Databehandleravtale for Vavus Concierge

Denne databehandleravtalen («avtalen») inngås mellom DCI Brands LLC («Vavus», «vi», databehandleren), 312 W 2nd Street, Casper, WY 82601, United States, og virksomheten som driver et arbeidsområde i Vavus Concierge («innehaveren», den behandlingsansvarlige). Den gjelder data om besøkende som Vavus behandler etter innehaverens instrukser gjennom Concierge-tjenesten: konsollen, nettstedswidgeten, agentsider som driftes av oss, telefon- og meldingskanaler og bestillinger.

Den er et supplement til vilkårene for bruk av Vavus Concierge, som innehaveren godtar sammen med denne avtalen. Der denne avtalen er i strid med Concierge-vilkårene når det gjelder behandling av data om besøkende, går denne avtalen foran. Den er utformet for å oppfylle artikkel 28 i personvernforordningen (GDPR) og i UK GDPR, artikkel 9 i den sveitsiske føderale loven om personvern (FADP) og tilsvarende forpliktelser for databehandlere andre steder; der lokal lovgivning pålegger databehandlere strengere forpliktelser, går disse foran for behandling i den jurisdiksjonen. Vedlegg IV gjelder i tillegg der en personvernlov i en amerikansk delstat regulerer innehaverens data om besøkende.

Innehaveren er behandlingsansvarlig for data om besøkende: Innehaveren bestemmer hva assistenten gjør, hvilken kunnskap den har, hvilke kanaler som er i drift, og hva de besøkende blir spurt om. Vavus er databehandler: Vi handler bare etter innehaverens instrukser gjennom konsollen og tjenestens normale drift, og behandler data om besøkende utelukkende for å levere Concierge.

Vi vil umiddelbart informere innehaveren dersom en instruks etter vår mening er i strid med gjeldende personvernlovgivning, og vi vil ikke følge en åpenbart ulovlig instruks. Dersom loven krever behandling utenfor de dokumenterte instruksene, vil vi informere innehaveren før behandlingen, med mindre loven forbyr det. Vi behandler ikke data om besøkende for egne formål, og vi bruker dem ikke til å trene modellene våre og selger dem ikke.

Denne avtalen, inkludert overføringsvilkårene i punkt 7 og 13 til 15, omfatter en innehaver som er behandlingsansvarlig for sine data om besøkende. Den omfatter ikke en innehaver som behandler dataene på vegne av en annen behandlingsansvarlig, fordi den ikke tilbyr modul 3 (overføring fra databehandler til databehandler) i standardavtalevilkårene; en slik virksomhet kan ikke godta den for disse dataene.

Innehaveren er ansvarlig for lovligheten av det innehaveren ber oss gjøre. Innehaveren bekrefter at den har et rettslig grunnlag for behandlingen, også etter artikkel 6, 9 og 10 i personvernforordningen der de gjelder; at den har gitt de besøkende informasjonen som artikkel 12 til 14 krever, og har innhentet ethvert samtykke loven krever, også for opptak eller oversettelse av et anrop; og at instruksene den gir, er i samsvar med personvernlovgivningen. Med mindre arbeidsområdet er konfigurert for helsetjenesten, vil innehaveren ikke føre inn i tjenesten data om besøkende som omfatter offentlige identifikasjonsnumre, betalingskortnumre, innloggingsinformasjon for finansielle kontoer, passord til andre tjenester, biometriske data, data som bevisst er samlet inn fra barn under 16 år, eller særlige kategorier av personopplysninger som helse, rasemessig eller etnisk opprinnelse, politiske oppfatninger, religion eller seksuell orientering, og innehaveren vil fjerne slike data som kommer inn ved et uhell. Innehaveren holder innloggingsinformasjonen til konsollen sikker, bestemmer hvem i teamet som har tilgang, beholder sin egen kopi av alt den ikke har råd til å miste, og bekrefter at den har gjennomgått tiltakene i punkt 5 og vedlegg II og finner dem tilstrekkelige for dataene den behandler gjennom Concierge.

Kategorier av data om besøkende, slik innehaverens konfigurasjon samler dem inn: identifikatorer den besøkende oppgir (navn, telefonnummer, e-postadresse), samtaleinnhold (meldinger, talelyd, transkripsjoner og eventuelle opptak innehaveren foretar), kontakt- og bestillingsposter som assistenten oppretter ut fra den besøkendes handlinger, tekniske øktdata (tidsstempler, kanal, språk) og personopplysninger i materiale som innehaveren laster opp til assistentens kunnskap, eller i stemmeprøver som innehaveren leverer for å lage en egendefinert stemme.

De registrerte er innehaverens besøkende, kunder, potensielle kunder og ansatte hvis opplysninger blir gitt til tjenesten. Behandlingen omfatter innsamling, overføring, organisering, lagring, gjenfinning, oversettelse, generering av svar, utlevering til autoriserte ansatte og tilkoblede leverandører, og sletting. Formål: å levere Concierge etter innehaverens instrukser. Varigheten følger de gjeldende lagringsinnstillingene og punkt 9, i stedet for automatisk å vare i hele arbeidsområdets levetid.

Bare personell som trenger tilgang for å drive eller sikre tjenesten, har tilgang, og de er underlagt taushetsplikt; tilgang logges for arbeidsområder som er konfigurert for helsetjenesten. Vi legger ikke innhold fra besøkende i analysedata, støttechatter eller offentlige sporingsverktøy.

Tjenesten kjører på vår egen infrastruktur med tiltakene som er beskrevet på sikkerhetssiden vår: TLS under overføring, kryptering ved lagring, tilgang etter prinsippet om minste privilegium, revisjonslogging, sikker sletting av filer når lagringstiden er utløpt, og herdede endepunkter bak en brannmur for webapplikasjoner. Opptak oppbevares i objektlagring med tilgangskontroll; tilgang til konsollen er autentisert og avgrenset etter rolle. Vi kan oppdatere disse tiltakene etter hvert som teknologi og trusler endres, forutsatt at den samlede beskyttelsen av data om besøkende ikke reduseres vesentlig.

Vi engasjerer underdatabehandlere etter funksjon: skydrift og lagring (Google Cloud); talegjenkjenning, talesyntese, oversettelse og AI-modeller (Google, OpenAI, Anthropic, ElevenLabs og AssemblyAI); semantisk ruting av taleturer i samtaler, der arbeidsområdet aktiverer det (TypeSafe); telefoni og tekstmeldinger for telefonnumre vi skaffer innehaveren (Twilio); betalinger for innehaverens egen plan og bruk (Stripe); levering av e-post (Resend, i tillegg til vår selvdriftede Postal-server på vår egen infrastruktur); og – der innehaveren kobler til telefoni-, meldings-, betalings-, bestillings- eller forretningssystemer – innehaverens egne leverandører (for eksempel innehaverens egen Twilio-konto, leverandøren av WhatsApp, innehaverens egen Stripe-konto, kalenderen eller CRM-systemet), som innehaveren engasjerer direkte i eget navn. Vedlegg III navngir hver underdatabehandler og dens funksjon.

Innehaveren gir generell skriftlig tillatelse for underdatabehandlerne som er angitt i den gjeldende listen som er gitt for tjenesten. Vi pålegger hver underdatabehandler personvernforpliktelser som tilsvarer forpliktelsene i denne avtalen, gjennom en skriftlig avtale, og forblir ansvarlige overfor innehaveren for underdatabehandlerens oppfyllelse. Innhold fra besøkende skal ikke brukes til modelltrening uten en separat lovlig instruks og et avtalemessig grunnlag. Den gjeldende navngitte listen er vedlegg III og er også tilgjengelig på forespørsel, og vi varsler innehaveren minst 30 dager i forveien i konsollen eller på e-post før en ny underdatabehandler håndterer data om besøkende, og i dette tidsrommet kan innehaveren protestere på rimelig grunnlag knyttet til personvern. Vi arbeider deretter i god tro sammen med innehaveren for å løse protesten; hvis vi ikke klarer det, kan innehaveren avslutte arbeidsområdet før den nye underdatabehandleren håndterer dataene, og dette er den eneste beføyelsen ved protesten. Gebyrer som allerede har forfalt, skal fortsatt betales, og eventuell refusjon følger Concierge-vilkårene.

Tjenesten drives i USA og, for lavere forsinkelse, med en kantnode i Den europeiske union (Frankfurt). Data om besøkende kan derfor behandles i begge regionene, slik rutingen av økten krever. Før en internasjonal overføring som er underlagt restriksjoner, finner sted, må partene fastsette den gjeldende lovlige overføringsmekanismen og dokumentere mottakerlandene og garantiene. Der standardavtalevilkår brukes, må de gjeldende vilkårene, modulen, alternativene og de utfylte vedleggene være en del av overføringsavtalen.

For overføringer av data om besøkende til oss i USA er denne avtalen overføringsavtalen, og innehaveren bygger på den uten en separat signatur: for overføringer som reguleres av personvernforordningen (GDPR) (fra Det europeiske økonomiske samarbeidsområdet), standardavtalevilkårene slik de er angitt i punkt 13 og vedleggene til det; for overføringer som reguleres av britisk personvernlovgivning, standardavtalevilkårene sammen med det britiske tillegget om internasjonal dataoverføring (UK International Data Transfer Addendum) slik det er angitt i punkt 14; og for overføringer som reguleres av den sveitsiske FADP, standardavtalevilkårene med de sveitsiske tilpasningene i punkt 15. Hvert av disse gjelder for hver overføring som den aktuelle loven regulerer, uansett hvilket svar innehaveren ga i konsollen om britiske eller sveitsiske data. Der mer enn én av disse lovene regulerer den samme overføringen, gjelder hvert sett med vilkår i den utstrekning dets egen lov gjelder, og ingen av dem reduserer beskyttelsen som et annet gir.

Overføringer som reguleres av overføringsreglene i et annet land, krever den mekanismen som den loven krever; kontakt oss før du aktiverer behandling som krever en slik mekanisme. Vi er ikke sertifisert under EU–US Data Privacy Framework, den britiske utvidelsen av det (UK Extension) eller Swiss–US Data Privacy Framework, og ingen overføring under denne avtalen bygger på dem.

De besøkende er innehaverens kunder: Forespørsler fra en besøkende om egne data (innsyn, retting, sletting, protest) går til innehaveren som behandlingsansvarlig, og innehaveren besvarer dem ved hjelp av slettefunksjonen per kontakt i konsollen. Idet det tas hensyn til behandlingens art, bistår vi gjennom egnede tekniske og organisatoriske tiltak med forespørsler etter kapittel III i personvernforordningen og de tilsvarende rettighetene etter UK GDPR og FADP. Idet det tas hensyn til informasjonen som er tilgjengelig for oss, bistår vi også med sikkerhet, varsling om brudd, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheter etter artikkel 32 til 36 i personvernforordningen og de tilsvarende bestemmelsene i UK GDPR og FADP. Bistand som går ut over det tjenesten allerede tilbyr, for eksempel sammenstilling av dokumentasjon for en vurdering av personvernkonsekvenser, kan faktureres etter våre da gjeldende satser for profesjonelle tjenester, som oppgis til innehaveren på forhånd.

Hvis vi blir kjent med en sikkerhetshendelse som berører data om besøkende i et arbeidsområde, varsler vi innehaveren uten ugrunnet opphold etter at vi har blitt kjent med et brudd på personopplysningssikkerheten. Vi venter ikke på en fullført undersøkelse og behandler ikke den behandlingsansvarliges frist for rapportering til myndighetene som vår varslingsfrist. Vi gir de tilgjengelige opplysningene om bruddet, de berørte dataene og personene, de sannsynlige konsekvensene, kontaktpunktet og avbøtende tiltak, og gir ytterligere informasjon trinnvis etter hvert som den blir tilgjengelig. Innehaveren håndterer, som behandlingsansvarlig, enhver varsling til sine egne besøkende eller til tilsynsmyndigheter.

Mislykkede forsøk som ikke kompromitterer data om besøkende, for eksempel blokkerte innloggingsforsøk, skanninger eller ping, er ikke hendelser og rapporteres ikke. Et varsel er ikke en innrømmelse av skyld eller ansvar. Der loven tillater det, informerer innehaveren oss før den navngir Vavus i et varsel om en hendelse til en tilsynsmyndighet, til besøkende eller til offentligheten, og vurderer i god tro enhver korrigering vi ber om når det gjelder vår rolle i hendelsen.

Sletting av et arbeidsområde fjerner arbeidsområdets konfigurasjon og samtalemateriale, inkludert opptak fra objektlagringen, med forbehold om at krypterte sikkerhetskopier fases ut i henhold til våre retningslinjer for livssyklus, og om registreringer som loven krever at vi beholder (faktureringsposter i den lovbestemte skatteperioden). Sletting per kontakt fjerner samtalematerialet for den kontakten. Etter innehaverens valg ved opphør leverer vi tilbake innehaverens gjenværende personopplysninger i et brukbart format eller sletter dem, og sletter eksisterende kopier med mindre gjeldende lovgivning krever lagring. En anmodning om tilbakelevering må komme før en ugjenkallelig instruks om sletting. Beholdte sikkerhetskopier forblir beskyttet, brukes ikke til ordinær behandling og slettes i henhold til den gjeldende dokumenterte livssyklusen; hvis de gjenopprettes, må instruksene om sletting anvendes på nytt.

Hvis innehaveren ikke gir noen instruks innen 30 dager etter at arbeidsområdet opphører, sletter vi de gjenværende personopplysningene. Vi bekrefter slettingen skriftlig på forespørsel.

Vi gjør tilgjengelig den informasjonen som er nødvendig for å påvise overholdelse av denne avtalen, og gir mulighet for og bidrar til revisjoner, herunder inspeksjoner, som utføres av innehaveren eller en uavhengig revisor som innehaveren har gitt fullmakt. Disse rettighetene gjelder for alle innehavere og er ikke betinget av et Enterprise-abonnement.

Revisjoner begynner med dokumenter. På forespørsel gir vi vår sikkerhetsdokumentasjon, tiltakene i vedlegg II og svar på et rimelig spørreskjema om sikkerhet, og der en nylig rapport fra en uavhengig revisor dekker de aktuelle kontrollene, gir vi den rapporten i stedet for en ny revisjon av dem. Der dokumentene reelt sett ikke er tilstrekkelige, etter et bekreftet brudd som berører innehaverens data, eller der en tilsynsmyndighet krever det, kan innehaveren foreta inspeksjon: én gang i løpet av en periode på 12 måneder med mindre et brudd eller en tilsynsmyndighet krever flere, med 30 dagers skriftlig varsel og et forslag til omfang, i arbeidstiden, under en konfidensialitetsavtale, uten tilgang til andre kunders data og med en revisor som ikke er vår konkurrent. Revisjoner skjer for innehaverens regning, og innehaveren deler funnene sine med oss. Ingenting av dette hindrer en inspeksjon som en tilsynsmyndighet lovlig krever.

Denne avtalen gjelder så lenge innehaverens arbeidsområde finnes, og opphører når arbeidsområdet slettes, og personvernforpliktelsene i den gjelder så lenge vi eller underdatabehandlerne våre beholder personopplysninger om besøkende. Bestemmelsene i Concierge-vilkårene om tvister, ansvar og lovvalg gjelder bare i den grad de ikke begrenser ufravikelige personvernrettigheter, tilsynsmyndigheters myndighet eller en gjeldende overføringsavtale; ved motstrid går den overføringsavtalen foran.

Personvernspørsmål, lister over underdatabehandlere, standardavtalevilkårene, det britiske tillegget og de sveitsiske tilpasningene: support@vavusai.com.

For overføringer av personopplysninger om besøkende fra Det europeiske økonomiske samarbeidsområdet til oss i USA innlemmer denne avtalen standardavtalevilkårene for overføring av personopplysninger til tredjeland som er vedtatt ved kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021 («standardavtalevilkårene»), modul 2 (overføring fra behandlingsansvarlig til databehandler), utfylt med vedleggene nedenfor. For overføringer som reguleres av personvernforordningen (GDPR), innlemmes standardavtalevilkårene uten endringer; punkt 14 og 15 angir hvordan de samme standardavtalevilkårene gjelder for overføringer som reguleres av britisk og sveitsisk lovgivning. De inngås gjennom innehaverens registrerte aksept av Concierge-vilkårene sammen med denne avtalen: Versjonen og tidsstempelet som tjenesten registrerer for denne aksepten, utgjør sammen med vår publisering av denne avtalen i den versjonen partenes skriftlige avtale om standardavtalevilkårene, slik at det ikke er behov for noen separat signatur.

Alternativene i standardavtalevilkårene utøves slik: Det valgfrie inntredelsesvilkåret (vilkår 7) brukes ikke. Vilkår 9 bokstav a gjelder etter alternativet om generell skriftlig tillatelse: Ordningen for underdatabehandlere i punkt 6 er den avtalte tillatelsen, og varselet på 30 dager i forveien utgjør tidsrommet for varsel i vilkåret. Det valgfrie uavhengige tvisteløsningsorganet i vilkår 11 bokstav a tilbys ikke. Vedkommende tilsynsmyndighet etter vilkår 13 bestemmes etter kriteriene i vilkår 13 bokstav a, som angitt i vedlegg I bokstav C. Etter vilkår 17 er standardavtalevilkårene underlagt retten i medlemsstaten der innehaveren er etablert, eller, dersom innehaveren ikke er etablert i en medlemsstat eller den retten ikke vil anerkjenne rettigheter for begunstigede tredjeparter, irsk rett; etter vilkår 18 bokstav b har domstolene i den medlemsstaten, eller i så fall domstolene i Irland, jurisdiksjon, og etter vilkår 18 bokstav c kan en registrert også anlegge sak i medlemsstaten der vedkommende har sitt vanlige bosted. I standardavtalevilkårene slik de gjelder etter dette punktet, omfatter medlemsstater også de statene i Det europeiske økonomiske samarbeidsområdet som ikke er medlemmer av Den europeiske union.

Der standardavtalevilkårene og denne avtalen er i strid med hverandre, går standardavtalevilkårene foran i den utstrekning motstriden gjelder, i samsvar med punkt 11. Etter vilkår 8.3 (modul 2) gjør innehaveren standardavtalevilkårene, inkludert disse vedleggene, tilgjengelige for en registrert som ber om det; vi leverer teksten på forespørsel for å gjøre det mulig.

For overføringer av personopplysninger om besøkende som britisk personvernlovgivning gjelder for (overføringer underlagt restriksjoner, «Restricted Transfers», etter UK GDPR), innlemmer denne avtalen tillegget om internasjonal dataoverføring til Europakommisjonens standardavtalevilkår (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), utstedt av Information Commissioner i henhold til section 119A(1) i Data Protection Act 2018, versjon B1.0, i kraft fra 21. mars 2022 («det britiske tillegget»), utfylt med tabellene i dette punktet. Det gjelder for hver slik overføring, uansett hvilket svar innehaveren ga i konsollen om britiske data. Slik avsnitt 2 i det britiske tillegget tillater, inngår partene det gjennom innehaverens registrerte aksept av denne avtalen i denne versjonen og vår publisering av denne avtalen i denne versjonen, noe som gjør det rettslig bindende for begge parter og gir de registrerte mulighet til å håndheve sine rettigheter etter det; det er ikke behov for noen separat signatur.

Tabell 1 – Parter. Startdato: datoen da konsollen registrerer innehaverens aksept av denne versjonen. Eksportør: innehaveren, med fullt juridisk navn, forretningsnavn, hovedadresse, offisielt registreringsnummer og nøkkelkontakt (navnet og rollen til personen som godtok, og virksomhetens e-postadresse for personvern) registrert sammen med aksepten i konsollen. Importør: DCI Brands LLC, med forretningsnavnet Vavus; hovedadresse 312 W 2nd Street, Casper, WY 82601, United States; offisielt registreringsnummer: Wyoming Secretary of State filing ID 2017-000762309; nøkkelkontakt: Dragos Ignat, eier og grunnlegger, support@vavusai.com. Signatur: ikke påkrevd, som angitt ovenfor.

Tabell 2 – Valgte standardavtalevilkår, moduler og valgte vilkår. De godkjente EU-standardavtalevilkårene («Approved EU SCCs»), inkludert vedleggsinformasjonen («Appendix Information»), der bare følgende moduler, vilkår og valgfrie bestemmelser gis virkning for formålene med det britiske tillegget: Modul 2 (overføring fra behandlingsansvarlig til databehandler) er i bruk, og modul 1, 3 og 4 er ikke i bruk; vilkår 7 (inntredelsesvilkåret) brukes ikke; alternativet i vilkår 11 (uavhengig tvisteløsningsorgan) brukes ikke; vilkår 9 bokstav a gjelder etter alternativet om generell skriftlig tillatelse, med et tidsrom på 30 dagers forhåndsvarsel.

Tabell 3 – Vedleggsinformasjon. Vedlegg 1A (liste over parter): vedlegg I bokstav A til denne avtalen. Vedlegg 1B (beskrivelse av overføringen): vedlegg I bokstav B til denne avtalen. Vedlegg II (tekniske og organisatoriske tiltak, herunder tiltak for å sikre dataenes sikkerhet): vedlegg II til denne avtalen. Vedlegg III (liste over underdatabehandlere): vedlegg III til denne avtalen.

Tabell 4 – Avslutning av det britiske tillegget når det godkjente tillegget endres. Hvilke parter som kan avslutte det britiske tillegget som angitt i avsnitt 19 i det britiske tillegget: ingen av partene. Når Information Commissioner utsteder et revidert godkjent tillegg etter avsnitt 18 i det britiske tillegget, endres det britiske tillegget slik revisjonen angir, fra den startdatoen revisjonen fastsetter.

Obligatoriske vilkår: Del 2: Obligatoriske vilkår («Mandatory Clauses») i det godkjente tillegget, det vil si malen for tillegget B.1.0 som er utstedt av ICO og lagt fram for Parlamentet i samsvar med s119A i Data Protection Act 2018 den 2. februar 2022, slik den revideres etter avsnitt 18 i disse obligatoriske vilkårene. Etter disse obligatoriske vilkårene er det britiske tillegget underlagt lovgivningen i England og Wales, tvister løses av domstolene i England og Wales, en registrert kan også anlegge sak mot hver av partene ved domstolene i ethvert land i Storbritannia, og Information Commissioner er tilsynsmyndigheten. Vi leverer teksten til det britiske tillegget på forespørsel.

Britisk vurdering av overføringsrisiko. For overføringen til oss i USA bygger innehaveren som eksportør, når det gjelder vurderingen av amerikansk lovgivning og praksis for offentlige myndigheters tilgang til personopplysninger og av om det britiske tillegget kan håndheves, på den britiske regjeringens analyse av relevant amerikansk lovgivning og praksis utarbeidet av Department for Science, Innovation and Technology, slik veiledningen fra Information Commissioner om gjennomføring av en vurdering av overføringsrisiko for overføringer til USA tillater, også for en mottaker som ikke er sertifisert under den britiske utvidelsen (UK Extension) av EU–US Data Privacy Framework. Etter denne analysen er beskyttelsen av de overførte dataene, med det britiske tillegget på plass, ikke vesentlig lavere enn etter britisk personvernlovgivning. Vi er ikke sertifisert under dette rammeverket, og denne vurderingen bygger ikke på sertifisering. Overføringen den omfatter, er den som er beskrevet i vedlegg I bokstav B, med videreoverføringene i vedlegg III og garantiene i vedlegg II og sammendraget av vurderingen av overføringens konsekvenser. Vi vil uten ugrunnet opphold informere innehaveren dersom den britiske regjeringen trekker tilbake eller vesentlig endrer denne analysen, eller dersom vi ikke lenger kan overholde det britiske tillegget, og partene vil da gjennomgå denne vurderingen.

For overføringer av personopplysninger om besøkende som den sveitsiske føderale loven om personvern av 25. september 2020 (FADP) gjelder for, gjelder standardavtalevilkårene slik de er innlemmet i punkt 13, som standard personvernbestemmelser anerkjent av den føderale personvern- og informasjonskommissæren (FDPIC) etter artikkel 16 nr. 2 bokstav d i FADP, med tilpasningene nedenfor. De gjelder for hver slik overføring, uansett hvilket svar innehaveren ga i konsollen om sveitsiske data. Der en overføring reguleres av både FADP og personvernforordningen (GDPR), holder partene ordningene atskilt: Disse tilpasningene gjelder bare i den utstrekning FADP regulerer overføringen, og punkt 13 gjelder fortsatt uten endringer i den utstrekning personvernforordningen regulerer den.

• Henvisninger til forordning (EU) 2016/679 skal forstås som henvisninger til FADP, i den grad overføringen er underlagt FADP.
• FDPIC er vedkommende tilsynsmyndighet etter vilkår 13 og vedlegg I bokstav C for overføringer som reguleres av FADP; der personvernforordningen også regulerer en overføring, forblir myndigheten som er bestemt etter vilkår 13 bokstav a, kompetent for den delen, parallelt.
• For overføringer som bare reguleres av FADP, er standardavtalevilkårene underlagt sveitsisk rett etter vilkår 17, og tvister mellom partene etter vilkår 18 bokstav b løses av domstolene i Sveits på stedet der innehaveren har sitt registrerte forretningskontor.
• Begrepet «medlemsstat» i standardavtalevilkårene skal ikke tolkes slik at det utelukker registrerte i Sveits fra å fremme krav om sine rettigheter på stedet der de har sitt vanlige bosted, Sveits, etter vilkår 18 bokstav c.
• Sammendraget av vurderingen av overføringens konsekvenser gjelder for disse overføringene, lest med henvisning til FADP. Vi er ikke sertifisert under Swiss–US Data Privacy Framework, og Forbundsrådets anerkjennelse av USA for sertifiserte selskaper omfatter derfor ikke overføringer til oss. FADP krever ikke at bruken av disse vilkårene meldes til FDPIC.

Dataeksportør: innehaveren, den behandlingsansvarlige for dataene om besøkende, etablert i landet som er registrert for arbeidsområdet i konsollen, som kan være en medlemsstat i Det europeiske økonomiske samarbeidsområdet, Storbritannia, Sveits eller et annet land; der en innehaver som er etablert et annet sted, er underlagt personvernforordningen (GDPR), britisk personvernlovgivning eller FADP for sin behandling av data om besøkende, er innehaveren dataeksportør for overføringene som den loven regulerer. Innehaverens aktiviteter som er relevante for overføringen, er å drive virksomheten og styre arbeidsområdet i Concierge gjennom konsollen. Innehaverens fulle juridiske navn, forretningsnavn, adresse, registreringsnummer, e-postadresse for personvern og navnet og rollen til personen som godtok på vegne av innehaveren, er de som er registrert sammen med aksepten i konsollen. Rolle: behandlingsansvarlig.

Dataimportør: DCI Brands LLC («Vavus», databehandleren), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); aktiviteter som er relevante for overføringen: levering av Concierge-tjenesten etter denne avtalen; kontakt i personvernspørsmål: support@vavusai.com. Rolle: databehandler.

Underskrift og dato: for dataeksportøren, aksepten av denne avtalen registrert i konsollen (versjon, dato og klokkeslett og personen som godtok); for dataimportøren, vår publisering av denne avtalen i denne versjonen, slik punkt 13 fastsetter.

Kategorier av registrerte: innehaverens besøkende, kunder, potensielle kunder og ansatte hvis opplysninger blir gitt til tjenesten.

Kategorier av personopplysninger: identifikatorer den besøkende oppgir (navn, telefonnummer, e-postadresse), samtaleinnhold (meldinger, talelyd, transkripsjoner og eventuelle opptak innehaveren foretar), kontakt- og bestillingsposter som assistenten oppretter ut fra den besøkendes handlinger, tekniske øktdata (tidsstempler, kanal, språk) og personopplysninger i materiale som innehaveren laster opp til assistentens kunnskap, eller i stemmeprøver som innehaveren leverer for å lage en egendefinert stemme.

Sensitive opplysninger: Tjenesten samler ikke inn særlige kategorier av personopplysninger som en fast del av driften. Der innehaverens konfigurasjon gjør helseopplysninger påregnelige (arbeidsområder som er konfigurert for helsetjenesten), er tilgangen begrenset til personell som trenger den, og tilgangen logges, og innehaveren forblir ansvarlig for å sikre at innsamlingen bygger på innehaverens eget rettslige grunnlag og egne instrukser.

Hyppighet og varighet: kontinuerlig, i hele arbeidsområdets levetid, etter hvert som økter, bestillinger og bruk av konsollen finner sted; lagringstiden følger punkt 3 og 9. Art og formål: innsamling, overføring, organisering, lagring, gjenfinning, oversettelse, generering av svar, utlevering til autoriserte ansatte og til underdatabehandlerne i vedlegg III, og sletting, for å levere Concierge etter innehaverens instrukser. Videreoverføringer er begrenset til vilkår 9, punkt 6 og listen i vedlegg III.

For overføringer som reguleres av personvernforordningen (GDPR), bestemmes vedkommende tilsynsmyndighet etter vilkår 13 bokstav a: der innehaveren (som dataeksportør) er etablert i en medlemsstat, tilsynsmyndigheten med ansvar for å sikre at innehaveren overholder personvernforordningen når det gjelder overføringen; der innehaveren ikke er etablert i en medlemsstat, men omfattes av artikkel 3 nr. 2 i personvernforordningen og har utpekt en representant etter artikkel 27 nr. 1, tilsynsmyndigheten i medlemsstaten der representanten er etablert; og der innehaveren ikke er etablert i en medlemsstat, omfattes av artikkel 3 nr. 2 og ikke er forpliktet til å utpeke en representant etter artikkel 27 nr. 2, tilsynsmyndigheten i en av medlemsstatene der de registrerte som får sine personopplysninger overført i forbindelse med tilbud av varer eller tjenester til dem, eller hvis atferd monitoreres, befinner seg.

For overføringer som reguleres av britisk personvernlovgivning, Information Commissioner, slik punkt 14 fastsetter. For overføringer som reguleres av FADP, den føderale personvern- og informasjonskommissæren, slik punkt 15 fastsetter, parallelt med myndigheten ovenfor der personvernforordningen også regulerer overføringen.

Tiltakene dataimportøren anvender for å beskytte dataene, som beskrevet i punkt 4, 5, 8 og 9 i denne avtalen:

• TLS for data under overføring og kryptering ved lagring i hele tjenesten
• Tilgang etter prinsippet om minste privilegium, avgrenset etter rolle, gjennom den autentiserte konsollen; personell som er underlagt taushetsplikt
• Tilgangslogging for arbeidsområder som er konfigurert for helsetjenesten, og revisjonslogging av administrative handlinger
• Opptak oppbevares i objektlagring med tilgangskontroll
• Sikker sletting av filer når lagringstiden er utløpt; krypterte sikkerhetskopier etter en dokumentert livssyklus
• Krypterte sikkerhetskopier hver time, med kontroll av gjenoppretting, for kontinuitet og gjenoppretting
• Overvåking av tjenestens programvare og avhengigheter for sårbarheter, med oppdatering
• Endringer leveres gjennom versjonskontroll og en skriptet utrulling med helsesjekker og tilbakerulling
• Passord lagres bare som saltede hasher; kontoer sperres etter gjentatte mislykkede innloggingsforsøk
• Fysisk sikkerhet i datasentrene levert av Google Cloud i henhold til selskapets sertifiseringer
• Herdede endepunkter bak en brannmur for webapplikasjoner med hastighetsbegrensning
• Varsling av brudd på personopplysningssikkerheten til innehaveren uten ugrunnet opphold etter at vi har blitt kjent med bruddet, med opplysninger og oppfølging trinnvis
• Bistand med forespørsler fra registrerte og med innehaverens forpliktelser etter artikkel 32 til 36 i personvernforordningen og de tilsvarende bestemmelsene i UK GDPR og FADP
• Skriftlige avtaler med underdatabehandlere som i det vesentlige inneholder de samme personvernforpliktelsene som denne avtalen

Underdatabehandlerne som er godkjent etter vilkår 9 bokstav a (generell skriftlig tillatelse) og punkt 6, etter funksjon. Endringer følger vilkårene om varsel og protest i punkt 6.

Leverandører som innehaveren selv kobler til – innehaverens egne telefoni- eller meldingskontoer (for eksempel innehaverens egen Twilio-konto eller leverandøren av WhatsApp), innehaverens egen Stripe-konto for betalinger innehaveren tar imot fra sine kunder, og kalender-, CRM-, saksbehandlings- eller butikksystemene innehaveren kobler til – engasjeres av innehaveren direkte i eget navn og er ikke våre underdatabehandlere.

• Google Cloud – skydrift og lagring (primærregion i USA, kantnode i EU i Frankfurt)
• Google – talegjenkjenning, talesyntese, oversettelse og AI-modeller
• OpenAI – AI-modeller, talegjenkjenning og talesyntese
• Anthropic – AI-modeller
• ElevenLabs – talegjenkjenning, talesyntese og egendefinerte stemmer (brukes ikke for arbeidsområder som er konfigurert for helsetjenesten)
• AssemblyAI – talegjenkjenning, der arbeidsområdets taleinnstilling bruker den
• TypeSafe – semantisk ruting av taleturer i samtaler, der arbeidsområdets assistentinnstillinger aktiverer det
• Twilio – telefoni og tekstmeldinger for telefonnumre vi skaffer innehaveren
• Stripe – betalinger for innehaverens egen Concierge-plan og bruk
• Resend – levering av e-post
• Selvdriftet Postal på vår egen infrastruktur – levering av e-post

Der California Consumer Privacy Act eller en annen personvernlov i en amerikansk delstat gjelder for data om besøkende, er innehaveren virksomhet («business») eller behandlingsansvarlig («controller»), og Vavus er innehaverens tjenesteleverandør («service provider»), oppdragstaker («contractor») eller databehandler («processor»), og ordene i dette vedlegget har den betydningen disse lovene gir dem. Innehaveren utleverer data om besøkende til oss bare for det begrensede og spesifiserte formålet å levere Concierge slik denne avtalen og Concierge-vilkårene beskriver.

Vi skal: behandle data om besøkende bare for det formålet og etter innehaverens instrukser, og aldri selge eller dele dem; ikke beholde, bruke eller utlevere dem for noe annet formål, inkludert noe kommersielt formål, eller utenfor vårt direkte forretningsforhold til innehaveren; ikke kombinere dem med personopplysninger vi mottar fra noen andre eller samler inn selv, unntatt slik disse lovene tillater for å levere tjenesten; overholde forpliktelsene disse lovene pålegger tjenesteleverandører, og gi data om besøkende det samme nivået av personvern som lovene krever; informere innehaveren skriftlig dersom vi fastslår at vi ikke lenger kan oppfylle disse forpliktelsene; la innehaveren treffe rimelige og hensiktsmessige tiltak for å kontrollere at vi bruker data om besøkende i samsvar med innehaverens egne forpliktelser, blant annet gjennom punkt 10, og for å stanse og rette opp enhver uautorisert bruk; og varsle innehaveren om nye underdatabehandlere etter punkt 6, noe som oppfyller varselet disse lovene krever. Vi bekrefter at vi forstår disse begrensningene og vil overholde dem.

Forespørsler fra besøkende etter disse lovene går til innehaveren, og vi bistår som beskrevet i punkt 8.

Amerikansk lovgivning tillater offentlige myndigheter å pålegge tjenesteleverandører å utlevere personopplysninger de har, under nærmere angitte omstendigheter (særlig Section 702 i FISA og Executive Order 12333). Før vi godtok disse standardavtalevilkårene, vurderte vi overføringen opp mot denne lovgivningen og praksisen, slik vilkår 14 krever, idet det ble tatt hensyn til de særlige omstendighetene ved overføringen: data til støtte for virksomheten (identifikatorer, samtaleinnhold, bestillingsposter, tekniske øktdata), en kort behandlingskjede (innehaveren, oss og underdatabehandlerne i vedlegg III), vår vurdering av at vi ved å levere Concierge ikke opptrer som leverandør av elektroniske kommunikasjonstjenester for denne trafikken, og de avtalemessige, tekniske og organisatoriske garantiene som er på plass. Vi holder denne vurderingen under løpende gjennomgang, dokumenterer den og gjør den tilgjengelig for vedkommende tilsynsmyndighet på anmodning.

Supplerende tiltak: de tekniske og organisatoriske tiltakene i vedlegg II, dataminimering gjennom innsamling som innehaveren konfigurerer, revisjonsrettighetene i punkt 10 og forpliktelsene vi påtar oss etter vilkår 14 og 15 – å underrette innehaveren om en rettslig bindende anmodning om utlevering der loven tillater det, å søke fritak fra ethvert forbud mot underretning og gi samlet informasjon med jevne mellomrom, å vurdere lovligheten av en anmodning og bestride den der det er rimelig grunn til å anse den som ulovlig, og å utlevere minst mulig informasjon som er tillatt. Hvis vi konkluderer med at vi ikke lenger kan overholde standardavtalevilkårene, vil vi straks underrette innehaveren, og innehaveren kan stanse overføringen slik standardavtalevilkårene fastsetter. Hvis en beslutning om tilstrekkelig beskyttelsesnivå kommer til å omfatte en overføring (for eksempel hvis vi blir sertifisert under EU–US Data Privacy Framework), gjelder standardavtalevilkårene for den overføringen bare i den grad beslutningen om tilstrekkelig beskyttelsesnivå ikke gjør det.

For overføringer fra Storbritannia gjelder vurderingen av overføringsrisiko i punkt 14. For overføringer fra Sveits gjelder denne vurderingen, lest med henvisning til FADP, slik punkt 15 fastsetter.