Tento Dodatok o spracúvaní údajov ("DPA") tvorí súčasť Podmienok služby alebo inej dohody ("Dohoda") medzi Ablit ("Ablit", "my") a zákazníkom, ktorý ho prijme ("Zákazník", "vy"). Uplatňuje sa vždy, keď Ablit spracúva osobné údaje vo vašom mene pri poskytovaní ablit.app, Ablit API, ABLIT CODE a súvisiacich služieb ("Služby"). Nadobúda účinnosť, keď ho prijmete v produkte, podpíšete kópiu, alebo keď naňho odkazuje vaša Dohoda, podľa toho, čo nastane skôr. Spolupodpísaná kópia je dostupná na požiadanie na help@ablit.app.
1. Definície
- Právo na ochranu údajov znamená každý zákon, ktorý sa vzťahuje na spracúvanie osobných údajov podľa tohto DPA, vrátane GDPR (nariadenie (EÚ) 2016/679), UK GDPR a Data Protection Act 2018, švajčiarskeho FADP a zákonov o ochrane súkromia jednotlivých štátov USA.
- Osobné údaje Zákazníka znamenajú osobné údaje obsiahnuté v obsahu, ktorý vy alebo vaši používatelia odošlete do Služieb (prompty, súbory, kontext konverzácie, vstupy a výstupy nástrojov) a ktoré Ablit spracúva vo vašom mene.
- Údaje účtu znamenajú údaje o vás a vašich používateľoch ako zákazníkoch Ablit (účet, fakturácia, záznamy o používaní, podpora), ktoré Ablit spracúva ako nezávislý prevádzkovateľ podľa svojich Zásad ochrany súkromia.
- Subdodávateľ znamená tretiu stranu, ktorú Ablit poverí spracúvaním Osobných údajov Zákazníka.
- "Prevádzkovateľ", "sprostredkovateľ", "dotknutá osoba", "osobné údaje", "spracúvanie" a "porušenie ochrany osobných údajov" majú významy uvedené v GDPR.
2. Role, rozsah a pokyny
2.1 Role. Pre Osobné údaje Zákazníka ste prevádzkovateľom (alebo sprostredkovateľom konajúcim pre iného prevádzkovateľa) a Ablit je vaším sprostredkovateľom (alebo subdodávateľom). Pre Údaje účtu je Ablit nezávislým prevádzkovateľom.
2.2 Pokyny. Ablit spracúva Osobné údaje Zákazníka iba na základe vašich zdokumentovaných pokynov, ktorými sú: Dohoda, tento DPA, vaše používanie Služieb a ich nastavenia a akékoľvek ďalšie písomné pokyny, ktoré dáte a ktoré sú zlučiteľné s Dohodou. Ablit môže spracúvať Osobné údaje Zákazníka inak len tam, kde to vyžaduje zákon, pričom vám to najprv oznámi, pokiaľ to zákon nezakazuje.
2.3 Podrobnosti spracúvania sú v Prílohe 1.
2.4 Nezákonné pokyny. Ablit vám oznámi, ak podľa jeho názoru pokyn porušuje Právo na ochranu údajov, a môže pozastaviť dotknuté spracúvanie, kým sa pokyn nezmení.
2.5 Bezpečnosť a agregované údaje. Ablit môže spracúvať Osobné údaje Zákazníka v rozsahu potrebnom na odhaľovanie a predchádzanie zneužitiu, podvodom a bezpečnostným incidentom a môže vytvárať anonymizované, agregované štatistiky, ktoré nemôžu identifikovať žiadnu osobu, na vlastné zákonné účely.
3. Povinnosti Ablit
3.1 Dôvernosť. Osoby oprávnené spracúvať Osobné údaje Zákazníka sú viazané povinnosťami zachovávať dôvernosť a dostávajú primerané pokyny.
3.2 Žiadosti dotknutých osôb. Ablit poskytuje nástroje a pomoc, ktoré primerane potrebujete na reagovanie na žiadosti dotknutých osôb. Ak dotknutá osoba kontaktuje Ablit priamo ohľadom vašich údajov, Ablit ju odkáže na vás tam, kde vás dokáže identifikovať, a nereaguje vo vlastnom mene s výnimkou prípadov vyžadovaných zákonom.
3.3 Pomoc. S prihliadnutím na povahu spracúvania a dostupné informácie Ablit pomáha s vašimi povinnosťami v oblasti bezpečnosti, oznamovania porušení, posúdenia vplyvu na ochranu údajov a predchádzajúcej konzultácie. Ablit môže účtovať primerané náklady za pomoc, ktorá presahuje to, čo Služby už poskytujú.
3.4 Žiadosti orgánov. Ak verejný orgán požaduje Osobné údaje Zákazníka, Ablit napadne požiadavky, ktoré považuje za nezákonné, sprístupní iba to, čo sa vyžaduje, a upovedomí vás, pokiaľ to zákon nezakazuje.
4. Bezpečnosť
4.1 Ablit zavádza a udržiava technické a organizačné opatrenia uvedené v Prílohe 2 a môže ich aktualizovať za predpokladu, že počas trvania nedôjde k podstatnému zníženiu celkovej úrovne ochrany.
4.2 Zdieľaná zodpovednosť. Zodpovedáte za bezpečnú konfiguráciu Služieb, za prihlasovacie údaje, API kľúče a oprávnenia, ktoré vy a vaši používatelia máte, za to, čo vaši používatelia odošlú, a za zákonnosť pokynov, ktoré dávate agentovi, vrátane cieľov, na ktoré zameriavate bezpečnostné nástroje.
5. Subdodávatelia
5.1 Oprávnenie. Dávate všeobecné písomné oprávnenie pre Subdodávateľov uvedených na stránke Trust v čase, keď prijímate tento DPA, a pre tých, ktorých Ablit pridá v súlade s touto časťou.
5.2 Zmeny. Ablit zverejňuje pridania a nahradenia na stránke Trust aspoň 14 dní pred tým, ako nový Subdodávateľ spracuje Osobné údaje Zákazníka, a ak ste požiadali o oznámenie na help@ablit.app, pošle vám e-mail. Poskytovatelia modelov, ktorých si sami vyberiete v produkte, konajú na váš pokyn od okamihu, keď ich vyberiete.
5.3 Námietka. Proti novému Subdodávateľovi môžete namietať z odôvodnených dôvodov ochrany údajov v lehote na oznámenie. Ak Ablit nemôže ponúknuť primeranú alternatívu, môžete ukončiť dotknuté Služby s vrátením vopred zaplatených, nevyužitých poplatkov za ne.
5.4 Prenesenie povinností. Ablit ukladá každému Subdodávateľovi povinnosti v oblasti ochrany údajov, ktoré nie sú menej ochranné ako tento DPA, a zostáva zodpovedný za ich plnenie.
6. Porušenia ochrany osobných údajov
6.1 Ablit vás upovedomí bez zbytočného odkladu a v každom prípade do 72 hodín po tom, čo sa dozvie o porušení ochrany osobných údajov zasahujúcom Osobné údaje Zákazníka, na e-mailovej adrese administrátora vášho účtu.
6.2 Oznámenie opisuje, pokiaľ je známe, povahu porušenia, kategórie a približný počet dotknutých osôb a dotknutých záznamov, pravdepodobné následky a prijaté alebo navrhované opatrenia. Informácie môžu byť poskytnuté po fázach. Oznámenie nie je priznaním viny.
7. Vrátenie a vymazanie
7.1 Počas trvania môžete Osobné údaje Zákazníka v Službách kedykoľvek vymazať. Pri ukončení Ablit vymaže Osobné údaje Zákazníka do 30 dní, pokiaľ ste ich predtým neexportovali alebo nepožiadate o ich vrátenie v bežne používanom formáte pred tým.
7.2 Ablit môže uchovávať Osobné údaje Zákazníka tam, kde to vyžaduje zákon, na účely fakturácie, bezpečnosti, daní, auditu alebo sporov, chránené ako podľa tohto DPA, a iba tak dlho, ako tento účel trvá.
7.3 Zálohy sú izolované od aktívneho používania a prepisujú sa podľa rotácie záloh Ablit (v súčasnosti 7 dní).
8. Medzinárodné prenosy
8.1 Vlastné systémy Ablit sú v Európskej únii. Osobné údaje Zákazníka sa prenášajú mimo EHP, Spojeného kráľovstva alebo Švajčiarska iba Subdodávateľom uvedeným na stránke Trust, na základe rozhodnutia o primeranosti alebo primeranej záruky.
8.2 EHP. Tam, kde prenos nie je pokrytý rozhodnutím o primeranosti, sa do tohto DPA začleňujú štandardné zmluvné doložky (SCC) prijaté vykonávacím rozhodnutím Komisie (EÚ) 2021/914: Modul dva tam, kde ste prevádzkovateľom, a Modul tri tam, kde ste sprostredkovateľom, s možnosťami uvedenými v Prílohe 3.
8.3 Spojené kráľovstvo. Pre prenosy podliehajúce UK GDPR sa začleňuje UK International Data Transfer Addendum k EU SCC (verzia B1.0) s podrobnosťami v Prílohe 3.
8.4 Švajčiarsko. Pre prenosy podliehajúce švajčiarskemu FADP sa EU SCC uplatňujú s úpravami vyžadovanými švajčiarskym Spolkovým komisárom pre ochranu údajov a informácií.
8.5 V prípade rozporu medzi týmto DPA a SCC alebo UK Addendum majú SCC alebo UK Addendum prednosť pre dotknutý prenos.
9. Zákony o ochrane súkromia Spojených štátov
Tam, kde sa uplatňuje zákon o ochrane súkromia niektorého štátu USA, Ablit koná ako váš "poskytovateľ služieb" alebo "sprostredkovateľ". Ablit nepredáva ani nezdieľa Osobné údaje Zákazníka, neuchováva, nepoužíva ani nesprístupňuje ich mimo priameho obchodného vzťahu s vami ani na akýkoľvek iný účel než plnenie Služieb, nekombinuje ich s údajmi z iných zdrojov s výnimkou povoleného a upovedomí vás, ak už tieto povinnosti nedokáže plniť. Môžete prijať primerané kroky na zastavenie a nápravu neoprávneného použitia.
10. Informácie a audity
10.1 Na písomnú žiadosť, najviac raz za 12 mesiacov, poskytne Ablit informácie primerane potrebné na preukázanie súladu s týmto DPA: svoju aktuálnu bezpečnostnú dokumentáciu, stránku Trust, zhrnutia akýchkoľvek posúdení tretích strán, ktoré má, a odpovede na primeraný bezpečnostný dotazník.
10.2 Tam, kde tieto informácie nepostačujú na splnenie vašich zákonných povinností, môžete auditovať súlad Ablit raz za 12 mesiacov, alebo dodatočne po porušení ochrany osobných údajov či na žiadosť dozorného orgánu, prostredníctvom nezávislého audítora viazaného dôvernosťou, na 30-dňové oznámenie, počas pracovného času, na vaše náklady, bez narušenia Služieb alebo vystavenia údajov iných zákazníkov.
11. Vaše povinnosti a regulované údaje
11.1 Zaručujete, že máte zákonný základ a že ste poskytli oznámenia a získali súhlasy vyžadované pre spracúvanie, ktoré nariaďujete, a že vaše pokyny sú v súlade s Právom na ochranu údajov.
11.2 Služby nie sú navrhnuté pre osobitné kategórie osobných údajov (článok 9 GDPR), údaje o trestných činoch alebo údaje detí. Ak takéto údaje napriek tomu odošlete, tento DPA sa stále uplatňuje, ale zodpovednosť za ich zákonnosť nesiete vy.
11.3 Chránené zdravotné informácie podľa HIPAA nemožno odoslať, pokiaľ nie je zavedená samostatná business associate agreement.
12. Všeobecné
12.1 Tento DPA má prednosť pred Dohodou pri spracúvaní Osobných údajov Zákazníka. Obmedzenia a vylúčenia zodpovednosti v Dohode sa uplatňujú na tento DPA, vrátane SCC v rozsahu, v akom to zákon dovoľuje, a akákoľvek zodpovednosť podľa tohto DPA sa započítava do limitu v Dohode.
12.2 Tento DPA uzatvárate za seba a za svoje pridružené subjekty, ktoré používajú Služby pod vaším účtom, a konáte ako ich jediné kontaktné miesto.
12.3 Ablit môže aktualizovať tento DPA, aby zohľadnil zmeny v Práve na ochranu údajov alebo v Službách, bez podstatného zníženia ochrany Osobných údajov Zákazníka počas trvania.
12.4 Tento DPA končí spolu s Dohodou, alebo keď Ablit už nespracúva Osobné údaje Zákazníka, podľa toho, čo nastane neskôr.
Príloha 1: Podrobnosti spracúvania
- Predmet: poskytovanie Služieb opísaných v Dohode.
- Povaha a účel: ukladanie a spracúvanie obsahu odoslaného vami a vašimi používateľmi; posielanie promptov a kontextu poskytovateľom AI modelov a médií na generovanie výstupov; spúšťanie nástrojov (prehliadanie webu, spúšťanie kódu, bezpečnostné nástroje, cloudové behy, naplánované úlohy) na váš pokyn; ukladanie konverzácií, súborov, záznamov a výsledkov pre vás; poskytovanie API a CLI; zabezpečovanie a podpora Služieb.
- Trvanie: trvanie Dohody plus obdobie vymazania uvedené v časti 7.
- Kategórie dotknutých osôb: vaši používatelia a administrátori; osoby, ktorých údaje sa objavujú v obsahu, ktorý odošlete (zamestnanci, zákazníci, koncoví používatelia, tretie strany).
- Kategórie osobných údajov: identifikátory a kontaktné údaje používateľov; akékoľvek osobné údaje obsiahnuté v promptoch, súboroch, kontexte konverzácie, vstupoch a výstupoch nástrojov; technické údaje o behoch.
- Osobitné kategórie: nie sú zamýšľané; pozri časť 11.2.
- Frekvencia: nepretržitá, podľa toho, ako sa Služby používajú.
Príloha 2: Technické a organizačné opatrenia
- Šifrovanie pri prenose. TLS pre každé pripojenie medzi používateľmi, Službami a Subdodávateľmi; HTTP Strict Transport Security na verejných doménach; TLS medzi aplikáciou a databázou.
- Riadenie prístupu. Produkčný prístup je obmedzený na menovaných administrátorov; servery prijímajú SSH iba s kľúčmi a iba z povolených adries; administratívne panely sú dostupné iba cez HTTPS. Prístup pre zákazníkov sa riadi účtami jednotlivých používateľov, rolami a API kľúčmi s obmedzeným rozsahom.
- Prihlasovacie údaje a tajomstvá. Heslá sa ukladajú ako solené scrypt hashe; API kľúče sa ukladajú iba ako hashe a zobrazujú sa raz; prihlasovacie údaje poskytovateľov sú v konfigurácii prostredia, nie v kóde; tajomstvá sa z uložených záznamov vykonávania odstraňujú.
- Izolácia. Nástroje agenta, prehliadače a bezpečnostné nástroje bežia v kontajneroch pre jednotlivé konverzácie so sieťovými pravidlami, ktoré blokujú súkromné siete, interné služby Ablit a cloudové metadátové adresy.
- Logovanie a monitoring. Centralizované metriky, logy a hlásenie chýb na systémoch hostovaných Ablit; kontroly stavu každých päť minút s upozorňovaním administrátorov; incidenty zneužitia a ochrany detí upozornia osobu.
- Zálohy a odolnosť. Nočné výpisy databázy a denné zálohy serverov na úrovni poskytovateľa, obe rotované v 7-dňovom cykle; spravované, redundantné hostovanie pre aplikačnú vrstvu.
- Bezpečný vývoj. Preskúmanie kódu cez pull requesty, automatizované kontroly buildu pri každej zmene, audity zraniteľností závislostí a zverejnený bezpečnostný kontakt (
/.well-known/security.txt). - Minimalizácia a uchovávanie údajov. Údaje o kartách sa nikdy nedotknú systémov Ablit; vymazanie v produkte nadobúda účinnosť okamžite v živej databáze; obdobia uchovávania sú zverejnené v Zásadách ochrany súkromia.
- Personál. Prístup k produkcii je obmedzený na ľudí, ktorí ho potrebujú na prevádzku Služieb, pod povinnosťami zachovávať dôvernosť.
- Správa subdodávateľov. Písomné dohody, zverejnený zoznam s lokalitami, predchádzajúce oznámenie o zmenách.
- Reakcia na incidenty. Definovaný proces pre triáž, zadržanie, oznámenie (časť 6) a preskúmanie po incidente.
- Fyzická bezpečnosť. Poskytovaná certifikovanými dátovými centrami hostingových poskytovateľov (Hetzner, cloudoví poskytovatelia Vercel).
Príloha 3: Podrobnosti prenosu
- Vývozca údajov: Zákazník.
- Dovozca údajov: Ablit, pre Osobné údaje Zákazníka, ktoré prenáša Subdodávateľom mimo EHP v mene Zákazníka; a každý takýto Subdodávateľ ako ďalší dovozca podľa vlastných SCC s Ablit.
- Doložka 7 (docking): uplatňuje sa.
- Doložka 9 (subdodávatelia): Možnosť 2, všeobecné písomné oprávnenie, 14-dňové oznámenie.
- Doložka 11 (náprava): voliteľné znenie sa neuplatňuje.
- Doložka 13 (dohľad): dozorný orgán členského štátu EÚ, v ktorom je Zákazník usadený, inak írsky Data Protection Commission.
- Doložka 17 (rozhodné právo): právo Írska (SCC vyžadujú právo niektorého členského štátu EÚ; samotná Dohoda sa riadi právom Wyomingu).
- Doložka 18 (súdna príslušnosť): súdy Írska pre spory podľa SCC.
- Príloha I k SCC: Príloha 1 tohto DPA. Príloha II k SCC: Príloha 2 tohto DPA.
- UK Addendum: Tabuľka 1 strany ako vyššie; Tabuľka 2 EU SCC tak, ako sú tu začlenené; Tabuľka 3 Prílohy vyššie; Tabuľka 4 ktorákoľvek strana môže ukončiť Addendum tak, ako je uvedené v časti 19 Addenda.