Umowa powierzenia przetwarzania danych Vavus Concierge

Niniejsza Umowa powierzenia przetwarzania danych („umowa DPA”) zostaje zawarta między DCI Brands LLC („Vavus”, „my”, podmiot przetwarzający), 312 W 2nd Street, Casper, WY 82601, United States, a firmą prowadzącą obszar roboczy Vavus Concierge (klient platformy, administrator). Ma zastosowanie do danych odwiedzających, które Vavus przetwarza na polecenie klienta platformy za pośrednictwem usługi Concierge: konsoli, widżetu witryny, hostowanych stron agenta, kanałów telefonicznych i kanałów wiadomości oraz rezerwacji.

Uzupełnia ona Warunki korzystania z usługi Vavus Concierge, które klient platformy akceptuje łącznie z niniejszą umową DPA. W przypadku sprzeczności między niniejszą umową DPA a Warunkami Concierge w zakresie przetwarzania danych odwiedzających pierwszeństwo ma niniejsza umowa DPA. Została sporządzona w celu spełnienia wymogów art. 28 RODO i brytyjskiego RODO (UK GDPR), art. 9 szwajcarskiej federalnej ustawy o ochronie danych (FADP) oraz porównywalnych zobowiązań podmiotów przetwarzających w innych jurysdykcjach; jeżeli prawo lokalne nakłada na podmioty przetwarzające surowsze obowiązki, mają one pierwszeństwo w odniesieniu do przetwarzania w danej jurysdykcji. Załącznik IV ma zastosowanie dodatkowo, jeżeli dane odwiedzających klienta platformy podlegają przepisom stanowym USA o ochronie prywatności.

Klient platformy jest administratorem danych odwiedzających: decyduje o tym, co robi asystent, jaką wiedzę posiada, które kanały działają i o co pyta się odwiedzających. Vavus jest podmiotem przetwarzającym: działamy wyłącznie na polecenie klienta platformy, wydawane za pośrednictwem konsoli i w ramach zwykłego działania usługi, i przetwarzamy dane odwiedzających wyłącznie w celu świadczenia usługi Concierge.

Niezwłocznie poinformujemy klienta platformy, jeżeli naszym zdaniem polecenie narusza obowiązujące przepisy o ochronie danych, i nie wykonamy polecenia oczywiście niezgodnego z prawem. Jeżeli prawo wymaga przetwarzania wykraczającego poza udokumentowane polecenia, poinformujemy o tym klienta platformy przed rozpoczęciem takiego przetwarzania, chyba że prawo tego zabrania. Nie przetwarzamy danych odwiedzających do własnych celów, nie wykorzystujemy ich do trenowania naszych modeli i ich nie sprzedajemy.

Niniejsza umowa DPA, w tym warunki przekazywania danych określone w sekcjach 7 oraz 13–15, obejmuje klienta platformy, który jest administratorem danych swoich odwiedzających. Nie obejmuje klienta platformy, który przetwarza dane w imieniu innego administratora, ponieważ nie przewiduje modułu trzeciego (przekazywanie między podmiotami przetwarzającymi) Klauzul; taka firma nie może jej zaakceptować w odniesieniu do tych danych.

Klient platformy ponosi odpowiedzialność za zgodność z prawem tego, o co nas prosi. Potwierdza, że posiada podstawę prawną przetwarzania, w tym na podstawie art. 6, 9 i 10 RODO, jeżeli mają one zastosowanie; że przekazał odwiedzającym informacje wymagane przez art. 12–14 i uzyskał wszelkie zgody wymagane przez prawo, w tym na nagrywanie lub tłumaczenie połączenia; oraz że jego polecenia są zgodne z przepisami o ochronie danych. O ile obszar roboczy nie jest skonfigurowany do zastosowań medycznych, klient platformy nie będzie kierować do usługi danych odwiedzających obejmujących numery dokumentów tożsamości wydanych przez organy państwowe, numery kart płatniczych, dane uwierzytelniające do rachunków finansowych, hasła do innych usług, dane biometryczne, dane świadomie zebrane od dzieci poniżej 16. roku życia ani szczególne kategorie danych, takie jak dane dotyczące zdrowia, pochodzenia rasowego lub etnicznego, poglądów politycznych, wyznania lub orientacji seksualnej, i usunie wszelkie takie dane, które trafią do usługi przypadkowo. Klient platformy dba o bezpieczeństwo swoich danych logowania do konsoli, decyduje, kto z jego zespołu ma dostęp, zachowuje własną kopię wszystkiego, na którego utratę nie może sobie pozwolić, i potwierdza, że zapoznał się ze środkami określonymi w sekcji 5 i załączniku II i uznaje je za odpowiednie dla danych, które przetwarza za pośrednictwem Concierge.

Kategorie danych odwiedzających, w zakresie, w jakim zbiera je konfiguracja klienta platformy: identyfikatory podawane przez odwiedzającego (imię i nazwisko, numer telefonu, adres e-mail), treść rozmów (wiadomości, nagrania głosu, transkrypcje oraz wszelkie nagrania prowadzone przez klienta platformy), rejestry kontaktów i rezerwacji tworzone przez asystenta w wyniku działań odwiedzającego, techniczne dane sesji (znaczniki czasu, kanał, język) oraz dane osobowe zawarte w materiałach, które klient platformy przesyła do bazy wiedzy asystenta, lub w próbkach głosu, które klient platformy dostarcza w celu utworzenia głosu niestandardowego.

Osobami, których dane dotyczą, są odwiedzający, klienci, potencjalni klienci i pracownicy klienta platformy, których informacje są przekazywane do usługi. Przetwarzanie obejmuje zbieranie, przesyłanie, porządkowanie, przechowywanie, pobieranie, tłumaczenie, generowanie odpowiedzi, ujawnianie upoważnionemu personelowi i połączonym dostawcom oraz usuwanie. Cel: świadczenie usługi Concierge zgodnie z poleceniami klienta platformy. Czas trwania wynika z obowiązujących ustawień przechowywania i sekcji 9, a nie obejmuje automatycznie całego okresu istnienia obszaru roboczego.

Dostęp mają wyłącznie członkowie personelu, którzy potrzebują go do obsługi lub zabezpieczania usługi, związani zobowiązaniem do zachowania poufności, a w przypadku obszarów roboczych skonfigurowanych do zastosowań medycznych dostęp jest rejestrowany. Nie umieszczamy treści odwiedzających w danych przesyłanych do narzędzi analitycznych, na czatach wsparcia ani w publicznych systemach zgłoszeń.

Usługa działa na naszej własnej infrastrukturze z zastosowaniem środków opisanych na naszej stronie Bezpieczeństwo: TLS podczas przesyłania, szyfrowanie w spoczynku, dostęp oparty na zasadzie najmniejszych uprawnień, rejestrowanie zdarzeń na potrzeby audytu, bezpieczne usuwanie plików po upływie okresu ich przechowywania oraz wzmocnione punkty końcowe chronione zaporą aplikacji internetowych. Nagrania są przechowywane w magazynie obiektów z kontrolą dostępu; dostęp do konsoli wymaga uwierzytelnienia i jest ograniczony rolami. Możemy aktualizować te środki w miarę zmian technologii i zagrożeń, pod warunkiem że ogólny poziom ochrony danych odwiedzających nie zostanie istotnie obniżony.

Korzystamy z dalszych podmiotów przetwarzających według pełnionych funkcji: hosting i przechowywanie danych w chmurze (Google Cloud); rozpoznawanie mowy, synteza mowy, tłumaczenie i modele AI (Google, OpenAI, Anthropic, ElevenLabs i AssemblyAI); semantyczne kierowanie wypowiedzi w rozmowach, jeżeli obszar roboczy to włącza (TypeSafe); telefonia i wiadomości tekstowe dla numerów telefonów, które dostarczamy klientowi platformy (Twilio); płatności za plan i użycie klienta platformy (Stripe); dostarczanie wiadomości e-mail (Resend oraz nasz serwer Postal działający na naszej własnej infrastrukturze); a także – jeżeli klient platformy podłącza systemy telefoniczne, systemy wiadomości, płatności, rezerwacji lub systemy biznesowe – własni dostawcy klienta platformy (np. jego własne konto Twilio, dostawca WhatsApp, jego własne konto Stripe, jego kalendarz lub system CRM), z których klient platformy korzysta bezpośrednio na podstawie własnego umocowania. Załącznik III wymienia z nazwy każdy dalszy podmiot przetwarzający i jego funkcję.

Klient platformy udziela ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających wskazanych w aktualnej liście dostarczonej dla jego usługi. Na podstawie pisemnej umowy nakładamy na każdy dalszy podmiot przetwarzający obowiązki w zakresie ochrony danych równoważne obowiązkom określonym w niniejszej umowie DPA i pozostajemy odpowiedzialni wobec klienta platformy za ich wykonanie. Treści odwiedzających nie mogą być wykorzystywane do trenowania modeli bez odrębnego zgodnego z prawem polecenia i podstawy umownej. Aktualna lista z nazwami stanowi załącznik III i jest również dostępna na żądanie; co najmniej 30 dni przed rozpoczęciem przetwarzania danych odwiedzających przez nowy dalszy podmiot przetwarzający powiadamiamy o tym klienta platformy w konsoli lub pocztą e-mail, a w tym okresie klient platformy może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych. Wówczas współpracujemy z klientem platformy w dobrej wierze w celu rozpatrzenia sprzeciwu; jeżeli nie jest to możliwe, klient platformy może zamknąć obszar roboczy, zanim nowy dalszy podmiot przetwarzający rozpocznie przetwarzanie jego danych, co stanowi jedyny środek przysługujący w związku ze sprzeciwem. Opłaty już wymagalne pozostają należne, a ewentualny zwrot podlega Warunkom Concierge.

Usługa działa w Stanach Zjednoczonych oraz, w celu zmniejszenia opóźnień, w węźle brzegowym w Unii Europejskiej (Frankfurt). Dane odwiedzających mogą być zatem przetwarzane w każdym z tych regionów, zależnie od kierowania sesji. Przed dokonaniem objętego ograniczeniami międzynarodowego przekazania danych strony muszą ustalić właściwy, zgodny z prawem mechanizm przekazywania oraz udokumentować miejsca docelowe i zabezpieczenia. Jeżeli stosowane są standardowe klauzule umowne, właściwe klauzule, moduł, opcje i wypełnione załączniki muszą stanowić część umowy dotyczącej przekazywania danych.

W przypadku przekazywania danych odwiedzających do nas, do Stanów Zjednoczonych, niniejsza umowa DPA stanowi taką umowę dotyczącą przekazywania danych, a klient platformy opiera się na niej bez odrębnego podpisu: w przypadku przekazywania danych podlegającego RODO (z Europejskiego Obszaru Gospodarczego) – na Klauzulach w brzmieniu określonym w sekcji 13 i jej załącznikach; w przypadku przekazywania danych podlegającego brytyjskim przepisom o ochronie danych – na Klauzulach wraz z aneksem w sprawie międzynarodowego przekazywania danych (UK International Data Transfer Addendum) zgodnie z sekcją 14; a w przypadku przekazywania danych podlegającego szwajcarskiej ustawie FADP – na Klauzulach z dostosowaniami szwajcarskimi określonymi w sekcji 15. Każdy z tych zestawów ma zastosowanie do każdego przekazania danych podlegającego danemu prawu, niezależnie od odpowiedzi udzielonej przez klienta platformy w konsoli w odniesieniu do danych ze Zjednoczonego Królestwa lub Szwajcarii. Jeżeli to samo przekazanie danych podlega więcej niż jednemu z tych porządków prawnych, każdy zestaw warunków ma zastosowanie w zakresie własnego prawa i żaden nie obniża ochrony zapewnianej przez inny.

Przekazywanie danych podlegające przepisom o przekazywaniu danych jakiegokolwiek innego państwa wymaga mechanizmu przewidzianego przez to prawo; przed włączeniem przetwarzania, które go wymaga, prosimy o kontakt z nami. Nie posiadamy certyfikacji w ramach EU-US Data Privacy Framework, jego rozszerzenia dla Zjednoczonego Królestwa (UK Extension) ani Swiss-US Data Privacy Framework, a żadne przekazanie danych na podstawie niniejszej umowy DPA się na nich nie opiera.

Odwiedzający są klientami klienta platformy: żądania odwiedzającego dotyczące jego danych (dostęp, sprostowanie, usunięcie, sprzeciw) kierowane są do klienta platformy jako administratora, a klient platformy odpowiada na nie, korzystając z funkcji usuwania danych poszczególnych kontaktów w konsoli. Uwzględniając charakter przetwarzania, pomagamy za pomocą odpowiednich środków technicznych i organizacyjnych w realizacji żądań na podstawie rozdziału III RODO oraz równoważnych praw na podstawie brytyjskiego RODO (UK GDPR) i ustawy FADP. Uwzględniając dostępne nam informacje, pomagamy również w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych oraz uprzednich konsultacji z organami nadzorczymi na podstawie art. 32–36 RODO i równoważnych przepisów brytyjskiego RODO (UK GDPR) i ustawy FADP. Pomoc wykraczająca poza to, co usługa już zapewnia, na przykład zestawienie dokumentacji na potrzeby oceny skutków dla ochrony danych, może być odpłatna według obowiązujących w danym momencie stawek za usługi profesjonalne, przedstawionych klientowi platformy z góry.

Jeżeli dowiemy się o incydencie bezpieczeństwa dotyczącym danych odwiedzających w obszarze roboczym, powiadamiamy klienta platformy bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych. Nie czekamy na zakończenie dochodzenia i nie traktujemy terminu na zgłoszenie przez administratora organowi nadzorczemu jako naszego terminu na powiadomienie. Przekazujemy dostępne informacje o naruszeniu, danych i osobach, których dotyczy, prawdopodobnych konsekwencjach, punkcie kontaktowym i środkach zaradczych, a dalsze informacje przekazujemy etapami, w miarę ich uzyskiwania. Klient platformy, jako administrator, dokonuje wszelkich zawiadomień własnych odwiedzających lub organów nadzorczych.

Nieudane próby, które nie naruszają bezpieczeństwa danych odwiedzających, takie jak zablokowane próby logowania, skanowania lub pingi, nie stanowią incydentów i nie są zgłaszane. Powiadomienie nie stanowi przyznania się do winy ani odpowiedzialności. W zakresie dozwolonym przez prawo klient platformy informuje nas, zanim wskaże Vavus w zawiadomieniu o incydencie kierowanym do organu nadzorczego, odwiedzających lub opinii publicznej, i rozważa w dobrej wierze każdą poprawkę, o którą poprosimy w odniesieniu do naszej roli w incydencie.

Usunięcie obszaru roboczego powoduje usunięcie jego konfiguracji i materiałów rozmów, w tym nagrań z magazynu obiektów, z zastrzeżeniem wygasania zaszyfrowanych kopii zapasowych zgodnie z naszą polityką cyklu życia oraz dokumentacji, której przechowywania wymaga od nas prawo (dokumentacja rozliczeniowa przez ustawowy okres wynikający z przepisów podatkowych). Usunięcie danych kontaktu powoduje usunięcie materiałów rozmów tego kontaktu. Po rozwiązaniu, według wyboru klienta platformy, zwracamy pozostałe dane osobowe w formacie nadającym się do użytku lub je usuwamy oraz usuwamy istniejące kopie, chyba że obowiązujące prawo wymaga ich przechowywania. Żądanie zwrotu musi poprzedzać nieodwracalne polecenie usunięcia. Zachowane kopie zapasowe pozostają chronione, nie są wykorzystywane do zwykłego przetwarzania i są usuwane zgodnie z obowiązującym udokumentowanym cyklem życia; w razie ich przywrócenia polecenia usunięcia muszą zostać zastosowane ponownie.

Jeżeli klient platformy nie wyda żadnego polecenia w ciągu 30 dni od zakończenia istnienia obszaru roboczego, usuwamy pozostałe dane osobowe. Na żądanie potwierdzamy usunięcie na piśmie.

Udostępniamy informacje niezbędne do wykazania przestrzegania niniejszej umowy DPA oraz umożliwiamy przeprowadzanie audytów, w tym inspekcji, przez klienta platformy lub upoważnionego przez niego niezależnego audytora i przyczyniamy się do nich. Prawa te przysługują każdemu klientowi platformy i nie są uzależnione od subskrypcji Enterprise.

Audyty rozpoczynają się od dokumentów. Na żądanie przekazujemy naszą dokumentację bezpieczeństwa, środki określone w załączniku II oraz odpowiedzi na uzasadniony kwestionariusz bezpieczeństwa, a jeżeli aktualny raport niezależnego audytora obejmuje dane mechanizmy kontroli, przekazujemy ten raport zamiast przeprowadzania nowego audytu w tym zakresie. Jeżeli dokumenty są rzeczywiście niewystarczające, po potwierdzonym naruszeniu dotyczącym danych klienta platformy lub gdy wymaga tego organ nadzorczy, klient platformy może przeprowadzić inspekcję: raz na każde 12 miesięcy, chyba że naruszenie lub organ nadzorczy wymaga częstszych inspekcji, za 30-dniowym pisemnym uprzedzeniem z proponowanym zakresem, w godzinach pracy, na podstawie umowy o zachowaniu poufności, bez dostępu do danych innych klientów i z udziałem audytora, który nie jest naszym konkurentem. Audyty są przeprowadzane na koszt klienta platformy, a klient platformy przekazuje nam swoje ustalenia. Żadne z powyższych postanowień nie stoi na przeszkodzie inspekcji, której zgodnie z prawem wymaga organ nadzorczy.

Niniejsza umowa DPA obowiązuje, dopóki istnieje obszar roboczy klienta platformy, i wygasa z chwilą jego usunięcia, a wynikające z niej obowiązki w zakresie ochrony danych obowiązują tak długo, jak my lub nasze dalsze podmioty przetwarzające przechowujemy dane osobowe odwiedzających. Postanowienia Warunków Concierge dotyczące sporów, odpowiedzialności i prawa właściwego mają zastosowanie wyłącznie w zakresie, w jakim nie ograniczają bezwzględnie obowiązujących praw w zakresie ochrony danych, uprawnień organów nadzorczych ani obowiązującej umowy dotyczącej przekazywania danych; w razie sprzeczności pierwszeństwo ma ta umowa.

Sprawy dotyczące ochrony danych, list dalszych podmiotów przetwarzających, standardowych klauzul umownych, brytyjskiego aneksu (UK Addendum) i dostosowań szwajcarskich: support@vavusai.com.

W przypadku przekazywania danych osobowych odwiedzających z Europejskiego Obszaru Gospodarczego do nas, do Stanów Zjednoczonych, niniejsza umowa DPA włącza standardowe klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich, przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. („Klauzule”), w module drugim (przekazywanie przez administratora podmiotowi przetwarzającemu), uzupełnione o poniższe załączniki. W przypadku przekazywania danych podlegającego RODO Klauzule są włączane bez zmian; sekcje 14 i 15 określają, w jaki sposób te same Klauzule mają zastosowanie do przekazywania danych podlegającego prawu brytyjskiemu i szwajcarskiemu. Zostają one zawarte poprzez zarejestrowaną akceptację Warunków Concierge wraz z niniejszą umową DPA przez klienta platformy: wersja i znacznik czasu tej akceptacji rejestrowane przez usługę, wraz z opublikowaniem przez nas niniejszej umowy DPA w tej wersji, stanowią pisemne porozumienie stron co do Klauzul, w związku z czym odrębny podpis nie jest wymagany.

Warianty przewidziane w Klauzulach stosuje się w następujący sposób. Nieobowiązkowa klauzula przystąpienia (klauzula 7) nie jest stosowana. Klauzula 9 lit. a) działa w wariancie ogólnej pisemnej zgody: system dalszych podmiotów przetwarzających określony w sekcji 6 stanowi uzgodnioną zgodę, a określony w niej 30-dniowy termin uprzedniego powiadomienia wypełnia okres powiadomienia przewidziany w tej klauzuli. Fakultatywny niezależny organ rozstrzygania sporów przewidziany w klauzuli 11 lit. a) nie jest oferowany. Właściwy organ nadzorczy na podstawie klauzuli 13 ustala się według kryteriów klauzuli 13 lit. a), zgodnie z załącznikiem I.C. Zgodnie z klauzulą 17 Klauzule podlegają prawu państwa członkowskiego, w którym klient platformy ma siedzibę, lub – jeżeli klient platformy nie ma siedziby w państwie członkowskim albo prawo to nie przewiduje praw osób trzecich jako beneficjentów – prawu Irlandii; zgodnie z klauzulą 18 lit. b) jurysdykcję mają sądy tego państwa członkowskiego lub, w tym drugim przypadku, sądy Irlandii, a zgodnie z klauzulą 18 lit. c) osoba, której dane dotyczą, może również wszcząć postępowanie w państwie członkowskim, w którym ma miejsce zwykłego pobytu. W Klauzulach stosowanych na podstawie niniejszej sekcji pojęcie państw członkowskich obejmuje państwa Europejskiego Obszaru Gospodarczego, które nie są członkami Unii Europejskiej.

W przypadku sprzeczności między Klauzulami a niniejszą umową DPA pierwszeństwo mają Klauzule w zakresie tej sprzeczności, zgodnie z sekcją 11. Zgodnie z klauzulą 8.3 (moduł drugi) klient platformy udostępnia Klauzule, w tym niniejsze załączniki, osobie, której dane dotyczą, na jej żądanie; aby to umożliwić, na żądanie dostarczamy ich tekst.

W przypadku przekazywania danych osobowych odwiedzających, do którego mają zastosowanie brytyjskie przepisy o ochronie danych (przekazania objęte ograniczeniami – Restricted Transfers – na podstawie brytyjskiego RODO), niniejsza umowa DPA włącza aneks w sprawie międzynarodowego przekazywania danych do standardowych klauzul umownych Komisji UE (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), wydany przez Information Commissioner na podstawie sekcji 119A ust. 1 Data Protection Act 2018, w wersji B1.0 obowiązującej od 21 marca 2022 r. („Aneks”), uzupełniony o tabele zawarte w niniejszej sekcji. Ma on zastosowanie do każdego takiego przekazania, niezależnie od odpowiedzi udzielonej przez klienta platformy w konsoli w odniesieniu do danych ze Zjednoczonego Królestwa. Zgodnie z sekcją 2 Aneksu strony zawierają go poprzez zarejestrowaną akceptację niniejszej umowy DPA w tej wersji przez klienta platformy oraz opublikowanie przez nas niniejszej umowy DPA w tej wersji, co czyni go prawnie wiążącym dla obu stron i umożliwia osobom, których dane dotyczą, dochodzenie przysługujących im na jego podstawie praw; odrębny podpis nie jest wymagany.

Tabela 1 – Strony. Data rozpoczęcia: data zarejestrowania w konsoli akceptacji tej wersji przez klienta platformy. Podmiot przekazujący dane: klient platformy, którego pełna nazwa prawna, nazwa handlowa, adres głównej siedziby, urzędowy numer rejestracyjny i główna osoba kontaktowa (imię i nazwisko oraz funkcja osoby akceptującej, a także adres e-mail do kontaktu w sprawach prywatności w firmie) są rejestrowane wraz z jego akceptacją w konsoli. Podmiot odbierający dane: DCI Brands LLC, działająca pod nazwą handlową Vavus; adres głównej siedziby 312 W 2nd Street, Casper, WY 82601, United States; urzędowy numer rejestracyjny: numer zgłoszenia u Wyoming Secretary of State 2017-000762309; główna osoba kontaktowa: Dragos Ignat, właściciel i założyciel, support@vavusai.com. Podpis: niewymagany, zgodnie z powyższym.

Tabela 2 – Wybrane standardowe klauzule umowne, moduły i wybrane klauzule. Zatwierdzone standardowe klauzule umowne UE (Approved EU SCCs), w tym informacje zawarte w dodatku (Appendix Information), przy czym na potrzeby Aneksu wchodzą w życie wyłącznie następujące moduły, klauzule i postanowienia fakultatywne: stosowany jest moduł 2 (przekazywanie przez administratora podmiotowi przetwarzającemu), a moduły 1, 3 i 4 nie są stosowane; klauzula 7 (klauzula przystąpienia) nie jest stosowana; wariant przewidziany w klauzuli 11 (niezależny organ rozstrzygania sporów) nie jest stosowany; klauzula 9 lit. a) działa w wariancie ogólnej pisemnej zgody, z 30-dniowym terminem uprzedniego powiadomienia.

Tabela 3 – Informacje zawarte w dodatku. Załącznik 1A (Wykaz stron): załącznik I.A do niniejszej umowy DPA. Załącznik 1B (Opis przekazania): załącznik I.B do niniejszej umowy DPA. Załącznik II (środki techniczne i organizacyjne, w tym środki zapewniające bezpieczeństwo danych): załącznik II do niniejszej umowy DPA. Załącznik III (Wykaz dalszych podmiotów przetwarzających): załącznik III do niniejszej umowy DPA.

Tabela 4 – Rozwiązanie niniejszego Aneksu w przypadku zmiany zatwierdzonego Aneksu. Strony uprawnione do rozwiązania niniejszego Aneksu zgodnie z sekcją 19 Aneksu: żadna ze stron. Gdy Information Commissioner wyda zmieniony zatwierdzony Aneks (Approved Addendum) na podstawie sekcji 18 Aneksu, niniejszy Aneks ulega zmianie w sposób określony w tej zmianie, od wskazanej w niej daty rozpoczęcia.

Klauzule obowiązkowe: część 2: klauzule obowiązkowe (Mandatory Clauses) zatwierdzonego Aneksu, stanowiącego wzór Aneksu B.1.0 wydany przez ICO i przedłożony Parlamentowi zgodnie z sekcją 119A Data Protection Act 2018 w dniu 2 lutego 2022 r., ze zmianami wprowadzanymi na podstawie sekcji 18 tych klauzul obowiązkowych. Zgodnie z tymi klauzulami obowiązkowymi Aneks podlega prawu Anglii i Walii, spory są rozstrzygane przez sądy Anglii i Walii, osoba, której dane dotyczą, może również wszcząć postępowanie przeciwko każdej ze stron przed sądami dowolnej części Zjednoczonego Królestwa, a organem nadzorczym jest Information Commissioner. Na żądanie dostarczamy tekst Aneksu.

Brytyjska ocena ryzyka przekazania danych. W odniesieniu do przekazania danych do nas, do Stanów Zjednoczonych, klient platformy jako podmiot przekazujący dane opiera się – w zakresie oceny prawa i praktyki Stanów Zjednoczonych dotyczących dostępu organów publicznych do danych osobowych oraz wykonalności Aneksu – na analizie odpowiednich przepisów i praktyk Stanów Zjednoczonych przygotowanej przez rząd Zjednoczonego Królestwa w Department for Science, Innovation and Technology, na co zezwalają wytyczne Information Commissioner dotyczące przeprowadzania oceny ryzyka przekazania danych do Stanów Zjednoczonych, w tym w przypadku odbiorcy nieposiadającego certyfikacji w ramach brytyjskiego rozszerzenia (UK Extension) EU-US Data Privacy Framework. Zgodnie z tą analizą ochrona przekazywanych danych, przy zastosowaniu Aneksu, nie jest istotnie niższa niż na podstawie brytyjskich przepisów o ochronie danych. Nie posiadamy certyfikacji w ramach tego systemu, a niniejsza ocena nie opiera się na certyfikacji. Obejmuje ona przekazanie danych opisane w załączniku I.B, wraz z dalszymi przekazaniami określonymi w załączniku III, zabezpieczeniami określonymi w załączniku II oraz podsumowaniem oceny skutków przekazania danych. Bez zbędnej zwłoki poinformujemy klienta platformy, jeżeli rząd Zjednoczonego Królestwa wycofa tę analizę lub istotnie ją zmieni albo jeżeli nie będziemy już w stanie przestrzegać Aneksu, a strony dokonają wówczas przeglądu niniejszej oceny.

W przypadku przekazywania danych osobowych odwiedzających, do którego ma zastosowanie szwajcarska federalna ustawa o ochronie danych z dnia 25 września 2020 r. (FADP), Klauzule włączone na podstawie sekcji 13 mają zastosowanie jako standardowe klauzule ochrony danych uznane przez Federalnego Komisarza ds. Ochrony Danych i Informacji (FDPIC) na podstawie art. 16 ust. 2 lit. d FADP, z poniższymi dostosowaniami. Mają one zastosowanie do każdego takiego przekazania, niezależnie od odpowiedzi udzielonej przez klienta platformy w konsoli w odniesieniu do danych ze Szwajcarii. Jeżeli przekazanie danych podlega zarówno ustawie FADP, jak i RODO, strony utrzymują odrębne ustalenia: niniejsze dostosowania mają zastosowanie wyłącznie w zakresie, w jakim przekazanie podlega ustawie FADP, a sekcja 13 nadal ma zastosowanie bez zmian w zakresie, w jakim przekazanie podlega RODO.

• Odesłania do rozporządzenia (UE) 2016/679 należy rozumieć jako odesłania do ustawy FADP, w zakresie, w jakim przekazanie danych podlega ustawie FADP.
• FDPIC jest właściwym organem nadzorczym na podstawie klauzuli 13 i załącznika I.C w odniesieniu do przekazywania danych podlegającego ustawie FADP; jeżeli przekazanie podlega również RODO, organ ustalony na podstawie klauzuli 13 lit. a) pozostaje równolegle właściwy w odniesieniu do tej części.
• W przypadku przekazywania danych podlegającego wyłącznie ustawie FADP Klauzule podlegają prawu szwajcarskiemu na podstawie klauzuli 17, a spory między stronami na podstawie klauzuli 18 lit. b) są rozstrzygane przez sądy Szwajcarii właściwe dla siedziby statutowej klienta platformy.
• Pojęcia „państwo członkowskie” w Klauzulach nie można interpretować w sposób wyłączający możliwość dochodzenia przez osoby, których dane dotyczą, przebywające w Szwajcarii, swoich praw w miejscu ich zwykłego pobytu, tj. w Szwajcarii, na podstawie klauzuli 18 lit. c).
• Podsumowanie oceny skutków przekazania danych ma zastosowanie do tych przekazań i należy je odczytywać w odniesieniu do ustawy FADP. Nie posiadamy certyfikacji w ramach Swiss-US Data Privacy Framework, w związku z czym uznanie Stanów Zjednoczonych przez Radę Federalną w odniesieniu do certyfikowanych przedsiębiorstw nie obejmuje przekazywania danych do nas. Ustawa FADP nie wymaga zgłaszania FDPIC stosowania tych klauzul.

Podmiot przekazujący dane: klient platformy, administrator danych odwiedzających, mający siedzibę w państwie zarejestrowanym dla obszaru roboczego w konsoli, którym może być państwo członkowskie Europejskiego Obszaru Gospodarczego, Zjednoczone Królestwo, Szwajcaria lub inne państwo; jeżeli klient platformy mający siedzibę w innym państwie podlega w zakresie przetwarzania danych odwiedzających RODO, brytyjskim przepisom o ochronie danych lub ustawie FADP, jest on podmiotem przekazującym dane w odniesieniu do przekazań podlegających temu prawu. Jego działalność związana z przekazywaniem danych polega na prowadzeniu przedsiębiorstwa i kierowaniu obszarem roboczym Concierge za pośrednictwem konsoli. Jego pełna nazwa prawna, nazwa handlowa, adres, numer rejestracyjny, adres e-mail do kontaktu w sprawach prywatności oraz imię i nazwisko i funkcja osoby, która dokonała akceptacji w jego imieniu, to dane zarejestrowane wraz z jego akceptacją w konsoli. Rola: administrator.

Podmiot odbierający dane: DCI Brands LLC („Vavus”, podmiot przetwarzający), 312 W 2nd Street, Casper, WY 82601, United States (numer zgłoszenia u Wyoming Secretary of State 2017-000762309); działalność związana z przekazywaniem danych: świadczenie usługi Concierge na podstawie niniejszej umowy DPA; kontakt w sprawach ochrony danych: support@vavusai.com. Rola: podmiot przetwarzający.

Podpis i data: w przypadku podmiotu przekazującego dane – jego akceptacja niniejszej umowy DPA zarejestrowana w konsoli (wersja, data i godzina oraz osoba dokonująca akceptacji); w przypadku podmiotu odbierającego dane – opublikowanie przez nas niniejszej umowy DPA w tej wersji, zgodnie z sekcją 13.

Kategorie osób, których dane dotyczą: odwiedzający, klienci, potencjalni klienci i pracownicy klienta platformy, których informacje są przekazywane do usługi.

Kategorie danych osobowych: identyfikatory podawane przez odwiedzającego (imię i nazwisko, numer telefonu, adres e-mail), treść rozmów (wiadomości, nagrania głosu, transkrypcje oraz wszelkie nagrania prowadzone przez klienta platformy), rejestry kontaktów i rezerwacji tworzone przez asystenta w wyniku działań odwiedzającego, techniczne dane sesji (znaczniki czasu, kanał, język) oraz dane osobowe zawarte w materiałach, które klient platformy przesyła do bazy wiedzy asystenta, lub w próbkach głosu, które klient platformy dostarcza w celu utworzenia głosu niestandardowego.

Dane wrażliwe: usługa standardowo nie zbiera danych szczególnych kategorii. Jeżeli konfiguracja klienta platformy sprawia, że można przewidzieć przetwarzanie informacji o zdrowiu (obszary robocze skonfigurowane do zastosowań medycznych), dostęp jest ograniczony do personelu, który go potrzebuje, i rejestrowany, a klient platformy pozostaje odpowiedzialny za zapewnienie, że ich zbieranie opiera się na jego własnej podstawie prawnej i jego poleceniach.

Częstotliwość i czas trwania: w sposób ciągły, przez okres istnienia obszaru roboczego, w miarę odbywania się sesji, rezerwacji i korzystania z konsoli; przechowywanie podlega sekcjom 3 i 9. Charakter i cel: zbieranie, przesyłanie, porządkowanie, przechowywanie, pobieranie, tłumaczenie, generowanie odpowiedzi, ujawnianie upoważnionemu personelowi i dalszym podmiotom przetwarzającym wymienionym w załączniku III oraz usuwanie, w celu świadczenia usługi Concierge zgodnie z poleceniami klienta platformy. Dalsze przekazania są ograniczone do klauzuli 9, sekcji 6 i wykazu w załączniku III.

W przypadku przekazywania danych podlegającego RODO właściwy organ nadzorczy ustala się na podstawie klauzuli 13 lit. a): jeżeli klient platformy (jako podmiot przekazujący dane) ma siedzibę w państwie członkowskim – organ nadzorczy odpowiedzialny za zapewnienie przestrzegania przez klienta platformy RODO w odniesieniu do przekazania danych; jeżeli klient platformy nie ma siedziby w państwie członkowskim, ale podlega art. 3 ust. 2 RODO i wyznaczył przedstawiciela na podstawie art. 27 ust. 1 – organ nadzorczy państwa członkowskiego, w którym ma siedzibę ten przedstawiciel; a jeżeli klient platformy nie ma siedziby w państwie członkowskim, podlega art. 3 ust. 2 i nie jest zobowiązany do wyznaczenia przedstawiciela na podstawie art. 27 ust. 2 – organ nadzorczy jednego z państw członkowskich, w którym znajdują się osoby, których dane osobowe są przekazywane w związku z oferowaniem im towarów lub usług lub których zachowanie jest monitorowane.

W przypadku przekazywania danych podlegającego brytyjskim przepisom o ochronie danych – Information Commissioner, zgodnie z sekcją 14. W przypadku przekazywania danych podlegającego ustawie FADP – Federalny Komisarz ds. Ochrony Danych i Informacji, zgodnie z sekcją 15, równolegle z powyższym organem, jeżeli przekazanie podlega również RODO.

Środki stosowane przez podmiot odbierający dane w celu zabezpieczenia danych, opisane w sekcjach 4, 5, 8 i 9 niniejszej umowy DPA:

• TLS dla danych przesyłanych oraz szyfrowanie w spoczynku w całej usłudze
• Dostęp oparty na zasadzie najmniejszych uprawnień i ograniczony rolami, za pośrednictwem konsoli wymagającej uwierzytelnienia; personel związany zobowiązaniami do zachowania poufności
• Rejestrowanie dostępu w obszarach roboczych skonfigurowanych do zastosowań medycznych oraz rejestrowanie działań administracyjnych na potrzeby audytu
• Nagrania przechowywane w magazynie obiektów z kontrolą dostępu
• Bezpieczne usuwanie plików po upływie okresu ich przechowywania; zaszyfrowane kopie zapasowe objęte udokumentowanym cyklem życia
• Zaszyfrowane cogodzinne kopie zapasowe, ze sprawdzaniem możliwości przywrócenia, na potrzeby ciągłości działania i odtwarzania
• Monitorowanie oprogramowania usługi i jego zależności pod kątem podatności, wraz z instalowaniem poprawek
• Zmiany wdrażane za pośrednictwem systemu kontroli wersji i skryptowego procesu wdrażania z kontrolą stanu i możliwością wycofania
• Hasła przechowywane wyłącznie w postaci skrótów z solą; blokowanie kont po wielokrotnych nieudanych próbach logowania
• Fizyczne bezpieczeństwo centrów danych zapewniane przez Google Cloud w ramach posiadanych przez nie certyfikacji
• Wzmocnione punkty końcowe chronione zaporą aplikacji internetowych z ograniczaniem liczby żądań
• Powiadamianie klienta platformy o naruszeniach ochrony danych osobowych bez zbędnej zwłoki po ich stwierdzeniu, wraz ze szczegółami i dalszymi informacjami przekazywanymi etapami
• Pomoc w realizacji żądań osób, których dane dotyczą, oraz w wywiązywaniu się przez klienta platformy z obowiązków wynikających z art. 32–36 RODO i równoważnych przepisów brytyjskiego RODO (UK GDPR) i ustawy FADP
• Pisemne umowy z dalszymi podmiotami przetwarzającymi nakładające co do istoty te same obowiązki w zakresie ochrony danych co niniejsza umowa DPA

Dalsze podmioty przetwarzające zatwierdzone na podstawie klauzuli 9 lit. a) (ogólna pisemna zgoda) i sekcji 6, według pełnionych funkcji. Zmiany podlegają określonym w sekcji 6 warunkom dotyczącym powiadamiania i sprzeciwu.

Dostawcy, których klient platformy podłącza samodzielnie – jego własne konta telefoniczne lub konta do przesyłania wiadomości (np. jego własne konto Twilio lub dostawca WhatsApp), jego własne konto Stripe do płatności pobieranych od jego klientów oraz podłączane przez niego systemy kalendarza, CRM, obsługi zgłoszeń lub sklepu – są angażowani przez klienta platformy bezpośrednio na podstawie jego własnego umocowania i nie są naszymi dalszymi podmiotami przetwarzającymi.

• Google Cloud – hosting i przechowywanie danych w chmurze (region główny w Stanach Zjednoczonych, węzeł brzegowy UE we Frankfurcie)
• Google – rozpoznawanie mowy, synteza mowy, tłumaczenie i modele AI
• OpenAI – modele AI, rozpoznawanie mowy i synteza mowy
• Anthropic – modele AI
• ElevenLabs – rozpoznawanie mowy, synteza mowy i głosy niestandardowe (niewykorzystywany w obszarach roboczych skonfigurowanych do zastosowań medycznych)
• AssemblyAI – rozpoznawanie mowy, jeżeli korzysta z niego ustawienie mowy obszaru roboczego
• TypeSafe – semantyczne kierowanie wypowiedzi w rozmowach, jeżeli włączają je ustawienia asystenta obszaru roboczego
• Twilio – telefonia i wiadomości tekstowe dla numerów telefonów, które dostarczamy klientowi platformy
• Stripe – płatności za własny plan Concierge i użycie klienta platformy
• Resend – dostarczanie wiadomości e-mail
• Postal działający na naszej własnej infrastrukturze – dostarczanie wiadomości e-mail

Jeżeli do danych odwiedzających ma zastosowanie California Consumer Privacy Act lub inna ustawa stanowa USA o ochronie prywatności, klient platformy jest przedsiębiorstwem (business) lub administratorem (controller), a Vavus jest jego usługodawcą (service provider), wykonawcą (contractor) lub podmiotem przetwarzającym (processor), a pojęcia użyte w niniejszym załączniku mają znaczenie nadane im przez te przepisy. Klient platformy ujawnia nam dane odwiedzających wyłącznie w ograniczonym i określonym celu świadczenia usługi Concierge zgodnie z opisem w niniejszej umowie DPA i Warunkach Concierge.

Zobowiązujemy się: przetwarzać dane odwiedzających wyłącznie w tym celu i zgodnie z poleceniami klienta platformy oraz nigdy ich nie sprzedawać ani nie udostępniać; nie przechowywać, nie wykorzystywać ani nie ujawniać ich w żadnym innym celu, w tym w jakimkolwiek celu komercyjnym, ani poza naszą bezpośrednią relacją biznesową z klientem platformy; nie łączyć ich z danymi osobowymi, które otrzymujemy od kogokolwiek innego lub zbieramy sami, z wyjątkiem przypadków dozwolonych przez te przepisy w celu świadczenia usługi; wykonywać obowiązki, które te przepisy nakładają na usługodawców, i zapewniać danym odwiedzających taki sam poziom ochrony prywatności, jakiego wymagają; poinformować klienta platformy na piśmie, jeżeli uznamy, że nie jesteśmy już w stanie wywiązywać się z tych obowiązków; umożliwić klientowi platformy podejmowanie uzasadnionych i odpowiednich kroków w celu sprawdzenia, czy wykorzystujemy dane odwiedzających w sposób zgodny z jego własnymi obowiązkami, w tym na podstawie sekcji 10, oraz w celu powstrzymania i naprawienia wszelkiego nieuprawnionego wykorzystania; a także powiadamiać klienta platformy o nowych dalszych podmiotach przetwarzających zgodnie z sekcją 6, co spełnia wymóg powiadomienia przewidziany w tych przepisach. Poświadczamy, że rozumiemy te ograniczenia i będziemy ich przestrzegać.

Żądania odwiedzających na podstawie tych przepisów kierowane są do klienta platformy, a my udzielamy pomocy zgodnie z opisem w sekcji 8.

Prawo Stanów Zjednoczonych zezwala organom publicznym, w określonych okolicznościach, na żądanie ujawnienia danych osobowych przechowywanych przez usługodawców (w szczególności na podstawie sekcji 702 ustawy FISA i dekretu wykonawczego (Executive Order) 12333). Przed wyrażeniem zgody na niniejsze Klauzule oceniliśmy przekazanie danych w świetle tych przepisów i praktyk, zgodnie z wymogami klauzuli 14, uwzględniając szczególne okoliczności przekazania: dane służące obsłudze działalności (identyfikatory, treść rozmów, rejestry rezerwacji, techniczne dane sesji), krótki łańcuch przetwarzania (klient platformy, my i dalsze podmioty przetwarzające wymienione w załączniku III), naszą ocenę, zgodnie z którą świadcząc usługę Concierge, nie działamy w odniesieniu do tego ruchu jako dostawca usług łączności elektronicznej (electronic communication service provider), oraz stosowane zabezpieczenia umowne, techniczne i organizacyjne. Na bieżąco weryfikujemy tę ocenę, dokumentujemy ją i udostępniamy ją na żądanie właściwemu organowi nadzorczemu.

Środki uzupełniające: środki techniczne i organizacyjne określone w załączniku II, minimalizacja danych dzięki zbieraniu konfigurowanemu przez klienta platformy, prawa do audytu określone w sekcji 10 oraz obowiązki, które przyjmujemy na podstawie klauzul 14 i 15 – powiadamianie klienta platformy o prawnie wiążącym żądaniu ujawnienia danych, jeżeli prawo na to zezwala, dążenie do uchylenia wszelkiego zakazu powiadamiania i przekazywanie w regularnych odstępach czasu informacji zbiorczych, badanie legalności żądania i jego zaskarżanie, jeżeli istnieją uzasadnione podstawy, by uznać je za niezgodne z prawem, oraz ujawnianie minimalnego dopuszczalnego zakresu informacji. Jeżeli uznamy, że nie jesteśmy już w stanie przestrzegać Klauzul, niezwłocznie powiadomimy o tym klienta platformy, a klient platformy może zawiesić przekazywanie danych zgodnie z Klauzulami. Jeżeli decyzja stwierdzająca odpowiedni stopień ochrony zacznie obejmować przekazanie danych (na przykład jeżeli uzyskamy certyfikację w ramach EU-US Data Privacy Framework), Klauzule mają zastosowanie do tego przekazania wyłącznie w zakresie, w jakim nie obejmuje go ta decyzja.

W przypadku przekazywania danych ze Zjednoczonego Królestwa zastosowanie ma ocena ryzyka przekazania danych określona w sekcji 14. W przypadku przekazywania danych ze Szwajcarii zastosowanie ma niniejsza ocena, odczytywana w odniesieniu do ustawy FADP, zgodnie z sekcją 15.