1. این چیست و چه زمانی اعمال می‌شود
این توافق‌نامه بر داده‌های شخصی‌ای حاکم است که VATAN AI LIMITED هنگام استفاده‌ی شما از API از طرف شما پردازش می‌کند. این توافق‌نامه به‌طور خودکار برای همه‌ی حساب‌ها اعمال می‌شود و برای اجرایی شدن نیازی به امضا ندارد؛ اگر فرایند خرید شما نسخه‌ای امضاشده روی سربرگ خودتان لازم دارد، به privacy@vatan.one نامه بنویسید.
این توافق‌نامه مطابق الزامات ماده‌ی ۲۸ UK GDPR نوشته شده است. شما کنترل‌کننده هستید. ما پردازشگر هستیم. در موضوع داده‌های شخصی، هر جا این دو با هم تعارض داشته باشند، این توافق‌نامه بر شرایط استفاده از سرویس مقدم است.
2. موضوع، مدت، ماهیت و هدف
موضوع: اداره‌ی یک درگاه API که درخواست‌های شما را به ارائه‌دهندگان مدل ارسال می‌کند، مصرف آن‌ها را می‌سنجد و برای آن‌ها صورتحساب صادر می‌کند.
مدت: تا زمانی که حساب دارید، و پس از آن فقط برای دوره‌هایی که در جدول نگهداری آمده است.
ماهیت و هدف: ارسال درخواست شما به ارائه‌دهنده‌ای که نام برده‌اید، بازگرداندن پاسخ، و ثبت هزینه‌ی آن. ما محتوای درخواست‌های شما را تحلیل نمی‌کنیم، از آن برای آموزش هیچ چیزی استفاده نمی‌کنیم، و از آن برای هیچ هدفی از آنِ خودمان استفاده نمی‌کنیم.
3. داده‌ها، و اینکه متعلق به چه کسی است
انواع داده‌های شخصی: هر چیزی که درخواست‌های شما در بر داشته باشند. ما آن را کنترل نمی‌کنیم و بررسی نمی‌کنیم، بنابراین این مورد با نحوه‌ی استفاده‌ی شما تعریف می‌شود، نه توسط ما. جدا از آن، جزئیات حساب و صورتحساب افرادی که در فضای کاری شما هستند.
دسته‌های موضوعات داده: کاربران نهایی شما، کارکنان شما، و هر کسی که پرامپت‌های شما به هر دلیلی درباره‌ی او باشد.
داده‌های دسته‌ی ویژه: درگاه آن را ممنوع نمی‌کند و نمی‌تواند آن را تشخیص دهد. اگر استفاده‌ی شما شامل داده‌های سلامت، زیست‌سنجی، کیفری یا دیگر داده‌های دسته‌ی ویژه باشد، مستندسازی و توجیه قانونی آن تصمیمی است که شما به‌عنوان کنترل‌کننده باید بگیرید.
4. دستورهای ما و محدودیت‌های ما
ما داده‌های شخصی را فقط طبق دستورهای مستند شما پردازش می‌کنیم، که در این سرویس یعنی: درخواست‌هایی که می‌فرستید، تنظیماتی که در کنسول انتخاب می‌کنید، و همین توافق‌نامه. استفاده از API همان دستور است.
اگر معتقد باشیم دستوری قانون حفاظت از داده را نقض می‌کند، به جای اینکه بی‌صدا آن را اجرا کنیم، به شما اطلاع می‌دهیم.
اگر قانون ما را به افشای داده‌های شما ملزم کند، پیش از این کار به شما اطلاع می‌دهیم، مگر اینکه قانون ما را از اطلاع دادن به شما منع کند.
هر کسی که دسترسی دارد ملزم به رازداری است، و دسترسی فقط به کسانی داده می‌شود که برای اجرای سرویس به آن نیاز دارند.
5. امنیت
این تدابیر همان‌هایی هستند که اعلامیه‌ی حریم خصوصی به‌طور کامل فهرست کرده است، از جمله مواردی که وجود ندارند. این تدابیر عبارت‌اند از رمزگذاری در حین انتقال، ذخیره‌ی هش‌شده‌ی اطلاعات ورود، جداسازی سطح ردیف برای هر مستأجر در پایگاه داده، و پایگاه داده‌ای که هیچ راهی به اینترنت ندارد. نسخه‌های پشتیبان رمزگذاری می‌شوند و هر ساعت و هر روز به خارج از محل کپی می‌شوند، و بازیابی از آن‌ها در ۴ اکتبر ۲۰۲۶ تمرین شد.
آنچه وجود ندارد: بدون ISO/IEC 27001، بدون SOC 2، بدون آزمون نفوذ سفارشی، بدون ماژول امنیتی سخت‌افزاری (HSM)، بدون بیمه‌ی سایبری.
ما در طول مدت این توافق‌نامه این تدابیر را تضعیف نمی‌کنیم.
6. پردازشگرهای فرعی
شما مجوز عمومی برای پردازشگرهای فرعی فهرست‌شده در فهرست پردازشگرها می‌دهید، که نام هر شرکت، آنچه دریافت می‌کند و محل آن را ذکر می‌کند. ارائه‌دهندگان مدل پردازشگر فرعی هستند و محتوای درخواست‌ها را دریافت می‌کنند.
هر مورد جدیدی را که به آن فهرست اضافه شود، پیش از آنکه پردازش داده‌های شما را آغاز کند منتشر می‌کنیم، و فهرست تاریخ آخرین بررسی خود را نشان می‌دهد. اگر بر پایه‌ی دلایل معقول حفاظت از داده با یک مورد جدید مخالف هستید، به ما بگویید. در این صورت می‌توانید استفاده از مدل‌هایی را که آن پردازشگر ارائه می‌کند متوقف کنید، یا حساب را ببندید و اعتبار استفاده‌نشده را بازپس بگیرید.
هر پردازشگر فرعی، از طریق شرایط حفاظت از داده در قرارداد خودش، ملزم به شرایطی است که حمایت آن کمتر از این شرایط نیست.
7. کمک به شما برای انجام تعهدات خودتان
اگر یکی از موضوعات داده‌ی شما مستقیماً با ما تماس بگیرد، به جای شما پاسخ نمی‌دهیم؛ او را به شما ارجاع می‌دهیم و به شما اطلاع می‌دهیم که این اتفاق افتاده است.
ما به شما کمک می‌کنیم به درخواست‌های دسترسی، حذف، اصلاح و انتقال‌پذیری پاسخ دهید. ما متن پرامپت یا پاسخ را ذخیره نمی‌کنیم، مگر در جایی که جدول نگهداری در اعلامیه‌ی حریم خصوصی می‌گوید قابلیتی آن را نگه می‌دارد. برای هر چیز دیگر، آنچه نیاز دارید در سیستم‌های خود شماست، نه در سیستم‌های ما. برای مواردی که در جدول آمده است، حساب را به ما بگویید تا در یافتن یا پاک کردن آن کمکتان کنیم.
ما با پاسخ دادن به پرسش‌ها درباره‌ی نحوه‌ی کار سرویس، در ارزیابی تأثیر حفاظت از داده (DPIA) یا مشورت پیشین به شما کمک می‌کنیم.
8. اگر نقض داده رخ دهد
پس از آگاه شدن از نقض داده‌های شخصی که داده‌های شما را تحت تأثیر قرار دهد، بدون تأخیر ناموجه به شما اطلاع می‌دهیم. آنچه را در آن زمان می‌دانیم به شما می‌گوییم، حتی اگر تصویر هنوز کامل نباشد.
ما به تعداد ساعت مشخصی متعهد نمی‌شویم. تعهد ما این است که به محض اطلاع به شما خبر دهیم، و با دانستن بیشتر دوباره خبر دهیم.
9. انتقال بین‌المللی
انتقال‌ها همراه با کشور و دلیل هر کدام در اعلامیه‌ی حریم خصوصی فهرست شده‌اند. به‌طور خلاصه: میزبانی در آلمان، استنتاج مدل در ایالات متحده و فرانسه، پرداخت‌ها در ایالات متحده و ایرلند، DNS در ایالات متحده، و ایمیل خروجی در استرالیا.
هر جا بریتانیا حکم به کفایت سطح حفاظت داده باشد، به آن تکیه می‌کنیم، و در غیر این صورت به شرایط حفاظت از داده‌ای که هر تأمین‌کننده منتشر می‌کند. ما ارزیابی مستندی از ریسک انتقال انجام نداده‌ایم، و اگر فرایند شما آن را لازم دارد، باید پیش از شروع بپرسید، نه پس از آن.
10. حذف، و اثبات آن
وقتی حساب شما حذف شود، داده‌های شخصی آن حذف می‌شوند، به جز سوابق صورتحسابی که ملزم به نگهداری آن‌ها به مدت شش سال هستیم و سوابق ممیزی اقدام‌های اپراتورها.
می‌توانید این کار را خودتان از کنسول انجام دهید، بدون اینکه از ما بخواهید.
در صورت درخواست، حذف را به‌صورت کتبی تأیید می‌کنیم.
11. ممیزی
ما اطلاعات لازم برای اثبات انطباق با ماده‌ی ۲۸ را ارائه می‌دهیم و به پرسش‌نامه‌ی امنیتی پاسخ می‌دهیم.
گزارش ممیزی شخص ثالثی نداریم، چون هیچ ممیزی‌ای سفارش داده نشده است. ممیزی حضوری یا شخص ثالث موضوع گفت‌وگوست، نه سندی که امروز بتوانیم بفرستیم.