Warunki przetwarzania, załączniki wliczone.

Niniejszy Aneks do Przetwarzania Danych („DPA”) stanowi część Regulaminu Świadczenia Usług lub innej pisemnej umowy („Umowa”) pomiędzy Digital Socket LLC, spółka z ograniczoną odpowiedzialnością utworzona w stanie Delaware w Stanach Zjednoczonych, działająca pod nazwą Transglot („Transglot”, „Procesor”) a klientem („Klient”, „Administrator”) i ma zastosowanie wszędzie tam, gdzie przetwarzamy Dane Osobowe Klienta w jego imieniu w ramach świadczenia Usługi. Jest ona włączona do Umowy przez odniesienie i wchodzi w życie jednocześnie z Umową; nie jest wymagany podpis, aby nas wiązała. W przypadku gdy Klient sam jest procesorem działającym na rzecz zewnętrznego administratora danych, Klient jest eksporterem, a niniejsza DPA ma zastosowanie tak, jakby był administratorem, a Klient potwierdza, że posiada upoważnienie od swojego administratora do zawarcia jej na tych warunkach.

„Przepisy o Ochronie Danych” oznaczają wszystkie przepisy dotyczące przetwarzania danych osobowych mające zastosowanie do danej strony, w tym Rozporządzenie UE 2016/679 („RODO”), brytyjskie RODO i ustawę Data Protection Act 2018, szwajcarską Federalną Ustawę o Ochronie Danych, kalifornijską ustawę California Consumer Privacy Act z późniejszymi zmianami („CCPA”) oraz porównywalne stanowe przepisy o ochronie prywatności w Stanach Zjednoczonych. „Dane Osobowe Klienta” oznaczają dane osobowe zawarte w Treściach Klienta lub inaczej przetwarzane przez nas w imieniu Klienta. „Standardowe Klauzule Umowne” lub „SCC” oznaczają klauzule załączone do Decyzji Wykonawczej Komisji (UE) 2021/914. „Załącznik brytyjski” oznacza Międzynarodowy Aneks do Transferu Danych wydany przez brytyjskiego Komisarza ds. Informacji na podstawie sekcji 119A ustawy Data Protection Act 2018. „Podprocesor” oznacza stronę trzecią zaangażowaną przez nas do przetwarzania Danych Osobowych Klienta. Terminy „administrator”, „procesor”, „osoba, której dane dotyczą”, „dane osobowe”, „przetwarzanie”, „naruszenie ochrony danych osobowych” oraz „organ nadzorczy” mają znaczenie nadane im w RODO, a odpowiedniki tych terminów w innych przepisach mają swoje równoważne znaczenie.

W przypadku sprzeczności kolejność pierwszeństwa jest następująca: (a) Standardowe Klauzule Umowne i Załącznik brytyjski, tam gdzie mają zastosowanie; (b) niniejsza DPA; (c) wszelkie inne postanowienia dotyczące ochrony danych zawarte w Formularzu Zamówienia; (d) pozostała część Umowy. Żadne postanowienie niniejszej DPA nie ma na celu kolidowania z obowiązkami strony wynikającymi z Przepisów o Ochronie Danych, a każde postanowienie, które prowadziłoby do takiej kolizji, należy interpretować w minimalnym zakresie niezbędnym do usunięcia sprzeczności.

Niniejsza DPA obowiązuje od daty wejścia w życie Umowy do momentu, w którym przestaniemy przetwarzać jakiekolwiek Dane Osobowe Klienta, co może nastąpić po zakończeniu Umowy ze względu na terminy usuwania określone w klauzuli 13. Zobowiązania z niej wynikające obowiązują również po rozwiązaniu umowy przez cały okres, w którym przechowujemy jakiekolwiek Dane Osobowe Klienta, a zobowiązania dotyczące poufności obowiązują bezterminowo w zakresie wymaganym przez Prawo Ochrony Danych.

Przetwarzamy Dane Osobowe Klienta wyłącznie zgodnie z udokumentowanymi instrukcjami Klienta, w tym w przypadku przekazywania do państwa trzeciego, chyba że jesteśmy do tego zobowiązani na mocy obowiązującego nas prawa; w takim przypadku poinformujemy Klienta o tym wymogu przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiego powiadomienia z ważnych względów interesu publicznego. Umowa, niniejsza DPA, Dokumentacja oraz konfiguracja ustawiona przez Klienta w produkcie (projekty, locale, konektory, subskrypcje webhooków, przełączniki retencji, przełącznik pamięci tłumaczeń oraz ustawienia silnika i jakości dostępne dla Klienta) stanowią łącznie kompletne udokumentowane instrukcje Klienta. Poinformujemy Klienta, jeśli naszym zdaniem dana instrukcja narusza Prawo Ochrony Danych, i możemy zawiesić odpowiednie przetwarzanie do czasu wycofania lub zmiany tej instrukcji, zamiast ją realizować.

Przetwarzamy Dane Osobowe Klienta wyłącznie w celu świadczenia, zabezpieczania, wspierania i utrzymywania Usługi dla Klienta, bez żadnego niezależnego celu własnego. Nie sprzedajemy Danych Osobowych Klienta, nie udostępniamy ich do celów reklamy behawioralnej w różnych kontekstach, nie łączymy ich z danymi osobowymi otrzymywanymi z innych źródeł, z wyjątkiem przypadków dozwolonych przez Prawo Ochrony Danych dla podmiotu przetwarzającego, ani nie wykorzystujemy ich do trenowania, dostrajania ani oceniania jakichkolwiek modeli uczenia maszynowego. Nasi podprzetwarzający AI przetwarzają te dane wyłącznie w celu wnioskowania, na warunkach komercyjnych zakazujących ich wykorzystania do trenowania. Możemy tworzyć i wykorzystywać zagregowane lub zanonimizowane statystyki, które nie identyfikują ani Klienta, ani żadnej osoby, której dane dotyczą, i nie będziemy podejmować prób ich ponownej identyfikacji.

Zapewniamy, że każda osoba upoważniona do przetwarzania Danych Osobowych Klienta jest objęta odpowiednim obowiązkiem zachowania poufności, wynikającym z umowy lub przepisów prawa, który obowiązuje również po zakończeniu jej zaangażowania. Dostęp przyznawany jest na zasadzie minimalnych uprawnień, ograniczony do zakresu niezbędnego do wykonywania zadań, podlega okresowej weryfikacji i jest niezwłocznie cofany w przypadku zmiany stanowiska lub odejścia pracownika. Personel mający dostęp do danych otrzymuje szkolenia z zakresu ochrony danych i bezpieczeństwa, dostosowane do pełnionej roli.

Wdrażamy i utrzymujemy środki techniczne i organizacyjne określone w Załączniku II, biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko dla osób, których dane dotyczą. Możemy aktualizować te środki w czasie, pod warunkiem że ogólny poziom ochrony nie zostanie istotnie obniżony w trakcie trwania płatnej subskrypcji. Załącznik II świadomie wskazuje zarówno nasze luki, jak i stosowane zabezpieczenia: załącznik dotyczący środków, który wymienia jedynie mocne strony, nie jest dokumentem, na którym recenzent może się wiarygodnie oprzeć.

Klient udziela nam ogólnej pisemnej zgody na angażowanie Podprzetwarzających, w kategoriach opisanych w dokumencie dotyczącym Podprzetwarzających, i wyraźnie autoryzuje tych wymienionych na liście podprzetwarzających dostarczonej w Załączniku III, obowiązującej od daty wejścia w życie. Nakładamy na każdego Podprzetwarzającego obowiązki w zakresie ochrony danych nie mniej korzystne niż te zawarte w niniejszej DPA, poprzez zawarcie pisemnej umowy, i ponosimy pełną odpowiedzialność wobec Klienta za wykonanie przez Podprzetwarzającego jego zobowiązań. Powiadomimy Klienta co najmniej trzydzieści dni wcześniej, wysyłając wiadomość e-mail na adresy Właścicieli Konta, zanim nowy Podprzetwarzający rozpocznie przetwarzanie Danych Osobowych Klienta. Klient może wnieść sprzeciw z uzasadnionych, udokumentowanych przyczyn związanych z ochroną danych w tym okresie, w którym to przypadku podejmiemy dobrowolne działania, aby zaproponować zmianę konfiguracji lub alternatywne rozwiązanie pozwalające uniknąć takiego przetwarzania; jeśli nie będzie to możliwe w rozsądnym czasie, Klient może rozwiązać odpowiednią subskrypcję bez kary i otrzymać proporcjonalny zwrot niewykorzystanych, przedpłaconych opłat.

Biorąc pod uwagę charakter przetwarzania, pomagamy Klientowi odpowiednimi środkami technicznymi i organizacyjnymi, o ile jest to możliwe, w wywiązaniu się z obowiązku odpowiedzi na żądanie osoby, której dane dotyczą, realizującej prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych lub wniesienia sprzeciwu. Produkt stanowi pierwszą linię tej pomocy: Właściciele kont i administratorzy przestrzeni roboczych mogą wyszukiwać, edytować i usuwać zawartość projektów, zarządzać członkami i rolami oraz pobierać zawartość projektów za pośrednictwem punktu końcowego API (pull), interfejsu wiersza poleceń, pakietu dostawy lub łącznika do magazynu w ramach płatnego planu, a Właściciele kont mogą usuwać przestrzenie robocze. Jeśli produkt nie może spełnić żądania, pomożemy na prośbę w rozsądnym terminie i bez opłat za rozsądną liczbę żądań. Jeśli osoba, której dane dotyczą, skontaktuje się z nami bezpośrednio w sprawie Danych osobowych Klienta, nie będziemy udzielać merytorycznych odpowiedzi; poinformujemy ją o konieczności kontaktu z Klientem i, chyba że jest to zabronione, niezwłocznie powiadomimy o tym Klienta.

Biorąc pod uwagę charakter przetwarzania i informacje dostępne dla nas, pomagamy Klientowi w wywiązywaniu się z obowiązków wynikających z artykułów 32–36 RODO i ich odpowiedników, w tym w przeprowadzaniu ocen skutków dla ochrony danych oraz wcześniejszych konsultacjach z organem nadzorczym. W praktyce oznacza to udostępnienie niniejszej DPA, Załącznika II, informacji z Centrum zaufania, harmonogramu przechowywania danych zawartego w Polityce prywatności, naszej dokumentacji bezpieczeństwa oraz rozsądnych pisemnych odpowiedzi na kwestionariusz bezpieczeństwa lub ochrony prywatności. Możemy naliczać opłaty za pomoc wykraczającą materialnie poza rozsądną liczbę żądań, według naszych aktualnych stawek za usługi profesjonalne, i poinformujemy o tym przed rozpoczęciem prac, a nie po ich wykonaniu.

Powiadamiamy Klienta bez zbędnej zwłoki, a w każdym przypadku w ciągu siedemdziesięciu dwóch godzin od momentu uzyskania świadomości naruszenia ochrony danych osobowych wpływającego na Dane osobowe Klienta. Zawiadomienie opisuje, w zakresie znanym w danym momencie i aktualizowanym w miarę zdobywania nowych informacji: charakter naruszenia, w tym, jeśli to możliwe, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz concerned records; prawdopodobne konsekwencje; środki podjęte lub proponowane w celu rozwiązania problemu i złagodzenia jego skutków; oraz punkt kontaktowy w celu uzyskania dalszych informacji. Współpracujemy z Klientem i podejmujemy kroki, o które Klient rozsądnie wnioskuje, aby pomóc w jego własnym dochodzeniu i powiadamianiu. Zawiadomienie nie stanowi i nie będzie interpretowane jako przyznanie się do winy lub odpowiedzialności. Nie będziemy opóźniać zawiadomienia w celu wcześniejszego zakończenia dochodzenia.

Zgodnie z wyborem Klienta, po zakończeniu świadczenia usług usuwamy lub zwracamy Dane osobowe Klienta oraz usuwamy istniejące kopie, chyba że prawo, któremu podlegamy, wymaga ich przechowywania. W produkcie działa to w następujący sposób: anulowanie subskrypcji powoduje przejście Konta na plan Free, który obejmuje jedną przestrzeń roboczą, a każda inna przestrzeń robocza staje się tylko do odczytu i zostaje usunięta po 30 dniach, lub wcześniej w przypadku przestrzeni roboczej, która niedawno przeszła przez ten sam proces, zgodnie z opisem w klauzuli 13 Warunków korzystania z usługi, chyba że Klient wcześniej dokona upgrade’u lub przeniesie tę przestrzeń; usunięcie przestrzeni roboczej sprawia, że jest ona dostępna tylko do odczytu przez 30 dni, w trakcie których Właściciel konta może ją przywrócić, a po upływie tego okresu przestrzeń robocza jest usuwana z aktywnej bazy danych, w tym projekty, tłumaczenia, historia wersji, rekordy użycia, rekordy dostarczania webhooków, zrzuty ekranu i zdarzenia audytowe; zamknięcie Konta usuwa każdą przestrzeń roboczą w taki sam sposób i przechowuje faktury Konta przez 7 lat; usunięcie loginu Użytkownika jest natychmiastowe i nieodwracalne. Zawartość pobrana przez Klienta za pośrednictwem API, interfejsu wiersza poleceń, pakietu dostawy lub łącznika do magazynu znajduje się poza naszą kontrolą od momentu jej dostarczenia. Zaszyfrowane kopie zapasowe nie są objęte procesem czyszczenia i wygasają zgodnie z harmonogramami w Załączniku II; dopóki istnieją, są izolowane, szyfrowane i przywracane wyłącznie w celu odzyskiwania po awarii, nigdy w celu przywrócenia usuniętej przestrzeni roboczej do użytku. Pisemny wniosek o zwrot w ustrukturyzowanym formacie złożony przed usunięciem zostanie spełniony jednokrotnie, bezpłatnie, w rozsądnym terminie.

Udostępniamy Klientowi informacje niezbędne w rozsądnym zakresie do wykazania zgodności z niniejszą DPA i artykułem 28 RODO oraz umożliwiamy i współuczestniczymy w audytach, w tym inspekcjach, przeprowadzanych przez Klienta lub wyznaczonego przez niego audytora. W pierwszej kolejności obowiązek ten jest realizowany poprzez niniejszą DPA, Załącznik II, Centrum zaufania, stronę bezpieczeństwa oraz nasze wypełnione odpowiedzi na kwestionariusz bezpieczeństwa. Jeśli powyższe są rzeczywiście niewystarczające dla regulacyjnych obowiązków Klienta, Klient może przeprowadzić audyt raz w okresie dwunastu miesięcy, co najmniej trzydziestodniowym pisemnym wypowiedzeniem, w godzinach pracy, bez nieuzasadnionego zakłócania naszych operacji, z zachowaniem zobowiązań do poufności, ograniczony do systemów i rejestrów odnoszących się do danych samego Klienta i na koszt Klienta. Organ nadzorczy wykonujący ustawowe uprawnienia nie podlega żadnym z tych limitów. Audytor nie może być naszym konkurentem, a my możemy wymagać od niego osobnego zobowiązania do zachowania poufności.

W przypadkach, gdy nasze przetwarzanie Danych osobowych Klienta obejmuje transfer z Europejskiego Obszaru Gospodarczego do kraju nieobjętego decyzją o adekwatności, Standardowe Klauzule Umowne są włączone do niniejszej DPA i stanowią jej część, stosując się w następujący sposób. Moduł drugi (administrator do przetwarzającego) ma zastosowanie, gdy Klient jest administratorem. Moduł trzeci (przetwarzający do przetwarzającego) ma zastosowanie, gdy Klient jest sam przetwarzającym. Stosuje się klauzula 7 (klauzula dokująca). W klauzuli 9 wybrano Opcję 2 (ogólne pisemne upoważnienie) z okresem wypowiedzenia określonym w klauzuli 09 powyżej. W klauzuli 11 nie wybrano opcjonalnego języka dotyczącego niezależnego rozstrzygania sporów. W klauzuli 17 Klauzule podlegają prawu Republiki Irlandii, chyba że strony uzgodnią prawo innego państwa członkowskiego UE w Zamówieniu. W klauzuli 18(b) spory są rozstrzygane przed sądami Republiki Irlandii na tej samej podstawie. Załącznik I(A) dotyczy stron, Załącznik I(B) zawiera opis transferu, Załącznik I(C) wskazuje właściwy organ nadzorczy, Załącznik II obejmuje środki techniczne i organizacyjne, a Załącznik III zawiera listę podprzetwarzających, każdy zgodnie z poniższym opisem.

W przypadku transferu podlegającego brytyjskiemu RODO, Załącznik brytyjski jest włączony i uzupełniony w następujący sposób: Tabela 1 jest uzupełniana przez Załącznik I(A); Tabele 2 i 3 są uzupełniane przez klauzulę 15 oraz Załączniki I i II niniejszej DPA, przy czym jako wersję obowiązującą przyjmuje się zatwierdzone standardowe klauzule umowne UE; a w Tabeli 4 żadna ze stron nie może rozwiązać Załącznika w przypadku zmiany zatwierdzonego Załącznika. W przypadku transferu podlegającego prawu szwajcarskiemu, odniesienia w SCC do RODO odczytuje się jako odniesienia do szwajcarskiej Federalnej Ustawy o Ochronie Danych, właściwym organem jest Federalny Komisarz ds. Ochrony Danych i Informacji, odniesienia do państwa członkowskiego nie pozbawiają osoby, której dane dotyczą, w Szwajcarii prawa do dochodzenia roszczeń w miejscu jej zwykłego pobytu, a SCC chronią dane osób prawnych do czasu, gdy prawo szwajcarskie przestanie tego wymagać.

Jeśli otrzymamy prawnie wiążące żądanie od organu publicznego dotyczące Danych Osobowych Klienta: dokonamy przeglądu jego ważności i zakresu oraz zakwestionujemy je, jeśli istnieją uzasadnione podstawy, by uważać je za niezgodne z prawem; ujawnimy wyłącznie minimum wymagane przez żądanie; oraz niezwłocznie powiadomimy Klienta, podając wystarczające szczegóły umożliwiające reakcję, chyba że prawo tego zabrania – w takim przypadku dołożymy rozsądnych starań, aby uzyskać zwolnienie z zakazu i zastosowanie środka tymczasowego umożliwiającego ujawnienie. Prowadzimy rejestr otrzymanych żądań i udzielonych odpowiedzi oraz udostępniamy go Klientowi i organowi nadzorczemu na żądanie, w zakresie dozwolonym przez prawo. Nie otrzymaliśmy żądania rządowego, które wymagałoby od nas budowy lub utrzymania ogólnego mechanizmu dostępu do Danych Osobowych Klienta, i nie będziemy tworzyć takiego mechanizmu dobrowolnie.

W przypadku informacji osobowych podlegających CCPA, Klient jest administratorem danych, a my jesteśmy dostawcą usług. Zabrania nam się sprzedaży lub udostępniania tych informacji osobowych; ich przechowywania, wykorzystywania lub ujawniania w celach innych niż cele biznesowe określone w Umowie lub inaczej dozwolone przez CCPA; ich przechowywania, wykorzystywania lub ujawniania poza bezpośrednią relacją biznesową między stronami; ani łączenia ich z informacjami osobowymi otrzymanymi z innego źródła, z wyjątkiem przypadków dozwolonych dla dostawcy usług przez CCPA. Poświadczamy, że rozumiemy te ograniczenia i będziemy ich przestrzegać. Powiadomimy Klienta, jeśli stwierdzimy, że nie możemy już ich spełniać. Klient może podjąć rozsądne i odpowiednie kroki w celu zatrzymania i naprawienia nieautoryzowanego użycia, korzystając z praw do audytu opisanych w klauzuli 14. Zapewniamy taki sam poziom ochrony prywatności, jakiego CCPA wymaga od administratora danych.

Gdy ma zastosowanie kompleksowa stanowa ustawa o ochronie prywatności i wymaga ona umowy z procesorem zawierającej określone postanowienia, niniejsza DPA stanowi tę umowę: określa ona charakter i cel przetwarzania, rodzaj danych, czas trwania, prawa i obowiązki obu stron, nasz obowiązek zachowania poufności, angażowanie podprocesorów na podstawie równoważnych warunków pisemnych, naszą pomoc w realizacji żądań konsumentów dotyczących ich praw oraz w wypełnianiu obowiązków bezpieczeństwa, nasz obowiązek usunięcia lub zwrotu danych po zakończeniu usług oraz nasz obowiązek udostępnienia informacji niezbędnych do wykazania zgodności i umożliwienia przeprowadzenia rozsądnej oceny. Działamy jako procesor lub dostawca usług zgodnie z tymi przepisami i nigdy jako administrator Danych Osobowych Klienta.

Odpowiedzialność każdej ze stron wynikająca z niniejszej DPA lub związana z nią, czy to w ramach umowy, czynu niedozwolonego czy innej podstawy prawnej, podlega ograniczeniom i wyłączeniom odpowiedzialności określonym w Umowie, a każde odniesienie w tych ograniczeniach do odpowiedzialności strony oznacza łączną odpowiedzialność tej strony wynikającą zarówno z Umowy, jak i z niniejszej DPA. Żadne postanowienie niniejszej klauzuli nie ogranicza praw osoby, której dane dotyczą, wynikających ze Standardowych Klauzul Umownych lub z Przepisów o Ochronie Danych, ani nie ogranicza odpowiedzialności, której nie można zgodnie z prawem ograniczyć.

Możemy aktualizować niniejszą DPA, jeśli jest to wymagane w celu odzwierciedlenia zmiany w Przepisach o Ochronie Danych, nowego lub zmienionego mechanizmu transferu, decyzji organu nadzorczego lub sądu albo istotnej zmiany w sposobie przetwarzania Danych Osobowych Klienta przez Usługę, pod warunkiem że aktualizacja nie powoduje istotnego zmniejszenia ochrony przyznanej Danym Osobowym Klienta. O każdej istotnej aktualizacji powiadamiamy z co najmniej trzydziestodniowym wyprzedzeniem, drogą e-mailową oraz na tej stronie, i zmieniamy datę wejścia w życie znajdującą się u góry dokumentu. Na żądanie udostępniamy poprzednią wersję.

Niniejsza DPA wiąże nas bez konieczności składania podpisu, dlatego Klient nie potrzebuje podpisanego dokumentu, aby być chronionym. Jeśli Twoje procedury wymagają podpisanej kopii do celów archiwizacyjnych lub jeśli chcesz zgłosić wersję z naniesionymi zmianami, napisz na adres privacy@transglot.ai, podając nazwę podmiotu prawnego, adres rejestrowy, dane kontaktowe do doręczeń oraz dane osoby uprawnionej do podpisu, a my odeślemy podpisaną kopię. Pod tym samym adresem odpowiadamy na kwestionariusze dotyczące bezpieczeństwa i prywatności, a Centrum Zaufania zawiera pakiet dokumentów, którego większość recenzentów potrzebuje przed skontaktowaniem się z kimkolwiek.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, spółka z ograniczoną odpowiedzialnością utworzona w stanie Delaware w Stanach Zjednoczonych, działająca pod nazwą Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

Autorytatywna, aktualna lista podprzetwarzaczy jest prowadzona przez nas i udostępniana Klientowi na żądanie na podstawie umowy o zachowaniu poufności, poprzez kontakt na adres privacy@transglot.ai. Kategorie, cel, region i warunki zaangażowania każdego z nich są publikowane w Centrum Zaufania i podsumowane w dokumencie Podprzetwarzacze, który jest włączony do niniejszego Załącznika przez odniesienie. Jest on przechowywany w jednym miejscu celowo, a nie duplikowany na tej stronie: lista przepisywana do dokumentu prawnego staje się nieaktualna w dniu zmiany dostawcy, a przestarzały załącznik jest gorszy niż link. Na dzień wejścia w życie kategoriami są: tłumaczenie AI, automatyczna kontrola jakości, ekstrakcja glosariusza i sugestie wizyjne w kontekście, przetwarzane w Stanach Zjednoczonych i angażowane zawsze, gdy używana jest funkcja AI; osadzanie tekstu dla semantycznej pamięci tłumaczeń, przetwarzane w Stanach Zjednoczonych i angażowane tylko wtedy, gdy projekt włączy tę funkcję, co jest domyślnie wyłączone; opcjonalny alternatywny silnik tłumaczeniowy dostępny przez router API w Stanach Zjednoczonych i hostowany w Singapurze, angażowany tylko wtedy, gdy operator przekieruje do niego warstwę, co jest domyślnie wyłączone; hosting w chmurze, baza danych i magazyn obiektów, w regionie ustalonym przy wdrożeniu i angażowane zawsze; przetwarzanie płatności, w Stanach Zjednoczonych i Unii Europejskiej, angażowane tylko w przypadku planów płatnych; dostarczanie transakcyjnych e-maili, angażowane zawsze; oraz wiadomości wsparcia w produkcie, angażowane tylko wtedy, gdy włączony jest komunikator wsparcia. Gdy klient dostarcza własne dane uwierzytelniające dla opcjonalnego awaryjnego tłumaczenia maszynowego, klient jest administratorem tego transferu, a dostawca nie jest naszym podprzetwarzaczem.