Prelucrarea datelor
Acordul de prelucrare a datelor HAQQ nu este un document separat. Este Cartea a III-a a Termenilor și condițiilor. Această pagină este o hartă ușor de citit a ceea ce face HAQQ cu datele unui cabinet, în ce rol și sub ce angajamente.
Această pagină re-prezintă Cartea a III-a a Termenilor și condițiilor HAQQ, care funcționează ca un acord de prelucrare a datelor atunci când HAQQ prelucrează datele cu caracter personal ale clienților în numele clientului. În caz de divergență între această pagină și Termeni, Termenii prevalează.
Cine este operatorul și cine este persoana împuternicită de operator
Rolurile nu sunt fixe pe întreaga platformă. Acestea depind de abonament și de activitatea de prelucrare în cauză, iar Cartea a III-a §B le împarte în trei moduri.
| Situație | Operator | Rolul HAQQ |
|---|---|---|
| Abonament Business: datele pe care cabinetul le introduce în platformă | Clientul. Cabinetul stabilește scopurile și mijloacele de prelucrare. | Persoană împuternicită de operator, acționând conform instrucțiunilor documentate ale Clientului. |
| Abonament Personal, care acoperă datele de cont, facturare, utilizare, fraudă, asistență, conformitate | HAQQ. | Operator. |
| Abonament Personal (datele cu caracter personal ale terților pe care abonatul le încarcă) | Abonatul personal, pentru acele date. | Persoană împuternicită de operator pentru acele date. |
| Facturarea, contabilitatea, taxele, prevenirea fraudei, conformitatea cu sancțiunile, monitorizarea securității, cererile legale, administrarea produsului și guvernanța corporativă proprii ale HAQQ. | HAQQ, în mod independent. | Operator independent. |
Ce legi privind confidențialitatea se aplică este o întrebare separată de locul unde sunt găzduite datele. §C prevede în mod explicit că rezidența stabilește locația implicită de găzduire, iar legea aplicabilă depinde, de asemenea, de locul unde se află persoana vizată, de locul unde este stabilit operatorul sau persoana împuternicită de operator, de piețele către care este oferit serviciul și de natura datelor. Termenii menționează GDPR, UK GDPR, UAE PDPL, KSA PDPL, Oman PDPL, Regulamentul de Protecție a Confidențialității Datelor din Kuwait (CITRA), Bahrain PDPL și Legea libaneză nr. 81 din 2018 ca exemple, cu titlu ilustrativ și nu exhaustiv. Locul fizic unde se află datele și delimitarea care menține spațiul de lucru al unui cabinet separat de al altuia sunt descrise la Arhitectura datelor.
Ce se prelucrează
§E enumeră zece categorii. Cea mai mare parte a expunerii unui cabinet de avocatură se află într-una dintre acestea (dosare și fișiere de speță), iar aceasta este categoria al cărei conținut este controlat chiar de cabinet.
| Categorie | Ce acoperă |
|---|---|
| Date de identitate | Nume, titluri, identificatori profesionali și de cont și identificatori emiși de guvern, acolo unde este necesar. |
| Date de contact | Adrese de e-mail, numere de telefon, adrese poștale, detalii despre organizație. |
| Date profesionale | Funcția, cabinetul, apartenența la barou, licențele, domeniile de practică, acreditările, rolul. |
| Dosare și fișiere de speță | Documente juridice, contracte, cereri introductive, memorii, probe, corespondență, materiale de descoperire, mijloace de probă, documente judiciare, note de speță, sarcini, audieri. |
| Date CRM | Registre de clienți și contacte, istoricul relațiilor, date de facturare, pontaj, note, jurnale de interacțiune. |
| Date de autentificare | Nume de utilizator, parole criptate, tokenuri, factori MFA, identificatori de sesiune. |
| Metadate de sistem | Adrese IP, identificatori de dispozitiv, date despre browser și sistem de operare, jurnale, marcaje temporale, localizare derivată din IP sau dispozitiv, diagnostice, jurnale de activitate. |
| Date de facturare și de interfață de plată | Facturi, abonamente, referințe de tranzacție, stare a plății, date fiscale și de profil de facturare. Datele complete ale cardului sunt gestionate de partenerul de plată sau de un procesator conform PCI-DSS, nu de HAQQ. |
| Date de asistență | Tichete, conținut de chat, capturi de ecran, fișiere de diagnostic, pași de reproducere, jurnale. |
| Date derivate | Telemetrie anonimizată și agregată, metrici de utilizare, analize de performanță și fiabilitate, diagnostice de securitate (niciuna identificând un cabinet, utilizator, client sau persoană vizată). |
Ce nu face HAQQ cu datele
Două angajamente din Termeni merită citite împreună, deoarece, împreună, reprezintă răspunsul la întrebarea pe care o pun majoritatea cabinetelor. §B prevede că dezvoltarea internă a produselor HAQQ nu implică antrenarea, reglarea fină sau îmbunătățirea modelelor AI pe baza datelor clienților, datelor din dosare, prompts, rezultatelor sau conținutului utilizatorilor. Cartea a V-a §E merge mai departe și prevede că HAQQ nu utilizează datele clienților, datele din dosare, prompts, intrările AI, ieșirile AI, conținutul utilizatorilor, datele clienților cabinetului sau datele de asistență pentru a antrena, regla fin, îmbunătăți sau actualiza niciun model de fundație, model cross-customer, model terț sau produs concurent. Ambele prevăd aceeași unică excepție: un acord scris semnat separat, în care clientul își exprimă acordul expres, atunci când acea utilizare este legală.
Cartea a V-a §E trasează, de asemenea, linia pe care expresia „AI processing” o estompează de obicei. Regăsirea, indexarea, căutarea, rezumarea, asistența la redactare, clasificarea, extragerea, prompting-ul contextual și generarea conștientă de permisiuni în interiorul tenant-ului propriu al clientului constituie prelucrare și sunt autorizate. Antrenarea modelelor este un act diferit și nu este autorizată. Ceea ce HAQQ poate păstra sunt date de telemetrie agregate și ireversibil anonimizate, referitoare la performanță, fiabilitate, abuz, latență, capacitate și securitate, care, prin definiție, nu conțin conținut al clienților și nu identifică nicio persoană vizată. Modul în care se comportă acestea în produs este descris la Setări AI, iar limita de izolare în care se află este descrisă la Arhitectura datelor.
Obligațiile fiecărei părți
§I enumeră obligațiile HAQQ în calitate de persoană împuternicită de operator, iar §J enumeră obligațiile clientului în calitate de operator. Sunt redactate ca un cuplu și niciunul nu funcționează fără celălalt.
| HAQQ, în calitate de persoană împuternicită de operator (§I) | Clientul, în calitate de operator (§J) |
|---|---|
| Prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale clientului, cu excepția cazului în care legea prevede altfel. | Colectați, utilizați, transmiteți și prelucrați datele în mod legal. |
| Obligați personalul autorizat la confidențialitate. | Furnizați notificările și obțineți consimțămintele, autorizările clienților și aprobările profesionale pe care le impune utilizarea. |
| Implementați măsurile tehnice și organizatorice prevăzute în acord. | Configurați permisiunile, drepturile de acces, setările de păstrare și funcționalitățile produselor în mod corespunzător. |
| Acordați asistență cererilor persoanelor vizate, ținând cont de natura prelucrării. | Răspundeți cererilor persoanelor vizate atunci când clientul este operator. |
| Notificați încălcările confirmate ale securității datelor cu caracter personal conform §P. | Notificați imediat HAQQ cu privire la incidentele suspectate care afectează produsele sau datele. |
| Acordați asistență evaluărilor de impact asupra protecției datelor și consultărilor cu autoritățile de reglementare atunci când sunt necesare și rezonabil de utile. | Mențineți securitatea propriilor sisteme, dispozitive, acreditări și utilizatori. |
| Puneți la dispoziție informațiile rezonabil de necesare pentru a demonstra conformitatea, sub rezerva confidențialității, securității și proporționalității. | Respectați secretul profesional, privilegiul, precum și obligațiile impuse de instanțe, barou și consimțământul clienților. |
| Returnați, ștergeți, anonimizați sau faceți inaccesibile datele cu caracter personal conform §Q și impuneți obligații echivalente sub-împuterniciților. | Despăgubiți HAQQ pentru pretențiile care decurg din propria prelucrare ilegală sau încălcare, sub rezerva Cărții a XIV-a. |
Sub-împuterniciți
§L reprezintă o autorizare generală: clientul autorizează HAQQ să angajeze sub-împuterniciți, care pot include furnizori de găzduire cloud, infrastructură, stocare, analiză, interfață de plată, comunicații, asistență, infrastructură AI, identitate și securitate. HAQQ se angajează să îi selecteze cu diligența rezonabilă, să încheie acorduri scrise care impun protecții nu mai puțin protectoare decât cele impuse de legea aplicabilă și să rămână responsabil pentru actele și omisiunile acestora, în măsura impusă de lege și de acord.
Clientul poate formula o obiecție de bună-credință cu privire la un nou sub-împuternicit în termen de cincisprezece (15) zile de la notificare. Obiecția trebuie să indice un temei rezonabil de natură juridică, de securitate, confidențialitate, responsabilitate profesională sau de reglementare. Dacă nu poate fi soluționată, HAQQ poate lua măsuri alternative rezonabile din punct de vedere comercial sau clientul poate rezilia doar produsul sau activitatea de prelucrare afectată (nu întregul abonament), fără penalități, plătind taxele necontestate acumulate până la acel moment.
Categoriile de sub-împuterniciți angajați de HAQQ și situația actuală a listei nominale sunt publicate în secțiunea sub-împuterniciți a centrului de încredere. Această pagină este locul unde se publică notificarea unei modificări și data acesteia și, prin urmare, de unde începe termenul de cincisprezece zile pentru obiecții. Aceasta precizează în mod clar că lista nominală (fiecare sub-împuternicit semnificativ, funcția sa și regiunea de prelucrare) nu este încă publicată și se transmite la cerere. Considerați-o ca fiind situația actuală, nu ca un registru finalizat.
Unde sunt prelucrate datele și cum trec frontierele
§N oferă rezidență regională a datelor acolo unde este disponibilă și găzduiește în regiune în mod implicit atunci când acest lucru este angajat expres într-un formular de comandă, o propunere oficială sau configurația platformei. Transferurile transfrontaliere pot avea loc totuși atunci când sunt necesare pentru asistență, securitate, facturare, servicii ale sub-împuterniciților, redundanță, conformitate legală sau funcționarea serviciului în sine.
Atunci când legea aplicabilă impune un mecanism de transfer, Termenii permit invocarea deciziilor de adecvare, a Clauzelor Contractuale Standard, a addendum-urilor pentru Marea Britanie, a garanțiilor contractuale echivalente, a măsurilor suplimentare, a consimțământului explicit, a necesității executării unui contract sau a constatării sau apărării unor drepturi în justiție. Atunci când este necesar, HAQQ va efectua sau se va baza pe evaluări de impact privind transferul și pe garanții suplimentare, inclusiv criptare, pseudonimizare, controale de acces, angajamente contractuale și evaluarea mediului juridic.
Ce regiuni există și cum este organizată găzduirea sub toate acestea se găsesc pe Arhitectura datelor, iar poziția privind rezidența și transferul pe care HAQQ o publică pentru cumpărători se află pe centrul de încredere.
Măsuri de securitate
§M angajează HAQQ să adopte măsuri tehnice și organizatorice adecvate riscului și enumeră ceea ce acestea pot include.
- Criptare în tranzit și în repaus.
- Controale de acces bazate pe roluri, acces cu privilegii minime și revizuiri periodice ale accesului.
- Izolare tenant.
- Jurnalizare și monitorizare și gestionarea vulnerabilităților.
- Proceduri de răspuns la incidente și măsuri de backup și de recuperare în caz de dezastru.
- Obligații de confidențialitate a personalului, instruire în domeniul securității, practici de dezvoltare securizată.
- Securitate fizică și de mediu prin intermediul furnizorilor de găzduire.
- Testare de penetrare, evaluări, audituri sau revizuiri de certificare, acolo unde este cazul, și chei de criptare gestionate de client, acolo unde sunt disponibile la nivelul de abonament.
O referire la SOC 2, ISO/IEC 27001, ISO/IEC 42001 sau GDPR înseamnă că programul HAQQ de securitate, confidențialitate și guvernanță AI este conceput pentru a se alinia la acele controale. Aceasta nu reprezintă o afirmație că fiecare produs, locație de găzduire, implementare găzduită de un partener, funcție beta sau integrare terță se află în același domeniu de audit. Considerați acest lucru ca fiind limita a ceea ce Termenii susțin, dacă includeți o afirmație de certificare în propriul dosar de conformitate.
Controalele în sine, ce dovezi există în prezent și domeniul pe care îl acoperă efectiv orice limbaj de certificare sunt menținute pe centrul de încredere, iar garanțiile la nivel de platformă se află pe pagina de securitate HAQQ. Ambele sunt păstrate actualizate în locul lor, mai degrabă decât repetate aici, astfel încât, atunci când această pagină și oricare dintre ele diferă în privința unui control, ele reprezintă versiunea ulterioară, iar Termenii rămân cei obligatorii.
Drepturile persoanelor vizate
§K obligă HAQQ să faciliteze cererile privind drepturile conform legii aplicabile: acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului și plângere la o autoritate de supraveghere. Cererile se trimit la info@haqq.ai sau la o altă adresă desemnată de HAQQ.
Când HAQQ acționează ca persoană împuternicită de operator, nu ca operator (situația obișnuită pentru un abonament business), poate transmite cererea clientului și poate acționa conform instrucțiunilor documentate ale clientului, cu excepția cazului în care legea impune să răspundă direct. HAQQ poate solicita o verificare rezonabilă a identității și poate refuza sau taxa cererile repetitive, în mod vădit nefondate, excesive sau ilegale, acolo unde legea permite.
Notificarea încălcărilor
O încălcare a securității datelor cu caracter personal, conform definiției din §P, reprezintă o încălcare a securității care duce la distrugerea, pierderea, modificarea accidentală sau ilegală, ori divulgarea sau accesul neautorizat la datele cu caracter personal ale clientului prelucrate de HAQQ.
Notificarea conține, în măsura în care sunt cunoscute, natura încălcării, categoriile și numărul aproximativ al persoanelor vizate afectate și al înregistrărilor, consecințele probabile, măsurile luate sau propuse, un punct de contact și recomandări de atenuare (în etape, pe măsură ce imaginea se completează). Alertele de securitate, atacurile nereușite, încercările de intruziune blocate și rapoartele de rutină privind vulnerabilitățile sunt gestionate prin programul de răspuns la incidente; acestea nu constituie în mod automat o notificare de încălcare.
Decizia de a notifica autoritățile de reglementare, instanțele, organismele profesionale, clienții sau persoanele vizate aparține clientului, cu excepția cazului în care HAQQ are o obligație legală directă proprie. HAQQ oferă asistență acolo unde este necesar. Fiecare parte suportă propriile costuri de gestionare a încălcării, cu excepția cazului în care încălcarea este cauzată în principal de încălcarea de către cealaltă parte a acordului sau a legii.
Păstrare, export și ștergere
§Q stabilește ce se întâmplă după încetarea unui abonament. Excepțiile sunt la fel de importante ca perioadele: o suspendare legală, obligațiile fiscale, auditul, verificarea sancțiunilor, obligațiile privind combaterea spălării banilor, un ordin judecătoresc, o obligație profesională sau un acord încheiat separat pot prelungi oricare dintre aceste termene.
| Etapă | Perioadă | Ce se întâmplă |
|---|---|---|
| Fereastra de export | 90 de zile de la încetare sau expirare | Clientul își recuperează datele. |
| Ștergerea din producție | O perioadă rezonabilă din punct de vedere comercial după închiderea ferestrei de export | Datele sunt șterse, anonimizate sau făcute inaccesibile în sistemele de producție active, sub rezerva obligațiilor legale, de reglementare, de securitate, de backup, de recuperare în caz de dezastru, de facturare, de audit, de litigii și de conformitate privind păstrarea. |
| Copii de rezervă criptate și arhive de recuperare în caz de dezastru | Până la 1 an de la încetare | Datele pot persista. Mai mult doar în cazul în care legea, o suspendare pentru litigii, o investigație de securitate, integritatea recuperării în caz de dezastru sau arhitectura de backup imuabilă o impun. Copiile de rezervă nu sunt restaurate în producție decât pentru recuperare în caz de dezastru, securitate, continuitate, conformitate legală sau investigații, iar dacă sunt restaurate, se reaplică ștergerea sau anonimizarea. |
| Date derivate | Nedeterminat | Păstrate doar dacă sunt ireversibil anonimizate sau agregate, astfel încât să nu constituie date cu caracter personal conform legislației aplicabile. |
| Confirmarea ștergerii | La cerere scrisă | HAQQ poate furniza o confirmare rezonabilă, sub rezerva limitelor de confidențialitate, securitate, legale și tehnice. |
Păstrarea datelor în cadrul produsului, spre deosebire de perioada de după încetarea contractului, este parțial o setare: ce se întâmplă cu conversațiile și documentele din suprafețele AI este controlat în setările AI.
Dovezi de audit și conformitate
§O clasifică accesul la dovezi în funcție de cine solicită. Abonații Business pot solicita dovezi rezonabile de conformitate privind obligațiile HAQQ de securitate, confidențialitate și prelucrare. Abonații Enterprise, clienții reglementați și clienții care au o obligație legală sau de reglementare specifică de audit pot solicita materiale sau proceduri de audit suplimentare, sub rezerva confidențialității, securității, proporționalității, disponibilității, domeniului de aplicare și taxelor aplicabile.
Dovezile sunt furnizate de obicei sub formă de rezumate executive, certificări, rezumate de audit, documente tehnice de securitate, materiale din centrul de încredere, rezumate ale politicilor sau chestionare completate. Rapoartele de audit complete și detaliile testelor de penetrare pot necesita un acord de confidențialitate reciproc și pot fi editate pentru a proteja securitatea, confidențialitatea, secretul profesional sau drepturile terților.
Ce poate furniza HAQQ în prezent și cum se poate solicita acest lucru sunt prezentate în centrul de încredere, care este și locul unde se solicită chestionarele, DPA și dovezile de certificare.
Auditurile la fața locului sau la distanță sunt excepția, nu regula: sunt permise numai atunci când materialele scrise nu pot satisface o obligație legală sau de reglementare obligatorie, sunt limitate ca domeniu de aplicare, nu mai mult de o dată pe an, cu excepția cazului în care legea impune mai mult, cu un preaviz de cel puțin șaizeci (60) de zile, în timpul programului normal de lucru, fără a perturba operațiunile și sunt efectuate de auditori independenți care au obligația de confidențialitate.
Programul de prelucrare
§R este anexa pe care o caută responsabilul cu protecția datelor, descrierea prelucrării în conformitate cu articolul 28 alineatul (3), în zece rânduri.
| Element | Ce prevăd Termenii |
|---|---|
| Obiectul | Prelucrarea datelor cu caracter personal ale clienților pentru a furniza, securiza, asista, întreține, îmbunătăți și administra produsele și serviciile conexe în baza acordului, a formularelor de comandă, a propunerilor oficiale și a declarațiilor de lucru. |
| Durată | Durata abonamentului sau a serviciului, plus orice perioadă de păstrare, export, backup, legală, de reglementare, de audit, de litigiu sau de conformitate descrisă în acord, după încetarea contractului. |
| Natura și scopul | Găzduire, stocare, recuperare, transmitere, indexare, control al accesului, autentificare, criptare, asistență, depanare, facturare, analiză a telemetriei anonimizate și agregate, recuperare și generare asistate de AI, procesare de documente, gestionare a dosarelor, comunicare cu clienții, asistență pentru interfața de plată, migrare, integrare și monitorizare a securității. |
| Categorii de persoane vizate | Clienți, utilizatori autorizați, proprietari de conturi, administratori, angajați, contractori, avocați, clienți ai serviciilor juridice, părți adverse, martori, personal al instanței, furnizori, persoane de contact, clienți potențiali, profesioniști listați, membri ai baroului, clienți finali, personal al partenerilor și orice persoană ale cărei date apar în datele clienților. |
| Categorii de date cu caracter personal | Date de identitate, de contact, de autentificare, profesionale, de cont, CRM, de facturare, date privind dosarele și fișierele de caz, documente juridice, comunicări, metadate, jurnale, date de utilizare, date din interfața de plată, date KYC sau de preluare și orice altceva trimite clientul. |
| Date sensibile | Pot fi prelucrate atunci când clientul le furnizează în legătură cu dosare juridice, preluare, fluxuri de lucru profesionale, probe, litigii, aspecte familiale, penale, legate de sănătate, financiare sau de muncă. Clientul este responsabil pentru temeiul juridic și garanțiile aferente. |
| Sub-împuterniciți | Implicați conform descrierii din §L; lista actualizată sau informațiile echivalente sunt puse la dispoziție prin Platformă, Centrul de Încredere, la cerere scrisă sau în anexa contractuală. |
| Măsuri tehnice și organizatorice | Criptare în tranzit și în repaus, izolare pe tenant, controale de acces, permisiuni bazate pe roluri, jurnalizare, monitorizare, gestionarea vulnerabilităților, răspuns la incidente, controale de backup și recuperare în caz de dezastru, confidențialitatea personalului, instruire, securitate fizică și proceduri de audit. |
| Transferuri | Guvernate de §N; se pot baza pe decizii de adecvare, clauze contractuale standard (SCC), anexe pentru Regatul Unit, garanții contractuale echivalente, măsuri suplimentare sau alte mecanisme legale. |
| Ștergere sau returnare | Returnarea, exportul, ștergerea, anonimizarea, păstrarea copiilor de siguranță și certificarea ștergerii sunt reglementate de §Q și Cartea XIV. |
La ce nu poate răspunde această pagină
Cele patru întrebări de mai jos sunt cele pe care le ridică o analiză de achiziții sau de conformitate și la care Cartea a III-a nu răspunde încă. Sunt consemnate, nu presupuse.
Resurse conexe
Detaliile operaționale care stau la baza acestei pagini sunt întreținute pe patru pagini separate, fiecare gestionată de echipa care administrează controlul respectiv, nefiind reluate aici.
- Lista sub-împuterniciților acoperă categoriile implicate, funcția fiecărui furnizor și regiunea de procesare astfel cum sunt publicate, și notificarea de modificare care declanșează fereastra de opoziție de cincisprezece zile conform §L. Lista nominală nu este încă publicată; centrul de încredere spune acest lucru și vă informează cum să o solicitați.
- Securitate și încredere. Controale de securitate, dovezile de audit disponibile și cum să le solicitați, și sfera acoperită de orice limbaj de certificare. Pagina de securitate HAQQ conține garanțiile la nivel de platformă.
- Arhitectura datelor prezintă izolarea tenantului, găzduirea, limitele de acces și modul în care datele se deplasează între acestea.
- Setări AI și utilizarea datelor acoperă controalele AI disponibile în produs. Ce face și ce nu face HAQQ cu acele date (linia dintre procesare și antrenare, și ce se păstrează) este prezentat mai sus la „Ce nu face HAQQ cu ele” și în Cartea V §E din Termeni.