Para pihak, tujuan, dan jangka waktu
Organisasi pelanggan bertanggung jawab atas tujuan pelatihan. Penyedia bertindak sebagai pemroses untuk menyediakan fitur yang dipesan. Identitas pelanggan, kontrak acuan, tanggal berlaku, dan jangka waktu harus dicantumkan dalam perjanjian yang disetujui.
Operasi yang tercakup meliputi penerimaan, penyimpanan, ekstraksi dokumen, simulasi suara, transkripsi, pembuatan skenario, analisis pembelajaran, dan penyediaan hasil. Operasi tersebut dilakukan selama layanan berlangsung, lalu mengikuti ketentuan pengembalian dan penghapusan yang disepakati.
Subjek data dan data
Subjek data mencakup pengguna, administrator, dan anggota tim pelanggan. Kategori data mencakup identitas profesional, peran, konten pelatihan, transkrip, hasil, dokumen yang diizinkan, dan catatan keamanan.
Pelanggan berkomitmen untuk hanya mengirimkan data yang diperlukan. Data kesehatan, berkas sensitif, dan informasi nyata tentang calon pelanggan harus dikecualikan jika contoh fiktif dapat mencapai tujuan yang sama. Aplikasi tidak menyimpan berkas audio apa pun.
Instruksi dan kerahasiaan
Pemrosesan harus dibatasi pada instruksi pelanggan yang terdokumentasi dan operasi yang diperlukan untuk layanan yang disepakati. Personel yang berwenang mengakses data harus terikat kewajiban kerahasiaan yang sesuai.
Instruksi yang berpotensi melanggar ketentuan yang berlaku harus dilaporkan kepada pelanggan. Penggunaan kembali untuk tujuan tersendiri yang berbeda tidak dapat diasumsikan hanya karena data dihosting atau AI digunakan.
Langkah teknis dan organisasional
Langkah-langkah yang diterapkan mencakup pemisahan antarorganisasi, izin akses berdasarkan peran, autentikasi dan autentikasi dua faktor jika tersedia, serta pencatatan tindakan keamanan. Komunikasi produksi menggunakan saluran terenkripsi.
Lampiran keamanan harus menjelaskan pengaturan hosting, enkripsi data saat tersimpan oleh penyedia layanan, akses administratif, pencadangan, pengujian, serta proses penanganan insiden yang benar-benar diterapkan. Sertifikasi, jaminan ketersediaan, atau langkah yang baru direncanakan tidak boleh dinyatakan seolah-olah telah diverifikasi.
Subpemroses lanjutan dan transfer data
Daftar daring mencantumkan penyedia layanan teknis yang digunakan atau direncanakan. Penggunaan aktual, kategori data, negara, dan perlindungan harus dicatat dalam lampiran yang disetujui.
Prosedur pemberitahuan perubahan, tenggat waktu untuk mengajukan keberatan, dan konsekuensi keberatan yang beralasan masih perlu disepakati. Setiap transfer ke luar Wilayah Ekonomi Eropa harus menggunakan mekanisme yang berlaku dan, jika diwajibkan, menjalani penilaian serta dilengkapi perlindungan tambahan yang diperlukan. Hosting di Uni Eropa saja tidak cukup untuk mengecualikan adanya transfer.
Bantuan dan pelanggaran data
Penyedia membantu pelanggan menangani permintaan terkait hak, dokumentasi keamanan, dan analisis yang diperlukan untuk pemrosesan, sesuai batas informasi dan fitur yang tersedia bagi penyedia.
Pelanggan harus diberi tahu tentang pelanggaran data yang menyangkut dirinya tanpa penundaan yang tidak semestinya setelah penyedia mengetahuinya, disertai informasi yang tersedia dan pembaruan seiring berlangsungnya analisis. Kontak, saluran pemberitahuan, dan pembagian tugas harus dicantumkan; draf ini tidak menambahkan tenggat waktu kontraktual dalam bentuk angka.
Akhir layanan, bukti, dan audit
Pilihan antara pengembalian dan penghapusan, format ekspor, jadwal, dan penanganan cadangan harus disepakati. Kewajiban penyimpanan berdasarkan hukum ditentukan secara terpisah.
Pelanggan harus dapat memperoleh informasi yang diperlukan untuk menilai kewajiban pemroses. Pengaturan audit, kerahasiaan, cakupan, dan kemungkinan biaya masih perlu diselesaikan. Versi daring ini merupakan bahan untuk pembahasan, bukan bukti bahwa audit atau validasi hukum telah dilakukan.