Databehandleraftale for Vavus Concierge

Denne databehandleraftale (»Databehandleraftalen«) er indgået mellem DCI Brands LLC (»Vavus«, »vi«, databehandleren), 312 W 2nd Street, Casper, WY 82601, United States, og den virksomhed, der driver et Vavus Concierge-arbejdsområde (kundevirksomheden, den dataansvarlige). Den gælder for data om besøgende, som Vavus behandler efter kundevirksomhedens instruks via Concierge-tjenesten: konsollen, webstedswidgetten, hostede agentsider, telefon- og beskedkanaler samt bookinger.

Den er et supplement til Servicevilkårene for Vavus Concierge, som kundevirksomheden accepterer sammen med denne Databehandleraftale. Hvor denne Databehandleraftale er i strid med Concierge-vilkårene vedrørende behandling af data om besøgende, har denne Databehandleraftale forrang. Den er udformet med henblik på at opfylde artikel 28 i databeskyttelsesforordningen (GDPR) og i den britiske databeskyttelsesforordning (UK GDPR), artikel 9 i den schweiziske forbundslov om databeskyttelse (FADP) og tilsvarende databehandlerforpligtelser andre steder; hvor lokal lovgivning pålægger strengere databehandlerforpligtelser, har disse forrang for behandling i den pågældende jurisdiktion. Bilag IV gælder desuden, hvor en databeskyttelseslov i en amerikansk delstat gælder for kundevirksomhedens data om besøgende.

Kundevirksomheden er dataansvarlig for data om besøgende: Kundevirksomheden bestemmer, hvad assistenten gør, hvilken viden den har, hvilke kanaler der er i drift, og hvad de besøgende bliver spurgt om. Vavus er databehandler: Vi handler kun efter kundevirksomhedens instruks via konsollen og tjenestens normale drift og behandler udelukkende data om besøgende for at levere Concierge.

Vi underretter straks kundevirksomheden, hvis en instruks efter vores opfattelse er i strid med gældende databeskyttelseslovgivning, og vi handler ikke efter en åbenlyst ulovlig instruks. Hvis lovgivningen kræver behandling uden for de dokumenterede instrukser, underretter vi kundevirksomheden før denne behandling, medmindre lovgivningen forbyder det. Vi behandler ikke data om besøgende til vores egne formål, og vi bruger dem ikke til at træne vores modeller og sælger dem ikke.

Denne Databehandleraftale, herunder overførselsvilkårene i punkt 7 og 13 til 15, omfatter en kundevirksomhed, der er dataansvarlig for sine data om besøgende. Den omfatter ikke en kundevirksomhed, der behandler dataene på vegne af en anden dataansvarlig, fordi den ikke tilbyder modul tre (databehandler til databehandler) i Bestemmelserne; en sådan virksomhed må ikke acceptere den for disse data.

Kundevirksomheden er ansvarlig for lovligheden af det, kundevirksomheden beder os om at gøre. Kundevirksomheden bekræfter, at kundevirksomheden har et lovligt grundlag for behandlingen, herunder efter artikel 6, 9 og 10 i GDPR, hvor de finder anvendelse; at kundevirksomheden har givet de besøgende de oplysninger, som artikel 12 til 14 kræver, og har indhentet ethvert samtykke, som loven kræver, herunder til optagelse eller oversættelse af et opkald; og at kundevirksomhedens instrukser overholder databeskyttelseslovgivningen. Medmindre arbejdsområdet er konfigureret til sundhed, vil kundevirksomheden ikke lede data om besøgende ind i tjenesten, som omfatter offentlige identifikationsnumre, betalingskortnumre, loginoplysninger til finansielle konti, adgangskoder til andre tjenester, biometriske data, data, der bevidst er indsamlet fra børn under 16 år, eller særlige kategorier af personoplysninger såsom helbred, race eller etnisk oprindelse, politisk overbevisning, religion eller seksuel orientering, og kundevirksomheden vil fjerne sådanne data, der ved et uheld modtages. Kundevirksomheden holder sine loginoplysninger til konsollen sikre, bestemmer, hvem i kundevirksomhedens team der har adgang, beholder sin egen kopi af alt, hvad kundevirksomheden ikke har råd til at miste, og bekræfter at have gennemgået foranstaltningerne i punkt 5 og bilag II og at finde dem tilstrækkelige for de data, kundevirksomheden behandler via Concierge.

Kategorier af data om besøgende, i det omfang kundevirksomhedens konfiguration indsamler dem: identifikatorer, som den besøgende oplyser (navn, telefonnummer, e-mailadresse), samtaleindhold (beskeder, stemmelyd, udskrifter og eventuelle optagelser, som kundevirksomheden foretager), kontakt- og bookingregistreringer, som assistenten opretter på baggrund af den besøgendes handlinger, tekniske sessionsdata (tidsstempler, kanal, sprog) samt personoplysninger, der er indeholdt i materiale, som kundevirksomheden uploader til assistentens viden, eller i stemmeprøver, som kundevirksomheden leverer for at skabe en tilpasset stemme.

De registrerede er kundevirksomhedens besøgende, kunder, potentielle kunder og medarbejdere, hvis oplysninger gives til tjenesten. Behandlingen omfatter indsamling, overførsel, organisering, opbevaring, genfinding, oversættelse, generering af svar, videregivelse til autoriserede medarbejdere og tilsluttede udbydere samt sletning. Formål: levering af Concierge efter kundevirksomhedens instrukser. Varigheden følger de gældende indstillinger for opbevaring og punkt 9 i stedet for automatisk at vare i hele arbejdsområdets levetid.

Kun personale, der har brug for adgang for at drive eller sikre tjenesten, har adgang, under fortrolighedsforpligtelser, og adgangen logges for arbejdsområder, der er konfigureret til sundhed. Vi placerer ikke indhold fra besøgende i analysedata, supportchats eller offentlige sporingssystemer.

Tjenesten kører på vores egen infrastruktur med de foranstaltninger, der er beskrevet på vores side om sikkerhed: TLS under overførsel, kryptering i hvile, adgang efter princippet om mindste privilegium, revisionslogning, sikker sletning af filer, hvis opbevaringsperiode er udløbet, og hærdede endpoints bag en webapplikationsfirewall. Optagelser opbevares i adgangskontrolleret objektlager; adgang til konsollen er autentificeret og afgrænset efter rolle. Vi kan opdatere disse foranstaltninger, efterhånden som teknologi og trusler ændrer sig, forudsat at den samlede beskyttelse af data om besøgende ikke forringes væsentligt.

Vi gør brug af underdatabehandlere efter funktion: cloudhosting og -lagring (Google Cloud); talegenkendelse, talesyntese, oversættelse og AI-modeller (Google, OpenAI, Anthropic, ElevenLabs og AssemblyAI); semantisk routing af replikskifter i samtaler, hvor arbejdsområdet aktiverer det (TypeSafe); telefoni og sms'er for telefonnumre, vi leverer til kundevirksomheden (Twilio); betalinger for kundevirksomhedens egen plan og eget forbrug (Stripe); levering af e-mails (Resend samt vores selvhostede Postal-server på vores egen infrastruktur); og – hvor kundevirksomheden tilslutter telefoni-, besked-, betalings-, booking- eller forretningssystemer – kundevirksomhedens egne udbydere (såsom kundevirksomhedens egen Twilio-konto, WhatsApps udbyder, kundevirksomhedens egen Stripe-konto, kalender eller CRM-system), som kundevirksomheden gør brug af direkte under egen bemyndigelse. Bilag III nævner hver underdatabehandler og dennes funktion.

Kundevirksomheden giver generel skriftlig godkendelse til de underdatabehandlere, der er angivet på den aktuelle liste, som stilles til rådighed for kundevirksomhedens tjeneste. Vi pålægger hver underdatabehandler databeskyttelsesforpligtelser svarende til dem i denne Databehandleraftale ved en skriftlig aftale og forbliver ansvarlige over for kundevirksomheden for underdatabehandlerens opfyldelse. Indhold fra besøgende må ikke bruges til modeltræning uden en separat lovlig instruks og et kontraktligt grundlag. Den aktuelle navngivne liste er bilag III og kan også fås på anmodning, og vi giver kundevirksomheden mindst 30 dages varsel i konsollen eller pr. e-mail, før en ny underdatabehandler håndterer data om besøgende, i hvilken periode kundevirksomheden kan gøre indsigelse af rimelige databeskyttelsesmæssige grunde. Vi samarbejder derefter med kundevirksomheden i god tro om at løse indsigelsen; hvis det ikke lykkes, kan kundevirksomheden afslutte arbejdsområdet, før den nye underdatabehandler håndterer kundevirksomhedens data, og dette er den eneste afhjælpning i anledning af indsigelsen. Gebyrer, der allerede er forfaldne, skal fortsat betales, og en eventuel refusion følger Concierge-vilkårene.

Tjenesten drives i USA og, for at opnå lavere latens, med en edge i Den Europæiske Union (Frankfurt). Data om besøgende kan derfor blive behandlet i begge regioner, alt efter hvad routingen af sessionen kræver. Før der finder en begrænset international overførsel sted, skal parterne fastlægge den gældende lovlige overførselsmekanisme og dokumentere destinationerne og garantierne. Hvor der anvendes standardkontraktbestemmelser, skal de gældende bestemmelser, modul, valgmuligheder og udfyldte bilag udgøre en del af overførselsaftalen.

For overførsler af data om besøgende til os i USA er denne Databehandleraftale denne overførselsaftale, og kundevirksomheden anvender den uden en separat underskrift: for overførsler, der er omfattet af GDPR (fra Det Europæiske Økonomiske Samarbejdsområde), Bestemmelserne som fastsat i punkt 13 og bilagene hertil; for overførsler, der er omfattet af britisk databeskyttelseslovgivning, Bestemmelserne sammen med det britiske tillæg om internationale dataoverførsler (UK International Data Transfer Addendum) som fastsat i punkt 14; og for overførsler, der er omfattet af den schweiziske FADP, Bestemmelserne med de schweiziske tilpasninger i punkt 15. Hvert sæt gælder for enhver overførsel, som den pågældende lovgivning omfatter, uanset hvilket svar kundevirksomheden har givet i konsollen om britiske eller schweiziske data. Hvor mere end én af disse love gælder for den samme overførsel, gælder hvert sæt vilkår i det omfang, dets egen lovgivning rækker, og intet af dem forringer den beskyttelse, et andet giver.

Overførsler, der er omfattet af overførselsreglerne i et andet land, kræver den mekanisme, som denne lovgivning foreskriver; kontakt os, før du aktiverer behandling, der kræver en sådan. Vi er ikke certificeret under databeskyttelsesrammen mellem EU og USA (EU-US Data Privacy Framework), dens britiske udvidelse (UK Extension) eller databeskyttelsesrammen mellem Schweiz og USA (Swiss-US Data Privacy Framework), og ingen overførsel i henhold til denne Databehandleraftale bygger på dem.

Besøgende er kundevirksomhedens kunder: Anmodninger fra en besøgende om vedkommendes data (indsigt, berigtigelse, sletning, indsigelse) går til kundevirksomheden som dataansvarlig, og kundevirksomheden besvarer dem ved hjælp af konsollens sletning pr. kontakt. Under hensyntagen til behandlingens karakter bistår vi ved hjælp af passende tekniske og organisatoriske foranstaltninger med anmodninger i henhold til kapitel III i GDPR og de tilsvarende rettigheder i henhold til UK GDPR og FADP. Under hensyntagen til de oplysninger, der er tilgængelige for os, bistår vi også med sikkerhed, anmeldelse af brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheder i henhold til artikel 32 til 36 i GDPR og de tilsvarende bestemmelser i UK GDPR og FADP. Bistand, der går ud over det, tjenesten allerede leverer, såsom udarbejdelse af dokumentation til en konsekvensanalyse vedrørende databeskyttelse, kan blive faktureret efter vores til enhver tid gældende takster for professionelle ydelser, som kundevirksomheden får oplyst på forhånd.

Hvis vi bliver bekendt med en sikkerhedshændelse, der påvirker data om besøgende i et arbejdsområde, underretter vi kundevirksomheden uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden. Vi venter ikke på en afsluttet undersøgelse og betragter ikke den dataansvarliges frist for anmeldelse til myndighederne som vores frist for underretning. Vi giver de tilgængelige oplysninger om bruddet, de berørte data og personer, de sandsynlige konsekvenser, kontaktpunktet og afhjælpningen og giver yderligere oplysninger i etaper, efterhånden som de bliver tilgængelige. Kundevirksomheden varetager som dataansvarlig enhver underretning af sine egne besøgende eller af tilsynsmyndigheder.

Mislykkede forsøg, der ikke kompromitterer data om besøgende, såsom blokerede loginforsøg, scanninger eller pings, er ikke hændelser og indberettes ikke. En underretning er ikke en indrømmelse af skyld eller ansvar. Hvor loven tillader det, giver kundevirksomheden os besked, før kundevirksomheden nævner Vavus i en meddelelse om en hændelse til en tilsynsmyndighed, til besøgende eller til offentligheden, og overvejer i god tro enhver berigtigelse, vi beder om, vedrørende vores rolle i hændelsen.

Sletning af et arbejdsområde fjerner arbejdsområdets konfiguration og samtalemateriale, herunder optagelser fra objektlageret, med forbehold for, at krypterede sikkerhedskopier udløber i henhold til vores livscykluspolitik, og for optegnelser, som loven kræver, at vi opbevarer (faktureringsoptegnelser i den lovbestemte skattemæssige periode). Sletning pr. kontakt fjerner den pågældende kontakts samtalemateriale. Efter kundevirksomhedens valg ved ophør tilbageleverer vi kundevirksomhedens resterende personoplysninger i et brugbart format eller sletter dem og sletter eksisterende kopier, medmindre gældende lovgivning kræver opbevaring. En anmodning om tilbagelevering skal fremsættes før en uigenkaldelig instruks om sletning. Opbevarede sikkerhedskopier forbliver beskyttede, bruges ikke til almindelig behandling og slettes i henhold til den gældende dokumenterede livscyklus; hvis de gendannes, skal instrukser om sletning anvendes igen.

Hvis kundevirksomheden ikke giver nogen instruks inden for 30 dage efter, at arbejdsområdet er ophørt, sletter vi de resterende personoplysninger. Vi bekræfter sletning skriftligt på anmodning.

Vi stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne Databehandleraftale, og giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af kundevirksomheden eller en uafhængig revisor, som kundevirksomheden har bemyndiget. Disse rettigheder gælder for alle kundevirksomheder og er ikke betinget af et enterprise-abonnement.

Revisioner begynder med dokumenter. På anmodning stiller vi vores sikkerhedsdokumentation, foranstaltningerne i bilag II og svar på et rimeligt sikkerhedsspørgeskema til rådighed, og hvor en nylig rapport fra en uafhængig revisor dækker de pågældende kontroller, stiller vi denne rapport til rådighed i stedet for en ny revision af dem. Hvor dokumenterne reelt er utilstrækkelige, efter et bekræftet brud, der påvirker kundevirksomhedens data, eller hvor en tilsynsmyndighed kræver det, kan kundevirksomheden foretage inspektion: én gang inden for en periode på 12 måneder, medmindre et brud eller en tilsynsmyndighed kræver mere, med 30 dages skriftligt varsel med et forslag til omfang, inden for normal arbejdstid, i henhold til en fortrolighedsaftale, uden adgang til andre kunders data og ved brug af en revisor, der ikke er vores konkurrent. Revisioner sker for kundevirksomhedens regning, og kundevirksomheden deler sine resultater med os. Intet af dette forhindrer en inspektion, som en tilsynsmyndighed lovligt kræver.

Denne Databehandleraftale gælder, så længe kundevirksomhedens arbejdsområde findes, og ophører, når arbejdsområdet slettes, og dens databeskyttelsesforpligtelser fortsætter, så længe vi eller vores underdatabehandlere opbevarer personoplysninger om besøgende. Concierge-vilkårenes bestemmelser om tvister, ansvar og lovvalg gælder kun i det omfang, de ikke begrænser præceptive databeskyttelsesrettigheder, tilsynsmyndigheders beføjelser eller en gældende overførselsaftale; denne aftale har forrang i tilfælde af konflikt.

Databeskyttelsesspørgsmål, lister over underdatabehandlere, standardkontraktbestemmelserne, det britiske tillæg og de schweiziske tilpasninger: support@vavusai.com.

For overførsler af personoplysninger om besøgende fra Det Europæiske Økonomiske Samarbejdsområde til os i USA inkorporerer denne Databehandleraftale standardkontraktbestemmelserne for overførsel af personoplysninger til tredjelande, der er vedtaget ved Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021 (»Bestemmelserne«), modul to (overførsel fra dataansvarlig til databehandler), udfyldt med de efterfølgende bilag. For overførsler, der er omfattet af GDPR, inkorporeres Bestemmelserne uden ændringer; punkt 14 og 15 fastsætter, hvordan de samme Bestemmelser gælder for overførsler, der er omfattet af britisk og schweizisk lovgivning. De indgås ved kundevirksomhedens registrerede accept af Concierge-vilkårene sammen med denne Databehandleraftale: Den version og det tidsstempel, som tjenesten registrerer for denne accept, udgør sammen med vores offentliggørelse af denne Databehandleraftale i denne version parternes skriftlige aftale om Bestemmelserne, så der ikke kræves nogen separat underskrift.

Valgmulighederne i Bestemmelserne udøves således: Den fakultative tillægsbestemmelse (bestemmelse 7) anvendes ikke. Bestemmelse 9, litra a), anvendes i henhold til alternativet om generel skriftlig tilladelse: Ordningen for underdatabehandlere i punkt 6 er den aftalte tilladelse, og dens varsel på 30 dage udfylder bestemmelsens varslingsperiode. Det valgfrie uafhængige tvistbilæggelsesorgan i bestemmelse 11, litra a), tilbydes ikke. Den kompetente tilsynsmyndighed i henhold til bestemmelse 13 fastlægges efter kriterierne i bestemmelse 13, litra a), som angivet i bilag I.C. I henhold til bestemmelse 17 er Bestemmelserne underlagt lovgivningen i den medlemsstat, hvor kundevirksomheden er etableret, eller, hvor kundevirksomheden ikke er etableret i en medlemsstat, eller denne lovgivning ikke giver mulighed for påberåbelse af tredjemandsløftet, irsk lovgivning; i henhold til bestemmelse 18, litra b), har domstolene i denne medlemsstat eller i så fald de irske domstole kompetence, og i henhold til bestemmelse 18, litra c), kan en registreret også anlægge sag i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted. I Bestemmelserne, som de gælder i henhold til dette punkt, omfatter medlemsstater de stater i Det Europæiske Økonomiske Samarbejdsområde, der ikke er medlemmer af Den Europæiske Union.

Hvor Bestemmelserne og denne Databehandleraftale er i strid med hinanden, har Bestemmelserne forrang i det omfang, der er tale om en konflikt, i overensstemmelse med punkt 11. I henhold til bestemmelse 8.3 (modul to) stiller kundevirksomheden Bestemmelserne, herunder disse bilag, til rådighed for en registreret, der anmoder om det; vi leverer teksten på anmodning for at gøre dette muligt.

For overførsler af personoplysninger om besøgende, som britisk databeskyttelseslovgivning gælder for (begrænsede overførsler (Restricted Transfers) i henhold til UK GDPR), inkorporerer denne Databehandleraftale tillægget om internationale dataoverførsler til Europa-Kommissionens standardkontraktbestemmelser (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), udstedt af Information Commissioner i henhold til section 119A(1) i Data Protection Act 2018, version B1.0, i kraft fra den 21. marts 2022 (»Tillægget«), udfyldt med tabellerne i dette punkt. Det gælder for enhver sådan overførsel, uanset hvilket svar kundevirksomheden har givet i konsollen om britiske data. Som afsnit 2 i Tillægget tillader, indgår parterne det ved kundevirksomhedens registrerede accept af denne Databehandleraftale i denne version og vores offentliggørelse af denne Databehandleraftale i denne version, hvilket gør det juridisk bindende for begge parter og giver registrerede mulighed for at håndhæve deres rettigheder i henhold til det; der kræves ingen separat underskrift.

Tabel 1 – Parter. Startdato: den dato, hvor konsollen registrerer kundevirksomhedens accept af denne version. Eksportør: kundevirksomheden med det fulde juridiske navn, forretningsnavn, hovedadresse, officielle registreringsnummer og den centrale kontaktperson (den accepterende persons navn og rolle samt virksomhedens e-mailadresse for henvendelser om databeskyttelse), der er registreret sammen med kundevirksomhedens accept i konsollen. Importør: DCI Brands LLC, der driver forretning som Vavus; hovedadresse 312 W 2nd Street, Casper, WY 82601, United States; officielt registreringsnummer: Wyoming Secretary of State filing ID 2017-000762309; central kontaktperson: Dragos Ignat, ejer og stifter, support@vavusai.com. Underskrift: ikke påkrævet, som anført ovenfor.

Tabel 2 – Valgte standardkontraktbestemmelser, moduler og valgte bestemmelser. De godkendte EU-standardkontraktbestemmelser (Approved EU SCCs), herunder bilagsoplysningerne (Appendix Information), hvor kun følgende moduler, bestemmelser og fakultative bestemmelser bringes i anvendelse i forbindelse med Tillægget: Modul 2 (dataansvarlig til databehandler) anvendes, og modul 1, 3 og 4 anvendes ikke; bestemmelse 7 (tillægsbestemmelse) anvendes ikke; alternativet i bestemmelse 11 (uafhængigt tvistbilæggelsesorgan) anvendes ikke; bestemmelse 9, litra a), anvendes i henhold til generel skriftlig tilladelse med en frist på 30 dages forudgående varsel.

Tabel 3 – Bilagsoplysninger. Bilag 1A (liste over parter): bilag I.A til denne Databehandleraftale. Bilag 1B (beskrivelse af overførslen): bilag I.B til denne Databehandleraftale. Bilag II (tekniske og organisatoriske foranstaltninger, herunder foranstaltninger til sikring af datasikkerheden): bilag II til denne Databehandleraftale. Bilag III (liste over underdatabehandlere): bilag III til denne Databehandleraftale.

Tabel 4 – Ophør af dette Tillæg, når det godkendte tillæg ændres. Hvilke parter der kan bringe dette Tillæg til ophør som fastsat i afsnit 19 i Tillægget: ingen af parterne. Når Information Commissioner udsteder et revideret godkendt tillæg (Approved Addendum) i henhold til afsnit 18 i Tillægget, ændres dette Tillæg som angivet i revisionen fra den startdato, som revisionen fastsætter.

Obligatoriske bestemmelser: del 2: obligatoriske bestemmelser (Mandatory Clauses) i det godkendte tillæg, dvs. skabelonen til tillæg B.1.0, der er udstedt af ICO og forelagt parlamentet i overensstemmelse med section 119A i Data Protection Act 2018 den 2. februar 2022, som revideret i henhold til afsnit 18 i disse obligatoriske bestemmelser. I henhold til disse obligatoriske bestemmelser er Tillægget underlagt lovgivningen i England og Wales, tvister afgøres af domstolene i England og Wales, en registreret kan også anlægge sag mod hver af parterne ved domstolene i ethvert land i Det Forenede Kongerige, og Information Commissioner er tilsynsmyndigheden. Vi leverer teksten til Tillægget på anmodning.

Britisk vurdering af overførselsrisici. For overførslen til os i USA støtter kundevirksomheden som eksportør sig, for så vidt angår vurderingen af amerikansk lovgivning og praksis vedrørende offentlige myndigheders adgang til personoplysninger og vurderingen af Tillæggets håndhævelighed, på den britiske regerings analyse af de relevante amerikanske love og praksisser, som er udarbejdet af Department for Science, Innovation and Technology, sådan som Information Commissioners vejledning om udfyldelse af en vurdering af overførselsrisici ved overførsler til USA tillader, herunder for en modtager, der ikke er certificeret under den britiske udvidelse (UK Extension) af databeskyttelsesrammen mellem EU og USA. På grundlag af denne analyse er beskyttelsen af de overførte data, med Tillægget i kraft, ikke væsentligt lavere end efter britisk databeskyttelseslovgivning. Vi er ikke certificeret under denne ramme, og denne vurdering bygger ikke på certificering. Den overførsel, vurderingen omfatter, er den, der er beskrevet i bilag I.B, med de videreoverførsler, der er angivet i bilag III, og de garantier, der er angivet i bilag II og i sammenfatningen af vurderingen af overførslens konsekvenser. Vi underretter kundevirksomheden uden unødig forsinkelse, hvis den britiske regering trækker denne analyse tilbage eller ændrer den væsentligt, eller hvis vi ikke længere kan overholde Tillægget, og parterne vil derefter tage denne vurdering op til fornyet overvejelse.

For overførsler af personoplysninger om besøgende, som den schweiziske forbundslov om databeskyttelse af 25. september 2020 (FADP) gælder for, gælder Bestemmelserne som inkorporeret i punkt 13 som standardbestemmelser om databeskyttelse, der er anerkendt af den føderale databeskyttelses- og informationskommissær (FDPIC) i henhold til artikel 16, stk. 2, litra d), i FADP, med nedenstående tilpasninger. De gælder for enhver sådan overførsel, uanset hvilket svar kundevirksomheden har givet i konsollen om schweiziske data. Hvor en overførsel er omfattet af både FADP og GDPR, opretholder parterne separate ordninger: Disse tilpasninger gælder kun i det omfang, FADP gælder for overførslen, og punkt 13 gælder fortsat uden ændringer i det omfang, GDPR gælder for den.

• Henvisninger til forordning (EU) 2016/679 skal forstås som henvisninger til FADP, for så vidt overførslen er omfattet af FADP.
• FDPIC er den kompetente tilsynsmyndighed i henhold til bestemmelse 13 og bilag I.C for overførsler, der er omfattet af FADP; hvor GDPR også gælder for en overførsel, forbliver den myndighed, der er fastlagt i henhold til bestemmelse 13, litra a), kompetent for denne del sideløbende.
• For overførsler, der kun er omfattet af FADP, er Bestemmelserne underlagt schweizisk ret i henhold til bestemmelse 17, og tvister mellem parterne i henhold til bestemmelse 18, litra b), afgøres af de schweiziske domstole på kundevirksomhedens hjemsted.
• Udtrykket »medlemsstat« i Bestemmelserne må ikke fortolkes på en måde, der udelukker registrerede i Schweiz fra at gøre deres rettigheder gældende ved deres sædvanlige opholdssted, Schweiz, i henhold til bestemmelse 18, litra c).
• Sammenfatningen af vurderingen af overførslens konsekvenser gælder for disse overførsler, læst med henvisning til FADP. Vi er ikke certificeret under databeskyttelsesrammen mellem Schweiz og USA (Swiss-US Data Privacy Framework), så Forbundsrådets anerkendelse af USA for certificerede virksomheder omfatter ikke overførsler til os. FADP kræver ikke, at brugen af disse bestemmelser anmeldes til FDPIC.

Dataeksportør: kundevirksomheden, der er dataansvarlig for dataene om besøgende, og som er etableret i det land, der er registreret for arbejdsområdet i konsollen, hvilket kan være en medlemsstat i Det Europæiske Økonomiske Samarbejdsområde, Det Forenede Kongerige, Schweiz eller et andet land; hvor en kundevirksomhed, der er etableret andetsteds, er omfattet af GDPR, britisk databeskyttelseslovgivning eller FADP for sin behandling af data om besøgende, er kundevirksomheden dataeksportør for de overførsler, som denne lovgivning omfatter. Kundevirksomhedens aktiviteter af relevans for overførslen er drift af kundevirksomhedens virksomhed og styring af Concierge-arbejdsområdet via konsollen. Kundevirksomhedens fulde juridiske navn, forretningsnavn, adresse, registreringsnummer, e-mailadresse for henvendelser om databeskyttelse samt navn og rolle på den person, der accepterede på kundevirksomhedens vegne, er dem, der er registreret sammen med kundevirksomhedens accept i konsollen. Rolle: dataansvarlig.

Dataimportør: DCI Brands LLC (»Vavus«, databehandleren), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); aktiviteter af relevans for overførslen: levering af Concierge-tjenesten i henhold til denne Databehandleraftale; kontakt vedrørende databeskyttelsesspørgsmål: support@vavusai.com. Rolle: databehandler.

Underskrift og dato: for dataeksportøren dennes accept af denne Databehandleraftale som registreret i konsollen (version, dato og klokkeslæt samt den accepterende person); for dataimportøren vores offentliggørelse af denne Databehandleraftale i denne version, som fastsat i punkt 13.

Kategorier af registrerede: kundevirksomhedens besøgende, kunder, potentielle kunder og medarbejdere, hvis oplysninger gives til tjenesten.

Kategorier af personoplysninger: identifikatorer, som den besøgende oplyser (navn, telefonnummer, e-mailadresse), samtaleindhold (beskeder, stemmelyd, udskrifter og eventuelle optagelser, som kundevirksomheden foretager), kontakt- og bookingregistreringer, som assistenten opretter på baggrund af den besøgendes handlinger, tekniske sessionsdata (tidsstempler, kanal, sprog) samt personoplysninger, der er indeholdt i materiale, som kundevirksomheden uploader til assistentens viden, eller i stemmeprøver, som kundevirksomheden leverer for at skabe en tilpasset stemme.

Følsomme oplysninger: Tjenesten indsamler ikke som led i sin normale drift særlige kategorier af personoplysninger. Hvor en kundevirksomheds konfiguration gør helbredsoplysninger forudsigelige (arbejdsområder, der er konfigureret til sundhed), er adgangen begrænset til personale, der har brug for den, og logges, og kundevirksomheden forbliver ansvarlig for at sikre, at indsamlingen bygger på kundevirksomhedens eget lovlige grundlag og egne instrukser.

Hyppighed og varighed: løbende i hele arbejdsområdets levetid, efterhånden som sessioner, bookinger og brug af konsollen finder sted; opbevaring følger punkt 3 og 9. Behandlingens karakter og formål: indsamling, overførsel, organisering, opbevaring, genfinding, oversættelse, generering af svar, videregivelse til autoriserede medarbejdere og til underdatabehandlerne i bilag III samt sletning med henblik på at levere Concierge efter kundevirksomhedens instrukser. Videreoverførsler er begrænset til bestemmelse 9, til punkt 6 og til listen i bilag III.

For overførsler, der er omfattet af GDPR, fastlægges den kompetente tilsynsmyndighed efter bestemmelse 13, litra a): hvor kundevirksomheden (som dataeksportør) er etableret i en medlemsstat, den tilsynsmyndighed, der er ansvarlig for at sikre, at kundevirksomheden overholder GDPR med hensyn til overførslen; hvor kundevirksomheden ikke er etableret i en medlemsstat, men er omfattet af artikel 3, stk. 2, i GDPR og har udpeget en repræsentant i henhold til artikel 27, stk. 1, tilsynsmyndigheden i den medlemsstat, hvor denne repræsentant er etableret; og hvor kundevirksomheden ikke er etableret i en medlemsstat, er omfattet af artikel 3, stk. 2, og ikke er forpligtet til at udpege en repræsentant i henhold til artikel 27, stk. 2, tilsynsmyndigheden i en af de medlemsstater, hvor de registrerede, hvis personoplysninger overføres i forbindelse med udbud af varer eller tjenesteydelser til dem, eller hvis adfærd overvåges, befinder sig.

For overførsler, der er omfattet af britisk databeskyttelseslovgivning, Information Commissioner, som fastsat i punkt 14. For overførsler, der er omfattet af FADP, den føderale databeskyttelses- og informationskommissær, som fastsat i punkt 15, sideløbende med ovennævnte myndighed, hvor GDPR også gælder for overførslen.

De foranstaltninger, som dataimportøren anvender til at beskytte dataene, som beskrevet i punkt 4, 5, 8 og 9 i denne Databehandleraftale:

• TLS for data under overførsel og kryptering i hvile i hele tjenesten
• Adgang efter princippet om mindste privilegium, afgrænset efter rolle, via den autentificerede konsol; personale er bundet af fortrolighedsforpligtelser
• Logning af adgang for arbejdsområder, der er konfigureret til sundhed, og revisionslogning af administrative handlinger
• Optagelser opbevares i adgangskontrolleret objektlager
• Sikker sletning af filer, hvis opbevaringsperiode er udløbet; krypterede sikkerhedskopier under en dokumenteret livscyklus
• Krypterede sikkerhedskopier hver time med kontrol af gendannelse med henblik på kontinuitet og genopretning
• Overvågning af tjenestens software og afhængigheder for sårbarheder med opdatering
• Ændringer udrulles via versionsstyring og en scriptbaseret udrulning med sundhedstjek og mulighed for tilbagerulning
• Adgangskoder lagres kun som saltede hashværdier; konti spærres efter gentagne mislykkede loginforsøg
• Fysisk sikkerhed i datacentrene leveres af Google Cloud i henhold til Google Clouds certificeringer
• Hærdede endpoints bag en webapplikationsfirewall med begrænsning af antallet af anmodninger
• Underretning af kundevirksomheden om brud på persondatasikkerheden uden unødig forsinkelse efter at være blevet bekendt med dem, med nærmere oplysninger og opfølgning i etaper
• Bistand med anmodninger fra registrerede og med kundevirksomhedens forpligtelser i henhold til artikel 32 til 36 i GDPR og de tilsvarende bestemmelser i UK GDPR og FADP
• Skriftlige kontrakter med underdatabehandlere, der i det væsentlige indeholder de samme databeskyttelsesforpligtelser som denne Databehandleraftale

De underdatabehandlere, der er godkendt i henhold til bestemmelse 9, litra a) (generel skriftlig tilladelse), og punkt 6, opdelt efter funktion. Ændringer følger vilkårene om varsel og indsigelse i punkt 6.

Udbydere, som kundevirksomheden selv tilslutter – kundevirksomhedens egne telefoni- eller beskedkonti (såsom kundevirksomhedens egen Twilio-konto eller WhatsApps udbyder), kundevirksomhedens egen Stripe-konto til betalinger, som kundevirksomheden modtager fra sine kunder, og de kalender-, CRM-, ticket- eller butikssystemer, som kundevirksomheden tilslutter – benyttes af kundevirksomheden direkte under egen bemyndigelse og er ikke vores underdatabehandlere.

• Google Cloud – cloudhosting og -lagring (primær region i USA, EU-edge i Frankfurt)
• Google – talegenkendelse, talesyntese, oversættelse og AI-modeller
• OpenAI – AI-modeller, talegenkendelse og talesyntese
• Anthropic – AI-modeller
• ElevenLabs – talegenkendelse, talesyntese og tilpassede stemmer (bruges ikke til arbejdsområder, der er konfigureret til sundhed)
• AssemblyAI – talegenkendelse, hvor arbejdsområdets taleindstilling bruger den
• TypeSafe – semantisk routing af replikskifter i samtaler, hvor arbejdsområdets assistentindstillinger aktiverer det
• Twilio – telefoni og sms'er for telefonnumre, vi leverer til kundevirksomheden
• Stripe – betalinger for kundevirksomhedens egen Concierge-plan og eget forbrug
• Resend – levering af e-mails
• Selvhostet Postal på vores egen infrastruktur – levering af e-mails

Hvor California Consumer Privacy Act eller en anden databeskyttelseslov i en amerikansk delstat gælder for data om besøgende, er kundevirksomheden virksomheden (business) eller den dataansvarlige (controller), og Vavus er kundevirksomhedens tjenesteudbyder (service provider), kontrahent (contractor) eller databehandler (processor), og ordene i dette bilag har den betydning, som disse love giver dem. Kundevirksomheden videregiver kun data om besøgende til os til det begrænsede og specificerede formål at levere Concierge som beskrevet i denne Databehandleraftale og Concierge-vilkårene.

Vi vil: kun behandle data om besøgende til dette formål og efter kundevirksomhedens instrukser og aldrig sælge eller dele dem; ikke opbevare, bruge eller videregive dem til noget andet formål, herunder noget kommercielt formål, eller uden for vores direkte forretningsforhold med kundevirksomheden; ikke kombinere dem med personlige oplysninger, som vi modtager fra andre eller selv indsamler, undtagen i det omfang disse love tillader det for at levere tjenesten; overholde de forpligtelser, som disse love pålægger tjenesteudbydere, og give data om besøgende det samme niveau af beskyttelse af privatlivet, som de kræver; give kundevirksomheden skriftlig besked, hvis vi beslutter, at vi ikke længere kan opfylde disse forpligtelser; give kundevirksomheden mulighed for at træffe rimelige og passende foranstaltninger for at kontrollere, at vi bruger data om besøgende i overensstemmelse med kundevirksomhedens egne forpligtelser, herunder via punkt 10, og for at stoppe og afhjælpe enhver uautoriseret brug; og give kundevirksomheden varsel om nye underdatabehandlere i henhold til punkt 6, hvilket opfylder det varsel, som disse love kræver. Vi bekræfter, at vi forstår disse begrænsninger og vil overholde dem.

Anmodninger fra besøgende i henhold til disse love går til kundevirksomheden, og vi bistår som beskrevet i punkt 8.

Amerikansk lovgivning giver offentlige myndigheder mulighed for under nærmere fastsatte omstændigheder at kræve videregivelse af personoplysninger, som tjenesteudbydere er i besiddelse af (navnlig section 702 i FISA og Executive Order 12333). Før vi indgik aftale om disse Bestemmelser, vurderede vi overførslen i forhold til disse love og denne praksis, som bestemmelse 14 kræver, under hensyntagen til de specifikke omstændigheder ved overførslen: data til støtte for forretningen (identifikatorer, samtaleindhold, bookingregistreringer, tekniske sessionsdata), en kort behandlingskæde (kundevirksomheden, os og underdatabehandlerne i bilag III), vores vurdering af, at vi ved levering af Concierge ikke fungerer som udbyder af elektroniske kommunikationstjenester for denne trafik, samt de kontraktlige, tekniske og organisatoriske garantier, der er etableret. Vi holder denne vurdering under løbende revision, dokumenterer den og stiller den til rådighed for den kompetente tilsynsmyndighed på anmodning.

Supplerende foranstaltninger: de tekniske og organisatoriske foranstaltninger i bilag II, dataminimering gennem indsamling konfigureret af kundevirksomheden, revisionsrettighederne i punkt 10 og de forpligtelser, vi påtager os i henhold til bestemmelse 14 og 15 – at underrette kundevirksomheden om en juridisk bindende anmodning om videregivelse, hvor loven tillader det, at søge at opnå dispensation fra ethvert forbud mod underretning og give aggregerede oplysninger med regelmæssige mellemrum, at vurdere lovligheden af en anmodning og anfægte den, hvor der er rimelig grund til at antage, at den er ulovlig, og at videregive det mindst mulige omfang af oplysninger, der er tilladt. Hvis vi konkluderer, at vi ikke længere kan overholde Bestemmelserne, underretter vi straks kundevirksomheden, og kundevirksomheden kan suspendere overførslen som fastsat i Bestemmelserne. Hvis en afgørelse om tilstrækkeligheden af beskyttelsesniveauet kommer til at omfatte en overførsel (f.eks. hvis vi bliver certificeret under databeskyttelsesrammen mellem EU og USA), gælder Bestemmelserne kun for denne overførsel i det omfang, afgørelsen om tilstrækkeligheden af beskyttelsesniveauet ikke gør.

For overførsler fra Det Forenede Kongerige gælder vurderingen af overførselsrisici i punkt 14. For overførsler fra Schweiz gælder denne vurdering læst med henvisning til FADP, som fastsat i punkt 15.