Zmluva o spracúvaní osobných údajov (DPA)

podľa čl. 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR)

Zmluvné strany

Prevádzkovateľ (Controller)

Prevádzkovateľom je registrovaný Používateľ služby MEDORA (lekár / poskytovateľ zdravotnej starostlivosti), identifikovaný údajmi, ktoré uviedol pri registrácii účtu — najmä obchodné meno / meno a priezvisko, IČO, sídlo / adresa ambulancie a e-mail. Tieto údaje sú vedené v účte Používateľa a tvoria neoddeliteľnú súčasť tejto DPA. (ďalej len „Prevádzkovateľ" alebo „Lekár")

Sprostredkovateľ (Processor)

(ďalej len „Sprostredkovateľ" alebo „MEDORA"); spolu ďalej len „Zmluvné strany".

Článok 1 — Predmet zmluvy

1.1. Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") sa uzatvára v súlade s čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z.z. o ochrane osobných údajov.

1.2. Predmetom tejto DPA je úprava práv a povinností Zmluvných strán pri spracúvaní osobných údajov pacientov Prevádzkovateľa prostredníctvom služby MEDORA.

1.3. Táto DPA je neoddeliteľnou súčasťou Všeobecných obchodných podmienok (VOP) služby MEDORA a nadobúda účinnosť registráciou účtu Prevádzkovateľa v službe MEDORA.

Článok 2 — Rozsah a účel spracúvania

2.1 Účel spracúvania

Sprostredkovateľ spracúva osobné údaje výlučne na nasledujúce účely:

• AI-asistovaný prepis reči na text (transkripcia lekárskych diktátov a rozhovorov lekára s pacientom)
• AI-asistované generovanie návrhov lekárskych správ
• Automatická extrakcia medicínskych entít (diagnózy MKCH-10, lieky SUKL, vykazovacie kódy)
• E-mailový asistent (návrhy odpovedí na e-maily podľa inštrukcií lekára)

2.2 Povaha spracúvania

• Automatizovaný prepis zvukového záznamu na text
• Spracovanie textu jazykovým modelom (generovanie správ, extrakcia entít)
• Šifrované uloženie výsledkov v databáze
• Automatické mazanie podľa retenčnej politiky

2.3 Doba spracúvania

Sprostredkovateľ spracúva osobné údaje po dobu trvania zmluvného vzťahu (poskytovanie služby MEDORA Prevádzkovateľovi). Po ukončení zmluvy postupuje podľa článku 9.

Článok 3 — Kategórie osobných údajov a dotknutých osôb

3.1 Kategórie osobných údajov

3.2 Kategórie dotknutých osôb

• Pacienti Prevádzkovateľa
• Ďalšie osoby prítomné pri návšteve, ktorých hlas je súčasťou záznamu — najmä sprevádzajúce osoby, rodinní príslušníci, zákonní zástupcovia, opatrovatelia a tlmočníci. Spracúva sa výlučne obsah ich vyjadrení v rámci návštevy; ich údaje sa nespracúvajú na žiadny samostatný účel a nevytvára sa z nich samostatný záznam.

Článok 4 — Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje (čl. 28 ods. 3 GDPR):

4.1 Spracúvanie podľa pokynov (písm. a))

Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov týkajúcich sa prenosu údajov do tretích krajín. Ak je Sprostredkovateľ povinný spracúvať údaje na základe práva EÚ alebo SR, informuje o tom Prevádzkovateľa pred spracúvaním (pokiaľ to právo nezakazuje).

4.2 Dôvernosť (písm. b))

Zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby podliehali zákonnej povinnosti mlčanlivosti.

4.3 Bezpečnosť spracúvania (písm. c))

Prijať všetky opatrenia požadované podľa čl. 32 GDPR, najmä:

4.4 Sub-sprostredkovatelia (písm. d))

a) Prevádzkovateľ udeľuje všeobecné písomné povolenie na zapojenie ďalších sub-sprostredkovateľov podľa článku 6 tejto DPA.

b) Sprostredkovateľ informuje Prevádzkovateľa o akejkoľvek zamýšľanej zmene v zozname sub-sprostredkovateľov najmenej 30 dní vopred, čím poskytne Prevádzkovateľovi možnosť namietať proti zmene.

4.5 Pomoc prevádzkovateľovi — práva dotknutých osôb (písm. e))

Pomáhať Prevádzkovateľovi primeranými technickými a organizačnými opatreniami pri plnení povinností reagovať na žiadosti dotknutých osôb podľa kapitoly III GDPR (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka). Sprostredkovateľ zabezpečuje export údajov vo formáte JSON (samoobslužne a okamžite vo webovom rozhraní; pri písomnej žiadosti najneskôr do 72 hodín), vymazanie na žiadosť Prevádzkovateľa a zobrazenie/úpravu údajov cez webové rozhranie.

4.6 Pomoc prevádzkovateľovi — DPIA a konzultácie (písm. f))

Pomáhať Prevádzkovateľovi pri plnení povinností podľa čl. 32 – 36 GDPR, vrátane posúdenia vplyvu na ochranu údajov (DPIA) a prípadnej konzultácie s dozorným orgánom.

4.7 Vymazanie alebo vrátenie údajov (písm. g))

Po ukončení poskytovania služby na základe rozhodnutia Prevádzkovateľa vymazať všetky osobné údaje alebo ich vrátiť Prevádzkovateľovi a vymazať existujúce kópie, pokiaľ právo EÚ alebo SR nevyžaduje uchovávanie. Postup: (1) export vo formáte JSON si Prevádzkovateľ stiahne sám a okamžite kedykoľvek pred ukončením (pri písomnej žiadosti najneskôr do 72 hodín); (2) po potvrdení žiadosti o vymazanie účtu sa účet a všetky súvisiace údaje mažú bezodkladne, najneskôr do 30 dní — vymazanie je nezvratné, export je preto potrebné stiahnuť vopred; (3) prepisy a lekárske správy sa nezávisle od toho mažú priebežne podľa nastavenej retencie (najviac 14 dní, predvolené 7); (4) fakturačné údaje uchovávané v zákonnej lehote 10 rokov podľa zákona č. 431/2002 Z.z.

4.8 Audit a kontrola (písm. h))

Poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožniť audity vrátane inšpekcií.

Sprostredkovateľ poskytne Prevádzkovateľovi informácie a primeranú súčinnosť potrebnú na vykonanie posúdenia vplyvu na ochranu údajov (DPIA) vrátane relevantnej dokumentácie o technických a organizačných opatreniach, informácií o sub-sprostredkovateľoch a auditných záznamov bez obsahu zdravotnej dokumentácie a bez priamo identifikujúcich údajov pacientov.

4.8.1. Audit sa vykonáva najviac raz ročne, ak nejde o audit vyvolaný bezpečnostným incidentom alebo pokynom dozorného orgánu.

4.8.2. Prevádzkovateľ oznámi audit najmenej 30 dní vopred vrátane rozsahu a osoby audítora.

4.8.3. Audit prebieha prednostne dištančne — poskytnutím dokumentácie, certifikátov a odpovedí na dotazník. Fyzická inšpekcia sa vykoná, len ak dištančná forma preukázateľne nepostačuje.

4.8.4. Sprostredkovateľ môže namietať proti osobe audítora, ak ide o jeho konkurenta alebo o osobu bez preukázanej odbornosti. Audítor je viazaný mlčanlivosťou.

4.8.5. Náklady auditu znáša Prevádzkovateľ, okrem prípadu, keď audit preukáže podstatné porušenie povinností Sprostredkovateľa.

4.8.6. Zistenia z auditu sú dôverné a nesmú byť poskytnuté tretím stranám okrem dozorného orgánu.

4.9 Zákaz trénovania a sekundárneho použitia

Sprostredkovateľ nepoužije osobné údaje spracúvané v mene Prevádzkovateľa na tréning, doladenie (fine-tuning), evaluáciu ani zlepšovanie modelov umelej inteligencie, ani na vývoj vlastných produktov alebo služieb. Rovnaký zákaz je zmluvne uložený všetkým sub-sprostredkovateľom. Výnimka je možná len na základe samostatného písomného pokynu Prevádzkovateľa a za predpokladu, že to príslušný právny základ umožňuje.

Sprostredkovateľ na požiadanie Prevádzkovateľa doloží splnenie tohto zákazu zmluvnou dokumentáciou so sub-sprostredkovateľmi alebo ich písomným potvrdením. U poskytovateľov modelov umelej inteligencie platí nulová retencia: obsah spracúvaný v mene Prevádzkovateľa sa u nich neuchováva ani na prevádzkové účely, ani na automatizovanú kontrolu zneužitia služby.

Článok 5 — Povinnosti Prevádzkovateľa

5.1 Informačná povinnosť voči pacientom

a) Informovať pacientov o spracúvaní ich osobných údajov prostredníctvom AI systému MEDORA v súlade s čl. 13 a 14 GDPR.

b) Informovať pacientov o používaní systémov umelej inteligencie v súlade s čl. 50 nariadenia (EÚ) 2024/1689 (EU AI Act).

c) Zvoliť vhodný spôsob informovania pacienta o spracúvaní údajov prostredníctvom AI systému MEDORA — ústne pri návšteve alebo vlastným písomným informačným dokumentom.

d) Ak na informovanie pacienta použije písomný informačný formulár, uchovávať ho v súlade so svojimi povinnosťami podľa zákona č. 576/2004 Z.z.

5.2 Právny základ

a) Zabezpečiť, aby existoval platný právny základ pre spracúvanie osobných údajov pacientov, a to čl. 9 ods. 2 písm. h) GDPR — poskytovanie zdravotnej starostlivosti.

b) Dodržiavať podmienky spracúvania zdravotných údajov podľa § 16 ods. 2 písm. h) zákona č. 18/2018 Z.z.

5.3 Presnosť údajov

Zabezpečiť presnosť osobných údajov zadávaných do systému MEDORA a overiť správnosť všetkých výstupov AI pred ich použitím v zdravotnej dokumentácii.

5.4 Zdravotná dokumentácia

Viesť riadnu zdravotnú dokumentáciu v certifikovanom NIS podľa zákona č. 576/2004 Z.z., plniť povinnosti voči NZIS podľa zákona č. 153/2013 Z.z. MEDORA nie je zdravotnícka pomôcka (zákon č. 56/2018 Z.z.) ani náhrada NIS/eZdravie.

5.5 Pokyny Prevádzkovateľa

Zabezpečiť, aby pokyny dané Sprostredkovateľovi boli v súlade s GDPR a príslušnými právnymi predpismi.

Článok 6 — Sub-sprostredkovatelia

6.1 Všeobecné povolenie a zoznam sub-sprostredkovateľov

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie na zapojenie ďalších sub-sprostredkovateľov (čl. 28 ods. 2 GDPR). Všetci sub-sprostredkovatelia spracúvajú osobné údaje výlučne na serveroch v rámci Európskej únie. U poskytovateľov AI služieb (prepis reči na text a jazykový model) platí zmluvný zákaz použitia údajov na trénovanie ich modelov. U poskytovateľa jazykového modelu aj u poskytovateľa prepisu reči na text platí nulová retencia; poskytovateľ prepisu reči udelil Sprostredkovateľovi výnimku z uchovávania údajov na automatizovanú kontrolu zneužitia služby. Sub-sprostredkovatelia sú zmluvne viazaní rovnakými povinnosťami ochrany údajov ako v tejto DPA (čl. 28 ods. 4 GDPR — pozri bod 6.3).

Aktuálny menný zoznam sub-sprostredkovateľov (obchodné meno, účel, umiestnenie, typ údajov a retencia) poskytne Sprostredkovateľ Prevádzkovateľovi na vyžiadanie na adrese info@medora.sk. O akejkoľvek zamýšľanej zmene v zozname informuje Sprostredkovateľ vopred podľa bodu 6.2, čím Prevádzkovateľovi umožní uplatniť právo namietať.

6.2 Zmenový postup

a) Sprostredkovateľ informuje Prevádzkovateľa o zapojení nového sub-sprostredkovateľa alebo nahradení existujúceho najmenej 30 dní vopred prostredníctvom e-mailu.

b) Prevádzkovateľ má právo namietať proti zmene do 14 dní od doručenia oznámenia. Námietka musí byť odôvodnená.

c) Ak je námietka oprávnená a Sprostredkovateľ nemôže zabezpečiť alternatívu, má Prevádzkovateľ právo ukončiť zmluvu bez sankcií s 30-dňovou výpovednou lehotou.

d) Prevádzkovateľ je v takom prípade oprávnený ukončiť zmluvu aj ku dňu zapojenia sub-sprostredkovateľa, a to bez sankcie a s nárokom na vrátenie pomernej časti vopred uhradeného predplatného za nevyčerpané obdobie. Toto ustanovenie má prednosť pred bodom 4.2.4 VOP (nevratnosť predplatného).

e) Ak Prevádzkovateľ v lehote podľa písm. b) nenamieta, považuje sa zmena za odsúhlasenú.

6.3 Zmluvné záväzky sub-sprostredkovateľov

Sprostredkovateľ zabezpečí, aby na sub-sprostredkovateľov boli prostredníctvom zmluvy uložené rovnaké povinnosti ochrany údajov ako v tejto DPA (čl. 28 ods. 4 GDPR). Ak sub-sprostredkovateľ tieto povinnosti nesplní, zodpovedá Sprostredkovateľ Prevádzkovateľovi za ich plnenie v rovnakom rozsahu, v akom by zodpovedal, keby služby sub-sprostredkovateľa poskytoval priamo sám.

Článok 7 — Medzinárodné prenosy

7.1. Všetky osobné údaje sú spracúvané výlučne na serveroch umiestnených v rámci Európskej únie (Francúzsko, Írsko).

7.2. Niektorí sub-sprostredkovatelia sú spoločnosti so sídlom mimo EÚ (napr. v USA), spracúvajú však osobné údaje výlučne v dátových centrách v rámci EÚ na základe zmluvy o spracúvaní údajov (DPA). Pre prípad nevyhnutného prístupu z tretej krajiny sú s takýmito sub-sprostredkovateľmi dojednané štandardné zmluvné doložky (SCC) podľa kapitoly V GDPR; poskytovateľ prepisu reči na text je zároveň certifikovaný podľa EU-US Data Privacy Framework. K bežnému prenosu osobných údajov do tretích krajín nedochádza.

7.3. V prípade, že by v budúcnosti bolo nevyhnutné preniesť údaje do tretej krajiny nad rámec bodu 7.2, Sprostredkovateľ informuje Prevádzkovateľa vopred a zabezpečí primerané záruky podľa kapitoly V GDPR.

Článok 8 — Porušenie ochrany osobných údajov

8.1. Sprostredkovateľ informuje Prevádzkovateľa o akomkoľvek porušení ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od jeho zistenia.

8.2. Oznámenie obsahuje minimálne: popis povahy porušenia (kategórie a približný počet dotknutých osôb), kontaktné údaje na osobu zodpovednú za riešenie, popis pravdepodobných dôsledkov a popis prijatých/navrhovaných opatrení.

8.3. Sprostredkovateľ poskytne Prevádzkovateľovi všetky informácie potrebné na splnenie notifikačnej povinnosti voči dozornému orgánu podľa čl. 33 GDPR (72 hodín) a voči dotknutým osobám podľa čl. 34 GDPR.

8.4. Podrobný postup riešenia incidentov je uvedený v internom dokumente Incident Response Playbook Sprostredkovateľa.

8.5. Po prvotnom oznámení poskytuje Sprostredkovateľ Prevádzkovateľovi priebežné aktualizácie v intervaloch primeraných závažnosti incidentu. Po stabilizácii incidentu poskytne súhrnnú správu obsahujúcu príčinu, rozsah dopadu a prijaté nápravné opatrenia. Kontaktným miestom pre bezpečnostné incidenty je info@medora.sk.

Článok 9 — Ukončenie a vymazanie údajov

9.1. Po ukončení poskytovania služby MEDORA Sprostredkovateľ:

a) Sprístupní Prevádzkovateľovi export údajov vo formáte JSON samoobslužne a okamžite v aplikácii; pri písomnej žiadosti najneskôr do 72 hodín.

b) Po uplynutí exportovej lehoty alebo na výslovnú žiadosť Prevádzkovateľa vymaže všetky osobné údaje podľa nasledujúcej retenčnej politiky:

c) Fakturačné údaje budú uchovávané po zákonnej dobe 10 rokov (zákon č. 431/2002 Z.z. o účtovníctve).

9.2. Na žiadosť Prevádzkovateľa potvrdí Sprostredkovateľ vymazanie údajov písomne.

9.3. Zálohy. Databázu zálohujeme pre prípad havárie; zálohy sa prepisujú v 14-dňovom cykle. Vymazané údaje sú z aplikácie preč okamžite, zo záloh najneskôr do 14 dní.

Článok 10 — Zodpovednosť

10.1. Zodpovednosť Zmluvných strán za porušenie tejto DPA sa riadi čl. 82 GDPR a príslušnými ustanoveniami VOP služby MEDORA.

10.2. Každá Zmluvná strana zodpovedá za škodu spôsobenú spracúvaním, ktoré porušuje GDPR. Sprostredkovateľ zodpovedá za škodu iba v prípade, že nesplnil povinnosti uložené GDPR osobitne sprostredkovateľom alebo konal v rozpore s pokynmi Prevádzkovateľa.

Článok 11 — Záverečné ustanovenia

11.1. Táto DPA sa riadi právnym poriadkom Slovenskej republiky.

11.2. Ak sa akékoľvek ustanovenie tejto DPA stane neplatným alebo nevymáhateľným, zostávajúce ustanovenia zostávajú v plnej platnosti a účinnosti.

11.3. Zmeny tejto DPA sú možné len písomnou dohodou Zmluvných strán alebo prostredníctvom zmeny VOP (s 30-dňovým predstihom).

11.4. V otázkach neupravených touto DPA sa uplatňujú VOP služby MEDORA a príslušné právne predpisy.

11.5. Táto DPA nadobúda účinnosť registráciou účtu Prevádzkovateľa v službe MEDORA.

11.6. V prípade rozporu medzi touto DPA a VOP má vo veciach spracúvania osobných údajov prednosť táto DPA. Vo veciach, ktoré táto DPA neupravuje, sa uplatnia VOP.

Akceptácia zmluvy

Táto DPA sa uzatvára elektronicky. Prevádzkovateľ ju akceptuje pri registrácii účtu v službe MEDORA zaškrtnutím súhlasu s Všeobecnými obchodnými podmienkami a touto DPA. Akceptácia je zaznamenaná v systéme Sprostredkovateľa spolu s časovou pečiatkou a identifikačnými údajmi Prevádzkovateľa uvedenými pri registrácii.

Táto DPA je uzatvorená v elektronickej forme v súlade s čl. 28 ods. 9 GDPR. Akceptácia je zaznamenaná spolu s časovou pečiatkou a identifikačnými údajmi Prevádzkovateľa.

Verzia 1.0 — platné od 1. júna 2026 · Všeobecné obchodné podmienky · Ochrana osobných údajov