Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część umowy między RENVAR INC ("Elai", "podmiot przetwarzający") a klientem biznesowym lub korporacyjnym ("klient", "administrator") korzystającym z Elai Marketplace w celu zarządzania Agentami AI, Cyfrowymi pracownikami lub flotami fizycznych robotów w imieniu własnych użytkowników końcowych lub pracowników. Ma ona zastosowanie, gdy klient działa jako administrator, a Elai przetwarza dane osobowe w imieniu klienta i zgodnie z jego poleceniami.
1. Role
W odniesieniu do danych osobowych, które klient przekazuje na Platformę lub za jej pośrednictwem w imieniu własnych użytkowników (np. danych wejściowych zadań wysyłanych do zainstalowanego Agenta lub zapisów instalacji dokonanych przez jego pracowników), klient jest administratorem, a Elai podmiotem przetwarzającym. W odniesieniu do własnej relacji konta/rozliczeń Elai z klientem Elai działa jako niezależny administrator — zob. naszą Politykę prywatności.
2. Przedmiot i czas trwania
Przetwarzanie obejmuje dane osobowe przekazane za pośrednictwem Platformy przez okres aktywnej subskrypcji klienta oraz przez wszelki okres przechowywania po rozwiązaniu opisany w Sekcji 7.
3. Charakter i cel przetwarzania
- Obsługa instalacji Agentów, limitów wydatków i Agent Passports w imieniu klienta;
- Kierowanie danych wejściowych zadań do skonfigurowanego dostawcy modelu AI za pośrednictwem AI Gateway Platformy w celu wygenerowania wyników działania Agenta;
- Prowadzenie dziennika audytu działań podejmowanych na koncie klienta;
- Rozliczenia i pomiar wykorzystania.
4. Dalsze podmioty przetwarzające
Elai korzysta obecnie z następujących wskazanych z nazwy dalszych podmiotów przetwarzających:
- Stripe (Stany Zjednoczone) — przetwarzanie kart płatniczych i przechowywanie zapisanych kart.
- YooKassa (Rosja) — przetwarzanie płatności dla transakcji w rublach rosyjskich.
- SendGrid (Stany Zjednoczone) — dostarczanie e-maili transakcyjnych (powiadomienia o koncie, zamówieniach i sporach).
- Twilio (Stany Zjednoczone) — dostarczanie SMS-ów, wyłącznie dla użytkowników, którzy wyrazili zgodę na powiadomienia SMS.
- Sentry (Stany Zjednoczone) — monitorowanie błędów i awarii aplikacji, przy czym w raporcie o awarii może zostać ubocznie zarejestrowany identyfikator konta lub adres e-mail.
- Dostawca modelu AI (np. OpenAI), dostępny za pośrednictwem samodzielnie hostowanego AI Gateway Elai — otrzymuje tekst zadania, z którym wywoływany jest zainstalowany Agent klienta, w celu wygenerowania wyniku działania Agenta. Elai nie przekazuje dostawcy modelu danych uwierzytelniających konta ani danych płatniczych.
Niniejszy wykaz odzwierciedla integracje włączone w danym wdrożeniu; operator wdrożenia, który nie skonfigurował danych uwierzytelniających danego dostawcy, nie korzysta z tego dalszego podmiotu przetwarzającego. Zaktualizujemy ten wykaz, jeśli dodamy nową kategorię dalszego podmiotu przetwarzającego.
5. Środki bezpieczeństwa
Elai stosuje następujące środki techniczne i organizacyjne:
- Hasła są haszowane z użyciem funkcji scrypt z solą; Elai nigdy nie przechowuje hasła w postaci jawnej.
- Opcjonalne uwierzytelnianie dwuskładnikowe (TOTP) z jednorazowymi kodami zapasowymi.
- Kontrola dostępu oparta na rolach (role kupującego/dewelopera/administratora) egzekwowana na każdej uwierzytelnionej trasie API, a także dane uwierzytelniające API o ograniczonym zakresie (Agent Passports) z konfigurowalnymi limitami wydatków dla instalacji Agentów AI.
- Dziennik audytu wyłącznie dopisujący, rejestrujący podmiot, działanie i wynik działań na koncie oraz działań administracyjnych.
- Ograniczanie liczby żądań na punktach końcowych uwierzytelniania i API, wspierane przez Redis, gdy jest dostępny.
- Szyfrowanie TLS podczas przesyłania dla całego ruchu do Platformy (automatycznie zapewniane przez Let's Encrypt).
- Automatyczne skanowanie treści ogłoszeń pod kątem znanych wzorców wstrzykiwania promptów i złośliwych poleceń.
- Narzędzia samoobsługowe do eksportu danych i usuwania konta (zob. naszą Politykę prywatności).
Elai obecnie nie szyfruje danych w spoczynku na poziomie aplikacji i nie uzyskała certyfikatu bezpieczeństwa wydanego przez podmiot zewnętrzny (np. SOC 2, ISO 27001). Jeśli którakolwiek z tych kwestii ma znaczenie dla Państwa przypadku użycia, prosimy o kontakt z wykorzystaniem danych z Sekcji 10 przed poleganiem na Platformie w tym zakresie.
6. Przekazywanie międzynarodowe
Platforma działa na samodzielnie hostowanym serwerze, którego region hostingu jest wybierany przez operatora wdrożenia i nie jest w ramach niniejszej Umowy przypisany do konkretnego kraju ani regionu chmury. Elai obecnie nie opiera się na formalnym mechanizmie transgranicznego przekazywania danych (takim jak Standardowe klauzule umowne), ponieważ nie zobowiązano się tu do żadnego stałego korytarza przekazywania. Jeśli korzystanie przez Państwa z Platformy wymaga, aby dane pozostawały w obrębie określonej jurysdykcji lub były przekazywane w ramach szczególnego zabezpieczenia dla niej, prosimy o kontakt z wykorzystaniem danych z Sekcji 10 przed poleganiem na Platformie w zakresie tego wymogu.
7. Usunięcie i zwrot danych
Po rozwiązaniu subskrypcji klienta Elai, na żądanie klienta, usunie lub zwróci dane osobowe przetwarzane w imieniu klienta, z zastrzeżeniem wszelkiego przechowywania wymaganego przez prawo.
8. Pomoc w realizacji żądań osób, których dane dotyczą
Elai będzie udzielać klientowi rozsądnej pomocy w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie), dotyczące danych osobowych przetwarzanych na podstawie niniejszej DPA.
9. Prawa do audytu
Na uzasadniony pisemny wniosek, nie częściej niż raz na okres dwunastu miesięcy, Elai przekaże klientowi informacje o bezpieczeństwie i przetwarzaniu rozsądnie niezbędne do potwierdzenia przestrzegania przez Elai niniejszej DPA (np. pisemny opis środków z Sekcji 5). Elai obecnie nie posiada certyfikatu bezpieczeństwa wydanego przez podmiot zewnętrzny, który mógłby zaoferować zamiast bezpośredniego audytu, i obecnie nie oferuje audytów na miejscu.
10. Kontakt
Pytania dotyczące przetwarzania danych / DPA: renvar.inc@gmail.com.