Zmluva o spracúvaní osobných údajov (DPA)

podľa čl. 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR)

Zmluvné strany

Prevádzkovateľ (Controller)

Prevádzkovateľom je registrovaný Používateľ služby MEDORA (lekár / poskytovateľ zdravotnej starostlivosti), identifikovaný údajmi, ktoré uviedol pri registrácii účtu — najmä obchodné meno / meno a priezvisko, IČO, sídlo / adresa ambulancie a e-mail. Tieto údaje sú vedené v účte Používateľa a tvoria neoddeliteľnú súčasť tejto DPA. (ďalej len „Prevádzkovateľ" alebo „Lekár")

Sprostredkovateľ (Processor)

(ďalej len „Sprostredkovateľ" alebo „MEDORA"); spolu ďalej len „Zmluvné strany".

Článok 1 — Predmet zmluvy

1.1. Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") sa uzatvára v súlade s čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a § 34 ods. 3 zákona č. 18/2018 Z. z. o ochrane osobných údajov.

1.2. Predmetom tejto DPA je úprava práv a povinností Zmluvných strán pri spracúvaní osobných údajov pacientov Prevádzkovateľa prostredníctvom služby MEDORA.

1.3. Táto DPA je neoddeliteľnou súčasťou Všeobecných obchodných podmienok (VOP) služby MEDORA a nadobúda účinnosť registráciou účtu Prevádzkovateľa v službe MEDORA.

Článok 2 — Rozsah a účel spracúvania

2.1 Účel spracúvania

Sprostredkovateľ spracúva osobné údaje výlučne na nasledujúce účely:

• Vedenie dokumentácie návštevy — prepis hovoreného slova na text (diktát lekára aj rozhovor s pacientom), vytvorenie návrhu lekárskej správy podľa zvolenej šablóny a jeho úprava podľa pokynov lekára, vrátane predvyplnenia hodnôt, ktoré už v zázname návštevy sú.
• Kódovanie pre zdravotnú poisťovňu — rozpoznanie a priradenie diagnóz (MKCH-10), liekov (ŠÚKL) a vykazovacích kódov zo záznamu návštevy.
• Spracovanie dokumentov, ktoré lekár nahrá k návšteve — prečítanie textu z dokumentu alebo z jeho fotografie a jeho sprístupnenie lekárovi v rámci danej návštevy (laboratórne výsledky, prepúšťacie správy, poznámky).
• E-mailový asistent — návrh odpovede na e-mail podľa inštrukcie lekára.
• Zlepšovanie presnosti kódovania — z toho, ako lekár odborný výraz nahradí alebo opraví, sa učí priradenie kódov. Uchováva sa pri tom len samotný odborný výraz, jeho formálny názov a kód, ku ktorému patrí — žiadny údaj pacienta ani časť záznamu. Záznam je priradený k ambulancii a maže sa spolu s jej účtom.

2.2 Povaha spracúvania

• Automatizovaný prepis zvukového záznamu na text
• Spracovanie textu, dokumentov a obrázkov jazykovým modelom (generovanie a úprava správ, extrakcia entít, čítanie nahraných dokumentov)
• Šifrované uloženie výsledkov v databáze
• Automatické mazanie podľa retenčnej politiky

2.3 Doba spracúvania

Sprostredkovateľ spracúva osobné údaje po dobu trvania zmluvného vzťahu (poskytovanie služby MEDORA Prevádzkovateľovi). Po ukončení zmluvy postupuje podľa článku 9.

Článok 3 — Kategórie osobných údajov a dotknutých osôb

3.1 Kategórie osobných údajov

3.2 Kategórie dotknutých osôb

• Pacienti Prevádzkovateľa
• Ďalšie osoby prítomné pri návšteve, ktorých hlas je súčasťou záznamu — najmä sprevádzajúce osoby, rodinní príslušníci, zákonní zástupcovia, opatrovatelia a tlmočníci. Spracúva sa výlučne obsah ich vyjadrení v rámci návštevy; ich údaje sa nespracúvajú na žiadny samostatný účel a nevytvára sa z nich samostatný záznam.

Článok 4 — Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje (čl. 28 ods. 3 GDPR):

4.1 Spracúvanie podľa pokynov (písm. a))

Spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov týkajúcich sa prenosu údajov do tretích krajín. Ak je Sprostredkovateľ povinný spracúvať údaje na základe práva EÚ alebo SR, informuje o tom Prevádzkovateľa pred spracúvaním (pokiaľ to právo nezakazuje).

Ak sa Sprostredkovateľ domnieva, že pokyn Prevádzkovateľa porušuje GDPR alebo iné predpisy EÚ alebo SR o ochrane údajov, bezodkladne o tom Prevádzkovateľa informuje (čl. 28 ods. 3 posledný pododsek GDPR).

4.2 Dôvernosť (písm. b))

Zabezpečiť, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby podliehali zákonnej povinnosti mlčanlivosti.

4.3 Bezpečnosť spracúvania (písm. c))

Prijať všetky opatrenia požadované podľa čl. 32 GDPR, najmä:

4.4 Ďalší sprostredkovatelia (písm. d))

a) Prevádzkovateľ udeľuje všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov podľa článku 6 tejto DPA.

b) Sprostredkovateľ informuje Prevádzkovateľa o akejkoľvek zamýšľanej zmene v zozname ďalších sprostredkovateľov najmenej 30 dní vopred, čím poskytne Prevádzkovateľovi možnosť namietať proti zmene.

4.5 Pomoc prevádzkovateľovi — práva dotknutých osôb (písm. e))

Pomáhať Prevádzkovateľovi primeranými technickými a organizačnými opatreniami pri plnení povinností reagovať na žiadosti dotknutých osôb podľa kapitoly III GDPR (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka). Sprostredkovateľ zabezpečuje: (1) export údajov o účte Prevádzkovateľa (profil, tím, vydané faktúry) ako archív ZIP s údajmi v strojovo čitateľnom formáte JSON — samoobslužne a okamžite vo webovom rozhraní, pri písomnej žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca (čl. 12 ods. 3 GDPR); (2) vymazanie na žiadosť Prevádzkovateľa; (3) zobrazenie a úpravu údajov cez webové rozhranie. Zdravotná dokumentácia pacientov nie je súčasťou exportu — pri nej je prevádzkovateľom Prevádzkovateľ a systémom záznamu jeho certifikovaný informačný systém poskytovateľa zdravotnej starostlivosti, teda ambulantný (AIS) alebo nemocničný (NIS) systém (ďalej len „certifikovaný AIS/NIS"), do ktorého hotové správy prenáša priebežne; žiadosť pacienta o prístup, prenosnosť alebo opravu vybavuje Prevádzkovateľ z tohto systému. Sprostredkovateľ mu k tomu poskytne primeranú súčinnosť.

4.6 Pomoc prevádzkovateľovi — DPIA a konzultácie (písm. f))

Pomáhať Prevádzkovateľovi pri plnení povinností podľa čl. 32 – 36 GDPR, vrátane posúdenia vplyvu na ochranu údajov (DPIA) a prípadnej konzultácie s dozorným orgánom.

4.7 Vymazanie alebo vrátenie údajov (písm. g))

Po ukončení poskytovania služby na základe rozhodnutia Prevádzkovateľa vymazať všetky osobné údaje alebo ich vrátiť Prevádzkovateľovi a vymazať existujúce kópie, pokiaľ právo EÚ alebo SR nevyžaduje uchovávanie. Postup: (1) zdravotnú dokumentáciu pacientov prenáša Prevádzkovateľ do svojho certifikovaného AIS/NIS priebežne počas trvania zmluvy — exportná funkcia ju neobsahuje (bod 4.5), a pred ukončením zmluvy musí byť prenesená, inak ju nemožno obnoviť; (2) údaje o účte (profil, tím, faktúry) si Prevádzkovateľ stiahne sám a okamžite kedykoľvek pred ukončením, pri písomnej žiadosti najneskôr do jedného mesiaca; (3) údaje pacientov — nahrávky, prepisy, texty získané z nahraných súborov, poznámky a návrhy lekárskych správ — sa mažú priebežne podľa nastavenej retencie (1–14 dní, predvolené 7), nezávisle od ukončenia zmluvy; v režime pacientov sa návštevy a karty pacientov priebežne nemažú — zostávajú do ich vymazania Prevádzkovateľom, zmazané sú 14 dní v koši a potom sa natrvalo odstránia; záznam pacienta si Prevádzkovateľ môže pred ukončením zmluvy stiahnuť ako PDF; (4) účet Prevádzkovateľa a údaje jeho používateľov sa po potvrdení žiadosti o vymazanie mažú bezodkladne, najneskôr do 30 dní; vymazanie je nezvratné; (5) fakturačné údaje sa uchovávajú v zákonnej lehote 10 rokov podľa zákona č. 431/2002 Z. z.

4.8 Audit a kontrola (písm. h))

Poskytnúť Prevádzkovateľovi všetky informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožniť audity vrátane inšpekcií.

Sprostredkovateľ poskytne Prevádzkovateľovi informácie a primeranú súčinnosť potrebnú na vykonanie posúdenia vplyvu na ochranu údajov (DPIA) vrátane relevantnej dokumentácie o technických a organizačných opatreniach, informácií o ďalších sprostredkovateľoch a auditných záznamov bez obsahu zdravotnej dokumentácie a bez priamo identifikujúcich údajov pacientov.

4.8.1. Audit sa vykonáva najviac raz ročne, ak nejde o audit vyvolaný bezpečnostným incidentom alebo pokynom dozorného orgánu.

4.8.2. Prevádzkovateľ oznámi audit najmenej 30 dní vopred vrátane rozsahu a osoby audítora.

4.8.3. Audit prebieha prednostne dištančne — poskytnutím dokumentácie, certifikátov a odpovedí na dotazník. Fyzická inšpekcia sa vykoná, len ak dištančná forma preukázateľne nepostačuje.

4.8.4. Sprostredkovateľ môže namietať proti osobe audítora, ak ide o jeho konkurenta alebo o osobu bez preukázanej odbornosti. Audítor je viazaný mlčanlivosťou.

4.8.5. Náklady auditu znáša Prevádzkovateľ, okrem prípadu, keď audit preukáže podstatné porušenie povinností Sprostredkovateľa.

4.8.6. Zistenia z auditu sú dôverné a nesmú byť poskytnuté tretím stranám okrem dozorného orgánu.

4.8.7. Zistené nedostatky odstráni Sprostredkovateľ v dohodnutej lehote, spravidla do 60 dní od doručenia zistení; pri nedostatku s vysokým rizikom bez zbytočného odkladu podľa závažnosti.

4.9 Zákaz trénovania a sekundárneho použitia

Sprostredkovateľ nepoužije osobné údaje spracúvané v mene Prevádzkovateľa na tréning, doladenie (fine-tuning), evaluáciu ani zlepšovanie modelov umelej inteligencie, ani na vývoj vlastných produktov alebo služieb. Rovnaký zákaz je zmluvne uložený všetkým ďalším sprostredkovateľom. Výnimka je možná len na základe samostatného písomného pokynu Prevádzkovateľa a za predpokladu, že to príslušný právny základ umožňuje.

Sprostredkovateľ na požiadanie Prevádzkovateľa doloží splnenie tohto zákazu zmluvnou dokumentáciou s ďalšími sprostredkovateľmi alebo ich písomným potvrdením. U poskytovateľa AI služieb platí nulová retencia: obsah spracúvaný v mene Prevádzkovateľa sa u neho neuchováva ani na prevádzkové účely, ani na automatizovanú kontrolu zneužitia služby.

4.10 Obmedzenie prístupu k obsahu záznamov

Sprostredkovateľ neprezerá obsah prepisov nahrávok, extrahovaných textov zo súborov, textových poznámok ani návrhov lekárskych správ. Administrátorský prístup k serverom, databáze a cloudovým účtom slúži výhradne na technickú správu infraštruktúry a riešenie incidentov a nie je oprávnením prezerať obsah záznamov. Osoby s týmto prístupom sú viazané povinnosťou mlčanlivosti podľa § 79 zákona č. 18/2018 Z. z. a § 18 ods. 3 zákona č. 576/2004 Z. z.

Článok 5 — Povinnosti Prevádzkovateľa

5.1 Informačná povinnosť voči pacientom

a) Informovať pacientov o spracúvaní ich osobných údajov prostredníctvom AI systému MEDORA v súlade s čl. 13 a 14 GDPR.

b) Informovať pacientov o používaní systémov umelej inteligencie podľa čl. 13 GDPR, v súlade so zásadou transparentnosti nariadenia (EÚ) 2024/1689 (EU AI Act).

c) Zvoliť vhodný spôsob informovania pacienta o spracúvaní údajov prostredníctvom AI systému MEDORA — oznamom do čakárne a informáciou pre pacienta, ktoré Sprostredkovateľ sprístupňuje v aplikácii s údajmi Prevádzkovateľa, ústne pri návšteve alebo vlastným písomným informačným dokumentom.

d) Ak na informovanie pacienta použije písomný informačný formulár, uchovávať ho v súlade so svojimi povinnosťami podľa zákona č. 576/2004 Z. z.

5.2 Právny základ

a) Zabezpečiť, aby existoval platný právny základ pre spracúvanie osobných údajov pacientov, a to čl. 6 ods. 1 písm. c) a čl. 9 ods. 2 písm. h) GDPR — poskytovanie zdravotnej starostlivosti a vedenie zdravotnej dokumentácie.

b) Dodržiavať podmienky spracúvania zdravotných údajov podľa zákona č. 18/2018 Z. z. o ochrane osobných údajov a zákona č. 576/2004 Z. z.

5.3 Presnosť údajov

Zabezpečiť presnosť osobných údajov zadávaných do systému MEDORA a overiť správnosť všetkých výstupov AI pred ich použitím v zdravotnej dokumentácii.

5.4 Zdravotná dokumentácia

Viesť riadnu zdravotnú dokumentáciu v certifikovanom AIS/NIS podľa zákona č. 576/2004 Z. z., plniť povinnosti voči NZIS podľa zákona č. 153/2013 Z. z. MEDORA nie je zdravotnícka pomôcka (nariadenie (EÚ) 2017/745 — MDR, zákon č. 362/2011 Z. z.) ani náhrada certifikovaného AIS/NIS či eZdravia.

5.5 Pokyny Prevádzkovateľa

Zabezpečiť, aby pokyny dané Sprostredkovateľovi boli v súlade s GDPR a príslušnými právnymi predpismi.

Článok 6 — Ďalší sprostredkovatelia

6.1 Všeobecné povolenie a zoznam ďalších sprostredkovateľov

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov (čl. 28 ods. 2 GDPR). Všetci ďalší sprostredkovatelia spracúvajú osobné údaje výlučne na serveroch v rámci Európskej únie. Prepis reči na text, čítanie dokumentov, ktoré lekár nahrá k návšteve, aj vytvorenie návrhu lekárskej správy zabezpečuje jeden poskytovateľ AI služieb; samostatný poskytovateľ prepisu reči sa nepoužíva. U tohto poskytovateľa platí zmluvný zákaz použitia údajov na trénovanie jeho modelov a nulová retencia; udelil Sprostredkovateľovi výnimku z uchovávania údajov na automatizovanú kontrolu zneužitia služby. Ďalší sprostredkovatelia sú zmluvne viazaní rovnakými povinnosťami ochrany údajov ako v tejto DPA (čl. 28 ods. 4 GDPR — pozri bod 6.3).

Aktuálny menný zoznam ďalších sprostredkovateľov (obchodné meno, účel, umiestnenie, typ údajov a retencia) poskytne Sprostredkovateľ Prevádzkovateľovi na vyžiadanie na adrese info@medora.sk. O akejkoľvek zamýšľanej zmene v zozname informuje Sprostredkovateľ vopred podľa bodu 6.2, čím Prevádzkovateľovi umožní uplatniť právo namietať.

6.2 Zmenový postup

a) Sprostredkovateľ informuje Prevádzkovateľa o zapojení ďalšieho sprostredkovateľa alebo nahradení existujúceho najmenej 30 dní vopred prostredníctvom e-mailu.

b) Prevádzkovateľ má právo namietať proti zmene do 14 dní od doručenia oznámenia. Námietka musí byť odôvodnená.

c) Ak je námietka oprávnená a Sprostredkovateľ nemôže zabezpečiť alternatívu, má Prevádzkovateľ právo ukončiť zmluvu bez sankcií s 30-dňovou výpovednou lehotou.

d) Prevádzkovateľ je v takom prípade oprávnený ukončiť zmluvu aj ku dňu zapojenia ďalšieho sprostredkovateľa, a to bez sankcie a s nárokom na vrátenie pomernej časti vopred uhradeného predplatného za nevyčerpané obdobie. Toto ustanovenie má prednosť pred bodom 4.2.4 VOP (nevratnosť predplatného).

e) Ak Prevádzkovateľ v lehote podľa písm. b) nenamieta, považuje sa zmena za odsúhlasenú.

6.3 Zmluvné záväzky ďalších sprostredkovateľov

Sprostredkovateľ zabezpečí, aby na ďalších sprostredkovateľov boli prostredníctvom zmluvy uložené rovnaké povinnosti ochrany údajov ako v tejto DPA (čl. 28 ods. 4 GDPR). Ak ďalší sprostredkovateľ tieto povinnosti nesplní, zodpovedá Sprostredkovateľ Prevádzkovateľovi za ich plnenie v rovnakom rozsahu, v akom by zodpovedal, keby služby ďalšieho sprostredkovateľa poskytoval priamo sám.

Článok 7 — Medzinárodné prenosy

7.1. Všetky osobné údaje sú spracúvané výlučne na serveroch umiestnených v rámci Európskej únie.

7.2. Niektorí ďalší sprostredkovatelia sú spoločnosti so sídlom mimo EÚ (napr. v USA), spracúvajú však osobné údaje výlučne v dátových centrách v rámci EÚ na základe zmluvy o spracúvaní údajov (DPA). Pre prípad nevyhnutného prístupu z tretej krajiny sú s takýmito ďalšími sprostredkovateľmi dojednané štandardné zmluvné doložky (SCC) podľa kapitoly V GDPR. K bežnému prenosu osobných údajov do tretích krajín nedochádza.

7.3. V prípade, že by v budúcnosti bolo nevyhnutné preniesť údaje do tretej krajiny nad rámec bodu 7.2, Sprostredkovateľ informuje Prevádzkovateľa vopred a zabezpečí primerané záruky podľa kapitoly V GDPR.

Článok 8 — Porušenie ochrany osobných údajov

8.1. Sprostredkovateľ informuje Prevádzkovateľa o akomkoľvek porušení ochrany osobných údajov bez zbytočného odkladu, najneskôr do 24 hodín od jeho zistenia.

8.2. Oznámenie obsahuje minimálne: popis povahy porušenia (kategórie a približný počet dotknutých osôb), kontaktné údaje na osobu zodpovednú za riešenie, popis pravdepodobných dôsledkov a popis prijatých/navrhovaných opatrení.

8.3. Sprostredkovateľ poskytne Prevádzkovateľovi všetky informácie potrebné na splnenie notifikačnej povinnosti voči dozornému orgánu podľa čl. 33 GDPR (72 hodín) a voči dotknutým osobám podľa čl. 34 GDPR.

8.4. Podrobný postup riešenia incidentov je uvedený v internom dokumente Incident Response Playbook Sprostredkovateľa.

8.5. Po prvotnom oznámení poskytuje Sprostredkovateľ Prevádzkovateľovi priebežné aktualizácie v intervaloch primeraných závažnosti incidentu. Po stabilizácii incidentu poskytne súhrnnú správu obsahujúcu príčinu, rozsah dopadu a prijaté nápravné opatrenia. Kontaktným miestom pre bezpečnostné incidenty je info@medora.sk.

Článok 9 — Ukončenie a vymazanie údajov

9.1. Po ukončení poskytovania služby MEDORA Sprostredkovateľ:

a) Sprístupní Prevádzkovateľovi export údajov o účte (profil, tím, vydané faktúry) ako archív ZIP s údajmi v strojovo čitateľnom formáte JSON — samoobslužne a okamžite v aplikácii, pri písomnej žiadosti bez zbytočného odkladu, najneskôr do jedného mesiaca (čl. 12 ods. 3 GDPR). Zdravotná dokumentácia pacientov nie je súčasťou exportu — prenáša ju Prevádzkovateľ do svojho certifikovaného AIS/NIS priebežne počas trvania zmluvy (body 4.5 a 4.7, bod 10.5 VOP).

b) Vymaže všetky osobné údaje na výslovnú žiadosť Prevádzkovateľa bezodkladne, najneskôr do 30 dní (bod 4.7); účet bez aktívneho predplatného, do ktorého sa nikto neprihlásil 12 mesiacov, vymaže po upozornení e-mailom 30 dní vopred. Nezávisle od toho sa údaje mažú podľa nasledujúcej retenčnej politiky:

c) Fakturačné údaje budú uchovávané po zákonnej dobe 10 rokov (zákon č. 431/2002 Z. z. o účtovníctve).

9.2. Na žiadosť Prevádzkovateľa potvrdí Sprostredkovateľ vymazanie údajov písomne.

9.3. Zálohy. Databázu zálohujeme pre prípad havárie; zálohy sa prepisujú v 14-dňovom cykle. Vymazané údaje sú z aplikácie preč okamžite, zo záloh najneskôr do 14 dní.

Článok 10 — Zodpovednosť

10.1. Zodpovednosť Zmluvných strán za porušenie tejto DPA sa riadi čl. 82 GDPR a príslušnými ustanoveniami VOP služby MEDORA.

10.2. Každá Zmluvná strana zodpovedá za škodu spôsobenú spracúvaním, ktoré porušuje GDPR. Sprostredkovateľ zodpovedá za škodu iba v prípade, že nesplnil povinnosti uložené GDPR osobitne sprostredkovateľom alebo konal v rozpore s pokynmi Prevádzkovateľa.

Článok 11 — Záverečné ustanovenia

11.1. Táto DPA sa riadi právnym poriadkom Slovenskej republiky.

11.2. Ak sa akékoľvek ustanovenie tejto DPA stane neplatným alebo nevymáhateľným, zostávajúce ustanovenia zostávajú v plnej platnosti a účinnosti.

11.3. Zmeny tejto DPA sú možné len písomnou dohodou Zmluvných strán alebo prostredníctvom zmeny VOP (s 30-dňovým predstihom).

11.4. V otázkach neupravených touto DPA sa uplatňujú VOP služby MEDORA a príslušné právne predpisy.

11.5. Táto DPA nadobúda účinnosť registráciou účtu Prevádzkovateľa v službe MEDORA.

11.6. V prípade rozporu medzi touto DPA a VOP má vo veciach spracúvania osobných údajov prednosť táto DPA. Vo veciach, ktoré táto DPA neupravuje, sa uplatnia VOP.

Akceptácia zmluvy

Táto DPA sa uzatvára elektronicky. Prevádzkovateľ ju akceptuje pri registrácii účtu v službe MEDORA zaškrtnutím súhlasu s Všeobecnými obchodnými podmienkami a touto DPA. Akceptácia je zaznamenaná v systéme Sprostredkovateľa spolu s časovou pečiatkou a identifikačnými údajmi Prevádzkovateľa uvedenými pri registrácii.

Táto DPA je uzatvorená v elektronickej forme v súlade s čl. 28 ods. 9 GDPR. Akceptácia je zaznamenaná spolu s časovou pečiatkou a identifikačnými údajmi Prevádzkovateľa.

Verzia 1.3 — účinné od 5. decembra 2026 · Všeobecné obchodné podmienky · Ochrana osobných údajov

Zmeny oproti verzii 1.2 (25. októbra 2026): doplnený voliteľný režim pacientov — príloha 3.1 (údaje karty pacienta), bod 4.7 a článok 9 (návštevy a karty pacientov sa v ňom priebežne nemažú, zostávajú do vymazania Prevádzkovateľom; zmazané sú 14 dní v koši, potom sa natrvalo odstránia; export záznamu pacienta do PDF).

Zmeny oproti verzii 1.1 (20. októbra 2026): zodpovedná osoba (DPO) Sprostredkovateľa zrušená — povinnosť určenia podľa čl. 37 ods. 1 GDPR mu nevzniká, kontaktným miestom pre ochranu údajov je Ing. Branislav Jančovič; bod 2.1 — účely spracúvania sú vymedzené podľa činností lekára tak, aby zahrnuli všetky operácie, ktoré služba nad údajmi pacienta vykonáva (predtým ich bolo uvedených päť z jedenástich), a doplnený účel zlepšovania presnosti kódovania spolu s vyhlásením, že sa pri ňom neuchovávajú údaje pacientov; v prílohe 3.1 doplnené kategórie „texty získané z nahraných súborov“ a „poznámky lekára a jeho personálu“ s vyhlásením, že samotný nahraný súbor sa neukladá; označenie certifikovaného systému lekára zmenené z nemocničného informačného systému (NIS) na certifikovaný ambulantný (AIS) alebo nemocničný (NIS) informačný systém; bod 4.5 a 4.7 — rozsah exportu vymedzený na údaje o účte, lehota na písomnú žiadosť zjednotená so zákonnou lehotou jedného mesiaca, doplnený prenos zdravotnej dokumentácie do NIS Prevádzkovateľa a rozlíšené lehoty vymazania pre údaje pacientov a pre účet; nový bod 4.10 — obmedzenie prístupu k obsahu záznamov; spresnené miesto a lehota dočasného uloženia audiozáznamu (v prehliadači lekára len do úspešného prenesenia, pri neúspechu najviac 24 hodín; v databáze Sprostredkovateľa 8 hodín namiesto 4 — toľko, aby prepis prežil aj výpadok služby prepisu). Doplnený účel „AI-asistovaný prepis textu z nahraných súborov“ a zjednotené označenie ďalších sprostredkovateľov. Ďalej: citácia § 34 doplnená o odsek 3; bod 4.3 — z výpočtu externých API vypustené platby (platobná brána sa nepoužíva) a doplnená možnosť vynútiť MFA ako povinné pre všetkých používateľov Prevádzkovateľa na jeho žiadosť; nový bod 4.8.7 — lehota na odstránenie nedostatkov z auditu (spravidla 60 dní); články 4.9 a 4.10 usporiadané do správneho poradia; body 6.1 a 7.2 — prepis reči, čítanie nahraných súborov aj jazykový model sú jeden poskytovateľ AI služieb (samostatný poskytovateľ prepisu reči sa nepoužíva) a pri medzinárodných prenosoch sa uvádzajú štandardné zmluvné doložky; bod 9.1 písm. a) zjednotený s bodmi 4.5 a 4.7 (export sa týka údajov o účte, lehota jeden mesiac); bod 5.4 — pri zdravotníckych pomôckach sa namiesto zákona č. 56/2018 Z. z. uvádza zákon č. 362/2011 Z. z.; jednotný zápis „Z. z.“ a označenie „účinné od“ namiesto „platné od“.

Zmeny oproti verzii 1.0 (1. júna 2026): zodpovedná osoba (DPO) sprostredkovateľa — vo verzii 1.2 zrušená, pozri vyššie; povinnosť upozorniť na pokyn v rozpore s GDPR (čl. 28 ods. 3), aktuálne kategórie identifikačných údajov, spresnenie autentifikácie, výmazu a miesta spracúvania, zjednotený právny základ.