Соглашение об обработке данных

Настоящее Соглашение об обработке данных («DPA») заключается между клиентом, указанным в аккаунте Vocito.ai («Контролёр», «Клиент», «вы»), и компанией Vocito.ai B.V. («Обработчик», «Vocito», «мы») и является неотъемлемой частью документа Условия обслуживания и соглашения между сторонами о предоставлении Сервиса Vocito.

Настоящее DPA отражает договорённость сторон об обработке персональных данных Обработчиком от имени Контролёра в соответствии с требованиями статьи 28 Общего регламента по защите данных (ЕС) 2016/679 («GDPR»).

1. Определения

Если в настоящем DPA не определено иное, термины, написанные с заглавной буквы, имеют значения, установленные в GDPR или в Условиях обслуживания. Дополнительно применяются следующие определения:

• «Персональные данные» означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, которую Обработчик обрабатывает от имени Контролёра через Сервис.
• «Обработка» означает любую операцию или совокупность операций, совершаемых с Персональными данными, как это определено в статье 4(2) GDPR.
• «Контролёр» означает Клиента, который определяет цели и средства обработки Персональных данных через Сервис.
• «Обработчик» означает компанию Vocito.ai B.V., которая обрабатывает Персональные данные от имени Контролёра.
• «Субобработчик» означает третье лицо, привлечённое Обработчиком для обработки Персональных данных от имени Обработчика.
• «Субъект данных» означает идентифицированное или идентифицируемое физическое лицо, к которому относятся Персональные данные.
• «Нарушение безопасности персональных данных» означает нарушение безопасности, которое приводит к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию Персональных данных или несанкционированному доступу к ним.
• «SCC» означают Стандартные договорные условия, утверждённые Европейской комиссией в соответствии с Имплементационным решением Комиссии (ЕС) 2021/914.
• «Сервис» означает платформу голосового ИИ-секретаря Vocito.ai и все связанные с ней функции и услуги.
• «Данные Клиента» означают все данные, включая Персональные данные, которые обрабатываются в результате использования Сервиса Клиентом.

2. Сфера действия и роли

2.1 Роли сторон

Клиент и Vocito являются соответственно Контролёром и Обработчиком в отношении Персональных данных, обрабатываемых через Сервис. Обработчик обрабатывает Персональные данные только от имени Контролёра и в соответствии с его документально оформленными указаниями.

2.2 Объём обработки

Настоящее DPA применяется ко всем Персональным данным, которые Обработчик обрабатывает от имени Контролёра в связи с предоставлением Сервиса, как подробнее описано в Приложении A.

2.3 Соотношение с Условиями обслуживания

Настоящее DPA дополняет Условия обслуживания и является их частью. В случае противоречия между настоящим DPA и Условиями обслуживания по вопросам защиты данных преимущественную силу имеет настоящее DPA.

3. Сведения об обработке

Сведения о деятельности по обработке изложены в Приложении A и включают:

• Предмет: Предоставление платформы голосового ИИ-секретаря Vocito.
• Срок: В течение срока действия соглашения между Контролёром и Обработчиком, а также в течение любого применимого срока хранения данных.
• Характер и цель: Приём и обработка входящих телефонных звонков с помощью ИИ, запись и транскрипция звонков, отправка последующих SMS-сообщений, управление лидами и бронированиями, интеграция с электронной почтой, управление данными CRM и предоставление аналитики.
• Типы Персональных данных: Имена, номера телефонов, адреса электронной почты, голосовые записи, транскрипции звонков, содержание SMS, содержание электронных писем, сведения о лидах и бронированиях, деловые контактные данные.
• Категории Субъектов данных: Конечные пользователи (звонящие), клиенты и потенциальные клиенты Контролёра, сотрудники и представители Контролёра.

4. Обязанности Обработчика

4.1 Указания по обработке

Обработчик обязан:

• Обрабатывать Персональные данные только на основании документально оформленных указаний Контролёра, в том числе в отношении передачи Персональных данных в третью страну или международной организации, за исключением случаев, когда обработка требуется в соответствии с правом Союза или государства-члена, которое распространяется на Обработчика. В таком случае Обработчик обязан сообщить Контролёру об этом юридическом требовании до начала обработки, если только это право не запрещает такое информирование.
• Незамедлительно сообщать Контролёру, если, по мнению Обработчика, какое-либо указание нарушает GDPR или иные положения права Союза или государства-члена о защите данных.

4.2 Конфиденциальность

Обработчик обязан обеспечить, чтобы все лица, уполномоченные обрабатывать Персональные данные, приняли на себя обязательство соблюдать конфиденциальность или были связаны соответствующей установленной законом обязанностью соблюдать конфиденциальность.

4.3 Безопасность

Обработчик обязан принимать надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, как описано в Приложении B и в соответствии со статьёй 32 GDPR.

4.4 Привлечение субобработчиков

Обработчик обязан соблюдать условия, установленные в разделе 6 для привлечения субобработчиков.

4.5 Права субъектов данных

Обработчик обязан содействовать Контролёру в исполнении его обязанностей по ответу на запросы субъектов данных, как предусмотрено в разделе 9.

4.6 Содействие в соблюдении требований

С учётом характера обработки и информации, имеющейся у Обработчика, Обработчик обязан содействовать Контролёру в обеспечении соблюдения статей с 32 по 36 GDPR, включая обязанности в отношении безопасности обработки, уведомления о нарушениях безопасности персональных данных, оценок воздействия на защиту данных и предварительных консультаций с надзорными органами.

4.7 Удаление или возврат

Обработчик обязан по выбору Контролёра удалить или вернуть все Персональные данные после окончания оказания услуг, как предусмотрено в разделе 13.

4.8 Аудит и информация

Обработчик обязан предоставлять Контролёру всю информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, а также допускать проведение аудитов и содействовать им, как предусмотрено в разделе 12.

5. Обязанности Контролёра

Контролёр обязан:

• Обеспечивать наличие правового основания для обработки Персональных данных, включая получение всех необходимых согласий Субъектов данных (например, на запись звонков).
• Давать Обработчику документально оформленные указания по обработке.
• Исполнять свои обязанности, предусмотренные GDPR и применимым законодательством о защите данных.
• Обеспечивать информирование Субъектов данных об обработке их Персональных данных в соответствии со статьями 13 и 14 GDPR, в том числе об использовании систем ИИ в соответствии с Регламентом ЕС об ИИ.
• Отвечать на запросы субъектов данных при содействии Обработчика.
• Уведомлять Обработчика о любых изменениях своих указаний по обработке.
• Обеспечивать, чтобы Данные Клиента, предоставляемые Обработчику, не нарушали прав третьих лиц.

6. Субобработчики

6.1 Общее разрешение

Контролёр предоставляет Обработчику общее письменное разрешение на привлечение субобработчиков для содействия в предоставлении Сервиса при соблюдении условий, установленных в настоящем разделе. Актуальный перечень разрешённых субобработчиков приведён в Приложении C.

6.2 Обязанности в отношении субобработчиков

Если Обработчик привлекает субобработчика:

• Обработчик обязан на основании договора возложить на субобработчика те же обязанности по защите данных, которые установлены в настоящем DPA, в частности обязанность предоставить достаточные гарантии принятия надлежащих технических и организационных мер.
• Обработчик продолжает нести полную ответственность перед Контролёром за исполнение субобработчиком его обязанностей.
• Соглашение с субобработчиком должно содержать положения, равнозначные положениям настоящего DPA, в том числе в отношении конфиденциальности, безопасности и права на аудит.

6.3 Уведомление об изменениях

Обработчик обязан уведомлять Контролёра не менее чем за 30 дней о любых планируемых изменениях, касающихся добавления или замены субобработчиков, предоставляя тем самым Контролёру возможность возразить против таких изменений.

6.4 Право на возражение

Если у Контролёра есть разумные основания возражать против привлечения нового субобработчика, Контролёр обязан уведомить об этом Обработчика в течение 14 дней с момента получения уведомления. Стороны добросовестно обсуждают возражения Контролёра. Если стороны не могут прийти к решению, Контролёр вправе отказаться от затронутых услуг без применения штрафных санкций, направив письменное уведомление.

7. Меры безопасности

Обработчик обязан принимать и поддерживать технические и организационные меры безопасности, описанные в Приложении B, которые включают как минимум:

7.1 Шифрование

• Шифрование Персональных данных при передаче с использованием TLS 1.2 или выше.
• Шифрование Персональных данных при хранении с использованием AES-256 или эквивалентного алгоритма.
• Шифрование записей звонков при хранении.

7.2 Управление доступом

• Управление доступом на основе ролей (RBAC) с соблюдением принципа наименьших привилегий.
• Многофакторная аутентификация (MFA) для административного доступа и доступа к системам рабочей среды.
• Уникальные учётные записи пользователей для всех сотрудников; общие учётные данные не используются.
• Регулярные проверки прав доступа (не реже одного раза в квартал).
• Автоматизированное отключение доступа при уходе сотрудников.

7.3 Безопасность инфраструктуры

• Хостинг на инфраструктуре, которая находится в ЕС и настроена в соответствии с требованиями GDPR.
• Сегментация сети и защита с помощью межсетевых экранов.
• Регулярное сканирование на наличие уязвимостей и тестирование на проникновение.
• Своевременная установка обновлений безопасности.
• Защита от DDoS-атак.

7.4 Мониторинг и журналирование

• Централизованное журналирование доступа к Персональным данным.
• Мониторинг событий безопасности и оповещение о них в режиме реального времени.
• Хранение журналов не менее 12 месяцев.

7.5 Персонал

• Соглашения о конфиденциальности со всеми сотрудниками, имеющими доступ к Персональным данным.
• Обучение всех сотрудников по повышению осведомлённости в вопросах безопасности.
• Проверка биографических данных сотрудников, имеющих доступ к системам рабочей среды (если это допускается законом).

7.6 Непрерывность деятельности

• Регулярное резервное копирование Данных Клиента с проверенными процедурами восстановления.
• Процедуры аварийного восстановления с установленным целевым временем восстановления.
• Резервированная инфраструктура для критически важных компонентов.

7.7 Постоянная оценка

Обработчик обязан регулярно оценивать и обновлять меры безопасности, чтобы они продолжали соответствовать рискам, связанным с обработкой. Обработчик не вправе существенно снижать общий уровень безопасности в течение срока действия настоящего DPA.

8. Уведомление о нарушении безопасности данных

8.1 Уведомление Контролёра

Обработчик обязан уведомить Контролёра о Нарушении безопасности персональных данных без неоправданной задержки и в любом случае в течение 72 часов после того, как ему стало о нём известно. Уведомление направляется на адрес электронной почты, связанный с аккаунтом Контролёра, и содержит следующие сведения в той мере, в какой они имеются:

• Описание характера Нарушения безопасности персональных данных, включая категории и примерное число затронутых Субъектов данных и записей данных.
• Имя и контактные данные контактного лица Обработчика.
• Описание вероятных последствий нарушения.
• Описание мер, принятых или предлагаемых для устранения нарушения, включая меры по смягчению его неблагоприятных последствий.

8.2 Обязанности Обработчика

Узнав о Нарушении безопасности персональных данных, Обработчик обязан:

• Незамедлительно принять меры, чтобы локализовать нарушение и свести к минимуму его последствия.
• Расследовать нарушение и предоставлять Контролёру обновлённую информацию по мере её появления.
• Сотрудничать с Контролёром и оказывать разумное содействие в исполнении Контролёром его обязанностей по уведомлению о нарушении, предусмотренных статьями 33 и 34 GDPR.
• Документировать нарушение, включая факты, последствия и принятые меры по устранению.

8.3 Уведомление надзорного органа Контролёром

Контролёр несёт ответственность за определение того, необходимо ли сообщать о Нарушении безопасности персональных данных надзорному органу и/или Субъектам данных в соответствии со статьями 33 и 34 GDPR. Обработчик обязан оказывать Контролёру всё разумное содействие и помощь в принятии таких решений и исполнении таких обязанностей.

9. Запросы субъектов данных

9.1 Содействие

С учётом характера обработки Обработчик обязан, насколько это возможно, содействовать Контролёру посредством надлежащих технических и организационных мер в исполнении обязанности Контролёра отвечать на запросы Субъектов данных, осуществляющих свои права, предусмотренные главой III GDPR, включая:

• Право на доступ (статья 15)
• Право на исправление (статья 16)
• Право на удаление (статья 17)
• Право на ограничение обработки (статья 18)
• Обязанность по уведомлению (статья 19)
• Право на переносимость данных (статья 20)
• Право на возражение (статья 21)

9.2 Уведомление

Если Обработчик получает запрос непосредственно от Субъекта данных, Обработчик обязан без промедления (и в любом случае в течение 5 рабочих дней) перенаправить Субъекта данных к Контролёру и уведомить Контролёра о запросе. Обработчик не вправе отвечать на такой запрос напрямую, за исключением случаев, когда это разрешено Контролёром или требуется по закону.

9.3 Экспорт данных

Обработчик предоставляет в панели управления Сервиса функции, с помощью которых Контролёр может экспортировать Данные Клиента в общеупотребительных машиночитаемых форматах (JSON, CSV). Контролёр вправе использовать эти инструменты для исполнения запросов на переносимость данных.

10. Оценка воздействия на защиту данных

Обработчик обязан оказывать Контролёру разумное содействие в проведении оценок воздействия на защиту данных («DPIA») и предварительных консультаций с надзорными органами в соответствии со статьями 35 и 36 GDPR, если это требуется в связи с обработкой Персональных данных через Сервис. Такое содействие включает предоставление информации о деятельности Обработчика по обработке, о технических и организационных мерах и о договорённостях с субобработчиками.

11. Международная передача данных

11.1 Основное место хранения

Обработчик хранит Данные Клиента, включая Персональные данные, преимущественно в пределах Европейской экономической зоны (ЕЭЗ), а именно в инфраструктуре Supabase, расположенной в регионе Ирландия (eu-west-1).

11.2 Передача данных в третьи страны

Некоторые субобработчики, привлечённые Обработчиком, находятся в Соединённых Штатах. Если Персональные данные передаются в страну за пределами ЕЭЗ, в отношении которой Европейская комиссия не приняла решение об адекватности, применяются следующие гарантии:

• Стандартные договорные условия (SCC): Обработчик заключил SCC (Имплементационное решение Комиссии (ЕС) 2021/914) с каждым субобработчиком, находящимся за пределами ЕЭЗ, с использованием условий Модуля 3 (от обработчика к субобработчику).
• Рамочная программа защиты данных между ЕС и США (EU-U.S. Data Privacy Framework): В применимых случаях Обработчик в качестве дополнительной гарантии полагается на сертификацию субобработчика по Рамочной программе защиты данных между ЕС и США.
• Дополнительные меры: В соответствии с Рекомендациями EDPB 01/2020 Обработчик принимает дополнительные технические, организационные и договорные меры, включая:
  • Шифрование Персональных данных при передаче и при хранении.
  • Минимизация передаваемых данных (например, потоковая передача в реальном времени вместо массовой передачи данных, где это возможно).
  • Договорные обязательства субобработчиков оспаривать несоразмерные запросы государственных органов о доступе к данным.
  • Регулярные оценки воздействия передачи данных.

11.3 Оценки воздействия передачи данных

Обработчик обязан проводить и поддерживать в актуальном состоянии оценки воздействия передачи данных по каждой международной передаче, оценивая правовую систему страны-получателя и эффективность применяемых гарантий. Такие оценки предоставляются Контролёру по запросу.

12. Право на аудит

12.1 Информация

Обработчик обязан предоставлять Контролёру всю информацию, необходимую для подтверждения соблюдения обязанностей, установленных статьёй 28 GDPR и настоящим DPA.

12.2 Аудит

Обработчик обязан допускать проведение аудитов, включая инспекции, которые проводит Контролёр или уполномоченный Контролёром аудитор, и содействовать им при соблюдении следующих условий:

• Контролёр обязан направить предварительное письменное уведомление об аудите не менее чем за 30 дней с указанием его объёма и продолжительности.
• Аудиты проводятся в обычное рабочее время и не должны необоснованно нарушать деятельность Обработчика.
• Контролёр и его аудиторы обязаны соблюдать разумные требования Обработчика в отношении безопасности и конфиденциальности.
• До начала аудита аудитор обязан заключить с Обработчиком соглашение о неразглашении.
• Контролёр несёт расходы на проведение любого аудита, за исключением случаев, когда аудит выявляет существенное нарушение настоящего DPA Обработчиком.
• Аудиты проводятся не чаще одного раза в календарный год, за исключением случаев, когда аудит требуется надзорным органом или проводится после Нарушения безопасности персональных данных.

12.3 Сертификаты и отчёты

При их наличии Обработчик вправе предоставить соответствующие сертификаты, аудиторские отчёты (например, отчёты SOC 2 Type II) или резюме независимых аудитов, проведённых третьими лицами, чтобы выполнить требования Контролёра в отношении аудита. Контролёр соглашается рассматривать такую документацию вместо аудита на месте, если она в разумной мере снимает вопросы Контролёра.

13. Удаление и возврат данных

13.1 При прекращении действия

При прекращении действия соглашения между Контролёром и Обработчиком или истечении срока его действия:

• Контролёр вправе запросить возврат Данных Клиента (включая Персональные данные) в общеупотребительном машиночитаемом формате в течение 30 дней после прекращения действия.
• По истечении 30-дневного срока (или незамедлительно по письменному указанию Контролёра) Обработчик обязан удалить все Данные Клиента и существующие копии, за исключением случаев, когда право Союза или государства-члена требует хранения Персональных данных.
• По запросу Обработчик обязан предоставить письменное подтверждение удаления.

13.2 Исключения в отношении хранения

Обработчик вправе хранить Персональные данные после прекращения действия только в случаях, когда:

• Это требуется применимым правом (например, предусмотренные налоговым законодательством Нидерландов обязанности по хранению платёжных данных · 7 лет).
• Данные содержатся в системах резервного копирования и будут удалены в соответствии с обычным графиком ротации резервных копий Обработчика (не более чем через 90 дней).

В каждом из этих случаев Обработчик обязан продолжать защищать такие сохраняемые данные в соответствии с настоящим DPA и ограничивать обработку целями, предусмотренными законом.

13.3 В течение срока действия

В течение срока действия соглашения Контролёр вправе запросить удаление конкретных Данных Клиента через панель управления Сервиса или путём направления письменного запроса Обработчику. Обработчик обязан исполнять такие запросы в течение 30 дней с учётом технической осуществимости и установленных законом обязанностей по хранению.

14. Ответственность

14.1 Распределение ответственности

Каждая сторона несёт ответственность за ущерб, причинённый обработкой, нарушающей GDPR, в соответствии со статьёй 82 GDPR:

• Контролёр несёт ответственность за ущерб, причинённый обработкой, не соответствующей GDPR, или неправомерными указаниями.
• Обработчик несёт ответственность за ущерб, причинённый обработкой, если он не исполнил обязанности, которые GDPR возлагает непосредственно на обработчиков, либо если он действовал вне рамок правомерных указаний Контролёра или вопреки им.

14.2 Ограничение ответственности

К общей совокупной ответственности каждой из сторон по настоящему DPA применяются ограничения ответственности, установленные в Условиях обслуживания, однако такие ограничения не распространяются на:

• Ответственность перед Субъектами данных в соответствии со статьёй 82 GDPR.
• Штрафы и иные санкции, наложенные надзорными органами.
• Ответственность, возникающую вследствие грубой неосторожности или умышленного нарушения, допущенных стороной в отношении её обязанностей по защите данных.

14.3 Возмещение убытков

Каждая сторона обязана оградить другую сторону от любых издержек, требований, убытков или расходов, возникших в результате нарушения возмещающей стороной настоящего DPA или её обязанностей по GDPR, и возместить их при условии, что сторона, требующая возмещения, без промедления уведомляет другую сторону и оказывает разумное содействие.

15. Срок действия и прекращение

15.1 Срок действия

Настоящее DPA вступает в силу в день, когда Контролёр впервые использует Сервис, и действует до тех пор, пока Обработчик обрабатывает Персональные данные от имени Контролёра.

15.2 Сохранение силы положений

Обязанности Обработчика по настоящему DPA сохраняют силу после прекращения действия соглашения в той мере, в какой это необходимо для исполнения его обязанностей по возврату или удалению Персональных данных и любых продолжающих действовать обязанностей по соблюдению конфиденциальности.

16. Общие положения

16.1 Применимое право

Настоящее DPA регулируется и толкуется в соответствии с правом Нидерландов, без учёта его коллизионных норм. Любые споры, возникающие из настоящего DPA, подлежат исключительной юрисдикции компетентных судов города Амстердам, Нидерланды.

16.2 Делимость положений

Если какое-либо положение настоящего DPA будет признано недействительным или не подлежащим принудительному исполнению, остальные положения сохраняют полную юридическую силу. Недействительное положение заменяется действительным положением, которое наиболее точно отражает первоначальное намерение.

16.3 Изменения

Обработчик вправе вносить изменения в настоящее DPA, чтобы отразить изменения в применимом праве или в практике обработки данных Обработчиком. О существенных изменениях Контролёр уведомляется не менее чем за 30 дней. Продолжение использования Сервиса после такого уведомления означает согласие с изменённым DPA.

16.4 Полнота соглашения

Настоящее DPA вместе с Условиями обслуживания, Политикой конфиденциальности и любыми применимыми Формами заказа составляет полное соглашение между сторонами в отношении его предмета.

16.5 Контакты

Вопросы, касающиеся настоящего DPA, следует направлять по адресу: privacy@vocito.ai

Приложение A: сведения об обработке

Приложение B: технические и организационные меры

Приложение C: перечень субобработчиков