Vavus Concierge datu apstrādes līgums

Šis datu apstrādes līgums („DPA“) ir noslēgts starp DCI Brands LLC („Vavus“, „mēs“, apstrādātājs), 312 W 2nd Street, Casper, WY 82601, United States, un uzņēmumu, kas uztur Vavus Concierge darbvietu (darbvietas turētājs, pārzinis). Tas attiecas uz apmeklētāju datiem, ko Vavus apstrādā pēc darbvietas turētāja norādījumiem, izmantojot Concierge pakalpojumu: konsoli, tīmekļvietnes logrīku, mitinātās aģenta lapas, tālruņa un ziņapmaiņas kanālus un rezervācijas.

Tas papildina Vavus Concierge pakalpojumu noteikumus, kurus darbvietas turētājs akceptē kopā ar šo DPA. Ja attiecībā uz apmeklētāju datu apstrādi starp šo DPA un Concierge noteikumiem pastāv pretruna, noteicošais ir šis DPA. Tas ir sagatavots, lai izpildītu VDAR un Apvienotās Karalistes VDAR 28. panta, Šveices Federālā likuma par datu aizsardzību (FADP) 9. panta un līdzvērtīgu apstrādātāja saistību prasības citur; ja vietējie tiesību akti uzliek stingrākus apstrādātāja pienākumus, apstrādei attiecīgajā jurisdikcijā noteicoši ir tie. IV pielikums ir piemērojams papildus, ja darbvietas turētāja apmeklētāju datus regulē kāda Amerikas Savienoto Valstu štata privātuma likums.

Nomnieks ir apmeklētāju datu pārzinis: tas izlemj, ko asistents dara, kādas zināšanas tam ir, kuri kanāli darbojas un kas tiek jautāts apmeklētājiem. Vavus ir apstrādātājs: mēs rīkojamies tikai pēc darbvietas turētāja norādījumiem, kas sniegti konsolē un ar pakalpojuma parasto darbību, un apstrādājam apmeklētāju datus vienīgi Concierge nodrošināšanai.

Mēs nekavējoties informēsim darbvietas turētāju, ja, mūsuprāt, kāds norādījums pārkāpj piemērojamos datu aizsardzības tiesību aktus, un mēs nerīkosimies saskaņā ar acīmredzami nelikumīgu norādījumu. Ja tiesību akti prasa apstrādi ārpus dokumentētajiem norādījumiem, mēs pirms šādas apstrādes informēsim darbvietas turētāju, ja vien tiesību akti to neaizliedz. Mēs neapstrādājam apmeklētāju datus saviem nolūkiem, mēs tos neizmantojam savu modeļu apmācībai un tos nepārdodam.

Šis DPA, tostarp datu nosūtīšanas noteikumi 7. un 13.–15. sadaļā, attiecas uz darbvietas turētāju, kas ir savu apmeklētāju datu pārzinis. Tas neattiecas uz darbvietas turētāju, kas apstrādā datus cita pārziņa vārdā, jo tas nepiedāvā Klauzulu trešo moduli (nosūtīšana no apstrādātāja apstrādātājam); šāds uzņēmums nedrīkst to akceptēt attiecībā uz šiem datiem.

Nomnieks atbild par to, ko tas lūdz mums darīt, likumīgumu. Tas apliecina, ka tam ir tiesisks pamats apstrādei, tostarp saskaņā ar VDAR 6., 9. un 10. pantu, ja tie ir piemērojami; ka tas ir sniedzis apmeklētājiem informāciju, ko prasa 12.–14. pants, un ir saņēmis jebkuru tiesību aktos prasīto piekrišanu, tostarp zvana ierakstīšanai vai tulkošanai; un ka tā norādījumi atbilst datu aizsardzības tiesību aktiem. Ja vien darbvieta nav konfigurēta veselības aprūpei, darbvietas turētājs nenovirzīs uz pakalpojumu apmeklētāju datus, kas ietver valsts piešķirtus identifikācijas numurus, maksājumu karšu numurus, finanšu kontu piekļuves datus, paroles citiem pakalpojumiem, biometriskos datus, datus, kas apzināti vākti no bērniem, kuri jaunāki par 16 gadiem, vai īpašu kategoriju datus, piemēram, par veselību, rasi vai etnisko izcelsmi, politiskajiem uzskatiem, reliģiju vai seksuālo orientāciju, un tas noņems jebkurus šādus datus, kas nonāk nejauši. Nomnieks uztur savu konsoles piekļuves datu drošību, izlemj, kam no tā komandas ir piekļuve, glabā savu kopiju visam, ko tas nevar atļauties zaudēt, un apliecina, ka ir pārskatījis 5. sadaļā un II pielikumā minētos pasākumus un uzskata tos par atbilstošiem datiem, ko tas apstrādā ar Concierge.

Apmeklētāju datu kategorijas atbilstoši tam, kā tās vāc darbvietas turētāja konfigurācija: apmeklētāja sniegtie identifikatori (vārds, tālruņa numurs, e-pasta adrese), sarunu saturs (ziņojumi, balss audio, transkripcijas un jebkuri ieraksti, ko darbvietas turētājs veic), kontaktu un rezervāciju ieraksti, ko asistents izveido, pamatojoties uz apmeklētāja darbībām, tehniskie sesijas dati (laikspiedoli, kanāls, valoda), kā arī personas dati, kas ietverti materiālos, ko darbvietas turētājs augšupielādē asistenta zināšanās, vai balss paraugos, ko darbvietas turētājs sniedz pielāgotas balss izveidei.

Datu subjekti ir darbvietas turētāja apmeklētāji, klienti, potenciālie klienti un darbinieki, kuru informācija tiek sniegta pakalpojumam. Apstrāde ietver vākšanu, pārsūtīšanu, organizēšanu, glabāšanu, izgūšanu, tulkošanu, atbilžu ģenerēšanu, izpaušanu pilnvarotiem darbiniekiem un pievienotajiem pakalpojumu sniedzējiem un dzēšanu. Nolūks: Concierge nodrošināšana pēc darbvietas turētāja norādījumiem. Ilgums atbilst piemērojamajiem glabāšanas iestatījumiem un 9. sadaļai, nevis automātiski ilgst visu darbvietas pastāvēšanas laiku.

Piekļuve ir tikai tiem darbiniekiem, kuriem tā ir nepieciešama pakalpojuma darbības vai drošības nodrošināšanai, un viņiem ir saistoši konfidencialitātes pienākumi; veselības aprūpei konfigurētās darbvietās piekļuve tiek reģistrēta. Mēs neievietojam apmeklētāju saturu analītikas datu paketēs, atbalsta tērzēšanā vai publiskos izsekotājos.

Pakalpojums darbojas mūsu pašu infrastruktūrā, piemērojot pasākumus, kas aprakstīti mūsu Drošības lapā: TLS datu pārsūtīšanas laikā, šifrēšana glabāšanas stāvoklī, piekļuve pēc mazāko privilēģiju principa, audita žurnālu reģistrēšana, droša to failu dzēšana, kuru glabāšanas termiņš ir beidzies, un nostiprināti galapunkti aiz tīmekļa lietojumprogrammu ugunsmūra. Ieraksti tiek glabāti objektu krātuvē ar piekļuves kontroli; piekļuve konsolei ir autentificēta un ierobežota atbilstoši lomām. Mēs varam atjaunināt šos pasākumus, mainoties tehnoloģijām un draudiem, ar nosacījumu, ka apmeklētāju datu kopējā aizsardzība būtiski nesamazinās.

Mēs piesaistām apakšapstrādātājus atbilstoši to funkcijai: mākoņmitināšana un krātuve (Google Cloud); runas atpazīšana, runas sintēze, tulkošana un MI modeļi (Google, OpenAI, Anthropic, ElevenLabs un AssemblyAI); sarunas gājienu semantiskā maršrutēšana, ja darbvieta to ieslēdz (TypeSafe); telefonija un īsziņas tālruņa numuriem, ko mēs nodrošinām darbvietas turētājam (Twilio); maksājumi par darbvietas turētāja paša plānu un lietojumu (Stripe); e-pasta piegāde (Resend, kā arī mūsu pašmitinātais Postal serveris mūsu pašu infrastruktūrā); un – ja darbvietas turētājs pievieno telefonijas, ziņapmaiņas, maksājumu, rezervāciju vai uzņēmējdarbības sistēmas – darbvietas turētāja paša pakalpojumu sniedzēji (piemēram, tā paša Twilio konts, WhatsApp pakalpojumu sniedzējs, tā paša Stripe konts, tā kalendārs vai CRM), kurus darbvietas turētājs piesaista tieši, rīkojoties savā vārdā. III pielikumā ir nosaukts katrs apakšapstrādātājs un tā funkcija.

Nomnieks sniedz vispārēju rakstisku atļauju apakšapstrādātājiem, kas norādīti pašreizējā sarakstā, kurš sniegts attiecībā uz tā pakalpojumu. Mēs ar rakstisku līgumu uzliekam katram apakšapstrādātājam datu aizsardzības pienākumus, kas ir līdzvērtīgi šajā DPA noteiktajiem, un joprojām esam atbildīgi darbvietas turētāja priekšā par tā saistību izpildi. Apmeklētāju saturu nedrīkst izmantot modeļu apmācībai bez atsevišķa likumīga norādījuma un līgumiska pamata. Pašreizējais saraksts ar nosaukumiem ir III pielikums, un tas ir pieejams arī pēc pieprasījuma, un mēs vismaz 30 dienas pirms tam, kad jauns apakšapstrādātājs sāk apstrādāt apmeklētāju datus, paziņojam par to darbvietas turētājam konsolē vai pa e-pastu, un šajā laikā darbvietas turētājs var iebilst pamatotu datu aizsardzības apsvērumu dēļ. Tad mēs kopā ar darbvietas turētāju labticīgi strādājam, lai atrisinātu iebildumu; ja mēs to nevaram, darbvietas turētājs var izbeigt darbvietu, pirms jaunais apakšapstrādātājs sāk apstrādāt tā datus, un tas ir vienīgais tiesiskās aizsardzības līdzeklis saistībā ar iebildumu. Jau maksājamās maksas joprojām ir jāsamaksā, un uz jebkādu naudas atmaksu attiecas Concierge noteikumi.

Pakalpojums darbojas Amerikas Savienotajās Valstīs un – mazākas latentuma nodrošināšanai – perifērijas mezglā Eiropas Savienībā (Frankfurtē). Tāpēc apmeklētāju dati var tikt apstrādāti jebkurā no šiem reģioniem atkarībā no sesijas maršrutēšanas. Pirms tiek veikta ierobežota starptautiska datu nosūtīšana, pusēm ir jānosaka piemērojamais likumīgais nosūtīšanas mehānisms un jādokumentē galamērķi un aizsardzības pasākumi. Ja tiek izmantotas līguma standartklauzulas, piemērojamajām klauzulām, modulim, iespējām un aizpildītajiem pielikumiem ir jābūt daļai no nosūtīšanas līguma.

Apmeklētāju datu nosūtīšanai mums uz Amerikas Savienotajām Valstīm šis DPA ir minētais nosūtīšanas līgums, un darbvietas turētājs uz to paļaujas bez atsevišķa paraksta: nosūtīšanai, ko regulē VDAR (no Eiropas Ekonomikas zonas), – Klauzulas, kā noteikts 13. sadaļā un tās pielikumos; nosūtīšanai, ko regulē Apvienotās Karalistes datu aizsardzības tiesību akti, – Klauzulas kopā ar Apvienotās Karalistes Starptautiskās datu nosūtīšanas papildinājumu, kā noteikts 14. sadaļā; un nosūtīšanai, ko regulē Šveices FADP, – Klauzulas ar Šveices pielāgojumiem 15. sadaļā. Katrs no tiem attiecas uz jebkuru nosūtīšanu, ko regulē attiecīgie tiesību akti, neatkarīgi no tā, kādu atbildi darbvietas turētājs konsolē sniedza par Apvienotās Karalistes vai Šveices datiem. Ja vienu un to pašu nosūtīšanu regulē vairāki no šiem tiesību aktiem, katrs noteikumu kopums ir piemērojams tiktāl, ciktāl to nosaka tā tiesību akti, un neviens no tiem nesamazina citu nodrošināto aizsardzību.

Nosūtīšanai, ko regulē jebkuras citas valsts datu nosūtīšanas noteikumi, ir nepieciešams šo tiesību aktu prasītais mehānisms; sazinieties ar mums, pirms ieslēdzat apstrādi, kurai tas ir nepieciešams. Mēs neesam sertificēti saskaņā ar ES un ASV datu privātuma regulējumu, tā paplašinājumu attiecībā uz Apvienoto Karalisti vai Šveices un ASV datu privātuma regulējumu, un neviena nosūtīšana saskaņā ar šo DPA uz tiem nebalstās.

Apmeklētāji ir darbvietas turētāja klienti: apmeklētāja pieprasījumi par saviem datiem (piekļuve, labošana, dzēšana, iebildumi) tiek adresēti darbvietas turētājam kā pārzinim, un darbvietas turētājs uz tiem atbild, izmantojot konsoles dzēšanas funkciju katram kontaktam. Ņemot vērā apstrādes raksturu, mēs ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem palīdzam izpildīt pieprasījumus saskaņā ar VDAR III nodaļu un līdzvērtīgām tiesībām saskaņā ar Apvienotās Karalistes VDAR un FADP. Ņemot vērā mums pieejamo informāciju, mēs palīdzam arī attiecībā uz drošību, paziņošanu par pārkāpumiem, novērtējumiem par ietekmi uz datu aizsardzību un iepriekšēju apspriešanos ar uzraudzības iestādēm saskaņā ar VDAR 32.–36. pantu un līdzvērtīgiem Apvienotās Karalistes VDAR un FADP noteikumiem. Par palīdzību, kas pārsniedz to, ko pakalpojums jau nodrošina, piemēram, ierakstu apkopošanu novērtējumam par ietekmi uz datu aizsardzību, var tikt iekasēta maksa pēc mūsu tobrīd spēkā esošajām profesionālo pakalpojumu likmēm, kuras darbvietas turētājam tiek iepriekš norādītas.

Ja mēs uzzinām par drošības incidentu, kas skar apmeklētāju datus darbvietā, mēs paziņojam darbvietas turētājam bez nepamatotas kavēšanās pēc tam, kad esam uzzinājuši par personas datu aizsardzības pārkāpumu. Mēs negaidām izmeklēšanas pabeigšanu un neuzskatām pārziņa regulatīvās ziņošanas termiņu par savu paziņošanas termiņu. Mēs sniedzam pieejamo informāciju par pārkāpumu, skartajiem datiem un personām, iespējamām sekām, kontaktpunktu un seku mazināšanu un sniedzam papildu informāciju pa posmiem, tiklīdz tā kļūst pieejama. Nomnieks kā pārzinis veic jebkādu paziņošanu saviem apmeklētājiem vai regulatoriem.

Neveiksmīgi mēģinājumi, kas neapdraud apmeklētāju datus, piemēram, bloķēti pierakstīšanās mēģinājumi, skenēšana vai ping pieprasījumi, nav incidenti, un par tiem netiek ziņots. Paziņojums nav vainas vai atbildības atzīšana. Ja tiesību akti to pieļauj, darbvietas turētājs mūs informē, pirms tas nosauc Vavus paziņojumā par incidentu regulatoram, apmeklētājiem vai sabiedrībai, un labticīgi izvērtē jebkuru labojumu, ko mēs lūdzam attiecībā uz mūsu lomu tajā.

Darbvietas dzēšana noņem darbvietas konfigurāciju un sarunu materiālus, tostarp ierakstus no objektu krātuves, ņemot vērā to, ka šifrētās rezerves kopijas tiek dzēstas novecošanas kārtībā saskaņā ar mūsu dzīves cikla politiku, un ierakstus, kas mums jāglabā saskaņā ar tiesību aktiem (norēķinu ierakstus likumā noteikto nodokļu periodu). Dzēšana katram kontaktam noņem attiecīgā kontakta sarunu materiālus. Pēc darbvietas turētāja izvēles līguma izbeigšanas brīdī mēs atdodam tā atlikušos personas datus lietojamā formātā vai tos izdzēšam un izdzēšam esošās kopijas, ja vien piemērojamie tiesību akti neprasa to glabāšanu. Pieprasījumam atdot datus jābūt iesniegtam pirms neatgriezeniskas dzēšanas norādījuma. Saglabātās rezerves kopijas joprojām ir aizsargātas, netiek izmantotas parastai apstrādei un tiek dzēstas saskaņā ar piemērojamo dokumentēto dzīves ciklu; ja tās tiek atjaunotas, dzēšanas norādījumi ir jāpiemēro atkārtoti.

Ja darbvietas turētājs 30 dienu laikā pēc darbvietas darbības beigām nesniedz norādījumus, mēs izdzēšam atlikušos personas datus. Pēc pieprasījuma mēs rakstiski apstiprinām dzēšanu.

Mēs darām pieejamu informāciju, kas nepieciešama, lai pierādītu atbilstību šim DPA, un pieļaujam auditus, tostarp pārbaudes, ko veic darbvietas turētājs vai tā pilnvarots neatkarīgs auditors, un piedalāmies tajos. Šīs tiesības ir pieejamas katram darbvietas turētājam, un tās nav atkarīgas no uzņēmuma abonementa.

Auditi sākas ar dokumentiem. Pēc pieprasījuma mēs sniedzam savu drošības dokumentāciju, II pielikumā minētos pasākumus un atbildes uz saprātīgu drošības anketu, un, ja attiecīgās kontroles aptver neseni neatkarīga auditora ziņojums, mēs jauna to audita vietā sniedzam šo ziņojumu. Ja dokumenti patiešām ir nepietiekami, pēc apstiprināta pārkāpuma, kas skar darbvietas turētāja datus, vai ja to prasa uzraudzības iestāde, darbvietas turētājs var veikt pārbaudi: ne biežāk kā reizi 12 mēnešos, ja vien pārkāpums vai regulators neprasa biežāk, ar 30 dienu iepriekšēju rakstisku paziņojumu un ierosināto apjomu, darba laikā, saskaņā ar konfidencialitātes līgumu, bez piekļuves citu klientu datiem un izmantojot auditoru, kas nav mūsu konkurents. Auditi tiek veikti par darbvietas turētāja līdzekļiem, un darbvietas turētājs dalās ar mums savos konstatējumos. Nekas no minētā neliedz veikt pārbaudi, ko likumīgi pieprasa regulators.

Šis DPA ir spēkā, kamēr pastāv darbvieta, ko uztur darbvietas turētājs, un tā darbība beidzas, kad darbvieta tiek izdzēsta, un tā datu aizsardzības pienākumi ir spēkā tik ilgi, kamēr mēs vai mūsu apakšapstrādātāji glabājam apmeklētāju personas datus. Concierge noteikumu strīdu, atbildības un piemērojamo tiesību aktu noteikumi ir piemērojami tikai tiktāl, ciktāl tie neierobežo obligātās datu aizsardzības tiesības, regulatoru pilnvaras vai piemērojamo datu nosūtīšanas līgumu; pretrunas gadījumā noteicošais ir šis līgums.

Datu aizsardzības jautājumi, apakšapstrādātāju saraksti, līguma standartklauzulas, Apvienotās Karalistes papildinājums un Šveices pielāgojumi: support@vavusai.com.

Apmeklētāju personas datu nosūtīšanai no Eiropas Ekonomikas zonas mums uz Amerikas Savienotajām Valstīm šajā DPA ir iekļautas līguma standartklauzulas par personas datu nosūtīšanu uz trešām valstīm, kas pieņemtas ar Komisijas 2021. gada 4. jūnija Īstenošanas lēmumu (ES) 2021/914 („Klauzulas“), otrais modulis (nosūtīšana no pārziņa apstrādātājam), kas papildinātas ar turpmākajiem pielikumiem. Nosūtīšanai, ko regulē VDAR, Klauzulas tiek iekļautas bez grozījumiem; 14. un 15. sadaļā ir noteikts, kā tās pašas Klauzulas attiecas uz nosūtīšanu, ko regulē Apvienotās Karalistes un Šveices tiesību akti. Tās tiek noslēgtas ar darbvietas turētāja reģistrēto Concierge noteikumu un šā DPA akceptēšanu: pakalpojuma reģistrētā šīs akceptēšanas versija un laikspiedols kopā ar mūsu veikto šā DPA attiecīgās versijas publicēšanu veido pušu rakstisku vienošanos par Klauzulām, tāpēc atsevišķs paraksts nav nepieciešams.

Klauzulās paredzētās izvēles iespējas tiek izmantotas šādi. Neobligātā pievienošanās klauzula (7. klauzula) netiek izmantota. 9. klauzulas a) punkts darbojas saskaņā ar vispārējas rakstiskas atļaujas iespēju: 6. sadaļā noteiktā apakšapstrādātāju kārtība ir saskaņotā atļauja, un tās 30 dienu iepriekšējs paziņojums aizpilda klauzulā paredzēto paziņošanas termiņu. 11. klauzulas a) punktā paredzētā neobligātā neatkarīgā strīdu izšķiršanas struktūra netiek piedāvāta. Kompetento uzraudzības iestādi saskaņā ar 13. klauzulu nosaka pēc 13. klauzulas a) punkta kritērijiem, kā izklāstīts I.C pielikumā. Saskaņā ar 17. klauzulu Klauzulas regulē tās dalībvalsts tiesību akti, kurā ir iedibināts darbvietas turētājs, vai, ja darbvietas turētājs nav iedibināts dalībvalstī vai šie tiesību akti nepieļautu ieinteresēto trešo personu tiesības, Īrijas tiesību akti; saskaņā ar 18. klauzulas b) punktu jurisdikcija ir šīs dalībvalsts tiesām vai minētajā gadījumā Īrijas tiesām, un saskaņā ar 18. klauzulas c) punktu datu subjekts var celt prasību arī savas pastāvīgās dzīvesvietas dalībvalstī. Klauzulās, kā tās piemēro saskaņā ar šo sadaļu, dalībvalstis ietver tās Eiropas Ekonomikas zonas valstis, kuras nav Eiropas Savienības dalībvalstis.

Ja starp Klauzulām un šo DPA pastāv pretruna, noteicošās ir Klauzulas tiktāl, ciktāl pastāv pretruna, saskaņā ar 11. sadaļu. Saskaņā ar 8.3. klauzulu (otrais modulis) darbvietas turētājs dara Klauzulas, tostarp šos pielikumus, pieejamas datu subjektam, kurš to lūdz; lai to nodrošinātu, mēs pēc pieprasījuma sniedzam to tekstu.

Apmeklētāju personas datu nosūtīšanai, uz kuru attiecas Apvienotās Karalistes datu aizsardzības tiesību akti (ierobežota nosūtīšana saskaņā ar Apvienotās Karalistes VDAR), šajā DPA ir iekļauts Starptautiskās datu nosūtīšanas papildinājums ES Komisijas līguma standartklauzulām, ko izdevis Informācijas komisārs saskaņā ar Data Protection Act 2018 119.A panta 1. punktu, versija B1.0, spēkā no 2022. gada 21. marta („Papildinājums“), kas aizpildīts ar šajā sadaļā ietvertajām tabulām. Tas attiecas uz katru šādu nosūtīšanu neatkarīgi no tā, kādu atbildi darbvietas turētājs konsolē sniedza par Apvienotās Karalistes datiem. Kā to pieļauj Papildinājuma 2. sadaļa, puses to noslēdz ar darbvietas turētāja reģistrēto šā DPA šīs versijas akceptēšanu un mūsu veikto šā DPA šīs versijas publicēšanu, kas padara to juridiski saistošu abām pusēm un ļauj datu subjektiem īstenot savas tiesības saskaņā ar to; atsevišķs paraksts nav nepieciešams.

1. tabula – Puses. Sākuma datums: datums, kurā konsole reģistrē darbvietas turētāja veikto šīs versijas akceptēšanu. Datu nosūtītājs: darbvietas turētājs ar pilnu juridisko nosaukumu, tirdzniecības nosaukumu, galveno adresi, oficiālo reģistrācijas numuru un galveno kontaktpersonu (akceptējušās personas vārdu un amatu, kā arī uzņēmuma privātuma kontaktpersonas e-pasta adresi), kas reģistrēti kopā ar tā akceptēšanu konsolē. Datu saņēmējs: DCI Brands LLC, tirdzniecības nosaukums Vavus; galvenā adrese 312 W 2nd Street, Casper, WY 82601, United States; oficiālais reģistrācijas numurs: Wyoming Secretary of State reģistrācijas ID 2017-000762309; galvenā kontaktpersona: Dragos Ignat, īpašnieks un dibinātājs, support@vavusai.com. Paraksts: nav nepieciešams, kā noteikts iepriekš.

2. tabula – Izvēlētās līguma standartklauzulas, moduļi un izvēlētās klauzulas. Apstiprinātās ES līguma standartklauzulas, tostarp Papildinformācija, kurās Papildinājuma vajadzībām ir spēkā tikai šādi moduļi, klauzulas un neobligātie noteikumi: darbojas 2. modulis (nosūtīšana no pārziņa apstrādātājam), un 1., 3. un 4. modulis nedarbojas; 7. klauzula (pievienošanās klauzula) netiek izmantota; 11. klauzulas iespēja (neatkarīga strīdu izšķiršanas struktūra) netiek izmantota; 9. klauzulas a) punkts darbojas saskaņā ar vispārēju rakstisku atļauju ar 30 dienu iepriekšēja paziņojuma termiņu.

3. tabula – Papildinformācija. 1.A pielikums (Pušu saraksts): šā DPA I.A pielikums. 1.B pielikums (Nosūtīšanas apraksts): šā DPA I.B pielikums. II pielikums (tehniskie un organizatoriskie pasākumi, tostarp pasākumi datu drošības nodrošināšanai): šā DPA II pielikums. III pielikums (Apakšapstrādātāju saraksts): šā DPA III pielikums.

4. tabula – Šā Papildinājuma izbeigšana, ja mainās Apstiprinātais papildinājums. Kuras puses var izbeigt šo Papildinājumu, kā noteikts Papildinājuma 19. sadaļā: neviena puse. Kad Informācijas komisārs saskaņā ar Papildinājuma 18. sadaļu izdod pārskatītu Apstiprināto papildinājumu, šis Papildinājums tiek grozīts, kā noteikts pārskatītajā versijā, no tajā noteiktā sākuma datuma.

Obligātās klauzulas: Apstiprinātā papildinājuma 2. daļa „Obligātās klauzulas“, proti, Papildinājuma veidne B.1.0, ko izdevis ICO un kas iesniegta Parlamentam saskaņā ar Data Protection Act 2018 119.A pantu 2022. gada 2. februārī, ar grozījumiem, kas veikti saskaņā ar minēto Obligāto klauzulu 18. sadaļu. Saskaņā ar minētajām Obligātajām klauzulām Papildinājumu regulē Anglijas un Velsas tiesību akti, strīdus izšķir Anglijas un Velsas tiesas, datu subjekts var celt prasību pret jebkuru pusi arī jebkuras Apvienotās Karalistes valsts tiesās, un uzraudzības iestāde ir Informācijas komisārs. Pēc pieprasījuma mēs sniedzam Papildinājuma tekstu.

Apvienotās Karalistes nosūtīšanas riska novērtējums. Attiecībā uz nosūtīšanu mums uz Amerikas Savienotajām Valstīm darbvietas turētājs kā datu nosūtītājs, novērtējot Amerikas Savienoto Valstu tiesību aktus un praksi attiecībā uz publisko iestāžu piekļuvi personas datiem un Papildinājuma izpildāmību, paļaujas uz Apvienotās Karalistes valdības veikto attiecīgo Amerikas Savienoto Valstu tiesību aktu un prakses analīzi, ko sagatavojis Department for Science, Innovation and Technology, kā to pieļauj Informācijas komisāra norādījumi par nosūtīšanas riska novērtējuma veikšanu attiecībā uz nosūtīšanu uz Amerikas Savienotajām Valstīm, tostarp saņēmējam, kas nav sertificēts saskaņā ar ES un ASV datu privātuma regulējuma paplašinājumu attiecībā uz Apvienoto Karalisti. Saskaņā ar šo analīzi nosūtīto datu aizsardzība, ja ir spēkā Papildinājums, nav būtiski zemāka nekā saskaņā ar Apvienotās Karalistes datu aizsardzības tiesību aktiem. Mēs neesam sertificēti saskaņā ar minēto regulējumu, un šis novērtējums nebalstās uz sertifikāciju. Tas aptver nosūtīšanu, kas aprakstīta I.B pielikumā, ar tālāku nosūtīšanu, kas norādīta III pielikumā, un aizsardzības pasākumiem, kas norādīti II pielikumā un nosūtīšanas ietekmes novērtējuma kopsavilkumā. Mēs bez nepamatotas kavēšanās informēsim darbvietas turētāju, ja Apvienotās Karalistes valdība atsauks vai būtiski mainīs minēto analīzi vai ja mēs vairs nevarēsim ievērot Papildinājumu, un tad puses pārskatīs šo novērtējumu.

Apmeklētāju personas datu nosūtīšanai, uz kuru attiecas Šveices 2020. gada 25. septembra Federālais likums par datu aizsardzību (FADP), 13. sadaļā iekļautās Klauzulas ir piemērojamas kā standarta datu aizsardzības klauzulas, ko saskaņā ar FADP 16. panta 2. punkta d) apakšpunktu atzinis Federālais datu aizsardzības un informācijas komisārs (FDPIC), ar turpmāk minētajiem pielāgojumiem. Tās attiecas uz katru šādu nosūtīšanu neatkarīgi no tā, kādu atbildi darbvietas turētājs konsolē sniedza par Šveices datiem. Ja nosūtīšanu regulē gan FADP, gan VDAR, puses saglabā atsevišķu kārtību: šie pielāgojumi ir piemērojami tikai tiktāl, ciktāl nosūtīšanu regulē FADP, un 13. sadaļa joprojām ir piemērojama bez grozījumiem tiktāl, ciktāl to regulē VDAR.

• Atsauces uz Regulu (ES) 2016/679 jāsaprot kā atsauces uz FADP, ciktāl uz nosūtīšanu attiecas FADP.
• FDPIC ir kompetentā uzraudzības iestāde saskaņā ar 13. klauzulu un I.C pielikumu attiecībā uz nosūtīšanu, ko regulē FADP; ja nosūtīšanu regulē arī VDAR, saskaņā ar 13. klauzulas a) punktu noteiktā iestāde paralēli paliek kompetenta attiecībā uz šo daļu.
• Nosūtīšanai, ko regulē tikai FADP, Klauzulas saskaņā ar 17. klauzulu regulē Šveices tiesību akti, un strīdus starp pusēm saskaņā ar 18. klauzulas b) punktu izšķir Šveices tiesas pēc darbvietas turētāja juridiskās adreses.
• Klauzulās lietoto terminu „dalībvalsts“ nedrīkst interpretēt tādā veidā, kas liegtu datu subjektiem Šveicē celt prasības par savām tiesībām savā pastāvīgajā dzīvesvietā, Šveicē, saskaņā ar 18. klauzulas c) punktu.
• Uz šo nosūtīšanu attiecas nosūtīšanas ietekmes novērtējuma kopsavilkums, ko lasa, atsaucoties uz FADP. Mēs neesam sertificēti saskaņā ar Šveices un ASV datu privātuma regulējumu, tāpēc Federālās padomes veiktā Amerikas Savienoto Valstu atzīšana attiecībā uz sertificētiem uzņēmumiem neattiecas uz nosūtīšanu mums. FADP neprasa paziņot FDPIC par šo klauzulu izmantošanu.

Datu nosūtītājs: darbvietas turētājs, apmeklētāju datu pārzinis, kas ir iedibināts valstī, kura darbvietai reģistrēta konsolē un kura var būt Eiropas Ekonomikas zonas dalībvalsts, Apvienotā Karaliste, Šveice vai cita valsts; ja uz darbvietas turētāju, kas ir iedibināts citur, attiecībā uz tā veikto apmeklētāju datu apstrādi attiecas VDAR, Apvienotās Karalistes datu aizsardzības tiesību akti vai FADP, tas ir datu nosūtītājs attiecībā uz nosūtīšanu, ko regulē šie tiesību akti. Tā darbības, kas attiecas uz nosūtīšanu, ir savas uzņēmējdarbības veikšana un Concierge darbvietas vadīšana, izmantojot konsoli. Tā pilns juridiskais nosaukums, tirdzniecības nosaukums, adrese, reģistrācijas numurs, privātuma kontaktpersonas e-pasta adrese un tās personas vārds un amats, kura akceptēja tā vārdā, ir tie, kas reģistrēti kopā ar tā akceptēšanu konsolē. Loma: pārzinis.

Datu saņēmējs: DCI Brands LLC („Vavus“, apstrādātājs), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State reģistrācijas ID 2017-000762309); darbības, kas attiecas uz nosūtīšanu: Concierge pakalpojuma sniegšana saskaņā ar šo DPA; kontaktinformācija datu aizsardzības jautājumos: support@vavusai.com. Loma: apstrādātājs.

Paraksts un datums: datu nosūtītājam – tā veiktā šā DPA akceptēšana, kas reģistrēta konsolē (versija, datums un laiks, kā arī akceptējusī persona); datu saņēmējam – mūsu veiktā šā DPA šīs versijas publicēšana, kā noteikts 13. sadaļā.

Datu subjektu kategorijas: darbvietas turētāja apmeklētāji, klienti, potenciālie klienti un darbinieki, kuru informācija tiek sniegta pakalpojumam.

Personas datu kategorijas: apmeklētāja sniegtie identifikatori (vārds, tālruņa numurs, e-pasta adrese), sarunu saturs (ziņojumi, balss audio, transkripcijas un jebkuri ieraksti, ko darbvietas turētājs veic), kontaktu un rezervāciju ieraksti, ko asistents izveido, pamatojoties uz apmeklētāja darbībām, tehniskie sesijas dati (laikspiedoli, kanāls, valoda), kā arī personas dati, kas ietverti materiālos, ko darbvietas turētājs augšupielādē asistenta zināšanās, vai balss paraugos, ko darbvietas turētājs sniedz pielāgotas balss izveidei.

Sensitīvi dati: pakalpojums parastā kārtībā nevāc īpašu kategoriju datus. Ja darbvietas turētāja konfigurācijas dēļ ir paredzams, ka tiks apstrādāta veselības informācija (veselības aprūpei konfigurētās darbvietas), piekļuve ir ierobežota līdz darbiniekiem, kuriem tā ir nepieciešama, un tiek reģistrēta, un darbvietas turētājs joprojām atbild par to, lai šādu datu vākšana balstītos uz paša darbvietas turētāja tiesisko pamatu un norādījumiem.

Biežums un ilgums: nepārtraukti visu darbvietas pastāvēšanas laiku, kad notiek sesijas, rezervācijas un konsoles lietošana; glabāšana atbilst 3. un 9. sadaļai. Raksturs un nolūks: vākšana, pārsūtīšana, organizēšana, glabāšana, izgūšana, tulkošana, atbilžu ģenerēšana, izpaušana pilnvarotiem darbiniekiem un III pielikumā minētajiem apakšapstrādātājiem un dzēšana, lai nodrošinātu Concierge pēc darbvietas turētāja norādījumiem. Tālāka nosūtīšana ir ierobežota atbilstoši 9. klauzulai, 6. sadaļai un III pielikumā ietvertajam sarakstam.

Nosūtīšanai, ko regulē VDAR, kompetento uzraudzības iestādi nosaka saskaņā ar 13. klauzulas a) punktu: ja darbvietas turētājs (kā datu nosūtītājs) ir iedibināts dalībvalstī, – uzraudzības iestāde, kas atbild par to, lai darbvietas turētājs attiecībā uz datu nosūtīšanu ievērotu VDAR; ja darbvietas turētājs nav iedibināts dalībvalstī, bet uz to attiecas VDAR 3. panta 2. punkts un tas ir iecēlis pārstāvi saskaņā ar 27. panta 1. punktu, – tās dalībvalsts uzraudzības iestāde, kurā ir iedibināts šis pārstāvis; un, ja darbvietas turētājs nav iedibināts dalībvalstī, uz to attiecas 3. panta 2. punkts un tam nav jāieceļ pārstāvis saskaņā ar 27. panta 2. punktu, – vienas no tām dalībvalstīm uzraudzības iestāde, kurā atrodas datu subjekti, kuru personas dati tiek nosūtīti saistībā ar preču vai pakalpojumu piedāvāšanu viņiem vai kuru uzvedība tiek uzraudzīta.

Nosūtīšanai, ko regulē Apvienotās Karalistes datu aizsardzības tiesību akti, – Informācijas komisārs, kā noteikts 14. sadaļā. Nosūtīšanai, ko regulē FADP, – Federālais datu aizsardzības un informācijas komisārs, kā noteikts 15. sadaļā, paralēli iepriekš minētajai iestādei, ja nosūtīšanu regulē arī VDAR.

Pasākumi, ko datu saņēmējs piemēro datu aizsardzībai, kā aprakstīts šā DPA 4., 5., 8. un 9. sadaļā:

• TLS datiem pārsūtīšanas laikā un šifrēšana glabāšanas stāvoklī visā pakalpojumā
• Piekļuve pēc mazāko privilēģiju principa, ierobežota atbilstoši lomām, izmantojot autentificētu konsoli; darbiniekiem ir saistoši konfidencialitātes pienākumi
• Piekļuves reģistrēšana veselības aprūpei konfigurētās darbvietās un administratīvo darbību audita žurnālu reģistrēšana
• Ieraksti tiek glabāti objektu krātuvē ar piekļuves kontroli
• Droša to failu dzēšana, kuru glabāšanas termiņš ir beidzies; šifrētas rezerves kopijas saskaņā ar dokumentētu dzīves ciklu
• Šifrētas rezerves kopijas katru stundu ar atjaunošanas pārbaudēm darbības nepārtrauktībai un atkopšanai
• Pakalpojuma programmatūras un atkarību uzraudzība attiecībā uz ievainojamībām, veicot labojumu ielāpu uzstādīšanu
• Izmaiņas tiek ieviestas, izmantojot versiju kontroli un skriptētu izvietošanu ar darbspējas pārbaudēm un atrites iespēju
• Paroles tiek glabātas tikai kā sālīti jaucējkodi; konti tiek bloķēti pēc atkārtotiem neveiksmīgiem pierakstīšanās mēģinājumiem
• Datu centru fiziskā drošība, ko nodrošina Google Cloud saskaņā ar saviem sertifikātiem
• Nostiprināti galapunkti aiz tīmekļa lietojumprogrammu ugunsmūra ar pieprasījumu skaita ierobežošanu
• Paziņošana darbvietas turētājam par personas datu aizsardzības pārkāpumiem bez nepamatotas kavēšanās pēc to atklāšanas, sniedzot informāciju un turpmākus papildinājumus pa posmiem
• Palīdzība saistībā ar datu subjektu pieprasījumiem un darbvietas turētāja pienākumiem saskaņā ar VDAR 32.–36. pantu un līdzvērtīgiem Apvienotās Karalistes VDAR un FADP noteikumiem
• Rakstiski līgumi ar apakšapstrādātājiem, kuros pēc būtības ir ietverti tie paši datu aizsardzības pienākumi kā šajā DPA

Apakšapstrādātāji, kas pilnvaroti saskaņā ar 9. klauzulas a) punktu (vispārēja rakstiska atļauja) un 6. sadaļu, sakārtoti pēc funkcijas. Uz izmaiņām attiecas 6. sadaļas noteikumi par paziņošanu un iebildumiem.

Pakalpojumu sniedzēji, kurus darbvietas turētājs pievieno pats – tā paša telefonijas vai ziņapmaiņas konti (piemēram, tā paša Twilio konts vai WhatsApp pakalpojumu sniedzējs), tā paša Stripe konts maksājumiem, ko tas saņem no saviem klientiem, un kalendāra, CRM, pieteikumu apstrādes vai veikala sistēmas, ko tas pievieno, – tiek piesaistīti tieši darbvietas turētāja vārdā un nav mūsu apakšapstrādātāji.

• Google Cloud – mākoņmitināšana un krātuve (Amerikas Savienoto Valstu primārais reģions, ES perifērijas mezgls Frankfurtē)
• Google – runas atpazīšana, runas sintēze, tulkošana un MI modeļi
• OpenAI – MI modeļi, runas atpazīšana un runas sintēze
• Anthropic – MI modeļi
• ElevenLabs – runas atpazīšana, runas sintēze un pielāgotas balsis (netiek izmantots veselības aprūpei konfigurētās darbvietās)
• AssemblyAI – runas atpazīšana, ja darbvietas runas iestatījums to izmanto
• TypeSafe – sarunas gājienu semantiskā maršrutēšana, ja darbvietas asistenta iestatījumi to ieslēdz
• Twilio – telefonija un īsziņas tālruņa numuriem, ko mēs nodrošinām darbvietas turētājam
• Stripe – maksājumi par darbvietas turētāja paša Concierge plānu un lietojumu
• Resend – e-pasta piegāde
• Pašmitināts Postal mūsu pašu infrastruktūrā – e-pasta piegāde

Ja uz apmeklētāju datiem attiecas California Consumer Privacy Act vai cits Amerikas Savienoto Valstu štata privātuma likums, darbvietas turētājs ir uzņēmums vai pārzinis, un Vavus ir tā pakalpojumu sniedzējs, darbuzņēmējs vai apstrādātājs, un šajā pielikumā lietotajiem vārdiem ir tāda nozīme, kādu tiem piešķir minētie tiesību akti. Nomnieks izpauž mums apmeklētāju datus tikai ierobežotam un noteiktam nolūkam – lai nodrošinātu Concierge, kā aprakstīts šajā DPA un Concierge noteikumos.

Mēs: apstrādāsim apmeklētāju datus tikai šim nolūkam un pēc darbvietas turētāja norādījumiem un nekad tos nepārdosim un nekopīgosim; neglabāsim, neizmantosim un neizpaudīsim tos nevienam citam nolūkam, tostarp jebkādam komerciālam nolūkam, vai ārpus mūsu tiešajām uzņēmējdarbības attiecībām ar darbvietas turētāju; neapvienosim tos ar personisko informāciju, ko saņemam no jebkura cita vai vācam paši, izņemot gadījumus, kad minētie tiesību akti to atļauj pakalpojuma sniegšanai; izpildīsim pienākumus, ko minētie tiesību akti uzliek pakalpojumu sniedzējiem, un nodrošināsim apmeklētāju datiem tādu pašu privātuma aizsardzības līmeni, kādu tie prasa; rakstiski informēsim darbvietas turētāju, ja nolemsim, ka vairs nevaram izpildīt šos pienākumus; ļausim darbvietas turētājam veikt saprātīgus un atbilstošus pasākumus, lai pārbaudītu, vai mēs izmantojam apmeklētāju datus atbilstoši tā pienākumiem, tostarp saskaņā ar 10. sadaļu, un lai apturētu un novērstu jebkādu nesankcionētu izmantošanu; un paziņosim darbvietas turētājam par jauniem apakšapstrādātājiem saskaņā ar 6. sadaļu, kas izpilda minēto tiesību aktu prasīto paziņošanu. Mēs apliecinām, ka saprotam šos ierobežojumus un tos ievērosim.

Apmeklētāju pieprasījumi saskaņā ar minētajiem tiesību aktiem tiek adresēti darbvietas turētājam, un mēs palīdzam, kā aprakstīts 8. sadaļā.

Amerikas Savienoto Valstu tiesību akti noteiktos apstākļos ļauj publiskām iestādēm piespiest pakalpojumu sniedzējus izpaust to rīcībā esošos personas datus (jo īpaši FISA 702. pants un Executive Order 12333). Pirms piekritām šīm Klauzulām, mēs, kā to prasa 14. klauzula, novērtējām nosūtīšanu attiecībā pret šiem tiesību aktiem un praksi, ņemot vērā nosūtīšanas konkrētos apstākļus: uzņēmējdarbības atbalsta dati (identifikatori, sarunu saturs, rezervāciju ieraksti, tehniskie sesijas dati), īsa apstrādes ķēde (darbvietas turētājs, mēs un III pielikumā minētie apakšapstrādātāji), mūsu novērtējums, ka, nodrošinot Concierge, mēs attiecībā uz šo datplūsmu nedarbojamies kā elektronisko sakaru pakalpojumu sniedzējs, kā arī ieviestie līgumiskie, tehniskie un organizatoriskie aizsardzības pasākumi. Mēs regulāri pārskatām šo novērtējumu, dokumentējam to un pēc pieprasījuma darām to pieejamu kompetentajai uzraudzības iestādei.

Papildu pasākumi: II pielikumā minētie tehniskie un organizatoriskie pasākumi, datu minimizēšana, ko nodrošina darbvietas turētāja konfigurēta datu vākšana, 10. sadaļā noteiktās audita tiesības un pienākumi, ko mēs uzņemamies saskaņā ar 14. un 15. klauzulu, – paziņot darbvietas turētājam par juridiski saistošu izpaušanas pieprasījumu, ja to pieļauj tiesību akti, censties panākt atbrīvojumu no jebkāda paziņošanas aizlieguma un regulāri sniegt apkopotu informāciju, pārskatīt pieprasījuma likumību un to apstrīdēt, ja ir pamatots iemesls uzskatīt, ka tas ir nelikumīgs, un izpaust minimālo pieļaujamo informāciju. Ja mēs secinām, ka vairs nevaram ievērot Klauzulas, mēs nekavējoties paziņosim darbvietas turētājam, un darbvietas turētājs var apturēt nosūtīšanu, kā paredzēts Klauzulās. Ja uz nosūtīšanu sāk attiekties lēmums par aizsardzības līmeņa pietiekamību (piemēram, ja mēs tiekam sertificēti saskaņā ar ES un ASV datu privātuma regulējumu), Klauzulas attiecas uz šo nosūtīšanu tikai tiktāl, ciktāl uz to neattiecas lēmums par aizsardzības līmeņa pietiekamību.

Nosūtīšanai no Apvienotās Karalistes ir piemērojams 14. sadaļā minētais nosūtīšanas riska novērtējums. Nosūtīšanai no Šveices šis novērtējums ir piemērojams, to lasot, atsaucoties uz FADP, kā noteikts 15. sadaļā.