Adendum Pemprosesan Data

Adendum Pemprosesan Data ini (“DPA”) adalah antara BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “kami”) dan pelanggan yang telah menerima Terma Perkhidmatan LumaKol (“Pelanggan”, “anda”).

DPA ini menjadi sebahagian daripada Terma Perkhidmatan bagi setiap Pelanggan dan terpakai apabila LumaKol memproses data peribadi bagi pihak Pelanggan — di bawah Digital Personal Data Protection Act, 2023 India, GDPR, UK GDPR atau mana-mana undang-undang perlindungan data lain. Ia terpakai secara automatik; anda tidak perlu menandatanganinya.

Jika Pelanggan mahukan salinan yang ditandatangani balas untuk rekodnya, ia boleh memintanya di [email protected]. Jika DPA ini dan Terma Perkhidmatan bercanggah mengenai perlindungan data peribadi, DPA ini diutamakan.

• “Undang-undang Perlindungan Data” bermaksud setiap undang-undang perlindungan data yang terpakai pada pemprosesan, termasuk Digital Personal Data Protection Act, 2023 India dan peraturan yang dibuat di bawahnya (“Akta DPDP”), EU General Data Protection Regulation 2016/679 (GDPR), UK GDPR dan UK Data Protection Act 2018, serta California Consumer Privacy Act seperti yang dipinda (“CCPA”).
• “Data Peribadi Pelanggan” bermaksud data peribadi yang diproses oleh LumaKol bagi pihak Pelanggan untuk menyediakan Perkhidmatan.
• “Pengawal”, “pemproses”, “subjek data”, “pelanggaran data peribadi” dan “pemprosesan” mempunyai makna yang diberikan dalam Undang-undang Perlindungan Data. Jika Akta DPDP terpakai, “pengawal” bermaksud Data Fiduciary, “pemproses” bermaksud Data Processor dan “subjek data” bermaksud Data Principal.
• “Subpemproses” bermaksud pihak ketiga yang dilantik oleh LumaKol untuk memproses Data Peribadi Pelanggan.
• “SCC” bermaksud klausa kontrak standard yang diluluskan oleh Suruhanjaya Eropah dalam Implementing Decision (EU) 2021/914, dan “Adendum UK” bermaksud International Data Transfer Addendum yang dikeluarkan oleh UK Information Commissioner.

Istilah lain yang bermula dengan huruf besar mempunyai makna yang diberikan dalam Terma Perkhidmatan.

Pelanggan ialah pengawal Data Peribadi Pelanggan dan LumaKol ialah pemprosesnya. Jika Pelanggan sendiri merupakan pemproses yang bertindak bagi pengawal lain, LumaKol ialah subpemprosesnya dan Pelanggan bertanggungjawab menyampaikan arahan yang berkaitan.

LumaKol ialah pengawal berasingan bagi data peribadi yang diperlukannya untuk menjalankan akaun Pelanggan, seperti nama pengguna, butiran log masuk dan rekod pengebilan. Dasar Privasi meliputi data tersebut, bukan DPA ini.

Jika CCPA terpakai, Pelanggan ialah “business” dan LumaKol ialah “service provider”nya. LumaKol tidak akan menjual atau berkongsi Data Peribadi Pelanggan, tidak akan menyimpan, menggunakan atau mendedahkannya untuk sebarang tujuan selain menyediakan Perkhidmatan atau di luar hubungan perniagaan langsungnya dengan Pelanggan, dan tidak akan menggabungkannya dengan data peribadi daripada sumber lain kecuali seperti yang dibenarkan oleh CCPA. LumaKol akan memberitahu Pelanggan jika ia tidak lagi dapat memenuhi obligasi ini.

Pelanggan bertanggungjawab untuk mempunyai asas sah (di bawah Akta DPDP, persetujuan atau penggunaan yang sah) bagi pemprosesan, untuk ketepatan Data Peribadi Pelanggan, untuk memberikan orang yang dihubunginya sebarang notis yang dikehendaki oleh undang-undang, dan untuk pematuhannya sendiri terhadap undang-undang tentang panggilan pemasaran dan rakaman panggilan.

• Perkara pokok: penyediaan LumaKol, CRM panggilan di mana pasukan Pelanggan mengurus prospek, membuat panggilan daripada telefon bimbit mereka sendiri dan merekod hasil setiap panggilan.
• Tempoh: selagi Pelanggan menggunakan Perkhidmatan, dan selepas itu sehingga data dipadam di bawah “Pemadaman dan pemulangan”.
• Sifat: pengumpulan, penyimpanan, penyusunan, pengambilan semula, paparan, penghantaran kepada pengguna dan peranti Pelanggan, dan pemadaman.
• Tujuan: untuk menyediakan, melindungi dan menyokong Perkhidmatan untuk Pelanggan, dan bukan untuk tujuan lain.

LumaKol memproses Data Peribadi Pelanggan hanya atas arahan Pelanggan yang didokumenkan. Terma Perkhidmatan, DPA ini dan penggunaan serta konfigurasi Perkhidmatan oleh Pelanggan merupakan arahan tersebut. LumaKol akan memberitahu Pelanggan jika ia percaya sesuatu arahan melanggar Undang-undang Perlindungan Data, melainkan undang-undang melarangnya berbuat demikian.

Jika undang-undang menghendaki LumaKol memproses Data Peribadi Pelanggan dengan cara lain, ia akan memberitahu Pelanggan sebelum berbuat demikian, melainkan undang-undang melarangnya.

LumaKol memastikan bahawa setiap orang yang diberi kuasa untuk memproses Data Peribadi Pelanggan terikat dengan kewajipan kerahsiaan. Akses kakitangan kepada Data Peribadi Pelanggan dihadkan kepada apa yang mereka perlukan untuk mengendalikan dan menyokong Perkhidmatan, dan direkod.

LumaKol mengekalkan langkah teknikal dan organisasi yang sesuai dengan risiko, termasuk:

• penyulitan data semasa transit (TLS), penyulitan pangkalan data semasa disimpan, dan lapisan kedua penyulitan AES-256 untuk rahsia seperti token dan kata laluan peti mel yang disambungkan;
• pengasingan data setiap pelanggan mengikut ruang kerja, dengan setiap pertanyaan ditapis mengikut ruang kerja pelanggan;
• kata laluan dicincang dengan Argon2id dan token sesi disimpan hanya sebagai cincangan;
• pengehadan kadar dan penguncian pada log masuk;
• akses berasaskan peranan dalam produk, dengan pilihan untuk menopeng nombor telefon, mengehadkan eksport dan menyekat siapa yang boleh mendengar rakaman;
• log audit tambah-sahaja bagi tindakan sensitif;
• pengesahan berbilang faktor untuk kakitangan LumaKol, dengan akses kepada data pengeluaran direkod;
• sandaran untuk pemulihan selepas kegagalan, yang luput dalam kira-kira empat minggu.

LumaKol boleh mengemas kini langkah-langkah ini selagi tahap perlindungan keseluruhan tidak berkurangan.

Pelanggan memberi kuasa kepada LumaKol untuk melantik subpemproses yang diterangkan dalam jadual di bawah. LumaKol mengikat setiap subpemproses melalui kontrak bertulis dengan obligasi perlindungan data yang tidak kurang melindungi daripada DPA ini, dan kekal bertanggungjawab kepada Pelanggan atas prestasi setiap subpemproses. Nama subpemproses semasa diberikan kepada mana-mana Pelanggan atas permintaan di [email protected], dan menjadi sebahagian daripada DPA ini.

Sebelum subpemproses baharu mula memproses Data Peribadi Pelanggan, LumaKol akan memaklumkan pemilik ruang kerja melalui e-mel sekurang-kurangnya 30 hari lebih awal, dengan menamakannya. Pelanggan boleh membantah atas alasan perlindungan data yang munasabah dalam tempoh tersebut. Jika pihak-pihak tidak dapat menyelesaikan bantahan, Pelanggan boleh berhenti menggunakan bahagian Perkhidmatan yang terjejas atau menamatkan langganan.

Apabila aplikasi iPhone dilancarkan, perkhidmatan platform iPhone sendiri akan menghantar pemberitahuan tolaknya; kami akan menambahnya ke senarai ini, dengan notis yang diterangkan di atas, sebelum perkara itu berlaku. Google Drive, Sheets dan Calendar, kalendar Microsoft Outlook serta iklan prospek Facebook dan Instagram belum boleh disambungkan.

Rakaman panggilan disimpan pada pelayan LumaKol. Nota suara dan foto lawatan lapangan akan disimpan dalam Google Drive ahli pasukan yang menyambungkannya, bukan pada pelayan LumaKol.

E-mel yang dihantar oleh pelanggan kepada prospeknya sendiri melalui peti mel pelanggan sendiri (Tetapan → E-mel), bukan melalui penyedia e-mel LumaKol. Sistem yang disambungkan oleh pelanggan sendiri, seperti laman webnya sendiri, sumber prospek, klien API dan titik akhir webhook, menerima data atas arahan pelanggan dan bukan subpemproses LumaKol.

Perkhidmatan membolehkan Pelanggan mencari, membetulkan, mengeksport dan memadam data prospeknya serta menyekat panggilan selanjutnya kepada prospek, supaya ia boleh menjawab kebanyakan permintaan subjek data sendiri. Jika ia tidak dapat berbuat demikian, LumaKol akan membantu atas permintaan, dengan mengambil kira sifat pemprosesan.

Jika LumaKol menerima permintaan secara langsung daripada subjek data tentang Data Peribadi Pelanggan, ia akan menyerahkannya kepada Pelanggan tanpa kelewatan yang tidak wajar dan tidak akan menjawabnya kecuali atas arahan Pelanggan.

LumaKol juga akan memberikan bantuan yang munasabah dengan penilaian impak perlindungan data Pelanggan dan rundingan dengan pihak berkuasa penyeliaan, setakat yang berkaitan dengan pemprosesan oleh LumaKol.

LumaKol akan memaklumkan Pelanggan tanpa kelewatan yang tidak wajar, dan dalam apa jua keadaan dalam tempoh 48 jam, selepas mengetahui tentang pelanggaran data peribadi yang menjejaskan Data Peribadi Pelanggan, supaya Pelanggan dapat memenuhi kewajipannya sendiri untuk melaporkan kepada pengawal selia dan kepada orang yang terjejas — contohnya dalam tempoh 72 jam di bawah GDPR dan peraturan Akta DPDP. Notis akan menerangkan, setakat yang diketahui pada masa itu, sifat pelanggaran, kategori dan anggaran bilangan orang dan rekod yang terjejas, kemungkinan akibatnya dan langkah yang diambil atau dicadangkan, dan akan menamakan kenalan untuk maklumat lanjut.

LumaKol akan mengemas kini Pelanggan apabila lebih banyak perkara diketahui dan akan mengambil langkah yang munasabah untuk membendung pelanggaran dan mengehadkan kesannya. Memaklumkan pelanggaran bukan pengakuan kesalahan.

Sepanjang langganan, Pelanggan boleh mengeksport prospeknya ke CSV dan membaca datanya melalui API awam. Apabila Pelanggan menutup ruang kerjanya, atau datanya mencapai akhir tempoh penyimpanan dalam Terma pembayaran selepas pembatalan atau jeda kerana tidak membayar, LumaKol memadam Data Peribadi Pelanggan daripada Perkhidmatan.

Salinan dalam sandaran luput mengikut jadual bergilir dan dipadam apabila luput. LumaKol hanya boleh menyimpan data jika undang-undang menghendakinya, dan hanya data tersebut, dilindungi di bawah DPA ini, selama yang dikehendaki oleh undang-undang.

Atas permintaan yang munasabah, LumaKol akan menyediakan maklumat yang diperlukan untuk menunjukkan bahawa ia memenuhi obligasinya di bawah DPA ini dan Perkara 28 GDPR, seperti jawapan bertulis kepada soal selidik keselamatan.

Jika maklumat itu tidak mencukupi, Pelanggan boleh mengaudit pematuhan LumaKol, sendiri atau melalui juruaudit bebas yang terikat dengan kerahsiaan, dengan notis bertulis sekurang-kurangnya 30 hari, semasa waktu perniagaan, tidak lebih daripada sekali setahun melainkan pihak berkuasa penyeliaan menghendakinya atau selepas pelanggaran data peribadi, dan atas kos Pelanggan. Pihak-pihak akan bersetuju tentang skop terlebih dahulu supaya audit tidak mengganggu Perkhidmatan atau mendedahkan data pelanggan lain.

LumaKol memproses Data Peribadi Pelanggan di India, di Singapura dan Jepun tempat Perkhidmatan dihoskan, dan di negara tempat subpemprosesnya beroperasi. Jika ini melibatkan pemindahan data peribadi keluar dari EEA, atau keluar dari UK, ke negara tanpa keputusan kecukupan atau peraturan, pihak-pihak bersetuju bahawa:

• bagi data EEA, SCC terpakai dan dimasukkan ke dalam DPA ini melalui rujukan: Modul Dua (pengawal kepada pemproses) jika Pelanggan ialah pengawal, dan Modul Tiga (pemproses kepada pemproses) jika Pelanggan ialah pemproses, dengan klausa penyertaan pilihan, pilihan 2 (kebenaran am) dalam Klausa 9, dan undang-undang yang mentadbir serta mahkamah Ireland dalam Klausa 17 dan 18;
• bagi data UK, Adendum UK terpakai dan dimasukkan melalui rujukan, dengan jadualnya dilengkapkan dengan maklumat dalam DPA ini;
• maklumat yang dikehendaki oleh SCC dalam lampirannya ialah maklumat dalam “Pihak-pihak”, “Perkara pokok, tempoh, sifat dan tujuan”, “Subjek data dan data peribadi”, “Langkah keselamatan” dan “Senarai subpemproses” di atas.

Jika Akta DPDP terpakai, LumaKol tidak akan memindahkan Data Peribadi Pelanggan ke negara atau wilayah yang telah disekat oleh Kerajaan India.

Jika SCC atau Adendum UK bercanggah dengan DPA ini, ia diutamakan. LumaKol menghendaki subpemprosesnya melindungi pemindahan seterusnya dengan perlindungan yang sesuai.

Liabiliti setiap pihak di bawah DPA ini tertakluk kepada had dalam Terma Perkhidmatan, kecuali jika Undang-undang Perlindungan Data atau SCC tidak membenarkan liabiliti dihadkan.

DPA ini berkuat kuasa selagi LumaKol memproses Data Peribadi Pelanggan. Obligasi yang mengikut sifatnya patut kekal, seperti kerahsiaan dan pemadaman, kekal selepas ia tamat. LumaKol boleh mengemas kini DPA ini untuk mencerminkan perubahan dalam undang-undang atau dalam Perkhidmatan; ia tidak akan mengurangkan perlindungan yang diberikan kepada Data Peribadi Pelanggan, dan tarikh “Kemas kini terakhir” di atas menunjukkan versi semasa.

Soalan tentang DPA ini, notis di bawahnya dan permintaan untuk salinan yang ditandatangani balas dihantar ke [email protected].

Minta salinan bertandatangan: tulis ke [email protected] dengan nama sah dan alamat organisasi anda, dan kami akan menghantar semula DPA ini dengan tandatangan balas.