1. Palët dhe objekti
Kjo marrëveshje lidhet mes Klientit që përdor Baitwise ("kontrolluesi") dhe Odeta Kurti, Tiranë, Shqipëri, që operon Baitwise ("përpunuesi"). Ajo zbatohet për të gjitha të dhënat personale që përpunuesi përpunon në emër të kontrolluesit gjatë ofrimit të shërbimit, dhe plotëson kërkesat e nenit 26 të Ligjit nr. 124/2024 dhe nenit 28 të GDPR.
Ajo është pjesë e kushteve të shërbimit dhe pranohet bashkë me to. Nëse organizata juaj ka nevojë për një kopje të nënshkruar nga të dyja palët, shkruani te privacy@baitwise.al.
2. Detajet e përpunimit
- Objekti dhe qëllimi: ofrimi i trajnimeve për ndërgjegjësimin për sigurinë, i kuizeve dhe i mesazheve të simuluara phishing, si dhe raportimi i rezultateve te administratorët e kontrolluesit.
- Kohëzgjatja: për aq kohë sa kontrolluesi përdor shërbimin, plus periudha e fshirjes sipas pikës 9.
- Subjektet e të dhënave: punonjësit e kontrolluesit dhe persona të tjerë që ai fton në hapësirën e vet të punës.
- Kategoritë e të dhënave: emri dhe email-i i punës; roli, departamenti dhe pozicioni; caktimet e trajnimeve, përgjigjet dhe pikët e kuizeve; reagimet ndaj simulimeve dhe kohët e reagimit; për simulimet e dërguara në kuti të vërteta email-i, kohët e dorëzimit dhe, kur hapet një link, ora, adresa IP dhe shfletuesi i pajisjes; të dhënat e sesioneve të hyrjes (adresa IP dhe shfletuesi).
- Kategoritë e veçanta: nuk nevojiten. Kontrolluesi nuk duhet të vendosë në shërbim kategori të veçanta të dhënash (si të dhëna shëndetësore).
3. Përpunimi sipas udhëzimeve
Përpunuesi i përpunon të dhënat personale vetëm sipas udhëzimeve të dokumentuara të kontrolluesit: këtyre kushteve, konfigurimit të shërbimit nga kontrolluesi dhe udhëzimeve të tjera me shkrim. Nëse përpunuesi çmon se një udhëzim shkel ligjin për mbrojtjen e të dhënave, e njofton kontrolluesin. Përpunuesi nuk i përdor të dhënat për qëllimet e veta.
4. Konfidencialiteti
Çdo person që përpunuesi autorizon të përpunojë të dhënat ka detyrimin e konfidencialitetit, siç kërkon neni 30 i Ligjit 124/2024.
5. Siguria
Përpunuesi zbaton masa teknike dhe organizative të përshtatshme për të mbrojtur të dhënat, përfshirë ato të renditura në shtojcën më poshtë, dhe i rishikon ato kur ndryshojnë shërbimi dhe rreziqet.
6. Nënpërpunuesit
Kontrolluesi i jep përpunuesit autorizim të përgjithshëm për të përdorur nënpërpunues. Lista aktuale publikohet në faqen e nënpërpunuesve. Përpunuesi e njofton kontrolluesin me email të paktën 30 ditë para se të shtojë ose zëvendësojë një nënpërpunues. Kontrolluesi mund të kundërshtojë për arsye të bazuara të mbrojtjes së të dhënave; nëse palët nuk e zgjidhin kundërshtimin, kontrolluesi mund ta ndërpresë shërbimin.
Përpunuesi i vendos çdo nënpërpunuesi të njëjtat detyrime për mbrojtjen e të dhënave me kontratë me shkrim dhe mbetet përgjegjës ndaj kontrolluesit për përmbushjen e tyre.
7. Transferimet ndërkombëtare
Të dhënat e klientëve hostohen në Bashkimin Evropian (Nuremberg, Gjermani). Përpunuesi i transferon të dhënat personale jashtë Shqipërisë dhe Zonës Ekonomike Evropiane vetëm me garancitë që kërkojnë nenet 40 dhe 41 të Ligjit 124/2024 dhe Kapitulli V i GDPR.
Kur kontrolluesi i nënshtrohet GDPR, palët bien dakord që, në masën e nevojshme për transferimet te përpunuesi, klauzolat standarde kontraktuale të BE-së (Vendimi Zbatues i Komisionit (BE) 2021/914), Moduli i Dytë (nga kontrolluesi te përpunuesi), përfshihen me referim, ndërsa detajet e pikës 2 dhe shtojca plotësojnë shtojcat e tyre. Zbatohet Klauzola 7 (bashkimi i palëve), sipas Klauzolës 9 zbatohet Opsioni 2 (autorizim i përgjithshëm, me afatin e njoftimit të pikës 6), teksti opsional i Klauzolës 11 nuk zbatohet, dhe për Klauzolat 17 dhe 18 zbatohen ligji dhe gjykatat e shtetit anëtar të BE-së ku është themeluar kontrolluesi.
8. Ndihma për kontrolluesin
- Kërkesat e subjekteve të të dhënave: përpunuesi i përcjell çdo kërkesë që merr nga një subjekt i të dhënave dhe e ndihmon kontrolluesin t'u përgjigjet kërkesave për akses, korrigjim, fshirje ose eksport të të dhënave.
- Cenimet e të dhënave personale: përpunuesi e njofton kontrolluesin pa vonesë të panevojshme, dhe në çdo rast brenda 48 orëve nga marrja dijeni për një cenim që prek të dhënat e kontrolluesit, me informacionin që i nevojitet kontrolluesit për të përmbushur detyrimet e veta të njoftimit.
- Vlerësimet e ndikimit: përpunuesi jep ndihmë të arsyeshme për vlerësimet e ndikimit në mbrojtjen e të dhënave dhe për çdo konsultim paraprak me autoritetin mbikëqyrës.
9. Fshirja dhe kthimi i të dhënave
Kontrolluesi mund t'i eksportojë rezultatet në çdo kohë. Kur përfundon shërbimi, përpunuesi i fshin të dhënat e kontrolluesit brenda 30 ditëve, përveç rastit kur ligji kërkon që të ruhen. Të dhënat e fshira hiqen nga kopjet rezervë me rrotullimin e tyre, brenda 14 ditëve.
10. Informacioni dhe auditimet
Përpunuesi vë në dispozicion informacionin e nevojshëm për të provuar përputhshmërinë me këtë marrëveshje dhe lejon e kontribuon në auditimet nga kontrolluesi ose një auditues i caktuar prej tij, me njoftim të arsyeshëm, jo më shumë se një herë në vit përveç rastit kur ka ndodhur një cenim, dhe me shpenzimet e kontrolluesit. Kur mjaftojnë, përdoren fillimisht përgjigjet me shkrim dhe dokumentacioni.
11. Përparësia dhe përgjegjësia
Nëse kjo marrëveshje bie ndesh me kushtet e shërbimit për mbrojtjen e të dhënave, mbizotëron kjo marrëveshje; kur zbatohen klauzolat standarde kontraktuale, ato mbizotërojnë mbi të dyja. Përgjegjësia sipas kësaj marrëveshjeje rregullohet nga kushtet e shërbimit, përveç rastit kur ligji nuk lejon kufizimin e saj.
Shtojcë: masat teknike dhe organizative
- Hostim në një qendër të dhënash të Hetzner në Nuremberg, Gjermani, të certifikuar sipas ISO/IEC 27001.
- Enkriptim gjatë transmetimit (HTTPS/TLS) për çdo akses në shërbim.
- Fjalëkalimet ruhen vetëm si hash me kripë.
- Ndarje e rreptë e të dhënave të çdo klienti, me akses të kontrolluar në server për çdo faqe, veprim dhe kërkesë të dhënash.
- Akses sipas roleve: punonjësit nuk shohin kurrë rezultatet e kolegëve, dhe administratorët shohin vetëm kompaninë e tyre.
- Kufizime për hyrjet, regjistrimet, ftesat dhe gjenerimin me AI, sipas adresës IP, llogarisë dhe kompanisë.
- Email-et e vërteta të simulimit shkojnë vetëm te domainet që klienti ka verifikuar me një rekord DNS.
- Kopje rezervë të përnatshme të bazës së të dhënave, të ruajtura 14 ditë.
- Aksesi në sistemet e prodhimit i kufizuar vetëm te operatori.
- Asnjë e dhënë personale e punonjësve nuk i dërgohet ofruesit të AI-së.