אמצעי האבטחה של הספק

אמצעי אבטחה אלה חלים על הספק בעת שהספק מספק טובין, שירותים או תוכנה ל-OpenAI, והם נכללים בהסכם החל בין הספק לבין OpenAI ("ההסכם"). המונחים שבהם נעשה שימוש במסמך זה ואינם מוגדרים בו מוגדרים בהסכם.

הספק יתחזק ויפעיל תוכנית אבטחת מידע, שתיבחן לפחות פעם בשנה, או מוקדם יותר אם אירוע אבטחה או שינוי מהותי בדין החל יחייבו זאת. הפיקוח על תוכנית אבטחת המידע יוטל על אנשי צוות בכירים בעלי הכשרה מתאימה. 

לשם עמידה בהתחייבויות הספק בתחום אבטחת המידע והפרטיות לפי ההסכם, תוכנית אבטחת המידע של הספק תכלול את האמור להלן:

• יש לקיים מדיניות אבטחת מידע ומדיניות פרטיות בכתב, בהתאם לתוכנית אבטחת המידע ולכל דיני הגנת המידע החלים. 

• יש להביא לידיעת כל אנשי הצוות הרלוונטיים את המדיניות האלה ואת קוד ההתנהגות של הספק, ולדרוש אישור רשמי על קבלתם.

• יש לפקח על הציות ולתקן אי-ציות באמצעות תהליכים מתועדים; הפרות מדיניות יטופלו באמצעות נקיטת צעדים משמעתיים מתאימים.

• יש לקיים ולהפעיל תוכנית לניהול סיכונים הכוללת הערכות סיכונים סדירות ובקרות לזיהוי סיכונים, לניתוחם, לניטורם, לדיווח עליהם ולנקיטת פעולות מתקנות.

• יש לערוך הערכות סיכונים לפחות אחת לשנה (באופן פנימי או באמצעות גורמים עצמאיים שנשכרו במסגרת התקשרות חוזית), כדי לזהות סיכונים לנתוני OpenAI, סיכונים לנכסים העסקיים של הספק (למשל, תשתית טכנית), איומים על אותם רכיבים (פנימיים וחיצוניים כאחד), את ההסתברות להתממשות איומים אלה ואת השפעתם על הארגון.

• יש למיין את סיכוני האבטחה לנתוני OpenAI ולתעדף את תיקונם.

• יש לקיים וליישם נהלים המקובלים בתעשייה לבדיקת רקע, להכשרה ולניהול כוח האדם.

• יש לערוך, ככל שהדבר מותר על פי דין בתחום השיפוט של כל עובד, בדיקות רקע לפני העסקה לכל אנשי הצוות שיקבלו גישה לנתוני OpenAI או יתמכו בביצועי הספק.

• על הספק לספק לכוח האדם שלו הדרכה שנתית בנושא אבטחה ופרטיות, וכן הדרכת אבטחה משלימה לפי הצורך.

• יש לדרוש מאנשי הספק לחתום על הסכם סודיות, או לוודא שהם כפופים להתחייבויות סודיות התואמות להתחייבויות שהספק עצמו כפוף להן בקשר לביצוע התחייבויותיו עבור OpenAI, כתנאי להעסקתם או להתקשרות עמם, וכן לוודא שהם פועלים בהתאם למדיניות להגנה על נתוני לקוחות ועל נתונים אחרים של צדדים שלישיים.

• יש לאמת את זהות עובדיו ואת זהות העובדים המועסקים מטעמו על בסיס זמני.

• אין להעסיק או לגייס כוח אדם של הספק הנמצא במדינה או בטריטוריה כלשהי: (א) שהמשרד לפיקוח על נכסים זרים של ארה"ב (OFAC) הגדיר ככפופה לסנקציות מקיפות; (ב) שכפופה לאזהרת מסע ברמה 4/ Do Not Travel מטעם משרד החוץ של ארה"ב; או (ג) באזורים שבהם מתנהל סכסוך מזוין פעיל.

• יש לאפשר ל-OpenAI לבצע בדיקות אבטחה נקודתיות לאנשי הספק ולמסור ללא דיחוי כל מידע ש-OpenAI תבקש באופן סביר לצורך תמיכה בבדיקות אלה.

• OpenAI רשאית לערוך בדיקות אבטחה נוספות לאנשי הצוות של הספק העובדים מרחוק, ובלבד שאין בכך כדי להגביל או לפטור את הספק מחובתו לבצע בדיקות רקע ואימותי זהות משלו לפי אמצעי אבטחה אלה או לפי ההסכם.

הספק יאבטח את כל המחשבים הניידים הארגוניים, המכשירים הניידים, השרתים המקומיים וכל חומרה אחרת המעבדת נתוני OpenAI, באמצעות:

• ניהול מרכזי של כל endpoint וכל שרת – לרבות תשתיות מקומיות – באמצעות פלטפורמה מאושרת לניהול endpoints.

• אכיפה אוטומטית של תצורות בסיס מאובטחות ושל החלת תיקונים במועד במערכות הפעלה, ביישומים ובקושחה בתחנות עבודה וגם בשרתים.

• דרישה להצפנה במנוחה: הצפנת דיסק מלאה במחשבים ניידים ובתחנות עבודה, והצפנה ברמת נפח האחסון או ברמת האחסון בשרתים ובהתקני אחסון.

• השבתה או פיקוח קפדני על מדיה ניידת ונשלפת בכל הנכסים.

• יש לקיים וליישם שיטות עבודה מקובלות בתעשייה לבקרת זהויות, אימות וניהול גישה.

• יש לתעד מדיניות ונהלים המסדירים את ניהול הגישה עבור אנשי צוות הספק וחשבונות שירות.

• יש להחזיק ברשימה מדויקת ועדכנית של כל אנשי צוות הספק בעלי גישה למערכות. 

• יש להשבית או לבטל פרטי אימות בתוך יום עסקים אחד ממועד ההעברה או סיום ההעסקה.

• יש להשתמש בהתחברות יחידה (SSO) בכל הכניסות האינטראקטיביות למערכות פנימיות ולשירותים של צדדים שלישיים התומכים באספקת השירותים.

• יש לאכוף אימות רב-גורמי על ידי ספק הזהות כחלק מתהליך ההתחברות ל-SSO. 

• יש ליישם בקרת גישה מבוססת תפקידים (RBAC), בהתאם לעקרונות ההרשאות המזעריות והפרדת התפקידים.

• יש להשתמש בחשבונות בעלי הרשאות מיוחדות ("root"/"מנהל מערכת") רק כאשר הדבר נדרש מבחינה טכנית ובהתאם להליכי בקרת שינויים מאושרים; אין לאפשר למשתמשים ללא הרשאות מיוחדות לבצע פעולות הדורשות הרשאות מיוחדות.

• יש לדרוש בדיקה ואישור רשמיים של כל בקשת גישה למערכות המאחסנות נתוני OpenAI, וכן לערוך ביקורות גישה תקופתיות (לפחות אחת לרבעון) כדי לוודא שההרשאות הולמות.

• יש לקבוע נהלים לדיווח על פרטי אימות שנחשפו ולביטולם (למשל, סיסמאות ומפתחות API), וכן לאימות זהות המשתמשים לפני אישור איפוס או הנפקת פרטי גישה זמניים.

• עבור משתמשי הקצה של OpenAI, הסתמכות על שירות של צד שלישי לניהול זהויות וגישה; הספק אינו מאחסן סיסמאות שסופקו על ידי המשתמשים.

• על הספק לתחזק ולהפעיל תוכנית תגובה לאירועי אבטחה, לצורך תגובה לאירועים הפוגעים בסודיות, בזמינות או בשלמות של ביצועי הספק או של נתוני OpenAI, ולפתרונם.

• עם היוודע על אירוע אבטחה בפועל או על חשד לקיומו של אירוע אבטחה, יש למסור הודעה בכתב ל-OpenAI בכתובת security@openai.com ללא דיחוי בלתי מוצדק, ובכל מקרה בתוך 48 שעות ממועד היוודע אירוע האבטחה. ככל שניתן, הודעה כאמור תכלול את כל הפרטים הזמינים הנדרשים לפי דיני הגנת המידע, כדי ש-OpenAI תוכל לעמוד בחובות ההודעה שלה לרשויות הפיקוח או לאנשים שנפגעו מאירוע האבטחה.

• לנקוט אמצעים סבירים לצמצום הסיכונים לאירועי אבטחה נוספים. אם אירוע האבטחה נובע מהפרת אמצעי אבטחה אלה לספקים על ידי הספק, הספק ישפה את OpenAI (בכפוף למגבלות האחריות הכלולות בהסכם) בגין עלויות והוצאות בפועל שהוציא מכיסו לצורך תיקון, ושנגרמו כתוצאה מפעולות שנדרש לנקוט לפי חוקי הגנת הנתונים או שהצדדים הסכימו עליהן בנוגע לאירוע אבטחה, לרבות, לפי העניין: (i) הכנה ושליחה של הודעות הנדרשות על פי דין לאנשים שנפגעו; (ii) תמיכה במוקד טלפוני למענה לפניות; וכן (iii) שירותי ניטור אשראי לאנשים שנפגעו, הנדרשים על פי דין. ל-OpenAI יהיה שיקול דעת בלעדי לקבוע את העיתוי, התוכן ואופן מסירתן של הודעות כלשהן הנמסרות לפי סעיף זה.

• יש ליצור ולשמור רשומות ביקורת עבור כל המערכות, הרשתות והתשתיות התומכות המשמשות לאספקת השירותים, כדי לאפשר ניטור, ניתוח, חקירה ודיווח על פעילות בלתי חוקית או בלתי מורשית.

• יש לתעד את כל הפעולות בעלות ההרשאות המיוחדות באופן המקשר כל אירוע לאדם הנקוב בשמו.

• יש לתעד ולנטר באופן שוטף פעילות בעלת הרשאות מיוחדות ב-endpoints, בשרתים ובתשתית התומכת, כדי לזהות שינויים לא מורשים או הפרות מדיניות.

• יש לנטר באופן רציף את האבטחה והזמינות – לרבות תעבורת רשת ויומני שירות – ולפעול בהקדם בעקבות כל התראה. 

• יש לבדוק ולנתח יומני אבטחה ותפעול באופן קבוע כדי לזהות פעילות חשודה, הפרות מדיניות או אירועים שעלולים להשפיע על הסודיות, השלמות או הזמינות של נתוני OpenAI.

• יש לספק ל-OpenAI יומני ביקורת לפי בקשה.

• יש לקיים ולהפעיל תהליך מתועד של פיתוח מאובטח/אבטחה כבר משלב התכנון, המכסה את התכנון, כתיבת הקוד, הבדיקות, הפריסה והתחזוקה של התוכנות או השירותים המסופקים ל-OpenAI.

• מחזור חיי פיתוח התוכנה (SDLC) חייב לכלול מידול איומים, סקירת קוד, סריקה אוטומטית של חולשות בתלויות ובדיקות אבטחה (סריקה סטטית, סריקה דינמית וסריקת מכלים או תשתית כקוד) לפני העברת הקוד לסביבת הייצור. 

• תוצאות הפעילויות האלה, יחד עם ראיות לתיקון ממצאים בסיכון גבוה, יישמרו למשך 12 חודשים לפחות ויועמדו לרשות OpenAI לפי בקשה.

• הפרדת סביבות – שמירה על הפרדה בין סביבות ייצור לסביבות שאינן סביבות ייצור, והקפדה על כך שנתוני OpenAI נמצאים רק בסביבות ייצור.

• יש להפריד באופן לוגי את נתוני OpenAI מכל נתוני הלקוחות האחרים, ולאכוף גבולות נפרדים ברמת המשתמש בתוך כל ארגון לקוחות של OpenAI.

• יש לוודא שמשאבי ה-backend העיקריים נפרסים מאחורי בקרות של רשת פרטית (VPN, private link או ארכיטקטורת zero-trust מקבילה).

• מדיניות אבטחת הרשת ותצורת חומות האש מוגדרות בהתאם לעקרון ההרשאות המזעריות, על בסיס מערך זרימות תעבורה מותרות שנקבע מראש. 

• זרימות תעבורה שאינן מורשות נחסמות.

• על הספק לקיים ולהפעיל תוכנית לניהול חולשות העומדת בסטנדרט המקובל בתעשייה, שנועדה להבטיח תיקון מהיר של חולשות המשפיעות על השירותים שהספק מספק.

• יש לקיים ולהפעיל תוכנית לניהול חולשות, הכוללת סריקה שוטפת לאיתור חולשות, הרשמה לשירות לקבלת התראות על חולשות, תעדוף פעולות התיקון על בסיס הסיכון וקביעת לוחות זמנים לתיקון בהתאם לדירוג הסיכון.

• לאחר פרסום תיקון, ולאחר שהחולשה הקשורה אליו נבחנה והוערכה מבחינת תחולתה וחשיבותה, התיקון מיושם ומאומת בתוך פרק זמן ההולם את הסיכון הנשקף למערכות.

• יש לפרוס פתרון לניהול יומנים ולשמור יומנים שנוצרו על ידי מערכות לזיהוי חדירות למשך שנה לפחות.

• יש לשמור על אבטחה פיזית בכל מיקום שבו נתוני OpenAI עשויים להיות מאוחסנים או שניתן לגשת אליהם.

• יש לנהל את הגישה למשרדים ולמרכזי נתונים באמצעות תג, אמצעי זיהוי ביומטרי או אמצעי אימות שווה ערך.

• יש לרשום את כל המבקרים ולדאוג לליווי שלהם.

• יש להפעיל מערכות מעקב וידאו 24 × 7 ומערכות לזיהוי חדירה פיזית.

• יש לטפל במדיה פיזית ולסלקה באופן מאובטח, באמצעות אחסון נעול, העברות מתועדות והשמדה מוסמכת.

הספק יגן על הסודיות, השלמות והזמינות של השירותים ושל כל נתוני OpenAI באמצעות:

• ניהול זמינות

  • לנטר, לנתח ולהעריך באופן שוטף את ביצועי המערכת ואת זמינותה.

  • יש לזהות תקלות ולדווח עליהן במועד, ולהשיב את השירותים לפעילות בהקדם לאחר הפסקה.

  • יש לעקוב אחר זמינות השירות, אירועים ועמידה ביעדי רמת השירות המוסכמים, לאשר אותם בהצהרה עצמית ולתעדם.

  • לפי בקשת OpenAI, יש לספק לה מדדי ביצועים רלוונטיים המעידים על עמידה ברמות השירות.

• רציפות עסקית והתאוששות מאסון (BC/DR)

  • יש לקיים תוכניות מתועדות להמשכיות עסקית ולהתאוששות מאסון (BC/DR), המתייחסות למצבי חירום או לאירועים אחרים שעלולים לשבש את השירותים או לפגוע באבטחת נתוני OpenAI.

  • יש לגבות מערכות ונתונים קריטיים באופן סדיר, בהתאם לתוכניות ההמשכיות העסקית וההתאוששות מאסון (BC/DR).

  • יש לבדוק את תוכניות הרציפות העסקית וההתאוששות מאסון לפחות פעם בשנה ולתקן כל פער מהותי שזוהה במהלך הבדיקות.

  • יש לקבל את הסכמתה מראש ובכתב של OpenAI לפני ביצוע כל שינוי שיפחית באופן מהותי את ההגנה שמספקות תוכניות אלה, והסכמה זו לא תימנע באופן בלתי סביר.

• יש לקיים ולהפעיל תוכנית לניהול סיכונים בהתאם לסטנדרטים המקובלים בתעשייה עבור כל מעבדי המשנה, קבלני המשנה וספקי המשנה הקריטיים שיש להם גישה לנתוני OpenAI או התומכים בתוכנות או בשירותים

• יש להתקשר בהסכמים בכתב עם כל צד שלישי, המחייבים אותו לנקוט אמצעי הגנה ברמת אבטחה שאינה פחותה מזו שנקבעה באמצעי אבטחה אלה לספקים.

• יש להכפיף את כל הצדדים השלישיים לתהליך הערכת האבטחה הרשמי של הספק לפני צירופם ובהמשך במרווחי זמן קבועים, תוך שמירת התיעוד המתקבל.

• לפי בקשת OpenAI, יש לציין כל ספק משנה קריטי, את מדינת המקור שלו ואת כל תלות מרכזית הרלוונטית לביצועי הספק.

• יש לקיים תהליכים להערכת סיכונים בשרשרת האספקה של טכנולוגיות מידע ותקשורת (ICT) ושל מוצרים, ולהודיע ל-OpenAI בהקדם על כל שיבוש, חולשה או איום מתפתח שעלולים לסכן את הסודיות, השלמות או הזמינות של התוכנה, השירותים, ביצועי הספק או נתוני OpenAI.

• יש להגן על נתוני OpenAI במהלך העברתם בכל רשת ציבורית או פרטית באמצעות פרוטוקולים קריפטוגרפיים חזקים ומוכרים בתעשייה (TLS 1.2 ומעלה, SSH 2, IPsec או שווה ערך). פרוטוקולים מדור קודם או לא מאובטחים (למשל, SSL v3, TLS 1.0/1.1) יש להשביתם. 

• יש להצפין את כל נתוני OpenAI המאוחסנים בכל אמצעי אחסון קבוע – לרבות מסדי נתונים, מאגרי אובייקטים, מערכות קבצים, מכשירי endpoint וגיבויים – באמצעות אלגוריתמים חזקים ומוכרים בתעשייה (למשל, AES-256 או שווה ערך) ומודולים קריפטוגרפיים שעברו אימות לפי FIPS 140-2/3, ISO/IEC 19790 או תקנים מקבילים. 

• יש לנהל מפתחות הצפנה באמצעות מערכת ייעודית לניהול מפתחות; יש להגביל את הגישה למפתחות לאנשי צוות מורשים ולהחליף את המפתחות לפחות פעם בשנה או במקרה של חשד לפגיעה בהם. על הספק להבטיח שתמונות מצב, העתקים וגיבויים לא מקוונים יהיו מוגנים באמצעות אותן בקרות.

עם פקיעת תוקפו של ההסכם או סיומו, הספק ימחק או ישיב, לפי בחירת OpenAI, את כל נתוני OpenAI (למעט עותקי גיבוי או עותקים ארכיוניים, שיימחקו בהתאם למדיניות שמירת הנתונים של הספק), למעט במקרים שבהם הספק נדרש לשמור עותקים לפי הדין החל; במקרה כזה, הספק יבודד ויגן על נתוני OpenAI מפני כל עיבוד נוסף, למעט ככל שהדין החל מחייב. הספק יאפשר ל-OpenAI להגדיר במוצר תקופות לשמירת נתונים, ככל שהדבר רלוונטי לשירותים שהספק מספק.

• מיישם אמצעי בקרה שנועדו להבטיח סילוק מאובטח של נתוני OpenAI בהתאם לדין החל, בהתחשב בטכנולוגיה הזמינה, כך שלא ניתן יהיה לקרוא או לשחזר את נתוני OpenAI. 

• יש למחוק באופן מאובטח מדיה אלקטרונית לפני סילוקה, בהתאם לשיטות המתוארות בתקן NIST SP 800-88 או בשיטה מקבילה, באמצעות כתיבה מחדש או דה-מגנטיזציה, או להשמידה פיזית לפני סילוקה או הקצאתה מחדש למערכת אחרת.

• יש להעריך באופן קבוע את יעילות בקרות האבטחה שלה – באמצעות סריקות אוטומטיות, בדיקות ידניות ובדיקות ציות למדיניות – בהתאם למסגרות העבודה המקובלות בתעשייה ולמדיניות שלה עצמה. 

• יש להודיע ל-OpenAI מראש על כל שינוי מהותי בתשתית, בארכיטקטורה, בתלויות של צדדים שלישיים, בזרימות הנתונים או במצב האבטחה, אשר עלול באופן סביר להשפיע על הסודיות, השלמות או הזמינות של נתוני OpenAI.

הספק יבצע את הפעולות הבאות לפחות פעם בשנה:

• יש לשכור מבקר עצמאי ומוסמך לבחינת בקרות האבטחה בהתאם לתקן תעשייתי מוכר (למשל, SOC 2 Type 2 או ביקורת מעקב / הסמכה מחדש לפי ISO 27001).  

• יש למסור ל-OpenAI סיכום או דוחות מלאים (לפי העניין) לפי בקשה.

אם הספק מספק שירותים מתארחים או שירותים מקוונים, הספק:

• יש לתאם בדיקות חדירה שנתיות שיבוצעו על ידי צדדים שלישיים ויכסו את: (i) השירותים המתארחים או השירותים; (ii) כל המעטפת החשופה לאינטרנט; ו-(iii) הרשת הארגונית הפנימית של הספק.

• יש לשתף ראיות לכך שהבדיקות נערכו, וכן תקצירים מנהלים של הממצאים, במסגרת NDA. 

• יש לתקן בתוך 60 ימים ממועד גילוין חולשות קריטיות וחולשות ברמת חומרה גבוהה המשפיעות על נתוני OpenAI, או להודיע ל-OpenAI בהקדם על אמצעי הבקרה המפצים ועל הסיכון השיורי.

• במהלך תקופת ההסכם ובמשך שנה אחת לאחר מכן, OpenAI (או מבקר שמינתה) רשאית, לאחר מתן הודעה סבירה מראש, לעיין בספרים, ברשומות ובמתקנים הרלוונטיים כדי לוודא עמידה באמצעי אבטחה אלה לספקים. הביקורות יוגבלו למידע הנחוץ באופן סביר למטרה זו וייערכו בכפוף לחובות סודיות. 

• הספק יעשה גם מאמצים סבירים מבחינה מסחרית להשלים שאלוני אבטחה ש-OpenAI עשויה להגיש מעת לעת.

הספק מאשר כי הכלל הסופי ליישום הצו הנשיאותי 14117, שפורסם על ידי משרד המשפטים של ארה״ב, אוסר או מגביל מתן גישה לנתונים מכוסים בהיקף נרחב למדינות המעוררות חשש או לאנשים מכוסים (כהגדרתם של מונחים אלה ושל מונחים אחרים המופיעים באותיות גדולות בפסקה זו בכלל הסופי).

• אם השירותים שהספק מספק כרוכים בגישה לנתונים מכוסים של OpenAI או של החברות הקשורות אליה, הספק מצהיר ומתחייב כי: (i) הספק והחברות הקשורות אליו אינם מאוגדים או רשומים ולא יהיו מאוגדים או רשומים במדינה המעוררת דאגה, מקום עסקיהם העיקרי אינו ולא יהיה במדינה המעוררת דאגה, והם אינם ולא יהיו בבעלות בשיעור של 50% או יותר, במישרין או בעקיפין, בנפרד או במצטבר, של מדינה אחת או יותר המעוררת דאגה או של אדם מכוסה אחד או יותר; וכן (ii) הספק, החברות הקשורות אליו וכל עובד או קבלן של הספק שיש לו גישה לנתונים המכוסים כאמור אינם נמצאים ולא יימצאו במדינה המעוררת דאגה, לא נקבע על ידי התובע הכללי של ארה״ב כי הם אנשים מכוסים, והם אינם עונים ולא יענו בדרך אחרת להגדרה של אדם מכוסה. אם יחול שינוי ב-(א) או ב-(ב), הספק יודיע על כך ל-OpenAI באופן מיידי.

• הספק והחברות הקשורות אליו לא יבצעו כל עסקת נתונים מכוסה הכוללת נתונים מכוסים של OpenAI עם מדינה המעוררת חשש או אדם מכוסה. אם הספק יתקשר בעסקה מוגבלת הקשורה לנתונים המכוסים של OpenAI, הספק יספק ל-OpenAI כל מידע הנחוץ ל-OpenAI כדי לעמוד בדרישות הכלל הסופי.

• נתונים מכוסים פירושם כמויות גדולות של נתונים רגישים של ארה״ב או נתונים הקשורים לממשלת ארה״ב, כפי שייתכן שיוגדרו ביתר פירוט בכלל הסופי המיישם את צו נשיאותי 14117, שהוצא על ידי משרד המשפטים של ארה״ב.

• דיני הגנת המידע פירושם כל דיני הגנת המידע החלים על פעולות הספק במסגרת ביצוע ההסכם.

• שירות מתארח פירושו תוכנה כשירות, פלטפורמה כשירות או כל שירות דומה המתארח או מקוון שהספק מספק ל-OpenAI.

• תוכנית אבטחת מידע פירושה מסגרת מובנית של מדיניות, נהלים ובקרות, הכוללת בקרות מנהליות, טכניות ופיזיות התואמות לסטנדרטים בתעשייה, אשר כולן נועדו להגן על הסודיות, השלמות והזמינות של נתוני OpenAI.

• נתוני OpenAI פירושם מידע שהספק קיבל או אסף מ-OpenAI או מטעמה בקשר לפעילותו של הספק עבור OpenAI. נתוני OpenAI כוללים, בין היתר אך לא רק, נתונים אישיים. 

• למונח נתונים אישיים יש המשמעות המוקנית למונח "נתונים אישיים" או "מידע אישי" לפי דיני הגנת המידע החלים.

• עיבוד פירושו כל פעולה המבוצעת בנתונים, בין באמצעים אוטומטיים ובין שלא באמצעים אוטומטיים, לרבות איסוף, רישום, ארגון, אחסון, שימוש, גילוי או השמדה.

• אירוע אבטחה פירושו כל אירוע שהתרחש בפועל או שקיים חשד שהתרחש, הכולל גישה, שימוש, גילוי, שינוי או השמדה בלתי מורשים של נתוני OpenAI, או שיבוש בזמינותם או בשלמותם, במערכות הספק או מעבד המשנה.

• קוד ההתנהגות של הספקים פירושו קוד ההתנהגות של ספקי OpenAI בכתובת: https://openai.com/policies/supplier-code/.⁠

• כוח האדם של הספק פירושו כלל אנשי כוח האדם המבצעים היבט כלשהו מביצועי הספק במסגרת התקשרותו עם OpenAI, לרבות עובדים, קבלנים, עובדים זמניים וקבלני משנה.

• מערכות פירושן מערכות מידע המשמשות את הספק או את מעבדי המשנה שלו לעיבוד, להעברה או לאחסון של נתוני OpenAI. הדבר כולל את החומרה, התוכנה, אנשי הצוות והנהלים המשולבים התומכים בפונקציות אלה.