Zmluva o spracúvaní údajov Vavus Concierge

Táto Zmluva o spracúvaní údajov („DPA“) sa uzatvára medzi spoločnosťou DCI Brands LLC („Vavus“, „my“, sprostredkovateľ), 312 W 2nd Street, Casper, WY 82601, United States, a podnikom, ktorý prevádzkuje pracovný priestor Vavus Concierge (odberateľ, prevádzkovateľ). Vzťahuje sa na údaje návštevníkov, ktoré Vavus spracúva podľa pokynov odberateľa prostredníctvom služby Concierge: konzoly, widgetu webovej stránky, hostovaných stránok agenta, telefonických kanálov a kanálov správ a rezervácií.

Dopĺňa Podmienky služby Vavus Concierge, ktoré odberateľ prijíma spolu s touto DPA. Ak je táto DPA v rozpore s Podmienkami Concierge v otázke spracúvania údajov návštevníkov, má prednosť táto DPA. Je napísaná tak, aby spĺňala požiadavky článku 28 všeobecného nariadenia o ochrane údajov (GDPR) a GDPR Spojeného kráľovstva (UK GDPR), článku 9 švajčiarskeho spolkového zákona o ochrane údajov (FADP) a porovnateľné záväzky sprostredkovateľov inde; ak miestne právo ukladá sprostredkovateľom prísnejšie povinnosti, tieto majú prednosť pri spracúvaní v danej jurisdikcii. Príloha IV sa uplatňuje dodatočne, ak sa na údaje návštevníkov odberateľa vzťahuje zákon niektorého štátu Spojených štátov o ochrane súkromia.

Odberateľ je prevádzkovateľom údajov návštevníkov: rozhoduje o tom, čo asistent robí, aké znalosti má, ktoré kanály fungujú a na čo sa návštevníkov pýta. Vavus je sprostredkovateľ: konáme len podľa pokynov odberateľa zadaných prostredníctvom konzoly a bežnej prevádzky služby a údaje návštevníkov spracúvame výlučne na poskytovanie Concierge.

Ak je podľa nášho názoru pokyn v rozpore s platnými právnymi predpismi o ochrane údajov, bezodkladne o tom odberateľa informujeme a podľa zjavne nezákonného pokynu nebudeme konať. Ak právo vyžaduje spracúvanie nad rámec zdokumentovaných pokynov, pred takým spracúvaním o tom odberateľa informujeme, pokiaľ to právo nezakazuje. Údaje návštevníkov nespracúvame na vlastné účely, nepoužívame ich na trénovanie našich modelov ani ich nepredávame.

Táto DPA vrátane podmienok prenosu v oddieloch 7 a 13 až 15 sa vzťahuje na odberateľa, ktorý je prevádzkovateľom údajov svojich návštevníkov. Nevzťahuje sa na odberateľa, ktorý spracúva údaje v mene iného prevádzkovateľa, pretože neponúka modul č. 3 (prenos od sprostredkovateľa k sprostredkovateľovi) doložiek; takýto podnik ju pre tieto údaje nesmie prijať.

Odberateľ zodpovedá za zákonnosť toho, o čo nás žiada. Potvrdzuje, že má na spracúvanie právny základ, a to aj podľa článkov 6, 9 a 10 GDPR, ak sa uplatňujú; že návštevníkom poskytol informácie vyžadované článkami 12 až 14 a získal akýkoľvek súhlas, ktorý vyžaduje právo, a to aj na nahrávanie alebo preklad hovoru; a že jeho pokyny sú v súlade s právnymi predpismi o ochrane údajov. Pokiaľ pracovný priestor nie je nastavený pre zdravotníctvo, odberateľ nebude do služby smerovať údaje návštevníkov, ktoré zahŕňajú štátne identifikačné čísla, čísla platobných kariet, prihlasovacie údaje k finančným účtom, heslá k iným službám, biometrické údaje, údaje vedome získané od detí mladších ako 16 rokov alebo osobitné kategórie údajov, ako sú údaje o zdraví, rasovom alebo etnickom pôvode, politických názoroch, náboženstve alebo sexuálnej orientácii, a všetky takéto údaje, ktoré prídu omylom, odstráni. Odberateľ zabezpečuje svoje prihlasovacie údaje ku konzole, rozhoduje o tom, kto z jeho tímu má prístup, uchováva si vlastnú kópiu všetkého, o čo si nemôže dovoliť prísť, a potvrdzuje, že posúdil opatrenia v oddiele 5 a v prílohe II a považuje ich za primerané pre údaje, ktoré prostredníctvom Concierge spracúva.

Kategórie údajov návštevníkov podľa toho, ako ich zhromažďuje konfigurácia odberateľa: identifikátory, ktoré návštevník poskytne (meno, telefónne číslo, e-mailová adresa), obsah konverzácie (správy, hlasový zvuk, prepisy a všetky nahrávky, ktoré odberateľ prevádzkuje), záznamy o kontaktoch a rezerváciách, ktoré asistent vytvorí na základe úkonov návštevníka, technické údaje o relácii (časové pečiatky, kanál, jazyk) a osobné údaje obsiahnuté v materiáli, ktorý odberateľ nahrá do znalostí asistenta, alebo v hlasových vzorkách, ktoré odberateľ poskytne na vytvorenie vlastného hlasu.

Dotknutými osobami sú návštevníci, zákazníci, potenciálni zákazníci a pracovníci odberateľa, ktorých informácie sa službe poskytnú. Spracúvanie zahŕňa získavanie, prenos, usporiadanie, uchovávanie, vyhľadávanie, preklad, generovanie odpovedí, sprístupnenie oprávneným pracovníkom a pripojeným poskytovateľom a vymazanie. Účel: poskytovanie Concierge podľa pokynov odberateľa. Doba trvania sa riadi príslušnými nastaveniami uchovávania a oddielom 9, a nie automaticky celou dobou existencie pracovného priestoru.

Prístup majú len pracovníci, ktorí ho potrebujú na prevádzku alebo zabezpečenie služby, a to na základe povinnosti mlčanlivosti, a v pracovných priestoroch nastavených pre zdravotníctvo sa prístup zaznamenáva. Obsah návštevníkov nevkladáme do analytických údajov, chatov podpory ani verejných systémov na sledovanie chýb.

Služba beží na našej vlastnej infraštruktúre s opatreniami opísanými na našej stránke Zabezpečenie: TLS pri prenose, šifrovanie v pokoji, prístup na základe najnižších potrebných oprávnení, auditné záznamy, bezpečné odstraňovanie súborov po uplynutí doby ich uchovávania a zabezpečené koncové body za firewallom webových aplikácií. Nahrávky sa uchovávajú v objektovom úložisku s riadeným prístupom; prístup ku konzole vyžaduje overenie a je obmedzený podľa rolí. Tieto opatrenia môžeme aktualizovať v súlade so zmenami technológií a hrozieb za predpokladu, že sa celková ochrana údajov návštevníkov podstatne nezníži.

Ďalších sprostredkovateľov zapájame podľa funkcie: cloudový hosting a úložisko (Google Cloud); rozpoznávanie reči, syntéza reči, preklad a modely AI (Google, OpenAI, Anthropic, ElevenLabs a AssemblyAI); sémantické smerovanie krokov konverzácie, ak ho pracovný priestor zapne (TypeSafe); telefónia a textové správy pre telefónne čísla, ktoré odberateľovi poskytujeme (Twilio); platby za vlastný plán a používanie odberateľa (Stripe); doručovanie e-mailov (Resend a náš vlastný server Postal na našej vlastnej infraštruktúre); a – ak odberateľ pripojí telefóniu, správy, platby, rezervácie alebo podnikové systémy – vlastní poskytovatelia odberateľa (napríklad jeho vlastný účet Twilio, poskytovateľ WhatsApp, jeho vlastný účet Stripe, jeho kalendár alebo CRM), ktorých odberateľ zapája priamo na základe vlastného oprávnenia. Príloha III uvádza menovite každého ďalšieho sprostredkovateľa a jeho funkciu.

Odberateľ udeľuje všeobecné písomné povolenie pre ďalších sprostredkovateľov uvedených v aktuálnom zozname poskytnutom pre jeho službu. Každému ďalšiemu sprostredkovateľovi ukladáme na základe písomnej zmluvy povinnosti v oblasti ochrany údajov rovnocenné povinnostiam v tejto DPA a voči odberateľovi naďalej zodpovedáme za plnenie jeho povinností. Obsah návštevníkov sa nesmie používať na trénovanie modelov bez samostatného zákonného pokynu a zmluvného základu. Aktuálny menný zoznam tvorí príloha III a je k dispozícii aj na požiadanie a skôr, ako nový ďalší sprostredkovateľ začne pracovať s údajmi návštevníkov, upozorníme odberateľa najmenej 30 dní vopred v konzole alebo e-mailom; počas tejto lehoty môže odberateľ vzniesť námietku z primeraných dôvodov týkajúcich sa ochrany údajov. Potom s odberateľom v dobrej viere spolupracujeme na vyriešení námietky; ak to nie je možné, odberateľ môže pracovný priestor ukončiť skôr, ako nový ďalší sprostredkovateľ začne pracovať s jeho údajmi, a to je jediný prostriedok nápravy v súvislosti s námietkou. Už splatné poplatky zostávajú splatné a prípadné vrátenie peňazí sa riadi Podmienkami Concierge.

Služba funguje v Spojených štátoch a kvôli nižšej latencii aj na okrajovom uzle v Európskej únii (Frankfurt). Údaje návštevníkov sa preto môžu spracúvať v ktoromkoľvek z týchto regiónov podľa toho, ako to vyžaduje smerovanie relácie. Pred uskutočnením obmedzeného medzinárodného prenosu musia strany stanoviť príslušný zákonný mechanizmus prenosu a zdokumentovať miesta určenia a záruky. Ak sa používajú štandardné zmluvné doložky, súčasťou zmluvy o prenose musia byť príslušné doložky, modul, možnosti a vyplnené prílohy.

Pri prenosoch údajov návštevníkov k nám do Spojených štátov je táto DPA touto zmluvou o prenose a odberateľ sa na ňu spolieha bez samostatného podpisu: pri prenosoch, ktoré sa riadia GDPR (z Európskeho hospodárskeho priestoru), doložky v znení oddielu 13 a jeho príloh; pri prenosoch, ktoré sa riadia právnymi predpismi Spojeného kráľovstva o ochrane údajov, doložky spolu s Dodatkom Spojeného kráľovstva o medzinárodnom prenose údajov v znení oddielu 14; a pri prenosoch, ktoré sa riadia švajčiarskym FADP, doložky so švajčiarskymi úpravami v oddiele 15. Každý z týchto súborov podmienok sa vzťahuje na každý prenos, ktorý sa riadi príslušným právom, bez ohľadu na to, akú odpoveď odberateľ uviedol v konzole v súvislosti s údajmi zo Spojeného kráľovstva alebo zo Švajčiarska. Ak sa na ten istý prenos vzťahuje viac než jeden z týchto právnych poriadkov, každý súbor podmienok sa uplatňuje v rozsahu svojho práva a žiadny neznižuje ochranu, ktorú poskytuje iný.

Prenosy, ktoré sa riadia pravidlami prenosu inej krajiny, vyžadujú mechanizmus, ktorý vyžaduje dané právo; pred zapnutím spracúvania, ktoré si ho vyžaduje, nás kontaktujte. Nemáme certifikáciu podľa rámca EÚ – USA na ochranu osobných údajov (EU-US Data Privacy Framework), jeho rozšírenia pre Spojené kráľovstvo (UK Extension) ani podľa rámca Švajčiarsko – USA na ochranu osobných údajov (Swiss-US Data Privacy Framework) a žiadny prenos podľa tejto DPA sa na ne neopiera.

Návštevníci sú zákazníkmi odberateľa: žiadosti návštevníka týkajúce sa jeho údajov (prístup, oprava, vymazanie, námietka) sa posielajú odberateľovi ako prevádzkovateľovi a odberateľ ich vybavuje pomocou funkcie konzoly na odstránenie jednotlivých kontaktov. Vzhľadom na povahu spracúvania poskytujeme prostredníctvom vhodných technických a organizačných opatrení pomoc pri žiadostiach podľa kapitoly III GDPR a pri rovnocenných právach podľa UK GDPR a FADP. Vzhľadom na informácie, ktoré máme k dispozícii, pomáhame aj v oblasti bezpečnosti, oznamovania porušení ochrany osobných údajov, posúdení vplyvu na ochranu údajov a predchádzajúcich konzultácií s dozornými orgánmi podľa článkov 32 až 36 GDPR a rovnocenných ustanovení UK GDPR a FADP. Pomoc, ktorá presahuje to, čo služba už poskytuje, napríklad zostavenie záznamov pre posúdenie vplyvu na ochranu údajov, môžeme účtovať podľa našich aktuálnych sadzieb za odborné služby, ktoré odberateľovi vopred oznámime.

Ak sa dozvieme o bezpečnostnom incidente, ktorý sa týka údajov návštevníkov v pracovnom priestore, upovedomíme odberateľa bez zbytočného odkladu po tom, ako sa dozvieme o porušení ochrany osobných údajov. Nečakáme na dokončenie vyšetrovania ani nepovažujeme lehotu prevádzkovateľa na regulačné ohlásenie za našu lehotu na oznámenie. Poskytujeme dostupné podrobnosti o porušení, dotknutých údajoch a osobách, pravdepodobných následkoch, kontaktnom mieste a zmierňujúcich opatreniach a ďalšie informácie poskytujeme postupne, ako budú k dispozícii. Akékoľvek oznámenie vlastným návštevníkom alebo regulačným orgánom zabezpečuje odberateľ ako prevádzkovateľ.

Neúspešné pokusy, ktoré neohrozia údaje návštevníkov, napríklad zablokované pokusy o prihlásenie, skenovanie alebo pingy, nie sú incidentmi a neoznamujú sa. Oznámenie nie je priznaním viny ani zodpovednosti. Ak to zákon dovoľuje, odberateľ nás informuje skôr, než uvedie Vavus v oznámení o incidente regulačnému orgánu, návštevníkom alebo verejnosti, a v dobrej viere zváži akúkoľvek opravu, o ktorú požiadame v súvislosti s našou úlohou v incidente.

Odstránením pracovného priestoru sa odstráni jeho konfigurácia a materiál konverzácií vrátane nahrávok z objektového úložiska, s výhradou šifrovaných záloh, ktoré zanikajú podľa našich zásad životného cyklu, a záznamov, ktoré nám zákon ukladá uchovávať (fakturačné záznamy počas zákonnej daňovej lehoty). Odstránením jednotlivého kontaktu sa odstráni materiál konverzácií tohto kontaktu. Pri ukončení podľa voľby odberateľa jeho zostávajúce osobné údaje vrátime v použiteľnom formáte alebo ich vymažeme a vymažeme existujúce kópie, pokiaľ platné právo nevyžaduje ich uchovávanie. Žiadosť o vrátenie musí predchádzať nezvratnému pokynu na vymazanie. Uchovávané záložné kópie zostávajú chránené, nepoužívajú sa na bežné spracúvanie a vymažú sa podľa príslušného zdokumentovaného životného cyklu; ak sa obnovia, pokyny na vymazanie sa musia uplatniť znova.

Ak odberateľ do 30 dní od skončenia pracovného priestoru nedá žiadny pokyn, zostávajúce osobné údaje vymažeme. Na požiadanie vymazanie písomne potvrdíme.

Sprístupňujeme informácie potrebné na preukázanie dodržiavania tejto DPA a umožňujeme audity vrátane kontrol vykonávaných odberateľom alebo nezávislým audítorom, ktorého poverí, a prispievame k nim. Tieto práva má každý odberateľ a nie sú podmienené podnikovým predplatným.

Audity sa začínajú dokumentmi. Na požiadanie poskytneme našu bezpečnostnú dokumentáciu, opatrenia v prílohe II a odpovede na primeraný bezpečnostný dotazník, a ak sa na príslušné opatrenia vzťahuje nedávna správa nezávislého audítora, poskytneme túto správu namiesto nového auditu týchto opatrení. Ak dokumenty skutočne nepostačujú, po potvrdenom porušení ochrany, ktoré sa týka údajov odberateľa, alebo ak to vyžaduje dozorný orgán, môže odberateľ vykonať kontrolu: raz za 12 mesiacov, pokiaľ porušenie ochrany alebo regulačný orgán nevyžaduje viac, s 30-dňovým písomným oznámením a navrhnutým rozsahom, počas pracovnej doby, na základe dohody o mlčanlivosti, bez prístupu k údajom iných zákazníkov a prostredníctvom audítora, ktorý nie je naším konkurentom. Audity sa vykonávajú na náklady odberateľa a odberateľ nám poskytne svoje zistenia. Nič z toho nebráni kontrole, ktorú zákonne vyžaduje regulačný orgán.

Táto DPA platí, kým existuje pracovný priestor odberateľa, a končí sa odstránením pracovného priestoru, pričom jej povinnosti v oblasti ochrany údajov trvajú, kým my alebo naši ďalší sprostredkovatelia uchovávame osobné údaje návštevníkov. Ustanovenia Podmienok Concierge o sporoch, zodpovednosti a rozhodnom práve sa uplatňujú len v rozsahu, v akom neobmedzujú kogentné práva na ochranu údajov, právomoci regulačných orgánov alebo príslušnú zmluvu o prenose; v prípade rozporu má prednosť táto zmluva o prenose.

Záležitosti ochrany údajov, zoznamy ďalších sprostredkovateľov, štandardné zmluvné doložky, dodatok pre Spojené kráľovstvo a švajčiarske úpravy: support@vavusai.com.

Pri prenosoch osobných údajov návštevníkov z Európskeho hospodárskeho priestoru k nám do Spojených štátov táto DPA začleňuje štandardné zmluvné doložky pre prenos osobných údajov do tretích krajín prijaté vykonávacím rozhodnutím Komisie (EÚ) 2021/914 zo 4. júna 2021 (ďalej len „doložky“), modul č. 2 (prenos od prevádzkovateľa k sprostredkovateľovi), doplnené nasledujúcimi prílohami. Pri prenosoch, ktoré sa riadia GDPR, sa doložky začleňujú bez zmien; oddiely 14 a 15 stanovujú, ako sa tie isté doložky uplatňujú na prenosy, ktoré sa riadia právom Spojeného kráľovstva a Švajčiarska. Uzatvárajú sa prostredníctvom zaznamenaného prijatia Podmienok Concierge spolu s touto DPA odberateľom: verzia a časová pečiatka tohto prijatia zaznamenané službou spolu s naším zverejnením tejto DPA v danej verzii predstavujú písomnú dohodu strán o doložkách, takže nie je potrebný samostatný podpis.

Možnosti doložiek sa uplatňujú takto. Nepovinná doložka o pristúpení (doložka 7) sa nepoužíva. Doložka 9 písm. a) sa uplatňuje v rámci možnosti všeobecného písomného povolenia: režim ďalších sprostredkovateľov podľa oddielu 6 je dohodnutým povolením a jeho 30-dňová lehota na predchádzajúce oznámenie predstavuje lehotu na oznámenie podľa tejto doložky. Voliteľný nezávislý orgán riešenia sporov podľa doložky 11 písm. a) sa neponúka. Príslušný dozorný orgán podľa doložky 13 sa určuje podľa kritérií doložky 13 písm. a), ako je uvedené v prílohe I.C. Podľa doložky 17 sa doložky riadia právom členského štátu, v ktorom je odberateľ usadený, alebo, ak odberateľ nie je usadený v členskom štáte alebo ak by toto právo nepriznávalo účinok právam oprávnenej tretej strany, právom Írska; podľa doložky 18 písm. b) majú právomoc súdy tohto členského štátu, prípadne v takom prípade súdy Írska, a podľa doložky 18 písm. c) môže dotknutá osoba podať návrh na začatie konania aj v členskom štáte, v ktorom má obvyklý pobyt. V doložkách, ako sa uplatňujú podľa tohto oddielu, zahŕňajú členské štáty aj štáty Európskeho hospodárskeho priestoru, ktoré nie sú členmi Európskej únie.

Ak sú doložky a táto DPA v rozpore, doložky majú v rozsahu rozporu prednosť, v súlade s oddielom 11. Podľa doložky 8.3 (modul č. 2) odberateľ sprístupní doložky vrátane týchto príloh dotknutej osobe, ktorá o to požiada; aby to bolo možné, na požiadanie poskytneme ich text.

Pri prenosoch osobných údajov návštevníkov, na ktoré sa vzťahujú právne predpisy Spojeného kráľovstva o ochrane údajov (obmedzené prenosy podľa UK GDPR), táto DPA začleňuje Dodatok o medzinárodnom prenose údajov k štandardným zmluvným doložkám Komisie EÚ, ktorý vydal informačný komisár (Information Commissioner) podľa oddielu 119A ods. 1 zákona o ochrane údajov z roku 2018 (Data Protection Act 2018), verzia B1.0 účinná od 21. marca 2022 (ďalej len „dodatok“), doplnený tabuľkami v tomto oddiele. Vzťahuje sa na každý takýto prenos bez ohľadu na to, akú odpoveď odberateľ uviedol v konzole v súvislosti s údajmi zo Spojeného kráľovstva. Ako to povoľuje oddiel 2 dodatku, strany ho uzatvárajú prostredníctvom zaznamenaného prijatia tejto DPA v tejto verzii odberateľom a nášho zverejnenia tejto DPA v tejto verzii, čím sa dodatok stáva právne záväzným pre obe strany a dotknuté osoby môžu uplatňovať svoje práva podľa neho; samostatný podpis nie je potrebný.

Tabuľka 1 – Strany. Dátum začiatku: dátum, keď konzola zaznamená prijatie tejto verzie odberateľom. Vývozca: odberateľ, s úplným právnym názvom, obchodným označením, hlavnou adresou, úradným registračným číslom a hlavnou kontaktnou osobou (meno a funkcia osoby, ktorá zmluvu prijala, a e-mail podniku pre otázky ochrany súkromia) zaznamenanými spolu s jeho prijatím v konzole. Dovozca: DCI Brands LLC, obchodné označenie Vavus; hlavná adresa 312 W 2nd Street, Casper, WY 82601, United States; úradné registračné číslo: Wyoming Secretary of State filing ID 2017-000762309; hlavná kontaktná osoba: Dragos Ignat, vlastník a zakladateľ, support@vavusai.com. Podpis: nevyžaduje sa, ako je uvedené vyššie.

Tabuľka 2 – Zvolené štandardné zmluvné doložky, moduly a zvolené doložky. Schválené štandardné zmluvné doložky EÚ vrátane informácií v prílohách, pričom na účely dodatku nadobúdajú účinnosť len tieto moduly, doložky a voliteľné ustanovenia: uplatňuje sa modul č. 2 (prenos od prevádzkovateľa k sprostredkovateľovi) a moduly č. 1, 3 a 4 sa neuplatňujú; doložka 7 (doložka o pristúpení) sa nepoužíva; možnosť podľa doložky 11 (nezávislý orgán riešenia sporov) sa nepoužíva; doložka 9 písm. a) sa uplatňuje v rámci všeobecného písomného povolenia s lehotou 30 dní na predchádzajúce oznámenie.

Tabuľka 3 – Informácie v prílohách. Príloha 1A (zoznam strán): príloha I.A tejto DPA. Príloha 1B (opis prenosu): príloha I.B tejto DPA. Príloha II (technické a organizačné opatrenia vrátane opatrení na zaistenie bezpečnosti údajov): príloha II tejto DPA. Príloha III (zoznam ďalších sprostredkovateľov): príloha III tejto DPA.

Tabuľka 4 – Ukončenie tohto dodatku pri zmene schváleného dodatku. Ktoré strany môžu ukončiť tento dodatok podľa oddielu 19 dodatku: žiadna strana. Keď informačný komisár vydá revidovaný schválený dodatok podľa oddielu 18 dodatku, tento dodatok sa mení tak, ako stanovuje revízia, odo dňa začiatku, ktorý revízia určí.

Povinné doložky: časť 2: Povinné doložky schváleného dodatku, ktorým je vzorový dodatok B.1.0 vydaný úradom ICO a predložený parlamentu v súlade s oddielom 119A zákona o ochrane údajov z roku 2018 (Data Protection Act 2018) 2. februára 2022, v znení revidovanom podľa oddielu 18 týchto povinných doložiek. Podľa týchto povinných doložiek sa dodatok riadi právom Anglicka a Walesu, spory riešia súdy Anglicka a Walesu, dotknutá osoba môže podať žalobu proti ktorejkoľvek strane aj na súdoch ktorejkoľvek krajiny Spojeného kráľovstva a dozorným orgánom je informačný komisár. Text dodatku poskytneme na požiadanie.

Posúdenie rizika prenosu pre Spojené kráľovstvo. Pri prenose k nám do Spojených štátov sa odberateľ ako vývozca pri posudzovaní práva a praxe Spojených štátov v oblasti prístupu orgánov verejnej moci k osobným údajom a vymáhateľnosti dodatku opiera o analýzu príslušných právnych predpisov a postupov Spojených štátov, ktorú pre vládu Spojeného kráľovstva vypracovalo ministerstvo pre vedu, inovácie a technológie (Department for Science, Innovation and Technology), ako to umožňuje usmernenie informačného komisára k vykonávaniu posúdenia rizika prenosu pri prenosoch do Spojených štátov, a to aj v prípade príjemcu, ktorý nemá certifikáciu podľa rozšírenia rámca EÚ – USA na ochranu osobných údajov pre Spojené kráľovstvo (UK Extension). Podľa tejto analýzy nie je ochrana prenášaných údajov s dodatkom podstatne nižšia ako podľa právnych predpisov Spojeného kráľovstva o ochrane údajov. Certifikáciu podľa tohto rámca nemáme a toto posúdenie sa na certifikáciu neopiera. Prenos, na ktorý sa vzťahuje, je prenos opísaný v prílohe I.B, s následnými prenosmi v prílohe III a so zárukami v prílohe II a v zhrnutí posúdenia vplyvu prenosu. Bez zbytočného odkladu odberateľovi oznámime, ak vláda Spojeného kráľovstva túto analýzu stiahne alebo podstatne zmení alebo ak už nebudeme schopní dodržiavať dodatok, a strany potom toto posúdenie preskúmajú.

Pri prenosoch osobných údajov návštevníkov, na ktoré sa vzťahuje švajčiarsky spolkový zákon o ochrane údajov z 25. septembra 2020 (FADP), sa doložky začlenené v oddiele 13 uplatňujú ako štandardné doložky o ochrane údajov uznané spolkovým komisárom pre ochranu údajov a informácií (FDPIC) podľa článku 16 ods. 2 písm. d) FADP, s nasledujúcimi úpravami. Vzťahujú sa na každý takýto prenos bez ohľadu na to, akú odpoveď odberateľ uviedol v konzole v súvislosti s údajmi zo Švajčiarska. Ak sa prenos riadi FADP aj GDPR, strany zachovávajú oddelené režimy: tieto úpravy sa uplatňujú len v rozsahu, v akom sa prenos riadi FADP, a oddiel 13 sa naďalej uplatňuje bez zmien v rozsahu, v akom sa prenos riadi GDPR.

• Odkazy na nariadenie (EÚ) 2016/679 sa považujú za odkazy na FADP, pokiaľ prenos podlieha FADP.
• FDPIC je príslušným dozorným orgánom podľa doložky 13 a prílohy I.C pri prenosoch, ktoré sa riadia FADP; ak sa prenos riadi aj GDPR, orgán určený podľa doložky 13 písm. a) zostáva pre túto časť paralelne príslušný.
• Pri prenosoch, ktoré sa riadia len FADP, sa doložky podľa doložky 17 riadia švajčiarskym právom a spory medzi stranami podľa doložky 18 písm. b) riešia švajčiarske súdy v mieste registrovaného sídla odberateľa.
• Pojem „členský štát“ v doložkách sa nesmie vykladať spôsobom, ktorý by dotknutým osobám vo Švajčiarsku bránil uplatňovať nároky na svoje práva v mieste ich obvyklého pobytu, vo Švajčiarsku, podľa doložky 18 písm. c).
• Zhrnutie posúdenia vplyvu prenosu sa vzťahuje na tieto prenosy a vykladá sa s odkazom na FADP. Nemáme certifikáciu podľa rámca Švajčiarsko – USA na ochranu osobných údajov (Swiss-US Data Privacy Framework), preto sa uznanie Spojených štátov Spolkovou radou pre certifikované spoločnosti nevzťahuje na prenosy k nám. FADP nevyžaduje, aby sa použitie týchto doložiek oznamovalo FDPIC.

Vývozca údajov: odberateľ, prevádzkovateľ údajov návštevníkov, usadený v krajine zaznamenanej pre pracovný priestor v konzole, ktorou môže byť členský štát Európskeho hospodárskeho priestoru, Spojené kráľovstvo, Švajčiarsko alebo iná krajina; ak odberateľ usadený inde podlieha pri spracúvaní údajov návštevníkov GDPR, právnym predpisom Spojeného kráľovstva o ochrane údajov alebo FADP, je vývozcom údajov pri prenosoch, ktoré sa riadia týmto právom. Jeho činnosti súvisiace s prenosom sú prevádzkovanie jeho podniku a riadenie pracovného priestoru Concierge prostredníctvom konzoly. Jeho úplný právny názov, obchodné označenie, adresa, registračné číslo, e-mail pre otázky ochrany súkromia a meno a funkcia osoby, ktorá zmluvu v jeho mene prijala, sú tie, ktoré sú zaznamenané spolu s jeho prijatím v konzole. Úloha: prevádzkovateľ.

Dovozca údajov: DCI Brands LLC („Vavus“, sprostredkovateľ), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); činnosti súvisiace s prenosom: poskytovanie služby Concierge podľa tejto DPA; kontakt pre záležitosti ochrany údajov: support@vavusai.com. Úloha: sprostredkovateľ.

Podpis a dátum: za vývozcu údajov jeho prijatie tejto DPA zaznamenané v konzole (verzia, dátum a čas a osoba, ktorá ju prijala); za dovozcu údajov naše zverejnenie tejto DPA v tejto verzii, ako stanovuje oddiel 13.

Kategórie dotknutých osôb: návštevníci, zákazníci, potenciálni zákazníci a pracovníci odberateľa, ktorých informácie sa službe poskytnú.

Kategórie osobných údajov: identifikátory, ktoré návštevník poskytne (meno, telefónne číslo, e-mailová adresa), obsah konverzácie (správy, hlasový zvuk, prepisy a všetky nahrávky, ktoré odberateľ prevádzkuje), záznamy o kontaktoch a rezerváciách, ktoré asistent vytvorí na základe úkonov návštevníka, technické údaje o relácii (časové pečiatky, kanál, jazyk) a osobné údaje obsiahnuté v materiáli, ktorý odberateľ nahrá do znalostí asistenta, alebo v hlasových vzorkách, ktoré odberateľ poskytne na vytvorenie vlastného hlasu.

Citlivé údaje: služba bežne nezhromažďuje osobitné kategórie údajov. Ak konfigurácia odberateľa robí výskyt zdravotných informácií predvídateľným (pracovné priestory nastavené pre zdravotníctvo), prístup je obmedzený na pracovníkov, ktorí ho potrebujú, a zaznamenáva sa, pričom odberateľ naďalej zodpovedá za to, aby sa ich získavanie zakladalo na vlastnom právnom základe a pokynoch odberateľa.

Frekvencia a trvanie: nepretržite, počas existencie pracovného priestoru, podľa toho, ako prebiehajú relácie, rezervácie a používanie konzoly; uchovávanie sa riadi oddielmi 3 a 9. Povaha a účel: získavanie, prenos, usporiadanie, uchovávanie, vyhľadávanie, preklad, generovanie odpovedí, sprístupnenie oprávneným pracovníkom a ďalším sprostredkovateľom uvedeným v prílohe III a vymazanie na účely poskytovania Concierge podľa pokynov odberateľa. Následné prenosy sú obmedzené na doložku 9, oddiel 6 a zoznam v prílohe III.

Pri prenosoch, ktoré sa riadia GDPR, sa príslušný dozorný orgán určuje podľa doložky 13 písm. a): ak je odberateľ (ako vývozca údajov) usadený v členskom štáte, dozorný orgán zodpovedný za zabezpečenie dodržiavania GDPR odberateľom, pokiaľ ide o prenos; ak odberateľ nie je usadený v členskom štáte, ale patrí do pôsobnosti článku 3 ods. 2 GDPR a vymenoval zástupcu podľa článku 27 ods. 1, dozorný orgán členského štátu, v ktorom je tento zástupca usadený; a ak odberateľ nie je usadený v členskom štáte, patrí do pôsobnosti článku 3 ods. 2 a nie je povinný vymenovať zástupcu podľa článku 27 ods. 2, dozorný orgán jedného z členských štátov, v ktorých sa nachádzajú dotknuté osoby, ktorých osobné údaje sa prenášajú v súvislosti s ponukou tovaru alebo služieb pre ne alebo ktorých správanie sa monitoruje.

Pri prenosoch, ktoré sa riadia právnymi predpismi Spojeného kráľovstva o ochrane údajov, informačný komisár, ako stanovuje oddiel 14. Pri prenosoch, ktoré sa riadia FADP, spolkový komisár pre ochranu údajov a informácií, ako stanovuje oddiel 15, paralelne s vyššie uvedeným orgánom, ak sa prenos riadi aj GDPR.

Opatrenia, ktoré dovozca údajov uplatňuje na ochranu údajov, ako sú opísané v oddieloch 4, 5, 8 a 9 tejto DPA:

• TLS pre údaje pri prenose a šifrovanie v pokoji v celej službe
• Prístup na základe najnižších potrebných oprávnení, obmedzený podľa rolí, prostredníctvom konzoly s overením; pracovníci viazaní povinnosťou mlčanlivosti
• Zaznamenávanie prístupu v pracovných priestoroch nastavených pre zdravotníctvo a auditné záznamy administratívnych úkonov
• Nahrávky uchovávané v objektovom úložisku s riadeným prístupom
• Bezpečné odstraňovanie súborov po uplynutí doby ich uchovávania; šifrované zálohy podľa zdokumentovaného životného cyklu
• Šifrované hodinové zálohy s kontrolami obnovy na zabezpečenie kontinuity a obnovy
• Monitorovanie softvéru a závislostí služby z hľadiska zraniteľností a ich opravovanie
• Zmeny nasadzované prostredníctvom správy verzií a skriptovaného nasadenia s kontrolami stavu a možnosťou vrátenia zmien
• Heslá uložené len ako hašované hodnoty so soľou; účty uzamknuté po opakovaných neúspešných pokusoch o prihlásenie
• Fyzická bezpečnosť dátových centier zabezpečená spoločnosťou Google Cloud v rámci jej certifikácií
• Zabezpečené koncové body za firewallom webových aplikácií s obmedzovaním počtu požiadaviek
• Oznamovanie porušení ochrany osobných údajov odberateľovi bez zbytočného odkladu po ich zistení, s podrobnosťami a postupným doplňovaním informácií
• Pomoc pri žiadostiach dotknutých osôb a pri plnení povinností odberateľa podľa článkov 32 až 36 GDPR a rovnocenných ustanovení UK GDPR a FADP
• Písomné zmluvy s ďalšími sprostredkovateľmi, ktoré obsahujú v podstate rovnaké povinnosti v oblasti ochrany údajov ako táto DPA

Ďalší sprostredkovatelia povolení podľa doložky 9 písm. a) (všeobecné písomné povolenie) a oddielu 6, podľa funkcie. Zmeny sa riadia podmienkami oznamovania a námietok podľa oddielu 6.

Poskytovateľov, ktorých odberateľ pripája sám – jeho vlastné účty pre telefóniu alebo správy (napríklad jeho vlastný účet Twilio alebo poskytovateľ WhatsApp), jeho vlastný účet Stripe pre platby, ktoré prijíma od svojich zákazníkov, a kalendár, CRM, systém na správu požiadaviek alebo obchodné systémy, ktoré pripojí –, zapája odberateľ priamo na základe vlastného oprávnenia a nie sú našimi ďalšími sprostredkovateľmi.

• Google Cloud – cloudový hosting a úložisko (primárny región v Spojených štátoch, okrajový uzol v EÚ vo Frankfurte)
• Google – rozpoznávanie reči, syntéza reči, preklad a modely AI
• OpenAI – modely AI, rozpoznávanie reči a syntéza reči
• Anthropic – modely AI
• ElevenLabs – rozpoznávanie reči, syntéza reči a vlastné hlasy (nepoužíva sa pre pracovné priestory nastavené pre zdravotníctvo)
• AssemblyAI – rozpoznávanie reči, ak ho používa nastavenie reči pracovného priestoru
• TypeSafe – sémantické smerovanie krokov konverzácie, ak ho zapnú nastavenia asistenta pracovného priestoru
• Twilio – telefónia a textové správy pre telefónne čísla, ktoré odberateľovi poskytujeme
• Stripe – platby za vlastný plán Concierge a používanie odberateľa
• Resend – doručovanie e-mailov
• Vlastný server Postal na našej vlastnej infraštruktúre – doručovanie e-mailov

Ak sa na údaje návštevníkov vzťahuje kalifornský zákon o ochrane súkromia spotrebiteľov (California Consumer Privacy Act) alebo iný zákon štátu Spojených štátov o ochrane súkromia, odberateľ je podnikom (business) alebo prevádzkovateľom (controller) a Vavus je jeho poskytovateľom služieb (service provider), zmluvným dodávateľom (contractor) alebo sprostredkovateľom (processor) a pojmy v tejto prílohe majú význam, ktorý im tieto zákony priznávajú. Odberateľ nám sprístupňuje údaje návštevníkov len na obmedzený a určený účel poskytovania Concierge, ako ho opisuje táto DPA a Podmienky Concierge.

Zaväzujeme sa: spracúvať údaje návštevníkov len na tento účel a podľa pokynov odberateľa a nikdy ich nepredávať ani nezdieľať; neuchovávať, nepoužívať ani nesprístupňovať ich na žiadny iný účel vrátane akéhokoľvek obchodného účelu ani mimo nášho priameho obchodného vzťahu s odberateľom; nekombinovať ich s osobnými údajmi, ktoré dostaneme od kohokoľvek iného alebo ktoré sami zhromaždíme, okrem prípadov, keď to tieto zákony povoľujú na účely poskytovania služby; dodržiavať povinnosti, ktoré tieto zákony ukladajú poskytovateľom služieb, a poskytovať údajom návštevníkov rovnakú úroveň ochrany súkromia, akú vyžadujú; písomne informovať odberateľa, ak rozhodneme, že už nedokážeme tieto povinnosti plniť; umožniť odberateľovi prijať primerané a vhodné kroky na overenie, že údaje návštevníkov používame v súlade s jeho vlastnými povinnosťami, a to aj prostredníctvom oddielu 10, ako aj zastaviť a napraviť akékoľvek neoprávnené používanie; a oznamovať odberateľovi nových ďalších sprostredkovateľov podľa oddielu 6, čím sa splní oznamovacia povinnosť, ktorú tieto zákony vyžadujú. Osvedčujeme, že týmto obmedzeniam rozumieme a budeme ich dodržiavať.

Žiadosti návštevníkov podľa týchto zákonov sa posielajú odberateľovi a my poskytujeme pomoc, ako opisuje oddiel 8.

Právo Spojených štátov umožňuje orgánom verejnej moci za vymedzených okolností vynútiť si sprístupnenie osobných údajov, ktoré uchovávajú poskytovatelia služieb (najmä oddiel 702 zákona FISA a výkonné nariadenie 12333). Pred odsúhlasením týchto doložiek sme posúdili prenos vo vzťahu k týmto právnym predpisom a postupom, ako to vyžaduje doložka 14, pričom sme zohľadnili konkrétne okolnosti prenosu: údaje na podporu podnikania (identifikátory, obsah konverzácií, záznamy o rezerváciách, technické údaje o relácii), krátky reťazec spracúvania (odberateľ, my a ďalší sprostredkovatelia uvedení v prílohe III), naše posúdenie, že pri poskytovaní Concierge nekonáme vo vzťahu k tejto prevádzke ako poskytovateľ elektronických komunikačných služieb, a zavedené zmluvné, technické a organizačné záruky. Toto posúdenie priebežne preskúmavame, dokumentujeme ho a na požiadanie ho sprístupníme príslušnému dozornému orgánu.

Doplnkové opatrenia: technické a organizačné opatrenia v prílohe II, minimalizácia prostredníctvom zhromažďovania nastaveného odberateľom, práva na audit v oddiele 10 a povinnosti, ktoré preberáme podľa doložiek 14 a 15 – oznámiť odberateľovi právne záväznú žiadosť o sprístupnenie, ak to právo dovoľuje, usilovať sa o upustenie od akéhokoľvek zákazu oznámenia a v pravidelných intervaloch poskytovať súhrnné informácie, preskúmať zákonnosť žiadosti a napadnúť ju, ak existujú opodstatnené dôvody domnievať sa, že je nezákonná, a sprístupniť minimálny prípustný rozsah informácií. Ak dospejeme k záveru, že už nedokážeme dodržiavať doložky, bezodkladne to odberateľovi oznámime a odberateľ môže prenos pozastaviť, ako stanovujú doložky. Ak sa na prenos začne vzťahovať rozhodnutie o primeranosti (napríklad ak získame certifikáciu podľa rámca EÚ – USA na ochranu osobných údajov), doložky sa na tento prenos uplatňujú len v rozsahu, v akom sa naň nevzťahuje rozhodnutie o primeranosti.

Pri prenosoch zo Spojeného kráľovstva sa uplatňuje posúdenie rizika prenosu v oddiele 14. Pri prenosoch zo Švajčiarska sa toto posúdenie uplatňuje s odkazom na FADP, ako stanovuje oddiel 15.