Politika zasebnosti

1. Upravljavec in področje uporabe

Upravljavec osebnih podatkov za namene, ki jih določa LexAI, je LexAI, napredne tehnologije prihodnosti, d.o.o., Ulica talcev 15, 2000 Maribor, Slovenija, matična številka 7447523000, davčna številka 29166799 (v nadaljevanju: »LexAI« ali »mi«).

Politika velja za javno spletno stran LexAI, uporabniške račune, uporabo aplikacije, plačila, podporo in druga sporočila z nami. Za vprašanja o varstvu osebnih podatkov smo dosegljivi na podpora@lexai.si.

Storitev ni namenjena osebam, mlajšim od 18 let. Če ugotovimo, da smo podatke mladoletne osebe prejeli brez ustrezne pravne podlage, jih izbrišemo oziroma izvedemo drug ukrep, ki ga zahteva zakon.

2. Vloge pri obdelavi podatkov

LexAI je upravljavec podatkov, ki jih potrebuje za registracijo, vodenje računa, obračunavanje, varnost, podporo, komunikacijo in izpolnjevanje svojih zakonskih obveznosti. Pri teh obdelavah določamo namene in bistvena sredstva obdelave.

Kadar organizacija ali drug poslovni uporabnik v LexAI vnese osebne podatke svojih strank, zaposlenih ali drugih oseb in sam določa namen njihove uporabe, je ta uporabnik praviloma upravljavec, LexAI pa njegov obdelovalec. Takšna obdelava poteka po dokumentiranih navodilih uporabnika in se, kadar je potrebno, dodatno uredi s pogodbo o obdelavi osebnih podatkov po 28. členu GDPR. Ta politika takšne pogodbe ne nadomešča.

3. Katere podatke obdelujemo in od kod jih dobimo

Glede na način uporabe lahko obdelujemo naslednje podatke:

• podatke o računu in prijavi, kot so ime, e-poštni naslov, organizacija, vloga, nastavitve računa in varno shranjeni podatki za preverjanje pristnosti;
• uporabniško vsebino, kot so vprašanja, pogovori, dokumenti, beležke, prepisi, navodila in rezultati, ki jih uporabnik ustvari ali naloži;
• podatke o uporabi in varnosti, kot so čas dostopa, uporabljena funkcija, poraba dobroimetja, tehnični dnevniki, naslov IP, podatki o napravi in brskalniku ter dogodki, potrebni za preprečevanje zlorab in odpravljanje napak;
• podatke o naročilu in računu, kot so naziv ali ime plačnika, naslov, država, davčna številka, kupljeno dobroimetje, znesek, valuta in stanje plačila; celotnih podatkov plačilne kartice ne hranimo;
• podatke iz komunikacije, ki nam jih posameznik posreduje ob vprašanju, prijavi težave, predstavitvi ali drugi komunikaciji;
• podatke o obisku spletne strani, kadar posameznik dovoli analitične piškotke.

Podatke praviloma prejmemo neposredno od uporabnika. Določene podatke lahko prejmemo tudi od njegove organizacije, izbranega ponudnika prijave, ponudnika plačil ali jih ustvarimo ob uporabi storitve. Osebni podatki drugih oseb so lahko vsebovani v gradivu, ki ga uporabnik zakonito vnese v storitev.

4. Nameni in pravne podlage

Osebne podatke obdelujemo za naslednje namene:

• za ustvarjanje in upravljanje računa, izvajanje izbranih funkcij, obdelavo naročil in zagotavljanje podpore, kadar je obdelava potrebna za izvajanje pogodbe ali ukrepov pred njeno sklenitvijo (točka (b) prvega odstavka 6. člena GDPR);
• za izdajanje računov, računovodsko in davčno dokumentacijo, odgovor pristojnim organom ter izpolnjevanje drugih zakonskih obveznosti (točka (c) prvega odstavka 6. člena GDPR);
• za varovanje računov in sistemov, preprečevanje zlorab, zagotavljanje dokazljivosti, uveljavljanje ali obrambo pravnih zahtevkov ter osnovno izboljševanje zanesljivosti storitve, na podlagi naših zakonitih interesov (točka (f) prvega odstavka 6. člena GDPR), kadar nad njimi ne prevladajo pravice posameznika;
• za neobvezno analitiko, tržna sporočila ali drugo jasno označeno neobvezno obdelavo samo na podlagi privolitve (točka (a) prvega odstavka 6. člena GDPR).

Če zahtevanih podatkov za račun, plačilo ali izvedbo storitve ne posredujete, vam zadevnega dela storitve morda ne bomo mogli zagotoviti. Podatki, ki temeljijo na privolitvi, niso pogoj za uporabo osnovne storitve. Privolitev lahko kadar koli prekličete brez vpliva na zakonitost pretekle obdelave.

5. Pravne vsebine in občutljivi podatki

Pravni dokumenti lahko vsebujejo osebne podatke strank, nasprotnih udeležencev, zaposlenih, prič, izvedencev in drugih oseb. Vsebujejo lahko tudi posebne vrste osebnih podatkov iz 9. člena GDPR ali podatke o kazenskih obsodbah in prekrških iz 10. člena GDPR.

Če LexAI pri uporabniški vsebini nastopa kot obdelovalec, je za določitev pravne podlage in izpolnitev pogojev iz 9. oziroma 10. člena GDPR odgovoren uporabnik kot upravljavec. Če LexAI pri posamezni obdelavi nastopa kot upravljavec, takšne podatke obdelujemo le, kadar je poleg podlage iz 6. člena izpolnjen tudi ustrezen pogoj iz 9. oziroma 10. člena GDPR, na primer kadar je obdelava nujna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov oziroma temelji na veljavni izrecni privolitvi.

6. Obdelava z umetno inteligenco

Ko uporabnik zahteva analizo, iskanje, povzetek, prepis ali osnutek, LexAI obdeluje izbrano vprašanje in potrebno gradivo, da izvede zahtevano nalogo. Posamezna vsebina se posreduje le tistim sistemom in pogodbenim izvajalcem, ki so potrebni za uporabljeno funkcijo.

Uporabniške vsebine ne uporabljamo za učenje javnih ali splošnonamenskih modelov umetne inteligence in tega ne dovolimo pogodbenim izvajalcem. Za zaščitene pravne vsebine uporabljamo le odobrene poti obdelave z ustreznimi pogodbenimi, regionalnimi, varnostnimi in zadrževalnimi omejitvami. Če posamezna funkcija teh pogojev ne izpolnjuje, se za takšno vsebino ne omogoči.

7. Prejemniki in pogodbeni izvajalci

Do podatkov dostopajo le pooblaščene osebe in izvajalci v obsegu, ki je potreben za njihov namen. Glede na uporabljeno funkcijo lahko sodelujejo naslednje kategorije prejemnikov:

• Hetzner Online GmbH za gostovanje, podatkovne zbirke, shranjevanje in varnostne kopije v Evropski uniji;
• Google Cloud in, pri odobrenih funkcijah,OpenAI za izvedbo posameznih funkcij umetne inteligence, obdelave dokumentov ali govora;
• Stripe za obdelavo plačil in podatkov, potrebnih za izdajo računov;
• Resend (Plus Five Five, Inc., ZDA) za pošiljanje sistemskih e-poštnih sporočil, kot so potrditev e-naslova, računi za nakup dobroimetja, varnostna obvestila in opozorila pred zaprtjem neaktivnega računa; ponudnik prejme le e-naslov prejemnika in besedilo sporočila, vsebine dokumentov, pogovorov, beležk in pravnih poizvedb pa ne;
• Sentry in LangSmith za varnostno omejeno tehnično spremljanje in odpravljanje napak; vsebina pravnih dokumentov in pogovorov se ne sme pošiljati v diagnostične zapise;
• Google Analytics in Microsoft Clarity samo na javni spletni strani in samo po privolitvi v analitiko.

Izvajalce pogodbeno zavežemo k zaupnosti, varnosti in obdelavi po naših navodilih, kadar nastopajo kot obdelovalci. Podatke lahko razkrijemo tudi pristojnemu organu ali drugemu prejemniku, kadar to zahteva zakon. Seznam se spremeni, kadar se spremeni dejanska izvedba storitve; o pomembni spremembi, ki vpliva na obdelavo podatkov stranke kot upravljavca, jo obvestimo skladno z DPA.

8. Prenosi izven Evropskega gospodarskega prostora

Primarno gostovanje uporabniških računov in vsebin je v Evropski uniji. Nekateri ponudniki imajo sedež ali podporne družbe zunaj Evropskega gospodarskega prostora, zato lahko pri posamezni funkciji pride do prenosa ali oddaljenega dostopa iz tretje države.

Ponudnik sistemske e-pošte Resend hrani podatke o poslanih sporočilih, to je e-naslov prejemnika, besedilo sporočila in dnevnike dostave, v Združenih državah Amerike. Prenos temelji na standardnih pogodbenih klavzulah Evropske komisije in na certifikatu ponudnika v okviru za varstvo podatkov med EU in ZDA.

Tak prenos izvedemo le ob ustrezni pravni podlagi in zaščitnih ukrepih, kot so sklep Evropske komisije o ustreznosti, standardne pogodbene klavzule in po potrebi dodatni tehnični ali organizacijski ukrepi. Pri občutljivih pravnih vsebinah izbiro ponudnika in poti obdelave dodatno omejimo glede na lokacijo, hrambo in pogodbeno varstvo. Informacije o uporabljenih zaščitnih ukrepih lahko zahtevate na podpora@lexai.si; pri posredovanju kopij lahko prekrijemo poslovne skrivnosti in podatke, ki se ne nanašajo na vlagatelja.

9. Obdobja hrambe

Podatke hranimo le toliko časa, kolikor je potrebno za namen, zaradi katerega so bili zbrani, oziroma toliko časa, kolikor to zahteva zakon, pogodba z upravljavcem ali uveljavljanje pravnih zahtevkov. Osnovna obdobja so:

• podatki računa se hranijo med njegovo uporabo in praviloma do 30 dni po potrjenem zaprtju, razen podatkov, ki jih moramo hraniti dlje;
• pogovori in druga vsebina se hranijo, dokler jih uporabnik ne izbriše oziroma dokler je račun aktiven; izbrisana vsebina v košu se praviloma dokončno izbriše po 30 dneh;
• po prenehanju poslovnega razmerja se podatki stranke vrnejo ali izbrišejo v rokih in na način, določen v DPA;
• računovodska, davčna in plačilna dokumentacija se hrani toliko časa, kolikor zahtevajo veljavni predpisi, praviloma deset let;
• običajni varnostni in tehnični dnevniki se praviloma hranijo do 30 dni, lahko pa dlje, kadar je to potrebno za preiskavo varnostnega dogodka ali pravni zahtevek;
• poslana sistemska e-poštna sporočila in dnevniki dostave se pri ponudniku e-pošte hranijo 30 dni, njegove varnostne kopije pa 7 dni;
• privolitev za piškotke velja 12 mesecev, podatki v Google Analytics pa se po trenutni nastavitvi hranijo dva meseca;
• varnostne kopije se prepisujejo po omejenem rotacijskem ciklu; podatki, izbrisani iz aktivnih sistemov, se iz kopij odstranijo ob naslednji predvideni rotaciji.

Kadar je podatek potreben zaradi odprtega spora, varnostnega dogodka, zakonske prepovedi izbrisa ali dokazovanja skladnosti, ga lahko omejeno hranimo do zaključka zadevnega postopka.

10. Varnost in zaupnost

Uporabljamo tehnične in organizacijske ukrepe, primerne tveganju, med drugim šifriran prenos, nadzor dostopa, ločevanje uporabniških okolij, upravljanje pooblastil, varnostne kopije, spremljanje delovanja in postopke za obravnavo incidentov. Dostop osebja je omejen na pooblaščene osebe, ki ga potrebujejo za svoje delo in jih zavezuje zaupnost.

Noben sistem ni popolnoma brez tveganja. Če pride do kršitve varnosti osebnih podatkov, dogodek ocenimo, dokumentiramo in o njem obvestimo pristojni nadzorni organ, upravljavca oziroma posameznike, kadar in v rokih, ki jih zahtevajo GDPR, ZVOP-2 ali pogodba.

11. Pravice posameznika

Posameznik lahko glede na okoliščine zahteva dostop do svojih podatkov, njihov popravek ali izbris, omejitev obdelave in prenosljivost podatkov. Ugovarja lahko obdelavi, ki temelji na zakonitem interesu, ter kadar koli prekliče privolitev.

Zahtevo pošljite na podpora@lexai.si. Zaradi zaščite podatkov lahko pred odgovorom preverimo identiteto in upravičenost vlagatelja. Odgovorimo brez nepotrebnega odlašanja in praviloma v enem mesecu; pri zahtevni ali obsežni zahtevi se rok lahko pod pogoji GDPR podaljša za največ dva dodatna meseca.

Če LexAI podatke obdeluje izključno po navodilih poslovne stranke, zahtevo posredujemo tej stranki ali ji pomagamo pri odgovoru. Posameznik lahko vloži pritožbo pri Informacijskem pooblaščencu Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, ali pri drugem pristojnem nadzornem organu.

12. Avtomatizirano odločanje

LexAI pripravlja računalniško ustvarjene analize in osnutke, vendar sam ne sprejema odločitev, ki bi za posameznika ustvarjale pravne učinke ali nanj podobno pomembno vplivale izključno na podlagi avtomatizirane obdelave. Rezultate mora pred uporabo preveriti in potrditi odgovorna oseba.

13. Piškotki in analitika

Nujno potrebne piškotke uporabljamo za prijavo, varnost, delovanje storitve in shranjevanje izbire zasebnosti. Prvostranski piškoteklexai_consent_v1 shrani različico pravil, čas in izbrane kategorije ter velja 12 mesecev. Po privolitvi lahko Google Analytics uporablja piškotke s predpono _ga, Microsoft Clarity pa piškotke s predponama _clck in_clsk.

Google Tag Manager, Google Analytics in Microsoft Clarity se na javni spletni strani ne naložijo, dokler uporabnik ne dovoli analitike. Analitika ne prejema vsebine pravnih dokumentov, pogovorov ali prostega besedila iz aplikacije. Oglaševalske oznake trenutno niso vključene.

Privolitev lahko zavrnete ali pozneje prekličete brez vpliva na osnovno uporabo strani. Svojo izbiro lahko kadar koli spremenite z naslednjim gumbom.

14. Spremembe politike in kontakt

Politiko posodobimo, kadar se spremenijo obdelave, ponudniki, funkcije ali pravne zahteve. Veljavna različica je vedno objavljena na tej strani. O pomembni spremembi, ki bistveno vpliva na pričakovano obdelavo registriranega uporabnika, ga obvestimo na primeren način.

Za vprašanja o tej politiki ali obdelavi osebnih podatkov pišite na podpora@lexai.si. Politika temelji zlasti na Splošni uredbi o varstvu podatkov (GDPR), Zakonu o varstvu osebnih podatkov (ZVOP-2) in pravilih o piškotkih iz Zakona o elektronskih komunikacijah (ZEKom-2).