Αντικείμενο και διάρκεια
| Θέμα | Περιγραφή |
|---|---|
| Αντικείμενο | Παροχή του Advisable.AI: σύνδεση στα συστήματα της επιχείρησης, απαντήσεις AI, αρχεία, Έργα, Routines, πρόσβαση μέσω MCP. |
| Φύση και σκοπός | Αποθήκευση, ανάγνωση από τις συνδέσεις, επεξεργασία από μοντέλο AI, δημιουργία αρχείων, και εγγραφές στα συστήματα μόνο όταν τις επιβεβαιώνει χρήστης. |
| Είδη δεδομένων | Ό,τι περιέχουν τα συνδεδεμένα συστήματα και τα αρχεία: στοιχεία πελατών, προμηθευτών και υπαλλήλων, παραστατικά, παραγγελίες, email, κινήσεις λογαριασμών, μηνύματα. Ειδικές κατηγορίες μόνο αν τις φέρει η επιχείρηση. |
| Υποκείμενα | Οι χρήστες της επιχείρησης και οι πελάτες, οι προμηθευτές, οι υπάλληλοι και οι επαφές της. |
| Διάρκεια | Όσο χρησιμοποιεί η επιχείρηση την υπηρεσία και ως τη διαγραφή των δεδομένων κατά την ενότητα «Λήξη». |
Υποχρεώσεις της Advisable
- Επεξεργαζόμαστε τα δεδομένα μόνο με τις οδηγίες της επιχείρησης, όπως τις δίνουν οι Όροι, οι ρυθμίσεις της υπηρεσίας και οι ενέργειες των χρηστών της, εκτός αν μας υποχρεώνει ο νόμος.
- Ενημερώνουμε αμέσως την επιχείρηση αν μια οδηγία, κατά την κρίση μας, παραβιάζει τον ΓΚΠΔ ή άλλο νόμο, και, πριν από την επεξεργασία, για κάθε νομική υποχρέωση που μας επιβάλλει άλλη επεξεργασία, εκτός αν ο νόμος το απαγορεύει.
- Όσοι στην ομάδα μας έχουν πρόσβαση δεσμεύονται σε εμπιστευτικότητα και έχουν πρόσβαση μόνο όσο χρειάζεται για υποστήριξη, ασφάλεια ή λειτουργία της υπηρεσίας. Η είσοδος σε λογαριασμό πελάτη για υποστήριξη καταγράφεται.
- Λαμβάνουμε τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος.
- Βοηθάμε την επιχείρηση να απαντά σε αιτήματα υποκειμένων και σε εκτιμήσεις αντικτύπου και διαβουλεύσεις με την αρχή, με τα στοιχεία που έχουμε.
- Ενημερώνουμε την επιχείρηση για παραβίαση δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και όπου γίνεται μέσα σε 48 ώρες από τη στιγμή που τη μάθουμε, με όσα στοιχεία έχουμε.
- Δεν χρησιμοποιούμε τα δεδομένα για δικούς μας σκοπούς, ούτε για εκπαίδευση μοντέλων AI.
- Δίνουμε τις πληροφορίες που χρειάζονται για να αποδειχθεί η συμμόρφωση με αυτή τη σύμβαση και δεχόμαστε έλεγχο από την επιχείρηση ή ελεγκτή της, με εύλογη προειδοποίηση και εμπιστευτικότητα.
Υποεπεξεργαστές
Η επιχείρηση εγκρίνει τους υποεπεξεργαστές της σελίδας Υποεπεξεργαστές. Τους δεσμεύουμε με γραπτή σύμβαση με τις ίδιες υποχρεώσεις προστασίας και ευθυνόμαστε για αυτούς. Για νέο υποεπεξεργαστή ενημερώνουμε την επιχείρηση με email τουλάχιστον 15 ημέρες πριν· αν αντιταχθεί για σοβαρό λόγο και δεν βρούμε λύση, μπορεί να ακυρώσει χωρίς χρέωση για τον υπόλοιπο χρόνο.
Διαβιβάσεις
Η εφαρμογή, η βάση δεδομένων και το μοντέλο AI λειτουργούν στην ΕΕ. Όπου ένας υποεπεξεργαστής επεξεργάζεται δεδομένα εκτός ΕΟΧ, η διαβίβαση στηρίζεται σε απόφαση επάρκειας (π.χ. Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ) ή στις Τυποποιημένες Συμβατικές Ρήτρες.
Λήξη
Η επιχείρηση μπορεί να εξάγει συζητήσεις και αρχεία όσο έχει πρόσβαση. Όταν ζητήσει διαγραφή του λογαριασμού ή της επιχείρησης, σβήνουμε τα δεδομένα μέσα σε 30 ημέρες, εκτός από όσα πρέπει να κρατήσουμε από τον νόμο (π.χ. παραστατικά). Τα αντίγραφα ασφαλείας ανανεώνονται και τα παλιά σβήνονται με τον κύκλο τους.
Παράρτημα: μέτρα ασφαλείας
- Κρυπτογράφηση σε κάθε μεταφορά (HTTPS) και κρυπτογράφηση AES-256-GCM των στοιχείων πρόσβασης των συνδέσεων, με το κλειδί μόνο στον διακομιστή.
- Κωδικοί με bcrypt, υπογεγραμμένες συνεδρίες που λήγουν, τερματισμός όλων των συνεδριών όταν αλλάζει ο κωδικός.
- Έλεγχος προέλευσης σε κάθε αίτημα που αλλάζει δεδομένα, προστασία από ενσωμάτωση σε ξένες σελίδες, όρια προσπαθειών.
- Ρόλοι (κάτοχος, διαχειριστής, μέλος) και πρόσβαση ανά σύνδεση. Η βάση δεδομένων είναι προσβάσιμη μόνο από τον διακομιστή της εφαρμογής.
- Προστασία από αιτήματα προς εσωτερικά δίκτυα (SSRF) στις συνδέσεις.
- Εγγραφές στα συστήματα μόνο μετά από επιβεβαίωση χρήστη: στις περισσότερες συνδέσεις με προεπισκόπηση που λήγει σε 10 λεπτά, στο Freshdesk, στο Zendesk, στο Strapi και στη γενική εντολή εγγραφής του SoftOne μετά από ερώτηση του AI προς τον χρήστη. Συνδέσεις μόνο για ανάγνωση όπου η αλλαγή δεν χρειάζεται.
- Τα αρχεία που ανεβάζονται αντιμετωπίζονται ως μη έμπιστα δεδομένα. Οι προεπισκοπήσεις τρέχουν σε απομονωμένο περιβάλλον χωρίς scripts.
- Καταγραφή κάθε εισόδου της ομάδας μας σε λογαριασμό πελάτη για υποστήριξη· σε αυτήν δεν προστίθενται, δεν διαγράφονται και δεν μοιράζονται συνδέσεις.