Umowa powierzenia przetwarzania danych (DPA)

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) zostaje zawarta między BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India („LumaKol”, „my”) a klientem, który zaakceptował Warunki korzystania z usługi LumaKol („Klient”, „Ty”).

Niniejsza DPA stanowi część Warunków korzystania z usługi dla każdego Klienta i ma zastosowanie zawsze, gdy LumaKol przetwarza dane osobowe w imieniu Klienta — na podstawie indyjskiej ustawy Digital Personal Data Protection Act, 2023, RODO (GDPR), UK GDPR lub dowolnych innych przepisów o ochronie danych. Obowiązuje automatycznie; nie musisz jej podpisywać.

Jeśli Klient chce otrzymać kontrasygnowaną kopię do swojej dokumentacji, może o nią poprosić pod adresem [email protected]. W razie sprzeczności między niniejszą DPA a Warunkami korzystania z usługi w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza DPA.

• „Przepisy o ochronie danych” oznaczają wszystkie przepisy o ochronie danych mające zastosowanie do przetwarzania, w tym indyjską ustawę Digital Personal Data Protection Act, 2023 i wydane na jej podstawie przepisy („DPDP Act”), ogólne rozporządzenie UE o ochronie danych 2016/679 (RODO, GDPR), UK GDPR i brytyjską ustawę Data Protection Act 2018 oraz kalifornijską ustawę California Consumer Privacy Act wraz ze zmianami („CCPA”).
• „Dane osobowe Klienta” oznaczają dane osobowe, które LumaKol przetwarza w imieniu Klienta w celu świadczenia Usługi.
• „Administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” i „przetwarzanie” mają znaczenie nadane im w Przepisach o ochronie danych. Tam, gdzie zastosowanie ma DPDP Act, „administrator” oznacza Data Fiduciary, „podmiot przetwarzający” oznacza Data Processor, a „osoba, której dane dotyczą” oznacza Data Principal.
• „Podprocesor” oznacza podmiot trzeci, któremu LumaKol powierza przetwarzanie Danych osobowych Klienta.
• „SKU” oznaczają standardowe klauzule umowne zatwierdzone przez Komisję Europejską decyzją wykonawczą (UE) 2021/914, a „aneks brytyjski” oznacza International Data Transfer Addendum wydany przez brytyjskiego Information Commissioner.

Pozostałe terminy pisane wielką literą mają znaczenie nadane im w Warunkach korzystania z usługi.

Klient jest administratorem Danych osobowych Klienta, a LumaKol jego podmiotem przetwarzającym. Jeśli Klient sam jest podmiotem przetwarzającym działającym w imieniu innego administratora, LumaKol jest jego podprocesorem, a Klient odpowiada za przekazanie odpowiednich poleceń.

LumaKol jest odrębnym administratorem danych osobowych potrzebnych do prowadzenia konta Klienta, takich jak nazwy użytkowników, dane logowania i dokumenty rozliczeniowe. Dane te obejmuje Polityka prywatności, a nie niniejsza DPA.

Tam, gdzie zastosowanie ma CCPA, Klient jest „business”, a LumaKol jego „service provider”. LumaKol nie będzie sprzedawać ani udostępniać Danych osobowych Klienta, nie będzie ich przechowywać, wykorzystywać ani ujawniać w żadnym celu innym niż świadczenie Usługi ani poza bezpośrednią relacją biznesową z Klientem i nie będzie łączyć ich z danymi osobowymi z innych źródeł, z wyjątkiem przypadków dopuszczonych przez CCPA. LumaKol poinformuje Klienta, jeśli nie będzie już w stanie wypełniać tych obowiązków.

Klient odpowiada za posiadanie podstawy prawnej przetwarzania (w rozumieniu DPDP Act — zgody lub uprawnionego wykorzystania), za prawidłowość Danych osobowych Klienta, za przekazanie osobom, z którymi się kontaktuje, wszelkich informacji wymaganych przez prawo oraz za własną zgodność z przepisami dotyczącymi połączeń marketingowych i nagrywania rozmów.

• Przedmiot: świadczenie LumaKol, CRM-u do połączeń, w którym zespół Klienta zarządza leadami, dzwoni z własnych telefonów komórkowych i zapisuje wynik każdego połączenia.
• Czas trwania: tak długo, jak Klient korzysta z Usługi, a następnie do czasu usunięcia danych zgodnie z sekcją „Usuwanie i zwrot danych”.
• Charakter: zbieranie, przechowywanie, porządkowanie, pobieranie, wyświetlanie, przesyłanie do użytkowników i urządzeń Klienta oraz usuwanie.
• Cel: świadczenie, zabezpieczanie i wspieranie Usługi dla Klienta i żaden inny cel.

LumaKol przetwarza Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta. Poleceniami tymi są Warunki korzystania z usługi, niniejsza DPA oraz sposób, w jaki Klient korzysta z Usługi i ją konfiguruje. LumaKol poinformuje Klienta, jeśli uzna, że polecenie narusza Przepisy o ochronie danych, chyba że prawo tego zabrania.

Jeśli prawo wymaga od LumaKol przetwarzania Danych osobowych Klienta w inny sposób, LumaKol poinformuje o tym Klienta przed rozpoczęciem takiego przetwarzania, chyba że prawo tego zabrania.

LumaKol zapewnia, że każda osoba upoważniona do przetwarzania Danych osobowych Klienta jest zobowiązana do zachowania poufności. Dostęp pracowników do Danych osobowych Klienta jest ograniczony do tego, czego potrzebują do obsługi i wsparcia Usługi, i jest rejestrowany.

LumaKol stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w tym:

• szyfrowanie danych w transmisji (TLS), szyfrowanie bazy danych w spoczynku oraz drugą warstwę szyfrowania AES-256 dla sekretów, takich jak tokeny i hasła do podłączonych skrzynek pocztowych;
• oddzielenie danych każdego klienta według przestrzeni roboczej, z filtrowaniem każdego zapytania według przestrzeni roboczej klienta;
• haszowanie haseł algorytmem Argon2id i przechowywanie tokenów sesji wyłącznie w postaci skrótów;
• limity zapytań i blokadę logowania;
• dostęp oparty na rolach w produkcie, z opcjami maskowania numerów telefonów, ograniczania eksportów i ograniczania, kto może słuchać nagrań;
• dzienniki audytu wrażliwych działań tylko do dopisywania;
• uwierzytelnianie wieloskładnikowe dla pracowników LumaKol, z rejestrowanym dostępem do danych produkcyjnych;
• kopie zapasowe do odtworzenia danych po awarii, nadpisywane w ciągu około czterech tygodni.

LumaKol może aktualizować te środki, o ile ogólny poziom ochrony nie ulegnie obniżeniu.

Klient upoważnia LumaKol do korzystania z podprocesorów opisanych w poniższej tabeli. LumaKol zobowiązuje każdego podprocesora pisemną umową do przestrzegania obowiązków w zakresie ochrony danych zapewniających ochronę nie mniejszą niż niniejsza DPA i pozostaje odpowiedzialny wobec Klienta za działania każdego podprocesora. Nazwy obecnych podprocesorów są przekazywane każdemu Klientowi na żądanie pod adresem [email protected] i stanowią część niniejszej DPA.

Zanim nowy podprocesor zacznie przetwarzać Dane osobowe Klienta, LumaKol powiadomi właściciela przestrzeni roboczej e-mailem co najmniej 30 dni wcześniej, podając jego nazwę. Klient może w tym terminie zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych. Jeśli strony nie zdołają rozwiązać kwestii sprzeciwu, Klient może przestać korzystać z części Usługi, której to dotyczy, lub zakończyć subskrypcję.

Gdy aplikacja na iPhone’a zostanie wydana, jej powiadomienia push będzie dostarczać własna usługa platformy iPhone; zanim to nastąpi, dodamy ją do tej listy z powiadomieniem opisanym powyżej. Google Drive, Sheets i Kalendarza Google, kalendarza Microsoft Outlook ani reklam leadowych na Facebooku i Instagramie nie można jeszcze podłączyć.

Nagrania rozmów są przechowywane na serwerach LumaKol. Notatki głosowe i zdjęcia z wizyt w terenie będą zapisywane na Dysku Google (Google Drive) członka zespołu, który go podłączy, a nie na serwerach LumaKol.

E-maile, które klient wysyła do własnych leadów, przechodzą przez własną skrzynkę pocztową klienta (Ustawienia → E-mail), a nie przez dostawcę poczty LumaKol. Systemy, które klient podłącza samodzielnie, takie jak jego własna strona internetowa, źródła leadów, klienci API i endpointy webhooków, otrzymują dane na polecenie klienta i nie są podprocesorami LumaKol.

Usługa pozwala Klientowi wyszukiwać, poprawiać, eksportować i usuwać dane jego leadów oraz blokować kolejne połączenia do leada, dzięki czemu może on sam odpowiadać na większość wniosków osób, których dane dotyczą. Jeśli nie jest to możliwe, LumaKol pomoże na żądanie, uwzględniając charakter przetwarzania.

Jeśli LumaKol otrzyma bezpośrednio od osoby, której dane dotyczą, wniosek dotyczący Danych osobowych Klienta, przekaże go Klientowi bez zbędnej zwłoki i nie odpowie na niego inaczej niż na polecenie Klienta.

LumaKol zapewni również rozsądną pomoc przy ocenach skutków dla ochrony danych przeprowadzanych przez Klienta i konsultacjach z organami nadzorczymi w zakresie, w jakim dotyczą one przetwarzania przez LumaKol.

LumaKol powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta, aby Klient mógł wypełnić własne obowiązki zgłoszenia organom regulacyjnym i osobom, których naruszenie dotyczy — na przykład w ciągu 72 godzin zgodnie z RODO i przepisami DPDP Act. Powiadomienie opisze, w zakresie znanym w danym momencie, charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, których dotyczy, prawdopodobne konsekwencje oraz podjęte lub proponowane środki, a także wskaże osobę kontaktową, od której można uzyskać więcej informacji.

LumaKol będzie informować Klienta w miarę uzyskiwania nowych informacji i podejmie rozsądne kroki w celu ograniczenia naruszenia i jego skutków. Zgłoszenie naruszenia nie stanowi przyznania się do winy.

W trakcie subskrypcji Klient może eksportować swoje leady do CSV i odczytywać swoje dane przez publiczne API. Gdy Klient zamknie przestrzeń roboczą lub gdy jego dane osiągną koniec okresu przechowywania określonego w Warunkach płatności po anulowaniu lub wstrzymaniu z powodu braku płatności, LumaKol usuwa Dane osobowe Klienta z Usługi.

Kopie w kopiach zapasowych wygasają według cyklicznego harmonogramu i są wtedy usuwane. LumaKol może zachować dane tylko wtedy, gdy wymaga tego prawo, i wyłącznie te dane, chronione zgodnie z niniejszą DPA, tak długo, jak wymaga tego prawo.

Na uzasadnione żądanie LumaKol udostępni informacje niezbędne do wykazania, że wypełnia swoje obowiązki wynikające z niniejszej DPA i art. 28 RODO, na przykład pisemne odpowiedzi na kwestionariusze bezpieczeństwa.

Jeśli te informacje nie wystarczą, Klient może przeprowadzić audyt zgodności LumaKol samodzielnie lub za pośrednictwem niezależnego audytora zobowiązanego do zachowania poufności, z co najmniej 30-dniowym pisemnym wyprzedzeniem, w godzinach pracy, nie częściej niż raz w roku, chyba że wymaga tego organ nadzorczy lub po naruszeniu ochrony danych osobowych, i na koszt Klienta. Strony uzgodnią zakres z wyprzedzeniem, aby audyt nie zakłócał Usługi ani nie ujawniał danych innych klientów.

LumaKol przetwarza Dane osobowe Klienta w Indiach, w Singapurze i Japonii, gdzie hostowana jest Usługa, oraz w krajach, w których działają jego podprocesorzy. Jeśli wiąże się to z przekazaniem danych osobowych poza EOG lub poza Wielką Brytanię do kraju, wobec którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony ani przepisów w tym zakresie, strony uzgadniają, że:

• w przypadku danych z EOG zastosowanie mają SKU, które zostają włączone do niniejszej DPA przez odesłanie: Moduł drugi (administrator–podmiot przetwarzający), gdy Klient jest administratorem, oraz Moduł trzeci (podmiot przetwarzający–podmiot przetwarzający), gdy Klient jest podmiotem przetwarzającym, z opcjonalną klauzulą przystąpienia, opcją 2 (ogólne upoważnienie) w Klauzuli 9 oraz prawem właściwym i sądami Irlandii w Klauzulach 17 i 18;
• w przypadku danych z Wielkiej Brytanii zastosowanie ma aneks brytyjski, który zostaje włączony przez odesłanie, a jego tabele uzupełnia się informacjami z niniejszej DPA;
• informacje wymagane przez SKU w ich załącznikach to informacje zawarte powyżej w sekcjach „Strony”, „Przedmiot, czas trwania, charakter i cel”, „Osoby, których dane dotyczą, i dane osobowe”, „Środki bezpieczeństwa” i „Lista podprocesorów”.

Tam, gdzie zastosowanie ma DPDP Act, LumaKol nie będzie przekazywać Danych osobowych Klienta do kraju ani na terytorium objęte ograniczeniem przez rząd Indii.

W razie sprzeczności SKU lub aneksu brytyjskiego z niniejszą DPA pierwszeństwo mają SKU lub aneks brytyjski. LumaKol wymaga od swoich podprocesorów ochrony dalszych transferów za pomocą odpowiednich zabezpieczeń.

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom określonym w Warunkach korzystania z usługi, z wyjątkiem przypadków, w których Przepisy o ochronie danych lub SKU nie pozwalają na ograniczenie odpowiedzialności.

Niniejsza DPA obowiązuje tak długo, jak LumaKol przetwarza Dane osobowe Klienta. Obowiązki, które ze swej natury powinny obowiązywać dłużej, takie jak poufność i usuwanie danych, obowiązują również po jej zakończeniu. LumaKol może aktualizować niniejszą DPA, aby uwzględnić zmiany przepisów lub Usługi; nie obniży przy tym ochrony zapewnianej Danym osobowym Klienta, a data „Ostatnia aktualizacja” powyżej wskazuje obecną wersję.

Pytania dotyczące niniejszej DPA, zawiadomienia na jej podstawie i prośby o kontrasygnowaną kopię należy kierować na adres [email protected].

Poproś o podpisaną kopię: napisz na adres [email protected], podając pełną nazwę prawną i adres swojej organizacji, a odeślemy Ci niniejszą DPA z kontrasygnatą.