ZÁSADY OCHRANY OSOBNÝCH ÚDAJOV SLUŽBY HOMEOVIBE
(Privacy Policy)
ZÁSADY OCHRANY OSOBNÝCH ÚDAJOV
Tento dokument poskytuje podrobné, prehľadné a transparentné informácie o tom, akým spôsobom spoločnosť Duovita s.r.o. získava, uchováva a inak spracúva vaše osobné údaje pri využívaní digitálnej služby HomeoVibe.
Spracúvanie osobných údajov sa riadi Nariadením (EÚ) 2016/679 (ďalej len „GDPR“), zákonom č. 18/2018 Z. z. o ochrane osobných údajov, ako aj relevantnými ustanoveniami zákona č. 108/2024 Z. z. o ochrane spotrebiteľa.
Článok I. Identifikácia Prevádzkovateľa a Zodpovednej osoby
1. Prevádzkovateľ: Prevádzkovateľom informačných systémov je spoločnosť:
Obchodné meno: Duovita s.r.o.
IČO: 57252181
Sídlo: Pavlova Ves 121, 032 21 Pavlova Ves
Zapísaná v: Obchodnom registri Okresného súdu Žilina, oddiel: Sro, vložka č.: 88999/L
2. Zodpovedná osoba (DPO): S prihliadnutím na skutočnosť, že povahou služby HomeoVibe je spracúvanie údajov o zdraví prostredníctvom pokročilých technológií, Prevádzkovateľ v zmysle článku 37 ods. 1 písm. c) GDPR vymenoval Zodpovednú osobu.
Kontaktné údaje DPO: Ing. Jana Kováčová, Mgr. Janette Bakajsová homeovibe@gmail.com]
Článok II. Povaha služby, výhrada a transparentnosť umelej inteligencie
1. Interakcia s umelou inteligenciou: Aplikácia HomeoVibe predstavuje digitálne plnenie postavené na integrácii veľkých jazykových modelov (LLM). Týmto si plníme našu povinnosť transparentnosti podľa článku 50 AI Act a výslovne vás informujeme, že v prostredí aplikácie nekomunikujete so živým človekom, lekárom ani certifikovaným terapeutom, ale s automatizovaným systémom umelej inteligencie.
2. Informatívny charakter: Aplikácia slúži výlučne na informatívne, vzdelávacie a lifestylové účely v oblasti homeopatie. Výstupy generované AI chatbotom v žiadnom prípade nepredstavujú poskytovanie zdravotnej starostlivosti. Služba HomeoVibe nie je zdravotníckou pomôckou podľa platných európskych noriem.
Článok III. Spracúvanie údajov o zdraví a ochrana tretích osôb
1. Definícia údajov o zdraví: Akékoľvek textové zadania (prompty), v ktorých popisujete svoje fyzické symptómy, duševné rozpoloženie alebo zdravotné ťažkosti, predstavujú osobné údaje týkajúce sa zdravia podľa článku 4 bod 15 GDPR.
2. Právny základ výslovného súhlasu: Tieto údaje spadajú do osobitnej kategórie (cl. 9 ods. 1 GDPR). Ich spracúvanie vykonáva Prevádzkovateľ výlučne na základe vášho výslovného súhlasu podľa článku 9 ods. 2 písm. a) GDPR.
3. Súhlas sa vyžaduje osobitným a aktívnym úkonom (zaškrtnutím nezaškrtnutého poľa, ktoré nesmie byť vopred označené) pred prvým použitím AI chatbota. Súhlas je plne dobrovoľný a môžete ho kedykoľvek bez negatívnych následkov odvolať (v nastaveniach profilu alebo e-mailom na DPO). Odvolanie súhlasu je rovnako jednoduché ako jeho udelenie (čl. 7 ods. 3 druhá veta GDPR).
4. Odvolanie súhlasu znamená okamžitú technickú nemožnosť ďalšieho personalizovaného využívania tejto funkcionality.
5. Zákaz vkladania údajov tretích osôb: Používateľ sa zaväzuje nezadávať do chatového rozhrania identifikačné údaje iných fyzických osôb (najmä meno, priezvisko, dátum narodenia, adresu, kontaktné údaje, rodné číslo či iné jednoznačné identifikátory) v spojení s opisom ich zdravotného stavu, symptómov alebo zdravotných ťažkostí. Ak sa Používateľ dotazuje na zdravotný stav inej osoby, je povinný používať výlučne anonymizované a všeobecné pojmy (napr. „môj príbuzný“, „dieťa vo veku do 6 rokov“, „blízka osoba“); pri takomto opise nemôže ísť o údaje umožňujúce identifikáciu konkrétnej fyzickej osoby. Vo vzťahu k údajom tretích osôb, ktoré by Používateľ napriek tomuto zákazu zadal, vystupuje Používateľ ako samostatný prevádzkovateľ podľa čl. 4 bod 7 GDPR a v plnom rozsahu zodpovedá za splnenie informačných povinností a za zákonnosť spracúvania voči dotknutej tretej osobe. Prevádzkovateľ je oprávnený takéto vstupy bezodkladne vymazať a v prípade opakovaného porušenia obmedziť alebo ukončiť poskytovanie Služby v súlade s Článkom VII bod 5 VOP.
6. Pri registrácii sa dotknutej osobe predkladajú dva samostatné a oddelené súhlasy: (a) súhlas so Všeobecnými obchodnými podmienkami (VOP), ktorý je podmienkou uzavretia zmluvy o poskytovaní digitálneho plnenia; a (b) výslovný súhlas so spracúvaním údajov o zdraví podľa článku 9 ods. 2 písm. a) GDPR, ktorý je podmienkou používania personalizovaných funkcionalít AI chatbota. Oba súhlasy sa udeľujú zaškrtnutím samostatného nezaškrtnutého poľa (checkbox). Súhlas so spracúvaním údajov o zdraví nie je podmienkou uzavretia zmluvy, ale je nevyhnutný na poskytovanie personalizovaných funkcionalít Služby. Podrobnosti o mechanizme súhlasov sú uvedené v Článku XI bod 5 VOP. Bez udelenia súhlasu so spracúvaním údajov o zdraví zostáva Používateľovi prístup k AI chatbotu Homea vo všeobecnom režime, v ktorom môže klásť všeobecné dotazy o homeopatii, Bachových kvetových esenciách a wellbeingu; v tomto režime nedochádza k ukladaniu konverzácií do profilu Používateľa ani k personalizácii odpovedí. Vstupy obsahujúce údaje o zdraví Používateľa Prevádzkovateľ vo všeobecnom režime nespracúva — pri pokuse o ich zadanie zobrazí Služba upozornenie a vstup neuloží.
Článok IV. Účely, rozsah a právne základy spracúvania
Vaše osobné údaje spracúvame výlučne na konkrétne, vopred stanovené legitímne účely, v minimalizovanom rozsahu a na základe jasných právnych základov podľa článku 13 GDPR.
1. Registrácia, správa účtu a poskytovanie Služby
Rozsah: meno, priezvisko (voliteľne), e-mailová adresa, používateľské meno, heslo (hash). Právny základ: cl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy). Doba uchovávania: počas aktívneho účtu, následne 3 roky od zrušenia (premlčacia lehota). Poskytnutie je zmluvnou požiadavkou nevyhnutnou na vytvorenie konta.
2. Interakcia s AI Chatbotom
Rozsah: všetky textové vstupy a vygenerované odpovede AI, vrátane údajov o zdraví (osobitná kategória). Právny základ: cl. 9 ods. 2 písm. a) GDPR (výslovný súhlas pre zdravotné údaje); cl. 6 ods. 1 písm. b) GDPR (plnenie zmluvy pre bežné údaje). Doba uchovávania: po dobu aktívneho účtu, maximálne 3 roky od poslednej interakcie (princíp minimalizácie, cl. 5 ods. 1 písm. e) GDPR). Po žiadosti o výmaz alebo zrušení účtu: trvalý výmaz do 30 dní. Poskytnutie je dobrovoľné na základe súhlasu.
3. Predplatné a platobné transakcie
Rozsah: fakturačné údaje, krajina, transakčné dáta. Prevádzkovateľ nemá prístup k číslu karty (Stripe). Právny základ: cl. 6 ods. 1 písm. b) a c) GDPR. Doba: 10 rokov (par. 35 zákona č. 431/2002 Z. z.). Poskytnutie je zmluvnou a zákonnou požiadavkou.
4. Technická diagnostika a bezpečnosť
Rozsah: IP adresa, typ zariadenia, verzia OS, technické logy. Právny základ: cl. 6 ods. 1 písm. f) GDPR (oprávnený záujem). Doba: maximálne 12 mesiacov od ich vzniku, následne anonymizácia.
5. Marketingová komunikácia a newsletter
Pre zákazníkov: cl. 6 ods. 1 písm. f) GDPR (soft opt-in). Pre iné osoby: cl. 6 ods. 1 písm. a) GDPR (súhlas). Z odberu sa dá kedykoľvek odhlásiť. Max. 3 roky od poslednej aktivity.
6. Zákaznícka podpora
Právny základ: cl. 6 ods. 1 písm. f) GDPR. Doba: nevyhnutná na vybavenie, max. 1 rok po uzavretí.
7. Ochrana právnych nárokov
Právny základ: cl. 6 ods. 1 písm. f) GDPR. Doba: do skončenia sporu.
8. Vedenie účtovníctva
Právny základ: cl. 6 ods. 1 písm. c) GDPR. Doba: 10 rokov. Poskytnutie je povinné.
Článok V. Pravidlá pre trénovanie AI modelov
1. HomeoVibe využíva šifrované komerčné API prepojenia. Podľa zmluvných podmienok a verejne dostupných obchodných podmienok poskytovateľov LLM (najmä prostredníctvom mechanizmu Zero-Data-Retention), s ktorými má Prevádzkovateľ uzavretý komerčný API vzťah, sa údaje odoslané prostredníctvom týchto API rozhraní v rámci Služby neuchovávajú zo strany týchto poskytovateľov nad rámec spracovania jednotlivého dotazu a nepoužívajú sa na trénovanie ich modelov. Aktuálny rozsah týchto záruk vyplýva z dokumentácie a obchodných podmienok jednotlivých poskytovateľov LLM uvedených v Článku VI.
2. Vaše údaje sú ukladané iba lokálne, do šifrovanej databázy v európskom cloude.
3. Interný vývoj a agregácia dát: Prevádzkovateľ môže prevádzať proces trvalej a nezvratnej anonymizácie chatov. Vzhľadom na to, že chaty obsahujú údaje osobitnej kategórie (čl. 9 ods. 1 GDPR), Prevádzkovateľ vykonáva tento proces výlučne na základe samostatného výslovného súhlasu dotknutej osoby podľa čl. 9 ods. 2 písm. a) GDPR. Súhlas dotknutá osoba udeľuje aktívnym úkonom (opt-in) v nastaveniach profilu a kedykoľvek ho môže odvolať s účinkami do budúcnosti. Bez udelenia tohto súhlasu sa anonymizácia chatov na účely interného vývoja nevykonáva. Po dokončení procesu anonymizácie už výsledné dáta nie sú osobnými údajmi v zmysle čl. 4 bod 1 GDPR (recitál 26 GDPR).
4. Prevádzkovateľ na základe zmluvných záruk a aktuálnych obchodných podmienok poskytovateľov LLM modelov uvedených v Článku VI (vrátane príslušných ustanovení DPA a deklarovaného režimu Zero-Data-Retention) zabezpečuje, aby údaje o zdraví spracúvané v rámci Služby neboli využívané na trénovanie, ladenie ani zlepšovanie AI modelov tretích strán. Rozsah, podmienky a aktuálnosť týchto záruk vyplývajú z dokumentácie a obchodných podmienok jednotlivých poskytovateľov LLM modelov.
Článok VI. Príjemcovia a Sprostredkovatelia
Prevádzkovateľ vaše osobné údaje neobchoduje a nepredáva.
1. Cloudová infraštruktúra: BuddyPro AB (Švédsko). Servery AWS v EU (Frankfurt). Prevádzkovateľ zabezpečil prostredníctvom DPA informovanie o zmene sub-sprostredkovateľov (cl. 28 ods. 2 GDPR).
Upozornenie – zdieľaná pamäť BuddyPro: Prevádzkovateľ prijal opatrenia, aby údaje o zdraví neboli zdieľané s inými AI entitami v rozsahu, ktorý umožňuje konfigurácia a dostupné nastavenia platformy BuddyPro AB na platforme.
2. Poskytovatelia jazykových modelov: OpenAI, LLC a/alebo Anthropic, PBC. Podľa zmluvných podmienok a aktuálnych verejne deklarovaných záruk týchto poskytovateľov sa údaje odoslané prostredníctvom ich API rozhraní v rámci Služby nepoužívajú na trénovanie ich modelov a podliehajú deklarovanému režimu Zero-Data-Retention v rozsahu uvedenom v ich obchodných podmienkach.
3. Platobné inštitúcie: Stripe, Inc.
4. Fakturačné systémy: FAPI [doplniť obchodné meno].
5. Advokáti, audítori, daňoví poradcovia, orgány činné v trestnom konaní, súdy, dozorné orgány.
6. Nadobúdateľ podniku: V prípade predaja podniku môžu byť údaje poskytnuté nadobúdateľovi.
Článok VII. Cezhraničné prenosy mimo EHP
Základom sú servery v EU. Integrácia AI si vyžaduje prenos dát do USA.
Data Privacy Framework: Stripe, OpenAI, Anthropic a Pinecone podľa verejne dostupných údajov k dátumu účinnosti týchto Zásad disponujú certifikáciou Data Privacy Framework (DPF) alebo zodpovedajúcou zárukou prenosu. Prevádzkovateľ priebežne overuje platnosť týchto certifikácií prostredníctvom verejných registrov; v prípade pozastavenia alebo zániku certifikácie konkrétneho poskytovateľa Prevádzkovateľ prepne prenosy do režimu SCC podľa nasledujúceho odseku.
Štandardné zmluvné doložky (SCC): Ak by bola certifikácia pozastavená, prenosy sa prepnú na režim SCC (cl. 46 ods. 2 písm. c) GDPR), posilnených o doplnkové technické opatrenia (šifrovanie, pseudonymizácia).
Článok VIII. Vaše práva ako dotknutej osoby
GDPR vám garantuje rozsiahlu kontrolu nad vašimi údajmi. Žiadosti smerujte na DPO. Lehota na vybavenie: 1 mesiac.
1. Právo na prístup (cl. 15 GDPR) – vrátane kópie celej histórie konverzácií.
2. Právo na opravu (cl. 16 GDPR).
3. Právo na vymazanie – „právo na zabudnutie“ (cl. 17 GDPR).
4. Právo na obmedzenie spracúvania (cl. 18 GDPR).
5. Právo na prenosnosť údajov (cl. 20 GDPR) – v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (spravidla JSON).
6. Právo namietať (cl. 21 GDPR) – voči priamemu marketingu absolútne.
7. Právo odvolať súhlas (cl. 7 ods. 3 GDPR).
Osobitný postup pri odvolaní súhlasu so zdravotnými údajmi: Pri odvolaní súhlasu so spracúvaním údajov o zdraví podľa článku 7 ods. 3 GDPR Prevádzkovateľ bezodkladne ukončí spracúvanie zdravotných údajov na účely personalizácie Služby. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vykonaného pred jeho odvolaním. Po odvolaní súhlasu Prevádzkovateľ zabezpečí trvalý výmaz zdravotných údajov v lehote podľa Článku IV bod 2, pokiaľ neexistuje iný právny základ pre ich ďalšie uchovávanie (napr. ochrana právnych nárokov). Mechanizmus odvolania je dostupný v nastaveniach profilu alebo zaslaním žiadosti na DPO.
8. Automatizované rozhodovanie (cl. 22 GDPR): Nevykonávame plne automatizované rozhodovanie, profilovanie ani sociálny skóring s právnymi účinkami. AI systém generuje personalizované textové výstupy na základe vašich vstupov; nejde však o rozhodovanie s právnymi účinkami v zmysle cl. 22 GDPR.
9. Právo na sťažnosť (cl. 77 GDPR): Úrad na ochranu osobných údajov SR, Hraničná 12, 820 07 Bratislava 27, e-mail: statny.dozor@pdp.gov.sk.
Článok IX. Bezpečnostné opatrenia
Aplikácia je dizajnová na princípoch Security by Design a Privacy by Default (cl. 32 GDPR).
Kryptografia: Pri prenose a uchovávaní údajov sa využívajú štandardné kryptografické protokoly poskytované cloudovými partnermi (TLS pri prenose, šifrovanie at-rest na úrovni databázových služieb), ktorých technické parametre zodpovedajú aktuálnym priemyselným štandardom v rámci EHP.
Prístup: Limitovaný autorizovaný personál viazaný mlčanlivosťou.
Data-minimization: Poskytovateľom LLM sa v rámci API komunikácie odosiela prompt v rozsahu primeranom účelu spracovania, bez priameho prepojenia s registračnými údajmi (najmä menom a e-mailom).
Zálohovanie: Pravidelné zálohovanie údajov v rámci infraštruktúry cloudového partnera v rozsahu jeho štandardných služieb.
Zvýšená ochrana zdravotných údajov: Vzhľadom na spracúvanie osobitnej kategórie osobných údajov (údajov o zdraví) Prevádzkovateľ v súlade s článkom 32 ods. 1 GDPR prijal primerané technické a organizačné opatrenia zodpovedajúce identifikovaným rizikám, najmä: (a) logické oddelenie zdravotných údajov od ostatných osobných údajov v rozsahu, ktorý umožňuje technická architektúra Služby a možnosti využívaných cloudových partnerov; (b) obmedzenie prístupu k zdravotným údajom na okruh autorizovaných osôb na princípe need-to-know; (c) šifrovanie zdravotných údajov pri prenose a uchovávaní v rozsahu zodpovedajúcom štandardom poskytovateľov cloudovej infraštruktúry; (d) priebežné posudzovanie a aktualizácia bezpečnostných opatrení v systémoch spracúvajúcich zdravotné údaje.
Článok X. Aplikácia práva ochrany spotrebiteľa
1. Služba HomeoVibe je podľa par. 852a a nasl. OZ zmluvou o poskytovaní digitálneho plnenia.
2. Tento dokument spolu s VOP napĺňa predzmluvné informačné povinnosti.
3. Údaje o zdravotnom stave slúžia výlučne na fungovanie aplikácie. Prevádzkovateľ ich nepredáva dátovým brókerom.
4. Práva týkajúce sa reklamácií a odstúpenia si uplatňuje v režime VOP. Pri predčasnom zániku zmluvy Prevádzkovateľ najprv sprístupni spotrebiteľovi všetok obsah (par. 852m ods. 6 OZ) a následne iniciuje riadny výmaz údajov v súlade s týmto dokumentom.
5. Mechanizmus udeľovania súhlasu so spracúvaním údajov o zdraví je podrobne upravený v Článku XI bod 2 a bod 5 VOP. Prevádzkovateľ zabezpečí, aby bol súhlas so zdravotnými údajmi vyžiadaný prostredníctvom samostatného zaškrtávacieho poľa oddeleného od súhlasu s VOP, v súlade s požiadavkami článku 7 ods. 2 GDPR na jasné oddelenie súhlasu od iných záležitostí.
Článok XI. Záverečné ustanovenia
1. Aktualizácie: O každej podstatnej zmene vás budeme informovať minimálne 30 dní vopred.
2. Ak zmena presahuje rámec pôvodného súhlasu, nadobudne účinnosť až po novom súhlase.
3. Rozhodujúce je slovenské znenie.
4. Účinnosť: 1. 5. 2026.