Ne zaman uygulanır
Bu sözleşme, veri sorumlusu sen olmak üzere kişisel verileri senin adına işlediğimiz durumlarda uygulanır: Uygulamada bu, kendi kullanıcılarının API üzerinden gönderdiği ses dosyalarıdır. Kullanım Koşulları’nın, koşulların API ile ilgili bölümüyle birlikte, bir parçasıdır ve kendiliğinden yürürlüğe girer; bizi bağlaması için onu imzalaman gerekmez. Uyum sürecin dosyada imzalı bir nüsha gerektiriyorsa, imzalı bir nüsha talep üzerine legal@euphonaai.com adresinden temin edilebilir.
Studio’ya kendin için yüklediğin ses dosyalarına uygulanmaz. Orada veri sorumlusu biziz, senin veri işleyenin değil ve geçerli olan Gizlilik Politikası’dır. Bu ilişki için sana bir veri işleme sözleşmesi vermek, onu yanlış tanımlamak olurdu.
Konu, süre, nitelik ve amaç
- Konu: Analiz ve işlenmiş sonuçlar döndürmek amacıyla, gönderdiğin ses kayıtlarının ve ilişkili meta verilerin işlenmesi.
- Süre: Hesabın açık olduğu sürece, artı aşağıda belirtilen saklama süreleri.
- Nitelik ve amaç: Otomatik ses analizi ve iyileştirme. Kod çözme, ölçüm ve talep ettiğin işleme. Profilleme yok, bireyler hakkında otomatik karar verme yok, reklam amaçlı kullanım yok.
- Kişisel veri türleri: Bir kişinin sesini içerebilen ve bu nedenle kendi başına kişisel veri olabilen ses kayıtları; bir istekle birlikte gönderdiğin tanımlayıcılar; ve zamanlama bilgileri ve istek kimlikleri gibi teknik meta veriler.
- İlgili kişi (data subject) kategorileri: Kullanıcıların ve gönderdikleri kayıtlarda sesi duyulan herkes.
Kaydedilmiş bir ses, bazı hukuk düzenlerinde ve bazı kullanımlarda biyometrik veri olabilir. Ses tanımlama, konuşmacı tanıma ya da herhangi bir biyometrik eşleştirme yapmayız ve motorun bunu yapma yeteneği yoktur: Özel kategorideki verilere ilişkin kuralların devreye girmediğini yalnızca öne sürmek yerine söyleyebilmemizin nedeni de budur.
Yalnızca senin talimatlarınla hareket ederiz
Verileri yalnızca senin belgelenmiş talimatlarınla işleriz. Talimat, API isteğidir; kullanıcılarının ses dosyalarıyla ne yapacağımıza karar verdiğimiz başka bir kanal yoktur.
Asla model eğitmek için kullanılmaz. Ne bizimkileri ne de başka birininkileri; ne toplulaştırılmış ne de türetilmiş biçimde. Bu, bulup devre dışı bırakman gereken bir ayar değildir ve senden alabileceğimiz, bunu kullanıcıların için değiştirecek bir rıza yoktur: Onların rızasını vermek sana düşmez.
Bir talimatının veri koruma mevzuatını ihlal edeceğine inanırsak, sessizce uymak ya da sessizce reddetmek yerine bunu sana söyleriz.
Gizlilik yükümlülüğü
Herhangi bir erişimi olan herkes bağlayıcı bir gizlilik yükümlülüğü altındadır. Bundan daha faydalısı: çalışanlarımız müşteri ses dosyalarını dinleyemez. Hiçbir iç araçta onu çalan bir kontrol ve ona bağlantı üreten bir yol yoktur; bu yüzden buradaki gizlilik, davranışa dair bir sözle değil, bir yeteneğin yokluğuyla sağlanır.
Müşteri verilerinin her iç okuması, ayrı bir veritabanında tutulan ve yalnızca ekleme yapılabilen bir denetim deposuna kaydedilir ve bu kayıt önce yazılamazsa operasyon konsolu hiçbir şey göstermeyi reddeder.
Güvenlik tedbirleri
- İletim sırasında şifreleme ve yedeklerin depolamada şifrelenmesi.
- Ses dosyalarına yalnızca tek bir nesneyle sınırlı, kısa ömürlü imzalı URL’lerle erişilebilir. Asla API’den sunulmaz, asla bir çerezin arkasında durmaz ve herkese açık bir adresi yoktur.
- Çalışma alanı başına depolama önekleri; böylece bir müşterinin dosyaları diğerininkinden ayrı durur.
- Güvenilmeyen medyanın kodu, kendi kullanıcı, ağ ve süreç ad alanlarına sahip, hiçbir yetkisi (capabilities) olmayan, bir bellek sınırı ve gerçek zamanlı bir süre sınırı olan bir izole ortamda (sandbox) çözülür.
- İç erişimin, yalnızca ekleme izni verilmiş ayrı bir veritabanında, yalnızca ekleme yapılabilen biçimde denetlenmesi.
- Sabit bir döngüde şifreli yedekler ve gerçekten geri yükleme yapan haftalık bir geri yükleme tatbikatı.
Bunların hepsinin güncel durumu güvenlik sayfamızdadır; bu sayfa, işletmediğimiz hiçbir şeye yer vermeme kuralıyla güncel tutulur.
Alt veri işleyenler
Kullanıcılarının verilerini bizim için işleyen alt veri işleyenler için genel yetki verirsin: hizmeti barındıran, depolayan ve yedekleyen altyapının sağlayıcıları ve yapay zekâ modellerimizin çalıştığı, Avrupa Ekonomik Alanı’ndaki GPU’lu bilgisayarların bir sağlayıcısı. Gizlilik Politikamızda açıklanan e-posta, ödeme ve analitik sağlayıcıları bunlar arasında değildir: müşteri olarak seninle ilişkimize hizmet ederler ve kullanıcılarının verilerinden hiçbirini almazlar. Kullanıcılarının ses dosyaları işlettiğimiz donanımda saklanır. Bu sağlayıcı bir işin sesini yalnızca yapay zekâ modellerimizden biri onun üzerinde çalışırken alır: ses her iki yönde de şifreli olarak iletilir, yalnızca kiralanan bilgisayarın belleğinde şifresi çözülür, yazılımımız tarafından hiçbir zaman o bilgisayarın diskine yazılmaz ve bilgisayar bu çalışma bittiğinde kendi kopyasını siler. Alt veri işleyenlerimizin adlarını ve konumlarını içeren güncel bir liste talep üzerine sunulur.
Birini eklemeden önce otuz gün önceden bildirimde bulunuruz ve itiraz edebilirsin. İtiraz edersen ve isteğini karşılayamazsak bu sözleşmeyi ve kapsadığı API kullanımını feshedebilirsin ve kullanılmamış bakiyeyi iade ederiz. Her alt veri işleyen, bu sözleşmeden daha zayıf olmayan veri koruma koşullarıyla görevlendirilir ve onların yaptıklarından sana karşı sorumlu olmaya devam ederiz.
Kendi yükümlülüklerini yerine getirmene yardım
Kullanıcıların haklarını bize karşı değil sana karşı kullanacaktır ve onlara yanıt vermene yardım ederiz. Silme ve dışa aktarma API üzerinden yapılabilir; bu yüzden çoğu talebi bizi beklemeden doğrudan karşılayabilirsin: Bu, kullanıcın için daha hızlıdır ve bunu böyle kurmamızın amacı da budur.
Bir talep bizi gerektirdiğinde privacy@euphonaai.com adresine yaz. Ayrıca bir veri koruma etki değerlendirmesi ya da düzenleyici kurumunla yapacağın bir danışma için makul olarak ihtiyaç duyduğun şeyleri sana ücretsiz olarak sağlarız.
Bir ihlal olursa
Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra bunu sana gereksiz gecikme olmaksızın ve her hâlükârda kendi yetmiş iki saatlik yükümlülüğünü yerine getirebileceğin bir zamanda bildiririz. Bildirim neler olduğunu, hangi verilerin ve yaklaşık kaç kişinin etkilendiğini, ne yaptığımızı ve senin ne yapmanı önerdiğimizi açıklar.
Geç gelen eksiksiz bir bildirim yerine eksik bilgiyle bir ilk bildirim göndeririz. Kesinliği bekleyen bir ihlal raporu, senin son tarihinden sonra gelen bir ihlal raporudur.
İade ve silme
Fesih hâlinde ya da talep üzerine herhangi bir zamanda, verileri senin tercihine göre siler ya da iade ederiz. Silme gerçek silmedir, yalnızca silindi diye işaretlemek değil. Kopyalar şifreli yedeklerde en fazla 31 gün kalır ve bir geri yükleme, silinmiş içeriği asla canlı bir hesaba geri getirmez.
Sonrasında yasanın saklamamızı gerektirdikleri dışında hiçbir şey tutmayız ve sorarsan bunların ne olduğunu sana söyleriz.
Denetim
Bu sözleşmeye uyumumuzu, yılda bir kez ya da seni etkileyen bir ihlalden sonra, makul bir süre önceden bildirimde bulunarak denetleyebilirsin. İlk aşamada belgeler ve bir soru formuyla yanıt veririz, çünkü bu, ikimizden hiçbiri buna bir hafta harcamadan çoğu denetimi karşılar. Bu, düzenleyici kurumun için gerçekten yetersizse yerinde ya da uzaktan bir denetimi kabul ederiz ve takvimi denetimi uygulanamaz kılmak için kullanmayız.
Sana verebileceğimiz bir üçüncü taraf sertifikası yok. SOC 2 ya da ISO 27001 belgelendirmesini tamamlamadık ve ikisine de sahip olduğumuzu iddia etmiyoruz; bir müşteri sözleşmesi bunlardan birini gerektirdiğinde bütçesi o zaman ayrılır.
Bu sözleşme kapsamındaki sorumluluk
Bu sözleşme Kullanım Koşulları’nın bir parçasıdır ve oradaki sorumluluk sınırı buradaki her şeye uygulanır. Bu, iki belge için tek bir üst sınırdır, üstüne eklenmiş ikinci bir sınır değil: Aksi takdirde aynı olay iki kez talep konusu yapılabilirdi ve ikimizin de üzerinde anlaştığı şey bu değildir.
Bu üst sınırın dokunmadığı üç şey vardır, çünkü dokunamaz ve dokunmamalıdır: GDPR (Genel Veri Koruma Tüzüğü) kapsamında bir ilgili kişiye bir veri işleyene karşı doğrudan tanınanlar; Standart Sözleşme Hükümleri’nin (Standard Contractual Clauses), verileri kendilerine ait olan kişilere tanıdıkları; ve yasanın hiçbir şekilde sınırlandırılamayacağını söylediği her şey. Bunlara üst sınır getirdiğini iddia eden bir veri işleyen sözleşmesi, önemli olan kısımda uygulanamaz olurdu ve geri kalanı hakkında da sana bir şey söylerdi.
Uluslararası aktarımlar
Euphona’yı işleten şirket Hong Kong’da kurulmuştur ve hizmeti oradan yönetir; şirketin sunucuları ve kiraladığı GPU’lu bilgisayarlar Avrupa Ekonomik Alanı’ndadır, bu yüzden gönderdiğin veriler Avrupa Ekonomik Alanı’nda işlenir ve Hong Kong’dan yönetilir.
Hong Kong için verilmiş bir Avrupa ya da Birleşik Krallık yeterlilik kararı yoktur. Bu yüzden Avrupa Ekonomik Alanı’ndan kişisel verilerin bize aktarımı, Avrupa Komisyonu’nun, bu sözleşmeye dahil edilmiş olan ve talep üzerine ayrıca imzalayacağımız Standart Sözleşme Hükümleri’ne dayanır. Birleşik Krallık’tan kişisel verilerin aktarımı ise Birleşik Krallık’ın kendi araçlarına dayanır: bu Hükümler’e ilişkin, aynı şekilde bu sözleşmeye dahil edilmiş Birleşik Krallık Eki (UK Addendum) ya da tercih edersen Birleşik Krallık Uluslararası Veri Aktarım Sözleşmesi (UK International Data Transfer Agreement); bunlardan hangisi olursa olsun talep üzerine imzalarız.
Hong Kong’un Personal Data (Privacy) Ordinance (PDPO) adlı yasası kapsamında, bize gönderdiğin veriler bakımından bölüm 2(12)’nin tanımladığı anlamda bir veri işleyen (data processor) konumundayız: verileri senin adına işleriz ve kendimize ait hiçbir amaç için işlemeyiz. Bu yasa, altı Veri Koruma İlkesi’ni (Data Protection Principles) veri kullanıcısı (data user) olarak sana yükler; biz de kullanıcılarının verilerini yine de bu ilkelere uygun olarak işleriz.
Bir değerlendiricinin keşfetmek yerine bilmesi gereken bir şey. Hong Kong’un sınır ötesi aktarım kısıtlaması olan PDPO’nun 33. bölümü 1996’dan beri yasada yer alıyor ve hiçbir zaman yürürlüğe konmadı. Dolayısıyla Hong Kong’da işleyen yasal bir veri ihracı denetimi yoktur ve verilerinin bizden gördüğü koruma böyle bir denetime dayanmaz.
Bunun yerine kontrol edebileceğin şeylere dayanır: veriler Avrupa Ekonomik Alanı’ndaki makinelerimizde saklanır ve orada ya da orada kiraladığımız GPU’lu bilgisayarlarda işlenir, Hong Kong’a taşınmaz; Hong Kong’dan erişim, adı belirlenmiş kişilerin uzaktan yönetici erişimidir ve yalnızca ekleme yapılabilen bir depoda log kaydına alınır; Standart Sözleşme Hükümleri bu sözleşmeye dahil edilmiştir ve talep üzerine onları imzalarız; ve ne olursa olsun kendimizi altı Veri Koruma İlkesi’ne uymakla yükümlü tutarız. İnceleme yapan kişinin boşluğu bulup bilmediğimizi varsaymasındansa, zeminin nerede eksik olduğunu sana söylemeyi ve onun üzerine ne kurduğumuzu göstermeyi tercih ederiz.