Tietojenkäsittelysopimus

Asiakas on organisaatio, joka omistaa työtilan ja on nerix.ai:hin lisäämiensä henkilötietojen rekisterinpitäjä (ja niiden käsittelijä silloin, kun se toimii omien asiakkaidensa lukuun). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Yhdysvallat, on käsittelijä.

Tämä sopimus kattaa asiakkaan työtilassa olevat henkilötiedot: asiakirjat, keskustelut, taulukot, työtiedot, kokoukset ja tallenteet, kirjaston upotusvektorit, jäsenten nimet ja sähköpostiosoitteet sekä auditointijäljen. Se ei kata henkilötietoja, joiden käyttötarkoitukset nerix päättää itse, kuten henkilön kirjautumistiliä tai laskutustietoja. Ne kuvataan tietosuojakäytännössä.

Jos tämä sopimus ja Ehdot ovat ristiriidassa henkilötietojen osalta, tämä sopimus on ensisijainen.

nerix käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ehdot, tämä sopimus, asetukset, jotka asiakas valitsee tuotteessa (esimerkiksi tekoälyalue, tarjoajat, säilytysajat ja nimien piilottaminen tekoälyltä), sekä se, mitä sen jäsenet pyytävät tuotetta tekemään, ovat ohjeita. Tähän sisältyvät siirrot kolmanteen maahan: ne tapahtuvat vain, jos nämä ohjeet ja alikäsittelijäluettelo sen sallivat.

nerix ilmoittaa asiakkaalle viipymättä, jos se katsoo, että ohje rikkoo tietosuojalainsäädäntöä. Jos laki edellyttää nerixiä käsittelemään tietoja toisin, se ilmoittaa siitä asiakkaalle ensin, ellei laki kiellä sitä.

Jokaista nerixillä työskentelevää, jolla on pääsy asiakkaan henkilötietoihin, sitoo kirjallinen salassapitovelvollisuus; hän saa pääsyn vain, kun työ sitä edellyttää, ja jokainen henkilöstön katselukerta asiakkaan keskusteluun kirjataan asiakkaan omaan auditointijälkeen.

nerix toteuttaa GDPR:n 32 artiklan mukaiset toimenpiteet. Liitteessä 2 luetellaan tällä hetkellä voimassa olevat toimenpiteet. nerix voi muuttaa niitä, jos suojan taso ei laske.

Asiakas antaa yleisen kirjallisen valtuutuksen liitteessä 1 tarkoitetuille alikäsittelijöille. nerix sitoo kunkin heistä sopimuksella samoihin tietosuojavelvoitteisiin ja vastaa heistä täysimääräisesti asiakkaalle.

nerix ilmoittaa kunkin työtilan omistajalle vähintään 30 päivää ennen alikäsittelijän lisäämistä tai vaihtamista, tuotteessa ja sähköpostitse, ja päivittää julkisen luettelon osoitteessa nerix.ai/legal/subprocessors. Asiakas voi vastustaa asiaa perustelluista tietosuojasyistä näiden 30 päivän kuluessa. nerix yrittää tämän jälkeen tarjota palvelua ilman kyseistä alikäsittelijää, esimerkiksi pitämällä työtilan vain EU:ssa toimivien tarjoajien varassa. Jos se ei ole mahdollista, asiakas voi päättää sopimuksen ja saa hyvityksen ennakkoon maksetuista maksuista käyttämättömältä ajalta.

Asiakas valitsee tekoälyalueen ja tarjoajat omalle työtilalleen. Tarjoaja, jonka asiakas ottaa itse käyttöön Asetuksissa, on asiakkaan oma valinta eikä nerixin tekemä muutos.

Asiakkaan tiedot tallennetaan Euroopan unioniin (Ranskaan, ja salatut tiedostot ja varmuuskopiot Alankomaihin). nerix on sijoittautunut Yhdysvaltoihin. Kun henkilötietoja siirretään maahan, josta ei ole tehty tietosuojan riittävyyttä koskevaa päätöstä, tai niihin pääsee käsiksi tällaisesta maasta, osapuolet sopivat Euroopan komission vakiosopimuslausekkeista (päätös (EU) 2021/914) seuraavasti. Moduulia kaksi (rekisterinpitäjältä käsittelijälle) sovelletaan, kun asiakas on rekisterinpitäjä, ja moduulia kolme (käsittelijältä käsittelijälle), kun asiakas on itse käsittelijä. Ne ovat osa tätä sopimusta viittauksen perusteella.

• Lauseke 7 (liittymislauseke): sisältyy.
• Lauseke 9(a): vaihtoehto 2, yleinen valtuutus, kohdan 6 mukaisella 30 päivän ilmoituksella.
• Lauseke 11(a): valinnainen riippumaton riitojenratkaisuelin ei sovellu.
• Lauseke 17: Irlannin tasavallan lainsäädäntö. Lauseke 18(b): Irlannin tuomioistuimet.
• Liitteen I.A osapuolet ovat kohdassa 1; liite I.B vastaa kohtaa 2; toimivaltainen valvontaviranomainen on asiakkaan toimipaikan valvontaviranomainen (tai jos asiakkaalla ei ole toimipaikkaa, Irlannin tietosuojaviranomainen). Liite II on jäljempänä oleva liite 2. Liite III on jäljempänä oleva liite 1.

UK GDPR:n alaisista henkilötiedoista osapuolet sopivat myös EU:n vakiosopimuslausekkeisiin liittyvästä kansainvälistä tiedonsiirtoa koskevasta lisäyksestä, jonka Yhdistyneen kuningaskunnan tietosuojavaltuutettu on antanut (versio B1.0, voimassa 21.3.2022 alkaen). Sen taulukot täytetään tämän kohdan ja liitteiden perusteella, ja kumpi tahansa osapuoli voi päättää sen sen kohdan 19 mukaisesti.

Sveitsin tietosuojalain alaisista henkilötiedoista vakiosopimuslausekkeita sovelletaan seuraavin muutoksin: Sveitsin liittovaltion tietosuoja- ja tietovaltuutettu on toimivaltainen viranomainen; viittaukset GDPR:ään kattavat myös Sveitsin lain; Sveitsissä olevien henkilöiden vaatimusten oikeuspaikka on Sveitsi; eikä “jäsenvaltio” estä Sveitsissä olevaa henkilöä nostamasta kannetta asuinpaikassaan.

Jos nerix on sertifioitu EU:n ja Yhdysvaltojen välisen tietosuojakehyksen mukaisesti siirtoa varten, tämä sertifiointi on ensisijainen suojakeino ja vakiosopimuslausekkeita sovelletaan varakeinona, jos kehys lakkaa olemasta voimassa. Viranomaisen tietojensaantipyyntöihin vastataan vakiosopimuslausekkeiden mukaisesti: nerix riitauttaa lainvastaiset pyynnöt, luovuttaa mahdollisimman vähän tietoja ja ilmoittaa asiasta asiakkaalle, ellei laki kiellä sitä.

Jos henkilö kysyy nerixiltä tiedoista, joita nerix pitää hallussaan asiakkaan lukuun, nerix ei vastaa pyynnön sisältöön vaan välittää pyynnön asiakkaalle viivyttelemättä (viiden työpäivän kuluessa). nerix antaa asiakkaalle työkaluja avuksi: työtilan ja yhden henkilön omien tilin tietojen vienti, poistaminen, korjaaminen ja auditointijälki. Näiden lisäksi nerix auttaa kohtuullisin ponnistuksin ja maksutta, kun kyse on pienestä tehtävästä.

nerix ilmoittaa jokaisen työtilan omistajalle, jota loukkaus koskee, viipymättä ja viimeistään 24 tunnin kuluttua siitä, kun se on saanut tietoonsa asiakkaan tietoihin vaikuttavan henkilötietojen tietoturvaloukkauksen, tuotteessa ja sähköpostitse. Ilmoituksessa kerrotaan se, mikä on tiedossa: mitä tapahtui, mitkä tiedot ja arviolta kuinka monta henkilöä, todennäköiset vaikutukset, mitä nerix on tehnyt ja mitä se neuvoo asiakasta tekemään. Lisätietoja toimitetaan sitä mukaa, kun niitä saadaan. nerix pitää loukkauksista rekisteriä ja antaa asiakkaalle sen, mitä tämä tarvitsee omaan ilmoitukseensa viranomaiselle (33 artikla) ja henkilöille (34 artikla).

nerix auttaa asiakasta turvallisuuteen, tietoturvaloukkauksesta ilmoittamiseen, tietosuojaa koskeviin vaikutustenarviointeihin ja ennakkokuulemiseen liittyvissä asioissa ottaen huomioon sen, mitä se voi nähdä. nerix toimittaa pyynnöstä yhteenvedon tekoälyominaisuuksia koskevasta tietosuojaa koskevasta vaikutustenarvioinnistaan.

Asiakas voi viedä koko työtilan milloin tahansa maksutta Asetuksista (asiakirjat alkuperäisinä tiedostoina, keskustelut, taulukot, tietueet, valvontajälki) ja voi poistaa tietoja ja itse työtilan. Kun sopimus päättyy, nerix säilyttää työtilaa vähintään 30 päivän ajan, jotta asiakas voi viedä sen, ja poistaa sen jälkeen henkilötiedot, varmuuskopiot mukaan lukien, 30 seuraavan päivän kuluessa, ellei laki edellytä nerixiä säilyttämään niitä. nerix vahvistaa poistamisen pyynnöstä.

nerix toimittaa asiakkaalle tiedot, jotka tarvitaan osoittamaan, että 28 artiklaa noudatetaan, ja sallii asiakkaan tai tämän nimeämän tarkastajan suorittaa tarkastuksen 30 päivän ennakkoilmoituksella virka-aikana salassapitoa noudattaen, enintään kerran vuodessa, ellei tietoturvaloukkaus tai viranomainen edellytä useampia tarkastuksia, ja asiakkaan kustannuksella. nerix voi täyttää tämän ensisijaisesti ajantasaisilla riippumattomilla raporteilla ja vastauksillaan asiakkaan tietoturvakyselyyn.

Tämän sopimuksen mukainen vastuu noudattaa Käyttöehtoja, paitsi että mikään ei rajoita vastuuta, jota ei voida rajoittaa lailla, ja SCC-lausekkeet, siltä osin kuin niitä sovelletaan, syrjäyttävät kaiken muun. Tähän sopimukseen sovelletaan SCC-lausekkeiden osalta Irlannin tasavallan lakia ja muilta osin Käyttöehtoja.

Asiakas hyväksyy tämän sopimuksen tuotteessa: työtilan omistaja vahvistaa sen, ja nerix tallentaa päivämäärän, version ja sen, kuka hyväksyi. Uusi versio näytetään omistajalle ja samalla kerrotaan, mikä muuttui, ja se tulee voimaan, kun se on hyväksytty; hyväksytty versio pysyy näkyvissä Asetuksissa. Yritysasiakkaat voivat pyytää kopion, jossa on allekirjoitusrivit. Kysymykset: info@nerix.ai.

Julkinen luettelo osoitteessa nerix.ai/legal/subprocessors on ajantasainen. Tämän version päiväyksenä:

Nämä toimenpiteet ovat tällä hetkellä käytössä tuotteessa.

• Asiakkaiden erottaminen toisistaan: jokainen tietue sisältää työtilansa, ja jokaisen koodissa olevan kyselyn on mainittava työtila, tai kysely epäonnistuu; tiedostot tallennetaan työtilakohtaisesti.
• Salaus: yhteydet käyttävät TLS:ää. Palveluntarjoajien avaimet ja asiakkaiden tallennetut tunnistetiedot salataan kirjekuorisalauksella; pääavain säilytetään tietokannan ulkopuolella tiedostossa, jonka vain palvelu voi lukea.
• Käyttöoikeudet: kirjautuminen salasanalla, passkey-tunnistautumisella tai Google- tai GitHub-tilillä; kaksivaiheinen kirjautuminen; roolit omistajalle, ylläpitäjälle, jäsenelle ja katselijalle; istunnot voi luetella ja päättää; API-avaimet voi peruuttaa heti.
• Henkilöstön pääsy: erillinen henkilöstön identiteetti, jolla on oma kirjautuminen ja toinen vaihe; henkilöstö näkee asiakkaan keskustelun vain, kun syy on kirjattu, ja jokainen katselu kirjataan asiakkaan valvontajälkeen; tekeytyminen toiseksi henkilöksi näytetään asiakkaalle valvontajäljessä.
• Valvontajälki: vain lisäyksiä salliva tietue siitä, kuka teki mitä työtilassa, vientimahdollisuudella; säilytetään omistajan asettaman säilytysajan.
• Tekoälyn turvallisuus: henkilöiden ja asiakkaiden nimet sekä henkilötiedot, kuten sähköpostiosoitteet sekä puhelin- ja tilinumerot, voidaan korvata koodeilla ennen kuin teksti saavuttaa mallin ja palauttaa vastaukseen; omistajat voivat lukita tämän asetuksen; mallin tarjoajan ei koskaan sallita kouluttaa asiakastiedoilla; tekoälyn alue voidaan rajoittaa vain EU:hun tai omilla palvelimillamme oleviin malleihin.
• Säilytys ja poistaminen: omistaja voi asettaa, kuinka kauan asiakirjoja ja keskusteluja säilytetään, minkä jälkeen palvelu poistaa ne; poistaminen poistaa tiedostot levyltä, ei vain rivejä; työtilan poistaminen toteutuu 30 päivän siirtymäajan jälkeen.
• Varmuuskopiot: säilytetään EU:ssa; poistetut tiedot poistuvat varmuuskopioista 30 päivän kuluessa.
• Palautumiskyky: erilliset prosessit verkkosovellukselle, taustatyölle ja tekoälykeskukselle, kunnonvalvonta ja uudelleenkäynnistykset ilman, että töitä hukataan; muutokset testataan ennen julkaisua.
• Loukkausprosessi: kirjallinen toimintaohje, rekisteri, ilmoitus vaikutuksen kohteena oleville omistajille 24 tunnin kuluessa ja turvallisuusilmoitus tuotteessa.
• Henkilöstö: salassapitovelvollisuus ja pääsy vain, kun työ sitä edellyttää.