Smlouva o zpracování osobních údajů Vavus Concierge

Tato Smlouva o zpracování osobních údajů („DPA“) se uzavírá mezi DCI Brands LLC („Vavus“, „my“, zpracovatel), 312 W 2nd Street, Casper, WY 82601, United States, a firmou provozující pracovní prostor Vavus Concierge (odběratel, správce). Vztahuje se na údaje návštěvníků, které Vavus zpracovává podle pokynů odběratele prostřednictvím služby Concierge: konzole, widgetu pro webové stránky, hostovaných stránek agenta, telefonních kanálů, kanálů pro zprávy a rezervací.

Doplňuje Podmínky služby Vavus Concierge, které odběratel přijímá spolu s touto DPA. Pokud je tato DPA ve věci zpracování údajů návštěvníků v rozporu s Podmínkami Concierge, má přednost tato DPA. Je koncipována tak, aby splňovala článek 28 obecného nařízení o ochraně osobních údajů (GDPR) a britského GDPR (UK GDPR), článek 9 švýcarského spolkového zákona o ochraně údajů (FADP) a srovnatelné závazky zpracovatele jinde; pokud místní právo ukládá zpracovateli přísnější povinnosti, mají tyto povinnosti pro zpracování v dané jurisdikci přednost. Příloha IV se uplatní navíc tam, kde se na údaje návštěvníků odběratele vztahuje zákon o ochraně soukromí některého státu Spojených států.

Odběratel je správcem údajů návštěvníků: rozhoduje, co asistent dělá, jaké znalosti obsahuje, které kanály fungují a na co se návštěvníků ptá. Vavus je zpracovatelem: jednáme pouze podle pokynů odběratele zadaných prostřednictvím konzole a běžného provozu služby a údaje návštěvníků zpracováváme výhradně za účelem poskytování Concierge.

Pokud podle našeho názoru pokyn porušuje platné právní předpisy o ochraně údajů, neprodleně o tom odběratele informujeme a podle zjevně protiprávního pokynu nebudeme jednat. Pokud právo vyžaduje zpracování nad rámec zdokumentovaných pokynů, informujeme o tom odběratele před takovým zpracováním, ledaže to právo zakazuje. Údaje návštěvníků nezpracováváme pro vlastní účely, nepoužíváme je k trénování našich modelů ani je neprodáváme.

Tato DPA, včetně podmínek předávání v článcích 7 a 13 až 15, se vztahuje na odběratele, který je správcem údajů svých návštěvníků. Nevztahuje se na odběratele, který údaje zpracovává jménem jiného správce, protože nenabízí Modul tři (předávání mezi zpracovateli) Doložek; taková firma ji pro tyto údaje nesmí přijmout.

Odběratel odpovídá za zákonnost toho, o co nás žádá. Potvrzuje, že má pro zpracování právní základ, a to i podle článků 6, 9 a 10 GDPR, pokud se uplatní; že návštěvníkům poskytl informace, které vyžadují články 12 až 14, a získal jakýkoli souhlas, který vyžaduje právo, a to i pro nahrávání nebo překlad hovoru; a že jeho pokyny jsou v souladu s právními předpisy o ochraně údajů. Pokud pracovní prostor není nastaven pro zdravotnictví, nebude odběratel do služby směrovat údaje návštěvníků, které zahrnují státní identifikační čísla, čísla platebních karet, přihlašovací údaje k finančním účtům, hesla k jiným službám, biometrické údaje, údaje vědomě shromážděné od dětí mladších 16 let nebo zvláštní kategorie údajů, jako je zdraví, rasový či etnický původ, politické názory, náboženství nebo sexuální orientace, a jakékoli takové údaje, které dorazí omylem, odstraní. Odběratel udržuje své přihlašovací údaje ke konzoli v bezpečí, rozhoduje, kdo z jeho týmu má přístup, uchovává si vlastní kopii všeho, o co nemůže přijít, a potvrzuje, že přezkoumal opatření v článku 5 a příloze II a považuje je za přiměřená pro údaje, které prostřednictvím Concierge zpracovává.

Kategorie údajů návštěvníků, jak je shromažďuje konfigurace odběratele: identifikátory, které návštěvník poskytne (jméno, telefonní číslo, e-mailová adresa), obsah konverzací (zprávy, hlasový záznam, přepisy a případné nahrávky, které odběratel provozuje), záznamy o kontaktech a rezervacích, které asistent vytváří na základě jednání návštěvníka, technické údaje o relaci (časová razítka, kanál, jazyk) a osobní údaje obsažené v materiálech, které odběratel nahraje do znalostí asistenta, nebo ve vzorcích hlasu, které odběratel poskytne k vytvoření vlastního hlasu.

Subjekty údajů jsou návštěvníci, zákazníci, potenciální zákazníci a zaměstnanci odběratele, jejichž informace jsou službě poskytnuty. Zpracování zahrnuje shromažďování, přenos, uspořádání, ukládání, vyhledávání, překlad, generování odpovědí, zpřístupnění oprávněným zaměstnancům a připojeným poskytovatelům a výmaz. Účel: poskytování Concierge podle pokynů odběratele. Doba trvání se řídí příslušným nastavením uchovávání a článkem 9, nikoli automaticky po celou dobu existence pracovního prostoru.

Přístup mají pouze pracovníci, kteří jej potřebují k provozu nebo zabezpečení služby, a to na základě povinnosti mlčenlivosti, a u pracovních prostorů nastavených pro zdravotnictví se přístup zaznamenává. Obsah návštěvníků nevkládáme do analytických dat, chatů podpory ani veřejných systémů pro sledování úkolů.

Služba běží na naší vlastní infrastruktuře s opatřeními popsanými na naší stránce Zabezpečení: TLS při přenosu, šifrování v klidovém stavu, přístup podle zásady nejnižších oprávnění, auditní záznamy, bezpečné mazání souborů po uplynutí doby jejich uchovávání a zabezpečené koncové body za firewallem webových aplikací. Nahrávky jsou uloženy v objektovém úložišti s řízeným přístupem; přístup ke konzoli vyžaduje ověření a je omezen podle rolí. Tato opatření můžeme aktualizovat se změnami technologií a hrozeb, pokud se celková ochrana údajů návštěvníků podstatně nesníží.

Další zpracovatele zapojujeme podle funkce: cloudový hosting a úložiště (Google Cloud); rozpoznávání řeči, syntéza řeči, překlad a modely AI (Google, OpenAI, Anthropic, ElevenLabs a AssemblyAI); sémantické směrování výměn v konverzaci, pokud to pracovní prostor zapne (TypeSafe); telefonie a textové zprávy pro telefonní čísla, která odběrateli poskytujeme (Twilio); platby za vlastní tarif a využití odběratele (Stripe); doručování e-mailů (Resend a náš vlastní hostovaný server Postal na naší vlastní infrastruktuře); a – pokud odběratel připojí telefonii, zasílání zpráv, platby, rezervace nebo obchodní systémy – vlastní poskytovatelé odběratele (například jeho vlastní účet Twilio, poskytovatel WhatsApp, jeho vlastní účet Stripe, jeho kalendář nebo jeho CRM), které odběratel zapojuje přímo na základě vlastního oprávnění. Příloha III jmenovitě uvádí každého dalšího zpracovatele a jeho funkci.

Odběratel uděluje obecné písemné povolení pro další zpracovatele uvedené v aktuálním seznamu poskytnutém pro jeho službu. Každému dalšímu zpracovateli ukládáme na základě písemné smlouvy povinnosti v oblasti ochrany údajů rovnocenné povinnostem v této DPA a za jeho plnění vůči odběrateli nadále odpovídáme. Obsah návštěvníků nesmí být použit k trénování modelů bez samostatného zákonného pokynu a smluvního základu. Aktuální jmenný seznam tvoří příloha III a je rovněž k dispozici na vyžádání; nejméně 30 dní předtím, než nový další zpracovatel začne nakládat s údaji návštěvníků, to odběrateli oznámíme v konzoli nebo e-mailem a během této lhůty může odběratel z přiměřených důvodů ochrany údajů vznést námitku. Poté s odběratelem v dobré víře spolupracujeme na vyřešení námitky; pokud ji vyřešit nedokážeme, může odběratel ukončit pracovní prostor předtím, než nový další zpracovatel začne nakládat s jeho údaji, a to je jediný prostředek nápravy ve vztahu k námitce. Již splatné poplatky zůstávají splatné a případné vrácení peněz se řídí Podmínkami Concierge.

Služba funguje ve Spojených státech a kvůli nižší latenci také na okrajovém uzlu v Evropské unii (Frankfurt). Údaje návštěvníků proto mohou být zpracovávány v kterémkoli z těchto regionů podle toho, jak to vyžaduje směrování relace. Před uskutečněním omezeného mezinárodního předání musí strany stanovit příslušný zákonný mechanismus předávání a zdokumentovat cílová místa a záruky. Pokud se použijí standardní smluvní doložky, musí být příslušné doložky, modul, volby a vyplněné přílohy součástí smlouvy o předávání.

Pro předávání údajů návštěvníků nám do Spojených států je touto smlouvou o předávání tato DPA a odběratel se o ni opírá bez samostatného podpisu: pro předávání, která se řídí GDPR (z Evropského hospodářského prostoru), Doložky ve znění článku 13 a jeho příloh; pro předávání, která se řídí právem Spojeného království na ochranu údajů, Doložky spolu s britským dodatkem o mezinárodním předávání údajů (UK International Data Transfer Addendum) ve znění článku 14; a pro předávání, která se řídí švýcarským FADP, Doložky se švýcarskými úpravami podle článku 15. Každá z těchto úprav se vztahuje na každé předání, které se řídí příslušným právem, bez ohledu na to, jak odběratel odpověděl v konzoli na otázku ohledně údajů ze Spojeného království nebo ze Švýcarska. Pokud se na totéž předání vztahuje více z těchto právních předpisů, uplatní se každý soubor podmínek v rozsahu svého vlastního práva a žádný nesnižuje ochranu, kterou poskytuje jiný.

Předávání, která se řídí pravidly předávání jakékoli jiné země, vyžadují mechanismus, který dané právo stanoví; před zapnutím zpracování, které jej vyžaduje, nás kontaktujte. Nejsme certifikováni podle rámce EU-USA pro ochranu osobních údajů (EU-US Data Privacy Framework), jeho britského rozšíření (UK Extension) ani švýcarsko-amerického rámce pro ochranu osobních údajů (Swiss-US Data Privacy Framework) a žádné předávání podle této DPA se o ně neopírá.

Návštěvníci jsou zákazníky odběratele: žádosti návštěvníka týkající se jeho údajů (přístup, oprava, výmaz, námitka) směřují k odběrateli jako správci a odběratel je vyřizuje pomocí mazání jednotlivých kontaktů v konzoli. S přihlédnutím k povaze zpracování poskytujeme prostřednictvím vhodných technických a organizačních opatření součinnost při vyřizování žádostí podle kapitoly III GDPR a obdobných práv podle UK GDPR a FADP. S přihlédnutím k informacím, které máme k dispozici, poskytujeme rovněž součinnost v oblasti zabezpečení, ohlašování porušení zabezpečení, posouzení vlivu na ochranu osobních údajů a předchozí konzultace s dozorovými úřady podle článků 32 až 36 GDPR a obdobných ustanovení UK GDPR a FADP. Součinnost nad rámec toho, co služba již poskytuje, například sestavení záznamů pro posouzení vlivu na ochranu osobních údajů, může být zpoplatněna podle našich sazeb za odborné služby platných v daném okamžiku, které odběrateli předem sdělíme.

Pokud se dozvíme o bezpečnostním incidentu, který postihuje údaje návštěvníků v pracovním prostoru, oznámíme to odběrateli bez zbytečného odkladu poté, co jsme se dozvěděli o porušení zabezpečení osobních údajů. Nečekáme na dokončení šetření ani nepovažujeme lhůtu správce pro ohlášení regulátorovi za naši lhůtu pro oznámení. Poskytneme dostupné podrobnosti o porušení, dotčených údajích a osobách, pravděpodobných důsledcích, kontaktním místě a zmírňujících opatřeních a další informace poskytujeme postupně, jak budou k dispozici. Případné oznámení vlastním návštěvníkům nebo regulátorům zajišťuje odběratel jako správce.

Neúspěšné pokusy, které neohrozí údaje návštěvníků, například zablokované pokusy o přihlášení, skenování nebo pingy, nejsou incidenty a nehlásí se. Oznámení není přiznáním zavinění ani odpovědnosti. Pokud to právo dovoluje, odběratel nás informuje předtím, než Vavus uvede v oznámení o incidentu regulátorovi, návštěvníkům nebo veřejnosti, a v dobré víře zváží jakoukoli opravu, o kterou požádáme ohledně našeho podílu na incidentu.

Smazáním pracovního prostoru se odstraní konfigurace a konverzační materiály pracovního prostoru, včetně nahrávek z objektového úložiště, s výhradou šifrovaných záloh, které zanikají podle našich zásad životního cyklu, a záznamů, které jsme povinni uchovávat ze zákona (fakturační záznamy po dobu zákonné daňové lhůty). Smazáním jednotlivého kontaktu se odstraní konverzační materiály tohoto kontaktu. Podle volby odběratele při ukončení mu vrátíme jeho zbývající osobní údaje v použitelném formátu nebo je vymažeme a vymažeme existující kopie, ledaže platné právo vyžaduje jejich uchování. Žádost o vrácení musí předcházet nevratnému pokynu k výmazu. Uchovávané záložní kopie zůstávají chráněny, nepoužívají se k běžnému zpracování a mažou se podle příslušného zdokumentovaného životního cyklu; pokud jsou obnoveny, musí být pokyny k výmazu uplatněny znovu.

Pokud odběratel do 30 dní od ukončení pracovního prostoru nevydá žádný pokyn, zbývající osobní údaje vymažeme. Výmaz na požádání písemně potvrdíme.

Zpřístupňujeme informace nezbytné k doložení souladu s touto DPA a umožňujeme audity, včetně inspekcí, prováděné odběratelem nebo nezávislým auditorem, kterého odběratel pověří, a přispíváme k nim. Tato práva má každý odběratel a nejsou podmíněna podnikovým předplatným.

Audity začínají dokumenty. Na požádání poskytneme naši bezpečnostní dokumentaci, opatření v příloze II a odpovědi na přiměřený bezpečnostní dotazník, a pokud se na dotčené kontrolní mechanismy vztahuje nedávná zpráva nezávislého auditora, poskytneme tuto zprávu namísto nového auditu těchto mechanismů. Pokud jsou dokumenty skutečně nedostatečné, po potvrzeném porušení zabezpečení postihujícím údaje odběratele nebo pokud to vyžaduje dozorový úřad, může odběratel provést inspekci: jednou v kterémkoli období 12 měsíců, ledaže porušení zabezpečení nebo regulátor vyžaduje více, s písemným oznámením 30 dní předem a s navrženým rozsahem, v pracovní době, na základě dohody o mlčenlivosti, bez přístupu k údajům jiných zákazníků a s auditorem, který není naším konkurentem. Audity jsou na náklady odběratele a odběratel s námi sdílí svá zjištění. Nic z toho nebrání inspekci, kterou regulátor zákonně vyžaduje.

Tato DPA platí po dobu existence pracovního prostoru odběratele a končí smazáním pracovního prostoru, přičemž její povinnosti v oblasti ochrany údajů trvají, dokud my nebo naši další zpracovatelé uchováváme osobní údaje návštěvníků. Ustanovení Podmínek Concierge o sporech, odpovědnosti a rozhodném právu se uplatní pouze v rozsahu, v jakém neomezují kogentní práva na ochranu údajů, pravomoci regulátorů ani platnou smlouvu o předávání; v případě rozporu má tato smlouva přednost.

Záležitosti ochrany údajů, seznamy dalších zpracovatelů, standardní smluvní doložky, britský dodatek (UK Addendum) a švýcarské úpravy: support@vavusai.com.

Pro předávání osobních údajů návštěvníků z Evropského hospodářského prostoru nám do Spojených států tato DPA začleňuje standardní smluvní doložky pro předávání osobních údajů do třetích zemí přijaté prováděcím rozhodnutím Komise (EU) 2021/914 ze dne 4. června 2021 („Doložky“), Modul dva (předávání mezi správcem a zpracovatelem), doplněné následujícími přílohami. Pro předávání, která se řídí GDPR, se Doložky začleňují beze změn; články 14 a 15 stanoví, jak se tytéž Doložky uplatní na předávání, která se řídí právem Spojeného království a Švýcarska. Doložky se uzavírají zaznamenaným přijetím Podmínek Concierge spolu s touto DPA ze strany odběratele: verze a časové razítko tohoto přijetí, které služba zaznamená, spolu s naším zveřejněním této DPA v dané verzi představují písemnou dohodu stran o Doložkách, takže samostatný podpis není potřeba.

Volby Doložek se uplatňují takto. Volitelná doložka o přistoupení (doložka 7) se nepoužije. Doložka 9 písm. a) se uplatní v rámci možnosti obecného písemného povolení: režim dalších zpracovatelů podle článku 6 je dohodnutým povolením a jeho 30denní předchozí oznámení vyplňuje lhůtu pro oznámení podle této doložky. Volitelný nezávislý orgán pro řešení sporů podle doložky 11 písm. a) se nenabízí. Příslušný dozorový úřad podle doložky 13 se určuje podle kritérií doložky 13 písm. a), jak je uvedeno v příloze I.C. Podle doložky 17 se Doložky řídí právem členského státu, v němž je odběratel usazen, nebo, pokud odběratel není usazen v členském státě nebo pokud by toto právo neumožňovalo práva oprávněných třetích stran, právem Irska; podle doložky 18 písm. b) jsou příslušné soudy tohoto členského státu, nebo v takovém případě soudy Irska, a podle doložky 18 písm. c) může subjekt údajů zahájit řízení také v členském státě svého obvyklého bydliště. V Doložkách, jak se uplatní podle tohoto článku, se členskými státy rozumějí i státy Evropského hospodářského prostoru, které nejsou členy Evropské unie.

Pokud jsou Doložky a tato DPA v rozporu, mají Doložky přednost v rozsahu tohoto rozporu, v souladu s článkem 11. Podle doložky 8.3 (Modul dva) zpřístupňuje odběratel Doložky, včetně těchto příloh, subjektu údajů, který o to požádá; abychom to umožnili, poskytneme na požádání jejich text.

Pro předávání osobních údajů návštěvníků, na která se vztahuje právo Spojeného království na ochranu údajů (omezená předávání – Restricted Transfers – podle UK GDPR), tato DPA začleňuje dodatek o mezinárodním předávání údajů ke standardním smluvním doložkám Komise EU (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) vydaný Information Commissioner podle § 119A odst. 1 zákona Data Protection Act 2018, verze B1.0 platná od 21. března 2022 („Dodatek“), doplněný tabulkami v tomto článku. Vztahuje se na každé takové předání bez ohledu na to, jak odběratel odpověděl v konzoli na otázku ohledně údajů ze Spojeného království. Jak umožňuje oddíl 2 Dodatku, strany jej uzavírají zaznamenaným přijetím této DPA v této verzi ze strany odběratele a naším zveřejněním této DPA v této verzi, čímž se stává právně závazným pro obě strany a umožňuje subjektům údajů uplatňovat svá práva podle něj; samostatný podpis není potřeba.

Tabulka 1 – Strany. Datum zahájení: datum, kdy konzole zaznamená přijetí této verze odběratelem. Vývozce: odběratel, s úplným právním názvem, obchodním názvem, hlavní adresou, úředním registračním číslem a klíčovou kontaktní osobou (jméno a funkce přijímající osoby a e-mail firmy pro ochranu osobních údajů) zaznamenanými spolu s jeho přijetím v konzoli. Dovozce: DCI Brands LLC, obchodní název Vavus; hlavní adresa 312 W 2nd Street, Casper, WY 82601, United States; úřední registrační číslo: identifikační číslo podání u Wyoming Secretary of State 2017-000762309; klíčová kontaktní osoba: Dragos Ignat, vlastník a zakladatel, support@vavusai.com. Podpis: není vyžadován, jak je uvedeno výše.

Tabulka 2 – Zvolené SCC, moduly a zvolené doložky. Schválené SCC EU, včetně informací z dodatku (Appendix Information), přičemž pro účely Dodatku nabývají účinnosti pouze následující moduly, doložky a volitelná ustanovení: Modul 2 (mezi správcem a zpracovatelem) je v platnosti a moduly 1, 3 a 4 nikoli; doložka 7 (doložka o přistoupení) se nepoužije; volba podle doložky 11 (nezávislý orgán pro řešení sporů) se nepoužije; doložka 9 písm. a) se uplatní v rámci obecného písemného povolení s lhůtou 30denního předchozího oznámení.

Tabulka 3 – Informace z dodatku. Příloha 1A (Seznam stran): příloha I.A této DPA. Příloha 1B (Popis předávání): příloha I.B této DPA. Příloha II (technická a organizační opatření, včetně opatření k zajištění bezpečnosti údajů): příloha II této DPA. Příloha III (Seznam dalších zpracovatelů): příloha III této DPA.

Tabulka 4 – Ukončení tohoto Dodatku při změně schváleného Dodatku. Které strany mohou tento Dodatek ukončit podle oddílu 19 Dodatku: žádná ze stran. Když Information Commissioner vydá podle oddílu 18 Dodatku revidovaný schválený Dodatek, mění se tento Dodatek tak, jak revize stanoví, ode dne zahájení, který revize určí.

Povinné doložky: část 2: Povinné doložky schváleného Dodatku, kterým je vzorový Dodatek B.1.0 vydaný ICO a předložený Parlamentu v souladu s § 119A zákona Data Protection Act 2018 dne 2. února 2022, ve znění jeho revizí podle oddílu 18 těchto Povinných doložek. Podle těchto Povinných doložek se Dodatek řídí právem Anglie a Walesu, spory řeší soudy Anglie a Walesu, subjekt údajů může zahájit řízení proti kterékoli ze stran také u soudů kterékoli země Spojeného království a dozorovým úřadem je Information Commissioner. Text Dodatku poskytneme na požádání.

Posouzení rizik předávání podle práva Spojeného království. Pro předávání nám do Spojených států se odběratel jako vývozce při posouzení práva a praxe Spojených států týkajících se přístupu orgánů veřejné moci k osobním údajům a vymahatelnosti Dodatku opírá o analýzu příslušných právních předpisů a praxe Spojených států, kterou vypracovala britská vláda prostřednictvím ministerstva pro vědu, inovace a technologie (Department for Science, Innovation and Technology), jak to umožňují pokyny Information Commissioner k provádění posouzení rizik předávání pro předávání do Spojených států, a to i pro příjemce, který není certifikován podle britského rozšíření (UK Extension) rámce EU-USA pro ochranu osobních údajů. Podle této analýzy není ochrana předávaných údajů, při zavedeném Dodatku, podstatně nižší než podle práva Spojeného království na ochranu údajů. Podle tohoto rámce certifikováni nejsme a toto posouzení se o certifikaci neopírá. Předávání, na které se vztahuje, je předávání popsané v příloze I.B, s dalšími předáváními uvedenými v příloze III a se zárukami uvedenými v příloze II a ve shrnutí posouzení dopadu předávání. Pokud britská vláda tuto analýzu odvolá nebo podstatně změní nebo pokud již nebudeme schopni Dodatek dodržovat, sdělíme to odběrateli bez zbytečného odkladu a strany toto posouzení přezkoumají.

Pro předávání osobních údajů návštěvníků, na která se vztahuje švýcarský spolkový zákon o ochraně údajů ze dne 25. září 2020 (FADP), se Doložky začleněné v článku 13 uplatní jako standardní doložky o ochraně údajů uznané Spolkovým pověřencem pro ochranu údajů a informací (FDPIC) podle čl. 16 odst. 2 písm. d) FADP, s níže uvedenými úpravami. Vztahují se na každé takové předání bez ohledu na to, jak odběratel odpověděl v konzoli na otázku ohledně údajů ze Švýcarska. Pokud se na předání vztahuje jak FADP, tak GDPR, zachovávají strany oddělená ujednání: tyto úpravy se uplatní pouze v rozsahu, v jakém se předání řídí FADP, a článek 13 se nadále uplatní beze změn v rozsahu, v jakém se předání řídí GDPR.

• Odkazy na nařízení (EU) 2016/679 se vykládají jako odkazy na FADP, pokud předání podléhá FADP.
• FDPIC je příslušným dozorovým úřadem podle doložky 13 a přílohy I.C pro předávání, která se řídí FADP; pokud se na předání vztahuje také GDPR, zůstává pro tuto část souběžně příslušný úřad určený podle doložky 13 písm. a).
• U předávání, která se řídí výhradně FADP, se Doložky podle doložky 17 řídí švýcarským právem a spory mezi stranami podle doložky 18 písm. b) řeší soudy Švýcarska v místě sídla odběratele.
• Pojem „členský stát“ v Doložkách nesmí být vykládán způsobem, který by subjektům údajů ve Švýcarsku bránil uplatňovat svá práva v místě jejich obvyklého bydliště, tedy ve Švýcarsku, podle doložky 18 písm. c).
• Na tato předávání se uplatní shrnutí posouzení dopadu předávání, vykládané s odkazem na FADP. Nejsme certifikováni podle švýcarsko-amerického rámce pro ochranu osobních údajů (Swiss-US Data Privacy Framework), takže uznání Spojených států Spolkovou radou pro certifikované společnosti se na předávání nám nevztahuje. FADP nevyžaduje, aby bylo použití těchto doložek oznámeno FDPIC.

Vývozce údajů: odběratel, správce údajů návštěvníků, usazený v zemi zaznamenané pro pracovní prostor v konzoli, kterou může být členský stát Evropského hospodářského prostoru, Spojené království, Švýcarsko nebo jiná země; pokud odběratel usazený jinde podléhá při zpracování údajů návštěvníků GDPR, právu Spojeného království na ochranu údajů nebo FADP, je vývozcem údajů pro předávání, která se tímto právem řídí. Jeho činnosti související s předáváním spočívají v provozu jeho podnikání a řízení pracovního prostoru Concierge prostřednictvím konzole. Jeho úplný právní název, obchodní název, adresa, registrační číslo, e-mail pro ochranu osobních údajů a jméno a funkce osoby, která za něj přijetí provedla, jsou údaje zaznamenané spolu s jeho přijetím v konzoli. Role: správce.

Dovozce údajů: DCI Brands LLC („Vavus“, zpracovatel), 312 W 2nd Street, Casper, WY 82601, United States (identifikační číslo podání u Wyoming Secretary of State 2017-000762309); činnosti související s předáváním: poskytování služby Concierge podle této DPA; kontakt pro záležitosti ochrany údajů: support@vavusai.com. Role: zpracovatel.

Podpis a datum: za vývozce údajů jeho přijetí této DPA zaznamenané v konzoli (verze, datum a čas a přijímající osoba); za dovozce údajů naše zveřejnění této DPA v této verzi, jak stanoví článek 13.

Kategorie subjektů údajů: návštěvníci, zákazníci, potenciální zákazníci a zaměstnanci odběratele, jejichž informace jsou službě poskytnuty.

Kategorie osobních údajů: identifikátory, které návštěvník poskytne (jméno, telefonní číslo, e-mailová adresa), obsah konverzací (zprávy, hlasový záznam, přepisy a případné nahrávky, které odběratel provozuje), záznamy o kontaktech a rezervacích, které asistent vytváří na základě jednání návštěvníka, technické údaje o relaci (časová razítka, kanál, jazyk) a osobní údaje obsažené v materiálech, které odběratel nahraje do znalostí asistenta, nebo ve vzorcích hlasu, které odběratel poskytne k vytvoření vlastního hlasu.

Citlivé údaje: služba běžně neshromažďuje údaje zvláštní kategorie. Pokud konfigurace odběratele činí zdravotní informace předvídatelnými (pracovní prostory nastavené pro zdravotnictví), je přístup omezen na pracovníky, kteří jej potřebují, a zaznamenává se, a odběratel nadále odpovídá za to, že jejich shromažďování spočívá na jeho vlastním právním základu a pokynech.

Četnost a doba trvání: nepřetržitě, po dobu existence pracovního prostoru, podle toho, jak probíhají relace, rezervace a používání konzole; uchovávání se řídí články 3 a 9. Povaha a účel: shromažďování, přenos, uspořádání, ukládání, vyhledávání, překlad, generování odpovědí, zpřístupnění oprávněným zaměstnancům a dalším zpracovatelům uvedeným v příloze III a výmaz, za účelem poskytování Concierge podle pokynů odběratele. Další předávání jsou omezena na doložku 9, článek 6 a seznam v příloze III.

Pro předávání, která se řídí GDPR, se příslušný dozorový úřad určuje podle doložky 13 písm. a): pokud je odběratel (jako vývozce údajů) usazen v členském státě, dozorový úřad odpovědný za zajištění souladu odběratele s GDPR, pokud jde o předávání; pokud odběratel není usazen v členském státě, ale spadá do působnosti čl. 3 odst. 2 GDPR a jmenoval zástupce podle čl. 27 odst. 1, dozorový úřad členského státu, v němž je tento zástupce usazen; a pokud odběratel není usazen v členském státě, spadá do působnosti čl. 3 odst. 2 a není povinen jmenovat zástupce podle čl. 27 odst. 2, dozorový úřad jednoho z členských států, v nichž se nacházejí subjekty údajů, jejichž osobní údaje jsou předávány v souvislosti s nabídkou zboží nebo služeb těmto subjektům nebo jejichž chování je monitorováno.

Pro předávání, která se řídí právem Spojeného království na ochranu údajů, Information Commissioner, jak stanoví článek 14. Pro předávání, která se řídí FADP, Spolkový pověřenec pro ochranu údajů a informací, jak stanoví článek 15, souběžně s výše uvedeným úřadem, pokud se na předání vztahuje také GDPR.

Opatření, která dovozce údajů uplatňuje k ochraně údajů, jak je popsáno v článcích 4, 5, 8 a 9 této DPA:

• TLS pro údaje při přenosu a šifrování v klidovém stavu v celé službě
• Přístup podle zásady nejnižších oprávnění, omezený podle rolí, prostřednictvím konzole s ověřením; pracovníci vázaní povinností mlčenlivosti
• Zaznamenávání přístupu u pracovních prostorů nastavených pro zdravotnictví a auditní záznamy administrativních akcí
• Nahrávky uložené v objektovém úložišti s řízeným přístupem
• Bezpečné mazání souborů po uplynutí doby jejich uchovávání; šifrované zálohy podle zdokumentovaného životního cyklu
• Šifrované zálohy každou hodinu s kontrolami obnovy pro zajištění kontinuity a obnovy
• Sledování zranitelností softwaru a závislostí služby a instalace oprav
• Změny nasazované prostřednictvím správy verzí a skriptovaného nasazení s kontrolami stavu a možností vrácení zpět
• Hesla ukládaná pouze jako solené hashe; uzamčení účtů po opakovaných neúspěšných pokusech o přihlášení
• Fyzická bezpečnost datových center zajišťovaná společností Google Cloud v rámci jejích certifikací
• Zabezpečené koncové body za firewallem webových aplikací s omezením četnosti požadavků
• Oznamování porušení zabezpečení osobních údajů odběrateli bez zbytečného odkladu poté, co se o něm dozvíme, s podrobnostmi a postupnými doplňujícími informacemi
• Součinnost při vyřizování žádostí subjektů údajů a při plnění povinností odběratele podle článků 32 až 36 GDPR a obdobných ustanovení UK GDPR a FADP
• Písemné smlouvy s dalšími zpracovateli obsahující v podstatě stejné povinnosti v oblasti ochrany údajů jako tato DPA

Další zpracovatelé povolení podle doložky 9 písm. a) (obecné písemné povolení) a článku 6, podle funkce. Změny se řídí podmínkami oznámení a námitek podle článku 6.

Poskytovatelé, které odběratel připojuje sám – jeho vlastní účty pro telefonii nebo zasílání zpráv (například jeho vlastní účet Twilio nebo poskytovatel WhatsApp), jeho vlastní účet Stripe pro platby, které přijímá od svých zákazníků, a kalendář, CRM, systém pro správu požadavků nebo obchodní systém, které připojí –, jsou zapojeni odběratelem přímo na základě jeho vlastního oprávnění a nejsou našimi dalšími zpracovateli.

• Google Cloud – cloudový hosting a úložiště (primární region ve Spojených státech, okrajový uzel EU ve Frankfurtu)
• Google – rozpoznávání řeči, syntéza řeči, překlad a modely AI
• OpenAI – modely AI, rozpoznávání řeči a syntéza řeči
• Anthropic – modely AI
• ElevenLabs – rozpoznávání řeči, syntéza řeči a vlastní hlasy (nepoužívá se pro pracovní prostory nastavené pro zdravotnictví)
• AssemblyAI – rozpoznávání řeči, pokud jej používá nastavení řeči pracovního prostoru
• TypeSafe – sémantické směrování výměn v konverzaci, pokud jej zapne nastavení asistenta pracovního prostoru
• Twilio – telefonie a textové zprávy pro telefonní čísla, která odběrateli poskytujeme
• Stripe – platby za vlastní tarif Concierge a využití odběratele
• Resend – doručování e-mailů
• Vlastní hostovaný Postal na naší vlastní infrastruktuře – doručování e-mailů

Pokud se na údaje návštěvníků vztahuje kalifornský zákon California Consumer Privacy Act nebo jiný zákon o ochraně soukromí některého státu Spojených států, je odběratel podnikem (business) nebo správcem a Vavus je jeho poskytovatelem služeb (service provider), smluvním dodavatelem (contractor) nebo zpracovatelem a pojmy v této příloze mají význam, který jim tyto zákony dávají. Odběratel nám zpřístupňuje údaje návštěvníků pouze pro omezený a konkrétně určený účel poskytování Concierge, jak jej popisuje tato DPA a Podmínky Concierge.

Zavazujeme se: zpracovávat údaje návštěvníků pouze pro tento účel a podle pokynů odběratele a nikdy je neprodávat ani nesdílet; neuchovávat, nepoužívat ani nezpřístupňovat je pro žádný jiný účel, včetně jakéhokoli obchodního účelu, ani mimo náš přímý obchodní vztah s odběratelem; nekombinovat je s osobními údaji, které obdržíme od kohokoli jiného nebo které sami shromáždíme, s výjimkou případů, kdy to tyto zákony dovolují za účelem poskytování služby; plnit povinnosti, které tyto zákony ukládají poskytovatelům služeb, a poskytovat údajům návštěvníků stejnou úroveň ochrany soukromí, jakou vyžadují; písemně informovat odběratele, pokud dospějeme k závěru, že již nejsme schopni tyto povinnosti plnit; umožnit odběrateli přijmout přiměřené a vhodné kroky k ověření, že údaje návštěvníků používáme v souladu s jeho vlastními povinnostmi, mimo jiné prostřednictvím článku 10, a zastavit a napravit jakékoli neoprávněné použití; a oznamovat odběrateli nové další zpracovatele podle článku 6, což splňuje požadavek na oznámení podle těchto zákonů. Potvrzujeme, že těmto omezením rozumíme a budeme je dodržovat.

Žádosti návštěvníků podle těchto zákonů směřují k odběrateli a my poskytujeme součinnost, jak popisuje článek 8.

Právo Spojených států umožňuje orgánům veřejné moci za vymezených okolností vynutit si zpřístupnění osobních údajů uchovávaných poskytovateli služeb (zejména oddíl 702 zákona FISA a exekutivní příkaz 12333). Před souhlasem s těmito Doložkami jsme předávání posoudili ve vztahu k těmto právním předpisům a praxi, jak vyžaduje doložka 14, s přihlédnutím ke konkrétním okolnostem předávání: údaje pro podporu podnikání (identifikátory, obsah konverzací, záznamy o rezervacích, technické údaje o relaci), krátký řetězec zpracování (odběratel, my a další zpracovatelé uvedení v příloze III), náš závěr, že při poskytování Concierge nevystupujeme pro tento provoz jako poskytovatel služeb elektronických komunikací (electronic communication service provider), a zavedené smluvní, technické a organizační záruky. Toto posouzení průběžně přezkoumáváme, dokumentujeme je a na požádání je zpřístupníme příslušnému dozorovému úřadu.

Doplňková opatření: technická a organizační opatření v příloze II, minimalizace prostřednictvím shromažďování nastaveného odběratelem, práva na audit podle článku 10 a povinnosti, které přijímáme podle doložek 14 a 15 – informovat odběratele o právně závazné žádosti o zpřístupnění, pokud to právo dovoluje, usilovat o upuštění od jakéhokoli zákazu oznámení a v pravidelných intervalech poskytovat souhrnné informace, přezkoumat zákonnost žádosti a napadnout ji, pokud existují důvodné předpoklady k závěru, že je protiprávní, a zpřístupnit minimum přípustných informací. Pokud dospějeme k závěru, že již nejsme schopni Doložky dodržovat, neprodleně o tom odběratele informujeme a odběratel může předávání pozastavit, jak Doložky stanoví. Pokud se na předávání začne vztahovat rozhodnutí o odpovídající ochraně (například pokud budeme certifikováni podle rámce EU-USA pro ochranu osobních údajů), uplatní se Doložky na toto předávání pouze v rozsahu, v jakém se na ně rozhodnutí o odpovídající ochraně nevztahuje.

Pro předávání ze Spojeného království se uplatní posouzení rizik předávání podle článku 14. Pro předávání ze Švýcarska se toto posouzení uplatní ve výkladu s odkazem na FADP, jak stanoví článek 15.