Ochrana osobných údajov

1. Prevádzkovateľ

Prevádzkovateľom osobných údajov podľa čl. 4 ods. 7 GDPR je:

Indícia, n.o.
Sídlo: Rovniankova 1662/15, 851 02 Bratislava - Petržalka
IČO: 45736286
Email: indicia@indicia.sk
Telefón: +421 948 895 170
(ďalej len „Prevádzkovateľ")

Prevádzkovateľ určuje účely a prostriedky spracúvania osobných údajov prostredníctvom webovej aplikácie Tvorivá trieda (ďalej len „Aplikácia").

2. Zodpovedná osoba (DPO)

Podľa čl. 37 ods. 1 písm. b) a c) GDPR, Prevádzkovateľ nemá povinnosť ustanoviť zodpovednú osobu (DPO), nakoľko:

• Hlavnou činnosťou Prevádzkovateľa nie je spracúvanie osobných údajov, ale realizácia vzdelávacích programov pre budúcich učiteľov
• Prevádzkovateľ nespracúva osobné údaje vo veľkom rozsahu — systém slúži maximálne niekoľkým stovkám študentov ročne
• Nejde o systematické monitorovanie dotknutých osôb v zmysle čl. 37 ods. 1 písm. c) GDPR

Kontaktnou osobou pre všetky otázky týkajúce sa ochrany osobných údajov je:

Email: indicia@indicia.sk
Telefón: +421 948 895 170

3. Pojmy: prevádzkovateľ a sprostredkovateľ

Pre účely týchto zásad:

• Prevádzkovateľ (čl. 4 ods. 7 GDPR) — Indícia, n.o. — určuje účely a prostriedky spracúvania osobných údajov
• Sprostredkovateľ (čl. 4 ods. 8 GDPR) — tretia strana, ktorá spracúva osobné údaje v mene Prevádzkovateľa na základe písomnej zmluvy o spracúvaní údajov (DPA) podľa čl. 28 GDPR. Ide najmä o poskytovateľov technologických služieb uvedených v časti 6
• Dotknutá osoba (čl. 4 ods. 1 GDPR) — fyzická osoba, ktorej osobné údaje sa spracúvajú (študent, učiteľ, koordinátor)

4. Účely a právny základ spracúvania

Vaše osobné údaje spracúvame na nasledovné účely podľa čl. 6 ods. 1 GDPR:

Kde je právnym základom súhlas (čl. 6 ods. 1 písm. a), máte právo tento súhlas kedykoľvek odvolať bez vplyvu na zákonnosť spracúvania vykonaného pred jeho odvolaním. Odvolanie súhlasu je rovnako jednoduché ako jeho udelenie.

Kde je právnym základom oprávnený záujem (čl. 6 ods. 1 písm. f), Prevádzkovateľ vykonal posúdenie oprávneného záujmu (balancing test) a záujem Prevádzkovateľa neprevyšuje práva a záujmy dotknutých osôb. Na vyžiadanie poskytneme bližšie informácie o vykonanom posúdení.

5. Kategórie osobných údajov

Spracúvame nasledovné kategórie údajov:

• Identifikačné údaje: meno, priezvisko, emailová adresa
• Kontaktné údaje: telefónne číslo (nepovinné, poskytnuté dobrovoľne)
• Údaje o štúdiu: názov univerzity, študijný odbor, ročník štúdia
• Údaje o aktivitách v programe: záznamy z workshopov, konferencií, školení, pedagogickej praxe vrátane názvov podujatí, dátumov, počtu hodín, mien školiteľov
• Fotografie: fotografie papierových indexových knižiek obsahujúce ručne písaný text a podpisy
• Hlasové záznamy: dočasné nahrávky hlasových hodnotení učiteľov — vymazané ihneď po prepise na text, na serveri sa neuchovávajú
• Hodnotenia a reflexie: textové hodnotenia učiteľov, sebareflexie študentov
• Technické údaje: IP adresa, identifikátor relácie (session), typ a verzia prehliadača (user agent), záznamy o aktivite v systéme (audit log)
• Údaje o súhlasoch: typ udeleného súhlasu, dátum a čas udelenia/odvolania, IP adresa v čase udelenia

6. Príjemcovia a sprostredkovatelia

Vaše osobné údaje môžu byť sprístupnené nasledovným subjektom:

Interní príjemcovia (v rámci programu)

• Koordinátori programu — prístup ku všetkým údajom študentov zapísaných v programe na účely administrácie a rozhodovania o štipendiách
• Pridelení cvičný učitelia — prístup iba k údajom im priradených študentov na účely hodnotenia a mentoringu

Sprostredkovatelia (externé služby)

S každým sprostredkovateľom je uzavretá zmluva o spracúvaní osobných údajov (DPA) podľa čl. 28 GDPR:

• OpenAI, L.L.C. (San Francisco, USA) — sprostredkovateľ pre AI spracovanie:
  • Vision API — rozpoznávanie textu z fotografií indexov
  • Whisper API — prepis hlasových hodnotení na text
  • DPA podpísaná v súlade s čl. 28 GDPR; údaje spracúvané iba na základe pokynov Prevádzkovateľa
  • OpenAI sa zmluvne zaväzuje nepoužívať údaje na trénovanie modelov (Zero Data Retention API)
• Poskytovateľ webhostingu — technická infraštruktúra na uloženie údajov a prevádzku Aplikácie (server v EÚ)
• Poskytovateľ emailovej služby (SMTP) — doručovanie systémových notifikácií (potvrdenia, upozornenia)

Prevádzkovateľ nepredáva, neprenajíma a inak nezdieľa vaše osobné údaje so žiadnymi tretími stranami na marketingové účely.

7. Prenos údajov do tretích krajín

Pri využívaní služieb OpenAI môžu byť vaše údaje (fotografie indexov, hlasové záznamy) prenesené do Spojených štátov amerických.

Právnym základom pre prenos je:

• Rozhodnutie o primeranosti — OpenAI je certifikovaný v rámci EU-US Data Privacy Framework (DPF) podľa čl. 45 GDPR, na základe vykonávacieho rozhodnutia Európskej komisie (EU) 2023/1795 z 10. júla 2023
• Štandardné zmluvné doložky (SCC) — ako doplnkový záruky sú súčasťou DPA s OpenAI podľa čl. 46 ods. 2 písm. c) GDPR, v znení vykonávacieho rozhodnutia Komisie (EU) 2021/914

Žiadne iné osobné údaje nie sú prenášané mimo Európsky hospodársky priestor (EHP). Webhosting a emailová služba sú prevádzkované na serveroch v EÚ.

8. Doba uchovávania

Osobné údaje uchovávame iba po dobu nevyhnutnú na splnenie účelu ich spracúvania:

Po uplynutí doby uchovávania sú údaje automaticky vymazané prostredníctvom pravidelnej úlohy (cleanup script). V prípade schválenej žiadosti o vymazanie (čl. 17 GDPR) sú údaje vymazané bezodkladne.

9. Automatizované rozhodovanie a profilovanie

Aplikácia využíva umelú inteligenciu (AI) na nasledovné účely:

• Rozpoznávanie textu (OCR) z fotografií papierových indexov — výsledky vždy vyžadujú potvrdenie alebo opravu používateľom pred uložením
• Prepis reči na text z hlasových hodnotení učiteľov — uchovávaný je iba textový prepis, nie nahrávka

Systém neprijíma žiadne automatizované rozhodnutia s právnym alebo podobne významným účinkom na dotknuté osoby v zmysle čl. 22 GDPR. Konkrétne:

• Systém nikdy automaticky nerozhoduje o pridelení alebo zamietnutí štipendia — konečné rozhodnutie robí výlučne koordinátor programu (človek) na základe komplexného posúdenia
• AI výstupy slúžia iba ako pomocný nástroj na digitalizáciu ručne písaných záznamov — nie sú záväzné
• Systém nevykonáva profilovanie v zmysle čl. 4 ods. 4 GDPR

10. Práva dotknutých osôb

Podľa kapitoly III GDPR (čl. 15–22) a § 19–28 zákona č. 18/2018 Z.z. máte nasledovné práva:

• Právo na prístup k údajom (čl. 15 GDPR) — máte právo získať potvrdenie o tom, či sa spracúvajú vaše osobné údaje, a ak áno, získať k nim prístup spolu s informáciami o účeloch spracúvania, kategóriách údajov, príjemcoch a dobe uchovávania
• Právo na opravu (čl. 16 GDPR) — máte právo na opravu nepresných osobných údajov a na doplnenie neúplných údajov. V Aplikácii môžete opraviť výsledky OCR rozpoznávania pred potvrdením a upraviť údaje vo svojom profile.
• Právo na vymazanie (čl. 17 GDPR) — máte právo požiadať o vymazanie vašich osobných údajov, ak: a) už nie sú potrebné na účel, na ktorý sa spracúvali; b) odvoláte súhlas; c) namietate proti spracúvaniu a neexistujú prevažujúce oprávnené dôvody; d) údaje boli spracúvané nezákonne. Podať žiadosť o vymazanie
• Právo na obmedzenie spracúvania (čl. 18 GDPR) — máte právo požiadať o obmedzenie spracúvania, napr. ak napadnete správnosť údajov alebo zákonnosť spracúvania
• Právo na prenosnosť údajov (čl. 20 GDPR) — máte právo získať vaše osobné údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (JSON) a preniesť ich k inému prevádzkovateľovi. Stiahnuť vaše údaje
• Právo namietať (čl. 21 GDPR) — máte právo kedykoľvek namietať proti spracúvaniu vašich údajov na základe oprávneného záujmu (čl. 6 ods. 1 písm. f). Prevádzkovateľ prestane údaje spracúvať, pokiaľ nepreukáže závažné oprávnené dôvody prevažujúce nad záujmami dotknutej osoby.
• Právo odvolať súhlas (čl. 7 ods. 3 GDPR) — ak je spracúvanie založené na súhlase, máte právo súhlas kedykoľvek odvolať. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vykonaného pred jeho odvolaním. Odvolanie je rovnako jednoduché ako udelenie — kontaktujte nás emailom alebo využite príslušné funkcie v Aplikácii.

Ako si uplatniť práva

Svoje práva si môžete uplatniť:

• Prostredníctvom Aplikácie — funkcie na export údajov a žiadosť o vymazanie
• Emailom na adrese indicia@indicia.sk
• Písomne na adresu sídla Prevádzkovateľa

Na vašu žiadosť odpovieme bez zbytočného odkladu, najneskôr do 30 dní od jej doručenia (čl. 12 ods. 3 GDPR). V odôvodnených prípadoch možno lehotu predĺžiť o ďalšie 2 mesiace, o čom vás budeme informovať.

Uplatňovanie práv je bezplatné. V prípade zjavne neopodstatnených alebo neprimeraných žiadostí (čl. 12 ods. 5 GDPR) si Prevádzkovateľ vyhradzuje právo účtovať primeraný poplatok alebo žiadosť odmietnuť.

11. Právo podať sťažnosť dozornému orgánu

Podľa čl. 77 GDPR a § 100 zákona č. 18/2018 Z.z. máte právo podať sťažnosť dozornému orgánu, ak sa domnievate, že spracúvanie vašich osobných údajov porušuje GDPR. Sťažnosť podávate na:

Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27
Slovenská republika
Tel.: +421 2 3231 3214
Email: statny.dozor@pdp.gov.sk
Web: https://dataprotection.gov.sk

Sťažnosť môžete podať aj v členskom štáte EÚ, v ktorom máte obvyklý pobyt alebo pracovisko.

12. Bezpečnosť osobných údajov

Prevádzkovateľ prijal primerané technické a organizačné opatrenia na zabezpečenie ochrany osobných údajov v súlade s čl. 32 GDPR, vrátane:

Technické opatrenia

• Šifrovanie pri prenose — všetka komunikácia prebieha cez HTTPS (TLS 1.2+)
• Šifrovanie hesiel — heslá sú hašované algoritmom Argon2ID (aktuálne najsilnejší odporúčaný algoritmus)
• Ochrana pred CSRF — všetky formuláre sú chránené tokenom proti Cross-Site Request Forgery
• Dvojfaktorová autentifikácia (2FA) — povinná pre koordinátorov programu (TOTP, RFC 6238)
• Automatické vymazávanie — pravidelná úloha (cron) automaticky maže dočasné súbory, expirované tokeny, staré relácie a hlasové záznamy
• Audit log — zaznamenávanie všetkých citlivých operácií (prihlásenia, zmeny údajov, schvaľovania, exporty)
• Bezpečnosť cookies — session cookies nastavené s atribútmi HttpOnly, Secure a SameSite=Lax
• Prepared statements — všetky databázové dotazy používajú parametrizované dotazy na prevenciu SQL injection

Organizačné opatrenia

• Princíp minimálnych oprávnení — každá rola (študent, učiteľ, koordinátor) vidí iba údaje nevyhnutné na jej funkciu
• Obmedzený prístup učiteľov — cvičný učitelia majú prístup iba k údajom im priradených študentov
• Pozvánkový systém — prístup do Aplikácie iba na základe pozvánky od koordinátora; nie je možná voľná registrácia
• Pravidelné zálohovanie databázy

13. Posúdenie vplyvu na ochranu údajov (DPIA)

Vzhľadom na povahu spracúvania — využívanie nových technológií (AI/OCR), spracúvanie biometrických údajov (hlasové záznamy) a rozhodovanie súvisiace s finančným plnením (štipendium) — Prevádzkovateľ vykonal posúdenie vplyvu na ochranu osobných údajov (DPIA) podľa čl. 35 GDPR pred spustením systému do prevádzky.

DPIA identifikovala nasledovné kľúčové riziká a prijaté opatrenia:

• AI spracovanie fotografií — riziko nepresnosti mitigované povinným potvrdením výsledkov používateľom
• Hlasové záznamy — riziko uchovávania biometrických údajov mitigované okamžitým vymazaním po prepise
• Prenos údajov do USA — mitigované DPF certifikáciou a SCC s OpenAI
• Rozhodovanie o štipendiách — mitigované zákazom automatizovaného rozhodovania; koordinátor vždy rozhoduje manuálne

Dokumentácia DPIA je k dispozícii na vyžiadanie u Prevádzkovateľa.

14. Porušenie ochrany osobných údajov

V prípade porušenia ochrany osobných údajov (data breach) v zmysle čl. 4 ods. 12 GDPR Prevádzkovateľ:

• Oznámi porušenie Úradu na ochranu osobných údajov SR bez zbytočného odkladu, najneskôr do 72 hodín od zistenia, v súlade s čl. 33 GDPR, pokiaľ porušenie pravdepodobne nepovedie k riziku pre práva a slobody dotknutých osôb
• Ak porušenie pravdepodobne povedie k vysokému riziku pre práva a slobody dotknutých osôb, bezodkladne informuje dotknuté osoby v súlade s čl. 34 GDPR
• Zdokumentuje všetky porušenia vrátane okolností, účinkov a prijatých nápravných opatrení v súlade s čl. 33 ods. 5 GDPR

Prevádzkovateľ má zavedený interný postup na detekciu, hlásenie a riešenie bezpečnostných incidentov.

15. Spracúvanie fotografií a podpisy tretích osôb

Fotografie papierových indexov môžu obsahovať ručne písané podpisy školiteľov a externých lektorov (tretích osôb). Prevádzkovateľ upozorňuje:

• AI/OCR systém neextrahuje, neukladá ani nespracúva podpisy samostatne — slúži výlučne na rozpoznávanie textového obsahu (názvy podujatí, dátumy, počty hodín)
• Podpisy na fotografiách slúžia iba ako vizuálne potvrdenie účasti a systém ich neprevádza do digitálnej podoby
• Fotografie sú uchovávané len počas hodnotiaceho obdobia a následne automaticky vymazané
• Mená školiteľov, ktoré sú súčasťou záznamu, sa spracúvajú na základe oprávneného záujmu Prevádzkovateľa na overenie účasti študenta (čl. 6 ods. 1 písm. f GDPR)

16. Osobitné kategórie údajov — hlasové záznamy

Funkcia hlasového hodnotenia spracúva hlasový záznam učiteľa, ktorý môže byť považovaný za biometrický údaj podľa čl. 9 GDPR. Z tohto dôvodu:

• Pred prvým použitím funkcie hlasového hodnotenia je učiteľ požiadaný o výslovný a informovaný súhlas podľa čl. 9 ods. 2 písm. a) GDPR
• Súhlas je dobrovoľný — učiteľ môže namiesto hlasového hodnotenia použiť textové hodnotenie bez akýchkoľvek následkov
• Hlasový záznam je odoslaný na prepis a ihneď vymazaný zo servera — nikdy nie je trvalo uložený
• Na serveri zostáva iba textový prepis, ktorý už nie je biometrickým údajom
• Súhlas je možné kedykoľvek odvolať emailom na indicia@indicia.sk

17. Maloletí

Aplikácia je určená pre univerzitných študentov, ktorí sú spravidla starší ako 18 rokov. Prevádzkovateľ vedome nespracúva osobné údaje osôb mladších ako 16 rokov. Ak sa dozviete, že osoba mladšia ako 16 rokov poskytla Prevádzkovateľovi osobné údaje, kontaktujte nás na indicia@indicia.sk a údaje budú bezodkladne vymazané.

18. Zmeny zásad

Prevádzkovateľ si vyhradzuje právo tieto zásady priebežne aktualizovať. O významných zmenách (zmena účelov spracúvania, nový príjemca, zmena právneho základu) budú používatelia informovaní:

• Emailom na adresu registrovanú v systéme
• Oznámením v Aplikácii pri najbližšom prihlásení

V prípade zmien, ktoré vyžadujú nový súhlas, bude súhlas vyžiadaný pred pokračovaním v spracúvaní.

Dátum poslednej aktualizácie je vždy uvedený v záhlaví tohto dokumentu.

19. Kontakt

V prípade akýchkoľvek otázok, žiadostí alebo sťažností týkajúcich sa ochrany osobných údajov nás kontaktujte:

Indícia, n.o.
Rovniankova 1662/15, 851 02 Bratislava - Petržalka
Email: indicia@indicia.sk
Telefón: +421 948 895 170