Smlouva o zpracování osobních údajů (DPA)

1. Smluvní strany

Zpracovatel

• SUN Professionals s.r.o.
• IČO: 27159884
• Sídlo: K dolům 1714/37, Modřany, 143 00 Praha 4
• provozovatel služby Innea Pro
• Kontakt ve věcech ochrany osobních údajů: dpo@innea.cz
• Hlášení bezpečnostních incidentů: bezpecnost@innea.cz

(dále jen „zpracovatel" nebo „Innea Pro")

Správce

Terapeut, poradce nebo praxe, která si zřídila účet ve službě Innea Pro. Identifikace správce je dána údaji uvedenými v jeho účtu. Má-li k účtu přístup více uživatelů, je správcem držitel účtu; ostatní uživatelé jednají z jeho pověření.

Společně dále jen „smluvní strany".

2. Úvodní ustanovení a předmět smlouvy

2.1 Tato smlouva se uzavírá podle čl. 28 odst. 3 Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR").

2.2 Správce určuje účely a prostředky zpracování osobních údajů svých klientů. Zpracovatel zpracovává tyto osobní údaje výhradně pro správce a na základě jeho doložených pokynů.

2.3 Tato smlouva je nedílnou součástí obchodních podmínek služby Innea Pro a uzavírá se současně s nimi. Přijetím obchodních podmínek správce přijímá i tuto smlouvu. Zpracovatel eviduje, kdo, kdy a které znění přijal, a na žádost správci tuto evidenci doloží.

2.4 Popis zpracování podle čl. 28 odst. 3 GDPR je uveden v příloze A. Technická a organizační opatření podle čl. 32 GDPR jsou uvedena v příloze B. Seznam dalších zpracovatelů je uveden v příloze C.

2.5 Správce odpovídá za zákonnost zpracování, zejména za právní titul podle čl. 6 a 9 GDPR, za splnění informační povinnosti vůči svým klientům a dalším subjektům údajů, za získání souhlasů potřebných k pořízení zvukových záznamů sezení a za soulad svých pokynů s právními předpisy. Ukládá-li správci právní předpis uchovávat dokumentaci po určitou dobu, odpovídá za nastavení odpovídající doby uchování ve službě a za včasný export dat před skončením smlouvy.

3. Pokyny správce

3.1 Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce, včetně pokynů týkajících se předání osobních údajů do třetí země. Doloženými pokyny správce jsou tato smlouva, obchodní podmínky, nastavení a užívání funkcí služby správcem v rozsahu jejich popisu platného v době použití a další pokyny, které správce zašle e-mailem na adresu uvedenou v článku 1. Pokyn přesahující funkce služby zpracovatel splní, je-li to technicky proveditelné; jinak to správci bez zbytečného odkladu sdělí.

3.2 Zpracovatel osobní údaje nezpracovává pro vlastní účely. Zejména je nepoužívá k trénování ani vylepšování modelů umělé inteligence, k profilování klientů správce ani k marketingu.

3.3 Zpracovatel neprodleně informuje správce, má-li za to, že určitý pokyn porušuje GDPR nebo jiné právní předpisy Evropské unie či členského státu.

3.4 Je-li zpracovatel povinen zpracovat osobní údaje na základě práva Evropské unie nebo členského státu, informuje o tomto právním požadavku správce před zpracováním, ledaže by dané právo takové informování zakazovalo z důležitých důvodů veřejného zájmu.

4. Mlčenlivost

4.1 Zpracovatel zajistí, aby se osoby oprávněné zpracovávat osobní údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala zákonná povinnost mlčenlivosti.

4.2 Povinnost mlčenlivosti trvá i po skončení pracovního nebo obdobného vztahu těchto osob a po skončení této smlouvy.

4.3 Přístup k osobním údajům má pouze omezený okruh osob na straně zpracovatele, a to v rozsahu nezbytném pro provoz, podporu a zabezpečení služby. V auditním záznamu se zaznamenávají administrativní zásahy a přístupy z vymezených citlivých cest, zejména z administrátorského rozhraní, z krizové intervence a z rozhraní pro instituce. Běžné nahlížení správce do vlastních záznamů se nezaznamenává.

4.4 Zpracovatel bere na vědomí, že údaje mohou podléhat povinné mlčenlivosti správce podle zvláštních právních předpisů. Osoby na straně zpracovatele zachovávají mlčenlivost nejméně v rozsahu, který této povinnosti odpovídá.

4.5 Obdrží-li zpracovatel od orgánu veřejné moci žádost o zpřístupnění osobních údajů správce, odkáže orgán na správce a správce bez zbytečného odkladu informuje, ledaže to právní předpis zakazuje. Údaje zpřístupní jen tehdy, je-li k tomu povinen podle práva Evropské unie nebo České republiky, a jen v nezbytném rozsahu; má-li za to, že žádost je nezákonná, využije dostupné opravné prostředky. Stejnou povinnost ukládá svým dalším zpracovatelům, včetně žádostí orgánů třetích zemí.

5. Zabezpečení zpracování

5.1 Zpracovatel přijímá technická a organizační opatření k zajištění úrovně zabezpečení odpovídající riziku, s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k rizikům pro práva a svobody fyzických osob.

5.2 Smluvní strany berou na vědomí, že zpracovávané údaje zahrnují zvláštní kategorie osobních údajů podle čl. 9 GDPR (údaje o zdravotním stavu, zejména o duševním zdraví). Opatření jsou tomu přizpůsobena.

5.3 Konkrétní opatření jsou uvedena v příloze B. Zpracovatel je oprávněn je v čase měnit, pokud tím nedojde ke snížení dosažené úrovně zabezpečení.

6. Další zpracovatelé (subzpracovatelé)

6.1 Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele podle čl. 28 odst. 2 GDPR. Aktuální seznam je uveden v příloze C a průběžně udržován na adrese https://pro.innea.cz/pro/security#zpracovatele. Po uplynutí lhůty podle odstavce 6.2 nahrazuje seznam zveřejněný na uvedené adrese přílohu C.

6.2 O zamýšlené změně, tedy o přijetí dalšího zpracovatele, jeho nahrazení nebo o změně místa zpracování či titulu předání u stávajícího dalšího zpracovatele, informuje zpracovatel správce nejméně 30 dní předem, a to e-mailem a oznámením v aplikaci.

6.3 Správce může proti změně v této lhůtě vznést odůvodněnou námitku. Nedojde-li k jiné dohodě, je správce oprávněn smlouvu i službu vypovědět bez sankce s účinností ke dni, který určí, nejpozději však 60 dní ode dne, kdy měla změna nabýt účinnosti. Do účinnosti výpovědi zpracovatel údaje správce novému dalšímu zpracovateli nepředá, je-li to technicky možné; není-li, sdělí to správci předem. Zpracovatel správci vrátí poměrnou část předplacené úplaty za období po skončení služby a poskytne mu součinnost při exportu dat podle článku 10.

6.4 Zpracovatel uloží každému dalšímu zpracovateli stejné povinnosti na ochranu osobních údajů, jaké má sám podle této smlouvy. Neplní-li další zpracovatel své povinnosti, odpovídá správci za jejich plnění i nadále zpracovatel.

6.5 Služby třetích stran, které si správce připojí na základě vlastní smlouvy s jejich poskytovatelem (například fakturační systém, banka, platební brána nebo kalendář), nejsou dalšími zpracovateli zpracovatele. Předání údajů do nich provádí zpracovatel na pokyn správce, kterým je jejich připojení.

7. Práva subjektů údajů

7.1 Zpracovatel je s ohledem na povahu zpracování nápomocen správci prostřednictvím vhodných technických a organizačních opatření při plnění povinnosti reagovat na žádosti o výkon práv subjektů údajů podle kapitoly III GDPR.

7.2 Služba umožňuje správci naplnit tato práva vlastními silami přímo v aplikaci, zejména:

• právo na přístup a přenositelnost — export dat klienta ve formátu JSON a CSV,
• právo na opravu — úprava záznamů klienta,
• právo na výmaz — smazání klienta a jeho záznamů; údaje se odstraní z produkční databáze do 30 dnů a ze záloh nejpozději uplynutím jejich retence podle přílohy A,
• právo na omezení zpracování — pozastavení nebo archivace klienta.

7.3 Obrátí-li se subjekt údajů se žádostí přímo na zpracovatele, zpracovatel žádost sám nevyřizuje a bez zbytečného odkladu ji předá správci.

7.4 Ukládá-li správci právní předpis dokumentaci uchovávat, právo na výmaz se na ni po dobu této povinnosti neuplatní (čl. 17 odst. 3 písm. b) GDPR). Posouzení, zda taková povinnost trvá, náleží správci.

8. Součinnost při plnění povinností správce

8.1 Zpracovatel poskytuje správci součinnost při zajišťování souladu s povinnostmi podle čl. 32 až 36 GDPR, tedy při zabezpečení zpracování, ohlašování porušení zabezpečení a posouzení vlivu na ochranu osobních údajů, a to s ohledem na povahu zpracování a informace, jež má k dispozici.

8.2 Pro účely posouzení vlivu na ochranu osobních údajů poskytne zpracovatel správci na vyžádání dokumentaci k opatřením podle přílohy B a k dalším zpracovatelům podle přílohy C.

9. Porušení zabezpečení osobních údajů

9.1 Zpracovatel ohlásí správci jakékoli porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin poté, co se o něm dozvěděl.

9.2 Ohlášení obsahuje popis povahy porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá a navržená opatření a kontaktní místo pro další informace. Nelze-li poskytnout všechny informace současně, poskytnou se postupně bez dalšího zbytečného odkladu.

9.3 Ohlašovací povinnost vůči Úřadu pro ochranu osobních údajů a případně vůči subjektům údajů plní správce. Zpracovatel mu k tomu poskytne veškerou potřebnou součinnost.

9.4 Podezření na incident lze zpracovateli hlásit kdykoli na bezpecnost@innea.cz.

10. Naložení s osobními údaji po skončení zpracování

10.1 Po skončení poskytování služby správce rozhodne, zda mají být osobní údaje vráceny, nebo vymazány.

10.2 Nerozhodne-li správce jinak, zpracovatel osobní údaje trvale vymaže do 30 dnů od skončení poskytování služby. Při skončení služby a znovu 7 dní před výmazem zpracovatel správce e-mailem upozorní na výmaz a na možnost exportu. Zpracovatel si po skončení služby neponechává osobní údaje správce kvůli povinnostem, které právní předpisy ukládají správci (zejména uchovávat zdravotnickou dokumentaci a účetní či daňové doklady); jejich splnění zajišťuje správce, zejména exportem podle odstavce 10.3. Výmazu nepodléhají jen údaje, jejichž uložení vyžaduje po zpracovateli právo Evropské unie nebo České republiky; o tom zpracovatel správce informuje. Na žádost správce zpracovatel výmaz písemně potvrdí.

10.3 Před smazáním má správce možnost si data exportovat přímo z aplikace.

10.4 Údaje obsažené v rotujících zálohách jsou vymazány nejpozději uplynutím retenční doby záloh uvedené v příloze A.

10.5 Končí-li poskytování služby z důvodu na straně zpracovatele nebo pro prodlení správce s úhradou, zahájí zpracovatel výmaz nejdříve 60 dní po doručení upozornění podle odstavce 10.2.

10.6 Pro případ smrti nebo zániku správce bez právního nástupce dává správce zpracovateli tímto pokyn, aby údaje nevymazal dříve než 90 dní poté, co se o této skutečnosti dozví, a vydal je osobě, která prokáže oprávnění je převzít podle právních předpisů (zejména právnímu nástupci nebo příslušnému správnímu úřadu).

11. Audit a doložení souladu

11.1 Zpracovatel poskytne správci veškeré informace potřebné k doložení toho, že byly splněny povinnosti podle čl. 28 GDPR.

11.2 Zpracovatel umožní audity, včetně inspekcí, prováděné správcem nebo jiným auditorem, kterého správce pověřil, a k těmto auditům přispěje. Pravidelný audit lze provést nejvýše jednou za 12 měsíců; oznamuje se nejméně 30 dní předem. Mimořádný audit lze provést kdykoli, jestliže a) došlo k porušení zabezpečení osobních údajů správce, b) má správce důvodné podezření, že zpracovatel porušuje tuto smlouvu nebo GDPR, nebo c) to vyžaduje dozorový úřad; mimořádný audit se oznamuje nejméně 5 pracovních dní předem s uvedením důvodu. Audit se koná v pracovní době, nesmí nepřiměřeně narušit provoz služby a nesmí vést k přístupu k osobním údajům jiných správců.

11.3 Správce může místo auditu nebo před jeho provedením požádat o aktuální dokumentaci, zprávy o auditech nebo certifikáty zpracovatele a jeho dalších zpracovatelů. Neprokazují-li tyto podklady podle odůvodněného názoru správce soulad v požadovaném rozsahu, jeho právo na audit podle odstavce 11.2 tím není dotčeno.

11.4 Auditor je vůči zpracovateli vázán mlčenlivostí a nesmí být jeho konkurentem.

12. Předání do třetích zemí

12.1 Databáze, úložiště souborů a zálohy jsou provozovány v datových centrech v Evropské unii. Tím není vyloučeno předání podle odstavce 12.2.

12.2 Předání osobních údajů dalšímu zpracovateli, který sídlí mimo Evropský hospodářský prostor nebo může k údajům přistupovat ze třetí země (včetně přístupu pro podporu a údržbu), probíhá výhradně na základě

• a) rozhodnutí Komise o odpovídající ochraně podle čl. 45 GDPR, je-li k němu příjemce certifikován (u Spojených států prováděcí rozhodnutí Komise (EU) 2023/1795), nebo
• b) standardních smluvních doložek podle prováděcího rozhodnutí Komise (EU) 2021/914, modul 3.

Pozbude-li rozhodnutí podle písmene a) platnosti nebo účinnosti, použije se písmeno b).

12.3 Zpracovatel před zapojením takového dalšího zpracovatele posoudil právní úpravu a praxi třetí země z hlediska přístupu orgánů veřejné moci k údajům a posouzení aktualizuje při každé podstatné změně. Shrnutí posouzení poskytne správci na vyžádání.

12.4 Příloha C u každého dalšího zpracovatele uvádí sídlo, místo zpracování, přístup ze třetích zemí, titul předání, dobu uchování údajů u dalšího zpracovatele a odkaz na seznam jeho vlastních dalších zpracovatelů.

13. Odpovědnost

13.1 Odpovědnost vůči subjektům údajů se řídí čl. 82 GDPR; tato smlouva ani obchodní podmínky ji nevylučují ani neomezují.

13.2 Vzájemná odpovědnost smluvních stran se řídí obchodními podmínkami. Jejich ustanovení o omezení nebo vyloučení odpovědnosti se nevztahují na újmu způsobenou úmyslně nebo z hrubé nedbalosti ani na újmu na přirozených právech člověka. Za další zpracovatele odpovídá zpracovatel jako za vlastní plnění (odstavec 6.4); ustanovení obchodních podmínek vylučující odpovědnost za služby třetích stran se na ně nepoužije.

13.3 Ujednáním této smlouvy nejsou dotčeny povinnosti, které GDPR ukládá přímo zpracovateli.

14. Trvání smlouvy

14.1 Tato smlouva nabývá účinnosti okamžikem přijetí obchodních podmínek služby Innea Pro a trvá po dobu, po kterou zpracovatel pro správce zpracovává osobní údaje.

14.2 Skončení smlouvy nemá vliv na ustanovení, která mají svou povahou trvat i po jejím skončení, zejména na mlčenlivost podle článku 4 a na naložení s údaji podle článku 10.

15. Změny smlouvy

15.1 Zpracovatel je oprávněn tuto smlouvu v přiměřeném rozsahu měnit, zejména v návaznosti na změnu právních předpisů, rozhodnutí či doporučení orgánů ochrany osobních údajů, změnu funkcí služby nebo dalších zpracovatelů. O změně informuje správce nejméně 30 dní před její účinností, a to e-mailem a oznámením v aplikaci.

15.2 Nesouhlasí-li správce se změnou, je oprávněn smlouvu i službu vypovědět bez sankce s účinností ke dni, který určí, nejpozději však 60 dní po účinnosti změny; do té doby se na něj použije dosavadní znění smlouvy. Zpracovatel mu vrátí poměrnou část předplacené úplaty za období po skončení služby.

15.3 Historické verze zůstávají dostupné v účtu správce v sekci Nastavení → Právní dokumenty.

16. Závěrečná ustanovení

16.1 Tato smlouva se řídí právním řádem České republiky a přímo použitelnými předpisy Evropské unie.

16.2 Je-li některé ustanovení této smlouvy neplatné nebo neúčinné, nemá to vliv na platnost ostatních ustanovení.

16.3 V případě rozporu mezi touto smlouvou a obchodními podmínkami má ve věcech zpracování osobních údajů přednost tato smlouva.

Příloha A — Popis zpracování (čl. 28 odst. 3 GDPR)

Kategorie osobních údajů

• Identifikační a kontaktní údaje — jméno, e-mail, telefon, případně adresa.
• Údaje o zdravotním stavu (zvláštní kategorie podle čl. 9 GDPR) — zakázka a důvod péče, poznámky ze sezení, výsledky dotazníků, hodnocení nálady, cíle terapie, domácí úkoly, bezpečnostní plán.
• Údaje o průběhu spolupráce — termíny a docházka, stav klienta, historie komunikace.
• Zvukové záznamy sezení a jejich přepisy — pouze je-li funkce dostupná v tarifu správce a správce ji pro dané sezení aktivuje; souhlasy účastníků zajišťuje správce.
• Fakturační údaje — doklady, platby.
• Údaje pro vyúčtování zdravotní pojišťovně — číslo pojištěnce, zdravotní pojišťovna, diagnózy a kódy výkonů.
• Technické a provozní údaje — přihlašovací a auditní záznamy.

Retence

Retenci záznamů po dobu užívání služby určuje správce nastavením v aplikaci; po skončení služby platí článek 10.

Příloha B — Technická a organizační opatření (čl. 32 GDPR)

Šifrování

Data v klidu jsou šifrována na úrovni spravované databáze a úložiště souborů (poskytovatel Supabase, AES-256). Přenos probíhá výhradně přes HTTPS; aplikace vynucuje trvalé použití HTTPS hlavičkou HSTS. Podporované verze protokolu jsou TLS 1.2 a vyšší.

Řízení přístupu

Oddělení dat jednotlivých správců je vynuceno na úrovni databáze pomocí Row-Level Security, nikoli pouze v aplikaci, a je zapnuto bez výjimky na všech tabulkách produkčního schématu. Každý správce má přístup výhradně k datům svých klientů. Přístupy na straně zpracovatele jsou omezeny na nezbytný okruh osob podle zásady nejmenších oprávnění.

Dvoufázové ověření

Správce si může k účtu zapnout dvoufázové ověření jednorázovým kódem (TOTP) v nastavení profilu; při přihlášení je pak vyžadováno.

Auditní záznam

Zaznamenávají se administrativní zásahy a přístupy z vymezených citlivých cest (administrátorské rozhraní, krizová intervence, rozhraní pro instituce). Záznam je určen jen k zápisu — mimo servisní roli k němu žádná role nemá právo zápisu ani mazání. Záznamy se uchovávají po dobu poskytování služby, nejméně 12 měsíců. Běžné nahlížení správce do vlastních záznamů se nezaznamenává.

Zálohování a obnovitelnost

Automatické denní zálohy spravované poskytovatelem databáze, uložené v Evropské unii, s retenční dobou 7 dní.

Lokalita dat

Databáze, úložiště souborů i zálohy jsou provozovány v Evropské unii (region Frankfurt). V Evropské unii běží i serverové funkce aplikace. Předání mimo Evropský hospodářský prostor probíhá pouze v rozsahu uvedeném v příloze C a za podmínek článku 12.

Bezpečnost vývoje a provozu

Každá změna zdrojového kódu prochází před sloučením do produkční větve povinnou automatizovanou bránou. Jejími součástmi jsou jednotkové testy, typová kontrola, statická analýza a osm cílených kontrol — mimo jiné kontrola na výskyt osobních údajů a testovacích přihlašovacích údajů ve zdrojovém kódu, kontrola oprávnění databázových funkcí a kontrola zacházení s časovými pásmy. Změna se nasazuje nejprve do náhledového prostředí a teprve poté do produkce.

Sledování chyb a provozu

Provoz je monitorován a chyby se zachycují do nástroje pro sledování chyb. Před odesláním se ze záznamu odstraňují osobní údaje, přihlašovací tokeny a další citlivé hodnoty. Záznam obrazovky je ve výchozím stavu vypnutý; pořizuje se jen při zachycené chybě, a to se skrytým textem, skrytými vstupními poli i médii.

Pseudonymizace a minimalizace

Do rozhraní se přenášejí pouze údaje, které jsou pro danou obrazovku nutné. Provozní a analytické přehledy zpracovatele pracují s agregovanými počty a technickými metadaty, nikoli s obsahem záznamů o klientech správce.

Vyhodnocování účinnosti

Účinnost opatření zpracovatel vyhodnocuje při každé podstatné změně služby; automatizovaná brána podle odstavce o bezpečnosti vývoje běží u každé změny.

Řízení incidentů

Postup podle článku 9 této smlouvy, kontaktní místo bezpecnost@innea.cz.

Příloha C — Další zpracovatelé

Seznam odpovídá stavu ke dni verze této smlouvy a je průběžně udržován na adrese https://pro.innea.cz/pro/security#zpracovatele. Uvedeni jsou zpracovatelé, kterým se předávají osobní údaje zpracovávané pro správce ve službě Innea Pro.

Uchování údajů u dalších zpracovatelů. Doba se řídí podmínkami každého z nich. U poskytovatelů umělé inteligence a přepisu (Anthropic, Deepgram, OpenAI) zpracovatel nemá sjednánu nulovou retenci; podle standardních podmínek těchto poskytovatelů může být vstup dočasně uchován za účelem odhalování zneužití. Zpracovatel na vyžádání sdělí aktuální stav u konkrétního dalšího zpracovatele.

Vlastní účely dalších zpracovatelů. Každý další zpracovatel má smluvně zakázáno používat data správce k trénování nebo vylepšování modelů umělé inteligence. Omezené zpracování pro vlastní účely dalšího zpracovatele je u nich možné tam, kde to vyplývá z povahy služby — zejména prevence podvodů u platební služby a dočasné uchování kvůli odhalování zneužití u poskytovatelů umělé inteligence a přepisu.

Vlastní další zpracovatelé. Každý z uvedených zpracovatelů vede vlastní seznam svých dalších zpracovatelů ve své dokumentaci o ochraně osobních údajů. Odkazy na tyto seznamy poskytne zpracovatel správci na vyžádání.

Služby, které si připojuje správce sám. Nejsou dalšími zpracovateli zpracovatele (odstavec 6.5) a v tabulce výše proto nejsou. Zpracovatel do nich předává údaje na pokyn správce, kterým je jejich připojení: fakturační a účetní systém (Fakturoid nebo iDoklad) — jméno, e-mail a případně IČO a DIČ klienta, položky faktury; platební brána (Comgate) — používá-li ji správce, e-mailová adresa klienta, číslo dokladu a částka; bankovní propojení (Fio banka) — zpracovatel čte výpis správce včetně jména odesílatele platby; synchronizace kalendáře (Google Calendar) — ve výchozím nastavení se do události přenáší jméno klienta, typ sezení a poznámka správce, správce ale může zapnout režim, ve kterém se přenáší jen údaj o obsazenosti.

Služby, do kterých nejdou žádné údaje klientů správce, a které proto v tabulce nejsou: uložení videa u vzdělávacích kurzů správce a převod adresy praxe na souřadnice pro veřejný katalog. Obojí pracuje s údaji samotného správce, ne jeho klientů.

Služby, které údaje správce nezpracovávají. Klientská aplikace Innea (služba pro koncové uživatele, nikoli Innea Pro) používá i další služby — zejména převod řeči na text a syntézu řeči pro hlasový chat. Osobní údaje správce ani jeho klientů se do nich nepředávají. Napojení, které si správce zřídí na základě vlastní smlouvy s poskytovatelem (například synchronizace kalendáře nebo fakturační systém), není dalším zpracovatelem zpracovatele — viz odstavec 6.5.