Accordo per il trattamento dei dati

Campo e Ruoli

Il Cliente è il titolare e Onur Öztürk, un singolo imprenditore che opera come Ozan Soft ("GenderAPI"), è il trattatore dei Dati Personali del Cliente inviati attraverso l'API, gli strumenti di elaborazione dei file o le funzioni di foglio elettronico collegati.

Ogni parte rimane responsabile in modo indipendente dei dati personali che elabora come controller, compresi l'amministrazione dell'account, della fatturazione e dei contatti aziendali da parte di GenderAPI.

Il cliente determina se i dati inviati rientrano nella categoria dei dati personali e ne assume la responsabilità in merito alla base giuridica, alle notifiche, ai permessi e alle istruzioni. Il cliente non deve inviare dati che il Servizio non è progettato per elaborare o utilizzare i risultati di inferenza come unica base per una decisione che produca effetti giuridici o analoghi di rilievo riguardo a una persona.

Istruzioni per il trattamento

GenderAPI tratterà i Dati personali del Cliente esclusivamente per fornire, garantire e supportare il Servizio in conformità con l'accordo, questo DPA, l'uso documentato del Servizio da parte del Cliente e la legge applicabile. GenderAPI informerà il Cliente se, secondo la sua valutazione ragionevole, un'istruzione viola la legge sulla protezione dei dati, a meno che la legge non proibisca tale notifica.

GenderAPI non vendere i Dati Personali del Cliente, non utilizzarli per l'annuncio comportamentale a contesto misto, non utilizzarli per formare il modello di inferenza privato, né conservarli nei log dell'IA. Le regole di conservazione previste nella Politica di Privacy costituiscono parte di queste istruzioni di elaborazione documentate.

Confidenzialità e Sicurezza

GenderAPI garantirà che le persone autorizzate a elaborare i Dati Personali del Cliente siano soggette a un dovere appropriato di confidenzialità e possano accedere ai dati solamente in quanto necessario per il loro compito assegnato. GenderAPI manderà misure tecniche e organizzative idonee alla natura del Servizio e ai rischi connessi all'elaborazione dei dati.

• Trasmissione protetta con TLS dei dati scambiati con il Servizio.
• Limitazioni d'accesso per i sistemi di produzione, i dati dei clienti e i backup a accesso limitato.
• Separazione e protezione delle credenziali di account e delle chiavi API di produzione.
• Registro degli eventi di sicurezza e tecnico soggetto al calendario di conservazione pubblicato.
• Backup rotativi con un periodo di sovrascrittura standard fino a 15 giorni.
• Elaborazione AI privata senza addestramento sui dati del cliente o registrazione dei prompt/result dell'AI.
• Procedimenti di minimizzazione e eliminazione dei dati allineati con il calendario di conservazione del Servizio.

Sottoprocessori

Il Cliente concede a GenderAPI una autorizzazione generale scritta all'uso dei fornitori identificati come sottoprocessori DPA nella pagina Sottoprocessori. GenderAPI richiederà a ciascun tale sottoprocessore di proteggere i Dati Personali del Cliente in base a obblighi sostanzialmente conformi a questo DPA, in base alle attività svolte dal sottoprocessore.

GenderAPI rimane responsabile dei suoi obblighi in base a questo DPA. I fornitori utilizzati esclusivamente per le attività di gestore di GenderAPI, come fatturazione o comunicazioni relative all'account, sono identificati separatamente e non vengono considerati elaboratori del Cliente semplicemente perché compaiono nell'elenco dei fornitori.

GenderAPI fornirà almeno 30 giorni di avviso anticipato attraverso la pagina dei subappaltatori, il Servizio o l'email del conto del Cliente prima di aggiungere o sostituire un subappaltatore che elaborerà i Dati personali del Cliente. Il Cliente può sollevare un'obiezione ragionevole e documentata in materia di protezione dei dati durante quel periodo.

I parti lavoreranno in buona fede per trovare una soluzione commerciabilmente ragionevole; in caso di inesistenza di una soluzione, il Cliente può interrompere l'utilizzo della funzionalità interessata.

Assistenza e incidenti relativi ai dati personali

Tenuto conto della natura del trattamento e delle informazioni a disposizione, GenderAPI fornirà assistenza ragionevole per richieste dei soggetti interessati, obblighi di sicurezza, comunicazioni relative a violazioni dei dati personali, valutazioni dell'impatto sulla protezione dei dati e consulenze richieste dalla legge applicabile in materia di protezione dei dati.

Se un soggetto dei dati contatta GenderAPI in merito ai Dati Personali del Cliente, GenderAPI può riferire la richiesta al Cliente a meno che la legge applicabile non richieda una risposta diretta.

GenderAPI notificherà il Cliente senza ritardo e, quando possibile, entro 48 ore dopo aver acquisito conoscenza di un evento di violazione dei dati personali confermato che riguarda i dati personali del Cliente. La notifica fornirà le informazioni disponibili e ragionevolmente necessarie per l'valutazione e le obbligazioni di notifica del Cliente. La notifica non costituisce un riconoscimento di colpa o di responsabilità.

Reso e Cancellazione

Durante il periodo di servizio, il Cliente può recuperare i risultati disponibili attraverso le funzioni di servizio supportate. In caso di chiusura del servizio, terminazione del trattamento in questione o richiesta di cancellazione valida, GenderAPI cancellerà o annullerà irreversibilmente i Dati personali del Cliente rimasti nei sistemi attivi entro 30 giorni, a meno che la legge applicabile non richieda la conservazione.

I dati rimossi dai sistemi attivi possono rimanere nei backup rotativi a accesso limitato per ulteriori 15 giorni prima dell'override automatico.

La conservazione legale di dati di fatturazione, transazioni, prevenzione del furto o controversie non autorizza l'uso continuo dei contenuti delle richieste del cliente o dei file caricati. Il calendario specifico per categoria previsto nella Policy di privacy continua a valere in caso in cui stabilisca un periodo più breve.

Informazioni e Auditi

GenderAPI fornirà all'Utente informazioni ragionevolmente necessarie per dimostrare il rispetto di questo DPA, inizialmente attraverso le attuali politiche, documentazione e una questionario di sicurezza ragionevole.

Se quell'informazione non è sufficiente per un obbligo legale, il Cliente può richiedere un'audizione proporzionata non più di una volta all'anno, a meno che non si verifichi un'eventuale violazione confermata o una richiesta formale del regolatore.

Un'audizione deve essere condotta con sufficiente anticipazione, durante orari di lavoro normali, senza esporre i dati di un altro cliente o compromettere la sicurezza. Il cliente assume i costi dell'audizione a meno che l'audizione non identifichi un grave violazione da parte di GenderAPI. Le parti concorderanno prima i termini di riservatezza e di ambito appropriati.

Trasferimenti internazionali

I dati personali del cliente possono essere elaborati in Turchia e, attraverso infrastrutture contrattualmente definite, negli Stati Uniti. GenderAPI utilizzerà meccanismi legalmente riconosciuti per il trasferimento, quando applicabile.

Se sono richiesti i clausole contrattuali standard dell'UE adottate dalla Decisione di esecuzione della Commissione (UE) 2021/914, il modulo del controllore verso il processore previsto in tale decisione viene incorporato in questo DPA e prevale su termini in conflitto per tale trasferimento. Le parti compieranno qualsiasi selezione o dettaglio dell'annesso legalmente richiesto per il loro specifico trasferimento quando eseguono il DPA.

Dettagli del trattamento

Oggetto e durata

Trattamento necessario per fornire GenderAPI durante l'utilizzo del Servizio da parte del Cliente e per le periodi limitati di eliminazione, backup, sicurezza e conservazione legale descritti in questo DPA e nella Policy di Privacy.

Natura e finalità

Ricezione, trasmissione, analisi e restituzione dei risultati per richieste API, file Excel o CSV caricati, e operazioni su fogli di calcolo collegati; oltre a hosting, sicurezza, risoluzione dei problemi e supporto correlati.

Category di soggetti dei dati

I individui i cui nomi, indirizzi e-mail, nomi utente o record correlati inviati dal Cliente; gli utenti, i dipendenti, i contatti o gli utenti finali del Cliente; e le persone rappresentate nei dati di foglio elettronico caricati o collegati.

Tipi di dati personali

Nomi, indirizzi e-mail, nomi utente, paese o contesto di localizzazione, campi del foglio di calcolo forniti dal cliente, risultato e informazioni di fiducia relativo al genere inferito, e dati limitati di richiesta, dispositivo, autenticazione e metadati di sicurezza necessari per il funzionamento del Servizio. Il cliente non deve inviare dati di categoria speciale a meno che non sia esplicitamente concordato per iscritto e legalmente autorizzato.