توافق‌نامه‌ی پردازش داده

این توافق‌نامه‌ی پردازش داده («DPA») بخشی از شرایط و ضوابط میان مشتری (کسب‌وکاری که مشترک LetsBot می‌شود، «شما») و BOT FOR DIGITAL SOLUTIONS LIMITED، شرکتی ثبت‌شده در انگلستان و ولز به شماره‌ی 15477940، به نشانی 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom («LetsBot»، «ما») است.

با پذیرش شرایط و ضوابط، شما همچنین طرف این DPA قرار می‌گیرید، از جمله بندهای انتقال که به‌صورت ارجاعی در پیوست‌های IV تا VI گنجانده شده‌اند. این موارد از زمان پذیرش و پیش از انتقال هرگونه داده‌ی شخصی مشتری، به‌طور خودکار برای هر مشتری اعمال می‌شوند و نیازی به امضا ندارند.

نسخه‌های امضاشده و اسناد اختصاصی. در صورت درخواست از طریق support@letsbot.net، نسخه‌ای از این DPA را که ما نیز امضا کرده‌ایم، یا هر توافق‌نامه یا سند اختصاصی که سازمان شما نیاز دارد، مانند مجموعه‌ای تکمیل‌شده از بندهای انتقال، در اختیارتان قرار می‌دهیم.

ترتیب اولویت. در صورت تعارض، ابتدا بندهای انتقال در پیوست‌های IV تا VI، سپس این DPA و سپس شرایط و ضوابط حاکم خواهند بود.

زبان. نسخه‌ی انگلیسی این DPA حاکم است؛ نسخه‌ی عربی صرفاً برای سهولت ارائه شده است. در مورد بندهای استاندارد ANPD برزیل، متن رسمی پرتغالی حاکم است.

• داده‌های شخصی مشتری: داده‌های شخصی‌ای که ما در ارائه‌ی سرویس از طرف شما پردازش می‌کنیم، از جمله مشخصات مخاطبان، پیام‌ها، رسانه‌ها و سفارش‌های شما. جزئیات در پیوست I آمده است.
• پردازشگر فرعی: هر شخص ثالثی که ما برای پردازش داده‌های شخصی مشتری به کار می‌گیریم.
• نقض داده‌های شخصی: نقض امنیتی که به تخریب، از دست رفتن، تغییر یا افشای غیرمجاز داده‌های شخصی مشتری، یا دسترسی به آن‌ها، به‌صورت تصادفی یا غیرقانونی منجر شود.
• قوانین حفاظت از داده: قوانینی که بر پردازش حاکم‌اند، از جمله GDPR اتحادیه‌ی اروپا، UK GDPR و Data Protection Act 2018 بریتانیا، قانون حفاظت از داده‌های شخصی عربستان سعودی و آیین‌نامه‌های آن، LGPD برزیل، و قانون شماره‌ی 151 سال 2020 مصر و آیین‌نامه‌ی اجرایی آن.
• اصطلاحات «کنترل‌کننده»، «پردازشگر»، «صاحب داده» و «پردازش» همان معانی مندرج در قوانین حفاظت از داده را دارند. «پردازشگر» شامل «operador» طبق LGPD نیز می‌شود.

1. شما کنترل‌کننده‌ی داده‌های شخصی مشتری هستید (یا پردازشگری که از طرف کنترل‌کننده‌ی دیگری عمل می‌کند) و ما پردازشگر هستیم.
2. ما داده‌های شخصی مشتری را فقط بر اساس دستورالعمل‌های مستند شما پردازش می‌کنیم، از جمله در خصوص انتقال به کشورهای دیگر. دستورالعمل‌های شما عبارت‌اند از شرایط و ضوابط، این DPA، تنظیماتی که در پنل انتخاب می‌کنید (مانند کانال‌ها، یکپارچه‌سازی‌ها، قابلیت‌های هوش مصنوعی و دوره‌های نگهداری) و هر دستورالعمل کتبی دیگری که بر سر آن توافق کنیم.
3. اگر قانونی ما را ملزم کند داده‌های شخصی مشتری را به نحوی غیر از دستورالعمل‌های شما پردازش کنیم، پیش از انجام آن به شما اطلاع می‌دهیم، مگر آنکه آن قانون این کار را ممنوع کرده باشد.
4. اگر معتقد باشیم دستورالعملی قوانین حفاظت از داده را نقض می‌کند، فوراً به شما اطلاع می‌دهیم.
5. مسئولیت جمع‌آوری قانونی داده‌ها و داشتن مبنای قانونی برای ارسال پیام به مخاطبانتان، از جمله هرگونه رضایتی که Meta یا قانون الزام می‌کند، بر عهده‌ی شماست.
6. ما از داده‌های شخصی مشتری برای اهداف خودمان استفاده نمی‌کنیم، آن‌ها را نمی‌فروشیم و از آن‌ها برای آموزش مدل‌های هوش مصنوعی استفاده نمی‌کنیم.

فقط کارمندان و پیمانکارانی که برای ارائه، پشتیبانی یا تأمین امنیت سرویس به دسترسی نیاز دارند می‌توانند به داده‌های شخصی مشتری دسترسی داشته باشند و همه‌ی آن‌ها ملزم به حفظ محرمانگی آن هستند.

افرادی که به داده‌های شخصی مشتری دسترسی دارند عمدتاً در مصر و از طریق شرکت وابسته‌ی ما Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م)، تحت دستورالعمل‌های ما و با شرایطی که سطح حمایت آن کمتر از این DPA نیست، کار می‌کنند.

ما تدابیر فنی و سازمانی مندرج در پیوست II را اعمال می‌کنیم، آن‌ها را به‌طور منظم بازبینی می‌کنیم و در طول اشتراک شما سطح کلی حفاظت را کاهش نخواهیم داد.

علاوه بر این، متعهد می‌شویم به:

• تهیه‌ی نسخه‌های پشتیبان رمزگذاری‌شده از پایگاه‌های داده‌ی فضاهای کاری: هر شب برای فضاهای کاری پولی، آزمایشی و رایگانِ اهدایی، و با چرخه‌ی 10 روزه برای سایر فضاهای کاری، به‌علاوه‌ی یک نسخه‌ی پشتیبان روزانه از پایگاه داده‌ی مرکزی حساب‌ها. نسخه‌های پشتیبان در فضای ذخیره‌سازی خصوصی، جدا از سرور عملیاتی، در Google Cloud در ایالات متحده (us-east1) به مدت 30 روز نگهداری و سپس حذف می‌شوند؛
• نگهداری فایل‌های رسانه‌ای مبادله‌شده در گفتگوها در فضای ذخیره‌سازی‌ای که امکان مرور یا فهرست کردن آن وجود ندارد، و ارائه‌ی آن‌ها از طریق لینک‌های طولانی و تصادفی که حدس زدنشان دشوار است (به‌جز تصاویر پروفایل مخاطبان). هر کسی که لینک دقیق را داشته باشد می‌تواند فایل را باز کند. ما در حال انتقال رسانه‌ها به لینک‌های امضاشده‌ی دارای محدودیت زمانی هستیم؛
• ثبت هر ورود پشتیبانی به یک فضای کاری، و هر ورود به حساب، در گزارش امنیتی همان فضای کاری.

1. مجوز عمومی. شما به ما اجازه می‌دهید پردازشگران فرعی فهرست‌شده در صفحه‌ی پردازشگران فرعی ما (پیوست III) را به کار بگیریم.
2. اطلاع‌رسانی پیشاپیش. پیش از افزودن یا جایگزینی یک پردازشگر فرعی، دست‌کم 30 روز زودتر از طریق ایمیل به همه‌ی کسانی که مشترک شده‌اند و با به‌روزرسانی صفحه اطلاع‌رسانی می‌کنیم. برای اشتراک، با موضوع «Subprocessor updates» به support@letsbot.net ایمیل بزنید.
3. اعتراض. شما می‌توانید در طول دوره‌ی اطلاع‌رسانی، بر پایه‌ی دلایل معقول مرتبط با حفاظت از داده، به‌صورت کتبی اعتراض کنید. ما تلاش می‌کنیم اعتراض شما را برطرف کنیم، برای مثال با عدم استفاده از آن پردازشگر فرعی برای داده‌های شما. اگر نتوانیم، می‌توانید بخش متأثر از سرویس را فسخ کنید و هر مبلغ پیش‌پرداخت‌شده برای دوره‌ی باقی‌مانده را مسترد دریافت کنید.
4. جایگزینی اضطراری. اگر برای حفظ امنیت یا تداوم سرویس ناچار باشیم یک پردازشگر فرعی را فوراً جایگزین کنیم، در اسرع وقت به شما اطلاع می‌دهیم و همان حق اعتراض برای شما محفوظ می‌ماند.
5. تعهدات معادل. ما هر پردازشگر فرعی ثالث را از طریق یک قرارداد کتبی به تعهداتی در زمینه‌ی حفاظت از داده ملزم می‌کنیم که سطح حمایت آن‌ها کمتر از این DPA نیست، و در قبال عملکرد آن در برابر شما مسئول باقی می‌مانیم.
6. یکپارچه‌سازی‌هایی که خودتان انتخاب می‌کنید، مانند Meta (WhatsApp، Messenger، Instagram)، پلتفرم‌های تجارت الکترونیک و CRMها، پردازشگر فرعی ما نیستند. شما آن‌ها را متصل می‌کنید و آن‌ها داده‌ها را طبق شرایط خودشان با شما پردازش می‌کنند.

1. ما هرگونه نقض داده‌های شخصی را که بر داده‌های شخصی مشتری اثر بگذارد، بدون تأخیر ناموجه و در هر حال ظرف 24 ساعت از زمان آگاهی از آن به شما اطلاع می‌دهیم. این استاندارد ما در همه‌ی کشورهاست.
2. اطلاعیه را به نشانی ایمیل مالک حساب، و در صورت امکان در پنل، ارسال می‌کنیم. تا جایی که اطلاعات در دسترس باشد، اطلاعیه موارد زیر را شرح می‌دهد: ماهیت و علت نقض؛ دسته‌ها و تعداد تقریبی صاحبان داده و سوابق؛ پیامدهای محتمل؛ اقدامات انجام‌شده یا پیشنهادی برای مهار آن؛ و نقطه‌ی تماس ما.
3. اگر همه‌ی اطلاعات را یک‌جا در اختیار نداشته باشیم، آن را بدون تأخیر ناموجه به‌صورت مرحله‌ای ارائه می‌کنیم و تا بسته شدن رخداد، شما را به‌طور منظم در جریان می‌گذاریم.
4. ما به شما کمک می‌کنیم تعهدات خود برای اطلاع‌رسانی به مراجع و صاحبان داده را انجام دهید، از جمله مهلت‌های 72 ساعته در اتحادیه‌ی اروپا، بریتانیا و عربستان سعودی، و مهلت سه روز کاری در برزیل.
5. اطلاعیه به معنای اعتراف به تقصیر یا مسئولیت نیست.

1. اگر درخواستی از یک صاحب داده درباره‌ی داده‌های شخصی مشتری دریافت کنیم، آن را ظرف 48 ساعت برای شما ارسال می‌کنیم و بدون مجوز شما به آن پاسخ نمی‌دهیم، جز اینکه اعلام کنیم آن را به شما ارجاع داده‌ایم.
2. پنل به شما امکان می‌دهد از مخاطبان، گفتگوها و پیام‌ها خروجی بگیرید، آن‌ها را اصلاح یا حذف کنید. در مواردی که این ابزارها کافی نباشند، کمک معقول در اختیارتان قرار می‌دهیم.
3. کمک ما مهلت‌های قانونی شما را در نظر می‌گیرد، از جمله شش روز کاری در مصر.

ما اطلاعاتی را که به‌طور معقول برای انجام ارزیابی تأثیر حفاظت از داده، ارزیابی ریسک انتقال یا مشاوره‌ی پیشین با یک مرجع نیاز دارید، در اختیارتان قرار می‌دهیم. در مواردی که قانون شما را ملزم کند ارزیابی تأثیر مربوط را با ما به اشتراک بگذارید، آن را دریافت خواهیم کرد.

1. در طول اشتراک خود می‌توانید در هر زمان از داده‌هایتان خروجی بگیرید، هر گفتگوی منفرد را حذف کنید (که پیام‌ها و رسانه‌های آن را پاک می‌کند) یا کل فضای کاری خود را از پنل حذف کنید. ذکر دلیل اختیاری است.
2. پس از پایان سرویس، داده‌های شما به مدت 30 روز برای خروجی گرفتن در دسترس می‌ماند. هنگامی که یک فضای کاری حذف شود، داده‌های شخصی مشتری را ظرف 30 روز از سیستم‌های فعال خود حذف می‌کنیم، از جمله رسانه‌ها، نسخه‌ی بایگانی‌شده، فایل‌ها و پاسخ‌های ذخیره‌شده نزد ارائه‌دهنده‌ی هوش مصنوعی ما، و پیام‌های نگهداری‌شده نزد سرویس اتصال با کد QR ما. نسخه‌های موجود در پشتیبان‌ها ظرف 30 روز دیگر منقضی می‌شوند.
3. ما فقط آنچه را که قانون ما را ملزم به نگهداری آن می‌کند نگه می‌داریم و تا زمان حذف، همچنان طبق این DPA از آن محافظت می‌کنیم.
4. در صورت درخواست، حذف را به‌صورت کتبی تأیید می‌کنیم.

1. ما اطلاعات لازم برای اثبات انطباق خود با این DPA را در دسترس قرار می‌دهیم و به پرسشنامه‌های امنیتی معقول پاسخ می‌دهیم.
2. اگر این اطلاعات کافی نباشد، شما یا یک حسابرس مستقل متعهد به محرمانگی می‌توانید هر 12 ماه یک بار، با اطلاع 30 روز پیش‌تر، در ساعات کاری و بدون به خطر انداختن داده‌های سایر مشتریان، ما را حسابرسی کنید. این محدودیت پس از نقض داده‌های شخصی یا زمانی که یک مرجع حسابرسی را الزام کند اعمال نمی‌شود.
3. هر طرف هزینه‌های خود را بر عهده دارد، مگر آنکه حسابرسی نقض اساسی از جانب ما را آشکار کند.
4. ما در صورت درخواست مراجع نظارتی صالح، از جمله سازمان داده و هوش مصنوعی عربستان سعودی (SDAIA)، با آن‌ها همکاری می‌کنیم.

1. محل پردازش داده‌ها. داده‌های شخصی مشتری در Google Cloud در ایالات متحده (منطقه‌ی us-east1) میزبانی می‌شوند، کارکنان ما که عمدتاً در مصر و از طریق شرکت وابسته‌ی ما کار می‌کنند از راه دور به آن‌ها دسترسی دارند، و پردازشگران فرعی در مکان‌های نشان‌داده‌شده در صفحه‌ی مربوط به آن‌ها آن‌ها را پردازش می‌کنند. همه‌ی سرورها و نسخه‌های پشتیبان ما در ایالات متحده قرار دارند؛ ما میزبانی در هیچ منطقه‌ی دیگری ارائه نمی‌کنیم.
2. سازوکارهای انتقال. بندهای پیوست IV (اتحادیه‌ی اروپا و بریتانیا)، پیوست V (برزیل) و پیوست VI (عربستان سعودی) برای هر مشتری بخشی از این DPA هستند و بر هر انتقالی که قانون متناظر بر آن اعمال می‌شود حاکم‌اند.
3. قوانین خارجی‌ای که مشمول آن‌ها هستیم. ما یک شرکت بریتانیایی و مشمول قانون بریتانیا هستیم. داده‌ها نزد یک ارائه‌دهنده‌ی آمریکایی میزبانی می‌شوند و مراجع آمریکایی می‌توانند ارائه‌دهندگان آمریکایی را طبق قانون ایالات متحده، از جمله CLOUD Act و بخش 702 قانون Foreign Intelligence Surveillance Act، به افشای داده‌ها ملزم کنند. شرکت وابسته‌ی ما در مصر مشمول قانون مصر است. ما از اینکه هیچ‌یک از این قوانین مانع اجرای این DPA از سوی ما شود آگاه نیستیم و اگر این وضعیت تغییر کند، بی‌درنگ به شما اطلاع می‌دهیم.
4. درخواست‌های مراجع دولتی. اگر درخواستی الزام‌آور از یک مرجع دولتی برای افشای داده‌های شخصی مشتری دریافت کنیم، به شما اطلاع می‌دهیم مگر آنکه قانون آن را ممنوع کند، از آن مرجع می‌خواهیم به خود شما مراجعه کند، به درخواست‌های غیرقانونی یا فراتر از حد لازم اعتراض می‌کنیم و فقط حداقل لازم را افشا می‌کنیم.

1. وقتی پاسخ‌های هوش مصنوعی، ایجنت‌های هوش مصنوعی، تبدیل پیام صوتی به متن یا ابزارهای هوش مصنوعی را روشن می‌کنید، داده‌هایی را که آن قابلیت نیاز دارد برای یکی از ارائه‌دهندگان خدمات هوش مصنوعی ما ارسال می‌کنیم که پردازشگران فرعی در ایالات متحده هستند: پیام‌ها، تاریخچه‌ی گفتگو، پیام‌های صوتی، فایل‌های دانش و کاتالوگ محصولات، و نام و شماره‌ی مخاطب در مواردی که قابلیت از آن‌ها استفاده می‌کند.
2. ارائه‌دهندگان خدمات هوش مصنوعی ما عبارت‌اند از OpenAI، ارائه‌دهنده‌ی پیش‌فرض، که همیشه تبدیل پیام صوتی به متن و ذخیره‌سازی و جستجوی فایل‌های دانش را انجام می‌دهد؛ و Anthropic (Claude) و Google (Gemini API)، که ممکن است وظایف هوش مصنوعی را به‌جای OpenAI یا به‌عنوان پشتیبان به آن‌ها هدایت کنیم، یا نمونه‌ی محدودی از درخواست‌ها را برای مقایسه‌ی کیفیت پاسخ‌ها برایشان ارسال کنیم. پاسخ‌های مقایسه‌ای هرگز برای مشتریان شما ارسال نمی‌شوند. فهرست و سازوکارهای انتقال در صفحه‌ی پردازشگران فرعی ما آمده است.
3. طبق شرایط تجاری این ارائه‌دهندگان، هیچ‌یک از آن‌ها از داده‌هایی که از طریق API آن ارسال می‌شود برای آموزش مدل‌های خود استفاده نمی‌کند (بنگرید به شرایط تجاری OpenAI، شرایط تجاری Anthropic و شرایط تکمیلی Gemini API)، و ما برای هیچ استفاده‌ای جهت آموزش اعلام موافقت نکرده‌ایم. هر ارائه‌دهنده طبق شرایط خود یک نسخه‌ی موقت را برای پایش سوءاستفاده نگه می‌دارد و OpenAI پاسخ‌هایی را که تولید می‌کند طبق سیاست داده‌ی API خود نگه می‌دارد.
4. ما از داده‌های شخصی مشتری برای آموزش هیچ مدلی استفاده نمی‌کنیم. آنچه قابلیت «یادگیری از تاریخچه» یاد می‌گیرد، درون فضای کاری شما باقی می‌ماند.
5. این قابلیت‌ها اختیاری هستند و می‌توانید هر زمان آن‌ها را خاموش کنید. هنگامی که فضای کاری خود را حذف می‌کنید، فایل‌های ذخیره‌شده برای آن نزد OpenAI را حذف می‌کنیم.
6. در مواردی که قانون الزام می‌کند، مسئولیت اطلاع دادن به مشتریانتان درباره‌ی اینکه پاسخ‌ها ممکن است توسط هوش مصنوعی تولید شوند بر عهده‌ی شماست.

1. کارکنان پشتیبانی ما فقط برای ارائه‌ی پشتیبانی وارد فضای کاری شما می‌شوند.
2. هر ورود در گزارش امنیتی فضای کاری شما ثبت می‌شود که می‌توانید آن را بررسی کنید.
3. اگر احراز هویت دومرحله‌ای را برای فضای کاری خود فعال کنید، کارکنان ما فقط با تأیید صریح شما می‌توانند وارد آن شوند.

مسئولیت هر یک از طرفین طبق این DPA مشمول محدودیت‌های مندرج در شرایط و ضوابط است، به‌جز مسئولیتی که طبق قانون قابل محدود کردن نیست، و بدون تأثیر بر حقوق صاحبان داده طبق بندهای انتقال در پیوست‌های IV تا VI، که هیچ چیز در این DPA یا شرایط و ضوابط آن‌ها را محدود نمی‌کند.

1. این DPA تا زمانی که داده‌های شخصی مشتری را پردازش می‌کنیم اعمال می‌شود.
2. ممکن است این DPA را برای همگامی با قانون یا سرویس به‌روزرسانی کنیم. درباره‌ی هر تغییر اساسی 30 روز پیش‌تر اطلاع می‌دهیم و هیچ تغییری سطح حفاظت را در طول دوره‌ی اشتراک پولی شما کاهش نخواهد داد.
3. این DPA تابع قوانین انگلستان و ولز است و دادگاه‌های آن صلاحیت رسیدگی دارند، با این استثنا که هر مجموعه از بندهای انتقال در پیوست‌های IV تا VI تابع قانون و دادگاه‌هایی است که خود تعیین می‌کند.

در خصوص قانون حفاظت از داده‌های شخصی و آیین‌نامه‌ی اجرایی آن (ماده‌ی 17):

• هدف، دسته‌های داده و مدت پردازش در پیوست I آمده است.
• ما نقض را بدون تأخیر ناموجه و ظرف 24 ساعت به شما اطلاع می‌دهیم (بخش 7).
• قوانین خارجی‌ای که مشمول آن‌ها هستیم و تأثیر آن‌ها در بخش 12 شرح داده شده است.
• اگر قانون عربستان سعودی ما را ملزم به افشایی کند، آن را به شما اطلاع می‌دهیم.
• پردازشگران فرعی و سایر دریافت‌کنندگان در پیوست III مشخص شده‌اند و پیش از هر تغییر، همراه با حق اعتراض، به شما اطلاع می‌دهیم (بخش 6).
• درخواست‌های صاحبان داده را ظرف 48 ساعت ارسال می‌کنیم (بخش 8) و ارزیابی‌ها و حسابرسی‌ها را می‌پذیریم (بخش 11).
• بندهای انتقال: پیوست VI.

از نظر LGPD، ما در نقش «operador» عمل می‌کنیم:

• ما داده‌ها را طبق دستورالعمل‌های شما پردازش می‌کنیم (ماده‌ی 39) و سوابق عملیات پردازش را نگه می‌داریم (ماده‌ی 37).
• تدابیر امنیتی پیوست II را اعمال می‌کنیم و تعهد امنیتی ما پس از پایان پردازش نیز ادامه دارد (مواد 46 و 47).
• نقض را ظرف 24 ساعت به شما اطلاع می‌دهیم تا بتوانید ظرف سه روز کاری به ANPD و صاحبان داده اطلاع دهید (ماده‌ی 48).
• پس از پایان پردازش، داده‌ها را طبق بخش 10 حذف می‌کنیم (ماده‌ی 16).
• هیچ چیز در این DPA مسئولیت ما در قبال صاحبان داده را، در مواردی که LGPD آن را مقرر می‌کند، محدود نمی‌کند.
• بندهای انتقال: پیوست V. در صورت درخواست، خلاصه‌ای به زبان پرتغالی از انتقال بین‌المللی ارائه می‌کنیم که می‌توانید آن را برای مشتریانتان منتشر کنید.

در خصوص قانون شماره 151 سال 2020 و آیین‌نامه‌های اجرایی آن:

• شرکت وابسته ما در مصر Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) است، با شماره ثبت تجاری 223572 (اداره ثبت سرمایه‌گذاری قاهره)، به نشانی: برج 22، طبقه 3، مساکن سیدی عبدالرحیم، سیجر، طنطا 1، استان غربیه، مصر.
• پیش از اتکا به پردازش و انتقال‌های فرامرزی خود، هر مجوز یا پروانه‌ای را که قانون برای آن‌ها الزامی می‌داند اخذ می‌کنیم و یک مسئول حفاظت از داده که نزد مرکز حفاظت از داده‌های شخصی ثبت شده است منصوب می‌کنیم.
• علاوه بر اطلاع‌رسانی به شما ظرف 24 ساعت، در مواردی که قانون ما را به‌عنوان پردازشگر ملزم کند، با هماهنگی شما ظرف 72 ساعت نقض داده را به مرکز حفاظت از داده‌های شخصی اطلاع می‌دهیم.
• با همکاری شما به درخواست‌های اشخاص موضوع داده ظرف شش روز کاری پاسخ می‌دهیم.
• مسئولیت اخذ رضایت اشخاص موضوع داده در مواردی که قانون الزامی می‌داند، از جمله رضایت برای انتقال به خارج از مصر، بر عهده شماست.

این DPA شامل شرایطی است که ماده 28(3) GDPR اتحادیه اروپا و GDPR بریتانیا الزامی می‌دانند: دستورالعمل‌ها (بخش 3)، محرمانگی (بخش 4)، امنیت (بخش 5 و پیوست II)، پردازشگران فرعی (بخش 6)، همکاری در پاسخ به درخواست‌های اشخاص موضوع داده (بخش 8) و در امنیت، نقض‌ها و ارزیابی‌ها (بخش‌های 5، 7 و 9)، حذف و بازگرداندن (بخش 10)، و اطلاعات و حسابرسی‌ها (بخش 11).

بریتانیا، که ما در آن مستقر هستیم، مشمول تصمیم کفایت کمیسیون اروپا است. با این حال، پیوست IV (بندهای قراردادی استاندارد اتحادیه اروپا و الحاقیه بریتانیا) برای همه مشتریان در این توافق‌نامه گنجانده شده است و بر هر انتقال داده‌های شخصی مشتری که GDPR اتحادیه اروپا یا GDPR بریتانیا به‌گونه‌ای دیگر اجازه نمی‌دهند، از جمله انتقال‌های بعدی ما به ایالات متحده، حاکم است.

این تدابیر هم‌اکنون اجرا می‌شوند:

• رمزنگاری در حین انتقال: TLS 1.3 در لبه Cloudflare همراه با HSTS، و گواهی‌های TLS روی سرور مبدأ.
• رمزنگاری در حالت ذخیره: رمزنگاری پیش‌فرض Google Cloud با کلیدهای مدیریت‌شده توسط Google برای دیسک‌ها و مخازن ذخیره‌سازی، به‌علاوه رمزنگاری در سطح برنامه برای توکن‌های دسترسی کانال، رمزهای یکپارچه‌سازی و وب‌هوک، رمزهای احراز هویت دومرحله‌ای، پاسخ‌های نظرسنجی و سوابق رضایت.
• گذرواژه‌ها و توکن‌ها: گذرواژه‌ها با bcrypt هش می‌شوند؛ توکن‌های API به‌صورت هش ذخیره می‌شوند.
• جداسازی: یک پایگاه داده مجزا برای هر فضای کاری.
• شبکه: پایگاه‌های داده و حافظه‌های کش از اینترنت در دسترس نیستند؛ محافظت DDoS و فایروال برنامه وب Cloudflare؛ محافظت Turnstile در برابر ربات‌ها در فرم‌های عمومی.
• مقاوم‌سازی سرور: جداسازی حساب با CageFS، فایروال و اسکن بدافزار Imunify360، و وصله‌گذاری امنیتی زنده هسته (KernelCare).
• کنترل دسترسی: نقش‌ها و مجوزهای جداگانه برای هر کاربر، سازوکار ورود مجزا برای ابزارهای مدیریت داخلی، احراز هویت دومرحله‌ای در دسترس برای همه فضاهای کاری، و محدودیت IP برای ورود.
• ثبت رویدادها: گزارش امنیتی برای هر فضای کاری شامل ورودها و تلاش‌های ناموفق، تغییرات احراز هویت دومرحله‌ای و نقش‌ها، دسترسی پشتیبانی و تعویض کلید API.
• یکپارچه‌سازی‌ها: بررسی امضا روی داده‌های ورودی از Meta، Salla و Zid، و رمز امضای جداگانه برای هر وب‌هوک خروجی جدید.
• ذخیره‌سازی خصوصی: اسناد، پیوست‌های ایمیل، ضبط تماس‌ها، نسخه‌های پشتیبان و فضاهای کاری بایگانی‌شده در مخازن ذخیره‌سازی خصوصی و با جلوگیری از دسترسی عمومی نگهداری می‌شوند.
• رسانه‌های گفتگو: در فضای ذخیره‌سازی‌ای نگهداری می‌شوند که قابل مرور یا فهرست‌گیری نیست، و از طریق لینک‌های طولانی و تصادفی که حدس‌زدنشان دشوار است ارائه می‌شوند (به‌جز تصاویر پروفایل مخاطبان)؛ انتقال به لینک‌های امضاشده با زمان محدود در حال انجام است.
• نسخه‌های پشتیبان: پشتیبان‌گیری شبانه از پایگاه‌های داده فضاهای کاری پولی، آزمایشی و رایگانِ اهدایی، چرخه 10 روزه برای سایر فضاهای کاری، و پشتیبان‌گیری روزانه از پایگاه داده مرکزی حساب‌ها؛ به مدت 30 روز در فضای ذخیره‌سازی خصوصی در ایالات متحده (us-east1) نگهداری می‌شوند.
• حذف: هر مشتری می‌تواند کل فضای کاری را از پنل حذف کند، از جمله رسانه‌ها، نسخه بایگانی‌شده و فایل‌های هوش مصنوعی آن نزد OpenAI؛ حذف یک گفتگو پیام‌ها و رسانه‌های آن را پاک می‌کند.
• کمینه‌سازی داده: داده‌های ورودی پلتفرم‌ها پس از 14 روز، گزارش‌های سرور پس از 14 روز و ضبط تماس‌ها به‌طور پیش‌فرض پس از 90 روز حذف می‌شوند.
• پایش: پایش خارجی زمان فعالیت، و پایش داخلی حافظه، پایگاه‌های داده، نشست‌ها و صف‌ها با هشدارهای لحظه‌ای که در آن‌ها شماره تلفن‌ها و نشانی‌های ایمیل پوشانده می‌شوند.

فهرست فعلی پردازشگران فرعی، همراه با داده‌هایی که پردازش می‌کنند، محل استقرار آن‌ها و تضمین‌های انتقال، در صفحه پردازشگران فرعی ما منتشر شده است و جزئی از این DPA محسوب می‌شود.

بندهای قراردادی استاندارد مصوب تصمیم اجرایی کمیسیون (EU) 2021/914 به‌موجب ارجاع در این توافق‌نامه گنجانده می‌شوند:

• ماژول دو (کنترل‌کننده به پردازشگر) در مواردی که شما کنترل‌کننده هستید، و ماژول سه (پردازشگر به پردازشگر) در مواردی که شما به‌عنوان پردازشگر برای شخص دیگری عمل می‌کنید.
• بند 7 (بند الحاق): گنجانده شده است.
• بند 9(a): گزینه 2 (مجوز کتبی عمومی)، با اطلاع‌رسانی 30 روز پیش از آن.
• بند 11(a): عبارت اختیاری اعمال نمی‌شود.
• بند 13: مرجع نظارتی صالح طبق بند 13(a) و بر اساس وضعیت شما تعیین می‌شود.
• بند 17: گزینه 1، تابع قانون ایرلند. بند 18: دادگاه‌های ایرلند.
• پیوست I.A: طرفین مذکور در بخش 1 (شما به‌عنوان صادرکننده داده، ما به‌عنوان واردکننده داده). پیوست I.B: پیوست I این DPA. پیوست I.C: طبق تعیین‌شده در بند 13. پیوست II: پیوست II این DPA. پیوست III: پیوست III این DPA.

برای انتقال‌های تابع قانون بریتانیا، الحاقیه انتقال بین‌المللی داده به بندهای قراردادی استاندارد اتحادیه اروپا صادرشده توسط ICO به‌موجب ارجاع گنجانده می‌شود: جدول 1، طرفین فوق؛ جدول 2، بندهای انتخاب‌شده در بالا؛ جدول 3، پیوست‌های I تا III؛ جدول 4، هر یک از طرفین می‌تواند طبق بخش 19 الحاقیه، آن را خاتمه دهد.

برای انتقال‌های بین‌المللی داده‌های تابع LGPD، طرفین با پذیرش شرایط و ضوابط، بندهای قراردادی استاندارد مندرج در پیوست II مصوبه CD/ANPD شماره 19/2024 را به‌طور کامل و بدون هیچ تغییری می‌پذیرند. متن رسمی پرتغالی ملاک است.

• بخش I: شما صادرکننده (کنترل‌کننده) و ما واردکننده (اپراتور) هستیم؛ انتقال در پیوست I شرح داده شده است.
• بخش III (تدابیر امنیتی): پیوست II.
• بخش IV: بدون بندهای اضافی.

هیچ شرط دیگری از این DPA یا شرایط و ضوابط نمی‌تواند این بندها را مستثنا، اصلاح یا نقض کند.

برای انتقال داده‌های شخصی به خارج از پادشاهی، طرفین با پذیرش شرایط و ضوابط، بندهای قراردادی استاندارد انتقال داده‌های شخصی صادرشده توسط سازمان داده و هوش مصنوعی عربستان سعودی (SDAIA)، الگوی 2 (کنترل‌کننده به پردازشگر)، را بدون تغییر می‌پذیرند.

• طرفین: شما صادرکننده و ما واردکننده هستیم.
• ضمائم 1 تا 3 الگو: بخش 1، پیوست I و پیوست II این DPA.
• این بندها، همان‌گونه که خود مقرر می‌دارند، تابع قوانین پادشاهی عربستان سعودی هستند و دادگاه‌های آن صلاحیت رسیدگی دارند.
• ما ظرف 24 ساعت نقض داده را به شما اطلاع می‌دهیم، درخواست‌های اشخاص موضوع داده را ظرف 48 ساعت ارسال می‌کنیم و در هر حسابرسی با SDAIA همکاری می‌کنیم.
• به شما اطلاع می‌دهیم کدام پردازشگران فرعی خارج از پادشاهی به این بندها ملحق شده‌اند و کدام‌ها، پیش از آنکه برای داده‌های شما به آن‌ها اتکا کنیم، ملحق نشده‌اند.