Umowa powierzenia przetwarzania danych (DPA)

Niniejsza umowa powierzenia przetwarzania danych obowiązuje pomiędzy Państwem jako klientem (administratorem) a Ad Vitam Invest AB (ProfitLens Consulting) (podmiotem przetwarzającym) i zaczyna mieć zastosowanie z chwilą rozpoczęcia korzystania z usługi. Podpis nie jest wymagany; warunki obowiązują w najnowszej opublikowanej wersji i można je pobrać z tej strony.

W przypadku sprzeczności pomiędzy niniejszą umową a warunkami zakupu niniejsza umowa ma pierwszeństwo w sprawach dotyczących przetwarzania danych osobowych.

Przetwarzanie obejmuje zautomatyzowaną analizę cenową: przechowywanie plików klientów, kontrole jakości, obliczenia deterministyczne w przeglądarce klienta, wywiady, transkrypcje, wyniki analiz, raporty i treści prezentacji. Wsparcie AI korzysta z Azure OpenAI w UE. Tryb głosowy jest opcjonalny, aktywowany wyłącznie przez respondenta i może zostać wyłączony; ProfitLens nie nagrywa ani nie przechowuje dźwięku i zapisuje wyłącznie pisemne transkrypcje.

W celu udzielania wskazówek w przewodniku pomocy ograniczone zestawienie nazw kolumn, mapowania, wyników kontroli oraz, jeżeli włączono tę opcję, pseudonimizowanych przykładowych wierszy jest przesyłane do Azure OpenAI w UE. Klient może wyłączyć udostępnianie przykładowych wierszy. Microsoft nie wykorzystuje tych treści do trenowania modeli bazowych; mające zastosowanie warunki dotyczące bezpieczeństwa i monitorowania nadużyć mogą dopuszczać ograniczone przechowywanie.

Przetwarzanie trwa przez cały okres korzystania przez Państwa z usługi oraz przez okresy przechowywania wskazane w polityce prywatności.

Osoby, których dane dotyczą: Państwa pracownicy korzystający z usługi, respondenci wywiadów oraz osoby fizyczne, które mogą występować w przesłanych danych, takie jak przedstawiciele handlowi lub osoby kontaktowe u Państwa klientów.

Dane: imię i nazwisko, stanowisko, adres e-mail, identyfikatory klientów i dane transakcyjne. Nie wolno przesyłać szczególnych kategorii danych w rozumieniu Article 9 GDPR. Nazwy klientów mogą być maskowane, pod warunkiem konsekwentnego stosowania maskowania.

Przetwarzamy dane osobowe wyłącznie na Państwa udokumentowane polecenie, przy czym korzystanie przez Państwa z usługi oraz niniejsze warunki stanowią takie polecenie.

Personel posiadający dostęp jest zobowiązany do zachowania poufności. Dostęp jest kontrolowany za pomocą uprawnień i ograniczony do zakresu wymaganego do wykonywania pracy.

Wdrażamy odpowiednie techniczne i organizacyjne środki bezpieczeństwa zgodnie z Article 32: szyfrowanie podczas przechowywania i przesyłania, separację na poziomie konta i analizy, rejestrowanie zdarzeń oraz procedury odzyskiwania.

Pomagamy Państwu w odpowiadaniu na żądania osób, których dane dotyczą, oraz w ocenach skutków i uprzednich konsultacjach w rozsądnie wymaganym zakresie.

Powiadamiamy Państwa bez zbędnej zwłoki, nie później jednak niż w ciągu 48 godzin od wykrycia, o każdym naruszeniu ochrony danych osobowych dotyczącym Państwa danych.

Po zakończeniu umowy usuwamy Państwa dane osobowe lub zwracamy je, jeżeli zgłoszą Państwo takie żądanie w terminie trzydziestu dni, z wyjątkiem przypadków, gdy prawo wymaga od nas ich przechowywania.

Udzielają Państwo ogólnej uprzedniej zgody na korzystanie przez nas z dalszych podmiotów przetwarzających. Nakładamy na każdy dalszy podmiot przetwarzający obowiązki co najmniej równoważne obowiązkom wynikającym z niniejszej umowy i pozostajemy odpowiedzialni za ich przetwarzanie jak za własne.

Aktualne dalsze podmioty przetwarzające i ich funkcje: Microsoft Ireland Operations Limited (Azure Blob Storage, pliki klientów w Szwecji; Azure Database for PostgreSQL, transkrypcje, analizy, raporty i treści prezentacji w Irlandii; Azure OpenAI, tekstowa AI i opcjonalny tryb głosowy/transkrypcja w EU Data Zone). Supabase (platforma strony internetowej i aplikacji, dostęp po stronie serwera i orkiestracja usług, konta, uwierzytelnianie, metadane dostępu i kredyty). Dostawcy poczty elektronicznej dostarczają powiadomienia systemowe. Ten podział opisuje wykorzystywane usługi; nie stanowi twierdzenia, że hosting lub wsparcie są realizowane wyłącznie w UE.

Informujemy Państwa przed rozpoczęciem korzystania z nowego dalszego podmiotu przetwarzającego. Mogą Państwo wnieść sprzeciw z uzasadnionych przyczyn, a jeżeli nie będziemy mogli uwzględnić sprzeciwu, mogą Państwo zakończyć korzystanie z usługi i otrzymać zwrot za niewykorzystane kredyty.

Podstawowe przechowywanie treści klientów odbywa się w regionach Azure w UE: pliki w Sweden Central (Szwecja), a transkrypcje, wyniki analiz, raporty i treści prezentacji w North Europe (Irlandia). Wnioskowanie Azure OpenAI EU Data Zone może odbywać się w różnych państwach członkowskich UE. Wdrożenia Global AI nie są wykorzystywane. Obliczenia deterministyczne są wykonywane lokalnie w przeglądarce klienta. Przechowywanie i wnioskowanie w UE nie oznaczają, że każdy serwer aplikacji lub dostawca wspierający przetwarza dane wyłącznie w UE.

Tymczasowe kopie treści klientów w dotychczasowym magazynie Supabase w UE pozostają w nim na czas weryfikacji i zapewnienia możliwości powrotu do poprzedniej konfiguracji. Ostateczne usunięcie wymaga odrębnie zatwierdzonej operacji usunięcia i nie następuje automatycznie wraz ze zmianą niniejszych warunków. W odniesieniu do dostępu dostawców wspierających z państw trzecich lub przekazywania przez nich danych do takich państw stosujemy zabezpieczenia przekazywania przewidziane w GDPR, w tym standardowe klauzule umowne, jeżeli są wymagane. Mające zastosowanie warunki Microsoft dotyczące ochrony danych i świadczenia usług regulują również bezpieczeństwo i monitorowanie nadużyć; nie zweryfikowano żadnego wyjątku zapewniającego brak przechowywania danych.

Na żądanie udostępniamy dokumentację niezbędną do wykazania zgodności z Article 28 GDPR. Audyt może zostać przeprowadzony raz w roku, po powiadomieniu z odpowiednim wyprzedzeniem i bez ujawniania danych innych klientów.

Wsparcie AI jest wykorzystywane wyłącznie na kilku etapach i nigdy nie otrzymuje pełnego przesłanego zbioru danych. Obliczenia są wykonywane przez wersjonowany kod bez udziału AI.

Zanim przykładowe wartości zostaną przesłane do dalszego podmiotu przetwarzającego świadczącego usługi AI, nazwy klientów, nazwy produktów, przedstawiciele handlowi i segmenty są zastępowane stałymi kodami. Tabela odwzorowań jest tworzona tymczasowo w pamięci i nie jest przechowywana.

Klient może wybrać tryb Standardowy (zakodowane przykładowe wartości), Ograniczony (wyłącznie nazwy kolumn i arkuszy) lub Bez AI na danych (wsparcie AI na etapach pracy z danymi wyłączone). Ustawienie dotyczy konta i może zostać zmienione dla poszczególnych analiz.

Przed każdym wywołaniem AI klient może zapoznać się z dokładnym tekstem, który zostanie przesłany. Każde wywołanie jest rejestrowane dla danej analizy wraz z czasem, etapem, trybem, liczbą znaków i informacją, czy uwzględniono przykładowe wartości; dziennik można pobrać i stanowi on wsparcie dla Państwa własnych rejestrów prowadzonych zgodnie z Article 30 GDPR.