Соглашение об обработке данных

Настоящее Дополнение об обработке данных («DPA») составляет часть и включается в Условия использования или иное письменное либо электронное соглашение («Соглашение») между Deliberate Livin LLC («KlientHQ», «Обработчик», «мы», «нас» или «наш»), компанией с ограниченной ответственностью штата Texas, и организацией-заказчиком, являющейся стороной Соглашения («Заказчик» или «Контролёр»). Термины с заглавной буквы, не определённые в настоящем документе, имеют значения, установленные в Соглашении.

Настоящее DPA применяется, когда Обработчик Обрабатывает Персональные данные от имени Заказчика при предоставлении Услуг.

1. Определения

• «CCPA/CPRA» означает California Consumer Privacy Act 2018 года (Cal. Civ. Code § 1798.100 et seq.) с изменениями, внесёнными California Privacy Rights Act, и соответствующие нормативные акты.
• «Законы о защите данных» означает все применимые законы, относящиеся к конфиденциальности, защите данных и безопасности, включая CCPA/CPRA, Virginia Consumer Data Protection Act, Colorado Privacy Act и иные аналогичные законы штатов США (совместно — «Законы США о конфиденциальности»).
• «Персональные данные» означает любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, которую Заказчик предоставляет Обработчику или которую Обработчик Обрабатывает от имени Заказчика в связи с Услугами, включая имена, адреса электронной почты, номера телефонов, адреса, места выполнения работ, подписи и иные данные, описанные в Приложении 1.
• «Обрабатывать» или «Обработка» означает любую операцию или совокупность операций, выполняемых в отношении Персональных данных.
• «Услуги» означает платформу управления выездным сервисом, предоставляемую Обработчиком по Соглашению.
• «Субобработчик» означает любого третьего лица, привлечённого Обработчиком для Обработки Персональных данных.

2. Роли сторон

Заказчик является Контролёром (или «Business» по CCPA/CPRA), а Обработчик является Обработчиком (или «Service Provider» по CCPA/CPRA). Обработчик будет Обрабатывать Персональные данные исключительно как поставщик услуг по документированным указаниям Заказчика, в целях предоставления Услуг и в соответствии с настоящим DPA.

3. Указания по обработке

Обработчик будет Обрабатывать Персональные данные только:

• Для предоставления Услуг;
• Насколько это необходимо для соблюдения применимого права;
• Как документировано в настоящем DPA или Соглашении;
• По дополнительным письменным указаниям Заказчика.

Если Обработчик полагает, что указание нарушает Законы о защите данных, Обработчик незамедлительно проинформирует Заказчика.

4. Сведения об обработке

Предмет, срок, характер, цель, типы Персональных данных и категории Субъектов данных описаны в Приложении 1 (Сведения об обработке).

5. Конфиденциальность

Обработчик обеспечит, чтобы лица, уполномоченные Обрабатывать Персональные данные, были связаны обязательствами конфиденциальности.

6. Безопасность

Обработчик внедрит и будет поддерживать технические и организационные меры, соответствующие риску, включая меры, описанные в Приложении 2 (Меры безопасности). Обработчик использует шифрование TLS при передаче и AES-256 при хранении и не хранит полные номера платёжных карт (обработка через Stripe).

7. Субобработчики

Заказчик предоставляет общую авторизацию Обработчику привлекать Субобработчиков, перечисленных в Приложении 3 (Текущие субобработчики).

Обработчик уведомит Заказчика о новых или заменяющих Субобработчиках не менее чем за 30 дней (по электронной почте или уведомлением в учётной записи). Заказчик может возразить в течение 15 дней; стороны будут добросовестно вести переговоры.

Обработчик свяжет Субобработчиков обязательствами, существенно аналогичными настоящему DPA.

8. Права субъектов данных и содействие

Обработчик будет содействовать Заказчику (за счёт Заказчика) в ответе на запросы Субъектов данных (доступ, удаление, исправление, отказ) и в исполнении обязательств по соблюдению требований (например, оценки) в той мере, в какой это юридически требуется и технически осуществимо.

9. Уведомление о нарушении данных

Обработчик уведомит Заказчика без неоправданной задержки (и в любом случае в течение 72 часов) после того, как ему станет известно о Нарушении Персональных данных. Уведомление будет включать характер, затронутые данные, меры по устранению и шаги по снижению последствий.

10. Специальные положения CCPA/CPRA

Обработчик:

• Получает Персональные данные только для деловой цели предоставления Услуг;
• Не будет хранить, использовать, раскрывать или продавать Персональные данные, кроме как необходимо для Услуг или разрешено CCPA/CPRA;
• Не будет объединять Персональные данные с данными из иных источников, кроме как разрешено;
• Подтверждает соблюдение обязательств CCPA/CPRA.

11. Удаление или возврат Персональных данных

По прекращении/истечении Соглашения Обработчик (по выбору Заказчика) удалит или вернёт все Персональные данные и подтвердит удаление в течение 30 дней, за исключением случаев, требуемых законом.

12. Аудиты

Заказчик может запросить аудит один раз за 12 месяцев (за свой счёт) с уведомлением за 30 дней. Обработчик может удовлетворить аудит отчётами третьих лиц (например, SOC 2) или выездной проверкой (ограниченный объём).

13. Международные передачи

Вся Обработка осуществляется в Соединённых Штатах. Если произойдёт передача за пределы США, Обработчик обеспечит надлежащие гарантии.

14. Срок и прекращение

Настоящее DPA сохраняет силу после прекращения Соглашения до тех пор, пока Обработчик Обрабатывает Персональные данные. Оно прекращается, когда все Персональные данные удалены/возвращены.

15. Применимое право

Регулируется правом штата Texas без учёта коллизионных норм.

Приложение 1 – Сведения об обработке

• Предмет: Предоставление SaaS управления выездным сервисом (планирование, управление клиентами, outreach по SMS/электронной почте, счета, платежи и опциональная обработка голосовых/ИИ-звонков).
• Срок: Срок Соглашения + период завершения после прекращения.
• Характер/цель: Сбор, хранение, анализ, передача для планирования работ, напоминаний, коммуникаций, выставления счетов.
• Категории субъектов данных: Конечные клиенты Заказчика (владельцы жилья/бизнес-клиенты), члены команды.
• Типы Персональных данных: Имена, адреса электронной почты, номера телефонов, адреса, места работ/геолокация, подписи, способы оплаты (через Stripe или Square), история коммуникаций и — при включении Агента продаж или голосовых функций — записи звонков, расшифровки звонков, аудио голосовой почты и сводки звонков, сформированные ИИ.

Приложение 2 – Меры безопасности

• Шифрование: TLS 1.2+ при передаче; AES-256 при хранении.
• Контроль доступа: RBAC, наименьшие привилегии, MFA.
• Мониторинг: Журналы, обнаружение аномалий.
• Реагирование на инциденты: План инцидентов, процедуры уведомления.
• Физические: Защищённые центры обработки данных (Google Cloud).

Приложение 3 – Текущие субобработчики