الحاقیهٔ پردازش داده

این الحاقیهٔ پردازش داده («DPA») میان BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India («LumaKol»، «ما») و مشتری‌ای است که شرایط خدمات LumaKol را پذیرفته است («مشتری»، «شما»).

این DPA برای هر مشتری بخشی از شرایط خدمات است و هر زمان که LumaKol داده‌های شخصی را از طرف مشتری پردازش کند اعمال می‌شود — طبق قانون حفاظت از داده‌های شخصی دیجیتال ۲۰۲۳ هند، GDPR، UK GDPR یا هر قانون حفاظت از دادهٔ دیگری. به‌طور خودکار اعمال می‌شود؛ نیازی به امضای آن ندارید.

اگر مشتری نسخه‌ای امضاشده برای سوابق خود بخواهد، می‌تواند آن را از نشانی [email protected] درخواست کند. در جایی که این DPA و شرایط خدمات دربارهٔ حفاظت از داده‌های شخصی تعارض داشته باشند، این DPA مقدم است.

• «قانون حفاظت از داده» به معنای هر قانون حفاظت از داده‌ای است که بر پردازش اعمال می‌شود، از جمله قانون حفاظت از داده‌های شخصی دیجیتال ۲۰۲۳ هند و مقررات وضع‌شده بر اساس آن («قانون DPDP»)، مقررات عمومی حفاظت از دادهٔ اتحادیهٔ اروپا 2016/679 (GDPR)، UK GDPR و قانون حفاظت از دادهٔ ۲۰۱۸ بریتانیا، و قانون حریم خصوصی مصرف‌کنندگان کالیفرنیا با اصلاحات آن («CCPA»).
• «دادهٔ شخصی مشتری» به معنای داده‌های شخصی‌ای است که LumaKol برای ارائهٔ سرویس از طرف مشتری پردازش می‌کند.
• «کنترل‌کننده»، «پردازشگر»، «موضوع داده»، «نقض داده‌های شخصی» و «پردازش» همان معانی‌ای را دارند که در قانون حفاظت از داده آمده است. در جایی که قانون DPDP اعمال می‌شود، «کنترل‌کننده» به معنای امین داده (Data Fiduciary)، «پردازشگر» به معنای پردازشگر داده (Data Processor) و «موضوع داده» به معنای صاحب داده (Data Principal) است.
• «پردازشگر فرعی» به معنای شخص ثالثی است که LumaKol برای پردازش دادهٔ شخصی مشتری به کار می‌گیرد.
• «SCCs» به معنای بندهای قراردادی استانداردی است که کمیسیون اروپا در تصمیم اجرایی (EU) 2021/914 تصویب کرده، و «الحاقیهٔ بریتانیا» به معنای الحاقیهٔ انتقال بین‌المللی داده است که کمیسر اطلاعات بریتانیا صادر کرده است.

سایر اصطلاحات تعریف‌شده همان معانی‌ای را دارند که در شرایط خدمات آمده است.

مشتری کنترل‌کنندهٔ دادهٔ شخصی مشتری است و LumaKol پردازشگر او. در جایی که مشتری خودش پردازشگری است که برای کنترل‌کنندهٔ دیگری عمل می‌کند، LumaKol پردازشگر فرعی اوست و مشتری مسئول انتقال دستورالعمل‌های مربوط است.

LumaKol برای داده‌های شخصی‌ای که برای اداره کردن حساب مشتری لازم دارد، مانند نام کاربران، جزئیات ورود و سوابق صورتحساب، کنترل‌کننده‌ای جداگانه است. سیاست حفظ حریم خصوصی آن داده‌ها را پوشش می‌دهد، نه این DPA.

در جایی که CCPA اعمال می‌شود، مشتری «کسب‌وکار» و LumaKol «ارائه‌دهندهٔ خدمات» اوست. LumaKol دادهٔ شخصی مشتری را نمی‌فروشد یا به اشتراک نمی‌گذارد، آن را برای هیچ هدفی جز ارائهٔ سرویس یا خارج از رابطهٔ تجاری مستقیم خود با مشتری نگه نمی‌دارد، استفاده نمی‌کند یا افشا نمی‌کند، و آن را جز در مواردی که CCPA اجازه می‌دهد با داده‌های شخصی از منابع دیگر ترکیب نمی‌کند. اگر LumaKol دیگر نتواند به این تعهدات عمل کند، به مشتری اطلاع می‌دهد.

مشتری مسئول داشتن مبنای قانونی برای پردازش (طبق قانون DPDP، رضایت یا استفادهٔ مشروع)، صحت دادهٔ شخصی مشتری، ارائهٔ هر اطلاعیه‌ای که قانون به افرادی که با آن‌ها تماس می‌گیرد الزام می‌کند، و رعایت خود او از قوانین تماس‌های بازاریابی و ضبط تماس است.

• موضوع: ارائهٔ LumaKol، یک CRM تماس که تیم مشتری در آن سرنخ‌ها را مدیریت می‌کند، از گوشی‌های موبایل خودشان تماس برقرار می‌کند و نتیجهٔ هر تماس را ثبت می‌کند.
• مدت: تا زمانی که مشتری از سرویس استفاده می‌کند، و پس از آن تا زمانی که داده‌ها طبق «حذف و بازگرداندن» حذف شوند.
• ماهیت: گردآوری، ذخیره‌سازی، سازمان‌دهی، بازیابی، نمایش، انتقال به کاربران و دستگاه‌های مشتری، و حذف.
• هدف: ارائه، ایمن‌سازی و پشتیبانی سرویس برای مشتری، و نه هیچ هدف دیگری.

LumaKol دادهٔ شخصی مشتری را فقط طبق دستورالعمل‌های مستند مشتری پردازش می‌کند. شرایط خدمات، این DPA و استفاده و پیکربندی سرویس توسط مشتری همان دستورالعمل‌ها هستند. اگر LumaKol معتقد باشد دستورالعملی قانون حفاظت از داده را نقض می‌کند، به مشتری اطلاع می‌دهد، مگر اینکه قانون این کار را منع کند.

اگر قانون LumaKol را ملزم کند دادهٔ شخصی مشتری را به شکل دیگری پردازش کند، پیش از انجام آن به مشتری اطلاع می‌دهد، مگر اینکه قانون این را منع کند.

LumaKol اطمینان حاصل می‌کند که هر کسی که برای پردازش دادهٔ شخصی مشتری مجاز می‌کند متعهد به محرمانگی است. دسترسی کارکنان به دادهٔ شخصی مشتری به آنچه برای اداره و پشتیبانی سرویس لازم دارند محدود است و ثبت می‌شود.

LumaKol تدابیر فنی و سازمانی متناسب با ریسک را حفظ می‌کند، از جمله:

• رمزگذاری داده‌ها در انتقال (TLS)، رمزگذاری پایگاه داده در حالت ذخیره، و لایهٔ دوم رمزگذاری AES-256 برای اطلاعات محرمانه‌ای مانند توکن‌ها و رمزهای عبور صندوق‌های پستی متصل؛
• جداسازی داده‌های هر مشتری بر اساس فضای کاری، به‌طوری که هر کوئری بر اساس فضای کاری مشتری فیلتر می‌شود؛
• هش رمزهای عبور با Argon2id و ذخیرهٔ توکن‌های نشست فقط به‌صورت هش؛
• محدودسازی نرخ درخواست و قفل شدن ورود؛
• دسترسی مبتنی بر نقش در محصول، با گزینه‌هایی برای پوشاندن شماره‌های تلفن، محدود کردن خروجی‌ها و تعیین اینکه چه کسی می‌تواند ضبط‌ها را بشنود؛
• گزارش‌های ممیزی فقط‌افزودنی از اقدامات حساس؛
• احراز هویت چندمرحله‌ای برای کارکنان LumaKol، با ثبت دسترسی به داده‌های محیط عملیاتی؛
• نسخه‌های پشتیبان برای بازیابی پس از خرابی، که ظرف حدود چهار هفته پاک می‌شوند.

LumaKol می‌تواند این تدابیر را به‌روز کند، به شرط آنکه سطح کلی حفاظت کاهش نیابد.

مشتری به LumaKol اجازه می‌دهد پردازشگران فرعی‌ای را که در جدول زیر توضیح داده شده‌اند به کار گیرد. LumaKol هر پردازشگر فرعی را با قراردادی کتبی به تعهدات حفاظت از داده‌ای متعهد می‌کند که حفاظتی کمتر از این DPA ندارند، و در قبال مشتری مسئول عملکرد هر پردازشگر فرعی باقی می‌ماند. نام پردازشگران فرعی فعلی در صورت درخواست از نشانی [email protected] به هر مشتری داده می‌شود و بخشی از این DPA است.

پیش از آنکه پردازشگر فرعی جدیدی پردازش دادهٔ شخصی مشتری را آغاز کند، LumaKol دست‌کم ۳۰ روز پیشاپیش با ذکر نام آن، از طریق ایمیل به مالک فضای کاری اطلاع می‌دهد. مشتری می‌تواند در همان مدت به دلایل معقول حفاظت از داده اعتراض کند. اگر طرفین نتوانند اعتراض را حل کنند، مشتری می‌تواند استفاده از بخش مربوط سرویس را متوقف کند یا اشتراک را پایان دهد.

وقتی اپلیکیشن iPhone منتشر شود، سرویس خود پلتفرم iPhone اعلان‌های فوری آن را تحویل خواهد داد؛ پیش از آن، با اطلاع‌رسانی‌ای که در بالا توضیح داده شد، آن را به این فهرست اضافه خواهیم کرد. Google Drive، Sheets و Calendar، تقویم Microsoft Outlook و تبلیغات سرنخ Facebook و Instagram هنوز قابل اتصال نیستند.

ضبط‌های تماس روی سرورهای LumaKol ذخیره می‌شوند. یادداشت‌های صوتی و عکس‌های بازدید میدانی در Google Drive عضوی از تیم که آن را متصل می‌کند ذخیره خواهند شد، نه روی سرورهای LumaKol.

ایمیل‌هایی که مشتری به سرنخ‌های خودش می‌فرستد از طریق صندوق پستی خود مشتری (تنظیمات → ایمیل) ارسال می‌شوند، نه از طریق ارائه‌دهندهٔ ایمیل LumaKol. سیستم‌هایی که مشتری خودش متصل می‌کند، مانند وب‌سایت خودش، منابع سرنخ، کلاینت‌های API و نقاط پایانی وب‌هوک، داده‌ها را طبق دستورالعمل‌های مشتری دریافت می‌کنند و پردازشگر فرعی LumaKol نیستند.

سرویس به مشتری امکان می‌دهد داده‌های سرنخ‌هایش را جستجو، اصلاح، خروجی و حذف کند و تماس‌های بعدی با یک سرنخ را مسدود کند، تا بتواند به بیشتر درخواست‌های موضوعات داده خودش پاسخ دهد. در جایی که نتواند، LumaKol با در نظر گرفتن ماهیت پردازش، در صورت درخواست کمک می‌کند.

اگر LumaKol درخواستی را مستقیماً از یک موضوع داده دربارهٔ دادهٔ شخصی مشتری دریافت کند، آن را بدون تأخیر ناموجه به مشتری منتقل می‌کند و جز طبق دستورالعمل‌های مشتری به آن پاسخ نمی‌دهد.

LumaKol همچنین در ارزیابی‌های اثر حفاظت از دادهٔ مشتری و مشورت‌ها با مراجع نظارتی، تا جایی که به پردازش LumaKol مربوط باشند، کمک معقول ارائه می‌دهد.

LumaKol پس از آگاهی از نقض داده‌های شخصی که دادهٔ شخصی مشتری را تحت تأثیر قرار دهد، بدون تأخیر ناموجه و در هر حال ظرف ۴۸ ساعت به مشتری اطلاع می‌دهد، تا مشتری بتواند به تعهدات خود در گزارش به نهادهای ناظر و افراد آسیب‌دیده عمل کند — مثلاً ظرف ۷۲ ساعت طبق GDPR و مقررات قانون DPDP. اطلاعیه، تا جایی که در آن زمان معلوم است، ماهیت نقض، دسته‌ها و تعداد تقریبی افراد و سوابق آسیب‌دیده، پیامدهای احتمالی و اقدامات انجام‌شده یا پیشنهادی را شرح می‌دهد و فردی را برای کسب اطلاعات بیشتر معرفی می‌کند.

LumaKol با روشن شدن اطلاعات بیشتر، مشتری را در جریان قرار می‌دهد و برای مهار نقض و محدود کردن آثار آن اقدامات معقول انجام می‌دهد. اطلاع‌رسانی دربارهٔ نقض به معنای پذیرش تقصیر نیست.

در طول اشتراک، مشتری می‌تواند از سرنخ‌هایش به CSV خروجی بگیرد و داده‌هایش را از طریق API عمومی بخواند. وقتی مشتری فضای کاری خود را می‌بندد، یا داده‌هایش پس از لغو یا توقف به دلیل عدم پرداخت به پایان دورهٔ نگهداری مندرج در شرایط پرداخت می‌رسند، LumaKol دادهٔ شخصی مشتری را از سرویس حذف می‌کند.

نسخه‌های موجود در پشتیبان‌ها طبق برنامه‌ای چرخشی منقضی و پس از انقضا حذف می‌شوند. LumaKol فقط در جایی که قانون الزام کند داده‌ها را نگه می‌دارد، و در آن صورت فقط همان داده‌ها را، تحت حفاظت این DPA، تا زمانی که قانون الزام کند.

در صورت درخواست معقول، LumaKol اطلاعات لازم برای نشان دادن اینکه به تعهدات خود طبق این DPA و ماده 28 GDPR عمل می‌کند، مانند پاسخ‌های کتبی به پرسش‌نامه‌های امنیتی، را در اختیار قرار می‌دهد.

در جایی که آن اطلاعات کافی نباشد، مشتری می‌تواند انطباق LumaKol را، خودش یا از طریق یک ممیز مستقل متعهد به محرمانگی، با دست‌کم ۳۰ روز اطلاع کتبی قبلی، در ساعات کاری، حداکثر یک بار در سال مگر اینکه مرجع نظارتی الزام کند یا پس از نقض داده‌های شخصی، و با هزینهٔ مشتری ممیزی کند. طرفین دامنهٔ ممیزی را پیشاپیش توافق می‌کنند تا ممیزی سرویس را مختل نکند یا داده‌های مشتریان دیگر را در معرض قرار ندهد.

LumaKol دادهٔ شخصی مشتری را در هند، در سنگاپور و ژاپن که سرویس در آن‌ها میزبانی می‌شود، و در کشورهایی که پردازشگران فرعی‌اش در آن‌ها فعالیت می‌کنند پردازش می‌کند. در جایی که این امر شامل انتقال داده‌های شخصی به خارج از منطقهٔ اقتصادی اروپا، یا خارج از بریتانیا، به کشوری بدون تصمیم کفایت یا مقررات مربوط باشد، طرفین توافق می‌کنند که:

• برای داده‌های منطقهٔ اقتصادی اروپا، SCCs اعمال می‌شوند و با ارجاع در این DPA گنجانده می‌شوند: ماژول دو (کنترل‌کننده به پردازشگر) در جایی که مشتری کنترل‌کننده است، و ماژول سه (پردازشگر به پردازشگر) در جایی که مشتری پردازشگر است، همراه با بند الحاق اختیاری (docking clause)، گزینهٔ ۲ (مجوز عمومی) در بند 9، و قانون حاکم و دادگاه‌های ایرلند در بندهای 17 و 18؛
• برای داده‌های بریتانیا، الحاقیهٔ بریتانیا اعمال می‌شود و با ارجاع گنجانده می‌شود، و جداول آن با اطلاعات این DPA تکمیل می‌شوند؛
• اطلاعاتی که SCCs در پیوست‌های خود الزام می‌کنند، همان اطلاعات بخش‌های «طرفین»، «موضوع، مدت، ماهیت و هدف»، «موضوعات داده و داده‌های شخصی»، «تدابیر امنیتی» و «فهرست پردازشگران فرعی» در بالا است.

در جایی که قانون DPDP اعمال می‌شود، LumaKol دادهٔ شخصی مشتری را به کشور یا قلمرویی که دولت هند محدود کرده است منتقل نمی‌کند.

اگر SCCs یا الحاقیهٔ بریتانیا با این DPA تعارض داشته باشند، آن‌ها مقدم هستند. LumaKol پردازشگران فرعی خود را ملزم می‌کند از انتقال‌های بعدی با تضمین‌های مناسب محافظت کنند.

مسئولیت هر طرف طبق این DPA تابع محدودیت‌های شرایط خدمات است، مگر در جایی که قانون حفاظت از داده یا SCCs اجازهٔ محدود کردن مسئولیت را ندهند.

این DPA تا زمانی که LumaKol دادهٔ شخصی مشتری را پردازش می‌کند پابرجاست. تعهداتی که به حکم ماهیتشان باید باقی بمانند، مانند محرمانگی و حذف، پس از پایان آن باقی می‌مانند. LumaKol می‌تواند این DPA را برای انعکاس تغییرات قانون یا سرویس به‌روز کند؛ حفاظت ارائه‌شده به دادهٔ شخصی مشتری را کاهش نمی‌دهد و تاریخ «آخرین به‌روزرسانی» در بالا نسخهٔ فعلی را نشان می‌دهد.

پرسش‌ها دربارهٔ این DPA، اطلاعیه‌های مربوط به آن و درخواست نسخهٔ امضاشده به [email protected] ارسال می‌شوند.

درخواست نسخهٔ امضاشده: با ذکر نام قانونی و نشانی سازمان خود به [email protected] بنویسید تا این DPA را امضاشده برایتان بازگردانیم.