1. Kto odpowiada
Administratorem opisanych tu danych osobowych jest Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Z pytaniami dotyczącymi tej polityki pisz na privacy@gelex.eu.
Inspektor ochrony danych. Nasz korpus obejmuje orzeczenia sądowe, w tym dotyczące przestępstw (art. 10 RODO). Publikowanie ich na dużą skalę jest podstawową działalnością; uważamy więc, że art. 37 ust. 1 lit. c wymaga wyznaczenia inspektora ochrony danych. Jesteśmy w trakcie wyznaczania inspektora; jego imię i nazwisko oraz dane kontaktowe zostaną tu opublikowane. Do tego czasu privacy@gelex.eu trafia do osoby odpowiedzialnej za ochronę danych.
Gdy twoja organizacja korzysta z Gelex, pytania, dokumenty, sprawy, wersje robocze i transkrypcje, które jej członkowie wprowadzają do usługi, są przetwarzane w imieniu organizacji. W ich przypadku administratorem jest organizacja, a my jesteśmy jej podmiotem przetwarzającym na podstawie umowy powierzenia przetwarzania danych.
Osoby wymienione w publikowanych przez nas orzeczeniach: zob. informację o danych osobowych w orzeczeniach sądowych.
2. Co przetwarzamy, dlaczego i na jakiej podstawie prawnej
| Dane | Cel | Podstawa prawna |
|---|---|---|
| Konto: imię i nazwisko, e-mail, język, organizacja i rola oraz twoje metody logowania (klucz dostępu, skrót hasła, aplikacja uwierzytelniająca) | Aby zapewnić ci konto i bezpieczne logowanie | Umowa, art. 6 ust. 1 lit. b |
| Logowanie przez Google lub Microsoft, jeśli je wybierzesz: twoje imię i nazwisko, e-mail i identyfikator konta u tego dostawcy | Aby cię zalogować. Używane tylko w tym celu. | Umowa, art. 6 ust. 1 lit. b |
| Metadane użycia dla każdego żądania: kto, kiedy, jakiego rodzaju narzędzie, które dokumenty korpusu przeczytano, jurysdykcje, czas trwania, liczba tokenów, wynik | Aby rozliczać użycie w ramach twojego planu, świadczyć usługę i pokazywać twojej organizacji jej użycie | Umowa, art. 6 ust. 1 lit. b |
| Dziennik audytu: zdarzenia istotne dla bezpieczeństwa (członkostwo, zmiany ról i kluczy, „zadano pytanie” bez jego treści, dostęp pomocy technicznej), z zahaszowanym adresem IP | Aby usługa i konto twojej organizacji były bezpieczne i możliwe do prześledzenia | Prawnie uzasadniony interes w bezpieczeństwie, art. 6 ust. 1 lit. f |
| Rozliczenia: nazwa organizacji, adres do faktur, numer VAT i jego weryfikacja w unijnym rejestrze VIES, faktury oraz nadwyżka należna za okres użycia zamknięty, zanim ustalono kraj rozliczenia | Aby wystawiać faktury za płatne plany, prawidłowo stosować VAT i prowadzić księgowość | Umowa i obowiązek prawny, art. 6 ust. 1 lit. b i c |
| Polecenia: która organizacja poleciła inną i czy ta stała się płacącym klientem | Aby przyznać bonus za polecenie | Umowa, art. 6 ust. 1 lit. b |
| Zapytania o wycenę: imię i nazwisko, e-mail, organizacja i wiadomość | Aby odpowiedzieć i przygotować ofertę | Działania przed zawarciem umowy, art. 6 ust. 1 lit. b |
| Wypowiedzenia i odstąpienia od umowy (konsumenci) | Aby je wykonać i móc udowodnić, że to zrobiliśmy | Obowiązek prawny, art. 6 ust. 1 lit. c |
| Zgłoszenia dotyczące treści (wnioski o usunięcie lub poprawienie, odwołania): imię i nazwisko, e-mail i oświadczenie zgłaszającego | Aby rozpatrzyć zgłoszenie i na nie odpowiedzieć, jak wymaga akt o usługach cyfrowych | Obowiązek prawny, art. 6 ust. 1 lit. c |
| E-maile, które do nas wysyłasz | Aby ci odpowiedzieć | Prawnie uzasadniony interes, art. 6 ust. 1 lit. f |
| Treści klienta: transkrypcje (tylko jeśli twoja organizacja je włączy), sprawy, wersje robocze, przesłane dokumenty, podpisy elektroniczne na wersjach roboczych, dokumenty wysłane do podpisu wraz z imieniem i nazwiskiem, e-mailem, odpowiedzią i adresem sieciowym, z którego podpisał każdy sygnatariusz, własne wzory organizacji oraz kto je napisał i zatwierdził, które zmiany prawa wysłano e-mailem któremu członkowi w związku ze sprawą, oraz klucze łączące znaczniki nazwisk osób w sprawie z tymi nazwiskami, trzymane z dala od AI | Aby świadczyć funkcje, z których korzysta twoja organizacja | Przetwarzane w imieniu twojej organizacji na podstawie umowy powierzenia przetwarzania danych |
Czego nie przechowujemy. Jeśli twoja organizacja nie włączy transkrypcji, nigdy nie przechowujemy treści pytania ani odpowiedzi. Podłączony model AI otrzymuje pytanie i teksty źródeł potrzebne do odpowiedzi; przechowujemy tylko powyższe metadane.
Nie trenujemy modeli AI na twoich danych. Nie mamy własnego modelu AI. Odpowiedzi pochodzą z modelu, który podłącza twoja organizacja.
Dane użytkownika Google i Microsoft. Gdy logujesz się przez Google lub Microsoft, otrzymujemy tylko dane z odpowiedniego wiersza tabeli powyżej. Używamy ich wyłącznie do utworzenia twojego konta i zalogowania cię. Nie udostępniamy ich ani nie używamy do reklamy czy trenowania modeli. Google i Microsoft działają jako niezależni administratorzy w zakresie własnego logowania.
3. AI, którą podłączasz
To ty wybierasz model AI, który odpowiada. Jeśli podłączysz go kluczem API, twoje pytania i teksty źródeł są wysyłane do tego dostawcy na podstawie twojej własnej umowy z nim. Dostawca jest twoim podmiotem przetwarzającym, nie naszym, i obowiązują jego własne zasady prywatności. Jeśli korzystasz z naszego konektora MCP we własnym asystencie, dostawca tego asystenta otrzymuje to, co tam piszesz, na swoich warunkach. Zob. Przejrzystość AI.
4. Kto otrzymuje dane
Niewielka liczba podmiotów przetwarzających pomaga nam świadczyć usługę. Są wymienione wraz z lokalizacjami na stronie podmiotów przetwarzających. Nie sprzedajemy danych osobowych ani nie udostępniamy ich do celów reklamowych. Przekazujemy dane organom tylko wtedy, gdy wymaga tego prawo.
Nasz zespół. Zespół może otworzyć konto organizacji w konsoli wewnętrznej dopiero po zalogowaniu się z drugim składnikiem. Aby pomóc w zgłoszeniu do pomocy technicznej, członek zespołu może zobaczyć usługę tak, jak widzi ją jeden z twoich członków. Ten widok jest tylko do odczytu, trwa domyślnie 15 minut, najwyżej 30, wymaga podania powodu i jest zapisywany w dzienniku audytu twojej organizacji.
5. Gdzie przechowywane są dane
Usługę i jej kopie zapasowe na serwerze hostuje Hetzner w swoim centrum danych w Norymberdze w Niemczech; lokalizacja zewnętrznej kopii zapasowej zostanie tu podana, gdy taka kopia powstanie. Poczta transakcyjna jest wysyłana przez Migadu, szwajcarską firmę. Komisja Europejska uznaje Szwajcarię za państwo zapewniające odpowiedni stopień ochrony. Nie korzystamy z żadnego dostawcy chmury należącego do podmiotów amerykańskich i nie przekazujemy danych osobowych poza EOG, z wyjątkiem państw objętych taką decyzją.
6. Jak długo je przechowujemy
- Pytanie, odpowiedź i tekst źródeł: nigdy nie są przechowywane, ani w bazie danych, ani w logach, chyba że twoja organizacja włączy transkrypcje.
- Transkrypcje: przechowywane tylko, dopóki twoja organizacja ma je włączone. Są przechowywane przez okres, który ona ustali, a następnie usuwane; jeśli nie ustali żadnego, pozostają, dopóki ona lub ty ich nie usuniecie. Wyłączenie transkrypcji wstrzymuje zapisywanie nowych; stare pozostają do upływu ich okresu lub usunięcia.
- Dane konta: dopóki konto istnieje. Usunięcie konta kasuje twoje dane logowania i pseudonimizuje to, co pozostaje w dziennikach użycia i audytu.
- Klucze dostawców AI: usuwane, gdy usunięte zostanie połączenie lub organizacja; zastąpiony klucz jest usuwany od razu.
- Eksporty danych: tworzone na twoje żądanie i nigdy nie przechowywane.
- Metadane użycia: 24 miesiące.
- Zamknięte organizacje: ich treści (sprawy, wersje robocze, dokumenty, transkrypcje, zaproszenia, sesje i powiązania członków) są usuwane 30 dni po zamknięciu organizacji. Tak samo konto każdego członka, który nie należy do żadnej innej organizacji: jego imię i nazwisko, e-mail i logowanie. Faktury i dziennik audytu są przechowywane, jak podano tutaj.
- Dziennik audytu: 5 lat od zamknięcia organizacji. Jest przechowywany, aby dowieść, co działo się na koncie, i nie jest usuwany wraz z resztą danych organizacji.
- Niedokończone próby logowania: 24 godziny. Nie zawierają danych osobowych poza adresem powrotu w aplikacji.
- Wygasłe sesje i zaproszenia: 90 dni.
- Zapytania o wycenę: 2 lata. Zgłoszenia dotyczące treści: 3 lata od decyzji. Wypowiedzenia i odstąpienia konsumentów: 5 lat.
- Logi serwera: 30 dni. Nigdy nie zawierają treści pytań, a serwer WWW nie prowadzi dziennika dostępu.
- Faktury: 5 lat od końca roku obrotowego, jak wymaga duńska ustawa o rachunkowości.
- Poczta wysyłana w imieniu firmy: adres, na który ją wysłano, jej temat i treść oraz powód wysłania są przechowywane w naszej skrzynce nadawczej przez 2 lata od wysłania, odrzucenia lub niepowodzenia; nasz dostawca poczty przechowuje logi doręczeń zgodnie z własną polityką.
- Kopie zapasowe: dzienne są przechowywane 30 dni, miesięczne 12 miesięcy. Dane usunięte z usługi znikają więc z kopii zapasowych najpóźniej po 12 miesiącach. Kopie zapasowe są przechowywane na naszym serwerze w Niemczech i przywracane tylko w celu odtworzenia usługi; kopia zewnętrzna, gdy powstanie, jest szyfrowana.
7. Twoje prawa
Masz prawo dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia ich przetwarzania lub wniesienia sprzeciwu oraz otrzymania ich w przenośnym formacie. Dwa z tych praw możesz wykonać sam w aplikacji, w Ustawienia → Twoje dane: pobierz swoje dane i usuń konto. W pozostałych sprawach pisz na privacy@gelex.eu. Odpowiadamy w ciągu miesiąca.
Gdy opieramy się na prawnie uzasadnionym interesie, możesz w każdej chwili wnieść sprzeciw. Możesz złożyć skargę do duńskiego organu ochrony danych (Datatilsynet, datatilsynet.dk) lub do organu w miejscu, w którym mieszkasz.
8. Czy musisz podać nam dane?
Konto wymaga imienia i nazwiska oraz adresu e-mail; bez nich nie możemy świadczyć usługi. Dane do faktur są wymagane przez prawo w przypadku płatnych planów. Nie podejmujemy wobec ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na ciebie wpływają.
9. Bezpieczeństwo
Logowanie przyjmuje klucze dostępu i aplikacje uwierzytelniające. Połączenia są szyfrowane. Klucze dostawców AI przechowywane przez twoją organizację są szyfrowane i nigdy nie są ponownie wyświetlane. Transkrypcje są szyfrowane kluczem właściwym dla twojej organizacji. Dziennik audytu jest tylko do dopisywania, a jego eksport jest podpisany, aby można go było zweryfikować. Lukę w zabezpieczeniach zgłoś na security@gelex.eu (zob. nasze zasady ujawniania).
10. Zmiany
Aktualizujemy tę politykę, gdy zmienia się to, co robimy, i powiadamiamy posiadaczy kont e-mailem, zanim istotna zmiana wejdzie w życie.
Historia zmian
- , wersja 1: Pierwsza wersja.