Dodatak o obradi podataka

U svrhu ovog Dodatka o obradi podataka, pojmovi pisani velikim slovima koji ovdje nisu definirani imaju značenja koja su im dana u Uvjetima pružanja usluge AI92. Pojmovi o zaštiti podataka pisani velikim slovima imaju značenja koja su im dana u Mjerodavnim zakonima o zaštiti podataka kako su definirani u ovom odjeljku.

Mjerodavni zakoni o zaštiti podataka. „Mjerodavni zakoni o zaštiti podataka” označavaju sve zakone o zaštiti podataka, privatnosti i slične zakone koji se primjenjuju na obradu osobnih podataka u skladu s ovim DPA-om, kako se mogu povremeno mijenjati ili zamijeniti, uključujući, bez ograničenja:

Europa. Opća uredba o zaštiti podataka Europske unije (Uredba (EU) 2016/679, „GDPR”), Opća uredba o zaštiti podataka Ujedinjenog Kraljevstva koja se čita zajedno sa Zakonom o zaštiti podataka iz 2018., Savezni zakon Švicarske o zaštiti podataka („FADP”), Norveški zakon o osobnim podacima, Islandski zakon 90/2018, Zakon Lihtenštajna o zaštiti podataka i provedbeni zakoni o zaštiti podataka svake države članice Europskog gospodarskog prostora.

Sjeverna Amerika. U Sjedinjenim Državama: Kalifornijski zakon o zaštiti privatnosti potrošača kako je izmijenjen Kalifornijskim zakonom o pravima privatnosti („CCPA/CPRA”), Virginijski zakon o zaštiti podataka potrošača, Koloradski zakon o privatnosti, Zakon Connecticuta o privatnosti podataka, Zakon Utaha o privatnosti potrošača, Teksaški zakon o privatnosti i sigurnosti podataka, Oregonski zakon o zaštiti privatnosti potrošača i analogni zakoni o privatnosti na državnoj razini kako stupaju na snagu. U Kanadi: Zakon o zaštiti osobnih podataka i elektroničkih dokumenata („PIPEDA”), Zakon 25 Quebeca, Zakon Alberte o zaštiti osobnih podataka, Zakon Britanske Kolumbije o zaštiti osobnih podataka i Zakon o privatnosti.

Latinska Amerika i Karibi. Brazilski Opći zakon o zaštiti podataka („LGPD”, Zakon 13.709), Meksički savezni zakon o zaštiti osobnih podataka u posjedu privatnih osoba („LFPDPPP”), Argentinski zakon o zaštiti osobnih podataka 25.326, Kolumbijski statutarni zakon 1581 iz 2012., Čileanski zakon 19.628, Peruanski zakon 29733, Urugvajski zakon 18.331, Ekvadorski organski zakon o zaštiti osobnih podataka, Kostarikanski zakon 8968, Zakon Dominikanske Republike 172-13, Panamski zakon 81 iz 2019., Paragvajski zakon 6534/2020 i analogni statuti svake druge zemlje u regiji.

Afrika. Južnoafrički zakon o zaštiti osobnih podataka („POPIA”), Nigerijski zakon o zaštiti podataka Nigerije iz 2023. („NDPA”) i Nigerijska uredba o zaštiti podataka iz 2019., Kenijski zakon o zaštiti podataka iz 2019., Egipatski zakon o zaštiti osobnih podataka (Zakon 151 iz 2020.), Ganski zakon o zaštiti podataka iz 2012., Marokanski zakon 09-08, Tuniski organski zakon 2004-63, Zakon Mauricijusa o zaštiti podataka iz 2017., Senegalski zakon 2008-12, Zakon Obale Bjelokosti 2013-450, Ruandski zakon 058/2021, Ugandski zakon o zaštiti podataka i privatnosti iz 2019., Tanzanijski zakon o zaštiti osobnih podataka iz 2022., Zimbabveanski zakon o kibernetičkoj i zaštiti podataka 5 iz 2021., Alžirski zakon 18-07, Madagaskarski zakon 2014-038, Konvencija Afričke unije o kibernetičkoj sigurnosti i zaštiti osobnih podataka („Konvencija iz Malaba”), Dopunski akt ECOWAS-a o zaštiti osobnih podataka i analogni statuti svake druge afričke nacije.

Azija-Pacifik. Australski zakon o privatnosti iz 1988., Novozelandski zakon o privatnosti iz 2020., Japanski zakon o zaštiti osobnih podataka („APPI”), Zakon Južne Koreje o zaštiti osobnih podataka („PIPA”), Singapurski zakon o zaštiti osobnih podataka iz 2012. („PDPA”), Tajlandski zakon o zaštiti osobnih podataka B.E. 2562 (2019.), Vijetnamska uredba o zaštiti osobnih podataka 13/2023, Filipinski zakon o privatnosti podataka iz 2012., Indonezijski zakon o zaštiti osobnih podataka 27/2022, Malezijski zakon o zaštiti osobnih podataka iz 2010., Indijski Zakon o digitalnoj zaštiti osobnih podataka iz 2023. („DPDPA”), Kineski zakon o zaštiti osobnih podataka („PIPL”), Tajvanski zakon o zaštiti osobnih podataka, Zakon Hong Konga o osobnim podacima (privatnosti), Zakon Macaua o zaštiti osobnih podataka i analogni statuti svake druge jurisdikcije Azije i Pacifika.

Bliski istok. Savezni zakon Ujedinjenih Arapskih Emirata 45 iz 2021. o zaštiti osobnih podataka i Zakon o zaštiti podataka Međunarodnog financijskog centra Dubai, Zakon Saudijske Arabije o zaštiti osobnih podataka, Izraelski zakon o zaštiti privatnosti 5741-1981 i njegove provedbene uredbe, Katarski zakon o zaštiti privatnosti osobnih podataka (Zakon 13/2016) i Uredbe QFC-a o zaštiti podataka, Zakon Bahreina o zaštiti osobnih podataka (Zakon 30/2018), Zakon Omana o zaštiti osobnih podataka (Kraljevski dekret 6/2022), Jordanski zakon o zaštiti osobnih podataka iz 2023., Turski zakon o zaštiti osobnih podataka („KVKK”, Zakon 6698) i analogni statuti svake druge bliskoistočne jurisdikcije.

Euroazija i druge regije. Savezni zakon Ruske Federacije o osobnim podacima (br. 152-FZ), Kazahstanski zakon o osobnim podacima i njegovoj zaštiti, Uzbekistanski zakon o osobnim podacima i analogni statuti svake druge jurisdikcije u kojoj AI92 ili Korisnik obrađuju osobne podatke.

Sveobuhvatno. Bilo koji drugi zakon o zaštiti podataka, privatnosti, povjerljivosti telekomunikacija, sektorski ili sličan zakon bilo koje jurisdikcije koji se primjenjuje na AI92 ili Korisnika u vezi s obradom osobnih podataka Korisnika u skladu s ovim DPA-om. AI92 prati regulatorna kretanja na globalnoj razini i ažurira ovaj popis (i prakse koje ga provode) kako novi zakoni stupaju na snagu.

Kada ti režimi koriste različitu terminologiju za analogne koncepte, ovaj DPA koristi GDPR terminologiju i tretira ekvivalente prema drugim Mjerodavnim zakonima o zaštiti podataka kao kompatibilne pojmove. Kada režim nameće obvezne dodatne zahtjeve (kao što je registracija kod nadzornog tijela, imenovanje lokalnog predstavnika ili posebne ugovorne klauzule), AI92 i Korisnik suglasni su da će provesti takve zahtjeve putem Standardnih ugovornih klauzula, Dodatka Ujedinjenog Kraljevstva ili vozača specifičnog za režim kako je navedeno u Odjeljku o međunarodnim prijenosima podataka.

Voditelj obrade označava stranu koja određuje svrhe i načine obrade osobnih podataka.

Izvršitelj obrade označava stranu koja obrađuje osobne podatke u ime Voditelja obrade.

Osobni podaci Korisnika označavaju sve osobne podatke sadržane u Unosu Korisnika ili generirane u vezi s korištenjem API usluga od strane Korisnika.

Podizvršitelj obrade označava svakog izvršitelja obrade kojeg je angažirao AI92 za obradu osobnih podataka Korisnika u ime Korisnika, uključujući pružatelje usluga hostinga AI92, obrađivača plaćanja i pružatelje usluga nizvodno.

U odnosu reguliranom Uvjetima i ovim DPA, Kupac je Voditelj obrade osobnih podataka Kupca, a AI92 je Izvršitelj obrade. AI92 upravlja Masada Gateway Ltd. Integracije s Meta platformama (Facebook, Instagram i Threads) pružaju se putem Koloxo West Africa Ltd, registriranog razvojnog programera naših Meta aplikacija, koji djeluje kao izvršitelj obrade za te integracije u ime Masada Gateway Ltd.

AI92 također može obrađivati određene osobne podatke kao zaseban Voditelj obrade, uključujući podatke potrebne za poslovanje AI92 (podaci o odnosu s klijentima, podaci o naplati, vjerodajnice za autentifikaciju, podaci o reviziji). Uvjeti koji uređuju takvu obradu od strane Voditelja obrade opisani su u Pravilima o privatnosti AI92 na ai92.ai/privacy-policy.

AI92 će obrađivati Osobne podatke korisnika samo prema dokumentiranim uputama Korisnika, kako je navedeno u Uvjetima i ovom DPA-u, ili kako to zahtijeva primjenjivi zakon.

Ako se od AI92 zahtijeva primjenjivim zakonom da obrađuje Osobne podatke korisnika drugačije nego što je Korisnik uputio, AI92 će (gdje je to zakonski dopušteno) obavijestiti Korisnika o tom zahtjevu prije obrade.

AI92 će osigurati da je osoblje ovlašteno za obradu Osobnih podataka korisnika podložno obvezama povjerljivosti koje nisu manje zaštitne od onih navedenih u Uvjetima pružanja usluge.

AI92 će implementirati odgovarajuće tehničke i organizacijske mjere kako bi osigurao razinu sigurnosti koja je primjerena riziku koji predstavlja obrada Osobnih podataka korisnika, uključujući:

(a) pseudonimizaciju i enkripciju osobnih podataka u mirovanju i u prijenosu;

(b) sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava obrade;

(c) sposobnost vraćanja dostupnosti i pristupa osobnim podacima na vrijeme u slučaju fizičkog ili tehničkog incidenta;

(d) postupak redovitog testiranja, procjene i vrednovanja učinkovitosti ovih mjera.

Trenutna implementacija ovih mjera opisana je u sigurnosnoj dokumentaciji AI92. Izvješća o reviziji SOC 2 tvrtke AI92 dostupna su Korisniku na zahtjev pod uvjetima povjerljivosti.

Korisnik ovlašćuje AI92 da angažira podizvršitelje za obradu osobnih podataka korisnika, pod sljedećim uvjetima:

(a) AI92 vodi ažuran popis podizvršitelja na ai92.ai/sub-processors;

(b) AI92 će korisniku dati najmanje trideset (30) dana obavijesti o svakom dodavanju ili zamjeni podizvršitelja;

(c) Korisnik se može usprotiviti svakom novom podizvršitelju iz opravdanih razloga u roku od petnaest (15) dana od obavijesti — ako se prigovor korisnika ne može riješiti, korisnik može raskinuti pogođene API usluge i primiti proporcionalni povrat svih unaprijed plaćenih naknada;

(d) AI92 nameće obveze zaštite podataka svakom podizvršitelju koje nisu manje zaštitne od onih u ovom DPA.

Početni podizvršitelji uključuju pružatelje usluga hostinga AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform — za regije i usluge dokumentirane na ai92.ai/sub-processors), obrađivača plaćanja (Stripe, Inc.) i hosta dokumentacije (Mintlify, Inc.). Popis na ai92.ai/sub-processors je vjerodostojna trenutna evidencija.

Obrada osobnih podataka korisnika od strane AI92 može uključivati prijenos tih podataka izvan zemlje u kojoj korisnik ili ispitanici borave. U mjeri u kojoj je takav prijenos ograničen važećim zakonima o zaštiti podataka, AI92 provodi mehanizam prekograničnog prijenosa koji zahtijeva ili priznaje zakon jurisdikcije podrijetla. Mehanizmi u ovom odjeljku primjenjuju se na temelju pojedine jurisdikcije, a AI92 se može osloniti na više od jednog mehanizma za određeni prijenos.

Europa i Ujedinjeno Kraljevstvo. Za prijenose koji podliježu GDPR-u ili UK GDPR-u, stranke usvajaju Standardne ugovorne klauzule Europske komisije (Provedbena odluka 2021/914/EU, Module 2 – Voditelj obrade – Izvršitelj obrade) ugrađene pozivanjem i dopunjene kako slijedi: (i) vremenska razdoblja u klauzulama 9 i 14 SCC-ova dovršena su u skladu s primjenjivim pragovima GDPR-a; (ii) klauzula o pristajanju ne primjenjuje se na dodatne stranke bez pristanka korisnika; (iii) Prilog I. (Popis stranaka) dopunjen je identifikacijskim podacima korisnika iz registracije i AI92 kao uvoznikom podataka; (iv) Prilog II. (Tehničke i organizacijske mjere) odnosi se na sigurnosnu dokumentaciju AI92; i (v) Prilog III. (Podizvršitelji obrade) odnosi se na popis podizvršitelja obrade koji održava AI92. Za prijenose prema UK GDPR-u, stranke dodatno usvajaju Dodatak za međunarodni prijenos podataka Povjerenika za informacije Ujedinjenog Kraljevstva SCC-ovima. Ako AI92 posjeduje važeći certifikat prema Okviru za zaštitu podataka EU-SAD, Okviru za zaštitu podataka Švicarska-SAD ili Proširenju Ujedinjenog Kraljevstva na Okvir za zaštitu podataka EU-SAD, stranke se također mogu osloniti na taj certifikat za prijenose u infrastrukturu AI92 u Sjedinjenim Državama.

Švicarska. Za prijenose koji podliježu švicarskom FADP-u, stranke usvajaju SCC-ove koje priznaje švicarski Savezni povjerenik za zaštitu podataka i informacija („FDPIC”), s prilagodbama koje je objavio FDPIC za švicarski pravni kontekst.

Latinska Amerika. Za prijenose koji podliježu brazilskom LGPD-u, stranke provode režim prekograničnog prijenosa prema člancima 33. do 36. LGPD-a, uključujući oslanjanje (prema potrebi) na standardne ugovorne klauzule koje je usvojila brazilska Autoridade Nacional de Proteção de Dados („ANPD”) prema Rezoluciji 19/2024 i svako posebno odobrenje koje je izdala ANPD ako je potrebno. Za prijenose koji podliježu meksičkom LFPDPPP-u, AI92 korisniku pruža objave koje zahtijeva članak 36. LFPDPPP-a i provedbeni propis, a korisnik dobiva suglasnosti koje zahtijevaju ispitanici. Za prijenose koji podliježu argentinskom Zakonu 25.326, kolumbijskom Zakonu 1581, čileanskom Zakonu 19.628, peruanskom Zakonu 29733 ili drugim režimima LATAM-a, AI92 provodi standardne ugovorne klauzule ili drugi mehanizam koji priznaje nadzorno tijelo relevantne jurisdikcije.

Afrika. Za prijenose koji podliježu južnoafričkom POPIA-i, AI92 osigurava usklađenost s odjeljkom 72. POPIA-e i dobiva pristanak ispitanika ili se oslanja na primjenjivu zakonsku osnovu. Za prijenose koji podliježu nigerijskom NDPA-u, kenijskom Zakonu o zaštiti podataka ili drugim afričkim režimima, AI92 osigurava usklađenost sa zahtjevima za prekogranični prijenos koje nameće relevantno nadzorno tijelo (uključujući Nigerijsku komisiju za zaštitu podataka, Ured povjerenika za zaštitu podataka Kenije, Južnoafričkog regulatora za informacije i druge ekvivalentne regulatore) i provodi standardne ugovorne klauzule, certifikat ili drugi mehanizam koji priznaje to tijelo. AI92 će, prema potrebi, registrirati ili imenovati lokalnog predstavnika i odgovoriti na upite lokalnog regulatora u primjenjivim rokovima.

Azija-Pacifik. Za prijenose koji podliježu kineskom PIPL-u, stranke usvajaju Standardni ugovor za prekogranični prijenos osobnih podataka koji je izdala Uprava za kibernetski prostor Kine, dovršavaju sigurnosnu procjenu s CAC-om ako su prekoračeni pragovi prijenosa ili se oslanjaju na certifikat priznat prema PIPL-u, prema potrebi. Za prijenose koji podliježu indijskom DPDPA-u, AI92 ograničava prijenose na jurisdikcije dopuštene obavijestima izdanim prema odjeljku 16. DPDPA-a i poštuje sve posebne uvjete koje nameću pravila. Za prijenose koji podliježu australskom Zakonu o privatnosti, AI92 poduzima razumne korake prema australskom načelu privatnosti 8 kako bi osigurao da prekomorski primatelj postupa s osobnim podacima u skladu s APP-ovima. Za prijenose koji podliježu japanskom APPI-u, južnokorejskom PIPA-u, singapurskom PDPA-u, tajlandskom PDPA-u, vijetnamskom PDPD-u, filipinskom DPA-u, indonezijskom Zakonu o PDP-u, malezijskom PDPA-u, tajvanskom PDPA-u, hongkonškom PDPO-u ili drugim režimima Azije i Pacifika, AI92 provodi standardne ugovorne klauzule, certifikat, mehanizam primjerenosti između vlada ili drugi mehanizam prijenosa koji priznaje nadzorno tijelo relevantne jurisdikcije.

Bliski istok. Za prijenose koji podliježu UAE PDPL-u, Zakonu o zaštiti podataka Međunarodnog financijskog centra Dubai, PDPL-u Saudijske Arabije, izraelskom Zakonu o zaštiti privatnosti, katarskom PDPPL-u, bahreinskom PDPL-u, omanskom PDPL-u, jordanskom PDPL-u, turskom KVKK-u ili drugim bliskoistočnim režimima, AI92 provodi standardne ugovorne klauzule, odluku o primjerenosti ili drugi mehanizam koji priznaje nadzorno tijelo relevantne jurisdikcije i registrira ili imenuje lokalnog predstavnika prema potrebi.

Euroazija i druge regije. Za prijenose koji podliježu Saveznom zakonu Ruske Federacije 152-FZ, AI92 poštuje zahtjeve za lokalizaciju iz članka 18.(5) i dobiva pisani pristanak ispitanika prema potrebi. Za prijenose koji podliježu kazahstanskom Zakonu o osobnim podacima, uzbekistanskom Zakonu o osobnim podacima ili bilo kojem drugom primjenjivom zakonu o zaštiti podataka, AI92 provodi mehanizam prekograničnog prijenosa koji zahtijeva ili priznaje zakon jurisdikcije podrijetla.

Općenito. Ako primjenjivi zakoni o zaštiti podataka jurisdikcije korisnika zahtijevaju poseban mehanizam prijenosa, ugovorne klauzule ili regulatornu prijavu koji nisu izričito navedeni gore, AI92 će, na razumni zahtjev korisnika i o trošku korisnika (ako postoji), izvršiti ili provesti dodatnu dokumentaciju koja je razumno potrebna za provedbu tog mehanizma. AI92 prati regulatorna kretanja na globalnoj razini i ažurira gore navedene mehanizme prijenosa kako novi zahtjevi stupe na snagu.

AI92 će, u mjeri u kojoj je to zakonski dopušteno, odmah obavijestiti Kupca ako AI92 primi zahtjev od ispitanika za pristup, ispravak, brisanje, ograničenje obrade, prenosivost ili prigovor (u daljnjem tekstu: Zahtjev ispitanika). AI92 neće odgovoriti na takav Zahtjev ispitanika osim prema uputama Kupca, osim ako to zahtijeva primjenjivi zakon.

AI92 će Kupcu pružiti informacije i razumnu pomoć koja može biti potrebna Kupcu kako bi Kupac mogao odgovoriti na Zahtjev ispitanika, uključujući pružanje ili olakšavanje pružanja izvoza podataka.

AI92 će bez nepotrebnog odgađanja, a u svakom slučaju u roku od sedamdeset i dva (72) sata od saznanja, obavijestiti Kupca o svakoj povredi osobnih podataka koja utječe na Osobne podatke Kupca.

Obavijest će uključivati, u mjeri u kojoj je to tada poznato: (a) opis prirode povrede, uključujući kategorije osobnih podataka i približan broj ispitanika na koje se povreda odnosi; (b) vjerojatne posljedice; (c) mjere poduzete ili predložene za rješavanje povrede; i (d) ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke za daljnje informacije.

Na zahtjev, AI92 će pružiti razumnu pomoć Kupcu u vezi s procjenom učinka na zaštitu podataka ili prethodnim savjetovanjem s nadzornim tijelima koje je Kupac dužan provesti prema članku 35. Opće uredbe o zaštiti podataka ili analognim odredbama zakona o zaštiti podataka LATAM-a.

Po prestanku Uvjeta, AI92 će, prema izboru Kupca, vratiti ili izbrisati Osobne podatke Kupca, podložno zadržavanju kako to zahtijeva primjenjivi zakon i kako je dopušteno ovim DPU-om.

AI92 može zadržati Osobne podatke Kupca samo kako to zahtijeva primjenjivi zakon (uključujući obveze porezne evidencije) ili kako je dopušteno ovim DPU-om, za razdoblje zadržavanja zapisnika revizije navedeno u Pravilima o privatnosti ili za razdoblje zadržavanja kreditne knjige navedeno u Pravilima o privatnosti.

Kupac (ili neovisni revizor treće strane koji je razumno prihvatljiv AI92, obvezan obvezama povjerljivosti) može revidirati usklađenost AI92 s ovim DPU-om ne više od jednom u razdoblju od dvanaest mjeseci, uz najmanje trideset (30) dana prethodne pisane obavijesti, tijekom uobičajenog radnog vremena AI92 i o trošku Kupca.

Umjesto revizije na licu mjesta, AI92 može korisniku pružiti svoja tada važeća izvješća o reviziji SOC 2, izvješća o testiranju penetracije i druge relevantne potvrde trećih strana. Korisnik će ih prihvatiti kao zadovoljavajuće svoja prava na reviziju, osim ako ne rješavaju razumne brige korisnika.

Ovaj DPA uređen je istim zakonom kao i Uvjeti pružanja usluge, osim ako obvezno pravo o zaštiti podataka ne zahtijeva drugačije mjerodavno pravo.

U slučaju sukoba između Uvjeta i ovog DPA, ovaj DPA kontrolira u pogledu obrade osobnih podataka.

Ako ste korisnik Enterprise s Ugovorom o glavnim uslugama (MSA), uvjeti DPA mogu se izmijeniti vašim MSA. U slučaju sukoba, MSA kontrolira.

Ako imate pitanja o ovom Dodatku o obradi podataka, kontaktirajte nas:

• Za općenite upite: [email protected]
• Za upite o zaštiti podataka i privatnosti: [email protected]
• Za pravna pitanja: [email protected]