Угода про обробку даних

Ця Угода про обробку даних («DPA») укладається між BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India («LumaKol», «ми») і клієнтом, який прийняв Умови використання LumaKol («Клієнт», «ви»).

Ця DPA є частиною Умов використання для кожного Клієнта й застосовується щоразу, коли LumaKol обробляє персональні дані від імені Клієнта, — відповідно до Закону Індії про захист цифрових персональних даних 2023 року, GDPR, UK GDPR чи будь-якого іншого законодавства про захист даних. Вона застосовується автоматично; підписувати її не потрібно.

Якщо Клієнту потрібна підписана обома сторонами копія для документації, він може запросити її на [email protected]. Якщо ця DPA та Умови використання суперечать одна одній щодо захисту персональних даних, переважає ця DPA.

• «Законодавство про захист даних» означає кожен закон про захист даних, що застосовується до обробки, зокрема Закон Індії про захист цифрових персональних даних 2023 року та ухвалені відповідно до нього правила («Закон DPDP»), Загальний регламент ЄС про захист даних 2016/679 (GDPR), UK GDPR і Закон Великої Британії про захист даних 2018 року, а також Закон Каліфорнії про захист прав споживачів на приватність зі змінами («CCPA»).
• «Персональні дані Клієнта» означають персональні дані, які LumaKol обробляє від імені Клієнта для надання Сервісу.
• «Контролер», «обробник», «суб’єкт даних», «порушення безпеки персональних даних» і «обробка» мають значення, надані їм Законодавством про захист даних. Якщо застосовується Закон DPDP, «контролер» означає Data Fiduciary, «обробник» — Data Processor, а «суб’єкт даних» — Data Principal.
• «Субобробник» означає третю сторону, яку LumaKol залучає до обробки Персональних даних Клієнта.
• «SCC» означає стандартні договірні положення, затверджені Європейською Комісією Імплементаційним рішенням (ЄС) 2021/914, а «Додаток Великої Британії» означає International Data Transfer Addendum, виданий Information Commissioner Великої Британії.

Інші терміни з великої літери мають значення, надані їм в Умовах використання.

Клієнт є контролером Персональних даних Клієнта, а LumaKol — його обробником. Якщо Клієнт сам є обробником, що діє від імені іншого контролера, LumaKol є його субобробником, а Клієнт відповідає за передавання відповідних інструкцій.

LumaKol є окремим контролером персональних даних, потрібних для ведення облікового запису Клієнта, як-от імена користувачів, дані для входу та платіжні записи. Ці дані регулює Політика конфіденційності, а не ця DPA.

Якщо застосовується CCPA, Клієнт є «business», а LumaKol — його «service provider». LumaKol не продаватиме й не поширюватиме Персональні дані Клієнта, не зберігатиме, не використовуватиме й не розкриватиме їх для будь-якої іншої мети, ніж надання Сервісу, або поза межами прямих ділових відносин із Клієнтом і не поєднуватиме їх з персональними даними з інших джерел, крім випадків, дозволених CCPA. LumaKol повідомить Клієнта, якщо більше не зможе виконувати ці зобов’язання.

Клієнт відповідає за наявність правової підстави (за Законом DPDP — згоди або законного використання) для обробки, за точність Персональних даних Клієнта, за надання людям, з якими він зв’язується, будь-яких повідомлень, яких вимагає закон, а також за власне дотримання законів про маркетингові дзвінки та запис дзвінків.

• Предмет: надання LumaKol — CRM для дзвінків, у якій команда Клієнта веде лідів, телефонує зі своїх мобільних телефонів і записує результат кожного дзвінка.
• Строк: доки Клієнт користується Сервісом, а після цього — доки дані не буде видалено відповідно до розділу «Видалення та повернення».
• Характер: збирання, зберігання, упорядкування, отримання, відображення, передавання користувачам і пристроям Клієнта та видалення.
• Мета: надання, захист і підтримка Сервісу для Клієнта й жодна інша мета.

LumaKol обробляє Персональні дані Клієнта лише за задокументованими інструкціями Клієнта. Такими інструкціями є Умови використання, ця DPA, а також використання й налаштування Сервісу Клієнтом. LumaKol повідомить Клієнта, якщо вважатиме, що інструкція порушує Законодавство про захист даних, якщо закон цього не забороняє.

Якщо закон вимагає від LumaKol обробляти Персональні дані Клієнта в інший спосіб, LumaKol повідомить про це Клієнта заздалегідь, якщо закон цього не забороняє.

LumaKol забезпечує, щоб кожен, кого він уповноважує обробляти Персональні дані Клієнта, був зв’язаний обов’язком конфіденційності. Доступ співробітників до Персональних даних Клієнта обмежений тим, що потрібно для роботи й підтримки Сервісу, і записується.

LumaKol підтримує технічні та організаційні заходи, що відповідають ризику, зокрема:

• шифрування даних під час передавання (TLS), шифрування бази даних під час зберігання та другий шар шифрування AES-256 для секретів, як-от токени й паролі підключених поштових скриньок;
• відокремлення даних кожного клієнта за робочим простором, з фільтрацією кожного запиту за робочим простором клієнта;
• хешування паролів за допомогою Argon2id і зберігання токенів сесій лише у вигляді хешів;
• обмеження частоти запитів і блокування під час входу;
• рольовий доступ у продукті з можливістю маскувати номери телефонів, обмежувати експорт і визначати, хто може прослуховувати записи;
• журнали аудиту чутливих дій лише для дописування;
• багатофакторну автентифікацію для співробітників LumaKol із записом доступу до робочих даних;
• резервні копії для відновлення після збою, що спливають приблизно протягом чотирьох тижнів.

LumaKol може оновлювати ці заходи за умови, що загальний рівень захисту не знижується.

Клієнт уповноважує LumaKol залучати субобробників, описаних у таблиці нижче. LumaKol зобов’язує кожного субобробника письмовим договором виконувати зобов’язання щодо захисту даних, не менш суворі, ніж ця DPA, і залишається відповідальним перед Клієнтом за роботу кожного субобробника. Назви поточних субобробників надаються будь-якому Клієнту на запит на [email protected] і є частиною цієї DPA.

Перш ніж новий субобробник почне обробляти Персональні дані Клієнта, LumaKol щонайменше за 30 днів повідомить власника робочого простору електронним листом, назвавши його. Протягом цього строку Клієнт може заперечити з обґрунтованих міркувань захисту даних. Якщо сторони не зможуть урегулювати заперечення, Клієнт може припинити користуватися відповідною частиною Сервісу або завершити підписку.

Коли вийде застосунок для iPhone, його push-сповіщення доставлятиме власний сервіс платформи iPhone; ми додамо його до цього переліку, з повідомленням, описаним вище, ще до того. Google Drive, Sheets і Calendar, календар Microsoft Outlook і лід-реклама Facebook та Instagram поки не можуть бути підключені.

Записи дзвінків зберігаються на серверах LumaKol. Голосові нотатки й фото з виїзних візитів зберігатимуться на Google Drive учасника команди, який його підключить, а не на серверах LumaKol.

Листи, які клієнт надсилає своїм лідам, проходять через власну поштову скриньку клієнта (Налаштування → Пошта), а не через поштового постачальника LumaKol. Системи, які клієнт підключає сам, як-от його власний сайт, джерела лідів, API-клієнти та endpoint-и вебхуків, отримують дані за інструкціями клієнта й не є субобробниками LumaKol.

Сервіс дає Клієнту змогу знаходити, виправляти, експортувати й видаляти дані своїх лідів і блокувати подальші дзвінки ліду, тож більшість запитів суб’єктів даних він може виконати сам. Якщо це неможливо, LumaKol допоможе на запит з урахуванням характеру обробки.

Якщо LumaKol отримає запит безпосередньо від суб’єкта даних щодо Персональних даних Клієнта, він без зайвих зволікань передасть його Клієнту й не відповідатиме на нього інакше, ніж за інструкціями Клієнта.

LumaKol також надаватиме розумну допомогу в оцінках впливу Клієнта на захист даних і консультаціях із наглядовими органами тією мірою, якою вони стосуються обробки LumaKol.

LumaKol повідомить Клієнта без зайвих зволікань і в будь-якому разі протягом 48 годин після того, як йому стане відомо про порушення безпеки персональних даних, що стосується Персональних даних Клієнта, щоб Клієнт міг виконати власні обов’язки повідомити регуляторів і зачеплених людей — наприклад, протягом 72 годин за GDPR і правилами Закону DPDP. Повідомлення описуватиме, наскільки це відомо на той момент, характер порушення, категорії та приблизну кількість зачеплених людей і записів, ймовірні наслідки та вжиті чи запропоновані заходи, а також назве контактну особу для отримання додаткової інформації.

LumaKol інформуватиме Клієнта в міру отримання нових відомостей і вживатиме розумних заходів, щоб стримати порушення та обмежити його наслідки. Повідомлення про порушення не є визнанням провини.

Під час дії підписки Клієнт може експортувати своїх лідів у CSV і читати свої дані через публічний API. Коли Клієнт закриває свій робочий простір або коли його дані досягають кінця строку зберігання, визначеного в Умовах оплати, після скасування чи паузи через несплату, LumaKol видаляє Персональні дані Клієнта із Сервісу.

Копії в резервних копіях спливають за ковзним графіком і тоді видаляються. LumaKol може зберігати дані лише тоді, коли цього вимагає закон, і тоді лише ці дані, захищені відповідно до цієї DPA, і стільки, скільки вимагає закон.

На обґрунтований запит LumaKol надасть інформацію, потрібну для підтвердження того, що він виконує свої зобов’язання за цією DPA та статтею 28 GDPR, наприклад письмові відповіді на опитувальники з безпеки.

Якщо цієї інформації недостатньо, Клієнт може перевірити дотримання вимог LumaKol самостійно або через незалежного аудитора, зв’язаного зобов’язанням конфіденційності, з письмовим повідомленням щонайменше за 30 днів, у робочий час, не частіше одного разу на рік, якщо цього не вимагає наглядовий орган або після порушення безпеки персональних даних, і за рахунок Клієнта. Сторони заздалегідь узгодять обсяг, щоб аудит не порушував роботу Сервісу й не розкривав дані інших клієнтів.

LumaKol обробляє Персональні дані Клієнта в Індії, у Сінгапурі та Японії, де розміщено Сервіс, і в країнах, де працюють його субобробники. Якщо це передбачає передавання персональних даних за межі ЄЕЗ або за межі Великої Британії до країни без рішення про адекватність чи відповідних регламентів, сторони погоджуються, що:

• для даних з ЄЕЗ застосовуються SCC, включені до цієї DPA шляхом посилання: Модуль другий (від контролера до обробника), якщо Клієнт є контролером, і Модуль третій (від обробника до обробника), якщо Клієнт є обробником, з необов’язковим положенням про приєднання, варіантом 2 (загальний дозвіл) у Положенні 9, а також правом і судами Ірландії в Положеннях 17 і 18;
• для даних з Великої Британії застосовується Додаток Великої Британії, включений шляхом посилання, з таблицями, заповненими інформацією з цієї DPA;
• інформацією, якої SCC вимагають у своїх додатках, є інформація з розділів «Сторони», «Предмет, строк, характер і мета обробки», «Суб’єкти даних і персональні дані», «Заходи безпеки» та «Перелік субобробників» вище.

Якщо застосовується Закон DPDP, LumaKol не передаватиме Персональні дані Клієнта до країни чи території, щодо якої уряд Індії запровадив обмеження.

Якщо SCC або Додаток Великої Британії суперечать цій DPA, переважають вони. LumaKol вимагає від своїх субобробників захищати подальше передавання належними гарантіями.

Відповідальність кожної сторони за цією DPA підлягає обмеженням, визначеним в Умовах використання, крім випадків, коли Законодавство про захист даних або SCC не дозволяють обмежувати відповідальність.

Ця DPA діє, доки LumaKol обробляє Персональні дані Клієнта. Зобов’язання, які за своєю природою мають зберігати чинність, як-от конфіденційність і видалення, діють і після її завершення. LumaKol може оновлювати цю DPA відповідно до змін у законодавстві чи Сервісі; це не зменшить захисту Персональних даних Клієнта, а дата «Останнє оновлення» вгорі показує поточну версію.

Запитання щодо цієї DPA, повідомлення за нею та запити на підписану обома сторонами копію надсилайте на [email protected].

Запросіть підписану копію: напишіть на [email protected], указавши юридичну назву та адресу вашої організації, і ми надішлемо вам цю DPA з нашим підписом.