Adatfeldolgozási megállapodás

Az ügyfél az a szervezet, amely a munkaterület tulajdonosa, és amely az általa a nerix.ai-ba bevitt személyes adatok adatkezelője (adatfeldolgozója, amikor saját ügyfelei nevében jár el). Az adatfeldolgozó a Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Amerikai Egyesült Államok.

Ez a megállapodás az ügyfél munkaterületén található személyes adatokra terjed ki: dokumentumokra, beszélgetésekre, Sheets-táblázatokra, munkarekordokra, megbeszélésekre és felvételekre, a könyvtár beágyazásaira, a tagok nevére és e-mail-címére, valamint az auditnaplóra. Nem terjed ki azokra a személyes adatokra, amelyek céljáról a nerix maga dönt, például egy személy bejelentkezési fiókjára vagy a számlázási adatokra. Ezeket az adatvédelmi szabályzat írja le.

Ha ez a megállapodás és a Felhasználási feltételek a személyes adatok tekintetében eltérnek, ez a megállapodás az irányadó.

A nerix személyes adatokat kizárólag az ügyfél dokumentált utasításai szerint kezel. Az utasításokat a Felhasználási feltételek, ez a megállapodás, az ügyfél által a termékben választott beállítások (például az MI régiója, a szolgáltatók, a megőrzési időtartamok és a nevek elrejtése az MI elől), valamint az jelentik, amire a tagok a terméket utasítják. Ez kiterjed a harmadik országba történő továbbításokra is: azokra csak ezen utasítások és a további adatfeldolgozók listája keretei között kerül sor.

A nerix haladéktalanul tájékoztatja az ügyfelet, ha úgy véli, hogy egy utasítás sérti az adatvédelmi jogot. Ha jogszabály eltérő adatkezelést ír elő a nerix számára, erről előzetesen tájékoztatja az ügyfelet, kivéve, ha ezt a jogszabály tiltja.

A nerixnél mindenkit, aki hozzáférhet az ügyfél személyes adataihoz, írásbeli titoktartási kötelezettség köti, hozzáférést csak akkor kap, ha a munkához szükséges, és a munkatársak minden egyes betekintését az ügyfél beszélgetéseibe az ügyfél saját auditnaplója rögzíti.

A nerix a GDPR 32. cikkében előírt intézkedéseket alkalmazza. A 2. melléklet felsorolja a jelenleg meglévőket. A nerix ezeket módosíthatja, ha a védelem szintje nem csökken.

Az ügyfél általános írásbeli felhatalmazást ad az 1. mellékletben felsorolt további adatfeldolgozóknak. A nerix szerződésben ugyanazokra az adatvédelmi kötelezettségekre köti őket, és teljes mértékben felel értük az ügyfél felé.

A nerix a munkaterület tulajdonosát legalább 30 nappal egy további adatfeldolgozó bevonása vagy lecserélése előtt tájékoztatja a termékben és e-mailben, és frissíti a nyilvános listát a nerix.ai/legal/subprocessors oldalon. Az ügyfél ezen 30 napon belül megalapozott adatvédelmi indokok alapján tiltakozhat. A nerix ezután megpróbálja a szolgáltatást az adott további adatfeldolgozó nélkül nyújtani, például úgy, hogy a munkaterületet kizárólag EU-s szolgáltatókon tartja. Ha ez nem lehetséges, az ügyfél felmondhatja a szerződést, és visszakapja az előre kifizetett díjakat a fel nem használt időszakra.

Az ügyfél maga választja ki az MI régióját és a szolgáltatókat a saját munkaterületéhez. Az a szolgáltató, amelyet az ügyfél maga kapcsol be a Beállításokban, az ügyfél saját választása, nem a nerix változtatása.

Az ügyfél adatait az Európai Unióban tárolják (Franciaországban, a titkosított fájlokat és a biztonsági mentéseket pedig Hollandiában). A nerix az Amerikai Egyesült Államokban működik. Amennyiben személyes adatokat olyan országba továbbítanak, vagy onnan érnek el, amely nem rendelkezik megfelelőségi határozattal, a felek az Európai Bizottság általános szerződési feltételeit (a (EU) 2021/914 határozat) az alábbiak szerint kötik ki. A Második modul (adatkezelőtől adatfeldolgozóhoz) akkor alkalmazandó, ha az ügyfél adatkezelő, a Harmadik modul (adatfeldolgozótól adatfeldolgozóhoz) pedig akkor, ha az ügyfél maga is adatfeldolgozó. Ezek hivatkozással e megállapodás részét képezik.

• 7. kikötés (csatlakozási kikötés): alkalmazandó.
• 9(a) kikötés: 2. lehetőség, általános felhatalmazás, a 6. szakasz szerinti 30 napos értesítéssel.
• 11(a) kikötés: az opcionális független vitarendezési fórum nem alkalmazandó.
• 17. kikötés: Írország joga. 18(b) kikötés: az ír bíróságok.
• Az I.A. melléklet szerinti felek az 1. szakaszban találhatók, az I.B. melléklet a 2. szakasz; az illetékes felügyeleti hatóság az ügyfél székhelye szerinti hatóság (ennek hiányában az ír Adatvédelmi Bizottság). A II. melléklet a lenti 2. melléklet. A III. melléklet a lenti 1. melléklet.

A UK GDPR hatálya alá tartozó személyes adatok esetében a felek az Egyesült Királyság adatvédelmi biztosa által kiadott, az uniós SCC-khez kapcsolódó nemzetközi adattovábbítási kiegészítést (International Data Transfer Addendum, B1.0 verzió, 2022. március 21-től hatályos) is kikötik. Táblázatait ez a szakasz és a mellékletek töltik ki, és bármelyik fél megszüntetheti a kiegészítés 19. szakaszában foglaltak szerint.

A svájci adatvédelmi törvény hatálya alá tartozó személyes adatok esetében az SCC-k az alábbi változtatásokkal alkalmazandók: az illetékes hatóság a svájci Szövetségi Adatvédelmi és Információs Biztos; a GDPR-ra való hivatkozások a svájci törvényt is magukban foglalják; a svájci személyek által érvényesített igényekre Svájc a joghatóság helye; és a „tagállam” kifejezés nem akadályozza, hogy a svájci személy a szokásos tartózkodási helye szerint pereljen.

Ha a nerix az adott továbbításra nézve az EU-amerikai Adatvédelmi Keretrendszer (EU-US Data Privacy Framework) szerint tanúsított, ez a tanúsítás az elsődleges garancia, és az SCC-k tartalék megoldásként alkalmazandók, ha a keretrendszer érvényét veszti. A hatósági hozzáférési megkereséseket az SCC-k szerint kezeljük: a nerix megtámadja a jogellenes megkereséseket, a lehető legkevesebb adatot adja át, és tájékoztatja az ügyfelet, kivéve, ha ezt a jogszabály tiltja.

Ha valaki a nerixhez fordul az ügyfél számára kezelt adataival kapcsolatban, a nerix érdemben nem válaszol, hanem indokolatlan késedelem nélkül (öt munkanapon belül) továbbítja a kérelmet az ügyfélnek. A nerix eszközöket ad az ügyfélnek a segítségnyújtáshoz: a munkaterület és egy adott személy saját fiókadatai exportálását, a törlést, a helyesbítést és az auditnaplót. Ezeken túl a nerix észszerű erőfeszítéssel, díjmentesen segít, ha a feladat kicsi.

nerix indokolatlan késedelem nélkül, de legkésőbb 24 órával azután, hogy tudomást szerez az ügyfél adatait érintő személyes adatok megsértéséről, értesíti minden érintett munkaterület tulajdonosát a terméken belül és e-mailben. A tájékoztatás tartalmazza, ami ismert: mi történt, mely adatokat érintette, hozzávetőleg hány személyt, milyen valószínű következményekkel, mit tett nerix, és mit javasol az ügyfélnek. A további tényeket a megismerésükkor közli. nerix nyilvántartást vezet a személyes adatok megsértéseiről, és megadja az ügyfélnek mindazt, ami szükséges ahhoz, hogy saját bejelentést tegyen a hatóságnak (33. cikk) és az érintetteknek (34. cikk).

nerix segít az ügyfélnek a biztonság, a személyes adatok megsértésével kapcsolatos bejelentés, az adatvédelmi hatásvizsgálatok és az előzetes konzultáció terén, figyelembe véve, amit meg tud állapítani. nerix kérésre összefoglalót ad az AI-funkciókról készült adatvédelmi hatásvizsgálatáról.

Az ügyfél az egész munkaterületet bármikor díjmentesen exportálhatja a Beállításokból (dokumentumok eredeti fájljaikban, beszélgetések, Sheets-táblázatok, rekordok, auditnapló), valamint törölhet adatokat és magát a munkaterületet is. A szerződés megszűnésekor nerix legalább 30 napos visszakeresési időszakra megőrzi a munkaterületet, hogy az ügyfél exportálhassa, majd törli a személyes adatokat, a biztonsági másolatokat is beleértve, további 30 napon belül, kivéve, ha jogszabály előírja nerix számára azok megőrzését. nerix kérésre visszaigazolja a törlést.

nerix megadja az ügyfélnek a 28. cikk teljesítésének igazolásához szükséges információkat, és lehetővé teszi, hogy az ügyfél vagy az általa kijelölt auditor 30 napos előzetes értesítéssel, munkaidőben, titoktartás mellett ellenőrizze azt; évente legfeljebb egyszer, kivéve, ha egy személyes adatok megsértése vagy egy hatóság ennél többre kötelez, és az ügyfél költségén. nerix ezt elsőként aktuális független jelentésekkel és az ügyfél biztonsági kérdőívére adott válaszaival teljesítheti.

A jelen megállapodás szerinti felelősségre a Feltételek irányadók, azzal, hogy semmi sem korlátozza a jogszabály alapján nem korlátozható felelősséget, az SCC-k pedig, ahol alkalmazandók, minden más rendelkezéssel szemben elsőbbséget élveznek. A jelen megállapodásra az SCC-k tekintetében Írország joga, egyéb tekintetben a Feltételek az irányadók.

Az ügyfél a terméken belül fogadja el a jelen megállapodást: a munkaterület tulajdonosa megerősíti, nerix pedig rögzíti a dátumot, a változatot és az elfogadó személyét. Az új változatot a tulajdonosnak megjelenítjük azzal együtt, hogy mi változott, és az elfogadás után alkalmazandó; az elfogadott változat a Beállításokban látható marad. Vállalati ügyfelek kérhetnek aláírásra szolgáló sorokat tartalmazó példányt. Kérdések: info@nerix.ai.

A nyilvános lista a nerix.ai/legal/subprocessors címen az aktuális. A jelen változat dátumán:

Ezek az intézkedések ma már léteznek a termékben.

• Az ügyfelek elkülönítése: minden rekord tartalmazza a munkaterületét, és a kódban minden lekérdezésnek meg kell adnia a munkaterületet, ellenkező esetben meghiúsul; a fájlokat munkaterületenként tároljuk.
• Titkosítás: a kapcsolatok TLS-t használnak. A szolgáltatói kulcsokat és az ügyfelek tárolt hitelesítő adatait borítékos titkosítással titkosítjuk; a főkulcsot az adatbázison kívül, olyan fájlban őrizzük, amelyet csak a szolgáltatás tud olvasni.
• Hozzáférés: bejelentkezés jelszóval, passkey-jel vagy Google-fiókkal vagy GitHub-fiókkal; kétlépcsős bejelentkezés; tulajdonos, adminisztrátor, tag és megtekintő szerepkörök; a munkamenetek listázhatók és lezárhatók; az API-kulcsok azonnal visszavonhatók.
• A munkatársak hozzáférése: külön munkatársi identitás saját bejelentkezéssel és második lépéssel; a munkatársak csak rögzített indokkal látják az ügyfél beszélgetését, és minden betekintés bekerül az ügyfél auditnaplójába; a megszemélyesítés megjelenik az ügyfél számára az auditnaplóban.
• Auditnapló: csak hozzáfűzhető nyilvántartás arról, ki mit tett a munkaterületen, exportálási lehetőséggel; a tulajdonos által beállított megőrzési időszakig őrizzük.
• AI-biztonság: a személyek és ügyfelek nevei, valamint az olyan személyes adatok, mint az e-mail-címek, telefonszámok és számlaszámok kódokkal helyettesíthetők, mielőtt a szöveg eléri a modellt, majd a válaszban visszaállíthatók; a tulajdonosok zárolhatják ezt a beállítást; a modellszolgáltató soha nem jogosult az ügyfél adatain tanítani; az AI-régió korlátozható kizárólag EU-ra, vagy a saját szervereinken futó modellekre.
• Megőrzés és törlés: a tulajdonos beállíthatja, mennyi ideig őrizzük a dokumentumokat és beszélgetéseket, ezt követően a szolgáltatás törli azokat; a törlés a fájlokat is eltávolítja a lemezről, nem csak a sorokat; a munkaterület törlése 30 napos türelmi idő után indul.
• Biztonsági mentések: az EU-ban tárolva; a törölt adatok 30 napon belül eltűnnek a biztonsági mentésekből.
• Ellenálló képesség: külön folyamatok a webhez, a háttérfeladatokhoz és az AI-központhoz, állapotellenőrzések és újraindítások feladatok elvesztése nélkül; a változtatásokat kiadás előtt teszteljük.
• A személyes adatok megsértésének kezelése: írott eljárásrend, nyilvántartás, értesítés az érintett tulajdonosoknak 24 órán belül, valamint biztonsági értesítés a termékben.
• Személyek: titoktartási kötelezettség, és hozzáférés csak akkor, ha a munka megkívánja.