توافق‌نامهٔ پردازش داده
توافق‌نامه‌ای (verwerkersovereenkomst) که SSStudio بر اساس آن، مطابق مادهٔ ۲۸ مقررات عمومی حفاظت از داده (GDPR)، دادهٔ شخصی را به‌عنوان پردازشگر برای سازمانی که دارای یک نصب لرالینک است پردازش می‌کند.
آخرین به‌روزرسانی: ۱۳ نوامبر ۲۰۲۶
۱. طرفین و وضعیت این توافق‌نامهٔ پردازش داده
۱.۱ این توافق‌نامهٔ پردازش داده («توافق‌نامه») میان مشتریِ نام‌برده در فرم سفارش، به‌عنوان کنترل‌کننده («مشتری»)، و SSStudio، با نام تجاری لرالینک، لاهه، هلند، شمارهٔ ثبت در اتاق بازرگانی (KvK) ۹۸۷۷۹۸۸۵، شمارهٔ شناسایی مالیات بر ارزش افزوده NL005352396B67 (نشانی پستی در صورت درخواست: legal@lera.link)، به‌عنوان پردازشگر («SSStudio») منعقد می‌شود.
۱.۲ این توافق‌نامه جزئی از توافق‌نامهٔ مشتری میان طرفین است. این توافق‌نامه بر هر فرم سفارش، چه برای دورهٔ آزمایشی و چه برای اشتراک، از لحظه‌ای که SSStudio نخستین بار دادهٔ شخصی مشتری را پردازش می‌کند، اعمال می‌شود.
۱.۳ اصطلاحاتی که مقررات عمومی حفاظت از داده (Regulation (EU) 2016/679) تعریف می‌کند، مانند دادهٔ شخصی، پردازش، کنترل‌کننده، پردازشگر، شخص موضوع داده، نقض دادهٔ شخصی و مرجع نظارتی، همان معنایی را دارند که در GDPR آمده است. دیگر اصطلاحاتی که با حرف بزرگ آغاز می‌شوند همان معنایی را دارند که در توافق‌نامهٔ مشتری آمده است. افزون بر این:
| اصطلاح | معنا |
|---|---|
| دادهٔ شخصی مشتری | دادهٔ شخصی‌ای که SSStudio در ارائهٔ خدمت برای نصبِ مشتری، از جانب مشتری پردازش می‌کند، چنان‌که در پیوست ۱ شرح داده شده است. |
| پردازشگر فرعی | پردازشگری که SSStudio به کار می‌گیرد و دادهٔ شخصی مشتری را پردازش می‌کند. |
| پردازشگران فرعی و دریافت‌کنندگان | فهرست لرالینک با همین عنوان، که پیوست ۳ این توافق‌نامه است. |
| تدابیر فنی و سازمانی | سند لرالینک با همین عنوان، که پیوست ۲ این توافق‌نامه است. |
| قانون حفاظت از داده | GDPR، قانون اجرای مقررات عمومی حفاظت از داده در هلند (Uitvoeringswet AVG) و دیگر قوانین اتحادیه یا هلند دربارهٔ حفاظت از دادهٔ شخصی که بر پردازش اعمال می‌شوند. |
۲. نقش طرفین
۲.۱ در مورد دادهٔ شخصی مشتری، مشتری کنترل‌کننده و SSStudio پردازشگر است. مشتری اهداف و ابزارهای پردازش در نصب خود را تعیین می‌کند: چه کسی می‌تواند عضو باشد، چه چیزی منتشر شود، کدام خبرنامه‌ها فرستاده شوند، کدام محتوا محدود شود، و کدام قابلیت‌های هوش مصنوعی تحت کدام سیاست هوش مصنوعی فعال باشند.
۲.۲ مواردی که این توافق‌نامه اعمال نمی‌شود. SSStudio در پردازش‌های زیر، که در بیانیهٔ حریم خصوصی شرح داده شده‌اند، به‌عنوان کنترل‌کننده عمل می‌کند و این توافق‌نامه بر آن‌ها اعمال نمی‌شود:
- حساب سراسری سکو که شخص با آن به یک یا چند نصب وارد می‌شود: نشانی ایمیل، کدهای ورود، کلیدهای عبور، نشست‌ها، سابقهٔ اسنادی که شخص پذیرفته است، و فهرست نصب‌های آن شخص که هرگز به هیچ نصبی نشان داده نمی‌شود؛
- امنیت خدمت، از جمله پیشگیری از سوءاستفاده، محدودسازی نرخ و سابقهٔ ممیزی اقدامات مرتبط با امنیت؛
- رابطه با مشتری، قراردادها و صدور صورت‌حساب؛
- وب‌سایت خودِ SSStudio، هاب و پرسش‌هایی که به SSStudio فرستاده می‌شود؛
- گردآوری و کشف دانش عمومی به‌دست خودِ SSStudio، از جمله سابقهٔ سکو از مفاهیم و موجودیت‌ها، که از منابع عمومی مانند Wikidata، Wikipedia و Wikimedia Commons ساخته می‌شود و هیچ چیزی از محتوای یک نصب در آن نوشته نمی‌شود؛
- رسیدگی به اخطاریه‌های محتوای غیرقانونی و دیگر تکالیفی که SSStudio خود به‌عنوان خدمت میزبانی بر اساس قانون خدمات دیجیتال (Regulation (EU) 2022/2065) دارد.
۲.۳ حساب‌های مشترک و پردازش مشترک. حساب‌ها در سطح کل سکو هستند: یک شخص می‌تواند با یک حساب عضو چند نصب باشد. هیچ نصبی عضویت‌های نصب دیگر را نمی‌بیند. مشتری از حساب مشترک فقط آنچه را نصبش نیاز دارد دریافت می‌کند، مانند نام و نشانی ایمیل شخص به‌عنوان عضو. در جایی که طرفین با هم اهداف و ابزارهای پردازشی معین را تعیین کنند، در آن پردازش کنترل‌کنندگان مشترک بر اساس مادهٔ ۲۶ GDPR هستند. در این صورت مسئولیت‌های خود را در ترتیبی مکتوب مشخص خواهند کرد و جوهر آن ترتیب در دسترس اشخاص موضوع داده قرار خواهد گرفت. تا زمانی که چنین ترتیبی وجود ندارد، هر طرف مسئول پردازشی است که اهداف و ابزارهای آن را تعیین می‌کند، چنان‌که در این توافق‌نامه و در بیانیهٔ حریم خصوصی شرح داده شده است.
۲.۴ اگر SSStudio با نقض این توافق‌نامه اهداف و ابزارهای پردازشی از دادهٔ شخصی مشتری را تعیین کند، در آن پردازش کنترل‌کننده است (مادهٔ ۲۸(۱۰) GDPR).
۳. موضوع، مدت، ماهیت و هدف
۳.۱ موضوع. پردازش دادهٔ شخصی مشتری در ارائهٔ خدمت برای نصب مشتری: میزبانی، ارائه و ادارهٔ یک سایت دانشی چندزبانه که در آن اعضای مشتری قطعه‌ها را می‌نویسند، ترجمه می‌کنند، به آن‌ها استناد می‌کنند، بازبینی و منتشر می‌کنند، آن‌ها را در آثار بزرگ‌تر ترکیب می‌کنند، داوری ویراستاری انجام می‌دهند و خبرنامه‌ها و اعلان‌ها را می‌فرستند.
۳.۲ مدت. در طول مدت توافق‌نامهٔ مشتری و پس از آن، تا زمانی که SSStudio دادهٔ شخصی مشتری را مطابق بند ۱۲ پاک یا بازگردانده باشد.
۳.۳ ماهیت. گردآوری از طریق نصب، ثبت، سازمان‌دهی، ساختاربندی، ذخیره‌سازی، انطباق (از جمله ترجمه و قالب‌بندی)، بازیابی، مشاهده، استفاده، افشا از طریق ارسال و انتشار به ترتیبی که مشتری پیکربندی می‌کند، نمایه‌سازی برای جست‌وجو، ترکیب با دیگر محتوای نصب، محدودسازی، پشتیبان‌گیری، برون‌بری، پاک‌کردن و نابودسازی.
۳.۴ هدف. ارائهٔ خدمت به مشتری بر اساس توافق‌نامهٔ مشتری، از جمله پشتیبانی‌ای که مشتری درخواست می‌کند و رسیدگی به رخدادها. SSStudio دادهٔ شخصی مشتری را برای هیچ هدف دیگری پردازش نمی‌کند.
۳.۵ انواع دادهٔ شخصی و دسته‌های اشخاص موضوع داده. این موارد در پیوست ۱ شرح داده شده‌اند. مشتری تصمیم می‌گیرد چه دادهٔ شخصی‌ای را در محتوای مشتری قرار دهد. در جایی که مشتری دسته‌های ویژهٔ دادهٔ شخصی (مادهٔ ۹ GDPR) یا دادهٔ شخصی مربوط به محکومیت‌ها و جرائم کیفری (مادهٔ ۱۰ GDPR) را در نصب قرار می‌دهد، مسئول قانونی‌بودن آن پردازش است و در جایی که آن داده‌ها نباید عمومی باشند، از قطعه‌های محدودشده استفاده می‌کند.
۴. دستورالعمل‌های مستند
۴.۱ SSStudio دادهٔ شخصی مشتری را فقط بر اساس دستورالعمل‌های مستند مشتری پردازش می‌کند، از جمله در مورد انتقال دادهٔ شخصی به کشور ثالث یا سازمان بین‌المللی، مگر آنکه حقوق اتحادیه یا هلند که SSStudio تابع آن است، به گونهٔ دیگری مقرر کند. در این صورت SSStudio پیش از پردازش، مشتری را از آن الزام قانونی آگاه می‌کند، مگر آنکه آن قانون چنین آگاه‌سازی‌ای را به دلایل مهم منفعت عمومی منع کند.
۴.۲ دستورالعمل‌های مستند مشتری عبارت‌اند از:
- توافق‌نامهٔ مشتری، این توافق‌نامه و فرم سفارش؛
- تنظیماتی که مشتری، از طریق مالکان و مدیران خود، در نصب انجام می‌دهد، از جمله اعضا، نقش‌ها، دسترسی، محدودسازی قطعه‌ها، انتشار، خبرنامه‌ها، قابلیت‌های هوش مصنوعی و دستورالعمل‌های ویراستاری آن‌ها؛
- سیاست هوش مصنوعی ثبت‌شده برای نصب؛
- اقداماتی که خدمت به اشخاص برای داده‌های خودشان در نصب ارائه می‌کند و مشتری به SSStudio دستور می‌دهد هنگامی که شخصی از آن‌ها استفاده می‌کند انجامشان دهد: دریافت داده‌های خود، ترک نصب، حذف حساب خود، و درخواست اصلاح یا حذف توصیفی که هوش مصنوعی دربارهٔ او نوشته است، هر یک چنان‌که در «حقوق شما بر داده‌هایتان» شرح داده شده است؛
- دیگر دستورالعمل‌های مکتوب از سوی اشخاص تماس مشتری که در فرم سفارش نام برده شده‌اند، که به privacy@lera.link یا support@lera.link فرستاده می‌شوند.
۴.۳ اگر به نظر SSStudio دستورالعملی GDPR یا دیگر مقررات حفاظت از دادهٔ اتحادیه یا هلند را نقض کند، SSStudio بی‌درنگ مشتری را آگاه می‌کند. SSStudio می‌تواند اجرای آن دستورالعمل را تا زمانی که مشتری آن را تأیید یا تغییر دهد، معلق کند.
۴.۴ اگر دستورالعملی از کارکردهای خدمت، چنان‌که در مستندات شرح داده شده‌اند، فراتر رود، SSStudio می‌تواند آن را نپذیرد یا بپذیرد که آن را با هزینه‌ای معقول که از پیش توافق شده اجرا کند. اگر SSStudio نتواند از دستورالعملی پیروی کند و مشتری آن را تغییر ندهد، مشتری می‌تواند با اخطار کتبی فرم سفارش مربوط را فسخ کند.
۴.۵ مشتری مسئول قانونی‌بودن دستورالعمل‌های خود، داشتن مبنای قانونی برای پردازش و آگاه‌کردن اشخاص موضوع داده است. «الگوی بیانیهٔ حریم خصوصی نصب» می‌تواند در مورد آخر کمک کند.
۴.۶ دو محدودیت بر هر دستورالعملی اعمال می‌شود و جزئی از خدمت به همان صورتی است که ساخته شده: قطعه‌های محدودشده هرگز به هیچ مدل هوش مصنوعی‌ای فرستاده نمی‌شوند، و SSStudio از دادهٔ شخصی مشتری برای آموزش مدل‌های هوش مصنوعی استفاده نمی‌کند.
۵. محرمانگی
۵.۱ SSStudio تضمین می‌کند که هر شخصی که مجاز به پردازش دادهٔ شخصی مشتری است، به محرمانگی متعهد شده باشد یا تحت تعهد قانونی مناسبی به محرمانگی باشد.
۵.۲ دسترسی به دادهٔ شخصی مشتری در اختیار SSStudio، برای بهره‌برداری از خدمت، و در اختیار DotNet Talk AB، به شمارهٔ ثبت 559480-2570، به نشانی Nordostpassagen 15, 413 11 Göteborg، سوئد، برای تداوم است. به موجب قرارداد همکاری راهبردیِ کتبی با SSStudio، DotNet Talk AB به مخزن کد منبع و به حساب Cloudflare که خدمت را میزبانی می‌کند دسترسی دائمی دارد، و از این رو به پایگاه‌های داده و داده‌های ذخیره‌شده دسترسی فنی دارد، اما به کنسول مدیریت ارشد پلتفرم (Superadmin) دسترسی ندارد. تا زمانی که SSStudio خدمت را بهره‌برداری می‌کند، DotNet Talk AB هیچ کار عملیاتی‌ای انجام نمی‌دهد و از این دسترسی استفاده نمی‌کند؛ اگر SSStudio نتواند ادامه دهد، بهره‌برداری از خدمت را بر عهده می‌گیرد. DotNet Talk AB پردازشگر فرعی است (بند ۷) و به قراردادی کتبی متعهد است که تعهدات محرمانگی و حفاظت از داده را دربر دارد. SSStudio به تعهدات محرمانگی توافق‌نامهٔ مشتری و این توافق‌نامه متعهد است. پیش از آنکه هر شخص دیگری دسترسی دریافت کند، SSStudio آن شخص را به‌طور کتبی به محرمانگی متعهد می‌کند و فقط دسترسی‌ای را که کارش نیاز دارد به او می‌دهد.
۵.۳ SSStudio فقط در صورتی به دادهٔ شخصی مشتری دسترسی پیدا می‌کند که برای ارائهٔ خدمت، ارائهٔ پشتیبانی‌ای که مشتری درخواست کرده، رسیدگی به یک رخداد یا رعایت قانون لازم باشد.
۶. امنیت پردازش
۶.۱ SSStudio تدابیر فنی و سازمانی لازم بر اساس مادهٔ ۳۲ GDPR را اتخاذ می‌کند. این تدابیر در «تدابیر فنی و سازمانی» (پیوست ۲) شرح داده شده‌اند و آخرین پیشرفت‌های فنی، هزینه‌های اجرا، و ماهیت، دامنه، زمینه و اهداف پردازش، و نیز خطرها برای حقوق و آزادی‌های اشخاص حقیقی را در نظر می‌گیرند.
۶.۲ SSStudio می‌تواند این تدابیر را تغییر دهد، به شرط آنکه سطح کلی امنیت کاهش نیابد. تغییرات اساسی را در نسخهٔ تازه‌ای از پیوست ۲ منتشر می‌کند.
۶.۳ پیوست ۲ صادقانه بیان می‌کند که کدام تدابیر برقرارند، کدام ساخته شده‌اند اما هنوز الزامی نیستند، و کدام برنامه‌ریزی شده‌اند.
۷. پردازشگران فرعی
۷.۱ مجوز کتبی عمومی. مشتری به SSStudio مجوز کتبی عمومی برای به‌کارگیری پردازشگران فرعی می‌دهد (مادهٔ ۲۸(۲) GDPR). پردازشگران فرعی‌ای که در تاریخ نفاذ به کار گرفته شده‌اند، در فهرست «پردازشگران فرعی و دریافت‌کنندگان» (پیوست ۳) همراه با خدمتی که هر یک ارائه می‌کند، داده‌های مربوط و محل پردازش فهرست شده‌اند. DotNet Talk AB، که چنان‌که در بند ۵.۲ آمده است برای تداوم دسترسی دائمی دارد، از جملهٔ آنهاست. جزئیات مبنای انتقال برای هر یک در صورت درخواست ارائه می‌شود (legal@lera.link).
۷.۲ اطلاع‌رسانی تغییرات. SSStudio مشتری را از هر افزودن یا جایگزینی موردنظر پردازشگر فرعی، دست‌کم ۳۰ روز پیش از آنکه پردازشگر فرعی جدید دادهٔ شخصی مشتری را پردازش کند، آگاه می‌کند. این کار را با ایمیل به مالکان نصب و به شخص تماس حریم خصوصی که در فرم سفارش نام برده شده، و با یک اطلاعیه در هاب انجام می‌دهد. این اطلاعیه پردازشگر فرعی، خدمت آن، داده‌های مربوط، محل و مبنای انتقال را نام می‌برد. افزودن یک ارائه‌دهندهٔ مدل هوش مصنوعی به ترتیبی از مدل‌ها که می‌تواند به نصب خدمت دهد، چنین تغییری است.
۷.۳ حق اعتراض. مشتری می‌تواند به دلایل معقول مربوط به حفاظت از داده، با نوشتن به privacy@lera.link در مهلت ۳۰ روزهٔ اطلاع‌رسانی، به این تغییر اعتراض کند. در این صورت SSStudio ظرف ۱۴ روز:
- از پردازشگر فرعی جدید برای نصب مشتری استفاده نمی‌کند؛ یا
- تغییری در پیکربندی یا تدبیر دیگری پیشنهاد می‌کند که اعتراض مشتری را برطرف کند، مانند سیاست هوش مصنوعی دیگر یا خاموش کردن قابلیت هوش مصنوعی مربوط.
اگر هیچ‌یک ممکن یا برای مشتری پذیرفتنی نباشد، مشتری می‌تواند با اخطار کتبی، پیش از اثر کردن تغییر، یا ظرف ۳۰ روز پس از پاسخ SSStudio اگر این دیرتر باشد، فرم سفارش مربوط را فسخ کند. هیچ هزینه‌ای برای فسخ زودهنگام اعمال نمی‌شود، و هزینه‌هایی که برای دورهٔ پس از فسخ پیش‌پرداخت شده‌اند بازپرداخت می‌شوند. بند ۱۸ توافق‌نامهٔ مشتری (خروج و تغییر ارائه‌دهنده) اعمال می‌شود.
۷.۴ جایگزینی فوری. اگر پردازشگر فرعی‌ای به این دلیل که دیگر نمی‌تواند خدمت خود را به‌طور امن یا قانونی ارائه کند، باید در مهلتی کوتاه جایگزین شود، SSStudio می‌تواند پیش از گذشت ۳۰ روز جایگزینی را به کار گیرد. SSStudio در اسرع وقت، همراه با دلایل خود، مشتری را آگاه می‌کند و حق اعتراض مشتری بر اساس بند ۷.۳ از تاریخ آن اطلاع‌رسانی اعمال می‌شود.
۷.۵ انتقال تعهدات. SSStudio هر پردازشگر فرعی را با قراردادی مکتوب به کار می‌گیرد که تعهداتی در زمینهٔ حفاظت از داده بر آن تحمیل می‌کند که دست‌کم همان سطح حفاظت این توافق‌نامه را فراهم می‌کنند، به‌ویژه تضمین‌های کافی برای اجرای تدابیر فنی و سازمانی مناسب، به گونه‌ای که پردازش الزامات GDPR را برآورده کند (مادهٔ ۲۸(۴) GDPR). در جایی که پردازشگر فرعی فقط شرایط استاندارد خود را ارائه می‌کند، SSStudio پیش از به‌کارگیری آن ارزیابی می‌کند که آن شرایط این الزام را برآورده می‌کنند.
۷.۶ مسئولیت. در جایی که پردازشگر فرعی‌ای تعهدات خود در زمینهٔ حفاظت از داده را انجام ندهد، SSStudio در برابر مشتری، با رعایت بند ۱۵، همچنان مسئولیت کامل اجرای تعهدات آن پردازشگر فرعی را بر عهده دارد.
۷.۷ دریافت‌کنندگانی که پردازشگر فرعی نیستند. هنگامی که نویسنده‌ای در پی منبعی جست‌وجو می‌کند، عبارت‌های جست‌وجویی که نویسنده وارد می‌کند به خدمات کتاب‌شناختی عمومی‌ای فرستاده می‌شوند که در فهرست «پردازشگران فرعی و دریافت‌کنندگان» آمده‌اند (مانند Crossref، DataCite، OpenAlex، Open Library، Google Books، Wikidata و Wikimedia Commons، و در جایی که مشتری آن را فعال کرده باشد، یک ارائه‌دهندهٔ جست‌وجوی وب). هنگامی که نویسنده‌ای به یک صفحهٔ وب استناد می‌کند، یا پیوندی در یک اثر واردشده بررسی می‌شود، فقط نشانی وب فرستاده می‌شود. هیچ اطلاعات حسابی فرستاده نمی‌شود. در جایی که چنین خدمتی به‌عنوان پردازشگر برای SSStudio عمل کند، پردازشگر فرعی است و به همین عنوان فهرست می‌شود.
۸. کمک در زمینهٔ حقوق اشخاص موضوع داده
۸.۱ SSStudio با در نظر گرفتن ماهیت پردازش، با تدابیر فنی و سازمانی مناسب و تا جایی که ممکن است، به مشتری در انجام تکلیفش برای پاسخ به درخواست‌های اعمال حقوق شخص موضوع داده بر اساس فصل سوم GDPR کمک می‌کند (مادهٔ ۲۸(۳)(ه) GDPR).
۸.۲ خدمت ابزارهای زیر را برای این کار ارائه می‌کند:
- بخش مدیریت نصب به مشتری امکان می‌دهد سوابق اعضا، اشخاص تماس و محتوا را بیابد، اصلاح کند، برون‌بری کند و حذف کند؛
- اشخاص می‌توانند خود داده‌هایشان را دریافت کنند، نصب را ترک کنند و حساب خود را حذف کنند، چنان‌که در «حقوق شما بر داده‌هایتان» شرح داده شده است؛
- شخص می‌تواند درخواست اصلاح یا حذف توصیفی را بدهد که هوش مصنوعی دربارهٔ او نوشته است؛ حذف، متن را در همهٔ زبان‌ها برمی‌دارد و نشانه‌ای بر جای می‌گذارد که همهٔ فرایندهای خودکار آن را رعایت می‌کنند؛ اصلاح شخص در کنار متن ماشینی نگهداری می‌شود و هرگز بازنویسی نمی‌شود.
۸.۳ اگر SSStudio از شخص موضوع داده درخواستی دریافت کند که به دادهٔ شخصی مشتری مربوط است، آن را ظرف سه روز کاری به شخص تماس حریم خصوصی مشتری می‌فرستد و خود به آن پاسخ نمی‌دهد، جز برای آنکه به شخص موضوع داده بگوید درخواستش فرستاده شده است یا او را به یک ابزار سلف‌سرویس راهنمایی کند. در جایی که درخواستی هم به دادهٔ شخصی مشتری و هم به داده‌هایی مربوط است که SSStudio کنترل‌کنندهٔ آنهاست، SSStudio برای بخش مربوط به خود پاسخ می‌دهد و باقی را می‌فرستد.
۸.۴ SSStudio این کمک را بدون دریافت هزینه ارائه می‌کند، مگر آنکه درخواست کمک آشکارا بی‌اساس یا افراطی باشد، که در این صورت SSStudio می‌تواند هزینه‌ای معقول که از پیش توافق شده دریافت کند.
۹. کمک در زمینهٔ مواد ۳۲ تا ۳۶ GDPR
۹.۱ SSStudio با در نظر گرفتن ماهیت پردازش و اطلاعاتی که در اختیار دارد، به مشتری در تضمین رعایت تعهداتش بر اساس مواد ۳۲ تا ۳۶ GDPR کمک می‌کند (مادهٔ ۲۸(۳)(و) GDPR). به‌ویژه SSStudio:
- «تدابیر فنی و سازمانی» را ارائه می‌کند و به پرسش‌های معقول دربارهٔ امنیت پاسخ می‌دهد (مادهٔ ۳۲)؛
- نقض‌های دادهٔ شخصی را چنان‌که در بند ۱۰ آمده اعلام می‌کند، و اطلاعاتی را که مشتری برای اعلام به مرجع نظارتی و، در صورت لزوم، به اشخاص موضوع داده نیاز دارد ارائه می‌کند (مواد ۳۳ و ۳۴)؛
- اطلاعاتی دربارهٔ خدمت را که مشتری برای ارزیابی اثر حفاظت از داده نیاز دارد، از جمله نحوهٔ کار قابلیت‌های هوش مصنوعی و لایهٔ دانش، ارائه می‌کند و در شمار معقولی از مشورت‌ها دربارهٔ آن شرکت می‌کند (مادهٔ ۳۵)؛
- اطلاعاتی را که مشتری برای مشورت پیشین با مرجع نظارتی نیاز دارد ارائه می‌کند (مادهٔ ۳۶).
۹.۲ بند ۸.۴ بر هزینهٔ این کمک اعمال می‌شود.
۱۰. نقض‌های دادهٔ شخصی
۱۰.۱ SSStudio نقض دادهٔ شخصی‌ای را که بر دادهٔ شخصی مشتری اثر بگذارد، بدون تأخیر ناروا و در هر حال ظرف ۴۸ ساعت پس از آگاهی از آن، به مشتری اعلام می‌کند.
۱۰.۲ SSStudio نقض را با ایمیل به مالکان نصب و به اشخاص تماس حریم خصوصی و امنیت که در فرم سفارش نام برده شده‌اند اعلام می‌کند، و در جایی که فرم سفارش شماره تلفنی آورده و نقض جدی است، با تلفن نیز. این اعلام، تا جایی که اطلاعات در دسترس باشد، شامل موارد زیر است:
- شرح ماهیت نقض، از جمله در صورت امکان دسته‌ها و شمار تقریبی اشخاص موضوع دادهٔ مربوط و دسته‌ها و شمار تقریبی سوابق دادهٔ شخصی مربوط؛
- نام و مشخصات تماس نقطهٔ تماس در SSStudio که اطلاعات بیشتر از آن به دست می‌آید (privacy@lera.link)؛
- شرح پیامدهای احتمالی نقض؛
- شرح تدابیری که SSStudio برای رسیدگی به نقض اتخاذ کرده یا پیشنهاد می‌کند، از جمله در صورت اقتضا تدابیری برای کاهش آثار نامطلوب احتمالی آن.
۱۰.۳ در جایی که ارائهٔ همهٔ اطلاعات به‌طور هم‌زمان ممکن نباشد، SSStudio آن را بدون تأخیر ناروای بیشتر و به‌صورت مرحله‌ای ارائه می‌کند. SSStudio برای نخستین اعلام خود منتظر تکمیل تحقیق نمی‌ماند.
۱۰.۴ SSStudio تدابیری را که به‌طور معقول برای مهار نقض و محدودکردن پیامدهای آن لازم است اتخاذ می‌کند و تا بسته شدن پروندهٔ نقض، مشتری را در جریان می‌گذارد. SSStudio نقض دادهٔ شخصی مشتری را از جانب مشتری به مرجع نظارتی یا اشخاص موضوع داده اعلام نمی‌کند، مگر آنکه مشتری به‌طور کتبی از آن بخواهد. در جایی که همان رخداد بر داده‌هایی نیز اثر بگذارد که SSStudio کنترل‌کنندهٔ آنهاست، SSStudio تعهدات خود را در مورد آن داده‌ها انجام می‌دهد.
۱۰.۵ SSStudio هر نقض دادهٔ شخصی، واقعیت‌های آن، آثار آن و اقدام اصلاحی انجام‌شده را مستند می‌کند و سابقهٔ مربوط به مشتری را در اختیار او می‌گذارد (مادهٔ ۳۳(۵) GDPR).
۱۰.۶ اعلام نقض به معنای اقرار به تقصیر یا مسئولیت نیست.
۱۱. انتقال‌های بین‌المللی
۱۱.۱ دادهٔ شخصی مشتری در حوزهٔ قضایی اتحادیهٔ اروپای Cloudflare نگهداری می‌شود: پایگاه‌های داده، پرونده‌ها (تصویر، صوت، اسناد، بسته‌های برون‌بری و نسخه‌های پشتیبان)، پیکربندی و صف‌های کار. این داده‌ها در شبکهٔ جهانی Cloudflare پردازش می‌شوند، معمولاً در نزدیک‌ترین مرکز داده به شخصی که درخواست می‌دهد.
۱۱.۲ پردازش‌های زیر، چنان‌که پیوست ۱ شرح می‌دهد، خارج از منطقهٔ اقتصادی اروپا انجام می‌شوند یا ممکن است انجام شوند: نمایهٔ جست‌وجو؛ حافظه‌های نهان موقت پیکربندی و صفحه‌های عمومی در شبکهٔ Cloudflare؛ آمار ناشناس خوانش؛ پردازش هوش مصنوعی، تا جایی که سیاست هوش مصنوعی نصب اجازه دهد؛ ارسال ایمیل به‌وسیلهٔ ارائه‌دهنده‌ای مستقر در ایالات متحده؛ و عملیات نگهداری‌ای که روی زیرساخت GitHub اجرا می‌شوند، که شامل تمرین‌های بازیابی و تهیهٔ نسخهٔ پوشیده‌شده‌ای از هاب خودِ SSStudio برای محیط آزمایشی آن است؛ هر دو یک نسخهٔ پشتیبان پایگاه داده را در حافظه می‌خوانند. نسخه‌هایی از داده‌ها که پیش از انتقال ۳ نوامبر ۲۰۲۶ خارج از اتحادیهٔ اروپا نگهداری می‌شدند، بدون نوشتن در آن‌ها تا ۳ دسامبر ۲۰۲۶ نگهداری و سپس حذف می‌شوند.
۱۱.۳ SSStudio دادهٔ شخصی مشتری را فقط در صورتی به کشور ثالث منتقل می‌کند، یا به پردازشگر فرعی اجازهٔ چنین کاری را می‌دهد، که:
- کمیسیون اروپا تصمیم گرفته باشد که آن کشور، یا بخش یا سازمان مربوط، سطح کافی از حفاظت را تضمین می‌کند (مادهٔ ۴۵ GDPR)، از جمله، برای دریافت‌کننده‌ای در ایالات متحده که بر اساس آن گواهی شده است، چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده (Commission Implementing Decision (EU) 2023/1795)؛ یا
- تضمین‌های مناسب بر اساس مادهٔ ۴۶ GDPR برقرار باشد، به‌ویژه بندهای قراردادی استانداردی که با تصمیم اجرایی کمیسیون (Commission Implementing Decision (EU) 2021/914) تصویب شده‌اند، ماژول ۳ (پردازشگر به پردازشگر) برای انتقال‌هایی که SSStudio به پردازشگر فرعی انجام می‌دهد، همراه با تدابیر تکمیلی‌ای که ارزیابی اثر انتقال لزوم آن‌ها را نشان دهد.
۱۱.۴ جزئیات مبنای انتقال برای هر پردازشگر فرعی در صورت درخواست ارائه می‌شود (legal@lera.link). مشتری به SSStudio دستور می‌دهد انتقال‌هایی را که در این بند و در پیوست ۱ شرح داده شده‌اند انجام دهد.
۱۱.۵ نصبی که تابع سیاست هوش مصنوعی «فقط اتحادیهٔ اروپا» است، از نمایهٔ جست‌وجو کنار گذاشته می‌شود و فقط می‌تواند از مدل‌هایی استفاده کند که در اتحادیهٔ اروپا میزبانی می‌شوند و ثبت شده است که روی ورودی‌ها آموزش نمی‌بینند. مشتری می‌تواند این سیاست، یا سیاست «بدون هوش مصنوعی بیرونی» را برای کاهش انتقال‌ها در پردازش هوش مصنوعی برگزیند.
۱۲. حذف یا بازگرداندن در پایان پردازش
۱۲.۱ در پایان ارائهٔ خدمت، SSStudio به انتخاب مشتری، یا دادهٔ شخصی مشتری را به مشتری بازمی‌گرداند و سپس آن را حذف می‌کند، یا آن را حذف می‌کند، و نسخه‌های موجود را نیز حذف می‌کند، مگر آنکه حقوق اتحادیه یا هلند نگهداری دادهٔ شخصی را الزامی کند (مادهٔ ۲۸(۳)(ز) GDPR).
۱۲.۲ بازگرداندن از طریق بسته‌های برون‌بری‌ای انجام می‌شود که در بند ۱۸ توافق‌نامهٔ مشتری و در «سیاست برون‌بری داده و خروج» شرح داده شده‌اند، در قالب‌های باز (JSON و NDJSON، Markdown، HTML و CSV، همراه با پرونده‌های رسانه‌ای اصلی)، در طول دورهٔ گذار و یک دورهٔ بازپس‌گیری داده به مدت دست‌کم ۳۰ روز تقویمی.
۱۲.۳ پس از دورهٔ بازپس‌گیری داده، SSStudio دادهٔ شخصی مشتری را بدون تأخیر ناروا، با هدف هفت روز و حداکثر ۳۰ روز پس از پایان آن دوره، از سامانه‌های زندهٔ خود حذف می‌کند. حذف یک نصب به‌طور کامل به‌دست SSStudio و به‌صورت عملیاتی مستند انجام می‌شود، نه با یک کارکرد سلف‌سرویس. نسخه‌های پشتیبانی که دادهٔ شخصی مشتری را دربر دارند، ظرف ۳۰ روز پس از آن حذف، در پایان دورهٔ نگهداری عادی ۳۰ روزهٔ خود منقضی می‌شوند. تا آن زمان تحت حفاظت پیوست ۲ باقی می‌مانند و به کار نمی‌روند، مگر برای بازگرداندن خدمت پس از یک فاجعه، که پس از آن داده‌های مشتری دوباره حذف می‌شوند. SSStudio در صورت درخواست، حذف را به‌طور کتبی تأیید می‌کند.
۱۲.۴ SSStudio سابقهٔ ممیزی اقدامات مرتبط با امنیت را، که به‌عنوان کنترل‌کننده برای امنیت خدمت و برای اثبات، اعمال یا دفاع از دعاوی حقوقی نگه می‌دارد، چنان‌که در بیانیهٔ حریم خصوصی شرح داده شده، نگهداری می‌کند. این سابقه شناسه‌های حساب‌هایی را که اقدام کرده‌اند و آنچه انجام داده‌اند دربر دارد؛ محتوای قطعه‌ها را دربر ندارد.
۱۲.۵ آثار منتشرشده و اعتبارهای آن‌ها که مشتری به ارائه‌دهندهٔ دیگری منتقل می‌کند، از آنِ مشتری است که نگه دارد؛ این بند مشتری را به حذف آن‌ها ملزم نمی‌کند.
۱۳. اثبات رعایت و ممیزی‌ها
۱۳.۱ SSStudio همهٔ اطلاعات لازم برای اثبات رعایت تعهدات مقرر در مادهٔ ۲۸ GDPR را در اختیار مشتری می‌گذارد، و امکان ممیزی‌ها، از جمله بازرسی‌ها، را که مشتری یا ممیز دیگری به نمایندگی از مشتری انجام می‌دهد فراهم می‌کند و در آن‌ها مشارکت می‌کند (مادهٔ ۲۸(۳)(ح) GDPR).
۱۳.۲ نخست مستندات. SSStudio نخست مستندات ارائه می‌کند: این توافق‌نامه و پیوست‌های آن، «مستندات امنیتی و اطمینان‌بخشی»، پاسخ‌های کتبی به یک پرسش‌نامهٔ امنیتی معقول، و گواهی‌ها و گزارش‌های ممیزی‌ای که Cloudflare و دیگر پردازشگران فرعی برای خدمات خود در دسترس می‌گذارند. SSStudio گواهی ISO 27001 یا SOC 2 ندارد و هنوز آزمون نفوذ مستقلی برای آن انجام نشده است؛ پیوست ۲ وضعیت کنونی را بیان می‌کند.
۱۳.۳ ممیزی. اگر مستندات برای اثبات رعایت کافی نباشد، یا اگر مرجع نظارتی آن را الزامی کند، مشتری می‌تواند ممیزی‌ای انجام دهد:
- حداکثر یک بار در هر سال تقویمی، مگر آنکه نقض دادهٔ شخصی‌ای که بر مشتری اثر گذاشته یا درخواست مرجع نظارتی دلیلی برای ممیزی دیگری فراهم کند؛
- با اخطار کتبی دست‌کم ۳۰ روزه به privacy@lera.link، با ذکر دامنه، ممیز و تاریخ‌های پیشنهادی؛
- از راه دور، یا در محل کسب‌وکار SSStudio، در روزهای کاری و ساعات پشتیبانی؛
- به‌دست ممیزی مستقل که به محرمانگی متعهد است و رقیب SSStudio نیست؛
- بدون دسترسی به داده‌های مشتریان دیگر، به اسراری مانند کلیدها و اعتبارنامه‌ها، یا به زیرساخت پردازشگران فرعی، که رعایت آن‌ها با گزارش‌های خودشان نشان داده می‌شود.
۱۳.۴ هزینه‌های ممیزی، از جمله زمان معقول SSStudio به نرخ ساعتی مندرج در فرم سفارش، بر عهدهٔ مشتری است. اگر ممیزی نشان دهد که SSStudio این توافق‌نامه را به‌طور اساسی نقض کرده است، SSStudio هزینه‌های معقول ممیزی را بر عهده می‌گیرد و نقض را بی‌درنگ و با هزینهٔ خود رفع می‌کند.
۱۳.۵ گزارش ممیز اطلاعات محرمانهٔ هر دو طرف است. مشتری نسخه‌ای از آن را به SSStudio می‌دهد. طرفین دربارهٔ یافته‌ها گفت‌وگو می‌کنند و بر برنامه‌ای برای رسیدگی به آن‌ها در مدتی معقول توافق می‌کنند.
۱۳.۶ این بند اختیارات مرجع نظارتی را محدود نمی‌کند.
۱۴. تعهدات دیگر
۱۴.۱ SSStudio سابقه‌ای از دسته‌های پردازشی که از جانب مشتری انجام می‌دهد نگه می‌دارد (مادهٔ ۳۰(۲) GDPR) و در صورت درخواست، آن را در اختیار مرجع نظارتی می‌گذارد.
۱۴.۲ SSStudio در انجام وظایف مرجع نظارتی با آن همکاری می‌کند (مادهٔ ۳۱ GDPR).
۱۴.۳ SSStudio مسئول حفاظت از داده منصوب نکرده است، زیرا بر اساس مادهٔ ۳۷ GDPR ملزم به آن نیست. پرسش‌ها دربارهٔ حفاظت از داده به privacy@lera.link فرستاده می‌شوند.
۱۴.۴ اگر مرجعی عمومی از SSStudio دسترسی به دادهٔ شخصی مشتری را بخواهد، SSStudio در صورت امکان آن مرجع را به مشتری ارجاع می‌دهد و مشتری را بی‌درنگ آگاه می‌کند، مگر آنکه قانون آن را منع کند. SSStudio فقط آنچه را که قانوناً ملزم است، پس از بررسی قانونی‌بودن درخواست، افشا می‌کند، و در جایی که دلایل معقولی برای غیرقانونی دانستن درخواستی داشته باشد، به آن اعتراض می‌کند.
۱۴.۵ مشتری SSStudio را بدون تأخیر ناروا آگاه می‌کند اگر از مسئله‌ای مربوط به پردازش موضوع این توافق‌نامه آگاه شود، مانند پیکربندی نادرست یا شکایت شخص موضوع داده که SSStudio باید از آن آگاه باشد.
۱۵. مسئولیت
۱۵.۱ مسئولیت هر طرف بر اساس این توافق‌نامه یا در ارتباط با آن، تابع بند ۱۵ توافق‌نامهٔ مشتری، از جمله محدودیت‌ها و استثناهای آن، است. این توافق‌نامه محدودیت جداگانه یا افزوده‌ای ایجاد نمی‌کند.
۱۵.۲ هیچ چیز در این توافق‌نامه یا توافق‌نامهٔ مشتری حقوق اشخاص موضوع داده بر اساس مادهٔ ۸۲ GDPR را محدود نمی‌کند. در جایی که یک طرف غرامت کامل خسارتی را به شخص موضوع داده پرداخته که طرف دیگر به‌طور کامل یا جزئی مسئول آن است، می‌تواند از طرف دیگر بخشی از غرامت را که با سهم آن طرف از مسئولیت متناظر است مطالبه کند (مادهٔ ۸۲(۵) GDPR).
۱۶. تقدم
۱۶.۱ در هر موضوع مربوط به حفاظت از داده، این توافق‌نامه بر توافق‌نامهٔ مشتری، توافق‌نامهٔ سطح خدمت، سیاست استفادهٔ قابل‌قبول و شرایط خدمت مقدم است. فرم سفارش فقط در صورتی مقرره‌ای از این توافق‌نامه را تغییر می‌دهد که آن مقرره را نام ببرد و تغییر را صریحاً بیان کند.
۱۶.۲ اگر بندهای قراردادی استاندارد بر اساس بند ۱۱.۳ اعمال شوند، آن بندها در صورت تعارض بر این توافق‌نامه مقدم‌اند.
۱۷. مدت، تغییرات و قانون حاکم
۱۷.۱ این توافق‌نامه با امضای نخستین فرم سفارش، یا زودتر، هنگامی که SSStudio نخستین بار دادهٔ شخصی مشتری را پردازش می‌کند، آغاز می‌شود و تا زمانی که SSStudio دادهٔ شخصی مشتری را پردازش می‌کند ادامه دارد. بندهای ۵، ۱۰، ۱۲، ۱۳ و ۱۵ پس از پایان توافق‌نامهٔ مشتری، تا زمانی که برای اجرای آن‌ها لازم باشد، همچنان اعمال می‌شوند.
۱۷.۲ SSStudio فقط با اطلاع‌رسانی دست‌کم ۳۰ روزه، چنان‌که در سیاست اطلاع‌رسانی تغییرات شرح داده شده، می‌تواند این توافق‌نامه را تغییر دهد. تغییری که حفاظت از دادهٔ شخصی مشتری را کاهش دهد، به موافقت کتبی مشتری نیاز دارد، مگر آنکه قانون، تصمیم مرجع نظارتی یا دادگاه، یا بندهای قراردادی استاندارد جدید کمیسیون اروپا آن را الزامی کند. اگر مشتری به‌طور معقول به تغییری که به این ترتیب الزامی شده اعتراض داشته باشد، می‌تواند پیش از اثر کردن تغییر، با اخطار کتبی فرم سفارش مربوط را فسخ کند.
۱۷.۳ این توافق‌نامه تابع قانون هلند است. اختلافات، چنان‌که بند ۲۶ توافق‌نامهٔ مشتری مقرر می‌کند، در دادگاه صالح لاهه طرح می‌شوند.
پیوست ۱ — شرح پردازش
الف. کلیات
| مورد | شرح |
|---|---|
| کنترل‌کننده | مشتریِ نام‌برده در فرم سفارش. شخص تماس حریم خصوصی: چنان‌که در فرم سفارش نام برده شده است. |
| پردازشگر | SSStudio، با نام تجاری لرالینک. تماس: privacy@lera.link. |
| موضوع و هدف | چنان‌که در بندهای ۳.۱ و ۳.۴ آمده است. |
| مدت | چنان‌که در بند ۳.۲ آمده است. |
| محل نگهداری | حوزهٔ قضایی اتحادیهٔ اروپای Cloudflare، از ۳ نوامبر ۲۰۲۶، برای پایگاه‌های داده، پرونده‌ها، پیکربندی و صف‌های کار. |
| محل پردازش | شبکهٔ جهانی Cloudflare، معمولاً نزدیک‌ترین مرکز داده به شخصی که درخواست می‌دهد؛ و مکان‌های مذکور در بخش «د» در زیر. |
ب. دسته‌های اشخاص موضوع داده
| دسته | چه کسانی‌اند |
|---|---|
| اعضا | اشخاص دارای حساب که در هر نقشی عضو نصب‌اند: خوانندگان، نویسندگان، مترجمان، ویراستاران، داوران، ناشران و مدیران، از جمله مالکان. |
| مشارکت‌کنندگانِ دارای اعتبار | اشخاصی که به‌عنوان نویسنده، مترجم، ویراستار یا در نقشی دیگر در اثری از آنان نام برده شده است، چه عضو باشند چه نباشند. |
| ارسال‌کنندگان و داوران | اشخاصی که اثری را به یکی از مجاری انتشار نصب ارسال می‌کنند، و اشخاصی که برای داوری آن دعوت می‌شوند. |
| مشترکان خبرنامه و اشخاص تماس | اشخاصی که مشترک یک خبرنامه می‌شوند یا به نحو دیگری به‌عنوان شخص تماس نصب ثبت شده‌اند. |
| شرکت‌کنندگان رویداد | اشخاصی که برای رویدادی از نصب ثبت‌نام می‌کنند. بسته به تنظیمات یک رویداد، نام‌ها یا تصاویر شرکت‌کنندگانِ ثبت‌نام‌شده ممکن است به دیگرانی که رویداد را می‌بینند نشان داده شود. |
| نظردهندگان | اشخاصی که دربارهٔ محتوای نصب نظر می‌دهند، بر آن حاشیه می‌نویسند یا به آن واکنش نشان می‌دهند. |
| اشخاص در محتوا | اشخاصی که در محتوای مشتری نام برده، نقل‌قول، تصویر یا ضبط شده‌اند، از جمله اشخاصی که لایهٔ دانش، در جایی که مشتری آن را فعال کرده باشد، توصیفی دربارهٔ آنان می‌نویسد. |
| خوانندگان | اشخاصی که صفحه‌های عمومی نصب را می‌خوانند؛ خوانش آنان به‌صورت ناشناس شمرده می‌شود. |
ج. فعالیت‌های پردازش، دادهٔ شخصی و نگهداری
| فعالیت پردازش | دادهٔ شخصی | اشخاص موضوع داده | مدت نگهداری |
|---|---|---|---|
| میزبانی و ارائهٔ نصب (سایت عمومی، بخش اعضا، استودیو، مدیریت) | همهٔ دادهٔ شخصی مشتری در محتوای مشتری | همهٔ دسته‌ها | در طول مدت توافق‌نامهٔ مشتری و دوره‌های خروج؛ سپس بند ۱۲ |
| عضویت و دسترسی | نام و نام نمایشی، نشانی ایمیل به‌عنوان عضو، تصویر نمایه، نشانی نمایهٔ عمومی، زندگی‌نامه‌ها، ترجیحات زبان رابط کاربری و زبان محتوا، عضویت‌ها، نقش‌ها، اعطاها و انقضای آن‌ها، دعوت‌نامه‌ها | اعضا | تا زمانی که عضو نصب را ترک کند، حساب عضو حذف شود، یا مشتری عضو را حذف کند. ترک نصب، نمایه، ترجیحات، رابطهٔ تماس، نشست‌ها، نقش‌ها و اعطاها را در آن نصب حذف می‌کند |
| نوشتن، نسخه‌ها و همکاری | اعتبار نویسندگی و مشارکت، تاریخچهٔ نسخه‌ها همراه با پدیدآورندهٔ هر نسخه، نظرهای کاری و رویدادهای همکاری؛ حضور در هنگام ویرایش زنده ذخیره نمی‌شود | اعضا، مشارکت‌کنندگانِ دارای اعتبار | به‌عنوان بخشی از محتوای مشتری. آثار و اعتبارهای منتشرشده پس از حذف حساب یک مشارکت‌کننده به نام منتشرشده باقی می‌مانند، زیرا سابقهٔ دیگران نیز هستند |
| داوری ویراستاری | ارسال‌ها، دست‌نوشته‌ها، دعوت‌نامه‌های داوری و داوری‌ها، تصمیم‌ها، تقدیرنامه‌ها، یادداشت‌های داخلی ویراستاران؛ در داوری ناشناس، هویت داوران به نویسندگان نشان داده نمی‌شود | ارسال‌کنندگان، داوران، ویراستاران | به‌عنوان بخشی از محتوای مشتری |
| نظرها، حاشیه‌نویسی‌ها و واکنش‌ها | متن نظر یا حاشیه‌نویسی، نویسنده، زمان | نظردهندگان | به‌عنوان بخشی از محتوای مشتری. هنگامی که شخصی حساب خود را حذف می‌کند، نظرهایش بدون نام نویسنده باقی می‌مانند و واکنش‌هایش حذف می‌شوند |
| خبرنامه‌ها و اعلان‌ها | نشانی ایمیل، تاریخ اشتراک، زبان، صفحه‌ای که شخص در آن مشترک شده، وضعیت اشتراک؛ سوابق تحویل ارائه‌دهندهٔ ایمیل؛ باز شدن یا نشدن پیام و پیوندهای دنبال‌شده، برای سنجش دامنهٔ دسترسی. اعضا خبرنامه‌ها و ایمیل‌های انتشار را به‌طور پیش‌فرض دریافت می‌کنند و می‌توانند هر زمان در تنظیمات خود یا با پیوند موجود در هر پیام آن‌ها را خاموش کنند | مشترکان، اشخاص تماس، اعضا | سوابق تماس تا زمانی که شخص اشتراک را لغو کند و مشتری سابقه را حذف کند، یا مشتری آن را حذف کند؛ سوابق تحویل نزد ارائه‌دهندهٔ ایمیل: جزئیات در صورت درخواست ارائه می‌شود (legal@lera.link) |
| قابلیت‌های هوش مصنوعی | متن و تصاویر قطعه‌ها که برای کاری که شخص خواسته به یک مدل فرستاده می‌شوند (ترجمه، پیشنهادهای SEO، تصویر شاخص، و پیشنهادهای یک دستیار ترکیب‌بندی که فقط پیشنهاد می‌دهد، در جایی که برای نصب فعال باشد)، و متن منتشرشده برای لایهٔ دانش؛ هرگز قطعه‌های محدودشده | اشخاص در محتوا، مشارکت‌کنندگانِ دارای اعتبار | پیشنهادها و خروجی پذیرفته‌شده: به‌عنوان بخشی از محتوای مشتری. ارائه‌دهندگان: بدون آموزش؛ نگهداری محدود برای کشف سوءاستفاده در جایی که شرایطشان آن را پیش‌بینی کند، چنان‌که در فهرست «پردازشگران فرعی و دریافت‌کنندگان» آمده است |
| نمایهٔ جست‌وجو | بازنمایی‌های عددی (embeddings) متن قطعه‌ها، که می‌توانند به اشخاص نام‌برده در آن‌ها مربوط باشند؛ هرگز قطعه‌های محدودشده؛ نه برای نصب‌های تابع سیاست هوش مصنوعی «فقط اتحادیهٔ اروپا» | اشخاص در محتوا | تا زمانی که قطعه حذف یا محدود شود یا نصب از نمایه کنار گذاشته شود، و در هر حال در پایان توافق‌نامهٔ مشتری بر اساس بند ۱۲ |
| لایهٔ دانش، در جایی که مشتری آن را فعال کند | نام اشخاصی که متن منتشرشده دربارهٔ آنان است، پیوند به سوابق مرجع عمومی، توصیف‌های ماشینی آنان در زمینهٔ نصب، و اصلاحات اشخاص | اشخاص در محتوا | به‌عنوان بخشی از محتوای مشتری. درخواست حذف، توصیف را در همهٔ زبان‌ها برمی‌دارد و نشانه‌ای بر جای می‌گذارد که همهٔ فرایندهای خودکار آن را رعایت می‌کنند. پاسخی که خدمت مرجع عمومی Wikidata برای یک نام داده، ۳۰ روز در سطح سکو نگهداری می‌شود تا دوباره پرسیده نشود |
| جست‌وجوی منابع | عبارت‌های جست‌وجویی که نویسنده وارد می‌کند؛ بدون اطلاعات حساب | اشخاص نام‌برده در عبارت‌های جست‌وجو | عبارت‌های جست‌وجو فقط برای همان جست‌وجو به کار می‌روند. ارجاعی که نویسنده برمی‌گزیند به‌عنوان بخشی از محتوای مشتری ذخیره می‌شود |
| برون‌بری‌ها | بسته‌های برون‌بری نصب (محتوا، اشخاص یا هر دو) و بسته‌های دادهٔ شخصی‌ای که یک شخص درخواست می‌کند | همهٔ دسته‌ها | بسته‌های برون‌بری نصب: ۷ روز. بسته‌های دادهٔ شخصی: ۷ روز، سپس پرونده حذف می‌شود |
| پشتیبان‌گیری و بازیابی | یک نسخهٔ پشتیبان منطقی از کل پایگاه داده در هر شب | همهٔ دسته‌های موجود در پایگاه داده | ۳۰ روز |
| آمار خوانش | شمارش‌های ناشناس خوانش؛ طراحی‌شده برای آنکه دادهٔ شخصی دربر نداشته باشد | خوانندگان | تا ۳ ماه، سپس فقط مجموع‌ها |
| پشتیبانی و رسیدگی به رخداد | دادهٔ شخصی مشتری که برای پاسخ به درخواست پشتیبانی یا رسیدگی به یک رخداد لازم است | به اندازهٔ لازم | تا زمانی که درخواست یا رخداد باز است؛ مکاتبات در طول مدت توافق‌نامهٔ مشتری |
| عملیات نگهداری (تمرین‌های بازیابی، جابه‌جایی‌های سکو، نسخهٔ پوشیده‌شدهٔ هاب خودِ SSStudio برای محیط آزمایشی) | داده‌های پشتیبان که در طول عملیات در حافظهٔ اجراکننده پردازش می‌شوند. فقط نسخهٔ پوشیده‌شدهٔ هاب، که هیچ ردیفی از نصب‌های دیگر ندارد، برای بارگذاری در محیط آزمایشی به مدت یک روز نگهداری می‌شود | همهٔ دسته‌های موجود در پایگاه داده | در طول عملیات؛ نسخهٔ پوشیده‌شدهٔ هاب یک روز |
د. پردازش خارج از اتحادیهٔ اروپا
| پردازش | محل و تدبیر حفاظتی |
|---|---|
| رسیدگی به درخواست‌ها | شبکهٔ جهانی Cloudflare، معمولاً نزدیک‌ترین مرکز داده به شخصی که درخواست می‌دهد. داده‌های در حالت سکون در اتحادیهٔ اروپا می‌مانند. |
| حافظه‌های نهان موقت پیکربندی و صفحه‌های عمومی | شبکهٔ جهانی Cloudflare، برای مدتی کوتاه. |
| نمایهٔ جست‌وجو | در اتحادیهٔ اروپا نگهداری نمی‌شود. برای نصب‌های تابع سیاست هوش مصنوعی «فقط اتحادیهٔ اروپا» به کار نمی‌رود. |
| آمار خوانش | در اتحادیهٔ اروپا نگهداری نمی‌شود. ناشناس. |
| پردازش هوش مصنوعی | بسته به سیاست هوش مصنوعی: Cloudflare Workers AI در شبکهٔ Cloudflare، و OpenAI (ترجمه، پیشنهادهای SEO، توصیف مفاهیم) و Gemini API از Google، سطح پولی (تصاویر)، که خارج از اتحادیهٔ اروپا پردازش می‌کنند. تحت سیاست «بدون هوش مصنوعی بیرونی» فقط مدل‌های Cloudflare به کار می‌روند. |
| ارسال ایمیل | از منطقهٔ ایرلندِ ارائه‌دهنده‌ای مستقر در ایالات متحده فرستاده می‌شود. |
| عملیات نگهداری | اجراکننده‌های GitHub Actions که GitHub (Microsoft) اداره می‌کند و ممکن است خارج از اتحادیهٔ اروپا باشند: تمرین‌های بازیابی، جابه‌جایی‌های سکو و نسخهٔ پوشیده‌شدهٔ هاب خودِ SSStudio برای محیط آزمایشی. |
| نسخه‌های پیشین | نسخه‌هایی که پیش از ۳ نوامبر ۲۰۲۶ خارج از اتحادیهٔ اروپا نگهداری می‌شدند، بدون نوشتن در آن‌ها تا ۳ دسامبر ۲۰۲۶ نگهداری و سپس حذف می‌شوند. |
جزئیات مبنای انتقال برای هر پردازشگر فرعی (بند ۱۱.۳) در صورت درخواست ارائه می‌شود (legal@lera.link).
ه. داده‌هایی که SSStudio کنترل‌کنندهٔ آنهاست (برای اطلاع)
این داده‌ها خارج از شمول این توافق‌نامه‌اند (بند ۲.۲) و در اینجا فهرست شده‌اند تا مشتری تصویر کاملی داشته باشد. نگهداری آن‌ها تابع «جدول زمانی نگهداری داده» است.
| داده | مدت نگهداری |
|---|---|
| کدهای ورود | ۱ روز |
| چالش‌های کلید عبور | ۱ روز |
| پیوندهای ثبت کلید عبورِ استفاده‌شده یا منقضی | ۳۰ روز |
| کلیدهای عبور ابطال‌شده | ۹۰ روز پس از ابطال |
| نشست‌های پایان‌یافته | ۳۰ روز |
| شمارنده‌های محدودسازی نرخ (با درهم‌سازی کلیددار نشانی IP) | ۷ روز پس از پایان بازهٔ شمارششان حذف می‌شوند |
| سابقهٔ ممیزی و سابقهٔ اسناد پذیرفته‌شده | تحت توقیف قانونی، در طول عمر حساب و پس از حذف آن، به‌عنوان مدرک نگهداری می‌شوند |
| صورت‌حساب‌ها | ۷ سال (قانون مالیاتی هلند) |
پیوست ۲ — تدابیر فنی و سازمانی
تدابیر فنی و سازمانی‌ای که SSStudio بر اساس مادهٔ ۳۲ GDPR اتخاذ می‌کند، در سند لرالینک با عنوان «تدابیر فنی و سازمانی»، در نسخهٔ نافذ آن، آمده است. آن سند به‌عنوان پیوست ۲ جزئی از این توافق‌نامه است.
پیوست ۳ — پردازشگران فرعی و دریافت‌کنندگان
پردازشگران فرعی‌ای که SSStudio به کار می‌گیرد، و دریافت‌کنندگانی که پردازشگر فرعی نیستند، در فهرست لرالینک با عنوان «پردازشگران فرعی و دریافت‌کنندگان»، در نسخهٔ نافذ آن، آمده‌اند. آن فهرست به‌عنوان پیوست ۳ جزئی از این توافق‌نامه است. تغییرات آن تابع بند ۷ است.