Споразумение за обработване на данни на Vavus Concierge

Настоящото Споразумение за обработване на данни („DPA“) е между DCI Brands LLC („Vavus“, „ние“, обработващият лични данни), 312 W 2nd Street, Casper, WY 82601, United States, и компанията, която управлява работно пространство във Vavus Concierge (титулярът, администраторът). То се прилага за данните за посетителите, които Vavus обработва по указание на титуляря чрез услугата Concierge: конзолата, уиджета за уебсайта, хостваните страници на агента, телефонните канали и каналите за съобщения и резервациите.

То допълва Условията за ползване на Vavus Concierge, които титулярът приема заедно с настоящото DPA. Когато настоящото DPA противоречи на Условията на Concierge по отношение на обработването на данните за посетителите, предимство има настоящото DPA. То е изготвено така, че да отговаря на член 28 от Общия регламент относно защитата на данните (ОРЗД) и от ОРЗД на Обединеното кралство, на член 9 от швейцарския Федерален закон за защита на данните (FADP) и на сравними задължения на обработващите лични данни другаде; когато местното право налага по-строги задължения на обработващите лични данни, те имат предимство за обработването в съответната юрисдикция. Приложение IV се прилага допълнително, когато закон за поверителността на щат в Съединените щати урежда данните за посетителите на титуляря.

Титулярът е администратор на данните за посетителите: той решава какво прави асистентът, какви знания съдържа, кои канали работят и какво се изисква от посетителите. Vavus е обработващ лични данни: действаме само по указание на титуляря чрез конзолата и нормалната работа на услугата и обработваме данните за посетителите единствено за да предоставяме Concierge.

Незабавно ще уведомим титуляря, ако според нас дадено указание нарушава приложимото право в областта на защитата на данните, и няма да изпълним очевидно незаконосъобразно указание. Ако законът изисква обработване извън документираните указания, ще уведомим титуляря преди това обработване, освен ако законът забранява това. Не обработваме данните за посетителите за собствени цели и не ги използваме за обучение на нашите модели, нито ги продаваме.

Настоящото DPA, включително условията за предаване в раздели 7 и 13 до 15, обхваща титуляр, който е администратор на данните за своите посетители. То не обхваща титуляр, който обработва данните от името на друг администратор, тъй като не предлага Модул 3 (предаване на данни от обработващ лични данни на обработващ лични данни) от Клаузите; такава компания не може да го приеме за тези данни.

Титулярът носи отговорност за законосъобразността на това, което ни възлага да правим. Той потвърждава, че има правно основание за обработването, включително съгласно членове 6, 9 и 10 от ОРЗД, когато те се прилагат; че е предоставил на посетителите информацията, изисквана от членове 12 до 14, и е получил всяко съгласие, изисквано от закона, включително за записване или превод на разговор; и че указанията му са в съответствие с правото в областта на защитата на данните. Освен ако работното пространство е конфигурирано за здравеопазване, титулярът няма да насочва към услугата данни за посетители, които включват държавни идентификационни номера, номера на платежни карти, идентификационни данни за финансови сметки, пароли за други услуги, биометрични данни, данни, съзнателно събрани от деца под 16 години, или специални категории данни, като данни за здравето, расов или етнически произход, политически възгледи, религия или сексуална ориентация, и ще премахва всички такива данни, постъпили по случайност. Титулярът пази сигурни идентификационните си данни за конзолата, решава кой от екипа му има достъп, пази собствено копие на всичко, което не може да си позволи да загуби, и потвърждава, че е прегледал мерките в раздел 5 и приложение II и ги намира за адекватни за данните, които обработва чрез Concierge.

Категории данни за посетителите, доколкото конфигурацията на титуляря ги събира: идентификатори, които посетителят предоставя (име, телефонен номер, имейл адрес), съдържание на разговорите (съобщения, гласово аудио, транскрипции и всички записи, които титулярът извършва), записи за контакти и резервации, които асистентът създава въз основа на действията на посетителя, технически данни за сесиите (времеви отпечатъци, канал, език) и лични данни, съдържащи се в материали, които титулярът качва в знанията на асистента, или в гласови образци, които титулярът предоставя за създаване на персонализиран глас.

Субектите на данните са посетителите, клиентите, потенциалните клиенти и служителите на титуляря, чиято информация се предоставя на услугата. Обработването включва събиране, предаване, организиране, съхранение, извличане, превод, генериране на отговори, разкриване пред оправомощен персонал и свързани доставчици и изтриване. Цел: предоставяне на Concierge по указанията на титуляря. Продължителността следва приложимите настройки за съхранение и раздел 9, вместо автоматично да обхваща целия срок на съществуване на работното пространство.

Достъп имат само служителите, които се нуждаят от него, за да поддържат работата или сигурността на услугата, при задължения за поверителност, а за работните пространства, конфигурирани за здравеопазване, достъпът се регистрира. Не поставяме съдържание на посетители в данни за анализ, чатове за поддръжка или публични системи за проследяване.

Услугата работи на собствената ни инфраструктура при мерките, описани на нашата страница „Сигурност“: TLS при пренос, криптиране в покой, достъп при най-малки привилегии, одитни записи, сигурно изтриване на файлове след изтичане на срока им на съхранение и защитени крайни точки зад защитна стена за уеб приложения. Записите се съхраняват в обектно хранилище с контролиран достъп; достъпът до конзолата е удостоверен и ограничен по роли. Можем да актуализираме тези мерки с промяната на технологиите и заплахите, при условие че общата защита на данните за посетителите не намалява съществено.

Ангажираме обработващи лични данни подизпълнители по функции: облачен хостинг и съхранение (Google Cloud); разпознаване на реч, синтез на реч, превод и ИИ модели (Google, OpenAI, Anthropic, ElevenLabs и AssemblyAI); семантично насочване на репликите в разговорите, когато работното пространство го включи (TypeSafe); телефония и текстови съобщения за телефонните номера, които предоставяме на титуляря (Twilio); плащания за собствения план и използване на титуляря (Stripe); доставка на имейли (Resend, както и нашия собствен сървър Postal на собствената ни инфраструктура); и – когато титулярът свързва системи за телефония, съобщения, плащания, резервации или бизнес системи – собствените доставчици на титуляря (например собствения му акаунт в Twilio, доставчика на WhatsApp, собствения му акаунт в Stripe, неговия календар или неговата CRM система), които титулярът ангажира пряко на собствено основание. Приложение III посочва поименно всеки обработващ лични данни подизпълнител и неговата функция.

Титулярът дава общо писмено разрешение за обработващите лични данни подизпълнители, посочени в актуалния списък, предоставен за неговата услуга. Налагаме на всеки обработващ лични данни подизпълнител задължения за защита на данните, равностойни на тези в настоящото DPA, чрез писмено споразумение и оставаме отговорни пред титуляря за неговото изпълнение. Съдържанието на посетителите не трябва да се използва за обучение на модели без отделно законосъобразно указание и договорно основание. Актуалният поименен списък е приложение III и е на разположение и при поискване, а ние уведомяваме титуляря поне 30 дни предварително в конзолата или по имейл, преди нов обработващ лични данни подизпълнител да започне да обработва данни за посетители, като през този срок титулярът може да възрази на разумни основания, свързани със защитата на данните. След това работим добросъвестно с титуляря за разрешаване на възражението; ако не успеем, титулярът може да прекрати работното пространство, преди новият обработващ лични данни подизпълнител да започне да обработва данните му, и това е единственото средство за защита във връзка с възражението. Вече дължимите такси остават платими, а всяко възстановяване на суми следва Условията на Concierge.

Услугата работи в Съединените щати и, за по-ниско забавяне, с периферен възел в Европейския съюз (Франкфурт). Поради това данните за посетителите може да бъдат обработвани във всеки от двата региона според изискванията на маршрутизирането на сесиите. Преди да се извърши ограничено международно предаване, страните трябва да установят приложимия законосъобразен механизъм за предаване и да документират местоназначенията и гаранциите. Когато се използват стандартни договорни клаузи, приложимите клаузи, модул, варианти и попълнени приложения трябва да бъдат част от споразумението за предаване.

За предаването на данни за посетители към нас в Съединените щати настоящото DPA е това споразумение за предаване и титулярът се позовава на него без отделен подпис: за предаване, уредено от ОРЗД (от Европейското икономическо пространство) – Клаузите, както са изложени в раздел 13 и приложенията към него; за предаване, уредено от правото на Обединеното кралство в областта на защитата на данните – Клаузите заедно с Допълнението на Обединеното кралство за международно предаване на данни, както е изложено в раздел 14; и за предаване, уредено от швейцарския FADP – Клаузите с швейцарските адаптации в раздел 15. Всеки от тези режими се прилага за всяко предаване, което съответното право урежда, независимо от отговора, който титулярът е дал в конзолата относно данни от Обединеното кралство или Швейцария. Когато повече от едно от тези права урежда едно и също предаване, всеки набор от условия се прилага в рамките на собственото си право и никой от тях не намалява защитата, която дава друг.

Предаването, уредено от правилата за предаване на друга държава, изисква механизма, изискван от това право; свържете се с нас, преди да разрешите обработване, което изисква такъв механизъм. Не сме сертифицирани по Рамката за защита на личните данни в отношенията между ЕС и САЩ, нейното разширение за Обединеното кралство или Рамката за защита на личните данни в отношенията между Швейцария и САЩ и никое предаване по настоящото DPA не се основава на тях.

Посетителите са клиенти на титуляря: исканията на посетител относно неговите данни (достъп, коригиране, изтриване, възражение) се отправят до титуляря като администратор и титулярът отговаря на тях, като използва функцията на конзолата за изтриване по контакт. Като отчитаме естеството на обработването, оказваме съдействие чрез подходящи технически и организационни мерки при искания съгласно глава III от ОРЗД и равностойните права съгласно ОРЗД на Обединеното кралство и FADP. Като отчитаме информацията, с която разполагаме, оказваме съдействие и във връзка със сигурността, уведомленията за нарушения, оценките на въздействието върху защитата на данните и предварителната консултация с надзорните органи съгласно членове 32 до 36 от ОРЗД и равностойните разпоредби на ОРЗД на Обединеното кралство и FADP. Съдействието, което надхвърля предоставяното вече от услугата, например събирането на документация за оценка на въздействието върху защитата на данните, може да бъде таксувано по нашите актуални към съответния момент тарифи за професионални услуги, които се съобщават на титуляря предварително.

Ако узнаем за инцидент със сигурността, засягащ данни за посетители в работно пространство, уведомяваме титуляря без ненужно забавяне, след като узнаем за нарушение на сигурността на личните данни. Не чакаме приключването на разследване и не третираме срока на администратора за уведомяване на регулаторните органи като наш срок за уведомяване. Предоставяме наличните подробности за нарушението, засегнатите данни и лица, вероятните последици, лицето за контакт и мерките за ограничаване и предоставяме допълнителна информация на етапи, когато тя стане налична. Титулярът, като администратор, отговаря за всяко уведомяване на собствените си посетители или на регулаторните органи.

Неуспешните опити, които не компрометират данни за посетители, като блокирани опити за вход, сканирания или пингове, не са инциденти и не се докладват. Уведомлението не представлява признаване на вина или отговорност. Когато законът позволява, титулярът ни информира, преди да посочи Vavus в уведомление за инцидент до регулаторен орган, до посетители или до обществеността, и разглежда добросъвестно всяка корекция, която поискаме относно нашата роля в него.

Изтриването на работно пространство премахва конфигурацията на работното пространство и материалите от разговорите, включително записите от обектното хранилище, при спазване на изтичането на криптираните резервни копия съгласно нашата политика за жизнения цикъл и на записите, които законът ни задължава да пазим (записите за плащания за законоустановения данъчен период). Изтриването по контакт премахва материалите от разговорите на този контакт. По избор на титуляря при прекратяване връщаме останалите му лични данни в използваем формат или ги изтриваме и изтриваме съществуващите копия, освен ако приложимото право изисква съхранението им. Искането за връщане трябва да предхожда необратимо указание за изтриване. Запазените резервни копия остават защитени, не се използват за обичайно обработване и се изтриват съгласно приложимия документиран жизнен цикъл; ако бъдат възстановени, указанията за изтриване трябва да бъдат приложени отново.

Ако титулярът не даде указание в срок от 30 дни след края на работното пространство, изтриваме останалите лични данни. При поискване потвърждаваме изтриването писмено.

Предоставяме информацията, необходима за доказване на спазването на настоящото DPA, и позволяваме и съдействаме за извършването на одити, включително проверки, от страна на титуляря или на независим одитор, оправомощен от него. Тези права са достъпни за всеки титуляр и не зависят от корпоративен абонамент.

Одитите започват с документи. При поискване предоставяме нашата документация за сигурността, мерките в приложение II и отговори на разумен въпросник за сигурността, а когато скорошен доклад на независим одитор обхваща съответните контроли, предоставяме този доклад вместо нов одит на тях. Когато документите са действително недостатъчни, след потвърдено нарушение, засягащо данните на титуляря, или когато надзорен орган го изисква, титулярът може да извърши проверка: веднъж в рамките на всеки 12 месеца, освен ако нарушение или регулаторен орган изисква повече, с 30-дневно писмено предизвестие с предложен обхват, в работно време, при споразумение за поверителност, без достъп до данни на други клиенти и чрез одитор, който не е наш конкурент. Одитите са за сметка на титуляря и титулярът споделя констатациите си с нас. Нищо от това не възпрепятства проверка, която регулаторен орган законосъобразно изисква.

Настоящото DPA е в сила, докато съществува работното пространство на титуляря, и се прекратява, когато работното пространство бъде изтрито, а задълженията му за защита на данните продължават, докато ние или нашите обработващи лични данни подизпълнители съхраняваме лични данни на посетители. Разпоредбите на Условията на Concierge относно спорове, отговорност и приложимо право се прилагат само доколкото не ограничават императивни права в областта на защитата на данните, правомощия на регулаторни органи или приложимо споразумение за предаване; при противоречие предимство има това споразумение.

Въпроси относно защитата на данните, списъци с обработващи лични данни подизпълнители, стандартните договорни клаузи, Допълнението на Обединеното кралство и швейцарските адаптации: support@vavusai.com.

За предаването на лични данни на посетители от Европейското икономическо пространство към нас в Съединените щати настоящото DPA включва стандартните договорни клаузи за предаването на лични данни на трети държави, приети с Решение за изпълнение (ЕС) 2021/914 на Комисията от 4 юни 2021 г. („Клаузите“), Модул 2 (предаване на данни от администратор на обработващ лични данни), попълнени с приложенията по-долу. За предаване, уредено от ОРЗД, Клаузите се включват без изменения; раздели 14 и 15 определят как същите Клаузи се прилагат за предаване, уредено от правото на Обединеното кралство и на Швейцария. Те се сключват чрез записаното приемане от страна на титуляря на Условията на Concierge заедно с настоящото DPA: версията и времевият отпечатък, които услугата записва за това приемане, заедно с публикуването от нас на настоящото DPA в тази версия, представляват писменото съгласие на страните с Клаузите, така че не е необходим отделен подпис.

Вариантите в Клаузите се упражняват, както следва. Незадължителната клауза за присъединяване (Клауза 7) не се използва. Клауза 9, буква а) се прилага съгласно варианта за общо писмено разрешение: режимът на обработващите лични данни подизпълнители по раздел 6 е договореното разрешение, а 30-дневното предварително уведомление по него запълва срока за уведомяване по клаузата. Незадължителният независим орган за разрешаване на спорове по Клауза 11, буква а) не се предлага. Компетентният надзорен орган по Клауза 13 се определя по критериите на Клауза 13, буква а), както е посочено в приложение I.В. Съгласно Клауза 17 Клаузите се уреждат от правото на държавата членка, в която е установен титулярът, или, когато титулярът не е установен в държава членка или това право не допуска права на трети страни бенефициери, от правото на Ирландия; съгласно Клауза 18, буква б) компетентни са съдилищата на тази държава членка или в този случай съдилищата на Ирландия, а съгласно Клауза 18, буква в) субектът на данните може да предяви иск и в държавата членка на обичайното си местопребиваване. В Клаузите, както се прилагат съгласно настоящия раздел, държавите членки включват държавите от Европейското икономическо пространство, които не са членки на Европейския съюз.

Когато Клаузите и настоящото DPA си противоречат, Клаузите имат предимство в степента на противоречието, в съответствие с раздел 11. Съгласно Клауза 8.3 (Модул втори) титулярът предоставя Клаузите, включително тези приложения, на субект на данни, който поиска това; за да направим това възможно, предоставяме текста при поискване.

За предаването на лични данни на посетители, за които се прилага правото на Обединеното кралство в областта на защитата на данните (ограничени предавания съгласно ОРЗД на Обединеното кралство), настоящото DPA включва Допълнението за международно предаване на данни към стандартните договорни клаузи на Европейската комисия, издадено от Комисаря по информацията съгласно раздел 119A, алинея 1 от Data Protection Act 2018, версия B1.0, в сила от 21 март 2022 г. („Допълнението“), попълнено с таблиците в настоящия раздел. То се прилага за всяко такова предаване, независимо от отговора, който титулярът е дал в конзолата относно данни от Обединеното кралство. Както позволява раздел 2 от Допълнението, страните го сключват чрез записаното приемане от страна на титуляря на настоящото DPA в тази версия и публикуването от нас на настоящото DPA в тази версия, които го правят правно обвързващо за двете страни и позволяват на субектите на данни да упражняват правата си по него; не е необходим отделен подпис.

Таблица 1 – Страни. Начална дата: датата, на която конзолата записва приемането на тази версия от титуляря. Износител: титулярът, с пълното юридическо наименование, търговското наименование, основния адрес, официалния регистрационен номер и основното лице за контакт (името и длъжността на приелото лице и имейлът за контакт на компанията по въпроси на поверителността), записани с приемането му в конзолата. Вносител: DCI Brands LLC, с търговско наименование Vavus; основен адрес 312 W 2nd Street, Casper, WY 82601, United States; официален регистрационен номер: идентификационен номер на регистрацията при Wyoming Secretary of State 2017-000762309; основно лице за контакт: Dragos Ignat, собственик и основател, support@vavusai.com. Подпис: не се изисква, както е посочено по-горе.

Таблица 2 – Избрани СДК, модули и избрани клаузи. Одобрените СДК на ЕС, включително Информацията в допълнението, като за целите на Допълнението се прилагат само следните модули, клаузи и незадължителни разпоредби: Модул 2 (предаване на данни от администратор на обработващ лични данни) се прилага, а модули 1, 3 и 4 не се прилагат; Клауза 7 (клауза за присъединяване) не се използва; вариантът по Клауза 11 (независим орган за разрешаване на спорове) не се използва; Клауза 9, буква а) се прилага при общо писмено разрешение, със срок от 30 дни за предварително уведомяване.

Таблица 3 – Информация в допълнението. Приложение 1А (Списък на страните): приложение I.А към настоящото DPA. Приложение 1Б (Описание на предаването): приложение I.Б към настоящото DPA. Приложение II (технически и организационни мерки, включително технически и организационни мерки за осигуряване на сигурността на данните): приложение II към настоящото DPA. Приложение III (Списък на обработващите лични данни подизпълнители): приложение III към настоящото DPA.

Таблица 4 – Прекратяване на настоящото Допълнение при промяна на Одобреното допълнение. Кои страни могат да прекратят настоящото Допълнение, както е предвидено в раздел 19 от Допълнението: никоя от страните. Когато Комисарят по информацията издаде преработено Одобрено допълнение съгласно раздел 18 от Допълнението, настоящото Допълнение се изменя, както предвижда преработката, от началната дата, която тя определя.

Задължителни клаузи: Част 2: Задължителни клаузи на Одобреното допълнение, а именно образецът на Допълнение B.1.0, издаден от ICO и внесен в Парламента в съответствие с раздел 119A от Data Protection Act 2018 на 2 февруари 2022 г., както е преработен съгласно раздел 18 от тези Задължителни клаузи. Съгласно тези Задължителни клаузи Допълнението се урежда от правото на Англия и Уелс, споровете се решават от съдилищата на Англия и Уелс, субектът на данните може също да предяви иск срещу всяка от страните пред съдилищата на която и да е държава в Обединеното кралство, а Комисарят по информацията е надзорният орган. Предоставяме текста на Допълнението при поискване.

Оценка на риска при предаване от Обединеното кралство. За предаването към нас в Съединените щати титулярът като износител се позовава, за оценката на правото и практиката в Съединените щати относно достъпа на публичните органи до лични данни и на приложимостта на Допълнението, на анализа на правителството на Обединеното кралство на съответните закони и практики в Съединените щати, изготвен от Министерството на науката, иновациите и технологиите, както позволяват указанията на Комисаря по информацията за извършване на оценка на риска при предаване на данни към Съединените щати, включително за получател, който не е сертифициран по разширението за Обединеното кралство на Рамката за защита на личните данни в отношенията между ЕС и САЩ. Съгласно този анализ защитата на предаваните данни при наличието на Допълнението не е съществено по-ниска от защитата съгласно правото на Обединеното кралство в областта на защитата на данните. Не сме сертифицирани по тази рамка и настоящата оценка не се основава на сертифициране. Предаването, което тя обхваща, е описаното в приложение I.Б, с последващите предавания в приложение III и гаранциите в приложение II и в обобщението на оценката на въздействието на предаването. Ще уведомим титуляря без ненужно забавяне, ако правителството на Обединеното кралство оттегли или съществено промени този анализ или ако вече не можем да спазваме Допълнението, и тогава страните ще преразгледат настоящата оценка.

За предаването на лични данни на посетители, за които се прилага швейцарският Федерален закон за защита на данните от 25 септември 2020 г. (FADP), Клаузите, както са включени в раздел 13, се прилагат като стандартни клаузи за защита на данните, признати от Федералния комисар по защита на данните и информацията (FDPIC) съгласно член 16, параграф 2, буква „г“ от FADP, с адаптациите по-долу. Те се прилагат за всяко такова предаване, независимо от отговора, който титулярът е дал в конзолата относно данни от Швейцария. Когато дадено предаване се урежда както от FADP, така и от ОРЗД, страните поддържат отделни режими: тези адаптации се прилагат само доколкото FADP урежда предаването, а раздел 13 продължава да се прилага без изменения, доколкото ОРЗД го урежда.

• Позоваванията на Регламент (ЕС) 2016/679 се разбират като позовавания на FADP, доколкото предаването подлежи на FADP.
• FDPIC е компетентният надзорен орган по Клауза 13 и приложение I.В за предаване, уредено от FADP; когато ОРЗД също урежда предаването, органът, определен съгласно Клауза 13, буква а), остава компетентен паралелно за тази част.
• За предаване, уредено единствено от FADP, Клаузите се уреждат от швейцарското право съгласно Клауза 17, а споровете между страните съгласно Клауза 18, буква б) се решават от съдилищата на Швейцария по седалището на титуляря.
• Терминът „държава членка“ в Клаузите не трябва да се тълкува по начин, който изключва възможността субектите на данни в Швейцария да предявяват искове за защита на правата си по мястото на обичайното си пребиваване – Швейцария, съгласно Клауза 18, буква в).
• Обобщението на оценката на въздействието на предаването се прилага за тези предавания, като се тълкува с оглед на FADP. Не сме сертифицирани по Рамката за защита на личните данни в отношенията между Швейцария и САЩ, поради което признаването на Съединените щати от Федералния съвет за сертифицираните дружества не обхваща предаването към нас. FADP не изисква използването на тези клаузи да бъде съобщавано на FDPIC.

Износител на данни: титулярът, администраторът на данните за посетителите, установен в държавата, записана за работното пространство в конзолата, която може да бъде държава членка на Европейското икономическо пространство, Обединеното кралство, Швейцария или друга държава; когато титуляр, установен другаде, подлежи на ОРЗД, на правото на Обединеното кралство в областта на защитата на данните или на FADP при обработването на данни за посетители, той е износителят на данни за предаванията, които това право урежда. Дейностите му, свързани с предаването, са извършването на неговата стопанска дейност и управлението на работното пространство в Concierge чрез конзолата. Пълното му юридическо наименование, търговско наименование, адрес, регистрационен номер, имейл за контакт по въпроси на поверителността и името и длъжността на лицето, което е приело от негово име, са записаните с приемането му в конзолата. Роля: администратор.

Вносител на данни: DCI Brands LLC („Vavus“, обработващият лични данни), 312 W 2nd Street, Casper, WY 82601, United States (идентификационен номер на регистрацията при Wyoming Secretary of State 2017-000762309); дейности, свързани с предаването: предоставяне на услугата Concierge съгласно настоящото DPA; контакт по въпроси на защитата на данните: support@vavusai.com. Роля: обработващ лични данни.

Подпис и дата: за износителя на данни – приемането от негова страна на настоящото DPA, записано в конзолата (версия, дата и час и приелото лице); за вносителя на данни – публикуването от нас на настоящото DPA в тази версия, както предвижда раздел 13.

Категории субекти на данни: посетителите, клиентите, потенциалните клиенти и служителите на титуляря, чиято информация се предоставя на услугата.

Категории лични данни: идентификатори, които посетителят предоставя (име, телефонен номер, имейл адрес), съдържание на разговорите (съобщения, гласово аудио, транскрипции и всички записи, които титулярът извършва), записи за контакти и резервации, които асистентът създава въз основа на действията на посетителя, технически данни за сесиите (времеви отпечатъци, канал, език) и лични данни, съдържащи се в материали, които титулярът качва в знанията на асистента, или в гласови образци, които титулярът предоставя за създаване на персонализиран глас.

Чувствителни данни: услугата не събира по правило данни от специални категории. Когато конфигурацията на титуляря прави здравната информация предвидима (работни пространства, конфигурирани за здравеопазване), достъпът е ограничен до служителите, които се нуждаят от него, и се регистрира, а титулярът остава отговорен да гарантира, че събирането ѝ се основава на собственото правно основание и указания на титуляря.

Честота и продължителност: непрекъснато, през целия срок на съществуване на работното пространство, при осъществяването на сесии, резервации и използване на конзолата; съхранението следва раздели 3 и 9. Естество и цел: събиране, предаване, организиране, съхранение, извличане, превод, генериране на отговори, разкриване пред оправомощен персонал и пред обработващите лични данни подизпълнители в приложение III и изтриване с цел предоставяне на Concierge по указанията на титуляря. Последващите предавания са ограничени до Клауза 9, раздел 6 и списъка в приложение III.

За предаване, уредено от ОРЗД, компетентният надзорен орган се определя съгласно Клауза 13, буква а): когато титулярът (като износител на данни) е установен в държава членка – надзорният орган, отговорен за гарантиране на спазването на ОРЗД от страна на титуляря по отношение на предаването; когато титулярът не е установен в държава членка, но попада в обхвата на член 3, параграф 2 от ОРЗД и е назначил представител съгласно член 27, параграф 1 – надзорният орган на държавата членка, в която е установен този представител; и когато титулярът не е установен в държава членка, попада в обхвата на член 3, параграф 2 и не е длъжен да назначи представител съгласно член 27, параграф 2 – надзорният орган на една от държавите членки, в които се намират субектите на данни, чиито лични данни се предават във връзка с предлагането на стоки или услуги на тях или чието поведение се наблюдава.

За предаване, уредено от правото на Обединеното кралство в областта на защитата на данните – Комисарят по информацията, както предвижда раздел 14. За предаване, уредено от FADP – Федералният комисар по защита на данните и информацията, както предвижда раздел 15, паралелно с горепосочения орган, когато ОРЗД също урежда предаването.

Мерките, които вносителят на данни прилага за защита на данните, както са описани в раздели 4, 5, 8 и 9 от настоящото DPA:

• TLS за данните при пренос и криптиране в покой в цялата услуга
• Достъп при най-малки привилегии, ограничен по роли, чрез удостоверената конзола; служители, обвързани със задължения за поверителност
• Регистриране на достъпа за работните пространства, конфигурирани за здравеопазване, и одитни записи на административните действия
• Записи, съхранявани в обектно хранилище с контролиран достъп
• Сигурно изтриване на файлове след изтичане на срока им на съхранение; криптирани резервни копия при документиран жизнен цикъл
• Криптирани ежечасни резервни копия с проверки на възстановяването, за непрекъснатост и възстановяване
• Наблюдение на софтуера и зависимостите на услугата за уязвимости, с прилагане на корекции
• Промени, внедрявани чрез контрол на версиите и скриптирано внедряване с проверки на изправността и възможност за връщане към предишна версия
• Пароли, съхранявани само като хешове със „сол“; заключване на акаунтите след многократни неуспешни опити за вход
• Физическа сигурност на центровете за данни, осигурявана от Google Cloud съгласно неговите сертификати
• Защитени крайни точки зад защитна стена за уеб приложения с ограничаване на честотата на заявките
• Уведомяване на титуляря за нарушения на сигурността на личните данни без ненужно забавяне след узнаването, с подробности и последваща информация на етапи
• Съдействие при искания на субекти на данни и при изпълнението на задълженията на титуляря съгласно членове 32 до 36 от ОРЗД и равностойните разпоредби на ОРЗД на Обединеното кралство и FADP
• Писмени договори с обработващите лични данни подизпълнители, съдържащи по същество същите задължения за защита на данните като настоящото DPA

Обработващите лични данни подизпълнители, оправомощени съгласно Клауза 9, буква а) (общо писмено разрешение) и раздел 6, по функции. Промените следват условията за уведомяване и възражение в раздел 6.

Доставчиците, които титулярът свързва сам – собствените му акаунти за телефония или съобщения (например собствения му акаунт в Twilio или доставчика на WhatsApp), собствения му акаунт в Stripe за плащанията, които получава от своите клиенти, и системите за календар, CRM, заявки за поддръжка или магазин, които свързва – се ангажират пряко от титуляря на собствено основание и не са наши обработващи лични данни подизпълнители.

• Google Cloud – облачен хостинг и съхранение (основен регион в Съединените щати, периферен възел в ЕС във Франкфурт)
• Google – разпознаване на реч, синтез на реч, превод и ИИ модели
• OpenAI – ИИ модели, разпознаване на реч и синтез на реч
• Anthropic – ИИ модели
• ElevenLabs – разпознаване на реч, синтез на реч и персонализирани гласове (не се използва за работни пространства, конфигурирани за здравеопазване)
• AssemblyAI – разпознаване на реч, когато настройката за реч на работното пространство го използва
• TypeSafe – семантично насочване на репликите в разговорите, когато настройките на асистента на работното пространство го включат
• Twilio – телефония и текстови съобщения за телефонните номера, които предоставяме на титуляря
• Stripe – плащания за собствения план и използване на Concierge на титуляря
• Resend – доставка на имейли
• Собствен сървър Postal на собствената ни инфраструктура – доставка на имейли

Когато California Consumer Privacy Act или друг закон за поверителността на щат в Съединените щати се прилага за данните за посетителите, титулярът е предприятието или администраторът, а Vavus е негов доставчик на услуги, изпълнител или обработващ лични данни, като понятията в настоящото приложение имат значението, което им придават тези закони. Титулярът разкрива пред нас данни за посетители само за ограничената и конкретно определена цел да се предоставя Concierge, както е описано в настоящото DPA и в Условията на Concierge.

Ние ще: обработваме данните за посетителите само за тази цел и по указанията на титуляря и никога няма да ги продаваме или споделяме; няма да ги съхраняваме, използваме или разкриваме за никаква друга цел, включително за каквато и да е търговска цел, нито извън преките ни бизнес отношения с титуляря; няма да ги комбинираме с лична информация, която получаваме от други лица или събираме сами, освен доколкото тези закони позволяват това с цел предоставяне на услугата; ще спазваме задълженията, които тези закони възлагат на доставчиците на услуги, и ще осигуряваме на данните за посетителите същото ниво на защита на поверителността, което те изискват; ще уведомим писмено титуляря, ако решим, че вече не можем да изпълняваме тези задължения; ще позволяваме на титуляря да предприема разумни и подходящи стъпки, за да проверява дали използваме данните за посетителите в съответствие с неговите собствени задължения, включително чрез раздел 10, и да спира и отстранява последиците от всяко неразрешено използване; и ще уведомяваме титуляря за нови обработващи лични данни подизпълнители съгласно раздел 6, което изпълнява изискваното от тези закони уведомяване. Удостоверяваме, че разбираме тези ограничения и ще ги спазваме.

Исканията на посетители съгласно тези закони се отправят до титуляря, а ние оказваме съдействие, както е описано в раздел 8.

Правото на Съединените щати позволява на публичните органи да изискват принудително разкриване на лични данни, съхранявани от доставчици на услуги, при определени обстоятелства (по-специално раздел 702 от FISA и Изпълнителна заповед 12333). Преди да се съгласим с тези Клаузи, оценихме предаването спрямо тези закони и практики, както изисква Клауза 14, като отчетохме конкретните обстоятелства на предаването: данни за поддръжка на стопанската дейност (идентификатори, съдържание на разговорите, записи за резервации, технически данни за сесиите), кратка верига на обработване (титулярът, ние и обработващите лични данни подизпълнители в приложение III), нашата оценка, че при предоставянето на Concierge не действаме като доставчик на услуги за електронни съобщения по отношение на този трафик, и наличните договорни, технически и организационни гаранции. Преразглеждаме тази оценка, документираме я и я предоставяме на компетентния надзорен орган при поискване.

Допълнителни мерки: техническите и организационните мерки в приложение II, свеждането до минимум чрез конфигурираното от титуляря събиране, правата на одит в раздел 10 и задълженията, които поемаме съгласно Клаузи 14 и 15 – да уведомяваме титуляря за правно обвързващо искане за разкриване, когато законът позволява, да се стремим да получим отмяна на всяка забрана за уведомяване и да предоставяме обобщена информация на редовни интервали, да преценяваме законосъобразността на искането и да го оспорваме, когато има разумни основания да се счита, че то е незаконосъобразно, и да разкриваме минималната допустима информация. Ако заключим, че вече не можем да спазваме Клаузите, ще уведомим своевременно титуляря и титулярът може да спре предаването, както предвиждат Клаузите. Ако решение относно адекватното ниво на защита започне да обхваща дадено предаване (например ако бъдем сертифицирани по Рамката за защита на личните данни в отношенията между ЕС и САЩ), Клаузите се прилагат за това предаване само доколкото решението относно адекватното ниво на защита не го обхваща.

За предаване от Обединеното кралство се прилага оценката на риска при предаване в раздел 14. За предаване от Швейцария настоящата оценка се прилага, като се тълкува с оглед на FADP, както предвижда раздел 15.