Avtal om behandling av personuppgifter
Inledning
Detta avtal reglerar behandlingen av personuppgifter av revzper SAS (personuppgiftsbiträdet) på kundens (den personuppgiftsansvariges) vägnar.
1. Omfattning och instruktioner
Personuppgiftsbiträdet ska endast behandla personuppgifter enligt skriftliga instruktioner som tillhandahålls via en säker kanal och dokumenteras i den personuppgiftsansvariges register över behandling. revzper SAS ska bekräfta mottagandet av instruktionerna och dokumentera alla efterlevnadsåtgärder som vidtas som svar på dessa. Personuppgiftsbiträdet ska säkerställa att personer som har rätt att behandla personuppgifter har åtagit sig att iaktta konfidentialitet. Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Personuppgiftsbiträdet ska bistå den personuppgiftsansvarige med att säkerställa efterlevnaden av skyldigheterna.
2. Källkod och metadata för kodarkiv
När den personuppgiftsansvarige lämnar in dem för analys omfattar de personuppgifter som behandlas enligt detta avtal källkod och metadata för kodarkiv: filsökvägar, ämnen för ändringar, datum och antal samt konfigurationsrader, som kan identifiera den personuppgiftsansvariges bidragsgivare, samt namn, processnummer och starttider för program som körs på den personuppgiftsansvariges datorer.
Ref: GDPR Art. 28(3)
3. Ingen träning på personuppgifter
revzper SAS använder inte personuppgifter som behandlas enligt detta avtal för att träna eller finjustera AI-modeller. Finjustering av en modell för den personuppgiftsansvarige kräver ett separat skriftligt avtal med den personuppgiftsansvarige och utförs endast på uppgifter som den personuppgiftsansvarige uttryckligen har angett för detta ändamål. Det enda undantaget är feedback som en användare skickar via en applikation efter att, för denna feedback, ha kryssat i en separat ruta som varje gång är avmarkerad och aldrig är ikryssad för användaren. revzper SAS behandlar därefter denna feedback som personuppgiftsansvarig, på grundval av användarens samtycke: företaget tar bort hemligheter och uppgifter som identifierar en person innan feedbacken införs i en datamängd; företaget använder denna datamängd endast för att testa, träna och finjustera de AI-modeller som tillhandahåller plattformens funktioner för alla användare, aldrig en modell som byggts för en annan kund; företaget kan låta en AI-leverantör i Europeiska unionen, som agerar personuppgiftsbiträde åt företaget, utföra träningen enligt ett avtal som förbjuder leverantören att använda datamängden för egen räkning; och företaget sparar varje objekt i högst ett år. Den personuppgiftsansvarige förblir ansvarig för att dess användare har rätt att dela det innehåll som de bifogar till sin feedback.
Ref: GDPR Art. 28(3)(a), GDPR Art. 28(10)
4. Åtgärder efter avtalets upphörande
När detta avtal eller den personuppgiftsansvariges instruktioner upphör ska revzper SAS:
Standardåtgärder
- Radera alla personuppgifter inom 30 dagar från upphörandet, om inte den personuppgiftsansvarige skriftligen instruerar annat.
- Återlämna alla personuppgifter till den personuppgiftsansvarige i ett strukturerat, allmänt använt och maskinläsbart format, om den personuppgiftsansvarige begär detta skriftligen inom 15 dagar från upphörandet.
- Tillhandahålla en skriftlig bekräftelse till den personuppgiftsansvarige som bekräftar att raderingen eller återlämnandet har slutförts, inklusive datum och metod för åtgärden.
- Tillåta den personuppgiftsansvarige att på skälig begäran verifiera efterlevnaden av denna klausul.
Ytterligare skyldigheter
- revzper SAS får inte behålla några personuppgifter efter att ovanstående åtgärder har slutförts, om inte detta krävs enligt lag.
Plats för behandling och underbiträden
All behandling av personuppgifter enligt detta avtal äger rum inom Europeiska unionen. Personuppgifter lagras i Frankrike (Parisregionen) av Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Betalningsuppgifter behandlas av Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, som en självständig personuppgiftsansvarig enligt sina egna villkor. AI-funktioner behandlas av Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, driftsättningar i datazonen Europeiska unionen på en resurs i Frankrike) och av Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, uppgifter lagrade i Europeiska unionen), som underbiträden. En AI-leverantör som konfigureras på den personuppgiftsansvariges begäran namnges för den personuppgiftsansvarige innan användning. revzper SAS informerar den personuppgiftsansvarige innan något annat underbiträde anlitas.
2. AI-leverantörer och modeller som den personuppgiftsansvarige valt
När den personuppgiftsansvarige, eller en användare som agerar för dess räkning, har en AI-funktion som tillhandahålls av en AI-leverantör som har konfigurerats med den personuppgiftsansvariges eller användarens eget konto, eller av en modell som körs på den personuppgiftsansvariges egen utrustning, anlitas denna leverantör eller modell av den personuppgiftsansvarige och är inte ett underbiträde till revzper SAS; revzper SAS vidarebefordrar som mest förfrågningarna till denna. Den personuppgiftsansvarige ansvarar för detta val, för sitt avtal med denna leverantör och för att den resulterande överföringen av personuppgifter är laglig, oavsett vilken roll den användare som gjorde valet har i tjänsten, inklusive skapare eller administratör.
Ref: GDPR Art. 24, GDPR Art. 28(2)