Соглашение об обработке данных (DPA)

Стороны

• Ответственный за обработку (контролёр): Клиент, заключивший договор на сервис в соответствии с Условиями сервиса.
• Обработчик: Atiempo.Me SL (торговое наименование: CallSmarter), NIF B56542111, юридический адрес: Calle Timón 58, Centro Comercial Torrequebrada, Oficina 17, 29631 Torrequebrada, España («CallSmarter»).

Соглашение применяется к персональным данным, которые CallSmarter обрабатывает от имени Клиента при оказании услуг. Оно не применяется к данным, которые CallSmarter обрабатывает как ответственный (например, для выставления счетов или ведения договорных отношений), — они регулируются Политикой конфиденциальности.

Предмет, характер, цель и срок обработки

CallSmarter обрабатывает данные исключительно в целях оказания услуг Клиенту, что включает:

• совершение исходящих звонков от имени Клиента голосовыми агентами на основе искусственного интеллекта;
• запись разговоров и их транскрипцию;
• автоматическую оценку качества каждого звонка и составление краткого резюме с помощью искусственного интеллекта;
• фиксацию итогов звонков;
• CRM-функции (контакты, сделки, задачи);
• управление кампаниями и списками контактов.

Обработка продолжается в течение срока действия договора, а также периода, необходимого для удаления или возврата данных в соответствии с настоящим соглашением.

Категории данных

• Идентификационные и контактные данные контактов Клиента: имя, телефон, email и иные поля из загружаемых Клиентом CSV-файлов.
• Голос и содержание разговоров: аудиозаписи и транскрипты.
• Итоги звонков, резюме, оценки и заметки.
• Метаданные звонков: дата и время, длительность, статус.
• Данные пользователей панели Клиента: имя, email, роль и журнал действий.

Клиент не загружает специальные категории данных (ст. 9 GDPR) и данные о судимостях и правонарушениях (ст. 10 GDPR) без особого правового основания и предварительного письменного согласования с CallSmarter.

Категории субъектов данных

• Контакты, потенциальные клиенты (лиды) и клиенты Клиента.
• Представители и сотрудники Клиента.
• Пользователи панели Клиента.

Инструкции ответственного

CallSmarter обрабатывает данные только по документированным инструкциям Клиента, в том числе в отношении международных передач, если только обработка не требуется правом Союза или государства-члена; в этом случае CallSmarter заранее уведомляет Клиента, если такое право этого не запрещает. Документированными инструкциями считаются настоящие условия, настройки, заданные Клиентом в панели, а также созданные им агенты, промты и кампании.

CallSmarter незамедлительно сообщает Клиенту, если, по его мнению, инструкция нарушает GDPR или иные нормы о защите данных.

Конфиденциальность

CallSmarter гарантирует, что лица, уполномоченные обрабатывать данные, приняли обязательства о конфиденциальности или связаны соответствующей обязанностью по закону и получают доступ к данным лишь в объёме, необходимом для оказания услуг.

Меры безопасности

В соответствии со статьёй 32 GDPR CallSmarter применяет, в том числе, следующие технические и организационные меры:

• шифрование трафика по HTTPS/TLS; веб-доступ к серверу открыт только через сеть Cloudflare;
• шифрование секретов интеграций и ключей двухфакторной аутентификации алгоритмом AES-256-GCM;
• хранение паролей с использованием функции формирования ключа (scrypt);
• логическая изоляция данных каждой организации на уровне базы данных (PostgreSQL Row-Level Security);
• двухфакторная аутентификация (TOTP), обязательная по умолчанию;
• ролевая модель прав, включая маскировку телефонных номеров для ролей без соответствующего права;
• неизменяемый журнал действий (аудит), защищённый цепочкой хэшей;
• автоматическое завершение неактивных сеансов;
• опциональный белый список IP-адресов организации;
• сетевые ограничения: SIP-порт доступен только для IP-адресов оператора связи, доступ по SSH возможен только по ключам, действует защита от перебора паролей.

Эти меры могут обновляться по мере технического развития без снижения общего уровня безопасности.

Субобработчики

Клиент предоставляет CallSmarter общее разрешение на привлечение следующих субобработчиков:

CallSmarter уведомляет Клиента о любом планируемом изменении (добавлении или замене субобработчиков) за [срок — напр. 30 дней, ожидает подтверждения]. Клиент вправе возразить по разумным и обоснованным причинам, связанным с защитой данных; если стороны не найдут решения, Клиент может расторгнуть договор в части затронутой услуги.

CallSmarter возлагает на каждого субобработчика по договору обязательства по защите данных, равнозначные обязательствам по настоящему соглашению, и остаётся ответственным перед Клиентом за их исполнение.

Международные передачи

Если субобработчик обрабатывает данные за пределами ЕЭЗ, передача осуществляется в соответствии с главой V GDPR: на основании решения Европейской комиссии о достаточности уровня защиты, когда оно применимо, а при его отсутствии — стандартных договорных условий, утверждённых Европейской комиссией (ст. 46.2.c GDPR), вместе с необходимыми дополнительными мерами. Клиент может запросить информацию о применимых гарантиях по адресу [email protected].

Содействие ответственному

С учётом характера обработки CallSmarter содействует Клиенту:

• в ответах на запросы субъектов данных об осуществлении их прав — прежде всего с помощью инструментов панели, позволяющих просматривать, исправлять, удалять и выгружать данные контактов; если субъект обращается напрямую в CallSmarter, запрос без промедления передаётся Клиенту;
• в проведении оценки воздействия на защиту данных (DPIA) и, при необходимости, предварительных консультаций с надзорным органом;
• в выполнении обязанностей по обеспечению безопасности согласно статье 32 GDPR.

Нарушения безопасности данных

CallSmarter уведомляет Клиента о любом нарушении безопасности персональных данных без неоправданной задержки и, по возможности, не позднее 48 часов с момента, когда ему стало о нём известно, предоставляя имеющуюся информацию, предусмотренную статьёй 33.3 GDPR (характер нарушения, категории и примерное количество затронутых субъектов и записей, контактное лицо, вероятные последствия, принятые или предлагаемые меры), чтобы Клиент мог при необходимости уложиться в 72-часовой срок уведомления надзорного органа. Информация, недоступная сразу, предоставляется поэтапно.

Хранение, удаление и возврат данных

Записи разговоров хранятся на платформе по умолчанию 90 дн.; по истечении этого срока они удаляются или анонимизируются. Клиент может запросить их удаление раньше. Клиент как ответственный за обработку определяет сроки хранения прочих данных, обрабатываемых на платформе, и удаляет их, когда они перестают быть необходимыми; для этого в панели предусмотрены соответствующие инструменты.

По окончании оказания услуг CallSmarter по выбору Клиента удаляет или возвращает ему персональные данные, обработанные от его имени, в течение [срок — напр. 30 дней, ожидает подтверждения] и удаляет существующие копии, если только право Союза или государства-члена не требует их хранения; в этом случае данные остаются заблокированными в течение установленного законом срока.

Информация и аудит

CallSmarter предоставляет Клиенту информацию, необходимую для подтверждения соблюдения обязательств по статье 28 GDPR. Кроме того, CallSmarter допускает и содействует проведению аудитов, включая проверки, Клиентом или уполномоченным им аудитором — по разумному запросу с достаточным предварительным уведомлением, за счёт Клиента, без ущерба для безопасности и конфиденциальности других клиентов и не чаще одного раза в год, кроме случаев нарушения безопасности или требования надзорного органа.

Обязанности ответственного

Клиент гарантирует, что:

• имеет действительное правовое основание для совершения звонков, их записи и обработки данных своих контактов;
• информирует субъектов данных в соответствии со статьями 13 и 14 GDPR, в том числе о том, что звонок совершает система искусственного интеллекта, и, когда это применимо, о записи разговора и её целях;
• сверяет свои списки с системами исключения из рекламы (например, Lista Robinson) и с собственными списками «не звонить» и исполняет просьбы не звонить;
• его инструкции CallSmarter соответствуют применимому законодательству.

Ответственность и приоритет

Ответственность сторон по настоящему соглашению определяется Условиями сервиса без ущерба для статьи 82 GDPR. При противоречии между настоящим соглашением и Условиями сервиса в вопросах защиты данных приоритет имеет настоящее соглашение.

Контакты

По любым вопросам, связанным с настоящим соглашением или защитой данных, Клиент может обратиться по адресу [email protected].