Vavus Concierge duomenų tvarkymo sutartis

Ši duomenų tvarkymo sutartis („DTS“) sudaroma tarp DCI Brands LLC („Vavus“, „mes“, duomenų tvarkytojas), 312 W 2nd Street, Casper, WY 82601, United States, ir įmonės, valdančios Vavus Concierge darbo sritį (darbo srities turėtojas, duomenų valdytojas). Ji taikoma lankytojų duomenims, kuriuos Vavus tvarko pagal darbo srities turėtojo nurodymus per Concierge paslaugą: konsolę, svetainės valdiklį, talpinamus agento puslapius, telefono ir žinučių kanalus ir rezervacijas.

Ji papildo Vavus Concierge paslaugų teikimo sąlygas, kurias darbo srities turėtojas priima kartu su šia DTS. Jei ši DTS prieštarauja Concierge sąlygoms dėl lankytojų duomenų tvarkymo, viršenybę turi ši DTS. Ji parengta taip, kad atitiktų BDAR ir Jungtinės Karalystės BDAR 28 straipsnį, Šveicarijos federalinio duomenų apsaugos įstatymo (FADP) 9 straipsnį ir panašius duomenų tvarkytojo įsipareigojimus kitur; jei vietos teisė nustato griežtesnes duomenų tvarkytojo pareigas, toje jurisdikcijoje atliekamam tvarkymui taikomos jos. IV priedas taikomas papildomai, kai darbo srities turėtojo lankytojų duomenims taikomas Jungtinių Amerikos Valstijų valstijos privatumo įstatymas.

Darbo srities turėtojas yra lankytojų duomenų valdytojas: jis sprendžia, ką daro asistentas, kokias žinias jis turi, kurie kanalai veikia ir ko klausiama lankytojų. Vavus yra duomenų tvarkytojas: veikiame tik pagal darbo srities turėtojo nurodymus, pateikiamus per konsolę ir įprastą paslaugos veikimą, ir lankytojų duomenis tvarkome tik Concierge teikimo tikslu.

Nedelsdami informuosime darbo srities turėtoją, jei, mūsų nuomone, nurodymas pažeidžia taikomą duomenų apsaugos teisę, ir nevykdysime akivaizdžiai neteisėto nurodymo. Jei teisės aktai reikalauja tvarkyti duomenis ne pagal dokumentais įformintus nurodymus, prieš tokį tvarkymą informuosime darbo srities turėtoją, nebent teisės aktai tai daryti draudžia. Lankytojų duomenų netvarkome savo tikslais, nenaudojame jų savo modeliams mokyti ir jų neparduodame.

Ši DTS, įskaitant 7 ir 13–15 skyriuose pateiktas perdavimo sąlygas, taikoma darbo srities turėtojui, kuris yra savo lankytojų duomenų valdytojas. Ji netaikoma darbo srities turėtojui, kuris tvarko duomenis kito duomenų valdytojo vardu, nes joje nesiūlomas Sąlygų Trečias modulis (duomenų tvarkytojo atliekamas perdavimas duomenų tvarkytojui); tokia įmonė negali jos priimti dėl tų duomenų.

Darbo srities turėtojas atsako už tai, ko jis prašo mūsų, teisėtumą. Jis patvirtina, kad turi teisinį tvarkymo pagrindą, įskaitant pagal BDAR 6, 9 ir 10 straipsnius, kai jie taikomi; kad lankytojams pateikė informaciją, kurios reikalauja 12–14 straipsniai, ir gavo bet kokį teisės aktų reikalaujamą sutikimą, įskaitant sutikimą įrašyti ar versti skambutį; ir kad jo nurodymai atitinka duomenų apsaugos teisę. Jei darbo sritis nesukonfigūruota sveikatos priežiūrai, darbo srities turėtojas į paslaugą nenukreips lankytojų duomenų, kuriuose yra valstybės išduotų asmens identifikavimo numerių, mokėjimo kortelių numerių, finansinių sąskaitų prisijungimo duomenų, kitų paslaugų slaptažodžių, biometrinių duomenų, sąmoningai iš jaunesnių nei 16 metų vaikų surinktų duomenų arba specialių kategorijų duomenų, pavyzdžiui, apie sveikatą, rasinę ar etninę kilmę, politines pažiūras, religiją ar lytinę orientaciją, ir pašalins bet kokius tokius duomenis, gautus atsitiktinai. Darbo srities turėtojas užtikrina savo konsolės prisijungimo duomenų saugumą, sprendžia, kas iš jo komandos turi prieigą, pasilieka savo kopiją visko, ko negali sau leisti prarasti, ir patvirtina, kad peržiūrėjo 5 skyriuje ir II priede nurodytas priemones ir mano, kad jos yra tinkamos duomenims, kuriuos jis tvarko per Concierge.

Lankytojų duomenų kategorijos, kiek juos renka darbo srities turėtojo konfigūracija: lankytojo pateikiami identifikatoriai (vardas, telefono numeris, el. pašto adresas), pokalbių turinys (žinutės, balso garso įrašai, transkripcijos ir visi darbo srities turėtojo daromi įrašai), kontaktų ir rezervacijų įrašai, kuriuos asistentas sukuria pagal lankytojo veiksmus, techniniai seanso duomenys (laiko žymos, kanalas, kalba) ir asmens duomenys, esantys medžiagoje, kurią darbo srities turėtojas įkelia į asistento žinias, arba balso pavyzdžiuose, kuriuos darbo srities turėtojas pateikia individualiam balsui sukurti.

Duomenų subjektai yra darbo srities turėtojo lankytojai, klientai, potencialūs klientai ir darbuotojai, kurių informacija pateikiama paslaugai. Tvarkymas apima rinkimą, perdavimą, rūšiavimą, saugojimą, paiešką, vertimą, atsakymų generavimą, atskleidimą įgaliotiems darbuotojams ir prijungtiems paslaugų teikėjams ir ištrynimą. Tikslas: teikti Concierge pagal darbo srities turėtojo nurodymus. Trukmė priklauso nuo taikomų saugojimo nustatymų ir 9 skyriaus, o ne automatiškai trunka visą darbo srities gyvavimo laiką.

Prieigą turi tik darbuotojai, kuriems ji reikalinga paslaugai teikti ar jos saugumui užtikrinti, jiems taikomi konfidencialumo įsipareigojimai, o sveikatos priežiūrai sukonfigūruotose darbo srityse prieiga registruojama. Lankytojų turinio nededame į analitikos duomenų paketus, pagalbos pokalbius ar viešas klaidų sekimo sistemas.

Paslauga veikia mūsų pačių infrastruktūroje, taikant mūsų puslapyje „Sauga“ aprašytas priemones: TLS perduodant duomenis, šifravimą saugojimo vietoje, mažiausių privilegijų prieigą, audito žurnalų registravimą, saugų failų, kurių saugojimo terminas pasibaigė, ištrynimą ir sustiprintus galinius taškus už žiniatinklio programų ugniasienės. Įrašai laikomi prieigos kontrolės saugomoje objektų saugykloje; prieiga prie konsolės yra autentifikuota ir apribota pagal vaidmenis. Šias priemones galime atnaujinti keičiantis technologijoms ir grėsmėms, jei bendra lankytojų duomenų apsauga iš esmės nesumažėja.

Pagalbinius duomenų tvarkytojus pasitelkiame pagal funkcijas: debesijos priegloba ir saugojimas (Google Cloud); kalbos atpažinimas, kalbos sintezė, vertimas ir DI modeliai (Google, OpenAI, Anthropic, ElevenLabs ir AssemblyAI); semantinis pokalbio replikų nukreipimas, kai darbo sritis jį įjungia (TypeSafe); telefonija ir tekstinės žinutės telefono numeriams, kuriuos suteikiame darbo srities turėtojui (Twilio); mokėjimai už paties darbo srities turėtojo planą ir naudojimą (Stripe); el. laiškų pristatymas (Resend, taip pat mūsų pačių infrastruktūroje talpinamas Postal serveris); ir – kai darbo srities turėtojas prijungia telefonijos, žinučių, mokėjimų, rezervacijų ar verslo sistemas – paties darbo srities turėtojo paslaugų teikėjai (pavyzdžiui, jo paties Twilio paskyra, WhatsApp paslaugų teikėjas, jo paties Stripe paskyra, jo kalendorius ar CRM), kuriuos darbo srities turėtojas pasitelkia tiesiogiai savo vardu. III priede įvardytas kiekvienas pagalbinis duomenų tvarkytojas ir jo funkcija.

Darbo srities turėtojas suteikia bendrą rašytinį leidimą pasitelkti pagalbinius duomenų tvarkytojus, nurodytus jo paslaugai pateiktame dabartiniame sąraše. Kiekvienam pagalbiniam duomenų tvarkytojui rašytine sutartimi nustatome duomenų apsaugos įsipareigojimus, lygiaverčius šioje DTS nustatytiems, ir liekame atsakingi darbo srities turėtojui už jo veiklą. Lankytojų turinys negali būti naudojamas modeliams mokyti be atskiro teisėto nurodymo ir sutartinio pagrindo. Dabartinis konkretus sąrašas yra III priedas, jį taip pat galima gauti paprašius, o prieš naujam pagalbiniam duomenų tvarkytojui pradedant tvarkyti lankytojų duomenis apie tai darbo srities turėtojui pranešame konsolėje arba el. paštu ne vėliau kaip prieš 30 dienų; per šį laikotarpį darbo srities turėtojas gali pareikšti prieštaravimą dėl pagrįstų duomenų apsaugos priežasčių. Tada sąžiningai bendradarbiaujame su darbo srities turėtoju, kad prieštaravimas būtų išspręstas; jei to padaryti negalime, darbo srities turėtojas gali nutraukti darbo sritį, kol naujasis pagalbinis duomenų tvarkytojas dar netvarko jo duomenų, ir tai yra vienintelė teisių gynimo priemonė dėl prieštaravimo. Jau mokėtinas užmokestis lieka mokėtinas, o bet koks pinigų grąžinimas atliekamas pagal Concierge sąlygas.

Paslauga veikia Jungtinėse Amerikos Valstijose ir, siekiant mažesnės delsos, kraštiniame mazge Europos Sąjungoje (Frankfurte). Todėl lankytojų duomenys gali būti tvarkomi bet kuriame iš šių regionų, kaip to reikalauja seanso nukreipimas. Prieš atliekant ribojamą tarptautinį duomenų perdavimą, šalys turi nustatyti taikomą teisėtą perdavimo mechanizmą ir dokumentais įforminti paskirties vietas ir apsaugos priemones. Kai naudojamos standartinės sutarčių sąlygos, taikomos sąlygos, modulis, pasirinkimai ir užpildyti priedai turi būti perdavimo sutarties dalis.

Lankytojų duomenų perdavimui mums į Jungtines Amerikos Valstijas ši DTS yra ta perdavimo sutartis, ir darbo srities turėtojas ja remiasi be atskiro parašo: perdavimui, kuriam taikomas BDAR (iš Europos ekonominės erdvės), – 13 skyriuje išdėstytos Sąlygos ir jų priedai; perdavimui, kuriam taikoma Jungtinės Karalystės duomenų apsaugos teisė, – Sąlygos kartu su Jungtinės Karalystės tarptautinio duomenų perdavimo priedu, kaip išdėstyta 14 skyriuje; o perdavimui, kuriam taikomas Šveicarijos FADP, – Sąlygos su 15 skyriuje nurodytais Šveicarijai taikomais pritaikymais. Kiekvienos jų taikomos kiekvienam perdavimui, kurį reglamentuoja atitinkama teisė, nepriklausomai nuo to, kokį atsakymą apie Jungtinės Karalystės ar Šveicarijos duomenis darbo srities turėtojas pateikė konsolėje. Jei tam pačiam perdavimui taikoma daugiau nei viena iš šių teisių, kiekvienas sąlygų rinkinys taikomas tiek, kiek taikoma jo paties teisė, ir nė vienas nesumažina kito suteikiamos apsaugos.

Perdavimui, kuriam taikomos bet kurios kitos šalies perdavimo taisyklės, reikia tos teisės reikalaujamo mechanizmo; prieš įjungdami tokio mechanizmo reikalaujantį tvarkymą, susisiekite su mumis. Nesame sertifikuoti pagal ES ir JAV duomenų privatumo sistemą, jos Jungtinės Karalystės išplėtimą ar Šveicarijos ir JAV duomenų privatumo sistemą, ir joks perdavimas pagal šią DTS jomis nesiremia.

Lankytojai yra darbo srities turėtojo klientai: lankytojų prašymai dėl jų duomenų (susipažinimas, ištaisymas, ištrynimas, nesutikimas) teikiami darbo srities turėtojui kaip duomenų valdytojui, o darbo srities turėtojas į juos atsako naudodamasis konsolės funkcija, leidžiančia ištrinti atskiro kontakto duomenis. Atsižvelgdami į tvarkymo pobūdį, tinkamomis techninėmis ir organizacinėmis priemonėmis padedame vykdyti prašymus pagal BDAR III skyrių ir lygiavertes teises pagal Jungtinės Karalystės BDAR ir FADP. Atsižvelgdami į mums prieinamą informaciją, taip pat padedame užtikrinti saugumą, pranešti apie asmens duomenų saugumo pažeidimus, atlikti poveikio duomenų apsaugai vertinimus ir išankstines konsultacijas su priežiūros institucijomis pagal BDAR 32–36 straipsnius ir lygiavertes Jungtinės Karalystės BDAR bei FADP nuostatas. Pagalba, kuri viršija tai, ką paslauga jau teikia, pavyzdžiui, įrašų rengimas poveikio duomenų apsaugai vertinimui, gali būti apmokestinta pagal tuo metu galiojančius mūsų profesinių paslaugų įkainius, apie kuriuos darbo srities turėtojui pranešama iš anksto.

Jei sužinome apie saugumo incidentą, paveikusį darbo srities lankytojų duomenis, pranešame darbo srities turėtojui be nepagrįsto delsimo po to, kai sužinome apie asmens duomenų saugumo pažeidimą. Nelaukiame, kol bus baigtas tyrimas, ir nelaikome duomenų valdytojo reguliavimo institucijoms teikiamų pranešimų termino savo pranešimo terminu. Pateikiame turimą informaciją apie pažeidimą, paveiktus duomenis ir asmenis, tikėtinas pasekmes, kontaktinį asmenį ir poveikio sušvelninimo priemones, o papildomą informaciją teikiame etapais, kai ji tampa prieinama. Bet kokius pranešimus savo lankytojams ar reguliavimo institucijoms, kaip duomenų valdytojas, teikia darbo srities turėtojas.

Nesėkmingi bandymai, kurie nepažeidžia lankytojų duomenų, pavyzdžiui, užblokuoti bandymai prisijungti, skenavimai ar ping užklausos, nėra incidentai ir apie juos nepranešama. Pranešimas nėra kaltės ar atsakomybės pripažinimas. Kai tai leidžia teisės aktai, darbo srities turėtojas, prieš nurodydamas Vavus pranešime apie incidentą reguliavimo institucijai, lankytojams ar visuomenei, apie tai praneša mums ir sąžiningai apsvarsto bet kokį mūsų prašomą pataisymą dėl mūsų vaidmens incidente.

Ištrynus darbo sritį, pašalinama jos konfigūracija ir pokalbių medžiaga, įskaitant įrašus iš objektų saugyklos, išskyrus šifruotas atsargines kopijas, kurios pašalinamos pasibaigus jų ciklui pagal mūsų ciklo politiką, ir įrašus, kuriuos privalome saugoti pagal teisės aktus (atsiskaitymo įrašus įstatyme nustatytą mokestinį laikotarpį). Ištrynus atskirą kontaktą, pašalinama to kontakto pokalbių medžiaga. Nutraukus sutartį, darbo srities turėtojo pasirinkimu grąžiname jam likusius jo asmens duomenis tinkamu naudoti formatu arba juos ištriname ir ištriname esamas kopijas, nebent taikoma teisė reikalauja jas saugoti. Prašymas grąžinti duomenis turi būti pateiktas prieš negrįžtamo ištrynimo nurodymą. Saugomos atsarginės kopijos lieka apsaugotos, nenaudojamos įprastam tvarkymui ir ištrinamos pagal taikomą dokumentais įformintą ciklą; jei jos atkuriamos, ištrynimo nurodymai turi būti pritaikyti iš naujo.

Jei per 30 dienų nuo darbo srities pabaigos darbo srities turėtojas nepateikia jokio nurodymo, likusius asmens duomenis ištriname. Paprašius ištrynimą patvirtiname raštu.

Pateikiame informaciją, būtiną šios DTS laikymuisi įrodyti, ir sudarome sąlygas darbo srities turėtojui arba jo įgaliotam nepriklausomam auditoriui atlikti auditus, įskaitant patikrinimus, ir prie jų prisidedame. Šios teisės suteikiamos kiekvienam darbo srities turėtojui ir nepriklauso nuo Enterprise prenumeratos.

Auditas pradedamas nuo dokumentų. Paprašius pateikiame savo saugos dokumentaciją, II priede nurodytas priemones ir atsakymus į pagrįstą saugos klausimyną, o jei atitinkamas kontrolės priemones apima neseniai parengta nepriklausomo auditoriaus ataskaita, vietoj naujo jų audito pateikiame tą ataskaitą. Kai dokumentų iš tiesų nepakanka, po patvirtinto saugumo pažeidimo, paveikusio darbo srities turėtojo duomenis, arba kai to reikalauja priežiūros institucija, darbo srities turėtojas gali atlikti patikrinimą: ne dažniau kaip kartą per 12 mėnesių, nebent dažniau to reikalauja saugumo pažeidimas ar reguliavimo institucija, apie tai raštu pranešus prieš 30 dienų ir pasiūlius apimtį, darbo valandomis, pagal konfidencialumo susitarimą, be prieigos prie kitų klientų duomenų ir pasitelkus auditorių, kuris nėra mūsų konkurentas. Auditas atliekamas darbo srities turėtojo sąskaita, o darbo srities turėtojas su mumis pasidalija savo išvadomis. Niekas iš to netrukdo patikrinimui, kurio teisėtai reikalauja reguliavimo institucija.

Ši DTS galioja, kol egzistuoja darbo srities turėtojo darbo sritis, ir baigiasi ją ištrynus, o jos duomenų apsaugos įsipareigojimai galioja tol, kol mes ar mūsų pagalbiniai duomenų tvarkytojai saugome lankytojų asmens duomenis. Concierge sąlygų nuostatos dėl ginčų, atsakomybės ir taikytinos teisės taikomos tik tiek, kiek jos neriboja privalomų duomenų apsaugos teisių, reguliavimo įgaliojimų ar taikomos perdavimo sutarties; kilus prieštaravimui, viršenybę turi ta sutartis.

Duomenų apsaugos klausimai, pagalbinių duomenų tvarkytojų sąrašai, standartinės sutarčių sąlygos, Jungtinės Karalystės priedas ir Šveicarijai taikomi pritaikymai: support@vavusai.com.

Lankytojų asmens duomenų perdavimui iš Europos ekonominės erdvės mums į Jungtines Amerikos Valstijas į šią DTS įtraukiamos standartinės sutarčių sąlygos dėl asmens duomenų perdavimo į trečiąsias valstybes, priimtos 2021 m. birželio 4 d. Komisijos įgyvendinimo sprendimu (ES) 2021/914 („Sąlygos“), Antras modulis (duomenų valdytojo atliekamas perdavimas duomenų tvarkytojui), papildytos toliau pateiktais priedais. Perdavimui, kuriam taikomas BDAR, Sąlygos įtraukiamos be pakeitimų; 14 ir 15 skyriuose nustatyta, kaip tos pačios Sąlygos taikomos perdavimui, kuriam taikoma Jungtinės Karalystės ir Šveicarijos teisė. Jos sudaromos darbo srities turėtojui užregistruotai priimant Concierge sąlygas kartu su šia DTS: paslaugos užregistruota šio priėmimo versija ir laiko žyma kartu su mūsų paskelbta šios versijos DTS yra rašytinis šalių susitarimas dėl Sąlygų, todėl atskiro parašo nereikia.

Sąlygose numatyti variantai pasirenkami taip. Pasirinktinė prisijungimo sąlyga (7 sąlyga) netaikoma. 9 sąlygos a punktas taikomas pagal bendro rašytinio leidimo variantą: 6 skyriuje nustatyta pagalbinių duomenų tvarkytojų tvarka yra sutartas leidimas, o jame numatytas išankstinis pranešimas prieš 30 dienų yra šios sąlygos pranešimo terminas. 11 sąlygos a punkte numatytas variantas (nepriklausoma ginčų sprendimo institucija) nesiūlomas. Kompetentinga priežiūros institucija pagal 13 sąlygą nustatoma pagal 13 sąlygos a punkto kriterijus, kaip nurodyta I priedo C skyriuje. Pagal 17 sąlygą Sąlygoms taikoma valstybės narės, kurioje įsisteigęs darbo srities turėtojas, teisė, o jei darbo srities turėtojas nėra įsisteigęs valstybėje narėje arba toje teisėje nenumatytos trečiosios šalies naudos gavėjos teisės, – Airijos teisė; pagal 18 sąlygos b punktą jurisdikciją turi tos valstybės narės teismai arba tokiu atveju – Airijos teismai, o pagal 18 sąlygos c punktą duomenų subjektas taip pat gali pradėti teismo procesą valstybėje narėje, kurioje yra jo nuolatinė gyvenamoji vieta. Sąlygose, kiek jos taikomos pagal šį skyrių, valstybės narės apima Europos ekonominės erdvės valstybes, kurios nėra Europos Sąjungos narės.

Jei Sąlygos ir ši DTS prieštarauja viena kitai, prieštaravimo apimtimi viršenybę turi Sąlygos, laikantis 11 skyriaus. Pagal 8.3 sąlygą (Antras modulis) darbo srities turėtojas paprašiusiam duomenų subjektui pateikia Sąlygas, įskaitant šiuos priedus; kad tai būtų įmanoma, paprašius pateikiame tekstą.

Lankytojų asmens duomenų perdavimui, kuriam taikoma Jungtinės Karalystės duomenų apsaugos teisė (ribojamas perdavimas (Restricted Transfers) pagal Jungtinės Karalystės BDAR), į šią DTS įtraukiamas Tarptautinio duomenų perdavimo priedas prie ES Komisijos standartinių sutarčių sąlygų (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), kurį Informacijos komisaras (Information Commissioner) išleido pagal Data Protection Act 2018 119A straipsnio 1 dalį, B1.0 versija, galiojanti nuo 2022 m. kovo 21 d. („Priedas“), papildytas šio skyriaus lentelėmis. Jis taikomas kiekvienam tokiam perdavimui, nepriklausomai nuo to, kokį atsakymą apie Jungtinės Karalystės duomenis darbo srities turėtojas pateikė konsolėje. Kaip leidžia Priedo 2 skirsnis, šalys jį sudaro darbo srities turėtojui užregistruotai priimant šios versijos DTS ir mums paskelbiant šios versijos DTS; tai daro jį teisiškai privalomą abiem šalims ir leidžia duomenų subjektams pagal jį įgyvendinti savo teises; atskiro parašo nereikia.

1 lentelė. Šalys. Pradžios data: data, kurią konsolė užregistruoja darbo srities turėtojo šios versijos priėmimą. Eksportuotojas: darbo srities turėtojas, kurio visas teisinis pavadinimas, komercinis pavadinimas, pagrindinis adresas, oficialus registracijos numeris ir pagrindinis kontaktinis asmuo (priimančiojo asmens vardas ir pareigos bei įmonės el. pašto adresas privatumo klausimais) užregistruoti kartu su jo priėmimu konsolėje. Importuotojas: DCI Brands LLC, veikianti Vavus pavadinimu; pagrindinis adresas 312 W 2nd Street, Casper, WY 82601, United States; oficialus registracijos numeris: Wyoming Secretary of State filing ID 2017-000762309; pagrindinis kontaktinis asmuo: Dragos Ignat, savininkas ir įkūrėjas, support@vavusai.com. Parašas: nereikalingas, kaip nurodyta pirmiau.

2 lentelė. Pasirinktos SSS, moduliai ir pasirinktos sąlygos. Patvirtintos ES SSS (Approved EU SCCs), įskaitant Priedėlio informaciją (Appendix Information), Priedo tikslais įsigaliojant tik šiems moduliams, sąlygoms ir neprivalomoms nuostatoms: taikomas 2 modulis (duomenų valdytojo atliekamas perdavimas duomenų tvarkytojui), o 1, 3 ir 4 moduliai netaikomi; 7 sąlyga (prisijungimo sąlyga) netaikoma; 11 sąlygos variantas (nepriklausoma ginčų sprendimo institucija) netaikomas; 9 sąlygos a punktas taikomas pagal bendrą rašytinį leidimą, nustatant 30 dienų išankstinio pranešimo terminą.

3 lentelė. Priedėlio informacija. 1A priedas (Šalių sąrašas): šios DTS I priedo A skyrius. 1B priedas (Perdavimo aprašymas): šios DTS I priedo B skyrius. II priedas (techninės ir organizacinės priemonės, įskaitant duomenų saugumui užtikrinti skirtas priemones): šios DTS II priedas. III priedas (Pagalbinių duomenų tvarkytojų sąrašas): šios DTS III priedas.

4 lentelė. Šio Priedo nutraukimas, kai pasikeičia Patvirtintas priedas. Kurios šalys gali nutraukti šį Priedą, kaip nustatyta Priedo 19 skirsnyje: nė viena šalis. Kai Informacijos komisaras pagal Priedo 18 skirsnį išleidžia peržiūrėtą Patvirtintą priedą (Approved Addendum), šis Priedas pakeičiamas taip, kaip nurodyta peržiūrėtame dokumente, nuo jame nustatytos pradžios datos.

Privalomosios sąlygos: Patvirtinto priedo 2 dalis „Privalomosios sąlygos“ (Mandatory Clauses), t. y. ICO išleistas Priedo šablonas B.1.0, 2022 m. vasario 2 d. pateiktas Parlamentui pagal Data Protection Act 2018 119A straipsnį, su pakeitimais, padarytais pagal tų Privalomųjų sąlygų 18 skirsnį. Pagal tas Privalomąsias sąlygas Priedui taikoma Anglijos ir Velso teisė, ginčus sprendžia Anglijos ir Velso teismai, duomenų subjektas taip pat gali iškelti bylą bet kuriai šaliai bet kurios Jungtinės Karalystės šalies teismuose, o priežiūros institucija yra Informacijos komisaras. Paprašius pateikiame Priedo tekstą.

Jungtinės Karalystės perdavimo rizikos vertinimas. Perduodant duomenis mums į Jungtines Amerikos Valstijas, darbo srities turėtojas, kaip eksportuotojas, vertindamas Jungtinių Amerikos Valstijų teisę ir praktiką, susijusią su valdžios institucijų prieiga prie asmens duomenų, ir Priedo įgyvendinamumą, remiasi Jungtinės Karalystės Vyriausybės atlikta atitinkamų Jungtinių Amerikos Valstijų įstatymų ir praktikos analize, kurią parengė Mokslo, inovacijų ir technologijų departamentas (Department for Science, Innovation and Technology), kaip leidžia Informacijos komisaro gairės dėl perdavimo rizikos vertinimo atlikimo perduodant duomenis į Jungtines Amerikos Valstijas, įskaitant gavėją, kuris nėra sertifikuotas pagal ES ir JAV duomenų privatumo sistemos Jungtinės Karalystės išplėtimą. Remiantis šia analize, perduodamų duomenų apsauga, taikant Priedą, nėra iš esmės žemesnė nei pagal Jungtinės Karalystės duomenų apsaugos teisę. Nesame sertifikuoti pagal tą sistemą, ir šis vertinimas nesiremia sertifikavimu. Jis apima I priedo B skyriuje aprašytą perdavimą, kartu su III priede nurodytu tolesniu perdavimu ir II priede bei perdavimo poveikio vertinimo santraukoje nurodytomis apsaugos priemonėmis. Be nepagrįsto delsimo pranešime darbo srities turėtojui, jei Jungtinės Karalystės Vyriausybė atšauks ar iš esmės pakeis tą analizę arba jei nebegalėsime laikytis Priedo, ir tada šalys peržiūrės šį vertinimą.

Lankytojų asmens duomenų perdavimui, kuriam taikomas 2020 m. rugsėjo 25 d. Šveicarijos federalinis duomenų apsaugos įstatymas (FADP), 13 skyriuje įtrauktos Sąlygos taikomos kaip standartinės duomenų apsaugos sąlygos, pripažintos Federalinio duomenų apsaugos ir informacijos komisaro (FDPIC) pagal FADP 16 straipsnio 2 dalies d punktą, su toliau nurodytais pritaikymais. Jos taikomos kiekvienam tokiam perdavimui, nepriklausomai nuo to, kokį atsakymą apie Šveicarijos duomenis darbo srities turėtojas pateikė konsolėje. Jei perdavimui taikomas ir FADP, ir BDAR, šalys taiko atskiras tvarkas: šie pritaikymai taikomi tik tiek, kiek perdavimą reglamentuoja FADP, o 13 skyrius be pakeitimų toliau taikomas tiek, kiek perdavimą reglamentuoja BDAR.

• Nuorodos į Reglamentą (ES) 2016/679 turi būti suprantamos kaip nuorodos į FADP, kiek perdavimui taikomas FADP.
• FDPIC yra kompetentinga priežiūros institucija pagal 13 sąlygą ir I priedo C skyrių perdavimui, kuriam taikomas FADP; jei perdavimui taip pat taikomas BDAR, pagal 13 sąlygos a punktą nustatyta institucija lygiagrečiai lieka kompetentinga tai daliai.
• Perdavimui, kuriam taikomas tik FADP, Sąlygoms pagal 17 sąlygą taikoma Šveicarijos teisė, o šalių ginčus pagal 18 sąlygos b punktą sprendžia Šveicarijos teismai pagal darbo srities turėtojo registruotos buveinės vietą.
• Sąlygose vartojama sąvoka „valstybė narė“ negali būti aiškinama taip, kad duomenų subjektams Šveicarijoje būtų atimta galimybė pagal 18 sąlygos c punktą pareikšti reikalavimus dėl savo teisių savo nuolatinėje gyvenamojoje vietoje – Šveicarijoje.
• Šiam perdavimui taikoma perdavimo poveikio vertinimo santrauka, aiškinama atsižvelgiant į FADP. Nesame sertifikuoti pagal Šveicarijos ir JAV duomenų privatumo sistemą, todėl Federalinės tarybos pripažinimas, kuriuo Jungtinės Amerikos Valstijos pripažįstamos sertifikuotoms įmonėms, netaikomas perdavimui mums. FADP nereikalauja pranešti FDPIC apie šių sąlygų naudojimą.

Duomenų eksportuotojas: darbo srities turėtojas, lankytojų duomenų valdytojas, įsisteigęs konsolėje darbo sričiai užregistruotoje šalyje, kuri gali būti Europos ekonominės erdvės valstybė narė, Jungtinė Karalystė, Šveicarija ar kita šalis; jei kitur įsisteigusiam darbo srities turėtojui, tvarkant lankytojų duomenis, taikomas BDAR, Jungtinės Karalystės duomenų apsaugos teisė ar FADP, jis yra duomenų eksportuotojas perdavimui, kurį reglamentuoja ta teisė. Su perdavimu susijusi jo veikla – savo verslo vykdymas ir Concierge darbo srities valdymas per konsolę. Jo visas teisinis pavadinimas, komercinis pavadinimas, adresas, registracijos numeris, el. pašto adresas privatumo klausimais ir jo vardu priėmusio asmens vardas ir pareigos yra tie, kurie užregistruoti kartu su jo priėmimu konsolėje. Vaidmuo: duomenų valdytojas.

Duomenų importuotojas: DCI Brands LLC („Vavus“, duomenų tvarkytojas), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); su perdavimu susijusi veikla – Concierge paslaugos teikimas pagal šią DTS; kontaktai duomenų apsaugos klausimais: support@vavusai.com. Vaidmuo: duomenų tvarkytojas.

Parašas ir data: duomenų eksportuotojo – jo konsolėje užregistruotas šios DTS priėmimas (versija, data ir laikas bei priėmęs asmuo); duomenų importuotojo – mūsų paskelbta šios versijos DTS, kaip numatyta 13 skyriuje.

Duomenų subjektų kategorijos: darbo srities turėtojo lankytojai, klientai, potencialūs klientai ir darbuotojai, kurių informacija pateikiama paslaugai.

Asmens duomenų kategorijos: lankytojo pateikiami identifikatoriai (vardas, telefono numeris, el. pašto adresas), pokalbių turinys (žinutės, balso garso įrašai, transkripcijos ir visi darbo srities turėtojo daromi įrašai), kontaktų ir rezervacijų įrašai, kuriuos asistentas sukuria pagal lankytojo veiksmus, techniniai seanso duomenys (laiko žymos, kanalas, kalba) ir asmens duomenys, esantys medžiagoje, kurią darbo srities turėtojas įkelia į asistento žinias, arba balso pavyzdžiuose, kuriuos darbo srities turėtojas pateikia individualiam balsui sukurti.

Neskelbtini duomenys: paslauga įprastai nerenka specialių kategorijų duomenų. Kai darbo srities turėtojo konfigūracija leidžia numatyti sveikatos informaciją (sveikatos priežiūrai sukonfigūruotos darbo sritys), prieiga suteikiama tik ją turėti būtinai turintiems darbuotojams ir yra registruojama, o darbo srities turėtojas lieka atsakingas už tai, kad tokių duomenų rinkimas būtų grindžiamas paties darbo srities turėtojo teisiniu pagrindu ir nurodymais.

Dažnumas ir trukmė: nuolat, visą darbo srities gyvavimo laiką, vykstant seansams, rezervacijoms ir naudojantis konsole; saugojimas – pagal 3 ir 9 skyrius. Pobūdis ir tikslas: rinkimas, perdavimas, rūšiavimas, saugojimas, paieška, vertimas, atsakymų generavimas, atskleidimas įgaliotiems darbuotojams ir III priede nurodytiems pagalbiniams duomenų tvarkytojams ir ištrynimas, siekiant teikti Concierge pagal darbo srities turėtojo nurodymus. Tolesnis perdavimas apribotas 9 sąlyga, 6 skyriumi ir III priede pateiktu sąrašu.

Perdavimui, kuriam taikomas BDAR, kompetentinga priežiūros institucija nustatoma pagal 13 sąlygos a punktą: jei darbo srities turėtojas (kaip duomenų eksportuotojas) yra įsisteigęs valstybėje narėje, – priežiūros institucija, atsakinga už tai, kad darbo srities turėtojas, vykdydamas perdavimą, laikytųsi BDAR; jei darbo srities turėtojas nėra įsisteigęs valstybėje narėje, tačiau jam taikomas BDAR 3 straipsnio 2 dalis ir jis yra paskyręs atstovą pagal 27 straipsnio 1 dalį, – valstybės narės, kurioje yra įsisteigęs tas atstovas, priežiūros institucija; o jei darbo srities turėtojas nėra įsisteigęs valstybėje narėje, jam taikoma 3 straipsnio 2 dalis ir jis neprivalo skirti atstovo pagal 27 straipsnio 2 dalį, – vienos iš valstybių narių, kuriose yra duomenų subjektai, kurių asmens duomenys perduodami jiems siūlant prekes ar paslaugas arba kurių elgesys stebimas, priežiūros institucija.

Perdavimui, kuriam taikoma Jungtinės Karalystės duomenų apsaugos teisė, – Informacijos komisaras, kaip numatyta 14 skyriuje. Perdavimui, kuriam taikomas FADP, – Federalinis duomenų apsaugos ir informacijos komisaras, kaip numatyta 15 skyriuje, lygiagrečiai su pirmiau nurodyta institucija, jei perdavimui taip pat taikomas BDAR.

Priemonės, kurias duomenų importuotojas taiko duomenims apsaugoti, kaip aprašyta šios DTS 4, 5, 8 ir 9 skyriuose:

• TLS perduodamiems duomenims ir šifravimas saugojimo vietoje visoje paslaugoje
• Mažiausių privilegijų, pagal vaidmenis apribota prieiga per autentifikuotą konsolę; darbuotojams taikomi konfidencialumo įsipareigojimai
• Prieigos registravimas sveikatos priežiūrai sukonfigūruotose darbo srityse ir administracinių veiksmų audito žurnalų registravimas
• Įrašai laikomi prieigos kontrolės saugomoje objektų saugykloje
• Saugus failų, kurių saugojimo terminas pasibaigė, ištrynimas; šifruotos atsarginės kopijos pagal dokumentais įformintą ciklą
• Kas valandą daromos šifruotos atsarginės kopijos su atkūrimo patikromis veiklos tęstinumui ir atkūrimui užtikrinti
• Paslaugos programinės įrangos ir priklausomybių pažeidžiamumų stebėsena ir pataisų diegimas
• Pakeitimai diegiami per versijų kontrolę ir scenarijumi automatizuotą diegimą su būklės patikromis ir atšaukimo galimybe
• Slaptažodžiai saugomi tik kaip maišos reikšmės su druska; po pakartotinių nesėkmingų bandymų prisijungti paskyros užrakinamos
• Duomenų centrų fizinę saugą užtikrina Google Cloud pagal savo sertifikatus
• Sustiprinti galiniai taškai už žiniatinklio programų ugniasienės su užklausų dažnio ribojimu
• Pranešimas darbo srities turėtojui apie asmens duomenų saugumo pažeidimus be nepagrįsto delsimo po to, kai apie juos sužinoma, pateikiant išsamią informaciją ir tolesnę informaciją etapais
• Pagalba vykdant duomenų subjektų prašymus ir darbo srities turėtojo pareigas pagal BDAR 32–36 straipsnius ir lygiavertes Jungtinės Karalystės BDAR bei FADP nuostatas
• Rašytinės sutartys su pagalbiniais duomenų tvarkytojais, kuriose iš esmės nustatyti tokie patys duomenų apsaugos įsipareigojimai kaip šioje DTS

Pagalbiniai duomenų tvarkytojai, leidžiami pagal 9 sąlygos a punktą (bendras rašytinis leidimas) ir 6 skyrių, pagal funkcijas. Pakeitimams taikomos 6 skyriuje nustatytos pranešimo ir prieštaravimo sąlygos.

Paslaugų teikėjai, kuriuos darbo srities turėtojas prijungia pats, – jo paties telefonijos ar žinučių paskyros (pavyzdžiui, jo paties Twilio paskyra ar WhatsApp paslaugų teikėjas), jo paties Stripe paskyra mokėjimams, kuriuos jis priima iš savo klientų, ir jo prijungiamos kalendoriaus, CRM, užklausų valdymo ar parduotuvės sistemos, – darbo srities turėtojo pasitelkiami tiesiogiai jo paties vardu ir nėra mūsų pagalbiniai duomenų tvarkytojai.

• Google Cloud – debesijos priegloba ir saugojimas (pagrindinis regionas Jungtinėse Amerikos Valstijose, ES kraštinis mazgas Frankfurte)
• Google – kalbos atpažinimas, kalbos sintezė, vertimas ir DI modeliai
• OpenAI – DI modeliai, kalbos atpažinimas ir kalbos sintezė
• Anthropic – DI modeliai
• ElevenLabs – kalbos atpažinimas, kalbos sintezė ir individualūs balsai (nenaudojama sveikatos priežiūrai sukonfigūruotose darbo srityse)
• AssemblyAI – kalbos atpažinimas, kai jį naudoja darbo srities kalbos nustatymas
• TypeSafe – semantinis pokalbio replikų nukreipimas, kai jį įjungia darbo srities asistento nustatymai
• Twilio – telefonija ir tekstinės žinutės telefono numeriams, kuriuos suteikiame darbo srities turėtojui
• Stripe – mokėjimai už paties darbo srities turėtojo Concierge planą ir naudojimą
• Resend – el. laiškų pristatymas
• Mūsų pačių infrastruktūroje talpinamas Postal – el. laiškų pristatymas

Kai lankytojų duomenims taikomas California Consumer Privacy Act ar kitas Jungtinių Amerikos Valstijų valstijos privatumo įstatymas, darbo srities turėtojas yra verslo subjektas (business) arba duomenų valdytojas, o Vavus yra jo paslaugų teikėjas (service provider), rangovas (contractor) arba duomenų tvarkytojas, ir šiame priede vartojami žodžiai turi tas reikšmes, kurias jiems suteikia tie įstatymai. Darbo srities turėtojas atskleidžia mums lankytojų duomenis tik ribotu ir konkrečiu tikslu – teikti Concierge, kaip aprašyta šioje DTS ir Concierge sąlygose.

Mes: tvarkysime lankytojų duomenis tik tuo tikslu ir pagal darbo srities turėtojo nurodymus ir niekada jų neparduosime ir jais nesidalysime; nesaugosime, nenaudosime ir neatskleisime jų jokiu kitu tikslu, įskaitant bet kokį komercinį tikslą, arba už mūsų tiesioginių verslo santykių su darbo srities turėtoju ribų; nesujungsime jų su asmenine informacija, kurią gauname iš bet ko kito arba renkame patys, išskyrus atvejus, kai tie įstatymai tai leidžia paslaugai teikti; vykdysime tų įstatymų paslaugų teikėjams nustatytas pareigas ir užtikrinsime lankytojų duomenims tokio paties lygio privatumo apsaugą, kokios jie reikalauja; raštu pranešime darbo srities turėtojui, jei nuspręsime, kad nebegalime vykdyti šių pareigų; leisime darbo srities turėtojui imtis pagrįstų ir tinkamų veiksmų, kad patikrintų, ar lankytojų duomenis naudojame laikydamiesi jo paties pareigų, įskaitant pagal 10 skyrių, ir sustabdyti bei ištaisyti bet kokį neleistiną naudojimą; ir pranešime darbo srities turėtojui apie naujus pagalbinius duomenų tvarkytojus pagal 6 skyrių, o tai atitinka tų įstatymų reikalaujamą pranešimą. Patvirtiname, kad suprantame šiuos apribojimus ir jų laikysimės.

Lankytojų prašymai pagal tuos įstatymus teikiami darbo srities turėtojui, o mes padedame, kaip aprašyta 8 skyriuje.

Jungtinių Amerikos Valstijų teisė apibrėžtomis aplinkybėmis leidžia valdžios institucijoms priverstinai reikalauti atskleisti paslaugų teikėjų turimus asmens duomenis (visų pirma pagal FISA 702 straipsnį (Section 702 of FISA) ir Vykdomąjį įsaką 12333 (Executive Order 12333)). Prieš sutikdami su šiomis Sąlygomis, kaip reikalauja 14 sąlyga, įvertinome perdavimą atsižvelgdami į tuos įstatymus ir praktiką ir į konkrečias perdavimo aplinkybes: verslo aptarnavimo duomenis (identifikatorius, pokalbių turinį, rezervacijų įrašus, techninius seanso duomenis), trumpą tvarkymo grandinę (darbo srities turėtojas, mes ir III priede nurodyti pagalbiniai duomenų tvarkytojai), mūsų vertinimą, kad teikdami Concierge šiam srautui neveikiame kaip elektroninių ryšių paslaugų teikėjas, ir taikomas sutartines, technines bei organizacines apsaugos priemones. Šį vertinimą nuolat peržiūrime, įforminame dokumentais ir paprašius pateikiame kompetentingai priežiūros institucijai.

Papildomos priemonės: II priede nurodytos techninės ir organizacinės priemonės, duomenų kiekio mažinimas darbo srities turėtojui konfigūruojant renkamus duomenis, 10 skyriuje nustatytos audito teisės ir įsipareigojimai, kuriuos prisiimame pagal 14 ir 15 sąlygas: pranešti darbo srities turėtojui apie teisiškai privalomą prašymą atskleisti duomenis, kai tai leidžia teisės aktai; siekti, kad būtų panaikintas bet koks draudimas pranešti, ir reguliariai teikti apibendrintą informaciją; peržiūrėti prašymo teisėtumą ir jį ginčyti, kai yra pagrįstų priežasčių manyti, kad jis neteisėtas; ir atskleisti minimalią leistiną informaciją. Jei padarysime išvadą, kad nebegalime laikytis Sąlygų, nedelsdami pranešime darbo srities turėtojui, o darbo srities turėtojas gali sustabdyti perdavimą, kaip numatyta Sąlygose. Jei perdavimui imtų būti taikomas sprendimas dėl tinkamumo (pavyzdžiui, jei būtume sertifikuoti pagal ES ir JAV duomenų privatumo sistemą), Sąlygos tam perdavimui taikomos tik tiek, kiek jo neapima sprendimas dėl tinkamumo.

Perdavimui iš Jungtinės Karalystės taikomas 14 skyriuje nurodytas perdavimo rizikos vertinimas. Perdavimui iš Šveicarijos šis vertinimas taikomas aiškinant jį atsižvelgiant į FADP, kaip numatyta 15 skyriuje.