Aneks dotyczący przetwarzania danych

Na potrzeby niniejszego Dodatku do Przetwarzania Danych, terminy pisane wielką literą, które nie zostały w nim zdefiniowane, mają znaczenie nadane im w Warunkach Świadczenia Usług AI92. Terminy dotyczące ochrony danych pisane wielką literą mają znaczenie nadane im w Obowiązujących przepisach o ochronie danych, zdefiniowanych w niniejszej Sekcji.

Obowiązujące przepisy o ochronie danych. „Obowiązujące przepisy o ochronie danych” oznaczają wszystkie przepisy dotyczące ochrony danych, prywatności i podobne przepisy mające zastosowanie do przetwarzania Danych Osobowych na mocy niniejszego DPA, w brzmieniu zmienianym lub zastępowanym od czasu do czasu, w tym między innymi:

Europa. Ogólne rozporządzenie o ochronie danych Unii Europejskiej (rozporządzenie (UE) 2016/679, „RODO”), ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa odczytywane łącznie z ustawą o ochronie danych z 2018 r., szwajcarska federalna ustawa o ochronie danych („FADP”), norweska ustawa o danych osobowych, islandzka ustawa 90/2018, ustawa o ochronie danych Liechtensteinu oraz przepisy wykonawcze o ochronie danych każdego państwa członkowskiego Europejskiego Obszaru Gospodarczego.

Ameryka Północna. W Stanach Zjednoczonych: California Consumer Privacy Act ze zmianami wprowadzonymi przez California Privacy Rights Act („CCPA/CPRA”), Virginia Consumer Data Protection Act, Colorado Privacy Act, Connecticut Data Privacy Act, Utah Consumer Privacy Act, Texas Data Privacy and Security Act, Oregon Consumer Privacy Act i analogiczne stanowe przepisy dotyczące prywatności, które wchodzą w życie. W Kanadzie: Personal Information Protection and Electronic Documents Act („PIPEDA”), ustawa Quebecu nr 25, Alberta's Personal Information Protection Act, British Columbia's Personal Information Protection Act i Privacy Act.

Ameryka Łacińska i Karaiby. Brazylijska ustawa o ochronie danych osobowych („LGPD”, ustawa 13.709), meksykańska federalna ustawa o ochronie danych osobowych w posiadaniu podmiotów prywatnych („LFPDPPP”), argentyńska ustawa o ochronie danych osobowych 25.326, kolumbijska ustawa ustawowa 1581 z 2012 r., chilijska ustawa 19.628, peruwiańska ustawa 29733, urugwajska ustawa 18.331, ekwadorska ustawa organiczna o ochronie danych osobowych, kostarykańska ustawa 8968, dominikańska ustawa 172-13, panamska ustawa 81 z 2019 r., paragwajska ustawa 6534/2020 i analogiczne statuty każdego innego kraju w regionie.

Afryka. Południowoafrykańska ustawa o ochronie danych osobowych („POPIA”), nigeryjska ustawa o ochronie danych osobowych z 2023 r. („NDPA”) i nigeryjskie rozporządzenie o ochronie danych z 2019 r., kenijska ustawa o ochronie danych z 2019 r., egipska ustawa o ochronie danych osobowych (ustawa 151 z 2020 r.), ghańska ustawa o ochronie danych z 2012 r., marokańska ustawa 09-08, tunezyjska ustawa organiczna 2004-63, mauretańska ustawa o ochronie danych z 2017 r., senegalska ustawa 2008-12, ustawa Wybrzeża Kości Słoniowej 2013-450, rwandyjska ustawa 058/2021, ugandyjska ustawa o ochronie danych i prywatności z 2019 r., tanzańska ustawa o ochronie danych osobowych z 2022 r., zimbabweńska ustawa o cyberbezpieczeństwie i ochronie danych 5 z 2021 r., algierska ustawa 18-07, madagaskarska ustawa 2014-038, konwencja Unii Afrykańskiej o cyberbezpieczeństwie i ochronie danych osobowych („Konwencja z Malabo”), akt uzupełniający ECOWAS w sprawie ochrony danych osobowych i analogiczne statuty każdego innego narodu afrykańskiego.

Azja i Pacyfik. Australijska ustawa o prywatności z 1988 r., nowozelandzka ustawa o prywatności z 2020 r., japońska ustawa o ochronie informacji osobowych („APPI”), południowokoreańska ustawa o ochronie informacji osobowych („PIPA”), singapurska ustawa o ochronie danych osobowych z 2012 r. („PDPA”), tajska ustawa o ochronie danych osobowych B.E. 2562 (2019), wietnamski dekret o ochronie danych osobowych 13/2023, filipińska ustawa o ochronie danych z 2012 r., indonezyjska ustawa o ochronie danych osobowych 27/2022, malezyjska ustawa o ochronie danych osobowych z 2010 r., indyjska ustawa o cyfrowej ochronie danych osobowych z 2023 r. („DPDPA”), chińska ustawa o ochronie informacji osobowych („PIPL”), tajwańska ustawa o ochronie danych osobowych, hongkońska ustawa o ochronie danych osobowych (prywatność), ustawa o ochronie danych osobowych Makau i analogiczne statuty każdej innej jurysdykcji Azji i Pacyfiku.

Bliski Wschód. Federalny dekret-ustawa Zjednoczonych Emiratów Arabskich nr 45 z 2021 r. o ochronie danych osobowych i ustawa o ochronie danych Dubai International Financial Centre, ustawa o ochronie danych osobowych Arabii Saudyjskiej, izraelska ustawa o ochronie prywatności 5741-1981 i jej przepisy wykonawcze, katarska ustawa o ochronie prywatności danych osobowych (ustawa 13/2016) i przepisy QFC dotyczące ochrony danych, bahrajńska ustawa o ochronie danych osobowych (ustawa 30/2018), omańska ustawa o ochronie danych osobowych (dekret królewski 6/2022), jordańska ustawa o ochronie danych osobowych z 2023 r., turecka ustawa o ochronie danych osobowych („KVKK”, ustawa 6698) i analogiczne statuty każdej innej jurysdykcji Bliskiego Wschodu.

Eurazja i inne regiony. Federalna ustawa Federacji Rosyjskiej o danych osobowych (nr 152-FZ), kazachska ustawa o danych osobowych i ich ochronie, uzbecka ustawa o danych osobowych i analogiczne statuty każdej innej jurysdykcji, w której AI92 lub Klient przetwarzają Dane Osobowe.

Klauzula ogólna. Wszelkie inne przepisy dotyczące ochrony danych, prywatności, poufności telekomunikacyjnej, sektorowe lub podobne przepisy dowolnej jurysdykcji mające zastosowanie do AI92 lub Klienta w związku z przetwarzaniem Danych Osobowych Klienta na mocy niniejszego DPA. AI92 monitoruje rozwój regulacyjny na całym świecie i aktualizuje tę listę (oraz praktyki, które ją wdrażają) w miarę wchodzenia w życie nowych przepisów.

W przypadkach, gdy te systemy używają innej terminologii dla analogicznych pojęć, niniejszy DPA używa terminologii RODO i traktuje odpowiedniki na mocy innych Obowiązujących przepisów o ochronie danych jako terminy kompatybilne. W przypadkach, gdy system nakłada obowiązkowe dodatkowe wymagania (takie jak rejestracja w organie nadzorczym, wyznaczenie lokalnego przedstawiciela lub określone klauzule umowne), AI92 i Klient zgadzają się wprowadzić takie wymagania w życie za pośrednictwem Standardowych Klauzul Umownych, Dodatku UK lub dodatku specyficznego dla danego systemu, jak określono w Sekcji dotyczącej Międzynarodowego Transferu Danych.

Administrator oznacza stronę, która określa cele i sposoby przetwarzania danych osobowych.

Przetwarzający oznacza stronę, która przetwarza dane osobowe w imieniu Administratora.

Dane Osobowe Klienta oznaczają wszelkie dane osobowe zawarte we Wprowadzonych Danych Klienta lub wygenerowane w związku z korzystaniem przez Klienta z Usług API.

Podprocesor oznacza dowolnego procesora zaangażowanego przez AI92 do przetwarzania Danych Osobowych Klienta w imieniu Klienta, w tym dostawców hostingu AI92, podmiot przetwarzający płatności i dostawców usług niższego szczebla.

W relacji regulowanej Warunkami i niniejszym DPA, Klient jest Administratorem Danych Osobowych Klienta, a AI92 jest Procesorem. AI92 jest obsługiwane przez Masada Gateway Ltd. Integracje z platformami Meta (Facebook, Instagram i Threads) są świadczone za pośrednictwem Koloxo West Africa Ltd, zarejestrowanego dewelopera naszych aplikacji Meta, który działa jako procesor dla tych integracji w imieniu Masada Gateway Ltd.

AI92 może również przetwarzać niektóre dane osobowe jako oddzielny Administrator, w tym dane niezbędne do prowadzenia działalności AI92 (dane dotyczące relacji z klientami, dane rozliczeniowe, dane uwierzytelniające, dane audytowe). Warunki regulujące takie przetwarzanie przez Administratora są opisane w Polityce Prywatności AI92 na stronie ai92.ai/privacy-policy.

AI92 przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, zgodnie z Warunkami i niniejszym DPA, lub zgodnie z wymogami obowiązującego prawa.

Jeśli AI92 jest zobowiązana przez obowiązujące prawo do przetwarzania Danych Osobowych Klienta w sposób inny niż na polecenie Klienta, AI92 (w zakresie dozwolonym przez prawo) poinformuje Klienta o tym wymogu przed rozpoczęciem przetwarzania.

AI92 zapewnia, że personel upoważniony do przetwarzania Danych Osobowych Klienta podlega obowiązkom zachowania poufności nie mniej chroniącym niż te określone w Warunkach Świadczenia Usług.

AI92 wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyka związanego z przetwarzaniem Danych Osobowych Klienta, w tym:

(a) pseudonimizację i szyfrowanie danych osobowych w spoczynku i podczas przesyłania;

(b) zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów przetwarzania;

(c) zdolność do przywrócenia dostępności i dostępu do danych osobowych w odpowiednim czasie w przypadku incydentu fizycznego lub technicznego;

(d) proces regularnego testowania, oceniania i ewaluacji skuteczności tych środków.

Aktualna implementacja tych środków jest opisana w dokumentacji bezpieczeństwa AI92. Raporty z audytu SOC 2 AI92 są udostępniane Klientowi na żądanie na warunkach zachowania poufności.

Klient upoważnia AI92 do angażowania Podprocesorów do przetwarzania Danych Osobowych Klienta, z zastrzeżeniem następujących warunków:

(a) AI92 prowadzi aktualną listę Podprocesorów na stronie ai92.ai/sub-processors;

(b) AI92 powiadomi Klienta z co najmniej trzydziestodniowym (30) wyprzedzeniem o każdym dodaniu lub wymianie Podprocesora;

(c) Klient może wnieść sprzeciw wobec każdego nowego Podprocesora z uzasadnionych przyczyn w ciągu piętnastu (15) dni od powiadomienia — jeśli sprzeciw Klienta nie zostanie rozwiązany, Klient może rozwiązać umowę na dotknięte Usługi API i otrzymać proporcjonalny zwrot wszelkich opłaconych z góry opłat;

(d) AI92 nakłada na każdego Podprocesora obowiązki w zakresie ochrony danych, które są nie mniej ochronne niż te zawarte w niniejszym DPA.

Początkowi Podprocesorzy obejmują dostawców hostingu AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform — dla regionów i usług udokumentowanych na stronie ai92.ai/sub-processors), procesor płatności (Stripe, Inc.) oraz hosta dokumentacji (Mintlify, Inc.). Lista na stronie ai92.ai/sub-processors jest autorytatywnym, aktualnym zapisem.

Przetwarzanie Danych Osobowych Klienta przez AI92 może wiązać się z przekazywaniem tych danych poza kraj, w którym mieszka Klient lub osoby, których dane dotyczą. W zakresie, w jakim takie przekazywanie jest ograniczone przez Obowiązujące Przepisy o Ochronie Danych, AI92 wdraża mechanizm transgranicznego przekazywania danych wymagany przez prawo obowiązujące w danej jurysdykcji lub uznawany na jego mocy. Mechanizmy opisane w niniejszej Sekcji mają zastosowanie w odniesieniu do poszczególnych jurysdykcji, a AI92 może polegać na więcej niż jednym mechanizmie w przypadku danego przekazywania.

Europa i Wielka Brytania. W przypadku przekazywania danych podlegających RODO lub UK GDPR, strony przyjmują Standardowe Klauzule Umowne Komisji Europejskiej (Decyzja Wykonawcza 2021/914/UE, Module 2 – Administrator-Procesor) włączone przez odniesienie i uzupełnione w następujący sposób: (i) okresy czasu w Klauzulach 9 i 14 SCC są uzupełniane zgodnie z obowiązującymi progami RODO; (ii) klauzula dokowania nie ma zastosowania do dodatkowych stron bez zgody Klienta; (iii) Załącznik I (Lista Stron) jest uzupełniany danymi identyfikacyjnymi Klienta z rejestracji i AI92 jako importera danych; (iv) Załącznik II (Środki Techniczne i Organizacyjne) odnosi się do dokumentacji bezpieczeństwa AI92; oraz (v) Załącznik III (Podprocesorzy) odnosi się do listy Podprocesorów prowadzonej przez AI92. W przypadku przekazywania danych na mocy UK GDPR, strony dodatkowo przyjmują Dodatek do Standardowych Klauzul Umownych dotyczący Międzynarodowego Przekazywania Danych wydany przez brytyjskiego Komisarza ds. Informacji. W przypadku, gdy AI92 posiada aktualny certyfikat w ramach Ram Ochrony Danych UE–USA, Ram Ochrony Danych Szwajcaria–USA lub Rozszerzenia Wielkiej Brytanii do Ram Ochrony Danych UE–USA, strony mogą również polegać na tym certyfikacie w przypadku przekazywania danych do infrastruktury AI92 w Stanach Zjednoczonych.

Szwajcaria. W przypadku przekazywania danych podlegających szwajcarskiej FADP, strony przyjmują SCC uznane przez Szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji („FDPIC”), z poprawkami opublikowanymi przez FDPIC dla szwajcarskiego kontekstu prawnego.

Ameryka Łacińska. W przypadku przekazywania danych podlegających brazylijskiej LGPD, strony stosują zasady transgranicznego przekazywania danych zgodnie z Artykułami 33 do 36 LGPD, w tym poleganie (w stosownych przypadkach) na standardowych klauzulach umownych przyjętych przez brazylijski Autoridade Nacional de Proteção de Dados („ANPD”) na mocy Rezolucji 19/2024 oraz wszelkie szczególne zezwolenia wydane przez ANPD, jeśli jest to wymagane. W przypadku przekazywania danych podlegających meksykańskiej LFPDPPP, AI92 przekazuje Klientowi informacje wymagane przez Artykuł 36 LFPDPPP i rozporządzenie wykonawcze, a Klient uzyskuje zgody wymagane od osób, których dane dotyczą. W przypadku przekazywania danych podlegających argentyńskiej Ustawie 25.326, kolumbijskiej Ustawie 1581, chilijskiej Ustawie 19.628, peruwiańskiej Ustawie 29733 lub innym reżimom LATAM, AI92 wdraża standardowe klauzule umowne lub inny mechanizm uznawany przez organ nadzorczy właściwej jurysdykcji.

Afryka. W przypadku przekazywania danych podlegających południowoafrykańskiej POPIA, AI92 zapewnia zgodność z Sekcją 72 POPIA i uzyskuje zgodę osoby, której dane dotyczą, lub polega na odpowiedniej podstawie prawnej. W przypadku przekazywania danych podlegających nigeryjskiej NDPA, kenijskiej Ustawie o Ochronie Danych lub innym afrykańskim reżimom, AI92 zapewnia zgodność z wymogami dotyczącymi transgranicznego przekazywania danych nałożonymi przez właściwy organ nadzorczy (w tym Nigeryjską Komisję Ochrony Danych, Biuro Komisarza ds. Ochrony Danych Kenii, Południowoafrykańskiego Regulatora Informacji i inne równoważne organy regulacyjne) oraz wdraża standardowe klauzule umowne, certyfikację lub inny mechanizm uznawany przez ten organ. AI92, w razie potrzeby, zarejestruje lub wyznaczy lokalnego przedstawiciela i odpowie na zapytania lokalnego regulatora w obowiązujących terminach.

Azja i Pacyfik. W przypadku przekazywania danych podlegających chińskiej PIPL, strony przyjmują Standardową Umowę dotyczącą Transgranicznego Przekazywania Danych Osobowych wydaną przez Chińską Administrację Cyberprzestrzeni, przeprowadzają ocenę bezpieczeństwa z CAC, jeśli przekroczone zostaną progi przekazywania danych, lub polegają na certyfikacji uznawanej na mocy PIPL, w zależności od przypadku. W przypadku przekazywania danych podlegających indyjskiej DPDPA, AI92 ogranicza przekazywanie danych do jurysdykcji dozwolonych przez powiadomienia wydane na mocy Sekcji 16 DPDPA i przestrzega wszelkich szczególnych warunków nałożonych przez przepisy. W przypadku przekazywania danych podlegających australijskiej Ustawie o Prywatności, AI92 podejmuje uzasadnione kroki zgodnie z Australijską Zasadą Prywatności 8, aby zapewnić, że zagraniczny odbiorca postępuje z danymi osobowymi zgodnie z APPs. W przypadku przekazywania danych podlegających japońskiej APPI, południowokoreańskiej PIPA, singapurskiej PDPA, tajlandzkiej PDPA, wietnamskiej PDPD, filipińskiej DPA, indonezyjskiej Ustawie PDP, malezyjskiej PDPA, tajwańskiej PDPA, hongkońskiej PDPO lub innym reżimom Azji i Pacyfiku, AI92 wdraża standardowe klauzule umowne, certyfikację, mechanizm adekwatności międzyrządowej lub inny mechanizm przekazywania danych uznawany przez organ nadzorczy właściwej jurysdykcji.

Bliski Wschód. W przypadku przekazywania danych podlegających PDPL ZEA, Ustawie o Ochronie Danych Międzynarodowego Centrum Finansowego w Dubaju, PDPL Arabii Saudyjskiej, izraelskiej Ustawie o Ochronie Prywatności, PDPPL Kataru, PDPL Bahrajnu, PDPL Omanu, PDPL Jordanii, KVKK Turcji lub innym reżimom Bliskiego Wschodu, AI92 wdraża standardowe klauzule umowne, decyzję o adekwatności lub inny mechanizm uznawany przez organ nadzorczy właściwej jurysdykcji oraz rejestruje lub wyznacza lokalnego przedstawiciela, jeśli jest to wymagane.

Eurazja i inne regiony. W przypadku przekazywania danych podlegających Federalnej Ustawie Federacji Rosyjskiej 152-FZ, AI92 przestrzega wymogów lokalizacji określonych w Artykule 18(5) i uzyskuje pisemną zgodę osoby, której dane dotyczą, jeśli jest to wymagane. W przypadku przekazywania danych podlegających kazachskiej Ustawie o Danych Osobowych, uzbeckiej Ustawie o Danych Osobowych lub innym Obowiązującym Przepisom o Ochronie Danych, AI92 wdraża mechanizm transgranicznego przekazywania danych wymagany przez prawo obowiązujące w danej jurysdykcji lub uznawany na jego mocy.

Ogólne. W przypadku, gdy Obowiązujące Przepisy o Ochronie Danych jurysdykcji Klienta wymagają określonego mechanizmu przekazywania danych, klauzul umownych lub zgłoszenia regulacyjnego, które nie są wyraźnie wymienione powyżej, AI92, na uzasadnione żądanie Klienta i na koszt Klienta (jeśli wystąpi), wykona lub wdroży dodatkową dokumentację uzasadnioną w celu wprowadzenia tego mechanizmu w życie. AI92 monitoruje rozwój regulacyjny na całym świecie i aktualizuje powyższe mechanizmy przekazywania danych w miarę wchodzenia w życie nowych wymogów.

AI92, w zakresie prawnie dozwolonym, niezwłocznie powiadomi Klienta, jeśli AI92 otrzyma od osoby, której dane dotyczą, żądanie dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia lub sprzeciwu (dalej jako Żądanie osoby, której dane dotyczą). AI92 nie odpowiada na takie Żądanie osoby, której dane dotyczą, z wyjątkiem instrukcji Klienta, chyba że jest to wymagane przez obowiązujące prawo.

AI92 przekaże Klientowi informacje i rozsądną pomoc, jakiej Klient może potrzebować, aby umożliwić Klientowi odpowiedź na Żądanie osoby, której dane dotyczą, w tym poprzez zapewnienie lub ułatwienie zapewnienia eksportu danych.

AI92 powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od uzyskania informacji o jakimkolwiek naruszeniu danych osobowych mającym wpływ na Dane osobowe Klienta.

Powiadomienie zawiera, w znanym wówczas zakresie: (a) opis charakteru naruszenia, w tym kategorie danych osobowych i przybliżoną liczbę osób, których dane dotyczą; (b) prawdopodobne konsekwencje; (c) środki podjęte lub proponowane w celu usunięcia naruszenia; oraz (d) imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego w celu uzyskania dalszych informacji.

Na żądanie AI92 udzieli Klientowi rozsądnej pomocy w zakresie oceny skutków dla ochrony danych lub wcześniejszych konsultacji z organami nadzorczymi, które Klient jest zobowiązany przeprowadzić na mocy art. 35 RODO lub analogicznych przepisów prawa LATAM o ochronie danych.

Po rozwiązaniu Warunków AI92, według wyboru Klienta, zwróci lub usunie Dane osobowe Klienta, z zastrzeżeniem przechowywania wymaganego przez obowiązujące prawo i dozwolonego przez niniejszą DPA.

AI92 może przechowywać Dane osobowe Klienta tylko w zakresie wymaganym przez obowiązujące prawo (w tym obowiązki dotyczące dokumentacji podatkowej) lub dozwolonym przez niniejszą DPA, przez okres przechowywania dziennika audytu określony w Polityce prywatności lub przez okres przechowywania księgi kredytowej określony w Polityce prywatności.

Klient (lub niezależny audytor zewnętrzny w sposób uzasadniony akceptowalny dla AI92, związany obowiązkami zachowania poufności) może audytować zgodność AI92 z niniejszą DPA nie częściej niż raz na dwanaście miesięcy, z co najmniej trzydziestodniowym (30) pisemnym powiadomieniem, w normalnych godzinach pracy AI92 i na koszt Klienta.

Zamiast audytu na miejscu, AI92 może dostarczyć Klientowi aktualne raporty z audytu SOC 2, raporty z testów penetracyjnych i inne istotne atesty stron trzecich. Klient zaakceptuje je jako spełniające jego prawa do audytu, chyba że nie odnoszą się one do uzasadnionych obaw Klienta.

Niniejszy DPA podlega prawu właściwemu dla Warunków świadczenia usług, z wyjątkiem przypadków, gdy bezwzględnie obowiązujące przepisy o ochronie danych wymagają innego prawa właściwego.

W przypadku konfliktu między Warunkami a niniejszą DPA, niniejsza DPA ma zastosowanie w odniesieniu do przetwarzania danych osobowych.

Jeśli jesteś klientem Enterprise z umową Master Services Agreement (MSA), warunki DPA mogą być modyfikowane przez Twoją MSA. W przypadku konfliktu, MSA ma zastosowanie.

Jeśli masz jakiekolwiek pytania dotyczące niniejszego aneksu dotyczącego przetwarzania danych, skontaktuj się z nami:

• W przypadku ogólnych zapytań: [email protected]
• W przypadku zapytań dotyczących ochrony danych i prywatności: [email protected]
• W sprawach prawnych: [email protected]