Aneks dotyczący przetwarzania danych

Na potrzeby niniejszego Dodatku do Przetwarzania Danych terminy pisane wielką literą, które nie zostały w nim zdefiniowane, mają znaczenie nadane im w Warunkach Świadczenia Usług AI92. Terminy pisane wielką literą dotyczące ochrony danych mają znaczenie nadane im w Obowiązujących Przepisach o Ochronie Danych zdefiniowanych w niniejszej Sekcji.

Obowiązujące Przepisy o Ochronie Danych. „Obowiązujące Przepisy o Ochronie Danych” oznaczają wszystkie przepisy dotyczące ochrony danych, prywatności i podobne przepisy mające zastosowanie do przetwarzania Danych Osobowych na mocy niniejszego DPA, w brzmieniu zmienianym lub zastępowanym od czasu do czasu, w tym między innymi:

Europa. Ogólne rozporządzenie o ochronie danych Unii Europejskiej (rozporządzenie (UE) 2016/679, „RODO”), ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa odczytywane łącznie z ustawą o ochronie danych z 2018 r., federalna ustawa Szwajcarii o ochronie danych („FADP”), norweska ustawa o danych osobowych, islandzka ustawa 90/2018, ustawa Liechtensteinu o ochronie danych oraz przepisy wdrażające ochronę danych każdego państwa członkowskiego Europejskiego Obszaru Gospodarczego.

Ameryka Północna. W Stanach Zjednoczonych: California Consumer Privacy Act ze zmianami wprowadzonymi przez California Privacy Rights Act („CCPA/CPRA”), Virginia Consumer Data Protection Act, Colorado Privacy Act, Connecticut Data Privacy Act, Utah Consumer Privacy Act, Texas Data Privacy and Security Act, Oregon Consumer Privacy Act i analogiczne stanowe przepisy dotyczące prywatności, gdy wejdą w życie. W Kanadzie: Personal Information Protection and Electronic Documents Act („PIPEDA”), ustawa Quebecu nr 25, Alberta's Personal Information Protection Act, British Columbia's Personal Information Protection Act i Privacy Act.

Ameryka Łacińska i Karaiby. Brazylijska ustawa o ochronie danych osobowych („LGPD”, ustawa 13.709), meksykańska federalna ustawa o ochronie danych osobowych w posiadaniu podmiotów prywatnych („LFPDPPP”), argentyńska ustawa o ochronie danych osobowych 25.326, kolumbijska ustawa ustawowa 1581 z 2012 r., chilijska ustawa 19.628, peruwiańska ustawa 29733, urugwajska ustawa 18.331, ekwadorska ustawa organiczna o ochronie danych osobowych, kostarykańska ustawa 8968, dominikańska ustawa 172-13, panamska ustawa 81 z 2019 r., paragwajska ustawa 6534/2020 i analogiczne statuty każdego innego kraju w regionie.

Afryka. Południowoafrykańska ustawa o ochronie danych osobowych („POPIA”), nigeryjska ustawa o ochronie danych Nigerii z 2023 r. („NDPA”) i nigeryjskie rozporządzenie o ochronie danych z 2019 r., kenijska ustawa o ochronie danych z 2019 r., egipska ustawa o ochronie danych osobowych (ustawa 151 z 2020 r.), ghańska ustawa o ochronie danych z 2012 r., marokańska ustawa 09-08, tunezyjska ustawa organiczna 2004-63, mauretańska ustawa o ochronie danych z 2017 r., senegalska ustawa 2008-12, ustawa Wybrzeża Kości Słoniowej 2013-450, rwandyjska ustawa 058/2021, ugandyjska ustawa o ochronie danych i prywatności z 2019 r., tanzańska ustawa o ochronie danych osobowych z 2022 r., zimbabwejska ustawa o cyberbezpieczeństwie i ochronie danych 5 z 2021 r., algierska ustawa 18-07, madagaskarska ustawa 2014-038, konwencja Unii Afrykańskiej o cyberbezpieczeństwie i ochronie danych osobowych („Konwencja z Malabo”), akt uzupełniający ECOWAS w sprawie ochrony danych osobowych i analogiczne statuty każdego innego narodu afrykańskiego.

Azja i Pacyfik. Australijska ustawa o prywatności z 1988 r., nowozelandzka ustawa o prywatności z 2020 r., japońska ustawa o ochronie danych osobowych („APPI”), południowokoreańska ustawa o ochronie danych osobowych („PIPA”), singapurska ustawa o ochronie danych osobowych z 2012 r. („PDPA”), tajlandzka ustawa o ochronie danych osobowych B.E. 2562 (2019), wietnamski dekret o ochronie danych osobowych 13/2023, filipińska ustawa o ochronie danych z 2012 r., indonezyjska ustawa o ochronie danych osobowych 27/2022, malezyjska ustawa o ochronie danych osobowych z 2010 r., indyjska ustawa o cyfrowej ochronie danych osobowych z 2023 r. („DPDPA”), chińska ustawa o ochronie danych osobowych („PIPL”), tajwańska ustawa o ochronie danych osobowych, hongkońska ustawa o ochronie danych osobowych (prywatność), ustawa Makau o ochronie danych osobowych i analogiczne statuty każdej innej jurysdykcji Azji i Pacyfiku.

Bliski Wschód. Federalny dekret-ustawa Zjednoczonych Emiratów Arabskich nr 45 z 2021 r. o ochronie danych osobowych i ustawa o ochronie danych Dubai International Financial Centre, ustawa o ochronie danych osobowych Arabii Saudyjskiej, izraelska ustawa o ochronie prywatności 5741-1981 i jej przepisy wykonawcze, katarska ustawa o ochronie prywatności danych osobowych (ustawa 13/2016) i przepisy QFC o ochronie danych, bahrajńska ustawa o ochronie danych osobowych (ustawa 30/2018), omańska ustawa o ochronie danych osobowych (dekret królewski 6/2022), jordańska ustawa o ochronie danych osobowych z 2023 r., turecka ustawa o ochronie danych osobowych („KVKK”, ustawa 6698) i analogiczne statuty każdej innej jurysdykcji Bliskiego Wschodu.

Eurazja i inne regiony. Federalna ustawa Federacji Rosyjskiej o danych osobowych (nr 152-FZ), kazachska ustawa o danych osobowych i ich ochronie, uzbecka ustawa o danych osobowych i analogiczne statuty każdej innej jurysdykcji, w której AI92 lub Klient przetwarzają Dane Osobowe.

Przepis ogólny. Wszelkie inne przepisy dotyczące ochrony danych, prywatności, poufności telekomunikacyjnej, sektorowe lub podobne przepisy jakiejkolwiek jurysdykcji mające zastosowanie do AI92 lub Klienta w związku z przetwarzaniem Danych Osobowych Klienta na mocy niniejszego DPA. AI92 monitoruje zmiany regulacyjne na całym świecie i aktualizuje tę listę (oraz praktyki, które ją wdrażają), gdy wchodzą w życie nowe przepisy.

W przypadkach, gdy te systemy używają innej terminologii dla analogicznych pojęć, niniejszy DPA używa terminologii RODO i traktuje odpowiedniki na mocy innych Obowiązujących Przepisów o Ochronie Danych jako terminy kompatybilne. W przypadkach, gdy system nakłada obowiązkowe dodatkowe wymagania (takie jak rejestracja w organie nadzorczym, wyznaczenie lokalnego przedstawiciela lub określone klauzule umowne), AI92 i Klient zgadzają się wprowadzić te wymagania w życie za pośrednictwem Standardowych Klauzul Umownych, Dodatku do Wielkiej Brytanii lub dodatku specyficznego dla danego systemu, jak określono w Sekcji Międzynarodowego Transferu Danych.

Administrator oznacza stronę, która określa cele i sposoby przetwarzania danych osobowych.

Procesor oznacza stronę, która przetwarza dane osobowe w imieniu Administratora.

Dane Osobowe Klienta oznaczają wszelkie dane osobowe zawarte we Wprowadzonych Danych Klienta lub wygenerowane w związku z korzystaniem przez Klienta z Usług API.

Podprocesor oznacza każdego procesora zaangażowanego przez AI92 do przetwarzania Danych Osobowych Klienta w imieniu Klienta, w tym dostawców hostingu AI92, podmiot przetwarzający płatności i dostawców usług niższego szczebla.

W relacji regulowanej Warunkami i niniejszym DPA, Klient jest Administratorem Danych Osobowych Klienta, a AI92 jest Procesorem. AI92 jest obsługiwane przez Masada Gateway Ltd. Integracje z platformami Meta (Facebook, Instagram i Threads) są dostarczane za pośrednictwem Koloxo West Africa Ltd, zarejestrowanego dewelopera naszych aplikacji Meta, który działa jako podmiot przetwarzający te integracje w imieniu Masada Gateway Ltd.

AI92 może również przetwarzać niektóre dane osobowe jako odrębny Administrator, w tym dane niezbędne do prowadzenia działalności AI92 (dane dotyczące relacji z klientami, dane rozliczeniowe, dane uwierzytelniające, dane audytowe). Warunki regulujące takie przetwarzanie przez Administratora są opisane w Polityce prywatności AI92 na stronie ai92.ai/privacy-policy.

AI92 przetwarza Dane osobowe klienta wyłącznie na udokumentowane polecenie Klienta, zgodnie z Warunkami i niniejszym DPA, lub zgodnie z wymogami obowiązującego prawa.

Jeśli AI92 jest zobowiązana przez obowiązujące prawo do przetwarzania Danych osobowych klienta w sposób inny niż na polecenie Klienta, AI92 (w zakresie dozwolonym przez prawo) poinformuje Klienta o tym wymogu przed rozpoczęciem przetwarzania.

AI92 zapewni, aby personel upoważniony do przetwarzania Danych osobowych klienta podlegał obowiązkom zachowania poufności nie mniej chroniącym niż te określone w Warunkach świadczenia usług.

AI92 wdroży odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyka związanego z przetwarzaniem Danych Osobowych Klienta, w tym:

(a) pseudonimizacja i szyfrowanie danych osobowych w spoczynku i podczas przesyłania;

(b) zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów przetwarzania;

(c) zdolność do przywrócenia dostępności i dostępu do danych osobowych w odpowiednim czasie w przypadku incydentu fizycznego lub technicznego;

(d) proces regularnego testowania, oceniania i ewaluacji skuteczności tych środków.

Obecne wdrożenie tych środków jest opisane w dokumentacji bezpieczeństwa AI92. Raporty z audytu SOC 2 firmy AI92 są udostępniane Klientowi na żądanie na warunkach zachowania poufności.

Klient upoważnia AI92 do angażowania Podprocesorów do przetwarzania Danych Osobowych Klienta, z zastrzeżeniem następujących warunków:

(a) AI92 prowadzi aktualną listę Podprocesorów na stronie ai92.ai/sub-processors;

(b) AI92 powiadomi Klienta z co najmniej trzydziestodniowym (30) wyprzedzeniem o każdym dodaniu lub zastąpieniu Podprocesora;

(c) Klient może zgłosić uzasadniony sprzeciw wobec każdego nowego Podprzetwarzającego w ciągu piętnastu (15) dni od powiadomienia – jeśli sprzeciw Klienta nie może zostać rozwiązany, Klient może wypowiedzieć dotknięte Usługi API i otrzymać proporcjonalny zwrot wszelkich opłat uiszczonych z góry;

(d) AI92 nakłada na każdego Podprocesora obowiązki w zakresie ochrony danych, które są nie mniej ochronne niż te zawarte w niniejszej DPA.

Początkowi Podprzetwarzający obejmują dostawców hostingu AI92 (Amazon Web Services, Microsoft Azure, Google Cloud Platform – dla regionów i usług udokumentowanych na ai92.ai/sub-processors), procesora płatności (Stripe, Inc.) oraz hosta dokumentacji (Mintlify, Inc.). Lista na ai92.ai/sub-processors jest autorytatywnym, aktualnym zapisem.

Przetwarzanie Danych Osobowych Klienta przez AI92 może wiązać się z przekazywaniem tych danych poza kraj, w którym Klient lub osoby, których dane dotyczą, mają miejsce zamieszkania. W zakresie, w jakim takie przekazywanie jest ograniczone przez Obowiązujące Przepisy o Ochronie Danych, AI92 wdraża mechanizm przekazywania transgranicznego wymagany przez prawo jurysdykcji pochodzenia lub uznawany na jego mocy. Mechanizmy w niniejszej Sekcji mają zastosowanie w odniesieniu do poszczególnych jurysdykcji, a AI92 może polegać na więcej niż jednym mechanizmie w przypadku danego przekazywania.

Europa i Wielka Brytania. W przypadku transferów regulowanych przez RODO lub UK GDPR, strony przyjmują Standardowe Klauzule Umowne Komisji Europejskiej (Decyzja Wykonawcza 2021/914/UE, Moduł 2 – Administrator-Procesor) włączone przez odniesienie i uzupełnione w następujący sposób: (i) okresy w Klauzulach 9 i 14 SCC są uzupełnione zgodnie z obowiązującymi progami RODO; (ii) klauzula dokująca nie ma zastosowania do dodatkowych stron bez zgody Klienta; (iii) Załącznik I (Lista Stron) jest uzupełniony danymi identyfikacyjnymi Klienta z rejestracji oraz AI92 jako importera danych; (iv) Załącznik II (Środki Techniczne i Organizacyjne) odnosi się do dokumentacji bezpieczeństwa AI92; oraz (v) Załącznik III (Podprzetwarzający) odnosi się do listy Podprzetwarzających prowadzonej przez AI92. W przypadku transferów w ramach UK GDPR, strony dodatkowo przyjmują Aneks do SCC dotyczący Międzynarodowego Transferu Danych brytyjskiego Komisarza ds. Informacji. Jeśli AI92 posiada aktualny certyfikat w ramach EU–US Data Privacy Framework, Swiss–US Data Privacy Framework lub UK Extension do EU–US Data Privacy Framework, strony mogą również polegać na tym certyfikacie w przypadku transferów do infrastruktury AI92 w Stanach Zjednoczonych.

Szwajcaria. W przypadku przekazywania danych podlegających szwajcarskiej FADP, strony przyjmują SCC uznane przez Szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji („FDPIC”), z korektami opublikowanymi przez FDPIC dla szwajcarskiego kontekstu prawnego.

Ameryka Łacińska. W przypadku przekazywania danych podlegających brazylijskiej LGPD, strony wprowadzają w życie system przekazywania transgranicznego na mocy artykułów 33 do 36 LGPD, w tym poleganie (w stosownych przypadkach) na standardowych klauzulach umownych przyjętych przez brazylijski Autoridade Nacional de Proteção de Dados („ANPD”) na mocy rezolucji 19/2024 oraz wszelkie szczególne zezwolenia wydane przez ANPD, gdy jest to wymagane. W przypadku przekazywania danych podlegających meksykańskiej LFPDPPP, AI92 przekazuje Klientowi informacje wymagane przez artykuł 36 LFPDPPP i rozporządzenie wykonawcze, a Klient uzyskuje zgody wymagane od osób, których dane dotyczą. W przypadku przekazywania danych podlegających argentyńskiej ustawie 25.326, kolumbijskiej ustawie 1581, chilijskiej ustawie 19.628, peruwiańskiej ustawie 29733 lub innym systemom LATAM, AI92 wdraża standardowe klauzule umowne lub inny mechanizm uznawany przez organ nadzorczy właściwej jurysdykcji.

Afryka. W przypadku przekazywania danych podlegających południowoafrykańskiej POPIA, AI92 zapewnia zgodność z Sekcją 72 POPIA i uzyskuje zgodę osoby, której dane dotyczą, lub polega na obowiązującej podstawie prawnej. W przypadku przekazywania danych podlegających nigeryjskiej NDPA, kenijskiej ustawie o ochronie danych lub innym systemom afrykańskim, AI92 zapewnia zgodność z wymogami dotyczącymi przekazywania transgranicznego nałożonymi przez właściwy organ nadzorczy (w tym Nigeryjską Komisję Ochrony Danych, Biuro Komisarza ds. Ochrony Danych Kenii, Południowoafrykańskiego Regulatora Informacji i inne równoważne organy regulacyjne) oraz wdraża standardowe klauzule umowne, certyfikację lub inny mechanizm uznawany przez ten organ. AI92 będzie, w razie potrzeby, rejestrować lub wyznaczać lokalnego przedstawiciela i odpowiadać na zapytania lokalnego regulatora w obowiązujących terminach.

Azja i Pacyfik. W przypadku przekazywania danych podlegających chińskiej PIPL, strony przyjmują Standardową Umowę o Transgranicznym Transferze Informacji Osobowych wydaną przez Administrację Cyberprzestrzeni Chin, przeprowadzają ocenę bezpieczeństwa z CAC, gdy przekroczone zostaną progi transferu, lub polegają na certyfikacji uznawanej na mocy PIPL, w zależności od przypadku. W przypadku przekazywania danych podlegających indyjskiej DPDPA, AI92 ogranicza przekazywanie danych do jurysdykcji dozwolonych przez powiadomienia wydane na mocy Sekcji 16 DPDPA i przestrzega wszelkich szczególnych warunków nałożonych przez przepisy. W przypadku przekazywania danych podlegających australijskiej ustawie o prywatności, AI92 podejmuje uzasadnione kroki na mocy australijskiej zasady prywatności 8, aby zapewnić, że zagraniczny odbiorca postępuje z informacjami osobowymi zgodnie z APPs. W przypadku przekazywania danych podlegających japońskiej APPI, południowokoreańskiej PIPA, singapurskiej PDPA, tajlandzkiej PDPA, wietnamskiej PDPD, filipińskiej DPA, indonezyjskiej PDP Law, malezyjskiej PDPA, tajwańskiej PDPA, hongkońskiej PDPO lub innym systemom Azji i Pacyfiku, AI92 wdraża standardowe klauzule umowne, certyfikację, mechanizm adekwatności międzyrządowej lub inny mechanizm transferu uznawany przez organ nadzorczy właściwej jurysdykcji.

Bliski Wschód. W przypadku przekazywania danych podlegających UAE PDPL, Dubai International Financial Centre Data Protection Law, Saudi Arabia PDPL, izraelskiej Privacy Protection Law, katarskiej PDPPL, bahrajńskiej PDPL, omańskiej PDPL, jordańskiej PDPL, tureckiej KVKK lub innym systemom bliskowschodnim, AI92 wdraża standardowe klauzule umowne, decyzję o adekwatności lub inny mechanizm uznawany przez organ nadzorczy właściwej jurysdykcji oraz rejestruje lub wyznacza lokalnego przedstawiciela, gdy jest to wymagane.

Eurazja i inne regiony. W przypadku przekazywania danych podlegających federalnej ustawie Federacji Rosyjskiej 152-FZ, AI92 przestrzega wymogów lokalizacyjnych artykułu 18(5) i uzyskuje pisemną zgodę osoby, której dane dotyczą, gdy jest to wymagane. W przypadku przekazywania danych podlegających kazachskiej ustawie o danych osobowych, uzbeckiej ustawie o danych osobowych lub innym Obowiązującym Przepisom o Ochronie Danych, AI92 wdraża mechanizm przekazywania transgranicznego wymagany przez prawo jurysdykcji pochodzenia lub uznawany na jego mocy.

Ogólne. W przypadkach, gdy Obowiązujące Przepisy o Ochronie Danych jurysdykcji Klienta wymagają określonego mechanizmu transferu, klauzul umownych lub zgłoszenia regulacyjnego, które nie są wyraźnie wymienione powyżej, AI92, na uzasadnione żądanie Klienta i na koszt Klienta (jeśli występuje), wykona lub wdroży dodatkową dokumentację uzasadnioną w celu wprowadzenia tego mechanizmu w życie. AI92 monitoruje zmiany regulacyjne na całym świecie i aktualizuje powyższe mechanizmy transferu, gdy wchodzą w życie nowe wymagania.

AI92, w zakresie prawnie dozwolonym, niezwłocznie powiadomi Klienta, jeśli AI92 otrzyma żądanie od osoby, której dane dotyczą, dotyczące dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia lub sprzeciwu (żądanie Osoby, której dane dotyczą). AI92 nie odpowie na takie Żądanie Osoby, której dane dotyczą, z wyjątkiem instrukcji Klienta, chyba że jest to wymagane przez obowiązujące prawo.

AI92 zapewni Klientowi takie informacje i rozsądną pomoc, jakiej Klient może potrzebować, aby umożliwić Klientowi odpowiedź na Żądanie Osoby, której dane dotyczą, w tym poprzez zapewnienie lub ułatwienie zapewnienia eksportu danych.

AI92 powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od uzyskania wiedzy o jakimkolwiek naruszeniu danych osobowych wpływającym na Dane Osobowe Klienta.

Powiadomienie powinno zawierać, w zakresie wówczas znanym: (a) opis charakteru naruszenia, w tym kategorie danych osobowych i przybliżoną liczbę osób, których dane dotyczą; (b) prawdopodobne konsekwencje; (c) środki podjęte lub proponowane w celu zaradzenia naruszeniu; oraz (d) imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego w celu uzyskania dalszych informacji.

Na żądanie AI92 zapewni Klientowi rozsądną pomoc w zakresie wszelkich ocen skutków dla ochrony danych lub wcześniejszych konsultacji z organami nadzorczymi, które Klient jest zobowiązany przeprowadzić na mocy Artykułu 35 RODO lub analogicznych przepisów prawa o ochronie danych LATAM.

Po rozwiązaniu Warunków, AI92, według uznania Klienta, zwróci lub usunie Dane Osobowe Klienta, z zastrzeżeniem przechowywania wymaganego przez obowiązujące prawo i dozwolonego przez niniejszą DPA.

AI92 może przechowywać Dane Osobowe Klienta tylko w zakresie wymaganym przez obowiązujące prawo (w tym obowiązki dotyczące ewidencji podatkowej) lub dozwolonym przez niniejszą DPA, przez okres przechowywania dziennika audytu określony w Polityce Prywatności lub przez okres przechowywania księgi kredytowej określony w Polityce Prywatności.

Klient (lub niezależny audytor zewnętrzny w rozsądnym stopniu akceptowalny dla AI92, związany obowiązkami zachowania poufności) może audytować zgodność AI92 z niniejszą DPA nie częściej niż raz na dwanaście miesięcy, z co najmniej trzydziestodniowym (30) pisemnym powiadomieniem, w normalnych godzinach pracy AI92 i na koszt Klienta.

Zamiast audytu na miejscu, AI92 może dostarczyć Klientowi swoje aktualne raporty z audytu SOC 2, raporty z testów penetracyjnych i inne istotne atesty stron trzecich. Klient zaakceptuje je jako spełniające jego prawa do audytu, chyba że nie odnoszą się one do uzasadnionych obaw Klienta.

Niniejsza DPA podlega prawu właściwemu dla Warunków Świadczenia Usług, z wyjątkiem przypadków, gdy bezwzględnie obowiązujące prawo o ochronie danych wymaga innego prawa właściwego.

W przypadku konfliktu między Warunkami a niniejszym DPA, niniejszy DPA ma zastosowanie w odniesieniu do przetwarzania danych osobowych.

Jeśli jesteś klientem Enterprise z Umową o Świadczenie Usług (Master Services Agreement, MSA), warunki DPA mogą być modyfikowane przez Twoją MSA. W przypadku konfliktu MSA ma zastosowanie.

Jeśli masz jakiekolwiek pytania dotyczące niniejszego Aneksu dotyczącego przetwarzania danych, skontaktuj się z nami:

• W przypadku zapytań ogólnych: [email protected]
• W przypadku zapytań dotyczących ochrony danych i prywatności: [email protected]
• W sprawach prawnych: [email protected]