Zpracování osobních údajů (DPA)

1. Strany a vztah ke Smlouvě

1. 1.1Zpracovatel: NEXACorteX s.r.o., IČO: 24475483, se sídlem Korunní 2569/108, Vinohrady, 101 00 Praha 10, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 440386 (dále jen „Zpracovatel“).
2. 1.2Správce: Zákazník, který se Zpracovatelem uzavřel Smlouvu podle Smluvních podmínek služby NexaCare (dále jen „Podmínky“); dále jen „Správce“.
3. 1.3Tato smlouva o zpracování osobních údajů (dále jen „DPA“) je smlouvou podle čl. 28 odst. 3 nařízení (EU) 2016/679 (dále jen „GDPR“). Je součástí Smlouvy a uzavírá se spolu s ní elektronicky, bez samostatného podpisu.
4. 1.4DPA upravuje zpracování osobních údajů, které Zpracovatel provádí jménem Správce při poskytování Aplikace. Nevztahuje se na údaje, které Zpracovatel zpracovává jako samostatný správce (uživatelské účty, fakturace, podpora, provozní bezpečnost); ty popisují Informace o zpracování osobních údajů.
5. 1.5Pro zpracování Údajů Správce je rozhodující tato DPA; ostatní ujednání Smlouvy se použijí, nestanoví-li DPA jinak.

2. Pojmy

1. 2.1Pojmy „osobní údaje“, „zvláštní kategorie osobních údajů“, „zpracování“, „subjekt údajů“, „porušení zabezpečení osobních údajů“ a „dozorový úřad“ mají význam podle GDPR.
2. 2.2Pojmy Smlouva, Zákazník, Aplikace, Ordinace, Uživatel, Administrátor ordinace, Modul, Obsah, Výstup AI, Integrace a Další zpracovatel mají význam podle Podmínek.
3. 2.3Údaje Správce jsou osobní údaje obsažené v Obsahu, které Zpracovatel zpracovává jménem Správce.

3. Předmět, účel a doba zpracování

1. 3.1Účel. Zpracovatel zpracovává Údaje Správce výhradně za účelem poskytování Aplikace podle Smlouvy – zejména ukládání a zpřístupnění Obsahu, zpracování příchozí a odchozí komunikace, převodu řeči na text, tvorby návrhů zpráv, rozpoznání textu z dokumentů, vytěžování údajů a správy pracovní a provozní agendy Správce.
2. 3.2Povaha. Automatizované zpracování v cloudovém prostředí: shromažďování, ukládání, uspořádání, strukturování, vyhledávání, nahlížení, úprava, předání do Integrací na pokyn Uživatele, export a výmaz, včetně zpracování pomocí modelů umělé inteligence podle čl. 14.
3. 3.3Subjekty a údaje popisuje Příloha 1. Zpracování zahrnuje zvláštní kategorie osobních údajů – údaje o zdravotním stavu (čl. 9 GDPR).
4. 3.4Doba. Zpracování trvá po dobu trvání Smlouvy a dále po dobu nezbytnou k vrácení a výmazu údajů podle čl. 15.

4. Pokyny Správce

1. 4.1Zpracovatel zpracovává Údaje Správce pouze na základě doložených pokynů Správce, a to i pokud jde o předání do třetí země (čl. 28 odst. 3 písm. a) GDPR). Doloženými pokyny jsou:
   • Smlouva včetně této DPA,
   • úkony Uživatelů a nastavení provedená v Aplikaci (např. spuštění přepisu, nastavení doby uchování, aktivace Integrace),
   • další písemné pokyny Správce, které jsou se Smlouvou v souladu.
2. 4.2Bez pokynu může Zpracovatel Údaje Správce zpracovat, jen ukládá-li mu to právo EU nebo členského státu; Zpracovatel o tom Správce předem informuje, ledaže to právo zakazuje.
3. 4.3Má-li Zpracovatel za to, že pokyn porušuje GDPR nebo jiný předpis o ochraně osobních údajů, neprodleně na to Správce upozorní (čl. 28 odst. 3 druhý pododstavec GDPR) a není povinen pokyn provést, dokud jej Správce nezmění tak, aby byl v souladu s právními předpisy.
4. 4.4Pokyn, který by vyžadoval změnu Aplikace nebo zpracování nad rámec Smlouvy, se řídí dohodou stran.

5. Povinnosti Správce

1. 5.1Správce odpovídá za to, že má pro zpracování Údajů Správce v Aplikaci právní titul podle čl. 6 GDPR a u údajů o zdravotním stavu výjimku podle čl. 9 odst. 2 GDPR.
2. 5.2Správce plní informační povinnost vůči subjektům údajů (čl. 13 a 14 GDPR), včetně informace o zapojení Zpracovatele a kategoriích Dalších zpracovatelů.
3. 5.3Při nahrávání rozhovorů s pacienty postupuje Správce podle čl. 5 Pravidel bezpečného používání NexaCare.
4. 5.4Správce nastaví oprávnění Uživatelů a dobu uchování přepisů v souladu se zásadou minimalizace (čl. 5 odst. 1 písm. c) a e) GDPR).
5. 5.5Zpracování údajů o zdravotním stavu s využitím umělé inteligence bude u Správce zpravidla vyžadovat posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR); Zpracovatel mu poskytne součinnost podle čl. 12.

6. Mlčenlivost

1. 6.1Zpracovatel zajistí, aby se osoby oprávněné zpracovávat Údaje Správce zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti (čl. 28 odst. 3 písm. b) GDPR). Zpracovatel a Další zpracovatelé zachovávají mlčenlivost o všech skutečnostech týkajících se pacientů nejméně v rozsahu, v jakém ji poskytovateli zdravotních služeb ukládá § 51 zákona č. 372/2011 Sb., o zdravotních službách.
2. 6.2Zpracovatel poučí tyto osoby o povaze zpracovávaných údajů a umožní jim přístup jen v rozsahu nezbytném pro plnění jejich úkolů.
3. 6.3Povinnost mlčenlivosti trvá i po skončení Smlouvy a pracovního nebo jiného vztahu těchto osob.

7. Zabezpečení

1. 7.1Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR odpovídající povaze údajů (zdravotní údaje), rozsahu zpracování a rizikům pro subjekty údajů. Jejich přehled tvoří Přílohu 3.
2. 7.2Opatření Zpracovatel průběžně vyhodnocuje a aktualizuje. Změna nesmí snížit celkovou úroveň zabezpečení.
3. 7.3Za zabezpečení zařízení Uživatelů, přístupových údajů a nastavení oprávnění v Aplikaci odpovídá Správce.

8. Další zpracovatelé

1. 8.1Správce uděluje Zpracovateli obecné písemné povolení k zapojení Dalších zpracovatelů (čl. 28 odst. 2 GDPR). Jejich kategorie ke dni účinnosti DPA (činnost, zpracovávané údaje a místo zpracování) uvádí Příloha 2; jejich identifikaci sdělí Zpracovatel Správci postupem podle Přílohy 2.
2. 8.2Zpracovatel uloží každému Dalšímu zpracovateli písemnou smlouvou stejné povinnosti na ochranu osobních údajů, jaké stanoví tato DPA, zejména povinnost poskytnout dostatečné záruky vhodných technických a organizačních opatření (čl. 28 odst. 4 GDPR).
3. 8.3Změna. O zamýšleném zapojení nebo nahrazení Dalšího zpracovatele informuje Zpracovatel Správce nejméně 30 dní předem e-mailem na kontaktní adresu Zákazníka nebo v Aplikaci. Oznámení obsahuje identifikaci Dalšího zpracovatele, činnost a místo zpracování.
4. 8.4Námitka. Správce může proti změně vznést odůvodněnou námitku do 14 dní od oznámení. Strany se pokusí najít řešení. Není-li to možné, může Správce Smlouvu vypovědět s účinností ke dni zapojení nového Dalšího zpracovatele; Zpracovatel mu vrátí poměrnou část předplatného uhrazeného za období po skončení Smlouvy.
5. 8.5Naléhavá náhrada. Hrozí-li ohrožení bezpečnosti nebo dostupnosti Aplikace, může Zpracovatel dočasně zapojit náhradního Dalšího zpracovatele, který poskytuje alespoň rovnocenné záruky a zpracovává údaje v EU. Zpracovatel o tom Správce informuje nejpozději do 48 hodin; náhradní zapojení trvá nejdéle do uplynutí lhůty k námitce podle čl. 8.4.
6. 8.6Zpracovatel odpovídá Správci za plnění povinností Dalšího zpracovatele (čl. 28 odst. 4 GDPR).
7. 8.7Externí systémy, které Správce sám propojí s Aplikací (jeho e-mailová schránka, datová schránka, portály zdravotních pojišťoven, ambulantní informační systém), nejsou Dalšími zpracovateli; jejich provozovatelé jsou ve vztahu přímo ke Správci.

9. Předávání mimo EU/EHP

1. 9.1Údaje Správce se zpracovávají výhradně v Evropské unii. Zpracovatel ani Další zpracovatelé je nepředávají do třetích zemí ani mezinárodním organizacím.
2. 9.2Předání mimo EU/EHP je možné jen na základě předchozího výslovného písemného pokynu Správce a při splnění podmínek kapitoly V GDPR.

10. Práva subjektů údajů

1. 10.1Zpracovatel Správci pomáhá vhodnými technickými a organizačními opatřeními plnit povinnost reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR (čl. 28 odst. 3 písm. e) GDPR).
2. 10.2Správce může žádosti zpravidla vyřídit sám funkcemi Aplikace – zejména opravou a výmazem údajů pacienta, exportem přepisů a dokumentace a přehledem přístupů k údajům pacienta.
3. 10.3Žádost subjektu údajů doručenou přímo Zpracovateli předá Zpracovatel bez zbytečného odkladu Správci; věcně na ni odpoví jen s písemným pověřením Správce nebo ukládá-li mu to právní předpis.

11. Porušení zabezpečení osobních údajů

1. 11.1Zpracovatel oznámí Správci každé porušení zabezpečení osobních údajů zpracovávaných podle této DPA bez zbytečného odkladu poté, co se o něm dozví, nejpozději však do 24 hodin. Oznámení bude učiněno na kontaktní adresu Správce uvedenou ve Smlouvě nebo v Aplikaci, nebo jiným dohodnutým komunikačním kanálem.
2. 11.2Zpracovatel v rozsahu informací, které má v daném okamžiku k dispozici, sdělí Správci zejména:
   1. povahu porušení zabezpečení,
   2. kategorie a přibližný počet dotčených subjektů údajů a záznamů osobních údajů, jsou-li tyto údaje známy,
   3. pravděpodobné důsledky porušení,
   4. opatření přijatá nebo navrhovaná k odstranění porušení a omezení jeho následků a
   5. kontaktní osobu pro další komunikaci.
   Nejsou-li všechny informace v okamžiku prvního oznámení dostupné, může je Zpracovatel poskytovat postupně bez dalšího zbytečného odkladu.
3. 11.3Zpracovatel bez zbytečného odkladu přijme přiměřená technická a organizační opatření k omezení následků porušení, odstranění jeho příčiny a zabránění jeho opakování a poskytne Správci přiměřenou součinnost potřebnou ke splnění povinností podle čl. 33 a 34 GDPR, zejména při posouzení rizika, oznámení porušení dozorovému úřadu nebo případném informování subjektů údajů.
4. 11.4Zpracovatel vede dokumentaci o porušeních zabezpečení osobních údajů v rozsahu vyžadovaném GDPR a na přiměřenou žádost poskytne Správci informace vztahující se k porušení, které se týká osobních údajů zpracovávaných pro Správce.
5. 11.5Oznámení porušení zabezpečení ani poskytnutí součinnosti podle tohoto článku nepředstavuje uznání odpovědnosti Zpracovatele za vznik porušení, škody nebo jiné újmy.

12. Posouzení vlivu a předchozí konzultace

1. 12.1Zpracovatel poskytne Správci informace a součinnost potřebnou k posouzení vlivu na ochranu osobních údajů a k případné předchozí konzultaci s dozorovým úřadem (čl. 35 a 36 GDPR), zejména popis zpracování, toků dat, kategorií Dalších zpracovatelů a bezpečnostních opatření.
2. 12.2Zpracovatel pomáhá Správci plnit i další povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici (čl. 28 odst. 3 písm. f) GDPR).

13. Doložení souladu a audit

1. 13.1Zpracovatel zpřístupní Správci informace potřebné k doložení splnění povinností podle čl. 28 GDPR a umožní audity a inspekce (čl. 28 odst. 3 písm. h) GDPR).
2. 13.2Doložení dokumenty. Na žádost Správce předá Zpracovatel do 30 dní souhrn technických a organizačních opatření, popis toků dat a doklady o certifikacích Dalších zpracovatelů a zodpoví doplňující dotazy. Tímto způsobem se soulad dokládá přednostně.
3. 13.3Audit na místě. Nepostačí-li doložení dokumenty, může Správce provést audit na místě, nejvýše jednou za kalendářní rok, s písemným oznámením nejméně 30 dní předem. Při porušení zabezpečení nebo na žádost dozorového úřadu je audit možný i častěji.
4. 13.4Audit provádí Správce nebo jím pověřený auditor vázaný mlčenlivostí, který není konkurentem Zpracovatele, a to tak, aby nenarušil provoz Aplikace a nezpřístupnil údaje jiných zákazníků. Náklady auditu nese Správce, ledaže audit prokáže podstatné porušení DPA Zpracovatelem.
5. 13.5Zjištěné nedostatky Zpracovatel bez zbytečného odkladu odstraní.

14. Umělá inteligence

1. 14.1Převod řeči na text, rozpoznání textu z dokumentů a jazykové zpracování (strukturování, vytěžování, kategorizace, překlad) provádějí Další zpracovatelé podle Přílohy 2, výhradně v EU.
2. 14.2Zpracovatel ani Další zpracovatelé nepoužívají Údaje Správce k trénování ani vylepšování modelů umělé inteligence.
3. 14.3Přizpůsobení návrhů stylu konkrétního Uživatele (funkce „Můj styl“) se ukládá jen k účtu tohoto Uživatele, není sdíleno a není trénováním modelů. Ve vzorových větách se před uložením nahrazují identifikační údaje pacienta, včetně jmen.
4. 14.4Výstupy AI jsou návrhy, které před použitím ověřuje Uživatel (Podmínky, čl. 7). Aplikace nečiní automatizovaná rozhodnutí ve smyslu čl. 22 GDPR.
5. 14.5Průběh zpracování zvukových záznamů popisuje dokument Hlasový záznam a přepis v NexaCare.

15. Vrácení a výmaz údajů

1. 15.1Během trvání Smlouvy uchovává Zpracovatel Údaje Správce po dobu stanovenou v Příloze 1, případně podle nastavení Správce, a maže je na jeho pokyn.
2. 15.2Po skončení Smlouvy zůstanou Údaje Správce přístupné k exportu po dobu 30 dní. Poté je Zpracovatel nevratně smaže, včetně kopií, nestanoví-li právo EU nebo členského státu povinnost je uchovat (čl. 28 odst. 3 písm. g) GDPR).
3. 15.3V zálohách mohou údaje přetrvat nejdéle 14 dní, poté jsou automaticky přepsány. Do té doby jsou chráněny stejně jako ostatní data a nepoužívají se.
4. 15.4Na žádost Správce Zpracovatel výmaz písemně potvrdí.

16. Záznamy o zpracování a pověřenec

1. 16.1Zpracovatel vede záznamy o všech kategoriích činností zpracování prováděných pro Správce (čl. 30 odst. 2 GDPR) a na žádost je zpřístupní dozorovému úřadu.
2. 16.2Pověřencem pro ochranu osobních údajů Zpracovatele je Mgr. Stanislav Kukal, e-mail: stanislav.kukal@nexacare.cz.

17. Odpovědnost

1. 17.1Odpovědnost stran za škodu se řídí čl. 13 Podmínek, nestanoví-li DPA jinak.
2. 17.2Odpovědnost vůči subjektům údajů a pravomoci dozorového úřadu podle čl. 82 a 83 GDPR nejsou dotčeny.

18. Trvání, změny a závěrečná ustanovení

1. 18.1DPA nabývá účinnosti spolu se Smlouvou a trvá, dokud Zpracovatel zpracovává Údaje Správce.
2. 18.2Změny DPA se řídí čl. 16 Podmínek; změna Dalších zpracovatelů se řídí čl. 8.
3. 18.3DPA se řídí právem České republiky. Spory rozhodují soudy příslušné podle čl. 17.3 Podmínek.
4. 18.4Je-li některé ustanovení neplatné, ostatní zůstávají v platnosti. Ustanovení DPA se vykládají v souladu s GDPR.

Příloha 1 – Popis zpracování

A. Subjekty údajů

• Pacienti Správce a jejich zákonní zástupci.
• Zaměstnanci a spolupracovníci Správce – v rozsahu Obsahu (např. docházka, plán směn, záznamy o činnosti v Aplikaci). Údaje uživatelských účtů zpracovává Zpracovatel jako samostatný správce (čl. 1.4).
• Korespondenti – odesílatelé a adresáti komunikace (e-mail, datová schránka), včetně zástupců úřadů, zdravotních pojišťoven a jiných poskytovatelů zdravotních služeb.
• Obchodní partneři Správce – dodavatelé a odběratelé z účetních dokladů, servisní a smluvní partneři.
• Návštěvníci veřejné vizitky Ordinace, kteří vyplní dotazník nebo požadavek na objednání.

B. Kategorie údajů

C. Činnosti podle Modulů

D. Doba uchování

Příloha 2 – Další zpracovatelé

Všichni Další zpracovatelé zpracovávají Údaje Správce výhradně v Evropské unii. Identifikaci jednotlivých Dalších zpracovatelů (obchodní firma, sídlo, činnost a místo zpracování) sdělí Zpracovatel Správci bez zbytečného odkladu na žádost zaslanou na e-mail gdpr@nexacare.cz. Tyto informace jsou důvěrné ve smyslu čl. 11 Podmínek.

Příloha 3 – Technická a organizační opatření

Umístění a infrastruktura

• Aplikace, databáze a úložiště dokumentů běží v datových centrech v Nizozemsku; zálohy i přihlašovací služba v EU.
• Zálohy databáze se uchovávají 14 dní.

Šifrování

• Šifrování dat při přenosu i při uložení.
• Přístupové údaje k Integracím (e-mail, datová schránka, portály pojišťoven) jsou šifrovány klíčem uloženým mimo databázi.
• Hesla se ukládají jen jako nevratný kryptografický otisk.
• Privátní klíč pro elektronický podpis neopouští zařízení Uživatele.

Oddělení dat a řízení přístupu

• Oddělení dat Ordinací je vynuceno na úrovni databáze; Aplikace při startu ověřuje, že pravidlo platí.
• Role a oprávnění až na úroveň Modulů a jednotlivých e-mailových schránek; schránka přiřazená pobočce je dostupná jen při práci na ní.
• Možnost dvoufázového ověření, zneplatnění přihlášení na dálku, limit souběžných přihlášení.
• Personál Zpracovatele přistupuje k Obsahu jen v rozsahu nezbytném pro provoz nebo na žádost Správce.
• Čtení dat napříč Ordinacemi je vyhrazeno automatickým úlohám (např. úklid starých přepisů, zpracování e-mailů) a správcovským nástrojům Zpracovatele; každé takové čtení se zaznamenává s uvedením důvodu.

Záznamy a dohledatelnost

• Záznam o každém přístupu k údajům pacienta, přehled pro Administrátora ordinace.
• Auditní záznamy kryptograficky zřetězené – dodatečná úprava historie je rozpoznatelná.

Minimalizace

• Zvukový záznam se na serverech Zpracovatele neukládá.
• Jazykový model a OCR pracují v režimu nulové retence; data se nepoužívají k trénování.
• Nastavitelná doba uchování přepisů a automatické mazání.

Organizační opatření

• Mlčenlivost a poučení osob s přístupem k údajům (čl. 6).
• Smlouvy s Dalšími zpracovateli podle čl. 28 GDPR.
• Jmenovaný pověřenec pro ochranu osobních údajů.