Data Processing Addendum

Ang Data Processing Addendum na ito (ang “DPA”) ay sa pagitan ng BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “kami”) at ng customer na tumanggap sa LumaKol Terms of Service (ang “Customer”, “ikaw”).

Bahagi ang DPA na ito ng Mga Tuntunin ng Serbisyo para sa bawat Customer at nalalapat ito tuwing nagpoproseso ang LumaKol ng personal na data para sa Customer — sa ilalim ng Digital Personal Data Protection Act, 2023 ng India, ng GDPR, ng UK GDPR o ng anumang ibang batas sa proteksyon ng data. Awtomatiko itong nalalapat; hindi mo kailangang pirmahan ito.

Kung gusto ng Customer ng kopyang may pirma namin para sa kanyang mga record, maaari siyang humiling ng isa sa [email protected]. Kung saan nagsasalungatan ang DPA na ito at ang Mga Tuntunin ng Serbisyo sa proteksyon ng personal na data, ang DPA na ito ang nangingibabaw.

• Ang “Data Protection Law” ay nangangahulugang bawat batas sa proteksyon ng data na nalalapat sa pagproseso, kasama ang Digital Personal Data Protection Act, 2023 ng India at ang mga patakarang ginawa sa ilalim nito (ang “DPDP Act”), ang EU General Data Protection Regulation 2016/679 (GDPR), ang UK GDPR at ang UK Data Protection Act 2018, at ang California Consumer Privacy Act ayon sa pagkakasusog (ang “CCPA”).
• Ang “Customer Personal Data” ay nangangahulugang personal na data na pinoproseso ng LumaKol para sa Customer upang ibigay ang Serbisyo.
• Ang “controller”, “processor”, “data subject”, “personal data breach” at “processing” ay may mga kahulugang ibinigay sa Data Protection Law. Kung saan nalalapat ang DPDP Act, ang “controller” ay nangangahulugang Data Fiduciary, ang “processor” ay Data Processor at ang “data subject” ay Data Principal.
• Ang “Sub-processor” ay nangangahulugang isang third party na kinukuha ng LumaKol para magproseso ng Customer Personal Data.
• Ang “SCCs” ay nangangahulugang ang standard contractual clauses na inaprubahan ng European Commission sa Implementing Decision (EU) 2021/914, at ang “UK Addendum” ay nangangahulugang ang International Data Transfer Addendum na inilabas ng UK Information Commissioner.

Ang iba pang terminong naka-capital ay may mga kahulugang ibinigay sa Mga Tuntunin ng Serbisyo.

Ang Customer ang controller ng Customer Personal Data at ang LumaKol ang processor nito. Kung ang Customer mismo ay isang processor na kumikilos para sa ibang controller, ang LumaKol ang sub-processor nito at responsable ang Customer sa pagpapasa ng mga kaukulang tagubilin.

Hiwalay na controller ang LumaKol para sa personal na data na kailangan nito para patakbuhin ang account ng Customer, gaya ng mga pangalan ng user, detalye sa pag-sign in at record sa billing. Saklaw ng Patakaran sa Privacy ang data na iyon, hindi ng DPA na ito.

Kung saan nalalapat ang CCPA, ang Customer ay isang “business” at ang LumaKol ang “service provider” nito. Hindi ibebenta o ibabahagi ng LumaKol ang Customer Personal Data, hindi ito itatabi, gagamitin o ibubunyag para sa anumang layunin bukod sa pagbibigay ng Serbisyo o sa labas ng direktang ugnayang pangnegosyo nito sa Customer, at hindi ito pagsasamahin sa personal na data mula sa ibang source maliban kung pinapayagan ng CCPA. Sasabihan ng LumaKol ang Customer kung hindi na nito matutugunan ang mga obligasyong ito.

Responsable ang Customer sa pagkakaroon ng legal na batayan (sa ilalim ng DPDP Act, pahintulot o lehitimong gamit) para sa pagproseso, sa katumpakan ng Customer Personal Data, sa pagbibigay sa mga taong kinokontak nito ng anumang abisong hinihingi ng batas, at sa sarili nitong pagsunod sa mga batas sa marketing call at pagre-record ng tawag.

• Paksa: ang pagbibigay ng LumaKol, isang calling CRM kung saan pinamamahalaan ng team ng Customer ang mga lead, tumatawag mula sa sarili nilang mobile phone at itinatala ang resulta ng bawat tawag.
• Tagal: hangga’t ginagamit ng Customer ang Serbisyo, at pagkatapos nito hanggang mabura ang data sa ilalim ng “Pagbura at pagbabalik”.
• Katangian: pagkolekta, pag-iimbak, pag-aayos, pagkuha, pagpapakita, pagpapadala sa mga user at device ng Customer, at pagbura.
• Layunin: para ibigay, i-secure at suportahan ang Serbisyo para sa Customer, at para sa walang ibang layunin.

Pinoproseso lamang ng LumaKol ang Customer Personal Data ayon sa nakadokumentong mga tagubilin ng Customer. Ang Mga Tuntunin ng Serbisyo, ang DPA na ito at ang paggamit at pagsasaayos ng Customer sa Serbisyo ang mga tagubiling iyon. Sasabihan ng LumaKol ang Customer kung naniniwala itong lumalabag sa Data Protection Law ang isang tagubilin, maliban kung ipinagbabawal ito ng batas.

Kung hinihingi ng batas na iproseso ng LumaKol ang Customer Personal Data sa ibang paraan, sasabihan nito ang Customer bago gawin iyon, maliban kung ipinagbabawal iyon ng batas.

Tinitiyak ng LumaKol na nakatali sa tungkulin ng pagiging kumpidensyal ang lahat ng pinapahintulutan nitong magproseso ng Customer Personal Data. Limitado sa kailangan nila para patakbuhin at suportahan ang Serbisyo ang access ng staff sa Customer Personal Data, at naitatala ito.

Nagpapanatili ang LumaKol ng mga teknikal at organisasyonal na hakbang na naaangkop sa panganib, kasama ang:

• encryption ng data habang ipinapadala (TLS), encryption ng database habang nakaimbak, at ikalawang patong ng AES-256 encryption para sa mga secret gaya ng token at password ng nakakonektang mailbox;
• paghihiwalay ng data ng bawat customer ayon sa workspace, na sinasala ang bawat query ayon sa workspace ng customer;
• mga password na naka-hash gamit ang Argon2id at mga session token na iniimbak lamang bilang hash;
• rate limiting at lockout sa pag-sign in;
• role-based na access sa produkto, na may mga opsyong i-mask ang mga numero ng telepono, limitahan ang export at higpitan kung sino ang makakarinig ng mga recording;
• append-only na audit log ng mga sensitibong aksyon;
• multi-factor authentication para sa LumaKol staff, na may naitatalang access sa production data;
• mga backup para makabawi pagkatapos ng pagkasira, na nawawala sa loob ng mga apat na linggo.

Maaaring i-update ng LumaKol ang mga hakbang na ito basta’t hindi bababa ang pangkalahatang antas ng proteksyon.

Pinapahintulutan ng Customer ang LumaKol na kumuha ng mga sub-processor na inilarawan sa talahanayan sa ibaba. Itinatali ng LumaKol ang bawat sub-processor sa pamamagitan ng nakasulat na kontrata sa mga obligasyon sa proteksyon ng data na hindi bababa ang proteksyon kaysa sa DPA na ito, at nananatili itong responsable sa Customer sa performance ng bawat sub-processor. Ibinibigay sa sinumang Customer kapag hiniling sa [email protected] ang mga pangalan ng kasalukuyang sub-processor, at bahagi ang mga ito ng DPA na ito.

Bago magsimulang magproseso ng Customer Personal Data ang isang bagong sub-processor, aabisuhan ng LumaKol ang owner ng workspace sa email nang hindi bababa sa 30 araw nang maaga, at papangalanan ito. Maaaring tumutol ang Customer batay sa makatwirang dahilan sa proteksyon ng data sa loob ng panahong iyon. Kung hindi malutas ng mga partido ang pagtutol, maaaring itigil ng Customer ang paggamit sa apektadong bahagi ng Serbisyo o tapusin ang subscription.

Kapag nailabas na ang iPhone app, ang sariling serbisyo ng iPhone platform ang maghahatid ng mga push notification nito; idaragdag namin ito sa listahang ito, kasama ang abisong inilarawan sa itaas, bago iyon mangyari. Hindi pa maikokonekta ang Google Drive, Sheets at Calendar, Microsoft Outlook calendar at Facebook at Instagram lead ads.

Iniimbak sa mga server ng LumaKol ang mga call recording. Ise-save ang mga voice note at larawan sa field visit sa Google Drive ng miyembro ng team na nagkonekta nito, hindi sa mga server ng LumaKol.

Dumadaan sa sariling mailbox ng customer (Mga setting → Email) ang mga email na ipinapadala ng customer sa sarili nitong mga lead, hindi sa email provider ng LumaKol. Ang mga system na ikinonekta mismo ng customer, gaya ng sarili nitong website, mga lead source, API client at webhook endpoint, ay tumatanggap ng data ayon sa mga tagubilin ng customer at hindi mga sub-processor ng LumaKol.

Hinahayaan ng Serbisyo ang Customer na maghanap, magtama, mag-export at magbura ng data ng mga lead nito at harangan ang mga susunod na tawag sa isang lead, para masagot nito mismo ang karamihan ng kahilingan ng data subject. Kung saan hindi nito kaya, tutulong ang LumaKol kapag hiniling, isinasaalang-alang ang katangian ng pagproseso.

Kung direktang makatanggap ang LumaKol ng kahilingan mula sa isang data subject tungkol sa Customer Personal Data, ipapasa nito ito sa Customer nang walang hindi makatwirang pagkaantala at hindi ito sasagutin maliban ayon sa mga tagubilin ng Customer.

Magbibigay rin ang LumaKol ng makatwirang tulong sa mga data protection impact assessment ng Customer at sa mga konsultasyon sa mga supervisory authority, hangga’t may kaugnayan ang mga ito sa pagproseso ng LumaKol.

Aabisuhan ng LumaKol ang Customer nang walang hindi makatwirang pagkaantala, at sa anumang kaso sa loob ng 48 oras, pagkatapos malaman ang isang personal data breach na nakaaapekto sa Customer Personal Data, para matupad ng Customer ang sarili nitong mga tungkuling mag-ulat sa mga regulator at sa mga taong apektado — halimbawa, sa loob ng 72 oras sa ilalim ng GDPR at ng mga patakaran ng DPDP Act. Ilalarawan ng abiso, hangga’t nalalaman sa panahong iyon, ang katangian ng breach, ang mga kategorya at tinatayang bilang ng mga tao at record na apektado, ang malamang na mga kahihinatnan at ang mga hakbang na ginawa o iminungkahi, at magpapangalan ito ng contact para sa karagdagang impormasyon.

Ia-update ng LumaKol ang Customer habang may nalalamang bago at gagawa ito ng makatwirang hakbang para pigilan ang breach at limitahan ang mga epekto nito. Hindi pag-amin ng pagkakamali ang pag-abiso ng breach.

Habang may subscription, maie-export ng Customer ang mga lead nito sa CSV at mababasa ang data nito sa pamamagitan ng public API. Kapag isinara ng Customer ang workspace nito, o naabot ng data nito ang katapusan ng retention period sa Mga tuntunin sa bayad pagkatapos ng pagkansela o pag-pause dahil sa hindi pagbabayad, binubura ng LumaKol ang Customer Personal Data mula sa Serbisyo.

Nag-e-expire ang mga kopya sa backup ayon sa paikot na iskedyul at binubura kapag nag-expire. Maaaring magtabi ang LumaKol ng data kung saan lamang hinihingi ito ng batas, at ang data lamang na iyon, protektado sa ilalim ng DPA na ito, hangga’t hinihingi ng batas.

Kapag makatwirang hiniling, gagawing available ng LumaKol ang impormasyong kailangan para ipakitang natutugunan nito ang mga obligasyon nito sa ilalim ng DPA na ito at ng Article 28 ng GDPR, gaya ng nakasulat na sagot sa mga security questionnaire.

Kung hindi sapat ang impormasyong iyon, maaaring i-audit ng Customer ang pagsunod ng LumaKol, mismo o sa pamamagitan ng isang independiyenteng auditor na nakatali sa pagiging kumpidensyal, nang may hindi bababa sa 30 araw na nakasulat na abiso, sa oras ng negosyo, hindi hihigit sa isang beses bawat taon maliban kung hinihingi ito ng isang supervisory authority o pagkatapos ng isang personal data breach, at sa gastos ng Customer. Pagkakasunduan ng mga partido ang saklaw nang maaga para hindi maabala ng audit ang Serbisyo o mailantad ang data ng ibang customer.

Pinoproseso ng LumaKol ang Customer Personal Data sa India, sa Singapore at Japan kung saan naka-host ang Serbisyo, at sa mga bansang pinag-o-operate-an ng mga sub-processor nito. Kung saan may kinalaman ito sa paglilipat ng personal na data palabas ng EEA, o palabas ng UK, sa isang bansang walang adequacy decision o regulasyon, sumasang-ayon ang mga partido na:

• para sa data mula sa EEA, nalalapat ang SCCs at isinasama ang mga ito sa DPA na ito sa pamamagitan ng sanggunian: Module Two (controller sa processor) kung saan controller ang Customer, at Module Three (processor sa processor) kung saan processor ang Customer, kasama ang opsyonal na docking clause, option 2 (general authorisation) sa Clause 9, at ang namamahalang batas at mga korte ng Ireland sa Clauses 17 at 18;
• para sa data mula sa UK, nalalapat ang UK Addendum at isinasama sa pamamagitan ng sanggunian, na pinupunan ang mga talahanayan nito ng impormasyon sa DPA na ito;
• ang impormasyong hinihingi ng SCCs sa kanilang mga annex ay ang impormasyon sa “Mga partido”, “Paksa, tagal, katangian at layunin”, “Mga data subject at personal na data”, “Mga hakbang sa seguridad” at “Listahan ng sub-processor” sa itaas.

Kung saan nalalapat ang DPDP Act, hindi ililipat ng LumaKol ang Customer Personal Data sa isang bansa o teritoryong pinaghigpitan ng Gobyerno ng India.

Kung sumasalungat ang SCCs o ang UK Addendum sa DPA na ito, ang mga ito ang nangingibabaw. Hinihingi ng LumaKol sa mga sub-processor nito na protektahan ang mga karagdagang paglilipat gamit ang naaangkop na mga pananggalang.

Sakop ng mga limitasyon sa Mga Tuntunin ng Serbisyo ang pananagutan ng bawat partido sa ilalim ng DPA na ito, maliban kung saan hindi pinapayagan ng Data Protection Law o ng SCCs na limitahan ang pananagutan.

Tumatagal ang DPA na ito hangga’t pinoproseso ng LumaKol ang Customer Personal Data. Nananatili pagkatapos nitong matapos ang mga obligasyong dapat manatili ayon sa kanilang katangian, gaya ng pagiging kumpidensyal at pagbura. Maaaring i-update ng LumaKol ang DPA na ito para ipakita ang mga pagbabago sa batas o sa Serbisyo; hindi nito babawasan ang proteksyong ibinibigay sa Customer Personal Data, at ipinapakita ng petsang “Huling na-update” sa itaas ang kasalukuyang bersyon.

Ipadala sa [email protected] ang mga tanong tungkol sa DPA na ito, mga abiso sa ilalim nito at mga kahilingan para sa kopyang may pirma namin.

Humiling ng pinirmahang kopya: sumulat sa [email protected] kasama ang legal na pangalan at address ng organisasyon mo, at ibabalik namin sa iyo ang DPA na ito na may pirma namin.