Dodatak o obradi podataka
Operativni predložak članka 28. GDPR-a. Prije produkcije mora ga pregledati pravnik i prilagoditi konkretnom CRAS projektu.
Predmet i trajanje
Izvršitelj obrađuje podatke radi pružanja AI korisničke podrške tijekom poslovnog odnosa i dokumentiranog roka čuvanja. Voditelj određuje svrhu, pravnu osnovu, kategorije korisnika i upute botu.
Podaci i ispitanici
Mogu se obrađivati sadržaj razgovora, dobrovoljno ostavljeni kontakt, pseudonimizirani tehnički identifikatori, povratne informacije, AI procjene i privitci. Posebne kategorije podataka nisu predviđene.
Obveze izvršitelja
- obrađivati podatke samo prema dokumentiranim uputama;
- osigurati povjerljivost i primjerene tehničke i organizacijske mjere;
- pomagati pri zahtjevima ispitanika, procjenama učinka i incidentima;
- po prestanku vratiti ili izbrisati podatke, osim zakonske obveze čuvanja;
- omogućiti potrebne informacije za dokazivanje usklađenosti.
Podizvršitelji i prijenosi
Predviđeni podizvršitelji uključuju pružatelja hostinga i OpenAI API. U ugovoru treba navesti pravne nazive, lokacije, svrhe i odgovarajuće mehanizme međunarodnog prijenosa.
Sigurnosne mjere
Vlasnički račun, sigurne sesije, šifriranje API ključa, TLS, CSRF zaštita, parametrizirani SQL, ograničenje zahtjeva i tipova datoteka, zabrana javnog pristupa privitcima, audit trag, sigurnosne kopije i automatsko brisanje.