Umowa powierzenia przetwarzania danych osobowych

Summia przetwarza dane osobowe w imieniu Klienta wyłącznie w celu świadczenia mu usługi Summia. Umowa określa warunki tego przetwarzania.

Umowa obowiązuje przez cały okres korzystania z usługi i wygasa z chwilą zakończenia tego korzystania, z zastrzeżeniem obowiązków, które trwają po jej wygaśnięciu: usunięcia danych (art. 9 Umowy) i zachowania poufności.

Summia przetwarza dane wyłącznie na udokumentowane polecenie Klienta. Poleceniami tymi są: korzystanie z usługi, jej ustawienia oraz niniejsza Umowa. Jeżeli zdaniem Summii polecenie narusza RODO, Summia informuje o tym Klienta.

Dane Klienta nigdy nie są wykorzystywane do trenowania modelu sztucznej inteligencji – ani przez Summię, ani przez jej dalsze podmioty przetwarzające.

Osoby upoważnione do dostępu do danych zobowiązują się do zachowania ich w tajemnicy. Ich dostęp jest ograniczony do zakresu niezbędnego do wykonywania ich zadań.

Summia stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, zgodnie z art. 32 RODO. Środki te opisano w załączniku 1; mogą się one zmieniać, pod warunkiem że nigdy nie obniżą poziomu ochrony.

Klient upoważnia Summię do korzystania z usług dalszych podmiotów przetwarzających, których lista jest opublikowana na stronie Dalsze podmioty przetwarzające.

• Summia informuje Klienta o każdym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego co najmniej 30 dni wcześniej.
• Klient może wnieść sprzeciw z uzasadnionej przyczyny związanej z ochroną danych. W braku porozumienia może zakończyć korzystanie z usługi.
• Summia nakłada na każdy dalszy podmiot przetwarzający obowiązki co najmniej równoważne obowiązkom wynikającym z niniejszej Umowy i pozostaje wobec Klienta odpowiedzialna za ich wypełnianie.

Summia w miarę możliwości pomaga Klientowi:

• odpowiadać na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw);
• przeprowadzić, w stosownych przypadkach, ocenę skutków dla ochrony danych;
• konsultować się z organem nadzorczym, gdy jest to konieczne.

W razie naruszenia ochrony danych osobowych Summia po jego stwierdzeniu bez zbędnej zwłoki zgłasza je Klientowi. Zgłoszenie opisuje charakter naruszenia, jego prawdopodobne konsekwencje oraz środki zastosowane lub proponowane w związku z nim.

Po zakończeniu korzystania z usługi:

• Summia usuwa dane Klienta w terminie 30 dni;
• dane zachowane w kopiach zapasowych znikają najpóźniej 30 dni później, w miarę cyklicznego zastępowania tych kopii;
• przed usunięciem danych Klient może zażądać ich zwrotu.

Dane są przechowywane dłużej wyłącznie wtedy, gdy wymagają tego przepisy prawa.

Dane są hostowane we Francji. Jeżeli dalszy podmiot przetwarzający przetwarza dane poza Unią Europejską, takie przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo przyjętych przez nią standardowych klauzul umownych. Lista dalszych podmiotów przetwarzających wskazuje miejsce przetwarzania w przypadku każdego z nich.

Summia udostępnia Klientowi informacje niezbędne do wykazania przestrzegania niniejszej Umowy. Klient może na własny koszt zlecić przeprowadzenie audytu audytorowi zobowiązanemu do zachowania tajemnicy – nie częściej niż raz w roku i z 30-dniowym wyprzedzeniem. Audyt nie może zagrażać bezpieczeństwu ani poufności danych innych klientów.

Niniejsza Umowa podlega prawu francuskiemu. Zasady odpowiedzialności i właściwości sądów określa Regulamin.

Hosting

• Dane są hostowane w regionie paryskim przez Scaleway, francuskiego dostawcę hostingu z certyfikatem ISO 27001.

Izolacja

• Każde konto jest odizolowane na poziomie samej bazy danych.
• Dostęp otwiera się wyłącznie przez wyraźne udostępnienie, sprawdzane przy każdym żądaniu kierowanym do serwera.
• W razie wątpliwości dostęp jest odmawiany.

Sztuczna inteligencja

• Aby utworzyć lub zmienić tabelę, modele AI otrzymują zapytanie, strukturę dokumentu i kilka przykładowych wartości z każdej kolumny.
• Aby odpowiedzieć na pytanie, otrzymują także etykiety wierszy i ograniczoną liczbę już obliczonych wyników.
• Otrzymują wreszcie obrazy i pliki PDF dołączone do zapytania oraz nagrania z dyktowania.
• Żadne dane nie są wykorzystywane do trenowania modeli.

Szyfrowanie

• Dane są szyfrowane podczas przesyłania.
• Kopie zapasowe są szyfrowane.

Uwierzytelnianie

• Logowanie za pomocą hasła, kodu jednorazowego lub dostawcy tożsamości (Google, Microsoft).
• Kody mają ograniczony czas ważności i są przechowywane w postaci skrótu kryptograficznego (hash).
• Zmiana hasła kończy wszystkie otwarte sesje.

Rejestrowanie działań

• Każda zmiana dokumentu jest opatrzona datą i zachowywana w historii, której nie można nadpisać.
• Każde udostępnienie jest rejestrowane.

Bezpieczeństwo rozwoju oprogramowania

• Kod jest regularnie audytowany według rygorystycznych zasad bezpieczeństwa.
• Każda zmiana przed wdrożeniem przechodzi zestaw testów automatycznych.

Dostęp wewnętrzny

• Dostęp do systemów produkcyjnych mają wyłącznie osoby, które go potrzebują.

Aktualna lista jest opublikowana na stronie Dalsze podmioty przetwarzające.