Partijen, onderwerp en duur
De klantorganisatie is verantwoordelijk voor de doeleinden van de training. De leverancier treedt op als verwerker om de bestelde functies te leveren. De identiteit van de klant, de referentieovereenkomst, de ingangsdatum en de looptijd moeten worden vermeld in de aanvaarde overeenkomst.
De betrokken handelingen zijn het ontvangen, opslaan en uitlezen van documenten, vocale simulatie, transcriptie, het genereren van scenario's, de analyse van trainingsresultaten en het beschikbaar stellen van de resultaten. Deze handelingen vinden plaats tijdens de dienstverlening en daarna volgens de afgesproken regels voor teruggave en verwijdering.
Betrokkenen en gegevens
De betrokkenen zijn gebruikers, beheerders en leden van klantteams. De gegevenscategorieën omvatten zakelijke identificatiegegevens, rollen, trainingsinhoud, transcripties, resultaten, toegestane documenten en beveiligingslogs.
De klant verbindt zich ertoe alleen noodzakelijke gegevens door te geven. Gezondheidsgegevens, gevoelige dossiers en daadwerkelijke informatie over prospects moeten worden uitgesloten wanneer een fictief voorbeeld hetzelfde doel kan dienen. De applicatie bewaart geen audiobestanden.
Instructies en vertrouwelijkheid
De verwerking moet beperkt blijven tot de gedocumenteerde instructies van de klant en de handelingen die nodig zijn voor de overeengekomen dienst. Personen die toegang hebben tot de gegevens moeten gebonden zijn aan een passende geheimhoudingsplicht.
Een instructie die mogelijk in strijd is met de toepasselijke regels moet aan de klant worden gemeld. Hergebruik voor een afzonderlijk eigen doeleinde mag niet zonder meer worden verondersteld op grond van alleen de hosting of het gebruik van AI.
Technische en organisatorische maatregelen
De maatregelen omvatten de scheiding van organisaties, machtigingen per rol, authenticatie en beschikbare tweefactorauthenticatie, en het vastleggen van beveiligingshandelingen. Voor productiecommunicatie worden versleutelde kanalen gebruikt.
De beveiligingsbijlage moet de hostinginstellingen, versleuteling van gegevens in rust door dienstverleners, beheertoegang, back-ups, tests en daadwerkelijk ingevoerde incidentprocessen specificeren. Een certificering, gegarandeerde beschikbaarheid of toekomstige maatregel mag niet worden voorgesteld als al gecontroleerd.
Subverwerkers en doorgiften
De online lijst vermeldt de gebruikte of geplande technische dienstverleners. Het daadwerkelijke gebruik, de gegevenscategorieën, de landen en de waarborgen moeten worden vastgelegd in de aanvaarde bijlage.
De procedure voor het melden van wijzigingen, de bezwaartermijn en de gevolgen van een gemotiveerd bezwaar moeten nog worden overeengekomen. Voor elke doorgifte buiten de Europese Economische Ruimte moet het toepasselijke mechanisme worden gebruikt en, indien vereist, de nodige beoordeling worden uitgevoerd en aanvullende waarborgen worden geboden. Hosting in de EU sluit doorgiften niet uit.
Ondersteuning en datalekken
De leverancier ondersteunt de klant bij verzoeken om rechten, beveiligingsdocumentatie en analyses die nodig zijn voor diens verwerking, binnen de grenzen van de informatie en functies waarover de leverancier beschikt.
Een datalek dat de klant betreft, moet zonder onnodige vertraging na ontdekking aan de klant worden gemeld, met de beschikbare informatie en aanvullingen naarmate het onderzoek vordert. Contactpersonen, het meldingskanaal en de taakverdeling moeten worden ingevuld; in dit concept wordt geen specifieke contractuele termijn opgenomen.
Beëindiging van de dienstverlening, bewijs en audit
De keuze tussen teruggave en verwijdering, het exportformaat, de planning en de behandeling van back-ups moeten worden overeengekomen. Wettelijke bewaarplichten worden afzonderlijk vastgesteld.
De klant moet de informatie kunnen verkrijgen die nodig is om de verplichtingen van de verwerker te beoordelen. De voorwaarden voor audits, vertrouwelijkheid, reikwijdte en eventuele kosten moeten nog worden afgerond. Deze onlineversie is een basis voor overleg en geen bewijs dat er al een audit of juridische beoordeling heeft plaatsgevonden.