Цей Додаток про обробку даних («Додаток», DPA) є частиною Умов надання послуг, укладених між Soras Corporation LTD («Обробник», «ми») і Клієнтом («Контролер», «ви»). Він застосовується, коли ми від вашого імені обробляємо персональні дані, що містяться в Даних клієнта, відповідно до GDPR ЄС, GDPR Великої Британії, швейцарського FADP, а також — як постачальник послуг — CCPA/CPRA.
1. Обробка за вказівками
1.1 Ми обробляємо Дані клієнта лише за вашими задокументованими вказівками, якими є ці Умови, цей Додаток і використання вами функцій Сервісу, якщо закон не вимагає іншого (у такому разі ми попередньо повідомляємо вас, коли це дозволено).
1.2 Ми повідомляємо вас, якщо вважаємо, що певна вказівка порушує законодавство про захист даних.
1.3 Усі, кого ми уповноважуємо обробляти Дані клієнта, пов’язані зобов’язанням щодо конфіденційності.
2. Безпека
Ми впроваджуємо технічні та організаційні заходи, наведені в Додатку II, і підтримуємо їх відповідно до ризику.
3. Субобробники
3.1 Ви надаєте нам загальний дозвіл на залучення субобробників. Актуальний список наведено на сторінці Субобробники із зазначенням розташування кожного постачальника, механізму передачі даних і строку зберігання.
3.2 Ми повідомляємо щонайменше за 30 днів електронною поштою та на цій сторінці, перш ніж додати або замінити субобробника. Ви можете заперечити з обґрунтованих міркувань захисту даних, написавши на help@sorascorp.com протягом строку повідомлення. Якщо ми не можемо врахувати заперечення, ви можете припинити користування відповідним Сервісом і отримати пропорційне повернення передплачених коштів.
3.3 У надзвичайній ситуації (наприклад, у разі раптової відмови постачальника або інциденту безпеки) ми можемо замінити субобробника з коротшим строком повідомлення; у такому разі ми повідомляємо вас якомога швидше, і ваше право на заперечення зберігається.
3.4 Ми покладаємо на кожного субобробника зобов’язання щодо захисту даних, які забезпечують щонайменше такий самий рівень захисту, як цей Додаток, зокрема зобов’язання не навчати моделі ШІ на Даних клієнта, і залишаємося відповідальними за їх виконання.
4. Сприяння
З урахуванням характеру обробки ми допомагаємо вам відповідати на запити суб’єктів даних (Сервіс містить інструменти для експорту й видалення), а також у питаннях безпеки, повідомлення про порушення, оцінки впливу на захист даних і попередніх консультацій.
5. Порушення безпеки персональних даних
Ми повідомляємо вас без невиправданої затримки, а в будь-якому разі протягом 48 годин після того, як дізнаємося про порушення безпеки персональних даних, що стосується Даних клієнта, надаючи інформацію, потрібну для виконання ваших власних зобов’язань, і далі інформуємо вас про розвиток подій.
6. Видалення й повернення
Ви можете будь-коли експортувати Дані клієнта. Після припинення надання Сервісу ми видаляємо Дані клієнта протягом 30 днів після завершення строку експорту, передбаченого Умовами, якщо закон не вимагає їх зберігати. Резервні копії очищаються протягом наступних 30 днів.
7. Аудити
Ми надаємо інформацію, необхідну для підтвердження відповідності цьому Додатку, насамперед нашу документацію та відповіді на обґрунтовані опитувальники з безпеки. Якщо цього недостатньо, ви можете проводити аудит один раз на рік за власний рахунок, повідомивши за 30 днів, у робочий час, з дотриманням конфіденційності та без доступу до даних інших клієнтів.
8. Міжнародна передача даних
8.1 Якщо Дані клієнта передаються за межі ЄЕЗ, Великої Британії чи Швейцарії до країни, щодо якої немає рішення про адекватність, застосовуються Стандартні договірні положення, затверджені Європейською комісією: Modules 2 (controller to processor) and 3 (processor to processor). До передачі з Великої Британії та Швейцарії застосовуються Додаток Великої Британії щодо міжнародної передачі даних і зміни, необхідні відповідно до швейцарського законодавства.
8.2 Положення включено шляхом посилання з такими варіантами: застосовується Положення 7 (приєднання); Положення 9, варіант 2 (загальний дозвіл зі строком повідомлення, визначеним у розділі 3.2); необов’язкове формулювання Положення 11 не застосовується; Положення 17 і 18: право та суди Ірландії [юристу підтвердити]. Додатки I і II до цього Додатку про обробку даних доповнюють додатки до Положень.
9. CCPA/CPRA
Як постачальник послуг ми не продаємо й не передаємо (share) персональну інформацію, не зберігаємо, не використовуємо й не розкриваємо її поза межами наших прямих ділових відносин з вами або для будь-якої іншої мети, ніж надання Сервісу, і не поєднуємо її з іншими даними, крім випадків, дозволених CCPA. Ми засвідчуємо, що розуміємо ці обмеження й дотримуватимемося їх.
10. Без навчання моделей
Ми не використовуємо Дані клієнта для навчання чи донавчання моделей ШІ, і наші субобробники пов’язані таким самим зобов’язанням.
11. Відповідальність
Відповідальність кожної сторони за цим Додатком підпадає під обмеження відповідальності, встановлене Умовами. Ніщо в цьому Додатку не обмежує відповідальності будь-якої зі сторін перед суб’єктами даних відповідно до статті 82 GDPR або прав суб’єктів даних як третіх осіб-вигодонабувачів відповідно до Стандартних договірних положень.
12. Підписані примірники
Клієнти, яким потрібен примірник із підписом обох сторін, можуть запросити його на help@sorascorp.com. Підписаний примірник фіксується в обліковому записі.
Додаток I — Відомості про обробку
| Пункт | Відомості |
|---|---|
| Сторони | Контролер: Клієнт. Обробник: Soras Corporation LTD, буде уточнено, help@sorascorp.com |
| Суб’єкти даних | Аудиторія Клієнта (автори відгуків і коментарів, учасники інтерв’ю, респонденти опитувань, автори публічних дописів), а також працівники Клієнта, які користуються Сервісом |
| Категорії даних | Цитати й фрагменти тексту, псевдонімізовані імена авторів, позначки часу, URL-адреси джерел, завантажені файли та їхній вміст, згенеровані концепції й відповіді |
| Особливі категорії | Не передбачаються. Вони можуть випадково траплятися в публічних дописах; чи застосовується стаття 9(2)(e), визначає Контролер |
| Характер і мета | Зберігання, індексування, тегування, кластеризація, пошук і генерація тексту за вказівками Контролера для надання послуг із дослідження аудиторії та креативної аналітики |
| Тривалість | Строк дії договору плюс строки видалення, зазначені в розділі 6 |
| Періодичність | Постійно |
Додаток II — Технічні та організаційні заходи
- Ізоляція: дані кожного робочого простору відокремлено безпекою на рівні рядків, яка примусово застосовується в базі даних; на пошукові індекси поширюються ті самі правила.
- Шифрування: TLS під час передачі; облікові дані конекторів зашифровано за допомогою AES-256-GCM; секрети платформи запечатано окремо для кожного сервісу, що їх використовує; резервні копії шифруються до того, як залишають сервер.
- Контроль доступу: ролі бази даних із мінімально необхідними правами; паролі хешуються за допомогою Argon2id; консоль адміністрування з обов’язковою багатофакторною автентифікацією, додатковим підтвердженням для чутливих дій, можливістю списку дозволених IP-адрес і без доступу до вмісту клієнтів.
- Підзвітність: журнал аудиту лише з можливістю додавання записів, із ланцюжком хешів для адміністративних дій.
- Доступність і відновлення: безперервне архівування бази даних із відновленням на певний момент часу (цільова точка відновлення — 5 хвилин або менше), щонічні базові резервні копії та щотижневий зашифрований дамп, що зберігається 30 днів у буде уточнено; навчання з відновлення з вимірюванням часу відновлення.
- Хостинг: буде уточнено; публічний трафік потрапляє на сервери лише через зашифрований тунель.
- Пошуковий індекс: створюється на наших власних серверах; жоден сторонній сервіс векторизації не отримує Даних клієнта.
- Постачальники ШІ: лише постачальники, які зобов’язуються не навчатися на даних; суворий режим для окремого робочого простору обмежує обробку вибраними регіонами й постачальниками.