Συμφωνία επεξεργασίας δεδομένων

Ο πελάτης είναι ο οργανισμός που κατέχει τον χώρο εργασίας, ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που εισάγει στο nerix.ai (εκτελών την επεξεργασία τους, όταν ενεργεί για δικούς του πελάτες). Η Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Ηνωμένες Πολιτείες, είναι ο εκτελών την επεξεργασία.

Η παρούσα συμφωνία καλύπτει τα δεδομένα προσωπικού χαρακτήρα στον χώρο εργασίας του πελάτη: έγγραφα, συνομιλίες, Υπολογιστικά φύλλα, αρχεία εργασίας, συναντήσεις και ηχογραφήσεις, ενσωματώσεις βιβλιοθήκης, ονόματα και διευθύνσεις email μελών, και το ίχνος ελέγχου. Δεν καλύπτει δεδομένα προσωπικού χαρακτήρα για τα οποία η nerix καθορίζει η ίδια τους σκοπούς, όπως ο λογαριασμός σύνδεσης ενός προσώπου ή αρχεία τιμολόγησης. Αυτά περιγράφονται στην πολιτική απορρήτου.

Αν η παρούσα συμφωνία και οι Όροι διαφωνούν σχετικά με δεδομένα προσωπικού χαρακτήρα, υπερισχύει η παρούσα συμφωνία.

Η nerix επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο βάσει τεκμηριωμένων οδηγιών του πελάτη. Οι Όροι, η παρούσα συμφωνία, οι ρυθμίσεις που επιλέγει ο πελάτης στο προϊόν (για παράδειγμα η περιοχή AI, οι πάροχοι, οι περίοδοι διατήρησης και η απόκρυψη ονομάτων από την AI) και ό,τι ζητούν τα μέλη του από το προϊόν συνιστούν τις οδηγίες. Αυτό περιλαμβάνει διαβιβάσεις σε τρίτη χώρα: πραγματοποιούνται μόνο όπως επιτρέπουν αυτές οι οδηγίες και ο κατάλογος υποεκτελούντων την επεξεργασία.

Η nerix ενημερώνει αμέσως τον πελάτη αν κρίνει ότι μια οδηγία παραβιάζει τη νομοθεσία περί προστασίας δεδομένων. Αν ο νόμος απαιτεί από τη nerix να επεξεργαστεί με άλλον τρόπο, ενημερώνει πρώτα τον πελάτη, εκτός αν ο νόμος το απαγορεύει.

Όλοι στη nerix που μπορούν να έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα πελάτη δεσμεύονται από γραπτή υποχρέωση εμπιστευτικότητας, αποκτούν πρόσβαση μόνο όταν το απαιτεί η εργασία και κάθε ανάγνωση από το προσωπικό σε συνομιλία πελάτη καταγράφεται στο δικό του ίχνος ελέγχου.

Η nerix λαμβάνει τα μέτρα του Άρθρου 32 GDPR. Το Παράρτημα 2 απαριθμεί εκείνα που ισχύουν σήμερα. Η nerix μπορεί να τα αλλάξει αν το επίπεδο προστασίας δεν μειωθεί.

Ο πελάτης παρέχει γενική γραπτή έγκριση για τους υποεκτελούντες την επεξεργασία στο Παράρτημα 1. Η nerix δεσμεύει καθέναν από αυτούς με σύμβαση στις ίδιες υποχρεώσεις προστασίας δεδομένων και παραμένει πλήρως υπεύθυνη έναντι του πελάτη για αυτούς.

Η nerix ενημερώνει τον ιδιοκτήτη κάθε χώρου εργασίας τουλάχιστον 30 ημέρες πριν προσθέσει ή αντικαταστήσει υποεκτελούντα την επεξεργασία, μέσα στο προϊόν και με email, και ενημερώνει τον δημόσιο κατάλογο στο nerix.ai/legal/subprocessors. Ο πελάτης μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων εντός αυτών των 30 ημερών. Στη συνέχεια η nerix προσπαθεί να προσφέρει την υπηρεσία χωρίς αυτόν τον υποεκτελούντα την επεξεργασία, για παράδειγμα διατηρώντας τον χώρο εργασίας σε παρόχους μόνο EU. Αν αυτό δεν είναι εφικτό, ο πελάτης μπορεί να τερματίσει τη σύμβαση και λαμβάνει επιστροφή των προπληρωμένων τελών για τον χρόνο που δεν χρησιμοποιήθηκε.

Ο πελάτης επιλέγει την περιοχή AI και τους παρόχους για τον δικό του χώρο εργασίας. Ένας πάροχος που ενεργοποιεί ο ίδιος ο πελάτης στις Ρυθμίσεις αποτελεί δική του επιλογή και όχι αλλαγή από τη nerix.

Τα δεδομένα του πελάτη αποθηκεύονται στην Ευρωπαϊκή Ένωση (Γαλλία, με κρυπτογραφημένα αρχεία και αντίγραφα ασφαλείας στην Ολλανδία). Η nerix είναι εγκατεστημένη στις Ηνωμένες Πολιτείες. Όταν δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε χώρα χωρίς απόφαση επάρκειας ή γίνεται πρόσβαση σε αυτά από τέτοια χώρα, τα μέρη συμφωνούν τις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής (Απόφαση (EU) 2021/914) ως εξής. Η Ενότητα 2 (υπεύθυνος επεξεργασίας προς εκτελούντα την επεξεργασία) εφαρμόζεται όταν ο πελάτης είναι υπεύθυνος επεξεργασίας, και η Ενότητα 3 (εκτελών την επεξεργασία προς εκτελούντα την επεξεργασία) όταν ο πελάτης είναι ο ίδιος εκτελών την επεξεργασία. Αποτελούν μέρος της παρούσας συμφωνίας με παραπομπή.

• Ρήτρα 7 (ρήτρα προσχώρησης): περιλαμβάνεται.
• Ρήτρα 9(a): επιλογή 2, γενική έγκριση, με ειδοποίηση 30 ημερών στην ενότητα 6.
• Ρήτρα 11(a): το προαιρετικό ανεξάρτητο όργανο επίλυσης διαφορών δεν εφαρμόζεται.
• Ρήτρα 17: το δίκαιο της Δημοκρατίας της Ιρλανδίας. Ρήτρα 18(b): τα δικαστήρια της Ιρλανδίας.
• Τα μέρη του Παραρτήματος I.A βρίσκονται στην ενότητα 1. Το Παράρτημα I.B είναι η ενότητα 2. Η αρμόδια εποπτική αρχή είναι εκείνη της εγκατάστασης του πελάτη (ή, αν δεν υπάρχει, η Ιρλανδική Επιτροπή Προστασίας Δεδομένων). Το Παράρτημα II είναι το Παράρτημα 2 κατωτέρω. Το Παράρτημα III είναι το Παράρτημα 1 κατωτέρω.

Για δεδομένα προσωπικού χαρακτήρα υπό το UK GDPR, τα μέρη συμφωνούν επίσης το International Data Transfer Addendum to the EU SCCs που εξέδωσε ο UK Information Commissioner (έκδοση B1.0, σε ισχύ από 21 Μαρτίου 2022). Οι πίνακές του συμπληρώνονται από την παρούσα ενότητα και τα παραρτήματα, και οποιοδήποτε μέρος μπορεί να το τερματίσει όπως ορίζει η ενότητα 19 του.

Για δεδομένα προσωπικού χαρακτήρα υπό τον ελβετικό νόμο περί προστασίας δεδομένων, οι SCCs εφαρμόζονται με τις εξής αλλαγές: αρμόδια αρχή είναι ο Swiss Federal Data Protection and Information Commissioner· οι αναφορές στο GDPR περιλαμβάνουν τον ελβετικό νόμο· ο τόπος δικαιοδοσίας για αξιώσεις προσώπων στην Ελβετία είναι η Ελβετία· και ο όρος «κράτος μέλος» δεν εμποδίζει πρόσωπο στην Ελβετία να ασκήσει αγωγή στον τόπο της συνήθους διαμονής του.

Αν η nerix είναι πιστοποιημένη στο πλαίσιο του EU-US Data Privacy Framework για τη διαβίβαση, η πιστοποίηση αυτή αποτελεί την κύρια εγγύηση και οι SCCs εφαρμόζονται ως εναλλακτική λύση αν το πλαίσιο πάψει να ισχύει. Ένα αίτημα πρόσβασης από κυβέρνηση αντιμετωπίζεται όπως ορίζουν οι SCCs: η nerix αμφισβητεί τα παράνομα αιτήματα, γνωστοποιεί τα ελάχιστα δυνατά και ενημερώνει τον πελάτη, εκτός αν ο νόμος το απαγορεύει.

Αν ένα πρόσωπο ζητήσει από τη nerix πληροφορίες για δεδομένα που η nerix τηρεί για τον πελάτη, η nerix δεν απαντά επί της ουσίας και διαβιβάζει το αίτημα στον πελάτη χωρίς αδικαιολόγητη καθυστέρηση (εντός πέντε εργάσιμων ημερών). Η nerix παρέχει στον πελάτη εργαλεία για να βοηθηθεί: εξαγωγή χώρου εργασίας και των δεδομένων του προσωπικού λογαριασμού ενός προσώπου, διαγραφή, διόρθωση και το ίχνος ελέγχου. Πέραν αυτών, η nerix βοηθά με εύλογη προσπάθεια και χωρίς χρέωση όταν πρόκειται για μικρή εργασία.

Η nerix ενημερώνει τον ιδιοκτήτη κάθε επηρεαζόμενου χώρου εργασίας χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο 24 ώρες αφότου λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που επηρεάζει τα δεδομένα του πελάτη, στο προϊόν και μέσω email. Η ειδοποίηση αναφέρει ό,τι είναι γνωστό: τι συνέβη, ποια δεδομένα και περίπου πόσα άτομα, τις πιθανές επιπτώσεις, τι έχει κάνει η nerix και τι συμβουλεύει τον πελάτη να κάνει. Περαιτέρω γεγονότα ακολουθούν καθώς διαπιστώνονται. Η nerix τηρεί μητρώο παραβιάσεων και παρέχει στον πελάτη ό,τι χρειάζεται για τη δική του ειδοποίηση προς την αρχή (Άρθρο 33) και προς τα πρόσωπα (Άρθρο 34).

Η nerix βοηθά τον πελάτη σε θέματα ασφάλειας, ειδοποίησης παραβίασης, εκτιμήσεων αντικτύπου σχετικά με την προστασία δεδομένων και προηγούμενης διαβούλευσης, λαμβάνοντας υπόψη ό,τι μπορεί να δει. Η nerix παρέχει σύνοψη της εκτίμησης αντικτύπου της σχετικά με την προστασία δεδομένων για τις λειτουργίες AI, κατόπιν αιτήματος.

Ο πελάτης μπορεί να εξάγει ολόκληρο τον χώρο εργασίας ανά πάσα στιγμή, δωρεάν, από τις Ρυθμίσεις (έγγραφα στα αρχικά τους αρχεία, συνομιλίες, Sheets, εγγραφές, αρχείο ελέγχου) και μπορεί να διαγράψει δεδομένα και τον ίδιο τον χώρο εργασίας. Όταν λήξει η σύμβαση, η nerix διατηρεί τον χώρο εργασίας για περίοδο ανάκτησης τουλάχιστον 30 ημερών ώστε ο πελάτης να μπορεί να τον εξάγει, και στη συνέχεια διαγράφει τα δεδομένα προσωπικού χαρακτήρα, μαζί με τα αντίγραφα ασφαλείας, εντός 30 ακόμη ημερών, εκτός εάν ο νόμος απαιτεί από τη nerix να τα διατηρήσει. Η nerix επιβεβαιώνει τη διαγραφή κατόπιν αιτήματος.

Η nerix παρέχει στον πελάτη τις πληροφορίες που απαιτούνται για να αποδειχθεί ότι τηρείται το Άρθρο 28 και επιτρέπει στον πελάτη ή σε ελεγκτή που αυτός ορίζει να προβεί σε έλεγχο, με προειδοποίηση 30 ημερών, εντός ωραρίου εργασίας, υπό εμπιστευτικότητα, όχι περισσότερο από μία φορά τον χρόνο, εκτός εάν παραβίαση ή αρχή απαιτεί περισσότερο, και με έξοδα του πελάτη. Η nerix μπορεί να ανταποκριθεί πρώτα σε αυτό με τρέχουσες ανεξάρτητες εκθέσεις και τις απαντήσεις της στο ερωτηματολόγιο ασφάλειας του πελάτη.

Η ευθύνη βάσει της παρούσας συμφωνίας ακολουθεί τους Όρους, με την επιφύλαξη ότι τίποτα δεν περιορίζει ευθύνη που δεν μπορεί να περιοριστεί από τον νόμο και ότι οι SCCs, όπου εφαρμόζονται, υπερισχύουν έναντι όλων των άλλων. Η παρούσα συμφωνία διέπεται από το δίκαιο της Δημοκρατίας της Ιρλανδίας για τους SCCs και, κατά τα λοιπά, από τους Όρους.

Ο πελάτης αποδέχεται την παρούσα συμφωνία στο προϊόν: ο ιδιοκτήτης του χώρου εργασίας την επιβεβαιώνει και η nerix καταγράφει την ημερομηνία, την έκδοση και ποιος την αποδέχτηκε. Μια νέα έκδοση εμφανίζεται στον ιδιοκτήτη με τις αλλαγές και ισχύει μόλις γίνει αποδεκτή. Η έκδοση που έγινε αποδεκτή παραμένει ορατή στις Ρυθμίσεις. Οι πελάτες Enterprise μπορούν να ζητήσουν αντίγραφο με γραμμές υπογραφής. Ερωτήσεις: info@nerix.ai.

Ο δημόσιος κατάλογος στο nerix.ai/legal/subprocessors είναι ο τρέχων. Κατά την ημερομηνία αυτής της έκδοσης:

Αυτά τα μέτρα υπάρχουν σήμερα στο προϊόν.

• Διαχωρισμός πελατών: κάθε εγγραφή φέρει τον χώρο εργασίας της και κάθε ερώτημα στον κώδικα πρέπει να ονομάζει τον χώρο εργασίας, αλλιώς αποτυγχάνει. Τα αρχεία αποθηκεύονται ανά χώρο εργασίας.
• Κρυπτογράφηση: οι συνδέσεις χρησιμοποιούν TLS. Τα κλειδιά παρόχων και τα αποθηκευμένα διαπιστευτήρια των πελατών κρυπτογραφούνται με κρυπτογράφηση φακέλου, το κύριο κλειδί φυλάσσεται εκτός της βάσης δεδομένων σε αρχείο που μόνο η υπηρεσία μπορεί να διαβάσει.
• Πρόσβαση: σύνδεση με κωδικό πρόσβασης, passkeys ή Google ή GitHub. Σύνδεση δύο βημάτων. Ρόλοι για ιδιοκτήτη, διαχειριστή, μέλος και θεατή. Οι συνεδρίες μπορούν να προβάλλονται και να τερματίζονται. Τα κλειδιά API μπορούν να ανακληθούν αμέσως.
• Πρόσβαση προσωπικού: χωριστή ταυτότητα προσωπικού με δική της σύνδεση και δεύτερο βήμα. Το προσωπικό βλέπει συνομιλία πελάτη μόνο με καταγεγραμμένο λόγο και κάθε προβολή καταγράφεται στο αρχείο ελέγχου του πελάτη. Η υποδήλωση ταυτότητας εμφανίζεται στον πελάτη στο αρχείο ελέγχου.
• Αρχείο ελέγχου: αρχείο μόνο προσθήκης για το ποιος έκανε τι στον χώρο εργασίας, με εξαγωγές. Διατηρείται για την περίοδο διατήρησης που ορίζει ο ιδιοκτήτης.
• Ασφάλεια AI: ονόματα προσώπων και πελατών και προσωπικά στοιχεία όπως διευθύνσεις email και αριθμοί τηλεφώνου και λογαριασμού μπορούν να αντικαθίστανται με κωδικούς πριν το κείμενο φτάσει σε μοντέλο και να επαναφέρονται στην απάντηση. Οι ιδιοκτήτες μπορούν να κλειδώσουν αυτή τη ρύθμιση. Ένας πάροχος μοντέλου δεν επιτρέπεται ποτέ να εκπαιδεύεται σε δεδομένα πελατών. Η περιοχή AI μπορεί να περιοριστεί μόνο στην ΕΕ ή σε μοντέλα στους δικούς μας διακομιστές.
• Διατήρηση και διαγραφή: ο ιδιοκτήτης μπορεί να ορίσει για πόσο καιρό διατηρούνται έγγραφα και συνομιλίες, και στη συνέχεια η υπηρεσία τα διαγράφει. Η διαγραφή αφαιρεί αρχεία από τον δίσκο, όχι μόνο γραμμές. Η διαγραφή χώρου εργασίας εκτελείται μετά από περίοδο χάριτος 30 ημερών.
• Αντίγραφα ασφαλείας: διατηρούνται στην ΕΕ. Τα διαγραμμένα δεδομένα απομακρύνονται από τα αντίγραφα ασφαλείας εντός 30 ημερών.
• Ανθεκτικότητα: χωριστές διεργασίες για τον ιστό, την εργασία υποβάθρου και τον κόμβο AI, ελέγχους υγείας και επανεκκινήσεις χωρίς απώλεια εργασιών. Οι αλλαγές δοκιμάζονται πριν από την κυκλοφορία.
• Διαδικασία παραβίασης: γραπτό εγχειρίδιο ενεργειών, μητρώο, ειδοποίηση στους επηρεαζόμενους ιδιοκτήτες εντός 24 ωρών και ειδοποίηση Ασφάλειας στο προϊόν.
• Πρόσωπα: υποχρέωση εμπιστευτικότητας και πρόσβαση μόνο όταν το απαιτεί η εργασία.