Kebijakan privasi

1. Siapa yang bertanggung jawab

Pengendali data pribadi yang diuraikan di sini adalah Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Tulis ke privacy@gelex.eu untuk hal apa pun dalam kebijakan ini.

Pejabat perlindungan data. Korpus kami mencakup putusan pengadilan, sebagian di antaranya menyangkut tindak pidana (Pasal 10 GDPR). Menerbitkannya dalam skala besar adalah kegiatan utama, sehingga kami memperlakukan Pasal 37(1)(c) sebagai mengharuskan adanya pejabat perlindungan data. Kami sedang dalam proses menunjuk pejabat tersebut; nama dan kontaknya akan dipublikasikan di sini. Sampai saat itu, privacy@gelex.eu menjangkau orang yang bertanggung jawab atas perlindungan data.

Ketika organisasi Anda menggunakan Gelex, pertanyaan, dokumen, matter, draf, dan transkrip yang dimasukkan anggotanya ke dalam layanan diproses atas nama organisasi. Untuk itu, organisasi adalah pengendali dan kami adalah prosesornya, berdasarkan perjanjian pemrosesan data.

Orang-orang yang disebut dalam putusan pengadilan yang kami terbitkan: lihat pemberitahuan tentang data pribadi dalam putusan yang terpisah.

2. Apa yang kami proses, untuk apa, dan atas dasar apa

Apa yang tidak kami simpan. Kecuali organisasi Anda mengaktifkan transkrip, kami tidak pernah menyimpan teks pertanyaan atau jawaban. Model AI yang terhubung menerima pertanyaan dan teks sumber yang dibutuhkannya untuk menjawab; kami hanya menyimpan metadata di atas.

Kami tidak melatih model AI dengan data Anda. Kami tidak memiliki model AI sendiri. Jawaban berasal dari model yang dihubungkan organisasi Anda.

Data pengguna Google dan Microsoft. Ketika Anda masuk dengan Google atau Microsoft, kami hanya menerima data pada baris tabel di atas. Kami menggunakannya hanya untuk membuat dan memasukkan akun Anda. Kami tidak membagikannya, tidak menggunakannya untuk iklan, dan tidak menggunakannya untuk melatih model. Google dan Microsoft bertindak sebagai pengendali independen untuk masuk mereka sendiri.

3. AI yang Anda hubungkan

Anda memilih model AI yang menjawab. Jika Anda menghubungkannya dengan kunci API, pertanyaan dan teks sumber Anda dikirim ke penyedia itu berdasarkan perjanjian Anda sendiri dengannya. Penyedia adalah prosesor Anda, bukan prosesor kami, dan ketentuan privasinya sendiri berlaku. Jika Anda menggunakan konektor MCP kami di dalam asisten Anda sendiri, penyedia asisten itu menerima apa yang Anda ketik di sana, berdasarkan ketentuannya. Lihat transparansi AI.

4. Siapa yang menerima data

Sejumlah kecil prosesor membantu kami menjalankan layanan. Mereka tercantum, beserta lokasinya, di halaman sub-prosesor. Kami tidak menjual data pribadi dan tidak membagikannya untuk iklan. Kami mengungkapkan data kepada otoritas hanya ketika hukum mewajibkannya.

Staf kami. Staf dapat membuka akun organisasi di konsol staf hanya setelah masuk dengan faktor kedua. Untuk membantu suatu kasus dukungan, anggota staf dapat melihat layanan sebagai salah satu anggota Anda. Tampilan itu hanya-baca, berlangsung 15 menit secara default dan paling lama 30 menit, memerlukan alasan yang dinyatakan, dan dicatat dalam log audit organisasi Anda sendiri.

5. Di mana data disimpan

Layanan dan cadangan server-nya di-hosting oleh Hetzner di pusat datanya di Nuremberg, Jerman; lokasi salinan cadangan di luar lokasi akan dinyatakan di sini setelah disiapkan. Email transaksional dikirim melalui Migadu, sebuah perusahaan Swiss. Swiss diakui oleh Komisi Eropa sebagai memberikan perlindungan yang memadai. Kami tidak menggunakan penyedia cloud yang dimiliki AS, dan kami tidak mentransfer data pribadi ke luar UE/EEA kecuali ke negara yang memiliki keputusan semacam itu.

6. Berapa lama kami menyimpannya

• Pertanyaan, jawaban, dan teks sumber: tidak pernah disimpan, baik di basis data maupun di log, kecuali organisasi Anda mengaktifkan transkrip.
• Transkrip: disimpan hanya selama organisasi Anda mengaktifkannya. Transkrip disimpan untuk jangka waktu yang ditetapkannya lalu dihapus; jika tidak ada jangka waktu yang ditetapkan, transkrip tetap ada sampai organisasi atau Anda menghapusnya. Mematikan transkrip menghentikan penyimpanan transkrip baru; transkrip sebelumnya tetap ada sampai jangka waktunya habis atau dihapus.
• Data akun: selama akun itu ada. Menghapus akun Anda menghapus masuk Anda dan menyamarkan (pseudonimisasi) apa yang tersisa dalam catatan penggunaan dan audit.
• Kunci penyedia AI: dihapus ketika koneksi atau organisasi dihapus; kunci yang diganti langsung dihapus.
• Ekspor data: dibuat ketika Anda memintanya, dan tidak pernah disimpan.
• Metadata penggunaan: 24 bulan.
• Organisasi yang ditutup: kontennya (matter, draf, dokumen, transkrip, undangan, sesi, dan tautan anggota) dihapus 30 hari setelah organisasi ditutup. Begitu pula akun setiap anggota yang tidak termasuk dalam organisasi lain: nama, email, dan masuknya. Fakturnya dan log auditnya tetap disimpan sebagaimana dinyatakan di sini.
• Log audit: 5 tahun setelah organisasi ditutup. Disimpan untuk membuktikan apa yang terjadi pada akun, dan tidak dihapus bersama data organisasi lainnya.
• Upaya masuk yang belum selesai: 24 jam. Tidak memuat data pribadi selain alamat kembali di aplikasi.
• Sesi dan undangan yang kedaluwarsa: 90 hari.
• Permintaan penawaran: 2 tahun. Pemberitahuan konten: 3 tahun setelah keputusan. Permintaan pembatalan dan penarikan konsumen: 5 tahun.
• Log server: 30 hari. Tidak pernah memuat teks pertanyaan, dan server web tidak menyimpan log akses.
• Faktur: 5 tahun setelah akhir tahun buku, sebagaimana diwajibkan oleh Undang-Undang Pembukuan Denmark.
• Surat keluar yang dikirim atas nama perusahaan: alamat tujuannya, subjek dan teksnya, serta alasan pengiriman, disimpan di kotak keluar kami selama 2 tahun setelah dikirim, ditolak, atau gagal; penyedia email kami menyimpan log pengiriman sesuai kebijakannya sendiri.
• Cadangan: cadangan harian disimpan 30 hari dan cadangan akhir bulan 12 bulan. Data yang dihapus dari layanan karenanya hilang dari cadangan paling lama dalam 12 bulan. Cadangan disimpan di server kami di Jerman dan hanya dipulihkan untuk memulihkan layanan; salinan di luar lokasi, setelah dibuat, dienkripsi.

7. Hak Anda

Anda berhak mengakses data Anda, meminta agar data itu diperbaiki atau dihapus, membatasi atau menolak pemrosesannya, dan menerimanya dalam format yang dapat dibawa. Dua di antaranya dapat Anda lakukan sendiri di aplikasi, di bawah Pengaturan → Data Anda: unduh data Anda dan hapus akun Anda. Untuk hal lainnya, tulis ke privacy@gelex.eu. Kami menjawab dalam satu bulan.

Jika kami mengandalkan kepentingan sah, Anda dapat menolak kapan saja. Anda dapat mengajukan keluhan kepada Badan Perlindungan Data Denmark (Datatilsynet, datatilsynet.dk) atau kepada otoritas di tempat Anda tinggal.

8. Apakah Anda wajib memberikan data?

Akun memerlukan nama dan alamat email; tanpa keduanya kami tidak dapat menyediakan layanan. Data penagihan diwajibkan oleh hukum untuk paket berbayar. Kami tidak membuat keputusan tentang Anda yang semata-mata didasarkan pada pemrosesan otomatis yang memiliki akibat hukum atau dampak serupa yang signifikan.

9. Keamanan

Masuk mendukung kunci sandi dan aplikasi autentikator. Koneksi dienkripsi. Kunci penyedia AI yang disimpan organisasi Anda dienkripsi dan tidak pernah ditampilkan lagi. Transkrip dienkripsi di bawah kunci khusus organisasi Anda. Log audit bersifat hanya-tambah (append-only), dan ekspornya ditandatangani sehingga dapat diverifikasi. Laporkan kerentanan ke security@gelex.eu (lihat kebijakan pengungkapan kami).

10. Perubahan

Kami memperbarui kebijakan ini ketika apa yang kami lakukan berubah, dan kami memberi tahu pemegang akun melalui email sebelum perubahan material berlaku.