Допълнение за обработка на данни на OpenAI

В сила от: 1 януари 2026 г.

(Вижте предишното допълнение за обработка на данни)

Това допълнение за обработка на данни на OpenAI („ДОД“) допълва и е включено в споразумението за услуги на OpenAI („споразумението“), което урежда използването на услугите и е сключено от датата на влизане в сила между клиента, идентифициран по-горе („клиентът“) и OpenAI OpCo, LLC, от негово име и от името на неговите партньори, както е уместно, освен ако клиентът е базиран в страна от Европейското икономическо пространство или Швейцария, в който случай то е сключено с OpenAI Ireland Ltd., от негово име и от името на неговите партньори, както е уместно („OpenAI“). Понятията с главни букви, които не са дефинирани в ДОД, имат значението, посочено в споразумението. В настоящото ДОД, OpenAI и клиентът се наричат поотделно „страна“ и заедно „страни“. Клиентът декларира, че има законното право да сключи настоящото споразумение и, ако сключва споразумението от името на юридическо лице, че има законното право да обвърже това юридическо лице. С натискането на „Съгласявам се“, с приемането на формуляра за поръчка или използването на услугите клиентът се съгласява с настоящото споразумение.

• 1.1 Обхват и роли. Като част от предоставянето на услугите на клиента по споразумението, OpenAI може да обработва данни на клиента от името на клиента. OpenAI действа като обработващ данни от името на клиента и настоящото ДОД урежда такава обработка.
• 1.2 Подробности за обработката. OpenAI ще обработва данните на клиента само за целите на предоставянето на услугите на клиента съгласно споразумението и настоящото ДОД. Подробности относно естеството, продължителността, както и видовете данни на клиента и категориите субекти на данни, които са включени, са изложени в Приложение 1 (Подробности за обработката) към настоящото ДОД. OpenAI и клиентът се съгласяват да спазват съответните си задължения съгласно законите за защита на данните във връзка с услугите.

• 2.1 Инструкции за клиента. Страните се съгласяват, че настоящото ДОД, споразумението (включително формуляра за поръчка) и всякакви инструкции, предоставени чрез инструментите за конфигурация и други инструменти в услугите, предоставени от OpenAI, представляват документираните инструкции за клиента относно обработката на данните на клиента от страна на OpenAI („инструкции за клиента“). OpenAI ще обработва данните на клиента само в съответствие с инструкциите за клиента, освен ако не е задължена да го направи по силата на законите, в чието приложно поле попада OpenAI, в който случай OpenAI ще информира клиента за това изискване преди обработката, освен ако това не е забранено от закона.
• 2.2 Известия до клиента. OpenAI ще уведоми клиента писмено, ако по мнението на OpenAI дадена инструкция за клиента нарушава законите за защита на данните. OpenAI ще информира клиента, доколкото е позволено от закона, ако OpenAI получи правно обвързващо искане за разкриване на данни на клиента от правоприлагащ орган.
• 2.3 Конфиденциалност. OpenAI ще гарантира, че всички лица, упълномощени от OpenAI да обработват данни на клиента, са поели задължение да спазват конфиденциалност или са задължени да спазват конфиденциалност по съответния законов ред.
• 2.4 Заявки от субекти на данни. OpenAI ще информира клиента, доколкото е законово позволено, ако OpenAI получи заявка за упражняване на права от субект на данни съгласно законите за защита на данните („заявка от субект на данни“) по отношение на данните на клиента.  OpenAI няма да отговаря на такива заявки без предварителното писмено разрешение на клиента, с изключение на това, че клиентът упълномощава OpenAI да пренасочва заявките от субектите на данни, ако това е необходимо, за да позволи на клиента да отговори директно. Като се има предвид естеството на обработката, OpenAI ще съдейства на клиента чрез прилагане на подходящи технически и организационни мерки, доколкото това е възможно, за да може клиентът да отговори на заявките от субектите на данни.
• 2.5 Сигурност. OpenAI ще прилага и поддържа обосновани и подходящи организационни и технически мерки за сигурност, за да защити данните на клиента, както е посочено в споразумението.
• 2.6 Съдействие за клиента. Като вземе предвид естеството на обработката и информацията, с която разполага, OpenAI ще предостави разумна помощ на клиента, за да му помогне да изпълни задълженията си съгласно законите за защита на данните, включително, когато е уместно, за изготвянето на оценки на въздействието върху защитата на данните по отношение на обработката на данни на клиента от OpenAI и, когато е необходимо, за консултирането на клиента с надзорен орган с юрисдикция за тази обработка, ако такава консултация се изисква от законите за защита на данните.
• 2.7 Нарушения на защитата на личните данни. OpenAI ще уведоми клиента без неоправдано забавяне, след като узнае за нарушение на защитата на личните данни. OpenAI ще окаже разумно съдействие на клиента, за да му помогне да изпълни задълженията си съгласно законите за защита на данните по отношение на това нарушение на защитата на личните данни.
• 2.8 Оценка на съответствието. При обосновано писмено искане от страна на клиента и до степента, изисквана от законите за защита на данните, OpenAI: (i) ще предоставя на клиента, не повече от веднъж годишно, политиките на OpenAI за поверителност и сигурност и друга такава информация, необходима за демонстриране на спазването на задълженията на OpenAI по настоящото ДОД; и (ii) при условие че страните имат сключено подходящо споразумение за конфиденциалност, ще разреши и съдейства за одити или инспекции от или от името на клиента, за сметка на клиента.  Такъв одит или инспекция трябва да бъдат: (A) проведени по начин, който минимално нарушава бизнеса на OpenAI; (B) необходими за потвърждаване, че OpenAI обработва данните на клиента в съответствие с настоящото ДОД; и (C) извършвани не повече от веднъж годишно. Когато това е разрешено от законите за защита на данните, OpenAI може вместо това да предостави на клиента резюме на одитните доклади, свързани със съответствието на OpenAI с настоящото ДОД. Тези резултати и документация, включително резултатите от всякакви одити или инспекции, ще бъдат поверителна информация на OpenAI.
• 2.9 Ангажиране на подчинени обработващи. С настоящото клиентът предоставя общо упълномощаване на OpenAI да ангажира подчинените обработващи, посочени в списъка с подчинени обработващи, за обработка на клиентски данни във връзка с услугите. OpenAI ще уведомява клиента за всякакви промени в списъка с подчинени обработващи чрез публикация в блог, известие в рамките на услугите или по други разумни начини, или чрез имейл, ако клиентът се абонира за имейл известия на сайта със списъка с подчинени обработващи. Клиентът може да възрази срещу използването на допълнителен подчинен обработващ в рамките на 30 дни след получаване на уведомление за промяната, като следва инструкциите, посочени в списъка с подчинени обработващи, или като се свърже с privacy@openai.com. В такъв случай OpenAI ще работи с клиента, за да адресира неговите опасения и да предложи разумни търговски алтернативи или решения. Ако нито една от алтернативите или решенията не са търговски осъществими, по разумна преценка на OpenAI, или ако възраженията не са разрешени по удовлетворителен за страните начин в рамките на 30 дни от получаването от OpenAI на известието за възражение от страна на клиента, тогава всяка от страните може да прекрати споразумението или всички формуляри за поръчка, или използването на услугите, които не могат да бъдат предоставени без използването на новия подчинен обработващ. В такъв случай на клиента ще бъдат възстановени всички приложими предплатени такси, доколкото те обхващат периоди или условия, следващи датата на прекратяване.
• 2.10 Задължения на подчинените обработващи. OpenAI сключва договорни споразумения с всеки подчинен обработващ, които му налагат задължения, сравними с тези, наложени на OpenAI съгласно настоящото ДОД. При спазване на ограниченията на отговорността, включени в споразумението, OpenAI ще продължи да носи отговорност за действията и бездействията на своите подчинени обработващи в същата степен, в която OpenAI би носила отговорност по силата на настоящото ДОД, ако сама е извършила такива действия или бездействия.
• 2.11 Връщане или изтриване на данни. След изтичане на срока на действие или прекратяване на споразумението OpenAI ще върне или изтрие по указание на клиента данните на клиента и съществуващите копия, освен ако запазването на данните на клиента не се изисква от приложимите закони, в който случай OpenAI ще ги изолира и защити от всякаква по-нататъшна обработка, освен до степента, изисквана от приложимите закони.

• 3.1 Известия и упълномощавания. Клиентът декларира, гарантира и се задължава, че е предоставил всички необходими известия и притежава и ще поддържа през целия срок всички необходими права, съгласия и упълномощавания до степента, изисквана съгласно законите за защита на данните, за да предостави данните на клиента на OpenAI и да упълномощи OpenAI да обработва данните на клиента във връзка със споразумението, включително настоящото ДОД.
• 3.2 Сътрудничество. Клиентът трябва да сътрудничи в разумни граници на OpenAI, за да подпомогне OpenAI при изпълнението на всички нейни задължения съгласно приложимите закони за защита на данните.
• 3.3 Конфигурации. Без да се засягат задълженията за сигурност на OpenAI, посочени в раздел 2.5 от настоящото ДОД, клиентът признава и се съгласява, че носи отговорност за определени конфигурации и решения за проектиране на услугите и за прилагането на такива конфигурации и решения за проектиране (например периоди на задържане, изтриване и т.н.) по начин, който е в съответствие с приложимите закони за защита на данните.

• 4.1 Данни от ЕИП и Швейцария. Данните на клиентите, обработвани от OpenAI съгласно настоящото ДОД, могат да попаднат в обхвата на законите за защита на данните на Европейското икономическо пространство или Швейцария („данни от ЕИП и Швейцария“). Независимо от това коя е приложимата договаряща страна на OpenAI съгласно настоящото ДОД, клиентът с настоящото инструктира OpenAI Ireland Limited да обработва всички данни от ЕИП и Швейцария в съответствие с настоящото ДОД. В степента, в която OpenAI Ireland Limited предава данни от ЕИП и Швейцария на други партньори на OpenAI или на трети страни извън Европейското икономическо пространство или Швейцария, за да предоставя услугите, тя ще прави това въз основа на споразумения, съдържащи стандартни договорни клаузи, които гарантират наличието на подходящи гаранции за защита на данните на клиента, или на решение за адекватност, издадено от Европейската комисия съгласно член 45 от ОРЗД.
• 4.2 Данни от Обединеното кралство. Данните на клиента, обработвани от OpenAI съгласно настоящото ДОД, могат да попаднат в обхвата на законите за защита на данните на Обединеното кралство („данни от Обединеното кралство“). Независимо от това коя е приложимата договаряща страна на OpenAI съгласно настоящото ДОД, клиентът с настоящото инструктира OpenAI OpCo, LLC да обработва всички данни от Обединеното кралство в съответствие с настоящото ДОД и със стандартните договорни клаузи, изменени с Допълнението за Обединеното кралство, които се считат за сключени (и включени в настоящото ДОД чрез тази препратка) и попълнени, както е описано в Приложение 1.

До степента, в която се прилагат законите за поверителност на САЩ:

• 5.1 OpenAI се съгласява (а) да не предоставя на клиента парично или друго ценно възнаграждение в замяна на данните на клиента. Страните признават и се съгласяват, че клиентът не е „продал“ (както този термин е дефиниран от законите за поверителност на САЩ) данни на клиента на OpenAI; (б) не „продава“ (както този термин е дефиниран от законите за поверителност на САЩ) или „споделя“ (както този термин е дефиниран от CCPA) лични данни; (в) доколкото клиентът позволява или инструктира OpenAI да обработва данни на клиента, попадащи в приложното поле на законите за поверителност на САЩ в деидентифицирана форма като част от услугите, OpenAI трябва (i) да приеме разумни мерки за предотвратяване на използването на такива деидентифицирани данни за извеждане на информация за или свързване с конкретно физическо лице или домакинство; (ii) публично да се ангажира да поддържа и използва такива деидентифицирани данни в тази форма и да не се опитва да идентифицира отново информацията, освен ако това не е разрешено от законите за поверителност на САЩ; и (iii) преди да сподели деидентифицирани данни с която и да е друга страна, включително подчинени обработващи, договорно да задължи всички такива получатели да спазват изискванията на настоящата разпоредба (в)(i)-(iii); и (г) когато данните на клиента попадат в приложното поле на CCPA (i) да не задържа, използва, разкрива или по друг начин обработва данни на клиента, освен ако това не е необходимо за бизнес целите, посочени в споразумението, включително без ограничение, както е посочено в Приложение 1 на настоящото ДОД; (ii) да не задържа, използва, разкрива или по друг начин обработва данни на клиента по начин извън пряката бизнес връзка между OpenAI и клиента; (iii) да не комбинира никакви данни на клиента с лични данни, които OpenAI получава от или от името на която и да е друга трета страна или събира от собствените си взаимодействия с физически лица, при условие че OpenAI може да комбинира данни на клиента за цел, разрешена от CCPA, ако е инструктиран да го направи от клиента или както е разрешено от CCPA; (iv) да уведоми клиента без ненужно забавяне, ако OpenAI установи, че вече не може да изпълнява своите задължения съгласно CCPA; и (v) ако клиентът основателно вярва, че обработката на данни на клиента от OpenAI не е в съответствие с изискванията на CCPA и след основателно уведомление на OpenAI за същото, страните ще работят заедно добросъвестно за отстраняване на проблема или, ако след съвместна работа клиентът основателно установи, че проблемът не може да бъде отстранен, OpenAI ще спре обработката на засегнатите данни на клиента по писмена инструкция от клиента.
• 5.2. Клиентът се съгласява да не предприема действия, които (i) биха превърнали предоставянето на данни на клиента на OpenAI в „продажба“ съгласно законите за поверителност на САЩ или „споделяне“ съгласно CCPA (или еквивалентни концепции съгласно законите за поверителност на САЩ); или (ii) биха направили така, че OpenAI да не е „доставчик на услуги“ съгласно CCPA или „обработващо лице“ съгласно законите за поверителност на САЩ.

„Данни на клиента“ означава лични данни, обработвани от OpenAI от името на клиента за предоставяне на услугите.

„Администратор на данни“ има значението, което се влага в термина „администратор“ (или друг аналогичен термин) съгласно законите за защита на данните.

„Обработващ данни“ има значението, което се влага в термина „обработващ“ (или друг аналогичен термин) съгласно законите за защита на данните.

„Закони за защита на данните“ означава закони за поверителност и защита на данните, приложими към обработката на данни на клиента от OpenAI във връзка с услугите. 

„Субект на данни“ има значението, което се влага в термина „субект на данни“ (или друг аналогичен термин) съгласно законите за защита на данните.

„ОРЗД“ означава Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г.

„Лични данни“ има значението, което се влага в термина „лични данни“ или „лична информация“ (или друг аналогичен термин) съгласно законите за защита на данните.

„Нарушение на личните данни“ означава нарушение на сигурността, водещо до случайно или незаконно унищожаване, загуба, изменение, неразрешено разкриване или достъп до данни на клиента, съхранявани, предавани или по друг начин обработвани от OpenAI, негови подчинени обработващи или други трети страни, действащи от името на OpenAI.

„Обработка“ има значението, което се влага в термина „обработка“ (или друг аналогичен термин) съгласно законите за защита на данните.

„СДК“ означава стандартните договорни клаузи за предаване на лични данни към трети държави, приети от Европейската комисия на 4 юни 2021 г. (със съответните периодични изменения, актуализации или замени).

„Подчинени обработващи“ означава подчинените обработващи, ангажирани от OpenAI за обработка на данни на клиента във връзка с услугите, изброени в списъка с подчинени обработващи.

„Списък с подчинени обработващи“ означава списъкът, който е достъпен на следния адрес https://platform.openai.com/subprocessors⁠(отваря се в нов прозорец).

„Допълнение за Обединеното кралство“ означава допълнението за Обединеното кралство към СДК на ЕС, издадено от Информационния комисар съгласно раздел 119A(1) от Закона за защита на данните от 2018 г.

„Закони за защита на поверителността на САЩ“ означава подмножество от закони за защита на данните, приложими за жителите на Съединените щати, включително, но не само, Закона за защита на личните данни на потребителите в Калифорния („CCPA“).

Приложение 1

Подробности за обработката

1. Естество и цел:

Изпълнението на услугите по споразумението.

2. Продължителност:

Срокът и времето, необходимо след това, за да могат страните да изпълнят приложимите си задължения след края на срока, включително изтриването на данни.

3. Категории данни на клиента:

Клиентът може да предоставя лични данни на услугите, чиито категории зависят от използването на услугите от страна на клиента, което се определя и контролира от клиента по негова преценка, но може да включва, без да се ограничава до, имена, информация за контакт, демографска информация или всяка друга информация, предоставена от крайните потребители на клиента под формата на неструктурирани данни.

4. Категории субекти на данни:

Субектите на данни могат да включват, но не се ограничават до, служители на клиента, клиенти, доставчици и като цяло крайни потребители.

5. Прехвърлени чувствителни данни (ако е приложимо):

Прехвърлени чувствителни данни (ако е приложимо) и приложени ограничения или мерки за защита, които напълно вземат предвид естеството на данните и свързаните рискове, като например стриктно ограничаване на целите, ограничения за достъп (включително достъп само за служители, преминали специализирано обучение), водене на регистър за достъп до данните, ограничения за последващо прехвърляне или допълнителни мерки за сигурност.

Не е предвидено прехвърляне на чувствителни данни, освен ако потребителят не ги включи неочаквано в неструктурирани данни

6. Честота:

Честотата на прехвърлянето (напр. дали данните се прехвърлят еднократно или продължително).

Непрекъснато в зависимост от използването на услугите от страна на клиента

7. Прехвърляния към подчинени обработващи:

Съгласно член 2.9 от ДОД подчинените обработващи ще обработват данните на клиента, както е необходимо за предоставяне на услугите. Тази обработка се извършва за срока на действие на споразумението, освен ако не е договорено друго в писмена форма.

8. Информация за СДК за прехвърляне на данни от Обединеното кралство съгласно Раздел 4.2:

• 8.1 Модул две (администратор на данни към обработващ данни) от СДК се прилага, когато клиентът е администратор на данни, а OpenAI обработва данни на клиента като обработващ данни. Модул три (обработващ към подчинен обработващ) от СДК се прилага, когато клиентът е обработващ данни, а OpenAI обработва данни на клиента като подчинен обработващ.
• 8.2 За всеки модул от СДК, когато е приложимо, се прилага следното: (i) Незадължителната клауза за присъединяване в клауза 7 не се прилага; (ii) В клауза 9 се прилага опция 2 (общо писмено упълномощаване), като минималният срок за предварително уведомяване за промени в подчинените обработващи е както е посочено в Раздел 2.9 от ДОД; (iii) В клауза 11 незадължителният текст не се прилага; (iv) Всички квадратни скоби в клауза 13 се премахват; (v) В клауза 17 (опция 1) СДК ще се регулират от законите на Англия и Уелс; (vi) В клауза 18(б) споровете ще бъдат решавани пред съдилищата на Англия и Уелс; (vii) Това Приложение 1 съдържа информацията, изисквана в Приложение I и Приложение III от СДК; (viii) Раздел 2.5 (Сигурност) от ДОД съдържа информацията, изисквана в Приложение II от СДК, (ix) Компетентният надзорен орган е Службата на комисаря по информацията („ICO“).
• 8.3 Износител(и) на данни: клиента съгласно споразумението; вносител(и) на данни: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, служител по защита на данните, privacy@openai.com⁠.

Изпълнение на споразумението за обработка на данни⁠(отваря се в нов прозорец)