Pogodba o obdelavi podatkov
Uvod
Ta pogodba ureja obdelavo osebnih podatkov s strani revzper SAS (obdelovalec) v imenu stranke (upravljavec).
1. Obseg in navodila
Obdelovalec obdeluje osebne podatke samo na podlagi pisnih navodil, posredovanih po varnem kanalu in evidentiranih v evidencah dejavnosti obdelave upravljavca. revzper SAS potrdi prejem navodil in dokumentira vse ukrepe za zagotavljanje skladnosti, sprejete v odziv nanje. Obdelovalec zagotovi, da so se osebe, pooblaščene za obdelavo osebnih podatkov, zavezale k zaupnosti. Obdelovalec izvaja ustrezne tehnične in organizacijske ukrepe za zagotovitev ravni varnosti, ki ustreza tveganju. Obdelovalec pomaga upravljavcu pri zagotavljanju skladnosti z obveznostmi.
2. Izvorna koda in metapodatki repozitorija
Kadar jih upravljavec predloži v analizo, osebni podatki, obdelani v skladu s to pogodbo, vključujejo izvorno kodo in metapodatke repozitorija: poti do datotek, naslove potrditev, datume in števila ter konfiguracijske vrstice, ki lahko identificirajo sodelavce upravljavca, ter imena, številke procesov in začetne čase programov, ki se izvajajo na računalnikih upravljavca.
Sklic: GDPR čl. 28(3)
3. Brez usposabljanja na osebnih podatkih
revzper SAS osebnih podatkov, obdelanih v skladu s to pogodbo, ne uporablja za usposabljanje ali dodatno umerjanje modelov AI. Dodatno umerjanje modela za upravljavca zahteva ločeno pisno pogodbo z upravljavcem in se izvaja samo na podatkih, ki jih je upravljavec izrecno določil za ta namen. Edina izjema so povratne informacije, ki jih uporabnik pošlje prek aplikacije, potem ko za te povratne informacije označi ločeno polje, ki je vsakič neoznačeno in pri uporabniku nikoli ni označeno. revzper SAS te povratne informacije nato obdeluje kot upravljavec na podlagi uporabnikove privolitve: odstrani skrivnosti in podatke, ki identificirajo osebo, preden povratne informacije postanejo del nabora podatkov; ta nabor podatkov uporablja samo za preizkušanje, usposabljanje in dodatno umerjanje modelov AI, ki zagotavljajo funkcionalnosti platforme za vse uporabnike, nikoli pa modela, izdelanega za drugo stranko; usposabljanje lahko izvede ponudnik AI v Evropski uniji, ki deluje kot njegov obdelovalec, na podlagi pogodbe, ki temu ponudniku prepoveduje, da bi nabor podatkov uporabljal zase; vsako posamezno postavko pa hrani največ eno leto. Upravljavec ostaja odgovoren za to, da so njegovi uporabniki upravičeni do deljenja vsebine, ki jo pripnejo svojim povratnim informacijam.
Sklic: GDPR čl. 28(3)(a), GDPR čl. 28(10)
4. Ukrepi po prenehanju
Ob prenehanju te pogodbe ali na podlagi navodil upravljavca revzper SAS:
Privzeti ukrepi
- Izbriše vse osebne podatke v 30 dneh od prenehanja, razen če upravljavec pisno ne določi drugače.
- Na zahtevo upravljavca, podano v pisni obliki v 15 dneh od prenehanja, vrne vse osebne podatke upravljavcu v strukturirani, splošno uporabljani in strojno berljivi obliki.
- Upravljavcu predloži pisno potrdilo o zaključku izbrisa ali vračila, vključno z datumom in načinom izvedbe ukrepa.
- Upravljavcu na podlagi razumne zahteve omogoči preverjanje skladnosti s to določbo.
Dodatne obveznosti
- revzper SAS ne sme hraniti nobenih osebnih podatkov po zaključku zgoraj navedenih ukrepov, razen če to zahteva zakon.
Lokacija obdelave in pod-obdelovalci
Vsa obdelava osebnih podatkov v skladu s to pogodbo poteka v Evropski uniji. Osebni podatki gostujejo v Franciji (pariška regija) pri družbi Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Plačilne podatke obdeluje družba Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, kot samostojni upravljavec v skladu z njenimi lastnimi pogoji. Funkcionalnosti AI obdelujeta družbi Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, uvedbe v podatkovni coni Evropske unije na viru v Franciji) in Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, podatki gostujejo v Evropski uniji), kot pod-obdelovalca. Ponudnik AI, konfiguriran na zahtevo upravljavca, se upravljavcu imenuje pred uporabo. revzper SAS obvesti upravljavca pred vključitvijo katerega koli drugega pod-obdelovalca.
2. Ponudniki in modeli AI, ki jih izbere upravljavec
Kadar ima upravljavec ali uporabnik, ki deluje v njegovem imenu, funkcionalnost AI, ki jo zagotavlja ponudnik AI, konfiguriran z lastnim računom upravljavca ali uporabnika, oziroma model, ki se izvaja na lastni opremi upravljavca, tega ponudnika ali model angažira upravljavec in ni pod-obdelovalec revzper SAS; revzper SAS mu kvečjemu posreduje zahteve. Upravljavec je odgovoren za to izbiro, za svoj dogovor s tem ponudnikom in za zakonitost posledičnega prenosa osebnih podatkov, ne glede na vlogo uporabnika, ki je to izvedel, v storitvi, vključno z vlogo ustvarjalca ali skrbnika.
Sklic: GDPR čl. 24, GDPR čl. 28(2)