مقررات عمومی حفاظت از داده در لرالینک
اینکه SSStudio، با نام تجاری LeraLink، الزامات مقررات عمومی حفاظت از داده را چگونه، فعالیت به فعالیت، رعایت می‌کند.
آخرین به‌روزرسانی: ۱۳ نوامبر ۲۰۲۶
گسترهٔ این صفحه
این صفحه توضیح می‌دهد که LeraLink مقررات (EU) 2016/679 (مقررات عمومی حفاظت از داده، GDPR) و قانون اجرای GDPR هلند (Uitvoeringswet AVG) را چگونه اجرا می‌کند. این صفحه برای سازمان‌هایی نوشته شده است که نصبی بر روی LeraLink دارند یا داشتن آن را بررسی می‌کنند، و نیز برای اشخاصی که داده‌های آنان در پلتفرم نگهداری می‌شود.
این صفحه خلاصه است. متون الزام‌آور عبارت‌اند از بیانیهٔ حریم خصوصی، قرارداد پردازش داده همراه با تدابیر فنی و سازمانی آن، و شرایط خدمت. هر جا این صفحه با آن متون تفاوت داشته باشد، آن متون حاکم است.
«ما» یعنی SSStudio، با نام تجاری LeraLink، یک مؤسسهٔ انفرادی (sole proprietorship) تابع حقوق هلند که مالک آن سجاد سپهری است. LeraLink در مرحلهٔ آزمایشی کنترل‌شده است؛ دسترس‌پذیری عمومی آن هنوز اعلام نشده است.
نقش‌ها: کنترل‌کننده و پردازشگر، تعیین‌شده برای هر فعالیت
ما برای همهٔ داده‌ها یک نقش واحد نداریم. نقش بستگی به این دارد که در هر فعالیت چه کسی دربارهٔ چرایی و چگونگی پردازش داده‌ها تصمیم می‌گیرد.
| فعالیت | نقش ما | چه کسان دیگری درگیرند |
|---|---|---|
| وب‌سایت خود LeraLink، پرسش‌ها و تماس‌های فروش | کنترل‌کننده | — |
| روابط با مشتریان، قراردادها، صدور صورت‌حساب و دفترداری | کنترل‌کننده | — |
| حساب‌های سراسری پلتفرم: خود حساب، ورود، نشست‌ها، پذیرش شرایط و بیانیهٔ حریم خصوصی ما | کنترل‌کننده | — |
| مدیریت پلتفرم، امنیت خدمت، رسیدگی به سوءاستفاده و سابقهٔ ممیزی | کنترل‌کننده | — |
| رسیدگی به گزارش‌های محتوای غیرقانونی و درخواست‌های مقامات | کنترل‌کننده | ممکن است به نصب مربوط اطلاع داده شود |
| گزینش و کشف دانش عمومی توسط خود LeraLink (سابقهٔ پلتفرم از مفاهیم و هویت‌ها) | کنترل‌کننده | بنگرید به «هویت‌های مشترک و کشف عمومی» در ادامه |
| نصب خود LeraLink، یعنی Hub (hub.lera.link) | کنترل‌کننده | — |
| اعضای یک نصب، مشارکت‌های ویراستاری، داوری، خبرنامه‌ها، محتوای خصوصی و دسترسی | پردازشگر | مشتریِ صاحب نصب کنترل‌کننده است |
| وظایف هوش مصنوعی که درون یک نصب اجرا می‌شوند (ترجمه، پیشنهادها، تصاویر، نمایهٔ جست‌وجوی نصب) | پردازشگر | مشتریِ صاحب نصب کنترل‌کننده است؛ ارائه‌دهندگان هوش مصنوعی پردازشگران فرعی ما هستند |
حساب‌های سراسری پلتفرم و نصب‌ها
یک حساب می‌تواند به چند نصب تعلق داشته باشد. حساب (نشانی ایمیل، ورود، نشست‌ها) نزد ما و در مقام کنترل‌کننده نگهداری می‌شود. هر عضویت در یک نصب، و آنچه شخص در آنجا انجام می‌دهد، به همان نصب تعلق دارد که مشتری کنترل‌کنندهٔ آن است. یک نصب هرگز نمی‌بیند که شخص به چه نصب‌های دیگری تعلق دارد.
هویت‌های مشترک و کشف عمومی
برخی پردازش‌ها به بیش از یک نصب مربوط می‌شوند. نمونه‌های آن سابقهٔ پلتفرم از مفاهیم و اشخاصی است که متون منتشرشده دربارهٔ آنهاست، و کشف آثار عمومی در میان نصب‌ها. ما برای سابقهٔ خود در مقام کنترل‌کننده عمل می‌کنیم. هر جا ما و مشتریِ صاحب یک نصب مشترکاً اهداف و ابزارهای یک عملیات معین را تعیین کنیم، ممکن است به معنای مادهٔ ۲۶ GDPR کنترل‌کنندگان مشترک باشیم. در چنین مواردی، مسئولیت‌های هر یک را در ترتیبی مشخص می‌کنیم و جوهر آن را، چنان‌که بند ۲ مادهٔ ۲۶ مقرر می‌دارد، در دسترس اشخاص ذی‌ربط قرار می‌دهیم. هر جا هر طرف جداگانه تصمیم بگیرد، هر یک برای بخش خود کنترل‌کنندهٔ مستقل است.
آنچه مشتری در مقام کنترل‌کننده باید انجام دهد
مشتری‌ای که کنترل‌کنندهٔ نصب خود است:
- قرارداد پردازش داده را با ما منعقد می‌کند (مادهٔ ۲۸ GDPR)؛
- اطلاعیهٔ حریم خصوصی خود را برای نصبش منتشر می‌کند. برای این منظور الگوی بیانیهٔ حریم خصوصی نصب را در اختیار می‌گذاریم؛
- مبنای قانونی پردازش‌های خود را تعیین می‌کند و با ابزارهای خودخدمت که در ادامه شرح داده شده‌اند به درخواست‌های اعضای خود رسیدگی می‌کند.
مبانی قانونی پردازش‌های خود ما
برای فعالیت‌هایی که در آنها کنترل‌کننده هستیم، بر مبانی زیر طبق بند ۱ مادهٔ ۶ GDPR تکیه می‌کنیم. بیانیهٔ حریم خصوصی جدول کامل را همراه با دوره‌های نگهداری ارائه می‌دهد.
| فعالیت | مبنای قانونی |
|---|---|
| حساب‌ها و ورود | قرارداد (مادهٔ ۶(۱)(b)) هر جا شخص با ما قراردادی داشته باشد؛ در غیر این صورت منافع مشروع (مادهٔ ۶(۱)(f))؛ امنیت ورود بر مبنای منافع مشروع |
| سابقهٔ پذیرش شرایط و بیانیهٔ حریم خصوصی | تعهد قانونی (مادهٔ ۶(۱)(c)) و منافع مشروع در نشان دادن آنچه مورد توافق قرار گرفته است |
| پرسش‌ها و قراردادها | اقدامات پیش از انعقاد قرارداد، خود قرارداد، یا منافع مشروع |
| صدور صورت‌حساب و دفترداری | تعهد قانونی (قوانین مالیاتی هلند) و قرارداد |
| پشتیبانی، امنیت و سابقهٔ ممیزی | قرارداد، تعهد قانونی و منافع مشروع |
| ایمیل‌هایی که خدمت به آنها نیاز دارد (مانند کدهای ورود) | قرارداد |
| آمار ناشناس خوانش | منافع مشروع |
| کشف و گزینش عمومی | منافع مشروع، پس از ارزیابی ضرورت و توازن |
| پشتیبان‌ها | منافع مشروع در بازیابی پس از از دست رفتن داده |
| بستهٔ دادهٔ خود شخص | درخواست شخص (حق دسترسی و حق قابلیت انتقال داده) |
| نمایش محتوا از خدمات دیگر (مانند ویدئوی جاسازی‌شده) | رضایت، که خواننده در مرورگر می‌دهد |
هر جا بر منافع مشروع تکیه می‌کنیم، منفعت، ضرورت و توازن آن با حقوق اشخاص ذی‌ربط را ارزیابی می‌کنیم؛ سابقهٔ مکتوب این ارزیابی‌ها در دست تهیه است. هر شخص می‌تواند طبق مادهٔ ۲۱ GDPR اعتراض کند.
ما دادهٔ شخصی را نمی‌فروشیم و از آن برای تبلیغات رفتاری استفاده نمی‌کنیم. هیچ تصمیمی را که صرفاً بر پردازش خودکار مبتنی باشد و آثار حقوقی یا آثاری به همان اندازه مهم بر شخص داشته باشد، اتخاذ نمی‌کنیم (مادهٔ ۲۲ GDPR).
دسته‌های ویژهٔ داده
آثاری که در یک نصب منتشر می‌شوند ممکن است دسته‌های ویژهٔ داده (مادهٔ ۹ GDPR)، مانند عقاید سیاسی یا باورهای دینی، را دربارهٔ نویسندگانشان یا اشخاصی که از آنان سخن می‌گویند آشکار کنند. عمومی بودن یک اثر حمایت GDPR را از میان نمی‌برد. ما در کشف عمومی از چنین داده‌هایی مراقبت بیشتری می‌کنیم، و این موضوع بخشی از ارزیابی تأثیر حفاظت از داده است که در ادامه شرح داده شده است. مشتریانی که نصب‌هایشان چنین داده‌هایی دارد می‌توانند آثار را به اشخاص و نقش‌های معین محدود کنند، و می‌توانند از ما بخواهند نصبشان را تحت سیاست هوش مصنوعی سخت‌گیرانه‌تری قرار دهیم (بنگرید به ادامه).
شفافیت
ما از طریق این اسناد به اشخاص اطلاع می‌دهیم:
| سند | آنچه را دربر می‌گیرد |
|---|---|
| بیانیهٔ حریم خصوصی | پردازش‌های ما در مقام کنترل‌کننده: اهداف، داده‌ها، مبانی قانونی، نگهداری، دریافت‌کنندگان، انتقال‌ها و حقوق |
| بیانیهٔ کوکی‌ها و ذخیره‌سازی محلی | هر کوکی و هر نوع ذخیره‌سازی مرورگر، با هدف و مدت عمر آن |
| داده‌های شما کجا نگهداری می‌شود | آنچه در اتحادیهٔ اروپا نگهداری می‌شود و آنچه نمی‌شود |
| LeraLink چگونه از هوش مصنوعی استفاده می‌کند | مجموعهٔ ثابت وظایف هوش مصنوعی، ارائه‌دهندگان و سیاست‌های هوش مصنوعی |
| جدول نگهداری داده | هر نوع داده تا چه مدت نگهداری می‌شود |
| حقوق شما دربارهٔ داده‌هایتان | چگونگی استفاده از حقوق و ابزارهای خودخدمت |
| پردازشگران فرعی و دریافت‌کنندگان | هر پردازشگر فرعی و دریافت‌کننده، با نقش، مکان و تضمین آن |
| الگوی بیانیهٔ حریم خصوصی نصب | متنی آغازین برای مشتریان در مقام کنترل‌کننده |
حساب‌های جدید پس از وارد کردن کد ورود معتبر، شرایط خدمت و بیانیهٔ حریم خصوصی را می‌پذیرند. ما ثبت می‌کنیم که کدام سند و کدام نسخهٔ آن، در چه زمانی و در کدام سایت پذیرفته شده است.
سوابق فعالیت‌های پردازش (مادهٔ ۳۰)
نگهداری سابقهٔ فعالیت‌های پردازش بر ما الزامی است، هم برای فعالیت‌هایی که در آنها کنترل‌کننده هستیم (بند ۱ مادهٔ ۳۰) و هم برای دسته‌های پردازشی که در مقام پردازشگر برای مشتریان انجام می‌دهیم (بند ۲ مادهٔ ۳۰). استثنای سازمان‌های کوچک در بند ۵ مادهٔ ۳۰ شامل ما نمی‌شود، زیرا پردازش‌های ما گاه‌به‌گاه نیست. این سابقه در دست تهیه است. هرگاه پردازش‌ها تغییر کنند به‌روز نگه داشته خواهد شد و بنا به درخواست در اختیار Autoriteit Persoonsgegevens (مرجع حفاظت از دادهٔ هلند) قرار خواهد گرفت.
ارزیابی تأثیر حفاظت از داده (مادهٔ ۳۵)
ما در حال انجام ارزیابی تأثیر حفاظت از داده برای لایهٔ دانش و کشف عمومی هستیم: سابقهٔ پلتفرم از مفاهیم و اشخاصی که متون منتشرشده دربارهٔ آنهاست، توصیف‌هایی که هوش مصنوعی دربارهٔ آنان می‌نویسد، و کشف آثار عمومی در میان نصب‌ها. این ارزیابی ضرورت و تناسب پردازش، خطرها برای اشخاص توصیف‌شده، و تدابیر اتخاذشده، از جمله تدابیری را که در ادامه فهرست شده‌اند، در بر می‌گیرد. هرگاه پردازش تغییر کند، آن را بازبینی خواهیم کرد.
برای پردازش درون یک نصب، مشتری در مقام کنترل‌کننده تصمیم می‌گیرد که آیا پردازش‌های خودش به ارزیابی تأثیر نیاز دارد یا نه. ما در مقام پردازشگر، چنان‌که بند ۳(f) مادهٔ ۲۸ GDPR مقرر می‌دارد، با ارائهٔ اطلاعات دربارهٔ چگونگی کارکرد پلتفرم کمک می‌کنیم.
حفاظت از داده در طراحی و به‌طور پیش‌فرض (مادهٔ ۲۵)
این تدابیر در خود محصول تعبیه شده‌اند و به پیکربندی واگذار نشده‌اند:
| تدبیر | آنچه انجام می‌دهد |
|---|---|
| شناسه‌های درهم‌سازی‌شده | سوابق نشست فقط درهمِ (hash) توکن نشست را نگه می‌دارند. نشانی‌های IP و توصیف مرورگرها فقط به‌صورت درهم‌های کلیددار ذخیره می‌شوند. شمارنده‌های محدودیت نرخ از نشانی IP درهم‌سازی‌شده استفاده می‌کنند و ۷ روز نگهداری می‌شوند. ما شناسه‌های درهم‌سازی‌شده را ناشناس تلقی نمی‌کنیم: نشانی IP درهم‌سازی‌شده همچنان می‌تواند دادهٔ شخصی باشد. |
| بدون گذرواژه | خوانندگان، اعضا و نویسندگان با یک کد ایمیلی یک‌بارمصرف وارد می‌شوند که یک بار کار می‌کند و ظرف چند دقیقه منقضی می‌شود. گذرواژه‌ای وجود ندارد که فاش شود. درخواست‌های ورود برای هر نشانی درهم‌سازی‌شده و هر نشانی IP درهم‌سازی‌شده محدود می‌شوند. |
| آمار ناشناس خوانش | شمارش‌های خوانش هیچ حساب، نشانی IP، کوکی یا شناسهٔ ذخیره‌شده‌ای را در بر ندارند؛ یک عدد تصادفی فقط در طول یک بازدید از صفحه باقی می‌ماند. جزئیات حداکثر ۳ ماه نگهداری می‌شود و پس از آن فقط مجموع‌ها. |
| بدون کوکی ردیابی | فقط کوکی‌های نشست ورود و دو کوکی زبان. هیچ کوکی تحلیلی، هیچ Google Analytics و هیچ کوکی تبلیغاتی وجود ندارد. |
| محتوای خارجی به‌طور پیش‌فرض خاموش | ویدئو، پست‌ها و رسانه‌ها از خدمات دیگر فقط پس از اجازهٔ خواننده بارگذاری می‌شوند. |
| محتوای محدود | یک اثر را می‌توان به اشخاص یا نقش‌های معین محدود کرد. در این صورت هیچ کس دیگری، از هیچ مسیری، نمی‌تواند آن را بخواند و هیچ مدل هوش مصنوعی هرگز آن را نمی‌خواند. |
| هوش مصنوعی در مقام پیشنهاد | خروجی هوش مصنوعی پیشنهادی است با نشان ماشینی بودن، تا زمانی که شخصی آن را بپذیرد. ترجمه‌های ماشینی ممکن است پیش از بازبینی شخص به خوانندگان نشان داده شوند؛ در این صورت با برچسب «ترجمهٔ هوش مصنوعی · هنوز بازبینی انسانی نشده» مشخص می‌شوند. اصلاحی که شخص بر توصیف نوشتهٔ هوش مصنوعی انجام دهد در کنار آن نگه داشته می‌شود و همیشه مقدم است. |
| سیاست‌های هوش مصنوعی | هر نصب تحت یک سیاست هوش مصنوعی است: Standard (استاندارد)، EU only (فقط اتحادیهٔ اروپا)، Open models only (فقط مدل‌های باز) یا No external AI (بدون هوش مصنوعی خارجی). مدیر پلتفرم آن را بنا به درخواست مشتری تعیین می‌کند. پلتفرم این سیاست را در هر فراخوان مدل اجرا می‌کند. |
| جدایی نصب‌ها | هر درخواست به یک نصب واحد نسبت داده می‌شود. یک نصب هرگز عضویت‌های نصب دیگر را نمی‌بیند. درخواست‌های میان‌نصبی به‌صورت بسته شکست می‌خورند. |
| کمینه‌سازی داده در برابر ارائه‌دهندگان | ارائه‌دهندگان هوش مصنوعی فقط آنچه را وظیفه لازم دارد دریافت می‌کنند. جست‌وجوهای منبع فقط عبارت‌های جست‌وجو را می‌فرستند، هرگز اطلاعات حساب را. |
| خبرنامه‌ها و ایمیل‌های انتشار | اعضا به‌طور پیش‌فرض آنها را دریافت می‌کنند و می‌توانند هر زمان در تنظیمات خود یا با پیوندی که در هر پیام هست آنها را خاموش کنند. خبرنامه‌ها ممکن است ثبت کنند که آیا پیامی باز شده و کدام پیوندها دنبال شده‌اند، تا میزان دسترسی سنجیده شود. |
| نگهداری بر اساس فهرست ثبت | داده‌های کوتاه‌عمر (کدهای ورود، چالش‌ها، نشست‌های پایان‌یافته، بسته‌های داده) طبق برنامه‌ای ثابت حذف می‌شوند؛ بنگرید به جدول نگهداری داده. |
| حقوق خودخدمت | شخصی که وارد شده است می‌تواند داده‌هایش را بارگیری کند، از یک نصب خارج شود و حساب خود را حذف کند، و می‌تواند بدون نوشتن به کسی، اصلاح یا حذف توصیفی را که هوش مصنوعی دربارهٔ او نوشته است درخواست کند. |
حقوق خودخدمت با جزئیات بیشتر
- بارگیری داده‌های من. شخص آن را از حساب خود درخواست می‌کند. پس از یک هشدار، تأیید تایپ‌شده و کدی که با ایمیل فرستاده می‌شود، بسته‌ای ساخته می‌شود. پیوند به صندوق ورودی او فرستاده می‌شود، ۷ روز کار می‌کند و فقط برای همان شخص در حالی که وارد شده است. یک نوع بسته داده‌های یک نصب دربارهٔ او را در بر دارد؛ نوع دیگر حساب مشترک او و فهرست نصب‌هایش را، که هیچ نصبی هرگز نمی‌بیند. بسته فقط آنچه را منحصراً از آنِ اوست در بر دارد: آثاری که با دیگران مشترک است با اعتبار خود شخص بازنمایی می‌شوند؛ داوران سخنان خود را دریافت می‌کنند؛ نویسندگان تصمیم‌ها را دریافت می‌کنند اما نه اینکه چه کسی داوری کرده است؛ یادداشت‌های داخلی ویراستاران مستثنا هستند و می‌توان جداگانه آنها را درخواست کرد.
- خروج از یک نصب. نمایه، ترجیحات، رابطهٔ تماس، نشست‌ها، نقش‌ها و مجوزهای آن نصب را حذف می‌کند. حساب و عضویت‌های دیگر باقی می‌مانند.
- حذف حساب من. پس از ۷ روز اعمال می‌شود و تا آن زمان قابل لغو است. تا زمانی که شخص تنها مالک یک نصب است یا ارسالی باز دارد، با نمایش دلیل، مسدود می‌شود. آثار منتشرشده و اعتبارها با نام منتشرشده باقی می‌مانند، زیرا سابقهٔ اشخاص دیگر نیز هستند. آنچه آن نام را به یک شخص زنده پیوند می‌دهد حذف می‌شود. سابقهٔ ممیزی شناسهٔ حساب را تحت نگهداری قانونی حفظ می‌کند، سابقهٔ اسناد پذیرفته‌شده باقی می‌ماند، و پشتیبان‌ها پس از ۳۰ روز منقضی می‌شوند.
- توصیف‌هایی که هوش مصنوعی دربارهٔ یک شخص نوشته است. شخصی که به‌عنوان شخص توصیف‌شده تأیید شده است می‌تواند از نصب بخواهد توصیفی را که مدلی دربارهٔ او نوشته است اصلاح یا حذف کند. نصب دربارهٔ درخواست تصمیم می‌گیرد. حذف، متن را در همهٔ زبان‌ها برمی‌دارد و نشانی بر جای می‌گذارد که همهٔ فرایندهای خودکار آن را رعایت می‌کنند، تا توصیف دوباره نوشته نشود.
درخواست‌های دیگر به privacy@lera.link فرستاده می‌شوند. هر جا کنترل‌کننده هستیم، بدون تأخیر ناموجه و ظرف یک ماه پاسخ می‌دهیم، که هر جا بند ۳ مادهٔ ۱۲ GDPR اجازه دهد ممکن است تمدید شود. هر جا یک نصب کنترل‌کننده باشد، درخواست را به آن می‌فرستیم و به آن کمک می‌کنیم.
امنیت پردازش (مادهٔ ۳۲)
ما تدابیر فنی و سازمانی متناسب با خطر را به کار می‌بندیم. این تدابیر شامل جدایی نصب‌ها در نرم‌افزار با تصمیم‌گیری دسترسی در سمت سرور، گذرکلیدهای مقاوم در برابر فیشینگ برای مدیران (برای مدیریت پلتفرم الزامی؛ در حال معرفی برای مدیریت نصب‌ها، و هنوز در همهٔ نصب‌ها الزامی نیست)، قرار داشتن سطوح مدیریتی پشت Cloudflare Access، اتصال‌های رمزگذاری‌شده با HSTS، سابقهٔ ممیزی فقط‌افزودنی، مدیریت مرحله‌ای تغییرات با تأیید مالک پیش از محیط تولید، پشتیبان‌های شبانه با کنترل‌جمع که ۳۰ روز در اتحادیهٔ اروپا نگهداری می‌شوند، و بازیابی‌های تمرین‌شده است.
نمای کلی امنیت این تدابیر را شرح می‌دهد و آنچه را هنوز برقرار نیست بیان می‌کند، از جمله اینکه هنوز هیچ آزمون نفوذ مستقلی انجام نشده است. شرح قراردادی در تدابیر فنی و سازمانی آمده است.
نقض دادهٔ شخصی (مواد ۳۳ و ۳۴)
- هر جا کنترل‌کننده هستیم، نقض را بدون تأخیر ناموجه و در صورت امکان ظرف ۷۲ ساعت از آگاهی از آن به Autoriteit Persoonsgegevens اطلاع می‌دهیم، مگر آنکه احتمال نرود نقض خطری برای اشخاص در پی داشته باشد (مادهٔ ۳۳). هر جا احتمال خطر بالا باشد، به اشخاص ذی‌ربط نیز اطلاع می‌دهیم (مادهٔ ۳۴).
- هر جا پردازشگر هستیم، پس از آگاهی از نقض بدون تأخیر ناموجه (بند ۲ مادهٔ ۳۳)، و در هر حال ظرف ۴۸ ساعت چنان‌که قرارداد پردازش داده مقرر می‌دارد، به مشتری اطلاع می‌دهیم و اطلاعاتی را که مشتری برای اطلاع‌رسانی خود نیاز دارد ارائه می‌کنیم.
- ما هر نقض را، اعم از اینکه اطلاع‌رسانی شود یا نشود، با واقعیات، آثار و تدابیر اتخاذشده مستند می‌کنیم (بند ۵ مادهٔ ۳۳).
سند واکنش به حادثه و اطلاع‌رسانی این فرایند را شرح می‌دهد. حادثهٔ مشکوک را به security@lera.link گزارش دهید.
پردازشگران و انتقال‌های بین‌المللی (مادهٔ ۲۸ و فصل پنجم)
ما از شمار اندکی پردازشگر فرعی استفاده می‌کنیم: Cloudflare (میزبانی، ذخیره‌سازی، DNS و مدل‌های هوش مصنوعی)، Resend (تحویل ایمیل)، OpenAI و Google (مدل‌های هوش مصنوعی)، GitHub (میزبانی کد، صفحهٔ وضعیت، و عملیات نگهداری مانند تمرین‌های بازیابی که در جریان آنها داده‌های پشتیبان را پردازش می‌کند)، هر جا جست‌وجوی وب فعال باشد، Perplexity، و DotNet Talk AB (سوئد)، شریک تداوم ما، که به مخزن کد منبع و به حساب Cloudflare دسترسی دائمی دارد تا اگر SSStudio نتواند ادامه دهد بهره‌برداری از خدمت را بر عهده بگیرد، بی‌آنکه از این دسترسی در بهره‌برداری عادی استفاده کند. هر وظیفه مدل‌های خود را به ترتیبی ثابت که پلتفرم تعیین می‌کند امتحان می‌کند؛ مدیران یک نصب می‌توانند این ترتیب را، همراه با هر ارائه‌دهنده، در صفحهٔ «AI در این نصب» ببینند. سند پردازشگران فرعی و دریافت‌کنندگان هر یک را با نقش، مکان، قرارداد و تضمین آن فهرست می‌کند. تغییرات را طبق سیاست اطلاع‌رسانی تغییرات از پیش اعلام می‌کنیم، تا مشتریان بتوانند چنان‌که قرارداد پردازش داده پیش‌بینی کرده است اعتراض کنند.
از ۳ نوامبر ۲۰۲۶، پایگاه‌های داده، فایل‌ها، پشتیبان‌ها، پیکربندی و صف‌های کار در حوزهٔ قضایی اتحادیهٔ اروپای Cloudflare نگهداری می‌شوند. منابعی که پیش از این انتقال داده‌ها را نگه می‌داشتند در آن حوزهٔ قضایی نیستند؛ آنها نسخه‌ای بدون تغییر را نگه می‌دارند، دیگر استفاده نمی‌شوند و در ۳ دسامبر ۲۰۲۶ یا پس از آن حذف می‌شوند. برخی پردازش‌ها در اتحادیهٔ اروپا نگهداری نمی‌شوند: نمایهٔ جست‌وجو، حافظه‌های نهان موقت، آمار ناشناس خوانش، پردازش هوش مصنوعی و سوابق تحویل ایمیل. درخواست‌ها در شبکهٔ جهانی Cloudflare پردازش می‌شوند. سند داده‌های شما کجا نگهداری می‌شود هر بخش را فهرست می‌کند.
هر جا دادهٔ شخصی به خارج از منطقهٔ اقتصادی اروپا منتقل شود، بر تصمیم کفایت، از جمله چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده برای دریافت‌کنندگان دارای گواهی (تصمیم اجرایی کمیسیون (EU) 2023/1795)، یا بر بندهای قراردادی استاندارد (تصمیم اجرایی کمیسیون (EU) 2021/914) تکیه می‌کنیم، همراه با ارزیابی تأثیر انتقال و تدابیر تکمیلی در صورت لزوم. چارچوب حریم خصوصی داده را دادگاه عمومی اتحادیهٔ اروپا تأیید کرده است؛ تجدیدنظری نزد دیوان دادگستری در جریان است. ما این پرونده را دنبال می‌کنیم و اگر وضعیت حقوقی تغییر کند، تضمین‌های خود را تعدیل خواهیم کرد.
مسئول حفاظت از داده
SSStudio مسئول حفاظت از داده منصوب نکرده است. به ارزیابی ما بند ۱ مادهٔ ۳۷ GDPR چنین انتصابی را الزامی نمی‌کند: ما مرجع عمومی نیستیم، و فعالیت‌های اصلی ما عبارت از پایش منظم و نظام‌مند اشخاص در مقیاس بزرگ، یا پردازش دسته‌های ویژهٔ داده در مقیاس بزرگ نیست. با رشد خدمت این ارزیابی را بازبینی می‌کنیم.
پرسش‌ها و درخواست‌های مربوط به حریم خصوصی: privacy@lera.link. SSStudio به زبان انگلیسی یا هلندی به آنها رسیدگی می‌کند.
مرجع نظارتی
مرجع نظارتی اصلی ما Autoriteit Persoonsgegevens هلند است (autoriteitpersoonsgegevens.nl). هر کس می‌تواند نزد آن، یا نزد مرجع نظارتی کشور عضو اتحادیهٔ اروپا که در آن زندگی یا کار می‌کند، شکایت کند. لازم نیست ابتدا با ما تماس بگیرد.
کودکان
ما ثبت‌نام حساب جداگانه‌ای برای اشخاص زیر ۱۶ سال ارائه نمی‌کنیم. طبق مادهٔ ۸ GDPR و مادهٔ ۵ قانون اجرای GDPR هلند، هر جا رضایت مبنای یک خدمت جامعهٔ اطلاعاتی باشد که مستقیماً به کودک زیر ۱۶ سال عرضه می‌شود، رضایت شخص دارای مسئولیت والدینی لازم است. هر جا مشتری بخواهد نصب خود را به افراد زیر سن قانونی عرضه کند، برای مثال برای آموزش، مشتری و ما باید ابتدا دربارهٔ وظایف هر یک توافق کنیم و اطلاعیه‌ها و تنظیمات متناسب با سن و، در صورت لزوم، رضایت والدینی قابل‌راستی‌آزمایی را برقرار کنیم. هدف آموزشی این الزامات را از میان نمی‌برد.
تماس
حریم خصوصی: privacy@lera.link. امنیت: security@lera.link. امور حقوقی: legal@lera.link. مشخصات رسمی کسب‌وکار: اطلاعات شرکت.
منابع
- مقررات (EU) 2016/679 (GDPR): eur-lex.europa.eu
- قانون اجرای مقررات عمومی حفاظت از داده (Uitvoeringswet Algemene verordening gegevensbescherming): wetten.overheid.nl
- تصمیم اجرایی کمیسیون (EU) 2023/1795 (چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده): eur-lex.europa.eu
- تصمیم اجرایی کمیسیون (EU) 2021/914 (بندهای قراردادی استاندارد): eur-lex.europa.eu
- دادگاه عمومی، پروندهٔ Latombe علیه کمیسیون، حکم ۳ سپتامبر ۲۰۲۵ (پروندهٔ T-553/23)؛ تجدیدنظر ثبت‌شده در ۳۱ اکتبر ۲۰۲۵، پروندهٔ C-703/25 P (OJ C/2025/6610): eur-lex.europa.eu
- Autoriteit Persoonsgegevens (مرجع حفاظت از دادهٔ هلند): autoriteitpersoonsgegevens.nl