Соответствие Hedy требованиям GDPR: DPA, стандартные договорные положения и европейские стандарты конфиденциальности

Hedy AI внедрила договорную и техническую основу для законной обработки персональных данных в соответствии с Общим регламентом Европейского союза по защите данных (GDPR). Это значит, что наши пользователи, будь то в Берлине, Барселоне или Бостоне, могут пользоваться Hedy, будучи уверены, что данные их разговоров обрабатываются по одной из самых строгих в мире систем защиты конфиденциальности. Эта основа включает все гарантии, необходимые для использования Hedy AI в качестве обработчика данных по европейскому законодательству о защите данных.

Что на самом деле означает соответствие GDPR для ИИ-инструментов

Когда вы пользуетесь ИИ-коучем для встреч вроде Hedy, вы делитесь транскриптами разговоров, аналитикой встреч и, возможно, чувствительной деловой информацией. Соответствие GDPR — это не просто галочка в регуляторном списке, а создание конкретных гарантий для этих данных.

Для ИИ-приложений GDPR ставит особые задачи. В отличие от простых сервисов хранения данных, ИИ-инструменты обрабатывают и анализируют вашу информацию, чтобы получать аналитику. Это требует внимательного подхода к следующему:

• Как данные передаются между вашим устройством и системами обработки ИИ
• Что происходит с транскриптами после анализа
• Как сторонние поставщики ИИ обращаются с вашей информацией
• Ваша возможность контролировать, экспортировать или удалять свои данные

Надёжная основа для европейского бизнеса

Европейские организации теперь могут опираться на усиленную систему мер на стороне обработчика, которая помогает им выполнять собственные обязательства по Общему регламенту по защите данных (GDPR). Как и прежде, окончательная ответственность за соблюдение GDPR остаётся на клиенте как контролёре данных — Hedy AI обеспечивает гарантии, необходимые на стороне обработчика.

Что мы внедрили

Чтобы создать прочную основу для использования Hedy AI в соответствии с GDPR, мы разработали и опубликовали следующие договорные и технические компоненты:

Дополнение об обработке данных (ст. 28 GDPR)

Наше дополнение об обработке данных точно определяет, как мы обрабатываем ваши данные в качестве обработчика. Это юридически обязывающее соглашение гарантирует, что мы обрабатываем данные только по вашим указаниям и для конкретных целей, которые вы разрешили, а именно для предоставления вам аналитики встреч в реальном времени.

Стандартные договорные положения ЕС (модуль 2, 2021/914)

Стандартные договорные положения (SCC) включены как механизм передачи персональных данных из ЕС и ЕЭЗ в Соединённые Штаты. Эти положения договорно обязывают Hedy AI соблюдать защиту на уровне ЕС и обеспечивают субъектам данных права, которые можно отстоять в правовом порядке.

Технические и организационные меры (ст. 32 GDPR)

Мы задокументировали и внедрили комплексные меры безопасности, включая:

• Сквозное шифрование данных при передаче и хранении
• Нулевое хранение данных там, где это возможно
• Строгий контроль доступа и протоколы аутентификации
• Регулярные аудиты безопасности и оценки уязвимостей
• Понятные политики хранения и удаления данных
• Процедуры реагирования на инциденты
• Защитные меры на уровне инфраструктуры

Оценка последствий передачи данных (TIA)

Мы провели тщательную оценку последствий передачи данных, в которой рассматриваются соответствующие законы и практика США, влияющие на доступ к передаваемым персональным данным из ЕС. По результатам первоначальной оценки мы определили шаги по снижению рисков и внедрили дополнительные меры для защиты ваших данных. Эта оценка, доступная в нашем Центре доверия, показывает, как мы защищаем данные ЕС, даже когда они пересекают границы.

Прозрачность в отношении субобработчиков (ст. 28(2) и (4) GDPR)

Все субобработчики договорно связаны теми же обязательствами по защите, полностью задокументированы и перечислены с указанием их ролей в нашем Центре доверия по адресу trust.hedy.ai. Изменения проходят через предусмотренный законом процесс уведомления и возражения.

Где выполняется обработка ИИ для аккаунтов ЕС

Какой поставщик выполняет шаг ИИ (резюме, подробные заметки, чат, основные моменты и подсказки в реальном времени), зависит от региона данных аккаунта и от варианта обработки ИИ, который выбирает пользователь.

• Облачный ИИ для аккаунтов ЕС работает на Inceptron. Inceptron — поставщик услуг инференса ИИ из Лунда (Швеция) с GPU-мощностями в Финляндии и Франции. Наше соглашение об обработке данных закрепляет, что аккаунт Hedy настроен только для ЕС, поэтому обработка остаётся в пределах ЕС и ЕЭЗ. Inceptron не хранит содержимое запросов и ответов и не обучается на нём. Это относится к аккаунтам в регионе данных ЕС и к более старым аккаунтам, которые выбрали обработку ИИ в ЕС. В анонсе об Inceptron объясняется, почему мы выбрали эту компанию.
• Резервный вариант: Google Vertex AI в регионе ЕС. Если Inceptron недоступен, запросы от аккаунтов ЕС направляются в Vertex AI в регионе ЕС, так что они по-прежнему обрабатываются в ЕС. Штаб-квартира Google находится в США, поэтому компания указана как отдельный субобработчик.
• Сервисы в США для всех пользователей. Вход в аккаунт, оплата подписки, отслеживание ошибок и почтовые провайдеры, которые отправляют письма с автоматическими резюме, работают в США независимо от региона. Эти передачи покрываются SCC и описанной выше оценкой последствий передачи данных. Если вы хотите, чтобы содержимое сессий не попадало в почту, отключите автоматические резюме и читайте свои сессии в приложении.
• Локальный ИИ и «Отключено». При выбранном локальном ИИ на подходящем оборудовании анализ выполняется на устройстве пользователя, и никакие субобработчики ИИ не задействуются. Если обработка ИИ установлена в «Отключено», для анализа ничего не отправляется.
• Apple Private Cloud Compute. На подходящих iPhone и iPad с iOS 27 пользователи могут выбрать Apple Private Cloud Compute для шага ИИ. Он работает под собственным аккаунтом Apple пользователя и в рамках дневного лимита Apple, а не через партнёров Hedy по ИИ. Apple не гарантирует регион обработки, поэтому этот вариант выходит за рамки региона данных ЕС. Hedy сообщает об этом при первом выборе. Организациям, которым требуется обработка в ЕС, следует оставить пользователей на облачном ИИ с регионом ЕС или на локальном ИИ.

Распознавание речи — отдельная тема. По умолчанию оно выполняется на устройстве пользователя, поэтому звук для транскрипции не отправляется на сервер.

Что это значит для разных пользователей

Для европейского бизнеса

Европейские компании могут использовать Hedy в рамках собственной системы GDPR и собственной оценки соответствия. Документация, которую мы предоставляем, включая DPA, SCC, технические и организационные меры (TOM) и нашу оценку последствий передачи данных (TIA), помогает службам комплаенса оценить Hedy и встроить её в существующие процессы защиты данных.

Для здравоохранения и регулируемых отраслей

Наша система мер, соответствующая GDPR, — важный шаг к ответственному использованию Hedy в регулируемой среде. Помимо этих гарантий GDPR Hedy прошла независимую проверку SOC 2 Type I по средствам контроля безопасности и оценку HIPAA в качестве Business Associate — вместе они дают прочную базу для организаций с повышенными требованиями к защите данных.

Для индивидуальных специалистов

Транскрипты ваших встреч, аналитика и персональные данные обрабатываются с чёткими гарантиями. Вы полностью контролируете свою информацию и можете в любой момент получить доступ к данным, экспортировать или удалить их, а также видите, как и зачем они обрабатываются.

Обязанности клиентов не меняются

Для полного соответствия GDPR клиенты по-прежнему должны выполнять собственные обязательства как контролёры данных. Они включают, среди прочего:

• установление правового основания для обработки,
• информирование субъектов данных в соответствии с требованиями прозрачности,
• ведение реестров операций обработки,
• внедрение внутренних процедур доступа и удаления,
• проведение оценки воздействия на защиту данных (DPIA) там, где это требуется.

Наша система мер специально разработана, чтобы поддерживать выполнение этих обязательств и обеспечивать все гарантии на стороне обработчика, которых требует GDPR.

Создано для соответствия, построено на доверии

Благодаря этой системе мер Hedy AI предлагает полноценную конфигурацию соответствия на стороне обработчика: договорную, техническую и организационную. В сочетании с собственными мерами клиента как контролёра данных Hedy AI можно использовать для обработки персональных данных в полном соответствии с европейским законодательством о защите данных.

Как разобраться в документации по соответствию

Мы знаем, что юридические документы бывают сложными. Чтобы помочь вам разобраться в нашей системе соответствия GDPR, мы подготовили подробное руководство, которое проведёт вас по каждому документу и вашим обязанностям как контролёра данных.

Откройте наше руководство «Guidance on Fulfilling Your GDPR Accountability When Using Hedy AI»:

• Английская версия
• Немецкая версия

Это руководство содержит практический чек-лист для проверки нашего дополнения об обработке данных, оценки последствий передачи данных, технических и организационных мер и списка субобработчиков. Оно призвано помочь вашей службе комплаенса эффективно выполнить оценку GDPR и подготовить необходимую документацию.

Внедрение в организациях

Если вы используете Hedy в своей организации, вот как обеспечить соответствие GDPR со своей стороны:

1. Изучите и утвердите наше DPA и приложения к нему
2. Задокументируйте свои выводы по нашей оценке последствий передачи данных
3. Убедитесь, что наши технические и организационные меры отвечают вашим требованиям безопасности
4. Изучите и утвердите наш актуальный список субобработчиков
5. Наладьте процесс рассмотрения изменений среди субобработчиков

Подробные рекомендации для вашей службы комплаенса, которые помогут выполнить эти шаги, мы публикуем в нашем Центре доверия.

Конфиденциальность по замыслу, а не по обязанности

Соответствие GDPR отражает нашу приверженность разработке с приоритетом конфиденциальности. Создавая функцию автоматических подсказок Hedy, мы проектировали её так, чтобы она обрабатывала разговоры без хранения лишних данных. Внедряя темы для организации сессий, мы позаботились о том, чтобы пользователи полностью контролировали свои сгруппированные разговоры.

Такой подход — конфиденциальность по замыслу, а не соответствие, добавленное задним числом, — означает, что принципы GDPR заложены в то, как работает Hedy, а не только в то, как мы оформляем документы.

Что дальше

Соответствие GDPR — один из этапов нашей постоянной работы по защите данных. Недавние достижения:

• SOC 2 Type I: независимая проверка наших средств контроля безопасности завершена и подтверждена третьей стороной
• HIPAA: независимая оценка в качестве Business Associate
• Хранение данных в ЕС теперь доступно: новые пользователи могут выбрать европейское или американское хранилище при первоначальной настройке
• Обработка ИИ в ЕС на Inceptron: облачный ИИ для аккаунтов ЕС работает на шведском поставщике по договору, ограничивающему обработку ЕС и ЕЭЗ, а резервным вариантом служит Vertex AI в регионе ЕС

Подход со стороны покупателя описан в нашем чек-листе GDPR для ИИ-инструментов для встреч, а подробный разбор лучшего ИИ-инструмента для встреч, соответствующего GDPR, показывает, где большинство инструментов не дотягивает.

Часто задаваемые вопросы

Соответствует ли Hedy требованиям GDPR?

Hedy обеспечивает всю систему мер на стороне обработчика данных, которую требует GDPR: дополнение об обработке данных (DPA) в соответствии со статьёй 28, стандартные договорные положения ЕС для передачи данных в США, оценку последствий передачи данных, документированные технические и организационные меры и прозрачность в отношении субобработчиков. Клиенты остаются контролёрами данных и сохраняют собственные обязанности (правовое основание, прозрачность, оценка воздействия на защиту данных там, где она требуется, права субъектов данных).

Предоставляет ли Hedy дополнение об обработке данных (DPA)?

Да. DPA Hedy точно определяет, как мы обрабатываем ваши данные в качестве обработчика по статье 28 GDPR, включая обработку только по вашим указаниям, срок обработки, обязательства по безопасности, условия для субобработчиков, содействие в реализации прав субъектов данных и уведомление о нарушениях. Оно доступно через Центр доверия и автоматически включается в договор для бизнес-аккаунтов.

Где получить документацию Hedy по соответствию GDPR?

Вся документация по соответствию — DPA, стандартные договорные положения ЕС (модуль 2, 2021/914), оценка последствий передачи данных, технические и организационные меры и актуальный список субобработчиков — доступна через Центр доверия по адресу trust.hedy.ai. Клиенты также могут получить доступ к документации через настройки аккаунта и запросить его по адресу privacy@hedy.ai.

Кто субобработчики Hedy и где они работают?

Все субобработчики перечислены в Центре доверия с указанием их ролей и мест обработки, и они договорно связаны теми же обязательствами по защите, что и Hedy. Изменения проходят через предусмотренный законом процесс уведомления и возражения по статье 28(2) и (4). Для аккаунтов ЕС облачная обработка ИИ выполняется у Inceptron в Лунде (Швеция) по договору, который ограничивает обработку территорией ЕС и ЕЭЗ, а резервным вариантом служит Google Vertex AI в регионе ЕС. Вход в аккаунт, оплата подписки, отслеживание ошибок и почтовые провайдеры автоматических резюме для всех пользователей находятся в США.

Остаётся ли Apple Private Cloud Compute в регионе данных ЕС?

Нет. Apple Private Cloud Compute — это вариант, который пользователи могут выбрать на подходящих iPhone и iPad с iOS 27. Он работает под собственным аккаунтом Apple пользователя, а Apple не гарантирует регион обработки, поэтому он выходит за рамки региона данных ЕС Hedy. Для хранения и обработки в ЕС используйте облачный ИИ с регионом ЕС или локальный ИИ.

Hedy является контролёром или обработчиком данных по GDPR?

Hedy выступает обработчиком данных, когда обрабатывает данные разговоров клиентов от вашего имени. Вы — пользователь или ваша организация — являетесь контролёром данных. Hedy обеспечивает технические, организационные и договорные меры для поддержки ваших обязательств; на вас остаются обязанности контролёра, включая установление правового основания, обеспечение прозрачности для субъектов данных и обработку запросов о правах.

Доступ к документации

Вся документация по соответствию GDPR доступна в нашем Центре доверия через настройки вашего аккаунта Hedy. Если вы ещё не клиент, но вам нужно изучить нашу систему соответствия, запросите доступ на trust.hedy.ai.

Вопросы о соблюдении GDPR или практике защиты данных? Свяжитесь с нашей командой по защите данных через Центр доверия или напишите на privacy@hedy.ai.