Informace o zpracování osobních údajů
Registrace, webové služby a ENERGYLION Atlas AI
Důležité: Tento dokument není univerzálním souhlasem se vším zpracováním. Údaje nezbytné pro účet a objednanou službu se zpracovávají zejména pro uzavření a plnění smlouvy a splnění zákonných povinností. Nepovinné marketingové účely jsou odděleny.
Před nasazením: Doplnit přesný seznam provozních, cloudových a AI dodavatelů, dobu výmazu ze záloh, finální katalog služeb a datum účinnosti. Ověřit, že každý použitý AI model a hosting skutečně zpracovává data pouze v EU/EHP a nepoužívá zákaznická data k trénování.
1. Kdo osobní údaje zpracovává
Správcem osobních údajů uživatelů webového rozhraní je ENERGYLION s.r.o., IČO 19172702, se sídlem Jankovcova 938/18a, Holešovice, 170 00 Praha 7 (dále jen „ENERGYLION“ nebo „správce“). Dotazy a žádosti týkající se osobních údajů lze zaslat na slovak@energylion.cz.
Zákazníky jsou zejména obce, města, kraje a jimi zřízené či vlastněné společnosti na území České republiky. Subjektem údajů je typicky fyzická osoba jednající za zákazníka nebo uživatel zákaznického účtu.
2. Rozsah zpracovávaných údajů
ENERGYLION může zpracovávat zejména jméno a příjmení uživatele, pracovní nebo obecní e-mail, telefon, název organizace, IČO, adresu webových stránek organizace, přihlašovací a bezpečnostní údaje, údaje o přidělených oprávněních, historii přihlášení a používání služby, servisní komunikaci, informace o objednávkách, platbách a smluvním vztahu.
Hesla se mají ukládat pouze v bezpečně odvozené podobě, nikoli jako čitelný text. Do běžných provozních záznamů se nemá ukládat obsah hesel ani úplný obsah nahraných dokumentů.
Podklady nahrané zákazníkem, zadání, výstupy analýz a výstupy Atlas AI nejsou podle zamýšleného způsobu použití určeny k tomu, aby obsahovaly osobní údaje. Zákazník je povinen před nahráním osobní údaje odstranit nebo anonymizovat. Pokud se ENERGYLION dozví, že podklady osobní údaje obsahují, zajistí jejich omezení, vrácení či bezpečný výmaz a podle okolností se zákazníkem upraví vztah správce a zpracovatele.
3. Účely a právní základy
Položka
Informace
Registrace a správa účtu
Vytvoření účtu, ověření uživatele, přihlášení, správa oprávnění a zákaznická podpora. Právní základ: jednání před uzavřením smlouvy a plnění smlouvy; u kontaktních osob zákazníka také oprávněný zájem na řádné komunikaci.
Poskytování placených služeb
Příprava analýz, zadávacích dokumentací, vyhodnocování výběrových řízení, provoz Atlas AI a dalších sjednaných služeb. Právní základ: plnění smlouvy a oprávněný zájem na dokumentaci plnění.
Bezpečnost a provoz
Ochrana účtů, prevence zneužití, diagnostika chyb, omezené provozní logy a ochrana právních nároků. Právní základ: oprávněný zájem správce a zákazníků na bezpečné službě.
Účetnictví a plnění práva
Fakturace, účetní a daňové doklady, součinnost orgánům veřejné moci. Právní základ: splnění právní povinnosti.
Vlastní obdobné služby
Zasílání nabídek vlastních obdobných služeb stávajícím zákazníkům s možností jednoduchého odmítnutí. Právní základ: oprávněný zájem a pravidla elektronických obchodních sdělení.
Newsletter a jiné nabídky
Rozesílání nad rámec zákaznické výjimky. Právní základ: dobrovolný souhlas, který lze kdykoli odvolat.
Marketingové profilování
Vyhodnocení pracovních kontaktních údajů, typu organizace a využívání služby za účelem personalizace nabídek. Právní základ: samostatný dobrovolný souhlas.
4. Registrace a používání webového rozhraní
Účet se vytváří pro konkrétního uživatele oprávněného jednat za zákazníka nebo používat službu jeho jménem. K přihlášení se používá obecní či pracovní e-mail a heslo. Uživatel nesmí účet sdílet, musí chránit přístupové údaje a bez prodlení oznámit podezření na zneužití.
Povinná pole registračního formuláře musí být omezena na údaje nezbytné pro uzavření smlouvy, ověření oprávnění a poskytování služby. Bez těchto údajů nemusí být možné účet vytvořit nebo službu poskytovat. Nepovinné marketingové volby nesmějí být podmínkou registrace.
5. Webové služby a zákaznické podklady
Zákazník může prostřednictvím zabezpečeného webového rozhraní nahrávat technické, ekonomické a zadávací podklady a objednávat zejména energetické analýzy, přípravu zadávacích dokumentací, vyhodnocování výběrových řízení a výstupy Atlas AI. Konkrétní rozsah a cena služby se řídí smlouvou, objednávkou nebo aktuální nabídkou.
Výsledky jsou v systému zpřístupněny pouze oprávněným uživatelům příslušného zákazníka a pověřeným osobám ENERGYLION v rozsahu nezbytném pro provoz, podporu, bezpečnost nebo sjednané odborné zpracování. ENERGYLION výsledky neposkytuje jiným zákazníkům ani je nepoužívá k trénování AI modelů.
6. ENERGYLION Atlas AI
Atlas AI může podle zvolené varianty zpracovat nahrané podklady automatizovaně a připravit analýzu, návrh dokumentace, hodnocení nebo doporučený výsledek. Mohou být používány různé aktuálně dostupné modely.
Omezení výstupů AI: Výstup Atlas AI může obsahovat chyby, neúplnosti nebo nesprávný právní či odborný závěr. Nenahrazuje právní stanovisko, rozhodnutí orgánu veřejné moci ani povinné odborné posouzení. Zákazník odpovídá za ověření výstupu před jeho použitím, zejména ve veřejné zakázce nebo jiném postupu s právními účinky.
Ve variantě ATLAS nemusí výstup před předáním kontrolovat člověk. Atlas AI může doporučit výsledek vyhodnocení, ale samotný systém ENERGYLION nemá bez výslovného pokynu zákazníka jménem zákazníka učinit finální právní úkon, rozhodnout o právech fyzické osoby ani automaticky odeslat rozhodnutí účastníkům řízení. Zákazník má zajistit lidské posouzení všude, kde to vyžaduje právo, zadávací podmínky, vnitřní pravidla nebo význam rozhodnutí.
Protože mají být podklady bez osobních údajů a hodnocení se týká zpravidla právnických osob či nabídek, nejde podle zamýšleného provozu o automatizované individuální rozhodování o fyzické osobě podle čl. 22 GDPR. Pokud by konkrétní použití mohlo významně rozhodovat o fyzické osobě, nesmí být provedeno bez předchozího právního posouzení, vhodných záruk a možnosti lidského zásahu.
7. Příjemci, dodavatelé a předávání
K údajům mohou mít přístup pověření zaměstnanci a spolupracovníci ENERGYLION a smluvní dodavatelé hostingu, cloudové infrastruktury, e-mailových, bezpečnostních, podpůrných a AI služeb, vždy pouze v nezbytném rozsahu a na základě odpovídajícího smluvního závazku mlčenlivosti a ochrany údajů.
ENERGYLION deklaruje ukládání a zpracování dat na serverech v EU a nepředávání osobních údajů mimo EU/EHP. Před spuštěním služby musí být ověřen a v interní evidenci a případně v tomto dokumentu uveden skutečný řetězec všech dodavatelů a subdodavatelů. Změna dodavatele nesmí vést k předání mimo EU/EHP bez splnění podmínek kapitoly V GDPR a předchozí aktualizace informací zákazníkům.
8. Doba uchování
Položka
Informace
Účet a registrační údaje
Po dobu aktivního účtu; po žádosti o zrušení nebo ukončení účtu výmaz z aktivních systémů nejpozději do 48 hodin, nejsou-li potřebné z jiného zákonného důvodu.
Nahrané dokumenty a výstupy
Po dobu aktivního účtu; následně výmaz z aktivních systémů spolu s účtem do 48 hodin, pokud zákazník nepožádá o dřívější výmaz nebo smlouva nestanoví kratší dobu.
Provozní a bezpečnostní logy
Po dobu aktivního účtu a dále jen po přiměřenou dobu nezbytnou pro bezpečnost a řešení incidentů. Konkrétní lhůtu je nutné před spuštěním doplnit.
Záložní kopie
Údaje mohou dočasně přetrvat v zabezpečených zálohách do jejich pravidelného přepsání. Konkrétní maximální cyklus výmazu je nutné před spuštěním doplnit.
Účetní a daňové doklady
Po dobu stanovenou příslušnými účetními a daňovými předpisy, i po zrušení účtu.
Právní nároky
Po dobu běhu relevantních promlčecích lhůt a případného řízení, pokud je uchování nezbytné pro určení, výkon nebo obhajobu právních nároků.
Marketingový souhlas
Do odvolání souhlasu; informace nutná k doložení souhlasu nebo respektování odhlášení může být uchována po přiměřenou dobu.
9. Zabezpečení
ENERGYLION přijímá přiměřená technická a organizační opatření, zejména řízení přístupů podle rolí, oddělení zákaznických prostorů, šifrovaný přenos, bezpečné ukládání přihlašovacích údajů, evidenci přístupů, zálohování, řízení dodavatelů, pravidelné aktualizace a postupy pro řešení bezpečnostních incidentů. Rozsah opatření se průběžně přizpůsobuje rizikům a povaze služby.
10. Práva fyzických osob
Fyzická osoba může požadovat přístup ke svým osobním údajům, jejich opravu, výmaz nebo omezení zpracování, případně přenositelnost údajů, jsou-li splněny zákonné podmínky. Může vznést námitku proti zpracování založenému na oprávněném zájmu a kdykoli bezplatně vznést námitku proti přímému marketingu včetně souvisejícího profilování.
Souhlas lze kdykoli odvolat, aniž je tím dotčena zákonnost dřívějšího zpracování. Žádost lze poslat na slovak@energylion.cz. Totožnost žadatele může být přiměřeně ověřena. Osoba má rovněž právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, www.uoou.gov.cz.
11. Cookies a změny dokumentu
Web má podle současného zadání používat pouze technicky nezbytné prostředky pro přihlášení, bezpečnost a udržení relace. Pokud budou později nasazeny analytické, reklamní nebo jiné volitelné cookies či obdobné technologie, musí být před jejich aktivací zaveden odpovídající informační text, správa souhlasů a možnost volbu změnit.
ENERGYLION může tento dokument přiměřeně aktualizovat, zejména při změně služeb, dodavatelů nebo právních požadavků. Podstatné změny oznámí uživatelům srozumitelným způsobem před jejich účinností, pokud to okolnosti umožňují.
Příloha A – Doporučené texty v registraci
Níže uvedené volby mají být zobrazeny odděleně. Povinné potvrzení seznámení se zásadami nesmí být formulováno jako souhlas se zpracováním nezbytným pro službu. Nepovinné volby nesmějí být předem zaškrtnuté.
Povinná potvrzení
- Potvrzuji, že jsem oprávněn/a založit účet jménem uvedené organizace, a souhlasím s podmínkami používání webových služeb ENERGYLION.
- Potvrzuji, že jsem se seznámil/a s Informacemi o zpracování osobních údajů. Beru na vědomí, že údaje nezbytné pro registraci a poskytování objednané služby jsou zpracovávány zejména za účelem uzavření a plnění smlouvy a splnění právních povinností.
- Beru na vědomí, že výstupy ENERGYLION Atlas AI mohou vznikat bez lidské kontroly, mohou obsahovat chyby a nenahrazují právní ani odborné rozhodnutí. Před použitím výstupu zajistím jeho přiměřené ověření.
Nepovinné souhlasy
- Souhlasím se zasíláním newsletterů a obchodních sdělení ENERGYLION na uvedený pracovní e-mail. Souhlas je dobrovolný a mohu jej kdykoli odvolat prostřednictvím odkazu v každé zprávě nebo na slovak@energylion.cz.
- Souhlasím, aby ENERGYLION vyhodnocoval údaje o mé organizaci a mém používání služby za účelem personalizace obchodních nabídek. Toto profilování nebude použito k rozhodnutí, které by vůči mně mělo právní nebo obdobně významné účinky. Souhlas je dobrovolný a mohu jej kdykoli odvolat.
Implementační požadavek: Systém má evidovat znění a verzi každého potvrzení, datum a čas, identifikátor účtu a způsob získání souhlasu. Odvolání musí být stejně snadné jako udělení. Pro newsletter je vhodné použít potvrzení e-mailu (double opt-in).
Příloha B – Vzor souhlasu s marketingem a profilováním
Uživatel může udělit každý z následujících souhlasů samostatně:
1. Obchodní sdělení. Souhlasím, aby ENERGYLION s.r.o. používala můj pracovní e-mail a případně telefon k zasílání newsletterů, pozvánek a nabídek vlastních služeb. Souhlas uděluji do jeho odvolání.
2. Personalizace. Souhlasím, aby ENERGYLION s.r.o. spojovala mé kontaktní údaje, typ a veřejné údaje organizace a údaje o používání webových služeb za účelem výběru relevantnějšího obsahu a obchodních nabídek. Profilování nebude mít právní ani obdobně významné účinky.
Souhlas je dobrovolný, není podmínkou registrace ani čerpání placené služby a lze jej kdykoli odvolat odhlašovacím odkazem nebo e-mailem na slovak@energylion.cz. Odvolání nemá vliv na zákonnost zpracování před odvoláním.
Příloha C – Základní pravidla pro Atlas AI
Zákazník nahrává pouze podklady, k jejichž použití je oprávněn, a před nahráním odstraní osobní údaje, zvláštní kategorie údajů, důvěrné informace bez odpovídajícího oprávnění a obsah, jehož předání by porušilo zákon či smlouvu.
ENERGYLION nepoužívá zákaznické vstupy ani výstupy k trénování modelů. Dodavatelé modelů smějí data zpracovat jen pro poskytnutí konkrétní služby, v EU/EHP, po nezbytnou dobu a za podmínek důvěrnosti a bezpečnosti.
Zákazník vezme v úvahu omezení automatizovaného zpracování, ověří rozhodné skutečnosti, zdroje, výpočty a soulad výstupu s právem a zadávacími podmínkami. Pokud je výstup použit jako podklad rozhodnutí, odpovědná osoba zákazníka musí určit, zda je vyžadována lidská kontrola, a tuto kontrolu zdokumentovat.
Příloha D – Kontrolní seznam před zveřejněním
- Doplnit konečný katalog placených webových služeb a provázat jej s obchodními podmínkami.
- Sepsat všechny zpracovatele a subzpracovatele: hosting, cloud, e-mail, zákaznická podpora, bezpečnostní nástroje a každý AI model/provider.
- Smluvně ověřit EU/EHP umístění, zákaz trénování, dobu uchování a možnost auditu či doložení bezpečnosti.
- Stanovit přesnou dobu uchování provozních logů a maximální cyklus výmazu ze záloh.
- Technicky vynutit oddělení zákaznických prostorů, řízení rolí, bezpečné hashování hesel a záznam souhlasů.
- Nastavit proces pro incidenty, žádosti subjektů údajů a výmaz účtu do 48 hodin.
- Posoudit, zda nahrávané dokumenty mohou v praxi přesto obsahovat osobní údaje; pokud ano, uzavřít zpracovatelskou smlouvu podle čl. 28 GDPR.
- Provést balanční test oprávněného zájmu pro bezpečnost, komunikaci s kontaktními osobami a přímý marketing.
- Prověřit, zda konkrétní použití Atlas AI vyžaduje posouzení vlivu, lidský dohled nebo další povinnosti podle předpisů o AI a veřejných zakázkách.
- Doplnit datum účinnosti, schválit právníkem/DPO a zveřejnit snadno dostupnou aktuální verzi.
Právní zdroje
Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR), zejména čl. 5, 6, 12–14, 21, 22, 28 a 32: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=cs
Úřad pro ochranu osobních údajů – metodika k informační povinnosti vůči zákazníkům: https://uoou.gov.cz/profesional/metodiky-a-doporuceni-pro-spravce/metodika-k-plneni-informacni-povinnosti-a-k-souvisejicim-ujednanim-vuci-zakaznikum
Úřad pro ochranu osobních údajů – obchodní sdělení: https://uoou.gov.cz/profesional/qa-otazky-a-odpovedi/obchodni-sdeleni
Zákon č. 480/2004 Sb., o některých službách informační společnosti.
Právní upozornění: Jde o pracovní vzor vytvořený podle poskytnutých informací, nikoli o individuální právní stanovisko. Před nasazením jej musí zkontrolovat právník nebo pověřenec se znalostí skutečné technické architektury, smluvních vztahů, veřejných zakázek a konkrétních AI dodavatelů.