Угода про обробку даних

1. Сторони і як укладається ця угода

Ця Угода про обробку даних («DPA») регулює обробку персональних даних, яку Sintoralabs OÜ, реєстраційний код 17456201, Narva mnt 7-636, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia («Sintora», «ми», процесор), здійснює від імені клієнта («ви», контролер) під час надання платформи Sintora.

Вона є частиною договору між нами: прийняття Умов користування або підписання форми замовлення, яка на них посилається, вводить цю DPA в дію без окремого підпису. Якщо ваш закупівельний процес вимагає підписаного примірника, ми підпишемо його на запит — умови ті самі.

Якщо ви виступаєте процесором для власних клієнтів, щодо нас ви є контролером, а ми діємо як ваш субпроцесор. Наведені нижче зобовʼязання застосовуються без змін, і ви залишаєтесь відповідальними за наявність повноважень давати нам вказівки.

2. Предмет, тривалість, характер і мета

Ми обробляємо персональні дані виключно для того, щоб надавати, підтримувати, захищати й обслуговувати платформу, і лише доки чинний договір між нами. Обробка охоплює операції, потрібні для роботи сервісу: збирання, реєстрацію, організацію, структурування, зберігання, пошук, використання, розкриття шляхом передавання, обмеження, стирання та знищення.

Характер і мета обробки, категорії даних і субʼєктів даних та тривалість викладені в Annex 1. Цей додаток є частиною цієї DPA.

3. Ролі сторін

Ви визначаєте цілі та засоби обробки персональних даних, які завантажуєте в платформу, і є контролером щодо них. Ми обробляємо ці дані від вашого імені і є процесором.

Окремо ми діємо як контролер щодо обмеженого набору даних, потрібних нам для власних цілей: ваші облікові та платіжні записи, журнали безпеки й аудиту та агреговані статистичні дані користування, які не ідентифікують субʼєкта даних. Ця обробка описана в нашій Політиці приватності й не регулюється цією DPA.

4. Ваші вказівки

Ми обробляємо персональні дані лише за вашими задокументованими вказівками — крім випадків, коли інше вимагається правом Союзу або держави-члена; тоді ми повідомимо вас до початку обробки, крім випадків, коли таке право це забороняє.

Вашими вказівками є: ця DPA, договір між нами й конфігурація, яку ви задаєте в продукті, — налаштування, ролі, параметри зберігання, інтеграції та маршрутизація, які ви вмикаєте, самі по собі є вказівками. Письмові запити з будь-якої вашої уповноваженої адреси також вважаються вказівками.

Якщо ми вважаємо, що вказівка порушує законодавство про захист даних, ми невідкладно повідомимо вас із обґрунтуванням і можемо призупинити виконання цієї вказівки, доки її не підтвердять або не замінять. Ми не використовуватимемо ваші персональні дані для власних цілей чи для маркетингу і не розкриватимемо їх третім сторонам інакше, ніж дозволяє ця DPA.

5. AI-функції та тренування моделей

Платформа містить AI-функції, які підсумовують розмови, готують чернетки контенту, пропонують завдання й підсвічують ризики. Персональні дані, які обробляють ці функції, обробляються для вас і за цією DPA — на тих самих засадах, що й решта сервісу.

Ми не використовуємо ваш контент, ваші запити чи згенерований для вас вивід для тренування, донавчання чи покращення жодної генеративної моделі — ні нашої, ні сторонньої. Там, де інференс моделі виконує субпроцесор, він зв’язаний тим самим обмеженням і зазначений у Annex 2.

Ми можемо використовувати агреговані й знеособлені статистичні дані — кількості, затримки, частоту помилок — для роботи та вдосконалення сервісу, за умови що їх неможливо приписати ні вам, ні жодному субʼєкту даних.

За AI Act ми є провайдером тих AI-функцій, які надаємо під власним іменем, а ви — розгортачем, коли застосовуєте їх у власній діяльності. Кожна роль несе власні обовʼязки за Регламентом безпосередньо, і жодна зі сторін не може перекласти свої на іншу домовленістю. Залежно від того, як розгорнуто функцію — зокрема якщо ви робите її доступною власним клієнтам, гостям чи орендарям, — у вас можуть виникати власні обовʼязки прозорості за статтею 50. Ми надаємо продуктові розкриття та засоби, аби підтримати вас у їх виконанні, а наша сторінка про прозорість AI пункт за пунктом викладає, які з цих обовʼязків ми читаємо як свої. Чого саме вимагає від вас ваш регулятор для вашого розгортання — визначаєте ви.

Схем тут дві, і різниця між ними має значення, тож ми викладаємо обидві, а не описуємо одну.

Для вбудованих у платформу AI-функцій — серед них AI-агенти й контентні інструменти — інференс виконується на нашому власному акаунті в провайдера інференсу. Цей провайдер є нашим субпроцесором, він названий у Annex 2 і зв’язаний наведеною вище забороною на тренування через умови нашого договору з ним. Розробник моделі, ваги якої той виконує, є окремою стороною і нашим субпроцесором не є, бо жоден ваш контент до нього не потрапляє; чому саме — сказано в абзаці під Annex 2. Якщо провайдер заснований за межами ЄЕЗ, механізм передачі для нього зазначений у Annex 2.

Якщо ви підключаєте провайдера AI через власний акаунт — сьогодні так працює Companion, — інференс виконується на вашому акаунті в цього провайдера. Характер відносин обробки залежить від вашої конфігурації та вашої угоди з цим провайдером; ми не використовуємо власний акаунт провайдера для цього маршруту інференсу, а строки зберігання й практики моніторингу зловживань, що до нього застосовуються, визначають ваші відносини з ним.

AI-функції можна вимкнути для вашого тенанта. Попросіть нас — і ми їх вимкнемо; жодна функція не залежить від них у своїй роботі.

6. Конфіденційність персоналу

Кожен, кого ми уповноважуємо обробляти персональні дані, звʼязаний обовʼязком конфіденційності — за договором або за законом, — який діє й після завершення співпраці. Доступ надається за роллю, за принципом службової потреби, і невідкладно скасовується у разі звільнення чи зміни ролі.

7. Безпека обробки

Ми впроваджуємо й підтримуємо технічні та організаційні заходи, викладені в Annex 3, відповідні ризику, як цього вимагає ст. 32 GDPR. Ці заходи охоплюють шифрування під час передавання й у стані спокою, контроль доступу, розділення середовищ, резервне копіювання та відновлення, керування вразливостями, журналювання й реагування на інциденти.

Ми можемо оновлювати ці заходи в міру того, як змінюються платформа й ландшафт загроз, за умови що загальний рівень захисту не знижується.

8. Субпроцесори

Ви надаєте нам загальний письмовий дозвіл залучати субпроцесорів. Чинний перелік наведено в Annex 2, який ми підтримуємо в актуальному стані й публікуємо тут.

Перш ніж новий субпроцесор почне обробляти ваші персональні дані, ми надішлемо вам попереднє письмове повідомлення. Строк попередження підлягає підтвердженню й буде записаний у цьому розділі. Доки цього не сталося, ми повідомляємо настільки завчасно, наскільки це розумно можливо за обставин. Протягом строку попередження ви можете заперечити з обґрунтованих підстав захисту даних. Якщо ви заперечите, ми сумлінно працюватимемо з вами, щоб запропонувати альтернативу; якщо альтернативи не знайдено протягом того самого строку від вашого заперечення, ви можете припинити відповідну частину сервісу без штрафних санкцій і отримати пропорційне повернення передплачених за неї коштів.

Кожен субпроцесор звʼязаний письмовими умовами, які покладають на нього зобовʼязання щодо захисту даних щонайменше настільки ж захисні, як у цій DPA. Ми залишаємось повністю відповідальними перед вами за їхні дії та бездіяльність, як за власні.

Щоб отримувати повідомлення про зміни, напишіть на info@sintora.ai — ми повідомимо на вказану вами адресу до того, як перелік зміниться, а не після.

9. Міжнародні передачі

За замовчуванням ми тримаємо дані клієнтів у межах Європейського економічного простору. Якщо передача до третьої країни необхідна, вона спирається на механізм, визнаний главою V GDPR: рішення про адекватність або Стандартні договірні положення, ухвалені Комісією Рішенням (ЄС) 2021/914, у модулі, відповідному для цієї передачі, які включені до цієї DPA шляхом посилання.

Там, де застосовуються ці Положення, доступна клауза приєднання, застосовним правом є естонське, а компетентним наглядовим органом — естонська Інспекція із захисту даних.

На запит ми надамо інформацію, яка обґрунтовано потрібна вам для проведення оцінки впливу передачі, і застосуємо додаткові технічні заходи там, де цього вимагає така оцінка.

10. Допомога у виконанні ваших обовʼязків

З урахуванням характеру обробки та доступної нам інформації ми допомагатимемо вам із таким:

• Запити субʼєктів даних — доступ, виправлення, стирання, обмеження, переносимість і заперечення. Продукт містить інструменти експорту й видалення, тож більшість запитів ви можете відпрацювати самі; там, де потрібні ми, ми відповідаємо протягом 10 робочих днів і завжди вчасно, щоб ви встигли у власний встановлений законом строк.
• Запити, які ми отримуємо безпосередньо від субʼєкта даних, — ми передаємо їх вам без невиправданої затримки і не відповідаємо по суті без ваших задокументованих вказівок, крім випадків, коли цього вимагає від нас закон.
• Безпека обробки за ст. 32, оцінки впливу на захист даних за ст. 35 і попередні консультації за ст. 36 — надаючи інформацію, яку ми маємо про наші заходи, ризики й субпроцесорів.
• Запити органів влади — там, де це юридично дозволено, ми спершу повідомляємо вас, розкриваємо лише необхідний мінімум і оскаржуємо запити, які є явно незаконними або надмірними.

11. Порушення захисту персональних даних

Ми повідомимо вас без невиправданої затримки і в будь-якому разі протягом 72 годин після того, як дізнаємось про порушення захисту персональних даних, що стосується персональних даних, які ми обробляємо для вас.

У повідомленні буде описано характер порушення і, де це можливо, категорії та приблизну кількість відповідних субʼєктів даних і записів; ймовірні наслідки; вжиті або запропоновані заходи для усунення порушення й помʼякшення його наслідків; а також контактний пункт для отримання додаткової інформації. Якщо повна картина недоступна одразу, ми надаватимемо її частинами в міру її прояснення.

Ми допомагатимемо вам виконувати ваші власні обовʼязки за ст. 33 і 34 GDPR і не повідомлятимемо наглядовий орган чи субʼєктів даних від вашого імені — крім випадків, коли ви самі нас про це попросите або коли цього вимагає від нас закон.

12. Аудити та перевірки

Ми надаватимемо інформацію, необхідну для підтвердження дотримання цієї DPA, а також дозволятимемо аудити, зокрема перевірки, що їх проводите ви або уповноважений вами аудитор, і сприятимемо їх проведенню.

На практиці це означає, у порядку від найменш обтяжливого: наша документація з безпеки та заповнені анкети на запит; звіт незалежного аудиту або сертифікація, якщо такі є, — наданням такого звіту наші зобовʼязання за цим розділом вважаються виконаними на період і в межах, які він охоплює; і, якщо ці шляхи не відповідають на ваше питання, аудит, що проводиться не частіше ніж раз на 12 місяців, з письмовим попередженням за 30 днів, у робочий час, з дотриманням конфіденційності й без доступу до даних інших клієнтів.

Витрати на аудит несете ви — крім випадку, коли аудит виявляє суттєве порушення цієї DPA з нашого боку; тоді обґрунтовані витрати на аудит і на усунення порушення несемо ми. Наглядовий орган, що реалізує власні повноваження, цим розділом не обмежений.

13. Повернення й видалення

Ви можете будь-коли протягом строку дії договору експортувати свої дані у структурованому, широковживаному, машинозчитуваному форматі — прямо з продукту.

Після припинення договору ми тримаємо дані доступними для експорту 30 днів. Після цього ми видаляємо їх з активних систем. Копії, що лишаються в зашифрованих резервних копіях, перезаписуються у звичайній ротації резервних копій, яка не перевищує 90 днів; протягом цього вікна дані недоступні для звичайної обробки й не відновлюються інакше, ніж у межах відновлення сервісу в цілому.

На запит ми письмово підтвердимо видалення. Ми зберігаємо дані понад ці строки лише там, де цього вимагає право Союзу або держави-члена, і лише доти, доки цього вимагає таке право.

14. Записи про обробку

Ми ведемо запис про обробку, що здійснюється від вашого імені, як цього вимагає ст. 30(2) GDPR, і на запит надамо відповідний витяг у розумний строк.

15. Відповідальність

Кожна сторона відповідає за шкоду, спричинену обробкою, що порушує GDPR, у межах, передбачених ст. 82. Відповідальність за цією DPA підпорядковується обмеженням і виняткам, установленим договором між нами, крім випадків, коли такі обмеження не можуть застосовуватись згідно з імперативними нормами права.

Якщо в підписаній формі замовлення не погоджено іншої межі, до цієї DPA застосовується сукупна межа з Умов користування: сума платежів за дванадцять місяців до події або 1 000 EUR, якщо платежів не було. Корпоративні клієнти зазвичай домовляються про вищу межу для вимог із захисту даних, і ми на це розраховуємо; запитайте — це комерційна розмова, а не відмова.

16. Зміни до цієї DPA

Ми можемо оновлювати цю DPA, коли змінюються закон, сервіс або наша обробка. Якщо зміна суттєво зачіпає ваші права, ми повідомимо про неї завчасно до набуття нею чинності. Зміни до Annex 2 відбуваються за повідомленням і правом на заперечення з розділу «Субпроцесори», а не за цим розділом.

Номер редакції вгорі ідентифікує версію, яку ви читаєте. Будь-яка зміна цього документа буде перелічена в історії документа, із її датою.

17. Застосовне право й порядок переваги

Ця DPA регулюється правом Естонії, і юрисдикцію мають суди Естонії — без шкоди для прав субʼєкта даних за ст. 79 GDPR і для умов Стандартних договірних положень там, де вони застосовуються.

У разі суперечності Стандартні договірні положення мають перевагу над цією DPA, а ця DPA — над Умовами користування й будь-якою формою замовлення; у кожному випадку лише щодо обробки персональних даних.

18. Контакти

Питання щодо цієї DPA, запити на підписаний примірник, повідомлення про субпроцесорів і питання захисту даних загалом: info@sintora.ai або поштою на Sintoralabs OÜ, Narva mnt 7-636, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia.

Ми оцінили критерії статті 37 і не зобовʼязані призначати відповідального за захист даних: ми не є органом влади, наша основна діяльність не полягає в регулярному й систематичному моніторингу субʼєктів даних у великому масштабі, і ми не обробляємо особливих категорій даних у великому масштабі. Питання захисту даних надходять на адресу вище, яку відстежує особа, відповідальна за них. Ми періодично переглядаємо цю оцінку і опублікуємо тут контакти, якщо DPO буде призначено.

19. Annex 1 — Деталі обробки

Тривалість: на строк дії договору між нами плюс вікно зберігання, зазначене в розділі «Повернення й видалення».

20. Annex 2 — Субпроцесори

У наданні сервісу залучені такі субпроцесори. Кожен звʼязаний письмовими умовами захисту даних, щонайменше настільки ж захисними, як ця DPA, а передачі за межі ЄЕЗ спираються на механізми, описані в розділі «Міжнародні передачі».

Якщо в клітинці написано «очікує підтвердження», це стан запису, а не формула: провайдер підтверджений, а деталь після тире — ні, і ми радше скажемо це в самому додатку, ніж назвемо регіон, якого ніхто не звіряв. Ми підтверджуємо їх до того, як просимо вас підписати.

Наша автоматизація робочих процесів свідомо відсутня: це програмне забезпечення з відкритим кодом, яке ми розгорнули й експлуатуємо самі, тож дані обробляємо ми, а не третя сторона, якій ми їх передаємо. Працює воно на інфраструктурі нашого хостинг-провайдера в межах ЄЕЗ, і цей провайдер у цьому переліку є. Якщо ви підключаєте провайдера AI через власний акаунт — так працює Companion, — такий провайдер теж відсутній, бо цей додаток перелічує сторони, яких залучаємо ми, а цю ми не залучаємо: інференс виконується на вашому акаунті, і ми не використовуємо власний акаунт провайдера для цього маршруту. Яким є характер відносин обробки між вами й цим провайдером, залежить від вашої конфігурації та вашої угоди з ним, і це належить вашим власним записам, а не цьому додатку.

Розробники моделей, які виконуються для вбудованих AI-функцій, теж відсутні, і причину варто назвати, а не лишати читачеві на здогад. Субпроцесор — це сторона, якій ми передаємо ваші дані. Коли провайдер інференсу вище виконує ваги моделі на власній інфраструктурі, розробник моделі не отримує ні ваших промптів, ні контексту, ні згенерованої відповіді — тож для цієї обробки він не є нашим субпроцесором. Сімейства моделей, які використовуються, опубліковані в нашому Центрі довіри в розділі «AI та ваші дані»: вони названі там, бо питання варте відповіді, а не тому, що модель є стороною цього додатка.

Провайдер інференсу вище додається або змінюється за тим самим повідомленням, що й будь-який інший субпроцесор. Якщо вам потрібно виключити конкретного провайдера для вашого тенанта, скажіть нам — і ми підтвердимо, чи можуть відповідні функції працювати без нього.

Провайдер транзакційної пошти теж відсутній, бо ми його поки не використовуємо. Коли почнемо — він додається сюди з тим самим повідомленням, що й будь-який інший.

Кожне доповнення цього додатка підпорядковується повідомленню й праву на заперечення, викладеним вище. Якщо ви хочете дізнаватися напряму, а не перевіряти цю сторінку, напишіть на info@sintora.ai — і ми додамо вас до списку розсилки повідомлень.

21. Annex 3 — Технічні та організаційні заходи

Наведені нижче заходи впроваджують ст. 32 GDPR. Вони описують те, що ми експлуатуємо. Конкретні параметри — версії, інтервали, порогові значення — надаються на запит під NDA, а не публікуються: публічний перелік точної конфігурації є картою для будь-кого, хто шукає в ній вразливості, а опублікована сьогодні цифра — це цифра, яка тихо застаріє.

• Шифрування — TLS для даних під час передавання; шифрування на рівні сховища у стані спокою; секрети зберігаються в керованому сховищі секретів, а не в коді чи конфігурації. Версія TLS, що застосовується примусово, політика шифрів та інтервал ротації ключів надаються на запит.
• Контроль доступу — найменші привілеї, іменні акаунти, багатофакторна автентифікація для адміністративного доступу, періодичний перегляд доступів, невідкладне скасування при звільненні та журналювання адміністративних дій.
• Ізоляція тенантів — кожен клієнт є окремим тенантом, і дані сегреговані так, що один тенант не може прочитати дані іншого чи вплинути на них. Галузеві рішення встановлюються як модулі всередині вашого власного тенанта, що зберігає узгодженість ізоляції, прав доступу та аудиту. Технічну модель ізоляції описуємо на запит під NDA.
• Керування в продукті, яке ви здійснюєте самі, — гранульовані ролі, що призначаються на дію, а не на екран, з обмеженням за мережею, обʼєктом або командою; журнал аудиту значущих дій; експорт у CSV і PDF; адміністрування власних користувачів.
• Розділення середовищ — продакшн, staging і розробка розділені, з окремими обліковими даними та мережевими політиками; продакшн-дані не використовуються для розробки чи тестування.
• Безпечна розробка — контроль версій, рецензування колегами й автоматичні перевірки перед релізом; залежності моніторяться на відомі вразливості та оновлюються в межах планового обслуговування.
• Резервне копіювання й відновлення — регулярні зашифровані резервні копії, що зберігаються окремо від продакшну, із задокументованими планами безперервності та відновлення. Періодичність і строк зберігання копій, цілі відновлення й дата останнього тесту відновлення надаються на запит; якщо вам потрібно, щоб вони були зафіксовані як зобовʼязання, а не описані, їм місце в підписаній формі замовлення.
• Журналювання й моніторинг — збираються журнали застосунку, інфраструктури та безпеки, моніторяться доступність і частота помилок, аномалії викликають сповіщення, доступ до журналів обмежений. Журнали сайту й сервера зберігаються 30 днів.
• Керування вразливостями — ризик-орієнтоване встановлення патчів із пріоритетом за рівнем критичності та відкритості ззовні; знахідки зі сканувань, рецензування коду та звітів третіх сторін відстежуються до усунення. Ми ще не замовляли незалежного тесту на проникнення; коли замовимо, підсумок буде доступний під NDA. Цільові показники усунення за рівнями критичності погоджуються в підписаній формі замовлення, якщо клієнт цього потребує.
• Реагування на інциденти — визначений процес, що охоплює виявлення, тріаж, стримування, усунення, відновлення й розбір після інциденту, із заздалегідь погодженими ролями та шляхами ескалації.
• Люди — зобовʼязання конфіденційності для кожного, хто має доступ до даних клієнтів, навчання з безпеки та захисту даних і доступ, що надається за роллю під час приєднання. Кожен, хто має доступ, проходить навчання з обізнаності щодо захисту даних при приєднанні та щороку після цього.
• Фізична безпека — успадкована від дата-центрів інфраструктурного провайдера, включно з контролем доступу, моніторингом і їхніми власними сертифікаціями.