Umowa o przetwarzaniu danych

Zakres i role

Klient jest kontrolerem, a Onur Öztürk, jednostka prowadząca pod nazwą Ozan Soft ("GenderAPI"), jest przetwarzaczem danych osobowych Klienta przesyłanych przez API, narzędzia przetwarzania plików lub połączone funkcje arkuszy kalkulacyjnych.

Każda strona pozostaje niezależnie odpowiedzialna za dane osobowe, które przetwarza jako kontroler, w tym zarządzanie kontami, fakturami i kontaktami biznesowymi przez GenderAPI.

Klient określa, czy dane wysyłane są danymi osobowymi, oraz jest odpowiedzialny za ich podstawę prawną, powiadomienia, uprawnienia i instrukcje. Klient nie może wysyłać danych, które nie są przeznaczone do przetwarzania przez Usługę, ani używać wyników inferencji jako jedynego podstawy do podejmowania decyzji, które mają prawne lub podobne znaczenie dla osoby.

Instrukcje przetwarzania

GenderAPI przetwarza dane osobowe Klienta tylko w celu dostarczania, zapewnienia i wsparcia Usługi w sposób zgodny z umową, tym DPA, dokumentowanym użyciem Usługi przez Klienta oraz przepisów prawa. GenderAPI poinformuje Klienta, jeśli, w jego uzasadnionym zdaniu, instrukcja narusza przepisy o ochronie danych, chyba że prawo zabrania takiego powiadomienia.

GenderAPI nie sprzedaje Danych Osobowych Klienta, nie wykorzystuje ich do reklam w kontekście przekrojowym, nie wykorzystuje ich do nauki modelu inferencyjnego, ani nie zachowuje ich w logach AI. Zasady zachowania w Polityce Prywatności stanowią część tych dokumentowanych instrukcji przetwarzania.

Prawo do tajemnicy i bezpieczeństwo

GenderAPI zapewni, że osoby uprawnione do przetwarzania Danych Osobowych Klienta będą podlegały odpowiedniemu obowiązku tajemnicy i będą miały dostęp do danych tylko wtedy, gdy to konieczne dla ich przypisanych zadań. GenderAPI zachowuje odpowiednie środki techniczne i organizacyjne w zależności od charakteru Usługi oraz ryzyka przetwarzania danych.

• Bezpieczna transmisja danych w trakcie komunikacji z usługą (z wykorzystaniem TLS).
• Ograniczenia dostępu do systemów produkcyjnych, danych klientów oraz ograniczonych kopii zapasowych.
• Oddzielenie i ochrona danych kontor i kluczy API produkcyjnych.
• Logowanie zdarzeń i techniczne podlega wydanej specyfikacji dotyczącej trwałości.
• Przeprowadzanie bezpiecznych kopii z okresem nadpisu do 15 dni.
• Przetwarzanie AI w sposób prywatny bez treningu danych klienta ani logowania promptów/wyników AI.
• Procedury minimalizacji danych i ich usunięcia zgodne z planem zachowania usługi.

Podpracownicy

Klient udziela GenderAPI ogólnej pisemnej uprawnień do wykorzystywania dostawców wskazanych jako podpracownicy w sekcji Podpracownicy. GenderAPI będzie wymagał, aby każdy taki podpracownik chronił dane osobowe Klienta w zgodzie z obowiązками istotnie zgodnymi z tym DPA, w zakresie usług, które podpracownik wykonuje.

GenderAPI nadal ponosi odpowiedzialność za swoje obowiązki w ramach tego DPA. Dostawcy wykorzystywane wyłącznie do działań kontrolera GenderAPI, takich jak fakturacja lub komunikacja z kontami, są określone osobno i nie są traktowane jako przetwarzacze Klienta, mimo że występują w rejestrze dostawców.

GenderAPI dostarczy co najmniej 30-dniowego powiadomienia przez stronę Podprzetwarzacze, usługę lub e-mail konta Klienta przed dodaniem lub zastąpieniem podprzetwarzacza, który będzie przetwarzał dane osobowe Klienta. Klient może podnieść w tym okresie uzasadnioną, dokumentowaną opozycję w zakresie ochrony danych.

Strony będą działać w dobrej wierze w celu osiągnięcia rozwiązań komercyjnie uzasadnionych; w przypadku braku takiego rozwiązania Klient może zatrzymać używanie skutkującego funkcji.

Pomoc i incydenty danych osobowych

Uwzględniając charakter przetwarzania oraz dostępne informacje, GenderAPI zapewni odpowiednią pomoc w sprawach żądań dotyczących danych osobowych, obowiązków bezpieczeństwa, powiadomień o naruszeniu danych osobowych, ocenach wpływu na ochronę danych oraz konsultacjach wymaganych przez stosowne prawo o ochronie danych.

Jeśli podmiot danych kontaktuje się z GenderAPI dotyczącego Danych Osobowych Klienta, GenderAPI może przekazać żądanie Klientowi, chyba że przepisy prawa wymagają bezpośredniego odpowiedzi.

GenderAPI powiadomi Klienta bez nadmiernego opóźnienia i, w miarę możliwości, w ciągu 48 godzin po stwierdzeniu potwierdzonego przekazania danych osobowych dotykających danych osobowych Klienta. Powiadomienie zawiera dane, które są uzasadnione i potrzebne dla oceny Klienta oraz jego obowiązków powiadamiania. Powiadomienie nie stanowi przyznania się do błędów ani odpowiedzialności.

Powrót i usunięcie

Podczas okresu świadczenia usługi Klient może pobierać dostępne wyniki przez wspierane funkcje usługi. W przypadku zamknięcia konta, zakończenia przetwarzania lub ważnego żądania usunięcia, GenderAPI usunie lub nieodwracalnie anonimizuje dane osobowe Klienta pozostające w aktywnych systemach w ciągu 30 dni, chyba że prawo stosujące się wymaga ich zachowania.

Dane usunięte z aktywnych systemów mogą pozostać w ograniczonych dostępach w kaskadowych kopiach zapasowych przez maksymalnie 15 dodatkowych dni przed automatycznym zastąpieniem.

Przechowywanie prawne faktur, transakcji, rekordów zapobiegających kradzieży lub sporów nie daje uprawnień do dalszego użycia treści zapytań klienta lub załadowanych plików. Ryzykowne okresy określone w Polityce prywatności nadal są obowiązujące, gdy określają krótszy czas.

Informacje i audyty

GenderAPI dostarczy informacji, które są uzasadnione w celu udowodnienia spełnienia tego DPA, Klientowi, początkowo przez obecne polityki, dokumentację oraz odpowiedni wykaz bezpieczeństwa.

Jeśli te informacje są nie wystarczające dla obowiązku prawnego, Klient może złożyć proporcjonalny audit nie więcej niż raz w roku, chyba że następuje potwierdzone naruszenie lub żądanie regulatora w formie przewidywalnej.

Audyt musi być przeprowadzony z odpowiednim z góry powiadomieniem, w godzinach normalnej działalności, bez ujawniania danych innego klienta ani naruszenia bezpieczeństwa. Klient ponosi koszty audytu, chyba że audyt wykazuje poważne naruszenie przez GenderAPI. Strony zgodzą się najpierw na odpowiednie warunki poufności i zakresu.

Przekazywanie międzynarodowe

Dane osobowe Klienta mogą być przetwarzane w Turcji i, przez umówioną infrastrukturę, w Stanach Zjednoczonych. GenderAPI wykorzysta legalny mechanizm przekazywania w przypadku stosowania go.

Jeśli wymagane są Klauzule standardowe UE przyjęte przez Decyzję Wykonawczą Komisji (UE) 2021/914, odpowiedni moduł kontrolera do przetwarzacza jest włączony do tego DPA i wykazuje swoje przewagi nad konfliktującymi przepisami w zakresie tego przekazu. Strony uzupełniają wszelkie wyboru lub szczegóły załączników, które są wymagane prawem dla ich konkretnego przekazu, podczas wykonywania DPA.

Sposób przetwarzania

Temat i trwanie

Przetwarzanie wymagane do dostarczania GenderAPI podczas użycia Klientem Usługi oraz w zakresie ograniczonego usunięcia, kopii zapasowych, bezpieczeństwa i zachowania prawnych wskazanych w tym DPA i Polityce prywatności.

Charakter i cel

Odbieranie, przesyłanie, analiza oraz zwracanie wyników dla zapytań API, załadowanych plików Excel lub CSV, oraz operacji w sklepie arkuszy kalkulacyjnych, plus związane z tym usługi hostingowe, bezpieczeństwo, diagnoza i wsparcie.

Kategorie podmiotów danych

Osoby, których imiona, adresy e-mail, nazwy użytkowników lub powiązane rekordy wysyła klient; użytkownicy, osoby pracujące, kontakti lub końcowi użytkownicy klienta; oraz osoby przedstawione w załadowanych lub połączonej danych w formacie arkusza kalkulacyjnego.

Typy danych osobowych

Imiona, adresy e-mail, nazwy użytkowników, kraj lub kontekst lokalizacyjny, pola arkusza kalkulacyjnego dostarczone przez klienta, wynik i informacje o pewności wyznaczonej płeć, oraz ograniczona metadane żądania, urządzenia, autoryzacji i bezpieczeństwa potrzebne do działania Usługi. Klient nie może przesyłać danych specjalnych, chyba że jest to wyraźnie zgodne pisemnie i prawidłowo upoważnione.