DPA

Umowa powierzenia przetwarzania danych

Wprowadzenie

Niniejsza umowa reguluje przetwarzanie danych osobowych przez revzper SAS (podmiot przetwarzający) w imieniu klienta (administratora).

1. Zakres i instrukcje

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na podstawie pisemnych instrukcji przekazanych za pośrednictwem bezpiecznego kanału i odnotowanych w rejestrach przetwarzania administratora. revzper SAS potwierdza otrzymanie instrukcji i dokumentuje wszystkie działania podjęte w celu zapewnienia zgodności w odpowiedzi na te instrukcje. Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności. Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyka. Podmiot przetwarzający pomaga administratorowi w zapewnieniu zgodności z obowiązkami.

2. Kod źródłowy i metadane repozytorium

Jeżeli administrator przekazuje je do analizy, dane osobowe przetwarzane na podstawie niniejszej Umowy obejmują kod źródłowy i metadane repozytorium: ścieżki plików, opisy commitów, daty i liczby commitów oraz wiersze konfiguracji, które mogą identyfikować współtwórców administratora, a także nazwy, numery procesów i czasy rozpoczęcia programów działających na komputerach administratora.

Odn.: art. 28 ust. 3 RODO

3. Brak trenowania na danych osobowych

revzper SAS nie wykorzystuje danych osobowych przetwarzanych na podstawie niniejszej Umowy do trenowania ani dostrajania modeli AI. Dostrojenie modelu dla administratora wymaga odrębnej pisemnej umowy z administratorem i odbywa się wyłącznie na danych, które administrator wyraźnie przeznaczył do tego celu. Jedynym wyjątkiem są informacje zwrotne przesyłane przez użytkownika za pośrednictwem aplikacji po zaznaczeniu przez niego, w odniesieniu do tych informacji zwrotnych, odrębnego pola, które za każdym razem jest odznaczone i nigdy nie jest zaznaczane za użytkownika. revzper SAS przetwarza następnie te informacje zwrotne jako administrator, na podstawie zgody użytkownika: usuwa sekrety i dane pozwalające zidentyfikować osobę, zanim informacje zwrotne zostaną dołączone do zbioru danych; wykorzystuje ten zbiór danych wyłącznie do testowania, trenowania i dostrajania modeli AI obsługujących funkcje platformy dla wszystkich użytkowników, nigdy zaś modelu zbudowanego dla innego klienta; może zlecić przeprowadzenie trenowania dostawcy AI w Unii Europejskiej działającemu jako jego podmiot przetwarzający, na podstawie umowy zakazującej temu dostawcy wykorzystywania zbioru danych na własny użytek; oraz przechowuje każdy element przez okres nie dłuższy niż jeden rok. Administrator pozostaje odpowiedzialny za to, aby jego użytkownicy byli uprawnieni do udostępniania treści dołączanych przez nich do informacji zwrotnych.

Odn.: art. 28 ust. 3 lit. a RODO, art. 28 ust. 10 RODO

4. Działania po zakończeniu obowiązywania Umowy

Po rozwiązaniu niniejszej Umowy lub otrzymaniu instrukcji administratora revzper SAS:

Działania domyślne

• Usunie wszystkie dane osobowe w terminie 30 dni od rozwiązania Umowy, chyba że administrator wyda na piśmie inne instrukcje.
• Zwróci wszystkie dane osobowe administratorowi w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie, jeżeli administrator zwróci się o to na piśmie w terminie 15 dni od rozwiązania Umowy.
• Przedstawi administratorowi pisemne potwierdzenie zakończenia usuwania lub zwrotu, zawierające datę i sposób przeprowadzenia działania.
• Umożliwi administratorowi zweryfikowanie zgodności z niniejszym postanowieniem na uzasadniony wniosek.

Dodatkowe obowiązki

• revzper SAS nie będzie przechowywać żadnych danych osobowych po zakończeniu powyższych działań, chyba że jest to wymagane przepisami prawa.

Lokalizacja przetwarzania i podmioty podprzetwarzające

Całe przetwarzanie danych osobowych na podstawie niniejszej Umowy odbywa się na terenie Unii Europejskiej. Dane osobowe są przechowywane we Francji (region paryski) przez Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Dane dotyczące płatności są przetwarzane przez Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, jako niezależnego administratora na podstawie jego własnych warunków. Funkcje AI są przetwarzane przez Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, wdrożenia w strefie danych Unii Europejskiej w ramach zasobu we Francji) oraz przez Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, dane przechowywane w Unii Europejskiej), jako podmioty podprzetwarzające. Dostawca AI skonfigurowany na żądanie administratora jest wskazywany temu administratorowi przed rozpoczęciem korzystania z niego. revzper SAS poinformuje administratora przed zaangażowaniem jakiegokolwiek innego podmiotu podprzetwarzającego.

2. Dostawcy AI i modele wybrane przez administratora

Jeżeli administrator lub działający w jego imieniu użytkownik korzysta z funkcji AI obsługiwanej przez dostawcę AI skonfigurowanego przy użyciu własnego konta administratora lub użytkownika albo przez model działający na własnym sprzęcie administratora, taki dostawca lub model jest angażowany przez administratora i nie jest podmiotem podprzetwarzającym revzper SAS; revzper SAS co najwyżej przekazuje mu żądania. Administrator ponosi odpowiedzialność za ten wybór, za swoją umowę z tym dostawcą oraz za zgodność z prawem wynikającego z tego przekazania danych osobowych, niezależnie od roli w ramach usługi użytkownika, który dokonał tego wyboru, w tym twórcy lub administratora.

Odn.: art. 24 RODO, art. 28 ust. 2 RODO