Σύμβαση Επεξεργασίας Δεδομένων του Vavus Concierge

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») συνάπτεται μεταξύ της DCI Brands LLC («Vavus», «εμείς», ο εκτελών την επεξεργασία), 312 W 2nd Street, Casper, WY 82601, United States, και της επιχείρησης που λειτουργεί έναν χώρο εργασίας του Vavus Concierge (ο φορέας του χώρου εργασίας, ο υπεύθυνος επεξεργασίας). Εφαρμόζεται στα δεδομένα επισκεπτών που το Vavus επεξεργάζεται σύμφωνα με τις εντολές του φορέα μέσω της υπηρεσίας Concierge: της κονσόλας, του widget του ιστοτόπου, των φιλοξενούμενων σελίδων πράκτορα, των τηλεφωνικών καναλιών και των καναλιών μηνυμάτων, καθώς και των κρατήσεων.

Αποτελεί συμπλήρωμα των Όρων Παροχής Υπηρεσιών του Vavus Concierge, τους οποίους ο φορέας αποδέχεται μαζί με την παρούσα ΣΕΔ. Όταν η παρούσα ΣΕΔ συγκρούεται με τους Όρους του Concierge όσον αφορά την επεξεργασία δεδομένων επισκεπτών, υπερισχύει η παρούσα ΣΕΔ. Έχει συνταχθεί ώστε να πληροί το άρθρο 28 του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ) και του ΓΚΠΔ του Ηνωμένου Βασιλείου, το άρθρο 9 του ομοσπονδιακού νόμου της Ελβετίας για την προστασία των δεδομένων (FADP) και αντίστοιχες δεσμεύσεις εκτελούντος την επεξεργασία σε άλλες δικαιοδοσίες· όπου το τοπικό δίκαιο επιβάλλει αυστηρότερες υποχρεώσεις στον εκτελούντα την επεξεργασία, αυτές υπερισχύουν για την επεξεργασία στη συγκεκριμένη δικαιοδοσία. Το Παράρτημα IV εφαρμόζεται επιπλέον όταν τα δεδομένα επισκεπτών του φορέα διέπονται από νόμο πολιτείας των Ηνωμένων Πολιτειών για το απόρρητο.

Ο φορέας είναι ο υπεύθυνος επεξεργασίας των δεδομένων επισκεπτών: αποφασίζει τι κάνει ο βοηθός, ποιες γνώσεις διαθέτει, ποια κανάλια λειτουργούν και τι ζητείται από τους επισκέπτες. Το Vavus είναι ο εκτελών την επεξεργασία: ενεργούμε μόνο σύμφωνα με τις εντολές του φορέα μέσω της κονσόλας και της κανονικής λειτουργίας της υπηρεσίας και επεξεργαζόμαστε τα δεδομένα επισκεπτών αποκλειστικά για την παροχή του Concierge.

Θα ενημερώνουμε αμέσως τον φορέα εάν, κατά τη γνώμη μας, μια εντολή παραβιάζει την εφαρμοστέα νομοθεσία για την προστασία δεδομένων, και δεν θα εκτελούμε εντολή που είναι προδήλως παράνομη. Εάν ο νόμος απαιτεί επεξεργασία εκτός των τεκμηριωμένων εντολών, θα ενημερώνουμε τον φορέα πριν από την επεξεργασία αυτή, εκτός εάν ο νόμος το απαγορεύει. Δεν επεξεργαζόμαστε δεδομένα επισκεπτών για δικούς μας σκοπούς και δεν τα χρησιμοποιούμε για την εκπαίδευση των μοντέλων μας ούτε τα πωλούμε.

Η παρούσα ΣΕΔ, συμπεριλαμβανομένων των όρων διαβίβασης των Ενοτήτων 7 και 13 έως 15, καλύπτει φορέα που είναι ο υπεύθυνος επεξεργασίας των δεδομένων επισκεπτών του. Δεν καλύπτει φορέα που επεξεργάζεται τα δεδομένα για λογαριασμό άλλου υπευθύνου επεξεργασίας, διότι δεν προσφέρει την Τρίτη Ενότητα (από εκτελούντα την επεξεργασία προς εκτελούντα την επεξεργασία) των Ρητρών· μια τέτοια επιχείρηση δεν επιτρέπεται να την αποδεχθεί για τα δεδομένα αυτά.

Ο φορέας είναι υπεύθυνος για τη νομιμότητα όσων μας ζητά να κάνουμε. Επιβεβαιώνει ότι διαθέτει νόμιμη βάση για την επεξεργασία, μεταξύ άλλων βάσει των άρθρων 6, 9 και 10 του ΓΚΠΔ, όπου εφαρμόζονται· ότι έχει παράσχει στους επισκέπτες την ενημέρωση που απαιτούν τα άρθρα 12 έως 14 και έχει λάβει κάθε συγκατάθεση που απαιτεί ο νόμος, μεταξύ άλλων για την ηχογράφηση ή τη μετάφραση μιας κλήσης· και ότι οι εντολές του συμμορφώνονται με τη νομοθεσία για την προστασία δεδομένων. Εκτός εάν ο χώρος εργασίας έχει διαμορφωθεί για την υγειονομική περίθαλψη, ο φορέας δεν θα διοχετεύει στην υπηρεσία δεδομένα επισκεπτών που περιλαμβάνουν αριθμούς κρατικών εγγράφων ταυτοποίησης, αριθμούς καρτών πληρωμής, διαπιστευτήρια χρηματοοικονομικών λογαριασμών, κωδικούς πρόσβασης σε άλλες υπηρεσίες, βιομετρικά δεδομένα, δεδομένα που συλλέγονται εν γνώσει από παιδιά κάτω των 16 ετών ή ειδικές κατηγορίες δεδομένων, όπως δεδομένα υγείας, φυλετικής ή εθνοτικής καταγωγής, πολιτικών φρονημάτων, θρησκείας ή σεξουαλικού προσανατολισμού, και θα αφαιρεί όσα περιέλθουν κατά λάθος. Ο φορέας φυλάσσει με ασφάλεια τα διαπιστευτήρια της κονσόλας του, αποφασίζει ποια μέλη της ομάδας του έχουν πρόσβαση, διατηρεί δικό του αντίγραφο οτιδήποτε δεν μπορεί να διακινδυνεύσει να χάσει και επιβεβαιώνει ότι έχει εξετάσει τα μέτρα της Ενότητας 5 και του Παραρτήματος II και τα κρίνει επαρκή για τα δεδομένα που επεξεργάζεται μέσω του Concierge.

Κατηγορίες δεδομένων επισκεπτών, όπως τα συλλέγει η διαμόρφωση του φορέα: αναγνωριστικά που παρέχει ο επισκέπτης (όνομα, αριθμός τηλεφώνου, διεύθυνση email), περιεχόμενο συνομιλιών (μηνύματα, φωνητικός ήχος, απομαγνητοφωνήσεις και τυχόν ηχογραφήσεις που λειτουργεί ο φορέας), αρχεία επαφών και κρατήσεων που δημιουργεί ο βοηθός βάσει των ενεργειών του επισκέπτη, τεχνικά δεδομένα συνεδρίας (χρονοσημάνσεις, κανάλι, γλώσσα) και δεδομένα προσωπικού χαρακτήρα που περιέχονται σε υλικό που ο φορέας μεταφορτώνει στις γνώσεις του βοηθού ή σε δείγματα φωνής που παρέχει ο φορέας για τη δημιουργία προσαρμοσμένης φωνής.

Υποκείμενα των δεδομένων είναι οι επισκέπτες, οι πελάτες, οι δυνητικοί πελάτες και το προσωπικό του φορέα, των οποίων οι πληροφορίες παρέχονται στην υπηρεσία. Η επεξεργασία περιλαμβάνει συλλογή, διαβίβαση, οργάνωση, αποθήκευση, ανάκτηση, μετάφραση, παραγωγή απαντήσεων, γνωστοποίηση σε εξουσιοδοτημένο προσωπικό και σε συνδεδεμένους παρόχους, καθώς και διαγραφή. Σκοπός: η παροχή του Concierge σύμφωνα με τις εντολές του φορέα. Η διάρκεια ακολουθεί τις εφαρμοστέες ρυθμίσεις διατήρησης και την Ενότητα 9, αντί να διαρκεί αυτόματα καθ' όλη τη διάρκεια ζωής του χώρου εργασίας.

Πρόσβαση έχει μόνο το προσωπικό που τη χρειάζεται για τη λειτουργία ή την ασφάλεια της υπηρεσίας, υπό υποχρεώσεις εμπιστευτικότητας, και η πρόσβαση καταγράφεται για τους χώρους εργασίας που έχουν διαμορφωθεί για την υγειονομική περίθαλψη. Δεν τοποθετούμε περιεχόμενο επισκεπτών σε φορτία δεδομένων αναλυτικών στοιχείων, σε συνομιλίες υποστήριξης ή σε δημόσια συστήματα παρακολούθησης.

Η υπηρεσία λειτουργεί στη δική μας υποδομή με τα μέτρα που περιγράφονται στη σελίδα «Ασφάλεια»: TLS κατά τη μεταφορά, κρυπτογράφηση σε κατάσταση αποθήκευσης, πρόσβαση με τα ελάχιστα απαραίτητα δικαιώματα, τήρηση αρχείων καταγραφής ελέγχου, ασφαλή διαγραφή των αρχείων μετά τη λήξη της περιόδου διατήρησής τους και θωρακισμένα endpoints πίσω από τείχος προστασίας διαδικτυακών εφαρμογών. Οι ηχογραφήσεις τηρούνται σε χώρο αποθήκευσης αντικειμένων με έλεγχο πρόσβασης· η πρόσβαση στην κονσόλα απαιτεί έλεγχο ταυτότητας και περιορίζεται ανάλογα με τον ρόλο. Μπορούμε να επικαιροποιούμε τα μέτρα αυτά καθώς μεταβάλλονται η τεχνολογία και οι απειλές, υπό την προϋπόθεση ότι το συνολικό επίπεδο προστασίας των δεδομένων επισκεπτών δεν μειώνεται ουσιωδώς.

Χρησιμοποιούμε υπεργολάβους επεξεργασίας ανά λειτουργία: φιλοξενία και αποθήκευση στο cloud (Google Cloud)· αναγνώριση ομιλίας, σύνθεση ομιλίας, μετάφραση και μοντέλα τεχνητής νοημοσύνης (Google, OpenAI, Anthropic, ElevenLabs και AssemblyAI)· σημασιολογική δρομολόγηση των γύρων συνομιλίας, όπου την ενεργοποιεί ο χώρος εργασίας (TypeSafe)· τηλεφωνία και μηνύματα κειμένου για τηλεφωνικούς αριθμούς που παρέχουμε στον φορέα (Twilio)· πληρωμές για το πρόγραμμα και τη χρήση του ίδιου του φορέα (Stripe)· αποστολή email (Resend, καθώς και ο διακομιστής Postal που φιλοξενούμε στη δική μας υποδομή)· και - όταν ο φορέας συνδέει συστήματα τηλεφωνίας, ανταλλαγής μηνυμάτων, πληρωμών, κρατήσεων ή επιχειρηματικά συστήματα - τους παρόχους του ίδιου του φορέα (όπως τον δικό του λογαριασμό Twilio, τον πάροχο του WhatsApp, τον δικό του λογαριασμό Stripe, το ημερολόγιό του ή το CRM του), τους οποίους ο φορέας χρησιμοποιεί απευθείας με δική του εξουσία. Το Παράρτημα III κατονομάζει κάθε υπεργολάβο επεξεργασίας και τη λειτουργία του.

Ο φορέας παρέχει γενική γραπτή άδεια για τους υπεργολάβους επεξεργασίας που προσδιορίζονται στον τρέχοντα κατάλογο που παρέχεται για την υπηρεσία του. Επιβάλλουμε σε κάθε υπεργολάβο επεξεργασίας, με γραπτή σύμβαση, υποχρεώσεις προστασίας δεδομένων ισοδύναμες με εκείνες της παρούσας ΣΕΔ και παραμένουμε υπεύθυνοι έναντι του φορέα για την εκτέλεσή τους. Το περιεχόμενο επισκεπτών δεν επιτρέπεται να χρησιμοποιείται για την εκπαίδευση μοντέλων χωρίς χωριστή νόμιμη εντολή και συμβατική βάση. Ο τρέχων ονομαστικός κατάλογος είναι το Παράρτημα III και διατίθεται επίσης κατόπιν αιτήματος, και ειδοποιούμε τον φορέα τουλάχιστον 30 ημέρες νωρίτερα, στην κονσόλα ή μέσω email, πριν ένας νέος υπεργολάβος επεξεργασίας χειριστεί δεδομένα επισκεπτών· κατά το διάστημα αυτό ο φορέας μπορεί να διατυπώσει αντιρρήσεις για εύλογους λόγους προστασίας δεδομένων. Στη συνέχεια συνεργαζόμαστε καλόπιστα με τον φορέα για την επίλυση της αντίρρησης· εάν δεν μπορούμε, ο φορέας μπορεί να τερματίσει τον χώρο εργασίας πριν ο νέος υπεργολάβος επεξεργασίας χειριστεί τα δεδομένα του, και αυτό αποτελεί το μοναδικό μέσο αποκατάστασης για την αντίρρηση. Οι χρεώσεις που έχουν ήδη καταστεί απαιτητές παραμένουν πληρωτέες, και τυχόν επιστροφή χρημάτων ακολουθεί τους Όρους του Concierge.

Η υπηρεσία λειτουργεί στις Ηνωμένες Πολιτείες και, για μικρότερο χρόνο απόκρισης, σε κόμβο αιχμής στην Ευρωπαϊκή Ένωση (Φρανκφούρτη). Τα δεδομένα επισκεπτών μπορεί επομένως να υποβάλλονται σε επεξεργασία σε οποιαδήποτε από τις δύο περιοχές, ανάλογα με τη δρομολόγηση της συνεδρίας. Πριν πραγματοποιηθεί μια διεθνής διαβίβαση που υπόκειται σε περιορισμούς, τα μέρη πρέπει να καθορίσουν τον εφαρμοστέο νόμιμο μηχανισμό διαβίβασης και να τεκμηριώσουν τους προορισμούς και τις εγγυήσεις. Όταν χρησιμοποιούνται τυποποιημένες συμβατικές ρήτρες, οι εφαρμοστέες ρήτρες, η ενότητα, οι επιλογές και τα συμπληρωμένα παραρτήματα πρέπει να αποτελούν μέρος της σύμβασης διαβίβασης.

Για τις διαβιβάσεις δεδομένων επισκεπτών προς εμάς στις Ηνωμένες Πολιτείες, η παρούσα ΣΕΔ αποτελεί την εν λόγω σύμβαση διαβίβασης, και ο φορέας στηρίζεται σε αυτήν χωρίς χωριστή υπογραφή: για τις διαβιβάσεις που διέπονται από τον ΓΚΠΔ (από τον Ευρωπαϊκό Οικονομικό Χώρο), τις Ρήτρες όπως παρατίθενται στην Ενότητα 13 και στα παραρτήματά της· για τις διαβιβάσεις που διέπονται από τη νομοθεσία του Ηνωμένου Βασιλείου για την προστασία δεδομένων, τις Ρήτρες μαζί με το Προσάρτημα του Ηνωμένου Βασιλείου για τη Διεθνή Διαβίβαση Δεδομένων όπως παρατίθεται στην Ενότητα 14· και για τις διαβιβάσεις που διέπονται από τον ελβετικό FADP, τις Ρήτρες με τις ελβετικές προσαρμογές της Ενότητας 15. Καθένα από αυτά εφαρμόζεται σε κάθε διαβίβαση που διέπει το αντίστοιχο δίκαιο, ανεξάρτητα από την απάντηση που έδωσε ο φορέας στην κονσόλα σχετικά με δεδομένα από το Ηνωμένο Βασίλειο ή την Ελβετία. Όταν περισσότερα από ένα από αυτά τα δίκαια διέπουν την ίδια διαβίβαση, κάθε σύνολο όρων εφαρμόζεται στον βαθμό του δικού του δικαίου, και κανένα δεν μειώνει την προστασία που παρέχει άλλο.

Οι διαβιβάσεις που διέπονται από τους κανόνες διαβίβασης οποιασδήποτε άλλης χώρας απαιτούν τον μηχανισμό που προβλέπει το δίκαιο αυτό· επικοινωνήστε μαζί μας πριν ενεργοποιήσετε επεξεργασία που απαιτεί τέτοιον μηχανισμό. Δεν είμαστε πιστοποιημένοι βάσει του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ, της Επέκτασής του για το Ηνωμένο Βασίλειο ή του Πλαισίου Προστασίας Δεδομένων Ελβετίας-ΗΠΑ, και καμία διαβίβαση βάσει της παρούσας ΣΕΔ δεν στηρίζεται σε αυτά.

Οι επισκέπτες είναι πελάτες του φορέα: τα αιτήματα ενός επισκέπτη σχετικά με τα δεδομένα του (πρόσβαση, διόρθωση, διαγραφή, εναντίωση) απευθύνονται στον φορέα ως υπεύθυνο επεξεργασίας, και ο φορέας απαντά σε αυτά χρησιμοποιώντας τη διαγραφή ανά επαφή της κονσόλας. Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, παρέχουμε συνδρομή με κατάλληλα τεχνικά και οργανωτικά μέτρα για αιτήματα βάσει του Κεφαλαίου III του ΓΚΠΔ και των αντίστοιχων δικαιωμάτων βάσει του ΓΚΠΔ του Ηνωμένου Βασιλείου και του FADP. Λαμβάνοντας υπόψη τις πληροφορίες που έχουμε στη διάθεσή μας, παρέχουμε επίσης συνδρομή όσον αφορά την ασφάλεια, τις γνωστοποιήσεις παραβιάσεων, τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και την προηγούμενη διαβούλευση με τις εποπτικές αρχές βάσει των άρθρων 32 έως 36 του ΓΚΠΔ και των αντίστοιχων διατάξεων του ΓΚΠΔ του Ηνωμένου Βασιλείου και του FADP. Η συνδρομή που υπερβαίνει όσα ήδη παρέχει η υπηρεσία, όπως η κατάρτιση αρχείων για εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων, μπορεί να χρεώνεται με τις εκάστοτε ισχύουσες χρεώσεις μας για επαγγελματικές υπηρεσίες, οι οποίες γνωστοποιούνται εκ των προτέρων στον φορέα.

Εάν λάβουμε γνώση περιστατικού ασφαλείας που επηρεάζει δεδομένα επισκεπτών σε έναν χώρο εργασίας, ειδοποιούμε τον φορέα χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβουμε γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα. Δεν περιμένουμε την ολοκλήρωση της διερεύνησης ούτε θεωρούμε την προθεσμία αναφοράς του υπευθύνου επεξεργασίας προς τις αρχές ως δική μας προθεσμία ειδοποίησης. Παρέχουμε τα διαθέσιμα στοιχεία της παραβίασης, τα δεδομένα και τα πρόσωπα που επηρεάζονται, τις πιθανές συνέπειες, το σημείο επικοινωνίας και τα μέτρα μετριασμού, και παρέχουμε περαιτέρω πληροφορίες σταδιακά, καθώς αυτές καθίστανται διαθέσιμες. Ο φορέας, ως υπεύθυνος επεξεργασίας, χειρίζεται κάθε γνωστοποίηση προς τους δικούς του επισκέπτες ή προς τις ρυθμιστικές αρχές.

Οι ανεπιτυχείς απόπειρες που δεν θέτουν σε κίνδυνο δεδομένα επισκεπτών, όπως αποκλεισμένες απόπειρες σύνδεσης, σαρώσεις ή pings, δεν αποτελούν περιστατικά και δεν αναφέρονται. Μια ειδοποίηση δεν αποτελεί παραδοχή υπαιτιότητας ή ευθύνης. Όπου το επιτρέπει ο νόμος, ο φορέας μας ενημερώνει πριν κατονομάσει το Vavus σε ανακοίνωση για περιστατικό προς ρυθμιστική αρχή, προς επισκέπτες ή προς το κοινό, και εξετάζει καλόπιστα κάθε διόρθωση που ζητούμε σχετικά με τον δικό μας ρόλο σε αυτό.

Η διαγραφή του χώρου εργασίας αφαιρεί τη διαμόρφωση και το υλικό των συνομιλιών του, συμπεριλαμβανομένων των ηχογραφήσεων από τον χώρο αποθήκευσης αντικειμένων, με την επιφύλαξη της λήξης των κρυπτογραφημένων αντιγράφων ασφαλείας σύμφωνα με την πολιτική κύκλου ζωής μας και των αρχείων που ο νόμος μάς υποχρεώνει να διατηρούμε (αρχεία χρεώσεων για τη νόμιμη φορολογική περίοδο). Η διαγραφή ανά επαφή αφαιρεί το υλικό των συνομιλιών της συγκεκριμένης επαφής. Κατ' επιλογή του φορέα κατά τη λήξη, επιστρέφουμε τα εναπομείναντα δεδομένα προσωπικού χαρακτήρα του σε αξιοποιήσιμη μορφή ή τα διαγράφουμε, και διαγράφουμε τα υπάρχοντα αντίγραφα, εκτός εάν το εφαρμοστέο δίκαιο απαιτεί τη διατήρησή τους. Ένα αίτημα επιστροφής πρέπει να προηγείται μιας μη αναστρέψιμης εντολής διαγραφής. Τα αντίγραφα ασφαλείας που διατηρούνται εξακολουθούν να προστατεύονται, δεν χρησιμοποιούνται για συνήθη επεξεργασία και διαγράφονται σύμφωνα με τον εφαρμοστέο τεκμηριωμένο κύκλο ζωής· εάν γίνει επαναφορά τους, οι εντολές διαγραφής πρέπει να εφαρμοστούν εκ νέου.

Εάν ο φορέας δεν δώσει εντολή εντός 30 ημερών από τη λήξη του χώρου εργασίας, διαγράφουμε τα εναπομείναντα δεδομένα προσωπικού χαρακτήρα. Επιβεβαιώνουμε τη διαγραφή εγγράφως κατόπιν αιτήματος.

Θέτουμε στη διάθεση του φορέα τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με την παρούσα ΣΕΔ και επιτρέπουμε και συμβάλλουμε σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, από τον φορέα ή από ανεξάρτητο ελεγκτή που αυτός εντέλλεται. Τα δικαιώματα αυτά παρέχονται σε κάθε φορέα και δεν εξαρτώνται από εταιρική συνδρομή.

Οι έλεγχοι ξεκινούν με έγγραφα. Κατόπιν αιτήματος παρέχουμε την τεκμηρίωση ασφαλείας μας, τα μέτρα του Παραρτήματος II και απαντήσεις σε εύλογο ερωτηματολόγιο ασφαλείας, και όταν μια πρόσφατη έκθεση ανεξάρτητου ελεγκτή καλύπτει τους σχετικούς ελέγχους, παρέχουμε την έκθεση αυτή αντί για νέο έλεγχό τους. Όταν τα έγγραφα είναι πράγματι ανεπαρκή, μετά από επιβεβαιωμένη παραβίαση που επηρεάζει τα δεδομένα του φορέα ή όταν το απαιτεί εποπτική αρχή, ο φορέας μπορεί να διενεργήσει επιθεώρηση: μία φορά ανά 12 μήνες, εκτός εάν μια παραβίαση ή μια ρυθμιστική αρχή απαιτεί περισσότερες, με γραπτή ειδοποίηση 30 ημερών που περιλαμβάνει το προτεινόμενο αντικείμενο, κατά τις εργάσιμες ώρες, βάσει συμφωνίας εμπιστευτικότητας, χωρίς πρόσβαση σε δεδομένα άλλων πελατών και με ελεγκτή που δεν είναι ανταγωνιστής μας. Οι έλεγχοι διενεργούνται με δαπάνες του φορέα, και ο φορέας μάς κοινοποιεί τα ευρήματά του. Τίποτα από τα ανωτέρω δεν εμποδίζει επιθεώρηση που απαιτεί νόμιμα μια ρυθμιστική αρχή.

Η παρούσα ΣΕΔ ισχύει όσο υφίσταται ο χώρος εργασίας του φορέα και λήγει όταν διαγραφεί ο χώρος εργασίας, ενώ οι υποχρεώσεις της για την προστασία δεδομένων εξακολουθούν να ισχύουν για όσο διάστημα εμείς ή οι υπεργολάβοι επεξεργασίας μας διατηρούμε δεδομένα προσωπικού χαρακτήρα επισκεπτών. Οι διατάξεις των Όρων του Concierge για τις διαφορές, την ευθύνη και το εφαρμοστέο δίκαιο εφαρμόζονται μόνο στον βαθμό που δεν περιορίζουν αναγκαστικά δικαιώματα προστασίας δεδομένων, εξουσίες ρυθμιστικών αρχών ή εφαρμοστέα σύμβαση διαβίβασης· η σύμβαση αυτή υπερισχύει σε περίπτωση σύγκρουσης.

Θέματα προστασίας δεδομένων, κατάλογοι υπεργολάβων επεξεργασίας, οι τυποποιημένες συμβατικές ρήτρες, το Προσάρτημα του Ηνωμένου Βασιλείου και οι ελβετικές προσαρμογές: support@vavusai.com.

Για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα επισκεπτών από τον Ευρωπαϊκό Οικονομικό Χώρο προς εμάς στις Ηνωμένες Πολιτείες, η παρούσα ΣΕΔ ενσωματώνει τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες που εγκρίθηκαν με την εκτελεστική απόφαση (ΕΕ) 2021/914 της Επιτροπής, της 4ης Ιουνίου 2021 (οι «Ρήτρες»), Δεύτερη Ενότητα (από υπεύθυνο επεξεργασίας προς εκτελούντα την επεξεργασία), συμπληρωμένες με τα παραρτήματα που ακολουθούν. Για τις διαβιβάσεις που διέπονται από τον ΓΚΠΔ, οι Ρήτρες ενσωματώνονται χωρίς τροποποίηση· οι Ενότητες 14 και 15 ορίζουν τον τρόπο με τον οποίο οι ίδιες Ρήτρες εφαρμόζονται στις διαβιβάσεις που διέπονται από το δίκαιο του Ηνωμένου Βασιλείου και της Ελβετίας. Συνάπτονται μέσω της καταγεγραμμένης αποδοχής από τον φορέα των Όρων του Concierge μαζί με την παρούσα ΣΕΔ: η έκδοση και η χρονοσήμανση που καταγράφει η υπηρεσία για την αποδοχή αυτή, μαζί με τη δημοσίευση της παρούσας ΣΕΔ από εμάς στη συγκεκριμένη έκδοση, συνιστούν τη γραπτή συμφωνία των μερών για τις Ρήτρες, επομένως δεν απαιτείται χωριστή υπογραφή.

Οι επιλογές των Ρητρών ασκούνται ως εξής. Η προαιρετική ρήτρα σύνδεσης (Ρήτρα 7) δεν χρησιμοποιείται. Η Ρήτρα 9 στοιχείο α) εφαρμόζεται βάσει της επιλογής της γενικής γραπτής άδειας: το καθεστώς υπεργολάβων επεξεργασίας της Ενότητας 6 αποτελεί τη συμφωνημένη άδεια, και η προηγούμενη ειδοποίηση 30 ημερών που προβλέπει συμπληρώνει την προθεσμία ειδοποίησης της ρήτρας. Ο προαιρετικός ανεξάρτητος φορέας επίλυσης διαφορών της Ρήτρας 11 στοιχείο α) δεν προσφέρεται. Η αρμόδια εποπτική αρχή βάσει της Ρήτρας 13 καθορίζεται σύμφωνα με τα κριτήρια της Ρήτρας 13 στοιχείο α), όπως ορίζεται στο Παράρτημα I.Γ. Σύμφωνα με τη Ρήτρα 17, οι Ρήτρες διέπονται από το δίκαιο του κράτους μέλους στο οποίο είναι εγκατεστημένος ο φορέας ή, εάν ο φορέας δεν είναι εγκατεστημένος σε κράτος μέλος ή εάν το δίκαιο αυτό δεν θα επέτρεπε δικαιώματα τρίτου δικαιούχου, από το δίκαιο της Ιρλανδίας· σύμφωνα με τη Ρήτρα 18 στοιχείο β), αρμόδια είναι τα δικαστήρια του εν λόγω κράτους μέλους ή, στην περίπτωση αυτή, τα δικαστήρια της Ιρλανδίας, και σύμφωνα με τη Ρήτρα 18 στοιχείο γ), το υποκείμενο των δεδομένων μπορεί επίσης να κινήσει διαδικασία στο κράτος μέλος της συνήθους διαμονής του. Στις Ρήτρες, όπως εφαρμόζονται βάσει της παρούσας Ενότητας, στα κράτη μέλη περιλαμβάνονται τα κράτη του Ευρωπαϊκού Οικονομικού Χώρου που δεν είναι μέλη της Ευρωπαϊκής Ένωσης.

Όταν οι Ρήτρες και η παρούσα ΣΕΔ συγκρούονται, οι Ρήτρες υπερισχύουν στον βαθμό της σύγκρουσης, σύμφωνα με την Ενότητα 11. Σύμφωνα με τη Ρήτρα 8.3 (Δεύτερη Ενότητα), ο φορέας θέτει τις Ρήτρες, συμπεριλαμβανομένων των παρόντων παραρτημάτων, στη διάθεση του υποκειμένου των δεδομένων που το ζητά· παρέχουμε το κείμενο κατόπιν αιτήματος ώστε να καθίσταται αυτό δυνατό.

Για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα επισκεπτών στις οποίες εφαρμόζεται η νομοθεσία του Ηνωμένου Βασιλείου για την προστασία δεδομένων (Περιορισμένες Διαβιβάσεις βάσει του ΓΚΠΔ του Ηνωμένου Βασιλείου), η παρούσα ΣΕΔ ενσωματώνει το Προσάρτημα για τη Διεθνή Διαβίβαση Δεδομένων στις Τυποποιημένες Συμβατικές Ρήτρες της Επιτροπής της ΕΕ, που εκδόθηκε από τον Επίτροπο Πληροφοριών (Information Commissioner) βάσει του άρθρου 119A παρ. 1 του Data Protection Act 2018, έκδοση B1.0 σε ισχύ από 21 Μαρτίου 2022 (το «Προσάρτημα»), συμπληρωμένο με τους πίνακες της παρούσας Ενότητας. Εφαρμόζεται σε κάθε τέτοια διαβίβαση, ανεξάρτητα από την απάντηση που έδωσε ο φορέας στην κονσόλα σχετικά με δεδομένα από το Ηνωμένο Βασίλειο. Όπως επιτρέπει η Ενότητα 2 του Προσαρτήματος, τα μέρη το συνάπτουν μέσω της καταγεγραμμένης αποδοχής από τον φορέα της παρούσας ΣΕΔ στη συγκεκριμένη έκδοση και της δημοσίευσης της παρούσας ΣΕΔ από εμάς στη συγκεκριμένη έκδοση, οι οποίες το καθιστούν νομικά δεσμευτικό και για τα δύο μέρη και επιτρέπουν στα υποκείμενα των δεδομένων να ασκούν τα δικαιώματά τους βάσει αυτού· δεν απαιτείται χωριστή υπογραφή.

Πίνακας 1 - Μέρη. Ημερομηνία έναρξης: η ημερομηνία κατά την οποία η κονσόλα καταγράφει την αποδοχή της παρούσας έκδοσης από τον φορέα. Εξαγωγέας: ο φορέας του χώρου εργασίας, με την πλήρη νομική επωνυμία, τον διακριτικό τίτλο, την κύρια διεύθυνση, τον επίσημο αριθμό μητρώου και το βασικό πρόσωπο επικοινωνίας (το όνομα και τον ρόλο του προσώπου που αποδέχθηκε, καθώς και τη διεύθυνση email επικοινωνίας της επιχείρησης για θέματα απορρήτου) που καταγράφονται με την αποδοχή του στην κονσόλα. Εισαγωγέας: DCI Brands LLC, με διακριτικό τίτλο Vavus· κύρια διεύθυνση 312 W 2nd Street, Casper, WY 82601, United States· επίσημος αριθμός μητρώου: αριθμός καταχώρισης στο Wyoming Secretary of State 2017-000762309· βασικό πρόσωπο επικοινωνίας: Dragos Ignat, Ιδιοκτήτης και Ιδρυτής, support@vavusai.com. Υπογραφή: δεν απαιτείται, όπως ορίζεται ανωτέρω.

Πίνακας 2 - Επιλεγμένες τυποποιημένες συμβατικές ρήτρες, ενότητες και επιλεγμένες ρήτρες. Οι Εγκεκριμένες Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ, συμπεριλαμβανομένων των Πληροφοριών Προσαρτήματος, με μόνο τις ακόλουθες ενότητες, ρήτρες και προαιρετικές διατάξεις σε ισχύ για τους σκοπούς του Προσαρτήματος: η Δεύτερη Ενότητα (από υπεύθυνο επεξεργασίας προς εκτελούντα την επεξεργασία) είναι σε εφαρμογή, ενώ η Πρώτη, η Τρίτη και η Τέταρτη Ενότητα δεν είναι· η Ρήτρα 7 (ρήτρα σύνδεσης) δεν χρησιμοποιείται· η επιλογή της Ρήτρας 11 (ανεξάρτητος φορέας επίλυσης διαφορών) δεν χρησιμοποιείται· η Ρήτρα 9 στοιχείο α) εφαρμόζεται βάσει γενικής γραπτής άδειας, με χρονικό διάστημα προηγούμενης ειδοποίησης 30 ημερών.

Πίνακας 3 - Πληροφορίες Προσαρτήματος. Παράρτημα 1A (Κατάλογος των μερών): το Παράρτημα I.Α της παρούσας ΣΕΔ. Παράρτημα 1B (Περιγραφή της διαβίβασης): το Παράρτημα I.Β της παρούσας ΣΕΔ. Παράρτημα II (τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων εκείνων για τη διασφάλιση της ασφάλειας των δεδομένων): το Παράρτημα II της παρούσας ΣΕΔ. Παράρτημα III (Κατάλογος υπεργολάβων επεξεργασίας): το Παράρτημα III της παρούσας ΣΕΔ.

Πίνακας 4 - Λήξη του παρόντος Προσαρτήματος όταν αλλάζει το Εγκεκριμένο Προσάρτημα. Ποια μέρη μπορούν να λύσουν το παρόν Προσάρτημα όπως ορίζεται στην Ενότητα 19 του Προσαρτήματος: κανένα μέρος. Όταν ο Επίτροπος Πληροφοριών εκδίδει αναθεωρημένο Εγκεκριμένο Προσάρτημα βάσει της Ενότητας 18 του Προσαρτήματος, το παρόν Προσάρτημα τροποποιείται όπως ορίζει η αναθεώρηση από την ημερομηνία έναρξης που αυτή ορίζει.

Υποχρεωτικές Ρήτρες: το Μέρος 2: Υποχρεωτικές Ρήτρες του Εγκεκριμένου Προσαρτήματος, ήτοι του υποδείγματος Προσαρτήματος B.1.0 που εκδόθηκε από το ICO και κατατέθηκε στο Κοινοβούλιο σύμφωνα με το άρθρο 119A του Data Protection Act 2018 στις 2 Φεβρουαρίου 2022, όπως αναθεωρείται βάσει της Ενότητας 18 των εν λόγω Υποχρεωτικών Ρητρών. Σύμφωνα με τις εν λόγω Υποχρεωτικές Ρήτρες, το Προσάρτημα διέπεται από το δίκαιο της Αγγλίας και της Ουαλίας, οι διαφορές επιλύονται από τα δικαστήρια της Αγγλίας και της Ουαλίας, το υποκείμενο των δεδομένων μπορεί επίσης να κινήσει διαδικασία κατά οποιουδήποτε από τα μέρη στα δικαστήρια οποιασδήποτε χώρας του Ηνωμένου Βασιλείου, και εποπτική αρχή είναι ο Επίτροπος Πληροφοριών. Παρέχουμε το κείμενο του Προσαρτήματος κατόπιν αιτήματος.

Εκτίμηση κινδύνου διαβίβασης για το Ηνωμένο Βασίλειο. Για τη διαβίβαση προς εμάς στις Ηνωμένες Πολιτείες, ο φορέας ως εξαγωγέας στηρίζεται, για την εκτίμηση του δικαίου και της πρακτικής των Ηνωμένων Πολιτειών όσον αφορά την πρόσβαση δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα και της εκτελεστότητας του Προσαρτήματος, στην ανάλυση της Κυβέρνησης του Ηνωμένου Βασιλείου για τους σχετικούς νόμους και τις πρακτικές των Ηνωμένων Πολιτειών, που εκπονήθηκε από το Υπουργείο Επιστήμης, Καινοτομίας και Τεχνολογίας, όπως επιτρέπουν οι κατευθυντήριες γραμμές του Επιτρόπου Πληροφοριών για τη συμπλήρωση εκτίμησης κινδύνου διαβίβασης για διαβιβάσεις προς τις Ηνωμένες Πολιτείες, μεταξύ άλλων για αποδέκτη που δεν είναι πιστοποιημένος βάσει της Επέκτασης για το Ηνωμένο Βασίλειο του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ. Βάσει της ανάλυσης αυτής, η προστασία των διαβιβαζόμενων δεδομένων, με το Προσάρτημα σε ισχύ, δεν είναι ουσιωδώς χαμηλότερη από εκείνη που παρέχει η νομοθεσία του Ηνωμένου Βασιλείου για την προστασία δεδομένων. Δεν είμαστε πιστοποιημένοι βάσει του πλαισίου αυτού, και η παρούσα εκτίμηση δεν στηρίζεται σε πιστοποίηση. Η διαβίβαση που καλύπτει είναι αυτή που περιγράφεται στο Παράρτημα I.Β, με τις περαιτέρω διαβιβάσεις του Παραρτήματος III και τις εγγυήσεις του Παραρτήματος II και της σύνοψης της εκτίμησης αντικτύπου της διαβίβασης. Θα ενημερώσουμε τον φορέα χωρίς αδικαιολόγητη καθυστέρηση εάν η Κυβέρνηση του Ηνωμένου Βασιλείου ανακαλέσει ή τροποποιήσει ουσιωδώς την ανάλυση αυτή ή εάν δεν μπορούμε πλέον να συμμορφωνόμαστε με το Προσάρτημα, και τα μέρη θα επανεξετάσουν τότε την παρούσα εκτίμηση.

Για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα επισκεπτών στις οποίες εφαρμόζεται ο ομοσπονδιακός νόμος της Ελβετίας για την προστασία των δεδομένων της 25ης Σεπτεμβρίου 2020 (FADP), οι Ρήτρες, όπως ενσωματώνονται στην Ενότητα 13, εφαρμόζονται ως τυποποιημένες ρήτρες προστασίας δεδομένων αναγνωρισμένες από τον Ομοσπονδιακό Επίτροπο Προστασίας Δεδομένων και Πληροφόρησης (FDPIC) βάσει του άρθρου 16 παρ. 2 στοιχ. δ΄ του FADP, με τις κατωτέρω προσαρμογές. Εφαρμόζονται σε κάθε τέτοια διαβίβαση, ανεξάρτητα από την απάντηση που έδωσε ο φορέας στην κονσόλα σχετικά με δεδομένα από την Ελβετία. Όταν μια διαβίβαση διέπεται τόσο από τον FADP όσο και από τον ΓΚΠΔ, τα μέρη διατηρούν χωριστές ρυθμίσεις: οι παρούσες προσαρμογές εφαρμόζονται μόνο στον βαθμό που ο FADP διέπει τη διαβίβαση, και η Ενότητα 13 εξακολουθεί να εφαρμόζεται χωρίς τροποποίηση στον βαθμό που τη διέπει ο ΓΚΠΔ.

• Οι παραπομπές στον κανονισμό (ΕΕ) 2016/679 νοούνται ως παραπομπές στον FADP, στον βαθμό που η διαβίβαση υπόκειται στον FADP.
• Ο FDPIC είναι η αρμόδια εποπτική αρχή βάσει της Ρήτρας 13 και του Παραρτήματος I.Γ για τις διαβιβάσεις που διέπονται από τον FADP· όταν μια διαβίβαση διέπεται επίσης από τον ΓΚΠΔ, η αρχή που καθορίζεται βάσει της Ρήτρας 13 στοιχείο α) παραμένει αρμόδια για το μέρος αυτό, παράλληλα.
• Για τις διαβιβάσεις που διέπονται μόνο από τον FADP, οι Ρήτρες διέπονται από το ελβετικό δίκαιο σύμφωνα με τη Ρήτρα 17, και οι διαφορές μεταξύ των μερών βάσει της Ρήτρας 18 στοιχείο β) επιλύονται από τα δικαστήρια της Ελβετίας της έδρας του φορέα.
• Ο όρος «κράτος μέλος» στις Ρήτρες δεν πρέπει να ερμηνεύεται κατά τρόπο που να αποκλείει τα υποκείμενα των δεδομένων στην Ελβετία από την άσκηση αξιώσεων για τα δικαιώματά τους στον τόπο της συνήθους διαμονής τους, την Ελβετία, σύμφωνα με τη Ρήτρα 18 στοιχείο γ).
• Η σύνοψη της εκτίμησης αντικτύπου της διαβίβασης εφαρμόζεται στις διαβιβάσεις αυτές, ερμηνευόμενη με αναφορά στον FADP. Δεν είμαστε πιστοποιημένοι βάσει του Πλαισίου Προστασίας Δεδομένων Ελβετίας-ΗΠΑ, επομένως η αναγνώριση των Ηνωμένων Πολιτειών από το Ομοσπονδιακό Συμβούλιο για τις πιστοποιημένες εταιρείες δεν καλύπτει τις διαβιβάσεις προς εμάς. Ο FADP δεν απαιτεί η χρήση των ρητρών αυτών να γνωστοποιείται στον FDPIC.

Εξαγωγέας των δεδομένων: ο φορέας του χώρου εργασίας, ο υπεύθυνος επεξεργασίας των δεδομένων επισκεπτών, εγκατεστημένος στη χώρα που έχει καταγραφεί για τον χώρο εργασίας στην κονσόλα, η οποία μπορεί να είναι κράτος μέλος του Ευρωπαϊκού Οικονομικού Χώρου, το Ηνωμένο Βασίλειο, η Ελβετία ή άλλη χώρα· όταν ένας φορέας εγκατεστημένος αλλού υπόκειται στον ΓΚΠΔ, στη νομοθεσία του Ηνωμένου Βασιλείου για την προστασία δεδομένων ή στον FADP για την επεξεργασία των δεδομένων επισκεπτών του, είναι ο εξαγωγέας των δεδομένων για τις διαβιβάσεις που διέπει το δίκαιο αυτό. Οι δραστηριότητές του που σχετίζονται με τη διαβίβαση είναι η λειτουργία της επιχείρησής του και η διεύθυνση του χώρου εργασίας του Concierge μέσω της κονσόλας. Η πλήρης νομική επωνυμία, ο διακριτικός τίτλος, η διεύθυνση, ο αριθμός μητρώου, η διεύθυνση email επικοινωνίας για θέματα απορρήτου, καθώς και το όνομα και ο ρόλος του προσώπου που αποδέχθηκε για λογαριασμό του, είναι αυτά που καταγράφονται με την αποδοχή του στην κονσόλα. Ρόλος: υπεύθυνος επεξεργασίας.

Εισαγωγέας των δεδομένων: DCI Brands LLC («Vavus», ο εκτελών την επεξεργασία), 312 W 2nd Street, Casper, WY 82601, United States (αριθμός καταχώρισης στο Wyoming Secretary of State 2017-000762309)· δραστηριότητες που σχετίζονται με τη διαβίβαση: η παροχή της υπηρεσίας Concierge βάσει της παρούσας ΣΕΔ· επικοινωνία για θέματα προστασίας δεδομένων: support@vavusai.com. Ρόλος: εκτελών την επεξεργασία.

Υπογραφή και ημερομηνία: για τον εξαγωγέα των δεδομένων, η αποδοχή του της παρούσας ΣΕΔ που καταγράφεται στην κονσόλα (έκδοση, ημερομηνία και ώρα, και το πρόσωπο που αποδέχθηκε)· για τον εισαγωγέα των δεδομένων, η δημοσίευση της παρούσας ΣΕΔ από εμάς στη συγκεκριμένη έκδοση, όπως προβλέπει η Ενότητα 13.

Κατηγορίες υποκειμένων των δεδομένων: οι επισκέπτες, οι πελάτες, οι δυνητικοί πελάτες και το προσωπικό του φορέα, των οποίων οι πληροφορίες παρέχονται στην υπηρεσία.

Κατηγορίες δεδομένων προσωπικού χαρακτήρα: αναγνωριστικά που παρέχει ο επισκέπτης (όνομα, αριθμός τηλεφώνου, διεύθυνση email), περιεχόμενο συνομιλιών (μηνύματα, φωνητικός ήχος, απομαγνητοφωνήσεις και τυχόν ηχογραφήσεις που λειτουργεί ο φορέας), αρχεία επαφών και κρατήσεων που δημιουργεί ο βοηθός βάσει των ενεργειών του επισκέπτη, τεχνικά δεδομένα συνεδρίας (χρονοσημάνσεις, κανάλι, γλώσσα) και δεδομένα προσωπικού χαρακτήρα που περιέχονται σε υλικό που ο φορέας μεταφορτώνει στις γνώσεις του βοηθού ή σε δείγματα φωνής που παρέχει ο φορέας για τη δημιουργία προσαρμοσμένης φωνής.

Ευαίσθητα δεδομένα: η υπηρεσία δεν συλλέγει κατά κανόνα δεδομένα ειδικών κατηγοριών. Όταν η διαμόρφωση ενός φορέα καθιστά προβλέψιμη την ύπαρξη πληροφοριών υγείας (χώροι εργασίας διαμορφωμένοι για την υγειονομική περίθαλψη), η πρόσβαση περιορίζεται στο προσωπικό που τη χρειάζεται και καταγράφεται, και ο φορέας παραμένει υπεύθυνος να διασφαλίζει ότι η συλλογή τους στηρίζεται στη δική του νόμιμη βάση και στις δικές του εντολές.

Συχνότητα και διάρκεια: συνεχής, καθ' όλη τη διάρκεια ζωής του χώρου εργασίας, καθώς πραγματοποιούνται συνεδρίες, κρατήσεις και χρήση της κονσόλας· η διατήρηση ακολουθεί τις Ενότητες 3 και 9. Φύση και σκοπός: συλλογή, διαβίβαση, οργάνωση, αποθήκευση, ανάκτηση, μετάφραση, παραγωγή απαντήσεων, γνωστοποίηση σε εξουσιοδοτημένο προσωπικό και στους υπεργολάβους επεξεργασίας του Παραρτήματος III, καθώς και διαγραφή, για την παροχή του Concierge σύμφωνα με τις εντολές του φορέα. Οι περαιτέρω διαβιβάσεις περιορίζονται σε όσα προβλέπουν η Ρήτρα 9, η Ενότητα 6 και ο κατάλογος του Παραρτήματος III.

Για τις διαβιβάσεις που διέπονται από τον ΓΚΠΔ, η αρμόδια εποπτική αρχή καθορίζεται σύμφωνα με τη Ρήτρα 13 στοιχείο α): όταν ο φορέας (ως εξαγωγέας των δεδομένων) είναι εγκατεστημένος σε κράτος μέλος, η εποπτική αρχή που είναι αρμόδια να διασφαλίζει τη συμμόρφωση του φορέα με τον ΓΚΠΔ όσον αφορά τη διαβίβαση· όταν ο φορέας δεν είναι εγκατεστημένος σε κράτος μέλος, αλλά εμπίπτει στο άρθρο 3 παράγραφος 2 του ΓΚΠΔ και έχει ορίσει εκπρόσωπο σύμφωνα με το άρθρο 27 παράγραφος 1, η εποπτική αρχή του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εκπρόσωπος αυτός· και όταν ο φορέας δεν είναι εγκατεστημένος σε κράτος μέλος, εμπίπτει στο άρθρο 3 παράγραφος 2 και δεν υποχρεούται να ορίσει εκπρόσωπο σύμφωνα με το άρθρο 27 παράγραφος 2, η εποπτική αρχή ενός από τα κράτη μέλη στα οποία βρίσκονται τα υποκείμενα των δεδομένων των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται στο πλαίσιο της προσφοράς αγαθών ή υπηρεσιών σε αυτά ή των οποίων η συμπεριφορά παρακολουθείται.

Για τις διαβιβάσεις που διέπονται από τη νομοθεσία του Ηνωμένου Βασιλείου για την προστασία δεδομένων, ο Επίτροπος Πληροφοριών, όπως προβλέπει η Ενότητα 14. Για τις διαβιβάσεις που διέπονται από τον FADP, ο Ομοσπονδιακός Επίτροπος Προστασίας Δεδομένων και Πληροφόρησης, όπως προβλέπει η Ενότητα 15, παράλληλα με την ανωτέρω αρχή όταν η διαβίβαση διέπεται επίσης από τον ΓΚΠΔ.

Τα μέτρα που εφαρμόζει ο εισαγωγέας των δεδομένων για την προστασία των δεδομένων, όπως περιγράφονται στις Ενότητες 4, 5, 8 και 9 της παρούσας ΣΕΔ:

• TLS για τα δεδομένα κατά τη μεταφορά και κρυπτογράφηση σε κατάσταση αποθήκευσης σε όλη την υπηρεσία
• Πρόσβαση με τα ελάχιστα απαραίτητα δικαιώματα, περιορισμένη ανάλογα με τον ρόλο, μέσω της κονσόλας με έλεγχο ταυτότητας· προσωπικό δεσμευμένο με υποχρεώσεις εμπιστευτικότητας
• Καταγραφή πρόσβασης για τους χώρους εργασίας που έχουν διαμορφωθεί για την υγειονομική περίθαλψη και καταγραφή ελέγχου των διοικητικών ενεργειών
• Ηχογραφήσεις που τηρούνται σε χώρο αποθήκευσης αντικειμένων με έλεγχο πρόσβασης
• Ασφαλής διαγραφή των αρχείων μετά τη λήξη της περιόδου διατήρησής τους· κρυπτογραφημένα αντίγραφα ασφαλείας βάσει τεκμηριωμένου κύκλου ζωής
• Κρυπτογραφημένα ωριαία αντίγραφα ασφαλείας, με ελέγχους επαναφοράς, για τη συνέχεια και την ανάκαμψη
• Παρακολούθηση του λογισμικού και των εξαρτήσεων της υπηρεσίας για ευπάθειες, με εφαρμογή διορθώσεων
• Αλλαγές που εφαρμόζονται μέσω ελέγχου εκδόσεων και αυτοματοποιημένης διαδικασίας ανάπτυξης με ελέγχους υγείας και δυνατότητα επαναφοράς
• Κωδικοί πρόσβασης που αποθηκεύονται μόνο ως κατακερματισμένες τιμές με salt· κλείδωμα λογαριασμών μετά από επανειλημμένες αποτυχημένες απόπειρες σύνδεσης
• Φυσική ασφάλεια των κέντρων δεδομένων που παρέχεται από τη Google Cloud βάσει των πιστοποιήσεών της
• Θωρακισμένα endpoints πίσω από τείχος προστασίας διαδικτυακών εφαρμογών με περιορισμό συχνότητας αιτημάτων
• Γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα στον φορέα χωρίς αδικαιολόγητη καθυστέρηση αφότου λάβουμε γνώση, με λεπτομέρειες και σταδιακή συμπληρωματική ενημέρωση
• Συνδρομή σε αιτήματα υποκειμένων των δεδομένων και στις υποχρεώσεις του φορέα βάσει των άρθρων 32 έως 36 του ΓΚΠΔ και των αντίστοιχων διατάξεων του ΓΚΠΔ του Ηνωμένου Βασιλείου και του FADP
• Γραπτές συμβάσεις με υπεργολάβους επεξεργασίας που προβλέπουν, κατ' ουσίαν, τις ίδιες υποχρεώσεις προστασίας δεδομένων με την παρούσα ΣΕΔ

Οι υπεργολάβοι επεξεργασίας που έχουν εξουσιοδοτηθεί βάσει της Ρήτρας 9 στοιχείο α) (γενική γραπτή άδεια) και της Ενότητας 6, ανά λειτουργία. Οι αλλαγές ακολουθούν τους όρους ειδοποίησης και αντίρρησης της Ενότητας 6.

Οι πάροχοι που συνδέει ο ίδιος ο φορέας - οι δικοί του λογαριασμοί τηλεφωνίας ή ανταλλαγής μηνυμάτων (όπως ο δικός του λογαριασμός Twilio ή ο πάροχος του WhatsApp), ο δικός του λογαριασμός Stripe για τις πληρωμές που εισπράττει από τους πελάτες του, καθώς και τα συστήματα ημερολογίου, CRM, διαχείρισης αιτημάτων ή καταστήματος που συνδέει - χρησιμοποιούνται απευθείας από τον φορέα με δική του εξουσία και δεν είναι υπεργολάβοι επεξεργασίας μας.

• Google Cloud - φιλοξενία και αποθήκευση στο cloud (κύρια περιοχή στις Ηνωμένες Πολιτείες, κόμβος αιχμής στην ΕΕ στη Φρανκφούρτη)
• Google - αναγνώριση ομιλίας, σύνθεση ομιλίας, μετάφραση και μοντέλα τεχνητής νοημοσύνης
• OpenAI - μοντέλα τεχνητής νοημοσύνης, αναγνώριση ομιλίας και σύνθεση ομιλίας
• Anthropic - μοντέλα τεχνητής νοημοσύνης
• ElevenLabs - αναγνώριση ομιλίας, σύνθεση ομιλίας και προσαρμοσμένες φωνές (δεν χρησιμοποιείται για χώρους εργασίας διαμορφωμένους για την υγειονομική περίθαλψη)
• AssemblyAI - αναγνώριση ομιλίας, όταν τη χρησιμοποιεί η ρύθμιση ομιλίας του χώρου εργασίας
• TypeSafe - σημασιολογική δρομολόγηση των γύρων συνομιλίας, όταν την ενεργοποιούν οι ρυθμίσεις βοηθού του χώρου εργασίας
• Twilio - τηλεφωνία και μηνύματα κειμένου για τηλεφωνικούς αριθμούς που παρέχουμε στον φορέα
• Stripe - πληρωμές για το πρόγραμμα Concierge και τη χρήση του ίδιου του φορέα
• Resend - αποστολή email
• Postal, που φιλοξενούμε στη δική μας υποδομή - αποστολή email

Όταν στα δεδομένα επισκεπτών εφαρμόζεται ο California Consumer Privacy Act ή άλλος νόμος πολιτείας των Ηνωμένων Πολιτειών για το απόρρητο, ο φορέας είναι η επιχείρηση (business) ή ο υπεύθυνος επεξεργασίας και το Vavus είναι ο πάροχος υπηρεσιών (service provider), ο ανάδοχος (contractor) ή ο εκτελών την επεξεργασία του, και οι όροι του παρόντος Παραρτήματος έχουν την έννοια που τους αποδίδουν οι νόμοι αυτοί. Ο φορέας γνωστοποιεί σε εμάς δεδομένα επισκεπτών μόνο για τον περιορισμένο και καθορισμένο σκοπό της παροχής του Concierge όπως περιγράφεται στην παρούσα ΣΕΔ και στους Όρους του Concierge.

Δεσμευόμαστε: να επεξεργαζόμαστε τα δεδομένα επισκεπτών μόνο για τον σκοπό αυτό και σύμφωνα με τις εντολές του φορέα, και να μην τα πωλούμε ή τα κοινοποιούμε ποτέ· να μην τα διατηρούμε, να μην τα χρησιμοποιούμε και να μην τα γνωστοποιούμε για οποιονδήποτε άλλο σκοπό, συμπεριλαμβανομένου οποιουδήποτε εμπορικού σκοπού, ή εκτός της άμεσης επιχειρηματικής μας σχέσης με τον φορέα· να μην τα συνδυάζουμε με προσωπικές πληροφορίες που λαμβάνουμε από οποιονδήποτε άλλον ή συλλέγουμε οι ίδιοι, εκτός εάν το επιτρέπουν οι νόμοι αυτοί για την παροχή της υπηρεσίας· να συμμορφωνόμαστε με τις υποχρεώσεις που επιβάλλουν οι νόμοι αυτοί στους παρόχους υπηρεσιών και να παρέχουμε στα δεδομένα επισκεπτών το ίδιο επίπεδο προστασίας της ιδιωτικότητας που απαιτούν· να ενημερώνουμε εγγράφως τον φορέα εάν αποφασίσουμε ότι δεν μπορούμε πλέον να εκπληρώνουμε τις υποχρεώσεις αυτές· να επιτρέπουμε στον φορέα να λαμβάνει εύλογα και κατάλληλα μέτρα για να ελέγχει ότι χρησιμοποιούμε τα δεδομένα επισκεπτών σύμφωνα με τις δικές του υποχρεώσεις, μεταξύ άλλων μέσω της Ενότητας 10, καθώς και για να σταματά και να αποκαθιστά κάθε μη εξουσιοδοτημένη χρήση· και να ειδοποιούμε τον φορέα για νέους υπεργολάβους επεξεργασίας σύμφωνα με την Ενότητα 6, γεγονός που ικανοποιεί την ειδοποίηση που απαιτούν οι νόμοι αυτοί. Βεβαιώνουμε ότι κατανοούμε τους περιορισμούς αυτούς και ότι θα συμμορφωνόμαστε με αυτούς.

Τα αιτήματα επισκεπτών βάσει των νόμων αυτών απευθύνονται στον φορέα, και παρέχουμε συνδρομή όπως περιγράφεται στην Ενότητα 8.

Το δίκαιο των Ηνωμένων Πολιτειών επιτρέπει σε δημόσιες αρχές να επιβάλλουν τη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα που τηρούνται από παρόχους υπηρεσιών σε καθορισμένες περιστάσεις (ιδίως το άρθρο 702 του FISA και το Εκτελεστικό Διάταγμα 12333). Πριν συμφωνήσουμε τις παρούσες Ρήτρες, αξιολογήσαμε τη διαβίβαση έναντι των νόμων και των πρακτικών αυτών, όπως απαιτεί η Ρήτρα 14, λαμβάνοντας υπόψη τις ειδικές περιστάσεις της διαβίβασης: δεδομένα υποστήριξης επιχειρήσεων (αναγνωριστικά, περιεχόμενο συνομιλιών, αρχεία κρατήσεων, τεχνικά δεδομένα συνεδρίας), μια σύντομη αλυσίδα επεξεργασίας (ο φορέας, εμείς και οι υπεργολάβοι επεξεργασίας του Παραρτήματος III), την εκτίμησή μας ότι, κατά την παροχή του Concierge, δεν ενεργούμε ως πάροχος υπηρεσιών ηλεκτρονικών επικοινωνιών για την κίνηση αυτή, καθώς και τις συμβατικές, τεχνικές και οργανωτικές εγγυήσεις που εφαρμόζονται. Επανεξετάζουμε την εκτίμηση αυτή, την τεκμηριώνουμε και τη θέτουμε στη διάθεση της αρμόδιας εποπτικής αρχής κατόπιν αιτήματος.

Συμπληρωματικά μέτρα: τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος II, η ελαχιστοποίηση μέσω της συλλογής που διαμορφώνει ο φορέας, τα δικαιώματα ελέγχου της Ενότητας 10 και οι υποχρεώσεις που αναλαμβάνουμε βάσει των Ρητρών 14 και 15 - να ενημερώνουμε τον φορέα για νομικά δεσμευτικό αίτημα γνωστοποίησης, όπου το επιτρέπει ο νόμος, να επιδιώκουμε την άρση κάθε απαγόρευσης ενημέρωσης και να παρέχουμε συγκεντρωτικές πληροφορίες σε τακτά χρονικά διαστήματα, να επανεξετάζουμε τη νομιμότητα ενός αιτήματος και να το προσβάλλουμε όταν υπάρχουν εύλογοι λόγοι να θεωρείται παράνομο, και να γνωστοποιούμε τις ελάχιστες επιτρεπόμενες πληροφορίες. Εάν καταλήξουμε στο συμπέρασμα ότι δεν μπορούμε πλέον να συμμορφωνόμαστε με τις Ρήτρες, θα ενημερώσουμε αμέσως τον φορέα, και ο φορέας μπορεί να αναστείλει τη διαβίβαση όπως προβλέπουν οι Ρήτρες. Εάν μια απόφαση επάρκειας καταλήξει να καλύπτει μια διαβίβαση (για παράδειγμα, εάν πιστοποιηθούμε βάσει του Πλαισίου Προστασίας Δεδομένων ΕΕ-ΗΠΑ), οι Ρήτρες εφαρμόζονται στη διαβίβαση αυτή μόνο στον βαθμό που δεν την καλύπτει η απόφαση επάρκειας.

Για τις διαβιβάσεις από το Ηνωμένο Βασίλειο, εφαρμόζεται η εκτίμηση κινδύνου διαβίβασης της Ενότητας 14. Για τις διαβιβάσεις από την Ελβετία, η παρούσα εκτίμηση εφαρμόζεται ερμηνευόμενη με αναφορά στον FADP, όπως προβλέπει η Ενότητα 15.