Kreedl - Договір про обробку даних

Терміни «персональні дані», «контролер», «обробник», «обробка», «суб’єкт даних», «порушення безпеки персональних даних» і «наглядовий орган» мають значення, наведені в Регламенті (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних, та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних, далі - «GDPR»). «Персональні дані Клієнта» означають персональні дані, які Клієнт надає Kreedl або робить для нього доступними, чи які Kreedl збирає від імені Клієнта під час надання послуг, зокрема вміст комунікації, записи дзвінків і транскрипти, незалежно від того, чи ідентифікують ці дані Клієнта, чи третю особу, яка вступає з Клієнтом у договірні відносини. «Субобробник» означає будь-яку третю особу, яку Kreedl залучає до обробки Персональних даних Клієнта. «UK GDPR» означає GDPR у тому вигляді, в якому його збережено в праві Сполученого Королівства.

Клієнт є контролером Персональних даних Клієнта. Kreedl є обробником цих даних. Kreedl є самостійним контролером лише щодо власних даних облікового запису Клієнта, платіжних даних, даних про використання та маркетингових даних, або якщо третя особа користується послугами Kreedl, не вступивши в договірні відносини з Клієнтом. Докладніше ця діяльність описана в документі Kreedl під назвою Політика конфіденційності, доступному на kreedl.com/ua/privacy (далі - «Політика конфіденційності»).

Предмет і мета. Робота AI-асистента, який від імені Клієнта спілкується з орендарями, мешканцями, користувачами об’єктів, заявниками, підрядниками та іншими особами телефоном, у WhatsApp, через SMS та електронною поштою і виконує дії, на які Клієнт надав повноваження.

Характер обробки. Отримання, запис, транскрибування, зберігання, аналіз і узагальнення комунікації; зчитування або зберігання записів Клієнта відповідно до обраного режиму (розділ 4); призначення зустрічей; направлення підрядників; а за відповідним дорученням - ранжування заявників або узагальнення загальнодоступної інформації про потенційних орендарів.

Категорії суб’єктів даних. Орендарі, мешканці, потенційні орендарі чи покупці, керівники магазинів і користувачі об’єктів, підрядники та техніки, працівники та представники Клієнта, а також будь-яка інша особа, яка звертається до будівлі, що її обслуговує Kreedl.

Види персональних даних. Ім’я, контактні дані, будівля та приміщення, строк і умови оренди, розмір орендної плати та стан платежів, документи щодо оренди, повідомлення про несправності, фотографії, голосові повідомлення, записи дзвінків, транскрипти, вміст повідомлень і метадані. Щодо потенційних орендарів чи покупців - додатково очікувана дата заселення, склад домогосподарства, зайнятість, дохід, спосіб фінансування та рекомендації, якщо Клієнт вимагає їх для оцінки заявки. Якщо Клієнт доручає перевірку особи, останні чотири цифри чеського персонального ідентифікаційного номера (rodné číslo) можуть порівнюватися із записами Клієнта; повний номер не зберігається. Kreedl не обробляє коди дверей чи інші засоби фізичного доступу.

Тривалість. Персональні дані обробляються протягом строку надання замовленої послуги, а після цього - до завершення їх повернення та видалення відповідно до розділу 12. Сторони встановлюють строки зберігання даних так, щоб вони відповідали самому характерові послуги, що надається. Строки зберігання враховують, зокрема, але не виключно, припинення орендних відносин між Клієнтом і третіми особами, захист законних інтересів Контролера щодо його майна та обов’язкові строки зберігання, встановлені загальнообов’язковим законодавством.

4.1 Клієнт обирає один із трьох режимів, описаних у Політиці конфіденційності. Режим A - без доступу до записів Клієнта. Режим B - доступ до систем Клієнта для читання без зберігання записів. Режим C - записи Клієнта зберігає Kreedl. У кожному режимі Kreedl зберігає вміст комунікації, записи дзвінків, транскрипти та контактні дані осіб, які з ним спілкуються.

4.2 Задокументовані інструкції Клієнта складаються з обраного режиму, конфігурації, погодженої під час підключення, налаштувань, які Клієнт здійснює в застосунку Kreedl, даних, які Клієнт завантажує або робить доступними, і будь-якої письмової інструкції, надісланої на [email protected]. Завантаження даних, активація підписки, створення профілю чи будь-яке інше надання даних Kreedl є інструкцією Клієнта обробляти ці дані для цілей розділу 3.

4.3 Клієнт може будь-коли змінити режим або свої інструкції електронним листом, у застосунку або діями, з яких зміна чітко випливає. Kreedl впроваджує зміни протягом 14 днів.

4.4 Kreedl може відмовитися виконувати інструкцію, яка, на його обґрунтовану думку, порушує GDPR чи інший закон, і повідомляє про це Клієнта. Kreedl також може обробляти Персональні дані Клієнта, якщо цього вимагає право ЄС або держави-члена; у такому разі він повідомляє Клієнта, якщо закон цього не забороняє.

Клієнт заявляє та зобов’язується, що:

• він має і належно визначає дійсну правову підставу для всіх Персональних даних Клієнта, які він отримує та передає Kreedl, і для кожної комунікації, яку він доручає Kreedl ініціювати. Клієнт несе одноосібну відповідальність за будь-яку відсутність правової підстави для надання чи передачі даних;
• він виконує обов’язок інформувати суб’єктів даних відповідно до статей 12, 13 і 14 GDPR, зокрема оприлюднює інформацію для абонентів, що міститься в Частині A Умов дотримання вимог Kreedl, і несе цей обов’язок одноосібно, незалежно від того, чи публікує Kreedl інформацію про відповідну діяльність у своїй Політиці конфіденційності. Це не впливає на обов’язок Kreedl інформувати як самостійного контролера;
• якщо він доручає Kreedl збирати загальнодоступну інформацію про потенційних орендарів, він інформує цих осіб про джерело даних не пізніше ніж під час першого контакту;
• якщо він надає чеські персональні ідентифікаційні номери, він дотримується § 13c Закону № 133/2000 Зб.;
• він відповідає за встановлені ним межі автономності та за опрацювання ескалацій;
• він вживає технічних та організаційних заходів, що забезпечують найвищий можливий рівень захисту персональних даних суб’єктів даних, і несе за них одноосібну відповідальність, якщо тільки дані не зберігаються на пристрої чи в базі даних, якими виключно володіє або які виключно експлуатує Kreedl;
• його інструкції відповідають закону. Клієнт несе одноосібну відповідальність за законність своїх інструкцій і за будь-які санкції, пов’язані з їх недотриманням. Якщо будь-яка зі сторін дійде висновку, що виконання інструкції Клієнта може залежати від оцінки впливу на захист даних (далі - «DPIA»), виконання інструкції відкладається, доки її законність не буде підтверджено на підставі DPIA, витрати на яку несе Клієнт. Водночас Kreedl не зобов’язаний активно перевіряти чи в інший спосіб верифікувати законність інструкцій Клієнта.

Kreedl:

• обробляє Персональні дані Клієнта виключно за задокументованими інструкціями Клієнта і лише для цілей розділу 3;
• забезпечує, щоб особи, уповноважені обробляти Персональні дані Клієнта, були зв’язані угодами про збереження таємниці та конфіденційності, якщо Kreedl уповноважив їх здійснювати обробку;
• впроваджує технічні та організаційні заходи, наведені в Додатку 1;
• не використовує Персональні дані Клієнта для навчання чи донавчання жодної AI-моделі;
• з урахуванням характеру обробки допомагає Клієнтові з запитами суб’єктів даних (розділ 9), забезпеченням безпеки, повідомленням про порушення та оцінкою впливу на захист даних (розділ 10);
• видаляє або повертає Персональні дані Клієнта відповідно до розділу 12;
• надає інформацію, необхідну для підтвердження дотримання статті 28 GDPR, і дозволяє проводити аудити відповідно до розділу 11;
• зберігає дані, які зробив доступними Клієнт, окремо від даних, які він обробляє як самостійний контролер;
• вживає технічних та організаційних заходів, що забезпечують найвищий можливий рівень захисту персональних даних суб’єктів даних, якщо дані зберігаються на пристрої чи в базі даних, якими виключно володіє або які виключно експлуатує Kreedl.

7.1 Клієнт надає Kreedl загальний дозвіл на залучення субобробників. Актуальний перелік наведено в розділі 7 Політики конфіденційності на kreedl.com/ua/privacy.

7.2 Kreedl повідомляє Клієнта про додавання чи заміну субобробника електронною поштою щонайменше за 14 днів до набрання зміною чинності.

7.3 Якщо Клієнт протягом 14 днів після повідомлення заперечить з обґрунтованих причин, пов’язаних із захистом даних, Kreedl може запропонувати альтернативу. Якщо згоди не досягнуто, єдиним засобом захисту Клієнта є припинення відповідних послуг письмовим повідомленням без штрафних санкцій щодо припиненої частини з дати, коли зміна субобробника набирає чинності. Kreedl не зобов’язаний змінювати субобробника.

7.4 Kreedl покладає на кожного субобробника обов’язки щодо захисту даних, не менш суворі, ніж передбачені цим DPA, і залишається відповідальним за їх виконання.

7.5 Якщо Kreedl залучає нового субобробника, Kreedl відповідає за зазначення особи нового субобробника в Політиці конфіденційності та за повідомлення Клієнта відповідно до пункту 7.2, щоб Клієнт міг виконати свій обов’язок інформування згідно з розділом 5.

Kreedl зберігає Персональні дані Клієнта в Європейському Союзі. До AI-обробки та телефонії можуть залучатися постачальники за межами ЄЕЗ або Сполученого Королівства. Для кожної такої передачі Kreedl спирається на Стандартні договірні положення ЄС, рішення про адекватність (зокрема EU-US Data Privacy Framework, якщо постачальник має відповідну сертифікацію) або, щодо даних із Великої Британії, на UK International Data Transfer Addendum. На письмовий запит Kreedl пропонує конфігурацію з обробкою лише в ЄС; подати такий запит - відповідальність Клієнта. Клієнт уповноважує Kreedl укладати від його імені Стандартні договірні положення із субобробниками. Додаток Великої Британії (UK Addendum) надається на запит.

Якщо Kreedl отримує запит суб’єкта даних щодо Персональних даних Клієнта, він передає його Клієнтові протягом 3 робочих днів і не відповідає на нього по суті без інструкції. Kreedl надає розумну допомогу, щоб Клієнт міг відповісти в передбачені законом строки. Допомога понад п’ять запитів на місяць або така, що потребує більше ніж розумних зусиль, оплачується за чинною погодинною ставкою Kreedl.

10.1 Kreedl повідомляє Клієнта про порушення безпеки Персональних даних Клієнта без невиправданої затримки і не пізніше ніж через 48 годин після того, як йому стало про це відомо. Первинне повідомлення містить інформацію, відому на той момент. Сторони надають одна одній допомогу, необхідну відповідно до статей 33 і 34 GDPR, для усунення ризиків, наслідків порушення та штрафів наглядового органу, а також для успішного розслідування порушення.

10.2 Повідомлення наглядового органу та суб’єктів даних є обов’язком сторони, яка керує базою даних або пристроєм, у яких сталося порушення безпеки персональних даних.

10.3 Якщо Клієнт повинен провести DPIA, Kreedl надає йому опис обробки, заходи, наведені в Додатку 1, і розумну додаткову інформацію, яка є суворо необхідною для підготовки DPIA. Оцінку завершує та затверджує Клієнт, і вона належить Клієнтові. Витрати на підготовку DPIA несе Клієнт.

10.4 Незважаючи на схвалення Клієнтом відповідно до пункту 10.3, Kreedl не зобов’язаний виконувати інструкцію Клієнта, якщо, попри наявність DPIA, Kreedl має обґрунтовані підстави підозрювати, що інструкція незаконна, що принцип мінімізації даних було недостатньо враховано під час підготовки DPIA або що якість і легітимність оцінки є недостатніми.

Один раз на календарний рік, за письмовим повідомленням за 30 днів, Клієнт може запросити заповнений Kreedl опитувальник із безпеки, копію Додатка 1 і наявну документацію, що підтверджує дотримання цього DPA. Перевірка на місці проводиться лише в місці та в час, коли цього вимагає наглядовий орган або закон, за умови дотримання конфіденційності, без доступу до даних інших Клієнтів і за рахунок Клієнта. Kreedl не має сертифікації ISO 27001 чи SOC 2, не гарантує, що внутрішні перевірки проводяться відповідно до такої сертифікації, і Клієнт це визнає.

12.1 Після припинення договору з Клієнтом, а також будь-коли на письмовий запит Kreedl експортує Персональні дані Клієнта в структурованому машиночитному форматі (JSON; аудіофайли для записів дзвінків) і видаляє Персональні дані Клієнта протягом 30 днів після припинення. Зашифровані резервні копії очищаються протягом 90 днів. На запит Kreedl письмово підтверджує видалення. Kreedl може зберігати дані, якщо цього вимагає закон, і лише для цієї мети.

12.2 Якщо правова підстава, на якій Клієнт володіє даними третьої особи стосовно цієї третьої особи, припиняє існувати, Клієнт повідомляє про це Kreedl і несе одноосібну відповідальність за надання такої інформації. Kreedl здійснює видалення відповідно до строків зберігання персональних даних, якщо тільки Клієнт не наполягає на збереженні запису для одного зі своїх законних інтересів; у такому разі Клієнт обґрунтовує цей законний інтерес. Клієнт відповідає за будь-які адміністративні чи інші санкції, що виникають унаслідок неповідомлення Kreedl про припинення правової підстави або унаслідок нелегітимності його інтересу, якщо цей інтерес є підставою для продовження строку зберігання даних.

13.1 У максимальному обсязі, дозволеному законом, загальна відповідальність Kreedl, що виникає з цього DPA або у зв’язку з ним, зокрема щодо будь-якого адміністративного штрафу чи вимоги суб’єкта даних, обмежується сумою, сплаченою Клієнтом протягом дванадцяти місяців, що передують події, яка стала підставою для вимоги, і Kreedl не несе відповідальності за непрямі чи опосередковані збитки, упущену вигоду, втрату даних або шкоду діловій репутації.

13.2 Kreedl не має обов’язку відшкодовувати збитки Клієнтові.

13.3 Клієнт відшкодовує Kreedl будь-які вимоги, штрафи, збитки чи витрати (зокрема обґрунтовані витрати на правову допомогу, а також випадки, коли через поведінку, яка жодним чином не може бути поставлена в провину Kreedl, Kreedl зазнає збитків або стає зобов’язаним задовольнити вимогу чи сплатити штраф відповідно до пункту 13.1 понад межу відповідальності, встановлену пунктом 13.1), що виникають унаслідок порушення Клієнтом цього DPA чи GDPR, інструкції Клієнта, даних, наданих без правової підстави чи без необхідного інформування суб’єктів даних, якщо це прямо передбачено цим DPA, або налаштувань автономності, обраних Клієнтом.

Цей DPA залишається чинним і після припинення договору з Клієнтом - доки відповідно до чеського права не спливе строк позовної давності щодо останньої потенційної вимоги, прямо чи опосередковано пов’язаної з правами та обов’язками за цим DPA. DPA регулюється правом Чеської Республіки, а спори, що виникають виключно за цим DPA, вирішують компетентні суди в Празі. Його опубліковано англійською та чеською мовами; ця українська версія є інформаційним перекладом. Переважну силу має англійська версія, якщо договір із Клієнтом не передбачає іншого. Kreedl може в односторонньому порядку оновлювати цей DPA, повідомивши Клієнтів електронною поштою за 14 днів; подальше користування послугами після дати набрання чинності означає згоду зі змінами.

Шифрування. Персональні дані Клієнта шифруються під час зберігання (AES-256 або рівноцінний алгоритм) і під час передачі (TLS 1.2 або новіша версія). Записи дзвінків і файли зберігаються в зашифрованому об’єктному сховищі.

Контроль доступу. Доступ на основі ролей. Доступ мають лише ті працівники Kreedl, яким він потрібен для роботи сервісу. Багатофакторна автентифікація є обов’язковою для всіх працівників Kreedl і для будь-якого адміністративного доступу до інфраструктури. Доступи переглядаються в разі кадрових змін і щонайменше раз на квартал.

Журналювання та можливість аудиту. Кожна дія AI-асистента та кожен доступ працівника до Персональних даних Клієнта реєструються в журналі із зазначенням часу та особи. Журнали зберігаються 12 місяців, і Клієнт має до них доступ щодо власних даних.

Управління секретами. Облікові дані постачальників і API-ключі зберігаються в менеджері секретів, ніколи не містяться в коді й не розкриваються користувачам і замінюються, коли працівник звільняється або виникає підозра на їх компрометацію.

Розмежування Клієнтів. Дані кожного Клієнта логічно відокремлені. Жоден Клієнт не має доступу до даних іншого.

Резервне копіювання. Зашифровані резервні копії створюються щонайменше щодня, зберігаються 90 днів, а відновлення перевіряється щонайменше раз на рік.

Постачальники AI-моделей. Постачальникам моделей договірно заборонено використовувати Персональні дані Клієнта для навчання. Kreedl не навчає і не донавчає моделі на Персональних даних Клієнта.

Персонал. Усі працівники та підрядники підписують угоди про збереження таємниці та конфіденційності й проходять навчання із захисту даних до отримання доступу. Доступ анулюється в день звільнення.

Реагування на інциденти. Задокументована процедура з відповідальною особою, повідомлення Клієнта протягом 48 годин і аналіз після інциденту.

Фізична безпека. Інфраструктура розміщена в постачальників, перелічених у Політиці конфіденційності, які експлуатують сертифіковані центри обробки даних (ISO 27001 / SOC 2 на рівні постачальника). Kreedl не експлуатує власних центрів обробки даних.

Видалення. Автоматичні правила зберігання видаляють дані комунікації через 12 місяців або в інший строк, встановлений Клієнтом відповідно до розділу 3 і пункту 12.2. Видалення після припинення - протягом 30 днів, резервних копій - протягом 90 днів.