Угода про обробку даних

1. Визначення

Такі терміни, як контролер, обробник, субобробник, суб’єкт даних, персональні дані, обробка та порушення безпеки персональних даних, мають значення, надані UK GDPR і EU GDPR. «Закони про захист даних» означають UK GDPR, EU GDPR (Регламент 2016/679), Закон Великої Британії про захист даних 2018 року та будь-які інші застосовні закони про захист даних або конфіденційність.

2. Ролі та сфера застосування

Щодо персональних даних, які обробляються за угодою, Клієнт є контролером, а Clavio — обробником (або, якщо Клієнт сам є обробником для своїх кінцевих користувачів, Clavio є субобробником). Clavio обробляє персональні дані лише для надання та підтримки Сервісу. Предмет, тривалість, характер і мета обробки, види персональних даних та категорії суб’єктів даних описані нижче в Додатку A.

3. Обов’язки Обробника (стаття 28)

Clavio зобов’язується:

• Документовані вказівки — обробляти персональні дані лише за документованими вказівками Клієнта (включно з угодою та цим DPA), якщо закон не вимагає іншого; у такому разі Clavio, коли це дозволено законом, спершу повідомить Клієнта.
• Конфіденційність — забезпечити, щоб особи, уповноважені обробляти персональні дані, були пов’язані належним обов’язком конфіденційності.
• Безпека — впроваджувати технічні й організаційні заходи, описані в §6 та Додатку B (стаття 32).
• Субобробники — залучати субобробників лише відповідно до §5.
• Допомога з правами суб’єктів даних — враховуючи характер обробки, допомагати Клієнту належними заходами відповідати на запити суб’єктів даних (доступ, виправлення, видалення, обмеження, перенесення, заперечення).
• Допомога з дотриманням вимог — допомагати Клієнту забезпечувати дотримання статей 32–36 (безпека, повідомлення про порушення, оцінки впливу на захист даних і попередні консультації), враховуючи інформацію, доступну Clavio.
• Видалення або повернення — за вибором Клієнта видалити або повернути всі персональні дані після завершення надання послуг та видалити наявні копії, якщо закон не вимагає зберігання (див. §8).
• Аудити — надавати інформацію, потрібну для підтвердження дотримання статті 28, дозволяти аудити, зокрема перевірки, які проводить Клієнт або уповноважений ним аудитор, і сприяти їм за умови розумних заходів конфіденційності та безпеки.

4. Порушення безпеки персональних даних

Clavio повідомить Клієнта без невиправданої затримки після того, як дізнається про порушення безпеки персональних даних, що стосується персональних даних Клієнта, та надасть розумно доступну їй інформацію, щоб допомогти Клієнту виконати власні обов’язки повідомлення наглядових органів і суб’єктів даних за статтями 33 і 34.

5. Субобробники

Клієнт надає загальний дозвіл Clavio залучати субобробників для надання Сервісу. Поточні субобробники Clavio перелічені в нашій Політиці конфіденційності та наведені нижче. Clavio покладе на кожного субобробника зобов’язання щодо захисту даних, по суті еквівалентні зобов’язанням за цим DPA, і залишається відповідальною за виконання зобов’язань своїми субобробниками. Clavio повідомить Клієнта про заплановані зміни субобробників і надасть можливість заперечити з обґрунтованих причин захисту даних.

• Anthropic — покращення розшифрованого тексту за допомогою ШІ; обробляє розшифровки та вміст диктування.
• OpenAI (Whisper) — перетворення мовлення на текст; обробляє голосові записи.
• Groq — може забезпечувати перетворення мовлення на текст за відповідного налаштування; обробляє голосові записи та пов’язані дані інференсу відповідно до застосовних налаштувань керування даними облікового запису.
• Lemon Squeezy — обробка платежів і виставлення рахунків за підписку як Merchant of Record (офіційний продавець); обробляє дані облікового запису й ідентифікаційні дані (ім’я, електронну адресу), розрахункову та платіжну інформацію і країну для оподаткування.
• Apple — вхід і перевірка особи; обробляє дані облікового запису й ідентифікаційні дані.
• Google — вхід і перевірка особи; обробляє дані облікового запису й ідентифікаційні дані.
• Railway — хостинг застосунку та інфраструктура баз даних; може обробляти всі категорії, описані в Додатку A.
• GitLab — постачання програмного забезпечення та експлуатаційні інструменти; обробляє діагностичні й експлуатаційні дані.

6. Заходи безпеки (стаття 32)

Clavio підтримує належні технічні й організаційні заходи захисту персональних даних, зокрема: шифрування даних під час передавання (TLS); зберігання лише хешованих токенів автентифікації замість паролів; контроль доступу за принципом службової необхідності; використання надійних постачальників інфраструктури; експлуатаційні практики, спрямовані на постійне забезпечення конфіденційності, цілісності, доступності та стійкості Сервісу. Стислий опис цих заходів наведено в Додатку B.

7. Міжнародні передавання

Якщо обробка за цим DPA передбачає передавання персональних даних за межі Великої Британії або ЄЕЗ до країни без рішення про належність захисту, сторони погоджуються, що такі передавання здійснюються з належними гарантіями за статтею 46, а саме на підставі Стандартних договірних положень Європейської комісії (EU 2021/914) та, для передавань із Великої Британії, Угоди Великої Британії про міжнародне передавання даних / Доповнення Великої Британії, які цим включаються шляхом посилання та доповнюються відомостями з Додатків. Зазвичай ми підписуємо ці положення без узгодження змін.

8. Строк дії, видалення та повернення

Цей DPA діє доти, доки Clavio обробляє персональні дані від імені Клієнта. Після припинення чи закінчення строку надання Сервісу Clavio за вибором Клієнта видалить або поверне персональні дані Клієнта й видалить наявні копії з урахуванням коротких періодів ротації резервних копій та будь-яких вимог закону щодо зберігання.

9. Додаток A — Відомості про обробку

• Предмет і характер: надання сервісу голосового диктування з ШІ — записування, передавання, розшифрування та покращення диктування, а також керування обліковими записами й підписками.
• Мета: надання Сервісу Клієнту та його уповноваженим користувачам.
• Тривалість: протягом строку дії угоди плюс будь-який обмежений період завершення обробки за §8.
• Категорії суб’єктів даних: уповноважені користувачі Клієнта (наприклад, працівники або учасники команди).
• Види персональних даних: дані облікового запису й ідентифікаційні дані (ідентифікатор користувача, ім’я, електронна адреса, включно з адресами приватної ретрансляції Apple); голосові записи та розшифровки; інформація про підписку, рахунки й платежі (яку обробляє наш Merchant of Record, Lemon Squeezy), включно з країною для оподаткування; дані використання, діагностики, пристрою та ОС.
• Особливі категорії даних: голосові записи, які тимчасово обробляються для створення розшифровок; не використовуються для навчання моделей ШІ.

10. Додаток B — Заходи безпеки (стислий опис)

• Шифрування персональних даних під час передавання (TLS).
• Автентифікація через постачальників посвідчень, у яких виконано вхід; зберігання лише хешованих токенів, а не паролів.
• Контроль доступу до систем і даних на основі ролей та службової необхідності.
• Використання надійних постачальників інфраструктури та субобробників ШІ, які пройшли перевірку безпеки, на умовах захисту даних.
• Журналювання й моніторинг для виявлення подій безпеки та реагування на них, а також процедура повідомлення Клієнта про порушення безпеки персональних даних.
• Заходи для своєчасного відновлення доступності персональних даних і доступу до них після інциденту.

11. Контакти

Щоб запросити чи підписати цей DPA або поставити запитання про нього, зверніться до office@justetools.co.uk .