Phụ lục xử lý dữ liệu

Phụ lục xử lý dữ liệu này (“DPA”) được lập giữa BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “chúng tôi”) và khách hàng đã chấp nhận Điều khoản dịch vụ của LumaKol (“Khách hàng”, “bạn”).

DPA này là một phần của Điều khoản dịch vụ đối với mọi Khách hàng và áp dụng bất cứ khi nào LumaKol xử lý dữ liệu cá nhân thay mặt Khách hàng — theo Đạo luật Bảo vệ dữ liệu cá nhân kỹ thuật số 2023 của Ấn Độ, GDPR, UK GDPR hoặc bất kỳ luật bảo vệ dữ liệu nào khác. DPA tự động áp dụng; bạn không cần ký.

Nếu Khách hàng muốn có bản có chữ ký đối ứng để lưu hồ sơ, có thể yêu cầu tại [email protected]. Khi DPA này và Điều khoản dịch vụ mâu thuẫn về việc bảo vệ dữ liệu cá nhân, DPA này được ưu tiên áp dụng.

• “Luật bảo vệ dữ liệu” là mọi luật bảo vệ dữ liệu áp dụng cho hoạt động xử lý, bao gồm Đạo luật Bảo vệ dữ liệu cá nhân kỹ thuật số 2023 của Ấn Độ và các quy tắc ban hành theo đạo luật (“Đạo luật DPDP”), Quy định chung về bảo vệ dữ liệu 2016/679 của EU (GDPR), UK GDPR và Đạo luật Bảo vệ dữ liệu 2018 của Vương quốc Anh, và Đạo luật Quyền riêng tư người tiêu dùng California đã sửa đổi (“CCPA”).
• “Dữ liệu cá nhân của Khách hàng” là dữ liệu cá nhân mà LumaKol xử lý thay mặt Khách hàng để cung cấp Dịch vụ.
• “Bên kiểm soát”, “bên xử lý”, “chủ thể dữ liệu”, “vi phạm dữ liệu cá nhân” và “xử lý” có nghĩa như trong Luật bảo vệ dữ liệu. Khi Đạo luật DPDP áp dụng, “bên kiểm soát” nghĩa là Data Fiduciary, “bên xử lý” nghĩa là Data Processor và “chủ thể dữ liệu” nghĩa là Data Principal.
• “Bên xử lý phụ” là bên thứ ba mà LumaKol thuê để xử lý Dữ liệu cá nhân của Khách hàng.
• “SCC” là các điều khoản hợp đồng tiêu chuẩn được Ủy ban châu Âu phê duyệt trong Quyết định thực thi (EU) 2021/914, và “Phụ lục của Vương quốc Anh” là International Data Transfer Addendum do Information Commissioner của Vương quốc Anh ban hành.

Các thuật ngữ viết hoa khác có nghĩa như trong Điều khoản dịch vụ.

Khách hàng là bên kiểm soát Dữ liệu cá nhân của Khách hàng và LumaKol là bên xử lý. Khi bản thân Khách hàng là bên xử lý hoạt động cho một bên kiểm soát khác, LumaKol là bên xử lý phụ của Khách hàng và Khách hàng chịu trách nhiệm chuyển tiếp các chỉ dẫn liên quan.

LumaKol là bên kiểm soát độc lập đối với dữ liệu cá nhân cần thiết để vận hành tài khoản của Khách hàng, như tên người dùng, thông tin đăng nhập và hồ sơ thanh toán. Chính sách quyền riêng tư điều chỉnh dữ liệu đó, không phải DPA này.

Khi CCPA áp dụng, Khách hàng là “doanh nghiệp” và LumaKol là “nhà cung cấp dịch vụ” của Khách hàng. LumaKol sẽ không bán hoặc chia sẻ Dữ liệu cá nhân của Khách hàng, sẽ không lưu giữ, sử dụng hoặc tiết lộ dữ liệu đó cho bất kỳ mục đích nào ngoài việc cung cấp Dịch vụ hoặc ngoài mối quan hệ kinh doanh trực tiếp với Khách hàng, và sẽ không kết hợp với dữ liệu cá nhân từ nguồn khác trừ khi CCPA cho phép. LumaKol sẽ thông báo cho Khách hàng nếu không còn đáp ứng được các nghĩa vụ này.

Khách hàng chịu trách nhiệm có cơ sở pháp lý (theo Đạo luật DPDP là sự đồng ý hoặc mục đích sử dụng chính đáng) cho hoạt động xử lý, về tính chính xác của Dữ liệu cá nhân của Khách hàng, về việc cung cấp mọi thông báo mà pháp luật yêu cầu cho những người Khách hàng liên hệ, và về việc tự tuân thủ luật về cuộc gọi tiếp thị và ghi âm cuộc gọi.

• Đối tượng: việc cung cấp LumaKol, một CRM gọi điện trong đó đội của Khách hàng quản lý khách tiềm năng, gọi từ điện thoại di động của chính họ và ghi kết quả của mỗi cuộc gọi.
• Thời hạn: trong suốt thời gian Khách hàng sử dụng Dịch vụ, và sau đó cho đến khi dữ liệu bị xóa theo mục “Xóa và trả lại dữ liệu”.
• Tính chất: thu thập, lưu trữ, sắp xếp, truy xuất, hiển thị, truyền đến người dùng và thiết bị của Khách hàng, và xóa.
• Mục đích: để cung cấp, bảo mật và hỗ trợ Dịch vụ cho Khách hàng, và không vì mục đích nào khác.

LumaKol chỉ xử lý Dữ liệu cá nhân của Khách hàng theo chỉ dẫn được ghi nhận của Khách hàng. Điều khoản dịch vụ, DPA này và việc Khách hàng sử dụng, cấu hình Dịch vụ chính là các chỉ dẫn đó. LumaKol sẽ thông báo cho Khách hàng nếu cho rằng một chỉ dẫn vi phạm Luật bảo vệ dữ liệu, trừ khi pháp luật cấm làm vậy.

Nếu pháp luật yêu cầu LumaKol xử lý Dữ liệu cá nhân của Khách hàng theo cách khác, LumaKol sẽ thông báo cho Khách hàng trước khi thực hiện, trừ khi pháp luật cấm việc thông báo đó.

LumaKol bảo đảm mọi người được ủy quyền xử lý Dữ liệu cá nhân của Khách hàng đều bị ràng buộc bởi nghĩa vụ bảo mật thông tin. Quyền truy cập Dữ liệu cá nhân của Khách hàng của nhân viên được giới hạn ở mức cần thiết để vận hành và hỗ trợ Dịch vụ, và được ghi nhật ký.

LumaKol duy trì các biện pháp kỹ thuật và tổ chức phù hợp với mức độ rủi ro, bao gồm:

• mã hóa dữ liệu khi truyền (TLS), mã hóa cơ sở dữ liệu khi lưu trữ, và lớp mã hóa AES-256 thứ hai cho các bí mật như token và mật khẩu hộp thư đã kết nối;
• tách biệt dữ liệu của mỗi khách hàng theo không gian làm việc, với mọi truy vấn được lọc theo không gian làm việc của khách hàng;
• mật khẩu được băm bằng Argon2id và token phiên chỉ được lưu dưới dạng hàm băm;
• giới hạn tốc độ và khóa đăng nhập;
• phân quyền theo vai trò trong sản phẩm, với tùy chọn che số điện thoại, giới hạn xuất dữ liệu và hạn chế người được nghe ghi âm;
• nhật ký kiểm toán chỉ ghi thêm cho các thao tác nhạy cảm;
• xác thực đa yếu tố cho nhân viên LumaKol, với việc truy cập dữ liệu thực tế được ghi nhật ký;
• sao lưu để khôi phục sau sự cố, được loại bỏ trong khoảng bốn tuần.

LumaKol có thể cập nhật các biện pháp này miễn là mức bảo vệ tổng thể không giảm.

Khách hàng ủy quyền cho LumaKol thuê các bên xử lý phụ được mô tả trong bảng dưới đây. LumaKol ràng buộc mỗi bên xử lý phụ bằng hợp đồng bằng văn bản với nghĩa vụ bảo vệ dữ liệu không kém hơn DPA này, và vẫn chịu trách nhiệm trước Khách hàng về việc thực hiện của từng bên xử lý phụ. Tên của các bên xử lý phụ hiện tại được cung cấp cho bất kỳ Khách hàng nào theo yêu cầu tại [email protected], và là một phần của DPA này.

Trước khi một bên xử lý phụ mới bắt đầu xử lý Dữ liệu cá nhân của Khách hàng, LumaKol sẽ thông báo cho chủ sở hữu không gian làm việc qua email trước ít nhất 30 ngày, kèm tên bên đó. Khách hàng có thể phản đối dựa trên lý do bảo vệ dữ liệu hợp lý trong thời hạn đó. Nếu các bên không giải quyết được phản đối, Khách hàng có thể ngừng sử dụng phần Dịch vụ bị ảnh hưởng hoặc chấm dứt gói đăng ký.

Khi ứng dụng iPhone được phát hành, dịch vụ riêng của nền tảng iPhone sẽ gửi thông báo đẩy cho ứng dụng; chúng tôi sẽ bổ sung dịch vụ này vào danh sách, kèm thông báo như mô tả ở trên, trước khi điều đó diễn ra. Google Drive, Sheets và Calendar, lịch Microsoft Outlook và quảng cáo khách tiềm năng Facebook và Instagram hiện chưa thể kết nối.

Ghi âm cuộc gọi được lưu trên máy chủ của LumaKol. Ghi chú thoại và ảnh thăm thực địa sẽ được lưu trong Google Drive của thành viên đã kết nối, không phải trên máy chủ của LumaKol.

Email mà khách hàng gửi cho khách tiềm năng của mình đi qua hộp thư riêng của khách hàng (Cài đặt → Email), không qua nhà cung cấp email của LumaKol. Các hệ thống do khách hàng tự kết nối, như website, nguồn khách, ứng dụng khách API và endpoint webhook của họ, nhận dữ liệu theo chỉ dẫn của khách hàng và không phải bên xử lý phụ của LumaKol.

Dịch vụ cho phép Khách hàng tra cứu, chỉnh sửa, xuất và xóa dữ liệu của khách tiềm năng và chặn các cuộc gọi tiếp theo đến một khách, để Khách hàng có thể tự trả lời hầu hết yêu cầu của chủ thể dữ liệu. Khi không thể, LumaKol sẽ hỗ trợ theo yêu cầu, có tính đến bản chất của hoạt động xử lý.

Nếu LumaKol nhận được yêu cầu trực tiếp từ chủ thể dữ liệu về Dữ liệu cá nhân của Khách hàng, LumaKol sẽ chuyển cho Khách hàng không chậm trễ và sẽ không trả lời trừ khi theo chỉ dẫn của Khách hàng.

LumaKol cũng sẽ hỗ trợ hợp lý cho các đánh giá tác động bảo vệ dữ liệu và tham vấn với cơ quan giám sát của Khách hàng, trong phạm vi liên quan đến hoạt động xử lý của LumaKol.

LumaKol sẽ thông báo cho Khách hàng không chậm trễ, và trong mọi trường hợp trong vòng 48 giờ, sau khi biết về một vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu cá nhân của Khách hàng, để Khách hàng có thể thực hiện nghĩa vụ báo cáo của mình với cơ quan quản lý và những người bị ảnh hưởng — ví dụ trong vòng 72 giờ theo GDPR và các quy tắc của Đạo luật DPDP. Thông báo sẽ mô tả, trong phạm vi đã biết vào lúc đó, bản chất của vi phạm, các nhóm và số lượng ước tính người và bản ghi bị ảnh hưởng, hậu quả có thể xảy ra và các biện pháp đã thực hiện hoặc đề xuất, đồng thời nêu đầu mối liên hệ để biết thêm thông tin.

LumaKol sẽ cập nhật cho Khách hàng khi biết thêm và sẽ thực hiện các bước hợp lý để ngăn chặn vi phạm và hạn chế ảnh hưởng. Việc thông báo vi phạm không phải là sự thừa nhận lỗi.

Trong thời gian đăng ký, Khách hàng có thể xuất khách tiềm năng ra CSV và đọc dữ liệu của mình qua API công khai. Khi Khách hàng đóng không gian làm việc, hoặc dữ liệu hết thời hạn lưu giữ trong Điều khoản thanh toán sau khi hủy hoặc tạm dừng do chưa thanh toán, LumaKol xóa Dữ liệu cá nhân của Khách hàng khỏi Dịch vụ.

Các bản sao trong bản sao lưu hết hạn theo lịch luân phiên và bị xóa khi hết hạn. LumaKol chỉ có thể giữ dữ liệu khi pháp luật yêu cầu, và khi đó chỉ giữ đúng dữ liệu đó, được bảo vệ theo DPA này, trong thời gian pháp luật yêu cầu.

Khi có yêu cầu hợp lý, LumaKol sẽ cung cấp thông tin cần thiết để chứng minh việc đáp ứng nghĩa vụ theo DPA này và Điều 28 của GDPR, như câu trả lời bằng văn bản cho bảng câu hỏi bảo mật.

Khi thông tin đó chưa đủ, Khách hàng có thể kiểm toán việc tuân thủ của LumaKol, tự thực hiện hoặc qua kiểm toán viên độc lập bị ràng buộc bởi nghĩa vụ bảo mật, với thông báo bằng văn bản trước ít nhất 30 ngày, trong giờ làm việc, không quá một lần mỗi năm trừ khi cơ quan giám sát yêu cầu hoặc sau một vi phạm dữ liệu cá nhân, và do Khách hàng chịu chi phí. Các bên sẽ thống nhất phạm vi trước để cuộc kiểm toán không làm gián đoạn Dịch vụ hoặc làm lộ dữ liệu của khách hàng khác.

LumaKol xử lý Dữ liệu cá nhân của Khách hàng tại Ấn Độ, tại Singapore và Nhật Bản nơi Dịch vụ được lưu trữ, và tại các quốc gia nơi bên xử lý phụ hoạt động. Khi điều này liên quan đến việc chuyển dữ liệu cá nhân ra khỏi EEA, hoặc ra khỏi Vương quốc Anh, đến quốc gia không có quyết định hoặc quy định về mức độ bảo vệ tương xứng, các bên đồng ý rằng:

• đối với dữ liệu tại EEA, SCC được áp dụng và được đưa vào DPA này bằng dẫn chiếu: Mô-đun Hai (bên kiểm soát đến bên xử lý) khi Khách hàng là bên kiểm soát, và Mô-đun Ba (bên xử lý đến bên xử lý) khi Khách hàng là bên xử lý, kèm điều khoản gia nhập tùy chọn, phương án 2 (ủy quyền chung) tại Điều 9, và luật điều chỉnh cùng tòa án của Ireland tại Điều 17 và 18;
• đối với dữ liệu tại Vương quốc Anh, Phụ lục của Vương quốc Anh được áp dụng và đưa vào bằng dẫn chiếu, với các bảng được điền bằng thông tin trong DPA này;
• thông tin mà SCC yêu cầu trong các phụ lục là thông tin trong các mục “Các bên”, “Đối tượng, thời hạn, tính chất và mục đích”, “Chủ thể dữ liệu và dữ liệu cá nhân”, “Biện pháp bảo mật” và “Danh sách bên xử lý phụ” ở trên.

Khi Đạo luật DPDP áp dụng, LumaKol sẽ không chuyển Dữ liệu cá nhân của Khách hàng đến quốc gia hoặc vùng lãnh thổ mà Chính phủ Ấn Độ đã hạn chế.

Nếu SCC hoặc Phụ lục của Vương quốc Anh mâu thuẫn với DPA này, chúng được ưu tiên áp dụng. LumaKol yêu cầu các bên xử lý phụ bảo vệ việc chuyển tiếp dữ liệu bằng các biện pháp bảo vệ phù hợp.

Trách nhiệm của mỗi bên theo DPA này tuân theo các giới hạn trong Điều khoản dịch vụ, trừ khi Luật bảo vệ dữ liệu hoặc SCC không cho phép giới hạn trách nhiệm.

DPA này có hiệu lực trong suốt thời gian LumaKol xử lý Dữ liệu cá nhân của Khách hàng. Các nghĩa vụ mà về bản chất cần tồn tại tiếp, như bảo mật thông tin và xóa dữ liệu, vẫn có hiệu lực sau khi DPA kết thúc. LumaKol có thể cập nhật DPA này để phản ánh thay đổi của pháp luật hoặc của Dịch vụ; việc cập nhật sẽ không làm giảm mức bảo vệ dành cho Dữ liệu cá nhân của Khách hàng, và ngày “Cập nhật lần cuối” ở trên cho biết phiên bản hiện hành.

Câu hỏi về DPA này, thông báo theo DPA và yêu cầu bản có chữ ký đối ứng gửi đến [email protected].

Yêu cầu bản có chữ ký: viết đến [email protected] kèm tên pháp lý và địa chỉ của tổ chức bạn, và chúng tôi sẽ gửi lại DPA này có chữ ký đối ứng.