Συμφωνία επεξεργασίας δεδομένων

Επισκόπηση

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (DPA) αποτελεί μέρος της συμφωνίας μεταξύ της Nordvec (Εκτελούσα την Επεξεργασία) και του οργανισμού σας (Υπεύθυνος Επεξεργασίας). Ρυθμίζει τον τρόπο με τον οποίο επεξεργαζόμαστε προσωπικά δεδομένα για λογαριασμό σας σύμφωνα με το Άρθρο 28 του GDPR.

Πεδίο επεξεργασίας

Το Nordvec επεξεργάζεται δεδομένα αποκλειστικά για την παροχή των συμφωνημένων υπηρεσιών. Αυτό περιλαμβάνει ονόματα και διευθύνσεις ηλεκτρονικού ταχυδρομείου των εργαζομένων, καθώς και το περιεχόμενο των εγγράφων και των μηνυμάτων που συνδέει ο οργανισμός σας με την πλατφόρμα. Τα έγγραφα αποθηκεύονται σε κέντρα δεδομένων της ΕΕ, η παραγωγή περιεχομένου πραγματοποιείται στη Γαλλία και η δημιουργία διανυσματικών αναπαραστάσεων στο Βερολίνο. Οι υπεργολάβοι επεξεργασίας που συμμετέχουν αναφέρονται αναλυτικά στο μητρώο υπεργολάβων μας.

Δραστηριότητες επεξεργασίας δεδομένων

Όταν ο οργανισμός σας συνδέει πηγές δεδομένων με το Nordvec, το περιεχόμενο των εγγράφων υφίσταται την ακόλουθη επεξεργασία: (1) Εξαγωγή και κανονικοποίηση κειμένου από τη μορφή της πηγής, (2) Σημασιολογική διαίρεση σε δομημένα τμήματα για ευρετηρίαση, (3) Δημιουργία διανυσματικών αναπαραστάσεων μέσω τρίτου παρόχου AI, ο οποίος αναφέρεται στο μητρώο των υπεργολάβων μας μαζί με τις δεσμεύσεις εκπαίδευσης που έχουμε επαληθεύσει γι' αυτόν και την ημερομηνία επαλήθευσης, και (4) Αποθήκευση των διανυσματικών αναπαραστάσεων και των τμημάτων κειμένου στη βάση δεδομένων μας που φιλοξενείται στην ΕΕ για σημασιολογική αναζήτηση. Το αρχικό περιεχόμενο των εγγράφων αποθηκεύεται για να επιτρέπεται η ακριβής παραπομπή και η απόδοση πηγής στα αποτελέσματα αναζήτησης. Το Nordvec δεν χρησιμοποιεί το περιεχόμενο των εγγράφων για την εκπαίδευση μοντέλων AI.

Αυτοματοποιημένος έλεγχος περιεχομένου

Η Nordvec εκτελεί αυτοματοποιημένο έλεγχο περιεχομένου βάσει μοτίβων κατά την εισαγωγή, για να εντοπίζει πιθανά διαπιστευτήρια και κλειδιά API, όπως κλειδιά πρόσβασης παρόχων cloud, tokens ταυτοποίησης και ιδιωτικά κλειδιά. Αυτός ο έλεγχος δεν είναι καταστροφικός: κανένα περιεχόμενο δεν τροποποιείται ούτε αφαιρείται. Τα μοτίβα που εντοπίζονται επισημαίνονται στο σύστημα ώστε να είναι ορατά στους διαχειριστές του οργανισμού σας. Σκοπός αυτού του ελέγχου είναι να ενισχύσει τη στάση ασφαλείας του οργανισμού σας, παρέχοντας επίγνωση της έκθεσης διαπιστευτηρίων μέσα σε συγχρονισμένα έγγραφα. Ο έλεγχος δεν αποτελεί εγγύηση εντοπισμού και ο οργανισμός σας παραμένει υπεύθυνος για τη διαχείριση ευαίσθητου περιεχομένου στα συστήματα προέλευσής του.

Μέτρα ασφαλείας

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα: κρυπτογράφηση AES‑256 σε κατάσταση αποθήκευσης, TLS 1.3 κατά τη μεταφορά, ασφάλεια σε επίπεδο γραμμής με απομόνωση δεδομένων ανά tenant, ελέγχους πρόσβασης βάσει ρόλων, τακτικές δοκιμές διείσδυσης και συνεχή παρακολούθηση. Όλη η υποδομή φιλοξενείται σε κέντρα δεδομένων της ΕΕ με πιστοποίηση ISO 27001.

Διατήρηση δεδομένων

Το περιεχόμενο εγγράφων, οι διανυσματικές αναπαραστάσεις και τα σχετικά μεταδεδομένα διατηρούνται για όλη τη διάρκεια της σύμβασης παροχής υπηρεσίας. Όταν μια πηγή δεδομένων αποσυνδέεται ή μεμονωμένα έγγραφα διαγράφονται από τον οργανισμό σας, όλα τα σχετικά δεδομένα, συμπεριλαμβανομένων των διανυσματικών αναπαραστάσεων, των τμημάτων κειμένου και του αποθηκευμένου περιεχομένου, αφαιρούνται οριστικά από τα συστήματά μας. Η διαγραφή είναι αλυσιδωτή και περιλαμβάνει ορφανά αντικείμενα αποθήκευσης. Μετά τη λήξη της σύμβασης παροχής υπηρεσίας, όλα τα δεδομένα διαγράφονται εντός 30 ημερών, εκτός αν απαιτείται μεγαλύτερη περίοδος διατήρησης από την ισχύουσα νομοθεσία.

Υποεκτελούντες την επεξεργασία

Το Nordvec διατηρεί μητρώο υπεργολάβων για κάθε οντότητα που συμμετέχει στην παροχή της Υπηρεσίας. Για τον καθένα καταγράφει την επωνυμία, τη χώρα εγκατάστασης, τη μητρική εταιρεία, την τοποθεσία επεξεργασίας, τον σκοπό, τις κατηγορίες προσωπικών δεδομένων και τη νομική βάση μεταφοράς σύμφωνα με το Κεφάλαιο V. Το μητρώο δημιουργείται από τον κώδικα που αφορά κάθε πάροχο και επαληθεύεται εκ νέου σε κάθε αλλαγή, οπότε δεν μπορεί να χρησιμοποιηθεί πάροχος χωρίς να εμφανίζεται σε αυτό. Προς το παρόν καλύπτει βάσεις δεδομένων και αποθήκευση αντικειμένων, παραγωγή και δημιουργία διανυσμάτων AI, προσωρινή αποθήκευση, αποστολή συναλλαγματικών μηνυμάτων ηλεκτρονικού ταχυδρομείου, DNS και παράδοση περιεχομένου, καθώς και παρακολούθηση σφαλμάτων. Αντίγραφο είναι διαθέσιμο κατόπιν αιτήματος και παρέχεται κατά τη διάρκεια των διαπραγματεύσεων για επιχειρηματικές συμφωνίες. Θα σας ενημερώσουμε τουλάχιστον 30 ημέρες πριν αρχίσει να επεξεργάζεται δεδομένα ένας νέος υπεργολάβος, και έχετε δικαίωμα να αντιταχθείτε.

Διεθνείς διαβιβάσεις

Η αποθήκευση, η παραγωγή περιεχομένου και η δημιουργία διανυσματικών αναπαραστάσεων πραγματοποιούνται σε κέντρα δεδομένων της ΕΕ. Όταν ένας υπεργολάβος της αλυσίδας είναι εγγεγραμμένος εκτός ΕΟΧ ή έχει μητρική εταιρεία εκτός ΕΟΧ, εφαρμόζεται νομική βάση μεταφοράς βάσει του Κεφαλαίου V για αυτόν τον υπεργολάβο. Το μητρώο υπεργολάβων μας αναφέρει τη νομική βάση για κάθε καταχώριση, μαζί με την ημερομηνία επαλήθευσής της, ώστε να μπορείτε να το ελέγξετε ανά υπεργολάβο αντί να βασίζεστε σε μια γενική δήλωση εδώ.

Ειδοποίηση παραβίασης δεδομένων

Θα σας ειδοποιήσουμε εντός 24 ωρών από τον εντοπισμό παραβίασης δεδομένων προσωπικού χαρακτήρα. Σας βοηθάμε να συμμορφωθείτε με τις υποχρεώσεις ειδοποίησης παραβίασης βάσει των άρθρων 33 και 34 του GDPR, συμπεριλαμβανομένων των ειδοποιήσεων προς την εποπτική σας αρχή και τα υποκείμενα των δεδομένων που επηρεάζονται.

Δικαιώματα υποκειμένων δεδομένων

Τα ακόλουθα δικαιώματα υλοποιούνται ως αυτοεξυπηρέτηση στην πλατφόρμα Nordvec: Πρόσβαση και φορητότητα δεδομένων (άρθρ. 15, 20) μέσω εξαγωγής JSON στις Ρυθμίσεις, Διαγραφή (άρθρ. 17) μέσω διαγραφής λογαριασμού με ατομική αλυσιδωτή διαγραφή, Διόρθωση (άρθρ. 16) μέσω επεξεργασίας προφίλ και περιεχομένου και Περιορισμός (άρθρ. 18) μέσω διακοπτών πηγών και ρυθμίσεων μεταφόρτωσης.

Διαγραφή και διατήρηση δεδομένων

Με τη λήξη της σύμβασης, όλα τα δεδομένα προσωπικού χαρακτήρα διαγράφονται εντός 30 ημερών. Κατά τη διάρκεια της σύμβασης, οι διαγραφές στα συστήματα πηγής σας μεταφέρονται αυτόματα μέσω webhook/συγχρονισμού. Τα δεδομένα που έχουν επισημανθεί για προσωρινή διαγραφή αφαιρούνται οριστικά μετά από 30 ημέρες. Με την πλήρη διαγραφή λογαριασμού, όλα τα δεδομένα, συνομιλίες, έγγραφα, ενσωματώσεις και διακριτικά ενσωματώσεων, αφαιρούνται ατομικά.

Δικαιώματα ελέγχου

Έχετε δικαίωμα να ελέγξετε τη συμμόρφωσή μας με τη συμφωνία αυτή. Παρέχουμε: τη Συμφωνία Επεξεργασίας Δεδομένων (DPA) και την τεκμηρίωση συμμόρφωσής μας, την εκτίμηση αντικτύπου για την επεξεργασία AI (DPIA), το μητρώο επεξεργασίας του Άρθρου 30, και το μητρώο των υπεργολάβων με τη νομική βάση μεταφοράς για κάθε επεξεργαστή. Δεν διαθέτουμε πιστοποίηση τρίτων σήμερα. Οι έλεγχοί μας δημοσιεύονται μεμονωμένα στον πίνακα εμπιστοσύνης μας, ο καθένας συνδεδεμένος με τον κώδικα που τον υλοποιεί, και εξάγονται σε μορφή OSCAL ώστε να μπορείτε να τους φορτώσετε στα δικά σας εργαλεία ελέγχου.

Επικοινωνία

Για ερωτήματα σχετικά με τη DPA, αιτήματα πρόσβασης υποκειμένων δεδομένων ή για να ζητήσετε τον τρέχοντα κατάλογο υποεκτελούντων επεξεργασία, επικοινωνήστε μαζί μας στο legal@nordvec.com. Υπεύθυνος Προστασίας Δεδομένων: dpo@nordvec.com.