Acord privind prelucrarea datelor

Clientul este organizația care deține spațiul de lucru, operatorul datelor cu caracter personal pe care le introduce în nerix.ai (persoană împuternicită pentru acestea, atunci când acționează pentru propriii clienți). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Statele Unite ale Americii, este persoana împuternicită.

Prezentul acord acoperă datele cu caracter personal din spațiul de lucru al clientului: documente, conversații, foi de calcul, evidențe de lucru, ședințe și înregistrări, reprezentări vectoriale din bibliotecă, numele și adresele de e-mail ale membrilor, precum și jurnalul de audit. Nu acoperă datele cu caracter personal pentru care nerix decide singur scopurile, cum ar fi contul de autentificare al unei persoane sau evidențele de facturare. Acestea sunt descrise în politica de confidențialitate.

Dacă prezentul acord și Termenii nu concordă cu privire la datele cu caracter personal, prevalează prezentul acord.

nerix prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale clientului. Termenii, prezentul acord, setările pe care clientul le alege în produs (de exemplu regiunea AI, furnizorii, perioadele de păstrare și ascunderea numelor față de AI) și ceea ce membrii săi cer produsului să facă reprezintă instrucțiunile. Aceasta include transferurile către o țară terță: acestea au loc numai în măsura permisă de aceste instrucțiuni și de lista de subprocesatori.

nerix informează imediat clientul dacă consideră că o instrucțiune încalcă legislația privind protecția datelor. Dacă legea îi impune nerix să prelucreze altfel, nerix informează mai întâi clientul, cu excepția cazului în care legea interzice acest lucru.

Fiecare persoană din cadrul nerix care poate accesa datele cu caracter personal ale clientului este ținută de o obligație scrisă de confidențialitate, primește acces numai când activitatea o cere, iar fiecare vizualizare de către personal a unei conversații a clientului este înregistrată în jurnalul de audit al clientului.

nerix ia măsurile prevăzute la articolul 32 din GDPR. Anexa 2 le enumeră pe cele existente în prezent. nerix le poate modifica dacă nivelul de protecție nu scade.

Clientul acordă autorizare generală scrisă pentru subprocesatorii din Anexa 1. nerix îi obligă pe fiecare dintre aceștia prin contract la aceleași obligații privind protecția datelor și rămâne pe deplin răspunzătoare față de client pentru aceștia.

nerix informează proprietarul fiecărui spațiu de lucru cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subprocesator, în produs și prin e-mail, și actualizează lista publică la nerix.ai/legal/subprocessors. Clientul poate obiecta din motive rezonabile legate de protecția datelor în termenul de 30 de zile. nerix încearcă apoi să ofere serviciul fără subprocesatorul respectiv, de exemplu păstrând spațiul de lucru numai pe furnizori din Uniunea Europeană. Dacă acest lucru nu este posibil, clientul poate înceta contractul și primește rambursarea taxelor plătite în avans pentru perioada neutilizată.

Clientul alege regiunea AI și furnizorii pentru propriul spațiu de lucru. Un furnizor pe care clientul îl activează singur în Setări reprezintă alegerea clientului și nu o modificare făcută de nerix.

Datele clientului sunt stocate în Uniunea Europeană (Franța, cu fișiere criptate și copii de rezervă în Țările de Jos). nerix este stabilită în Statele Unite ale Americii. În cazul în care datele cu caracter personal sunt transferate către sau accesate dintr-o țară fără o decizie de adecvare, părțile convin asupra Clauzelor contractuale standard ale Comisiei Europene (Decizia (UE) 2021/914), după cum urmează. Modulul doi (operator către persoana împuternicită) se aplică atunci când clientul este operator, iar Modulul trei (persoana împuternicită către persoana împuternicită) atunci când clientul este el însuși persoană împuternicită. Acestea fac parte din prezentul acord prin trimitere.

• Clauza 7 (clauza de alăturare): inclusă.
• Clauza 9(a): opțiunea 2, autorizare generală, cu notificarea de 30 de zile prevăzută la secțiunea 6.
• Clauza 11(a): organismul independent opțional de soluționare a litigiilor nu se aplică.
• Clauza 17: dreptul Republicii Irlanda. Clauza 18(b): instanțele din Irlanda.
• Părțile din Anexa I.A sunt prevăzute la secțiunea 1; Anexa I.B este secțiunea 2; autoritatea de supraveghere competentă este cea a sediului clientului (sau, în lipsa acestuia, Comisia pentru Protecția Datelor din Irlanda). Anexa II este Anexa 2 de mai jos. Anexa III este Anexa 1 de mai jos.

Pentru datele cu caracter personal care intră sub incidența GDPR din Regatul Unit, părțile convin de asemenea asupra Addendumului internațional pentru transferul de date la Clauzele contractuale standard ale Uniunii Europene, emis de Comisarul pentru Informații din Regatul Unit (versiunea B1.0, în vigoare din 21 martie 2022). Tabelele sale se completează pe baza prezentei secțiuni și a anexelor, iar oricare parte îl poate înceta conform secțiunii 19 a acestuia.

Pentru datele cu caracter personal care intră sub incidența legii elvețiene privind protecția datelor, clauzele contractuale standard se aplică cu următoarele modificări: Comisarul federal elvețian pentru protecția datelor și informații este autoritatea competentă; trimiterile la GDPR includ legea elvețiană; locul de jurisdicție pentru acțiunile persoanelor din Elveția este Elveția; iar „statul membru” nu împiedică o persoană din Elveția să formuleze o acțiune la reședința sa obișnuită.

Dacă nerix este certificată în temeiul Cadrului privind confidențialitatea datelor între Uniunea Europeană și SUA pentru transfer, această certificare constituie garanția principală, iar clauzele contractuale standard se aplică în subsidiar dacă cadrul încetează să mai fie valabil. O solicitare de acces din partea autorităților este tratată conform clauzelor contractuale standard: nerix contestă solicitările ilegale, comunică minimul posibil și informează clientul, cu excepția cazului în care legea interzice acest lucru.

Dacă o persoană îi solicită nerix informații despre datele pe care le deține pentru client, nerix nu răspunde pe fond și transmite solicitarea clientului fără întârziere nejustificată (în termen de cinci zile lucrătoare). nerix pune la dispoziția clientului instrumente de sprijin: exportul unui spațiu de lucru și al datelor contului unei persoane, ștergerea, rectificarea și jurnalul de audit. Dincolo de acestea, nerix oferă sprijin cu efort rezonabil și fără costuri atunci când este o sarcină mică.

nerix informează proprietarul fiecărui spațiu de lucru afectat fără întârziere nejustificată și cel târziu în 24 de ore după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele clientului, în produs și prin e-mail. Notificarea spune ce se știe: ce s-a întâmplat, ce date și aproximativ câte persoane au fost afectate, efectele probabile, ce a făcut nerix și ce îi recomandă clientului să facă. Alte fapte sunt comunicate pe măsură ce sunt descoperite. nerix ține un registru al încălcărilor și îi furnizează clientului ceea ce îi este necesar pentru propria notificare către autoritate (articolul 33) și către persoane (articolul 34).

nerix îl ajută pe client în materie de securitate, notificarea încălcărilor, evaluările impactului asupra protecției datelor și consultarea prealabilă, ținând cont de ceea ce poate vedea. nerix furnizează, la cerere, un rezumat al evaluării sale de impact asupra protecției datelor pentru funcțiile AI.

Clientul poate exporta oricând întregul spațiu de lucru, gratuit, din Setări (documente în fișierele lor originale, conversații, Sheets, înregistrări, jurnal de audit), și poate șterge datele și spațiul de lucru în sine. La încetarea contractului, nerix păstrează spațiul de lucru pentru o perioadă de recuperare de cel puțin 30 de zile, astfel încât clientul să îl poată exporta, apoi șterge datele cu caracter personal, inclusiv copiile de siguranță, în următoarele 30 de zile, cu excepția cazului în care legea obligă nerix să le păstreze. nerix confirmă ștergerea la cerere.

nerix furnizează clientului informațiile necesare pentru a demonstra că articolul 28 este respectat și permite clientului sau unui auditor numit de acesta să efectueze inspecția, cu notificare prealabilă de 30 de zile, în timpul programului de lucru, sub obligație de confidențialitate, nu mai mult de o dată pe an, cu excepția cazului în care o încălcare a securității sau o autoritate impune mai mult, și pe cheltuiala clientului. nerix poate îndeplini această obligație mai întâi prin rapoarte independente actuale și prin răspunsurile sale la chestionarul de securitate al clientului.

Răspunderea în temeiul prezentului acord urmează Termenii, cu excepția faptului că nimic nu limitează răspunderea care nu poate fi limitată prin lege, iar clauzele contractuale standard (SCC), atunci când se aplică, prevalează asupra oricărui alt lucru. Prezentul acord este guvernat de legea Republicii Irlanda pentru SCC și, în rest, de Termeni.

Clientul acceptă prezentul acord în produs: proprietarul spațiului de lucru îl confirmă, iar nerix înregistrează data, versiunea și cine l-a acceptat. O versiune nouă este afișată proprietarului împreună cu modificările și se aplică după acceptare; versiunea acceptată rămâne vizibilă în Setări. Clienții Enterprise pot cere o copie cu linii de semnătură. Întrebări: info@nerix.ai.

Lista publică de la nerix.ai/legal/subprocessors este cea actuală. La data acestei versiuni:

Aceste măsuri există astăzi în produs.

• Separarea clienților: fiecare înregistrare poartă spațiul de lucru căruia îi aparține, iar fiecare interogare din cod trebuie să indice spațiul de lucru, altfel eșuează; fișierele sunt stocate pe spații de lucru.
• Criptare: conexiunile folosesc TLS. Cheile furnizorilor și datele de autentificare stocate ale clienților sunt criptate prin criptare cu plic, iar cheia principală este păstrată în afara bazei de date, într-un fișier pe care numai serviciul îl poate citi.
• Acces: autentificare cu parolă, passkeys sau prin Google sau GitHub; autentificare în doi pași; roluri pentru proprietar, administrator, membru și vizualizator; sesiunile pot fi listate și încheiate; cheile API pot fi revocate imediat.
• Accesul personalului: identitate separată pentru personal, cu autentificare proprie și al doilea pas; personalul vede conversația unui client numai cu un motiv înregistrat, iar fiecare vizualizare este scrisă în jurnalul de audit al clientului; impersonarea este arătată clientului în jurnalul de audit.
• Jurnal de audit: înregistrare numai prin adăugare a cine a făcut ce în spațiul de lucru, cu exporturi; păstrat pentru perioada de păstrare stabilită de proprietar.
• Siguranța AI: numele persoanelor și ale clienților, precum și datele personale precum adresele de e-mail și numerele de telefon și de cont pot fi înlocuite cu coduri înainte ca textul să ajungă la un model și puse la loc în răspuns; proprietarii pot bloca această setare; unui furnizor de modele nu i se permite niciodată să se antreneze pe datele clienților; regiunea AI poate fi limitată numai la UE sau numai la modelele de pe serverele noastre.
• Păstrare și ștergere: proprietarul poate stabili cât timp sunt păstrate documentele și conversațiile, iar acestea sunt apoi șterse de serviciu; ștergerea elimină fișierele de pe disc, nu doar rândurile; ștergerea unui spațiu de lucru rulează după o perioadă de grație de 30 de zile.
• Copii de siguranță: păstrate în UE; datele șterse ies din copiile de siguranță în termen de 30 de zile.
• Reziliență: procese separate pentru web, activitatea din fundal și hubul AI, verificări de stare și reporniri fără pierderea sarcinilor; modificările sunt testate înainte de lansare.
• Proces de gestionare a încălcărilor: un manual de procedură scris, un registru, notificarea proprietarilor afectați în termen de 24 de ore și o notificare de securitate în produs.
• Personal: obligație de confidențialitate și acces numai atunci când munca o cere.