Datu apstrādes līgums

Pārskats

Šis Datu apstrādes līgums (DPA) ir daļa no vienošanās starp Nordvec (Apstrādātājs) un jūsu organizāciju (Pārzinis). Tas regulē, kā mēs apstrādājam personas datus jūsu vārdā saskaņā ar GDPR 28. pantu.

Apstrādes tvērums

Nordvec apstrādā datus tikai līgumā noteikto pakalpojumu sniegšanai. Tas ietver darbinieku vārdus, e‑pasta adreses un dokumentu un ziņu saturu, ko jūsu organizācija savieno ar platformu. Dokumenti tiek glabāti ES datu centros, ģenerēšana notiek Francijā, bet vektoru aprēķināšana, Berlīnē. Iesaistītie apstrādātāji ir atsevišķi uzskaitīti mūsu apakšapstrādātāju reģistrā.

Datu apstrādes darbības

Pievienojot Nordvec datu avotus, dokumentu saturs tiek apstrādāts šādi: (1) Teksta izvilkšana un normalizēšana no avota formāta, (2) Semantiska sadalīšana strukturētās daļās indeksēšanai, (3) Vektoru iegulto reprezentāciju ģenerēšana, izmantojot trešās puses AI pakalpojumu sniedzēju, kas norādīts mūsu apakšprocesoru reģistrā kopā ar apmācības saistībām, ko esam pārbaudījuši, un šīs pārbaudes datumu, un (4) Rezultējošo vektoru un teksta segmentu glabāšana mūsu ES mitinātajā datu bāzē semantiskās meklēšanas vajadzībām. Oriģinālais dokumenta saturs tiek saglabāts, lai nodrošinātu precīzu atsauci un avota norādi meklēšanas rezultātos. Nordvec neizmanto dokumentu saturu AI modeļu apmācībai.

Automatizēta satura skenēšana

Nordvec veic automatizētu, uz paraugiem balstītu dokumentu satura skenēšanu, lai noteiktu iespējamos akreditācijas datus un API atslēgas (piemēram, mākoņpakalpojumu piekļuves atslēgas, autentifikācijas žetonus un privātās atslēgas). Šī skenēšana ir nekaitīga: saturs netiek mainīts vai dzēsts. Noteiktie paraugi tiek atzīmēti sistēmā, lai jūsu organizācijas administratori tos varētu redzēt. Šīs skenēšanas mērķis ir atbalstīt jūsu organizācijas drošības nostāju, nodrošinot informētību par akreditācijas datu noplūdi sinhronizētajos dokumentos. Skenēšana negarantē noteikšanu, un jūsu organizācija joprojām ir atbildīga par sensitīva satura pārvaldību avota sistēmās.

Drošības pasākumi

Mēs ieviešam atbilstošus tehniskos un organizatoriskos pasākumus: AES‑256 šifrēšanu glabāšanā, TLS 1.3 pārsūtīšanas laikā, rindu līmeņa drošību ar datu izolāciju katram tenant, uz lomām balstītu piekļuves kontroli, regulāras ielaušanās pārbaudes un nepārtrauktu uzraudzību. Visa infrastruktūra tiek uzturēta ISO 27001 sertificētos ES datu centros.

Datu glabāšana

Dokumentu saturs, vektoru iegultnes un saistītie metadati tiek saglabāti visu pakalpojuma līguma darbības laiku. Ja datu avots ir atvienots vai atsevišķi dokumenti ir dzēsti jūsu organizācijas iniciatīvā, visi saistītie dati (tostarp vektoru iegultnes, teksta fragmenti un saglabātais saturs) tiek neatgriežami izdzēsti no mūsu sistēmām. Dzēšana ir kaskādes veida un ietver bāreņu glabāšanas objektus. Pēc pakalpojuma līguma izbeigšanas visi dati tiek izdzēsti 30 dienu laikā, ja vien noteikumi neparedz ilgāku saglabāšanas termiņu.

Apakšapstrādātāji

Nordvec uztur katras vienības apakšprocesoru reģistru, kurā iekļauts katrs pakalpojumu sniedzējs, kas nodrošina pakalpojumu. Katram no tiem reģistrā ir norādīts juridiskais nosaukums, reģistrācijas valsts, mātes uzņēmums, apstrādes vieta, mērķis, personas datu kategorijas un piemērojamais GDPR V nodaļas pārvietošanas pamatojums. Reģistrs tiek ģenerēts no koda, kas sasniedz katru sniedzēju, un pārbaudīts pēc katras izmaiņas, tāpēc neviens sniedzējs nevar tikt iesaistīts, neparādoties reģistrā. Pašlaik tas aptver datu bāzes un objektu glabāšanu, AI ģenerēšanu un iegultos vektorus, kešatmiņu, transakciju e‑pastu, DNS un satura piegādi, kā arī kļūdu uzraudzību. Kopija ir pieejama pēc pieprasījuma un tiek sniegta uzņēmumu iepirkumu procesā. Mēs jūs informēsim vismaz 30 dienas pirms jauna apakšprocesora sākšanas, un jums ir tiesības iebilst.

Starptautiskā datu pārsūtīšana

Datu glabāšana, ģenerēšana un iegultņu veidošana notiek ES datu centros. Ja kāds apstrādātājs ķēdē ir reģistrēts ārpus EEA vai tam ir mātesuzņēmums ārpus EEA, attiecas V nodaļas datu pārvietošanas pamatojums attiecībā uz šo apstrādātāju: mūsu apakšapstrādātāju reģistrs norāda pamatojumu katrai ierakstam, kā arī datumu, kad tas tika pārbaudīts, lai jūs varētu pārbaudīt to pašu apstrādātāju, nevis paļauties uz vispārēju paziņojumu šeit.

Paziņošana par datu aizsardzības pārkāpumu

Mēs jūs informēsim 24 stundu laikā pēc personas datu pārkāpuma atklāšanas. Mēs palīdzēsim jums izpildīt pārkāpumu paziņošanas pienākumus saskaņā ar GDPR 33. un 34. pantu, tostarp paziņojumus jūsu uzraudzības iestādei un ietekmētajām datu subjektām.

Datu subjektu tiesības

Šādas tiesības ir ieviestas kā pašapkalpošanās iespējas Nordvec platformā: Piekļuve un datu pārnesamība (15., 20. pants) caur JSON eksportu iestatījumos, Dzēšana (17. pants) caur konta dzēšanu ar atomāru kaskādi, Labojumi (16. pants) caur profila un satura rediģēšanu un Ierobežošana (18. pants) caur avota pārslēgumiem un augšupielādes iestatījumiem.

Dzēšana un datu glabāšana

Pēc līguma izbeigšanas visi personas dati tiek dzēsti 30 dienu laikā. Līguma laikā dzēšanas darbības jūsu avota sistēmās automātiski tiek pārsūtītas caur webhook/sinhronizāciju. Mīksti dzēstie dati tiek izdzēsti pēc 30 dienām. Pilnīgas konta dzēšanas gadījumā visi dati (sarunas, dokumenti, iegulumi, integrācijas žetoni) tiek atomāri izdzēsti.

Audita tiesības

Jums ir tiesības veikt mūsu atbilstības auditu šim līgumam. Mēs nodrošinām šādu piekļuvi: šo DPA un mūsu atbilstības dokumentāciju, mūsu DPIA AI apstrādei, Art. 30 apstrādes reģistru un mūsu apakšprocesoru reģistru ar norādīto pārvietošanas pamatojumu katram procesoram. Pašlaik mums nav trešās puses sertifikāta. Mūsu kontroles ir publicētas individuāli mūsu uzticamības panelī, katra saistīta ar kodu, kas to īsteno, un eksportētas kā OSCAL, lai jūs varētu ielādēt tās savā auditēšanas rīkā.

Kontakti

DPA saistītiem jautājumiem, datu subjektu piekļuves pieprasījumiem vai lai pieprasītu pašreizējo apakšapstrādātāju sarakstu, sazinieties ar mums pa e‑pastu legal@nordvec.com. Datu aizsardzības speciālists: dpo@nordvec.com.