Ugovor o obradi podataka o ličnosti

1. Pojmovi

Pojmovi „podatak o ličnosti", „obrada", „rukovalac", „obrađivač", „podobrađivač", „lice na koje se podaci odnose" i „povreda podataka o ličnosti" imaju značenje iz primjenjivog zakona o zaštiti podataka.

2. Predmet i trajanje

Predmet je obrada podataka o ličnosti pozivalaca radi pružanja usluge VocaFlow: AI agenta koji prima pozive Klijenta i dashboarda. Obrada traje dok traje ugovorni odnos, uvećano za rok brisanja iz dijela 9.

3. Priroda i svrha obrade

VocaFlow obrađuje podatke radi:

• prijema i vođenja telefonskih razgovora u ime Klijenta;
• razumijevanja govora i generisanja odgovora pomoću vještačke inteligencije;
• transkripcije razgovora i prikaza u dashboardu Klijenta;
• zakazivanja termina u kalendar Klijenta i bilježenja zahtjeva za povratni poziv;
• snimanja razgovora radi provjere kvaliteta i razjašnjavanja nesporazuma;
• pregleda kvaliteta i ispravljanja grešaka agenta (dio 5).

Obrada je automatizovana i odvija se u realnom vremenu. Agent ne donosi odluke koje imaju pravno dejstvo na pozivaoca.

4. Vrste podataka i kategorije lica

Kategorije lica: pozivaoci Klijenta (pacijenti, kupci, drugi) i lica koja pozivalac pomene u razgovoru.

Vrste podataka:

• broj telefona s kojeg se zove, ime i broj za kontakt koje pozivalac saopšti;
• sadržaj razgovora: glas (obrađuje se u realnom vremenu), transkript i audio snimak;
• podaci o terminu ili zahtjevu: usluga, datum i vrijeme, razlog poziva;
• podaci o pozivu: vrijeme, trajanje, ishod, jezik.

Posebne vrste podataka: zavisno od djelatnosti Klijenta, razgovor može sadržati podatke o zdravlju. Obrađuju se isključivo radi pružanja usluge i po uputstvima Klijenta, koji je dužan da za njih obezbijedi poseban pravni osnov.

5. Uputstva Rukovaoca

VocaFlow obrađuje podatke isključivo po dokumentovanim uputstvima Klijenta. Uputstva čine ovaj Ugovor o obradi, Uslovi korišćenja, podešavanja agenta i pisani zahtjevi Klijenta. VocaFlow obavještava Klijenta ako smatra da neko uputstvo krši propise o zaštiti podataka.

Klijent ovim daje uputstvo da ovlašćeni članovi VocaFlow tima mogu pregledati transkripte i snimke radi provjere kvaliteta i ispravljanja grešaka agenta, u okviru rokova čuvanja. Klijent može to uputstvo opozvati pisanim zahtjevom.

VocaFlow ne koristi podatke pozivalaca za sopstvene svrhe, ne prodaje ih i ne daje ih trećim licima radi treniranja njihovih modela.

6. Obaveze Rukovaoca

Klijent garantuje da:

• ima pravni osnov za obradu podataka svojih pozivalaca, uključujući snimanje i podatke o zdravlju;
• obavještava pozivaoce o obradi u skladu sa propisima koji se na njega primjenjuju (agent se po podrazumijevanom podešavanju predstavlja kao virtuelni asistent);
• daje uputstva koja su u skladu sa zakonom i tačne podatke za rad agenta.

7. Obaveze Obrađivača

VocaFlow se obavezuje da:

• obrađuje podatke samo po uputstvima Klijenta;
• obezbijedi da lica sa pristupom podacima budu obavezana na povjerljivost;
• primjenjuje tehničke i organizacione mjere iz Priloga II;
• angažuje podobrađivače samo pod uslovima iz dijela 8;
• pomaže Klijentu, u razumnoj mjeri, u ostvarivanju prava lica, bezbjednosti obrade, prijavi povreda i procjeni uticaja na zaštitu podataka;
• briše ili vraća podatke po prestanku usluge (dio 9);
• stavi na raspolaganje informacije potrebne za dokazivanje usklađenosti (dio 11).

8. Podobrađivači

Klijent daje opšte ovlašćenje za angažovanje podobrađivača navedenih u Prilogu III. Sa svakim od njih VocaFlow ima ugovor sa obavezama zaštite podataka koje nisu blaže od ovih. O namjeravanom dodavanju ili zamjeni podobrađivača obavještavamo Klijenta e‑poštom najmanje 30 dana unaprijed. Klijent može u tom roku uložiti opravdan prigovor; ako ne nađemo rješenje, Klijent može raskinuti ugovor bez troškova raskida.

9. Rokovi čuvanja, brisanje i vraćanje

Tokom trajanja ugovora VocaFlow automatski briše:

• transkript, broj telefona, ime i druge lične podatke iz poziva 90 dana od poziva;
• audio snimke 30 dana od poziva;
• lične podatke iz zatvorenih zahtjeva i prijava 90 dana od zatvaranja.

Po prestanku usluge VocaFlow, po izboru Klijenta, vraća podatke (izvoz iz dashboarda) ili ih briše, zajedno sa kopijama, u roku od 30 dana, osim ako zakon nalaže dalje čuvanje. Rezervne kopije baze se automatski prepisuju, pa obrisani podaci iz njih nestaju najkasnije 30 dana kasnije.

10. Prava lica

Uzimajući u obzir prirodu obrade, VocaFlow pomaže Klijentu da odgovori na zahtjeve lica (pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor). Ako se lice obrati direktno VocaFlow‑u, VocaFlow zahtjev bez odlaganja prosljeđuje Klijentu i ne odgovara na njega samostalno, osim po uputstvu Klijenta.

11. Provjere

VocaFlow Klijentu na razuman zahtjev daje informacije potrebne za dokazivanje usklađenosti i omogućava provjeru, uz najavu od najmanje 30 dana, čuvanje povjerljivosti i bez ugrožavanja podataka drugih klijenata. Provjera se po pravilu vrši najviše jednom godišnje, osim nakon povrede podataka ili na zahtjev nadzornog organa. Troškove provjere snosi Klijent.

12. Povreda podataka

VocaFlow obavještava Klijenta o povredi podataka koja pogađa podatke njegovih pozivalaca bez nepotrebnog odlaganja, a najkasnije u roku od 48 sati od saznanja. Obavještenje sadrži opis povrede, vjerovatne posljedice i preduzete ili predložene mjere. Prijavu nadzornom organu i licima vrši Klijent kao rukovalac, osim ako se drukčije dogovori; VocaFlow u tome sarađuje.

13. Prenos podataka van zemlje

Podaci se čuvaju u Evropskoj uniji. Pojedini podobrađivači (Prilog III) obrađuju podatke u SAD. Takvi prenosi zasnivaju se na standardnim ugovornim klauzulama Evropske komisije ili, gdje je podobrađivač certifikovan, na okviru EU–SAD za privatnost podataka.

14. Odgovornost

Odgovornost strana po ovom Ugovoru o obradi podliježe ograničenjima iz Uslova korišćenja, osim odgovornosti koja se po prinudnim propisima ne može ograničiti.

15. Trajanje

Ugovor o obradi važi dok VocaFlow obrađuje podatke u ime Klijenta, a obaveze povjerljivosti i brisanja i nakon toga.

Prilog I: Opis obrade

Prilog II: Tehničke i organizacione mjere

• Podaci se čuvaju na serverima u Evropskoj uniji (Njemačka, Francuska).
• Šifrovanje pri prenosu (TLS); pristupni tokeni i lozinke integracija šifrovani su i pri čuvanju (AES‑256‑GCM).
• Iz kalendara Klijenta čita se samo zauzetost, bez sadržaja događaja.
• Pristup sistemima imaju samo ovlašćena lica; ključevi su razdvojeni po namjeni, a administrativne funkcije zaštićene ključem.
• Automatsko brisanje po rokovima iz dijela 9, uključujući snimke i serverske logove (30 dana).
• Prijave iz poziva čuvaju se na disku odmah pri upisu, tako da prekid rada servera ne izgubi zabilježen zahtjev.
• Rezervne kopije baze i nadzor rada sistema.
• Obaveza povjerljivosti za lica sa pristupom i za podobrađivače.
• Postupak za reagovanje na incidente i prijavu povrede u roku od 48 sati.

Prilog III: Podobrađivači

Vidi dokument „Lista podobrađivača", koji je sastavni dio ovog Ugovora o obradi.

Potpisi (ako se Ugovor o obradi potpisuje u pisanoj formi)