EcoSynq Connect – zásady ochrany osobných údajov

1. Prevádzkovateľ a kontakt

Prevádzkovateľom osobných údajov je E-co Inform Services Kft., 1147 Budapest, Telepes utca 13., prízemie 1, Maďarsko; registračné číslo spoločnosti 01-09-200201; maďarské daňové číslo 25108930-2-42; IČ DPH EÚ HU25108930. Žiadosti týkajúce sa ochrany súkromia: info@e-co-inform.hu, +36 30 553 4223.

2. Rozsah a úlohy

Tieto zásady sa vzťahujú na aplikáciu EcoSynq Connect pre Windows, súvisiace sprostredkovatele OAuth, prenos webhookov, podporu a stránky Connect na ecosynq.eu. Pripojený poskytovateľ môže byť nezávislým prevádzkovateľom svojej služby. Pri organizačnom účte môže účely určovať aj zamestnávateľ alebo organizácia; EcoSynq koná ako sprostredkovateľ alebo prevádzkovateľ podľa príslušnej zmluvy a skutočných okolností.

Mattermost, Element (Matrix) (matrix-element), Rocket.Chat, Zulip, Nextcloud Talk, Webex Messaging, Chatwork, Toggl Track, Teamwork Projects, GroupMe, Pushbullet, Twist, Twitch a Zoho Cliq prijímajú samostatné profily pripojenia a prihlasovacích údajov, ale ich katalógy podliehajú kontrole za behu: fungovať môžu iba operácie označené Executable , zatiaľ čo operácie so stavom AdapterMissing zostávajú vypnuté. Fastmail má 41 vstavaných spustiteľných operácií JMAP. Plurk, VK a Threema Gateway majú stav AdapterUnavailable a nesprístupňujú žiadnu spustiteľnú operáciu API. Funkčný profil prihlasovacích údajov sám osebe neznamená schválenie poskytovateľom. Poskytovateľ SaaS a vlastník účtu alebo pracovného priestoru – alebo pri vlastných serveroch a otvorených protokoloch prevádzkovateľ organizácie, domovského servera, inštancie či poštového servera – určujú podmienky spracovania, uchovávania, odstránenia a prenosu do AI. Súhlas EcoSynq nenahrádza schválenie vlastníka alebo správcu. Pozrite Oznámenie o používaní údajov.

3. Kategórie údajov

• Lokálne údaje účtu a autentifikácie: identifikátory poskytovateľa a účtu, zobrazované meno, udelené rozsahy oprávnení, prístupové a obnovovacie tokeny, kľúče API, súbory cookie a relácie WebView, databáza TDLib, funkcie a oprávnenia.
• Záznam vyhlásenia Codex o zákaze trénovania: jednosmerný odtlačok SHA-256 s oddelením domény, vytvorený lokálne z normalizovaného e-mailového identifikátora aktuálneho osobného účtu ChatGPT/Codex, čas vyhlásenia a verzia pravidiel a dve samostatné potvrdenia používateľa. Nespracovaná e-mailová adresa ChatGPT sa nezapisuje do stavového súboru aplikácie.
• Používateľský obsah: správy, e-maily, súbory, kalendár, úlohy, údaje zo sociálnych sietí, podpory alebo analytiky vybrané pre používateľom požadovanú operáciu a obsah vytvorený používateľom. Zvyčajne prúdi priamo medzi lokálnym klientom a poskytovateľom.
• Obsah AI: zadanie, príloha, vybrané údaje poskytovateľa, činnosť nástrojov a odpoveď pri používaní Codexu, ak to pravidlá poskytovateľa dovoľujú.
• Technické údaje: verzia aplikácie, identifikátor zariadenia alebo pripojenia, stav či chyba operácie, časové údaje, bezpečnostné a prístupové protokoly a IP adresa sprostredkovateľa alebo prenosovej služby.
• Údaje podpory: meno, e-mail, text žiadosti a prílohy dobrovoľne zaslané podpore.
• Povinné a voliteľné údaje: na vytvorenie pripojenia API je potrebný presný poskytovateľ, účet, koncový bod a autentifikačné údaje vyžadované poskytovateľom. Používanie WebView, AI/Codex, triedenie upozornení, prílohy, pracovné priečinky, údaje podpory a jednotlivé funkcie sú voliteľné. Používateľ môže odmietnuť pripojenie služby alebo povolenie operácie; príslušná funkcia potom nebude dostupná. Pri platenej službe môžu byť zákonné fakturačné údaje povinné.

4. Účely a právne základy

Údaje spracúvame na zabezpečenie požadovaného pripojenia a operácie, autentifikácie, synchronizácie, voliteľných upozornení, bezpečnosti, riešenia problémov, podpory, právneho súladu a predchádzania zneužitiu. Podľa GDPRmôže byť právnym základom konkrétneho účelu plnenie zmluvy (čl. 6 ods. 1 písm. b) pre požadovanú funkciu Connect; odvolateľný súhlas (a) pre voliteľné pripojenie, AI alebo tok údajov upozornení, ak je vhodný; zákonná povinnosť (c), vrátane povinných fakturačných záznamov alebo záznamov pre orgány; alebo oprávnené záujmy (f) na bezpečnosti aplikácie a účtu, odstraňovaní chýb, predchádzaní podvodom a právnych nárokoch. Spracovanie na základe oprávneného záujmu vyžaduje test proporcionality, nevyhnutnosť, minimalizáciu údajov a právo namietať. Connect zámerne nevyžaduje osobitné kategórie údajov; môže ich spracovať iba vtedy, ak ich používateľ zákonne uchováva, vyberie na konkrétnu operáciu a existuje primeraný právny základ.

Žiadosť ani vyhlásenie používateľa samy osebe nepreukazujú zákonnosť spracovania údajov tretej osoby. Connect nedokáže overiť, či je obsah skutočný alebo fiktívny, jeho zdroj, účasť tretej strany ani existenciu potrebného právneho základu, oprávnenia či súhlasu. Používateľ musí na svojej strane zabezpečiť potrebné preukázateľné práva, informovanie a autorizáciu; ústny súhlas postačuje iba vtedy, ak ho pripúšťajú príslušné právo a pravidlá poskytovateľa a možno preukázať jeho udelenie. EcoSynq naďalej samostatne zodpovedá za vlastné povinnosti prevádzkovateľa, sprostredkovateľa, bezpečnosti a zmlúv s poskytovateľmi, ktoré nemožno zákonne vylúčiť; vyhlásenie používateľa nemôže obísť obmedzenia poskytovateľa ani technické podmienky.

5. Lokálne úložiská a tok údajov na serveri

• Trvalé prihlasovacie údaje a tokeny API/OAuth zostávajú v lokálnom trezore chránenom pomocou Windows DPAPI. Súbory cookie, vyrovnávacia pamäť, lokálne úložisko a relácie WebView2 sú oddelené v izolovanom profile viazanom na presný účet. TDLib používa ďalšiu lokálnu databázu; odstránenie ktoréhokoľvek úložiska automaticky neodstráni ostatné.
• Sprostredkovatelia OAuth uchovávajú centrálne prihlasovacie údaje aplikácie. Po výmene kódu zostáva token používateľa v šifrovanej transakcii s vysokou entropiou viazanej na polling najviac desať minút; po úspešnom doručení je povolené opakovanie najviac ďalších 120 sekúnd a transakcia sa potom odstráni. Pri obnove je obnovovací token prítomný iba počas požiadavky.
• Prenosová služba WhatsApp overí podpis Meta a zašifruje celú udalosť verejným kľúčom RSA registrovaného zariadenia Connect. Obálku odstráni po potvrdení alebo najneskôr po 24 hodinách. Nikdy neprijíma používateľov token Graph.
• Spätné volanie Meta na odstránenie overí podpísanú požiadavku a odstráni iba zodpovedajúci dočasný stav a transakcie OAuth na strane sprostredkovateľa. Najviac 30 dní uchováva minimálny záznam: potvrdzovací kód, časové údaje, stav a odtlačok identifikátora používateľa Meta vytvorený pomocou App-Secret-HMAC. Spätné volanie neodstráni trezor DPAPI zariadenia, profil WebView2, údaje TDLib, históriu upozornení ani konverzáciu Codex. Kým neexistuje autentifikovaný front na odstránenie v zariadení, postupujte podľa pokynov na odstránenie účtu a údajov.
• Prístupové a bezpečnostné protokoly hostingu, ak vznikajú, sa uchovávajú najviac 30 dní, okrem prípadov, keď dokumentované riešenie incidentu, zákonné povinnosti alebo nároky vyžadujú dlhšie uchovávanie.

6. Informácie o AI/Codex

EcoSynq nepoužíva údaje poskytovateľov na trénovanie vlastného ani cudzieho univerzálneho modelu AI. Connect funguje výhradne s jediným osobným účtom ChatGPT/Codex, ktorý je k nemu pripojený; táto služba OpenAI je samostatným príjemcom a podľa vlastných podmienok môže konať ako nezávislý prevádzkovateľ. OpenAI môže používať obsah osobného ChatGPT/Codex na zlepšovanie modelov, pokiaľ sa používateľ neodhlási zo zdieľania. Stav „User-attested no-training“ v Connecte zaznamenáva iba datované vyhlásenie používateľa , že skontroloval, vypol a ponechá vypnuté zdieľanie údajov na zlepšovanie modelov v ChatGPT aj v používanom prostredí Codex; aplikácia tieto externé nastavenia účtu nedokáže technicky ani právne overiť, preto stav nie je zárukou ani osvedčením súladu. Údaje poskytovateľa možno sprístupniť iba pre používateľom vyžiadanú funkciu, povolenú možnosť a poskytovateľom dovolený tok údajov; pri neistote musí prístup zostať zablokovaný. Odoslanie spätnej väzby OpenAI môže umožniť použitie príslušnej konverzácie na trénovanie.

Označenie dôležitosti a jednovetové zhrnutie asistenta upozornení sú odporúčaniami, môžu byť nesprávne a používateľ ich môže zmeniť. Nesmú byť jediným podkladom rozhodnutia s právnymi alebo podobne významnými účinkami, vrátane rozhodnutí v oblasti zamestnania, úverov, poistenia, zdravotnej starostlivosti, verejnej správy alebo nárokov.

Telegram: Údaje Telegram API sa neposkytujú Codexu, klasifikátorom upozornení, embeddingom ani žiadnemu systému AI/ML, pretože bod 1.5 aktuálnych podmienok Telegram API takéto použitie zakazuje. Každá výnimka vyžaduje predchádzajúce písomné povolenie Telegramu.

7. Oznámenie Google Limited Use

Používanie informácií získaných z Google API v EcoSynq Connect a ich prenos do inej aplikácie bude v súlade s dokumentom Google API Services User Data Policyvrátane požiadaviek Limited Use. Uplatňuje sa aj dokument Google Workspace API User Data and Developer Policy pridáva ďalšie kontrolné opatrenia. Údaje Google možno používať iba na viditeľnú funkciu vyžiadanú používateľom a nesmú sa predávať ani používať na reklamu, sledovanie, úverové rozhodovanie či trénovanie všeobecných modelov. Ide o záväzok pri používaní údajov; samotné políčko Connectu nie je technickým ani právnym dôkazom či zárukou súladu s Limited Use. Pred spracovaním údajov Google agentom alebo AI musí Connect zobraziť v aplikácii informácie o údajoch a ich prenose do AI, získať výslovné potvrdenie konkrétnej externej operácie, použiť minimálne rozsahy a chrániť sa pred prompt injection v nedôveryhodnom obsahu poskytovateľa; inak musí tok údajov zostať zablokovaný.

8. Príjemcovia a medzinárodné prenosy

Príjemcami môžu byť používateľom vybraný poskytovateľ či organizácia, služba OpenAI/Codex priradená jedinému osobnému účtu ChatGPT/Codex pripojenému ku Connectu, zmluvní sprostredkovatelia hostingu, prenosu, bezpečnosti alebo podpory EcoSynq a orgány, ak to vyžaduje zákon. Zmluvný sprostredkovateľ môže konať iba podľa zdokumentovaných pokynov, povinnosti mlčanlivosti a bezpečnosti a zmluvy podľa článku 28 GDPR; externý poskytovateľ alebo OpenAI môžu podľa svojich podmienok a skutočnej konfigurácie konať ako sprostredkovateľ alebo nezávislý prevádzkovateľ. Údaje nepredávame ani neposkytujeme obchodníkom s údajmi, reklamným sieťam alebo na profilovanie na účely sledovania. Prenos mimo EHP vyžaduje záruku overenú pre konkrétneho príjemcu – rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iný platný mechanizmus GDPR; samotné všeobecné vyhlásenie nezabezpečuje zákonnosť prenosu. Skutočného príjemcu a cieľ určuje konfigurácia pripojeného poskytovateľa, organizácie a osobného účtu ChatGPT/Codex používateľa.

9. Uchovávanie a odstránenie

Trezor prihlasovacích údajov DPAPI, presný profil WebView2, údaje TDLib, nastavenia účtu a konverzácia Codex sú aktívne údaje uchovávané, kým používateľ samostatne neodstráni príslušný typ; nejde o zálohy Connectu. Zálohy na obnovu stavu bez tajných údajov sa uchovávajú 30 dní a systém udržiava najviac 180 snímok; 180 je limit počtu snímok, nie doba uchovávania. Uchovávanie záloh AGENTS/zručností sa nastavuje samostatne a predvolene trvá 30 dní. Uchovávanie histórie upozornení sa tiež nastavuje samostatne a predvolene trvá 30 dní. Transakcia sprostredkovateľa OAuth trvá najviac desať minút a najviac 120 sekúnd opakovania po doručení, šifrovaná prenosová obálka najviac 24 hodín a záznam Meta HMAC najviac 30 dní. Zálohy Connectu neobsahujú aktívny profil WebView2 ani trezor DPAPI; zálohy Windows, podnikové a ďalšie externé zálohy riadi používateľ alebo správca systému. Korešpondencia podpory sa môže uchovávať najviac tri roky po uzavretí; fakturačné a právne záznamy počas zákonných lehôt. Samostatné kroky uvádza pokynov na odstránenie účtu a údajov .

10. Práva a sťažnosti

Dotknuté osoby môžu požiadať o prístup, opravu, vymazanie, obmedzenie a prenosnosť, namietať spracovanie na základe oprávneného záujmu a kedykoľvek odvolať súhlas. Napíšte na info@e-co-inform.hu. Totožnosť môžeme overiť, nikdy však nežiadame heslo ani token. Odpovedáme bez zbytočného odkladu, spravidla do jedného mesiaca podľa GDPR. Pri zložitých alebo početných žiadostiach sa lehota môže predĺžiť o ďalšie dva mesiace; oznámenie a dôvody poskytneme počas prvého mesiaca. Sťažnosť možno podať maďarskému Národnému úradu pre ochranu údajov a slobodu informácií (NAIH) alebo príslušnému súdu.

11. Bezpečnosť, deti a zmeny

Kontrolné opatrenia zahŕňajú TLS, šifrovanie, oddelenie kľúčov, chránené úložisko Windows, obmedzenia rozsahov a funkcií, overovanie podpisov, stavu a opakovaných požiadaviek a krátke uchovávanie. Žiadny systém nie je absolútne bezpečný. Služba nie je určená deťom mladším ako 16 rokov. Zásadné zmeny oznámime v aplikácii alebo na tejto stránke; nový účel údajov poskytovateľa bude podľa potreby vyžadovať obnovený súhlas.

Poznámka k správe a súladu: pred plateným alebo všeobecným verejným spustením musí tieto zásady posúdiť nezávislý právnik podľa maďarského práva a práva EÚ. Tento prevádzkový dokument nevylučuje povinné zákonné práva ani pravidlá poskytovateľov.