ხელშეკრულება პერსონალურ მონაცემთა დამუშავების შესახებ

(დამმუშავებელსა და უფლებამოსილ პირს შორის)

წინამდებარე ხელშეკრულება (შემდგომში — „ხელშეკრულება“) ავსებს LawGPT-ის მომსახურების პირობებს (საჯარო ოფერტა) და ვრცელდება იმ შემთხვევაში, როდესაც მომხმარებლის კონტენტი შეიცავს მესამე პირთა პერსონალურ მონაცემებს (კლიენტების, კონტრაგენტების, საქმის მონაწილეების და სხვათა).

მხარეები:

• დამმუშავებელი: მომხმარებელი, რომლის რეკვიზიტები მითითებულია ხელმოწერის ბლოკში (შემდგომში — „დამმუშავებელი“);
• უფლებამოსილი პირი: Flash LLC, საიდენტიფიკაციო კოდი 402117160, Dimitri Uznadze №2, b.175, Tbilisi, 0102, Georgia, info@lawgpt.ge (შემდგომში — „უფლებამოსილი პირი“ ან „LawGPT“).

1. ტერმინები

„კანონი“ — საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ (14.06.2023, № 3144). ტერმინები „პერსონალური მონაცემები“, „დამუშავება“, „დამმუშავებელი“, „უფლებამოსილი პირი“, „მონაცემთა სუბიექტი“ და „ინციდენტი“ გამოიყენება კანონით განსაზღვრული მნიშვნელობით. „სამეთვალყურეო ორგანო“ — კანონმდებლობით უფლებამოსილი ორგანო (ამჟამად — სახელმწიფო აუდიტის სამსახური). „ძირითადი ხელშეკრულება“ — LawGPT-ის მომსახურების პირობები, რომლებიც მომხმარებელმა აქცეპტით მიიღო.

2. დამუშავების აღწერა

3. დამმუშავებლის დავალება

3.1. უფლებამოსილი პირი ამუშავებს მონაცემებს მხოლოდ დამმუშავებლის დოკუმენტირებული დავალებით. დავალებას წარმოადგენს ეს ხელშეკრულება, ძირითადი ხელშეკრულება და დამმუშავებლის მიერ სერვისის გამოყენება და პარამეტრების არჩევა.

3.2. უფლებამოსილი პირი არ ამუშავებს მონაცემებს საკუთარი მიზნებისთვის და არ იყენებს მათ ხელოვნური ინტელექტის მოდელების გასაწვრთნელად.

3.3. თუ უფლებამოსილი პირი მიიჩნევს, რომ დავალება არღვევს კანონს, ის დაუყოვნებლივ აცნობებს დამმუშავებელს.

3.4. დამმუშავებელი პასუხისმგებელია მონაცემთა დამუშავების კანონიერ საფუძველზე, მონაცემთა სუბიექტების ინფორმირებაზე და ატვირთული მონაცემების მოცულობის გამართლებულობაზე. რეკომენდებულია, ატვირთვამდე გამოიყენოთ სერვისის დეპერსონალიზაციის ფუნქცია.

4. კონფიდენციალურობა და პროფესიული საიდუმლოება

4.1. უფლებამოსილი პირი უზრუნველყოფს, რომ მონაცემთა დამუშავებაში ჩართული პირები კონფიდენციალურობის ვალდებულებას დაქვემდებარებულნი არიან.

4.2. უფლებამოსილი პირის თანამშრომლები ეცნობიან დამმუშავებლის კონტენტს მხოლოდ დამმუშავებლის მოთხოვნით მხარდაჭერის გაწევისას ან კანონით პირდაპირ გათვალისწინებულ შემთხვევებში.

4.3. თუ დამმუშავებელი ადვოკატია, მხარეები ითვალისწინებენ მის პროფესიულ საიდუმლოებას „ადვოკატთა შესახებ“ საქართველოს კანონისა და ადვოკატთა პროფესიული ეთიკის კოდექსის შესაბამისად; ამ დებულების მიზნებისთვის უფლებამოსილი პირი იცავს კონტენტის კონფიდენციალურობას ამ ხელშეკრულების მე-4 და მე-5 პუნქტების შესაბამისად.

5. უსაფრთხოება

უფლებამოსილი პირი იღებს რისკის შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს, მათ შორის დანართ 1-ში ჩამოთვლილს, და რეგულარულად აფასებს მათ ეფექტიანობას.

6. სხვა უფლებამოსილი პირების ჩართვა

6.1. დამმუშავებელი ზოგადად თანახმაა, რომ უფლებამოსილმა პირმა ჩართოს სხვა უფლებამოსილი პირები (ქვე-უფლებამოსილი პირები) დანართ 2-ში მითითებული კატეგორიებით.

6.2. უფლებამოსილი პირის აქტუალურ ჩამონათვალს მოთხოვნისამებრ მიაწვდის მისამართზე support@lawgpt.ge.

6.3. ქვე-უფლებამოსილი პირის დამატების ან შეცვლის შესახებ უფლებამოსილი პირი დამმუშავებელს აცნობებს არაუგვიანეს 14 კალენდარული დღით ადრე. დამმუშავებელს შეუძლია ამ ვადაში წარადგინოს დასაბუთებული საპროტესტო განცხადება. თუ შეთანხმება ვერ მიიღწევა, დამმუშავებელს შეუძლია შეწყვიტოს ძირითადი ხელშეკრულება მე-12 პუნქტის შესაბამისად.

6.4. უფლებამოსილი პირი ქვე-უფლებამოსილ პირებს აკისრებს ამ ხელშეკრულების ტოლფას ვალდებულებებს და პასუხს აგებს მათ მიერ ვალდებულებების შესრულებაზე.

7. მონაცემთა გადაცემა საქართველოს ფარგლებს გარეთ

უფლებამოსილი პირი გადასცემს მონაცემებს საქართველოს ფარგლებს გარეთ მხოლოდ კანონით დადგენილი საფუძვლით, კონფიდენციალურობისა და პერსონალურ მონაცემთა დამუშავების პოლიტიკის მე-11 თავის შესაბამისად. გამოყენებული გარანტიების შესახებ ინფორმაცია მიეწოდება მოთხოვნისამებრ.

8. დახმარება მონაცემთა სუბიექტთა უფლებებში

8.1. თუ უფლებამოსილ პირს უშუალოდ მიმართავს მონაცემთა სუბიექტი, ის მოთხოვნას არ პასუხობს არსებითად და დამმუშავებელს გადაუგზავნის არაუგვიანეს 2 სამუშაო დღისა.

8.2. უფლებამოსილი პირი გონივრულ დახმარებას უწევს დამმუშავებელს, რათა მან შეძლოს მონაცემთა სუბიექტის მოთხოვნებზე კანონით დადგენილ ვადაში (როგორც წესი, 10 სამუშაო დღე) რეაგირება.

9. ინციდენტები

9.1. ინციდენტის აღმოჩენისას უფლებამოსილი პირი დაუყოვნებლივ, არაუგვიანეს 24 საათისა აცნობებს დამმუშავებელს ელექტრონული ფოსტით.

9.2. შეტყობინება მოიცავს: ინციდენტის ბუნებას, ზარალებულ მონაცემთა კატეგორიებსა და სავარაუდო რაოდენობას, შესაძლო შედეგებს და მიღებულ (ან დაგეგმილ) ზომებს. ინფორმაციას, რომელიც ჯერ არ არის ცნობილი, უფლებამოსილი პირი წარადგენს ეტაპობრივად.

9.3. სამეთვალყურეო ორგანოსა და მონაცემთა სუბიექტებისთვის შეტყობინება დამმუშავებლის მოვალეობაა, თუ კანონი ამას მოითხოვს; უფლებამოსილი პირი ამ საქმეში გონივრულ დახმარებას უწევს.

10. ზემოქმედების შეფასება და კონსულტაცია

უფლებამოსილი პირი გონივრულ დახმარებას უწევს დამმუშავებელს მონაცემთა დაცვაზე ზემოქმედების შეფასებასა და სამეთვალყურეო ორგანოსთან კონსულტაციაში, თუ კანონი ამას მოითხოვს.

11. შესაბამისობის დადასტურება და აუდიტი

11.1. უფლებამოსილი პირი დამმუშავებლის მოთხოვნით მიაწვდის ინფორმაციას, რომელიც აუცილებელია ამ ხელშეკრულების მოთხოვნათა შესრულების დასადასტურებლად.

11.2. დამმუშავებელს შეუძლია, წელიწადში არაუმეტეს ერთხელ და არანაკლებ 30 კალენდარული დღით ადრე გაფრთხილებით, ჩაატაროს აუდიტი სამუშაო საათებში, უფლებამოსილი პირის საქმიანობის შეუფერხებლად. აუდიტის დროს დაცული უნდა იყოს კონფიდენციალურობა და არ უნდა გაიცეს წვდომა სხვა მომხმარებლების მონაცემებზე. აუდიტის ხარჯებს ფარავს დამმუშავებელი, თუ დარღვევა არ გამოვლინდა.

12. ხელშეკრულების ვადა; მონაცემთა დაბრუნება და წაშლა

12.1. ხელშეკრულება ძალაშია ძირითადი ხელშეკრულების მოქმედების განმავლობაში.

12.2. ძირითადი ხელშეკრულების შეწყვეტის შემდეგ დამმუშავებელს აქვს 30 კალენდარული დღე კონტენტის ექსპორტისთვის. ამ ვადის გასვლის შემდეგ უფლებამოსილი პირი შლის კონტენტს; სარეზერვო ასლებიდან მონაცემები იშლება 30 დღის განმავლობაში, თუ კანონი მათ შენახვას არ მოითხოვს.

13. პასუხისმგებლობა

მხარეთა პასუხისმგებლობა განისაზღვრება ოფერტის მე-10 თავითა და კანონით. წინამდებარე ხელშეკრულების არცერთი დებულება არ ზღუდავს მონაცემთა სუბიექტის უფლებებს კანონის მიხედვით.

14. ძალაში შესვლა; სამართალი; დავები

14.1. ხელშეკრულება ძალაში შედის მხარეთა მიერ მისი ხელმოწერით (მათ შორის ელექტრონულად) ან დამმუშავებლის მიერ მისი ელექტრონული აქცეპტით LawGPT-ის მხარდაჭერისთვის გაგზავნილ წერილში.

14.2. ხელშეკრულებაზე ვრცელდება საქართველოს სამართალი. დავები წყდება ოფერტის 12.3 პუნქტით დადგენილი წესით.

ხელმოწერები

დანართი 1. ტექნიკური და ორგანიზაციული ზომები

• ყველა კავშირის დაშიფვრა თანამედროვე სტანდარტით (TLS);
• შენახული მონაცემების დაშიფვრა (AES-256);
• როლებზე დაფუძნებული წვდომის კონტროლი და მინიმალური უფლებამოსილების პრინციპი;
• მონაცემებთან განხორციელებული მოქმედებების აღრიცხვა (აუდიტის ჟურნალი), ჟურნალების შენახვის ვადა — 30 დღე;
• სხვადასხვა მომხმარებლის მონაცემების ფიზიკური და ლოგიკური გამიჯვნა;
• ფსევდონიმიზაცია და დეპერსონალიზაცია, სადაც ეს შესაძლებელია;
• რეგულარული სარეზერვო ასლები და აღდგენის შემოწმებული პროცედურები;
• დამუშავებაში ჩართული ყველა პირის კონფიდენციალურობის ვალდებულება;
• ზომების ეფექტიანობის რეგულარული შეფასება.

დანართი 2. ქვე-უფლებამოსილი პირების კატეგორიები