Συμφωνία επεξεργασίας δεδομένων
Εισαγωγή
Η παρούσα συμφωνία διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα από την revzper SAS (εκτελών την επεξεργασία) για λογαριασμό του πελάτη (υπεύθυνος επεξεργασίας).
1. Πεδίο εφαρμογής και οδηγίες
Ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο βάσει έγγραφων οδηγιών που παρέχονται μέσω ασφαλούς διαύλου και καταγράφονται στα αρχεία επεξεργασίας του υπευθύνου επεξεργασίας. Η revzper SAS επιβεβαιώνει τη λήψη των οδηγιών και τεκμηριώνει όλες τις ενέργειες συμμόρφωσης που πραγματοποιούνται σε απάντηση σε αυτές. Ο εκτελών την επεξεργασία διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται δεδομένα προσωπικού χαρακτήρα έχουν δεσμευτεί ως προς την εμπιστευτικότητα. Ο εκτελών την επεξεργασία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσει επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο. Ο εκτελών την επεξεργασία συνδράμει τον υπεύθυνο επεξεργασίας στη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις.
2. Πηγαίος κώδικας και μεταδεδομένα αποθετηρίου
Όταν ο υπεύθυνος επεξεργασίας τα υποβάλλει για ανάλυση, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία βάσει της παρούσας Συμφωνίας περιλαμβάνουν πηγαίο κώδικα και μεταδεδομένα αποθετηρίου: διαδρομές αρχείων, θέματα υποβολών, ημερομηνίες και πλήθη, καθώς και γραμμές διαμόρφωσης, τα οποία ενδέχεται να ταυτοποιούν τους συνεισφέροντες του υπευθύνου επεξεργασίας, καθώς και τα ονόματα, τους αριθμούς διεργασιών και τους χρόνους έναρξης των προγραμμάτων που εκτελούνται στους υπολογιστές του υπευθύνου επεξεργασίας.
Αναφ.: GDPR Art. 28(3)
3. Μη εκπαίδευση με δεδομένα προσωπικού χαρακτήρα
Η revzper SAS δεν χρησιμοποιεί δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία βάσει της παρούσας Συμφωνίας για την εκπαίδευση ή τη λεπτομερή ρύθμιση μοντέλων AI. Η λεπτομερής ρύθμιση ενός μοντέλου για τον υπεύθυνο επεξεργασίας απαιτεί χωριστή έγγραφη συμφωνία με τον υπεύθυνο επεξεργασίας και πραγματοποιείται μόνο σε δεδομένα που ο υπεύθυνος επεξεργασίας έχει ορίσει ρητά για τον σκοπό αυτό. Η μόνη εξαίρεση είναι τα σχόλια που αποστέλλει ένας χρήστης μέσω μιας εφαρμογής, αφού επιλέξει, για τα συγκεκριμένα σχόλια, ένα χωριστό πλαίσιο που είναι κάθε φορά μη επιλεγμένο και δεν επιλέγεται ποτέ για τον χρήστη. Η revzper SAS επεξεργάζεται στη συνέχεια τα σχόλια αυτά ως υπεύθυνος επεξεργασίας, βάσει της συγκατάθεσης του χρήστη: αφαιρεί τα μυστικά και τα δεδομένα που ταυτοποιούν ένα πρόσωπο πριν τα σχόλια ενταχθούν σε ένα σύνολο δεδομένων· χρησιμοποιεί το εν λόγω σύνολο δεδομένων μόνο για τη δοκιμή, την εκπαίδευση και τη λεπτομερή ρύθμιση των μοντέλων AI που εξυπηρετούν τις λειτουργίες της πλατφόρμας για όλους τους χρήστες και ποτέ για ένα μοντέλο που έχει δημιουργηθεί για άλλον πελάτη· μπορεί να αναθέσει την εκπαίδευση σε πάροχο AI στην Ευρωπαϊκή Ένωση που ενεργεί ως εκτελών την επεξεργασία της, βάσει σύμβασης που απαγορεύει στον εν λόγω πάροχο να χρησιμοποιεί το σύνολο δεδομένων για τον ίδιο· και διατηρεί κάθε στοιχείο για χρονικό διάστημα που δεν υπερβαίνει το ένα έτος. Ο υπεύθυνος επεξεργασίας παραμένει υπεύθυνος για το ότι οι χρήστες του δικαιούνται να κοινοποιούν το περιεχόμενο που επισυνάπτουν στα σχόλιά τους.
Αναφ.: GDPR Art. 28(3)(a), GDPR Art. 28(10)
4. Ενέργειες μετά τη λήξη
Με τη λήξη της παρούσας Συμφωνίας ή κατόπιν οδηγιών του υπευθύνου επεξεργασίας, η revzper SAS:
Προεπιλεγμένες ενέργειες
- Διαγράφει όλα τα δεδομένα προσωπικού χαρακτήρα εντός 30 ημερών από τη λήξη, εκτός εάν ο υπεύθυνος επεξεργασίας δώσει διαφορετικές έγγραφες οδηγίες.
- Επιστρέφει όλα τα δεδομένα προσωπικού χαρακτήρα στον υπεύθυνο επεξεργασίας σε δομημένο, ευρέως χρησιμοποιούμενο και αναγνώσιμο από μηχανή μορφότυπο, εφόσον ο υπεύθυνος επεξεργασίας το ζητήσει εγγράφως εντός 15 ημερών από τη λήξη.
- Παρέχει στον υπεύθυνο επεξεργασίας έγγραφη πιστοποίηση που επιβεβαιώνει την ολοκλήρωση της διαγραφής ή της επιστροφής, συμπεριλαμβανομένης της ημερομηνίας και της μεθόδου της ενέργειας.
- Επιτρέπει στον υπεύθυνο επεξεργασίας να επαληθεύσει τη συμμόρφωση με την παρούσα ρήτρα κατόπιν εύλογου αιτήματος.
Πρόσθετες υποχρεώσεις
- Η revzper SAS δεν διατηρεί δεδομένα προσωπικού χαρακτήρα πέραν της ολοκλήρωσης των ανωτέρω ενεργειών, εκτός εάν απαιτείται από τον νόμο.
Τόπος επεξεργασίας και εκτελούντες την επεξεργασία
Όλη η επεξεργασία δεδομένων προσωπικού χαρακτήρα βάσει της παρούσας Συμφωνίας πραγματοποιείται εντός της Ευρωπαϊκής Ένωσης. Τα δεδομένα προσωπικού χαρακτήρα φιλοξενούνται στη Γαλλία (περιοχή του Παρισιού) από τη Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Τα δεδομένα πληρωμών υποβάλλονται σε επεξεργασία από τη Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, ως ανεξάρτητος υπεύθυνος επεξεργασίας βάσει των δικών της όρων. Οι λειτουργίες AI υποβάλλονται σε επεξεργασία από τη Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, αναπτύξεις στη ζώνη δεδομένων της Ευρωπαϊκής Ένωσης σε πόρο στη Γαλλία) και από τη Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, δεδομένα που φιλοξενούνται στην Ευρωπαϊκή Ένωση), ως εκτελούντες την επεξεργασία. Ένας πάροχος AI που διαμορφώνεται κατόπιν αιτήματος του υπευθύνου επεξεργασίας γνωστοποιείται στον εν λόγω υπεύθυνο επεξεργασίας πριν από τη χρήση. Η revzper SAS ενημερώνει τον υπεύθυνο επεξεργασίας πριν από την πρόσληψη οποιουδήποτε άλλου εκτελούντος την επεξεργασία.
2. Πάροχοι και μοντέλα AI που επιλέγονται από τον υπεύθυνο επεξεργασίας
Όταν ο υπεύθυνος επεξεργασίας ή ένας χρήστης που ενεργεί για λογαριασμό του χρησιμοποιεί μια λειτουργία AI που παρέχεται από πάροχο AI ο οποίος έχει διαμορφωθεί με τον λογαριασμό του υπευθύνου επεξεργασίας ή του χρήστη ή από μοντέλο που εκτελείται στον εξοπλισμό του ίδιου του υπευθύνου επεξεργασίας, ο εν λόγω πάροχος ή το εν λόγω μοντέλο χρησιμοποιείται από τον υπεύθυνο επεξεργασίας και δεν αποτελεί εκτελούντα την επεξεργασία της revzper SAS· η revzper SAS το πολύ διαβιβάζει σε αυτό τα αιτήματα. Ο υπεύθυνος επεξεργασίας είναι υπεύθυνος για την επιλογή αυτή, για τη συμφωνία του με τον εν λόγω πάροχο και για τη νομιμότητα της επακόλουθης διαβίβασης δεδομένων προσωπικού χαρακτήρα, ανεξάρτητα από τον ρόλο στην υπηρεσία του χρήστη που την πραγματοποίησε, συμπεριλαμβανομένου του δημιουργού ή του διαχειριστή.
Αναφ.: GDPR Art. 24, GDPR Art. 28(2)