Dodatek o obdelavi podatkov OpenAI

Začetek veljavnosti:: 1. januar 2026

(Oglejte si prejšnji dodatek o obdelavi podatkov)

Ta Dodatek o obdelavi podatkov (»DOP«) od OpenAI dopolnjuje in je sestavni del pogodbe o storitvah OpenAI (»pogodba«), ki ureja uporabo storitev in je sklenjen z dnem začetka veljavnosti med zgoraj navedeno stranko (»stranka«) in OpenAI OpCo, LLC, v svojem imenu in v imenu svojih povezanih družb, kot je primerno, razen če ima stranka sedež v državi Evropskega gospodarskega prostora ali Švici, v tem primeru je sklenjen s podjetjem OpenAI Ireland Ltd., v svojem imenu in v imenu svojih povezanih družb, kot je primerno (»OpenAI«). Izrazi, zapisani z veliko začetnico, ki niso opredeljeni v DOP, imajo pomen, določen v pogodbi. V tem DOP se OpenAI in stranka vsaka posebej imenujeta »pogodbenik« in skupaj »pogodbenika«. Stranka izjavlja, da je zakonito sposobna skleniti to pogodbo in, če sklepa pogodbo v imenu pravne osebe, da ima pravno pooblastilo zavezati to pravno osebo. S klikom na »Strinjam se«, s sprejemom naročilnice ali z uporabo storitev stranka soglaša s to pogodbo.

• 1.1 Obseg in vloge OpenAI lahko pri zagotavljanju storitev stranki na podlagi pogodbe obdeluje podatke stranke v njenem imenu. OpenAI deluje kot obdelovalec podatkov v imenu stranke in ta DOP ureja takšno obdelavo.
• 1.2 Podrobnosti obdelave OpenAI bo podatke stranke obdeloval samo za namen zagotavljanja storitev stranki na podlagi pogodbe in tega DOP. Podrobnosti o naravi in trajanju obdelave ter o vrstah podatkov stranke in kategorijah posameznikov, na katere se podatki nanašajo osebni podatki, so določene v Prilogi 1 (Podrobnosti obdelave) k temu DOP. OpenAI in stranka se zavezujeta, da bosta pri zagotavljanju storitev izpolnjevala svoje obveznosti v skladu z zakonodajo na področju varstva podatkov.

• 2.1 Navodila stranke Pogodbenika soglašata, da ta DOP, pogodba (vključno z naročilnico) ter vsa navodila, posredovana prek konfiguracijskih orodij in drugih orodij, ki jih OpenAI omogoča v storitvah, skupaj pomenijo dokumentirana navodila stranke glede obdelave podatkov stranke s strani OpenAI (»Navodila stranke«). OpenAI bo podatke stranke obdeloval samo v skladu z navodili stranke, razen če je obdelava zahtevana po veljavnem pravu, ki velja za OpenAI. V takem primeru bo OpenAI o tej zahtevi pred začetkom obdelave obvestil stranko, razen kadar takšno obvestilo ni dovoljeno.
• 2.2 Obvestila za stranko OpenAI bo stranko nemudoma pisno obvestil, če meni, da katero od navodil stranke krši zakonodajo na področju varstva podatkov. OpenAI bo, kolikor je pravno dovoljeno, obvestil stranko, če prejme pravno zavezujočo zahtevo organov pregona za razkritje podatkov stranke.
• 2.3 Zaupnost OpenAI bo zagotovil, da so vse osebe, ki po pooblastilu OpenAI dostopajo do podatkov stranke in jih obdelujejo, zavezane k zaupnosti ali podvržene ustrezni zakonski obveznosti zaupnosti.
• 2.4 Zahtevki posameznika, na katerega se nanašajo osebni podatki OpenAI bo, kolikor je pravno dovoljeno, obvestil stranko, če prejme zahtevo posameznika za uveljavljanje pravic na podlagi zakonodaje na področju varstva podatkov (»zahtevek posameznika«), ki se nanaša na podatke posameznika, na katerega se nanašajo osebni podatki.  OpenAI na tak zahtevek ne bo odgovoril brez predhodnega pisnega soglasja stranke, razen kadar stranka OpenAI pooblašča, da takšne zahtevke posameznikov, na katerega se nanašajo osebni podatki, preusmeri, če je to potrebno, da lahko stranka odgovori neposredno. Ob upoštevanju narave obdelave bo OpenAI stranki pomagal z izvajanjem ustreznih tehničnih in organizacijskih ukrepov, kolikor je to mogoče, da stranki omogoči odziv na zahtevke posameznikov, na katere se nanašajo osebni podatki.
• 2.5 Varnost OpenAI bo izvajal in vzdrževal razumne in ustrezne organizacijske in tehnične varnostne ukrepe za zaščito podatkov stranke, kot je določeno v pogodbi.
• 2.6 Pomoč stranki OpenAI bo ob upoštevanju narave obdelave in informacij, ki so mu na voljo, stranki zagotovil razumno pomoč pri izpolnjevanju njenih obveznosti v skladu z zakonodajo na področju varstva podatkov, vključno, kadar je ustrezno, s pripravo ocen učinka na varstvo podatkov v zvezi z obdelavo podatkov stranke, ki jo izvaja OpenAI, ter po potrebi s podporo stranki pri posvetovanju z nadzornim organom, pristojnim za takšno obdelavo, kadar to zahteva zakonodaja na področju varstva podatkov.
• 2.7 Kršitve varstva osebnih podatkov OpenAI bo brez nepotrebnega odlašanja obvestil stranko, ko se bo seznanil s kršitvijo varstva osebnih podatkov. OpenAI bo stranki zagotovil razumno pomoč pri izpolnjevanju njenih obveznosti v skladu z zakonodajo na področju varstva podatkov v zvezi s takšno kršitvijo.
• 2.8 Presoja skladnosti OpenAI bo na razumno pisno zahtevo stranke in v obsegu, ki ga zahteva zakonodaja na področju varstva podatkov:(i) največ enkrat na leto stranki posredoval svoje politike zasebnosti in varnosti ter druge informacije, potrebne za dokazovanje skladnosti OpenAI z obveznostmi iz tega DOP, in(ii) pod pogojem, da imata pogodbenika sklenjen ustrezen dogovor o zaupnosti, omogočil ter sodeloval pri revizijah ali inšpekcijskih pregledih, ki jih stranka ali njen pooblaščenec izvede na stroške stranke.  Revizija ali inšpekcijski pregled morata biti izvedena tako, da A(A) čim manj motita poslovanje OpenAI, (B) nujna za potrditev skladne obdelave podatkov stranke v skladu s tem DOP, ter (C) se lahko izvedeta največ enkrat na leto. Kadar zakonodaja to dovoljuje, lahko OpenAI stranki namesto tega omogoči vpogled v povzetek revizijskih poročil, ki so pomembna za skladnost OpenAI s tem DOP. Vsi takšni rezultati in dokumentacija, vključno z rezultati revizij ali inšpekcijskih pregledov, se štejejo za zaupne informacije OpenAI.
• 2.9 Vključevanje podobdelovalcev Stranka s tem splošno pooblašča OpenAI za vključitev podobdelovalcev, navedenih na seznamu podobdelovalcev, za obdelavo podatkov stranke v okviru storitev. OpenAI bo stranko obvestil o spremembah seznama podobdelovalcev prek objave na blogu, obvestila v storitvah, drugih razumnih sredstev ali po e-pošti, če se stranka naroči na takšna obvestila. Stranka lahko v 30 dneh po prejemu obvestila ugovarja vključitvi dodatnega podobdelovalca v skladu z navodili na seznamu podobdelovalcev ali tako, da kontaktira privacy@openai.com. OpenAI bo sodeloval s stranko pri obravnavi ugovorov in poiskal komercialno razumno izvedljive alternative ali rešitve. Če po razumni presoji OpenAI takšne alternative niso komercialno izvedljive ali če ugovori niso rešeni v zadovoljstvo pogodbenika v 30 dneh po prejemu obvestila o ugovoru, lahko katerikoli pogodbenik odpove pogodbo ali posamezno naročilnico ali preneha uporabljati tisti del storitev, ki ga ni mogoče zagotavljati brez vključitve novega podobdelovalca. V tem primeru se stranki povrne vsak predplačan znesek pristojbin v delu, ki se nanaša na obdobje po datumu odpovedi.
• 2.10 Obveznosti podobdelovalcev OpenAI bo s posameznimi podobdelovalci sklenil pogodbene dogovore, ki jim nalagajo obveznosti, primerljive obveznostim, ki veljajo za OpenAI na podlagi tega DOP. Ob upoštevanju omejitev odgovornosti iz pogodbe ostaja OpenAI odgovoren za dejanja in opustitve svojih podobdelovalcev v enakem obsegu, kot bi bil odgovoren po tem DOP, če bi jih izvedel sam.
• 2.11 Vračilo ali izbris podatkov Po izteku ali prenehanju pogodbe bo OpenAI skladno z Navodili stranke vrnil ali izbrisal podatke stranke ter vse obstoječe kopije, razen če je hramba podatkov stranke zahtevana po veljavnih predpisih. V takem primeru bo OpenAI podatke stranke izoliral in jih zaščitil pred nadaljnjo obdelavo, razen v obsegu, ki ga zahtevajo veljavni predpisi.

• 3.1 Obvestila in avtorizacije Stranka izjavi, jamči in se zavezuje, da je zagotovila vsa zahtevana obvestila ter da ima in bo skozi celotno obdobje trajanja pogodbe ohranjala vse pravice, soglasja in pooblastila, kolikor to zahtevajo predpisi na področju varstva podatkov, da lahko zagotovi podatke stranke OpenAI in pooblasti OpenAI za obdelavo podatkov stranke v povezavi s pogodbo, vključno s tem DOP.
• 3.2 Sodelovanje Stranka bo razumno sodelovala z OpenAI, da bo OpenAI lahko izpolnil svoje obveznosti na podlagi veljavnih predpisov na področju varstva podatkov.
• 3.3 Konfiguracije Brez poseganja v varnostne obveznosti OpenAI iz točke 2.5 tega DOP stranka priznava in soglaša, da sama odgovarja za posamezne konfiguracije in oblikovne odločitve pri uporabi storitev ter za njihovo izvajanje (npr. obdobja hrambe, brisanje itd.) na način, ki je skladen z veljavnimi predpisi na področju varstva podatkov.

• 4.1 Podatki EGP in Švici Obdelava podatkov stranke na podlagi tega DOP lahko spada v področje uporabe predpisov o varstvu podatkov Evropskega gospodarskega prostora ali Švice (»podatki iz EGP in Švice«). Ne glede na to, kateri subjekt OpenAI je pogodbeni pogodbenik po tem DOP, stranka s tem daje navodilo, naj OpenAI Ireland Limited obdeluje vse podatke iz EGP in Švice skladno s tem DOP. Kadar OpenAI Ireland Limited prenese podatke iz EGP in Švice drugim povezanim družbam OpenAI ali tretjim osebam zunaj Evropskega gospodarskega prostora ali Švice z namenom zagotavljanja storitev, bo to izvedel na podlagi pogodb, ki vsebujejo standardne pogodbene klavzule (SPK) in zagotavljajo ustrezne zaščitne ukrepe za varstvo podatkov stranke, ali na podlagi sklepa o ustreznosti, ki ga sprejme Evropska komisija na podlagi 45. člena GDPR.
• 4.2 Podatki ZK Obdelava podatkov stranke na podlagi tega DOP lahko spada v področje uporabe predpisov Združenega kraljestva (ZK) o varstvu podatkov (»podatki ZK«). Ne glede na to, kateri subjekt OpenAI je pogodbeni pogodbenik po tem DOP, stranka s tem daje navodilo, naj OpenAI OpCo, LLC obdeluje podatke Združenega kraljestva skladno s tem DOP in s standardnimi pogodbenimi klavzulami, spremenjenimi z dodatkom ZK, ki se šteje za sklenjenega (in z referenco vključenega v ta DOP) ter izpolnjenega na način, opisan v Prilogi 1.

V obsegu, v katerem se uporabljajo zakoni ZDA o zasebnosti:

• 5.1 OpenAI se zavezuje, (a) da stranki ne bo zagotavljal denarnega ali drugega vrednega nadomestila v zameno za podatke stranke. Pogodbenika priznavata in soglašata, da stranka ni »prodala« (kot ta izraz opredeljujejo predpisi ZDA o zasebnosti) podatkov stranke OpenAI;(b) da ne bo »prodajal« (kot ta izraz opredeljujejo predpisi ZDA o zasebnosti) ali »delil« (kot ta izraz opredeljuje CCPA) osebnih podatkov;(c) da bo, kadar stranka skladno z Navodili stranke OpenAI dovoli ali navodila narekuje obdelavo podatkov stranke, ki spadajo v področje uporabe zakonodaje ZDA o zasebnosti, v deidentificirani obliki kot del storitev, OpenAI:(i) sprejel razumne ukrepe za preprečitev, da bi se takšni deidentificirani podatki uporabili za sklepanje o določeni fizični osebi ali gospodinjstvu ali bi bili povezani z njima;(ii) javno zavezal ohraniti in uporabljati takšne deidentificirane podatke v tej obliki ter ne poskušati ponovno identificirati informacij, razen kadar to dovoljuje zakonodaja ZDA o zasebnosti;(iii) pred posredovanjem deidentificiranih podatkov drugim osebam, vključno s podobdelovalci, od njih pogodbeno zahteval izpolnjevanje obveznosti iz določb (c)(i)–(iii);(d) kadar se za podatke stranke uporablja CCPA:(i) takih podatkov ne bo hranil, uporabljal, razkrival ali kako drugače obdeloval, razen kolikor je to potrebno za poslovne namene, določene v pogodbi, vključno kot je navedeno v Prilogi 1 tega DOP;(ii) takih podatkov ne bo hranil, uporabljal, razkrival ali kako drugače obdeloval na kakršenkoli način zunaj neposrednega poslovnega razmerja med OpenAI in stranko;(iii) takih podatkov ne bo združeval z osebnimi podatki, ki jih OpenAI prejme od ali v imenu katerekoli tretje osebe ali jih zbere prek lastnih interakcij s posamezniki, razen če stranka usmeri OpenAI k takšni združitvi za namen, dovoljen po CCPA, ali če je to drugače dovoljeno po CCPA;(iv) brez nepotrebnega odlašanja obvestil stranko, če ugotovi, da svojih obveznosti po CCPA ne more več izpolnjevati;(v) kadar stranka razumno meni, da OpenAI obdeluje podatke stranke v neskladju z zahtevami CCPA, in stranka o tem razumno obvesti OpenAI, bosta pogodbenika v dobri veri sodelovala pri odpravi neskladja. Če stranka po takem sodelovanju razumno ugotovi, da neskladja ni mogoče odpraviti, bo OpenAI na pisna Navodila stranke prenehal obdelovati zadevne podatke stranke.
• 5.2 Stranka se zavezuje, da ne bo izvajala nobenih dejanj, ki bi:(a) pomenila, da se zagotavljanje podatkov stranke OpenAI šteje kot »prodaja« po zakonodaji ZDA o zasebnosti ali kot »deljenje« po CCPA (ali enakovrednih pojmih po zakonodaji ZDA o zasebnosti), ali(b) povzročila, da OpenAI ne bi več veljal za »ponudnika storitve« po CCPA ali »obdelovalca« po zakonodaji ZDA o zasebnosti.

“Podatki stranke” pomenijo osebne podatke, ki jih OpenAI obdeluje v imenu stranke za namene zagotavljanja storitev.

»Upravljavec podatkov« ima pomen, ki ga izraz »upravljavec« (ali drug soroden pojem) določa v predpisih o varstvu podatkov.

»Obdelovalec podatkov« ima pomen, ki ga izraz »obdelovalec« (ali drug soroden pojem) določa v predpisih o varstvu podatkov.

»Predpisi o varstvu podatkov« pomenijo predpise o zasebnosti in varstvu podatkov, ki veljajo za obdelavo podatkov stranke s strani OpenAI v povezavi s storitvami. 

»Posameznik, na katerega se nanašajo osebni podatki« ima pomen, ki ga izraz »data subject« (ali drug soroden pojem) določa v predpisih o varstvu podatkov.

»GDPR« pomeni Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016.

»Osebni podatki« imajo pomen, ki ga izraza »personal data« ali »personal information« (ali drug soroden pojem) določajo v predpisih o varstvu podatkov.

»Kršitev varstva osebnih podatkov« pomeni kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do podatkov stranke, ki jih OpenAI, njegovi podobdelovalci ali katerakoli tretja oseba, ki deluje v imenu OpenAI, hrani, posreduje ali kako drugače obdeluje.

»Obdelava« ima pomen, ki ga izraz »processing« (ali drug soroden pojem) določa v predpisih o varstvu podatkov.

»SPK« pomeni standardne pogodbene klavzule za prenos osebnih podatkov v tretje države, ki jih je sprejela Evropska komisija 4. junija 2021 (kot se lahko občasno spremenijo, posodobijo ali nadomestijo).

»Podobdelovalci« pomenijo osebe, ki jih OpenAI vključuje za obdelavo podatkov stranke v povezavi s storitvami in so navedene na seznamu podobdelovalcev.

»Seznam podobdelovalcev« pomeni seznam, dostopen na naslovu https://platform.openai.com/subprocessors⁠(odpre se v novem oknu).

»Dodatek ZK« pomeni dodatek Združenega kraljestva k standardnim pogodbenim klavzulam EU, ki ga je izdal britanski Information Commissioner na podlagi člena 119A(1) Zakona o varstvu podatkov 2018.

»Zakonodaja ZDA o zasebnosti« pomeni tisti del predpisov o varstvu podatkov, ki se uporablja za prebivalce Združenih držav Amerike, vključno, vendar ne omejeno na, Kalifornijski zakon o varstvu potrošnikov (»CCPA«).

Priloga 1

Podrobnosti obdelave

1. Narava in namen:

Izvajanje storitev po pogodbi.

2. Trajanje:

Trajanje pogodbe ter dodatni čas, potreben po prenehanju pogodbe, da pogodbenika izpolnita svoje obveznosti, vključno z izbrisom podatkov.

3. Kategorije podatkov stranke:

Stranka lahko v storitve posreduje osebne podatke, pri čemer so kategorije odvisne od načina uporabe storitev, ki ga določa in nadzira stranka po lastni presoji. Podatki lahko vključujejo, vendar niso omejeni na, imena, kontaktne podatke, demografske podatke ali druge informacije, ki jih posredujejo končni uporabniki stranke v neorganiziranih podatkovnih vsebinah.

4. Kategorije posameznikov, na katere se nanašajo podatki:

Posamezniki, na katere se nanašajo osebni podatki, lahko vključujejo, vendar niso omejeni na zaposlene stranke, stranke, dobavitelje in na splošno končne uporabnike.

5. Prenos občutljivih podatkov (če je primerno):

Občutljivi podatki, ki se prenašajo (če je primerno), ter uporabljene omejitve ali varovalni ukrepi, ki v celoti upoštevajo naravo podatkov in povezana tveganja, na primer strogo omejitev namena, omejitve dostopa (vključno z dostopom samo za osebje s specializiranim usposabljanjem), vodenje evidenc o dostopu do podatkov, omejitve nadaljnjih prenosov ali dodatni varnostni ukrepi.

Prenos občutljivih podatkov ni predviden, razen če jih uporabnik nepričakovano vključi v neorganizirane podatkovne vsebine.

6. Pogostost:

Pogostost prenosa (npr. ali se podatki prenašajo enkratno ali neprekinjeno).

Obdelava se izvaja neprekinjeno, odvisno od uporabe storitev s strani stranke.

7. Prenosi na podobdelovalce:

V skladu s členom 2.9 tega DOP bodo podobdelovalci obdelovali podatke stranke, kolikor je to potrebno za izvajanje storitev. Takšna obdelava traja za čas trajanja pogodbe, razen če se stranka in OpenAI pisno dogovorita drugače.

8. Informacije o SPD za prenos podatkov Združenega kraljestva v skladu z oddelkom 4.2:

• 8.1 Modul dva (upravljavec k obdelovalcu) SPD se uporablja, kadar je stranka upravljavec podatkov, OpenAI pa obdelovalec podatkov.Modul tri (obdelovalec k podobdelovalcu) SCC se uporablja, kadar je stranka obdelovalec podatkov, OpenAI pa podobdelovalec. Tretji modul (od obdelovalca do podobdelovalca) SPD se uporablja, kadar je stranka obdelovalec podatkov in OpenAI obdeluje podatke stranke kot podobdelovalec.
• 8.2 Za vsak modul SPD, kjer je to primerno, velja naslednje: (i) Neobvezna klavzula o pristopu iz klavzule 7 se ne uporablja; (ii) V klavzuli 9 velja možnost 2 (splošna pisna avtorizacija), najmanjše obdobje predhodnega obvestila o spremembah podobdelovalcev pa je določeno v oddelku 2.9 DPA; (iii) V klavzuli 11 se ne uporablja nobeno neobvezno besedilo; (iv) Vsa besedila v oglatih oklepajih v klavzuli 13 se črtajo; (v) V klavzuli 17 (možnost 1) se določa, da se SPD razlagajo v skladu s pravom Anglije in Walesa; (vi) V klavzuli 18(b) se določa, da se bodo spori reševali pred sodišči Anglije in Walesa; (vii) Ta Priloga 1 vsebuje informacije, zahtevane v prilogah I in III SPD; (viii) Oddelek 2.5 (Varnost) DPA vsebuje informacije, zahtevane v prilogi II SPD; (ix) pristojni nadzorni organ je Urad informacijskega pooblaščenca (“ICO”).
• 8.3 Izvoznik(-i) podatkov: stranka po pogodbi; Uvoznik(-i) podatkov: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, pooblaščena oseba za varstvo podatkov, privacy@openai.com⁠.

Sklenitev dodatka o obdelavi podatkov⁠(odpre se v novem oknu)