Tento Dodatek o zpracování údajů („DPA") tvoří součást Podmínek služby nebo jiné dohody („Dohoda") mezi Ablit („Ablit", „my") a zákazníkem, který jej přijímá („Zákazník", „vy"). Uplatní se vždy, když Ablit zpracovává osobní údaje vaším jménem při poskytování ablit.app, Ablit API, ABLIT CODE a souvisejících služeb („Služby"). Nabývá účinnosti, když jej přijmete v produktu, podepíšete kopii, nebo když na něj vaše Dohoda odkazuje, podle toho, co nastane dříve. Protipodepsaná kopie je k dispozici na vyžádání na help@ablit.app.
1. Definice
- Právo na ochranu osobních údajů znamená každý zákon, který se vztahuje na zpracování osobních údajů podle tohoto DPA, včetně GDPR (nařízení (EU) 2016/679), britského GDPR a Data Protection Act 2018, švýcarského FADP a amerických státních zákonů o ochraně soukromí.
- Osobní údaje Zákazníka znamenají osobní údaje obsažené v obsahu, který vy nebo vaši uživatelé odešlete do Služeb (prompty, soubory, kontext konverzace, vstupy a výstupy nástrojů) a který Ablit zpracovává vaším jménem.
- Údaje o účtu znamenají údaje o vás a vašich uživatelích jakožto zákaznících Ablit (účet, fakturace, záznamy o používání, podpora), které Ablit zpracovává jako nezávislý správce podle svých Zásad ochrany osobních údajů.
- Subdodavatel (další zpracovatel) znamená třetí stranu, kterou Ablit pověří zpracováním Osobních údajů Zákazníka.
- „Správce", „zpracovatel", „subjekt údajů", „osobní údaje", „zpracování" a „porušení zabezpečení osobních údajů" mají význam uvedený v GDPR.
2. Role, rozsah a pokyny
2.1 Role. Ve vztahu k Osobním údajům Zákazníka jste správcem (nebo zpracovatelem jednajícím pro jiného správce) a Ablit je vaším zpracovatelem (nebo subdodavatelem). Ve vztahu k Údajům o účtu je Ablit nezávislým správcem.
2.2 Pokyny. Ablit zpracovává Osobní údaje Zákazníka pouze na základě vašich doložených pokynů, kterými jsou: Dohoda, tento DPA, vaše používání Služeb a jejich nastavení a jakékoli další písemné pokyny, které poskytnete a které jsou slučitelné s Dohodou. Ablit může Osobní údaje Zákazníka zpracovávat jinak pouze tam, kde to vyžaduje zákon, přičemž v takovém případě vás nejprve informuje, pokud to zákon nezakazuje.
2.3 Podrobnosti o zpracování jsou v Příloze 1.
2.4 Nezákonné pokyny. Ablit vám sdělí, pokud podle jeho názoru pokyn porušuje Právo na ochranu osobních údajů, a může dotčené zpracování pozastavit, dokud nebude pokyn změněn.
2.5 Zabezpečení a agregovaná data. Ablit může zpracovávat Osobní údaje Zákazníka v rozsahu nezbytném k detekci a prevenci zneužití, podvodů a bezpečnostních incidentů a může vytvářet anonymizované, agregované statistiky, které nemohou identifikovat žádnou osobu, pro své vlastní zákonné účely.
3. Povinnosti Ablit
3.1 Důvěrnost. Osoby oprávněné zpracovávat Osobní údaje Zákazníka jsou vázány povinnostmi mlčenlivosti a dostávají odpovídající poučení.
3.2 Žádosti subjektů údajů. Ablit poskytuje nástroje a pomoc, které přiměřeně potřebujete k reakci na žádosti subjektů údajů. Pokud subjekt údajů kontaktuje Ablit přímo ohledně vašich údajů, Ablit jej odkáže na vás tam, kde vás dokáže identifikovat, a neodpovídá vlastním jménem s výjimkou případů, kdy to vyžaduje zákon.
3.3 Pomoc. S přihlédnutím k povaze zpracování a dostupným informacím pomáhá Ablit s vašimi povinnostmi týkajícími se zabezpečení, ohlašování porušení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace. Ablit může účtovat přiměřené náklady za pomoc, která přesahuje to, co Služby již poskytují.
3.4 Žádosti orgánů. Pokud veřejný orgán požaduje Osobní údaje Zákazníka, Ablit zpochybňuje žádosti, které považuje za nezákonné, zpřístupňuje pouze to, co je vyžadováno, a informuje vás, pokud to zákon nezakazuje.
4. Zabezpečení
4.1 Ablit zavádí a udržuje technická a organizační opatření uvedená v Příloze 2 a může je aktualizovat za předpokladu, že celková úroveň ochrany není během doby trvání podstatně snížena.
4.2 Sdílená odpovědnost. Jste odpovědní za bezpečnou konfiguraci Služeb, za přihlašovací údaje, klíče API a oprávnění, která vy a vaši uživatelé držíte, za to, co vaši uživatelé odešlou, a za zákonnost pokynů, které dáváte agentovi, včetně cílů, na které namíříte bezpečnostní nástroje.
5. Subdodavatelé (další zpracovatelé)
5.1 Oprávnění. Udělujete obecné písemné oprávnění pro Subdodavatele uvedené na stránce Trust v okamžiku, kdy přijímáte tento DPA, a pro ty, které Ablit přidá v souladu s tímto oddílem.
5.2 Změny. Ablit zveřejňuje doplnění a náhrady na stránce Trust nejméně 14 dní předtím, než nový Subdodavatel začne zpracovávat Osobní údaje Zákazníka, a pokud jste si vyžádali oznámení na help@ablit.app, zašle vám e-mail. Poskytovatelé modelů, které si sami vyberete v produktu, jednají na váš pokyn od okamžiku, kdy je vyberete.
5.3 Námitka. Proti novému Subdodavateli můžete vznést námitku z přiměřených důvodů ochrany osobních údajů v rámci lhůty pro oznámení. Pokud Ablit nemůže nabídnout přiměřenou alternativu, můžete dotčené Služby ukončit s vrácením předem zaplacených, nevyužitých poplatků za ně.
5.4 Přenesení povinností. Ablit ukládá každému Subdodavateli povinnosti ochrany osobních údajů, které nejsou méně ochranné než tento DPA, a zůstává odpovědný za jejich plnění.
6. Porušení zabezpečení osobních údajů
6.1 Ablit vás informuje bez zbytečného odkladu, a v každém případě do 72 hodin, poté co se dozví o porušení zabezpečení osobních údajů týkajícím se Osobních údajů Zákazníka, na e-mailovou adresu administrátora vašeho účtu.
6.2 Oznámení popisuje, pokud je známo, povahu porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky a přijatá nebo navrhovaná opatření. Informace mohou být poskytovány po fázích. Oznámení není přiznáním viny.
7. Vrácení a smazání
7.1 Během doby trvání můžete Osobní údaje Zákazníka ve Službách kdykoli smazat. Při ukončení Ablit smaže Osobní údaje Zákazníka do 30 dnů, pokud jste je předtím neexportovali nebo nepožádali o jejich vrácení v běžně používaném formátu před touto lhůtou.
7.2 Ablit může Osobní údaje Zákazníka uchovat tam, kde to vyžaduje zákon, pro účely fakturace, zabezpečení, daní, auditu nebo sporu, chráněné jako podle tohoto DPA, a pouze po dobu, kterou tento účel trvá.
7.3 Zálohy jsou izolovány od aktivního použití a přepisovány v rámci rotace záloh Ablit (v současnosti 7 dnů).
8. Mezinárodní přenosy
8.1 Vlastní systémy Ablit jsou v Evropské unii. Osobní údaje Zákazníka jsou přenášeny mimo EHP, Spojené království nebo Švýcarsko pouze Subdodavatelům uvedeným na stránce Trust, na základě rozhodnutí o odpovídající ochraně nebo vhodné záruky.
8.2 EHP. Tam, kde přenos není pokryt rozhodnutím o odpovídající ochraně, jsou do tohoto DPA začleněny standardní smluvní doložky (SCC) přijaté prováděcím rozhodnutím Komise (EU) 2021/914: Modul dva tam, kde jste správcem, a Modul tři tam, kde jste zpracovatelem, s možnostmi uvedenými v Příloze 3.
8.3 Spojené království. Britský Dodatek o mezinárodním přenosu údajů k SCC EU (verze B1.0) je začleněn pro přenosy podléhající britskému GDPR, s podrobnostmi v Příloze 3.
8.4 Švýcarsko. Pro přenosy podléhající švýcarskému FADP se uplatní SCC EU s úpravami vyžadovanými švýcarským Federálním komisařem pro ochranu údajů a informací.
8.5 V případě rozporu mezi tímto DPA a SCC nebo britským Dodatkem mají pro dotčený přenos přednost SCC nebo britský Dodatek.
9. Americké zákony o ochraně soukromí
Tam, kde se uplatní americký státní zákon o ochraně soukromí, jedná Ablit jako váš „poskytovatel služeb" nebo „zpracovatel". Ablit neprodává ani nesdílí Osobní údaje Zákazníka, neuchovává, nepoužívá ani nezpřístupňuje je mimo přímý obchodní vztah s vámi nebo pro jakýkoli účel jiný než plnění Služeb, nekombinuje je s údaji z jiných zdrojů kromě povolených případů a oznámí vám, pokud již nebude moci tyto povinnosti plnit. Můžete podniknout přiměřené kroky k zastavení a nápravě neoprávněného použití.
10. Informace a audity
10.1 Na písemnou žádost, nejvýše jednou za 12 měsíců, poskytuje Ablit informace přiměřeně nezbytné k prokázání souladu s tímto DPA: svou aktuální bezpečnostní dokumentaci, stránku Trust, shrnutí jakýchkoli hodnocení třetích stran, která má, a odpovědi na přiměřený bezpečnostní dotazník.
10.2 Tam, kde tyto informace nestačí ke splnění vašich zákonných povinností, můžete provést audit souladu Ablit jednou za 12 měsíců, nebo navíc po porušení zabezpečení osobních údajů nebo na žádost dozorového úřadu, prostřednictvím nezávislého auditora vázaného mlčenlivostí, s 30denní výpovědní lhůtou, během pracovní doby, na vaše náklady, aniž by došlo k narušení Služeb nebo vystavení údajů jiných zákazníků.
11. Vaše povinnosti a regulované údaje
11.1 Zaručujete, že máte zákonný základ a že jste poskytli oznámení a získali souhlasy požadované pro zpracování, které nařizujete, a že vaše pokyny jsou v souladu s Právem na ochranu osobních údajů.
11.2 Služby nejsou navrženy pro zvláštní kategorie osobních údajů (článek 9 GDPR), údaje trestní povahy nebo údaje dětí. Pokud takové údaje přesto odešlete, tento DPA se stále uplatní, ale za jejich zákonnost nesete odpovědnost vy.
11.3 Chráněné zdravotní informace podle HIPAA nelze odesílat, pokud není uzavřena samostatná smlouva o obchodním partnerství (business associate agreement).
12. Obecná ustanovení
12.1 Tento DPA má přednost před Dohodou pro zpracování Osobních údajů Zákazníka. Omezení a vyloučení odpovědnosti v Dohodě se uplatní na tento DPA, včetně SCC v rozsahu, v jakém to zákon umožňuje, a jakákoli odpovědnost podle tohoto DPA se započítává do limitu v Dohodě.
12.2 Tento DPA uzavíráte za sebe a za své přidružené subjekty, které používají Služby pod vaším účtem, a jednáte jako jejich jediné kontaktní místo.
12.3 Ablit může tento DPA aktualizovat tak, aby odrážel změny Práva na ochranu osobních údajů nebo Služeb, aniž by během doby trvání podstatně snížil ochranu Osobních údajů Zákazníka.
12.4 Tento DPA končí s Dohodou, nebo když Ablit přestane zpracovávat Osobní údaje Zákazníka, podle toho, co nastane později.
Příloha 1: Podrobnosti o zpracování
- Předmět: poskytování Služeb popsaných v Dohodě.
- Povaha a účel: ukládání a zpracování obsahu odeslaného vámi a vašimi uživateli; zasílání promptů a kontextu poskytovatelům AI modelů a médií za účelem generování výstupů; spouštění nástrojů (prohlížení webu, spouštění kódu, bezpečnostní nástroje, cloudové běhy, naplánované úlohy) na váš pokyn; ukládání konverzací, souborů, trasování a výsledků pro vás; poskytování API a CLI; zabezpečení a podpora Služeb.
- Doba trvání: doba trvání Dohody plus lhůta pro smazání v oddíle 7.
- Kategorie subjektů údajů: vaši uživatelé a administrátoři; osoby, jejichž údaje se objeví v obsahu, který odešlete (zaměstnanci, zákazníci, koncoví uživatelé, třetí strany).
- Kategorie osobních údajů: identifikátory a kontaktní údaje uživatelů; jakékoli osobní údaje obsažené v promptech, souborech, kontextu konverzace, vstupech a výstupech nástrojů; technické údaje o bězích.
- Zvláštní kategorie: nezamýšleny; viz oddíl 11.2.
- Frekvence: nepřetržitě, tak jak jsou Služby používány.
Příloha 2: Technická a organizační opatření
- Šifrování při přenosu. TLS pro každé spojení mezi uživateli, Službami a Subdodavateli; HTTP Strict Transport Security na veřejných doménách; TLS mezi aplikací a databází.
- Řízení přístupu. Přístup k produkčnímu prostředí je omezen na jmenované administrátory; servery přijímají SSH pouze s klíči a pouze z adres na seznamu povolených; administrátorské panely jsou dostupné pouze přes HTTPS. Přístup pro zákazníky je řízen uživatelskými účty, rolemi a klíči API s omezeným rozsahem.
- Přihlašovací údaje a tajemství. Hesla jsou ukládána jako solené scrypt hashe; klíče API jsou ukládány pouze jako hashe a zobrazeny jednou; přihlašovací údaje poskytovatelů žijí v konfiguraci prostředí, ne v kódu; tajemství jsou odstraněna z uložených trasování vykonávání.
- Izolace. Nástroje agenta, prohlížeče a bezpečnostní nástroje běží v kontejnerech pro jednotlivé konverzace se síťovými pravidly, která blokují soukromé sítě, interní služby Ablit a adresy cloudových metadat.
- Logování a monitorování. Centralizované metriky, logy a hlášení chyb na systémech hostovaných Ablit; kontroly stavu každých pět minut s upozorňováním administrátorů; incidenty zneužití a ochrany dětí upozorní člověka.
- Zálohy a odolnost. Noční dumpy databáze a denní zálohy serverů na úrovni poskytovatele, obojí rotované v 7denním cyklu; řízený, redundantní hosting pro aplikační vrstvu.
- Bezpečný vývoj. Revize kódu prostřednictvím pull requestů, automatizované build kontroly při každé změně, audity zranitelností závislostí a zveřejněný bezpečnostní kontakt (
/.well-known/security.txt). - Minimalizace a uchovávání údajů. Údaje o kartě se nikdy nedotknou systémů Ablit; smazání v produktu nabývá okamžité účinnosti v živé databázi; doby uchovávání jsou zveřejněny v Zásadách ochrany osobních údajů.
- Personál. Přístup k produkčnímu prostředí je omezen na osoby, které jej potřebují k provozu Služeb, pod povinnostmi mlčenlivosti.
- Správa subdodavatelů. Písemné smlouvy, zveřejněný seznam s lokalitami, předchozí oznámení změn.
- Reakce na incidenty. Definovaný proces pro třídění, zadržení, oznámení (oddíl 6) a přezkum po incidentu.
- Fyzické zabezpečení. Zajišťováno certifikovanými datovými centry poskytovatelů hostingu (Hetzner, cloudoví poskytovatelé Vercel).
Příloha 3: Podrobnosti o přenosu
- Vývozce údajů: Zákazník.
- Dovozce údajů: Ablit, pro Osobní údaje Zákazníka, které jménem Zákazníka přenáší Subdodavatelům mimo EHP; a každý takový Subdodavatel jako další dovozce podle vlastních SCC s Ablit.
- Doložka 7 (přistoupení): uplatní se.
- Doložka 9 (subdodavatelé): Možnost 2, obecné písemné oprávnění, 14denní oznámení.
- Doložka 11 (náprava): volitelné znění se neuplatní.
- Doložka 13 (dozor): dozorový úřad členského státu EU, kde je Zákazník usazen, jinak irský Úřad pro ochranu osobních údajů (Data Protection Commission).
- Doložka 17 (rozhodné právo): právo Irska (SCC vyžadují právo členského státu EU; samotná Dohoda se řídí právem Wyomingu).
- Doložka 18 (soudní příslušnost): soudy Irska pro spory podle SCC.
- Příloha I k SCC: Příloha 1 tohoto DPA. Příloha II k SCC: Příloha 2 tohoto DPA.
- Britský Dodatek: Tabulka 1 strany jako výše; Tabulka 2 SCC EU tak, jak jsou zde začleněny; Tabulka 3 výše uvedené Přílohy; Tabulka 4 kterákoli strana může Dodatek ukončit tak, jak je uvedeno v oddíle 19 Dodatku.