Zásady zpracování osobních údajů

Informace o zpracování osobních údajů podle čl. 13 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR)

Verze: 1.0 — účinné od: 21. 8. 2026

Místo zveřejnění: https://eduspis.eu/zasady-ochrany-osobnich-udaju

---

Úvodní vymezení — pro koho jsou tyto Zásady určeny

Tyto Zásady popisují zpracování osobních údajů, u kterého je správcem společnost Centrum pokročilé diagnostiky s.r.o. jako poskytovatel služby EDUSpis (dále jen „Poskytovatel" a „Služba").

Zásady jsou určeny zejména:

1. zástupcům a kontaktním osobám škol a školských zařízení, které Službu užívají nebo o ni projevily zájem (dále jen „Škola"),

2. uživatelům Služby — fyzickým osobám, kterým Škola zřídila uživatelský účet,

3. osobám, které Poskytovatele kontaktují prostřednictvím podpory nebo helpdesku.

Tyto Zásady se NEVZTAHUJÍ na osobní údaje vedené ve spisové službě Školy (dokumenty, spisy, údaje o žácích, zákonných zástupcích, zaměstnancích a dalších osobách evidovaných ve Službě). U těchto údajů je správcem Škola a Poskytovatel je pouze zpracovatelem — viz článek 10 těchto Zásad.

Tyto Zásady se nepodepisují; předávají se Škole a jsou trvale zveřejněny na adrese https://eduspis.eu/zasady-ochrany-osobnich-udaju (čl. 11.2).

---

Článek 1 — Totožnost a kontaktní údaje správce

1.1 Správcem osobních údajů podle těchto Zásad je:

Centrum pokročilé diagnostiky s.r.o.
IČO: 24921793
se sídlem: Na Návsi 33, 330 12 Horní Bříza
zapsaná v obchodním rejstříku vedeném Krajským soudem v Plzni, sp. zn. C 48308
zastoupená: Ing. Jakubem Šuldou, jednatelem

1.2 Kontaktní údaje pro uplatnění práv a pro dotazy k ochraně osobních údajů:

• e-mail: sulda@advdiag.eu
• telefon: 777 20 90 40
• ID datové schránky: 6qabtrz
• adresa pro doručování: Na Návsi 33, 330 12 Horní Bříza
• tyto Zásady: https://eduspis.eu/zasady-ochrany-osobnich-udaju
• dokumentace Služby: https://eduspis.eu/navod

1.3 Pověřenec pro ochranu osobních údajů: Poskytovatel pověřence pro ochranu osobních údajů nejmenoval. Ve všech záležitostech ochrany osobních údajů se obracejte na kontaktní údaje uvedené v čl. 1.2.

1.4 Poskytovatel nejmenoval zástupce podle čl. 27 GDPR, neboť je usazen v Evropské unii.

---

Článek 2 — Kategorie zpracovávaných osobních údajů

Poskytovatel jako správce zpracovává následující kategorie osobních údajů:

2.1 Identifikační a kontaktní údaje zástupců a kontaktních osob Školy
Jméno a příjmení, akademický titul, pracovní zařazení nebo funkce (například ředitel, ekonom, správce školy), pracovní e-mailová adresa, pracovní telefonní číslo, případně podpis na smluvních dokumentech.

2.2 Údaje o uživatelských účtech
Jméno a příjmení uživatele, přihlašovací jméno, pracovní e-mailová adresa, přidělená role a oprávnění ve Službě, příslušnost ke Škole, otisk (hash) hesla, tajemství pro dvoufázové ověření a otisky záložních kódů (uchovávané v šifrované podobě), údaje o vytvoření, změně a zrušení účtu.

2.3 Údaje související s plněním smlouvy a fakturací
Údaje uvedené ve smlouvě a jejích přílohách, údaje na fakturách a v účetních dokladech, údaje o platbách a o případném prodlení, komunikace týkající se smluvního vztahu.

2.4 Údaje z podpory a helpdesku
Jméno a příjmení a e-mailová adresa osoby, která požadavek podala, obsah požadavku a celá historie komunikace k němu, čas podání a vyřízení, přidělená priorita.

2.5 Provozní a bezpečnostní údaje (logy)
IP adresa, datum a čas přístupu, identifikátor uživatelského účtu, provedená operace, identifikátor relace, technické údaje o prohlížeči a zařízení, záznamy o neúspěšných přihlášeních a o bezpečnostních událostech.

2.6 Údaje z předsmluvní komunikace
Údaje uvedené v poptávce, v nezávazné žádosti o předvedení Služby nebo v jiné komunikaci předcházející uzavření smlouvy.

2.7 Poskytovatel jako správce nezpracovává podle těchto Zásad zvláštní kategorie osobních údajů podle čl. 9 GDPR ani údaje o rozsudcích v trestních věcech. Vloží-li uživatel takové údaje do požadavku podpory z vlastní vůle, Poskytovatel je zpracuje pouze v rozsahu nezbytném pro vyřízení požadavku a po jeho vyřízení je neuchovává déle, než stanoví článek 5.

---

Článek 3 — Účely zpracování a právní základ

3.1 Uzavření a plnění smlouvy se Školou, správa smluvního vztahu
Kategorie údajů: 2.1, 2.2, 2.3, 2.6.
Právní základ: oprávněný zájem Poskytovatele podle čl. 6 odst. 1 písm. f) GDPR, spočívající v uzavření a plnění smlouvy uzavřené s právnickou osobou a v komunikaci s jejími zástupci a kontaktními osobami. Je-li smluvní stranou fyzická osoba, je právním základem splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR.

3.2 Zřízení, správa a zabezpečení uživatelských účtů
Kategorie údajů: 2.2.
Právní základ: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — zajištění řízeného a bezpečného přístupu ke Službě a ochrana údajů Školy před neoprávněným přístupem. Uživatelské účty zřizuje a spravuje Škola; Poskytovatel je zpracovává jako správce pro účely provozu a bezpečnosti Služby.

3.3 Poskytování uživatelské podpory a helpdesku
Kategorie údajů: 2.4, případně 2.2.
Právní základ: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — vyřízení požadavku, zlepšování kvality podpory a prokázání způsobu vyřízení; a splnění smlouvy ve vztahu ke Škole. Součástí tohoto účelu je i automatická asistenční odpověď helpdesku podle článku 9.

3.4 Fakturace, vedení účetnictví a plnění daňových povinností
Kategorie údajů: 2.1, 2.3.
Právní základ: splnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR, zejména podle zákona č. 563/1991 Sb., o účetnictví, a zákona č. 280/2009 Sb., daňový řád, ve znění pozdějších předpisů.

3.5 Zajištění bezpečnosti Služby, prevence a řešení bezpečnostních incidentů, vedení provozních záznamů
Kategorie údajů: 2.5.
Právní základ: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR — ochrana Služby, dat Škol a práv třetích osob; současně jde o opatření k zajištění bezpečnosti zpracování podle čl. 32 GDPR.

3.6 Určení, výkon a obhajoba právních nároků
Kategorie údajů: všechny výše uvedené v rozsahu nezbytném pro daný nárok.
Právní základ: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR.

3.7 Zasílání provozních a servisních sdělení (informace o odstávkách, změnách Služby, změnách smluvních podmínek, bezpečnostních upozorněních)
Kategorie údajů: 2.1, 2.2.
Právní základ: splnění smlouvy vůči Škole a oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Tato sdělení nejsou obchodním sdělením a nelze je odmítnout po dobu trvání smluvního vztahu.

3.8 Zasílání obchodních sdělení
Kategorie údajů: 2.1, případně 2.6.
Zasílá-li Poskytovatel obchodní sdělení týkající se vlastních obdobných služeb, činí tak vůči kontaktním osobám stávajících zákazníků na základě oprávněného zájmu podle čl. 6 odst. 1 písm. f) GDPR ve spojení s § 7 odst. 3 zákona č. 480/2004 Sb., o některých službách informační společnosti, ve znění pozdějších předpisů; v ostatních případech pouze na základě souhlasu podle čl. 6 odst. 1 písm. a) GDPR. Odběr lze kdykoli bezplatně odmítnout odkazem uvedeným v každém sdělení nebo na kontaktní adrese podle čl. 1.2; při prvním kontaktu i v každém dalším sdělení je tato možnost výslovně nabídnuta. Nezasílá-li Poskytovatel obchodní sdělení, k tomuto zpracování nedochází.

3.9 Poskytovatel při zpracování podle těchto Zásad neprovádí automatizované individuální rozhodování ani profilování ve smyslu čl. 22 GDPR. Výstup asistenční funkce podle článku 9 je pouze návrhem odpovědi a nemá vůči dotčené osobě žádné právní ani obdobně významné účinky.

---

Článek 4 — Oprávněné zájmy Poskytovatele

4.1 Opírá-li se zpracování o čl. 6 odst. 1 písm. f) GDPR, jsou oprávněnými zájmy Poskytovatele zejména:

1. řádné plnění smlouvy uzavřené se Školou a komunikace s jejími zástupci,
2. zajištění bezpečnosti a dostupnosti Služby a ochrana dat Škol,
3. prokázání způsobu vyřízení požadavků podpory,
4. ochrana majetkových a jiných práv Poskytovatele, včetně vymáhání pohledávek a obhajoby proti nárokům.

4.2 Poskytovatel v každém případě posuzuje, zda nad těmito zájmy nepřevažují zájmy nebo základní práva a svobody dotčených osob. Bližší informace o provedeném posouzení poskytne Poskytovatel na žádost.

4.3 Proti zpracování založenému na oprávněném zájmu lze podat námitku — viz čl. 8.1 písm. f).

---

Článek 5 — Doba uchování osobních údajů

5.1 Po uplynutí doby uchování jsou osobní údaje vymazány, nestanoví-li právní předpis jinak.

5.2 Zálohy. Osobní údaje mohou po výmazu z produkčního prostředí přetrvávat v záložních kopiích po dobu jejich retence; tyto zálohy nejsou používány k jinému účelu než k obnově provozu a jsou postupně přepisovány.

5.3 Provozní záznamy o chybách. Nastane-li při zpracování chyba, mohou provozní záznamy o ní obsahovat zpracovávané údaje, a to nejdéle 48 hodin; poté jsou automaticky mazány. Záznamy o bezchybném zpracování se neukládají.

---

Článek 6 — Příjemci osobních údajů

6.1 Poskytovatel předává osobní údaje pouze v nezbytném rozsahu následujícím kategoriím příjemců:

1. Poskytovatel cloudové infrastruktury — Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irsko. Zpracování probíhá výhradně na území Evropské unie, v regionech západní Evropy. Poskytovatel je oprávněn změnit konkrétní lokalitu zpracování v rámci Evropské unie; o takové změně Školu informuje. K předání osobních údajů mimo Evropskou unii a Evropský hospodářský prostor při provozu Služby nedochází;

2. poskytovatelé jazykového modelu využívaní pro asistenční funkce podle článku 9 — jejich úplný seznam a umístění zpracování uvádí čl. 9.2;

3. poskytovatel účetních a daňových služeb Poskytovatele;

4. advokát, daňový poradce nebo jiný odborný poradce — v případě potřeby, vázán povinností mlčenlivosti;

5. poskytovatel služby elektronické pošty a nástrojů pro komunikaci Poskytovatele;

6. orgány veřejné moci — v rozsahu a za podmínek stanovených právním předpisem (například soudy, správce daně, Úřad pro ochranu osobních údajů, orgány činné v trestním řízení);

7. poskytovatel platebních a bankovních služeb — v rozsahu údajů uvedených na platebních příkazech.

6.2 Zpracování prostřednictvím nástrojů umělé inteligence, včetně identifikace poskytovatelů a případného předání mimo Evropskou unii, popisuje článek 9.

6.3 Poskytovatel osobní údaje neprodává a nepředává třetím osobám pro jejich vlastní marketingové účely.

6.4 Předání do třetí země nebo mezinárodní organizaci. S výjimkou případu popsaného v čl. 9.4 Poskytovatel při zpracování podle těchto Zásad nepředává osobní údaje do třetí země mimo Evropský hospodářský prostor ani mezinárodní organizaci. Každé takové předání se opírá o odpovídající záruky podle kapitoly V GDPR, zejména o standardní smluvní doložky přijaté Evropskou komisí, a o doložené posouzení dopadů předání. Kopii záruk poskytne Poskytovatel na žádost na kontaktech podle čl. 1.2.

---

Článek 7 — Zdroj osobních údajů a povinnost jejich poskytnutí

7.1 Poskytovatel získává osobní údaje:

1. přímo od dotčené osoby (například při komunikaci nebo při podání požadavku na podporu),

2. od Školy — zejména údaje o zástupcích, kontaktních osobách a uživatelích, které Škola Poskytovateli sdělí nebo které zadá do Služby,

3. z vlastní činnosti — provozní a bezpečnostní záznamy vznikající při užívání Služby,

4. z veřejných rejstříků (obchodní rejstřík, rejstřík škol a školských zařízení, ARES) v rozsahu údajů o statutárních zástupcích.

7.2 Poskytnutí údajů podle čl. 2.1 a 2.2 je nezbytným požadavkem pro uzavření a plnění smlouvy a pro zřízení přístupu ke Službě; bez nich nelze Službu poskytnout. Poskytnutí ostatních údajů je dobrovolné, není-li dále uvedeno jinak.

---

Článek 8 — Práva subjektů údajů

8.1 Ve vztahu ke zpracování, u něhož je správcem Poskytovatel, má dotčená fyzická osoba tato práva:

1. právo na přístup k osobním údajům a na kopii zpracovávaných údajů (čl. 15 GDPR);

2. právo na opravu nepřesných a na doplnění neúplných údajů (čl. 16 GDPR);

3. právo na výmaz („právo být zapomenut") za podmínek čl. 17 GDPR; právo se neuplatní, je-li zpracování nezbytné pro splnění právní povinnosti nebo pro určení, výkon či obhajobu právních nároků;

4. právo na omezení zpracování (čl. 18 GDPR);

5. právo na přenositelnost údajů ve strukturovaném, běžně používaném a strojově čitelném formátu (čl. 20 GDPR) — pouze u zpracování založeného na souhlasu nebo na smlouvě a prováděného automatizovaně;

6. právo vznést námitku proti zpracování založenému na oprávněném zájmu (čl. 21 GDPR). Poskytovatel v takovém případě zpracování ukončí, neprokáže-li závažné oprávněné důvody, které převažují nad zájmy, právy a svobodami dotčené osoby, nebo pro určení, výkon či obhajobu právních nároků. Je-li námitka vznesena proti zpracování pro účely přímého marketingu, Poskytovatel zpracování pro tento účel ukončí vždy a bez dalšího;

7. právo odvolat souhlas, je-li zpracování na souhlasu založeno; odvoláním není dotčena zákonnost zpracování před odvoláním (čl. 7 odst. 3 GDPR);

8. právo být informován o vhodných zárukách podle čl. 46 GDPR u předání do třetí země (čl. 15 odst. 2 GDPR) — viz čl. 9.4;

9. právo podat stížnost u dozorového úřadu.

8.2 Práva lze uplatnit na kontaktech uvedených v čl. 1.2. Poskytovatel je oprávněn si přiměřeným způsobem ověřit totožnost žadatele, má-li důvodné pochybnosti; ověření slouží výhradně k ochraně údajů žadatele.

8.3 Poskytovatel se k žádosti vyjádří bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího doručení. Tuto lhůtu lze v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce; o prodloužení a jeho důvodech Poskytovatel žadatele vyrozumí do jednoho měsíce.

8.4 Vyřízení žádosti je bezplatné. Je-li žádost zjevně nedůvodná nebo nepřiměřená, zejména opakuje-li se, může Poskytovatel požadovat přiměřený poplatek nebo žádost odmítnout (čl. 12 odst. 5 GDPR).

8.5 Dozorový úřad:

Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 Praha 7
www.uoou.gov.cz

---

Článek 9 — Zpracování při použití funkcí umělé inteligence

Tento článek popisuje pouze zpracování údajů uživatelů Služby, u něhož je správcem Poskytovatel. Zpracování údajů vedených ve spisové službě Školy — včetně případného použití asistenční funkce návrhu zatřídění — je zpracováním, u něhož je správcem Škola; viz článek 10.

9.1 Automatická odpověď helpdesku

9.1.1 Helpdesk Služby obsahuje asistenční funkci, která připravuje návrh odpovědi na požadavek podpory pomocí jazykového modelu. Při jejím užití jsou modelu předávány:

1. jméno osoby, která požadavek podala,
2. e-mailová adresa této osoby,
3. celá dosavadní historie daného požadavku (ticketu) včetně veškerého textu, který do něj tato osoba vložila.

9.1.2 Rozsah předávaných údajů je shodný bez ohledu na to, kterého z poskytovatelů podle čl. 9.2 Poskytovatel v daném okamžiku použije.

9.1.3 Součástí zpracování je rovněž pomocné strojové zpracování textu prováděné Poskytovatelem na vlastní infrastruktuře; nejde o předání dalšímu zpracovateli.

9.2 Poskytovatelé jazykového modelu

9.2.1 Poskytovatel využívá pro asistenční funkce výhradně tyto schválené poskytovatele jazykového modelu:

9.2.2 Poskytovatel rozhoduje sám a plošně, kterého z těchto poskytovatelů v daném okamžiku použije, a to zejména podle dostupnosti, zátěže, kvality výstupu a ceny. Volba mezi poskytovateli uvedenými v odst. 9.2.1 se neoznamuje.

9.2.3 Ke dni účinnosti těchto Zásad Poskytovatel využívá interní jazykový model provozovaný na vlastní infrastruktuře na území Evropské unie. Neplatí a netvrdí se, že jsou všichni uvedení poskytovatelé technicky zapojeni, ani že Služba obsahuje automatické přepínání mezi nimi při nedostupnosti nebo přetížení; takový mechanismus neexistuje.

9.2.4 Zapojení poskytovatele, který v odst. 9.2.1 uveden není, Poskytovatel předem promítne do těchto Zásad a oznámí Školám postupem podle čl. 11.2; k předání osobních údajů takovému poskytovateli nedojde dříve, než tak učiní.

9.2.5 Základní podmínky. Poskytovatel se zavazuje nepředat žádný osobní údaj poskytovateli jazykového modelu, který nesplňuje současně všechny tyto podmínky: uzavřená zpracovatelská smlouva podle čl. 28 GDPR; výhradně placený režim služby; smluvní zákaz využití předaných dat k trénování, dotrénování a evaluaci modelů; nulová nebo nejkratší dostupná retence vstupů a výstupů a vyloučení jejich zpřístupnění lidským posuzovatelům; zpracování v Evropské unii nebo Evropském hospodářském prostoru, a dochází-li k předání do třetí země, jeho zajištění platnými standardními smluvními doložkami a doloženým posouzením dopadů předání; vyloučení funkcí, které tyto záruky ruší; a podmínky poskytovatele, které nebrání použití ve školním prostředí ani nezakazují zpracování osobních údajů.

9.2.6 Údaje předané podle tohoto článku nejsou používány k trénování, dotrénování, evaluaci ani ke zlepšování jakéhokoli modelu strojového učení.

9.3 Evidence použitého poskytovatele

9.3.1 Poskytovatel eviduje, který z poskytovatelů podle odst. 9.2.1 byl při zpracování použit.

9.3.2 Dotčená osoba i Škola mají právo se na tuto informaci dotázat na kontaktech podle čl. 1.2; Poskytovatel ji sdělí bezplatně do 5 pracovních dnů od doručení žádosti.

9.4 Předání do Spojených států amerických u služby Vertex AI

9.4.1 Použije-li Poskytovatel poskytovatele uvedeného pod poř. 3 v odst. 9.2.1, je smluvním partnerem irská entita a zpracování je omezeno na Evropskou unii s výhradně regionálním koncovým bodem. Na úrovni dalších zpracovatelů skupiny Google však dochází k předání osobních údajů do Spojených států amerických.

9.4.2 Právním základem tohoto předání jsou standardní smluvní doložky přijaté Evropskou komisí podle čl. 46 odst. 2 písm. c) GDPR, doplněné o doložené posouzení dopadů předání, nikoli pouze rámec EU-US Data Privacy Framework.

9.4.3 Kopii nebo popis těchto záruk poskytne Poskytovatel na žádost na kontaktech podle čl. 1.2 (čl. 15 odst. 2 a čl. 46 odst. 1 GDPR).

9.5 Vyloučení bezplatných řešení

Poskytovatel nepoužívá službu Google AI Studio ani rozhraní pro jazykové modely společnosti Google v bezplatném (unpaid) režimu, ani žádného jiného poskytovatele v bezplatném režimu nebo bez uzavřené zpracovatelské smlouvy podle čl. 28 GDPR.

9.6 Zapnutí a vypnutí funkce; postavení funkcí umělé inteligence ve Službě

9.6.1 Funkce automatické odpovědi helpdesku je zapnutá od zřízení Služby pro danou Školu a je technicky nezávislá na hlavním vypínači ostatních funkcí umělé inteligence ve Službě. Škola je oprávněna funkci odmítnout již při uzavření smlouvy vyznačením v tabulce voleb na podpisové straně smlouvy nebo kdykoli později požádat o její vypnutí; Poskytovatel ji vypne do 2 pracovních dnů od doručení žádosti a vypnutí písemně potvrdí. Po vypnutí vyřizuje požadavky výhradně obsluha člověkem.

9.6.2 Funkce umělé inteligence jsou standardní součástí Služby zahrnutou ve sjednané ceně. Neúčtuje se za ně samostatná úplata a jejich vypnutí nemá vliv na cenu Služby.

9.6.3 Vypnout nebo omezit funkce umělé inteligence může kterákoli ze stran: Škola kdykoli, bez udání důvodu, přímo ve Službě, s okamžitým účinkem; Poskytovatel rovněž, zejména z provozních, bezpečnostních nebo ekonomických důvodů, přičemž o tom Školu bez zbytečného odkladu informuje. Vypnutí nebo omezení ze strany Poskytovatele není vadou Služby.

9.6.4 Dostupnost funkcí umělé inteligence se nezaručuje. Tyto funkce jsou závislé na provozu třetích stran a mohou být nedostupné, přerušené nebo omezené. Poskytovatel usiluje o snížení dopadu výpadků tím, že má schváleno více poskytovatelů jazykového modelu a je oprávněn mezi nimi volit, nezaručuje však jejich dostupnost, nepřetržitost ani kvalitu výstupů; automatické přepínání mezi poskytovateli při výpadku není implementováno (odst. 9.2.3). Nedostupnost funkcí umělé inteligence není vadou Služby a nezapočítává se do dostupnosti Služby podle úrovně služby sjednané ve smlouvě.

9.6.5 Dostupnost Služby jako takové je sjednána ve výši 95 % kalendářního měsíce (čl. XI smlouvy a Příloha č. 1); nedosažení této úrovně zakládá Škole nárok na slevu z měsíční ceny podle slevové tabulky uvedené tamtéž, uplatněný na žádost do 30 dnů od konce dotčeného měsíce. Tento nárok náleží Škole jako smluvní straně; nejde o právo subjektu údajů podle článku 8 těchto Zásad.

9.7 Omezení okruhu poskytovatelů na pokyn Školy

Zvolí-li Škola ve smlouvě omezení okruhu poskytovatelů jazykového modelu — výhradně na interní jazykový model, nebo výhradně na poskytovatele bez předání mimo Evropskou unii a Evropský hospodářský prostor — vztahuje se toto omezení i na funkci podle čl. 9.1. Poskytovatel je takovým pokynem vázán a poskytovatele, který mu neodpovídá, nepoužije.

9.8 Kontrola člověkem

Výstup asistenční funkce je vždy pouze návrhem odpovědi; odpověď odesílá nebo potvrzuje pracovník podpory. Na žádost je vyřízení požadavku výhradně obsluhou člověkem dostupné vždy.

9.9 Doporučení uživatelům

Do požadavku podpory nevkládejte osobní údaje nad nezbytnou míru, zejména údaje o zdravotním stavu, rodná čísla a údaje třetích osob. Poskytovatel obsah požadavků automaticky nefiltruje.

9.10 Zbytková rizika

Poskytovatel v zájmu transparentnosti uvádí, že s provozem Služby a asistenčních funkcí jsou spojena zbytková rizika, která jsou ve všech dokumentech označována shodně takto:

V tabulce se „Objednatelem" rozumí Škola jako smluvní strana.

Poskytovatel se nezavazuje k odstranění zbytkových rizik v určitém termínu ani k dosažení určitého stavu. Je oprávněn opatření průběžně měnit; nesmí přitom snížit celkovou úroveň zabezpečení. Tím nejsou dotčeny povinnosti Poskytovatele podle čl. 32 GDPR, které plynou přímo z právního předpisu a nelze je smluvním ujednáním vyloučit, ani lhůty pro ohlášení porušení zabezpečení osobních údajů (48 hodin, u zvláštních kategorií osobních údajů a osobních údajů dětí 24 hodin).

Podrobný popis přijatých opatření je uveden v Dodatku C — Technická a organizační opatření zpracovatelské smlouvy (Příloha č. 2 smlouvy), kterou má Škola k dispozici.

---

Článek 10 — Údaje vedené ve spisové službě Školy: správcem je Škola

Tento článek je zásadní pro určení, na koho se má dotčená osoba obrátit.

10.1 Osobní údaje obsažené v dokumentech, spisech a evidencích, které Škola vede ve Službě — zejména údaje dětí, žáků, jejich zákonných zástupců, zaměstnanců Školy, odesílatelů a adresátů dokumentů a dalších osob —, zpracovává Poskytovatel výhradně jako zpracovatel podle čl. 28 GDPR, a to na základě doložených pokynů Školy a uzavřené zpracovatelské smlouvy.

10.2 Správcem těchto údajů je Škola. Škola určuje účely a prostředky zpracování, právní základ zpracování, dobu uchování (spisové a skartační lhůty) a rozsah zpřístupnění. Poskytovatel tyto údaje nepoužívá pro vlastní účely, nepředává je třetím osobám bez pokynu Školy a nezpřístupňuje je nad rámec nezbytný pro poskytování Služby a plnění právních povinností.

10.3 Uplatnění práv. Chce-li dotčená osoba uplatnit svá práva podle čl. 15 až 22 GDPR ve vztahu k údajům vedeným ve spisové službě Školy (například nahlédnout do dokumentu, který se jí týká, nebo žádat opravu údaje), musí se obrátit přímo na Školu jako na správce, nikoli na Poskytovatele. Kontaktní údaje Školy a jejího pověřence pro ochranu osobních údajů jsou zveřejněny na úřední desce nebo na internetových stránkách Školy.

10.4 Obdrží-li Poskytovatel žádost dotčené osoby týkající se údajů podle odst. 10.1, není oprávněn ji sám vyřídit. Poskytovatel žádost bez zbytečného odkladu předá Škole a žadatele o tomto postupu vyrozumí, případně jej odkáže na Školu.

10.5 Informační povinnost podle čl. 13 a 14 GDPR vůči osobám podle odst. 10.1 plní Škola. Tyto Zásady informační povinnost Školy nenahrazují a Škola z nich nemůže dovozovat její splnění.

10.6 Rozhodne-li Škola o zapnutí asistenční funkce návrhu zatřídění dokumentů, jde o zpracování, u něhož je správcem Škola; rozsah předávaných údajů, nastavení a jejich výchozí hodnoty upravuje Příloha č. 3 smlouvy (Podmínky asistenčních funkcí umělé inteligence) a Příloha č. 2 smlouvy (zpracovatelská smlouva). I u tohoto zpracování je součástí zpracování pomocné strojové zpracování textu prováděné Poskytovatelem na vlastní infrastruktuře; nejde o předání dalšímu zpracovateli.

10.7 Volba poskytovatele jazykového modelu u údajů ve spisové službě. Rovněž u zpracování podle odst. 10.6 volí poskytovatele jazykového modelu Poskytovatel sám a plošně ze seznamu poskytovatelů schválených Školou ke dni uzavření smlouvy; tento seznam je shodný se seznamem uvedeným v čl. 9.2.1 a je obsažen v Dodatku B Přílohy č. 2 smlouvy. Škola má právo okruh poskytovatelů omezit postupem podle Přílohy č. 3 smlouvy; takové omezení je pro Poskytovatele závazným pokynem podle čl. 28 odst. 3 písm. a) GDPR. Informační povinnost vůči osobám podle odst. 10.1 o této skutečnosti a o případném předání do Spojených států amerických podle čl. 9.4 plní Škola jako správce; Poskytovatel jí k tomu poskytne potřebné podklady.

10.8 Využití poznatků ke zlepšování zatřídění. Ve vztahu k poznatkům vznikajícím z provozu asistenční funkce podle odst. 10.6 platí toto smluvní ujednání (Objednatelem se rozumí Škola):

„Poskytovatel je oprávněn využívat poznatky vzniklé z rozhodnutí obsluhy Objednatele k průběžnému zlepšování přesnosti zatřídění. Tyto poznatky jsou tvořeny tak, aby neobsahovaly osobní údaje, jsou vedeny odděleně pro každou školu a jsou zpracovávány výhradně na infrastruktuře Poskytovatele na území Evropské unie. Osobní údaje ani obsah dokumentů Objednatele nejsou využívány k trénování, dotrénování ani evaluaci jazykových modelů, a to ani u Poskytovatele, ani u kteréhokoli poskytovatele jazykového modelu. Objednatel je oprávněn tuto funkci kdykoli vypnout a požádat o výmaz poznatků; Poskytovatel žádosti vyhoví do 5 pracovních dnů."

Poznatky jsou vedeny odděleně pro každou školu a mezi školami se nesdílejí. K tomuto bodu se váže zbytkové riziko Z-05 podle čl. 9.10.

10.9 Poskytovatel je Škole nápomocen při plnění jejích povinností podle čl. 32 až 36 GDPR (zabezpečení zpracování, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů) v rozsahu sjednaném ve zpracovatelské smlouvě.

10.11 Přístup Poskytovatele do prostředí Školy při podpoře. Požádá-li o to správce školy, může pověřená osoba Poskytovatele nahlédnout do prostředí Školy ve Službě, popřípadě v něm provést úkon, a to výhradně za účelem vyřízení požadavku Školy — vysvětlení funkce Služby, odstranění vady nebo nesprávného nastavení, obnovy dat nebo zaškolení uživatelů. Žádost správce školy je doloženým pokynem Školy podle čl. 28 odst. 3 písm. a) GDPR; doloží se požadavkem v helpdesku Služby, zprávou elektronické pošty z adresy správce školy nebo datovou zprávou. Přístup je omezen na rozsah nezbytný k vyřízení požadavku a trvá jen po dobu jeho řešení; osoby Poskytovatele jsou vázány mlčenlivostí. Úkony provedené administrativním rozhraním Poskytovatele se zaznamenávají v jeho administrátorské auditní stopě a Poskytovatel z ní Škole na žádost bezplatně předá výpis do 5 pracovních dnů. Je-li pro vyřízení požadavku zřízen osobě Poskytovatele uživatelský účet v prostředí Školy, je uveden v seznamu uživatelů dostupném správci školy, úkony provedené pod ním se zaznamenávají v auditní stopě Služby a účet se po vyřízení požadavku ruší. Služba neumožňuje Poskytovateli jednat pod identitou uživatele Školy. Podrobnosti upravuje čl. 3.3 až 3.8 zpracovatelské smlouvy (Příloha č. 2 smlouvy).

10.10 Podrobný popis zpracování prováděného Poskytovatelem jako zpracovatelem — včetně kategorií údajů, doby zpracování, zapojených dalších zpracovatelů, přijatých technických a organizačních opatření a rozsahu údajů předávaných nástrojům umělé inteligence — je obsažen ve zpracovatelské smlouvě (Příloha č. 2 smlouvy) a jejích dodatcích (Dodatek A — Popis zpracování, Dodatek B — Seznam schválených dalších zpracovatelů, Dodatek C — Technická a organizační opatření, Dodatek D — Postup při porušení zabezpečení osobních údajů), které má Škola k dispozici.

---

Článek 11 — Změny těchto Zásad

11.1 Poskytovatel je oprávněn tyto Zásady aktualizovat, zejména v souvislosti se změnou právních předpisů, změnou rozsahu zpracování nebo změnou příjemců, včetně rozšíření seznamu poskytovatelů jazykového modelu podle čl. 9.2.1.

11.2 Aktuální znění Zásad je vždy dostupné na adrese https://eduspis.eu/zasady-ochrany-osobnich-udaju. O podstatné změně Poskytovatel informuje Školy na jejich kontaktní e-mail nejméně 15 dnů před nabytím účinnosti změny.

11.3 Tyto Zásady nabývají účinnosti dnem uvedeným v záhlaví.