Соглашение об обработке данных
1. Определения
Термины с заглавной буквы, не определённые здесь, имеют значение, изложенное в Основных условиях обслуживания. «Персональные данные», «Обработка», «Субъект данных», «Контролёр» и «Обработчик» имеют значения, приведённые в Общем регламенте по защите данных (Regulation (EU) 2016/679) («GDPR»).
2. Роли — разделение между работой Сервиса и обработкой контента
Отношения между сторонами имеют две отдельные области:
- Работа Сервиса (область контролёра — Поставщик услуг). В отношении данных аккаунта, платёжных записей, логов аудита и данных безопасности Поставщик услуг является контролёром. Эта область регулируется Политикой конфиденциальности, а не настоящим DPA.
- Обработка контента (область обработчика). В отношении изображений, присланных Клиентом, сгенерированных отчётов и метаданных анализа, связанных с этим контентом, Клиент является Контролёром данных, а Поставщик услуг — Обработчиком данных. Настоящее DPA регулирует только эту область.
Документированные инструкции Клиента по обработке состоят из: (a) Основных условий обслуживания; (b) настоящего DPA; (c) интерфейса Сервиса и API-параметров, которые Клиент использует при присылке контента (включая выбор промпта, выбор шаблона и — для клиентов Agency / API — идентификацию модели или конечного пользователя, от имени которого выполняется анализ); и (d) любого применимого заказа или конфигурации продукта.
3. Предмет и срок
- Предмет: ИИ-анализ изображений, присланных Клиентом, и генерация выходных отчётов.
- Срок: пока аккаунт Клиента остаётся активным, плюс любой срок хранения, требуемый законом или указанный в Политике конфиденциальности.
- Характер и цель: автоматизированный анализ изображений и генерация отчётов, настроенные Клиентом через интерфейс Сервиса или API.
- Категории данных: см. /legal/data-processing.
- Категории субъектов данных: Клиент (если пользователь Model Tool); модели, клиенты или конечные пользователи Клиента; лица, изображённые в присланном контенте.
4. Обязанности Клиента
Клиент заявляет и гарантирует, что:
- Клиент имеет действительное законное основание согласно применимому закону для Обработки, которую он поручает выполнить Поставщику услуг, включая любые необходимые согласия Субъектов данных, изображённых в присланном контенте или связанных с ним.
- Клиент предоставил своим пользователям и Субъектам данных все уведомления и раскрытия, требуемые применимым законом (включая, где применимо, статьи 13 и 14 GDPR).
- Клиент единолично отвечает за законность присылаемых им данных, включая соблюдение законов о контенте, применимых к деятельности Клиента (включая, где применимо, обязательства по проверке возраста, требования к ведению записей для производителей сексуально откровенного контента и любые эквивалентные обязательства в юрисдикциях, где находятся Клиент или его конечные пользователи).
- Клиент единолично отвечает за соблюдение требований к трансграничной передаче любых персональных данных, которые Клиент передаёт Поставщику услуг.
- Клиент не будет присылать персональные данные детей, чувствительные данные за пределами обычной области Сервиса или любые данные, присылка которых была бы незаконной в юрисдикции Клиента или в любой юрисдикции, где находятся Субъекты данных.
- Если Клиент является клиентом Agency Tool, Клиент заявляет, что имеет необходимые отношения с изображёнными моделями и необходимые согласия на присылку их контента для анализа.
- Если Клиент является клиентом API, Клиент заявляет, что его конечные пользователи предоставили необходимые согласия и что использование Клиентом Сервиса от их имени законно.
5. Обязательства Поставщика услуг
Поставщик услуг обязуется:
- Обрабатывать персональные данные только по документированным инструкциям Клиента, за исключением случаев, требуемых законом.
- Обеспечивать, чтобы персонал, уполномоченный обрабатывать персональные данные, был связан обязательством конфиденциальности.
- Внедрять надлежащие технические и организационные меры, описанные в /legal/security.
- Содействовать Клиенту, учитывая характер обработки, в ответах на запросы Субъектов данных, при инцидентах безопасности и оценках воздействия, за разумный счёт Клиента для нестандартного содействия.
- Предоставлять информацию, необходимую для демонстрации соблюдения настоящего DPA, в том числе предоставляя актуальный список субпроцессоров на /legal/subprocessors.
- По выбору Клиента удалить или вернуть персональные данные по окончании обработки, с учётом хранения, требуемого законом.
6. Конкретные ограничения использования
Поставщик услуг гарантирует, что контент Клиента обрабатывается только для цели предоставления запрошенного анализа. Поставщик услуг не будет:
- использовать контент Клиента для обучения, улучшения или оценки моделей ИИ;
- строить профили пользователей или поведенческие выводы из использования Клиентом;
- продавать, передавать или иным образом раскрывать персональные данные для межконтекстной поведенческой рекламы;
- объединять данные Клиента с данными других клиентов для любых целей, кроме агрегированных операционных метрик, не содержащих персональных данных;
- идентифицировать лиц, изображённых в присланном контенте (без распознавания лиц, биометрического сопоставления или поиска по внешним базам данных).
7. Субпроцессоры
Клиент уполномочивает Поставщика услуг привлекать субпроцессоров для работы Сервиса. Текущие субпроцессоры перечислены на /legal/subprocessors. Поставщик услуг будет:
- вести актуальный публичный список субпроцессоров;
- предоставлять Клиенту разумный механизм получения уведомлений о новых субпроцессорах до начала ими обработки (обычно уведомление за 30 дней через публикуемый список и, где Клиент на них подписался, email-уведомления);
- налагать на каждого субпроцессора договорные обязательства, существенно эквивалентные обязательствам в настоящем DPA;
- нести ответственность за действия и бездействие субпроцессоров в отношении своих обязательств по настоящему DPA.
Клиент может возразить против нового субпроцессора по обоснованным основаниям защиты данных. Если стороны не могут разрешить возражение, исключительным средством правовой защиты Клиента является прекращение Сервиса в соответствии с Основными условиями обслуживания.
8. Безопасность
Поставщик услуг внедряет технические и организационные меры, призванные обеспечить уровень безопасности, соответствующий риску, с учётом современного уровня развития, затрат на внедрение, характера, объёма, контекста и целей Обработки, а также риска для Субъектов данных. Текущие меры описаны на /legal/security.
9. Нарушение безопасности персональных данных
Поставщик услуг уведомит Клиента без неоправданной задержки после того, как ему станет известно о Нарушении безопасности персональных данных, затрагивающем данные Клиента, предоставив разумно доступную информацию, чтобы Клиент мог выполнить любые обязательства по уведомлению органов или Субъектов данных согласно статьям 33 и 34 GDPR. Уведомление Поставщика услуг не является признанием вины или ответственности.
10. Запросы субъектов данных
Если Поставщик услуг получает запрос от Субъекта данных, относящийся к Обработке Клиента, Поставщик услуг, где это законно, перенаправит запрос Клиенту и поможет Клиенту ответить на него. Для клиентов Model Tool Субъект данных и Клиент обычно являются одним и тем же лицом — в этом случае Поставщик услуг может обработать запрос напрямую.
11. Международные передачи
Поставщик услуг учреждён в the Republic of Cyprus, государстве-члене ЕС. Поэтому присылка персональных данных в Сервис представляет собой обработку в пределах Европейского союза и сама по себе не является международной передачей для целей Главы V GDPR.
Там, где Поставщик услуг привлекает субпроцессоров за пределами Европейской экономической зоны, передачи регулируются Стандартными договорными условиями Европейской комиссии (Decision (EU) 2021/914), Модуль Три (Обработчик — Обработчику), включёнными посредством ссылки, при этом Поставщик услуг выступает экспортёром данных. Регионы субпроцессоров перечислены на /legal/subprocessors.
Если Клиент, действуя как Контролёр, желает опираться на SCC Модуля Два (Контролёр — Обработчику) для собственных передач в связи с Сервисом, SCC, принятые Европейской комиссией в Decision (EU) 2021/914, включаются посредством ссылки, при этом Поставщик услуг выступает импортёром данных.
12. Аудит
Поставщик услуг предоставит Клиенту информацию, разумно необходимую для демонстрации соблюдения настоящего DPA. Где применимый закон требует возможности выездного аудита, Клиент может запросить такой аудит не чаще одного раза в год, при письменном уведомлении не менее чем за 30 дней, в рабочее время, с учётом разумных ограничений конфиденциальности и безопасности и за счёт Клиента. Стороны могут согласиться, что независимый отчёт третьей стороны (например, SOC 2 Type II, при наличии) удовлетворяет обязательству по аудиту.
13. Ответственность и возмещение
Клиент возмещает Поставщику услуг претензии, убытки и ответственность, возникающие из незаконных инструкций Клиента по обработке или нарушения раздела 4. Ответственность каждой стороны по настоящему DPA подчиняется ограничениям ответственности, изложенным в Основных условиях обслуживания.
14. Применимое право и подсудность
Настоящее DPA регулируется законодательством the Republic of Cyprus, без учёта его коллизионных принципов. Стороны подчиняются исключительной юрисдикции судов Республики Кипр, за исключением случаев, когда применимый закон требует иного форума. Императивные права на защиту прав потребителей и права Субъектов данных согласно GDPR и другим применимым императивным законам настоящим положением не отменяются.
15. Порядок приоритета
В случае любого противоречия между настоящим DPA и Основными условиями обслуживания в отношении Обработки персональных данных преимущественную силу имеет настоящее DPA. В случае любого противоречия между настоящим DPA и подписанным сторонами DPA контракта «Pro», заключённым тем же Клиентом, для этого Клиента преимущественную силу имеет подписанное сторонами соглашение.