Dodatek o zpracování údajů na pro weby ChatGPT

Tato směrnice o ochraně osobních údajů (DPA) se vztahuje na uživatele služeb ChatGPT Plus, Pro a dalších služeb určených pro fyzické osoby, v rámci nichž váš zveřejněný web ChatGPT shromažďuje osobní údaje.

Pokud využíváte ChatGPT Enterprise, Business nebo jiné služby určené pro firmy a vývojáře, můžete si prostudovat tuto dohodu o zpracování osobních údajů (DPA)⁠nebo dohodu o zpracování osobních údajů podepsanou mezi vaší organizací a společností OpenAI, kde najdete informace o tom, jak společnost OpenAI zpracovává osobní údaje vaším jménem za účelem poskytování služeb, včetně webů ChatGPT.

Tento dodatek o zpracování údajů pro weby ChatGPT („DPA“) doplňuje podmínky pro weby ChatGPT a ostatní podmínky, zásady a podmínky služeb, které společně upravují vaše používání Služeb, a je do nich začleněn (dále jen „Smlouva“). Toto ustanovení se vztahuje na případy, kdy společnost OpenAI zpracovává osobní údaje shromážděné prostřednictvím vašeho zveřejněného webu ChatGPT za účelem hostování, údržby a podpory vašeho webu ChatGPT. Pro upřesnění: tato dohoda o zpracování osobních údajů (DPA) se nevztahuje na vaše používání služby ChatGPT při vytváření nebo úpravách webu ChatGPT, a to včetně vašich zadání, souborů nebo jiného obsahu, který poskytujete v rámci konverzací se službou ChatGPT. Tato DPA se uzavírá mezi vámi a společností OpenAI OpCo, LLC, pokud nemáte sídlo v zemi Evropského hospodářského prostoru nebo ve Švýcarsku, v takovém případě se uzavírá se společností OpenAI Ireland Ltd („OpenAI“). Pojmy začínající velkým písmenem jsou definovány v oddílu 6 nebo jinde v této DPA. V této DPA jsou OpenAI a vy jednotlivě označováni jako „Strana“ a společně jako „Strany“. Prohlašujete, že jste oprávněni tuto dohodu o zpracování osobních údajů (DPA) uzavřít, a pokud tuto dohodu uzavíráte jménem právnické osoby, že máte právní oprávnění zavazovat tuto právnickou osobu. Tím, že využíváte Služby k publikování a hostování webu ChatGPT, který shromažďuje osobní údaje od koncových uživatelů vašeho webu ChatGPT, vyjadřujete souhlas s touto DPA.

• 1.1 Rozsah a role. V rámci poskytování služeb vám na základě této smlouvy může společnost OpenAI zpracovávat osobní údaje vaším jménem. Bude tomu tak v případě, že váš zveřejněný web ChatGPT shromažďuje jakékoli osobní údaje, například tím, že umožňuje koncovým uživatelům přihlásit se nebo si vytvořit účet, případně zveřejňovat či nahrávat obsah, nebo pokud váš web ChatGPT shromažďuje osobní údaje pomocí souborů cookie či podobných technologií. V této smlouvě o zpracování osobních údajů (DPA) se tyto osobní údaje označují jako „hostovaná data“, protože společnost OpenAI tato osobní údaje hostuje vaším jménem. Společnost OpenAI zpracovává hostovaná data jako zpracovatel dat ve vašem jménu a tato dohoda o zpracování dat (DPA) upravuje takové zpracování. 

• 1.2 Podrobnosti zpracování. Společnost OpenAI bude zpracovávat hostovaná data výhradně za účelem poskytování služeb vám v souladu se smlouvou a touto dohodou o zpracování údajů (DPA). Podrobnosti týkající se povahy, trvání, jakož i typů hostovaných údajů a kategorií dotčených subjektů údajů jsou uvedeny v příloze 1 (Podrobnosti o zpracování) k této dohodě o zpracování údajů. Společnost OpenAI i vy se zavazujete dodržovat své příslušné povinnosti vyplývající z právních předpisů o ochraně osobních údajů v souvislosti se Službami.

• 2.1 Vaše pokyny. Strany se shodují, že tato DPA a Smlouva, stejně jako veškeré pokyny a výzvy poskytované prostřednictvím Služeb, nastavení a konfigurace v rámci Služeb a další nástroje, které společnost OpenAI v rámci Služeb zpřístupňuje, představují vaše písemné pokyny týkající se zpracování Hostovaných dat společností OpenAI („Pokyny uživatele“). Společnost OpenAI bude zpracovávat hostovaná data za účelem hostování, údržby a podpory vašeho zveřejněného webu ChatGPT výhradně v souladu s pokyny uživatele, ledaže by to vyžadovaly platné právní předpisy, kterým společnost OpenAI podléhá; v takovém případě vás společnost OpenAI o této povinnosti informuje před zahájením zpracování, pokud jí to zákon nezakazuje.

• 2.2 Oznámení vám Společnost OpenAI vás neprodleně písemně informuje, pokud podle jejích znalostí a názoru pokyn zákazníka porušuje zákony na ochranu osobních údajů. Společnost OpenAI vás v rozsahu povoleném zákonem informuje, pokud obdrží od orgánu činného v trestním řízení právně závaznou žádost o poskytnutí hostovaných dat.

• 2.3 Důvěrnost. Společnost OpenAI zajistí, aby se všechny osoby, které společnost OpenAI pověřila zpracováním hostovaných dat, zavázaly k zachování důvěrnosti nebo aby na ně byla uvalena příslušná zákonná povinnost zachování důvěrnosti.

• 2.4 Žádosti subjektu údajů. Společnost OpenAI vás v rozsahu povoleném zákonem informuje, pokud obdrží žádost o uplatnění práv subjektu údajů podle zákonů o ochraně osobních údajů („žádost subjektu údajů“) týkající se hostovaných dat. Společnost OpenAI nebude reagovat na žádnou takovou žádost bez vašeho předchozího písemného souhlasu, s výjimkou toho, že zmocňujete společnost OpenAI k přesměrování žádostí subjektů údajů, pokud je to nezbytné, abyste mohli reagovat přímo. S ohledem na povahu zpracování vám společnost OpenAI poskytne podporu tím, že zavede vhodná technická a organizační opatření, a to v míře, v jaké je to možné, aby vám umožnila reagovat na žádosti subjektů údajů.

• 2.5 Zabezpečení. Společnost OpenAI zavede a bude udržovat přiměřená a vhodná organizační a technická bezpečnostní opatření k ochraně hostovaných dat, jak je stanoveno ve smlouvě.

• 2.6 Pomoc vám. Společnost OpenAI vám s ohledem na povahu zpracování a informace, které má k dispozici, poskytne přiměřenou pomoc, aby vám usnadnila plnění vašich povinností vyplývajících z právních předpisů o ochraně osobních údajů, včetně případné přípravy posouzení dopadů na ochranu osobních údajů v souvislosti se zpracováním hostovaných dat společností OpenAI a, je-li to nutné, vaší konzultace s dozorovým orgánem, který má pravomoc nad tímto zpracováním, pokud takovou konzultaci vyžadují právní předpisy o ochraně osobních údajů.

• 2.7 Porušení zabezpečení osobních údajů. Společnost OpenAI vás bez zbytečného odkladu informuje, jakmile se dozví o jakémkoli porušení ochrany osobních údajů. Společnost OpenAI vám poskytne přiměřenou pomoc, aby vám usnadnila plnění vašich povinností vyplývajících z právních předpisů o ochraně osobních údajů v souvislosti s tímto porušením ochrany osobních údajů.

• 2.8 Posouzení souladu. Pokud máte oprávněné důvody se domnívat, že společnost OpenAI nesplnila své povinnosti vyplývající z této dohody o zpracování údajů (DPA) a z příslušných právních předpisů o ochraně osobních údajů, které vám přiznávají právo na provedení auditu, máte následující práva provést audit společnosti OpenAI:  

  • 2.8.1 Na písemnou žádost a nejvýše jednou ročně vám poskytneme souhrn auditních zpráv týkajících se dodržování této dohody o zpracování osobních údajů (DPA) ze strany OpenAI a další informace nezbytné k prokázání plnění závazků OpenAI vyplývajících z této dohody. Společnost OpenAI bude oprávněna účtovat symbolický poplatek za poskytnutí informací podle tohoto odstavce 2.8.1;  

  • 2.8.2 Pokud informace poskytnuté podle bodu 2.8.1 nestačí k tomu, abyste prokázali plnění svých povinností vyplývajících z právních předpisů o ochraně osobních údajů, můžete na vlastní náklady požádat o další informace a/nebo o provedení kontroly vhodným a kvalifikovaným auditorem, který je vázán příslušnými povinnostmi mlčenlivosti. Společnost OpenAI každou takovou žádost náležitě zváží a posoudí, jak bychom vám mohli vyhovět, aniž by tím byla ohrožena důvěrnost údajů našich ostatních zákazníků a uživatelů. 

Veškeré výsledky a dokumentace získané od společnosti OpenAI podle tohoto odstavce 2.8, včetně výsledků jakýchkoli auditů či kontrol, představují důvěrné informace společnosti OpenAI. 

• 2.9 Zapojení dílčích zpracovatelů. Tímto udělujete společnosti OpenAI obecné oprávnění k zapojení subdodavatelů zpracování uvedených v seznamu subdodavatelů zpracování za účelem zpracování hostovaných dat v souvislosti se službami. Společnost OpenAI vás bude informovat o jakýchkoli změnách v seznamu subdodavatelů prostřednictvím příspěvku na blogu, oznámení v rámci služeb nebo jinými přiměřenými prostředky, případně e-mailem, pokud jste se na stránkách seznamu subdodavatelů přihlásili k odběru e-mailových oznámení. Proti využití takového dalšího subdodavatele můžete vznést námitku do 30 dnů od obdržení oznámení o této změně, a to podle pokynů uvedených v seznamu subdodavatelů nebo kontaktováním privacy@openai.com⁠. V takovém případě bude společnost OpenAI s vámi spolupracovat na vyřešení vašich obav. Pokud nebudou námitky vyřešeny k spokojenosti stran do 30 dnů od obdržení vašeho oznámení o námitce společností OpenAI, může kterákoli ze stran vypovědět smlouvu nebo ukončit poskytování dotčených služeb, které nelze poskytovat bez využití nového subdodavatele. V takovém případě vám budou vráceny veškeré příslušné předem uhrazené poplatky v rozsahu, v jakém se vztahují na období nebo lhůty následující po datu takového ukončení.

• 2.10 Povinnosti dílčích zpracovatelů. Společnost OpenAI uzavře s každým dílčím zpracovatelem smluvní ujednání, která jim ukládají povinnosti srovnatelné s povinnostmi uloženými společnosti OpenAI podle tohoto DPA. S výhradou omezení odpovědnosti obsažených ve Smlouvě zůstane OpenAI odpovědná za jednání a opomenutí svých dílčích zpracovatelů ve stejném rozsahu, v jakém by byla odpovědná podle tohoto DPA, kdyby taková jednání nebo opomenutí provedla sama.

• 2.11 Vrácení nebo smazání údajů. Po uplynutí platnosti nebo ukončení Smlouvy společnost OpenAI na váš pokyn vrátí nebo vymaže Hostovaná data a jejich stávající kopie, ledaže by platné právní předpisy vyžadovaly uchování Hostovaných dat; v takovém případě společnost OpenAI tato data izoluje a ochrání před jakýmkoli dalším zpracováním, s výjimkou rozsahu vyžadovaného platnými právními předpisy.

• 3.1 Oznámení a oprávnění. Prohlašujete, zaručujete a zavazujete se, že jste poskytli veškerá nezbytná oznámení a že máte a po celou dobu trvání smlouvy budete mít všechna nezbytná práva, souhlasy a oprávnění v rozsahu vyžadovaném podle zákonů o ochraně osobních údajů, abyste mohli poskytnout hostovaná data společnosti OpenAI a zmocnit společnost OpenAI ke zpracování hostovaných dat v souvislosti s touto smlouvou, včetně této DPA.

• 3.2 Spolupráce. Při plnění jakýchkoli povinností společnosti OpenAI vyplývajících z platných zákonů o ochraně osobních údajů budete s touto společností přiměřeně spolupracovat a pomáhat jí při jejich plnění.

• 3.3 Konfigurace. Aniž by tím byly dotčeny bezpečnostní povinnosti společnosti OpenAI uvedené v článku 2.5 této DPA, berete na vědomí a souhlasíte s tím, že nesete odpovědnost za určité konfigurace a konstrukční rozhodnutí týkající se Služeb a za implementaci těchto konfigurací a konstrukčních rozhodnutí (např. doby uchovávání, mazání atd.) způsobem, který je v souladu s platnými zákony na ochranu osobních údajů.

• 4.1 Údaje z EHP a Švýcarska. Hostovaná data zpracovávaná společností OpenAI na základě této dohody o zpracování údajů (DPA) mohou spadat do působnosti právních předpisů o ochraně osobních údajů Evropského hospodářského prostoru nebo Švýcarska („data z EHP a Švýcarska“). Bez ohledu na to, která smluvní strana OpenAI je podle této DPA příslušná, tímto dáváte společnosti OpenAI Ireland Limited pokyn, aby veškeré údaje z EHP a Švýcarska zpracovávala v souladu s touto DPA. Pokud společnost OpenAI Ireland Limited za účelem poskytování služeb předává údaje z EHP a Švýcarska jiným přidruženým společnostem OpenAI nebo třetím stranám mimo Evropský hospodářský prostor nebo Švýcarsko, bude tak činit na základě smluv obsahujících standardní smluvní doložky (SCC), které zajišťují zavedení přiměřených záruk pro ochranu hostovaných údajů, nebo na základě rozhodnutí o přiměřenosti vydaného Evropskou komisí podle článku 45 GDPR.

• 4.2 Údaje ze Spojeného království. Hostovaná data zpracovávaná společností OpenAI na základě této dohody o zpracování údajů (DPA) mohou spadat do působnosti zákonů o ochraně osobních údajů Spojeného království („data ze Spojeného království“). Bez ohledu na to, která smluvní strana OpenAI je podle této DPA příslušná, tímto dáváte společnosti OpenAI OpCo, LLC pokyn, aby veškerá data z Velké Británie zpracovávala v souladu s touto DPA a se standardními smluvními doložkami (SCC) ve znění dodatku pro Velkou Británii, které se považují za uzavřené (a tímto odkazem za začleněné do této DPA) a vyplněné, jak je popsáno v příloze 1.

V rozsahu, v jakém se uplatňují Zákony USA o ochraně osobních údajů:

• 5.1 Společnost OpenAI se zavazuje, že (a) vám nebude poskytovat peněžní ani jinou hodnotnou protihodnotu výměnou za vámi poskytnutá hostovaná data, a pro vyloučení pochybností strany berou na vědomí a souhlasí s tím, že jste hostovaná data společnosti OpenAI „neprodali“ (jak je tento pojem definován v amerických zákonech o ochraně osobních údajů); (b) nebude „prodávat“ (jak je tento pojem definován v amerických zákonech o ochraně osobních údajů) ani „sdílet“ (jak je tento pojem definován v CCPA) osobní údaje; (c) v rozsahu, v jakém povolíte nebo nařídíte společnosti OpenAI, aby v rámci Služeb zpracovávala Hostovaná data podléhající americkým zákonům o ochraně osobních údajů v anonymizované podobě, společnost OpenAI (i) přijme přiměřená opatření, aby zabránila tomu, že by taková anonymizovaná data byla použita k odvození informací o konkrétní fyzické osobě nebo domácnosti nebo k jejich jinému propojení s nimi; (ii) veřejně se zaváže, že bude taková anonymizovaná data uchovávat a používat v této podobě a nebude se pokoušet o opětovnou identifikaci těchto informací, s výjimkou případů, kdy to povolují americké zákony na ochranu osobních údajů; a (iii) před sdílením anonymizovaných dat s jakoukoli jinou stranou, včetně subdodavatelů, smluvně zaváže všechny takové příjemce k dodržování požadavků tohoto ustanovení (c)(i)–(iii); a (d) pokud se na hostovaná data vztahuje zákon CCPA (i) neuchovávat, nepoužívat, nezveřejňovat ani jinak nezpracovávat hostovaná data, s výjimkou případů nezbytných pro obchodní účely uvedené ve Smlouvě, včetně, avšak nikoli výlučně, případů uvedených v Příloze 1 této DPA; (ii) neuchovávat, nepoužívat, nezveřejňovat ani jinak nezpracovávat hostovaná data žádným způsobem mimo rámec přímého obchodního vztahu mezi společností OpenAI a vámi; (iii) nespojovat žádná hostovaná data s osobními údaji, které společnost OpenAI obdrží od jakékoli jiné třetí strany nebo jejím jménem, či které shromažďuje na základě vlastních interakcí s fyzickými osobami, s výhradou, že společnost OpenAI může hostovaná data takto spojit pro účel povolený podle zákona CCPA, pokud k tomu dostane pokyn od vás nebo pokud to jinak povoluje zákon CCPA; (iv) bez zbytečného odkladu vás informovat, pokud společnost OpenAI zjistí, že již nemůže plnit své povinnosti podle zákona CCPA; a (v) pokud se důvodně domníváte, že zpracování hostovaných dat společností OpenAI není v souladu s požadavky zákona CCPA, a po vašem odůvodněném oznámení této skutečnosti společnosti OpenAI budou strany v dobré víře spolupracovat na nápravě tohoto problému, nebo pokud po společném úsilí důvodně zjistíte, že tento problém nelze napravit, společnost OpenAI na základě vašeho písemného pokynu zastaví zpracování dotčených hostovaných dat.

• 5.2 Souhlasíte s tím, že nepodniknete žádné kroky, které by (a) vedly k tomu, že by poskytnutí hostovaných dat společnosti OpenAI bylo považováno za „prodej“ podle amerických zákonů o ochraně osobních údajů nebo za „sdílení“ podle zákona CCPA (nebo za ekvivalentní pojmy podle amerických zákonů o ochraně osobních údajů); nebo (b) vedly k tomu, že by společnost OpenAI nebyla považována za „poskytovatele služeb“ podle zákona CCPA nebo za „zpracovatele“ podle amerických zákonů o ochraně osobních údajů.

„Správce údajů“ má význam přiřazený pojmu „správce“ (nebo jinému obdobnému pojmu) podle zákonů o ochraně osobních údajů.

„Zpracovatel údajů“ má význam přiřazený pojmu „zpracovatel“ (nebo jinému obdobnému pojmu) podle zákonů o ochraně osobních údajů.

„Zákony o ochraně osobních údajů“ znamenají zákony o ochraně soukromí a ochraně osobních údajů, které se vztahují na zpracování hostovaných dat společností OpenAI v souvislosti se službami.

„Subjekt údajů“ má význam, který je pojmu „subjekt údajů“ (nebo jinému obdobnému pojmu) přiřazen podle zákonů o ochraně osobních údajů.

„GDPR“ znamená nařízení (EU) 2016/679 Evropského parlamentu a Rady ze dne 27. dubna 2016.

„Hostovaná data“ znamenají jakékoli osobní údaje, které jsou shromažďovány vaším webem ChatGPT po jeho zveřejnění.

„Osobní údaje“ mají význam přiřazený pojmu „osobní údaje“ nebo „osobní informace“ (nebo jinému obdobnému pojmu) podle Zákonů o ochraně osobních údajů.

„Porušení zabezpečení osobních údajů“ znamená porušení zabezpečení vedoucí k náhodnému nebo nezákonnému zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo přístupu k hostovaným údajům, které jsou uloženy, přenášeny nebo jinak zpracovávány společností OpenAI, jejími dílčími zpracovateli nebo jakoukoli jinou třetí stranou jednající jménem OpenAI.

„Zpracování“ má význam přiřazený pojmu „zpracování“ (nebo jinému obdobnému pojmu) podle zákonů o ochraně osobních údajů.

„SCCs“ znamená standardní smluvní doložky pro předávání osobních údajů do třetích zemí přijaté Evropskou komisí dne 4. června 2021 (ve znění případných změn, aktualizací nebo nahrazení).

„Dílčí zpracovatelé“ znamenají dílčí zpracovatele, které OpenAI pověřila zpracováním hostovaných údajů v souvislosti se službami a kteří jsou uvedeni v seznamu dílčích zpracovatelů.

„Seznam dílčích zpracovatelů“ znamená seznam dostupný na následující adrese https://platform.openai.com/subprocessors⁠(otevře se v novém okně).

„Dodatek UK“ znamená dodatek Spojeného království k EU SCCs vydaný komisařem pro informace podle sekce 119A(1) zákona o ochraně údajů z roku 2018.

„zákony USA o ochraně osobních údajů“ znamenají podmnožinu zákonů o ochraně osobních údajů platných pro obyvatele Spojených států, mimo jiné včetně kalifornského zákona o ochraně soukromí spotřebitelů („CCPA“).

• 1. Povaha a účel:

  • Hostování, údržba a podpora vašeho zveřejněného webu ChatGPT.

• 2. Doba trvání:

  • Doba trvání a doba, která bude následně potřebná k tomu, aby smluvní strany splnily své příslušné povinnosti po skončení doby trvání, včetně vymazání dat.

• 3. Kategorie hostovaných údajů:

  • Osobní údaje poskytnuté koncovými uživateli vašeho webu ChatGPT (například text, obrázky, videa nebo jiný obsah zveřejněný či nahraný na váš web ChatGPT).

  • Osobní údaje vzniklé v souvislosti s používáním vašeho webu ChatGPT koncovými uživateli (například údaje z protokolů, údaje o používání, informace o zařízeních a údaje shromážděné prostřednictvím souborů cookie a podobných technologií). 

• 4. Kategorie subjektů údajů:

  • Koncoví uživatelé vašeho webu ChatGPT; a

  • Třetí strany, jejichž osobní údaje poskytují koncoví uživatelé v souvislosti s využíváním vašeho webu ChatGPT.

• 5. Přenos citlivých údajů (pokud je to relevantní):

  • Citlivé údaje, které se předávají (v příslušných případech), a uplatněná omezení nebo záruky, jež plně zohledňují povahu údajů a související rizika, například přísné účelové omezení, omezení přístupu (včetně přístupu pouze pro zaměstnance, kteří absolvovali specializované školení), vedení záznamu o přístupu k údajům, omezení pro další předávání nebo dodatečná bezpečnostní opatření.

  • Na základě vašich pokynů mohou být zpracovávány citlivé údaje, pokud jsou tyto údaje poskytnuty koncovým uživatelem. OpenAI bude tyto citlivé údaje zpracovávat pouze na základě vašich pokynů.

• 6. Frekvence:

  • Četnost předávání (např. zda jsou údaje předávány jednorázově nebo průběžně).

  • Průběžně v závislosti na vašem využívání služeb

• 7. Předávání dílčím zpracovatelům:

  • Podle článku 2.9 DPA budou dílčí zpracovatelé zpracovávat hostovaná data, jak je to nezbytné k poskytování služeb. Takové zpracování bude probíhat po dobu platnosti Smlouvy, pokud se písemně nedohodne jinak.

• 8. Informace o SSD pro přenos Údajů Spojeného království podle oddílu 4.2:

  • 8.1 Modul 2 (Zpracovatel vůči správci) SCC se použije takto: (i) Volitelná doložka o propojení v článku 7 se nepoužije; (ii) V článku 9 se použije varianta 2 (obecné písemné zmocnění) a minimální lhůta pro předběžné oznámení změn týkajících se subzpracovatelů bude stanovena v oddíle 2.9 DPA; (iii) V článku 11 se nepoužije volitelné znění; (iv) Veškeré hranaté závorky v článku 13 se tímto odstraňují; (v) V článku 17 (možnost 1) se na SCC budou vztahovat zákony Anglie a Walesu; (vi) V článku 18 písm. b) budou spory řešeny před soudy Anglie a Walesu; (vii) Tato příloha 1 obsahuje informace požadované v příloze I a příloze III standardních smluvních doložek; (viii) Článek 2.5 (Zabezpečení) DPA obsahuje informace požadované v příloze II standardních smluvních doložek; a (ix) příslušným dozorovým orgánem je Úřad komisaře pro informace („ICO“).

  • 8.2 Subjekt(y) předávající(í) údaje: vy; Subjekt(y) přijímající(í) údaje: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, pověřenec pro ochranu osobních údajů, privacy@openai.com⁠.