人工智能与数据处理附录

1. 标的与适用范围

本附录适用于 Toroidal Winding di Antonio Perin 在绕组供货过程中代表客户进行的一切个人数据处理，以及一切涉及客户数据或技术文件的人工智能系统使用行为。

本附录与主合同不一致时，就本附录所涵盖事项，以本附录为准。

2. 定义

• 人工智能系统：欧盟条例 2024 1689 第 3.1 条所定义的自动化系统。
• 提供者与部署者：同一条例第 3 条所定义的角色。就我们使用的通用模型而言，我们始终是部署者，绝非提供者。
• 控制者与处理者：欧盟条例 2016 679 第 4 条所定义的角色。
• 客户数据：图纸、规格、试验数据、联系人信息以及客户传送给我们的其他一切信息。

3. 双方角色

就客户告知我们的其员工与联系人的数据而言，客户为控制者，我们为处理者。就我们自行收集的数据，例如商业联系人，我们按隐私政策作为独立控制者。

我们仅依据书面记录的指示处理客户数据。采购订单、技术规格与本附录构成上述指示。若某项指示在我们看来违反适用法律，我们将在执行前以书面形式提出。

4. 我们如何使用人工智能系统

我们仅将生成式人工智能工具用于有限的内部工作，以下为完整清单。

• 撰写和校订商务文本与内部技术文件。
• 翻译往来函件与技术数据表。
• 概括较长的技术咨询，以便编制报价。
• 辅助计算，使用前一律人工复核。

任何涉及个人、供货或试验结论的决定都不会由自动化系统作出。最终把关始终由人完成，责任在工坊负责人。

5. 我们给自己设定的界限

• 未经具体书面授权，我们不会把图纸、保密规格、价目表或客户个人数据输入公共人工智能系统。
• 我们不授权任何服务商使用客户数据训练、再训练或改进模型。凡服务允许之处，训练选项一律关闭。
• 我们不使用属于欧盟条例 2024 1689 第 5 条所禁止做法的系统。
• 我们不使用人工智能筛选或评价个人。
• 我们不生成可能被误认为认证、试验报告或符合性声明的内容。这类文件由人撰写并签署。

6. 次级处理者

我们使用隐私政策中列出的次级处理者。依据条例第 28.2 条，该授权为一般授权：任何新增或替换我们都会提前至少三十天书面告知，客户可在该期限内提出有理由的异议。

每一位次级处理者均通过合同承担不低于此处义务的约束，包括禁止以客户数据进行训练。

7. 跨境传输

当某服务商在欧洲经济区以外处理数据时，该传输依据充分性决定，或依据欧盟委员会第 2021 914 号实施决定中的标准合同条款，并辅以个案评估所需的补充措施。

8. 安全措施

我们采取条例第 32 条要求的技术与组织措施，与工坊规模及风险相称：

• 经由网站和邮件传输的一切内容均加密。
• 存有客户数据的账户启用多因素认证。
• 图纸访问权限仅限于负责制造该零件的人员。
• 定期备份并验证还原。
• 安全销毁停用的存储介质。

9. 透明度与人工监督

若提供给客户的文本有人工智能系统的实质性参与，且上下文可能造成误解，我们会予以说明，符合欧盟条例 2024 1689 第 50 条的要求。

工坊中使用这些工具的人员了解第 5 点的界限。任何涉及计算、公差或试验的结果，在发出前都会经过复核。

10. 对作为控制者的客户的协助

应客户要求并在合理范围内，我们在以下方面提供协助：

• 回应数据主体请求，自收到通知起五个工作日内。
• 数据保护影响评估与事先咨询。
• 泄露通知：我们将不无故迟延地通知客户，并在知悉后 48 小时内提供第 33.3 条所要求的信息。
• 通过提供必要信息，证明义务的履行。

11. 核查

客户每年可进行一次核查，须提前至少十五个工作日通知，可自行进行或委托受保密义务约束且不构成竞争关系的第三方进行。核查在工作时间内进行，且不中断生产。

12. 返还与删除

关系结束时，由客户选择，我们在六十天内返还或删除代其处理的个人数据，法律要求保存的部分除外。批次技术文件为可追溯性目的至少归档保存五年，单独存放，仅在请求时开放查阅。

13. 期限、适用法律与联系方式

本附录在整个供货关系期间有效，对有相应规定的义务，在关系结束后继续有效。适用意大利法律。管辖法院见法律声明。

关于本附录的问题请写信至 info@toroidalwinding.it。应要求我们可提供带抬头的签署纸质副本。

附件 A. 处理细节