Veri İşleme Sözleşmesi

Müşteri, çalışma alanına sahip olan kuruluştur ve nerix.ai'ye koyduğu kişisel verilerin veri sorumlusudur (kendi müşterileri adına hareket ettiği durumlarda bu verilerin işleyicisidir). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, Amerika Birleşik Devletleri, veri işleyendir.

Bu sözleşme, müşterinin çalışma alanındaki kişisel verileri kapsar: belgeler, konuşmalar, Sheets, iş kayıtları, toplantılar ve kayıtlar, kütüphane gömme verileri, üyelerin adları ve e-posta adresleri ile denetim izi. nerix'in amaçlarını kendisinin belirlediği kişisel verileri kapsamaz; örneğin bir kişinin oturum açma hesabı veya faturalama kayıtları. Bunlar gizlilik politikasında açıklanmıştır.

Bu sözleşme ile Şartlar kişisel veriler konusunda çelişirse, bu sözleşme geçerlidir.

nerix, kişisel verileri yalnızca müşterinin belgelenmiş talimatlarına dayanarak işler. Şartlar, bu sözleşme, müşterinin üründe seçtiği ayarlar (örneğin yapay zeka bölgesi, sağlayıcılar, saklama süreleri ve adların yapay zekadan gizlenmesi) ve üyelerinin üründen yapmasını istediği şeyler talimatlardır. Buna üçüncü bir ülkeye aktarımlar da dahildir: bunlar yalnızca bu talimatlar ve alt işleyici listesinin izin verdiği şekilde gerçekleşir.

nerix, bir talimatın veri koruma hukukunu ihlal ettiğine inanırsa müşteriye derhal bildirir. Hukuk, nerix'in başka türlü işleme yapmasını gerektiriyorsa, hukuk bunu yasaklamadıkça önce müşteriye bildirir.

nerix'te müşteri kişisel verilerine erişebilen herkes yazılı bir gizlilik yükümlülüğüne tabidir, erişimi yalnızca iş gerektirdiğinde elde eder ve personelin bir müşterinin konuşmasına yaptığı her inceleme müşterinin kendi denetim izine kaydedilir.

nerix, GDPR'nin 32. maddesindeki tedbirleri alır. Ek 2, bugün mevcut olanları listeler. nerix, koruma düzeyi düşmediği sürece bunları değiştirebilir.

Müşteri, Ek 1'deki alt işleyiciler için genel yazılı yetki verir. nerix, her birini sözleşmeyle aynı veri koruma yükümlülüklerine bağlar ve bunlar için müşteriye karşı tam olarak sorumlu kalır.

nerix, bir alt işleyici eklemeden veya değiştirmeden en az 30 gün önce her çalışma alanının sahibine ürün içinde ve e-posta yoluyla bildirir ve nerix.ai/legal/subprocessors adresindeki genel listeyi günceller. Müşteri, bu 30 gün içinde makul veri koruma gerekçeleriyle itiraz edebilir. nerix daha sonra hizmeti o alt işleyici olmadan sunmayı dener; örneğin çalışma alanını yalnızca EU sağlayıcılarında tutarak. Bu mümkün değilse, müşteri sözleşmeyi sona erdirebilir ve kullanılmayan süre için ön ödemeli ücretlerin iadesini alır.

Müşteri, kendi çalışma alanı için yapay zeka bölgesini ve sağlayıcıları seçer. Müşterinin Ayarlar'da kendisinin açtığı bir sağlayıcı, müşterinin kendi seçimidir ve nerix'in bir değişikliği değildir.

Müşteri verileri Avrupa Birliği'nde (Fransa; şifrelenmiş dosyalar ve yedeklemeler Hollanda'da) saklanır. nerix, Amerika Birleşik Devletleri'nde kurulmuştur. Kişisel verilerin yeterlilik kararı olmayan bir ülkeye aktarıldığı veya böyle bir ülkeden erişildiği durumlarda, taraflar Avrupa Komisyonu'nun Standart Sözleşme Maddelerini ((EU) 2021/914 Sayılı Karar) aşağıdaki şekilde kabul eder. Müşteri veri sorumlusu olduğunda Modül İki (veri sorumlusundan veri işleyene) ve müşterinin kendisi veri işleyen olduğunda Modül Üç (veri işleyenden veri işleyene) uygulanır. Bunlar referans yoluyla bu sözleşmenin parçasıdır.

• Madde 7 (ekleme hükmü): dahildir.
• Madde 9(a): seçenek 2, genel yetki, 6. bölümdeki 30 günlük bildirimle.
• Madde 11(a): isteğe bağlı bağımsız uyuşmazlık çözüm organı uygulanmaz.
• Madde 17: İrlanda Cumhuriyeti hukuku. Madde 18(b): İrlanda mahkemeleri.
• Ek I.A tarafları 1. bölümdedir; Ek I.B 2. bölümdür; yetkili denetim otoritesi, müşterinin yerleşim yerinin bulunduğu ülkenin otoritesidir (veya yoksa İrlanda Veri Koruma Komisyonu). Ek II aşağıdaki Ek 2'dir. Ek III aşağıdaki Ek 1'dir.

UK GDPR kapsamındaki kişisel veriler için taraflar ayrıca Birleşik Krallık Bilgi Komiseri tarafından yayımlanan EU Standart Sözleşme Maddelerine İlişkin Uluslararası Veri Aktarımı Zeyilnamesini (B1.0 sürümü, 21 Mart 2022'de yürürlükte) kabul eder. Tabloları bu bölümden ve eklerden doldurulur ve taraflardan her biri, 19. bölümünün belirttiği şekilde bunu sona erdirebilir.

İsviçre veri koruma kanunu kapsamındaki kişisel veriler için SCC'ler şu değişikliklerle uygulanır: İsviçre Federal Veri Koruma ve Bilgi Komiseri yetkili otoritedir; GDPR'ye yapılan atıflar İsviçre kanununu da kapsar; İsviçre'deki kişilerin talepleri için yargı yeri İsviçre'dir; ve "üye devlet" ifadesi, İsviçre'deki bir kişinin mutat ikametgahında dava açmasını engellemez.

nerix, aktarım için EU-US Veri Gizliliği Çerçevesi kapsamında sertifikalıysa, bu sertifika ana güvencecedir ve çerçeve geçerliliğini yitirirse SCC'ler yedek olarak uygulanır. Bir devlet erişim talebi, SCC'lerin belirttiği şekilde ele alınır: nerix hukuka aykırı taleplere itiraz eder, mümkün olan en az veriyi paylaşır ve hukuk yasaklamadıkça müşteriye bildirir.

Bir kişi, nerix'e müşteri için tuttuğu veriler hakkında sorarsa, nerix esasa ilişkin yanıt vermez ve talebi gecikmeksizin (beş iş günü içinde) müşteriye iletir. nerix, müşteriye yardımcı olacak araçlar sunar: bir çalışma alanının ve bir kişinin kendi hesap verilerinin dışa aktarılması, silme, düzeltme ve denetim izi. Bunların ötesinde, nerix küçük bir görev olduğunda makul çabayla ve ücretsiz olarak yardımcı olur.

nerix, müşterinin verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde, gecikme olmaksızın ve en geç öğrendikten sonraki 24 saat içinde, ürün içinde ve e-posta yoluyla her etkilenen çalışma alanının sahibine bildirir. Bildirim, bilinenleri söyler: ne olduğu, hangi verilerin ve yaklaşık kaç kişinin etkilendiği, muhtemel sonuçları, nerix'in ne yaptığı ve müşteriye ne yapmasını önerdiği. Yeni olgular ortaya çıktıkça bildirilir. nerix ihlallere ilişkin bir kayıt tutar ve müşteriye kendi denetim makamına (33. madde) ve ilgili kişilere (34. madde) yapacağı bildirim için gerekenleri sağlar.

nerix, görebildiklerini dikkate alarak müşteriye güvenlik, ihlal bildirimi, veri koruma etki değerlendirmeleri ve ön danışma konularında yardımcı olur. nerix, talep üzerine yapay zeka özelliklerine ilişkin veri koruma etki değerlendirmesinin bir özetini sağlar.

Müşteri, tüm çalışma alanını her zaman Ayarlar'dan ücretsiz olarak dışa aktarabilir (belgeler özgün dosyalarıyla, konuşmalar, Sheets, kayıtlar, denetim izi) ve verileri ve çalışma alanının kendisini silebilir. Sözleşme sona erdiğinde, nerix müşterinin dışa aktarabilmesi için çalışma alanını en az 30 günlük bir erişim süresi boyunca saklar, ardından yasaların nerix'ten saklamasını gerektirmediği sürece kişisel verileri, yedekler dahil, 30 gün daha içinde siler. nerix talep üzerine silmeyi teyit eder.

nerix, 28. maddenin karşılandığını göstermek için gereken bilgileri müşteriye verir ve müşterinin veya müşterinin atadığı bir denetçinin, 30 gün önceden bildirimle, iş saatlerinde, gizlilik yükümlülüğü altında, bir ihlal veya bir makam daha fazlasını gerektirmedikçe yılda en fazla bir kez ve müşterinin masrafıyla denetim yapmasına izin verir. nerix bu yükümlülüğü öncelikle güncel bağımsız raporlarla ve müşterinin güvenlik anketine verdiği yanıtlarla karşılayabilir.

Bu sözleşme kapsamındaki sorumluluk, Şartlar'a tabidir; ancak yasayla sınırlandırılamayacak sorumluluk hiçbir şekilde sınırlandırılmaz ve geçerli oldukları yerde SCCs diğer her şeyden önce gelir. Bu sözleşme, SCCs bakımından İrlanda Cumhuriyeti hukukuna, diğer hususlarda ise Şartlar'a tabidir.

Müşteri bu sözleşmeyi ürün içinde kabul eder: çalışma alanının sahibi onaylar ve nerix tarihi, sürümü ve kimin kabul ettiğini kaydeder. Yeni bir sürüm, nelerin değiştiğiyle birlikte sahibe gösterilir ve kabul edildiğinde uygulanır; kabul edilen sürüm Ayarlar'da görünür kalır. Kurumsal müşteriler imza satırları içeren bir kopya isteyebilir. Sorular: info@nerix.ai.

nerix.ai/legal/subprocessors adresindeki genel liste güncel listedir. Bu sürümün tarihi itibarıyla:

Bu önlemler bugün üründe mevcuttur.

• Müşteri ayrımı: her kayıt kendi çalışma alanını taşır ve koddaki her sorgu çalışma alanını belirtmek zorundadır, belirtmezse başarısız olur; dosyalar çalışma alanı başına saklanır.
• Şifreleme: bağlantılar TLS kullanır. Sağlayıcı anahtarları ve müşterilerin saklanan kimlik bilgileri zarf şifrelemesiyle şifrelenir; ana anahtar veritabanının dışında, yalnızca hizmetin okuyabildiği bir dosyada tutulur.
• Erişim: parola, geçiş anahtarları veya Google ya da GitHub ile oturum açma; iki adımlı oturum açma; sahip, yönetici, üye ve görüntüleyici rolleri; oturumlar listelenebilir ve sonlandırılabilir; API anahtarları hemen iptal edilebilir.
• Personel erişimi: personel için ayrı kimlik ve kendi oturum açması ile ikinci adım; personel bir müşterinin konuşmasını yalnızca kayda geçirilmiş bir gerekçeyle görür ve her bakış müşterinin denetim izine yazılır; kimliğe bürünme müşteriye denetim izinde gösterilir.
• Denetim izi: çalışma alanında kimin ne yaptığının yalnızca ekleme yapılabilen kaydı, dışa aktarmalarla birlikte; sahibin belirlediği saklama süresi boyunca tutulur.
• Yapay zeka güvenliği: kişilerin ve müşterilerin adları ile e-posta adresleri, telefon ve hesap numaraları gibi kişisel bilgiler, metin bir modele ulaşmadan önce kodlarla değiştirilebilir ve yanıtta geri konulabilir; sahipler bu ayarı kilitleyebilir; bir model sağlayıcısının müşteri verileriyle eğitim yapmasına asla izin verilmez; yapay zeka bölgesi yalnızca EU ile veya kendi sunucularımızdaki modellerle sınırlandırılabilir.
• Saklama ve silme: sahip belgelerin ve konuşmaların ne kadar süre saklanacağını ayarlayabilir, ardından hizmet tarafından silinirler; silme yalnızca satırları değil dosyaları da diskten kaldırır; çalışma alanı silme işlemi 30 günlük bir ek süreden sonra çalışır.
• Yedekler: EU içinde tutulur; silinen veriler 30 gün içinde yedeklerden çıkar.
• Dayanıklılık: web, arka plan işleri ve yapay zeka merkezi için ayrı süreçler, işleri kaybetmeden sağlık kontrolleri ve yeniden başlatmalar; değişiklikler sürüm öncesinde test edilir.
• İhlal süreci: yazılı bir çalışma kılavuzu, bir kayıt, etkilenen sahiplere 24 saat içinde bildirim ve üründe bir Güvenlik bildirimi.
• İnsanlar: gizlilik yükümlülüğü ve yalnızca iş gerektirdiğinde erişim.