Dodatak za obradu podataka

Za potrebe ovog Dodatka o obradi podataka, pojmovi pisani velikim početnim slovom koji ovdje nisu definirani imaju značenja koja su im dana u Uvjetima pružanja usluge AI92. Pojmovi o zaštiti podataka pisani velikim početnim slovom imaju značenja koja su im dana u Mjerodavnim zakonima o zaštiti podataka kako su definirani u ovom odjeljku.

Mjerodavni zakoni o zaštiti podataka. „Mjerodavni zakoni o zaštiti podataka” označavaju sve zakone o zaštiti podataka, privatnosti i slične zakone koji se primjenjuju na obradu osobnih podataka u skladu s ovim DPA-om, kako se mogu povremeno mijenjati ili zamjenjivati, uključujući, bez ograničenja:

Europa. Opća uredba o zaštiti podataka Europske unije (Uredba (EU) 2016/679, „GDPR”), Opća uredba o zaštiti podataka Ujedinjenog Kraljevstva koja se čita zajedno sa Zakonom o zaštiti podataka iz 2018., Savezni zakon Švicarske o zaštiti podataka („FADP”), Zakon Norveške o osobnim podacima, Zakon Islanda 90/2018, Zakon Lihtenštajna o zaštiti podataka i provedbeni zakoni o zaštiti podataka svake države članice Europskog gospodarskog prostora.

Sjeverna Amerika. U Sjedinjenim Državama: Zakon o privatnosti potrošača u Kaliforniji kako je izmijenjen Zakonom o pravima privatnosti u Kaliforniji („CCPA/CPRA”), Zakon o zaštiti podataka potrošača u Virginiji, Zakon o privatnosti u Coloradu, Zakon o privatnosti podataka u Connecticutu, Zakon o privatnosti potrošača u Utahu, Zakon o privatnosti i sigurnosti podataka u Teksasu, Zakon o privatnosti potrošača u Oregonu i analogni zakoni o privatnosti na državnoj razini kako stupaju na snagu. U Kanadi: Zakon o zaštiti osobnih podataka i elektroničkih dokumenata („PIPEDA”), Zakon 25 Quebeca, Zakon Alberte o zaštiti osobnih podataka, Zakon Britanske Kolumbije o zaštiti osobnih podataka i Zakon o privatnosti.

Latinska Amerika i Karibi. Brazilski Opći zakon o zaštiti podataka („LGPD”, Zakon 13.709), Meksički savezni zakon o zaštiti osobnih podataka u posjedu privatnih stranaka („LFPDPPP”), Argentinski zakon o zaštiti osobnih podataka 25.326, Kolumbijski statutarni zakon 1581 iz 2012., Čileanski zakon 19.628, Peruanski zakon 29733, Urugvajski zakon 18.331, Ekvadorski organski zakon o zaštiti osobnih podataka, Kostarikanski zakon 8968, Zakon Dominikanske Republike 172-13, Panamski zakon 81 iz 2019., Paragvajski zakon 6534/2020 i analogni statuti svake druge zemlje u regiji.

Afrika. Južnoafrički Zakon o zaštiti osobnih podataka („POPIA”), Nigerijski zakon o zaštiti podataka Nigerije iz 2023. („NDPA”) i Nigerijska uredba o zaštiti podataka iz 2019., Kenijski zakon o zaštiti podataka iz 2019., Egipatski zakon o zaštiti osobnih podataka (Zakon 151 iz 2020.), Ganski zakon o zaštiti podataka iz 2012., Marokanski zakon 09-08, Tuniski organski zakon 2004-63, Zakon Mauricijusa o zaštiti podataka iz 2017., Senegalski zakon 2008-12, Zakon Obale Bjelokosti 2013-450, Ruandski zakon 058/2021, Zakon Ugande o zaštiti podataka i privatnosti iz 2019., Tanzanijski zakon o zaštiti osobnih podataka iz 2022., Zimbabveanski Zakon o kibernetičkoj i zaštiti podataka 5 iz 2021., Alžirski zakon 18-07, Madagaskarski zakon 2014-038, Konvencija Afričke unije o kibernetičkoj sigurnosti i zaštiti osobnih podataka („Konvencija iz Malaba”), Dopunski zakon ECOWAS-a o zaštiti osobnih podataka i analogni statuti svake druge afričke nacije.

Azija-Pacifik. Australski Zakon o privatnosti iz 1988., Zakon Novog Zelanda o privatnosti iz 2020., Japanski zakon o zaštiti osobnih podataka („APPI”), Zakon Južne Koreje o zaštiti osobnih podataka („PIPA”), Zakon Singapura o zaštiti osobnih podataka iz 2012. („PDPA”), Tajlandski zakon o zaštiti osobnih podataka B.E. 2562 (2019.), Vijetnamska uredba o zaštiti osobnih podataka 13/2023, Zakon Filipina o privatnosti podataka iz 2012., Zakon Indonezije o zaštiti osobnih podataka 27/2022, Zakon Malezije o zaštiti osobnih podataka iz 2010., Indijski Zakon o digitalnoj zaštiti osobnih podataka iz 2023. („DPDPA”), Kineski zakon o zaštiti osobnih podataka („PIPL”), Zakon Tajvana o zaštiti osobnih podataka, Uredba Hong Konga o osobnim podacima (privatnosti), Zakon Macaua o zaštiti osobnih podataka i analogni statuti svake druge jurisdikcije Azije i Pacifika.

Bliski istok. Savezni zakon Ujedinjenih Arapskih Emirata 45 iz 2021. o zaštiti osobnih podataka i Zakon o zaštiti podataka Međunarodnog financijskog centra Dubai, Zakon Saudijske Arabije o zaštiti osobnih podataka, Izraelski zakon o zaštiti privatnosti 5741-1981 i njegove provedbene uredbe, Zakon Katara o zaštiti privatnosti osobnih podataka (Zakon 13/2016) i Uredbe QFC-a o zaštiti podataka, Zakon Bahreina o zaštiti osobnih podataka (Zakon 30/2018), Zakon Omana o zaštiti osobnih podataka (Kraljevski dekret 6/2022), Jordanski zakon o zaštiti osobnih podataka iz 2023., Turski zakon o zaštiti osobnih podataka („KVKK”, Zakon 6698) i analogni statuti svake druge bliskoistočne jurisdikcije.

Euroazija i druge regije. Savezni zakon Ruske Federacije o osobnim podacima (br. 152-FZ), Zakon Kazahstana o osobnim podacima i njegovoj zaštiti, Zakon Uzbekistana o osobnim podacima i analogni statuti svake druge jurisdikcije u kojoj AI92 ili Korisnik obrađuju osobne podatke.

Sveobuhvatno. Bilo koji drugi zakon o zaštiti podataka, privatnosti, povjerljivosti telekomunikacija, sektorski ili sličan zakon bilo koje jurisdikcije koji se primjenjuje na AI92 ili Korisnika u vezi s obradom osobnih podataka Korisnika u skladu s ovim DPA-om. AI92 prati regulatorna kretanja na globalnoj razini i ažurira ovaj popis (i prakse koje ga provode) kako novi zakoni stupaju na snagu.

Kada ti režimi koriste različitu terminologiju za analogne koncepte, ovaj DPA koristi GDPR terminologiju i tretira ekvivalente prema drugim Mjerodavnim zakonima o zaštiti podataka kao kompatibilne pojmove. Kada režim nameće obvezne dodatne zahtjeve (kao što je registracija kod nadzornog tijela, imenovanje lokalnog predstavnika ili posebne ugovorne klauzule), AI92 i Korisnik suglasni su da će provesti takve zahtjeve putem Standardnih ugovornih klauzula, Dodatka Ujedinjenog Kraljevstva ili dodatka specifičnog za režim kako je navedeno u Odjeljku o međunarodnom prijenosu podataka.

Voditelj obrade označava stranu koja određuje svrhe i načine obrade osobnih podataka.

Izvršitelj obrade označava stranu koja obrađuje osobne podatke u ime Voditelja obrade.

Osobni podaci Korisnika označavaju sve osobne podatke sadržane u Unosu Korisnika ili generirane u vezi s korištenjem API usluga od strane Korisnika.

Podizvršitelj obrade označava svakog izvršitelja obrade kojeg je angažirao AI92 za obradu osobnih podataka Korisnika u ime Korisnika, uključujući pružatelje usluga hostinga AI92, obrađivača plaćanja i pružatelje usluga nižeg stupnja.

U odnosu reguliranom Uvjetima i ovim DPA, Kupac je Voditelj obrade osobnih podataka Kupca, a AI92 je Izvršitelj obrade. AI92 upravlja Masada Gateway Ltd. Integracije s Meta platformama (Facebook, Instagram i Threads) pružaju se putem Koloxo West Africa Ltd, registriranog razvojnog programera naših Meta aplikacija, koji djeluje kao obrađivač za te integracije u ime Masada Gateway Ltd.

AI92 također može obrađivati određene osobne podatke kao zaseban Voditelj obrade, uključujući podatke potrebne za poslovanje AI92 (podaci o odnosu s korisnicima, podaci o naplati, vjerodajnice za autentifikaciju, podaci revizije). Uvjeti koji uređuju takvu obradu od strane Voditelja obrade opisani su u Politici privatnosti AI92 na ai92.ai/privacy-policy.

AI92 će obrađivati Osobne podatke korisnika samo prema dokumentiranim uputama Korisnika, kako je navedeno u Uvjetima i ovom DPA, ili kako to zahtijeva primjenjivi zakon.

Ako AI92 primjenjivi zakon zahtijeva obradu Osobnih podataka korisnika drugačije nego što je upućeno od strane Korisnika, AI92 će (gdje je to zakonski dopušteno) obavijestiti Korisnika o tom zahtjevu prije obrade.

AI92 će osigurati da osobe ovlaštene za obradu Osobnih podataka korisnika podliježu obvezama povjerljivosti koje nisu manje zaštitne od onih navedenih u Uvjetima pružanja usluge.

AI92 će provesti odgovarajuće tehničke i organizacijske mjere kako bi osigurao razinu sigurnosti koja je primjerena riziku koji predstavlja obrada osobnih podataka korisnika, uključujući:

(a) pseudonimizaciju i enkripciju osobnih podataka u mirovanju i prijenosu;

(b) sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava obrade;

(c) sposobnost vraćanja dostupnosti i pristupa osobnim podacima na vrijeme u slučaju fizičkog ili tehničkog incidenta;

(d) postupak redovitog testiranja, procjene i vrednovanja učinkovitosti tih mjera.

Trenutna implementacija tih mjera opisana je u sigurnosnoj dokumentaciji AI92. Izvješća o reviziji SOC 2 tvrtke AI92 dostupna su korisniku na zahtjev pod uvjetima povjerljivosti.

Korisnik ovlašćuje AI92 da angažira podizvršitelje obrade za obradu osobnih podataka korisnika, pod sljedećim uvjetima:

(a) AI92 vodi ažurirani popis podizvršitelja obrade na ai92.ai/sub-processors;

(b) AI92 će korisniku dati najmanje trideset (30) dana obavijesti o svakom dodavanju ili zamjeni podizvršitelja obrade;

(c) Korisnik može prigovoriti bilo kojem novom podizvršitelju obrade iz opravdanih razloga u roku od petnaest (15) dana od obavijesti – ako se prigovor Korisnika ne može riješiti, Korisnik može raskinuti pogođene API usluge i primiti razmjerni povrat svih unaprijed plaćenih naknada;

(d) AI92 nameće obveze zaštite podataka svakom podizvršitelju obrade koje nisu manje zaštitne od onih u ovom DPA.

Početni podizvršitelji obrade uključuju AI92 pružatelje hostinga (Amazon Web Services, Microsoft Azure, Google Cloud Platform – za regije i usluge dokumentirane na ai92.ai/sub-processors), obrađivača plaćanja (Stripe, Inc.) i hosta dokumentacije (Mintlify, Inc.). Popis na ai92.ai/sub-processors je mjerodavan trenutni zapis.

Obrada osobnih podataka Korisnika od strane AI92 može uključivati prijenos tih podataka izvan zemlje u kojoj Korisnik ili ispitanici borave. U mjeri u kojoj je takav prijenos ograničen Mjerodavnim zakonima o zaštiti podataka, AI92 provodi mehanizam prekograničnog prijenosa koji zahtijeva ili je priznat prema zakonu jurisdikcije podrijetla. Mehanizmi u ovom odjeljku primjenjuju se na temelju pojedine jurisdikcije i AI92 se može osloniti na više od jednog mehanizma za određeni prijenos.

Europa i Ujedinjeno Kraljevstvo. Za prijenose regulirane GDPR-om ili UK GDPR-om, stranke usvajaju Standardne ugovorne klauzule Europske komisije (Provedbena odluka 2021/914/EU, Modul 2 – Voditelj obrade prema Izvršitelju obrade) uključene referencom i popunjene kako slijedi: (i) vremenska razdoblja u Klauzulama 9 i 14 SCC-a popunjavaju se u skladu s primjenjivim pragovima GDPR-a; (ii) klauzula o pristupanju ne primjenjuje se na dodatne stranke bez pristanka Korisnika; (iii) Aneks I (Popis stranaka) popunjava se identifikacijskim podacima Korisnika iz registracije i AI92 kao uvoznikom podataka; (iv) Aneks II (Tehničke i organizacijske mjere) odnosi se na sigurnosnu dokumentaciju AI92; i (v) Aneks III (Podizvršitelji obrade) odnosi se na popis podizvršitelja obrade koje održava AI92. Za prijenose prema UK GDPR-u, stranke dodatno usvajaju Dodatak za međunarodni prijenos podataka UK Information Commissioner-a uz SCC-ove. Tamo gdje AI92 posjeduje važeću certifikaciju prema Okviru za zaštitu podataka EU-SAD, Okviru za zaštitu podataka Švicarska-SAD ili UK proširenju Okvira za zaštitu podataka EU-SAD, stranke se također mogu osloniti na tu certifikaciju za prijenose na infrastrukturu AI92 u Sjedinjenim Državama.

Švicarska. Za prijenose koji podliježu švicarskom FADP-u, stranke usvajaju SCC-ove kako ih je priznao Švicarski savezni povjerenik za zaštitu podataka i informacija („FDPIC”), s prilagodbama koje je objavio FDPIC za švicarski pravni kontekst.

Latinska Amerika. Za prijenose koji podliježu brazilskom LGPD-u, stranke provode režim prekograničnog prijenosa prema člancima 33. do 36. LGPD-a, uključujući oslanjanje (prema potrebi) na standardne ugovorne klauzule koje je usvojila Brazilska autoridade Nacional de Proteção de Dados („ANPD”) prema Rezoluciji 19/2024 i svako posebno odobrenje koje je izdala ANPD gdje je to potrebno. Za prijenose koji podliježu meksičkom LFPDPPP-u, AI92 Korisniku pruža objave koje zahtijeva članak 36. LFPDPPP-a i provedbena Uredba, a Korisnik dobiva suglasnosti koje se zahtijevaju od ispitanika. Za prijenose koji podliježu argentinskom Zakonu 25.326, kolumbijskom Zakonu 1581, čileanskom Zakonu 19.628, peruanskom Zakonu 29733 ili drugim režimima LATAM-a, AI92 provodi standardne ugovorne klauzule ili drugi mehanizam koji je priznalo nadzorno tijelo relevantne jurisdikcije.

Afrika. Za prijenose koji podliježu južnoafričkom POPIA-u, AI92 osigurava usklađenost s odjeljkom 72. POPIA-e i dobiva suglasnost ispitanika ili se oslanja na primjenjivu zakonitu osnovu. Za prijenose koji podliježu nigerijskom NDPA-u, kenijskom Zakonu o zaštiti podataka ili drugim afričkim režimima, AI92 osigurava usklađenost sa zahtjevima za prekogranični prijenos koje nameće relevantno nadzorno tijelo (uključujući Nigerijsku komisiju za zaštitu podataka, Ured povjerenika za zaštitu podataka Kenije, Južnoafričkog regulatora za informacije i druge ekvivalentne regulatore) i provodi standardne ugovorne klauzule, certifikat ili drugi mehanizam koji je priznalo to tijelo. AI92 će, prema potrebi, registrirati ili imenovati lokalnog predstavnika i odgovoriti na upite lokalnog regulatora u primjenjivim rokovima.

Azija-Pacifik. Za prijenose koji podliježu kineskom PIPL-u, stranke usvajaju Standardni ugovor za prekogranični prijenos osobnih podataka koji je izdala Uprava za kibernetički prostor Kine, dovršavaju sigurnosnu procjenu s CAC-om kada se prekorače pragovi prijenosa ili se oslanjaju na certifikat priznat prema PIPL-u, prema potrebi. Za prijenose koji podliježu indijskom DPDPA-u, AI92 ograničava prijenose na jurisdikcije dopuštene obavijestima izdanim prema odjeljku 16. DPDPA-a i usklađuje se sa svim posebnim uvjetima koje nameću pravila. Za prijenose koji podliježu australskom Zakonu o privatnosti, AI92 poduzima razumne korake prema australskom načelu privatnosti 8 kako bi osigurao da prekomorski primatelj postupa s osobnim podacima u skladu s APP-ovima. Za prijenose koji podliježu japanskom APPI-u, južnokorejskom PIPA-u, singapurskom PDPA-u, tajlandskom PDPA-u, vijetnamskom PDPD-u, filipinskom DPA-u, indonezijskom PDP Zakonu, malezijskom PDPA-u, tajvanskom PDPA-u, hongkonškom PDPO-u ili drugim režimima Azije i Pacifika, AI92 provodi standardne ugovorne klauzule, certifikat, mehanizam primjerenosti između vlada ili drugi mehanizam prijenosa koji je priznalo nadzorno tijelo relevantne jurisdikcije.

Bliski istok. Za prijenose koji podliježu UAE PDPL-u, Zakonu o zaštiti podataka Međunarodnog financijskog centra Dubai, saudijskom PDPL-u, izraelskom Zakonu o zaštiti privatnosti, katarskom PDPPL-u, bahreinskom PDPL-u, omanskom PDPL-u, jordanskom PDPL-u, turskom KVKK-u ili drugim bliskoistočnim režimima, AI92 provodi standardne ugovorne klauzule, odluku o primjerenosti ili drugi mehanizam koji je priznalo nadzorno tijelo relevantne jurisdikcije i registrira ili imenuje lokalnog predstavnika gdje je to potrebno.

Euroazija i druge regije. Za prijenose koji podliježu Saveznom zakonu Ruske Federacije 152-FZ, AI92 se usklađuje sa zahtjevima za lokalizaciju iz članka 18(5) i dobiva pisanu suglasnost ispitanika gdje je to potrebno. Za prijenose koji podliježu kazahstanskom Zakonu o osobnim podacima, uzbekistanskom Zakonu o osobnim podacima ili bilo kojem drugom Mjerodavnom zakonu o zaštiti podataka, AI92 provodi mehanizam prekograničnog prijenosa koji zahtijeva ili je priznat prema zakonu jurisdikcije podrijetla.

Općenito. Kada Mjerodavni zakoni o zaštiti podataka jurisdikcije Korisnika zahtijevaju poseban mehanizam prijenosa, ugovorne klauzule ili regulatornu prijavu koja nije izričito navedena gore, AI92 će, na razuman zahtjev Korisnika i o trošku Korisnika (ako postoji), izvršiti ili provesti dodatnu dokumentaciju koja je razumno potrebna za provedbu tog mehanizma. AI92 prati regulatorna kretanja na globalnoj razini i ažurira gore navedene mehanizme prijenosa kako novi zahtjevi stupaju na snagu.

AI92 će, u mjeri u kojoj je to zakonski dopušteno, odmah obavijestiti korisnika ako AI92 primi zahtjev ispitanika za pristup, ispravak, brisanje, ograničenje obrade, prenosivost ili prigovor (Zahtjev ispitanika). AI92 neće odgovoriti na takav zahtjev ispitanika osim prema uputama korisnika, osim ako to zahtijeva primjenjivi zakon.

AI92 će korisniku pružiti takve informacije i razumnu pomoć koja mu može biti potrebna kako bi korisnik mogao odgovoriti na zahtjev ispitanika, uključujući pružanje ili olakšavanje pružanja izvoza podataka.

AI92 će obavijestiti korisnika bez nepotrebnog odgađanja, a u svakom slučaju u roku od sedamdeset i dva (72) sata od saznanja, o svakoj povredi osobnih podataka koja utječe na osobne podatke korisnika.

Obavijest će uključivati, u mjeri u kojoj je tada poznato: (a) opis prirode povrede, uključujući kategorije osobnih podataka i približan broj pogođenih ispitanika; (b) vjerojatne posljedice; (c) mjere poduzete ili predložene za rješavanje povrede; i (d) ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke za daljnje informacije.

Na zahtjev, AI92 će pružiti razumnu pomoć korisniku u vezi s procjenom učinka na zaštitu podataka ili prethodnim savjetovanjem s nadzornim tijelima koje je korisnik dužan provesti prema članku 35. GDPR-a ili analognim odredbama zakona o zaštiti podataka LATAM-a.

Po prestanku Uvjeta, AI92 će, po izboru korisnika, vratiti ili izbrisati osobne podatke korisnika, podložno zadržavanju kako to zahtijeva primjenjivi zakon i kako je dopušteno ovim DPA.

AI92 može zadržati osobne podatke korisnika samo kako to zahtijeva primjenjivi zakon (uključujući obveze porezne evidencije) ili kako je dopušteno ovim DPA, za razdoblje zadržavanja zapisnika revizije navedeno u Pravilima o privatnosti ili za razdoblje zadržavanja kreditne knjige navedeno u Pravilima o privatnosti.

Korisnik (ili neovisni revizor treće strane koji je razumno prihvatljiv za AI92, vezan obvezama povjerljivosti) može revidirati usklađenost AI92 s ovim DPA ne više od jednom u razdoblju od dvanaest mjeseci, uz najmanje trideset (30) dana prethodne pisane obavijesti, tijekom uobičajenog radnog vremena AI92 i o trošku korisnika.

Umjesto revizije na licu mjesta, AI92 može korisniku dostaviti svoja tada važeća izvješća o reviziji SOC 2, izvješća o testiranju penetracije i druge relevantne potvrde trećih strana. Korisnik će ih prihvatiti kao zadovoljavanje svojih prava revizije, osim ako ne rješavaju razumne zabrinutosti korisnika.

Ovaj DPA uređen je istim zakonom kao i Uvjeti pružanja usluge, osim ako obvezni zakon o zaštiti podataka ne zahtijeva drugačiji mjerodavni zakon.

U slučaju sukoba između Uvjeta i ovog DPU-a, ovaj DPU ima kontrolu u vezi s obradom osobnih podataka.

Ako ste korisnik Enterprisea s glavnim ugovorom o uslugama (MSA), uvjeti DPU-a mogu se izmijeniti vašim MSA-om. U slučaju sukoba, MSA ima kontrolu.

Ako imate pitanja o ovom Dodatku za obradu podataka, kontaktirajte nas:

• Za općenite upite: [email protected]
• Za upite o zaštiti podataka i privatnosti: [email protected]
• Za pravne stvari: [email protected]