Dodatak o obradi podataka
Operativni predložak članka 28. GDPR-a. Prije sklapanja ugovora mora ga pregledati pravnik i dopuniti stvarnim podizvršiteljima.
Predmet i trajanje
Izvršitelj obrađuje podatke radi pružanja AI korisničke podrške tijekom važenja pretplate i dokumentiranog roka čuvanja. Voditelj određuje svrhe, kategorije korisnika, upute botu i pravnu osnovu.
Vrste podataka i ispitanici
Kontaktni podaci računa, sadržaj razgovora, pseudonimizirani tehnički identifikatori, povratne informacije i eventualni privitci. Ispitanici su korisnici voditelja, posjetitelji web-stranice i ovlašteni administratori. Posebne kategorije podataka nisu predviđene.
Obveze izvršitelja
- obrađivati podatke samo prema dokumentiranim uputama i osigurati povjerljivost osoblja;
- primijeniti primjerene tehničke i organizacijske mjere te pomagati pri zahtjevima ispitanika, DPIA-i i incidentima;
- bez nepotrebnog odgađanja obavijestiti voditelja o povredi podataka;
- po prestanku izbrisati ili vratiti podatke, osim zakonske obveze čuvanja;
- omogućiti razumno potrebne informacije za dokazivanje usklađenosti.
Podizvršitelji i prijenosi
Predviđeni podizvršitelji uključuju pružatelja hostinga i OpenAI API. Prije produkcije u prilogu ugovora navedite puni pravni naziv, lokaciju, svrhu i zaštitni mehanizam svakog dobavljača te postupak obavještavanja o promjenama. Međunarodni prijenosi smiju se provoditi samo uz odgovarajući pravni mehanizam.
Sigurnosne mjere
Kontrola uloga, sigurne sesije, šifriranje API ključa u mirovanju, TLS u prijenosu, CSRF zaštita, parametrizirani SQL, ograničavanje prijava i poruka, ograničeni tipovi datoteka, audit trag, sigurnosne kopije i automatsko brisanje prema roku. Voditelj mora ispravno konfigurirati domene, cPanel, HTTPS, cron, pristupe i sigurnosne kopije.