Acordul privind prelucrarea datelor Vavus Concierge

Prezentul Acord privind prelucrarea datelor („DPA”) se încheie între DCI Brands LLC („Vavus”, „noi”, persoana împuternicită de operator), 312 W 2nd Street, Casper, WY 82601, United States, și afacerea care operează un spațiu de lucru Vavus Concierge (titularul, operatorul). Acesta se aplică datelor vizitatorilor pe care Vavus le prelucrează conform instrucțiunilor titularului prin intermediul serviciului Concierge: consola, widgetul pentru site-ul web, paginile găzduite ale agentului, canalele de telefonie și de mesagerie și rezervările.

Acesta completează Termenii serviciului Vavus Concierge, pe care titularul îi acceptă împreună cu prezentul DPA. Atunci când prezentul DPA intră în conflict cu Termenii Concierge în privința prelucrării datelor vizitatorilor, prezentul DPA prevalează. Acesta este redactat pentru a îndeplini cerințele articolului 28 din RGPD și din RGPD al Regatului Unit (UK GDPR), ale articolului 9 din Legea federală elvețiană privind protecția datelor (FADP) și angajamentele comparabile ale persoanelor împuternicite de operator din alte jurisdicții; atunci când legislația locală impune obligații mai stricte persoanelor împuternicite de operator, acestea prevalează pentru prelucrarea din jurisdicția respectivă. Anexa IV se aplică în plus atunci când datele vizitatorilor titularului sunt guvernate de o lege statală din Statele Unite privind confidențialitatea.

Titularul este operatorul datelor vizitatorilor: el decide ce face asistentul, ce cunoștințe deține, ce canale funcționează și ce li se cere vizitatorilor. Vavus este persoana împuternicită de operator: acționăm numai conform instrucțiunilor titularului, date prin consolă și prin funcționarea normală a serviciului, și prelucrăm datele vizitatorilor exclusiv pentru a furniza Concierge.

Vom informa imediat titularul dacă, în opinia noastră, o instrucțiune încalcă legislația aplicabilă privind protecția datelor și nu vom da curs unei instrucțiuni vădit ilegale. Dacă legea impune o prelucrare în afara instrucțiunilor documentate, vom informa titularul înainte de acea prelucrare, cu excepția cazului în care legea interzice acest lucru. Nu prelucrăm datele vizitatorilor în scopuri proprii, nu le folosim pentru antrenarea modelelor noastre și nu le vindem.

Prezentul DPA, inclusiv clauzele de transfer din Secțiunile 7 și 13 până la 15, acoperă un titular care este operatorul datelor vizitatorilor săi. Acesta nu acoperă un titular care prelucrează datele în numele unui alt operator, deoarece nu oferă Modulul trei (de la persoana împuternicită de operator la persoana împuternicită de operator) al Clauzelor; o astfel de afacere nu îl poate accepta pentru acele date.

Titularul este responsabil pentru legalitatea a ceea ce ne cere să facem. El confirmă că are un temei legal pentru prelucrare, inclusiv în temeiul articolelor 6, 9 și 10 din RGPD, atunci când acestea se aplică; că le-a furnizat vizitatorilor informările impuse de articolele 12-14 și a obținut orice consimțământ impus de lege, inclusiv pentru înregistrarea sau traducerea unui apel; și că instrucțiunile sale respectă legislația privind protecția datelor. Cu excepția cazului în care spațiul de lucru este configurat pentru domeniul medical, titularul nu va introduce în serviciu date ale vizitatorilor care includ numere de identificare emise de autorități, numere de card de plată, date de autentificare pentru conturi financiare, parole pentru alte servicii, date biometrice, date colectate în cunoștință de cauză de la copii sub 16 ani sau categorii speciale de date, precum cele privind sănătatea, originea rasială sau etnică, opiniile politice, religia sau orientarea sexuală, și va elimina orice astfel de date care ajung în serviciu din greșeală. Titularul își păstrează în siguranță datele de autentificare pentru consolă, decide cine din echipa sa are acces, păstrează propria copie a oricărui lucru pe care nu își permite să îl piardă și confirmă că a analizat măsurile din Secțiunea 5 și din Anexa II și le consideră adecvate pentru datele pe care le prelucrează prin Concierge.

Categoriile de date ale vizitatorilor, în măsura în care configurația titularului le colectează: identificatorii furnizați de vizitator (nume, număr de telefon, adresă de e-mail), conținutul conversațiilor (mesaje, sunet vocal, transcrieri și orice înregistrări pe care le operează titularul), evidențele de contact și de rezervare pe care asistentul le creează pe baza acțiunilor vizitatorului, datele tehnice ale sesiunii (marcaje de timp, canal, limbă) și datele cu caracter personal conținute în materialele pe care titularul le încarcă în cunoștințele asistentului sau în eșantioanele de voce pe care titularul le furnizează pentru a crea o voce personalizată.

Persoanele vizate sunt vizitatorii, clienții, potențialii clienți ai titularului și membrii personalului acestuia ale căror informații sunt furnizate serviciului. Prelucrarea include colectarea, transmiterea, organizarea, stocarea, extragerea, traducerea, generarea de răspunsuri, divulgarea către personalul autorizat și către furnizorii conectați și ștergerea. Scop: furnizarea Concierge conform instrucțiunilor titularului. Durata urmează setările de păstrare aplicabile și Secțiunea 9, în loc să se întindă automat pe întreaga durată de existență a spațiului de lucru.

Numai personalul care are nevoie de acces pentru a opera sau a securiza serviciul are acces, sub rezerva unor obligații de confidențialitate, iar accesul este jurnalizat pentru spațiile de lucru configurate pentru domeniul medical. Nu includem conținutul vizitatorilor în datele trimise către instrumente de analiză, în chaturile de asistență sau în sisteme publice de urmărire a problemelor.

Serviciul funcționează pe propria noastră infrastructură, cu măsurile descrise pe pagina noastră Securitate: TLS pentru datele în tranzit, criptare în repaus, acces pe baza privilegiului minim, jurnalizare de audit, ștergerea securizată a fișierelor a căror perioadă de păstrare a expirat și puncte de acces protejate suplimentar în spatele unui firewall pentru aplicații web. Înregistrările sunt păstrate într-un mediu de stocare a obiectelor cu acces controlat; accesul la consolă este autentificat și limitat în funcție de rol. Putem actualiza aceste măsuri pe măsură ce tehnologia și amenințările evoluează, cu condiția ca nivelul general de protecție a datelor vizitatorilor să nu scadă în mod semnificativ.

Recurgem la subcontractanți în funcție de rol: găzduire și stocare în cloud (Google Cloud); recunoaștere vocală, sinteză vocală, traducere și modele AI (Google, OpenAI, Anthropic, ElevenLabs și AssemblyAI); direcționarea semantică a replicilor din conversații, atunci când spațiul de lucru o activează (TypeSafe); telefonie și mesaje text pentru numerele de telefon pe care le furnizăm titularului (Twilio); plăți pentru planul și utilizarea proprii ale titularului (Stripe); livrarea e-mailurilor (Resend, plus serverul nostru Postal, găzduit pe propria noastră infrastructură); și - atunci când titularul conectează sisteme de telefonie, mesagerie, plăți, rezervări sau sisteme de afaceri - propriii furnizori ai titularului (cum ar fi propriul cont Twilio, furnizorul WhatsApp, propriul cont Stripe, calendarul sau CRM-ul său), pe care titularul îi angajează direct, în nume propriu. Anexa III numește fiecare subcontractant și rolul acestuia.

Titularul acordă o autorizare generală scrisă pentru subcontractanții identificați în lista curentă furnizată pentru serviciul său. Impunem fiecărui subcontractant, printr-un acord scris, obligații de protecție a datelor echivalente cu cele din prezentul DPA și rămânem răspunzători față de titular pentru îndeplinirea obligațiilor acestuia. Conținutul vizitatorilor nu poate fi utilizat pentru antrenarea modelelor fără o instrucțiune legală separată și un temei contractual. Lista nominală curentă este Anexa III și este disponibilă și la cerere, iar noi notificăm titularul cu cel puțin 30 de zile înainte, în consolă sau prin e-mail, ca un nou subcontractant să prelucreze datele vizitatorilor, perioadă în care titularul poate formula obiecții pe motive rezonabile legate de protecția datelor. Colaborăm apoi cu bună-credință cu titularul pentru a soluționa obiecția; dacă nu reușim, titularul poate închide spațiul de lucru înainte ca noul subcontractant să îi prelucreze datele, acesta fiind singurul remediu în cazul obiecției. Sumele deja datorate rămân exigibile, iar orice rambursare urmează Termenii Concierge.

Serviciul funcționează în Statele Unite și, pentru o latență mai mică, printr-un nod periferic (edge) în Uniunea Europeană (Frankfurt). Prin urmare, datele vizitatorilor pot fi prelucrate în oricare dintre cele două regiuni, după cum impune direcționarea sesiunii. Înainte de a avea loc un transfer internațional restricționat, părțile trebuie să stabilească mecanismul legal de transfer aplicabil și să documenteze destinațiile și garanțiile. Atunci când se utilizează clauze contractuale standard, clauzele, modulul, opțiunile aplicabile și anexele completate trebuie să facă parte din acordul de transfer.

Pentru transferurile de date ale vizitatorilor către noi în Statele Unite, prezentul DPA reprezintă acel acord de transfer, iar titularul se bazează pe el fără o semnătură separată: pentru transferurile guvernate de RGPD (din Spațiul Economic European), Clauzele astfel cum sunt prevăzute în Secțiunea 13 și în anexele acesteia; pentru transferurile guvernate de legislația privind protecția datelor din Regatul Unit, Clauzele împreună cu Actul adițional al Regatului Unit privind transferurile internaționale de date, astfel cum este prevăzut în Secțiunea 14; iar pentru transferurile guvernate de FADP elvețiană, Clauzele cu adaptările pentru Elveția din Secțiunea 15. Fiecare se aplică tuturor transferurilor guvernate de legea respectivă, indiferent de răspunsul dat de titular în consolă cu privire la datele din Regatul Unit sau din Elveția. Atunci când același transfer este guvernat de mai multe dintre aceste legi, fiecare set de clauze se aplică în măsura legii proprii, iar niciunul nu reduce protecția oferită de altul.

Transferurile guvernate de normele privind transferurile ale oricărei alte țări necesită mecanismul impus de legea respectivă; contactați-ne înainte de a activa o prelucrare care necesită un astfel de mecanism. Nu suntem certificați conform Cadrului UE-SUA privind protecția datelor cu caracter personal (EU-US Data Privacy Framework), extensiei acestuia pentru Regatul Unit sau Cadrului elvețiano-american privind protecția datelor cu caracter personal (Swiss-US Data Privacy Framework), iar niciun transfer efectuat în temeiul prezentului DPA nu se bazează pe acestea.

Vizitatorii sunt clienții titularului: cererile unui vizitator privind datele sale (acces, rectificare, ștergere, opoziție) se adresează titularului, în calitate de operator, iar titularul le soluționează folosind funcția de ștergere per contact din consolă. Ținând seama de natura prelucrării, oferim asistență prin măsuri tehnice și organizatorice adecvate pentru cererile formulate în temeiul capitolului III din RGPD și pentru drepturile echivalente prevăzute de RGPD al Regatului Unit și de FADP. Ținând seama de informațiile de care dispunem, oferim, de asemenea, asistență în ceea ce privește securitatea, notificările privind încălcările securității datelor, evaluările impactului asupra protecției datelor și consultarea prealabilă a autorităților de supraveghere în temeiul articolelor 32-36 din RGPD și al dispozițiilor echivalente din RGPD al Regatului Unit și din FADP. Asistența care depășește ceea ce serviciul oferă deja, cum ar fi compilarea evidențelor pentru o evaluare a impactului asupra protecției datelor, poate fi facturată la tarifele noastre pentru servicii profesionale în vigoare la acel moment, comunicate în prealabil titularului.

Dacă luăm cunoștință de un incident de securitate care afectează datele vizitatorilor dintr-un spațiu de lucru, notificăm titularul fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor cu caracter personal. Nu așteptăm finalizarea unei investigații și nu considerăm termenul de raportare către autorități al operatorului ca fiind termenul nostru de notificare. Furnizăm detaliile disponibile privind încălcarea, datele și persoanele afectate, consecințele probabile, punctul de contact și măsurile de atenuare și furnizăm informații suplimentare în etape, pe măsură ce devin disponibile. Titularul, în calitate de operator, se ocupă de orice notificare către propriii vizitatori sau către autoritățile de reglementare.

Încercările nereușite care nu compromit datele vizitatorilor, cum ar fi încercările de conectare blocate, scanările sau comenzile ping, nu sunt incidente și nu sunt raportate. O notificare nu reprezintă o recunoaștere a vinei sau a răspunderii. Atunci când legea permite, titularul ne informează înainte de a numi Vavus într-o notificare privind un incident adresată unei autorități de reglementare, vizitatorilor sau publicului și analizează cu bună-credință orice corectură pe care o solicităm cu privire la rolul nostru în acel incident.

Ștergerea spațiului de lucru elimină configurația și materialele conversațiilor spațiului de lucru, inclusiv înregistrările din mediul de stocare a obiectelor, sub rezerva expirării copiilor de rezervă criptate conform politicii noastre privind ciclul de viață și a evidențelor pe care legea ne obligă să le păstrăm (evidențele de facturare pe durata perioadei fiscale legale). Ștergerea per contact elimină materialele conversațiilor contactului respectiv. La alegerea titularului, la încetare, îi returnăm datele cu caracter personal rămase într-un format utilizabil sau le ștergem și ștergem copiile existente, cu excepția cazului în care legislația aplicabilă impune păstrarea lor. O cerere de returnare trebuie să preceadă o instrucțiune de ștergere ireversibilă. Copiile de rezervă păstrate rămân protejate, nu sunt utilizate pentru prelucrarea obișnuită și sunt șterse conform ciclului de viață documentat aplicabil; dacă sunt restaurate, instrucțiunile de ștergere trebuie aplicate din nou.

Dacă titularul nu dă nicio instrucțiune în termen de 30 de zile de la încetarea spațiului de lucru, ștergem datele cu caracter personal rămase. La cerere, confirmăm ștergerea în scris.

Punem la dispoziție informațiile necesare pentru a demonstra respectarea prezentului DPA și permitem și contribuim la audituri, inclusiv inspecții, efectuate de titular sau de un auditor independent mandatat de acesta. Aceste drepturi sunt disponibile oricărui titular și nu sunt condiționate de un abonament Enterprise.

Auditurile încep cu documentele. La cerere, furnizăm documentația noastră de securitate, măsurile din Anexa II și răspunsuri la un chestionar de securitate rezonabil, iar atunci când un raport recent al unui auditor independent acoperă controalele în cauză, furnizăm acel raport în locul unui nou audit al acestora. Atunci când documentele sunt cu adevărat insuficiente, după o încălcare confirmată care afectează datele titularului sau atunci când o autoritate de supraveghere impune acest lucru, titularul poate efectua o inspecție: o dată în orice perioadă de 12 luni, cu excepția cazului în care o încălcare sau o autoritate de reglementare impune mai multe, cu o notificare scrisă prealabilă de 30 de zile care să cuprindă domeniul propus, în timpul programului de lucru, în baza unui acord de confidențialitate, fără acces la datele altor clienți și cu un auditor care nu este concurentul nostru. Auditurile se efectuează pe cheltuiala titularului, iar titularul ne comunică constatările sale. Nimic din toate acestea nu împiedică o inspecție impusă în mod legal de o autoritate de reglementare.

Prezentul DPA este în vigoare cât timp există spațiul de lucru al titularului și încetează atunci când spațiul de lucru este șters, iar obligațiile sale privind protecția datelor continuă atât timp cât noi sau subcontractanții noștri păstrăm date cu caracter personal ale vizitatorilor. Dispozițiile Termenilor Concierge privind litigiile, răspunderea și legea aplicabilă se aplică numai în măsura în care nu restrâng drepturile imperative privind protecția datelor, competențele autorităților de reglementare sau un acord de transfer aplicabil; în caz de conflict, acel acord prevalează.

Chestiuni privind protecția datelor, listele de subcontractanți, clauzele contractuale standard, Actul adițional al Regatului Unit și adaptările pentru Elveția: support@vavusai.com.

Pentru transferurile de date cu caracter personal ale vizitatorilor din Spațiul Economic European către noi în Statele Unite, prezentul DPA încorporează clauzele contractuale standard pentru transferul de date cu caracter personal către țări terțe adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei din 4 iunie 2021 („Clauzele”), Modulul doi (transferul de la operator la persoana împuternicită de operator), completate prin anexele care urmează. Pentru transferurile guvernate de RGPD, Clauzele sunt încorporate fără modificări; Secțiunile 14 și 15 stabilesc modul în care aceleași Clauze se aplică transferurilor guvernate de legislația Regatului Unit și de cea elvețiană. Acestea sunt încheiate prin acceptarea înregistrată de către titular a Termenilor Concierge împreună cu prezentul DPA: versiunea și marcajul de timp ale acestei acceptări, înregistrate de serviciu, împreună cu publicarea de către noi a prezentului DPA în acea versiune, constituie acordul scris al părților cu privire la Clauze, astfel încât nu este necesară o semnătură separată.

Opțiunile Clauzelor se exercită după cum urmează. Clauza opțională de aderare (Clauza 7) nu se utilizează. Clauza 9 litera (a) funcționează conform opțiunii sale privind autorizarea generală scrisă: regimul subcontractanților din Secțiunea 6 reprezintă autorizarea convenită, iar notificarea prealabilă de 30 de zile din aceasta stabilește perioada de notificare din clauză. Organismul independent opțional de soluționare a litigiilor de la Clauza 11 litera (a) nu este oferit. Autoritatea de supraveghere competentă în temeiul Clauzei 13 se stabilește pe baza criteriilor de la Clauza 13 litera (a), astfel cum se prevede în Anexa I.C. În temeiul Clauzei 17, Clauzele sunt guvernate de legislația statului membru în care este stabilit titularul sau, atunci când titularul nu este stabilit într-un stat membru ori legislația respectivă nu ar permite drepturi ale terților beneficiari, de legislația Irlandei; în temeiul Clauzei 18 litera (b), instanțele din acel stat membru sau, în acel caz, instanțele din Irlanda sunt competente, iar în temeiul Clauzei 18 litera (c), o persoană vizată poate introduce acțiuni și în statul membru în care își are reședința obișnuită. În Clauzele astfel cum se aplică în temeiul prezentei Secțiuni, statele membre includ statele din Spațiul Economic European care nu sunt membre ale Uniunii Europene.

Atunci când Clauzele și prezentul DPA intră în conflict, Clauzele prevalează în măsura conflictului, în concordanță cu Secțiunea 11. În temeiul Clauzei 8.3 (Modulul doi), titularul pune Clauzele, inclusiv aceste anexe, la dispoziția oricărei persoane vizate care le solicită; furnizăm textul la cerere pentru a face acest lucru posibil.

Pentru transferurile de date cu caracter personal ale vizitatorilor cărora li se aplică legislația privind protecția datelor din Regatul Unit (transferuri restricționate în temeiul RGPD al Regatului Unit), prezentul DPA încorporează Actul adițional privind transferurile internaționale de date la clauzele contractuale standard ale Comisiei Europene (International Data Transfer Addendum), emis de Information Commissioner în temeiul secțiunii 119A(1) din Data Protection Act 2018, versiunea B1.0, în vigoare de la 21 martie 2022 („Actul adițional”), completat prin tabelele din prezenta Secțiune. Acesta se aplică tuturor acestor transferuri, indiferent de răspunsul dat de titular în consolă cu privire la datele din Regatul Unit. Astfel cum permite Secțiunea 2 a Actului adițional, părțile îl încheie prin acceptarea înregistrată de către titular a prezentului DPA în această versiune și prin publicarea de către noi a prezentului DPA în această versiune, care îl fac obligatoriu din punct de vedere juridic pentru ambele părți și permit persoanelor vizate să își exercite drepturile în temeiul acestuia; nu este necesară o semnătură separată.

Tabelul 1 - Părțile. Data de începere: data la care consola înregistrează acceptarea acestei versiuni de către titular. Exportator: titularul, cu denumirea juridică completă, denumirea comercială, adresa principală, numărul oficial de înregistrare și persoana de contact principală (numele și funcția persoanei care acceptă, precum și adresa de e-mail de contact pentru confidențialitate a afacerii), înregistrate odată cu acceptarea sa în consolă. Importator: DCI Brands LLC, care își desfășoară activitatea sub denumirea Vavus; adresa principală 312 W 2nd Street, Casper, WY 82601, United States; număr oficial de înregistrare: ID de înregistrare la Wyoming Secretary of State 2017-000762309; persoana de contact principală: Dragos Ignat, proprietar și fondator, support@vavusai.com. Semnătura: nu este necesară, astfel cum s-a arătat mai sus.

Tabelul 2 - SCC selectate, module și clauze selectate. SCC-urile UE aprobate, inclusiv Informațiile din apendice, cu doar următoarele module, clauze și dispoziții opționale puse în aplicare în scopul Actului adițional: Modulul 2 (de la operator la persoana împuternicită de operator) este în vigoare, iar Modulele 1, 3 și 4 nu sunt; Clauza 7 (clauza de aderare) nu se utilizează; opțiunea de la Clauza 11 (organism independent de soluționare a litigiilor) nu se utilizează; Clauza 9 litera (a) funcționează pe baza autorizării generale scrise, cu o perioadă de notificare prealabilă de 30 de zile.

Tabelul 3 - Informațiile din apendice. Anexa 1A (Lista părților): Anexa I.A la prezentul DPA. Anexa 1B (Descrierea transferului): Anexa I.B la prezentul DPA. Anexa II (măsuri tehnice și organizatorice, inclusiv cele pentru asigurarea securității datelor): Anexa II la prezentul DPA. Anexa III (Lista subcontractanților): Anexa III la prezentul DPA.

Tabelul 4 - Încetarea prezentului Act adițional atunci când Actul adițional aprobat se modifică. Părțile care pot pune capăt prezentului Act adițional astfel cum se prevede în Secțiunea 19 a Actului adițional: niciuna dintre părți. Atunci când Information Commissioner emite un Act adițional aprobat revizuit în temeiul Secțiunii 18 a Actului adițional, prezentul Act adițional se modifică astfel cum prevede revizuirea, de la data de începere pe care aceasta o stabilește.

Clauze obligatorii: Partea 2: Clauzele obligatorii ale Actului adițional aprobat, și anume modelul de Act adițional B.1.0 emis de ICO și prezentat Parlamentului în conformitate cu s119A din Data Protection Act 2018 la 2 februarie 2022, astfel cum este revizuit în temeiul Secțiunii 18 din respectivele Clauze obligatorii. În temeiul acestor Clauze obligatorii, Actul adițional este guvernat de legile Angliei și Țării Galilor, litigiile sunt soluționate de instanțele din Anglia și Țara Galilor, o persoană vizată poate introduce acțiuni împotriva oricăreia dintre părți și în instanțele oricărei țări din Regatul Unit, iar Information Commissioner este autoritatea de supraveghere. Furnizăm textul Actului adițional la cerere.

Evaluarea riscurilor de transfer pentru Regatul Unit. Pentru transferul către noi în Statele Unite, titularul, în calitate de exportator, se bazează, pentru evaluarea legislației și practicilor din Statele Unite privind accesul autorităților publice la datele cu caracter personal și a caracterului executoriu al Actului adițional, pe analiza Guvernului Regatului Unit privind legislația și practicile relevante din Statele Unite, întocmită de Department for Science, Innovation and Technology, astfel cum permit orientările Information Commissioner privind efectuarea unei evaluări a riscurilor de transfer pentru transferurile către Statele Unite, inclusiv pentru un destinatar care nu este certificat conform extensiei pentru Regatul Unit a Cadrului UE-SUA privind protecția datelor cu caracter personal. Pe baza acestei analize, protecția datelor transferate, cu Actul adițional în vigoare, nu este semnificativ mai scăzută decât cea prevăzută de legislația privind protecția datelor din Regatul Unit. Nu suntem certificați conform acelui cadru, iar această evaluare nu se bazează pe certificare. Transferul pe care îl acoperă este cel descris în Anexa I.B, cu transferurile ulterioare din Anexa III, garanțiile din Anexa II și rezumatul evaluării impactului transferului. Vom informa titularul fără întârzieri nejustificate dacă Guvernul Regatului Unit retrage sau modifică în mod semnificativ acea analiză sau dacă nu mai putem respecta Actul adițional, iar părțile vor reexamina atunci această evaluare.

Pentru transferurile de date cu caracter personal ale vizitatorilor cărora li se aplică Legea federală elvețiană privind protecția datelor din 25 septembrie 2020 (FADP), Clauzele, astfel cum sunt încorporate în Secțiunea 13, se aplică în calitate de clauze standard de protecție a datelor recunoscute de Comisarul federal pentru protecția datelor și informații (FDPIC) în temeiul articolului 16 alineatul (2) litera (d) din FADP, cu adaptările de mai jos. Acestea se aplică tuturor acestor transferuri, indiferent de răspunsul dat de titular în consolă cu privire la datele din Elveția. Atunci când un transfer este guvernat atât de FADP, cât și de RGPD, părțile mențin aranjamente separate: aceste adaptări se aplică numai în măsura în care FADP guvernează transferul, iar Secțiunea 13 continuă să se aplice fără modificări în măsura în care RGPD îl guvernează.

• Trimiterile la Regulamentul (UE) 2016/679 se înțeleg ca trimiteri la FADP, în măsura în care transferul este supus FADP.
• FDPIC este autoritatea de supraveghere competentă în temeiul Clauzei 13 și al Anexei I.C pentru transferurile guvernate de FADP; atunci când un transfer este guvernat și de RGPD, autoritatea stabilită în temeiul Clauzei 13 litera (a) rămâne competentă, în paralel, pentru acea parte.
• Pentru transferurile guvernate exclusiv de FADP, Clauzele sunt guvernate de legislația elvețiană în temeiul Clauzei 17, iar litigiile dintre părți în temeiul Clauzei 18 litera (b) sunt soluționate de instanțele din Elveția de la sediul social al titularului.
• Termenul „stat membru” din Clauze nu trebuie interpretat într-un mod care să excludă posibilitatea persoanelor vizate din Elveția de a introduce acțiuni pentru drepturile lor la locul reședinței lor obișnuite, Elveția, în temeiul Clauzei 18 litera (c).
• Rezumatul evaluării impactului transferului se aplică acestor transferuri, interpretat prin raportare la FADP. Nu suntem certificați conform Cadrului elvețiano-american privind protecția datelor cu caracter personal (Swiss-US Data Privacy Framework), astfel încât recunoașterea Statelor Unite de către Consiliul Federal pentru companiile certificate nu acoperă transferurile către noi. FADP nu impune notificarea către FDPIC a utilizării acestor clauze.

Exportatorul de date: titularul, operatorul datelor vizitatorilor, stabilit în țara înregistrată pentru spațiul de lucru în consolă, care poate fi un stat membru al Spațiului Economic European, Regatul Unit, Elveția sau o altă țară; atunci când un titular stabilit în altă parte este supus RGPD, legislației privind protecția datelor din Regatul Unit sau FADP pentru prelucrarea datelor vizitatorilor, acesta este exportatorul de date pentru transferurile guvernate de legea respectivă. Activitățile sale relevante pentru transfer sunt desfășurarea propriei afaceri și coordonarea spațiului de lucru Concierge prin consolă. Denumirea juridică completă, denumirea comercială, adresa, numărul de înregistrare, adresa de e-mail de contact pentru confidențialitate, precum și numele și funcția persoanei care a acceptat în numele său sunt cele înregistrate odată cu acceptarea sa în consolă. Rol: operator.

Importatorul de date: DCI Brands LLC („Vavus”, persoana împuternicită de operator), 312 W 2nd Street, Casper, WY 82601, United States (ID de înregistrare la Wyoming Secretary of State 2017-000762309); activități relevante pentru transfer: furnizarea serviciului Concierge în temeiul prezentului DPA; contact pentru chestiuni privind protecția datelor: support@vavusai.com. Rol: persoană împuternicită de operator.

Semnătura și data: pentru exportatorul de date, acceptarea de către acesta a prezentului DPA, înregistrată în consolă (versiunea, data și ora și persoana care acceptă); pentru importatorul de date, publicarea de către noi a prezentului DPA în această versiune, astfel cum prevede Secțiunea 13.

Categoriile de persoane vizate: vizitatorii, clienții, potențialii clienți ai titularului și membrii personalului acestuia ale căror informații sunt furnizate serviciului.

Categoriile de date cu caracter personal: identificatorii furnizați de vizitator (nume, număr de telefon, adresă de e-mail), conținutul conversațiilor (mesaje, sunet vocal, transcrieri și orice înregistrări pe care le operează titularul), evidențele de contact și de rezervare pe care asistentul le creează pe baza acțiunilor vizitatorului, datele tehnice ale sesiunii (marcaje de timp, canal, limbă) și datele cu caracter personal conținute în materialele pe care titularul le încarcă în cunoștințele asistentului sau în eșantioanele de voce pe care titularul le furnizează pentru a crea o voce personalizată.

Date sensibile: serviciul nu colectează în mod obișnuit date din categorii speciale. Atunci când configurația unui titular face previzibile informațiile privind sănătatea (spații de lucru configurate pentru domeniul medical), accesul este restricționat la personalul care are nevoie de el și este jurnalizat, iar titularul rămâne responsabil să se asigure că colectarea acestora se întemeiază pe propriul temei legal și pe propriile instrucțiuni ale titularului.

Frecvența și durata: continuu, pe durata de existență a spațiului de lucru, pe măsură ce au loc sesiuni, rezervări și utilizări ale consolei; păstrarea urmează Secțiunile 3 și 9. Natura și scopul: colectarea, transmiterea, organizarea, stocarea, extragerea, traducerea, generarea de răspunsuri, divulgarea către personalul autorizat și către subcontractanții din Anexa III și ștergerea, pentru a furniza Concierge conform instrucțiunilor titularului. Transferurile ulterioare sunt limitate la Clauza 9, la Secțiunea 6 și la lista din Anexa III.

Pentru transferurile guvernate de RGPD, autoritatea de supraveghere competentă se stabilește în temeiul Clauzei 13 litera (a): atunci când titularul (în calitate de exportator de date) este stabilit într-un stat membru, autoritatea de supraveghere responsabilă de asigurarea respectării de către titular a RGPD în ceea ce privește transferul; atunci când titularul nu este stabilit într-un stat membru, dar intră sub incidența articolului 3 alineatul (2) din RGPD și a desemnat un reprezentant în temeiul articolului 27 alineatul (1), autoritatea de supraveghere din statul membru în care este stabilit reprezentantul respectiv; iar atunci când titularul nu este stabilit într-un stat membru, intră sub incidența articolului 3 alineatul (2) și nu are obligația de a desemna un reprezentant în temeiul articolului 27 alineatul (2), autoritatea de supraveghere din unul dintre statele membre în care se află persoanele vizate ale căror date cu caracter personal sunt transferate în legătură cu oferirea de bunuri sau servicii către acestea ori al căror comportament este monitorizat.

Pentru transferurile guvernate de legislația privind protecția datelor din Regatul Unit, Information Commissioner, astfel cum prevede Secțiunea 14. Pentru transferurile guvernate de FADP, Comisarul federal pentru protecția datelor și informații, astfel cum prevede Secțiunea 15, în paralel cu autoritatea menționată mai sus atunci când transferul este guvernat și de RGPD.

Măsurile pe care importatorul de date le aplică pentru protejarea datelor, astfel cum sunt descrise în Secțiunile 4, 5, 8 și 9 ale prezentului DPA:

• TLS pentru datele în tranzit și criptare în repaus în întregul serviciu
• Acces pe baza privilegiului minim, limitat în funcție de rol, prin consola autentificată; personal supus unor obligații de confidențialitate
• Jurnalizarea accesului pentru spațiile de lucru configurate pentru domeniul medical și jurnalizarea de audit a acțiunilor administrative
• Înregistrări păstrate într-un mediu de stocare a obiectelor cu acces controlat
• Ștergerea securizată a fișierelor a căror perioadă de păstrare a expirat; copii de rezervă criptate gestionate conform unui ciclu de viață documentat
• Copii de rezervă criptate efectuate din oră în oră, cu verificări de restaurare, pentru continuitate și recuperare
• Monitorizarea software-ului și a dependențelor serviciului pentru depistarea vulnerabilităților, cu aplicarea de corecții
• Modificări livrate prin controlul versiunilor și printr-o implementare automatizată prin scripturi, cu verificări de funcționare și posibilitate de revenire
• Parole stocate numai sub formă de hash-uri cu salt; conturi blocate după încercări repetate de conectare eșuate
• Securitatea fizică a centrelor de date asigurată de Google Cloud, în baza certificărilor sale
• Puncte de acces protejate suplimentar în spatele unui firewall pentru aplicații web, cu limitarea ratei
• Notificarea încălcărilor securității datelor cu caracter personal către titular fără întârzieri nejustificate după ce am luat cunoștință de acestea, cu detalii și informații ulterioare furnizate în etape
• Asistență pentru cererile persoanelor vizate și pentru îndeplinirea obligațiilor titularului în temeiul articolelor 32-36 din RGPD și al dispozițiilor echivalente din RGPD al Regatului Unit și din FADP
• Contracte scrise cu subcontractanții care impun, în esență, aceleași obligații de protecție a datelor ca prezentul DPA

Subcontractanții autorizați în temeiul Clauzei 9 litera (a) (autorizare generală scrisă) și al Secțiunii 6, în funcție de rol. Modificările urmează condițiile de notificare și de obiecție din Secțiunea 6.

Furnizorii pe care titularul îi conectează el însuși - propriile conturi de telefonie sau de mesagerie (cum ar fi propriul cont Twilio sau furnizorul WhatsApp), propriul cont Stripe pentru plățile pe care le încasează de la clienții săi și sistemele de calendar, CRM, gestionare a tichetelor sau magazin pe care le conectează - sunt angajați direct de titular, în nume propriu, și nu sunt subcontractanții noștri.

• Google Cloud - găzduire și stocare în cloud (regiunea principală în Statele Unite, nod periferic UE la Frankfurt)
• Google - recunoaștere vocală, sinteză vocală, traducere și modele AI
• OpenAI - modele AI, recunoaștere vocală și sinteză vocală
• Anthropic - modele AI
• ElevenLabs - recunoaștere vocală, sinteză vocală și voci personalizate (nu se utilizează pentru spațiile de lucru configurate pentru domeniul medical)
• AssemblyAI - recunoaștere vocală, atunci când setarea de vorbire a spațiului de lucru îl utilizează
• TypeSafe - direcționarea semantică a replicilor din conversații, atunci când setările asistentului din spațiul de lucru o activează
• Twilio - telefonie și mesaje text pentru numerele de telefon pe care le furnizăm titularului
• Stripe - plăți pentru planul Concierge și utilizarea proprii ale titularului
• Resend - livrarea e-mailurilor
• Postal, găzduit pe propria noastră infrastructură - livrarea e-mailurilor

Atunci când California Consumer Privacy Act sau o altă lege statală din Statele Unite privind confidențialitatea se aplică datelor vizitatorilor, titularul este întreprinderea (business) sau operatorul (controller), iar Vavus este furnizorul său de servicii (service provider), contractantul (contractor) sau persoana împuternicită de operator (processor), iar termenii din prezenta Anexă au înțelesul pe care li-l dau acele legi. Titularul ne divulgă datele vizitatorilor numai în scopul limitat și specificat al furnizării Concierge, astfel cum descriu prezentul DPA și Termenii Concierge.

Ne angajăm: să prelucrăm datele vizitatorilor numai în acel scop și conform instrucțiunilor titularului și să nu le vindem sau partajăm niciodată; să nu le păstrăm, utilizăm sau divulgăm în niciun alt scop, inclusiv în orice scop comercial, sau în afara relației noastre comerciale directe cu titularul; să nu le combinăm cu informațiile personale pe care le primim de la oricine altcineva sau pe care le colectăm noi înșine, cu excepția cazurilor în care acele legi permit acest lucru pentru furnizarea serviciului; să respectăm obligațiile pe care acele legi le impun furnizorilor de servicii și să asigurăm datelor vizitatorilor același nivel de protecție a confidențialității pe care îl impun acestea; să informăm titularul în scris dacă stabilim că nu mai putem îndeplini acele obligații; să îi permitem titularului să ia măsuri rezonabile și adecvate pentru a verifica dacă utilizăm datele vizitatorilor în concordanță cu propriile sale obligații, inclusiv prin intermediul Secțiunii 10, și pentru a opri și remedia orice utilizare neautorizată; și să notificăm titularul cu privire la noii subcontractanți în temeiul Secțiunii 6, ceea ce îndeplinește cerința de notificare impusă de acele legi. Certificăm că înțelegem aceste restricții și că le vom respecta.

Cererile vizitatorilor formulate în temeiul acelor legi se adresează titularului, iar noi oferim asistență astfel cum descrie Secțiunea 8.

Legislația Statelor Unite permite autorităților publice să impună, în anumite circumstanțe definite, divulgarea datelor cu caracter personal deținute de furnizorii de servicii (în special secțiunea 702 din FISA și Ordinul executiv 12333). Înainte de a conveni asupra acestor Clauze, am evaluat transferul în raport cu aceste legi și practici, astfel cum impune Clauza 14, ținând seama de circumstanțele specifice ale transferului: date de sprijin pentru activitatea comercială (identificatori, conținutul conversațiilor, evidențe de rezervare, date tehnice ale sesiunii), un lanț scurt de prelucrare (titularul, noi și subcontractanții din Anexa III), evaluarea noastră potrivit căreia, prin furnizarea Concierge, nu acționăm ca furnizor de servicii de comunicații electronice pentru acest trafic, precum și garanțiile contractuale, tehnice și organizatorice existente. Menținem această evaluare sub observație, o documentăm și o punem la dispoziția autorității de supraveghere competente, la cerere.

Măsuri suplimentare: măsurile tehnice și organizatorice din Anexa II, reducerea la minimum prin colectarea configurată de titular, drepturile de audit din Secțiunea 10 și obligațiile pe care ni le asumăm în temeiul Clauzelor 14 și 15 - de a notifica titularul cu privire la o cerere de divulgare obligatorie din punct de vedere juridic, atunci când legea permite acest lucru, de a solicita ridicarea oricărei interdicții de notificare și de a furniza informații agregate la intervale regulate, de a examina legalitatea unei cereri și de a o contesta atunci când există motive întemeiate să o considerăm ilegală și de a divulga minimul de informații permis. Dacă ajungem la concluzia că nu mai putem respecta Clauzele, vom notifica titularul cu promptitudine, iar titularul poate suspenda transferul astfel cum prevăd Clauzele. Dacă o decizie privind caracterul adecvat ajunge să acopere un transfer (de exemplu, dacă devenim certificați conform Cadrului UE-SUA privind protecția datelor cu caracter personal), Clauzele se aplică acelui transfer numai în măsura în care decizia privind caracterul adecvat nu îl acoperă.

Pentru transferurile din Regatul Unit se aplică evaluarea riscurilor de transfer din Secțiunea 14. Pentru transferurile din Elveția, prezenta evaluare se aplică interpretată prin raportare la FADP, astfel cum prevede Secțiunea 15.