Соглашение об обработке данных

Введение

Настоящее соглашение регулирует обработку персональных данных компанией revzper SAS (обработчиком) от имени заказчика (оператора).

1. Объем и инструкции

Обработчик осуществляет обработку персональных данных только на основании письменных инструкций, предоставленных через защищенный канал и зафиксированных в документации оператора по обработке данных. revzper SAS подтверждает получение инструкций и документирует все предпринятые в ответ меры по обеспечению соответствия требованиям. Обработчик обеспечивает принятие лицами, уполномоченными обрабатывать персональные данные, обязательств по соблюдению конфиденциальности. Обработчик внедряет надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску. Обработчик оказывает оператору содействие в обеспечении соблюдения обязательств.

2. Исходный код и метаданные репозитория

Если оператор предоставляет их для анализа, персональные данные, обрабатываемые в соответствии с настоящим Соглашением, включают исходный код и метаданные репозитория: пути к файлам, темы, даты и количество коммитов, а также строки конфигурации, которые могут идентифицировать участников оператора, и имена, номера процессов и время запуска программ, работающих на компьютерах оператора.

Ссылка: ст. 28(3) GDPR

3. Запрет на обучение с использованием персональных данных

revzper SAS не использует персональные данные, обрабатываемые в соответствии с настоящим Соглашением, для обучения или дообучения моделей ИИ. Дообучение модели для оператора требует отдельного письменного соглашения с оператором и осуществляется только на данных, которые оператор явно обозначил для этой цели. Единственным исключением является отзыв, который пользователь отправляет через приложение после установки в отношении этого отзыва отдельного флажка, который каждый раз остается снятым и никогда не устанавливается за пользователя. В таком случае revzper SAS обрабатывает этот отзыв в качестве оператора на основании согласия пользователя: удаляет секреты и данные, идентифицирующие лицо, до включения отзыва в набор данных; использует этот набор данных только для тестирования, обучения и дообучения моделей ИИ, обеспечивающих работу функций платформы для всех пользователей, и никогда не использует его для модели, созданной для другого заказчика; может поручить проведение обучения поставщику ИИ в Европейском союзе, выступающему в качестве ее обработчика, на основании договора, запрещающего этому поставщику использовать набор данных в собственных целях; и хранит каждый элемент не более одного года. Оператор по-прежнему несет ответственность за наличие у его пользователей права делиться содержимым, прикрепляемым ими к своим отзывам.

Ссылка: ст. 28(3)(a) GDPR, ст. 28(10) GDPR

4. Действия после прекращения действия

После прекращения действия настоящего Соглашения или получения инструкций оператора revzper SAS обязуется:

Действия по умолчанию

Удалить все персональные данные в течение 30 дней с даты прекращения действия, если оператор не предоставил иные письменные инструкции.
Вернуть все персональные данные оператору в структурированном, широко используемом и машиночитаемом формате, если оператор направил соответствующий письменный запрос в течение 15 дней с даты прекращения действия.
Предоставить оператору письменное подтверждение завершения удаления или возврата, включая дату и способ выполнения действия.
Разрешить оператору проверять соблюдение настоящего пункта по обоснованному запросу.

Дополнительные обязательства

revzper SAS не хранит персональные данные после завершения вышеуказанных действий, за исключением случаев, когда такое хранение требуется по закону.

Место обработки и субпроцессоры

Вся обработка персональных данных в соответствии с настоящим Соглашением осуществляется в пределах Европейского союза. Персональные данные размещаются во Франции (в регионе Парижа) компанией Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Платежные данные обрабатываются компанией Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, в качестве независимого оператора на основании ее собственных условий. Функции ИИ обрабатываются компаниями Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, развертывания в зоне данных Европейского союза на ресурсе во Франции) и Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, данные размещаются в Европейском союзе), в качестве субпроцессоров. Поставщик ИИ, настроенный по запросу оператора, называется оператору до начала использования. revzper SAS уведомляет оператора до привлечения любого другого субпроцессора.

2. Поставщики и модели ИИ, выбранные оператором

Если оператор или действующий от его имени пользователь использует функцию ИИ, предоставляемую поставщиком ИИ, настроенным с использованием собственной учетной записи оператора или пользователя, либо моделью, работающей на собственном оборудовании оператора, такой поставщик или модель привлекается оператором и не является субпроцессором revzper SAS; revzper SAS лишь в крайнем случае передает ему запросы. Оператор несет ответственность за такой выбор, за свое соглашение с этим поставщиком и за правомерность передачи персональных данных, являющейся ее результатом, независимо от роли в сервисе пользователя, совершившего этот выбор, включая создателя или администратора.

Ссылка: ст. 24 GDPR, ст. 28(2) GDPR