Kreedl - Соглашение об обработке данных

Термины «персональные данные», «контролёр», «обработчик», «обработка», «субъект данных», «нарушение безопасности персональных данных» и «надзорный орган» имеют значения, установленные Регламентом (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий регламент по защите данных, далее - «GDPR»). «Персональные данные Клиента» - персональные данные, которые Клиент предоставляет Kreedl или делает для него доступными либо которые Kreedl собирает от имени Клиента при оказании услуг, включая содержание коммуникации, записи и расшифровки, независимо от того, идентифицируют ли данные Клиента или третье лицо, вступающее в договорные отношения с Клиентом. «Субобработчик» - любое третье лицо, привлечённое Kreedl для обработки Персональных данных Клиента. «UK GDPR» - GDPR в том виде, в каком он сохранён в праве Соединённого Королевства.

Клиент является контролёром Персональных данных Клиента. Kreedl является обработчиком этих данных. Kreedl является самостоятельным контролёром только в отношении собственных данных учётной записи Клиента, платёжных данных, данных об использовании и маркетинговых данных либо в случае, когда третье лицо пользуется услугами Kreedl, не вступив в договорные отношения с Клиентом. Эта деятельность подробнее описана в документе Kreedl под названием «Политика конфиденциальности», доступном на kreedl.com/privacy (далее - «Политика конфиденциальности»).

Предмет и цель. Эксплуатация AI-ассистента, который от имени Клиента общается с арендаторами, жильцами, пользователями объектов, кандидатами, подрядчиками и иными лицами по телефону, в WhatsApp, по SMS и электронной почте и выполняет действия, разрешённые Клиентом.

Характер обработки. Получение, запись, расшифровка, хранение, анализ и обобщение коммуникации; считывание или хранение записей Клиента в соответствии с выбранным режимом (раздел 4); назначение визитов; направление подрядчиков; а по поручению - ранжирование кандидатов или обобщение общедоступной информации о потенциальных арендаторах.

Категории субъектов данных. Арендаторы, жильцы, потенциальные арендаторы или покупатели, управляющие магазинами и пользователи объектов, подрядчики и техники, работники и представители Клиента, а также любые иные лица, обращающиеся в здание, обслуживаемое Kreedl.

Виды персональных данных. Имя, контактные данные, здание и помещение, срок и условия аренды, размер арендной платы и состояние платежей, документы по договору аренды, сообщения о неисправностях, фотографии, голосовые сообщения, записи звонков, расшифровки, содержание сообщений и метаданные. В отношении потенциальных арендаторов или покупателей - дополнительно предполагаемая дата въезда, размер домохозяйства, место работы, доход, способ финансирования и рекомендации, если Клиент требует их для оценки заявки. Если Клиент поручает проверку личности, последние четыре цифры чешского персонального идентификационного номера могут сверяться с записями Клиента; номер полностью не хранится. Kreedl не обрабатывает коды дверей и иные средства физического доступа.

Продолжительность. Персональные данные обрабатываются в течение срока оказания заказанной услуги, а после него - до завершения возврата и удаления согласно разделу 12. Стороны устанавливают сроки хранения данных так, чтобы они отражали внутренний характер оказываемой услуги. В частности, но не исключительно, сроки хранения учитывают прекращение арендных отношений между Клиентом и третьими лицами, защиту законных интересов Контролёра в отношении его имущества и обязательные сроки хранения, установленные общеобязательными правовыми актами.

4.1 Клиент выбирает один из трёх режимов, описанных в Политике конфиденциальности. Режим A - без доступа к записям Клиента. Режим B - доступ к системам Клиента на чтение без хранения записей. Режим C - записи Клиента хранятся у Kreedl. В любом режиме Kreedl хранит содержание коммуникации, записи, расшифровки и контактные данные лиц, которые с ним общаются.

4.2 Документально оформленные указания Клиента состоят из выбранного режима, конфигурации, согласованной при подключении, настроек, которые Клиент задаёт в приложении Kreedl, данных, которые Клиент загружает или делает доступными, и любых письменных указаний, направленных на [email protected]. Загрузка данных, активация подписки, создание профиля или иное предоставление данных Kreedl является указанием Клиента обрабатывать эти данные для целей раздела 3.

4.3 Клиент может в любое время изменить режим или свои указания по электронной почте, в приложении или конклюдентными действиями, из которых изменение явно следует. Kreedl внедряет изменения в течение 14 дней.

4.4 Kreedl вправе отказаться от выполнения указания, которое, по его обоснованному мнению, нарушает GDPR или иное законодательство, и уведомляет об этом Клиента. Kreedl также может обрабатывать Персональные данные Клиента, если этого требует право ЕС или государства-члена; в этом случае он уведомляет Клиента, если закон этого не запрещает.

Клиент заверяет и обязуется, что -

• он располагает действительным правовым основанием и надлежащим образом определяет его для всех Персональных данных Клиента, которые он получает и передаёт Kreedl, и для каждой коммуникации, которую он поручает Kreedl инициировать. Клиент несёт единоличную ответственность за любое отсутствие правового основания для предоставления или передачи данных;
• он исполняет обязанность по информированию субъектов данных согласно статьям 12, 13 и 14 GDPR, включая размещение информации для звонящих, содержащейся в Части A Условий комплаенса Kreedl, и несёт эту обязанность единолично независимо от того, публикует ли Kreedl информацию о соответствующей деятельности в своей Политике конфиденциальности. Это не затрагивает обязанность Kreedl по информированию в качестве самостоятельного контролёра;
• если он поручает Kreedl собирать общедоступную информацию о потенциальных арендаторах, он информирует этих лиц об источнике данных не позднее первого контакта;
• если он предоставляет чешские персональные идентификационные номера, он соблюдает § 13c Закона № 133/2000 Сб.;
• он несёт ответственность за установленные им пределы автономности и за обработку эскалаций;
• он принимает технические и организационно-внедренческие меры, обеспечивающие максимально возможную защиту персональных данных субъектов данных, и несёт за них единоличную ответственность, если только данные не хранятся на устройстве или в базе данных, находящихся в исключительном владении или эксплуатации Kreedl;
• его указания соответствуют закону. Клиент несёт единоличную ответственность за законность своих указаний и за любые санкции, связанные с их несоблюдением. Если любая из сторон придёт к выводу, что выполнение указания Клиента может быть обусловлено проведением оценки воздействия на защиту данных (далее - «DPIA»), выполнение указания откладывается до подтверждения его законности на основании DPIA, расходы на которую несёт Клиент. Вместе с тем Kreedl не обязан активно проверять или иным образом удостоверяться в законности указаний Клиента.

Kreedl -

• обрабатывает Персональные данные Клиента исключительно по документально оформленным указаниям Клиента и только для целей раздела 3;
• обеспечивает, чтобы лица, уполномоченные обрабатывать Персональные данные Клиента, были связаны соглашениями о неразглашении и конфиденциальности, если Kreedl уполномочил их на проведение обработки;
• применяет технические и организационные меры, указанные в Приложении 1;
• не использует Персональные данные Клиента для обучения или дообучения каких-либо AI-моделей;
• с учётом характера обработки содействует Клиенту в работе с запросами субъектов данных (раздел 9), в обеспечении безопасности, уведомлении о нарушениях и оценке воздействия на защиту данных (раздел 10);
• удаляет или возвращает Персональные данные Клиента в соответствии с разделом 12;
• предоставляет информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, и допускает проведение аудитов в соответствии с разделом 11;
• хранит данные, предоставленные Клиентом, отдельно от данных, которые он обрабатывает в качестве самостоятельного контролёра;
• принимает технические и организационно-внедренческие меры, обеспечивающие максимально возможную защиту персональных данных субъектов данных, если данные хранятся на устройстве или в базе данных, находящихся в исключительном владении или эксплуатации Kreedl.

7.1 Клиент даёт Kreedl общее разрешение на привлечение субобработчиков. Актуальный список приведён в разделе 7 Политики конфиденциальности на kreedl.com/privacy.

7.2 Kreedl уведомляет Клиента о добавлении или замене субобработчика по электронной почте не менее чем за 14 дней до вступления изменения в силу.

7.3 Если Клиент в течение 14 дней с момента уведомления заявит возражение по обоснованным причинам, связанным с защитой данных, Kreedl может предложить альтернативу. Если соглашение не достигнуто, единственным средством правовой защиты Клиента является расторжение затронутых услуг путём письменного уведомления без штрафных санкций в отношении расторгнутой части с даты вступления в силу смены субобработчика. Kreedl не обязан менять субобработчика.

7.4 Kreedl возлагает на каждого субобработчика обязательства по защите данных не менее строгие, чем предусмотренные настоящим Соглашением, и остаётся ответственным за их исполнение.

7.5 При привлечении нового субобработчика Kreedl обязан указать его данные в Политике конфиденциальности и уведомить Клиента согласно пункту 7.2, чтобы Клиент мог исполнить свою обязанность по информированию согласно разделу 5.

Kreedl хранит Персональные данные Клиента в Европейском союзе. AI-обработка и телефония могут предполагать участие поставщиков за пределами ЕЭЗ или Соединённого Королевства. При каждой такой передаче Kreedl опирается на Стандартные договорные положения ЕС, решение о достаточности защиты (включая EU-US Data Privacy Framework, если поставщик сертифицирован) либо, в отношении данных из Великобритании, на Дополнение Великобритании о международной передаче данных (UK International Data Transfer Addendum). По письменному запросу Kreedl предлагает конфигурацию обработки только в ЕС; направить такой запрос - обязанность Клиента. Клиент уполномочивает Kreedl заключать от его имени Стандартные договорные положения с субобработчиками. Дополнение Великобритании предоставляется по запросу.

Если Kreedl получает запрос субъекта данных в отношении Персональных данных Клиента, он передаёт его Клиенту в течение 3 рабочих дней и не отвечает на него по существу без указания. Kreedl оказывает разумное содействие, чтобы Клиент мог ответить в установленные законом сроки. Содействие сверх пяти запросов в месяц или требующее больше разумных усилий оплачивается по действующей почасовой ставке Kreedl.

10.1 Kreedl уведомляет Клиента о нарушении безопасности Персональных данных Клиента без неоправданной задержки и не позднее 48 часов с момента, когда ему стало о нём известно. Первоначальное уведомление содержит сведения, известные на тот момент. Стороны оказывают друг другу содействие, необходимое согласно статьям 33 и 34 GDPR для устранения рисков, последствий нарушения и штрафов надзорного органа, а также для успешного расследования нарушения.

10.2 Уведомление надзорного органа и субъектов данных является обязанностью стороны, которая управляет базой данных или устройством, где произошло нарушение безопасности персональных данных.

10.3 Если Клиент обязан провести DPIA, Kreedl предоставляет ему описание обработки, меры, указанные в Приложении 1, и разумную дополнительную информацию, строго необходимую для подготовки DPIA. Оценку завершает и утверждает Клиент, и она принадлежит Клиенту. Расходы на подготовку DPIA несёт Клиент.

10.4 Независимо от одобрения Клиента согласно пункту 10.3 Kreedl не обязан выполнять указание Клиента, если, несмотря на наличие DPIA, у Kreedl есть обоснованные основания подозревать, что указание незаконно, что принцип минимизации данных был недостаточно учтён при подготовке DPIA или что качество и обоснованность оценки недостаточны.

Один раз в календарный год, с письменным уведомлением за 30 дней, Клиент может запросить заполненный Kreedl опросник по безопасности, копию Приложения 1 и имеющуюся документацию, подтверждающую соблюдение настоящего Соглашения. Проверка на месте проводится только в том месте и в то время, когда этого требует надзорный орган или закон, при условии соблюдения конфиденциальности, без доступа к данным других Клиентов и за счёт Клиента. Kreedl не имеет сертификации ISO 27001 или SOC 2, не гарантирует, что внутренние проверки проводятся в соответствии с такой сертификацией, и Клиент это признаёт.

12.1 При прекращении договора с Клиентом, а также в любое время по письменному запросу Kreedl экспортирует Персональные данные Клиента в структурированном машиночитаемом формате (JSON; для записей - аудиофайлы) и удаляет Персональные данные Клиента в течение 30 дней с момента прекращения. Зашифрованные резервные копии очищаются в течение 90 дней. По запросу Kreedl письменно подтверждает удаление. Kreedl может сохранять данные, если этого требует закон, и только для этой цели.

12.2 Если правовое основание, на котором Клиент хранит данные третьего лица в отношении этого третьего лица, прекращает существовать, Клиент сообщает об этом Kreedl и несёт единоличную ответственность за предоставление этой информации. Kreedl осуществляет удаление в соответствии со сроками хранения персональных данных, если только Клиент не настаивает на сохранении записи для одного из своих законных интересов; в этом случае Клиент обосновывает наличие законного интереса. Клиент несёт ответственность за любые административные или иные санкции, возникшие вследствие того, что он не сообщил Kreedl о прекращении правового основания, или вследствие неправомерности его интереса, если этот интерес является основанием для продления хранения данных.

13.1 В максимальной степени, допускаемой законом, совокупная ответственность Kreedl, возникающая из настоящего Соглашения или в связи с ним, включая любые административные штрафы и требования субъектов данных, ограничена суммой, уплаченной Клиентом за двенадцать месяцев, предшествующих событию, послужившему основанием для требования, и Kreedl не несёт ответственности за косвенные или последующие убытки, упущенную выгоду, утрату данных или ущерб деловой репутации.

13.2 Kreedl не несёт обязанности возмещать Клиенту убытки (indemnity).

13.3 Клиент возмещает Kreedl любые требования, штрафы, убытки или расходы (включая разумные расходы на юридическую помощь, а также случай, когда вследствие поведения, никоим образом не вменяемого Kreedl, Kreedl несёт убытки или становится обязанным удовлетворить требование или уплатить штраф согласно пункту 13.1 сверх предела ответственности, установленного пунктом 13.1), возникшие вследствие нарушения Клиентом настоящего Соглашения или GDPR, указания Клиента, предоставления данных без правового основания или без необходимой информации для субъектов данных, если настоящее Соглашение прямо это предусматривает, либо выбранных Клиентом настроек автономности.

Настоящее Соглашение сохраняет силу после прекращения договора с Клиентом до тех пор, пока не истечёт по праву Чешской Республики срок исковой давности по последнему возможному требованию, прямо или косвенно связанному с правами и обязанностями по настоящему Соглашению. Соглашение регулируется правом Чешской Республики, а споры, возникающие исключительно из настоящего Соглашения, разрешаются компетентными судами в Праге. Оно опубликовано на английском и чешском языках; преимущественную силу имеет английская версия, если договором с Клиентом не предусмотрено иное. Настоящая русская версия является информационным переводом. Kreedl вправе в одностороннем порядке обновлять настоящее Соглашение, уведомив Клиентов по электронной почте за 14 дней; продолжение использования после даты вступления в силу означает согласие с изменениями.

Шифрование. Персональные данные Клиента шифруются при хранении (AES-256 или эквивалент) и при передаче (TLS 1.2 или выше). Записи звонков и файлы хранятся в зашифрованном объектном хранилище.

Управление доступом. Доступ на основе ролей. Доступ имеют только те сотрудники Kreedl, которым он необходим для эксплуатации сервиса. Многофакторная аутентификация обязательна для всех сотрудников Kreedl и для любого административного доступа к инфраструктуре. Права доступа пересматриваются при кадровых изменениях и не реже одного раза в квартал.

Журналирование и проверяемость. Каждое действие AI-ассистента и каждый доступ сотрудника к Персональным данным Клиента регистрируются в журнале с указанием времени и личности. Журналы хранятся 12 месяцев, и Клиент имеет к ним доступ в части собственных данных.

Управление секретами. Учётные данные поставщиков и API-ключи хранятся в менеджере секретов, никогда не размещаются в коде и не раскрываются пользователям; они меняются при уходе сотрудника или при подозрении на компрометацию.

Разделение Клиентов. Данные каждого Клиента логически разделены. Ни один Клиент не имеет доступа к данным другого.

Резервное копирование. Зашифрованные резервные копии создаются не реже одного раза в день и хранятся 90 дней; восстановление проверяется не реже одного раза в год.

Поставщики AI-моделей. Поставщикам моделей договорно запрещено использовать Персональные данные Клиента для обучения. Kreedl не обучает и не дообучает модели на Персональных данных Клиента.

Персонал. Все сотрудники и подрядчики подписывают соглашения о неразглашении и конфиденциальности и проходят обучение по защите данных до получения доступа. Доступ отзывается в день ухода.

Реагирование на инциденты. Задокументированная процедура с ответственным лицом, уведомлением Клиента в течение 48 часов и разбором после инцидента.

Физическая безопасность. Инфраструктура размещена у поставщиков, перечисленных в Политике конфиденциальности, которые эксплуатируют сертифицированные центры обработки данных (ISO 27001 / SOC 2 на уровне поставщика). Kreedl не эксплуатирует собственные центры обработки данных.

Удаление. Автоматические правила хранения удаляют данные коммуникации через 12 месяцев или в течение иного срока, установленного Клиентом согласно разделу 3 и пункту 12.2. Удаление при прекращении договора - в течение 30 дней, резервных копий - в течение 90 дней.