§ 1. Preambula, zmluva o poverení a právo na prenositeľnosť údajov

1.1. Zmluvné strany: Tento dokument upravuje postup spracovania osobných údajov a podmienky používania služieb medzi nezávislým konzorciom vývojárov Konzorcium vývojárov NAIS (ďalej len „Prevádzkovateľ“, „technický zástupca“) a akoukoľvek fyzickou osobou, ktorá používa webovú aplikáciu NAIS alebo Telegram-bota UKF Jarvis (@jarvisukf_bot) (ďalej len „užívateľ“, „poveriteľ“, „subjekt údajov“).

1.2. Príkazná zmluva a digitálne zastupovanie (§ 724 a nasl., § 31 a nasl. Občiansky zákonník č. 40/1964 Zb.): Interakcia medzi používateľom a službou je založená na konštrukcii občianskoprávnej príkaznej zmluvy (Príkazná zmluva) a priameho zastupovania na základe plnej moci (Zastúpenie na základe plnomocenstva). Používateľ splnomocňuje softvér NAIS, aby konal ako jeho osobný technický klient (Digital User-Agent) výlučne v rozsahu zadaných príkazov: na automatizované vyžiadanie osobného rozvrhu, študijných výpisov a stavu zápisu do predmetov z portálu AIS2. Všetky úkony sa vykonávajú výlučne v mene, na žiadosť a v záujme používateľa.

1.3. Právo na prenosnosť údajov (čl. 20 GDPR / Právo na prenosnosť údajov): V súlade s článkom 20 nariadenia (EÚ) 2016/679 (GDPR) má každý subjekt údajov zákonné právo na získanie osobných údajov, ktoré mu poskytol, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, ako aj na ich prenos inej osobe. Podľa vysvetlení Európskej rady pre ochranu údajov (EDPB WP242 rev.01) má dotknutá osoba právo používať dôveryhodné softvérové nástroje tretích strán (trusted third-party software / personal data store agents) na získavanie, organizovanie a správu svojich vzdelávacích údajov.

1.4. Uplatniteľnosť noriem GDPR: Služba NAIS v plnom rozsahu spĺňa požiadavky nariadenia (EÚ) 2016/679 a zákona Slovenskej republiky č. 18/2018 Z. z. o ochrane osobných údajov. Poskytovaním verejne dostupného nástroja pre študentov prevádzkovateľ zabezpečuje plné dodržiavanie európskych záruk ochrany súkromia.

1.5. Právne základy spracúvania údajov (čl. 6 GDPR):

• a) Plnenie zmluvy o zadaní úlohy (čl. 6 ods. 1 písm. b) GDPR): Spracúvanie relácií tokenov a rozvrhov výučby je nevyhnutné na splnenie zadania používateľa týkajúceho sa zobrazenia jeho študijných informácií.
• b) Informovaný súhlas (čl. 6 ods. 1 písm. a) GDPR): Zasielanie osobných push-oznámení o hodinách, pripomienok a interakcia s AI-asistentom sa uskutočňujú na základe výslovného súhlasu používateľa.
• c) Oprávnený záujem v oblasti kyberbezpečnosti (čl. 6 ods. 1 písm. f) GDPR): Krátkodobé zaznamenávanie sieťových udalostí, ochrana pred zneužitím a zabezpečenie stability služby.

§ 2. Správa údajov, kontaktné údaje podpory a lehoty uchovávania

2.1. Identifikácia projektového tímu: Služba NAIS a Telegram-bot UKF Jarvis sú podporované nezávislou študentskou iniciatívnou skupinou vývojárov Konzorcium vývojárov NAIS s cieľom podporiť vzdelávací proces študentov UKF v Nitre.
Oficiálna webová stránka: https://naisapp.eu
Otázky týkajúce sa ochrany osobných údajov a technická podpora: [email protected] | Telegram: @naismanager

2.2. Kanály pre podanie žiadostí dotknutých osôb:
Na operatívne zabezpečenie práv dotknutých osôb (články 15–22 GDPR) sú k dispozícii nasledujúce priame kanály:
• Okamžité vymazanie profilu a všetkých údajov: príkaz /delete_me v dialógu s Telegram-botom @jarvisukf_bot.
• Oficiálny e-mail pre žiadosti: [email protected].
• Spätná väzba prostredníctvom správcu podpory: @naismanager.

2.3. Transparentnosť kategórií spracúvania: Prevádzkovateľ zabezpečuje vyčerpávajúce a otvorené zdokumentovanie všetkých kategórií spracúvaných údajov, účelov a lehôt ich uchovávania v súlade so zásadami čl. 5 a čl. 13 nariadenia (EÚ) 2016/679 (GDPR).

2.4. Harmonogram uchovávania údajov (Data Retention Schedule / čl. 5 ods. 1 písm. e) a čl. 13 ods. 2 písm. a) GDPR):

2.5. Dozorný orgán: V súlade s článkom 77 GDPR a § 100 zákona č. 18/2018 Z. z., má používateľ právo podať sťažnosť národnému dozornému orgánu Slovenskej republiky:
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27, Slovenská republika
Webová stránka: https://dataprotection.gov.sk | E-mail: [email protected]

§ 3. Akademická autonómia a dobromyseľné používanie (Fair Use)

• 3.1. Úplná inštitucionálna nezávislosť: Služba NAIS a bot UKF Jarvis sú nezávislé softvérové riešenia študentskej komunity a nemajú žiadnu oficiálnu organizačnú väzbu s Univerzitou Konštantína Filozofa v Nitre (UKF).
• 3.2. Poctivé nominatívne používanie (Nominative Fair Use): Označenie „UKF“ v identifikátore bota (@jarvisukf_bot) a v sprievodných materiáloch sa používa výlučne na popisné účely s cieľom označiť technologickú kompatibilitu s rozvrhom študentov Univerzity v Nitre.
• 3.3. Nezávislé spravovanie údajov (Independent Controllership, CJEU C-40/17): Univerzita a konzorcium NAIS vystupujú ako úplne nezávislí správcovia údajov. NAIS neurčuje účely ani prostriedky spracúvania údajov v rámci univerzitného systému AIS2. Spoločné spravovanie údajov (čl. 26 GDPR) úplne chýba.
• 3.4. Dodržiavanie univerzitných predpisov: Služba plní úlohu osobného akademického organizéra. Používateľovi sa odporúča zohľadňovať ustanovenia Disciplinárneho poriadku UKF pre študentov. Používanie služby nezbavuje študenta povinnosti sledovať oficiálne termíny prostredníctvom webového rozhrania AIS2.

§ 4. Databázy a rozdelenie zodpovednosti

• 4.1. Databázy a autorské práva: Extrakcia osobných údajov študenta je chránená právom na prenosnosť (čl. 20 GDPR), právom na vytvorenie kópie na osobné nekomerčné použitie (§ 42 zákona č. 185/2015 Z. z. autorský zákon) a výnimkou pre analýzu údajov (§ 48a autorského zákona / smernica (EÚ) 2019/790). Podľa smernice 96/9/ES (odôvodnenie 48) práva tvorcu databázy sui generis nemôžu obmedzovať uplatňovanie zákonných práv dotknutej osoby.
• 4.2. Zodpovednosť podľa čl. 82 GDPR a § 420 Občianskeho zákonníka: Prevádzkovateľ priznáva zodpovednosť za bezpečnosť a riadne šifrovanie údajov v rámci kontrolovaného okruhu. V súlade s článkom 82 ods. 3 GDPR a § 420 Občianskeho zákonníka Slovenskej republiky je prevádzkovateľ oslobodený od zodpovednosti za poruchy externých systémov AIS2, oneskorené vydávanie známok alebo akademické rozhodnutia dekanátov.

§ 5. Autorizovaný prístup, limity požiadaviek a vek

5.1. Oprávnenosť prístupu a technická bezpečnosť (§ 247 zákona č. 300/2005 Z. z.): Architektúra interakcie služby s AIS2 je navrhnutá v plnom súlade so štandardmi kyberbezpečnosti:

• a) Autorizovaný prístup na základe poverenia: Služba sa pripája k AIS2 výlučne na priamy príkaz používateľa s použitím jeho prihlasovacích údajov, pričom funguje ako osobný klientsky agent (User-Agent).
• b) Neobchádzanie bezpečnostných opatrení: Systém nevyužíva zraniteľnosti, hľadanie hesiel ani neobchádza bezpečnostné mechanizmy. Žiadosti sa prenášajú prostredníctvom štandardných protokolov HTTPS.
• c) Ochrana infraštruktúry AIS2 (obmedzenie frekvencie): Do služby je integrované prísne obmedzenie frekvencie požiadaviek (najviac 1 požiadavka za 30 sekúnd v režime automatického overovania), čo vylučuje zvýšené zaťaženie serverov univerzity a zabezpečuje integritu systémov (§ 247a Trestného zákonníka Slovenskej republiky).

5.2. Veková hranica: Využívanie služby je povolené študentom, ktorí dosiahli vek 16 rokov (čl. 8 GDPR / § 15 zákona č. 18/2018 Z. z.).

§ 6. Elektronická komunikácia (ePrivacy), register úložísk a DPIA

6.1. Dodržiavanie právnych predpisov o elektronickej komunikácii (§ 109 ods. 8 zákona č. 452/2021 Z. z.): Všetky prvky ukladané na zariadeniach používateľa sú z technického hľadiska nevyhnutné (technicky nevyhnutné) na poskytovanie požadovaných funkcií. Marketingové sledovacie nástroje a analytické profily sa nepoužívajú.

6.2. Zoznam terminálnych úložísk a kľúčov relácie:

6.3. Hodnotenie rizík v oblasti ochrany údajov (zhrnutie DPIA – čl. 35 GDPR): Vykonaný audit rizík potvrdil, že kombinácia end-to-end šifrovania AES-256-GCM, izolácie pamäte, čistenia osobných údajov (scrubbing) a obmedzenia frekvencie požiadaviek udržuje zostatkové riziko pre práva dotknutých osôb na minimálnej (LOW) úrovni.

§ 7. Spracovanie požiadaviek umelej inteligencie a cezhraničný prenos údajov

7.1. Lokalizácia hlavnej infraštruktúry: Databáza a serverové kapacity projektu sú umiestnené na serveroch v dátových centrách na území Európskej únie, čím sa zaručuje dodržiavanie jurisdikčných požiadaviek GDPR.

7.2. Integrácia s jazykovými modelmi: Na spracovanie textových otázok používateľa a generovanie odpovedí asistenta umelej inteligencie služba využíva rozhrania API poskytovateľov umelej inteligencie (vrátane OpenRouter LLC / AgentRouter).

7.3. Situatívny charakter spracovania (čl. 49 ods. 1 písm. b) GDPR): Odosielanie požiadavky externým modelom sa uskutočňuje výlučne na priamu iniciatívu používateľa pri zaslaní otázky do chatu s AI asistentom.

7.4. Izolácia prihlasovacích údajov: V požiadavkách adresovaných jazykovým modelom sa odosiela výlučne text otázky používateľa a relevantné verejne dostupné úryvky z databázy znalostí alebo rozvrhu výučby. Prihlasovacie údaje (heslo, relačné tokeny AIS2) sú prísne izolované a za žiadnych okolností sa neprenášajú externým službám umelej inteligencie.

7.5. Ochrana komunikačného kanála: Interakcia s externými API prebieha výlučne prostredníctvom protokolu TLS 1.3 s kryptografickým šifrovaním prevádzky.

§ 8. Informačná bezpečnosť a protokol reakcie na incidenty

8.1. Architektúra ochrany údajov (čl. 32 GDPR): Databáza služby je chránená pomocou autentifikovaného symetrického šifrovania AES-256-GCM s individuálnym inicializačným vektorom (nonce) pre každý záznam, čo zabezpečuje dôvernosť a kontrolu integrity šifrovaného textu. Šifrovacie kľúče sú izolované na úrovni konfigurácie servera. Ukladanie nezašifrovaných prihlasovacích údajov na disk a ich protokolovanie je úplne vylúčené.

8.2. Protokol reakcie na bezpečnostné incidenty (Data Breach Protocol): V prípade vzniku mimoriadnej situácie reaguje intervenčný tím podľa prísneho normatívneho harmonogramu v súlade s článkami 33 a 34 GDPR a §§ 34, 35, 40, 41 zákona č. 18/2018 Z. z.:

8.3. Núdzové ukončenie relácií: Pri zistení neobvyklej aktivity sa všetky lokálne reláciové tokeny okamžite zrušia, čo vedie k nútenému ukončeniu relácie zo strany serverov AIS2.

§ 9. Umelá inteligencia: transparentnosť a označovanie (EU AI Act, čl. 50)

9.1. Stav podľa nariadenia (EÚ) 2024/1689: V rámci európskej regulácie umelej inteligencie je služba NAIS klasifikovaná ako Deployer (prevádzkovateľ) systému umelej inteligencie všeobecného účelu s minimálnym rizikom (Minimal Risk General-Purpose AI Downstream Integration).

9.2. Záväzky v oblasti zabezpečenia transparentnosti (článok 50 nariadenia EÚ o umelej inteligencii):

• a) Informovanie o dialógu s umelou inteligenciou (čl. 50 ods. 1): Používateľ je jasne informovaný o tom, že vedie dialóg s umelou inteligenciou; odpovede bota sú sprevádzané vizuálnym označením [AI Assistant].
• b) Označovanie syntetických materiálov (čl. 50 ods. 2): Generované texty sú opatrené metadátami is_synthetic: true, ktoré potvrdzujú generatívny charakter obsahu.
• c) Poradenský charakter a overovanie faktov (Human-in-the-Loop): Odpovede umelej inteligencie majú informatívny charakter. Generatívne modely môžu obsahovať nepresnosti („halucinácie“). Používateľom sa odporúča overovať kriticky dôležité termíny výučby, termíny skúšok a učebne v oficiálnom systéme AIS2.

9.3. Izolácia prihlasovacích údajov od umelej inteligencie: Heslá do systému AIS2, reláciové tokeny a osobné čísla študentov sú izolované od algoritmov umelej inteligencie a za žiadnych okolností sa neposkytujú jazykovým modelom.

§ 10. Práva dotknutej osoby a vymazanie prostredníctvom /delete_me

10.1. Prehľad práv používateľa (čl. 15–22 GDPR): Používateľ má zákonné práva v súvislosti so svojimi osobnými údajmi:

• a) Právo na prístup (čl. 15 GDPR): Získanie potvrdenia o spracúvaní a kópie spracúvaných údajov.
• b) Právo na opravu (čl. 16 GDPR): Aktualizácia nepresných alebo neúplných údajov.
• c) Právo na vymazanie („Právo na zabudnutie“, čl. 17 GDPR): Úplné vymazanie osobných údajov zo systémov služby.
• d) Právo na obmedzenie spracúvania (čl. 18 GDPR): Pozastavenie spracúvania údajov v prípade sporných dôvodov.
• e) Právo na prenosnosť údajov (čl. 20 GDPR): Získanie údajov vo všeobecne uznávanom štruktúrovanom strojovo čitateľnom formáte.
• f) Právo na vznesenie námietky (čl. 21 GDPR): Zákaz spracúvania údajov na základe oprávneného záujmu.

10.2. Okamžité vymazanie pomocou príkazu /delete_me: Na zaručené uplatnenie práva na zabudnutie stačí, ak používateľ zadá príkaz /delete_me v dialógu s Telegram-botom. Cache rozvrhu, relačné tokeny a identifikátory účtu sa vymažú do 60 sekúnd.

10.3. Postup podávania žiadostí: Akúkoľvek žiadosť týkajúcu sa práv dotknutej osoby je možné zaslať na adresu [email protected] alebo prostredníctvom Telegramu @naismanager. Odpoveď bude poskytnutá do 30 kalendárnych dní bez účtovania poplatku (čl. 12 ods. 3 GDPR).

§ 11. Záverečné ustanovenia a zmeny podmienok

11.1. Príslušné právo a príslušnosť súdov: Tieto podmienky sa riadia predpismi Európskej únie a právnymi predpismi Slovenskej republiky. Všetky prípadné spory budú riešené príslušnými súdmi Slovenskej republiky.

11.2. Postup pri vykonávaní zmien: Prevádzkovateľ je oprávnený aktualizovať znenie tohto dokumentu v súvislosti s rozvojom funkcionality služby alebo so zmenami právnych predpisov. Platné znenie je vždy dostupné na adrese https://naisapp.eu/privacy.html. V prípade podstatných zmien budú používatelia informovaní prostredníctvom správy v Telegram-bote.

11.3. Nadobudnutie účinnosti: Toto znenie bolo schválené a nadobúda účinnosť 9. septembra 2026.

§ 1. Preamble, data processing agreement and the right to data portability

1.1. Parties to the agreement: This document governs the processing of personal data and the terms of use of services between the independent consortium of developers Konzorcium vývojárov NAIS (hereinafter referred to as the ‘Operator’, ‘Technical Representative’) and any natural person using the NAIS web application or the UKF Jarvis Telegram bot (@jarvisukf_bot) (hereinafter referred to as the ‘User’, ‘Principal’ or ‘Data Subject’).

1.2. Agency agreement and digital representation (§ 724 et seq., § 31 et seq. of the Civil Code No. 40/1964 Coll.): The interaction between the User and the service is based on the framework of a civil law agency agreement (Príkazná zmluva) and direct representation by power of attorney (Zastúpenie na základe plnomocenstva). The User authorises the NAIS software to act as their personal technical client (Digital User-Agent) exclusively within the scope of the specified commands: for the automated retrieval of personal timetables, academic records and course enrolment status from the AIS2 portal. All actions are carried out strictly on behalf of, at the request of, and in the interests of the User.

1.3. Right to data portability (Art. 20 GDPR / Právo na prenosnosť údajov): In accordance with Article 20 of Regulation (EU) 2016/679 (GDPR), every data subject has the legal right to receive the personal data they have provided in a structured, commonly used and machine-readable format, as well as to transmit it to another party. According to the guidelines of the European Data Protection Board (EDPB WP242 rev.01), the data subject is entitled to use trusted third-party software (personal data store agents) to extract, organise and manage their learning data.

1.4. Applicability of GDPR standards: The NAIS service fully complies with the requirements of Regulation (EU) 2016/679 and Act No. 18/2018 Z. z. of the Slovak Republic on the protection of personal data. By providing a publicly accessible tool for students, the Controller ensures full compliance with European privacy safeguards.

1.5. Legal grounds for data processing (Art. 6 GDPR):

• a) Performance of a contract (Art. 6(1)(b) GDPR): The processing of session tokens and timetables is necessary to fulfil the User’s request to display their academic information.
• b) Informed consent (Art. 6(1)(a) GDPR): The sending of personalised push notifications about classes, reminders and interaction with the AI assistant are carried out on the basis of the User’s explicit consent.
• c) Legitimate interest in the field of cybersecurity (Art. 6(1)(f) GDPR): Short-term logging of network events, protection against misuse and ensuring service stability.

§ 2. Data management, support contacts and retention periods

2.1. Project team identification: The NAIS service and the UKF Jarvis Telegram bot are maintained by an independent student-led development group, Konzorcium vývojárov NAIS, with the aim of supporting the learning process of students at UKF in Nitra.
Official website: https://naisapp.eu
Privacy enquiries and support: [email protected] | Telegram: @naismanager

2.2. Channels for data subjects to make enquiries:
To ensure the prompt exercise of data subjects’ rights (Articles 15–22 of the GDPR), the following direct channels are available:

• • Immediate deletion of profile and all data: the command /delete_me in a conversation with the Telegram bot @jarvisukf_bot.
• • Official email address for enquiries: [email protected].
• • Feedback via the support administrator: @naismanager.

2.3. Transparency of processing categories: The controller ensures comprehensive and transparent documentation of all categories of data processed, the purposes of processing and the retention periods, in accordance with the principles set out in Articles 5 and 13 of Regulation (EU) 2016/679 (GDPR).

2.4. Data Retention Schedule (Art. 5(1)(e) & 13(2)(a) GDPR):

2.5. Supervisory authority (Dozorný orgán): In accordance with Article 77 of the GDPR and § 100 of Act No. 18/2018 Z. z., the User has the right to lodge a complaint with the national supervisory authority of the Slovak Republic:
Office for Personal Data Protection of the Slovak Republic (Úrad na ochranu osobných údajov Slovenskej republiky)
Hraničná 12, 820 07 Bratislava 27, Slovak Republic
Website: https://dataprotection.gov.sk | Email: [email protected]

§ 3. Academic autonomy and fair use

• 3.1. Full institutional independence: The NAIS service and the UKF Jarvis bot are independent software solutions developed by the student community and have no official organisational connection with the Constantine the Philosopher University in Nitra (UKF).
• 3.2. Nominative Fair Use: The designation ‘UKF’ in the bot’s identifier (@jarvisukf_bot) and accompanying materials is used solely for descriptive purposes to indicate technological compatibility with the timetables of students at the University of Nitra.
• 3.3. Independent Controllership (CJEU C-40/17): The University and the NAIS Consortium act as completely independent data controllers. NAIS does not determine the purposes or means of data processing within the university AIS2 system. Joint controllership (Art. 26 GDPR) is completely absent.
• 3.4. Compliance with university regulations: The service acts as a personal academic organiser. The User is advised to take into account the provisions of the UKF Disciplinary Code for Students. The use of the service does not exempt the student from the obligation to monitor official deadlines via the AIS2 web interface.

§ 4. Databases and division of liability

• 4.1. Databases and copyright: The extraction of a student’s personal data is protected by the right to data portability (Article 20 of the GDPR), the right to make a copy for personal, non-commercial use (§ 42 of Slovak Act No. 185/2015 Z. z. Copyright Act) and the exception for data analysis (Section 48a of the Copyright Act / Directive (EU) 2019/790). In accordance with Directive 96/9/EC (Recital 48), the sui generis rights of the database creator may not restrict the exercise of the data subject’s lawful rights.
• 4.2. Liability under Article 82 of the GDPR and Section 420 of the Civil Code: The Controller accepts responsibility for the security and proper encryption of data within the boundaries of the controlled environment. In accordance with Article 82(3) of the GDPR and Section 420 of the Slovak Civil Code, the Operator is exempt from liability for failures of external AIS2 systems, delays in the issuing of marks, or academic decisions made by the dean’s offices.

§ 5. Authorised access, query limits and age

5.1. Legitimacy of access and technical security (§ 247 of Act No. 300/2005 Z. z.): The architecture for the service’s interaction with AIS2 has been designed in full compliance with cybersecurity standards:

• a) Authorised access on behalf of the User: The service connects to AIS2 exclusively upon a direct command from the User, using the User’s credentials and acting as a personal client agent (User-Agent).
• b) No circumvention of security measures: The system does not exploit vulnerabilities, perform password guessing or bypass security mechanisms. Requests are transmitted via standard HTTPS protocols.
• c) Protection of the AIS2 infrastructure (Rate Limiting): A strict limit on the frequency of requests is integrated into the service (no more than 1 request every 30 seconds in automatic verification mode), which prevents an excessive load on the university’s servers and ensures the integrity of the systems (§ 247a of the Slovak Criminal Code).

5.2. Age limit: Use of the service is permitted for students aged 16 and over (Art. 8 GDPR / § 15 of Act No. 18/2018 Z. z.).

§ 6. Electronic communications (ePrivacy), storage register and DPIA

6.1. Compliance with legislation on electronic communications (§ 109(8) of Act No. 452/2021 Z. z.): All elements stored on users’ devices are strictly necessary from a technical perspective (technically necessary) to provide the requested functionality. Marketing tracking tools and analytical profiles are not used.

6.2. Register of terminal storage and session keys:

6.3. Data Protection Impact Assessment (DPIA Summary — Art. 35 GDPR): The risk audit carried out confirmed that the combination of end-to-end AES-256-GCM encryption, memory isolation, personal data scrubbing and query frequency limits keeps the residual risk to data subjects’ rights at a minimum (LOW) level.

§ 7. Processing of AI queries and cross-border data transfers

7.1. Localisation of core infrastructure: The project’s database and server resources are hosted on servers located in data centres within the European Union, thereby guaranteeing compliance with the jurisdictional requirements of the GDPR.

7.2. Integration with language models: To process users’ text queries and generate responses from the AI assistant, the service utilises the APIs of external artificial intelligence providers (including OpenRouter LLC / AgentRouter).

7.3. Context-dependent processing (Art. 49(1)(b) GDPR): Queries are sent to external models solely upon the direct initiative of the user when asking a question in the chat with the AI assistant.

7.4. Isolation of credentials: Only the text of the user’s query and relevant publicly available extracts from the knowledge base or academic schedule are sent in requests to language models. Login credentials (password, AIS2 session tokens) are strictly isolated and under no circumstances are transmitted to external AI services.

7.5. Communication channel security: Interaction with external APIs takes place exclusively via TLS 1.3 with cryptographic traffic encryption.

§ 8. Information security and incident response protocol

8.1. Data Protection Architecture (Art. 32 GDPR): The service database is protected using authenticated symmetric AES-256-GCM encryption with an individual initialisation vector (nonce) for each record, ensuring confidentiality and ciphertext integrity verification. Encryption keys are isolated at the server configuration level. Storing unencrypted credentials on disk or logging them is completely excluded.

8.2. Data Breach Response Protocol: In the event of an incident, the response team acts in accordance with a strict regulatory timeline, in compliance with Articles 33 and 34 of the GDPR and §§ 34, 35, 40 and 41 of Act No. 18/2018 Z. z.:

8.3. Emergency session termination: Upon detection of anomalous activity, all local session tokens are immediately revoked, resulting in the forced termination of the session by the AIS2 servers.

§ 9. Artificial intelligence: transparency and labelling (EU AI Act, Art. 50)

9.1. Status under Regulation (EU) 2024/1689: Under European artificial intelligence regulations, the NAIS service is classified as a Deployer of a minimal-risk general-purpose AI system (Minimal Risk General-Purpose AI Downstream Integration).

9.2. Transparency obligations (Article 50 EU AI Act):

• a) Notification of interaction with AI (Art. 50(1)): The user is clearly informed that they are communicating with artificial intelligence; the bot’s replies are accompanied by the visual identifier [AI Assistant].
• b) Labelling of synthetic materials (Art. 50(2)): Generated texts include metadata is_synthetic: true, confirming the generative nature of the content.
• c) Advisory nature and fact-checking (Human-in-the-Loop): Artificial intelligence responses are informational in nature. Generative models may contain inaccuracies ("hallucinations"). Users are advised to verify critical class schedules, exam dates and classroom assignments in the official AIS2 system.

9.3. Isolation of login credentials from AI: AIS2 passwords, session tokens and student identification numbers are isolated from artificial intelligence algorithms and are never under any circumstances provided to language models.

§ 10. Data subject rights and deletion via /delete_me

10.1. Overview of user rights (Articles 15–22 GDPR): The user possesses legal rights regarding their personal data:

• a) Right of access (Art. 15 GDPR): Confirmation of processing and obtaining a copy of the processed data.
• b) Right to rectification (Art. 16 GDPR): Updating incorrect or incomplete data.
• c) Right to erasure (‘Right to be forgotten’, Art. 17 GDPR): Complete removal of personal data from the service’s systems.
• d) Right to restriction of processing (Art. 18 GDPR): Temporary cessation of data processing under disputed circumstances.
• e) Right to data portability (Art. 20 GDPR): Receiving data in a structured, commonly used and machine-readable format.
• f) Right to object (Art. 21 GDPR): Demanding the cessation of processing carried out on the basis of legitimate interest.

10.2. Instant deletion via the command /delete_me: For guaranteed enforcement of the right to be forgotten, the user simply needs to enter the command /delete_me in a chat with the Telegram bot. Timetable cache, session tokens and account IDs are permanently deleted within 60 seconds.

10.3. Procedure for submitting requests: Any request regarding data subject rights may be sent to [email protected] or via Telegram @naismanager. A response will be provided within 30 calendar days free of charge (Article 12(3) GDPR).

§ 11. Final provisions and amendments to the terms and conditions

11.1. Applicable law and jurisdiction: These regulations are governed by the law of the European Union and the Slovak Republic. All potential disputes are subject to the jurisdiction of the competent courts of the Slovak Republic.

11.2. Amendments procedure: The Controller reserves the right to update these terms to reflect service development or changes in legislation. The current version is always available at https://naisapp.eu/privacy.html. Users will be notified of material changes via the Telegram bot.

11.3. Entry into force: This version was approved and entered into force on 9 September 2026.

§ 1. Преамбула, договор поручения и право на переносимость данных

1.1. Стороны соглашения: Настоящий документ регулирует порядок обработки персональных данных и условия использования сервисов между независимым консорциумом разработчиков Konzorcium vývojárov NAIS (далее — «Оператор», «Технический представитель») и любым физическим лицом, использующим веб-приложение NAIS или Telegram-бота UKF Jarvis (@jarvisukf_bot) (далее — «Пользователь», «Доверитель», «Субъект данных»).

1.2. Договор поручения и цифровое представительство (§ 724 a nasl., § 31 a nasl. Občiansky zákonník č. 40/1964 Zb.): Взаимодействие между Пользователем и сервисом основывается на конструкции гражданско-правового договора поручения (Príkazná zmluva) и прямого представительства по доверенности (Zastúpenie na základe plnomocenstva). Пользователь уполномочивает программное обеспечение NAIS действовать в качестве своего персонального технического клиента (Digital User-Agent) исключительно в объеме заданных команд: для автоматизированного запроса личного расписания, учебных ведомостей и статуса записи предметов с портала AIS2. Все действия осуществляются строго от имени, по запросу и в интересах Пользователя.

1.3. Право на переносимость данных (Art. 20 GDPR / Právo na prenosnosť údajov): В соответствии со статьей 20 Регламента (ЕС) 2016/679 (GDPR), каждый субъект данных имеет законное право на получение предоставленных им персональных данных в структурированном, общепринятом и машиночитаемом формате, а также на их передачу другому лицу. Согласно разъяснениям Европейского совета по защите данных (EDPB WP242 rev.01), субъект данных вправе использовать доверенные персональные программные инструменты (trusted third-party software / personal data store agents) для извлечения, организации и управления своими учебными данными.

1.4. Применимость стандартов GDPR: Сервис NAIS в полном объеме соблюдает требования Регламента (ЕС) 2016/679 и Закона Словацкой Республики č. 18/2018 Z. z. об охране персональных данных. Предоставляя общедоступный инструмент для студентов, Оператор обеспечивает полноценное соблюдение европейских гарантий конфиденциальности.

1.5. Правовые основания обработки данных (Art. 6 GDPR):

• a) Исполнение договора поручения (Art. 6(1)(b) GDPR): Обработка сессионных токенов и учебных расписаний необходима для выполнения поручения Пользователя по отображению его учебной информации.
• b) Информированное согласие (Art. 6(1)(a) GDPR): Отправка персональных push-уведомлений о занятиях, напоминания и взаимодействие с AI-помощником осуществляются на основании явного согласия Пользователя.
• c) Законный интерес в сфере кибербезопасности (Art. 6(1)(f) GDPR): Краткосрочное журналирование сетевых событий, защита от злоупотреблений и обеспечение стабильности сервиса.

§ 2. Управление данными, контакты поддержки и сроки хранения

2.1. Идентификация команды проекта: Сервис NAIS и Telegram-бот UKF Jarvis поддерживаются независимой студенческой инициативной группой разработчиков Konzorcium vývojárov NAIS в целях содействия учебному процессу студентов UKF v Nitre.
Официальный сайт: https://naisapp.eu
Вопросы конфиденциальности и поддержка: [email protected] | Telegram: @naismanager

2.2. Каналы обращения субъектов данных:
Для оперативного обеспечения прав субъектов данных (Art. 15–22 GDPR) действуют следующие прямые каналы:
• Мгновенное удаление профиля и всех данных: команда /delete_me в диалоге с Telegram-ботом @jarvisukf_bot.
• Официальная электронная почта для запросов: [email protected].
• Обратная связь через администратора поддержки: @naismanager.

2.3. Прозрачность категорий обработки: Оператор обеспечивает исчерпывающее и открытое документирование всех категорий обрабатываемых данных, целей и сроков их хранения в соответствии с принципами ст. 5 и ст. 13 Регламента (ЕС) 2016/679 (GDPR).

2.4. Регламент сроков хранения данных (Data Retention Schedule / Art. 5(1)(e) & 13(2)(a) GDPR):

2.5. Надзорный орган (Dozorný orgán): В соответствии со ст. 77 GDPR и § 100 Закона č. 18/2018 Z. z., Пользователь вправе обратиться с жалобой в национальный надзорный орган Словацкой Республики:
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27, Slovenská republika
Веб-сайт: https://dataprotection.gov.sk | Email: [email protected]

§ 3. Академическая автономия и добросовестное использование (Fair Use)

• 3.1. Полная институциональная независимость: Сервис NAIS и бот UKF Jarvis являются независимыми программными решениями студенческого сообщества и не имеют официальной организационной связи с Университетом Константина Философа в Нитре (UKF).
• 3.2. Добросовестное номинативное использование (Nominative Fair Use): Обозначение «UKF» в идентификаторе бота (@jarvisukf_bot) и сопроводительных материалах используется исключительно в описательных целях для обозначения технологической совместимости с расписанием студентов Нитринского университета.
• 3.3. Раздельное контролерство (Independent Controllership, CJEU C-40/17): Университет и Консорциум NAIS выступают как полностью самостоятельные контролеры. NAIS не определяет цели и средства обработки данных внутри университетской системы AIS2. Совместное контролерство (Art. 26 GDPR) полностью отсутствует.
• 3.4. Соблюдение университетских регламентов: Сервис выполняет роль персонального академического органайзера. Пользователю рекомендуется учитывать положения Disciplinárny poriadok UKF pre študentov. Использование сервиса не освобождает студента от обязанности контролировать официальные дедлайны через веб-интерфейс AIS2.

§ 4. Базы данных и разграничение ответственности

• 4.1. Базы данных и авторские права: Извлечение личных данных студента защищено правом на переносимость (ст. 20 GDPR), правом на создание копии для личного некоммерческого использования (§ 42 Закона Словакии č. 185/2015 Z. z. Autorský zákon) и исключением для анализа данных (§ 48a Autorského zákona / Директива (ЕС) 2019/790). Согласно Директиве 96/9/EC (Recital 48), права создателя базы данных sui generis не могут ограничивать реализацию законных прав субъекта данных.
• 4.2. Ответственность по ст. 82 GDPR и § 420 OZ: Оператор признает ответственность за безопасность и надлежащее шифрование данных в границах контролируемого контура. В соответствии со ст. 82(3) GDPR и § 420 Гражданского кодекса Словакии, Оператор освобождается от ответственности за сбои внешних систем AIS2, несвоевременное выставление оценок или академические решения деканатов.

§ 5. Авторизованный доступ, лимиты запросов и возраст

5.1. Правомерность доступа и техническая безопасность (§ 247 Zákon č. 300/2005 Z. z.): Архитектура взаимодействия сервиса с AIS2 разработана с полным соблюдением стандартов кибербезопасности:

• a) Авторизованный доступ по поручению: Сервис подключается к AIS2 исключительно по прямой команде Пользователя с применением его учетных данных, действуя в качестве персонального клиентского агента (User-Agent).
• b) Отсутствие преодоления мер защиты: Система не использует уязвимостей, подбора паролей или обхода защитных механизмов. Запросы передаются через стандартные HTTPS-протоколы.
• c) Защита инфраструктуры AIS2 (Rate Limiting): В сервис интегрировано строгое ограничение частоты запросов (не более 1 запроса в 30 секунд в режиме автоматической проверки), что исключает повышенную нагрузку на сервера университета и обеспечивает целостность систем (§ 247a Уголовного кодекса Словакии).

5.2. Возрастной ценз: Использование сервиса разрешено студентам, достигшим 16 лет (Art. 8 GDPR / § 15 Закона č. 18/2018 Z. z.).

§ 6. Электронные коммуникации (ePrivacy), реестр хранилищ и DPIA

6.1. Соблюдение законодательства об электронных коммуникациях (§ 109 ods. 8 Zákona č. 452/2021 Z. z.): Все элементы, сохраняемые на устройствах Пользователя, являются строго технически необходимыми (technicky nevyhnutné) для предоставления запрошенных функций. Маркетинговые трекеры и аналитические профили не используются.

6.2. Реестр терминальных хранилищ и ключей сессии:

6.3. Оценка рисков для защиты данных (DPIA Summary — Art. 35 GDPR): Проведенный аудит рисков подтвердил, что сочетание сквозного шифрования AES-256-GCM, изоляции памяти, очистки персональных данных (Scrubbing) и лимитов частоты запросов удерживает остаточный риск для прав субъектов данных на минимальном (LOW) уровне.

§ 7. Обработка запросов ИИ и трансграничная передача данных

7.1. Локализация основной инфраструктуры: База данных и серверные мощности проекта расположены на серверах в дата-центрах на территории Европейского Союза, гарантируя соблюдение юрисдикционных требований GDPR.

7.2. Интеграция с языковыми моделями: Для обработки текстовых вопросов пользователя и генерации ответов ИИ-ассистента сервис задействует интерфейсы API провайдеров искусственного интеллекта (включая OpenRouter LLC / AgentRouter).

7.3. Ситуативный характер обработки (Art. 49(1)(b) GDPR): Передача запроса внешним моделям осуществляется исключительно по прямой инициативе Пользователя при отправке вопроса в чат с ИИ-помощником.

7.4. Изоляция учетных данных: В запросах к языковым моделям передаются исключительно текст вопроса пользователя и релевантные открытые фрагменты базы знаний или учебного расписания. Учетные данные (пароль, сессионные токены AIS2) строго изолированы и ни при каких условиях не передаются внешним AI-сервисам.

7.5. Защита канала связи: Взаимодействие с внешними API осуществляется исключительно по протоколу TLS 1.3 с криптографическим шифрованием трафика.

§ 8. Информационная безопасность и протокол реагирования на инциденты

8.1. Архитектура защиты данных (Art. 32 GDPR): База данных сервиса защищена с применением аутентифицированного симметричного шифрования AES-256-GCM с индивидуальным вектором инициализации (nonce) для каждой записи, что обеспечивает конфиденциальность и контроль целостности шифротекста. Ключи шифрования изолированы на уровне конфигурации сервера. Хранение незашифрованных учетных данных на диске и их логирование полностью исключены.

8.2. Регламент реагирования на инциденты безопасности (Data Breach Protocol): При возникновении нештатной ситуации группа реагирования действует по строгому нормативному графику в соответствии со статьями 33 и 34 GDPR и §§ 34, 35, 40, 41 Закона č. 18/2018 Z. z.:

8.3. Аварийный сброс сессий: При обнаружении аномальной активности все локальные сессионные токены немедленно аннулируются, что приводит к принудительному закрытию сеанса связи серверами AIS2.

§ 9. Искусственный интеллект: прозрачность и маркировка (EU AI Act, Art. 50)

9.1. Статус по Регламенту (ЕС) 2024/1689: В рамках европейского регулирования искусственного интеллекта сервис NAIS классифицируется как Развертыватель (Deployer) системы ИИ общего назначения с минимальным риском (Minimal Risk General-Purpose AI Downstream Integration).

9.2. Обязательства по обеспечению прозрачности (Article 50 EU AI Act):

• a) Информирование о диалоге с ИИ (Art. 50(1)): Пользователь четко уведомляется о том, что ведет диалог с искусственным интеллектом; ответы бота сопровождаются визуальным маркером [AI Assistant].
• b) Маркировка синтетических материалов (Art. 50(2)): Сгенерированные тексты снабжаются метаданными is_synthetic: true, подтверждающими генеративный характер контента.
• c) Консультационный статус и проверка фактов (Human-in-the-Loop): Ответы ИИ носят справочный характер. Генеративные модели могут допускать неточности («галлюцинации»). Пользователю рекомендуется проверять критически важные учебные сроки, даты экзаменов и аудитории в официальной системе AIS2.

9.3. Изоляция учетных данных от ИИ: Пароли от AIS2, сессионные токены и персональные номера студентов изолированы от алгоритмов искусственного интеллекта и ни при каких условиях не передаются языковым моделям.

§ 10. Права субъекта данных и удаление по /delete_me

10.1. Каталог прав пользователя (Art. 15–22 GDPR): Пользователь обладает законными правами в отношении своих персональных данных:

• a) Право на доступ (Art. 15 GDPR): Получение подтверждения факта обработки и копии обрабатываемых данных.
• b) Право на исправление (Art. 16 GDPR): Обновление неточных или неполных сведений.
• c) Право на удаление («Право на забвение», Art. 17 GDPR): Полное стирание персональных данных из систем сервиса.
• d) Право на ограничение обработки (Art. 18 GDPR): Приостановка обработки данных при наличии спорных оснований.
• e) Право на переносимость данных (Art. 20 GDPR): Получение данных в общепринятом структурированном машиночитаемом формате.
• f) Право на возражение (Art. 21 GDPR): Запрет обработки данных на основании законного интереса.

10.2. Мгновенное удаление через команду /delete_me: Для гарантированной реализации права на забвение Пользователю достаточно ввести команду /delete_me в диалоге с Telegram-ботом. Кэш расписания, сессионные токены и идентификаторы аккаунта удаляются в течение 60 секунд.

10.3. Порядок обращений: Любой запрос по правам субъекта данных можно направить на адрес [email protected] или через Telegram @naismanager. Ответ будет предоставлен в срок до 30 календарных дней без взимания платы (ст. 12(3) GDPR).

§ 11. Заключительные положения и изменения условий

11.1. Применимое право и подсудность: Настоящий регламент регулируется нормами Европейского Союза и законодательством Словацкой Республики. Все возможные разногласия подлежат разрешению в компетентных судах Словацкой Республики.

11.2. Порядок внесения изменений: Оператор вправе обновлять текст настоящего документа в связи с развитием функционала сервиса или изменением нормативных актов. Действующая редакция всегда доступна по адресу https://naisapp.eu/privacy.html. При существенных изменениях пользователи оповещаются через сообщение в Telegram-боте.

11.3. Вступление в силу: Настоящая редакция утверждена и вступает в силу с 9 сентября 2026 года.