Veri işleme sözleşmesi — DPA.

Eğitim amaçlarından müşteri kuruluş sorumludur. Hizmet sağlayıcı, sipariş edilen işlevleri sunmak üzere veri işleyen olarak hareket eder. Müşterinin kimliği, referans sözleşme, yürürlük tarihi ve süre, kabul edilen sözleşmede belirtilmelidir.

İlgili işlemler; verilerin alınması, saklanması, belgelerin çıkarılması, sesli simülasyon, transkripsiyon, senaryo oluşturma, eğitim analizi ve sonuçların sunulmasını kapsar. Bu işlemler hizmet süresince gerçekleştirilir; ardından veriler, üzerinde anlaşılan iade ve silme kurallarına göre işlenir.

İlgili kişiler; kullanıcılar, yöneticiler ve müşteri ekiplerinin üyeleridir. Veri kategorileri; iş kimlik bilgilerini, rolleri, eğitim içeriklerini, transkriptleri, sonuçları, izin verilen belgeleri ve güvenlik kayıtlarını kapsar.

Müşteri yalnızca gerekli verileri aktarmayı taahhüt eder. Kurgu bir örneğin amaca ulaşmak için yeterli olduğu durumlarda sağlık verileri, hassas dosyalar ve gerçek potansiyel müşterilere ilişkin bilgiler kapsam dışında tutulmalıdır. Uygulama hiçbir ses dosyasını saklamaz.

Veri işleme, müşterinin belgelenmiş talimatları ve üzerinde anlaşılan hizmet için gerekli işlemlerle sınırlı olmalıdır. Verilere erişme yetkisi olan kişiler, uygun bir gizlilik yükümlülüğüne tabi olmalıdır.

Yürürlükteki kurallara aykırı olma ihtimali bulunan bir talimat müşteriye bildirilmelidir. Verilerin barındırılması veya yapay zekâ kullanılması, verilerin farklı ve hizmet sağlayıcının kendi amaçları için kullanılabileceği varsayımına tek başına dayanak oluşturmaz.

Güvenlik düzenlemeleri; kuruluşların birbirinden ayrılmasını, role dayalı izinleri, kimlik doğrulamayı ve kullanılabilir olan iki aşamalı kimlik doğrulamayı, ayrıca güvenlik işlemlerinin izlenebilirliğini kapsar. Üretim ortamındaki iletişimlerde şifreli kanallar kullanılır.

Güvenlik eki; barındırma ayarlarını, hizmet sağlayıcıların bekleyen veriler için kullandığı şifrelemeyi, yönetici erişimlerini, yedekleri, testleri ve fiilen devreye alınmış olay süreçlerini açıklamalıdır. Hiçbir sertifika, garantili kullanılabilirlik veya gelecekte uygulanacak önlem, doğrulanmış gibi sunulmamalıdır.

Çevrimiçi listede kullanılan veya kullanılması planlanan teknik hizmet sağlayıcılar belirtilir. Bu hizmet sağlayıcıların fiilen kullanımı, veri kategorileri, ülkeler ve güvenceler kabul edilen ekte kayda geçirilmelidir.

Değişikliklerin bildirilme prosedürü, itiraz süresi ve gerekçeli itirazın sonuçları üzerinde henüz anlaşmaya varılmalıdır. Avrupa Ekonomik Alanı dışına yapılacak her aktarımda geçerli mekanizma uygulanmalı; gerektiğinde gerekli değerlendirme ve ek güvenceler sağlanmalıdır. Verilerin AB'de barındırılması, veri aktarımı olmadığı anlamına gelmez.

Hizmet sağlayıcı; sahip olduğu bilgiler ve işlevler kapsamında, müşteriye hak talepleri, güvenlik belgeleri ve müşterinin veri işleme faaliyeti için gerekli analizler konusunda destek verir.

Müşteriyi ilgilendiren bir veri ihlali, öğrenildikten sonra gereksiz gecikme olmaksızın, mevcut bilgilerle birlikte ve analiz ilerledikçe eklenecek ayrıntılarla müşteriye bildirilmelidir. İlgili kişiler, uyarı kanalı ve görev dağılımı belirtilmelidir; bu taslağa sayısal bir sözleşme süresi eklenmemiştir.

Verilerin iadesi veya silinmesi arasında yapılacak seçim, dışa aktarma biçimi, takvim ve yedeklerin işlenmesi üzerinde anlaşmaya varılmalıdır. Yasal saklama yükümlülükleri ayrıca belirtilir.

Müşteri, veri işleyenin yükümlülüklerini değerlendirmek için gerekli bilgileri alabilmelidir. Denetim koşulları, gizlilik, kapsam ve olası maliyetler kesinleştirilmelidir. Bu çevrimiçi sürüm, görüşme için bir temel niteliğindedir; denetim veya hukuki incelemenin zaten yapıldığını kanıtlamaz.