Acord de prelucrare a datelor

Obiectul, durata, natura și scopul

1.1. Prezentele condiții reglementează prelucrarea datelor cu caracter personal prelucrate în cursul exploatării serviciului SmartAIAssist. Obiectul prelucrării îl constituie datele cu caracter personal prelucrate de client în timpul utilizării serviciului.

1.2. Prelucrarea durează pe perioada contractului de servicii și pe perioada necesară returnării și ștergerii datelor după încetarea acestuia (punctul 10.2). Obligațiile persoanei împuternicite de operator se mențin până la finalizarea returnării și a ștergerii.

1.3. Natura prelucrării: colectare, stocare, structurare, consultare, transmitere și ștergere. Scopul este prestarea serviciului: funcționarea asistentului, gestionarea conversațiilor și a bazei de cunoștințe, precum și asigurarea funcțiilor comandate.

1.4. Datele persoanelor interesate furnizate prin formularele de pe site sunt prelucrate de R-Szoft în calitate de operator; acestea fac obiectul Politicii de confidențialitate.

Operatorul și persoana împuternicită de operator

2.1. Clientul serviciului este operatorul, iar R-Szoft Informatikai Korlátolt Felelősségű Társaság (R-Szoft Kft.) este persoana împuternicită de operator.

2.2. Persoana împuternicită de operator prelucrează datele cu caracter personal exclusiv în numele operatorului și pe baza instrucțiunilor documentate ale acestuia, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii sau de dreptul intern; în acest caz, informăm operatorul.

Categorii de date prelucrate

3.1. Datele prelucrate și persoanele vizate, pe produs:

• Chat AI: vizitatorii site-ului; mesajele lor, datele de contact pe care le furnizează, precum și momentul conversației și identificatorii tehnici ai acesteia.
• Knowledge AI: personalul Utilizatorului și persoanele care apar în documentele încărcate; întrebările, răspunsurile și conținutul documentelor.
• Email AI: expeditorii și destinatarii e-mailurilor și persoanele care apar în acestea; antetul e-mailurilor (expeditor, destinatari, subiect, dată) și conținutul acestora, precum și ciornele de răspuns.
• Web AI: conținutul public al site-ului Utilizatorului; date cu caracter personal doar în măsura în care acestea apar public pe site.
• Video AI și Social AI: conform punctelor 3.3 și 3.4.

Pentru fiecare produs, prelucrarea cuprinde conținutul stocat în baza de cunoștințe.

3.2. Operatorul răspunde de existența unui temei juridic pentru prelucrarea datelor provenite de la terți.

3.3. În cazul comandării Video AI, prelucrarea cuprinde și scenariul videoclipului, imaginile încărcate de operator, precum și fișierele audio, imaginile și videoclipurile generate.

3.4. În cazul comandării Social AI, prelucrarea cuprinde și postările, comentariile și reacțiile paginii de Facebook a operatorului, numele și ID-urile de Facebook ale utilizatorilor care comentează, datele de interacțiune ale postărilor (numărul de reacții și de comentarii), precum și tokenul de acces la pagină; în acest caz, persoanele vizate includ și terții care comentează pe pagina de Facebook. Persoana împuternicită de operator nu filtrează conținutul comentariilor; dacă acestea conțin categorii speciale de date (de exemplu date privind sănătatea), operatorul răspunde de temeiul juridic al prelucrării conform punctului 3.2. Persoana împuternicită de operator folosește astfel de comentarii doar pentru pregătirea propunerilor de răspuns; în afara utilizatorilor autorizați ai operatorului, la acestea are acces doar personalul de asistență al persoanei împuternicite, iar ele se șterg conform punctului 10.3.

Prelucrarea conform instrucțiunilor

4.1. Persoana împuternicită de operator prelucrează datele cu caracter personal exclusiv pe baza instrucțiunilor documentate ale operatorului.

4.2. Nici operatorul, nici persoana împuternicită de operator nu are dreptul să utilizeze datele cu caracter personal primite de la cealaltă parte într-un alt scop decât raportul juridic, în conformitate cu GDPR și cu Legea maghiară nr. CXII din 2011 privind dreptul la autodeterminare informațională și libertatea informației (Infotv.).

4.3. Persoana împuternicită de operator informează imediat operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții din dreptul Uniunii sau al statelor membre privind protecția datelor.

Confidențialitate

5.1. Persoanele care au acces la prelucrare își asumă un angajament de confidențialitate, iar la date au acces numai persoanele autorizate.

Măsuri de securitate

6.1. Persoana împuternicită de operator aplică măsuri tehnice și organizatorice conforme cu articolul 32 din GDPR: comunicarea este criptată, datele stocate sunt criptate, accesul administrativ este protejat prin autentificare multifactor, iar accesul este restricționat în funcție de rol.

6.2. Persoana împuternicită de operator înregistrează în jurnal interacțiunile AI, în scop de securitate și de depanare.

Persoane împuternicite secundare (sub-împuterniciți)

7.1. În baza autorizării generale a operatorului, persoana împuternicită de operator recurge la următoarele persoane împuternicite secundare. Datele de chat, conversațiile și baza de cunoștințe rămân într-o regiune din UE; generarea vocii și a videoclipurilor Video AI are loc și în afara SEE, conform punctului 7.5:

• Amazon Web Services EMEA SARL, AWS eu-central-1 (Frankfurt) – platformă și stocare – UE
• Google Cloud EMEA Limited, Vertex AI (Gemini), endpoint regional în UE – apeluri către model – UE
• Amazon Web Services EMEA SARL, AWS Bedrock eu-central-1 – model de rezervă – UE
• Amazon Web Services EMEA SARL, Amazon SES – trimitere de e-mailuri – UE
• UAB „Data Troops” (Decodo), cod de înregistrare 305893779, Švitrigailos str. 34, Vilnius, Lituania – scanare pentru demo – UE
• parteneri de implementare din România (Parteneri) – implementare, încărcarea bazei de cunoștințe și asistență, exclusiv pentru datele clientului care a comandat prin intermediul Partenerului – România (UE); denumirea și sediul Partenerului sunt menționate în confirmarea comenzii
• Eleven Labs Inc. – sinteză vocală (text-to-speech) pentru videoclipurile Video AI (scenariul și fișierul audio generat) – Statele Unite
• HeyGen Technology, Inc. – randarea videoclipurilor cu avatar pentru Video AI (fișierul audio și videoclipul final) – Statele Unite
• Google Cloud EMEA Limited, Vertex AI – generarea imaginilor publicitare, endpoint regional în UE – UE
• Google Cloud EMEA Limited, Vertex AI – generarea videoclipurilor publicitare, endpoint global – UE și Statele Unite

7.2. Persoana împuternicită de operator informează operatorul prin e-mail cu privire la extinderea sau modificarea listei persoanelor împuternicite secundare cu cel puțin 15 zile înainte de modificare sau, dacă ea însăși este informată despre modificare cu un termen mai scurt, fără întârziere după ce a luat cunoștință de aceasta. După primirea informării, operatorul poate formula o obiecție motivată; dacă obiecția este întemeiată și modificarea afectează un serviciu comandat de operator, operatorul poate denunța serviciul afectat cu efect de la data intrării în vigoare a modificării. În lipsa unei obiecții, modificarea se consideră acceptată.

7.3. Persoana împuternicită de operator încheie cu persoanele împuternicite secundare un contract de prelucrare a datelor care include garanțiile prevăzute la articolul 28 alineatele (3)–(4) din GDPR.

7.4. În calitate de persoană împuternicită secundară, Partenerul are acces la date numai în măsura și pe durata necesare pentru implementare și asistență. Partenerului îi revin aceleași obligații de protecție a datelor ca persoanei împuternicite de operator (articolul 28 alineatul (4) din GDPR); persoana împuternicită de operator rămâne răspunzătoare pentru îndeplinirea obligațiilor de către Partener.

7.5. Transferuri în afara SEE. La utilizarea Video AI, scenariul, imaginile încărcate și fișierele generate sunt transferate către Eleven Labs Inc., HeyGen Technology, Inc. și – la generarea videoclipurilor publicitare – Google LLC, în Statele Unite. Transferul se bazează pe certificarea acestora în cadrul Cadrului UE–SUA privind protecția datelor (Decizia de punere în aplicare (UE) 2023/1795 a Comisiei) sau, în lipsa certificării, pe clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei (SCC, modulul trei: de la persoana împuternicită la persoana împuternicită). Prin comandarea Video AI, operatorul dispune acest transfer; persoana împuternicită de operator recomandă ca scenariul și imaginile să nu conțină mai multe date cu caracter personal decât este necesar.

7.6. Social AI și Meta. Pentru utilizarea Social AI, operatorul acordă acces la pagina sa de Facebook prin platforma Meta Platforms Ireland Limited (Facebook Login for Business). Meta nu este persoană împuternicită secundară: prelucrează datele paginii de Facebook și ale vizitatorilor acesteia în calitate de operator independent, conform propriilor condiții. În numele operatorului și cu respectarea condițiilor platformei Meta, persoana împuternicită de operator prelucrează postările, comentariile și reacțiile paginii, numele și identificatorii celor care comentează, precum și datele de interacțiune ale postărilor, stochează tokenul de acces în formă criptată, păstrează datele primite de la Facebook separat de datele altor operatori și nu le folosește în niciun alt scop, inclusiv pentru antrenarea modelelor de inteligență artificială. Operatorul poate revoca accesul oricând; ștergem datele primite de la Facebook în termen de 30 de zile de la revocare.

Sprijin pentru exercitarea drepturilor persoanelor vizate și pentru obligațiile operatorului

8.1. Ținând seama de natura prelucrării, persoana împuternicită de operator sprijină operatorul, prin măsuri adecvate, în soluționarea cererilor privind exercitarea drepturilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitatea datelor, opoziție).

8.2. Ținând seama de natura prelucrării și de informațiile de care dispune, persoana împuternicită de operator sprijină operatorul în îndeplinirea obligațiilor prevăzute la articolele 32–36 din GDPR: securitatea prelucrării, notificarea încălcărilor securității datelor și informarea persoanelor vizate, evaluarea impactului asupra protecției datelor și consultarea prealabilă. În acest scop, la cerere, furnizează informații scrise privind funcționarea serviciului, persoanele împuternicite secundare și măsurile prevăzute la punctul 6.

Notificarea încălcărilor

9.1. Persoana împuternicită de operator informează operatorul fără întârzieri nejustificate cu privire la o încălcare a securității datelor cu caracter personal și îi pune la dispoziție informațiile prevăzute la articolul 33 alineatul (3) din GDPR.

Ștergere și returnare

10.1. Conversațiile și e-mailurile procesate de Email AI se păstrează 90 de zile, după care se șterg automat. Previzualizarea demo se șterge după 24 de ore.

10.2. La încetarea contractului, la alegerea operatorului, returnăm datele (prin exportul prevăzut la punctul 7.9 din Termeni și condiții) și le ștergem sau le ștergem fără a le returna. Ștergerea are loc după perioada de export de 30 de zile, în cel mult 60 de zile de la încetare, cu excepția cazului în care legea impune păstrarea lor în continuare; aceasta cuprinde depozitele de date active și copiile deținute de persoanele împuternicite secundare. Datele din indexurile de căutare, din datele derivate din acestea și din copiile de siguranță se șterg în cel mult 90 de zile de la încetare; până atunci, acestea sunt accesate doar în scop de restaurare, iar dacă are loc o restaurare, datele deja șterse sunt șterse din nou. La cerere, confirmăm în scris finalizarea ștergerii.

10.3. În cadrul Social AI, notificările brute primite de la Facebook (webhook) se șterg după 14 zile. Comentariile, precum și numele și identificatorii celor care comentează se șterg după perioada de păstrare aferentă pachetului (30, 90 sau 365 de zile, conform listei de prețuri), iar cererile de aprobare expirate la 30 de zile de la expirare; operatorul poate solicita ștergerea tuturor datelor unei persoane care comentează printr-o singură acțiune. Jurnalul Social AI nu conține textul comentariilor și nici numele celor care comentează; identificatorii operațiunilor sunt prelucrați cu acces restricționat și se șterg în cel mult 90 de zile de la încetarea contractului. La revocarea accesului, la încetarea contractului sau la cererea operatorului, toate datele primite de la Facebook se șterg în termen de 30 de zile. Fișierele audio și video generate de Video AI sunt șterse de la persoanele împuternicite secundare în termen de 90 de zile de la randare; videoclipul final rămâne în contul operatorului până la încetarea contractului și poate fi exportat conform punctului 10.2.

10.4. Pentru datele primite de la Facebook se aplică termenele speciale de la punctul 10.3: la revocarea accesului și la încetarea contractului, termenul de ștergere de 30 de zile prevalează asupra termenului prevăzut la punctul 10.2 și asupra perioadei de păstrare aferente pachetului.

Excluderea antrenării modelelor

11.1. Persoana împuternicită de operator nu folosește conversațiile și conținutul bazei de cunoștințe pentru antrenarea modelelor.

11.2. Persoana împuternicită de operator și persoanele împuternicite secundare utilizează datele cu caracter personal ale operatorului exclusiv pentru furnizarea Serviciului, nu pentru antrenarea modelelor de inteligență artificială. Pentru Video AI, persoana împuternicită de operator a dezactivat utilizarea conținutului pentru antrenarea modelelor la HeyGen Technology, Inc.; HeyGen a confirmat acest lucru în scris.

Verificare, audit

12.1. Persoana împuternicită de operator pune la dispoziția operatorului informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la articolul 28 din GDPR și, cu o programare prealabilă rezonabilă și fără a aduce atingere secretelor comerciale și securității datelor altor clienți, permite auditurile efectuate de operator sau de un auditor mandatat de acesta.

Regulamentul UE privind IA (AI Act)

13.1. În conformitate cu obligația de transparență prevăzută la articolul 50 din AI Act, serviciul informează utilizatorul final că interacționează cu un sistem de inteligență artificială.

13.2. Sistemul nu prelucrează date biometrice și, în cadrul prelucrării, nu ia decizii automate care produc efecte juridice sau efecte la fel de semnificative.

13.3. Serviciul marchează fișierele audio, imaginile și videoclipurile generate de Video AI, într-un format care poate fi citit automat, ca fiind generate de inteligența artificială (articolul 50 alineatul (2) din AI Act). Videoclipurile folosesc voci din bibliotecă și avatare din bibliotecă utilizate sub licență; nici în acest caz serviciul nu prelucrează date biometrice.