Kreedl - Acord de prelucrare a datelor

„Date cu caracter personal”, „operator”, „persoană împuternicită de operator”, „prelucrare”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul prevăzut în Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE („RGPD”). „Datele cu caracter personal ale Clientului” înseamnă datele cu caracter personal pe care Clientul le furnizează sau le pune la dispoziția Kreedl ori pe care Kreedl le colectează în numele Clientului în cursul furnizării serviciilor, inclusiv conținutul comunicărilor, înregistrările și transcrierile, indiferent dacă datele îl identifică pe Client sau un terț care intră într-o relație contractuală cu Clientul. „Subprocesator” înseamnă orice terț angajat de Kreedl pentru prelucrarea Datelor cu caracter personal ale Clientului. „RGPD al Regatului Unit” (UK GDPR) înseamnă RGPD astfel cum a fost preluat în dreptul Regatului Unit.

Clientul este operatorul Datelor cu caracter personal ale Clientului. Kreedl este persoana împuternicită de operator pentru aceste date. Kreedl este operator independent numai pentru datele privind contul, facturarea, utilizarea și marketingul ale Clientului însuși sau în cazul în care un terț utilizează serviciile Kreedl fără a fi intrat într-o relație contractuală cu Clientul. Activitățile sunt descrise mai detaliat în documentul Kreedl intitulat Politica de confidențialitate, disponibil la kreedl.com/ro/privacy („Politica de confidențialitate”).

Obiectul și scopul. Operarea unui asistent AI care comunică în numele Clientului cu chiriași, locatari, utilizatori ai imobilelor, solicitanți, furnizori și alte persoane prin telefon, WhatsApp, SMS și e-mail și efectuează acțiunile autorizate de Client.

Natura prelucrării. Primirea, înregistrarea, transcrierea, stocarea, analizarea și rezumarea comunicărilor; citirea sau stocarea evidențelor Clientului în funcție de modul ales (secțiunea 4); programarea întâlnirilor; trimiterea furnizorilor; și, la instrucțiune, clasificarea solicitanților sau rezumarea informațiilor disponibile public despre potențialii chiriași.

Categorii de persoane vizate. Chiriași, locatari, potențiali chiriași sau cumpărători, manageri de magazine și utilizatori ai imobilelor, furnizori și tehnicieni, angajați și reprezentanți ai Clientului și orice altă persoană care contactează o clădire deservită de Kreedl.

Tipuri de date cu caracter personal. Numele, datele de contact, clădirea și unitatea, durata și condițiile închirierii, cuantumul chiriei și situația plăților, documentele contractului de închiriere, sesizările de defecțiuni, fotografiile, mesajele vocale, înregistrările apelurilor, transcrierile, conținutul mesajelor și metadatele. Pentru potențialii chiriași sau cumpărători, în plus, data estimată a mutării, numărul membrilor gospodăriei, locul de muncă, venitul, modalitatea de finanțare și referințele, dacă Clientul le solicită pentru evaluarea cererii. Dacă Clientul dispune verificarea identității, ultimele patru cifre ale codului numeric personal ceh pot fi comparate cu evidențele Clientului; codul complet nu este stocat. Kreedl nu prelucrează coduri de ușă sau alte date de acces fizic.

Durata. Datele cu caracter personal sunt prelucrate pe durata serviciului comandat și ulterior, până la finalizarea returnării și ștergerii conform secțiunii 12. Părțile stabilesc termenele de păstrare a datelor astfel încât acestea să reflecte natura intrinsecă a serviciului furnizat. În special, dar nu exclusiv, termenele de păstrare țin seama de încetarea raporturilor de închiriere dintre Client și terți, de protecția intereselor legitime ale Operatorului în legătură cu proprietatea sa și de termenele obligatorii de păstrare prevăzute de legislația general obligatorie.

4.1 Clientul alege unul dintre cele trei moduri descrise în Politica de confidențialitate. Modul A - fără acces la evidențele Clientului. Modul B - acces de citire la sistemele Clientului, fără stocarea evidențelor. Modul C - evidențele Clientului stocate de Kreedl. În toate modurile, Kreedl stochează conținutul comunicărilor, înregistrările, transcrierile și datele de contact ale persoanelor care comunică cu acesta.

4.2 Instrucțiunile documentate ale Clientului constau în modul ales, configurația convenită la implementare, setările efectuate de Client în aplicația Kreedl, datele pe care Clientul le încarcă sau le pune la dispoziție și orice instrucțiune scrisă trimisă la [email protected]. Încărcarea datelor, activarea unui abonament, crearea unui profil sau furnizarea în orice alt mod a datelor către Kreedl constituie instrucțiunea Clientului de a prelucra datele respective în scopurile prevăzute în secțiunea 3.

4.3 Clientul poate modifica oricând modul sau instrucțiunile sale prin e-mail, în aplicație sau printr-un comportament din care modificarea reiese în mod clar. Kreedl implementează modificările în termen de 14 zile.

4.4 Kreedl poate refuza o instrucțiune care, în opinia sa rezonabilă, încalcă RGPD sau alte dispoziții legale și îl informează pe Client în consecință. Kreedl poate prelucra Datele cu caracter personal ale Clientului și atunci când acest lucru este impus de dreptul Uniunii sau al unui stat membru; în acest caz îl informează pe Client, cu excepția cazului în care legea interzice acest lucru.

Clientul declară și se obligă:

• că dispune de un temei legal valabil, pe care îl stabilește în mod corespunzător, pentru toate Datele cu caracter personal ale Clientului pe care le obține și le transferă către Kreedl și pentru fiecare comunicare pe care o dispune lui Kreedl să o inițieze. Clientul răspunde exclusiv pentru orice lipsă a temeiului legal pentru furnizarea sau transferul datelor;
• că își îndeplinește obligația de informare a persoanelor vizate prevăzută la articolele 12, 13 și 14 din RGPD, inclusiv prin publicarea informațiilor pentru apelanți cuprinse în Partea A a Condițiilor de conformitate ale Kreedl, și că poartă singur această obligație, indiferent dacă Kreedl publică informații despre activitatea respectivă în Politica sa de confidențialitate. Aceasta nu aduce atingere obligației de informare a Kreedl în calitatea sa de operator independent;
• că, atunci când instruiește Kreedl să colecteze informații disponibile public despre potențiali chiriași, informează aceste persoane cu privire la sursa datelor cel târziu la primul contact;
• că, atunci când furnizează coduri numerice personale cehe, respectă § 13c din Legea cehă nr. 133/2000 Col.;
• că răspunde pentru limitele de autonomie pe care le stabilește și pentru gestionarea escaladărilor;
• că adoptă măsuri tehnice și de implementare care asigură cea mai înaltă protecție posibilă a datelor cu caracter personal ale persoanelor vizate și că răspunde exclusiv pentru acestea, cu excepția cazului în care datele se află pe un dispozitiv sau într-o bază de date deținută sau operată exclusiv de Kreedl;
• că instrucțiunile sale sunt conforme cu legea. Clientul răspunde exclusiv pentru legalitatea instrucțiunilor sale și pentru orice sancțiuni legate de nerespectarea acesteia. Dacă oricare dintre părți ajunge la concluzia că executarea unei instrucțiuni a Clientului poate fi condiționată de o evaluare a impactului asupra protecției datelor („EIPD”), instrucțiunea se amână până când legalitatea sa este aprobată pe baza unei EIPD, ale cărei costuri sunt suportate de Client. Kreedl nu este însă obligat să examineze activ sau să verifice în alt mod legalitatea instrucțiunilor Clientului.

Kreedl:

• prelucrează Datele cu caracter personal ale Clientului exclusiv pe baza instrucțiunilor documentate ale Clientului și numai în scopurile prevăzute în secțiunea 3;
• se asigură că persoanele autorizate să prelucreze Datele cu caracter personal ale Clientului sunt ținute de acorduri de secret și de confidențialitate, în cazul în care Kreedl le-a autorizat să efectueze prelucrarea;
• implementează măsurile tehnice și organizatorice din Anexa 1;
• nu utilizează Datele cu caracter personal ale Clientului pentru antrenarea sau ajustarea (fine-tuning) vreunui model AI;
• asistă Clientul în ceea ce privește cererile persoanelor vizate (secțiunea 9), securitatea, notificarea încălcărilor și evaluările impactului asupra protecției datelor (secțiunea 10), ținând seama de natura prelucrării;
• șterge sau returnează Datele cu caracter personal ale Clientului în conformitate cu secțiunea 12;
• pune la dispoziție informațiile necesare pentru a demonstra respectarea articolului 28 din RGPD și permite efectuarea de audituri în conformitate cu secțiunea 11;
• păstrează datele puse la dispoziție de Client separat de datele pe care le prelucrează în calitate de operator independent;
• adoptă măsuri tehnice și de implementare care asigură cea mai înaltă protecție posibilă a datelor cu caracter personal ale persoanelor vizate atunci când datele se află pe un dispozitiv sau într-o bază de date deținută sau operată exclusiv de Kreedl.

7.1 Clientul acordă Kreedl o autorizare generală de a angaja subprocesatori. Lista actuală se află în secțiunea 7 a Politicii de confidențialitate disponibile la kreedl.com/ro/privacy.

7.2 Kreedl notifică Clientul prin e-mail cu privire la adăugarea sau înlocuirea unui subprocesator cu cel puțin 14 zile înainte ca modificarea să producă efecte.

7.3 Dacă, în termen de 14 zile de la notificare, Clientul formulează obiecții întemeiate pe motive rezonabile legate de protecția datelor, Kreedl poate propune o alternativă. Dacă nu se ajunge la un acord, singura cale de atac a Clientului este încetarea serviciilor afectate prin notificare scrisă, fără penalități pentru partea încetată, cu efect de la data la care schimbarea subprocesatorului produce efecte. Kreedl nu este obligat să schimbe subprocesatorul.

7.4 Kreedl impune fiecărui subprocesator obligații de protecție a datelor cel puțin la fel de stricte ca cele din prezentul DPA și rămâne responsabil pentru îndeplinirea acestora.

7.5 În cazul în care Kreedl angajează un nou subprocesator, Kreedl are responsabilitatea de a indica identitatea noului subprocesator în Politica de confidențialitate și de a notifica Clientul conform punctului 7.2, astfel încât Clientul să își poată îndeplini obligația de informare prevăzută în secțiunea 5.

Kreedl stochează Datele cu caracter personal ale Clientului în Uniunea Europeană. Prelucrarea AI și telefonia pot implica furnizori din afara SEE sau a Regatului Unit. Pentru fiecare astfel de transfer, Kreedl se bazează pe clauzele contractuale standard ale UE, pe o decizie privind caracterul adecvat (inclusiv Cadrul UE-SUA de confidențialitate a datelor, dacă furnizorul este certificat) sau, pentru datele din Regatul Unit, pe Addendumul Regatului Unit privind transferul internațional de date. La cerere scrisă, Kreedl oferă o configurație de prelucrare exclusiv în UE; solicitarea acesteia este responsabilitatea Clientului. Clientul autorizează Kreedl să încheie în numele său clauzele contractuale standard cu subprocesatorii. Addendumul Regatului Unit este disponibil la cerere.

Dacă Kreedl primește o cerere a unei persoane vizate privind Datele cu caracter personal ale Clientului, o transmite Clientului în termen de 3 zile lucrătoare și nu răspunde pe fond fără instrucțiuni. Kreedl oferă asistență rezonabilă pentru ca Clientul să poată răspunde în termenele legale. Asistența care depășește cinci cereri pe lună sau care necesită mai mult decât un efort rezonabil se facturează la tariful orar în vigoare al Kreedl.

10.1 Kreedl notifică Clientul cu privire la o încălcare a securității Datelor cu caracter personal ale Clientului fără întârzieri nejustificate și în cel mult 48 de ore de la data la care a luat cunoștință de aceasta. Notificarea inițială conține informațiile cunoscute la momentul respectiv. Părțile își acordă reciproc asistența necesară conform articolelor 33 și 34 din RGPD pentru eliminarea riscurilor, a consecințelor încălcării și a amenzilor aplicate de autoritatea de supraveghere, precum și pentru investigarea cu succes a încălcării.

10.2 Notificarea autorității de supraveghere și a persoanelor vizate revine părții care gestionează baza de date sau dispozitivul în care a avut loc încălcarea securității datelor cu caracter personal.

10.3 În cazul în care Clientul trebuie să efectueze o EIPD, Kreedl îi furnizează o descriere a prelucrării, măsurile din Anexa 1 și alte informații rezonabile strict necesare pentru elaborarea EIPD. Evaluarea este finalizată și aprobată de Client și îi aparține acestuia. Clientul suportă costurile elaborării EIPD.

10.4 Fără a aduce atingere aprobării Clientului conform punctului 10.3, Kreedl nu este obligat să execute o instrucțiune a Clientului atunci când, în pofida existenței unei EIPD, Kreedl are motive întemeiate să suspecteze că instrucțiunea este ilegală, că principiul reducerii la minimum a datelor nu a fost luat suficient în considerare la elaborarea EIPD sau că evaluarea prezintă deficiențe de calitate și legitimitate.

O dată pe an calendaristic, cu o notificare scrisă de 30 de zile, Clientul poate solicita chestionarul de securitate completat de Kreedl, o copie a Anexei 1 și documentația disponibilă care demonstrează respectarea prezentului DPA. O inspecție la fața locului are loc numai în locul și la momentul în care o autoritate de supraveghere sau legea o impune, sub rezerva confidențialității, fără acces la datele altor Clienți și pe cheltuiala Clientului. Kreedl nu deține certificare ISO 27001 sau SOC 2, nu garantează că investigațiile interne se desfășoară conform unei astfel de certificări, iar Clientul ia act de acest lucru.

12.1 La încetarea contractului cu Clientul și oricând la cerere scrisă, Kreedl exportă Datele cu caracter personal ale Clientului într-un format structurat, care poate fi citit automat (JSON; fișiere audio pentru înregistrări), și șterge Datele cu caracter personal ale Clientului în termen de 30 de zile de la încetare. Copiile de rezervă criptate sunt eliminate în termen de 90 de zile. La cerere, Kreedl confirmă ștergerea în scris. Kreedl poate păstra date atunci când legea impune acest lucru și numai în acest scop.

12.2 În cazul în care temeiul legal în baza căruia Clientul deține datele unui terț în legătură cu acel terț încetează să existe, Clientul informează Kreedl și răspunde exclusiv pentru furnizarea acestei informații. Kreedl efectuează ștergerea în conformitate cu termenele de păstrare a datelor cu caracter personal, cu excepția cazului în care Clientul insistă asupra păstrării evidenței pentru unul dintre interesele sale legitime, caz în care Clientul justifică interesul legitim. Clientul răspunde pentru orice sancțiuni administrative sau de altă natură rezultate din neinformarea Kreedl cu privire la încetarea temeiului legal sau din nelegitimitatea interesului său, atunci când acest interes stă la baza prelungirii păstrării datelor.

13.1 În cea mai mare măsură permisă de lege, răspunderea totală a Kreedl care decurge din sau în legătură cu prezentul DPA, inclusiv orice amendă administrativă sau pretenție a unei persoane vizate, este limitată la suma plătită de Client în cele douăsprezece luni anterioare evenimentului care a dat naștere pretenției, iar Kreedl nu răspunde pentru prejudicii indirecte sau subsecvente, pierderea profitului, pierderea datelor sau prejudicii aduse reputației.

13.2 Kreedl nu are nicio obligație de despăgubire față de Client.

13.3 Clientul despăgubește Kreedl pentru orice pretenție, amendă, pierdere sau cost (inclusiv onorarii rezonabile de avocat și inclusiv cazul în care, din cauza unui comportament care nu îi este în niciun fel imputabil, Kreedl suferă un prejudiciu sau devine obligat să plătească o pretenție sau o amendă conform punctului 13.1 peste plafonul de răspundere prevăzut la punctul 13.1) rezultate din încălcarea de către Client a prezentului DPA sau a RGPD, dintr-o instrucțiune a Clientului, din date furnizate fără temei legal sau fără informarea obligatorie a persoanelor vizate, atunci când prezentul DPA prevede în mod expres acest lucru, ori din setările de autonomie alese de Client.

Prezentul DPA rămâne în vigoare după încetarea contractului cu Clientul, până la prescrierea, conform legislației cehe, a ultimei pretenții posibile legate direct sau indirect de drepturile și obligațiile prevăzute în prezentul DPA. DPA este guvernat de legislația Republicii Cehe, iar litigiile care decurg exclusiv din prezentul DPA sunt soluționate de instanțele competente din Praga. DPA este publicat în limba engleză și în limba cehă; prevalează versiunea în limba engleză, cu excepția cazului în care contractul cu Clientul prevede altfel. Kreedl poate actualiza unilateral prezentul DPA, cu o notificare prin e-mail transmisă Clienților cu 14 zile înainte; continuarea utilizării după data intrării în vigoare înseamnă acceptarea acestuia.

Criptare. Datele cu caracter personal ale Clientului sunt criptate în repaus (AES-256 sau echivalent) și în tranzit (TLS 1.2 sau superior). Înregistrările apelurilor și fișierele sunt stocate într-un spațiu de stocare de obiecte criptat.

Controlul accesului. Acces bazat pe roluri. Au acces numai membrii personalului Kreedl care au nevoie de acesta pentru operarea serviciului. Autentificarea multifactor este obligatorie pentru tot personalul Kreedl și pentru orice acces administrativ la infrastructură. Drepturile de acces sunt revizuite la schimbările de personal și cel puțin trimestrial.

Jurnalizare și auditabilitate. Fiecare acțiune a asistentului AI și fiecare acces al personalului la Datele cu caracter personal ale Clientului sunt înregistrate în jurnal, cu ora și identitatea. Jurnalele sunt păstrate 12 luni, iar Clientul are acces la acestea pentru propriile date.

Gestionarea secretelor. Datele de autentificare la furnizori și cheile API sunt stocate într-un manager de secrete, niciodată în cod, nu sunt expuse utilizatorilor și sunt schimbate la plecarea unui membru al personalului sau la suspiciunea de compromitere.

Separarea Clienților. Datele fiecărui Client sunt separate logic. Niciun Client nu are acces la datele altui Client.

Copii de rezervă. Copii de rezervă criptate cel puțin zilnic, păstrate 90 de zile, cu testarea restaurării cel puțin o dată pe an.

Furnizori de modele AI. Furnizorilor de modele le este interzis prin contract să utilizeze Datele cu caracter personal ale Clientului pentru antrenare. Kreedl nu antrenează și nu ajustează (fine-tuning) modele pe baza Datelor cu caracter personal ale Clientului.

Personal. Toți angajații și colaboratorii semnează acorduri de secret și de confidențialitate și urmează o instruire privind protecția datelor înainte de a primi acces. Accesul este revocat în ziua plecării.

Răspuns la incidente. O procedură documentată, cu o persoană responsabilă, notificarea Clientului în termen de 48 de ore și o analiză post-incident.

Securitate fizică. Infrastructura este găzduită la furnizorii enumerați în Politica de confidențialitate, care operează centre de date certificate (ISO 27001 / SOC 2 la nivelul furnizorului). Kreedl nu operează centre de date proprii.

Ștergere. Reguli automate de păstrare șterg datele de comunicare după 12 luni sau în termenul stabilit de Client conform secțiunii 3 și punctului 12.2. Ștergerea la încetare are loc în termen de 30 de zile, iar a copiilor de rezervă în termen de 90 de zile.