s prevádzkovateľom
Ak dotknutá osoba kontaktuje prevádzkovateľa e-mailom alebo telefonicky, prevádzkovateľ spracúva údaje, ktoré mu sama poskytne – najmä meno, kontaktný údaj, názov kliniky a obsah správy.
| Účel | odpoveď na otázku, príprava ponuky, rokovanie o uzavretí zmluvy |
| Právny základ | čl. 6 ods. 1 písm. b) GDPR – opatrenia pred uzavretím zmluvy na žiadosť dotknutej osoby, ak je budúcou zmluvnou stranou ona sama; pri zástupcoch a kontaktných osobách právnických osôb a v prípade, že sa o zmluve nerokuje, čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na vybavení podnetu a na komunikácii s potenciálnym zmluvným partnerom |
| Doba uchovávania | 2 roky od poslednej komunikácie, ak z nej nevznikne zmluvný vzťah |
| Príjemca | Proton AG (Švajčiarsko) a Google Ireland Limited – e-mailové služby |
Poskytnutie údajov je dobrovoľné. Bez kontaktného údaja však prevádzkovateľ nemôže odpovedať.
5. Oslovenie s obchodnou ponukou
Prevádzkovateľ oslovuje s ponukou služby aj z vlastnej iniciatívy, a to výlučne poskytovateľov zdravotnej starostlivosti – najmä zubné ambulancie a ambulancie estetickej medicíny. Spracúva pritom verejne dostupné kontaktné údaje prevádzky – názov, adresu, telefónne číslo, e-mailovú adresu, webové sídlo a údaje z verejných registrov. Údaje nezískava priamo od dotknutej osoby. Informácie podľa čl. 14 GDPR obsahuje tento článok spolu s článkami 7, 7.1 a 10; pri prvom oslovení prevádzkovateľ dotknutej osobe uvedie odkaz na tieto zásady a výslovne a oddelene od ostatných informácií ju upozorní na právo namietať (čl. 14 ods. 3 písm. b) a čl. 21 ods. 4 GDPR).
| Účel | priamy marketing – ponuka služby Klinik Agent poskytovateľom zdravotnej starostlivosti |
| Právny základ | čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na oslovení potenciálnych obchodných partnerov. Prevádzkovateľ oslovuje výlučne podnikateľské subjekty, výlučne na kontaktné údaje, ktoré zverejnili na účely svojej podnikateľskej činnosti, a výlučne vo veciach tejto činnosti; pri elektronickej pošte postupuje podľa § 116 zákona č. 452/2021 Z. z. |
| Kategórie údajov | názov prevádzky, adresa, telefónne číslo, e-mailová adresa, webové sídlo, meno kontaktnej osoby, ak je zverejnené, záznamy o priebehu oslovenia |
| Zdroj údajov | webové sídlo prevádzky, verejné registre, verejne dostupné zoznamy poskytovateľov zdravotnej starostlivosti |
| Doba uchovávania | 2 roky od posledného kontaktu alebo do vznesenia námietky, podľa toho, čo nastane skôr; po vznesení námietky len kontaktný údaj s dátumom a spôsobom námietky, potrebný na to, aby prevádzkovateľ dotknutú osobu znova neoslovil a vedel preukázať, že námietke vyhovel (zoznam vylúčených kontaktov), a to počas obdobia, v ktorom vykonáva priamy marketing – na základe čl. 6 ods. 1 písm. f) GDPR |
| Príjemcovia | Proton AG (Švajčiarsko) a Google Ireland Limited – e-mailové služby. Evidenciu obchodných kontaktov vedie prevádzkovateľ sám na vlastnom pracovnom počítači, bez využitia cloudovej služby; iným poskytovateľom služieb ju nesprístupňuje. |
Proti tomuto spracúvaniu možno kedykoľvek namietať, a to odpoveďou „nezasielať“ na ktorýkoľvek e-mail prevádzkovateľa alebo správou na klinikagent@proton.me. Prevádzkovateľ námietke vyhovie bez zbytočného odkladu a natrvalo, bez posudzovania dôvodov, a dotknutú osobu už neosloví; jej kontaktný údaj s dátumom a spôsobom námietky zapíše do zoznamu vylúčených kontaktov.
6. Zmluvný vzťah
Pri uzavretí a plnení zmluvy spracúva prevádzkovateľ identifikačné a kontaktné údaje kliniky, jej zástupcov a poverených osôb. Údaje zástupcov a poverených osôb získava spravidla od kliniky, ktorú zastupujú. Poskytnutie údajov potrebných na uzavretie zmluvy a vystavenie faktúry je zmluvnou a zákonnou požiadavkou; bez nich nemožno zmluvu uzavrieť ani plniť.
| Účel | Právny základ | Doba uchovávania |
|---|---|---|
| uzavretie a plnenie zmluvy, komunikácia o službe, podpora | čl. 6 ods. 1 písm. b) GDPR, ak je zmluvnou stranou dotknutá osoba; pri zástupcoch a kontaktných osobách kliniky čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na plnení zmluvy a komunikácii so zmluvným partnerom | doba trvania zmluvy a 4 roky po jej skončení (premlčacia doba podľa Obchodného zákonníka) |
| vystavovanie a evidencia faktúr, účtovná a daňová evidencia | čl. 6 ods. 1 písm. c) GDPR – zákonná povinnosť podľa účtovných a daňových predpisov | 10 rokov |
| prístupové účty do panela recepcie | čl. 6 ods. 1 písm. b) GDPR | doba trvania zmluvy a 30 dní po jej skončení |
| záznamy o zásahoch prevádzkovateľa do účtov panela recepcie (prihlasovacie meno, druh a čas zásahu) | čl. 6 ods. 1 písm. f) GDPR – oprávnený záujem na bezpečnosti služby | počas prevádzky služby |
| preukázanie plnenia povinností podľa GDPR (záznamy o spracovateľských činnostiach, evidencia porušení ochrany osobných údajov, žiadosti dotknutých osôb a záznam o ich vybavení) | čl. 6 ods. 1 písm. c) GDPR v spojení s čl. 5 ods. 2 a čl. 30 GDPR | doba trvania zmluvy a 4 roky po jej skončení; ak sa záznam netýka zmluvného vzťahu, 4 roky od vybavenia |
| preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov | čl. 6 ods. 1 písm. f) GDPR | do právoplatného skončenia veci |
7. Príjemcovia osobných údajov
Prevádzkovateľ osobné údaje nepredáva a neposkytuje ich na marketing tretích osôb. Sprístupňuje ich výlučne subjektom, ktoré sa podieľajú na prevádzke služby, a v nevyhnutnom rozsahu orgánom verejnej moci. So subjektmi, ktoré osobné údaje spracúvajú ako sprostredkovatelia, je spracúvanie upravené zmluvou podľa čl. 28 GDPR, spravidla ako súčasť ich zmluvných podmienok. Telegram takú zmluvu neuzatvára a vystupuje ako samostatný poskytovateľ komunikačnej služby. Kalendár Google je systémom kliniky, nie ďalším sprostredkovateľom (článok 11.1); orgány verejnej moci sú samostatnými príjemcami.
| Príjemca | Účel | Miesto spracúvania |
|---|---|---|
| Supabase Pte. Ltd. | databázové úložisko služby | Frankfurt nad Mohanom, Nemecko (EÚ) |
| Supabase Pte. Ltd. (Singapur) – zmluvná strana | správa účtu, fakturácia a podpora k databáze | mimo EÚ, na základe štandardných zmluvných doložiek |
| n8n GmbH, Berlín | automatizačná platforma, spracovanie správ; prevádzkové záznamy uchováva 7 dní | Európska únia (Microsoft Azure) |
| Anthropic Ireland, Limited / Anthropic PBC | jazykový model, ktorý generuje odpovede asistenta; vstupy a výstupy uchováva 30 dní, obsah označený jeho bezpečnostnou kontrolou až 2 roky a skóre bezpečnostnej klasifikácie až 7 rokov | Spojené štáty americké |
| Cloudflare, Inc. | hosting webového sídla, widgetu a panelov, DNS, sieťová brána, cez ktorú prechádza každá správa chatu, ochrana pred zneužitím | Spojené štáty americké / globálna sieť |
| Telegram Messenger Inc. | upozornenie pre kliniku na nový dopyt – len druh udalosti, pri klinike s panelom recepcie poradové číslo dopytu a na klinike s kalendárom pri bolesti, opuchu alebo úraze všeobecná kategória dôvodu z pevného zoznamu (napríklad bolesť alebo opuch), bez mena, telefónneho čísla, zákroku, termínu a textu správy pacienta (klinika ich vidí v paneli recepcie, pri klinike s kalendárom Google vo svojom kalendári; v databáze služby v EÚ sa vymazávajú v lehotách podľa článku 9); technické a bezpečnostné hlásenia prevádzkovateľovi – pri bezpečnostnej udalosti úryvok textu, ktorý dotknutá osoba napísala (najviac 160 znakov), v ktorom sa nahrádzajú telefónne čísla, meno ani iný obsah sa z neho neodstraňuje; pri výpadku jazykového modelu dátum a čas termínu, ktorého sa akcia týkala | mimo EÚ; údaje používateľov z EHP v dátových centrách v Holandsku |
| Google Ireland Limited (len pri klinike, ktorá si zvolí kalendár Google) | zápis, čítanie a rušenie termínov v kalendári kliniky – systém kliniky, pozri článok 11.1 | podľa podmienok spoločnosti Google |
| Proton AG | e-mailová komunikácia | Švajčiarsko |
| Google Ireland Limited | e-mailová komunikácia (Gmail) | podľa podmienok spoločnosti Google, aj mimo EÚ |
| účtovník, daňový poradca | vedenie účtovníctva a daňová agenda | Slovenská republika |
| orgány verejnej moci | ak to ukladá osobitný právny predpis | Slovenská republika |
Aktuálny zoznam ďalších sprostredkovateľov je prílohou zmluvy o spracúvaní osobných údajov s každou klinikou. Každú zamýšľanú zmenu prevádzkovateľ klinike oznámi najmenej 30 dní vopred.
7.1 Prenos osobných údajov do tretích krajín
Databáza služby je umiestnená vo Frankfurte nad Mohanom a automatizačná platforma v Európskej únii. Do tretích krajín sa osobné údaje prenášajú v týchto prípadoch:
- Text konverzácie sa odosiela poskytovateľovi jazykového modelu do Spojených štátov amerických, aby mohol vygenerovať odpoveď. Prenos je zabezpečený štandardnými zmluvnými doložkami prijatými Európskou komisiou, ktoré sú súčasťou zmluvných podmienok poskytovateľa. Poskytovateľ podľa týchto podmienok nepoužíva obsah komunikácie na trénovanie svojich modelov. Režim nulového uchovávania (Zero Data Retention) nie je aktívny; platia lehoty uvedené v článku 7.
- Každá správa chatu a každá požiadavka panela recepcie prechádza sieťovou bránou spoločnosti Cloudflare, Inc. (Spojené štáty americké); sieťou tej istej spoločnosti prechádza aj prevádzkový panel prevádzkovateľa vrátane overenia prístupu do neho a technické údaje pri načítaní webového sídla. Prenos je zabezpečený rámcom ochrany údajov medzi EÚ a USA (EU-U.S. Data Privacy Framework), inak štandardnými zmluvnými doložkami.
- Upozornenia klinike a hlásenia prevádzkovateľovi sa doručujú prostredníctvom služby Telegram (Telegram Messenger Inc.), ktorá podľa svojich zásad ukladá údaje používateľov z Európskeho hospodárskeho priestoru v Holandsku a v rámci svojej skupiny ich prenáša mimo EÚ. Upozornenie klinike obsahuje len druh udalosti, prípadne poradové číslo dopytu a na klinike s kalendárom pri bolesti, opuchu alebo úraze všeobecnú kategóriu dôvodu z pevného zoznamu – meno, telefónne číslo, zákrok, termín ani text správy pacienta sa klinike prostredníctvom služby Telegram neposielajú. Hlásenie prevádzkovateľovi môže obsahovať úryvok textu, ktorý dotknutá osoba napísala, a pri výpadku jazykového modelu dátum a čas termínu (článok 7).
- Správa účtu a fakturácia databázy – zmluvnou stranou poskytovateľa databázy je Supabase Pte. Ltd. (Singapur); prenos údajov o účte a podpore je zabezpečený štandardnými zmluvnými doložkami. Údaje uložené v databáze zostávajú vo Frankfurte nad Mohanom.
- E-mailová komunikácia prebieha prostredníctvom služby Proton AG (Švajčiarsko), pre ktorú Európska komisia prijala rozhodnutie o primeranosti ochrany osobných údajov, a služby Gmail spoločnosti Google Ireland Limited, ktorá údaje môže prenášať aj mimo EÚ so zárukami podľa svojich zmluvných podmienok.
Kópiu použitých záruk prevádzkovateľ poskytne na požiadanie.
8. Zabezpečenie osobných údajov
Prevádzkovateľ prijal technické a organizačné opatrenia podľa čl. 32 GDPR, najmä:
- šifrovanie pri prenose – komunikácia medzi chatom, automatizačnou platformou, databázou a jazykovým modelom prebieha výlučne cez protokol TLS,
- šifrovanie v pokoji – databáza je šifrovaná algoritmom AES-256 na úrovni poskytovateľa infraštruktúry,
- umiestnenie v EÚ – databáza je vedená v regióne Frankfurt nad Mohanom,
- riadenie prístupu k databáze – na všetkých tabuľkách je zapnuté zabezpečenie na úrovni riadkov; k údajom sa pristupuje výlučne servisným kľúčom uloženým v automatizačnej platforme a v serverových funkciách panelov; z prehliadača nie je k údajom priamy prístup,
- sieťová brána – chat aj panel recepcie sú dostupné len cez bránu, ktorá prijíma požiadavky iba z povolených webových domén, obmedzuje ich počet a veľkosť a pripája tajný kľúč, bez ktorého automatizačná platforma požiadavku odmietne,
- detekcia zneužitia – pokusy zmanipulovať asistenta, preťaženie služby alebo útok na heslo sa rozpoznávajú automaticky; dotknutá relácia alebo zdroj sa dočasne zablokuje a prevádzkovateľ dostane okamžité hlásenie; IP adresa sa do databázy ukladá len ako jednosmerný odtlačok,
- oddelenie kliník – každý záznam je viazaný na identifikátor kliniky a všetky dotazy sa podľa neho filtrujú; klinika nemá prístup k údajom inej kliniky,
- ochrana prístupových kľúčov – kľúče sú uložené v šifrovanom úložisku poverení, nie v zdrojovom kóde ani v adresách požiadaviek,
- viacfaktorové overenie na všetkých administrátorských účtoch prevádzkovateľa,
- pracovné zariadenia prevádzkovateľa – chránené heslom a šifrovaním; evidencia obchodných kontaktov sa vedie len lokálne na pracovnom počítači, bez synchronizácie do cloudových služieb, so šifrovanou zálohou na nosiči v držbe prevádzkovateľa,
- panel recepcie chránený menom a heslom; heslá sú uložené ako hash so soľou a po opakovaných neúspešných pokusoch sa prihlásenie dočasne zablokuje,
- zásada najnižších oprávnení – k produkčným údajom má prístup výlučne prevádzkovateľ osobne; každú osobu, ktorá by sa na plnení podieľala, vopred písomne zaviaže mlčanlivosťou,
- dostupnosť – nezávislá kontrola dostupnosti každých 10 minút; pri výpadku dostane pacient odpoveď s telefónnym číslom kliniky; zálohovanie databázy sa riadi plánom jej poskytovateľa; pri súčasnom pláne poskytovateľ automatické denné zálohy na obnovu nesprístupňuje,
- automatizovaný výmaz raz denne po uplynutí lehôt uchovávania, so záznamom o každom behu,
- evidencia porušení ochrany osobných údajov a ich oznamovanie klinike do 24 hodín od zistenia.
Poskytovatelia infraštruktúry podľa nimi zverejnených informácií uplatňujú aj pravidelné penetračné testy, skenovanie zraniteľností a oddelenie prostredí; poskytovatelia databázy, automatizačnej platformy a sieťovej brány zverejňujú certifikácie (napr. SOC 2).
8.1 Mlčanlivosť
Prevádzkovateľ sa voči každej klinike zmluvne zaväzuje zachovávať mlčanlivosť v rozsahu zodpovedajúcom povinnosti mlčanlivosti zdravotníckych pracovníkov podľa zákona č. 576/2004 Z. z. o zdravotnej starostlivosti a zákona č. 578/2004 Z. z. o poskytovateľoch zdravotnej starostlivosti v platnom znení, hoci sám zdravotníckym pracovníkom nie je. Povinnosť mlčanlivosti trvá aj po skončení zmluvy, a to bez časového obmedzenia.
9. Doba uchovávania osobných údajov
Prehľad lehôt uvedených v predchádzajúcich článkoch:
| Kategória | Lehota |
|---|---|
| technické záznamy o návšteve webového sídla | podľa praxe poskytovateľa hostingu |
| komunikácia, z ktorej nevznikol zmluvný vzťah | 2 roky od poslednej komunikácie |
| obchodné kontakty na účely oslovenia | 2 roky od posledného kontaktu alebo do vznesenia námietky; zoznam vylúčených kontaktov (kontaktný údaj, dátum a spôsob námietky) počas obdobia, v ktorom prevádzkovateľ vykonáva priamy marketing |
| zmluvná dokumentácia | doba trvania zmluvy a 4 roky po jej skončení |
| evidencia porušení ochrany osobných údajov a žiadostí dotknutých osôb | doba trvania zmluvy a 4 roky po jej skončení; mimo zmluvného vzťahu 4 roky od vybavenia |
| záznamy o zásahoch do účtov panela recepcie | počas prevádzky služby |
| účtovné doklady a faktúry | 10 rokov |
| hlásenia prevádzkovateľovi v službe Telegram (pri bezpečnostnej udalosti úryvok textu) | najviac 1 mesiac od doručenia (automatické mazanie správ) |
| údaje pacientov spracúvané pre kliniku | konverzácie 90 dní od poslednej správy, dopyty a upozornenia v paneli recepcie 90 dní od vytvorenia, termíny a kódy rezervácie 90 dní od skončenia termínu, technické a chybové záznamy 90 dní, prevádzkové záznamy automatizačnej platformy 7 dní, kópia u poskytovateľa jazykového modelu 30 dní (obsah označený jeho bezpečnostnou kontrolou až 2 roky, skóre bezpečnostnej klasifikácie až 7 rokov), bezpečnostné záznamy (pri pokuse o zneužitie úryvok správy, v ktorom sa nahrádzajú telefónne čísla) počas trvania zmluvy s klinikou – podrobne v prílohe A zmluvy o spracúvaní osobných údajov |
Po uplynutí lehoty prevádzkovateľ osobné údaje vymaže; údaje pacientov v databáze služby vymazáva systém automaticky raz denne; kópie u ďalších sprostredkovateľov zanikajú v lehotách uvedených v tabuľke.
10. Práva dotknutých osôb
Vo vzťahu k osobným údajom, ktoré prevádzkovateľ spracúva ako prevádzkovateľ podľa článku 2.1, má dotknutá osoba právo:
| Právo | Obsah |
|---|---|
| na prístup (čl. 15 GDPR) | získať potvrdenie, či sa jej osobné údaje spracúvajú, a ak áno, prístup k nim a ich kópiu |
| na opravu (čl. 16 GDPR) | na opravu nesprávnych a doplnenie neúplných osobných údajov |
| na výmaz (čl. 17 GDPR) | na vymazanie osobných údajov, najmä ak už nie sú potrebné na účel, na ktorý sa získali, alebo ak sa spracúvajú nezákonne |
| na obmedzenie spracúvania (čl. 18 GDPR) | na dočasné obmedzenie spracúvania, najmä počas overovania správnosti údajov |
| na prenosnosť (čl. 20 GDPR) | získať osobné údaje, ktoré poskytla a ktoré sa spracúvajú na základe zmluvy automatizovanými prostriedkami, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a na ich prenos inému prevádzkovateľovi, ak je to technicky možné |
| namietať (čl. 21 GDPR) | z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu na základe oprávneného záujmu; pri priamom marketingu prevádzkovateľ námietke vyhovie vždy a bez zbytočného odkladu, bez posudzovania dôvodov |
Práva možno uplatniť e-mailom na klinikagent@proton.me alebo písomne na adrese miesta podnikania prevádzkovateľa. Prevádzkovateľ poskytne informácie o opatreniach prijatých na základe žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca od jej doručenia; vzhľadom na zložitosť a počet žiadostí môže túto lehotu predĺžiť o ďalšie dva mesiace, o čom dotknutú osobu vrátane dôvodov informuje do jedného mesiaca od doručenia žiadosti.
Uplatnenie práv je bezplatné. Pri zjavne neopodstatnených alebo neprimeraných, najmä opakujúcich sa žiadostiach môže prevádzkovateľ podľa čl. 12 ods. 5 GDPR požadovať primeraný poplatok alebo odmietnuť konať.
Pacient kliniky, ktorá používa službu Klinik Agent, uplatňuje svoje práva u tejto kliniky (článok 2.2).
10.1 Sťažnosť dozornému orgánu
Dotknutá osoba má právo podať sťažnosť dozornému orgánu, ktorým je:
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27
telefón: +421 2 3231 3214
e-mail: statny.dozor@pdp.gov.sk
web: www.dataprotection.gov.sk
11. Umelá inteligencia a automatizované rozhodovanie
Služba je systémom umelej inteligencie určeným na priamu interakciu s fyzickými osobami podľa čl. 50 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2024/1689 (akt o umelej inteligencii). Každá osoba, ktorá s asistentom komunikuje, je najneskôr pri prvej interakcii jasne informovaná, že komunikuje so systémom umelej inteligencie.
Asistent plní administratívnu funkciu – prijíma dopyty, informuje o voľných termínoch a zapisuje rezervácie. Neposkytuje zdravotné poradenstvo ani diagnostiku, neposudzuje naliehavosť zdravotného stavu a nie je zdravotníckou pomôckou. Ak pacient v správe uvedie bolesť, opuch alebo úraz, asistent termín cez chat nerezervuje a odkáže ho na telefónne číslo kliniky; upozornenie pre kliniku sa vytvára podľa slov v správe z pevného zoznamu kategórií, nie posudzovaním zdravotného stavu.
Prevádzkovateľ nevykonáva automatizované individuálne rozhodovanie s právnymi účinkami ani s podobne významným dosahom podľa čl. 22 GDPR. Asistent zaznamenáva, o aký druh služby sa záujemca zaujíma, aby ho mohol objednať, a obchodne klasifikuje mieru jeho záujmu; poradie vybavenia ani naliehavosť tým neurčuje. O poskytnutí zdravotnej starostlivosti rozhoduje vždy klinika. Termíny asistent ponúka a zapisuje len z voľných časov v kalendári kliniky podľa pravidiel, ktoré klinika nastavila; ak klinika termíny potvrdzuje, rezervácia je do potvrdenia predbežná.
11.1 Údaje z Google Workspace API – obmedzené použitie (Limited Use)
Ak si klinika zvolí prepojenie s kalendárom Google, služba po jej výslovnom súhlase pristupuje k jej kalendáru v službe Kalendár Google (Google Calendar) – číta udalosti v kalendári (najmä ich čas a názov), aby mohla ponúknuť skutočne dostupné termíny a overiť existujúcu rezerváciu, a zapisuje alebo ruší jednotlivú udalosť, keď si pacient termín rezervuje alebo zruší. Odpovede asistenta generuje jazykový model tretej strany.
Použitie údajov prijatých z rozhraní Google Workspace API, a to aj v podobe odvodených údajov, sa riadi zásadami Google API Services User Data Policy vrátane požiadaviek na obmedzené použitie (Limited Use).
Prevádzkovateľ údaje získané z Google Workspace API – surové ani odvodené – nepoužíva ani neposkytuje na vývoj, trénovanie ani zlepšovanie žiadnych všeobecných ani základových modelov umelej inteligencie alebo strojového učenia. Poskytovateľ jazykového modelu podľa svojich zmluvných podmienok netrénuje modely na obsahu komunikácie svojich zákazníkov. Prevádzkovateľ tieto údaje nepredáva ani ich neposkytuje tretím stranám na reklamu alebo na účely nesúvisiace s poskytovaním služby. Ľudia k nim nepristupujú – s výnimkou prípadov nevyhnutných na zaistenie bezpečnosti, na splnenie právnej povinnosti alebo s výslovným súhlasom kliniky.
English — statement for Google API verification: The use of raw or derived user data received from Google Workspace APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Klinik Agent does not use or transfer raw or derived data obtained from Google Workspace APIs to develop, train, or improve any generalized or foundational artificial intelligence or machine learning models.
12. Maloleté osoby
Webové sídlo ani služba nie sú určené deťom. Chatový asistent nasadený u kliník je určený dospelým osobám; osobu mladšiu ako 16 rokov objednáva jej zákonný zástupca. Asistent vek dotknutej osoby nezisťuje.
13. Zmeny zásad
Prevádzkovateľ môže tieto zásady aktualizovať, najmä pri zmene právnych predpisov alebo rozsahu služby. Platné znenie je vždy zverejnené na tejto adrese; dátum poslednej aktualizácie je uvedený v záhlaví. O podstatnej zmene, ktorá sa dotýka zmluvných partnerov, ich prevádzkovateľ informuje e-mailom.
14. Rozhodné právo
Tieto zásady sa spravujú GDPR a všeobecne záväznými právnymi predpismi Slovenskej republiky o ochrane osobných údajov v platnom znení.