Niniejsza Umowa powierzenia przetwarzania danych ("Umowa powierzenia") stanowi część Regulaminu zawsze, gdy Klient jest administratorem lub podmiotem przetwarzającym dane osobowe zawarte w Treściach Klienta, a SMASHING DIVS przetwarza te dane w imieniu Klienta. Pojęcia z RODO, takie jak administrator, podmiot przetwarzający, dane osobowe, przetwarzanie, osoba, której dane dotyczą, i naruszenie ochrony danych osobowych, mają znaczenie nadane im w RODO.
23.1 Role, zakres i polecenia
Klient jest administratorem albo podmiotem przetwarzającym upoważnionym przez właściwego administratora. SMASHING DIVS jest podmiotem przetwarzającym albo dalszym podmiotem przetwarzającym. Przetwarzamy dane osobowe wyłącznie na udokumentowane polecenie Klienta, w tym na podstawie Regulaminu, sposobu korzystania z Usług i ich konfiguracji przez Klienta, formularza zamówienia oraz pisemnych instrukcji przekazanych w ramach wsparcia, chyba że inne przetwarzanie nakazuje prawo Unii lub państwa członkowskiego. Jeżeli prawo na to pozwala, poinformujemy Klienta przed przetwarzaniem wymaganym przez prawo. Niezwłocznie poinformujemy Klienta, jeżeli uznamy, że polecenie narusza przepisy o ochronie danych, i możemy wstrzymać dane przetwarzanie do czasu wyjaśnienia sprawy przez strony.
23.2 Obowiązki Klienta
Klient potwierdza, że jego polecenia są zgodne z prawem oraz że przekazał wszystkie wymagane informacje i uzyskał wszystkie niezbędne prawa i podstawy prawne. Klient będzie minimalizować dane osobowe, konfigurować odpowiedni dostęp i okresy przechowywania, odpowiadać osobom, których dane dotyczą, oraz nie będzie przekazywać danych szczególnych kategorii ani danych dotyczących wyroków skazujących i czynów zabronionych, chyba że przetwarzanie jest zgodne z prawem, niezbędne, poprzedzone oceną ryzyka i chronione odpowiednimi zabezpieczeniami.
23.3 Poufność
Zapewniamy, że osoby upoważnione do przetwarzania danych osobowych Klienta są zobowiązane do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy i mają do nich dostęp tylko w zakresie potrzebnym do pełnionej funkcji.
23.4 Bezpieczeństwo
Uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst, cele i ryzyka przetwarzania, utrzymujemy odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO. Obecne środki obejmują szyfrowanie TLS w transmisji; kontrolę dostępu na poziomie tożsamości, najemcy, roli i wiersza danych; dane dostępowe API i integracji o ograniczonym zakresie; ograniczony dostęp administratorów; rejestrowanie zdarzeń audytowych i operacyjnych; separację środowisk; kopie zapasowe i procedury odtwarzania; przegląd podatności i zależności oraz procedury reagowania na incydenty.
Klient odpowiada za bezpieczeństwo urządzeń końcowych, haseł, kluczy API, uprawnień, zgodność konfiguracji z prawem oraz własne kopie zapasowe lub eksporty. Możemy aktualizować środki wraz ze zmianą technologii i ryzyka, bez istotnego obniżenia ogólnego poziomu ochrony.
23.5 Dalsze podmioty przetwarzające
Klient udziela ogólnej pisemnej zgody na korzystanie przez nas z dalszych podmiotów przetwarzających wymienionych w Rejestrze podprocesorów oraz, zgodnie z procedurą opisaną w tej sekcji, z nowych lub zastępujących je dalszych podmiotów przetwarzających. Na każdy dalszy podmiot przetwarzający nakładamy, w drodze umowy lub innego instrumentu prawnego podlegającego prawu Unii lub państwa członkowskiego, te same obowiązki ochrony danych, jakie określa niniejsza Umowa powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi RODO. Ponosimy pełną odpowiedzialność wobec Klienta za wypełnianie przez każdy dalszy podmiot przetwarzający jego obowiązków ochrony danych.
Co najmniej 14 dni przed rozpoczęciem przetwarzania danych osobowych Klienta przez nowy lub zastępujący dalszy podmiot przetwarzający wyślemy wiadomość e-mail na adresy e-mail kont właścicieli i administratorów organizacji Klienta oraz odnotujemy zmianę w dzienniku zmian Rejestru podprocesorów. Zawiadomienie wskazuje dalszy podmiot przetwarzający, przetwarzanie, które będzie wykonywał, miejsce przetwarzania i zabezpieczenie przekazywania danych. W tym terminie 14 dni Klient może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, wysyłając wiadomość na adres hello@trumpets.ai. Po zgłoszeniu sprzeciwu nowy dalszy podmiot przetwarzający nie przetwarza danych osobowych tego Klienta, dopóki strony w dobrej wierze poszukują rozsądnego rozwiązania alternatywnego, takiego jak pozostawienie danej funkcji wyłączonej dla Klienta. Jeżeli takie rozwiązanie nie jest dostępne, Klient może rozwiązać umowę w zakresie danej funkcji lub Usługi, zanim nowy dalszy podmiot przetwarzający zacznie przetwarzać jego dane osobowe, a my zwrócimy opłaty uiszczone z góry za niewykorzystaną część okresu objętego rozwiązaniem.
23.6 Przekazywanie danych do państw trzecich
Nie przekazujemy danych osobowych Klienta poza EOG bez zgodnego z prawem mechanizmu przekazywania. Jeżeli przekazanie przez nas danych dalszemu podmiotowi przetwarzającemu wymaga standardowych klauzul umownych Komisji Europejskiej, zawrzemy z tym odbiorcą odpowiedni moduł i uzupełnimy wymagane opcje oraz informacje w załącznikach. Przeprowadzamy oceny skutków przekazania i stosujemy środki uzupełniające, gdy jest to wymagane, oraz wspieramy Klienta w tym zakresie. Polityka prywatności opisuje znane różnice w miejscu przetwarzania, w tym przy groundingu wyszukiwania i kierowaniu zapytań do modeli.
23.7 Pomoc
Uwzględniając charakter przetwarzania i dostępne nam informacje, w rozsądnym zakresie pomagamy Klientowi w obsłudze żądań osób, których dane dotyczą, w wypełnianiu obowiązków dotyczących bezpieczeństwa, ocenie naruszeń ochrony danych osobowych i zgłaszaniu ich, ocenach skutków dla ochrony danych oraz uprzednich konsultacjach z organem nadzorczym. Jeżeli osoba, której dane dotyczą, skontaktuje się z nami w sprawie danych osobowych Klienta, przekażemy jej żądanie Klientowi i nie udzielimy merytorycznej odpowiedzi, chyba że otrzymamy takie polecenie lub wymaga tego prawo.
23.8 Naruszenia ochrony danych osobowych
Bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych osobowych Klienta zawiadomimy o nim Klienta. W miarę uzyskiwania informacji przekażemy charakter naruszenia, możliwe konsekwencje, dotknięte dane i osoby, jeżeli są znane, punkt kontaktowy oraz środki zastosowane lub proponowane. Nasze zawiadomienie nie stanowi przyznania się do winy. Klient odpowiada za zgłoszenia, których musi dokonać jako administrator.
23.9 Zwrot i usunięcie danych
W trakcie obowiązywania umowy dostępne funkcje i zgłoszenia do wsparcia pozwalają usuwać lub eksportować określone dane. Po zakończeniu danej Usługi, zależnie od wyboru Klienta, usuniemy lub zwrócimy dane osobowe Klienta i usuniemy pozostałe kopie, chyba że prawo wymaga ich przechowywania. Dane mogą pozostawać w odizolowanych kopiach zapasowych do czasu ich zwykłej rotacji i mogą być przechowywane, gdy jest to niezbędne w związku z roszczeniami, w każdym przypadku chronione i wyłączone z dalszego zwykłego przetwarzania. Klient powinien zażądać zwrotu danych przed zamknięciem konta.
23.10 Wykazywanie zgodności i audyty
Udostępnimy informacje rozsądnie niezbędne do wykazania zgodności z art. 28 RODO i umożliwimy przeprowadzenie audytu przez Klienta lub niezależnego audytora zobowiązanego do zachowania poufności. Audyt należy co do zasady zgłosić co najmniej 30 dni wcześniej; może się on odbywać nie częściej niż raz w roku, nie może obejmować dostępu do danych innych klientów i nie może nadmiernie zakłócać Usług. Ograniczenia te nie mają zastosowania, gdy organ nadzorczy wymaga inaczej lub gdy wiarygodne dowody istotnego naruszenia uzasadniają dodatkowy audyt. Klient ponosi koszty audytu, chyba że audyt wykaże nasze istotne naruszenie.
23.11 Szczegóły przetwarzania
- Przedmiot. Świadczenie wybranych i skonfigurowanych przez Klienta usług agentów AI, workflow, przechowywania danych, współpracy, integracji, wsparcia i Aplikacji.
- Czas trwania. Okres świadczenia Usług oraz ograniczony okres usuwania, przechowywania kopii zapasowych i przechowywania wymaganego przez prawo opisany powyżej.
- Charakter i cel. Zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, pobieranie, przeglądanie, przesyłanie, generowanie, przekształcanie, tworzenie osadzeń (embeddings), porównywanie, ocenianie, udostępnianie, zabezpieczanie, wspieranie, usuwanie i inne przetwarzanie potrzebne do wykonania poleceń Klienta.
- Osoby, których dane dotyczą. Użytkownicy Klienta, personel, klienci, potencjalni klienci, wykonawcy, współpracownicy, użytkownicy końcowi, osoby odwiedzające strony internetowe, korespondenci, autorzy dokumentów i osoby, których dokumenty dotyczą, kandydaci do pracy, uczestnicy spraw oraz inne osoby, których dane przekazuje Klient.
- Dane osobowe. Identyfikatory, dane kontaktowe i zawodowe, dane kont i uprawnień, komunikacja, treść dokumentów i plików, prompty i Wyniki, dane o korzystaniu i dane techniczne, treści z integracji, dane dotyczące zatrudnienia i wykształcenia, nagrania audio lub głosu oraz wszelkie inne kategorie przekazane przez Klienta.
- Dane szczególne. Usługi nie są przeznaczone do identyfikacji biometrycznej ani prowadzenia dokumentacji medycznej, ale Treści Klienta mogą przypadkowo zawierać dane szczególnych kategorii lub dane dotyczące wyroków skazujących i czynów zabronionych. Klient musi stosować sekcję 23.2 i wszelkie dodatkowe zabezpieczenia wymagane przez prawo.
- Częstotliwość. Stała w odniesieniu do przechowywanych danych oraz za każdym razem, gdy przetwarzanie inicjuje Użytkownik, API, harmonogram, integracja, agent, workflow lub polecenie przekazane w ramach wsparcia.
23.12 Pierwszeństwo i odpowiedzialność
W swoim zakresie niniejsza Umowa powierzenia ma pierwszeństwo przed pozostałymi postanowieniami Regulaminu. W razie sprzeczności właściwe standardowe klauzule umowne mają pierwszeństwo przed niniejszą Umową powierzenia. Umowne ograniczenia odpowiedzialności obowiązują między stronami w dopuszczalnym zakresie, ale nie ograniczają praw osób, których dane dotyczą, ani odpowiedzialności, której zgodnie z RODO lub właściwymi standardowymi klauzulami umownymi strony nie mogą ograniczyć.