Umowa powierzenia przetwarzania danych

1. Przedmiot, czas trwania, charakter i cel

Przedmiot: świadczenie usługi zgodnie z warunkami korzystania z usługi. Czas trwania: okres subskrypcji oraz czas potrzebny na zwrot i usunięcie danych. Charakter i cel: hostowanie, przeszukiwanie i przekazywanie treści klienta, aby jego członkowie mogli badać prawo z modelem AI wybranym przez administratora.

Kategorie osób, których dane dotyczą: członkowie administratora i każda osoba wymieniona w treściach, które wprowadzają. Rodzaje danych osobowych: to, co wprowadzają członkowie; usługa nie jest przeznaczona do szczególnych kategorii danych (art. 9) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10), a o ich wprowadzeniu decyduje administrator.

2. Polecenia

Przetwarzamy dane osobowe klienta wyłącznie na udokumentowane polecenie administratora — warunki, tę umowę i ustawienia, które administrator wybiera w aplikacji — chyba że prawo Unii lub państwa członkowskiego stanowi inaczej; w takim przypadku informujemy go o tym wcześniej, chyba że prawo tego zabrania. Powiadomimy cię, jeśli uznamy, że polecenie narusza przepisy o ochronie danych.

3. Poufność

Wszystkie osoby upoważnione do przetwarzania danych osobowych klienta są zobowiązane do zachowania poufności.

4. Środki bezpieczeństwa

• Hosting w UE (Hetzner, Norymberga, Niemcy); szyfrowanie podczas przesyłania. Kopie zapasowe są przechowywane na naszym serwerze; kopia zewnętrzna, gdy powstanie, jest szyfrowana.
• Treść pytań i odpowiedzi nie jest przechowywana, chyba że administrator włączy transkrypcje; transkrypcje są szyfrowane kluczem właściwym dla organizacji.
• Klucze dostawców AI są zapieczętowywane przy zapisie; potem aplikacja pokazuje tylko ich ostatnie cztery znaki.
• Dostęp oparty na rolach w organizacji; obsługa kluczy dostępu i drugich składników; jednokrotne logowanie na poziomie organizacji przez jej własnego dostawcę tożsamości (Microsoft Entra ID, Google, Okta lub dowolny dostawca OpenID Connect), gdy organizacja udowodni, że jest właścicielem swojej domeny pocztowej.
• Dziennik audytu tylko do dopisywania z podpisanym eksportem.
• Nasz zespół pracuje przez konsolę wewnętrzną. Wymaga ona konta zespołu z drugim składnikiem i logowania nie starszego niż 12 godzin. Każda zmiana, którą członek zespołu wprowadza w organizacji, wymaga podania powodu i jest zapisywana w dzienniku audytu tej organizacji. Nadanie lub odebranie dostępu zespołu jest zapisywane w naszym własnym dzienniku audytu. Zmiana ceny, wystawienie lub opłacenie faktury, zapisanie weryfikacji numeru VAT lub zmiana okresu przechowywania z wiersza poleceń serwera również wymaga nazwiska operatora i powodu. Pomoc techniczna może oglądać organizację jako członek, tylko do odczytu, najwyżej przez 30 minut; to również jest zapisywane w dzienniku organizacji. Naruszenia ochrony danych osobowych są obsługiwane, jak opisano w części Pomoc.

5. Dalsze podmioty przetwarzające

Administrator udziela ogólnej zgody na dalsze podmioty przetwarzające wymienione na liście podmiotów przetwarzających. O każdym dodaniu lub zastąpieniu informujemy co najmniej 30 dni wcześniej, e-mailem i na tej stronie; administrator może wnieść sprzeciw z uzasadnionych względów związanych z ochroną danych, a jeśli nie usuniemy przyczyny sprzeciwu, może zakończyć korzystanie z danej usługi ze zwrotem proporcjonalnej części opłaty. Każdy dalszy podmiot przetwarzający podlega obowiązkom w zakresie ochrony danych równoważnym tym, a my pozostajemy za niego odpowiedzialni.

Dostawca AI, którego podłącza administrator, jest angażowany przez administratora na podstawie jego własnej umowy z tym dostawcą i nie jest naszym dalszym podmiotem przetwarzającym.

6. Pomoc

Pomagamy administratorowi odpowiadać na żądania osób, których dane dotyczą — funkcje eksportu i usuwania w aplikacji obejmują większość z nich — a także w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków i uprzednich konsultacji, uwzględniając dostępne nam informacje. Zgłaszamy administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki i staramy się to zrobić w ciągu 48 godzin od jego stwierdzenia.

7. Zwrot i usunięcie

Dopóki twoja organizacja jest otwarta, administrator może w każdej chwili wyeksportować swoje dane. Gdy zostanie zamknięta, usuwamy posiadane przez nas dane osobowe klienta 30 dni później, także z kopii zapasowych w miarę ich rotacji, chyba że prawo wymaga od nas ich zachowania.

8. Informacje i audyty

Udostępniamy informacje niezbędne do wykazania przestrzegania art. 28 i umożliwiamy audyty przeprowadzane przez administratora lub wyznaczonego przez niego audytora, z rozsądnym wyprzedzeniem i nie częściej niż raz w roku, chyba że naruszenie lub organ wymaga inaczej. Nie posiadamy jeszcze żadnego certyfikatu bezpieczeństwa ani niezależnego testu penetracyjnego; gdy je uzyskamy, zostaną tu podane wraz z datą.