Ugovor o obradi podataka

Pregled

Ovaj Ugovor o obradi podataka (DPA) čini dio ugovora između Nordveca (izvršitelja obrade) i vaše organizacije (voditelja obrade). Uređuje način na koji obrađujemo osobne podatke u vaše ime u skladu s člankom 28. GDPR‑a.

Opseg obrade

Nordvec obrađuje podatke isključivo radi pružanja ugovorenih usluga. To uključuje imena i e‑mail adrese zaposlenika te sadržaj dokumenata i poruka koje tvoja organizacija poveže s platformom. Dokumenti se pohranjuju u podatkovnim centrima u EU‑u, generiranje se odvija u Francuskoj, a embeddinge u Berlinu. Popis uključenih podizvršitelja obrade nalazi se u našem registru podizvršitelja.

Aktivnosti obrade podataka

Kada tvoja organizacija poveže izvore podataka s Nordvecom, sadržaj dokumenata prolazi sljedeću obradu: (1) Izvlačenje i normalizacija teksta iz izvornog formata, (2) Semantičko dijeljenje na strukturirane segmente za indeksiranje, (3) Generiranje vektorskih embeddinga putem treće strane – AI pružatelja, navedenog u našem registru podizvođača zajedno s obvezama obuke koje smo verificirali za njega i datumom te verifikacije, te (4) Pohrana dobivenih vektorskih reprezentacija i tekstualnih segmenata u našoj bazi podataka u EU‑u za semantičko pretraživanje. Izvorni sadržaj dokumenata pohranjuje se kako bi se omogućilo točno citiranje i pripisivanje izvora u rezultatima pretrage. Nordvec ne koristi sadržaj dokumenata za obuku AI modela.

Automatizirano skeniranje sadržaja

Nordvec tijekom unosa provodi automatizirano skeniranje sadržaja dokumenata na temelju uzoraka kako bi otkrio moguće vjerodajnice i API ključeve, kao što su pristupni ključevi pružatelja usluga u oblaku, autentifikacijski tokeni i privatni ključevi. Ovo skeniranje nije destruktivno: nijedan sadržaj se ne mijenja niti uklanja. Otkriveni uzorci označavaju se u sustavu kako bi bili vidljivi administratorima vaše organizacije. Svrha ovog skeniranja je podržati sigurnosni položaj vaše organizacije pružanjem uvida u izloženost vjerodajnica unutar sinkroniziranih dokumenata. Skeniranje ne predstavlja jamstvo otkrivanja, a vaša organizacija i dalje je odgovorna za upravljanje osjetljivim sadržajem unutar svojih izvornih sustava.

Sigurnosne mjere

Primjenjujemo odgovarajuće tehničke i organizacijske mjere: AES‑256 enkripciju za podatke u mirovanju, TLS 1.3 za podatke u prijenosu, sigurnost na razini redaka uz izolaciju podataka po tenantu, kontrole pristupa temeljene na ulogama, redovita penetracijska testiranja i kontinuirani nadzor. Cjelokupna infrastruktura hostana je u podatkovnim centrima u EU s certifikatom ISO 27001.

Zadržavanje podataka

Sadržaj dokumenata, vektorske ugradnje i povezani metapodaci čuvaju se tijekom trajanja ugovora o pružanju usluge. Kada se izvor podataka odspoji ili vaša organizacija izbriše pojedine dokumente, svi povezani podaci, uključujući vektorske ugradnje, tekstualne segmente i pohranjeni sadržaj, trajno se uklanjaju iz naših sustava. Brisanje je kaskadno i uključuje napuštene objekte pohrane. Nakon prestanka ugovora o pružanju usluge svi se podaci brišu u roku od 30 dana, osim ako primjenjivo pravo zahtijeva dulje razdoblje čuvanja.

Podizvršitelji obrade

Nordvec vodi registar podizvođača za svaki subjekt uključen u pružanje usluge. Za svakog se bilježi pravno ime, država osnivanja, matična tvrtka, lokacija obrade, svrha, kategorije osobnih podataka i osnova za prijenos prema Poglavlju V. Registar se generira iz koda koji doseže svakog pružatelja i ponovno se verificira pri svakoj promjeni, tako da se pružatelj ne može uključiti a da se ne pojavi u registru. Trenutno pokriva baze podataka i pohranu objekata, AI generiranje i embeddinge, predmemoriju, transakcijske e‑pošte, DNS i isporuku sadržaja te praćenje grešaka. Kopija je dostupna na zahtjev i pruža se tijekom nabave za poduzeća. Obavijestit ćemo te najmanje 30 dana prije nego što novi podizvođač započne s obradom, a imaš pravo prigovora.

Međunarodni prijenosi

Pohrana, generiranje i embeddinge odvijaju se u podatkovnim centrima u EU‑u. Ako je neki podizvršitelj u lancu obrade registriran izvan EGP‑a ili ima matično društvo izvan EGP‑a, primjenjuje se pravna osnova za prijenos iz Poglavlja V na tog podizvršitelja. Naš registar podizvršitelja navodi pravnu osnovu za svaki unos, zajedno s datumom provjere, tako da možeš provjeriti po pojedinom podizvršitelju umjesto da se oslanjaš na općenitu izjavu ovdje.

Obavijest o povredi podataka

Obavijestit ćemo te u roku od 24 sata od otkrivanja povrede osobnih podataka. Pomažemo ti u ispunjavanju obveza prijave povrede prema člancima 33. i 34. GDPR‑a, uključujući obavijesti tvom nadzornom tijelu i pogođenim ispitanicima.

Prava ispitanika

Sljedeća prava dostupna su kao samostalne opcije unutar platforme Nordvec: pristup i prenosivost podataka (čl. 15., 20.) putem JSON izvoza u Postavkama, brisanje (čl. 17.) putem brisanja računa s atomskim kaskadnim uklanjanjem, ispravak (čl. 16.) putem uređivanja profila i sadržaja te ograničenje (čl. 18.) putem prekidača izvora i postavki prijenosa.

Brisanje i zadržavanje podataka

Po prestanku ugovora svi osobni podaci brišu se u roku od 30 dana. Tijekom trajanja ugovora brisanja u tvojim izvornim sustavima automatski se prenose putem webhooka i sinkronizacije. Privremeno obrisani podaci trajno se uklanjaju nakon 30 dana. Pri potpunom brisanju računa svi podaci, razgovori, dokumenti, ugrađeni vektori i tokeni integracija, uklanjaju se atomski.

Prava revizije

Imaš pravo na reviziju našeg poštovanja ovog ugovora. Dostupni su: ovaj DPA i naša dokumentacija o usklađenosti, naša DPIA za obradu AI‑ja, registar obrade prema Članku 30. te naš registar podizvođača s osnovom za prijenos zabilježenom za svakog. Trenutno nemamo trećestranu certifikaciju. Naše kontrole objavljujemo pojedinačno na našoj stranici o povjerenju, svaka povezana s kodom koji ju implementira, a izvoze se kao OSCAL kako bi ih mogao učitati u vlastite alate za reviziju.

Kontakt

Za upite povezane s DPA‑om, zahtjeve za pristup podacima ispitanika ili zahtjev za trenutačni popis podizvršitelja, javi nam se na legal@nordvec.com. Službenik za zaštitu podataka: dpo@nordvec.com.