Smlouva o zpracování údajů

Zákazník je organizace, která vlastní pracovní prostor, správce osobních údajů, které vkládá do nerix.ai (a jejich zpracovatel, pokud jedná pro své vlastní zákazníky). Zpracovatelem je Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, United States.

Tato smlouva se vztahuje na osobní údaje v pracovním prostoru zákazníka: dokumenty, konverzace, tabulky, pracovní záznamy, schůzky a nahrávky, embeddingy knihovny, jména a e-mailové adresy členů a auditní záznam. Nevztahuje se na osobní údaje, u kterých nerix sám určuje účely, jako je přihlašovací účet osoby nebo fakturační záznamy. Ty jsou popsány v zásadách ochrany osobních údajů.

Pokud se tato smlouva a Podmínky rozcházejí v otázce osobních údajů, má přednost tato smlouva.

nerix zpracovává osobní údaje pouze na základě zdokumentovaných pokynů zákazníka. Pokyny jsou Podmínky, tato smlouva, nastavení, která zákazník zvolí v produktu (například region AI, poskytovatelé, doby uchovávání a skrývání jmen před AI), a to, co jeho členové po produktu požadují. To zahrnuje předání do třetí země: uskutečňují se pouze tak, jak tyto pokyny a seznam dílčích zpracovatelů umožňují.

nerix neprodleně informuje zákazníka, pokud se domnívá, že pokyn porušuje právní předpisy o ochraně osobních údajů. Pokud zákon vyžaduje, aby nerix zpracovával jinak, informuje nejprve zákazníka, pokud to zákon nezakazuje.

Každý v nerix, kdo může získat přístup k osobním údajům zákazníka, je vázán písemnou povinností mlčenlivosti, přístup dostane pouze tehdy, když to práce vyžaduje, a každé nahlédnutí zaměstnanců do konverzace zákazníka se zaznamenává do auditního záznamu zákazníka.

nerix přijímá opatření podle článku 32 GDPR. Příloha 2 uvádí ta, která existují dnes. nerix je může změnit, pokud se úroveň ochrany nesníží.

Zákazník uděluje obecné písemné povolení pro dílčí zpracovatele uvedené v příloze 1. nerix každého z nich smluvně zavazuje ke stejným povinnostem ochrany osobních údajů a zůstává za ně vůči zákazníkovi plně odpovědný.

nerix informuje vlastníka každého pracovního prostoru nejméně 30 dní před přidáním nebo nahrazením dílčího zpracovatele, v produktu a e-mailem, a aktualizuje veřejný seznam na nerix.ai/legal/subprocessors. Zákazník může v těchto 30 dnech vznést námitku z oprávněných důvodů ochrany osobních údajů. nerix se poté pokusí nabídnout službu bez tohoto dílčího zpracovatele, například tím, že pracovní prostor ponechá u poskytovatelů pouze v EU. Pokud to není možné, zákazník může smlouvu ukončit a obdrží vrácení předplacených poplatků za nevyužitou dobu.

Zákazník volí region AI a poskytovatele pro svůj vlastní pracovní prostor. Poskytovatel, kterého zákazník sám zapne v Nastavení, je vlastní volbou zákazníka, nikoli změnou ze strany nerix.

Údaje zákazníka jsou uloženy v Evropské unii (Francie, se šifrovanými soubory a zálohami v Nizozemsku). nerix je usazen ve Spojených státech. Pokud jsou osobní údaje předávány do země bez rozhodnutí o odpovídající ochraně nebo z ní k nim přistupováno, strany se dohodly na standardních smluvních doložkách Evropské komise (rozhodnutí (EU) 2021/914) takto. Modul dva (od správce ke zpracovateli) se použije, když je zákazník správcem, a Modul tři (od zpracovatele ke zpracovateli), když je zákazník sám zpracovatelem. Jsou součástí této smlouvy odkazem.

• Doložka 7 (doložka o přistoupení): zahrnuta.
• Doložka 9(a): možnost 2, obecné povolení, s 30denní lhůtou pro oznámení podle článku 6.
• Doložka 11(a): volitelný nezávislý orgán pro řešení sporů se nepoužije.
• Doložka 17: právo Irské republiky. Doložka 18(b): soudy Irska.
• Strany podle přílohy I.A jsou v článku 1; příloha I.B je článek 2; příslušným dozorovým úřadem je úřad v místě usazení zákazníka (nebo, pokud žádné není, Irish Data Protection Commission). Příloha II je příloha 2 níže. Příloha III je příloha 1 níže.

Pro osobní údaje podle UK GDPR se strany rovněž dohodly na dodatku pro mezinárodní předávání údajů ke standardním smluvním doložkám EU vydaném UK Information Commissioner (verze B1.0, účinná od 21. března 2022). Jeho tabulky se vyplňují podle tohoto článku a příloh a kterákoli strana jej může ukončit podle jeho článku 19.

Pro osobní údaje podle švýcarského zákona o ochraně osobních údajů se standardní smluvní doložky použijí s těmito změnami: příslušným orgánem je Swiss Federal Data Protection and Information Commissioner; odkazy na GDPR zahrnují i švýcarský zákon; místem soudní příslušnosti pro nároky osob ve Švýcarsku je Švýcarsko; a „členský stát“ nebrání osobě ve Švýcarsku podat žalobu v místě jejího obvyklého pobytu.

Pokud je nerix pro toto předání certifikován podle rámce EU-US Data Privacy Framework, je tato certifikace hlavním zabezpečením a standardní smluvní doložky se použijí jako záložní řešení, pokud rámec přestane být platný. S žádostí státního orgánu o přístup se nakládá tak, jak stanoví standardní smluvní doložky: nerix napadá žádosti, které jsou protiprávní, poskytne co nejmenší možné množství údajů a informuje zákazníka, pokud to zákon nezakazuje.

Pokud se na nerix obrátí osoba ohledně údajů, které nerix uchovává pro zákazníka, nerix neodpovídá ve věci samé a předá žádost zákazníkovi bez zbytečného odkladu (do pěti pracovních dnů). nerix poskytuje zákazníkovi nástroje k pomoci: export pracovního prostoru a vlastních údajů účtu jedné osoby, smazání, opravu a auditní záznam. Nad rámec toho nerix pomůže s přiměřeným úsilím a bezplatně, pokud jde o malý úkol.

nerix informuje vlastníka každého dotčeného pracovního prostoru bez zbytečného odkladu a nejpozději do 24 hodin poté, co se o porušení zabezpečení osobních údajů, které se týká zákazníkových dat, dozví, a to v produktu a e-mailem. Oznámení uvádí, co je známo: co se stalo, kterých údajů a přibližně kolika lidí se to týká, pravděpodobné dopady, co nerix udělal a co doporučuje zákazníkovi udělat. Další skutečnosti budou doplněny, jakmile budou zjištěny. nerix vede registr porušení a poskytne zákazníkovi to, co potřebuje pro své vlastní oznámení orgánu (článek 33) a dotčeným osobám (článek 34).

nerix pomáhá zákazníkovi se zabezpečením, oznámením porušení, posouzeními vlivu na ochranu osobních údajů a předchozí konzultací, s ohledem na to, co může vidět. nerix na požádání poskytne shrnutí svého posouzení vlivu na ochranu osobních údajů týkajícího se funkcí AI.

Zákazník může kdykoli bezplatně exportovat celý pracovní prostor z Nastavení (dokumenty v původních souborech, konverzace, tabulky, záznamy, auditní stopu) a může smazat data i pracovní prostor. Po skončení smlouvy nerix uchovává pracovní prostor po dobu vyzvednutí nejméně 30 dnů, aby jej zákazník mohl exportovat, a poté osobní údaje smaže, včetně záloh, do dalších 30 dnů, pokud mu zákon neukládá je uchovávat. nerix výmaz na požádání potvrdí.

nerix poskytne zákazníkovi informace potřebné k prokázání splnění článku 28 a umožní zákazníkovi nebo jím pověřenému auditorovi provést kontrolu, a to po předchozím oznámení 30 dnů, v pracovní době, za zachování důvěrnosti, ne častěji než jednou ročně, pokud porušení nebo orgán nevyžadují častěji, a na náklady zákazníka. nerix může tento požadavek nejprve splnit aktuálními nezávislými zprávami a svými odpověďmi na bezpečnostní dotazník zákazníka.

Odpovědnost podle této smlouvy se řídí Podmínkami, s výjimkou toho, že nic neomezuje odpovědnost, kterou zákon omezit nelze, a standardní smluvní doložky, pokud se použijí, mají přednost před vším ostatním. Tato smlouva se pro standardní smluvní doložky řídí právem Irské republiky a v ostatních případech Podmínkami.

Zákazník přijímá tuto smlouvu v produktu: vlastník pracovního prostoru ji potvrdí a nerix zaznamená datum, verzi a kdo ji přijal. Nová verze se vlastníkovi zobrazí spolu se změnami a použije se po přijetí; přijatá verze zůstává viditelná v Nastavení. Zákazníci Enterprise mohou požádat o kopii s podpisovými řádky. Dotazy: info@nerix.ai.

Veřejný seznam na nerix.ai/legal/subprocessors je aktuální. K datu této verze:

Tato opatření jsou v produktu v současnosti zavedena.

• Oddělení zákazníků: každý záznam nese svůj pracovní prostor a každý dotaz v kódu musí pracovní prostor určit, jinak selže; soubory se ukládají po pracovních prostorech.
• Šifrování: připojení používají TLS. Klíče poskytovatelů a uložené přihlašovací údaje zákazníků jsou šifrovány obálkovým šifrováním, hlavní klíč je uložen mimo databázi v souboru, který může číst pouze služba.
• Přístup: přihlášení heslem, přístupovými klíči nebo přes Google či GitHub; dvoukrokové přihlášení; role vlastníka, správce, člena a čtenáře; relace lze zobrazit a ukončit; API klíče lze okamžitě zrušit.
• Přístup zaměstnanců: samostatná identita zaměstnanců s vlastním přihlášením a druhým krokem; zaměstnanci vidí konverzaci zákazníka pouze se zaznamenaným důvodem a každý přístup se zapíše do auditní stopy zákazníka; vydávání se za uživatele je zákazníkovi zobrazeno v auditní stopě.
• Auditní stopa: záznam, do kterého lze pouze přidávat, o tom, kdo co v pracovním prostoru udělal, s exporty; uchovává se po dobu uchování, kterou nastaví vlastník.
• Bezpečnost AI: jména osob a klientů a osobní údaje, jako jsou e-mailové adresy a telefonní čísla a čísla účtů, lze před odesláním textu do modelu nahradit kódy a v odpovědi je vrátit zpět; vlastníci mohou toto nastavení uzamknout; poskytovatel modelu nikdy nesmí trénovat na datech zákazníka; region AI lze omezit pouze na EU nebo na modely na našich vlastních serverech.
• Uchovávání a výmaz: vlastník může nastavit, jak dlouho se dokumenty a konverzace uchovávají, poté je služba smaže; výmaz odstraní soubory z disku, nejen řádky; smazání pracovního prostoru proběhne po 30denní lhůtě.
• Zálohy: uchovávají se v EU; smazaná data ze záloh zmizí do 30 dnů.
• Odolnost: samostatné procesy pro web, práci na pozadí a AI centrum, kontroly stavu a restarty bez ztráty úloh; změny se před vydáním testují.
• Proces při porušení: písemný postup, registr, oznámení dotčeným vlastníkům do 24 hodin a bezpečnostní oznámení v produktu.
• Lidé: povinnost mlčenlivosti a přístup pouze tehdy, když to práce vyžaduje.