Adendum Pemrosesan Data

• Hukum Perlindungan Data yang Berlaku berarti seluruh peraturan perundang-undangan yang berlaku atas pemrosesan Data Pribadi Pelanggan berdasarkan Perjanjian, yang dapat mencakup GDPR, UK GDPR, Undang-Undang Federal Swiss tentang Perlindungan Data, dan undang-undang privasi negara bagian Amerika Serikat seperti California Consumer Privacy Act.
• Data Pribadi Pelanggan berarti data pribadi dalam Konten Pelanggan yang diproses Zurelay atas nama Pelanggan untuk menyediakan Layanan.
• Subprosesor berarti pihak ketiga yang dilibatkan oleh Zurelay untuk memproses Data Pribadi Pelanggan, termasuk Penyedia Infrastruktur.
• Pelanggaran Data Pribadi berarti pelanggaran keamanan pada sistem yang dikendalikan Zurelay yang mengakibatkan pemusnahan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses tanpa izin terhadap Data Pribadi Pelanggan, baik secara tidak sengaja maupun secara melawan hukum.
• SCCs berarti klausul kontrak standar yang disetujui Komisi Eropa dalam Keputusan (EU) 2021/914.
• Pengendali, prosesor, subjek data, data pribadi, pemrosesan, badan usaha, dan penyedia layanan memiliki arti sebagaimana ditetapkan dalam Hukum Perlindungan Data yang Berlaku.

Untuk Data Pribadi Pelanggan, Pelanggan bertindak sebagai pengendali (atau prosesor yang bertindak untuk pelanggannya sendiri) dan Zurelay sebagai prosesor (atau subprosesor). DPA ini tidak berlaku untuk data pribadi yang diproses Zurelay sebagai pengendali independen, seperti data akun, penagihan, dukungan, keamanan, dan situs web, yang diatur dalam Kebijakan Privasi kami.

3.1 Instruksi. Zurelay hanya akan memproses Data Pribadi Pelanggan untuk menyediakan, mengamankan, dan mendukung Layanan sesuai dengan Perjanjian, DPA ini, serta penggunaan dan konfigurasi Layanan oleh Pelanggan, yang secara bersama-sama merupakan keseluruhan instruksi terdokumentasi dari Pelanggan, serta sebagaimana diwajibkan hukum. Jika hukum mewajibkan pemrosesan di luar instruksi tersebut, Zurelay akan terlebih dahulu memberi tahu Pelanggan kecuali dilarang oleh hukum.

3.2 Perutean merupakan instruksi. Pelanggan menginstruksikan Zurelay untuk mengirim Konten Pelanggan kepada Penyedia Infrastruktur yang dipilih Zurelay, serta mencoba ulang, merutekan ulang, dan mengalihkan permintaan ke penyedia lain jika terjadi kegagalan, sesuai kebutuhan untuk menghasilkan Keluaran.

3.3 Instruksi yang melanggar hukum. Zurelay akan memberi tahu Pelanggan jika, menurut penilaiannya, suatu instruksi melanggar Hukum Perlindungan Data yang Berlaku. Zurelay tidak diwajibkan melakukan tinjauan hukum atas instruksi Pelanggan.

Pelanggan bertanggung jawab untuk memiliki dasar hukum, memberikan seluruh pemberitahuan, dan memperoleh seluruh persetujuan yang diperlukan untuk pemrosesan Data Pribadi Pelanggan berdasarkan Perjanjian. Pelanggan tidak akan mengirim Data Terbatas, termasuk kategori khusus data pribadi dan data pribadi anak-anak, kecuali para pihak telah menandatangani perjanjian tertulis terpisah yang mengizinkannya. Pelanggan bertanggung jawab untuk membatasi data pribadi yang disertakan dalam Masukan hanya pada data yang diperlukan untuk penggunaan Layanan, serta menentukan apakah Layanan sesuai untuk datanya, termasuk pemrosesan oleh Penyedia Infrastruktur yang identitasnya tidak diungkapkan Zurelay, berdasarkan ketentuan mereka sendiri sebagaimana dijelaskan dalam Bagian 7.

Zurelay akan memastikan bahwa orang-orang yang diberi wewenang untuk memproses Data Pribadi Pelanggan terikat kewajiban kerahasiaan yang sesuai dan hanya mengaksesnya sejauh diperlukan untuk menyediakan Layanan.

Zurelay akan menerapkan dan memelihara langkah-langkah teknis dan organisasional yang dijelaskan dalam Lampiran II, yang dirancang untuk melindungi Data Pribadi Pelanggan dalam sistem yang dikendalikan Zurelay. Zurelay dapat memperbarui langkah-langkah ini selama tingkat perlindungan secara keseluruhan tidak berkurang secara material.

7.1 Otorisasi umum. Pelanggan memberikan otorisasi umum kepada Zurelay untuk menggunakan Subprosesor dalam kategori berikut: (a) penyedia hosting, basis data, penyimpanan, dan jaringan; (b) penyedia pembayaran, email, dan dukungan, sejauh mereka memproses Data Pribadi Pelanggan; dan (c) Penyedia Infrastruktur yang menyediakan Model, yang dapat mencakup Pengembang Model, platform cloud, serta penjual kembali independen dan penyedia kapasitas model lainnya.

7.2 Identitas Penyedia Infrastruktur. Identitas Penyedia Infrastruktur Zurelay merupakan informasi komersial rahasia, dan Zurelay tidak mengungkapkannya. Otorisasi Pelanggan dalam Pasal 7.1 mencakup Penyedia Infrastruktur berdasarkan kategori, tanpa pengungkapan identitas mereka. Atas permintaan tertulis, Zurelay akan memberikan daftar Subprosesor lainnya yang saat ini digunakan kepada Pelanggan, dengan tunduk pada kewajiban kerahasiaan Pelanggan berdasarkan Perjanjian. Jika kewajiban hukum Pelanggan mengharuskannya mengetahui identitas setiap Subprosesor sebelum data pribadi dikirim kepada Subprosesor tersebut, Pelanggan tidak boleh menyertakan data pribadi tersebut dalam Konten Pelanggan.

7.3 Perubahan. Untuk menjaga ketersediaan Layanan, Zurelay dapat menambah, menghapus, dan mengganti Penyedia Infrastruktur kapan saja. Zurelay akan memberi tahu Pelanggan tentang setiap kategori Subprosesor baru dengan memperbarui DPA ini. Jika Pelanggan mengajukan keberatan atas dasar perlindungan data yang wajar, para pihak akan membahas keberatan tersebut dengan iktikad baik; jika tidak dapat diselesaikan, satu-satunya upaya pemulihan bagi Pelanggan adalah berhenti menggunakan Layanan yang terdampak dan mengakhiri Perjanjian.

7.4 Ketentuan Subprosesor. Jika Zurelay dapat menegosiasikan ketentuan Subprosesor, Zurelay akan mensyaratkan kewajiban perlindungan data yang secara substansi memberikan perlindungan setidaknya setara dengan DPA ini, sejauh relevan dengan layanan yang disediakan Subprosesor tersebut. Sebagian Penyedia Infrastruktur hanya menyediakan layanan berdasarkan ketentuan standar mereka. Pelanggan mengakui bahwa, untuk penyedia tersebut, pemrosesan Konten Pelanggan diatur oleh ketentuan standar mereka dan bahwa Zurelay mungkin tidak dapat memperoleh komitmen tambahan dari mereka.

7.5 Tanggung jawab. Zurelay tetap bertanggung jawab atas Subprosesornya sejauh diwajibkan oleh Hukum Perlindungan Data yang Berlaku, dengan tunduk pada batasan tanggung jawab dalam Perjanjian.

Dengan mempertimbangkan sifat pemrosesan, Zurelay akan memberikan bantuan yang wajar kepada Pelanggan dalam menanggapi permintaan subjek data untuk menggunakan hak-hak mereka. Jika Zurelay menerima permintaan tersebut terkait Data Pribadi Pelanggan, Zurelay akan mengarahkan pemohon kepada Pelanggan jika Zurelay dapat mengidentifikasi Pelanggan, dan tidak akan menanggapi sendiri kecuali untuk mengonfirmasi pengalihan tersebut atau sebagaimana diwajibkan oleh hukum. Pelanggan akan membayar biaya wajar yang dikeluarkan Zurelay untuk bantuan di luar yang disediakan melalui Layanan.

Zurelay akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui adanya Pelanggaran Data Pribadi dan akan memberikan informasi yang secara wajar tersedia baginya yang dibutuhkan Pelanggan untuk memenuhi kewajiban pemberitahuannya sendiri. Zurelay akan mengambil langkah-langkah yang wajar untuk membatasi dampak dan menyelidiki pelanggaran tersebut. Pemberitahuan bukan merupakan pengakuan kesalahan atau tanggung jawab. Pelanggan bertanggung jawab untuk memberi tahu regulator dan subjek data jika diwajibkan. Jika Penyedia Infrastruktur memberi tahu Zurelay tentang insiden keamanan yang memengaruhi Data Pribadi Pelanggan, Zurelay akan meneruskan informasi relevan yang diterimanya.

10.1 Bantuan. Dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia baginya, Zurelay akan memberikan bantuan yang wajar kepada Pelanggan dalam penilaian dampak perlindungan data dan konsultasi pendahuluan dengan regulator jika diwajibkan oleh Hukum Perlindungan Data yang Berlaku, dengan biaya ditanggung Pelanggan jika bantuan tersebut melebihi tingkat minimal.

10.2 Informasi. Atas permintaan tertulis, paling banyak sekali dalam setiap periode 12 bulan, Zurelay akan memberikan jawaban tertulis atas kuesioner keamanan dan privasi yang wajar serta informasi lain yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap DPA ini.

10.3 Audit. Jika Hukum Perlindungan Data yang Berlaku mewajibkan audit di luar informasi tersebut, Pelanggan dapat melaksanakannya atas biaya sendiri, paling banyak sekali dalam periode 12 bulan, dengan pemberitahuan tertulis setidaknya 30 hari sebelumnya, selama jam kerja normal, dengan kewajiban kerahasiaan yang sesuai dan oleh auditor yang tidak bersaing dengan Zurelay. Audit tidak akan memberikan akses ke data pelanggan lain, sistem Penyedia Infrastruktur, atau identitas Penyedia Infrastruktur, kecuali diwajibkan oleh pengadilan atau regulator yang berwenang atas Zurelay.

Zurelay tidak menyimpan konten permintaan chat dan teks yang dikirim melalui API setelah permintaan selesai dilayani. Chat Playground disimpan untuk orang yang melakukan percakapan tersebut hingga mereka menghapusnya (300 chat terbaru per ruang kerja), tanpa lampiran file. Gambar yang ditambahkan di Playground disimpan untuk ruang kerja tersebut dan dihapus setelah 30 hari. Gambar dan video yang dihasilkan, prompt dan gambar referensinya, serta detail kesalahan dari upaya yang gagal dihapus setelah 30 hari. Dalam waktu 90 hari setelah Perjanjian berakhir, Zurelay akan menghapus semua Data Pribadi Pelanggan yang tersisa dalam sistem yang dikendalikannya, kecuali salinan yang wajib disimpan berdasarkan hukum dan salinan dalam cadangan, yang dihapus sesuai jadwal normalnya. Data Pribadi Pelanggan yang diproses oleh Penyedia Infrastruktur disimpan sesuai ketentuan mereka masing-masing.

12.1 Otorisasi. Pelanggan memberi wewenang kepada Zurelay dan Subprosesornya untuk mentransfer dan memproses Data Pribadi Pelanggan di Amerika Serikat dan di negara lain tempat mereka beroperasi.

12.2 Transfer Eropa. Sejauh Data Pribadi Pelanggan tunduk pada GDPR dan ditransfer ke negara yang tidak memiliki keputusan kecukupan perlindungan data, SCC menjadi bagian dari DPA ini sebagai berikut: Modul Dua berlaku jika Pelanggan adalah pengendali dan Modul Tiga jika Pelanggan adalah prosesor; klausul opsional mengenai penambahan pihak dalam Klausul 7 berlaku; dalam Klausul 9, Opsi 2 berlaku, dengan pemberitahuan sebagaimana dijelaskan dalam Bagian 7.3; rumusan opsional dalam Klausul 11 tidak berlaku; dalam Klausul 17, SCC diatur oleh hukum Irlandia; dan dalam Klausul 18, pengadilan Irlandia memiliki yurisdiksi. Lampiran I dan II DPA ini melengkapi lampiran terkait dalam SCC.

12.3 Britania Raya dan Swiss. Untuk data pribadi yang tunduk pada UK GDPR, SCC berlaku sebagaimana diubah oleh Adendum Transfer Data Internasional yang diterbitkan oleh Komisioner Informasi Britania Raya. Untuk data pribadi yang tunduk pada hukum Swiss, SCC berlaku dengan rujukan yang disesuaikan dengan Undang-Undang Federal Swiss tentang Perlindungan Data, dan Komisioner Federal Swiss untuk Perlindungan Data dan Informasi merupakan otoritas yang berwenang.

12.4 Keberlakuan utama. Jika SCC bertentangan dengan DPA ini, SCC berlaku sejauh terdapat pertentangan tersebut.

Sejauh hukum privasi negara bagian Amerika Serikat berlaku, Zurelay bertindak sebagai penyedia layanan atau prosesor Pelanggan untuk Data Pribadi Pelanggan. Zurelay tidak akan menjual atau membagikan Data Pribadi Pelanggan; tidak akan menyimpan, menggunakan, atau mengungkapkannya untuk tujuan apa pun selain tujuan bisnis yang ditetapkan dalam Perjanjian atau di luar hubungan bisnis langsung antara Zurelay dan Pelanggan; dan tidak akan menggabungkannya dengan data pribadi dari sumber lain kecuali diizinkan oleh hukum tersebut. Zurelay akan mematuhi kewajiban yang berlaku berdasarkan hukum tersebut, akan memberi tahu Pelanggan jika tidak lagi dapat memenuhinya, dan memberikan hak kepada Pelanggan untuk mengambil langkah yang wajar guna menghentikan dan memulihkan dampak penggunaan Data Pribadi Pelanggan yang tidak sah.

DPA ini mengesampingkan Ketentuan dalam hal perlindungan Data Pribadi Pelanggan. Untuk hal lainnya, Ketentuan tetap berlaku, termasuk pembatasan tanggung jawab, hukum yang berlaku, dan penyelesaian sengketa di dalamnya, kecuali jika Hukum Perlindungan Data yang Berlaku atau SCC mewajibkan lain. Zurelay dapat memperbarui DPA ini untuk mencerminkan perubahan hukum, Layanan, atau Subprosesornya, dan akan memberi tahu Pelanggan tentang perubahan yang material. DPA ini berakhir saat Perjanjian berakhir, kecuali untuk kewajiban yang menurut sifatnya tetap berlaku.

• Enkripsi: TLS untuk data saat dikirim ke dan dari Layanan; enkripsi data tersimpan disediakan oleh penyedia hosting Zurelay.
• Kredensial: kunci API disimpan hanya sebagai hash satu arah; masuk dengan kode sekali pakai; peran ruang kerja mengatur siapa yang dapat mengelola kunci dan penagihan.
• Kontrol akses: akses ke sistem produksi dan data dibatasi hanya untuk personel yang membutuhkannya.
• Minimalisasi data: konten chat dan teks yang dikirim melalui API diproses dalam memori dan tidak disimpan; chat Playground disimpan hanya untuk orang yang melakukan percakapan tersebut, tanpa lampiran file; gambar yang ditambahkan di Playground dihapus setelah 30 hari; file yang dihasilkan, prompt, dan detail kesalahannya dihapus setelah 30 hari; pengenal pengguna akhir pelanggan dihapus dari permintaan sebelum dikirim ke Penyedia Infrastruktur.
• Pemantauan: pemantauan berkelanjutan terhadap ketersediaan dan perilaku Layanan serta Penyedia Infrastruktur, dengan pencatatan dan penyelidikan insiden.
• Ketahanan: percobaan ulang otomatis dan pengalihan ke Penyedia Infrastruktur lain saat terjadi kegagalan.
• Respons insiden: penyelidikan, penanganan untuk membatasi dampak, dan pemberitahuan kepada pelanggan terkait Pelanggaran Data Pribadi sebagaimana dijelaskan dalam Bagian 9.
• Pengawasan vendor: pengujian Penyedia Infrastruktur sebelum dan selama penggunaan, misalnya untuk memastikan mereka menyediakan Model yang diminta dan menilai keandalannya, serta menghapus penyedia yang tidak lolos pemeriksaan Zurelay. Pemeriksaan ini mencakup kualitas layanan, bukan keamanan Penyedia Infrastruktur itu sendiri, yang mereka kelola berdasarkan ketentuan masing-masing.