Personuppgiftsbiträdesavtal för Vavus Concierge

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan DCI Brands LLC (”Vavus”, ”vi”, personuppgiftsbiträdet), 312 W 2nd Street, Casper, WY 82601, United States, och det företag som driver en arbetsyta i Vavus Concierge (klientorganisationen, den personuppgiftsansvarige). Det gäller besökardata som Vavus behandlar enligt klientorganisationens instruktioner via tjänsten Concierge: konsolen, webbplatswidgeten, värdbaserade agentsidor, telefon- och meddelandekanaler samt bokningar.

Det är ett tillägg till användarvillkoren för Vavus Concierge, som klientorganisationen godkänner tillsammans med detta PUB-avtal. Om detta PUB-avtal är oförenligt med Concierge-villkoren i fråga om behandlingen av besökardata har detta PUB-avtal företräde. Det är utformat för att uppfylla artikel 28 i dataskyddsförordningen (GDPR) och i den brittiska dataskyddsförordningen (UK GDPR), artikel 9 i den schweiziska federala lagen om dataskydd (FADP) samt jämförbara åtaganden för personuppgiftsbiträden i andra länder; om lokal lag ställer strängare krav på personuppgiftsbiträden har dessa företräde för behandling i den jurisdiktionen. Bilaga IV gäller dessutom när en delstatlig integritetslag i USA gäller för klientorganisationens besökardata.

Klientorganisationen är personuppgiftsansvarig för besökardata: den bestämmer vad assistenten gör, vilken kunskap den har, vilka kanaler som är i drift och vad besökarna tillfrågas om. Vavus är personuppgiftsbiträde: vi agerar endast enligt klientorganisationens instruktioner via konsolen och tjänstens normala drift, och behandlar besökardata enbart för att tillhandahålla Concierge.

Vi informerar omedelbart klientorganisationen om en instruktion enligt vår mening strider mot tillämplig dataskyddslagstiftning, och vi följer inte en uppenbart olaglig instruktion. Om lag kräver behandling utanför de dokumenterade instruktionerna informerar vi klientorganisationen före den behandlingen, om inte lagen förbjuder detta. Vi behandlar inte besökardata för våra egna ändamål, och vi använder dem inte för att träna våra modeller och säljer dem inte.

Detta PUB-avtal, inklusive överföringsvillkoren i avsnitt 7 och 13–15, omfattar en klientorganisation som är personuppgiftsansvarig för sina besökardata. Det omfattar inte en klientorganisation som behandlar uppgifterna för en annan personuppgiftsansvarigs räkning, eftersom det inte erbjuder modul tre (överföring från personuppgiftsbiträde till personuppgiftsbiträde) i klausulerna; ett sådant företag får inte godkänna det för dessa uppgifter.

Klientorganisationen ansvarar för lagenligheten i det som den ber oss att göra. Den bekräftar att den har en rättslig grund för behandlingen, inklusive enligt artiklarna 6, 9 och 10 i dataskyddsförordningen där de är tillämpliga; att den har gett besökarna den information som artiklarna 12–14 kräver och har inhämtat varje samtycke som lagen kräver, inklusive för inspelning eller översättning av ett samtal; och att dess instruktioner är förenliga med dataskyddslagstiftningen. Om inte arbetsytan är konfigurerad för vård kommer klientorganisationen inte att föra in besökardata i tjänsten som omfattar statliga identifikationsnummer, betalkortsnummer, inloggningsuppgifter till finansiella konton, lösenord till andra tjänster, biometriska uppgifter, uppgifter som medvetet samlats in från barn under 16 år eller särskilda kategorier av personuppgifter såsom hälsa, ras eller etniskt ursprung, politiska åsikter, religion eller sexuell läggning, och den kommer att ta bort sådana uppgifter som kommer in av misstag. Klientorganisationen håller sina inloggningsuppgifter till konsolen säkra, bestämmer vem i dess team som har åtkomst, behåller en egen kopia av allt som den inte har råd att förlora och bekräftar att den har granskat åtgärderna i avsnitt 5 och bilaga II och anser att de är tillräckliga för de uppgifter som den behandlar via Concierge.

Kategorier av besökardata, i den mån klientorganisationens konfiguration samlar in dem: identifierare som besökaren lämnar (namn, telefonnummer, e-postadress), konversationsinnehåll (meddelanden, röstljud, transkript och eventuella inspelningar som klientorganisationen använder), kontakt- och bokningsposter som assistenten skapar utifrån besökarens åtgärder, tekniska sessionsdata (tidsstämplar, kanal, språk) samt personuppgifter i material som klientorganisationen laddar upp till assistentens kunskap eller i röstprover som klientorganisationen tillhandahåller för att skapa en anpassad röst.

Registrerade är klientorganisationens besökare, kunder, potentiella kunder och personal vars uppgifter lämnas till tjänsten. Behandlingen omfattar insamling, överföring, organisering, lagring, hämtning, översättning, generering av svar, utlämnande till behörig personal och anslutna leverantörer samt radering. Ändamål: att tillhandahålla Concierge enligt klientorganisationens instruktioner. Varaktigheten följer de tillämpliga lagringsinställningarna och avsnitt 9, i stället för att automatiskt pågå under arbetsytans hela livstid.

Endast personal som behöver åtkomst för att driva eller skydda tjänsten har det, under sekretessförpliktelser, och åtkomsten loggas för arbetsytor som är konfigurerade för vård. Vi lägger inte besökarinnehåll i analysdata, supportchattar eller offentliga ärendespårare.

Tjänsten körs på vår egen infrastruktur med de åtgärder som beskrivs på vår säkerhetssida: TLS vid överföring, kryptering i vila, åtkomst enligt principen om minsta behörighet, granskningsloggning, säker radering av filer vars lagringstid har löpt ut samt härdade slutpunkter bakom en brandvägg för webbapplikationer. Inspelningar förvaras i objektlagring med åtkomstkontroll; åtkomst till konsolen är autentiserad och begränsad efter roll. Vi kan uppdatera dessa åtgärder i takt med att tekniken och hoten förändras, förutsatt att det samlade skyddet för besökardata inte väsentligt minskar.

Vi anlitar underbiträden efter funktion: molnvärdtjänst och lagring (Google Cloud); taligenkänning, talsyntes, översättning och AI-modeller (Google, OpenAI, Anthropic, ElevenLabs och AssemblyAI); semantisk dirigering av konversationsturer, där arbetsytan aktiverar det (TypeSafe); telefoni och textmeddelanden för telefonnummer som vi tillhandahåller klientorganisationen (Twilio); betalningar för klientorganisationens egen plan och användning (Stripe); e-postleverans (Resend, samt vår egen Postal-server på vår egen infrastruktur); och – där klientorganisationen ansluter telefoni-, meddelande-, betalnings-, boknings- eller affärssystem – klientorganisationens egna leverantörer (till exempel dess eget Twilio-konto, WhatsApps leverantör, dess eget Stripe-konto, dess kalender eller dess CRM), som klientorganisationen anlitar direkt med stöd av sin egen behörighet. Bilaga III anger varje underbiträde och dess funktion.

Klientorganisationen ger ett allmänt skriftligt tillstånd för de underbiträden som anges i den aktuella förteckning som tillhandahålls för dess tjänst. Vi ålägger varje underbiträde dataskyddsskyldigheter motsvarande dem i detta PUB-avtal genom ett skriftligt avtal och förblir ansvariga gentemot klientorganisationen för underbiträdets fullgörande. Besökarinnehåll får inte användas för modellträning utan en separat laglig instruktion och avtalsgrund. Den aktuella förteckningen med namn utgör bilaga III och finns även tillgänglig på begäran, och vi underrättar klientorganisationen minst 30 dagar i förväg i konsolen eller via e-post innan ett nytt underbiträde hanterar besökardata, under vilken tid klientorganisationen kan invända av rimliga dataskyddsskäl. Vi samarbetar därefter i god tro med klientorganisationen för att lösa invändningen; om vi inte kan det får klientorganisationen avsluta arbetsytan innan det nya underbiträdet hanterar dess uppgifter, och detta är den enda åtgärden med anledning av invändningen. Avgifter som redan förfallit ska fortfarande betalas, och eventuell återbetalning sker enligt Concierge-villkoren.

Tjänsten drivs i USA och, för lägre latens, vid en edge-nod i Europeiska unionen (Frankfurt). Besökardata kan därför behandlas i båda regionerna beroende på vad sessionsdirigeringen kräver. Innan en begränsad internationell överföring äger rum måste parterna fastställa den tillämpliga lagliga överföringsmekanismen och dokumentera mottagarländerna och skyddsåtgärderna. Där standardavtalsklausuler används måste de tillämpliga klausulerna, modulen, alternativen och de ifyllda bilagorna utgöra en del av överföringsavtalet.

För överföringar av besökardata till oss i USA är detta PUB-avtal det överföringsavtalet, och klientorganisationen förlitar sig på det utan separat underskrift: för överföringar som omfattas av dataskyddsförordningen (från Europeiska ekonomiska samarbetsområdet), klausulerna enligt avsnitt 13 och dess bilagor; för överföringar som omfattas av brittisk dataskyddslagstiftning, klausulerna tillsammans med det brittiska tillägget för internationella dataöverföringar (UK International Data Transfer Addendum) enligt avsnitt 14; och för överföringar som omfattas av den schweiziska FADP, klausulerna med de schweiziska anpassningarna i avsnitt 15. Var och en gäller för varje överföring som omfattas av dess lag, oavsett vilket svar klientorganisationen gav i konsolen om brittiska eller schweiziska uppgifter. Om mer än en av dessa lagar gäller för samma överföring gäller varje uppsättning villkor i den utsträckning dess egen lag gäller, och ingen av dem minskar det skydd som en annan ger.

Överföringar som omfattas av något annat lands överföringsregler kräver den mekanism som den lagen föreskriver; kontakta oss innan du aktiverar behandling som kräver en sådan. Vi är inte certifierade enligt ramen för dataskydd mellan EU och USA (EU-US Data Privacy Framework), dess brittiska tillägg (UK Extension) eller ramen för dataskydd mellan Schweiz och USA (Swiss-US Data Privacy Framework), och ingen överföring enligt detta PUB-avtal grundas på dem.

Besökarna är klientorganisationens kunder: begäranden från en besökare om dennes uppgifter (tillgång, rättelse, radering, invändning) går till klientorganisationen som personuppgiftsansvarig, och klientorganisationen besvarar dem med hjälp av konsolens radering per kontakt. Med beaktande av behandlingens art bistår vi genom lämpliga tekniska och organisatoriska åtgärder med begäranden enligt kapitel III i dataskyddsförordningen och motsvarande rättigheter enligt UK GDPR och FADP. Med beaktande av den information som är tillgänglig för oss bistår vi också i fråga om säkerhet, anmälningar av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheter enligt artiklarna 32–36 i dataskyddsförordningen och motsvarande bestämmelser i UK GDPR och FADP. Bistånd som går utöver vad tjänsten redan tillhandahåller, till exempel sammanställning av underlag för en konsekvensbedömning avseende dataskydd, kan debiteras enligt våra vid tidpunkten gällande priser för professionella tjänster, som anges för klientorganisationen i förväg.

Om vi får kännedom om en säkerhetsincident som påverkar besökardata i en arbetsyta underrättar vi klientorganisationen utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident. Vi väntar inte på en avslutad utredning och behandlar inte den personuppgiftsansvariges tidsfrist för rapportering till myndigheter som vår tidsfrist för underrättelse. Vi lämnar de tillgängliga uppgifterna om incidenten, berörda uppgifter och personer, sannolika konsekvenser, kontaktpunkt och begränsande åtgärder, och lämnar ytterligare information i etapper när den blir tillgänglig. Klientorganisationen hanterar som personuppgiftsansvarig alla underrättelser till sina egna besökare eller till tillsynsmyndigheter.

Misslyckade försök som inte äventyrar besökardata, till exempel blockerade inloggningsförsök, skanningar eller pingar, är inte incidenter och rapporteras inte. En underrättelse innebär inte ett medgivande av fel eller ansvar. Där lagen tillåter det meddelar klientorganisationen oss innan den nämner Vavus i en underrättelse om en incident till en tillsynsmyndighet, till besökare eller till allmänheten, och överväger i god tro varje rättelse som vi begär om vår del i den.

Radering av en arbetsyta tar bort arbetsytans konfiguration och konversationsmaterial, inklusive inspelningar i objektlagringen, med förbehåll för att krypterade säkerhetskopior fasas ut enligt vår livscykelpolicy och för poster som lagen kräver att vi behåller (faktureringsposter under den lagstadgade skatteperioden). Radering per kontakt tar bort den kontaktens konversationsmaterial. Efter klientorganisationens val vid avtalets upphörande återlämnar vi dess återstående personuppgifter i ett användbart format eller raderar dem, och raderar befintliga kopior om inte tillämplig lag kräver att de bevaras. En begäran om återlämnande måste komma före en oåterkallelig raderingsinstruktion. Säkerhetskopior som behålls förblir skyddade, används inte för ordinarie behandling och raderas enligt den tillämpliga dokumenterade livscykeln; om de återställs måste raderingsinstruktionerna tillämpas på nytt.

Om klientorganisationen inte lämnar någon instruktion inom 30 dagar efter att arbetsytan har upphört raderar vi de återstående personuppgifterna. Vi bekräftar raderingen skriftligen på begäran.

Vi gör den information tillgänglig som krävs för att visa att detta PUB-avtal efterlevs och möjliggör och bidrar till granskningar, inklusive inspektioner, som utförs av klientorganisationen eller av en oberoende granskare som klientorganisationen har utsett. Dessa rättigheter gäller för varje klientorganisation och är inte villkorade av ett Enterprise-abonnemang.

Granskningar inleds med dokument. På begäran tillhandahåller vi vår säkerhetsdokumentation, åtgärderna i bilaga II och svar på ett rimligt säkerhetsfrågeformulär, och om en aktuell rapport från en oberoende granskare omfattar de kontroller det gäller tillhandahåller vi den rapporten i stället för en ny granskning av dem. Om dokumenten verkligen är otillräckliga, efter en bekräftad incident som påverkar klientorganisationens uppgifter, eller om en tillsynsmyndighet kräver det, får klientorganisationen genomföra en inspektion: en gång under varje period om 12 månader, om inte en incident eller en tillsynsmyndighet kräver fler, med 30 dagars skriftligt varsel och ett förslag till omfattning, under kontorstid, enligt ett sekretessavtal, utan tillgång till andra kunders uppgifter och med en granskare som inte är vår konkurrent. Granskningar sker på klientorganisationens bekostnad, och klientorganisationen delar sina iakttagelser med oss. Inget av detta hindrar en inspektion som en tillsynsmyndighet lagligen kräver.

Detta PUB-avtal gäller så länge klientorganisationens arbetsyta finns och upphör när arbetsytan raderas, och dess dataskyddsskyldigheter fortsätter att gälla så länge vi eller våra underbiträden behåller besökares personuppgifter. Concierge-villkorens bestämmelser om tvister, ansvar och tillämplig lag gäller endast i den mån de inte begränsar tvingande dataskyddsrättigheter, tillsynsbefogenheter eller ett tillämpligt överföringsavtal; det avtalet har företräde vid en konflikt.

Dataskyddsfrågor, förteckningar över underbiträden, standardavtalsklausulerna, det brittiska tillägget och de schweiziska anpassningarna: support@vavusai.com.

För överföringar av besökares personuppgifter från Europeiska ekonomiska samarbetsområdet till oss i USA införlivar detta PUB-avtal de standardavtalsklausuler för överföring av personuppgifter till tredjeländer som antogs genom kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021 (”klausulerna”), modul två (överföring från personuppgiftsansvarig till personuppgiftsbiträde), kompletterade med de bilagor som följer. För överföringar som omfattas av dataskyddsförordningen införlivas klausulerna utan ändringar; avsnitt 14 och 15 anger hur samma klausuler tillämpas på överföringar som omfattas av brittisk och schweizisk lag. De ingås genom klientorganisationens registrerade godkännande av Concierge-villkoren tillsammans med detta PUB-avtal: den version och tidsstämpel för det godkännandet som tjänsten registrerar, tillsammans med vår publicering av detta PUB-avtal i den versionen, utgör parternas skriftliga överenskommelse om klausulerna, så ingen separat underskrift behövs.

Klausulernas alternativ utövas enligt följande. Den valfria anslutningsklausulen (klausul 7) används inte. Klausul 9 a tillämpas enligt alternativet med allmänt skriftligt tillstånd: ordningen för underbiträden i avsnitt 6 utgör det överenskomna tillståndet, och dess varsel om 30 dagar i förväg utgör klausulens tidsfrist för underrättelse. Det valfria oberoende tvistlösningsorganet i klausul 11 a erbjuds inte. Den behöriga tillsynsmyndigheten enligt klausul 13 bestäms enligt kriterierna i klausul 13 a, så som anges i bilaga I.C. Enligt klausul 17 ska klausulerna regleras av lagen i den medlemsstat där klientorganisationen är etablerad, eller, om klientorganisationen inte är etablerad i en medlemsstat eller den lagen inte skulle medge rättigheter för tredjepartsförmånstagare, av irländsk lag; enligt klausul 18 b är domstolarna i den medlemsstaten, eller i det fallet Irlands domstolar, behöriga, och enligt klausul 18 c får en registrerad även väcka talan i den medlemsstat där denne har sin vanliga vistelseort. I klausulerna, så som de tillämpas enligt detta avsnitt, omfattar medlemsstater även de stater i Europeiska ekonomiska samarbetsområdet som inte är medlemmar i Europeiska unionen.

Om klausulerna och detta PUB-avtal är oförenliga har klausulerna företräde i den utsträckning som oförenligheten föreligger, i överensstämmelse med avsnitt 11. Enligt klausul 8.3 (modul två) gör klientorganisationen klausulerna, inklusive dessa bilagor, tillgängliga för en registrerad som begär det; vi tillhandahåller texten på begäran för att möjliggöra det.

För överföringar av besökares personuppgifter som omfattas av brittisk dataskyddslagstiftning (begränsade överföringar, Restricted Transfers, enligt UK GDPR) införlivar detta PUB-avtal tillägget för internationella dataöverföringar till Europeiska kommissionens standardavtalsklausuler (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses), utfärdat av Information Commissioner enligt section 119A(1) i Data Protection Act 2018, version B1.0, i kraft den 21 mars 2022 (”tillägget”), kompletterat med tabellerna i detta avsnitt. Det gäller för varje sådan överföring, oavsett vilket svar klientorganisationen gav i konsolen om brittiska uppgifter. Så som avsnitt 2 i tillägget medger ingår parterna det genom klientorganisationens registrerade godkännande av detta PUB-avtal i denna version och vår publicering av detta PUB-avtal i denna version, vilket gör det rättsligt bindande för båda parter och ger de registrerade möjlighet att utöva sina rättigheter enligt det; ingen separat underskrift behövs.

Tabell 1 – Parter. Startdatum: det datum då konsolen registrerar klientorganisationens godkännande av denna version. Exportör: klientorganisationen, med det fullständiga juridiska namn, handelsnamn, huvudadress, officiella registreringsnummer och den nyckelkontakt (den godkännande personens namn och roll samt företagets e-postadress för integritetsfrågor) som registrerats med dess godkännande i konsolen. Importör: DCI Brands LLC, med handelsnamnet Vavus; huvudadress 312 W 2nd Street, Casper, WY 82601, United States; officiellt registreringsnummer: Wyoming Secretary of State, ärende-ID 2017-000762309; nyckelkontakt: Dragos Ignat, ägare och grundare, support@vavusai.com. Underskrift: krävs inte, enligt vad som anges ovan.

Tabell 2 – Valda standardavtalsklausuler, moduler och valda klausuler. De godkända EU-standardavtalsklausulerna (Approved EU SCCs), inklusive bilagsinformationen (Appendix Information), där endast följande moduler, klausuler och valfria bestämmelser har satts i kraft för tilläggets ändamål: modul 2 (överföring från personuppgiftsansvarig till personuppgiftsbiträde) tillämpas, och modulerna 1, 3 och 4 tillämpas inte; klausul 7 (anslutningsklausul) används inte; alternativet i klausul 11 (oberoende tvistlösningsorgan) används inte; klausul 9 a tillämpas enligt allmänt skriftligt tillstånd, med en tidsfrist om 30 dagars förhandsunderrättelse.

Tabell 3 – Bilagsinformation. Bilaga 1A (förteckning över parter): bilaga I.A till detta PUB-avtal. Bilaga 1B (beskrivning av överföringen): bilaga I.B till detta PUB-avtal. Bilaga II (tekniska och organisatoriska åtgärder, inklusive åtgärder för att säkerställa uppgifternas säkerhet): bilaga II till detta PUB-avtal. Bilaga III (förteckning över underbiträden): bilaga III till detta PUB-avtal.

Tabell 4 – Upphörande av detta tillägg när det godkända tillägget ändras. Vilka parter som får avsluta detta tillägg enligt avsnitt 19 i tillägget: ingen av parterna. När Information Commissioner utfärdar ett reviderat godkänt tillägg (Approved Addendum) enligt avsnitt 18 i tillägget ändras detta tillägg så som revideringen anger från och med det startdatum som den fastställer.

Obligatoriska klausuler: del 2: obligatoriska klausuler (Mandatory Clauses) i det godkända tillägget, det vill säga mallen för tillägget B.1.0 som utfärdats av ICO och lagts fram för parlamentet i enlighet med s119A i Data Protection Act 2018 den 2 februari 2022, i den lydelse den har efter revidering enligt avsnitt 18 i dessa obligatoriska klausuler. Enligt dessa obligatoriska klausuler regleras tillägget av lagarna i England och Wales, tvister avgörs av domstolarna i England och Wales, en registrerad får även väcka talan mot någon av parterna vid domstolarna i vilket land som helst i Storbritannien, och Information Commissioner är tillsynsmyndighet. Vi tillhandahåller tilläggets text på begäran.

Brittisk riskbedömning avseende överföring. För överföringen till oss i USA förlitar sig klientorganisationen som exportör, när det gäller bedömningen av amerikansk lagstiftning och praxis avseende offentliga myndigheters tillgång till personuppgifter och av tilläggets verkställbarhet, på den brittiska regeringens analys av relevanta amerikanska lagar och rutiner som utarbetats av Department for Science, Innovation and Technology, så som Information Commissioners vägledning om att genomföra en riskbedömning avseende överföring vid överföringar till USA medger, inklusive för en mottagare som inte är certifierad enligt det brittiska tillägget (UK Extension) till ramen för dataskydd mellan EU och USA. Enligt den analysen är skyddet för de överförda uppgifterna, med tillägget på plats, inte väsentligt lägre än enligt brittisk dataskyddslagstiftning. Vi är inte certifierade enligt den ramen, och denna bedömning grundas inte på certifiering. Den överföring som den omfattar är den som beskrivs i bilaga I.B, med de vidareöverföringar som anges i bilaga III och de skyddsåtgärder som anges i bilaga II och i sammanfattningen av konsekvensbedömningen avseende överföring. Vi meddelar klientorganisationen utan onödigt dröjsmål om den brittiska regeringen drar tillbaka eller väsentligt ändrar den analysen eller om vi inte längre kan följa tillägget, och parterna ska då se över denna bedömning.

För överföringar av besökares personuppgifter som omfattas av den schweiziska federala lagen om dataskydd av den 25 september 2020 (FADP) gäller klausulerna, så som de införlivats i avsnitt 13, som standardklausuler om dataskydd erkända av den federala data- och informationsskyddskommissionären (Federal Data Protection and Information Commissioner, FDPIC) enligt artikel 16.2 d FADP, med de anpassningar som anges nedan. De gäller för varje sådan överföring, oavsett vilket svar klientorganisationen gav i konsolen om schweiziska uppgifter. Om en överföring omfattas av både FADP och dataskyddsförordningen upprätthåller parterna separata arrangemang: dessa anpassningar gäller endast i den mån FADP gäller för överföringen, och avsnitt 13 fortsätter att gälla utan ändringar i den mån dataskyddsförordningen gäller för den.

• Hänvisningar till förordning (EU) 2016/679 ska förstås som hänvisningar till FADP, i den mån överföringen omfattas av FADP.
• FDPIC är behörig tillsynsmyndighet enligt klausul 13 och bilaga I.C för överföringar som omfattas av FADP; om dataskyddsförordningen också gäller för en överföring förblir den myndighet som bestämts enligt klausul 13 a behörig för den delen, parallellt.
• För överföringar som enbart omfattas av FADP regleras klausulerna av schweizisk lag enligt klausul 17, och tvister mellan parterna enligt klausul 18 b avgörs av schweiziska domstolar på orten för klientorganisationens säte.
• Begreppet ”medlemsstat” i klausulerna får inte tolkas på ett sätt som hindrar registrerade i Schweiz från att väcka talan för att utöva sina rättigheter i sin vanliga vistelseort, Schweiz, enligt klausul 18 c.
• Sammanfattningen av konsekvensbedömningen avseende överföring gäller för dessa överföringar, läst med hänvisning till FADP. Vi är inte certifierade enligt ramen för dataskydd mellan Schweiz och USA, så förbundsrådets erkännande av USA för certifierade företag omfattar inte överföringar till oss. FADP kräver inte att användningen av dessa klausuler anmäls till FDPIC.

Dataexportör: klientorganisationen, den personuppgiftsansvarige för besökardata, etablerad i det land som registrerats för arbetsytan i konsolen, vilket kan vara en medlemsstat i Europeiska ekonomiska samarbetsområdet, Storbritannien, Schweiz eller ett annat land; om en klientorganisation som är etablerad någon annanstans omfattas av dataskyddsförordningen, brittisk dataskyddslagstiftning eller FADP för sin behandling av besökardata är den dataexportör för de överföringar som omfattas av den lagen. Dess verksamhet av betydelse för överföringen är att bedriva sin verksamhet och styra arbetsytan i Concierge via konsolen. Dess fullständiga juridiska namn, handelsnamn, adress, registreringsnummer, e-postadress för integritetsfrågor samt namn och roll för den person som godkände för dess räkning är de som registrerats med dess godkännande i konsolen. Roll: personuppgiftsansvarig.

Dataimportör: DCI Brands LLC (”Vavus”, personuppgiftsbiträdet), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State, ärende-ID 2017-000762309); verksamhet av betydelse för överföringen: tillhandahållande av tjänsten Concierge enligt detta PUB-avtal; kontakt för dataskyddsfrågor: support@vavusai.com. Roll: personuppgiftsbiträde.

Underskrift och datum: för dataexportören, dess godkännande av detta PUB-avtal som registrerats i konsolen (version, datum och tid samt den godkännande personen); för dataimportören, vår publicering av detta PUB-avtal i denna version, så som avsnitt 13 föreskriver.

Kategorier av registrerade: klientorganisationens besökare, kunder, potentiella kunder och personal vars uppgifter lämnas till tjänsten.

Kategorier av personuppgifter: identifierare som besökaren lämnar (namn, telefonnummer, e-postadress), konversationsinnehåll (meddelanden, röstljud, transkript och eventuella inspelningar som klientorganisationen använder), kontakt- och bokningsposter som assistenten skapar utifrån besökarens åtgärder, tekniska sessionsdata (tidsstämplar, kanal, språk) samt personuppgifter i material som klientorganisationen laddar upp till assistentens kunskap eller i röstprover som klientorganisationen tillhandahåller för att skapa en anpassad röst.

Känsliga uppgifter: tjänsten samlar inte rutinmässigt in uppgifter som tillhör särskilda kategorier. Om en klientorganisations konfiguration gör hälsouppgifter förutsebara (arbetsytor som är konfigurerade för vård) begränsas åtkomsten till personal som behöver den och loggas, och klientorganisationen förblir ansvarig för att säkerställa att insamlingen vilar på klientorganisationens egen rättsliga grund och egna instruktioner.

Frekvens och varaktighet: kontinuerligt, under arbetsytans livstid, i takt med att sessioner, bokningar och användning av konsolen sker; lagringen följer avsnitt 3 och 9. Behandlingens art och ändamål: insamling, överföring, organisering, lagring, hämtning, översättning, generering av svar, utlämnande till behörig personal och till underbiträdena i bilaga III samt radering, för att tillhandahålla Concierge enligt klientorganisationens instruktioner. Vidareöverföringar är begränsade till klausul 9, avsnitt 6 och förteckningen i bilaga III.

För överföringar som omfattas av dataskyddsförordningen bestäms den behöriga tillsynsmyndigheten av klausul 13 a: om klientorganisationen (som dataexportör) är etablerad i en medlemsstat, den tillsynsmyndighet som ansvarar för att säkerställa att klientorganisationen efterlever dataskyddsförordningen när det gäller överföringen; om klientorganisationen inte är etablerad i en medlemsstat men omfattas av artikel 3.2 i dataskyddsförordningen och har utsett en företrädare enligt artikel 27.1, tillsynsmyndigheten i den medlemsstat där den företrädaren är etablerad; och om klientorganisationen inte är etablerad i en medlemsstat, omfattas av artikel 3.2 och inte är skyldig att utse en företrädare enligt artikel 27.2, tillsynsmyndigheten i en av de medlemsstater där de registrerade vars personuppgifter överförs i samband med att varor eller tjänster erbjuds dem, eller vars beteende övervakas, befinner sig.

För överföringar som omfattas av brittisk dataskyddslagstiftning, Information Commissioner, så som avsnitt 14 föreskriver. För överföringar som omfattas av FADP, den federala data- och informationsskyddskommissionären, så som avsnitt 15 föreskriver, parallellt med den myndighet som anges ovan om dataskyddsförordningen också gäller för överföringen.

De åtgärder som dataimportören tillämpar för att skydda uppgifterna, så som de beskrivs i avsnitt 4, 5, 8 och 9 i detta PUB-avtal:

• TLS för data under överföring och kryptering i vila i hela tjänsten
• Åtkomst enligt principen om minsta behörighet, begränsad efter roll, via den autentiserade konsolen; personal som är bunden av sekretessförpliktelser
• Åtkomstloggning för arbetsytor som är konfigurerade för vård och granskningsloggning av administrativa åtgärder
• Inspelningar som förvaras i objektlagring med åtkomstkontroll
• Säker radering av filer vars lagringstid har löpt ut; krypterade säkerhetskopior enligt en dokumenterad livscykel
• Krypterade säkerhetskopior varje timme, med återställningskontroller, för kontinuitet och återställning
• Övervakning av tjänstens programvara och beroenden avseende sårbarheter, med uppdateringar
• Ändringar som levereras via versionshantering och en skriptad driftsättning med hälsokontroller och återställning
• Lösenord som endast lagras som saltade hashvärden; konton som låses efter upprepade misslyckade inloggningar
• Fysisk säkerhet för datacentren som tillhandahålls av Google Cloud enligt dess certifieringar
• Härdade slutpunkter bakom en brandvägg för webbapplikationer med hastighetsbegränsning
• Underrättelse till klientorganisationen om personuppgiftsincidenter utan onödigt dröjsmål efter att vi fått kännedom om dem, med uppgifter och uppföljning i etapper
• Bistånd med begäranden från registrerade och med klientorganisationens skyldigheter enligt artiklarna 32–36 i dataskyddsförordningen och motsvarande bestämmelser i UK GDPR och FADP
• Skriftliga avtal med underbiträden som i sak innehåller samma dataskyddsskyldigheter som detta PUB-avtal

De underbiträden som godkänts enligt klausul 9 a (allmänt skriftligt tillstånd) och avsnitt 6, efter funktion. Ändringar följer villkoren om underrättelse och invändning i avsnitt 6.

Leverantörer som klientorganisationen själv ansluter – dess egna telefoni- eller meddelandekonton (till exempel dess eget Twilio-konto eller WhatsApps leverantör), dess eget Stripe-konto för betalningar som den tar emot från sina kunder samt de kalender-, CRM-, ärendehanterings- eller butikssystem som den ansluter – anlitas av klientorganisationen direkt med stöd av dess egen behörighet och är inte våra underbiträden.

• Google Cloud – molnvärdtjänst och lagring (primär region i USA, edge-nod i EU i Frankfurt)
• Google – taligenkänning, talsyntes, översättning och AI-modeller
• OpenAI – AI-modeller, taligenkänning och talsyntes
• Anthropic – AI-modeller
• ElevenLabs – taligenkänning, talsyntes och anpassade röster (används inte för arbetsytor som är konfigurerade för vård)
• AssemblyAI – taligenkänning, där arbetsytans talinställning använder den
• TypeSafe – semantisk dirigering av konversationsturer, där arbetsytans assistentinställningar aktiverar det
• Twilio – telefoni och textmeddelanden för telefonnummer som vi tillhandahåller klientorganisationen
• Stripe – betalningar för klientorganisationens egen Concierge-plan och användning
• Resend – e-postleverans
• Egen Postal-server på vår egen infrastruktur – e-postleverans

Om California Consumer Privacy Act eller en annan delstatlig integritetslag i USA gäller för besökardata är klientorganisationen verksamheten (business) eller den personuppgiftsansvarige och Vavus dess tjänsteleverantör (service provider), uppdragstagare (contractor) eller personuppgiftsbiträde, och orden i denna bilaga har den betydelse som dessa lagar ger dem. Klientorganisationen lämnar ut besökardata till oss endast för det begränsade och angivna ändamålet att tillhandahålla Concierge så som detta PUB-avtal och Concierge-villkoren beskriver.

Vi kommer att: behandla besökardata endast för det ändamålet och enligt klientorganisationens instruktioner, och aldrig sälja eller dela dem; inte behålla, använda eller lämna ut dem för något annat ändamål, inklusive något kommersiellt ändamål, eller utanför vår direkta affärsrelation med klientorganisationen; inte kombinera dem med personuppgifter som vi tar emot från någon annan eller själva samlar in, utom i den mån dessa lagar tillåter det för att tillhandahålla tjänsten; fullgöra de skyldigheter som dessa lagar lägger på tjänsteleverantörer och ge besökardata samma integritetsskydd som de kräver; meddela klientorganisationen skriftligen om vi beslutar att vi inte längre kan uppfylla dessa skyldigheter; låta klientorganisationen vidta rimliga och lämpliga åtgärder för att kontrollera att vi använder besökardata på ett sätt som är förenligt med klientorganisationens egna skyldigheter, inklusive genom avsnitt 10, och för att stoppa och åtgärda varje obehörig användning; och underrätta klientorganisationen om nya underbiträden enligt avsnitt 6, vilket uppfyller det krav på underrättelse som dessa lagar ställer. Vi intygar att vi förstår dessa begränsningar och kommer att följa dem.

Begäranden från besökare enligt dessa lagar går till klientorganisationen, och vi bistår så som avsnitt 8 beskriver.

Amerikansk lag tillåter offentliga myndigheter att under definierade omständigheter tvinga fram utlämnande av personuppgifter som innehas av tjänsteleverantörer (särskilt avsnitt 702 i FISA och Executive Order 12333). Innan vi godkände dessa klausuler bedömde vi överföringen mot dessa lagar och denna praxis så som klausul 14 kräver, med beaktande av överföringens särskilda omständigheter: data för verksamhetsstöd (identifierare, konversationsinnehåll, bokningsposter, tekniska sessionsdata), en kort behandlingskedja (klientorganisationen, vi och underbiträdena i bilaga III), vår bedömning att vi, när vi tillhandahåller Concierge, inte agerar som leverantör av elektroniska kommunikationstjänster för denna trafik, samt de avtalsmässiga, tekniska och organisatoriska skyddsåtgärder som finns. Vi ser regelbundet över den bedömningen, dokumenterar den och gör den tillgänglig för den behöriga tillsynsmyndigheten på begäran.

Kompletterande åtgärder: de tekniska och organisatoriska åtgärderna i bilaga II, uppgiftsminimering genom insamling som konfigureras av klientorganisationen, granskningsrättigheterna i avsnitt 10 och de skyldigheter vi åtar oss enligt klausulerna 14 och 15 – att underrätta klientorganisationen om en rättsligt bindande begäran om utlämnande där lagen tillåter det, att begära undantag från ett eventuellt förbud mot underrättelse och lämna sammanställd information med jämna mellanrum, att pröva lagligheten av en begäran och bestrida den om det finns rimliga skäl att anse att den är olaglig, och att lämna ut den minsta tillåtna mängden information. Om vi drar slutsatsen att vi inte längre kan följa klausulerna underrättar vi klientorganisationen omgående, och klientorganisationen får avbryta överföringen så som klausulerna föreskriver. Om ett beslut om adekvat skyddsnivå kommer att omfatta en överföring (till exempel om vi blir certifierade enligt ramen för dataskydd mellan EU och USA) gäller klausulerna för den överföringen endast i den mån beslutet om adekvat skyddsnivå inte gör det.

För överföringar från Storbritannien gäller riskbedömningen avseende överföring i avsnitt 14. För överföringar från Schweiz gäller denna bedömning läst med hänvisning till FADP, så som avsnitt 15 föreskriver.