پیوست پردازش داده‌ها (DPA)
ضوابط قراردادی حفاظت از داده‌های شخصی و سازمانی مطابق با استانداردهای بین‌المللی و ماده ۲۸ مقررات GDPR.
۱. نقش طرفین (کنترل‌کننده و پردازشگر داده)
در خصوص داده‌های شخصی یا سازمانی موجود در پرامپت‌ها و پاسخ‌های عبوری از گیت‌وی زوپیر، مشتری در نقش «کنترل‌کنندهٔ داده (Data Controller)» و زوپیر در نقش «پردازشگر داده (Data Processor)» عمل می‌کند.
زوپیر داده‌های ارسالی را صرفاً بر اساس دستورات فنی صریح مشتری (یعنی مسیریابی درخواست به مدل و ارائه‌دهندهٔ انتخاب‌شده در پارامترهای API) پردازش می‌نماید.
۲. تدابیر امنیتی فنی و سازمانی (TOMs)
زوپیر بالاترین استانداردهای امنیتی را در تمامی لایه‌های زیرساخت خود اعمال می‌کند:
- پردازش در حافظهٔ موقت (Zero-Data-Retention): عدم نوشتن محتوای پیام‌ها روی دیسک در حالت پیش‌فرض.
- رمزنگاری در انتقال و ذخیره‌سازی: ارتباطات بر بستر TLS 1.3 و رمزنگاری پوششی AES-256-GCM برای تمامی کلیدها و فایل‌ها.
- ایزولاسیون کامل سازمانی (Multi-Tenant Isolation): تفکیک کامل کلیدها، فایل‌ها، لاگ‌ها و حساب‌های مالی بر اساس شناسهٔ یکتای سازمان.
- ممیزی تغییرناپذیر (Audit Log): ثبت تمامی عملیات حساس امنیتی و مدیریتی در جداول فقط-افزودنی.
۳. مدیریت زیرپردازنده‌ها و کنترل مسیر داده
لیست کامل ارائه‌دهندگان مدل و زیرساخت‌های همکار در صفحهٔ /legal/subprocessors منتشر شده است. مشتریان سازمانی می‌توانند در هر درخواست با استفاده از پارامترهای provider.only و provider.ignore دقیقاً مشخص کنند که دادهٔ آن‌ها صرفاً به کدام ارائه‌دهنده ارسال شود.
۴. اطلاع‌رسانی حوادث امنیتی
در صورت وقوع هرگونه رخنهٔ امنیتی تأییدشده که داده‌های سازمان مشتری را تحت تأثیر قرار دهد، زوپیر حداکثر ظرف ۴۸ ساعت موضوع را به همراه گزارش فنی و اقدامات اصلاحی به اطلاع مالک سازمان می‌رساند.