Andmetöötlusleping

Pooled ja käesoleva andmetöötluslepingu kohaldamine

Käesolev andmetöötlusleping on sõlmitud Sencai Tech s.r.o., registreeritud asukohaga Prahas, Tšehhi Vabariigis, registreeritud Praha munitsipaalkohtus ("Sencai", "meie"), ja kasutustingimustega nõustunud kliendi ("teie") vahel. See on tingimuste osa ja muutub siduvaks, kui te tingimustega nõustute; eraldi allkirja ei ole vaja. Kui soovite oma dokumentide jaoks allkirjastamise kirjet, saab teie organisatsiooni omanik või administraator käesoleva andmetöötluslepingu platvormis allkirjastada. Kehtiv versioon on avaldatud aadressil sencai.space/legal/dpa/. See on käesoleva andmetöötluslepingu versioon 1.0. Klientide suhtes, kes nõustusid tingimuste varasema versiooniga, kohaldatakse seda tingimuste muudatusena kooskõlas tingimuste muudatusi käsitlevate sätetega.

Ulatus ja rollid

Käesolevat andmetöötluslepingut kohaldatakse isikuandmetele, mida Sencai töötleb teie nimel teenuse osutamisel, nagu on allpool kirjeldatud ("kliendi isikuandmed"). Kliendi isikuandmete puhul olete vastutav töötleja teie või teie esindatav organisatsioon ning Sencai on volitatud töötleja. Kui olete ise volitatud töötleja mõne teise vastutava töötleja jaoks - näiteks hallatud teenuste pakkuja, kes tegutseb oma klientide nimel -, tegutseb Sencai teie alltöötlejana ning teie tagate, et teie juhised Sencaile on selle vastutava töötleja poolt lubatud. Isikuandmed, mida Sencai töötleb oma eesmärkidel, näiteks konto registreerimiseks, arveldamiseks ja teenuse turvalisuse tagamiseks, jäävad käesoleva andmetöötluslepingu kohaldamisalast välja ning neid reguleerib privaatsuspoliitika, mille alusel on Sencai vastutav töötleja. Mõned kirjed, näiteks sisselogimissündmused ja auditijälg, teenivad mõlemat eesmärki: neid töödeldakse käesoleva andmetöötluslepingu alusel, kui neid kasutatakse teile teenuse osutamiseks, ja privaatsuspoliitika alusel, kui neid kasutatakse teenuse turvalisuse tagamiseks.

Ülimuslikkus ja keel

Kui käesolev andmetöötlusleping ja tingimused on isikuandmete töötlemise osas vastuolus, on ülimuslik käesolev andmetöötlusleping. Käesolev andmetöötlusleping on koostatud inglise keeles. Tõlked on esitatud mugavuse huvides; kui tõlge erineb ingliskeelsest versioonist, on ülimuslik ingliskeelne versioon.

Töötlemise ese, kestus, laad ja eesmärk

Töötlemise ese on Sencai platvormi pakkumine - multi-cloud control plane, mida pakutakse tingimuste alusel tarkvarateenusena (Software-as-a-Service). Töötlemine kestab lepingu kehtivuse ajal ja pärast seda seni, kuni kliendi isikuandmed on kustutatud, nagu on kirjeldatud kustutamist ja tagastamist käsitlevas jaotises. See hõlmab andmete kogumist teie seadistatud ühenduste kaudu; nende salvestamist, korrastamist ja kuvamist teie volitatud kasutajatele; nende analüüsimist, näiteks turvaskaneerimiseks, kuluanalüüsiks ja, kui te neid kasutate, AI-funktsioonide jaoks; nende edastamist teie infrastruktuuri ja teenusepakkujatele, kellega te platvormi kaudu töötate; teie taotletud toimingute tegemist pilveteenuse pakkujate juures ja teie serverites; ning nende kustutamist. Eesmärk on osutada teile teenust kooskõlas tingimuste ja teie juhistega, sealhulgas pakkuda teie taotletud tuge ja tagada selle töötlemise turvalisus, nagu nõuab GDPR artikkel 32.

Andmesubjektide kategooriad

Kliendi isikuandmed võivad olla seotud järgmiste andmesubjektidega:

• Teie platvormi volitatud kasutajad, näiteks teie töötajad ja töövõtjad.
• Teie töötajaskonna liikmed, kelle kirjed sünkroonitakse teie ühendatud kataloogist, näiteks Microsoft Entra ID-st, Microsoft 365-st või Google Workspace'ist.
• Isikud, kelle isikuandmed sisalduvad infrastruktuuris, serverites, logides, terminaliseanssides või saladuste väärtustes, mille te platvormiga ühendate või mida te platvormi kaudu haldate, näiteks teie enda kliendid ja lõppkasutajad.

Isikuandmete kategooriad

Sõltuvalt kasutatavatest funktsioonidest võivad kliendi isikuandmed hõlmata allpool loetletud kategooriaid. Teenus ei ole mõeldud isikuandmete eriliikide (GDPR artikkel 9) ega süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete (GDPR artikkel 10) töötlemiseks. Kui teie infrastruktuur, logid või saladuste väärtused sisaldavad selliseid andmeid, vastutate teie selle hindamise eest, kas käesolevas andmetöötluslepingus sätestatud meetmed on asjakohased, enne kui neid andmeid teenuse kaudu töötlete.

• Infrastruktuuriandmed: teie ühendatud või provisioneeritud pilveressursside ja serverite inventar, konfiguratsioon ja metaandmed, näiteks ressursside nimed, sildid, IP-aadressid, DNS-kirjed ja tulemüürireeglid, mis võivad sisaldada isikuandmeid.
• Teie ühendatud pilvekontode mandaadid, mida hoitakse krüpteerituna.
• Andmed, mida Sencai agent kogub serveritest, kuhu te selle paigaldate, näiteks paigaldatud tarkvara ja paikade olek, turvaskaneerimise tulemused ning süsteemi- ja rakenduslogid.
• Brauseriterminali seansid: kirjed selle kohta, kes millise serveriga millal ühendus, ning seansi kaudu liikuvad andmed seni, kuni seanss on avatud.
• Kataloogi- ja identiteediandmed, kui te ühendate kataloogi: kasutajate ja gruppide kirjed, sisselogimis- ja haldussündmused, sealhulgas e-posti aadressid, IP-aadressid ning brauseri- või seadmeteave, ja postkastide inventar.
• Teie organisatsiooni auditijälg: milline kasutaja millise toimingu millal tegi, koos IP-aadressi ja brauseriteabega.
• Saladuste väärtused, mille esitate funktsioonile Secret Injection.
• Sisu, mille esitate AI-funktsioonidele, koos sellega saadetava infrastruktuurikontekstiga.

Dokumenteeritud juhised

Sencai töötleb kliendi isikuandmeid üksnes teie dokumenteeritud juhiste alusel, sealhulgas seoses isikuandmete edastamisega väljaspool Euroopa Majanduspiirkonda asuvatesse riikidesse, välja arvatud juhul, kui ELi või liikmesriigi õigus nõuab teisiti; sellisel juhul teavitab Sencai teid sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui see õigus keelab sellise teavitamise olulise avaliku huvi tõttu. Teie juhised on tingimused, käesolev andmetöötlusleping ning viis, kuidas te teenust kasutate ja seadistate, sealhulgas selle kasutajaliidese ja API kaudu. Täiendavad juhised tuleb anda kirjalikult, näiteks aadressile privacy@sencai.space, ning need peavad olema kooskõlas tingimustega. Sencai teavitab teid viivitamata, kui juhis tema arvates rikub GDPR-i või muud ELi või liikmesriigi andmekaitseõigust. Teie vastutate oma juhiste ning teenuse kaudu töödeldavate isikuandmete seaduslikkuse eest.

Konfidentsiaalsus

Sencai annab juurdepääsu kliendi isikuandmetele üksnes isikutele, kes vajavad seda teenuse osutamiseks, toetamiseks või turvamiseks, ning tagab, et kõik kliendi isikuandmete töötlemiseks volitatud isikud on seotud konfidentsiaalsuskohustustega või neile kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus.

Töötlemise turvalisus

Sencai rakendab tehnilisi ja korralduslikke meetmeid, et tagada riskile vastav turvalisuse tase, nagu nõuab GDPR artikkel 32. Praegu rakendatavad meetmed hõlmavad allpool loetletuid. Sencai võib neid tehnoloogia ja riskide arenedes ajakohastada, tingimusel et üldine turvalisuse tase ei vähene.

• Platvormi majutamine Google Cloudi ELi regioonides.
• Organisatsioonide eraldatus: ressursid on seotud organisatsiooniga, kuhu need kuuluvad, ja teie kasutajate juurdepääsu kontrollitakse selle organisatsiooni suhtes.
• Rollipõhine juurdepääs igas organisatsioonis, nii et kasutajad saavad näha ja muuta ainult seda, mida nende roll lubab.
• TLS-krüpteerimine platvormiga ühenduste puhul avalikes võrkudes; serverites töötav Sencai agent kasutab lisaks vastastikku autenditud ühendust.
• Ühendatud pilvekontode mandaatide krüpteerimine puhkeolekus (AES-256-GCM); neid mandaate platvormi kaudu tagasi ei kuvata.
• Saladuste väärtuste hoidmine saladuste hoidlas Sencai Vault, nagu on kirjeldatud järgmises jaotises.
• Sisselogimise kaitse korduva paroolide äraarvamise vastu, lühikese kehtivusajaga juurdepääsulubad ning mitmeastmelise autentimise ja ühekordse sisselogimise tugi.
• Võrgupoliitikad, mis piiravad, millised sisemised teenused saavad omavahel suhelda.
• Ainult lisamist võimaldav räsiahelaga auditijälg, milles varasema kirje muutmine või eemaldamine on tuvastatav.
• Platvormi andmebaasi varukoopiad, mis krüpteeritakse enne nende salvestamist.

Sencai Vault ja Secret Injection

Kui kasutate funktsiooni Secret Injection, salvestab Sencai teie esitatud saladuste väärtused puhkeolekus krüpteerituna saladuste hoidlas Sencai Vault, mida Sencai käitab ise ELis asuval Google Cloudi infrastruktuuril. Sencai kasutab neid väärtusi üksnes nende edastamiseks teie enda infrastruktuuri: Kubernetese klastrisse või serveritesse, kus töötab Sencai agent, kui te selle seal lubate, ning seal üksnes asukohtadesse, mida selle klastri või serveri enda konfiguratsioon lubab. Salvestatud väärtusi ei ole võimalik platvormi kaudu vaadata ega eksportida. Platvormi teenused pääsevad neile ligi üksnes spetsiaalsete juurdepääsuandmetega, mis on piiratud väärtuste salvestamise, edastamiseks lugemise või kustutamisega, ning platvormi teenuste ja saladuste hoidla Sencai Vault vaheline andmeliiklus on krüpteeritud TLS-iga. Sencai Vault peab juurdepääsu kohta auditijälge, milles juurdepääsuandmed kajastuvad üksnes võtmega räsidena (HMAC). Iga edastus krüpteeritakse võtmega, mis on loodud ainult selle edastuse jaoks. Väärtus antakse klastrile või serverile üle alles pärast seda, kui teie organisatsiooni administraator on selle agendi usaldusväärseks määranud, ja üksnes neile juurdepääsuandmetele, mis agendil usaldusväärseks määramise ajal olid. Asendatud väärtuse varasemaid versioone võidakse säilitada kuni vastava Secret Injection kirje tühistamise või kustutamiseni. Pärast selle kirje tühistamist või kustutamist kustutab Sencai väärtuse koos kõigi säilitatud versioonidega saladuste hoidlast Sencai Vault põhjendamatu viivituseta ning Sencai kustutab kõik sellised väärtused enne organisatsiooni kustutamist. Kui tühistate Secret Injection kirje, annab Sencai väärtuse saanud agendile korralduse see eemaldada, kui sellist korraldust on võimalik saata; kui seda ei saa saata või eemaldamist ei kinnitata, näiteks seetõttu, et agent ei ole ühendatud või on lahti ühendatud või edastamine on välja lülitatud, võib väärtus teie infrastruktuuri alles jääda. Iga teie infrastruktuuri edastatud koopia on teie kontrolli all ning seda saab lugeda igaüks, kellel on piisav juurdepääs süsteemile, kus see asub, sealhulgas privilegeeritud kasutajad ja kõik, kellel lubate Sencai agendi kaudu käske käivitada.

Alltöötlejad

Annate Sencaile üldise kirjaliku loa kaasata alltöötlejaid, kes on loetletud alltöötlejate registris aadressil sencai.space/legal/subprocessors/. Sencai paneb igale alltöötlejale kirjaliku lepinguga andmekaitsekohustused, mis pakuvad vähemalt samaväärset kaitse taset kui käesolevas andmetöötluslepingus sätestatud kohustused, eelkõige piisavad tagatised asjakohaste tehniliste ja korralduslike meetmete rakendamiseks, nagu nõuab GDPR artikli 28 lõige 4. Sencai jääb teie ees täielikult vastutavaks iga alltöötleja kohustuste täitmise eest, arvestades vastutust käsitlevat jaotist. Pilveteenuse pakkujad, kelle kontod te ise ühendate, ei ole Sencai alltöötlejad: need kontod jäävad teie enda lepingu alla vastava pakkujaga ning Sencai tegutseb neis üksnes teie juhiste alusel. Kui Sencai käitab teie ressursse enda hallatavatel pilvekontodel, nimetatakse selle all olev pakkuja teile alltöötlejana enne kokkuleppe algust ja lisatakse registrisse. Sencai teatab igast kavandatavast alltöötleja lisamisest või asendamisest vähemalt 14 päeva enne selle jõustumist, ajakohastades registrit ja saates e-kirja teie organisatsiooni omanikele. Võite muudatuse suhtes esitada selle aja jooksul kirjaliku vastuväite aadressile privacy@sencai.space; seejärel teeb Sencai teiega heas usus koostööd vastuväite lahendamiseks ning kui seda ei õnnestu lahendada, võite lõpetada asjaomase teenuse või, kui teenust ei ole võimalik ilma selle alltöötlejata osutada, lepingu, jõustumisega enne seda, kui muudatust teie andmete suhtes kohaldatakse.

Rahvusvahelised andmeedastused

Kliendi isikuandmeid hoitakse peamiselt ELis/EMPs. Kui alltöötleja töötleb neid väljaspool Euroopa Majanduspiirkonda, tugineb edastamine registris selle alltöötleja kohta märgitud alusele - Euroopa Komisjoni adekvaatsusotsusele või tüüptingimustele (Standard Contractual Clauses) - koos täiendavate kaitsemeetmetega, kui need on nõutavad. AI-funktsioonid saadavad sisu, mille te neile esitate, registris nimetatud mudelipakkujatele, kes võivad seda töödelda väljaspool ELi; neid kaasatakse ainult siis, kui te neid funktsioone kasutate. Kui valite enda ühendatud pilvekontol regiooni väljaspool Euroopa Majanduspiirkonda, liiguvad andmed sinna teie juhiste alusel.

Abi andmesubjektide taotlustele vastamisel

Võttes arvesse töötlemise laadi, aitab Sencai teid asjakohaste tehniliste ja korralduslike meetmetega, niivõrd kui see on võimalik, vastata andmesubjektide taotlustele, millega nad kasutavad oma GDPR III peatükis sätestatud õigusi. Teenus pakub selleks iseteenindusvahendeid: teie kasutajad saavad platvormi privaatsusseadetes eksportida oma konto kohta hoitavad isikuandmed ja taotleda oma konto kustutamist ning teie organisatsiooni auditijälge saab eksportida. Kui neist vahenditest ei piisa, osutab Sencai aadressile privacy@sencai.space saadetud taotluse alusel mõistlikku täiendavat abi. Kui Sencai saab kliendi isikuandmeid puudutava taotluse otse andmesubjektilt, teavitab ta teid ega vasta taotlusele ise, välja arvatud juhul, kui te annate selleks juhise või seadus seda nõuab.

Abi turvalisuse, mõjuhinnangute ja konsulteerimise küsimustes

Võttes arvesse töötlemise laadi ja Sencaile kättesaadavat teavet, aitab Sencai teil täita GDPR artiklitest 32 kuni 36 tulenevaid kohustusi - töötlemise turvalisus, isikuandmetega seotud rikkumistest teavitamine, andmekaitsealased mõjuhinnangud ja eelnev konsulteerimine järelevalveasutusega. Eelkõige teeb ta seda, tehes kättesaadavaks käesoleva andmetöötluslepingu ja selles sisalduva turvameetmete kirjelduse, alltöötlejate registri, andmete asukoha kinnituse, töötlemistoimingute registrid, kui teie plaan neid sisaldab, ja teie auditijälje ekspordi, ning vastates teie mõistlikele küsimustele nendel eesmärkidel.

Isikuandmetega seotud rikkumised

Sencai teavitab teid kliendi isikuandmeid mõjutavast isikuandmetega seotud rikkumisest põhjendamatu viivituseta ja igal juhul 72 tunni jooksul pärast sellest teadasaamist, saates e-kirja teie organisatsiooni omanikele. Teates kirjeldatakse, niivõrd kui teave on sel hetkel kättesaadav, rikkumise laadi, sealhulgas võimaluse korral asjaomaste andmesubjektide ja isikuandmete kirjete kategooriaid ja ligikaudset arvu; tõenäolisi tagajärgi; rikkumise lahendamiseks ja selle võimaliku kahjuliku mõju leevendamiseks võetud või kavandatud meetmeid; ning kontaktpunkti, kust saab täiendavat teavet. Kui kogu teave ei ole korraga kättesaadav, esitab Sencai selle etappide kaupa ilma täiendava põhjendamatu viivituseta. Sencai võtab mõistlikke meetmeid rikkumise ohjeldamiseks ning toetab teid järelevalveasutuse ja mõjutatud andmesubjektide teavitamisel, kui teil on selleks kohustus.

Kustutamine ja tagastamine lepingu lõppemisel

Pärast lepingu lõppemist on teil 21 päeva aega oma andmete eksportimiseks teenuse ekspordifunktsioonide abil, nagu on sätestatud tingimustes. Pärast selle aja möödumist kustutab Sencai kliendi isikuandmed, välja arvatud juhul, kui ELi või liikmesriigi õigus nõuab nende säilitamist. Kustutamine toimub protsessina, mitte ühe hetkega; kuni see on lõpule viidud, hoitakse andmeid üksnes nende kustutamise eesmärgil. Lisaks:

• Varukoopiates olevaid andmeid ei eemaldata igast varukoopiast eraldi. Need kustutatakse siis, kui neid sisaldavad varukoopiad kustutatakse, hiljemalt üks aasta pärast iga varukoopia tegemist; seni jäävad varukoopiad krüpteerituks ja neid kasutatakse üksnes teenuse taastamiseks.
• Teie organisatsiooni auditijälje kirjeid ei kustutata, sest auditijälg on oma ülesehituselt ainult lisamist võimaldav. Pärast lepingu lõppemist säilitab Sencai neid vastutava töötlejana üksnes turvalisuse ja tõendamise eesmärgil, nagu on kirjeldatud privaatsuspoliitikas, ning juurdepääs neile on piiratud nende eesmärkidega.
• Saladuste väärtused saladuste hoidlas Sencai Vault kustutatakse, kui vastav Secret Injection kirje tühistatakse või kustutatakse, ja igal juhul enne teie organisatsiooni kustutamist.
• Ressursid pilvekontodel, mille te ise ühendate, jäävad teie omaks ja Sencai ei kustuta neid lepingu lõpetamise käigus kunagi.

Auditid ja teave

Sencai teeb teile kättesaadavaks teabe, mis on vajalik GDPR artiklis 28 sätestatud kohustuste täitmise tõendamiseks. Ta teeb seda eelkõige dokumentatsiooni kaudu: käesolev andmetöötlusleping, alltöötlejate register, andmete asukoha kinnitus, töötlemistoimingute registrid, kui teie plaan neid sisaldab, teie auditijälje eksport ning kirjalikud vastused mõistlikele turvaküsimustikele. Sencail ei ole ISO 27001 ega SOC 2 sertifikaati. Niivõrd kui GDPR artikli 28 lõike 3 punkt h seda nõuab või kui järelevalveasutus seda nõuab, võimaldab Sencai ka auditeid, sealhulgas kontrolle, mida viite läbi teie või teie volitatud audiitor, ning aitab neile kaasa. Selliste auditite kohta tuleb mõistliku aja eest ette teatada, need viiakse läbi teie kulul ja konfidentsiaalsuskohustuste alusel ning need ei tohi anda juurdepääsu teiste klientide andmetele ega ohustada teenuse turvalisust. Taotlused tuleb saata aadressile privacy@sencai.space.

Vastutus

Käesolevast andmetöötluslepingust tulenevale või sellega seotud vastutusele kohaldatakse tingimustes sätestatud vastutuse piiramist, niivõrd kui kohustuslik õigus seda lubab. Miski käesolevas andmetöötluslepingus ei piira andmesubjektide GDPR-ist tulenevaid õigusi.

Kehtivus, muudatused ja kohaldatav õigus

Käesolev andmetöötlusleping kehtib seni, kuni Sencai töötleb kliendi isikuandmeid teie nimel, sealhulgas pärast tingimuste lõppemist kuni kustutamise lõpuleviimiseni. Sencai võib käesolevat andmetöötluslepingut muuta samal viisil nagu tingimusi, teatades sellest vähemalt 14 päeva ette e-posti või rakendusesisese teate kaudu; kui te ei nõustu olulise muudatusega, võite lepingu lõpetada muudatuse jõustumise kuupäeva seisuga. Käesolevat andmetöötluslepingut reguleerib Tšehhi Vabariigi õigus ning vaidlused lahendatakse Praha, Tšehhi Vabariigi pädevates kohtutes, nagu on sätestatud tingimustes.

Kontaktid

Küsimused käesoleva andmetöötluslepingu kohta, andmekaitsealased taotlused, juhised ja vastuväited alltöötlejate muudatustele: privacy@sencai.space. Turvaintsidendid ja haavatavusteated: security@sencai.space. Sencai saadab käesoleva andmetöötluslepingu kohased teated teie organisatsiooni omanike e-posti aadressidele, seega hoidke need palun ajakohasena.