Tietojenkäsittelysopimus

Tämä tietojenkäsittelysopimus ("DPA") on osa käyttöehtoja, jotka on tehty asiakkaan (LetsBotin tilaava yritys, "sinä") ja yhtiön BOT FOR DIGITAL SOLUTIONS LIMITED välillä. Yhtiö on rekisteröity Englannissa ja Walesissa numerolla 15477940, ja sen osoite on 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Yhdistynyt kuningaskunta ("LetsBot", "me").

Hyväksymällä käyttöehdot teet samalla myös tämän tietojenkäsittelysopimuksen, mukaan lukien liitteisiin IV–VI viittauksella sisällytetyt siirtolausekkeet. Ne koskevat automaattisesti jokaista asiakasta hyväksymisestä alkaen, ennen kuin mitään Asiakkaan henkilötietoja siirretään, eikä allekirjoitusta tarvita.

Allekirjoitetut kopiot ja räätälöidyt asiakirjat. Pyynnöstä osoitteeseen support@letsbot.net toimitamme kopion tästä sopimuksesta meidän vastallekirjoittamanamme tai organisaatiosi tarvitseman räätälöidyn sopimuksen tai asiakirjan, kuten täytetyt siirtolausekkeet.

Etusijajärjestys. Ristiriitatilanteessa ensisijaisia ovat liitteiden IV–VI siirtolausekkeet, sitten tämä sopimus ja sen jälkeen käyttöehdot.

Kieli. Tämän sopimuksen englanninkielinen versio on sitova; arabiankielinen versio toimitetaan ainoastaan käytön helpottamiseksi. Brasilian ANPD-viranomaisen vakiolausekkeiden osalta sitova on virallinen portugalinkielinen teksti.

• Asiakkaan henkilötiedot: henkilötiedot, joita käsittelemme puolestasi palvelua tarjotessamme, mukaan lukien yhteystietojesi tiedot, viestit, media ja tilaukset. Tarkemmat tiedot ovat liitteessä I.
• Alikäsittelijä: kuka tahansa kolmas osapuoli, jonka käytämme Asiakkaan henkilötietojen käsittelyyn.
• Henkilötietojen tietoturvaloukkaus: tietoturvaloukkaus, joka johtaa Asiakkaan henkilötietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn niihin.
• Tietosuojalainsäädäntö: käsittelyyn sovellettavat lait, mukaan lukien EU GDPR -asetus, Yhdistyneen kuningaskunnan GDPR ja Data Protection Act 2018, Saudi-Arabian henkilötietojen suojaa koskeva laki ja sen asetukset, Brasilian LGPD sekä Egyptin laki nro 151 vuodelta 2020 ja sen täytäntöönpanoasetukset.
• Termeillä "rekisterinpitäjä", "käsittelijä", "rekisteröity" ja "käsittely" on tietosuojalainsäädännössä määritelty merkitys. "Käsittelijä" kattaa myös LGPD-lain mukaisen "operador"-toimijan.

1. Sinä olet Asiakkaan henkilötietojen rekisterinpitäjä (tai toisen rekisterinpitäjän puolesta toimiva käsittelijä), ja me olemme käsittelijä.
2. Käsittelemme Asiakkaan henkilötietoja ainoastaan dokumentoitujen ohjeidesi mukaisesti, myös siirroissa muihin maihin. Ohjeitasi ovat käyttöehdot, tämä sopimus, hallintapaneelissa valitsemasi asetukset (kuten kanavat, integraatiot, tekoälyominaisuudet ja säilytysajat) sekä muut kirjallisesti sopimamme ohjeet.
3. Jos laki velvoittaa meidät käsittelemään Asiakkaan henkilötietoja muuten kuin ohjeidesi mukaisesti, ilmoitamme siitä sinulle ennen käsittelyä, ellei kyseinen laki kiellä sitä.
4. Ilmoitamme sinulle välittömästi, jos katsomme ohjeen rikkovan tietosuojalainsäädäntöä.
5. Vastaat siitä, että tiedot kerätään lainmukaisesti ja että sinulla on lainmukainen peruste lähettää viestejä yhteystiedoillesi, mukaan lukien Metan tai lain edellyttämä suostumus.
6. Emme käytä Asiakkaan henkilötietoja omiin tarkoituksiimme, emme myy niitä emmekä käytä niitä tekoälymallien kouluttamiseen.

Asiakkaan henkilötietoihin pääsevät vain ne työntekijät ja toimeksisaajat, jotka tarvitsevat pääsyä palvelun tarjoamiseksi, tukemiseksi tai suojaamiseksi, ja heitä kaikkia sitoo salassapitovelvollisuus.

Henkilöt, joilla on pääsy Asiakkaan henkilötietoihin, työskentelevät pääasiassa Egyptissä sisaryhtiömme Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) kautta meidän ohjeidemme mukaisesti ja ehdoin, jotka eivät suojaltaan ole tätä sopimusta heikommat.

Toteutamme liitteessä II kuvatut tekniset ja organisatoriset toimenpiteet, tarkistamme ne säännöllisesti emmekä heikennä yleistä suojan tasoa tilauksesi aikana.

Lisäksi sitoudumme seuraaviin:

• työtilojen tietokantojen salatut varmuuskopiot: joka yö maksullisille, kokeilussa oleville ja maksutta myönnetyille työtiloille ja 10 päivän kierrossa muille työtiloille sekä keskitetyn tilitietokannan päivittäinen varmuuskopio. Varmuuskopiot säilytetään yksityisessä tallennustilassa erillään tuotantopalvelimesta Google Cloudissa Yhdysvalloissa (us-east1) 30 päivän ajan, minkä jälkeen ne poistetaan;
• keskusteluissa vaihdetut mediatiedostot säilytetään tallennustilassa, jota ei voi selata tai listata, ja ne jaetaan pitkien, satunnaisten ja vaikeasti arvattavien linkkien kautta (lukuun ottamatta yhteystietojen profiilikuvia). Kuka tahansa, jolla on täsmälleen oikea linkki, voi avata tiedoston. Olemme siirtämässä mediaa aikarajoitettuihin allekirjoitettuihin linkkeihin;
• jokaisen tukihenkilöstön työtilaan kirjautumisen ja jokaisen sisäänkirjautumisen tallentaminen kyseisen työtilan tietoturvalokiin.

1. Yleinen valtuutus. Valtuutat meidät käyttämään alikäsittelijäsivullamme (liite III) lueteltuja alikäsittelijöitä.
2. Ennakkoilmoitus. Ilmoitamme vähintään 30 päivää ennen kuin lisäämme tai vaihdamme alikäsittelijän, sähköpostitse kaikille tilaajille ja päivittämällä sivun. Voit tilata ilmoitukset kirjoittamalla osoitteeseen support@letsbot.net aiheella "Subprocessor updates".
3. Vastustaminen. Voit vastustaa muutosta kirjallisesti ilmoitusajan kuluessa perustellulla tietosuojaan liittyvällä syyllä. Pyrimme ratkaisemaan vastustuksesi esimerkiksi jättämällä kyseisen alikäsittelijän käyttämättä tietojesi osalta. Jos tämä ei onnistu, voit irtisanoa palvelun asianomaisen osan ja saada hyvityksen etukäteen maksetuista maksuista jäljellä olevalta kaudelta.
4. Kiireellinen vaihto. Jos meidän on vaihdettava alikäsittelijä välittömästi palvelun turvallisuuden tai jatkuvuuden suojaamiseksi, ilmoitamme siitä sinulle mahdollisimman pian, ja sinulla on sama oikeus vastustaa.
5. Vastaavat velvoitteet. Sidomme jokaisen kolmannen osapuolen alikäsittelijän kirjallisella sopimuksella tietosuojavelvoitteisiin, jotka eivät ole tätä sopimusta heikommat, ja vastaamme sinulle sen suoriutumisesta.
6. Itse valitsemasi integraatiot, kuten Meta (WhatsApp, Messenger, Instagram), verkkokauppa-alustat ja CRM-järjestelmät, eivät ole alikäsittelijöitämme. Sinä yhdistät ne, ja ne käsittelevät tietoja omien, kanssasi sovittujen ehtojensa mukaisesti.

1. Ilmoitamme sinulle jokaisesta Asiakkaan henkilötietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun olemme saaneet sen tietoomme. Tämä on vakiokäytäntömme kaikissa maissa.
2. Lähetämme ilmoituksen tilin omistajan sähköpostiosoitteeseen ja mahdollisuuksien mukaan myös hallintapaneeliin. Siltä osin kuin tiedot ovat saatavilla, ilmoituksessa kuvataan: loukkauksen luonne ja syy; rekisteröityjen ja tietueiden ryhmät ja arvioitu lukumäärä; todennäköiset seuraukset; toteutetut tai ehdotetut toimenpiteet loukkauksen rajoittamiseksi; sekä yhteyspisteemme.
3. Jos kaikkia tietoja ei ole saatavilla kerralla, toimitamme ne vaiheittain ilman aiheetonta viivytystä ja päivitämme tilannetta säännöllisesti, kunnes tapaus on suljettu.
4. Autamme sinua täyttämään omat velvollisuutesi ilmoittaa viranomaisille ja rekisteröidyille, mukaan lukien 72 tunnin määräajat Euroopan unionissa, Yhdistyneessä kuningaskunnassa ja Saudi-Arabiassa sekä kolmen arkipäivän määräaika Brasiliassa.
5. Ilmoitus ei ole myönnytys virheestä tai vastuusta.

1. Jos saamme rekisteröidyltä Asiakkaan henkilötietoja koskevan pyynnön, välitämme sen sinulle 48 tunnin kuluessa emmekä vastaa siihen ilman valtuutustasi, paitsi kertoaksemme välittäneemme sen eteenpäin.
2. Hallintapaneelissa voit viedä, korjata ja poistaa yhteystietoja, keskusteluja ja viestejä. Jos nämä työkalut eivät riitä, annamme sinulle kohtuullista apua.
3. Apumme ottaa huomioon lakisääteiset määräaikasi, mukaan lukien kuusi työpäivää Egyptissä.

Annamme sinulle tiedot, joita kohtuudella tarvitset tietosuojaa koskevan vaikutustenarvioinnin, siirtoriskien arvioinnin tai viranomaisen ennakkokuulemisen toteuttamiseen. Jos laki velvoittaa sinut jakamaan asiaankuuluvan vaikutustenarvioinnin kanssamme, vastaanotamme sen.

1. Tilauksesi aikana voit milloin tahansa viedä tietosi, poistaa minkä tahansa yksittäisen keskustelun (jolloin sen viestit ja media poistetaan) tai poistaa koko työtilasi hallintapaneelista. Syyn ilmoittaminen on vapaaehtoista.
2. Kun palvelu päättyy, tietosi ovat vietävissä 30 päivän ajan. Kun työtila poistetaan, poistamme Asiakkaan henkilötiedot aktiivisista järjestelmistämme 30 päivän kuluessa, mukaan lukien median, arkistokopion, tekoälypalveluntarjoajallamme säilytetyt tiedostot ja tallennetut vastaukset sekä QR-koodiyhteyspalvelumme säilyttämät viestit. Varmuuskopioissa olevat kopiot vanhenevat seuraavien 30 päivän kuluessa.
3. Säilytämme vain sen, minkä laki velvoittaa meidät säilyttämään, ja suojaamme sitä tämän sopimuksen mukaisesti, kunnes se poistetaan.
4. Pyynnöstä vahvistamme poistamisen kirjallisesti.

1. Annamme saataville tiedot, joita tarvitaan sen osoittamiseen, että noudatamme tätä sopimusta, ja vastaamme kohtuullisiin tietoturvakyselyihin.
2. Jos nämä tiedot eivät riitä, sinä tai salassapitovelvollinen riippumaton auditoija voi auditoida meidät kerran 12 kuukaudessa 30 päivän ennakkoilmoituksella, virka-aikana ja vaarantamatta muiden asiakkaiden tietoja. Tämä rajoitus ei koske tilannetta henkilötietojen tietoturvaloukkauksen jälkeen eikä tilannetta, jossa viranomainen edellyttää auditointia.
3. Kumpikin osapuoli vastaa omista kustannuksistaan, ellei auditointi paljasta meidän olennaista rikkomustamme.
4. Teemme pyynnöstä yhteistyötä toimivaltaisten valvontaviranomaisten kanssa, mukaan lukien Saudi-Arabian data- ja tekoälyviranomainen (SDAIA).

1. Missä tietoja käsitellään. Asiakkaan henkilötiedot säilytetään Google Cloudissa Yhdysvalloissa (alue us-east1). Henkilöstömme, joka työskentelee pääasiassa Egyptissä sisaryhtiömme kautta, käyttää niitä etäyhteydellä, ja alikäsittelijät käsittelevät niitä niiden sivulla mainituissa sijainneissa. Kaikki palvelimemme ja varmuuskopiomme ovat Yhdysvalloissa; emme tarjoa tietojen säilytystä millään muulla alueella.
2. Siirtomekanismit. Liitteen IV (EU ja Yhdistynyt kuningaskunta), liitteen V (Brasilia) ja liitteen VI (Saudi-Arabia) lausekkeet ovat osa tätä sopimusta jokaisen asiakkaan osalta, ja niitä sovelletaan jokaiseen siirtoon, johon vastaavaa lakia sovelletaan.
3. Meihin sovellettava ulkomainen lainsäädäntö. Olemme brittiläinen yhtiö, johon sovelletaan Yhdistyneen kuningaskunnan lakia. Tiedot säilytetään yhdysvaltalaisella palveluntarjoajalla, ja Yhdysvaltain viranomaiset voivat Yhdysvaltain lain nojalla vaatia yhdysvaltalaisia palveluntarjoajia luovuttamaan tietoja, mukaan lukien CLOUD Act ja Foreign Intelligence Surveillance Act -lain 702 pykälä. Egyptissä toimivaan sisaryhtiöömme sovelletaan Egyptin lakia. Emme ole tietoisia siitä, että mikään näistä laeista estäisi meitä noudattamasta tätä sopimusta, ja ilmoitamme sinulle viipymättä, jos tilanne muuttuu.
4. Viranomaisten pyynnöt. Jos saamme viranomaiselta sitovan pyynnön luovuttaa Asiakkaan henkilötietoja, ilmoitamme siitä sinulle, ellei laki kiellä sitä, pyydämme viranomaista kääntymään puoleesi, riitautamme lainvastaiset tai kohtuuttomat pyynnöt ja luovutamme vain vaaditun vähimmäismäärän.

1. Kun otat käyttöön tekoälyvastaukset, tekoälyagentit, ääniviestien litteroinnin tai tekoälytyökalut, lähetämme ominaisuuden tarvitsemat tiedot jollekin tekoälypalveluntarjoajistamme, jotka ovat Yhdysvalloissa toimivia alikäsittelijöitä: viestit, keskusteluhistorian, ääniviestit, tietopankkitiedostot ja tuoteluettelon sekä yhteystiedon nimen ja numeron, kun ominaisuus käyttää niitä.
2. Tekoälypalveluntarjoajamme ovat OpenAI, joka on oletuspalveluntarjoaja ja hoitaa aina ääniviestien litteroinnin sekä tietopankkitiedostojen tallennuksen ja haun, sekä Anthropic (Claude) ja Google (Gemini API), joille voimme ohjata tekoälytehtäviä OpenAI-palvelun sijaan tai varajärjestelmänä tai lähettää rajatun otoksen pyynnöistä vastausten laadun vertailemiseksi. Vertailuvastauksia ei koskaan lähetetä asiakkaillesi. Luettelo ja siirtomekanismit löytyvät alikäsittelijäsivultamme.
3. Liiketoimintaehtojensa mukaan yksikään näistä palveluntarjoajista ei käytä API-rajapintansa kautta lähetettyjä tietoja mallien kouluttamiseen (ks. OpenAI-yhtiön liiketoimintaehdot, Anthropicin kaupalliset ehdot (Commercial Terms) ja Gemini API -lisäehdot (Gemini API Additional Terms)), emmekä ole antaneet suostumusta mihinkään koulutuskäyttöön. Kukin palveluntarjoaja säilyttää ehtojensa mukaisesti väliaikaisen kopion väärinkäytösten valvontaa varten, ja OpenAI säilyttää tuottamansa vastaukset API-tietokäytäntönsä mukaisesti.
4. Emme käytä Asiakkaan henkilötietoja minkään mallin kouluttamiseen. Se, mitä "opi historiasta" -ominaisuus oppii, pysyy työtilasi sisällä.
5. Nämä ominaisuudet ovat valinnaisia, ja voit poistaa ne käytöstä milloin tahansa. Kun poistat työtilasi, poistamme sitä varten OpenAI-palveluun tallennetut tiedostot.
6. Vastaat siitä, että kerrot asiakkaillesi vastausten voivan olla tekoälyn tuottamia, jos laki sitä edellyttää.

1. Tukihenkilöstömme kirjautuu työtilaasi ainoastaan tuen tarjoamiseksi.
2. Jokainen kirjautuminen tallennetaan työtilasi tietoturvalokiin, jota voit tarkastella.
3. Jos otat työtilassasi käyttöön kaksivaiheisen tunnistautumisen, henkilöstömme voi kirjautua siihen vain nimenomaisella hyväksynnälläsi.

Kunkin osapuolen vastuuseen tämän sopimuksen nojalla sovelletaan käyttöehtojen vastuunrajoituksia, lukuun ottamatta vastuuta, jota ei voida lain mukaan rajoittaa, ja rajoittamatta rekisteröityjen oikeuksia liitteiden IV–VI siirtolausekkeiden nojalla; mikään tässä sopimuksessa tai käyttöehdoissa ei rajoita näitä oikeuksia.

1. Tätä sopimusta sovelletaan niin kauan kuin käsittelemme Asiakkaan henkilötietoja.
2. Voimme päivittää tätä sopimusta lainsäädännön tai palvelun muutosten vuoksi. Ilmoitamme kaikista olennaisista muutoksista 30 päivää etukäteen, eikä mikään muutos heikennä suojan tasoa maksullisen tilauskautesi aikana.
3. Tähän sopimukseen sovelletaan Englannin ja Walesin lakia, ja sen tuomioistuimilla on toimivalta, paitsi että kuhunkin liitteiden IV–VI siirtolausekekokonaisuuteen sovelletaan siinä määriteltyä lakia ja tuomioistuimia.

Henkilötietojen suojaa koskevan lain ja sen täytäntöönpanoasetuksen (17 artikla) osalta:

• Käsittelyn tarkoitus, tietoryhmät ja kesto ovat liitteessä I.
• Ilmoitamme tietoturvaloukkauksesta ilman aiheetonta viivytystä ja 24 tunnin kuluessa (kohta 7).
• Meihin sovellettava ulkomainen lainsäädäntö ja sen vaikutukset kuvataan kohdassa 12.
• Jos Saudi-Arabian laki velvoittaa meidät luovuttamaan tietoja, ilmoitamme siitä sinulle.
• Alikäsittelijät ja muut vastaanottajat yksilöidään liitteessä III, ja ilmoitamme sinulle ennen mitä tahansa muutosta, jota sinulla on oikeus vastustaa (kohta 6).
• Välitämme rekisteröityjen pyynnöt 48 tunnin kuluessa (kohta 8) ja hyväksymme arvioinnit ja auditoinnit (kohta 11).
• Siirtolausekkeet: liite VI.

LGPD-lain osalta toimimme "operador"-roolissa:

• Käsittelemme tietoja ohjeidesi mukaisesti (39 artikla) ja pidämme kirjaa käsittelytoimista (37 artikla).
• Toteutamme liitteen II mukaiset turvatoimet, ja tietoturvavelvollisuutemme jatkuu käsittelyn päätyttyä (46 ja 47 artikla).
• Ilmoitamme tietoturvaloukkauksesta 24 tunnin kuluessa, jotta voit ilmoittaa siitä ANPD-viranomaiselle ja rekisteröidyille kolmen arkipäivän kuluessa (48 artikla).
• Poistamme tiedot käsittelyn päätyttyä kohdan 10 mukaisesti (16 artikla).
• Mikään tässä sopimuksessa ei rajoita vastuutamme rekisteröityjä kohtaan silloin, kun LGPD-laki asettaa sellaisen vastuun.
• Siirtolausekkeet: liite V. Pyynnöstä toimitamme portugalinkielisen tiivistelmän kansainvälisestä siirrosta, jonka voit julkaista asiakkaillesi.

Lain nro 151/2020 ja sen täytäntöönpanoasetusten osalta:

• Egyptissä toimiva konserniyhtiömme on Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), kaupparekisterinumero 223572 (Cairo Investment -rekisteritoimisto), Tower 22, 3. kerros, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egypti.
• Hankimme kaikki lain edellyttämät luvat ja hyväksynnät käsittelyllemme ja rajat ylittäville siirroille ennen kuin tukeudumme niihin, ja nimitämme tietosuojavastaavan, joka on rekisteröity Personal Data Protection Centeriin.
• Sen lisäksi, että ilmoitamme sinulle 24 tunnin kuluessa, ilmoitamme tietoturvaloukkauksesta Personal Data Protection Centerille 72 tunnin kuluessa silloin, kun laki velvoittaa meidät siihen käsittelijänä, yhteistyössä kanssasi.
• Vastaamme yhdessä kanssasi rekisteröityjen pyyntöihin kuuden työpäivän kuluessa.
• Vastaat rekisteröityjen suostumuksen hankkimisesta silloin, kun laki sitä edellyttää, mukaan lukien suostumus siirtoihin Egyptin ulkopuolelle.

Tämä tietojenkäsittelysopimus sisältää EU:n yleisen tietosuoja-asetuksen (GDPR) ja Yhdistyneen kuningaskunnan GDPR:n 28 artiklan 3 kohdan edellyttämät ehdot: ohjeet (kohta 3), luottamuksellisuus (kohta 4), tietoturva (kohta 5 ja liite II), alikäsittelijät (kohta 6), avustaminen rekisteröityjen pyynnöissä (kohta 8) sekä tietoturvassa, tietoturvaloukkauksissa ja arvioinneissa (kohdat 5, 7 ja 9), poistaminen ja palauttaminen (kohta 10) sekä tiedot ja auditoinnit (kohta 11).

Yhdistyneestä kuningaskunnasta, johon olemme sijoittautuneet, on annettu Euroopan komission tietosuojan riittävyyttä koskeva päätös. Liite IV (EU:n vakiosopimuslausekkeet ja Yhdistyneen kuningaskunnan lisäys) on kuitenkin osa sopimusta jokaisen asiakkaan kohdalla, ja sitä sovelletaan kaikkiin Asiakkaan henkilötietojen siirtoihin, joita EU:n GDPR tai Yhdistyneen kuningaskunnan GDPR ei muuten salli, mukaan lukien edelleensiirtomme Yhdysvaltoihin.

Nämä toimenpiteet ovat käytössä jo nyt:

• Salaus siirron aikana: TLS 1.3 Cloudflaren reunaverkossa HSTS:n kanssa sekä TLS-varmenteet alkuperäpalvelimella.
• Salaus levossa: Google Cloudin oletussalaus Googlen hallinnoimilla avaimilla levyille ja tallennussäilöille sekä sovellustason salaus kanavien käyttötunnuksille, integraatio- ja webhook-salaisuuksille, kaksivaiheisen tunnistautumisen salaisuuksille, kyselyvastauksille ja suostumustiedoille.
• Salasanat ja tunnukset: salasanat tiivistetään bcryptillä; API-tunnukset tallennetaan tiivisteinä.
• Eristäminen: erillinen tietokanta jokaiselle työtilalle.
• Verkko: tietokantoihin ja välimuisteihin ei pääse internetistä; Cloudflaren DDoS-suojaus ja verkkosovelluspalomuuri; Turnstile-bottisuojaus julkisissa lomakkeissa.
• Palvelimien koventaminen: CageFS-tilien eristäminen, Imunify360-palomuuri ja haittaohjelmatarkistus sekä ytimen tietoturvapäivitykset ajon aikana (KernelCare).
• Pääsynhallinta: käyttäjäkohtaiset roolit ja käyttöoikeudet, erillinen kirjautumissuojaus sisäisille hallintatyökaluille, kaksivaiheinen tunnistautuminen kaikkien työtilojen käytettävissä sekä kirjautumisen IP-rajoitukset.
• Lokitus: jokaisella työtilalla on tietoturvaloki, joka kattaa kirjautumiset ja epäonnistuneet yritykset, kaksivaiheisen tunnistautumisen ja roolien muutokset, tukihenkilöstön pääsyn sekä API-avainten vaihdot.
• Integraatiot: allekirjoitusten tarkistus Metalta, Sallalta ja Zidiltä saapuvalle datalle sekä erillinen allekirjoitussalaisuus jokaiselle uudelle lähtevälle webhookille.
• Yksityinen tallennustila: asiakirjat, sähköpostien liitteet, puhelutallenteet, varmuuskopiot ja arkistoidut työtilat säilytetään yksityisissä tallennussäilöissä, joihin julkinen pääsy on estetty.
• Keskustelujen media: säilytetään tallennustilassa, jota ei voi selata tai listata, ja jaetaan pitkien, satunnaisten ja vaikeasti arvattavien linkkien kautta (yhteystietojen profiilikuvia lukuun ottamatta); siirtyminen määräaikaisiin allekirjoitettuihin linkkeihin on käynnissä.
• Varmuuskopiot: maksavien, kokeilussa olevien ja maksuttomien työtilojen tietokannat varmuuskopioidaan joka yö, muiden työtilojen 10 päivän kierrossa, ja keskitetty tilitietokanta varmuuskopioidaan päivittäin; niitä säilytetään 30 päivää yksityisessä tallennustilassa Yhdysvalloissa (us-east1).
• Poistaminen: jokainen asiakas voi poistaa koko työtilan hallintapaneelista, mukaan lukien sen median, arkistoidun kopion ja OpenAI:lla olevat tekoälytiedostot; keskustelun poistaminen poistaa sen viestit ja median.
• Tietojen minimointi: alustoilta saapuvat tietosisällöt poistetaan 14 päivän kuluttua, palvelinlokit 14 päivän kuluttua ja puhelutallenteet oletuksena 90 päivän kuluttua.
• Valvonta: ulkoinen käytettävyyden valvonta sekä muistin, tietokantojen, istuntojen ja jonojen sisäinen valvonta reaaliaikaisine hälytyksineen, joissa puhelinnumerot ja sähköpostiosoitteet on peitetty.

Ajantasainen luettelo alikäsittelijöistä, niiden käsittelemistä tiedoista, sijainneista ja siirtoja koskevista suojatoimista on julkaistu alikäsittelijäsivullamme, ja se on osa tätä tietojenkäsittelysopimusta.

Komission täytäntöönpanopäätöksellä (EU) 2021/914 hyväksytyt vakiosopimuslausekkeet sisällytetään tähän sopimukseen viittauksella:

• Moduuli kaksi (rekisterinpitäjältä käsittelijälle), kun olet rekisterinpitäjä, ja Moduuli kolme (käsittelijältä käsittelijälle), kun toimit käsittelijänä jonkun toisen lukuun.
• Lauseke 7 (liittymislauseke): sisältyy.
• Lausekkeen 9 alakohta a: vaihtoehto 2 (yleinen kirjallinen lupa), 30 päivän ennakkoilmoituksella.
• Lausekkeen 11 alakohta a: valinnainen sanamuoto ei sovellu.
• Lauseke 13: toimivaltainen valvontaviranomainen määräytyy lausekkeen 13 alakohdan a mukaisesti tilanteesi perusteella.
• Lauseke 17: vaihtoehto 1, sovelletaan Irlannin lakia. Lauseke 18: Irlannin tuomioistuimet.
• Liite I.A: kohdassa 1 mainitut osapuolet (sinä tietojen viejänä, me tietojen tuojana). Liite I.B: tämän sopimuksen liite I. Liite I.C: lausekkeen 13 mukaisesti määräytyvä. Liite II: tämän sopimuksen liite II. Liite III: tämän sopimuksen liite III.

Yhdistyneen kuningaskunnan lain alaisiin siirtoihin sisällytetään viittauksella ICO:n kansainvälisiä tiedonsiirtoja koskeva lisäys EU:n vakiosopimuslausekkeisiin: taulukko 1, edellä mainitut osapuolet; taulukko 2, edellä valitut lausekkeet; taulukko 3, liitteet I–III; taulukko 4, kumpi tahansa osapuoli voi päättää lisäyksen sen 19 kohdan mukaisesti.

LGPD:n alaisissa kansainvälisissä tiedonsiirroissa osapuolet ottavat Käyttöehdot hyväksymällä käyttöön päätöksen CD/ANPD nro 19/2024 liitteen II vakiosopimuslausekkeet kokonaisuudessaan ja muuttamattomina. Virallinen portugalinkielinen teksti on ratkaiseva.

• Osio I: sinä olet viejä (rekisterinpitäjä) ja me olemme tuoja (käsittelijä); siirto on kuvattu liitteessä I.
• Osio III (turvatoimet): liite II.
• Osio IV: ei lisälausekkeita.

Mikään muu tämän tietojenkäsittelysopimuksen tai Käyttöehtojen ehto ei voi sulkea pois, muuttaa tai olla ristiriidassa näiden lausekkeiden kanssa.

Henkilötietojen siirroissa kuningaskunnan ulkopuolelle osapuolet ottavat Käyttöehdot hyväksymällä käyttöön Saudi-Arabian data- ja tekoälyviranomaisen (SDAIA) antamat henkilötietojen siirtoa koskevat vakiosopimuslausekkeet, mallin 2 (rekisterinpitäjältä käsittelijälle), muuttamattomina.

• Osapuolet: sinä olet viejä ja me olemme tuoja.
• Mallin liitteet 1–3: tämän sopimuksen kohta 1, liite I ja liite II.
• Näihin lausekkeisiin sovelletaan Saudi-Arabian kuningaskunnan lakeja, ja sen tuomioistuimilla on toimivalta lausekkeiden mukaisesti.
• Ilmoitamme sinulle tietoturvaloukkauksesta 24 tunnin kuluessa, välitämme rekisteröityjen pyynnöt 48 tunnin kuluessa ja teemme yhteistyötä SDAIA:n kanssa kaikissa auditoinneissa.
• Kerromme sinulle, mitkä kuningaskunnan ulkopuoliset alikäsittelijät ovat liittyneet näihin lausekkeisiin ja mitkä eivät ole, ennen kuin tukeudumme niihin tietojesi osalta.