Sicherheitsmaßnahmen für Lieferanten

Diese Sicherheitsmaßnahmen für Lieferanten gelten für den Lieferanten, wenn er OpenAI Waren, Dienstleistungen oder Software bereitstellt, und sind Bestandteil der jeweiligen Vereinbarung zwischen dem Lieferanten und OpenAI („Vereinbarung“). Begriffe, die hier verwendet werden, aber nicht definiert sind, haben die ihnen in der Vereinbarung zugewiesene Bedeutung.

Der Lieferant wird ein Informationssicherheitsprogramm unterhalten und betreiben, das mindestens einmal jährlich überprüft wird, bzw. früher, falls ein Sicherheitsvorfall oder eine wesentliche Änderung der geltenden Rechtsvorschriften dies erforderlich macht. Die Aufsicht über das Informationssicherheitsprogramm wird entsprechend qualifiziertem leitenden Personal übertragen. 

Um seinen Sicherheits- und Datenschutzverpflichtungen gemäß der Vereinbarung nachzukommen, umfasst das Informationssicherheitsprogramm des Lieferanten Folgendes:

• Stellen Sie schriftliche Informationssicherheits- und Datenschutzrichtlinien bereit, die mit dem Informationssicherheitsprogramm und allen geltenden Datenschutzgesetzen im Einklang stehen. 
• Informieren Sie alle betroffenen Mitarbeiter über diese Richtlinien und den Verhaltenskodex für Lieferanten und verlangen Sie eine formelle Bestätigung.
• Überwachen Sie die Einhaltung und den Umgang mit Verstößen durch dokumentierte Verfahren. Verstöße gegen die Richtlinien werden mit entsprechenden Disziplinarmaßnahmen geahndet.

• Unterhalten und betreiben Sie ein Risikomanagementprogramm, das regelmäßige Risikobewertungen und Kontrollen zur Identifizierung, Analyse, Überwachung und Meldung von Risiken sowie Korrekturmaßnahmen umfasst.
• Führen Sie mindestens einmal jährlich Risikobewertungen durch (entweder intern oder unter Hinzuziehung beauftragter, unabhängiger Stellen), um Risiken für OpenAI-Daten, Risiken für die Geschäftsressourcen des Lieferanten (z. B. die technische Infrastruktur), Bedrohungen für diese Elemente (sowohl interne als auch externe), die Eintrittswahrscheinlichkeit dieser Bedrohungen sowie die Auswirkungen auf die Organisation zu ermitteln.
• Stufen Sie Sicherheitsrisiken für OpenAI-Daten ein und führen Sie eine Priorisierung der entsprechenden Abhilfemaßnahmen durch.

• Unterhalten und betreiben Sie branchenübliche Verfahren zur Überprüfung, Schulung und Verwaltung von Personal.
• Führen Sie, soweit dies in der jeweiligen Rechtsordnung des jeweiligen Mitarbeiters gesetzlich zulässig ist, vor der Einstellung Hintergrundüberprüfungen für alle Mitarbeiter durch, die Zugriff auf OpenAI-Daten haben oder die Leistungserbringung des Lieferanten unterstützen.
• Bieten Sie dem Personal des Lieferanten jährliche Schulungen zu Sicherheit und Datenschutz sowie gegebenenfalls ergänzende Sicherheitsschulungen an.
• Als Voraussetzung für eine Anstellung oder Beauftragung muss das Personal des Lieferanten eine Vertraulichkeitsvereinbarung unterzeichnen oder es muss sichergestellt werden, dass das Personal des Lieferanten denselben Vertraulichkeitsverpflichtungen unterliegt, wie sie für den Lieferanten selbst im Rahmen der Erbringung seiner Leistungen für OpenAI gelten, und dass es die Richtlinien zum Schutz von Kundendaten und anderen Daten Dritter befolgt.
• Die Identität der Mitarbeiter und Leiharbeiter muss verifiziert werden.
• Es ist untersagt, Lieferantenpersonal zu beschäftigen oder zu beauftragen, das sich in einem Land oder Gebiet befindet, das: (a) vom U.S. Office of Foreign Assets Control (OFAC) als umfassend sanktioniert ausgewiesen wurde; (b) einer Reisewarnung der Stufe 4/„Nicht reisen“ des US-Außenministeriums unterliegt; oder (c) in Regionen liegt, in denen aktive bewaffnete Konflikte stattfinden.
• Es muss OpenAI erlaubt sein, Ad-hoc-Sicherheitsprüfungen beim Personal des Lieferanten durchzuführen und alle Informationen, die OpenAI in angemessenem Umfang zur Unterstützung dieser Prüfungen anfordert, umgehend weiterzugeben.
• OpenAI kann zusätzliche Sicherheitsüberprüfungen für das an externen Standorten tätige Personal des Lieferanten durchführen, vorausgesetzt, dass OpenAI hierdurch die Verpflichtung des Lieferanten, eigene Hintergrundüberprüfungen und Identitätsprüfungen gemäß diesen Sicherheitsmaßnahmen oder der Vereinbarung durchzuführen, nicht einschränkt oder ausschließt.

Der Lieferant sichert alle Unternehmenslaptops, Mobilgeräte, lokalen Server und sonstige Hardware, auf denen OpenAI-Daten verarbeitet werden, wie folgt:

• Zentrale Verwaltung aller Endpunkte und Server – einschließlich der lokalen Infrastruktur – über eine genehmigte Plattform für die Verwaltung von Endpunkten.
• Automatische Durchsetzung grundlegender Sicherheitskonfigurationen und zeitnaher Patches für Betriebssysteme, Anwendungen und Firmware auf allen Workstations und Servern.
• Verschlüsselung im Ruhezustand erforderlich: Vollständige Festplattenverschlüsselung auf Laptops und Workstations sowie Verschlüsselung auf Volume- oder Speicherebene auf Servern und Speichergeräten.
• Deaktivierung oder strikte Kontrolle tragbarer und entfernbarer Medien auf allen Assets.

• Gewährleisten und betreiben Sie branchenübliche Verfahren zur Identitäts-, Authentifizierungs- und Zugriffsverwaltungskontrolle.
• Dokumentieren Sie Richtlinien und Verfahren zur Zugriffsverwaltung für Personal und Dienstkonten des Lieferanten.
• Führen Sie eine genaue und aktuelle Liste aller Mitarbeiter von Lieferanten, die Zugriff auf die Systeme haben. 
• Deaktivieren oder widerrufen Sie Zugangsdaten innerhalb eines Werktags nach der Übertragung oder Beendigung.
• Nutzen Sie Single Sign-On (SSO) für alle interaktiven Anmeldungen bei internen Systemen und Diensten von Drittanbietern, die die Bereitstellung der Dienste unterstützen.
• Stellen Sie sicher, dass der Identitätsanbieter im Rahmen des SSO-Anmeldeablaufs eine Multi-Faktor-Authentifizierung durchführt. 
• Implementieren Sie eine rollenbasierte Zugriffskontrolle (RBAC) unter Beachtung der Prinzipien der geringsten Berechtigungen und der Aufgabentrennung.
• Nutzen Sie privilegierte Konten („Root“/„Administrator“) nur, wenn dies im Rahmen genehmigter Änderungskontrollverfahren technisch erforderlich ist. Nicht privilegierte Nutzer sind von der Ausführung privilegierter Funktionen ausgeschlossen.
• Für jeden Zugriffsantrag auf Systeme, in denen OpenAI-Daten gespeichert sind, ist eine formelle Prüfung und Genehmigung erforderlich. Darüber hinaus sind regelmäßige (mindestens vierteljährliche) Zugriffsprüfungen durchzuführen, um die Angemessenheit der Berechtigungen zu bestätigen.
• Richten Sie Verfahren zum Melden und Widerrufen kompromittierter Zugangsdaten (z. B. Passwörter, API-Schlüssel) und zum Verifizieren der Nutzeridentität ein, bevor zurückgesetzte oder temporäre Zugangsdaten ausgestellt werden.
• Für Endnutzer von OpenAI gilt die Nutzung eines Identitäts- und Zugriffsverwaltungsdienstes eines Drittanbieters. Der Anbieter speichert keine von Nutzern angegebenen Passwörter.

• Unterhalten und betreiben Sie einen Notfallplan für Sicherheitsvorfälle, um auf Ereignisse zu reagieren und diese zu beheben, die die Vertraulichkeit, Verfügbarkeit oder Integrität der Leistungen des Lieferanten oder der OpenAI-Daten gefährden.
• Sobald Sie Kenntnis von einem tatsächlichen oder vermuteten Sicherheitsvorfall erhalten, müssen Sie OpenAI unverzüglich und in jedem Fall innerhalb von 48 Stunden nach Bekanntwerden des Sicherheitsvorfalls schriftlich unter security@openai.com benachrichtigen. Nach Möglichkeit sollte diese Mitteilung alle verfügbaren Angaben enthalten, die gemäß den Datenschutzgesetzen erforderlich sind, damit OpenAI seinen eigenen Meldepflichten gegenüber den Aufsichtsbehörden oder den von dem Sicherheitsvorfall betroffenen Personen nachkommen kann.
• Ergreifen Sie angemessene Maßnahmen, um die Risiken weiterer Sicherheitsvorfälle zu mindern. Ist der Sicherheitsvorfall auf einen Verstoß des Lieferanten gegen diese Sicherheitsmaßnahmen für Lieferanten zurückzuführen, erstattet der Lieferant (vorbehaltlich der im Vertrag enthaltenen Haftungsbeschränkungen) OpenAI die aus eigener Tasche bestrittenen Kosten und Aufwendungen für Abhilfemaßnahmen, die aufgrund von Maßnahmen entstanden sind, die gemäß den Datenschutzgesetzen oder zwischen den Parteien im Zusammenhang mit einem Sicherheitsvorfall vereinbart wurden, einschließlich, soweit zutreffend: (i) der Erstellung und Übermittlung gesetzlich vorgeschriebener Mitteilungen an betroffene Personen; (ii) Callcenter-Support zur Beantwortung von Anfragen; und (iii) gesetzlich vorgeschriebener Kreditüberwachungsdienste für betroffene Personen. OpenAI entscheidet nach eigenem Ermessen über den Zeitpunkt, den Inhalt und die Art und Weise der gemäß diesem Absatz bereitgestellten Mitteilungen.

• Erstellen und bewahren Sie alle Prüfaufzeichnungen für alle Systeme, Netzwerke und unterstützende Infrastruktur auf, die zur Bereitstellung der Dienste verwendet werden, um die Überwachung, Analyse, Untersuchung und Meldung rechtswidriger oder nicht autorisierter Aktivitäten zu ermöglichen.
• Protokollieren Sie alle privilegierten Aktionen so, dass jedes Ereignis einer namentlich genannten Person zugeordnet werden kann.
• Privilegierte Aktivitäten auf Endpunkten, Servern und der unterstützenden Infrastruktur müssen aufgezeichnet und kontinuierlich überwacht werden, um nicht autorisierte Änderungen oder Richtlinienverstöße zu erkennen.
• Überwachen Sie kontinuierlich die Sicherheit und Verfügbarkeit – einschließlich des Netzwerkverkehrs und der Dienstprotokolle – und reagieren Sie umgehend auf alle Warnmeldungen. 
• Überprüfen und analysieren Sie regelmäßig Sicherheits- und Betriebsprotokolle, um verdächtige Aktivitäten, Verstöße gegen Richtlinien oder Ereignisse zu erkennen, die die Vertraulichkeit, Integrität oder Verfügbarkeit von OpenAI-Daten beeinträchtigen könnten.
• Auf Verlangen müssen OpenAI die Prüfprotokolle zur Verfügung gestellt werden.

• Unterhalten und betreiben Sie ein dokumentiertes Verfahren für sichere Entwicklung bzw. Security-by-Design, das die Planung, Codierung, Prüfung, Bereitstellung und Wartung der Software oder Dienste umfasst, die für OpenAI bereitgestellt werden.
• Der SDLC muss Bedrohungsmodellierung, Codeüberprüfung, automatisiertes Scannen auf Abhängigkeitsschwachstellen und Sicherheitstests (statisches, dynamisches und Container- oder IaC-Scannen) beinhalten, bevor der Code in die Produktion übertragen wird. 
• Die Ergebnisse dieser Maßnahmen sowie Nachweise über die Behebung von risikoreichen Befunden sind mindestens 12 Monate lang aufzubewahren und OpenAI auf Anfrage zur Verfügung zu stellen.

• Umgebungen trennen: Halten Sie Produktions- und Nicht-Produktionsumgebungen voneinander getrennt und stellen Sie sicher, dass OpenAI-Daten ausschließlich in Produktionsumgebungen gespeichert werden.
• Trennen Sie OpenAI-Daten logisch von allen anderen Kundendaten und setzen Sie innerhalb jeder OpenAI-Kundenorganisation eindeutige Grenzen auf Nutzerebene durch.
• Stellen Sie sicher, dass primäre Backend-Ressourcen hinter privaten Netzwerkkontrollen (VPN, private Verbindung oder eine gleichwertige Zero-Trust-Architektur) bereitgestellt werden.
• Netzwerksicherheitsrichtlinien und Firewalls sind so konfiguriert, dass der Zugriff nach dem Prinzip der geringsten Berechtigungen erfolgt und sich auf einen vorab festgelegten Satz zulässiger Traffic-Ströme beschränkt.
• Nicht genehmigte Traffic-Ströme werden gesperrt.

• Unterhalten und betreiben Sie ein dem Branchenstandard entsprechendes Programm zur Verwaltung von Schwachstellen, das die umgehende Behebung von Schwachstellen gewährleistet, die die vom Lieferanten bereitgestellten Dienste beeinträchtigen.
• Unterhalten und implementieren Sie ein Programm zur Verwaltung von Schwachstellen, das regelmäßig nach Schwachstellen sucht, einen Benachrichtigungsdienst für Schwachstellen nutzt, die Behebung nach Risiko priorisiert und Zeitrahmen für die Behebung auf Grundlage der Risikoeinstufung festlegt.
• Sobald ein Patch veröffentlicht und die damit verbundene Sicherheitslücke auf ihre Anwendbarkeit und Bedeutung geprüft und bewertet wurde, wird dieser Patch in einem Zeitrahmen, der dem für die Systeme bestehenden Risiko angemessen ist, angewendet und verifiziert.
• Setzen Sie eine Protokollverwaltungslösung ein und bewahren Sie die von Angriffserkennungssystemen erstellten Protokolle mindestens ein Jahr lang auf.

• Sorgen Sie an jedem Standort, an dem OpenAI-Daten gespeichert und abgerufen werden können, für physische Sicherheit.
• Kontrollieren Sie den Zugang zu Büros und Rechenzentren durch Ausweise, biometrische Daten oder ähnliche Authentifizierungsmethoden.
• Alle Besucher müssen angemeldet und begleitet werden.
• Betreiben Sie rund um die Uhr Videoüberwachungs- und physische Einbruchmeldesysteme.
• Achten Sie auf eine sichere Handhabung und Entsorgung physischer Medien, indem Sie verschlossene Lager, nachverfolgbare Übertragungen und zertifizierte Vernichtung nutzen.

Der Lieferant wird die Vertraulichkeit, Integrität und Verfügbarkeit der Dienste und aller OpenAI-Daten durch Folgendes gewährleisten:

• Verfügbarkeitsmanagement
  • Überwachen, analysieren und bewerten Sie kontinuierlich die Systemleistung und -verfügbarkeit.
  • Erkennen und melden Sie Störungen rechtzeitig und stellen Sie die Dienste nach einer Unterbrechung umgehend wieder her.
  • Verfolgen, bestätigen und dokumentieren Sie die Verfügbarkeit der Dienste, Vorfälle und die Einhaltung vereinbarter Service-Level-Ziele.
  • Stellen Sie OpenAI auf Verlangen relevante Leistungsmesswerte zur Verfügung, die die Einhaltung der Service-Level belegen.
• Geschäftskontinuität und Notfallwiederherstellung (BC/DR)
  • Führen Sie dokumentierte BC/DR-Pläne, die den Umgang mit Notfällen oder anderen Ereignissen regeln, die zu einer Unterbrechung der Dienste oder einer Gefährdung der OpenAI-Daten führen könnten.
  • Sichern Sie kritische Systeme und Daten regelmäßig und in Übereinstimmung mit den BC/DR-Plänen.
  • Testen Sie die BC/DR-Pläne mindestens einmal jährlich und beheben Sie alle dabei festgestellten wesentlichen Lücken.
  • Holen Sie vor jeder Änderung, die den durch diese Pläne gewährten Schutz wesentlich einschränken würde, die vorherige schriftliche Zustimmung von OpenAI ein. Diese Zustimmung wird nicht ohne triftigen Grund verweigert.

• Unterhalten und betreiben Sie ein branchenübliches Risikomanagementprogramm für alle Unterauftragsverarbeiter, Subunternehmer und kritischen Unterlieferanten, die Zugriff auf OpenAI-Daten haben oder die Software bzw. Dienste unterstützen.
• Schließen Sie mit allen Dritten schriftliche Vereinbarungen ab, die mindestens ebenso strenge Sicherheitsvorkehrungen erfordern wie diese Sicherheitsmaßnahmen für Lieferanten.
• Unterziehen Sie alle Dritten vor dem Onboarding und danach in regelmäßigen Abständen dem formellen Sicherheitsbewertungsverfahren des Lieferanten und bewahren Sie die dazugehörige Dokumentation auf.
• Identifizieren Sie auf Verlangen von OpenAI jeden kritischen Unterlieferanten, sein Herkunftsland und alle wichtigen Abhängigkeiten, die für die Leistungserbringung des Lieferanten von Bedeutung sind.
• Stellen Sie Verfahren bereit, die ICT- und Produktlieferkettenrisiken bewerten, und benachrichtigen Sie OpenAI umgehend über sämtliche Störungen, Schwachstellen oder neu auftretenden Bedrohungen, die die Vertraulichkeit, Integrität oder Verfügbarkeit der Software, Dienste, Leistung des Lieferanten oder OpenAI-Daten gefährden könnten.

• Schützen Sie OpenAI-Daten während der Übertragung über öffentliche oder private Netzwerke mithilfe starker, branchenweit anerkannter kryptografischer Protokolle (TLS 1.2 oder höher, SSH 2, IPsec oder gleichwertige). Veraltete oder nicht sichere Protokolle (z. B. SSL v3, TLS 1.0/1.1) müssen deaktiviert werden. 
• Verschlüsseln Sie alle auf einem dauerhaften Speichermedium gespeicherten OpenAI-Daten – einschließlich Datenbanken, Objektspeichern, Dateisystemen, Endgeräten und Backups – unter Verwendung starker, branchenweit anerkannter Algorithmen (z. B. AES-256 oder gleichwertig) und kryptografischer Module, die gemäß FIPS 140-2/3, ISO/IEC 19790 oder vergleichbaren Standards validiert sind.
• Verwalten Sie Verschlüsselungsschlüssel mithilfe eines speziellen Schlüsselverwaltungssystems. Der Zugriff auf die Schlüssel muss auf autorisiertes Personal beschränkt sein und mindestens jährlich oder bei Verdacht auf eine Kompromittierung rotiert werden. Der Lieferant stellt sicher, dass Snapshots, Replikate und Offline-Backups durch dieselben Kontrollmaßnahmen geschützt sind.

Bei Ablauf oder Kündigung der Vereinbarung wird der Lieferant nach Wahl von OpenAI alle OpenAI-Daten löschen oder zurückgeben (mit Ausnahme von Sicherungs- oder Archivkopien, die gemäß dem Datenaufbewahrungsplan des Lieferanten zu löschen sind), es sei denn, der Lieferant ist nach geltendem Recht zur Aufbewahrung von Kopien verpflichtet. In diesem Fall wird der Lieferant diese OpenAI-Daten isolieren und vor jeder weiteren Verarbeitung schützen, außer in dem Umfang, der gemäß den geltenden Gesetzen erforderlich ist. Der Lieferant wird OpenAI die Möglichkeit geben, Datenaufbewahrungsfristen innerhalb des Produkts zu konfigurieren, sofern dies für die vom Lieferanten bereitgestellten Dienste zutrifft.

• Implementieren Sie Kontrollen, die die sichere Entsorgung von OpenAI-Daten gemäß geltendem Recht unter Berücksichtigung der verfügbaren Technologie gewährleisten, sodass OpenAI-Daten nicht gelesen oder rekonstruiert werden können. 
• Löschen Sie elektronische Medien vor der Entsorgung sicher mit den im NIST SP 800-88-Standard oder einem gleichwertigen Standard genannten Methoden durch Überschreibung oder Entmagnetisierung oder zerstören Sie sie vor der Entsorgung oder Neuzuweisung zu einem anderen System physisch.

• Bewerten Sie regelmäßig die Wirksamkeit der Sicherheitskontrollen – durch automatisierte Scans, manuelle Überprüfungen und Prüfungen der Richtlinienkonformität – anhand branchenüblicher Rahmenwerke und eigener Richtlinien. 
• Benachrichtigen Sie OpenAI im Voraus über alle wesentlichen Änderungen an Infrastruktur, Architektur, Abhängigkeiten von Dritten, Datenabläufen oder Sicherheitslage, die die Vertraulichkeit, Integrität oder Verfügbarkeit von OpenAI-Daten beeinträchtigen könnten.

Der Lieferant wird mindestens einmal jährlich:

• einen qualifizierten, unabhängigen Prüfer mit der Überprüfung seiner Sicherheitskontrollen anhand eines anerkannten Branchenstandards (z. B. SOC 2 Typ 2 oder ISO 27001-Überwachung/Neuzertifizierung) beauftragen;
• OpenAI auf Verlangen einen Überblick oder vollständige Berichte (je nach Bedarf) zur Verfügung stellen.

Wenn der Lieferant gehostete Dienste oder Online-Dienste bereitstellt, wird er:

• jährliche Penetrationstests durch Dritte veranlassen, die (i) die gehosteten Dienste oder Dienste, (ii) den gesamten, mit dem Internet verbundenen Perimeter; und (iii) das interne Unternehmensnetzwerk des Lieferanten abdecken;
• im Rahmen einer Geheimhaltungsvereinbarung Beweise dafür, dass die Tests durchgeführt wurden, sowie Zusammenfassungen der Ergebnisse vorlegen; 
• kritische und schwerwiegende Schwachstellen, die OpenAI-Daten betreffen, innerhalb von 60 Tagen nach der Entdeckung beheben oder OpenAI kompensierende Maßnahmen und Restrisiken umgehend melden.

• Während der Laufzeit der Vereinbarung und für ein Jahr danach ist OpenAI (oder der von OpenAI beauftragte Prüfer) berechtigt, nach angemessener Vorankündigung die entsprechenden Bücher, Aufzeichnungen und Einrichtungen zu überprüfen, um die Einhaltung dieser Sicherheitsmaßnahmen für Lieferanten zu bestätigen. Die Überprüfungen beschränken sich auf die für diesen Zweck angemessenerweise erforderlichen Informationen und werden unter Einhaltung der Vertraulichkeitsverpflichtungen durchgeführt. 
• Der Lieferant wird außerdem wirtschaftlich angemessene Anstrengungen unternehmen, um Sicherheitsfragebögen auszufüllen, die OpenAI von Zeit zu Zeit vorlegen kann.

Der Lieferant erkennt an, dass die endgültige Regelung zur Umsetzung der Executive Order 14117 des US-Justizministeriums den Zugriff auf große Mengen an betroffenen Daten (Covered Data) auf Länder, die Anlass zur Sorge geben (Country of Concern) oder betroffene Personen (Covered Person) (wie diese Begriffe und andere in diesem Absatz verwendete Begriffe in der endgültigen Regelung definiert sind) untersagt bzw. einschränkt.

• Wenn die vom Lieferanten bereitgestellten Dienste den Zugriff auf betroffene Daten (Covered Data) von OpenAI oder seinen verbundenen Unternehmen umfassen, sichert der Lieferant zu und stellt sicher, dass: (i) weder er noch eines seiner verbundenen Unternehmen in einem Land, das Anlass zur Sorge gibt (Country of Concern) organisiert oder gegründet wurde oder wird, seinen Hauptgeschäftssitz in einem solchen Land hat oder haben wird oder zu 50 % oder mehr, direkt oder indirekt, einzeln oder insgesamt, im Besitz eines oder mehrerer solcher Länder oder betroffener Personen (Covered Persons) ist oder sein wird; und (ii) weder der Lieferant noch eines seiner verbundenen Unternehmen oder ein Mitarbeiter oder Auftragnehmer des Lieferanten, der Zugriff auf diese betroffenen Daten (Covered Data) hat, sich in einem Land, das Anlass zur Sorge gibt (Country of Concern), befindet oder befinden wird, das vom US-Generalstaatsanwalt als betroffene Person (Covered Person) eingestuft wurde oder anderweitig als eine solche Person gilt oder gelten wird. Falls sich (a) oder (b) ändert, benachrichtigt der Lieferant OpenAI unverzüglich.
• Der Lieferant und seine verbundenen Unternehmen werden keine Transaktionen mit betroffenen Daten (Covered Data) mit einem Land, das Anlass zur Sorge gibt (Country of Concern), oder einer betroffenen Person (Covered Person) durchführen, bei denen betroffene Daten (Covered Data) von OpenAI involviert sind. Wenn der Lieferant eine eingeschränkte Transaktion im Zusammenhang mit betroffenen Daten (Covered Data) von OpenAI durchführt, stellt er OpenAI alle erforderlichen Informationen zur Verfügung, damit OpenAI die Anforderungen der endgültigen Regelung erfüllen kann.

• Betroffene Daten (Covered Data) bezeichnet große Mengen an vertraulichen US-Daten oder Daten im Zusammenhang mit der US-Regierung, wie in der endgültigen Regelung zur Umsetzung der Executive Order 14117 des US-Justizministeriums näher definiert.
• Datenschutzgesetze bezeichnet alle Datenschutzgesetze, die für die Leistungserbringung des Lieferanten im Rahmen der Vereinbarung gelten.
• Gehosteter Dienst bezeichnet Software-as-a-Service, Platform-as-a-Service oder ähnliche gehostete oder Online-Dienste, die der Lieferant OpenAI zur Verfügung stellt.
• Informationssicherheitsprogramm bezeichnet ein strukturiertes Rahmenwerk aus Richtlinien, Verfahren und Kontrollmaßnahmen, das administrative, technische und physische Kontrollmaßnahmen umfasst, die auf Branchenstandards abgestimmt sind und darauf ausgelegt sind, die Vertraulichkeit, Integrität und Verfügbarkeit von OpenAI-Daten zu gewährleisten.
• OpenAI-Daten bezeichnet Informationen, die der Lieferant im Zusammenhang mit der Erbringung seiner Leistungen für OpenAI von OpenAI oder im Auftrag von OpenAI erhalten oder erhoben hat. OpenAI-Daten umfassen unter anderem personenbezogene Daten. 
• Personenbezogene Daten hat die Bedeutung, die dem Begriff „personenbezogene Daten“ oder „personenbezogene Informationen“ gemäß den geltenden Datenschutzgesetzen zugewiesen wird.
• Verarbeitung bezeichnet jeden mit oder ohne automatisierte Verfahren durchgeführten Vorgang im Zusammenhang mit Daten, einschließlich der Erhebung, Aufzeichnung, Organisation, Speicherung, Verwendung, Offenlegung oder Vernichtung.
• Sicherheitsvorfall bezeichnet jedes tatsächliche oder vermutete Ereignis, das den unbefugten Zugriff, die unbefugte Nutzung, Offenlegung, Änderung oder Vernichtung von OpenAI-Daten oder eine Beeinträchtigung ihrer Verfügbarkeit oder Integrität innerhalb der Systeme des Lieferanten oder Unterauftragsverarbeiters beinhaltet.
• Verhaltenskodex für Lieferanten bezeichnet den Verhaltenskodex für Lieferanten von OpenAI unter: https://openai.com/policies/supplier-code/.⁠
• Personal des Lieferanten bezeichnet sämtliches Personal, das im Rahmen seiner Zusammenarbeit mit OpenAI irgendeinen Aspekt der Leistung des Lieferanten erbringt, und umfasst Mitarbeiter, Auftragnehmer, Leiharbeiter und Unterauftragnehmer.
• Systeme bezeichnet Informationssysteme, die vom Lieferanten oder seinen Unterauftragsverarbeitern zur Verarbeitung, Übertragung oder Speicherung von OpenAI-Daten verwendet werden. Dies umfasst die integrierte Hardware, Software, das Personal und die Verfahren, die diese Funktionen unterstützen.