Accordo sul trattamento dei dati

Il cliente è l'organizzazione che possiede lo spazio di lavoro e il titolare del trattamento dei dati personali che inserisce in nerix.ai (responsabile del trattamento degli stessi, quando agisce per i propri clienti). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Stati Uniti, è il responsabile del trattamento.

Il presente accordo riguarda i dati personali presenti nello spazio di lavoro del cliente: documenti, conversazioni, fogli di calcolo, record di lavoro, riunioni e registrazioni, embedding della libreria, nomi e indirizzi email dei membri e traccia di controllo. Non riguarda i dati personali per i quali nerix decide autonomamente le finalità, come l'account di accesso di una persona o i registri di fatturazione. Tali dati sono descritti nell'informativa sulla privacy.

Se il presente accordo e i Termini sono in contrasto in materia di dati personali, prevale il presente accordo.

nerix tratta i dati personali solo su istruzione documentata del cliente. I Termini, il presente accordo, le impostazioni scelte dal cliente nel prodotto (ad esempio la regione AI, i fornitori, i periodi di conservazione e l'occultamento dei nomi all'AI) e le richieste che i suoi membri rivolgono al prodotto costituiscono le istruzioni. Ciò include i trasferimenti verso un paese terzo: avvengono solo se consentiti da tali istruzioni e dall'elenco dei sub-responsabili.

nerix informa immediatamente il cliente se ritiene che un'istruzione violi la normativa in materia di protezione dei dati. Se la legge impone a nerix di trattare i dati in modo diverso, nerix informa prima il cliente, salvo che la legge lo vieti.

Ogni persona di nerix che può accedere ai dati personali del cliente è vincolata da un obbligo di riservatezza scritto, accede ai dati solo quando è necessario per il lavoro e ogni consultazione delle conversazioni di un cliente da parte del personale è registrata nella traccia di controllo del cliente stesso.

nerix adotta le misure di cui all'articolo 32 del GDPR. L'Allegato 2 elenca quelle attualmente in essere. nerix può modificarle se il livello di protezione non diminuisce.

Il cliente concede un'autorizzazione generale scritta per i sub-responsabili di cui all'Allegato 1. nerix vincola ciascuno di essi contrattualmente agli stessi obblighi in materia di protezione dei dati e resta pienamente responsabile nei confronti del cliente per il loro operato.

nerix informa il proprietario di ogni spazio di lavoro almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile, nel prodotto e via email, e aggiorna l'elenco pubblico su nerix.ai/legal/subprocessors. Il cliente può opporsi per motivi ragionevoli legati alla protezione dei dati entro tali 30 giorni. nerix cerca quindi di fornire il servizio senza quel sub-responsabile, ad esempio mantenendo lo spazio di lavoro su fornitori esclusivamente EU. Se ciò non è possibile, il cliente può recedere dal contratto e riceve un rimborso dei corrispettivi prepagati per il periodo non utilizzato.

Il cliente sceglie la regione AI e i fornitori per il proprio spazio di lavoro. Un fornitore che il cliente attiva autonomamente nelle Impostazioni costituisce una scelta del cliente e non una modifica da parte di nerix.

I dati dei clienti sono archiviati nell'Unione europea (Francia, con file cifrati e backup nei Paesi Bassi). nerix ha sede negli Stati Uniti. Quando i dati personali sono trasferiti verso un paese privo di decisione di adeguatezza o sono oggetto di accesso da tale paese, le parti concordano le Clausole contrattuali standard della Commissione europea (decisione (EU) 2021/914) come segue. Il Modulo due (da titolare a responsabile) si applica quando il cliente è titolare del trattamento, mentre il Modulo tre (da responsabile a responsabile) si applica quando il cliente è esso stesso responsabile del trattamento. Esse fanno parte del presente accordo mediante riferimento.

• Clausola 7 (clausola di adesione): inclusa.
• Clausola 9(a): opzione 2, autorizzazione generale, con il preavviso di 30 giorni di cui alla sezione 6.
• Clausola 11(a): l'organismo indipendente facoltativo di risoluzione delle controversie non si applica.
• Clausola 17: la legge della Repubblica d'Irlanda. Clausola 18(b): i tribunali dell'Irlanda.
• Le parti dell'Allegato I.A sono indicate nella sezione 1; l'Allegato I.B corrisponde alla sezione 2; l'autorità di controllo competente è quella dello stabilimento del cliente (o, in mancanza, la Commissione irlandese per la protezione dei dati). L'Allegato II è l'Allegato 2 di seguito. L'Allegato III è l'Allegato 1 di seguito.

Per i dati personali soggetti al GDPR del Regno Unito, le parti concordano inoltre l'Addendum internazionale per il trasferimento dei dati alle SCC EU emanato dall'Information Commissioner del Regno Unito (versione B1.0, in vigore dal 21 marzo 2022). Le sue tabelle sono compilate sulla base della presente sezione e degli allegati e ciascuna parte può porvi fine come previsto dalla sua sezione 19.

Per i dati personali soggetti alla legge svizzera sulla protezione dei dati, le SCC si applicano con le seguenti modifiche: l'Incaricato federale della protezione dei dati e della trasparenza è l'autorità competente; i riferimenti al GDPR includono la legge svizzera; il foro competente per le azioni promosse da persone in Svizzera è la Svizzera; e «Stato membro» non impedisce a una persona in Svizzera di agire in giudizio presso la propria residenza abituale.

Se nerix è certificata ai sensi dell'EU-US Data Privacy Framework per il trasferimento, tale certificazione costituisce la garanzia principale e le SCC si applicano come soluzione di riserva qualora il quadro cessi di essere valido. Una richiesta di accesso da parte di un'autorità governativa è gestita come previsto dalle SCC: nerix contesta le richieste illegittime, comunica il minimo possibile e informa il cliente, salvo che la legge lo vieti.

Se una persona chiede a nerix informazioni sui dati che nerix detiene per il cliente, nerix non risponde nel merito e inoltra la richiesta al cliente senza ingiustificato ritardo (entro cinque giorni lavorativi). nerix mette a disposizione del cliente strumenti di supporto: esportazione di uno spazio di lavoro e dei dati dell'account personale di una persona, cancellazione, rettifica e traccia di controllo. Oltre a questi, nerix presta assistenza con ragionevole sforzo e senza costi quando si tratta di un'attività di lieve entità.

nerix informa il proprietario di ciascuno spazio di lavoro interessato senza ingiustificato ritardo e, al più tardi, entro 24 ore da quando viene a conoscenza di una violazione dei dati personali che riguarda i dati del cliente, nel prodotto e via email. La comunicazione indica quanto è noto: cosa è successo, quali dati e all'incirca quante persone sono coinvolte, gli effetti probabili, cosa ha fatto nerix e cosa consiglia al cliente di fare. Ulteriori fatti vengono comunicati man mano che sono accertati. nerix tiene un registro delle violazioni e fornisce al cliente quanto necessario per la propria notifica all'autorità (articolo 33) e agli interessati (articolo 34).

nerix assiste il cliente in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva, tenendo conto di quanto può vedere. nerix fornisce, su richiesta, una sintesi della propria valutazione d'impatto sulla protezione dei dati relativa alle funzionalità di IA.

Il cliente può esportare l'intero spazio di lavoro in qualsiasi momento, gratuitamente, da Impostazioni (documenti nei loro file originali, conversazioni, Fogli, record, registro di controllo) e può cancellare i dati e lo spazio di lavoro stesso. Alla fine del contratto, nerix conserva lo spazio di lavoro per un periodo di recupero di almeno 30 giorni affinché il cliente possa esportarlo, quindi cancella i dati personali, compresi i backup, entro ulteriori 30 giorni, salvo che la legge imponga a nerix di conservarli. nerix conferma la cancellazione su richiesta.

nerix fornisce al cliente le informazioni necessarie per dimostrare il rispetto dell'articolo 28 e consente al cliente o a un revisore da esso nominato di effettuare una verifica, con preavviso di 30 giorni, durante l'orario lavorativo, nel rispetto della riservatezza, non più di una volta all'anno salvo che una violazione o un'autorità ne richiedano di più, e a spese del cliente. nerix può soddisfare tale obbligo innanzitutto con rapporti indipendenti aggiornati e con le proprie risposte al questionario di sicurezza del cliente.

La responsabilità ai sensi del presente accordo è disciplinata dai Termini, fermo restando che nulla limita la responsabilità che non può essere limitata per legge e che le clausole contrattuali standard, ove applicabili, prevalgono su ogni altra disposizione. Il presente accordo è disciplinato dalla legge della Repubblica d'Irlanda per quanto riguarda le clausole contrattuali standard e, per il resto, dai Termini.

Il cliente accetta il presente accordo nel prodotto: il proprietario dello spazio di lavoro lo conferma e nerix registra la data, la versione e chi ha accettato. Una nuova versione viene mostrata al proprietario con le modifiche apportate e si applica una volta accettata; la versione accettata resta visibile in Impostazioni. I clienti Enterprise possono richiedere una copia con righe per la firma. Domande: info@nerix.ai.

L'elenco pubblico all'indirizzo nerix.ai/legal/subprocessors è quello vigente. Alla data della presente versione:

Queste misure sono già presenti oggi nel prodotto.

• Separazione dei clienti: ogni record riporta il proprio spazio di lavoro e ogni query nel codice deve indicare lo spazio di lavoro, altrimenti fallisce; i file sono archiviati per spazio di lavoro.
• Crittografia: le connessioni usano TLS. Le chiavi dei fornitori e le credenziali archiviate dei clienti sono cifrate con crittografia a busta; la chiave principale è conservata fuori dal database in un file che solo il servizio può leggere.
• Accesso: accesso con password, passkey o Google o GitHub; accesso in due passaggi; ruoli per proprietario, amministratore, membro e visualizzatore; le sessioni possono essere elencate e terminate; le chiavi API possono essere revocate immediatamente.
• Accesso del personale: identità separata per il personale, con accesso proprio e secondo passaggio; il personale vede una conversazione di un cliente solo con una motivazione registrata e ogni consultazione viene scritta nel registro di controllo del cliente; l'impersonificazione è mostrata al cliente nel registro di controllo.
• Registro di controllo: registrazione di sola aggiunta di chi ha fatto cosa nello spazio di lavoro, con esportazioni; conservata per il periodo di conservazione impostato dal proprietario.
• Sicurezza dell'IA: i nomi di persone e clienti e i dettagli personali come indirizzi email, numeri di telefono e numeri di conto possono essere sostituiti con codici prima che il testo raggiunga un modello e ripristinati nella risposta; i proprietari possono bloccare questa impostazione; a un fornitore di modelli non è mai consentito addestrare sui dati del cliente; la regione dell'IA può essere limitata solo all'EU o ai modelli sui nostri server.
• Conservazione e cancellazione: il proprietario può impostare per quanto tempo vengono conservati documenti e conversazioni, che poi vengono cancellati dal servizio; la cancellazione rimuove i file dal disco, non solo le righe; la cancellazione di uno spazio di lavoro avviene dopo un periodo di tolleranza di 30 giorni.
• Backup: conservati nell'EU; i dati cancellati escono dai backup entro 30 giorni.
• Resilienza: processi separati per il web, il lavoro in background e l'hub dell'IA, controlli di integrità e riavvii senza perdere le attività; le modifiche vengono testate prima del rilascio.
• Processo per le violazioni: una procedura operativa scritta, un registro, notifica ai proprietari interessati entro 24 ore e un avviso di sicurezza nel prodotto.
• Persone: obbligo di riservatezza e accesso solo quando il lavoro lo richiede.