A Vavus Concierge adatfeldolgozási megállapodása

Ez az adatfeldolgozási megállapodás (a továbbiakban: DPA) a DCI Brands LLC („Vavus”, „mi”, az adatfeldolgozó), 312 W 2nd Street, Casper, WY 82601, United States, és a Vavus Concierge-munkaterületet működtető vállalkozás (a megrendelő, az adatkezelő) között jön létre. Azokra a látogatói adatokra vonatkozik, amelyeket a Vavus a megrendelő utasítására a Concierge szolgáltatáson keresztül kezel: a konzolon, a weboldal-widgeten, a hosztolt ügynökoldalakon, a telefonos és üzenetküldő csatornákon és a foglalásokon keresztül.

A DPA a Vavus Concierge szolgáltatási feltételeinek kiegészítése, amelyeket a megrendelő e DPA-val együtt fogad el. Ha e DPA és a Concierge-feltételek a látogatói adatok kezelése tekintetében ellentmondanak egymásnak, e DPA az irányadó. A DPA célja, hogy megfeleljen az általános adatvédelmi rendelet (GDPR) és az egyesült királysági GDPR (UK GDPR) 28. cikkének, a svájci szövetségi adatvédelmi törvény (FADP) 9. cikkének, valamint más joghatóságok hasonló adatfeldolgozói kötelezettségvállalásainak; ha a helyi jog szigorúbb adatfeldolgozói kötelezettségeket ír elő, az adott joghatóságban végzett adatkezelés tekintetében azok az irányadók. A IV. melléklet ezen felül akkor alkalmazandó, ha a megrendelő látogatói adataira valamely amerikai állami adatvédelmi törvény vonatkozik.

A látogatói adatok adatkezelője a megrendelő: ő dönti el, mit tesz az asszisztens, milyen tudással rendelkezik, mely csatornák működnek, és mit kérdeznek a látogatóktól. A Vavus az adatfeldolgozó: kizárólag a megrendelőnek a konzolon keresztül adott utasításai és a szolgáltatás rendes működése alapján járunk el, és a látogatói adatokat kizárólag a Concierge nyújtása céljából kezeljük.

Haladéktalanul tájékoztatjuk a megrendelőt, ha véleményünk szerint egy utasítás sérti az alkalmazandó adatvédelmi jogot, és nem hajtunk végre nyilvánvalóan jogellenes utasítást. Ha jogszabály a dokumentált utasításokon kívüli adatkezelést ír elő, erről az adatkezelés előtt tájékoztatjuk a megrendelőt, kivéve, ha a jog ezt tiltja. A látogatói adatokat nem kezeljük saját céljainkra, nem használjuk modelljeink tanítására, és nem adjuk el.

E DPA – beleértve a 7. pontban és a 13–15. pontban foglalt adattovábbítási feltételeket – olyan megrendelőre vonatkozik, amely a látogatói adatainak adatkezelője. Nem vonatkozik olyan megrendelőre, amely az adatokat egy másik adatkezelő nevében kezeli, mivel nem kínálja az SCC harmadik modulját (adattovábbítás adatfeldolgozók között); az ilyen vállalkozás az adott adatok tekintetében nem fogadhatja el.

A megrendelő felel azért, hogy jogszerű-e, amire minket utasít. Megerősíti, hogy rendelkezik jogalappal az adatkezeléshez, ideértve – ahol alkalmazandók – a GDPR 6., 9. és 10. cikke szerinti jogalapot is; hogy megadta a látogatóknak a 12–14. cikk által előírt tájékoztatást, és beszerezte a jog által előírt hozzájárulásokat, ideértve a hívások rögzítéséhez vagy fordításához szükségeseket is; és hogy utasításai megfelelnek az adatvédelmi jognak. Hacsak a munkaterület nincs egészségügyi használatra konfigurálva, a megrendelő nem juttat a szolgáltatásba olyan látogatói adatokat, amelyek személyazonosító okmányok számát, bankkártyaszámokat, pénzügyi számlákhoz tartozó hozzáférési adatokat, más szolgáltatásokhoz tartozó jelszavakat, biometrikus adatokat, 16 év alatti gyermekektől tudatosan gyűjtött adatokat vagy különleges kategóriájú adatokat – például egészségügyi adatokat, faji vagy etnikai származásra, politikai véleményre, vallásra vagy szexuális irányultságra vonatkozó adatokat – tartalmaznak, és eltávolítja az ilyen adatokat, ha azok véletlenül mégis bekerülnek. A megrendelő biztonságban tartja konzolos hozzáférési adatait, eldönti, hogy csapatából ki férhet hozzá, saját másolatot tart mindenről, aminek elvesztését nem engedheti meg magának, és megerősíti, hogy áttekintette az 5. pontban és a II. mellékletben foglalt intézkedéseket, és azokat megfelelőnek tartja a Concierge-en keresztül kezelt adatok szempontjából.

A látogatói adatok kategóriái, amennyiben a megrendelő konfigurációja gyűjti őket: a látogató által megadott azonosítók (név, telefonszám, e-mail-cím), a beszélgetések tartalma (üzenetek, hanganyag, leiratok és a megrendelő által működtetett esetleges felvételek), az asszisztens által a látogató műveletei alapján létrehozott kapcsolati és foglalási nyilvántartások, technikai munkamenet-adatok (időbélyegek, csatorna, nyelv), valamint azok a személyes adatok, amelyeket a megrendelő által az asszisztens tudásanyagába feltöltött anyagok vagy a megrendelő által egyedi hang létrehozásához biztosított hangminták tartalmaznak.

Az érintettek a megrendelő látogatói, ügyfelei, leendő ügyfelei és munkatársai, akiknek adatait a szolgáltatás rendelkezésére bocsátják. Az adatkezelés magában foglalja a gyűjtést, a továbbítást, a rendszerezést, a tárolást, a lekérdezést, a fordítást, a válaszok előállítását, a jogosult munkatársak és a kapcsolt szolgáltatók részére történő közlést, valamint a törlést. Cél: a Concierge nyújtása a megrendelő utasításai szerint. Az időtartam az alkalmazandó megőrzési beállításokat és a 9. pontot követi, nem pedig automatikusan a munkaterület teljes fennállásáig tart.

Csak azok a munkatársak rendelkeznek hozzáféréssel, akiknek a szolgáltatás működtetéséhez vagy védelméhez erre szükségük van, titoktartási kötelezettség mellett, és az egészségügyi használatra konfigurált munkaterületeken a hozzáférést naplózzuk. Látogatói tartalmat nem helyezünk el analitikai adatcsomagokban, ügyfélszolgálati csevegésekben vagy nyilvános hibakövető rendszerekben.

A szolgáltatás saját infrastruktúránkon fut, a Biztonság oldalunkon leírt intézkedések mellett: TLS továbbítás közben, titkosítás tárolás közben, a legkisebb jogosultság elvén alapuló hozzáférés, auditnaplózás, a megőrzési idejükön túli fájlok biztonságos törlése, valamint webalkalmazás-tűzfal mögötti, megerősített végpontok. A felvételeket hozzáférés-szabályozott objektumtárolóban tartjuk; a konzolhoz való hozzáférés hitelesítéshez kötött és szerepkörökre korlátozott. Ezeket az intézkedéseket a technológia és a fenyegetések változásával frissíthetjük, feltéve, hogy a látogatói adatok összesített védelmi szintje nem csökken lényegesen.

További adatfeldolgozókat funkciók szerint veszünk igénybe: felhőalapú tárhely és tárolás (Google Cloud); beszédfelismerés, beszédszintézis, fordítás és AI-modellek (Google, OpenAI, Anthropic, ElevenLabs és AssemblyAI); a beszélgetési fordulók szemantikus irányítása, ha a munkaterület ezt bekapcsolja (TypeSafe); telefonszolgáltatás és szöveges üzenetek az általunk a megrendelőnek biztosított telefonszámokhoz (Twilio); fizetések a megrendelő saját csomagjáért és használatáért (Stripe); e-mail-kézbesítés (Resend, valamint saját infrastruktúránkon üzemeltetett, saját Postal szerverünk); továbbá – ha a megrendelő telefon-, üzenetküldő, fizetési, foglalási vagy üzleti rendszereket kapcsol – a megrendelő saját szolgáltatói (például saját Twilio-fiókja, a WhatsApp szolgáltatója, saját Stripe-fiókja, naptára vagy CRM-rendszere), amelyeket a megrendelő közvetlenül, saját hatáskörében vesz igénybe. A III. melléklet megnevez minden további adatfeldolgozót és azok funkcióját.

A megrendelő általános írásos engedélyt ad a szolgáltatásához biztosított aktuális jegyzékben szereplő további adatfeldolgozók igénybevételére. Minden további adatfeldolgozóra írásbeli szerződésben az e DPA-ban foglaltakkal egyenértékű adatvédelmi kötelezettségeket rovunk, és a megrendelővel szemben felelősek maradunk azok teljesítéséért. A látogatói tartalom külön jogszerű utasítás és szerződéses alap nélkül nem használható modellek tanítására. Az aktuális névsor a III. melléklet, és kérésre is rendelkezésre áll; mielőtt egy új további adatfeldolgozó látogatói adatokat kezelne, legalább 30 nappal előre értesítjük a megrendelőt a konzolban vagy e-mailben, és ez idő alatt a megrendelő észszerű adatvédelmi okokból kifogást emelhet. Ezt követően jóhiszeműen együttműködünk a megrendelővel a kifogás rendezése érdekében; ha ez nem sikerül, a megrendelő megszüntetheti a munkaterületet, mielőtt az új további adatfeldolgozó az adatait kezelné, és ez a kifogás egyetlen jogorvoslata. A már esedékes díjak továbbra is fizetendők, az esetleges visszatérítésre pedig a Concierge-feltételek irányadók.

A szolgáltatás az Egyesült Államokban, valamint a kisebb késleltetés érdekében egy európai uniós peremhelyszínen (Frankfurt) működik. A látogatói adatok ezért a munkamenet irányításának megfelelően bármelyik régióban kezelhetők. Korlátozott nemzetközi adattovábbítás megkezdése előtt a feleknek meg kell határozniuk az alkalmazandó jogszerű adattovábbítási mechanizmust, és dokumentálniuk kell a célországokat és a garanciákat. Ha az adattovábbításra vonatkozó általános szerződési feltételeket (SCC) alkalmazzák, az alkalmazandó feltételeknek, modulnak, választási lehetőségeknek és kitöltött mellékleteknek az adattovábbítási megállapodás részét kell képezniük.

A látogatói adatoknak az Egyesült Államokban lévő részünkre történő továbbítása tekintetében e DPA az adattovábbítási megállapodás, és a megrendelő külön aláírás nélkül támaszkodik rá: a GDPR hatálya alá tartozó (az Európai Gazdasági Térségből történő) adattovábbítás esetén a 13. pontban és mellékleteiben meghatározott SCC; az Egyesült Királyság adatvédelmi jogának hatálya alá tartozó adattovábbítás esetén az SCC a 14. pontban meghatározott egyesült királysági nemzetközi adattovábbítási kiegészítéssel együtt; a svájci FADP hatálya alá tartozó adattovábbítás esetén pedig az SCC a 15. pontban foglalt svájci kiigazításokkal. Mindegyik minden olyan adattovábbításra alkalmazandó, amelyre a vonatkozó jog kiterjed, függetlenül attól, hogy a megrendelő mit válaszolt a konzolban az egyesült királysági vagy svájci adatokkal kapcsolatban. Ha ugyanarra az adattovábbításra e jogszabályok közül több is vonatkozik, mindegyik feltételrendszer a saját jogának hatályán belül alkalmazandó, és egyik sem csökkenti a másik által nyújtott védelmet.

A bármely más ország adattovábbítási szabályainak hatálya alá tartozó adattovábbításhoz az adott jog által előírt mechanizmus szükséges; mielőtt ilyet igénylő adatkezelést engedélyezne, vegye fel velünk a kapcsolatot. Nem rendelkezünk tanúsítással az EU–USA adatvédelmi keretrendszer, annak egyesült királysági kiterjesztése vagy a Svájc–USA adatvédelmi keretrendszer alapján, és az e DPA szerinti adattovábbítások egyike sem ezeken alapul.

A látogatók a megrendelő ügyfelei: a látogatónak az adataival kapcsolatos kérelmei (hozzáférés, helyesbítés, törlés, tiltakozás) a megrendelőhöz mint adatkezelőhöz kerülnek, és a megrendelő a konzol kapcsolatonkénti törlési funkciójával válaszol rájuk. Az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel segítséget nyújtunk a GDPR III. fejezete szerinti kérelmek, valamint az egyesült királysági GDPR és a FADP szerinti egyenértékű jogok tekintetében. A rendelkezésünkre álló információk figyelembevételével segítséget nyújtunk továbbá a biztonság, az adatvédelmi incidensek bejelentése, az adatvédelmi hatásvizsgálatok és a felügyeleti hatóságokkal folytatott előzetes konzultáció tekintetében a GDPR 32–36. cikke, valamint az egyesült királysági GDPR és a FADP egyenértékű rendelkezései szerint. A szolgáltatás által már biztosított segítségen túlmenő segítségnyújtásért – például egy adatvédelmi hatásvizsgálathoz szükséges nyilvántartások összeállításáért – az akkor érvényes szakmai szolgáltatási díjainkat számíthatjuk fel, amelyeket előzetesen közlünk a megrendelővel.

Ha tudomást szerzünk egy munkaterület látogatói adatait érintő biztonsági incidensről, a személyes adatokat érintő adatvédelmi incidensről való tudomásszerzést követően indokolatlan késedelem nélkül értesítjük a megrendelőt. Nem várjuk meg a vizsgálat lezárását, és az adatkezelő hatósági bejelentési határidejét nem tekintjük a saját értesítési határidőnknek. Rendelkezésre bocsátjuk az incidens, az érintett adatok és személyek, a valószínű következmények, a kapcsolattartási pont és az enyhítő intézkedések elérhető részleteit, a további információkat pedig szakaszosan, azok rendelkezésre állásával párhuzamosan adjuk meg. A saját látogatóinak vagy a hatóságoknak szóló értesítéseket a megrendelő mint adatkezelő intézi.

A látogatói adatokat nem veszélyeztető sikertelen kísérletek – például a blokkolt bejelentkezési kísérletek, a szkennelések vagy a pingek – nem minősülnek incidensnek, és nem jelentjük őket. Az értesítés nem jelenti a hiba vagy a felelősség elismerését. Ahol a jog megengedi, a megrendelő tájékoztat minket, mielőtt egy hatóságnak, a látogatóknak vagy a nyilvánosságnak szóló, incidenssel kapcsolatos értesítésben megnevezné a Vavust, és jóhiszeműen mérlegeli az általunk kért, az incidensben betöltött szerepünkre vonatkozó helyesbítéseket.

A munkaterület törlése eltávolítja a munkaterület konfigurációját és beszélgetési anyagait, beleértve az objektumtárolóban lévő felvételeket is, azzal, hogy a titkosított biztonsági mentések az életciklus-szabályzatunk szerint járnak le, és megmaradnak azok a nyilvántartások, amelyek megőrzését jogszabály írja elő számunkra (a számlázási nyilvántartások a törvényes adózási időszak alatt). A kapcsolatonkénti törlés eltávolítja az adott kapcsolat beszélgetési anyagait. A megszűnéskor a megrendelő választása szerint a fennmaradó személyes adatait felhasználható formátumban visszaadjuk vagy töröljük, a meglévő másolatokat pedig töröljük, kivéve, ha az alkalmazandó jog megőrzést ír elő. A visszaadás iránti kérelemnek meg kell előznie a visszafordíthatatlan törlésre vonatkozó utasítást. A megőrzött biztonsági másolatok továbbra is védettek, nem használjuk őket rendes adatkezelésre, és az alkalmazandó dokumentált életciklus szerint töröljük őket; visszaállításuk esetén a törlési utasításokat ismét alkalmazni kell.

Ha a megrendelő a munkaterület megszűnését követő 30 napon belül nem ad utasítást, a fennmaradó személyes adatokat töröljük. Kérésre írásban megerősítjük a törlést.

Rendelkezésre bocsátjuk az e DPA-nak való megfelelés igazolásához szükséges információkat, és lehetővé tesszük a megrendelő vagy az általa megbízott független auditor által végzett auditokat, ideértve a helyszíni vizsgálatokat is, és közreműködünk azokban. Ezek a jogok minden megrendelőt megilletnek, és nem függnek vállalati előfizetéstől.

Az auditok dokumentumokkal kezdődnek. Kérésre rendelkezésre bocsátjuk biztonsági dokumentációnkat, a II. mellékletben foglalt intézkedéseket és egy észszerű biztonsági kérdőívre adott válaszokat, és ha egy független auditor friss jelentése lefedi a szóban forgó kontrollokat, azok új auditja helyett ezt a jelentést bocsátjuk rendelkezésre. Ha a dokumentumok valóban nem elegendők, a megrendelő adatait érintő, megerősített adatvédelmi incidenst követően, vagy ha egy felügyeleti hatóság ezt megköveteli, a megrendelő helyszíni vizsgálatot tarthat: bármely 12 hónapos időszakban egyszer, kivéve, ha egy incidens vagy egy hatóság ennél többet tesz szükségessé, 30 napos előzetes írásbeli értesítéssel és a javasolt terjedelem megjelölésével, munkaidőben, titoktartási megállapodás alapján, más ügyfelek adataihoz való hozzáférés nélkül, és olyan auditor igénybevételével, amely nem versenytársunk. Az auditok költségei a megrendelőt terhelik, és a megrendelő megosztja velünk a megállapításait. Mindez nem akadályozza meg az olyan helyszíni vizsgálatot, amelyet egy hatóság jogszerűen előír.

E DPA a megrendelő munkaterületének fennállása alatt hatályos, és a munkaterület törlésével megszűnik; adatvédelmi kötelezettségei azonban mindaddig fennmaradnak, amíg mi vagy további adatfeldolgozóink látogatói személyes adatokat őrzünk meg. A Concierge-feltételeknek a jogvitákra, a felelősségre és az irányadó jogra vonatkozó rendelkezései csak annyiban alkalmazandók, amennyiben nem korlátozzák a kógens adatvédelmi jogokat, a hatósági jogköröket vagy valamely alkalmazandó adattovábbítási megállapodást; ellentmondás esetén ez utóbbi megállapodás az irányadó.

Adatvédelmi ügyek, a további adatfeldolgozók jegyzékei, az adattovábbításra vonatkozó általános szerződési feltételek (SCC), az egyesült királysági kiegészítés és a svájci kiigazítások: support@vavusai.com.

A látogatói személyes adatoknak az Európai Gazdasági Térségből az Egyesült Államokban lévő részünkre történő továbbítása tekintetében e DPA magában foglalja a harmadik országok részére történő személyesadat-továbbításra vonatkozó, a Bizottság 2021. június 4-i (EU) 2021/914 végrehajtási határozatával elfogadott általános szerződési feltételeket (a továbbiakban: SCC), annak második modulját (adattovábbítás az adatkezelőtől az adatfeldolgozó részére), az alábbi mellékletekkel kitöltve. A GDPR hatálya alá tartozó adattovábbítás esetén az SCC módosítás nélkül képezi e DPA részét; a 14. és a 15. pont határozza meg, hogyan alkalmazandó ugyanez az SCC az egyesült királysági és a svájci jog hatálya alá tartozó adattovábbításra. Az SCC a Concierge-feltételeknek e DPA-val együtt történő, rögzített megrendelői elfogadásával jön létre: az elfogadásnak a szolgáltatás által rögzített verziója és időbélyege, valamint e DPA ezen verziójának általunk történő közzététele együttesen képezi a feleknek az SCC-re vonatkozó írásbeli megállapodását, így külön aláírásra nincs szükség.

Az SCC választási lehetőségeit a következőképpen gyakoroljuk. A fakultatív dokkolási feltételt (7. feltétel) nem alkalmazzuk. A 9. feltétel a) bekezdése az általános írásos engedélyre vonatkozó lehetőség szerint működik: a 6. pont szerinti, további adatfeldolgozókra vonatkozó rendszer az elfogadott engedély, és az abban foglalt 30 napos előzetes értesítés tölti ki a feltételben előírt értesítési határidőt. A 11. feltétel a) bekezdése szerinti, nem kötelező független vitarendezési szervet nem kínáljuk. A 13. feltétel szerinti illetékes felügyeleti hatóságot a 13. feltétel a) bekezdésében foglalt szempontok határozzák meg, az I.C. mellékletben leírtak szerint. A 17. feltétel szerint az SCC-re annak a tagállamnak a joga irányadó, amelyben a megrendelő székhellyel rendelkezik, vagy – ha a megrendelő nem rendelkezik székhellyel valamely tagállamban, vagy az adott jog nem tenné lehetővé a kedvezményezett harmadik felek jogait – Írország joga; a 18. feltétel b) bekezdése szerint az adott tagállam bíróságai, illetve az utóbbi esetben Írország bíróságai rendelkeznek joghatósággal, a 18. feltétel c) bekezdése szerint pedig az érintett a szokásos tartózkodási helye szerinti tagállamban is indíthat eljárást. Az SCC-ben, ahogyan az e pont szerint alkalmazandó, a tagállamok közé tartoznak az Európai Gazdasági Térségnek az Európai Unióhoz nem tartozó államai is.

Ha az SCC és e DPA ellentmond egymásnak, az ellentmondás mértékéig az SCC az irányadó, a 11. ponttal összhangban. Az SCC 8.3. feltétele (második modul) szerint a megrendelő az SCC-t – beleértve ezeket a mellékleteket is – a kérelmező érintett rendelkezésére bocsátja; ennek lehetővé tétele érdekében kérésre rendelkezésre bocsátjuk a szöveget.

Azon látogatói személyes adatok továbbítása tekintetében, amelyekre az Egyesült Királyság adatvédelmi joga alkalmazandó (az egyesült királysági GDPR szerinti korlátozott adattovábbítások – Restricted Transfers), e DPA magában foglalja az Európai Bizottság általános szerződési feltételeihez fűzött nemzetközi adattovábbítási kiegészítést (International Data Transfer Addendum), amelyet az Information Commissioner a Data Protection Act 2018 119A. szakaszának (1) bekezdése alapján adott ki, a 2022. március 21-én hatályba lépett B1.0 verzióban (a továbbiakban: Kiegészítés), az e pontban szereplő táblázatokkal kitöltve. A Kiegészítés minden ilyen adattovábbításra alkalmazandó, függetlenül attól, hogy a megrendelő mit válaszolt a konzolban az egyesült királysági adatokkal kapcsolatban. Ahogyan azt a Kiegészítés 2. pontja megengedi, a felek a Kiegészítést azáltal kötik meg, hogy a megrendelő e DPA ezen verzióját rögzített módon elfogadja, mi pedig e DPA ezen verzióját közzétesszük; ez a Kiegészítést mindkét félre nézve jogilag kötelezővé teszi, és lehetővé teszi, hogy az érintettek érvényesítsék az abból eredő jogaikat; külön aláírásra nincs szükség.

1. táblázat – Felek. Kezdő időpont: az a nap, amelyen a konzol rögzíti, hogy a megrendelő elfogadta ezt a verziót. Adatátadó: a megrendelő, a konzolban az elfogadásával együtt rögzített teljes cégnévvel, kereskedelmi névvel, fő címmel, hivatalos nyilvántartási számmal és fő kapcsolattartóval (az elfogadó személy neve és szerepköre, valamint a vállalkozás adatvédelmi kapcsolattartási e-mail-címe). Adatátvevő: DCI Brands LLC, kereskedelmi néven Vavus; fő cím: 312 W 2nd Street, Casper, WY 82601, United States; hivatalos nyilvántartási szám: a Wyoming Secretary of State 2017-000762309 számú bejegyzési azonosítója; fő kapcsolattartó: Dragos Ignat, tulajdonos és alapító, support@vavusai.com. Aláírás: nem szükséges, a fentiek szerint.

2. táblázat – A kiválasztott SCC, modulok és kiválasztott feltételek. A jóváhagyott uniós SCC (Approved EU SCCs), beleértve a függelékben szereplő információkat (Appendix Information), amelyek közül a Kiegészítés céljaira kizárólag a következő modulok, feltételek és választható rendelkezések lépnek hatályba: a 2. modul (adattovábbítás az adatkezelőtől az adatfeldolgozó részére) alkalmazandó, az 1., a 3. és a 4. modul nem; a 7. feltétel (dokkolási feltétel) nem alkalmazandó; a 11. feltétel szerinti választási lehetőség (független vitarendezési szerv) nem alkalmazandó; a 9. feltétel a) bekezdése általános írásos engedély alapján működik, 30 napos előzetes értesítési határidővel.

3. táblázat – A függelékben szereplő információk. 1A. melléklet (A felek jegyzéke): e DPA I.A. melléklete. 1B. melléklet (Az adattovábbítás leírása): e DPA I.B. melléklete. II. melléklet (technikai és szervezési intézkedések, ideértve az adatok biztonságát garantáló intézkedéseket): e DPA II. melléklete. III. melléklet (A további adatfeldolgozók jegyzéke): e DPA III. melléklete.

4. táblázat – A Kiegészítés megszüntetése a jóváhagyott kiegészítés módosulása esetén. Mely felek szüntethetik meg a Kiegészítést annak 19. pontja szerint: egyik fél sem. Ha az Information Commissioner a Kiegészítés 18. pontja alapján felülvizsgált jóváhagyott kiegészítést ad ki, a Kiegészítés a felülvizsgálatban meghatározottak szerint, az abban megállapított kezdő időponttól módosul.

Kötelező feltételek: a jóváhagyott kiegészítés (Approved Addendum) 2. része: Kötelező feltételek (Mandatory Clauses), azaz az ICO által kiadott és a Data Protection Act 2018 119A. szakaszának megfelelően 2022. február 2-án a parlament elé terjesztett B.1.0 kiegészítésminta, az e Kötelező feltételek 18. pontja szerint felülvizsgált formájában. E Kötelező feltételek szerint a Kiegészítésre Anglia és Wales joga irányadó, a jogvitákat Anglia és Wales bíróságai bírálják el, az érintett bármelyik féllel szemben az Egyesült Királyság bármely országának bíróságai előtt is indíthat eljárást, a felügyeleti hatóság pedig az Information Commissioner. Kérésre rendelkezésre bocsátjuk a Kiegészítés szövegét.

Egyesült királysági adattovábbítási kockázatértékelés. Az Egyesült Államokban lévő részünkre történő adattovábbítás tekintetében a megrendelő mint adatátadó az Egyesült Államok jogának és gyakorlatának a személyes adatokhoz való hatósági hozzáférés szempontjából történő értékelése, valamint a Kiegészítés érvényesíthetőségének értékelése során az Egyesült Királyság kormányának a vonatkozó amerikai jogszabályokról és gyakorlatokról készített, a Department for Science, Innovation and Technology által elkészített elemzésére támaszkodik, ahogyan azt az Information Commissionernek az Egyesült Államokba irányuló adattovábbításra vonatkozó adattovábbítási kockázatértékelés elkészítéséről szóló iránymutatása megengedi, ideértve az olyan címzettet is, amely nem rendelkezik tanúsítással az EU–USA adatvédelmi keretrendszer egyesült királysági kiterjesztése alapján. Ezen elemzés szerint a továbbított adatok védelme a Kiegészítés alkalmazása mellett nem lényegesen alacsonyabb, mint az Egyesült Királyság adatvédelmi joga szerint. Nem rendelkezünk tanúsítással e keretrendszer alapján, és ez az értékelés nem tanúsításon alapul. Az általa lefedett adattovábbítás az I.B. mellékletben leírt adattovábbítás, a III. mellékletben szereplő további továbbításokkal, valamint a II. mellékletben foglalt garanciákkal és az adattovábbítási hatásvizsgálat összefoglalójával. Indokolatlan késedelem nélkül tájékoztatjuk a megrendelőt, ha az Egyesült Királyság kormánya visszavonja vagy lényegesen módosítja ezt az elemzést, vagy ha már nem tudunk megfelelni a Kiegészítésnek, és a felek ekkor felülvizsgálják ezt az értékelést.

Azon látogatói személyes adatok továbbítása tekintetében, amelyekre a 2020. szeptember 25-i svájci szövetségi adatvédelmi törvény (FADP) alkalmazandó, a 13. pont szerint e DPA részét képező SCC a Szövetségi Adatvédelmi és Információs Biztos (FDPIC) által a FADP 16. cikke (2) bekezdésének d) pontja alapján elismert általános adatvédelmi kikötésekként alkalmazandó, az alábbi kiigazításokkal. Ezek minden ilyen adattovábbításra alkalmazandók, függetlenül attól, hogy a megrendelő mit válaszolt a konzolban a svájci adatokkal kapcsolatban. Ha egy adattovábbításra a FADP és a GDPR egyaránt vonatkozik, a felek külön rendelkezéseket tartanak fenn: ezek a kiigazítások csak annyiban alkalmazandók, amennyiben az adattovábbításra a FADP vonatkozik, a 13. pont pedig továbbra is módosítás nélkül alkalmazandó, amennyiben arra a GDPR vonatkozik.

• Az (EU) 2016/679 rendeletre való hivatkozásokat a FADP-re való hivatkozásként kell érteni, amennyiben az adattovábbítás a FADP hatálya alá tartozik.
• A FADP hatálya alá tartozó adattovábbítások tekintetében az SCC 13. feltétele és az I.C. melléklet szerinti illetékes felügyeleti hatóság az FDPIC; ha egy adattovábbításra a GDPR is vonatkozik, az SCC 13. feltételének a) bekezdése szerint meghatározott hatóság az adott rész tekintetében párhuzamosan illetékes marad.
• A kizárólag a FADP hatálya alá tartozó adattovábbítások esetében az SCC-re az SCC 17. feltétele szerint a svájci jog irányadó, a felek közötti jogvitákat pedig az SCC 18. feltételének b) bekezdése szerint a megrendelő székhelye szerinti svájci bíróságok bírálják el.
• Az SCC-ben szereplő „tagállam” kifejezést nem lehet úgy értelmezni, hogy az kizárja a Svájcban tartózkodó érintetteket abból, hogy jogaik érvényesítése érdekében a szokásos tartózkodási helyükön, Svájcban keresetet indítsanak az SCC 18. feltételének c) bekezdése szerint.
• Az adattovábbítási hatásvizsgálat összefoglalója ezekre az adattovábbításokra is alkalmazandó, a FADP-re való hivatkozással értelmezve. Nem rendelkezünk tanúsítással a Svájc–USA adatvédelmi keretrendszer alapján, így a Szövetségi Tanácsnak az Egyesült Államokra vonatkozó, a tanúsított vállalatokra kiterjedő elismerése nem vonatkozik a részünkre történő adattovábbításra. A FADP nem írja elő, hogy ezen kikötések alkalmazását be kell jelenteni az FDPIC-nek.

Adatátadó: a megrendelő, a látogatói adatok adatkezelője, amelynek székhelye a munkaterülethez a konzolban rögzített országban van, amely lehet az Európai Gazdasági Térség valamely tagállama, az Egyesült Királyság, Svájc vagy más ország; ha egy máshol székhellyel rendelkező megrendelőre a látogatói adatok kezelése tekintetében a GDPR, az Egyesült Királyság adatvédelmi joga vagy a FADP vonatkozik, a megrendelő az e jog hatálya alá tartozó adattovábbítások tekintetében adatátadó. Az adattovábbítás szempontjából releváns tevékenységei: vállalkozásának működtetése és a Concierge-munkaterület irányítása a konzolon keresztül. Teljes cégneve, kereskedelmi neve, címe, nyilvántartási száma, adatvédelmi kapcsolattartási e-mail-címe, valamint a nevében elfogadó személy neve és szerepköre a konzolban az elfogadásával együtt rögzített adatok. Szerepkör: adatkezelő.

Adatátvevő: DCI Brands LLC („Vavus”, az adatfeldolgozó), 312 W 2nd Street, Casper, WY 82601, United States (a Wyoming Secretary of State 2017-000762309 számú bejegyzési azonosítója); az adattovábbítás szempontjából releváns tevékenységek: a Concierge szolgáltatás nyújtása e DPA alapján; adatvédelmi ügyekben a kapcsolattartás: support@vavusai.com. Szerepkör: adatfeldolgozó.

Aláírás és dátum: az adatátadó részéről e DPA-nak a konzolban rögzített elfogadása (verzió, dátum és időpont, valamint az elfogadó személy); az adatátvevő részéről e DPA ezen verziójának általunk történő közzététele, a 13. pontban foglaltak szerint.

Az érintettek kategóriái: a megrendelő látogatói, ügyfelei, leendő ügyfelei és munkatársai, akiknek adatait a szolgáltatás rendelkezésére bocsátják.

A személyes adatok kategóriái: a látogató által megadott azonosítók (név, telefonszám, e-mail-cím), a beszélgetések tartalma (üzenetek, hanganyag, leiratok és a megrendelő által működtetett esetleges felvételek), az asszisztens által a látogató műveletei alapján létrehozott kapcsolati és foglalási nyilvántartások, technikai munkamenet-adatok (időbélyegek, csatorna, nyelv), valamint azok a személyes adatok, amelyeket a megrendelő által az asszisztens tudásanyagába feltöltött anyagok vagy a megrendelő által egyedi hang létrehozásához biztosított hangminták tartalmaznak.

Érzékeny adatok: a szolgáltatás rendszerszerűen nem gyűjt különleges kategóriájú adatokat. Ha egy megrendelő konfigurációja előreláthatóvá teszi egészségügyi adatok kezelését (egészségügyi használatra konfigurált munkaterületek), a hozzáférés azokra a munkatársakra korlátozódik, akiknek arra szükségük van, és naplózásra kerül, a megrendelő pedig továbbra is felel azért, hogy ezen adatok gyűjtése a megrendelő saját jogalapján és utasításain alapuljon.

Gyakoriság és időtartam: folyamatos, a munkaterület fennállása alatt, a munkamenetek, foglalások és a konzolhasználat során; a megőrzés a 3. és a 9. pontot követi. Jelleg és cél: gyűjtés, továbbítás, rendszerezés, tárolás, lekérdezés, fordítás, válaszok előállítása, a jogosult munkatársak és a III. mellékletben szereplő további adatfeldolgozók részére történő közlés, valamint törlés, a Concierge nyújtása céljából a megrendelő utasításai szerint. A további továbbítás az SCC 9. feltételére, e DPA 6. pontjára és a III. mellékletben szereplő jegyzékre korlátozódik.

A GDPR hatálya alá tartozó adattovábbítások esetében az illetékes felügyeleti hatóságot az SCC 13. feltételének a) bekezdése határozza meg: ha a megrendelő (mint adatátadó) valamely tagállamban rendelkezik székhellyel, az a felügyeleti hatóság, amely felel azért, hogy a megrendelő az adattovábbítás tekintetében megfeleljen a GDPR-nak; ha a megrendelő nem rendelkezik székhellyel valamely tagállamban, de a GDPR 3. cikkének (2) bekezdése hatálya alá tartozik, és a 27. cikk (1) bekezdése szerint képviselőt jelölt ki, annak a tagállamnak a felügyeleti hatósága, amelyben ez a képviselő letelepedett; ha pedig a megrendelő nem rendelkezik székhellyel valamely tagállamban, a 3. cikk (2) bekezdésének hatálya alá tartozik, és a 27. cikk (2) bekezdése alapján nem köteles képviselőt kijelölni, azon tagállamok egyikének felügyeleti hatósága, amelyben azok az érintettek tartózkodnak, akiknek a személyes adatait a részükre történő áru- vagy szolgáltatásnyújtással összefüggésben továbbítják, vagy akiknek a viselkedését megfigyelik.

Az Egyesült Királyság adatvédelmi jogának hatálya alá tartozó adattovábbítások esetében az Information Commissioner, a 14. pontban foglaltak szerint. A FADP hatálya alá tartozó adattovábbítások esetében a Szövetségi Adatvédelmi és Információs Biztos, a 15. pontban foglaltak szerint, a fenti hatósággal párhuzamosan, ha az adattovábbításra a GDPR is vonatkozik.

Az adatátvevő által az adatok védelme érdekében alkalmazott intézkedések, e DPA 4., 5., 8. és 9. pontjában leírtak szerint:

• TLS a továbbítás közbeni adatokhoz és titkosítás tárolás közben a teljes szolgáltatásban
• A legkisebb jogosultság elvén alapuló, szerepkörökre korlátozott hozzáférés a hitelesítéshez kötött konzolon keresztül; titoktartási kötelezettség alá eső munkatársak
• Hozzáférés-naplózás az egészségügyi használatra konfigurált munkaterületeken és az adminisztratív műveletek auditnaplózása
• A felvételek tárolása hozzáférés-szabályozott objektumtárolóban
• A megőrzési idejükön túli fájlok biztonságos törlése; titkosított biztonsági mentések dokumentált életciklus szerint
• Óránkénti titkosított biztonsági mentések visszaállítási ellenőrzésekkel, a folytonosság és a helyreállítás érdekében
• A szolgáltatás szoftvereinek és függőségeinek sebezhetőségi monitorozása, javítócsomagok telepítésével
• Verziókezelésen és állapotellenőrzést, valamint visszaállítást tartalmazó, szkriptelt telepítésen keresztül bevezetett változtatások
• Jelszavak kizárólag sózott hash formájában tárolva; a fiókok ismételt sikertelen bejelentkezések után zárolódnak
• Az adatközpontok fizikai biztonsága, amelyet a Google Cloud a tanúsításai alapján biztosít
• Webalkalmazás-tűzfal mögötti, megerősített végpontok kéréskorlátozással
• A személyes adatokat érintő adatvédelmi incidensek bejelentése a megrendelőnek a tudomásszerzést követően indokolatlan késedelem nélkül, részletekkel és szakaszos utólagos tájékoztatással
• Segítségnyújtás az érintettek kérelmeivel, valamint a megrendelőnek a GDPR 32–36. cikke, továbbá az egyesült királysági GDPR és a FADP egyenértékű rendelkezései szerinti kötelezettségeivel kapcsolatban
• Írásbeli szerződések a további adatfeldolgozókkal, amelyek érdemben ugyanazokat az adatvédelmi kötelezettségeket tartalmazzák, mint e DPA

Az SCC 9. feltételének a) bekezdése (általános írásos engedély) és e DPA 6. pontja alapján engedélyezett további adatfeldolgozók, funkció szerint. A változtatásokra a 6. pont szerinti értesítési és kifogásolási feltételek vonatkoznak.

Azokat a szolgáltatókat, amelyeket a megrendelő maga kapcsol – saját telefon- vagy üzenetküldő fiókjait (például saját Twilio-fiókját vagy a WhatsApp szolgáltatóját), az ügyfeleitől beszedett fizetésekhez használt saját Stripe-fiókját, valamint az általa kapcsolt naptár-, CRM-, jegykezelő vagy webáruházi rendszereket –, a megrendelő közvetlenül, saját hatáskörében veszi igénybe, és ezek nem a mi további adatfeldolgozóink.

• Google Cloud – felhőalapú tárhely és tárolás (elsődleges régió az Egyesült Államokban, uniós peremhelyszín Frankfurtban)
• Google – beszédfelismerés, beszédszintézis, fordítás és AI-modellek
• OpenAI – AI-modellek, beszédfelismerés és beszédszintézis
• Anthropic – AI-modellek
• ElevenLabs – beszédfelismerés, beszédszintézis és egyedi hangok (egészségügyi használatra konfigurált munkaterületeken nem használjuk)
• AssemblyAI – beszédfelismerés, ha a munkaterület beszédbeállítása ezt használja
• TypeSafe – a beszélgetési fordulók szemantikus irányítása, ha a munkaterület asszisztensbeállításai ezt bekapcsolják
• Twilio – telefonszolgáltatás és szöveges üzenetek az általunk a megrendelőnek biztosított telefonszámokhoz
• Stripe – fizetések a megrendelő saját Concierge-csomagjáért és használatáért
• Resend – e-mail-kézbesítés
• Saját infrastruktúránkon üzemeltetett Postal – e-mail-kézbesítés

Ha a látogatói adatokra a California Consumer Privacy Act vagy más amerikai állami adatvédelmi törvény alkalmazandó, a megrendelő a vállalkozás (business) vagy az adatkezelő (controller), a Vavus pedig annak szolgáltatója (service provider), vállalkozója (contractor) vagy adatfeldolgozója (processor), és az e mellékletben használt kifejezések az e törvények által nekik tulajdonított jelentéssel bírnak. A megrendelő a látogatói adatokat kizárólag abból a korlátozott és meghatározott célból közli velünk, hogy a Concierge-et e DPA és a Concierge-feltételek szerint nyújtsuk.

Vállaljuk, hogy: a látogatói adatokat kizárólag e célra és a megrendelő utasításai szerint kezeljük, és soha nem adjuk el vagy osztjuk meg; nem őrizzük meg, nem használjuk fel és nem közöljük azokat semmilyen más célra, ideértve bármely kereskedelmi célt is, és a megrendelővel fennálló közvetlen üzleti kapcsolatunkon kívül sem; nem kapcsoljuk össze azokat olyan személyes információkkal, amelyeket bárki mástól kapunk vagy magunk gyűjtünk, kivéve, ha e törvények ezt a szolgáltatás nyújtása érdekében megengedik; megfelelünk azoknak a kötelezettségeknek, amelyeket e törvények a szolgáltatókra rónak, és a látogatói adatoknak ugyanolyan szintű adatvédelmet biztosítunk, mint amilyet e törvények előírnak; írásban tájékoztatjuk a megrendelőt, ha úgy döntünk, hogy már nem tudunk megfelelni e kötelezettségeknek; lehetővé tesszük a megrendelő számára, hogy észszerű és megfelelő lépéseket tegyen annak ellenőrzésére, hogy a látogatói adatokat a megrendelő saját kötelezettségeivel összhangban használjuk – többek között a 10. pont alapján –, valamint bármely jogosulatlan felhasználás megállítására és orvoslására; és a 6. pont szerint értesítjük a megrendelőt az új további adatfeldolgozókról, ami eleget tesz az e törvények által előírt értesítésnek. Igazoljuk, hogy megértettük ezeket a korlátozásokat, és betartjuk azokat.

A látogatóknak az e törvények szerinti kérelmei a megrendelőhöz kerülnek, és mi a 8. pontban leírtak szerint nyújtunk segítséget.

Az Egyesült Államok joga meghatározott körülmények között lehetővé teszi a hatóságok számára, hogy kikényszerítsék a szolgáltatóknál tárolt személyes adatok kiadását (különösen a FISA 702. szakasza és a 12333. számú elnöki rendelet [Executive Order 12333] alapján). Mielőtt elfogadtuk volna ezt az SCC-t, az SCC 14. feltételének megfelelően értékeltük az adattovábbítást e jogszabályok és gyakorlatok fényében, figyelembe véve az adattovábbítás konkrét körülményeit: üzleti támogatási adatok (azonosítók, beszélgetési tartalom, foglalási nyilvántartások, technikai munkamenet-adatok), rövid adatkezelési lánc (a megrendelő, mi és a III. mellékletben szereplő további adatfeldolgozók), az az értékelésünk, hogy a Concierge nyújtása során e forgalom tekintetében nem járunk el elektronikus hírközlési szolgáltatóként, valamint az alkalmazott szerződéses, technikai és szervezési garanciák. Ezt az értékelést folyamatosan felülvizsgáljuk, dokumentáljuk, és kérésre az illetékes felügyeleti hatóság rendelkezésére bocsátjuk.

Kiegészítő intézkedések: a II. mellékletben foglalt technikai és szervezési intézkedések, a megrendelő által konfigurált adatgyűjtésen keresztül megvalósuló adattakarékosság, a 10. pont szerinti auditjogok, valamint az SCC 14. és 15. feltétele alapján vállalt kötelezettségeink – hogy a jog által megengedett esetben értesítjük a megrendelőt a jogilag kötelező erejű adatközlési megkeresésről, hogy az értesítési tilalom alóli felmentést kérünk, és rendszeres időközönként összesített információkat bocsátunk rendelkezésre, hogy felülvizsgáljuk a megkeresés jogszerűségét, és megtámadjuk azt, ha észszerű okkal feltételezhető, hogy jogellenes, valamint hogy a megengedett legkevesebb információt közöljük. Ha arra a következtetésre jutunk, hogy már nem tudunk megfelelni az SCC-nek, haladéktalanul értesítjük a megrendelőt, aki az SCC-ben foglaltak szerint felfüggesztheti az adattovábbítást. Ha egy adattovábbításra megfelelőségi határozat terjed ki (például ha tanúsítást szerzünk az EU–USA adatvédelmi keretrendszer alapján), az SCC az adott adattovábbításra csak annyiban alkalmazandó, amennyiben a megfelelőségi határozat nem terjed ki rá.

Az Egyesült Királyságból történő adattovábbításra a 14. pontban foglalt adattovábbítási kockázatértékelés alkalmazandó. A Svájcból történő adattovábbításra ez az értékelés alkalmazandó, a FADP-re való hivatkozással értelmezve, a 15. pontban foglaltak szerint.