Соглашение об обработке данных

Настоящее Соглашение об обработке данных («DPA») заключено между BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India («LumaKol», «мы») и клиентом, принявшим Условия использования LumaKol («Клиент», «вы»).

Настоящее DPA является частью Условий использования для каждого Клиента и применяется всякий раз, когда LumaKol обрабатывает персональные данные от имени Клиента, — согласно индийскому Digital Personal Data Protection Act, 2023, GDPR, UK GDPR или любому другому закону о защите данных. Оно применяется автоматически; подписывать его не нужно.

Если Клиенту нужна подписанная с нашей стороны копия для учёта, он может запросить её на [email protected]. Если настоящее DPA и Условия использования противоречат друг другу в вопросах защиты персональных данных, приоритет имеет настоящее DPA.

• «Законодательство о защите данных» — любой закон о защите данных, применимый к обработке, включая индийский Digital Personal Data Protection Act, 2023 и принятые в соответствии с ним правила («DPDP Act»), Общий регламент ЕС по защите данных 2016/679 (GDPR), UK GDPR и британский Data Protection Act 2018, а также California Consumer Privacy Act с поправками («CCPA»).
• «Персональные данные Клиента» — персональные данные, которые LumaKol обрабатывает от имени Клиента для предоставления Сервиса.
• «Контролёр», «обработчик», «субъект данных», «утечка персональных данных» и «обработка» имеют значения, установленные Законодательством о защите данных. Если применяется DPDP Act, «контролёр» означает Доверенное лицо данных (Data Fiduciary), «обработчик» — Обработчика данных (Data Processor), а «субъект данных» — Принципала данных (Data Principal).
• «Субобработчик» — третье лицо, которое LumaKol привлекает для обработки Персональных данных Клиента.
• «SCC» — стандартные договорные положения, утверждённые Европейской комиссией Имплементационным решением (ЕС) 2021/914, а «Британское дополнение» — International Data Transfer Addendum, изданное Уполномоченным по информации Великобритании (UK Information Commissioner).

Прочие термины с заглавной буквы имеют значения, установленные в Условиях использования.

Клиент является контролёром Персональных данных Клиента, а LumaKol — его обработчиком. Если Клиент сам является обработчиком, действующим от имени другого контролёра, LumaKol является его субобработчиком, а Клиент отвечает за передачу соответствующих указаний.

LumaKol является самостоятельным контролёром персональных данных, необходимых для ведения аккаунта Клиента, таких как имена пользователей, данные для входа и платёжные записи. Эти данные регулируются Политикой конфиденциальности, а не настоящим DPA.

Если применяется CCPA, Клиент является «бизнесом» (business), а LumaKol — его «поставщиком услуг» (service provider). LumaKol не будет продавать или передавать (sell or share) Персональные данные Клиента, не будет хранить, использовать или раскрывать их для каких-либо целей, кроме предоставления Сервиса, или вне своих прямых деловых отношений с Клиентом и не будет объединять их с персональными данными из других источников, кроме как в пределах, допускаемых CCPA. LumaKol сообщит Клиенту, если больше не сможет выполнять эти обязательства.

Клиент отвечает за наличие правового основания для обработки (согласно DPDP Act — согласия или законного использования), за точность Персональных данных Клиента, за предоставление людям, с которыми он связывается, любого уведомления, требуемого законом, и за собственное соблюдение законов о маркетинговых звонках и записи звонков.

• Предмет: предоставление LumaKol — CRM для звонков, в которой команда Клиента управляет лидами, звонит со своих мобильных телефонов и фиксирует итог каждого звонка.
• Срок: в течение всего времени использования Клиентом Сервиса, а затем до удаления данных согласно разделу «Удаление и возврат».
• Характер: сбор, хранение, систематизация, извлечение, отображение, передача пользователям и устройствам Клиента и удаление.
• Цель: предоставление, защита и поддержка Сервиса для Клиента и никакая иная цель.

LumaKol обрабатывает Персональные данные Клиента только по задокументированным указаниям Клиента. Такими указаниями являются Условия использования, настоящее DPA, а также использование и настройка Сервиса Клиентом. LumaKol сообщит Клиенту, если сочтёт, что какое-либо указание нарушает Законодательство о защите данных, если закон не запрещает ему это делать.

Если закон требует от LumaKol обрабатывать Персональные данные Клиента иным образом, LumaKol сообщит об этом Клиенту до начала такой обработки, если закон этого не запрещает.

LumaKol обеспечивает, чтобы каждый, кому он разрешает обрабатывать Персональные данные Клиента, был связан обязательством о конфиденциальности. Доступ сотрудников к Персональным данным Клиента ограничен тем, что им необходимо для эксплуатации и поддержки Сервиса, и регистрируется.

LumaKol поддерживает технические и организационные меры, соответствующие риску, в том числе:

• шифрование данных при передаче (TLS), шифрование базы данных при хранении и второй уровень шифрования AES-256 для секретов, таких как токены и пароли подключённых почтовых ящиков;
• разделение данных каждого клиента по рабочим пространствам с фильтрацией каждого запроса по рабочему пространству клиента;
• хеширование паролей с Argon2id и хранение токенов сеансов только в виде хешей;
• ограничение частоты запросов и блокировку при входе;
• ролевой доступ в продукте с возможностью маскировать номера телефонов, ограничивать экспорт и определять, кто может прослушивать записи;
• журналы аудита чувствительных действий только для добавления;
• многофакторную аутентификацию для сотрудников LumaKol с регистрацией доступа к производственным данным;
• резервные копии для восстановления после сбоя, которые вытесняются в течение примерно четырёх недель.

LumaKol может обновлять эти меры при условии, что общий уровень защиты не снижается.

Клиент разрешает LumaKol привлекать субобработчиков, описанных в таблице ниже. LumaKol связывает каждого субобработчика письменным договором с обязательствами по защите данных не менее строгими, чем настоящее DPA, и остаётся ответственным перед Клиентом за действия каждого субобработчика. Названия текущих субобработчиков предоставляются любому Клиенту по запросу на [email protected] и являются частью настоящего DPA.

До того как новый субобработчик начнёт обрабатывать Персональные данные Клиента, LumaKol не менее чем за 30 дней уведомит владельца рабочего пространства по электронной почте, назвав его. В течение этого срока Клиент может возразить по обоснованным причинам, связанным с защитой данных. Если стороны не смогут урегулировать возражение, Клиент может прекратить использование затронутой части Сервиса или расторгнуть подписку.

Когда выйдет приложение для iPhone, его push-уведомления будет доставлять собственный сервис платформы iPhone; мы добавим его в этот список с уведомлением, описанным выше, до того как это произойдёт. Google Drive, Sheets и Calendar, календарь Microsoft Outlook и лид-реклама Facebook и Instagram пока не подключаются.

Записи звонков хранятся на серверах LumaKol. Голосовые заметки и фото с выездов будут сохраняться на Google Drive участника команды, который его подключит, а не на серверах LumaKol.

Письма, которые клиент отправляет своим лидам, идут через собственный почтовый ящик клиента («Настройки» → «Почта»), а не через почтового провайдера LumaKol. Системы, которые клиент подключает сам, такие как его собственный сайт, источники лидов, клиенты API и эндпоинты вебхуков, получают данные по указанию клиента и не являются субобработчиками LumaKol.

Сервис позволяет Клиенту находить, исправлять, экспортировать и удалять данные своих лидов и блокировать дальнейшие звонки лиду, чтобы он мог сам отвечать на большинство запросов субъектов данных. Если это невозможно, LumaKol поможет по запросу с учётом характера обработки.

Если LumaKol получит запрос о Персональных данных Клиента непосредственно от субъекта данных, он без неоправданной задержки передаст его Клиенту и не будет отвечать на него иначе как по указаниям Клиента.

LumaKol также окажет разумную помощь в проведении Клиентом оценки воздействия на защиту данных и консультаций с надзорными органами в той мере, в какой они касаются обработки, осуществляемой LumaKol.

LumaKol уведомит Клиента без неоправданной задержки и в любом случае в течение 48 часов после того, как ему станет известно об утечке персональных данных, затрагивающей Персональные данные Клиента, чтобы Клиент мог выполнить собственные обязанности по уведомлению регуляторов и затронутых людей — например, в течение 72 часов согласно GDPR и правилам DPDP Act. В уведомлении будут описаны, насколько это известно на тот момент, характер утечки, категории и примерное число затронутых людей и записей, вероятные последствия и принятые или предлагаемые меры, а также указано контактное лицо для получения дополнительной информации.

LumaKol будет информировать Клиента по мере получения новых сведений и примет разумные меры для локализации утечки и ограничения её последствий. Уведомление об утечке не является признанием вины.

В течение срока подписки Клиент может экспортировать свои лиды в CSV и читать свои данные через публичный API. Когда Клиент закрывает своё рабочее пространство или его данные достигают конца срока хранения, установленного Условиями оплаты, после отмены или паузы из-за неуплаты, LumaKol удаляет Персональные данные Клиента из Сервиса.

Копии в резервных копиях устаревают по скользящему графику и удаляются по его истечении. LumaKol может хранить данные только тогда, когда этого требует закон, и в этом случае только эти данные, под защитой настоящего DPA, в течение срока, установленного законом.

По обоснованному запросу LumaKol предоставит информацию, необходимую для подтверждения выполнения им обязательств по настоящему DPA и статье 28 GDPR, например письменные ответы на опросники по безопасности.

Если этой информации недостаточно, Клиент может провести аудит соблюдения требований LumaKol самостоятельно или через независимого аудитора, связанного обязательством о конфиденциальности, с письменным уведомлением не менее чем за 30 дней, в рабочее время, не чаще одного раза в год, если только этого не требует надзорный орган или аудит не проводится после утечки персональных данных, и за счёт Клиента. Стороны заранее согласуют объём аудита, чтобы он не нарушал работу Сервиса и не раскрывал данные других клиентов.

LumaKol обрабатывает Персональные данные Клиента в Индии, в Сингапуре и Японии, где размещён Сервис, и в странах, где работают его субобработчики. Если при этом персональные данные передаются из ЕЭЗ или из Великобритании в страну, в отношении которой нет решения о достаточности защиты или соответствующих правил, стороны договариваются о следующем:

• для данных из ЕЭЗ применяются SCC, включённые в настоящее DPA посредством ссылки: Модуль два (от контролёра к обработчику), если Клиент является контролёром, и Модуль три (от обработчика к обработчику), если Клиент является обработчиком, с необязательным положением о присоединении, вариантом 2 (общее разрешение) в пункте 9 и применимым правом и судами Ирландии в пунктах 17 и 18;
• для данных из Великобритании применяется Британское дополнение, включённое посредством ссылки, таблицы которого заполнены информацией из настоящего DPA;
• информацией, которую SCC требуют в своих приложениях, является информация из разделов «Стороны», «Предмет, срок, характер и цель», «Субъекты данных и персональные данные», «Меры безопасности» и «Список субобработчиков» выше.

Если применяется DPDP Act, LumaKol не будет передавать Персональные данные Клиента в страну или на территорию, в отношении которой Правительство Индии установило ограничения.

Если SCC или Британское дополнение противоречат настоящему DPA, приоритет имеют они. LumaKol требует от своих субобработчиков защищать последующую передачу данных надлежащими гарантиями.

Ответственность каждой стороны по настоящему DPA подпадает под ограничения, установленные Условиями использования, за исключением случаев, когда Законодательство о защите данных или SCC не допускают ограничения ответственности.

Настоящее DPA действует, пока LumaKol обрабатывает Персональные данные Клиента. Обязательства, которые по своей природе должны сохраняться, такие как конфиденциальность и удаление, сохраняют силу после прекращения его действия. LumaKol может обновлять настоящее DPA с учётом изменений законодательства или Сервиса; при этом уровень защиты Персональных данных Клиента не снизится, а дата «Последнее обновление» выше указывает действующую редакцию.

Вопросы о настоящем DPA, уведомления по нему и запросы подписанной с нашей стороны копии направляйте на [email protected].

Запросите подписанную копию: напишите на [email protected], указав юридическое наименование и адрес вашей организации, и мы вернём вам настоящее DPA с нашей подписью.