Personuppgiftsbiträdesavtal

Kunden är den organisation som äger arbetsytan och som är personuppgiftsansvarig för de personuppgifter den lägger in i nerix.ai (och personuppgiftsbiträde för dem när den agerar för sina egna kunder). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, USA, är personuppgiftsbiträde.

Detta avtal omfattar personuppgifter i kundens arbetsyta: dokument, konversationer, kalkylark, arbetsposter, möten och inspelningar, biblioteksinbäddningar, medlemmars namn och e-postadresser samt granskningsloggen. Det omfattar inte personuppgifter för vilka nerix själv bestämmer ändamålen, såsom en persons inloggningskonto eller faktureringsuppgifter. Dessa beskrivs i integritetspolicyn.

Om detta avtal och Villkoren strider mot varandra när det gäller personuppgifter, gäller detta avtal.

nerix behandlar personuppgifter endast enligt kundens dokumenterade instruktioner. Villkoren, detta avtal, de inställningar kunden väljer i produkten (till exempel AI-regionen, leverantörerna, lagringsperioderna och att dölja namn för AI:n) samt vad kundens medlemmar ber produkten att göra utgör instruktionerna. Det omfattar överföringar till tredjeland: de sker endast i den utsträckning dessa instruktioner och listan över underbiträden tillåter.

nerix informerar kunden omedelbart om nerix anser att en instruktion strider mot dataskyddslagstiftningen. Om lagen kräver att nerix behandlar personuppgifterna på annat sätt informerar nerix kunden först, om inte lagen förbjuder det.

Alla hos nerix som kan få åtkomst till kundens personuppgifter omfattas av en skriftlig sekretessplikt, får åtkomst endast när arbetet kräver det, och varje gång personal granskar en kunds konversation registreras det i kundens egen granskningslogg.

nerix vidtar de åtgärder som krävs enligt artikel 32 i GDPR. Bilaga 2 förtecknar de åtgärder som finns i dag. nerix får ändra dem om skyddsnivån inte försämras.

Kunden ger ett allmänt skriftligt tillstånd för de underbiträden som anges i bilaga 1. nerix förpliktar var och en av dem genom avtal att följa samma dataskyddsförpliktelser och förblir fullt ansvarigt gentemot kunden för dem.

nerix informerar ägaren av varje arbetsyta minst 30 dagar innan nerix lägger till eller byter ut ett underbiträde, i produkten och via e-post, och uppdaterar den offentliga listan på nerix.ai/legal/subprocessors. Kunden får invända av skäliga dataskyddsskäl inom dessa 30 dagar. nerix försöker då erbjuda tjänsten utan det underbiträdet, till exempel genom att hålla arbetsytan hos enbart leverantörer inom EU. Om det inte är möjligt får kunden avsluta avtalet och får återbetalning av förskottsbetalda avgifter för den tid som inte använts.

Kunden väljer AI-region och leverantörer för sin egen arbetsyta. En leverantör som kunden själv aktiverar i Inställningar är kundens eget val och inte en ändring som nerix gör.

Kunddata lagras inom Europeiska unionen (Frankrike, med krypterade filer och säkerhetskopior i Nederländerna). nerix är etablerat i USA. När personuppgifter överförs till eller nås från ett land utan beslut om adekvat skyddsnivå, kommer parterna överens om Europeiska kommissionens standardavtalsklausuler (beslut (EU) 2021/914) enligt följande. Modul två (personuppgiftsansvarig till personuppgiftsbiträde) gäller när kunden är personuppgiftsansvarig, och modul tre (personuppgiftsbiträde till personuppgiftsbiträde) när kunden själv är personuppgiftsbiträde. De ingår i detta avtal genom hänvisning.

• Klausul 7 (anslutningsklausul): ingår.
• Klausul 9(a): alternativ 2, allmänt tillstånd, med 30 dagars varsel enligt avsnitt 6.
• Klausul 11(a): det valfria oberoende tvistlösningsorganet tillämpas inte.
• Klausul 17: lagen i Republiken Irland. Klausul 18(b): domstolarna i Irland.
• Parterna i bilaga I.A finns i avsnitt 1; bilaga I.B är avsnitt 2; behörig tillsynsmyndighet är den som hör till kundens etableringsort (eller, om ingen sådan finns, Irlands dataskyddsmyndighet). Bilaga II är bilaga 2 nedan. Bilaga III är bilaga 1 nedan.

För personuppgifter som omfattas av UK GDPR kommer parterna även överens om International Data Transfer Addendum till EU:s standardavtalsklausuler som utfärdats av UK Information Commissioner (version B1.0, i kraft 21 mars 2022). Dess tabeller fylls i utifrån detta avsnitt och bilagorna, och endera parten får avsluta det enligt dess avsnitt 19.

För personuppgifter som omfattas av den schweiziska dataskyddslagen gäller standardavtalsklausulerna med följande ändringar: Schweiziska federala dataskydds- och informationskommissionären är behörig myndighet; hänvisningar till GDPR omfattar även den schweiziska lagen; jurisdiktionen för anspråk från personer i Schweiz är Schweiz; och ”medlemsstat” hindrar inte en person i Schweiz från att väcka talan vid sin hemvist.

Om nerix är certifierat enligt EU-US Data Privacy Framework för överföringen är certifieringen den huvudsakliga skyddsåtgärden och standardavtalsklausulerna tillämpas som en reservlösning om ramverket upphör att vara giltigt. En begäran om myndighetsåtkomst hanteras enligt vad standardavtalsklausulerna anger: nerix bestrider begäranden som är olagliga, delar så lite som möjligt och informerar kunden om inte lagen förbjuder det.

Om en person vänder sig till nerix angående uppgifter som nerix har för kundens räkning, svarar nerix inte i sak utan skickar begäran vidare till kunden utan onödigt dröjsmål (inom fem arbetsdagar). nerix ger kunden verktyg till hjälp: export av en arbetsyta och av en persons egna kontouppgifter, radering, rättelse och granskningsloggen. Utöver det hjälper nerix till med rimlig insats och utan kostnad när det är en liten uppgift.

nerix underrättar ägaren av varje berörd arbetsyta utan oskäligt dröjsmål och senast 24 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar kundens data, i produkten och via e-post. Meddelandet anger vad som är känt: vad som har hänt, vilka uppgifter och ungefär hur många personer, de sannolika konsekvenserna, vad nerix har gjort och vad nerix råder kunden att göra. Ytterligare fakta följer allteftersom de blir kända. nerix för register över personuppgiftsincidenter och ger kunden det som behövs för kundens egen anmälan till tillsynsmyndigheten (artikel 33) och till de registrerade (artikel 34).

nerix hjälper kunden med säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd, med hänsyn till vad nerix kan se. nerix tillhandahåller på begäran en sammanfattning av sin konsekvensbedömning avseende dataskydd för AI-funktionerna.

Kunden kan när som helst exportera hela arbetsytan kostnadsfritt från Inställningar (dokument i sina originalfiler, konversationer, Sheets, poster, granskningslogg) och kan radera uppgifter och själva arbetsytan. När avtalet upphör behåller nerix arbetsytan under en återhämtningsperiod på minst 30 dagar så att kunden kan exportera den, och raderar därefter personuppgifterna, inklusive säkerhetskopior, inom ytterligare 30 dagar, om inte lagen kräver att nerix behåller dem. nerix bekräftar raderingen på begäran.

nerix ger kunden den information som behövs för att visa att artikel 28 följs, och låter kunden eller en revisor som kunden utser genomföra granskning, med 30 dagars varsel, under kontorstid, under sekretess, högst en gång per år om inte en incident eller en myndighet kräver mer, och på kundens bekostnad. nerix kan först uppfylla detta med aktuella oberoende rapporter och sina svar på kundens säkerhetsfrågeformulär.

Ansvar enligt detta avtal följer Villkoren, med undantag för att ingenting begränsar ansvar som inte kan begränsas enligt lag, och standardavtalsklausulerna, där de är tillämpliga, har företräde framför allt annat. Detta avtal regleras av lagen i Republiken Irland för standardavtalsklausulerna och i övrigt av Villkoren.

Kunden godkänner detta avtal i produkten: ägaren av arbetsytan bekräftar det, och nerix registrerar datum, version och vem som godkände. En ny version visas för ägaren tillsammans med vad som har ändrats och gäller när den har godkänts; den godkända versionen förblir synlig i Inställningar. Företagskunder kan begära en kopia med signaturrader. Frågor: info@nerix.ai.

Den offentliga listan på nerix.ai/legal/subprocessors är den aktuella. Vid datumet för denna version:

Dessa åtgärder finns i produkten i dag.

• Separation av kunder: varje datapost är knuten till sin arbetsyta, och varje fråga i koden måste ange arbetsytan annars misslyckas den; filer lagras per arbetsyta.
• Kryptering: anslutningar använder TLS. Leverantörsnycklar och kunders lagrade autentiseringsuppgifter krypteras med kuvertkryptering, huvudnyckeln förvaras utanför databasen i en fil som endast tjänsten kan läsa.
• Åtkomst: inloggning med lösenord, passkeys eller Google eller GitHub; tvåstegsinloggning; roller för ägare, administratör, medlem och läsare; sessioner kan listas och avslutas; API-nycklar kan återkallas omedelbart.
• Åtkomst för personal: separat personalidentitet med egen inloggning och ett andra steg; personal ser en kunds konversation endast med ett dokumenterat skäl och varje visning skrivs till kundens granskningslogg; personifiering visas för kunden i granskningsloggen.
• Granskningslogg: en logg som bara kan läggas till, över vem som gjorde vad i arbetsytan, med export; sparas under den lagringsperiod som ägaren anger.
• AI-säkerhet: namn på personer och kunder och personuppgifter som e-postadresser samt telefon- och kontonummer kan ersättas med koder innan texten når en modell och sättas tillbaka i svaret; ägare kan låsa denna inställning; en modellleverantör får aldrig träna på kunddata; AI-regionen kan begränsas till endast EU eller till modeller på våra egna servrar.
• Lagring och radering: ägaren kan ange hur länge dokument och konversationer sparas, sedan raderas de av tjänsten; radering tar bort filer från disken, inte bara databasrader; en radering av en arbetsyta sker efter en karensperiod på 30 dagar.
• Säkerhetskopior: förvaras i EU; raderade uppgifter lämnar säkerhetskopiorna inom 30 dagar.
• Motståndskraft: separata processer för webben, bakgrundsarbetet och AI-hubben, hälsokontroller och omstarter utan att jobb tappas; ändringar testas före release.
• Process för personuppgiftsincidenter: en skriftlig runbook, ett register, meddelande till berörda ägare inom 24 timmar och ett säkerhetsmeddelande i produkten.
• Personal: tystnadsplikt och åtkomst endast när arbetet kräver det.