Aftale om databehandling
Introduktion
Denne aftale regulerer behandlingen af personoplysninger af revzper SAS (databehandler) på vegne af kunden (dataansvarlig).
1. Omfang og instrukser
Databehandleren må kun behandle personoplysninger efter skriftlige instrukser, der er afgivet via en sikker kanal og registreret i den dataansvarliges behandlingsfortegnelser. revzper SAS skal bekræfte modtagelsen af instrukser og dokumentere alle overholdelsesforanstaltninger, der træffes som reaktion herpå. Databehandleren skal sikre, at personer, der er bemyndiget til at behandle personoplysninger, har forpligtet sig til fortrolighed. Databehandleren skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der er passende i forhold til risikoen. Databehandleren skal bistå den dataansvarlige med at sikre overholdelsen af forpligtelser.
2. Kildekode og metadata fra repositories
Når den dataansvarlige indsender dem til analyse, omfatter de personoplysninger, der behandles i henhold til denne aftale, kildekode og metadata fra repositories: filstier, commit-emner, datoer og antal samt konfigurationslinjer, som kan identificere den dataansvarliges bidragydere, og navnene på, procesnumrene for og starttidspunkterne for programmer, der kører på den dataansvarliges computere.
Ref: GDPR art. 28(3)
3. Ingen træning på personoplysninger
revzper SAS bruger ikke personoplysninger, der behandles i henhold til denne aftale, til at træne eller finjustere AI-modeller. Finjustering af en model for den dataansvarlige kræver en separat skriftlig aftale med den dataansvarlige og udføres kun på data, som den dataansvarlige udtrykkeligt har angivet til dette formål. Den eneste undtagelse er feedback, som en bruger sender gennem en applikation efter at have markeret en separat boks for denne feedback, som er umarkeret hver gang og aldrig er markeret for brugeren. revzper SAS behandler derefter denne feedback som dataansvarlig på grundlag af brugerens samtykke: den fjerner hemmelighederne og de data, der identificerer en person, før feedbacken indgår i et datasæt; den bruger kun dette datasæt til at teste, træne og finjustere de AI-modeller, der understøtter platformens funktioner for alle brugere, aldrig en model, der er bygget til en anden kunde; den kan få træningen udført af en AI-udbyder i Den Europæiske Union, der handler som dens databehandler, i henhold til en kontrakt, der forbyder denne udbyder at bruge datasættet til egne formål; og den opbevarer hvert element i højst ét år. Den dataansvarlige forbliver ansvarlig for, at dens brugere er berettigede til at dele det indhold, de vedhæfter deres feedback.
Ref: GDPR art. 28(3)(a), GDPR art. 28(10)
4. Foranstaltninger efter ophør
Ved ophør af denne aftale eller efter den dataansvarliges instrukser skal revzper SAS:
Standardforanstaltninger
- Slette alle personoplysninger senest 30 dage efter ophøret, medmindre den dataansvarlige skriftligt instruerer andet.
- Returnere alle personoplysninger til den dataansvarlige i et struktureret, almindeligt anvendt og maskinlæsbart format, hvis den dataansvarlige anmoder skriftligt herom senest 15 dage efter ophøret.
- Give den dataansvarlige en skriftlig certificering, der bekræfter, at sletningen eller returneringen er gennemført, herunder datoen for og metoden til den pågældende handling.
- Tillade den dataansvarlige at verificere overholdelsen af denne bestemmelse efter rimelig anmodning.
Yderligere forpligtelser
- revzper SAS må ikke opbevare personoplysninger ud over gennemførelsen af ovenstående foranstaltninger, medmindre det er påkrævet ved lov.
Behandlingssted og underdatabehandlere
Al behandling af personoplysninger i henhold til denne aftale finder sted inden for Den Europæiske Union. Personoplysninger hostes i Frankrig (Paris-regionen) af Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Betalingsdata behandles af Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, som en uafhængig dataansvarlig i henhold til egne vilkår. AI-funktioner behandles af Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, implementeringer i Den Europæiske Unions datazone på en ressource i Frankrig) og af Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, data hostet i Den Europæiske Union), som underdatabehandlere. En AI-udbyder, der er konfigureret efter den dataansvarliges anmodning, navngives over for den dataansvarlige inden brug. revzper SAS informerer den dataansvarlige, før en anden underdatabehandler engageres.
2. AI-udbydere og modeller valgt af den dataansvarlige
Når den dataansvarlige eller en bruger, der handler på dennes vegne, har en AI-funktion, der leveres af en AI-udbyder, som er konfigureret med den dataansvarliges eller brugerens egen konto, eller af en model, der kører på den dataansvarliges eget udstyr, engageres denne udbyder eller model af den dataansvarlige og er ikke en underdatabehandler for revzper SAS; revzper SAS videresender højst anmodningerne til den. Den dataansvarlige er ansvarlig for dette valg, for sin aftale med denne udbyder og for lovligheden af den deraf følgende overførsel af personoplysninger, uanset hvilken rolle den bruger, der foretog valget, har i tjenesten, herunder som skaber eller administrator.
Ref: GDPR art. 24, GDPR art. 28(2)