Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Regulaminu zawartego między klientem (firmą, która wykupuje subskrypcję LetsBot, „Ty”) a BOT FOR DIGITAL SOLUTIONS LIMITED, spółką zarejestrowaną w Anglii i Walii pod numerem 15477940, z siedzibą pod adresem 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Wielka Brytania („LetsBot”, „my”, „nas”).

Akceptując Regulamin, zawierasz również niniejszą DPA, w tym klauzule dotyczące przekazywania danych włączone przez odesłanie w Załącznikach IV–VI. Mają one zastosowanie automatycznie do każdego klienta od chwili akceptacji, zanim jakiekolwiek Dane Osobowe Klienta zostaną przekazane, i nie wymagają podpisu.

Podpisane kopie i dokumenty indywidualne. Na wniosek przesłany na adres support@letsbot.net udostępnimy kopię niniejszej DPA kontrasygnowaną przez nas albo indywidualną umowę lub dokument, których potrzebuje Twoja organizacja, np. wypełniony zestaw klauzul dotyczących przekazywania danych.

Kolejność pierwszeństwa. W razie sprzeczności pierwszeństwo mają klauzule dotyczące przekazywania danych zawarte w Załącznikach IV–VI, następnie niniejsza DPA, a następnie Regulamin.

Język. Wiążąca jest angielska wersja niniejszej DPA; wersja arabska jest udostępniana wyłącznie dla wygody. W przypadku standardowych klauzul brazylijskiego ANPD wiążący jest oficjalny tekst portugalski.

• Dane Osobowe Klienta: dane osobowe, które przetwarzamy w Twoim imieniu w ramach świadczenia usługi, w tym dane Twoich kontaktów, wiadomości, multimedia i zamówienia. Szczegóły zawiera Załącznik I.
• Podprzetwarzający: każdy podmiot trzeci, któremu powierzamy przetwarzanie Danych Osobowych Klienta.
• Naruszenie Ochrony Danych Osobowych: naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia Danych Osobowych Klienta lub nieuprawnionego dostępu do nich.
• Przepisy o Ochronie Danych: przepisy mające zastosowanie do przetwarzania, w tym unijne RODO (GDPR), brytyjskie UK GDPR i Data Protection Act 2018, saudyjska ustawa o ochronie danych osobowych (PDPL) wraz z przepisami wykonawczymi, brazylijska LGPD oraz egipska ustawa nr 151 z 2020 r. wraz z przepisami wykonawczymi.
• Pojęcia „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą” i „przetwarzanie” mają znaczenie nadane im w Przepisach o Ochronie Danych. „Podmiot przetwarzający” obejmuje „operador” w rozumieniu LGPD.

1. Jesteś administratorem Danych Osobowych Klienta (lub podmiotem przetwarzającym działającym na rzecz innego administratora), a my jesteśmy podmiotem przetwarzającym.
2. Przetwarzamy Dane Osobowe Klienta wyłącznie na Twoje udokumentowane polecenie, w tym w zakresie przekazywania danych do innych państw. Twoimi poleceniami są Regulamin, niniejsza DPA, ustawienia wybrane przez Ciebie w panelu (takie jak kanały, integracje, funkcje AI i okresy przechowywania) oraz wszelkie inne uzgodnione przez nas pisemne polecenia.
3. Jeżeli przepisy prawa wymagają od nas przetwarzania Danych Osobowych Klienta w sposób inny niż zgodnie z Twoimi poleceniami, poinformujemy Cię o tym przed rozpoczęciem takiego przetwarzania, chyba że te przepisy tego zabraniają.
4. Niezwłocznie poinformujemy Cię, jeżeli uznamy, że polecenie narusza Przepisy o Ochronie Danych.
5. Odpowiadasz za zgodne z prawem zebranie danych oraz za posiadanie podstawy prawnej do wysyłania wiadomości do Twoich kontaktów, w tym wszelkich zgód wymaganych przez Meta lub przepisy prawa.
6. Nie wykorzystujemy Danych Osobowych Klienta do własnych celów, nie sprzedajemy ich i nie używamy ich do trenowania modeli AI.

Dostęp do Danych Osobowych Klienta mają wyłącznie pracownicy i współpracownicy, którzy potrzebują go do świadczenia, wspierania lub zabezpieczania usługi, i wszyscy są zobowiązani do zachowania ich w poufności.

Osoby mające dostęp do Danych Osobowych Klienta pracują głównie w Egipcie, za pośrednictwem naszego podmiotu powiązanego Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), zgodnie z naszymi poleceniami i na warunkach zapewniających ochronę nie mniejszą niż niniejsza DPA.

Stosujemy środki techniczne i organizacyjne opisane w Załączniku II, regularnie je weryfikujemy i nie obniżymy ogólnego poziomu ochrony w czasie trwania Twojej subskrypcji.

Ponadto zobowiązujemy się do:

• tworzenia szyfrowanych kopii zapasowych baz danych przestrzeni roboczych: co noc dla przestrzeni płatnych, próbnych i bezpłatnie udostępnionych oraz w 10-dniowym cyklu dla pozostałych przestrzeni roboczych, a także codziennej kopii zapasowej centralnej bazy danych kont. Kopie zapasowe są przechowywane w prywatnym magazynie, oddzielnie od serwera produkcyjnego, w Google Cloud w Stanach Zjednoczonych (us-east1), przez 30 dni, a następnie usuwane;
• przechowywania plików multimedialnych wymienianych w rozmowach w magazynie, którego nie można przeglądać ani listować, i udostępniania ich za pomocą długich, losowych, trudnych do odgadnięcia linków (z wyjątkiem zdjęć profilowych kontaktów). Każdy, kto zna dokładny link, może otworzyć plik. Przenosimy multimedia na podpisane linki o ograniczonym czasie ważności;
• rejestrowania każdego wejścia zespołu wsparcia do przestrzeni roboczej oraz każdego logowania w dzienniku bezpieczeństwa tej przestrzeni roboczej.

1. Zgoda ogólna. Upoważniasz nas do korzystania z usług podprzetwarzających wymienionych na naszej stronie podprzetwarzających (Załącznik III).
2. Uprzednie powiadomienie. Co najmniej 30 dni przed dodaniem lub zastąpieniem podprzetwarzającego powiadomimy o tym e-mailem wszystkie osoby, które zapisały się na powiadomienia, oraz zaktualizujemy tę stronę. Aby się zapisać, napisz na adres support@letsbot.net z tematem „Subprocessor updates”.
3. Sprzeciw. W okresie powiadomienia możesz wnieść pisemny sprzeciw z uzasadnionych przyczyn związanych z ochroną danych. Postaramy się rozwiązać kwestię Twojego sprzeciwu, na przykład nie korzystając z danego podprzetwarzającego w odniesieniu do Twoich danych. Jeżeli nie będzie to możliwe, możesz rozwiązać umowę w zakresie, którego to dotyczy, i otrzymać zwrot opłat uiszczonych z góry za pozostały okres.
4. Zastąpienie w sytuacji nagłej. Jeżeli musimy natychmiast zastąpić podprzetwarzającego, aby chronić bezpieczeństwo lub ciągłość usługi, poinformujemy Cię o tym tak szybko, jak to możliwe, a Ty zachowujesz to samo prawo do sprzeciwu.
5. Równoważne obowiązki. Każdego zewnętrznego podprzetwarzającego wiążemy pisemną umową nakładającą obowiązki w zakresie ochrony danych nie mniej rygorystyczne niż niniejsza DPA i pozostajemy wobec Ciebie odpowiedzialni za ich wykonanie.
6. Wybrane przez Ciebie integracje, takie jak Meta (WhatsApp, Messenger, Instagram), platformy e-commerce i systemy CRM, nie są naszymi podprzetwarzającymi. To Ty je podłączasz, a one przetwarzają dane na podstawie własnych warunków zawartych z Tobą.

1. Powiadomimy Cię o każdym Naruszeniu Ochrony Danych Osobowych dotyczącym Danych Osobowych Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od jego stwierdzenia. Jest to nasz standard we wszystkich krajach.
2. Powiadomienie wysyłamy na adres e-mail właściciela konta oraz, w miarę możliwości, w panelu. W zakresie, w jakim informacje są dostępne, opisuje ono: charakter i przyczynę naruszenia; kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów; prawdopodobne konsekwencje; środki podjęte lub proponowane w celu jego ograniczenia; a także nasz punkt kontaktowy.
3. Jeżeli nie dysponujemy od razu wszystkimi informacjami, przekażemy je etapami bez zbędnej zwłoki i będziemy Cię regularnie informować aż do zamknięcia incydentu.
4. Pomożemy Ci wypełnić Twoje własne obowiązki zgłaszania naruszeń organom i osobom, których dane dotyczą, w tym w terminach 72 godzin obowiązujących w UE, Wielkiej Brytanii i Arabii Saudyjskiej oraz w terminie trzech dni roboczych obowiązującym w Brazylii.
5. Powiadomienie nie stanowi przyznania się do winy ani odpowiedzialności.

1. Jeżeli otrzymamy od osoby, której dane dotyczą, żądanie dotyczące Danych Osobowych Klienta, przekażemy je Tobie w ciągu 48 godzin i nie udzielimy na nie odpowiedzi bez Twojego upoważnienia, poza informacją, że przekazaliśmy je dalej.
2. Panel umożliwia eksportowanie, poprawianie i usuwanie kontaktów, rozmów i wiadomości. Jeżeli te narzędzia nie wystarczą, udzielimy Ci rozsądnej pomocy.
3. Udzielając pomocy, uwzględniamy obowiązujące Cię terminy ustawowe, w tym sześć dni roboczych w Egipcie.

Przekażemy Ci informacje, których zasadnie potrzebujesz do przeprowadzenia oceny skutków dla ochrony danych, oceny ryzyka związanego z przekazywaniem danych lub uprzednich konsultacji z organem. Jeżeli przepisy wymagają od Ciebie udostępnienia nam odpowiedniej oceny skutków, przyjmiemy ją.

1. W trakcie subskrypcji możesz w dowolnym momencie wyeksportować swoje dane, usunąć dowolną pojedynczą rozmowę (co powoduje usunięcie jej wiadomości i multimediów) lub usunąć całą przestrzeń roboczą z poziomu panelu. Podanie przyczyny jest opcjonalne.
2. Po zakończeniu świadczenia usługi Twoje dane pozostają dostępne do eksportu przez 30 dni. Po usunięciu przestrzeni roboczej usuwamy Dane Osobowe Klienta z naszych systemów produkcyjnych w ciągu 30 dni, w tym multimedia, kopię archiwalną, pliki i zapisane odpowiedzi przechowywane u naszego dostawcy AI oraz wiadomości przechowywane przez naszą usługę połączenia przez kod QR. Kopie w kopiach zapasowych wygasają w ciągu kolejnych 30 dni.
3. Zachowujemy wyłącznie to, czego zachowania wymagają od nas przepisy prawa, i nadal chronimy te dane zgodnie z niniejszą DPA aż do ich usunięcia.
4. Na żądanie potwierdzimy usunięcie na piśmie.

1. Udostępnimy informacje niezbędne do wykazania, że przestrzegamy niniejszej DPA, i odpowiemy na uzasadnione kwestionariusze bezpieczeństwa.
2. Jeżeli te informacje nie wystarczą, Ty lub niezależny audytor zobowiązany do zachowania poufności możecie przeprowadzić u nas audyt raz na 12 miesięcy, z 30-dniowym wyprzedzeniem, w godzinach pracy i bez narażania danych innych klientów. Ograniczenie to nie ma zastosowania po Naruszeniu Ochrony Danych Osobowych ani wtedy, gdy audytu wymaga organ.
3. Każda ze stron ponosi własne koszty, chyba że audyt wykaże istotne naruszenie z naszej strony.
4. Na żądanie będziemy współpracować z właściwymi organami nadzorczymi, w tym z saudyjskim Urzędem ds. Danych i Sztucznej Inteligencji (SDAIA).

1. Miejsce przetwarzania danych. Dane Osobowe Klienta są hostowane w Google Cloud w Stanach Zjednoczonych (region us-east1), dostęp do nich mają zdalnie nasi pracownicy, którzy pracują głównie w Egipcie za pośrednictwem naszego podmiotu powiązanego, a przetwarzają je podprzetwarzający w lokalizacjach wskazanych na ich stronie. Wszystkie nasze serwery i kopie zapasowe znajdują się w Stanach Zjednoczonych; nie oferujemy hostingu w żadnym innym regionie.
2. Mechanizmy przekazywania. Klauzule zawarte w Załączniku IV (UE i Wielka Brytania), Załączniku V (Brazylia) i Załączniku VI (Arabia Saudyjska) stanowią część niniejszej DPA dla każdego klienta i regulują każde przekazanie danych, do którego mają zastosowanie odpowiednie przepisy.
3. Przepisy zagraniczne, którym podlegamy. Jesteśmy spółką brytyjską podlegającą prawu Wielkiej Brytanii. Dane są hostowane u dostawcy z USA, a organy USA mogą na podstawie prawa USA żądać od amerykańskich dostawców ujawnienia danych, w tym na podstawie CLOUD Act oraz Sekcji 702 ustawy Foreign Intelligence Surveillance Act. Nasz podmiot powiązany w Egipcie podlega prawu egipskiemu. Nie są nam znane przepisy, które uniemożliwiałyby nam wykonywanie niniejszej DPA, a jeśli to się zmieni, niezwłocznie Cię poinformujemy.
4. Żądania organów publicznych. Jeżeli otrzymamy od organu publicznego wiążące żądanie ujawnienia Danych Osobowych Klienta, poinformujemy Cię o tym, chyba że przepisy tego zabraniają, zwrócimy się do organu o skierowanie żądania do Ciebie, zakwestionujemy żądania niezgodne z prawem lub nadmierne i ujawnimy jedynie niezbędne minimum.

1. Gdy włączasz odpowiedzi AI, agentów AI, transkrypcję notatek głosowych lub narzędzia AI, przesyłamy dane potrzebne danej funkcji do jednego z naszych dostawców usług AI, którzy są podprzetwarzającymi w Stanach Zjednoczonych: wiadomości, historię rozmów, notatki głosowe, pliki wiedzy i katalog produktów, a także imię i numer kontaktu, jeżeli funkcja z nich korzysta.
2. Naszymi dostawcami usług AI są: OpenAI — dostawca domyślny, który zawsze obsługuje transkrypcję notatek głosowych oraz przechowywanie i przeszukiwanie plików wiedzy — a także Anthropic (Claude) i Google (Gemini API), do których możemy kierować zadania AI zamiast do OpenAI lub jako rozwiązanie zapasowe, albo przesyłać ograniczoną próbkę zapytań w celu porównania jakości odpowiedzi. Odpowiedzi porównawcze nigdy nie są wysyłane Twoim klientom. Lista dostawców i mechanizmy przekazywania danych znajdują się na naszej stronie podprzetwarzających.
3. Zgodnie z warunkami biznesowymi żaden z tych dostawców nie wykorzystuje danych przesyłanych przez jego API do trenowania swoich modeli (zob. warunki biznesowe OpenAI, Commercial Terms Anthropic oraz Gemini API Additional Terms), a my nie wyraziliśmy zgody na żadne wykorzystanie danych do trenowania. Każdy dostawca przechowuje tymczasową kopię w celu monitorowania nadużyć zgodnie ze swoimi warunkami, a OpenAI przechowuje generowane przez siebie odpowiedzi zgodnie ze swoją polityką dotyczącą danych API.
4. Nie wykorzystujemy Danych Osobowych Klienta do trenowania żadnego modelu. To, czego uczy się funkcja „ucz się z historii”, pozostaje w Twojej przestrzeni roboczej.
5. Funkcje te są opcjonalne i możesz je wyłączyć w dowolnym momencie. Po usunięciu przestrzeni roboczej usuwamy przechowywane dla niej pliki w OpenAI.
6. Odpowiadasz za informowanie swoich klientów, że odpowiedzi mogą być generowane przez AI, jeżeli wymagają tego przepisy prawa.

1. Nasz zespół wsparcia wchodzi do Twojej przestrzeni roboczej wyłącznie w celu udzielenia wsparcia.
2. Każde wejście jest rejestrowane w dzienniku bezpieczeństwa Twojej przestrzeni roboczej, który możesz przeglądać.
3. Jeżeli włączysz uwierzytelnianie dwuskładnikowe dla swojej przestrzeni roboczej, nasi pracownicy mogą do niej wejść wyłącznie za Twoją wyraźną zgodą.

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom określonym w Regulaminie, z wyjątkiem odpowiedzialności, której nie można ograniczyć z mocy prawa, i bez uszczerbku dla praw osób, których dane dotyczą, wynikających z klauzul dotyczących przekazywania danych zawartych w Załącznikach IV–VI, których żadne postanowienie niniejszej DPA ani Regulaminu nie ogranicza.

1. Niniejsza DPA obowiązuje tak długo, jak przetwarzamy Dane Osobowe Klienta.
2. Możemy aktualizować niniejszą DPA, aby nadążać za zmianami przepisów lub usługi. O każdej istotnej zmianie powiadomimy z 30-dniowym wyprzedzeniem, a żadna zmiana nie obniży poziomu ochrony w okresie Twojej płatnej subskrypcji.
3. Niniejsza DPA podlega prawu Anglii i Walii, a jurysdykcję mają sądy Anglii i Walii, z tym że każdy zestaw klauzul dotyczących przekazywania danych zawarty w Załącznikach IV–VI podlega prawu i sądom w nim wskazanym.

Na potrzeby ustawy o ochronie danych osobowych (PDPL) i jej rozporządzenia wykonawczego (art. 17):

• Cel, kategorie danych i czas trwania przetwarzania określa Załącznik I.
• Powiadamiamy Cię o naruszeniu bez zbędnej zwłoki i w ciągu 24 godzin (sekcja 7).
• Przepisy zagraniczne, którym podlegamy, i ich wpływ opisano w sekcji 12.
• Jeżeli prawo saudyjskie zobowiąże nas do ujawnienia danych, powiadomimy Cię o tym.
• Podprzetwarzający i inni odbiorcy są wskazani w Załączniku III, a o każdej zmianie powiadamiamy Cię z wyprzedzeniem, z prawem do sprzeciwu (sekcja 6).
• Żądania osób, których dane dotyczą, przekazujemy w ciągu 48 godzin (sekcja 8) i akceptujemy oceny oraz audyty (sekcja 11).
• Klauzule dotyczące przekazywania danych: Załącznik VI.

Na potrzeby LGPD działamy jako „operador”:

• Przetwarzamy dane zgodnie z Twoimi poleceniami (art. 39) i prowadzimy rejestr operacji przetwarzania (art. 37).
• Stosujemy środki bezpieczeństwa opisane w Załączniku II, a nasz obowiązek zapewnienia bezpieczeństwa trwa również po zakończeniu przetwarzania (art. 46 i 47).
• Powiadamiamy Cię o naruszeniu w ciągu 24 godzin, abyś mógł zgłosić je ANPD i osobom, których dane dotyczą, w ciągu trzech dni roboczych (art. 48).
• Usuwamy dane po zakończeniu przetwarzania zgodnie z sekcją 10 (art. 16).
• Żadne postanowienie niniejszej DPA nie ogranicza naszej odpowiedzialności wobec osób, których dane dotyczą, jeżeli nakłada ją LGPD.
• Klauzule dotyczące przekazywania danych: Załącznik V. Na żądanie udostępniamy portugalskie streszczenie informacji o międzynarodowym przekazywaniu danych, które możesz opublikować dla swoich klientów.

W zakresie ustawy nr 151 z 2020 r. i jej przepisów wykonawczych:

• Naszym podmiotem powiązanym w Egipcie jest Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), numer w rejestrze handlowym 223572 (biuro rejestrowe Cairo Investment), Tower 22, 3. piętro, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egipt.
• Przed podjęciem przetwarzania i transferów transgranicznych uzyskujemy każdą licencję lub zezwolenie wymagane przez prawo oraz wyznaczamy inspektora ochrony danych zarejestrowanego w Personal Data Protection Center.
• Oprócz powiadomienia Ciebie w ciągu 24 godzin, powiadamiamy Personal Data Protection Center o naruszeniu w ciągu 72 godzin, jeżeli prawo nakłada na nas ten obowiązek jako na podmiot przetwarzający, w porozumieniu z Tobą.
• Współpracujemy z Tobą, aby odpowiadać na żądania osób, których dane dotyczą, w ciągu sześciu dni roboczych.
• Odpowiadasz za uzyskanie zgody osób, których dane dotyczą, jeżeli wymaga tego prawo, w tym zgody na przekazywanie danych poza Egipt.

Niniejsza umowa DPA zawiera postanowienia wymagane przez art. 28 ust. 3 unijnego RODO (GDPR) i brytyjskiego UK GDPR: polecenia (sekcja 3), poufność (sekcja 4), bezpieczeństwo (sekcja 5 i Załącznik II), podmioty podprzetwarzające (sekcja 6), pomoc w obsłudze żądań osób, których dane dotyczą (sekcja 8), oraz w zakresie bezpieczeństwa, naruszeń i ocen (sekcje 5, 7 i 9), usunięcie i zwrot danych (sekcja 10) oraz informacje i audyty (sekcja 11).

Wielka Brytania, w której mamy siedzibę, jest objęta decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony. Mimo to Załącznik IV (standardowe klauzule umowne UE i brytyjski aneks) jest włączony do umowy z każdym klientem i reguluje każde przekazanie Danych Osobowych Klienta, na które unijne RODO lub UK GDPR nie zezwala w inny sposób, w tym nasze dalsze przekazywanie danych do Stanów Zjednoczonych.

Obecnie stosujemy następujące środki:

• Szyfrowanie w transmisji: TLS 1.3 na brzegu sieci Cloudflare z HSTS oraz certyfikaty TLS na serwerze źródłowym.
• Szyfrowanie danych w spoczynku: domyślne szyfrowanie Google Cloud z kluczami zarządzanymi przez Google dla dysków i zasobników pamięci, a także szyfrowanie na poziomie aplikacji tokenów dostępu do kanałów, sekretów integracji i webhooków, sekretów uwierzytelniania dwuskładnikowego, odpowiedzi w ankietach i rejestrów zgód.
• Hasła i tokeny: hasła haszowane algorytmem bcrypt; tokeny API przechowywane jako skróty (hasze).
• Izolacja: osobna baza danych dla każdej przestrzeni roboczej.
• Sieć: bazy danych i pamięci podręczne nie są dostępne z internetu; ochrona przed atakami DDoS i zapora aplikacji internetowych Cloudflare; ochrona przed botami Turnstile w formularzach publicznych.
• Utwardzanie serwerów: izolacja kont CageFS, zapora i skanowanie złośliwego oprogramowania Imunify360 oraz aktualizacje bezpieczeństwa jądra na żywo (KernelCare).
• Kontrola dostępu: role i uprawnienia dla poszczególnych użytkowników, oddzielne zabezpieczenie logowania do wewnętrznych narzędzi administracyjnych, uwierzytelnianie dwuskładnikowe dostępne dla każdej przestrzeni roboczej oraz ograniczenia logowania według adresu IP.
• Rejestrowanie zdarzeń: dziennik bezpieczeństwa każdej przestrzeni roboczej obejmujący logowania i nieudane próby, zmiany uwierzytelniania dwuskładnikowego i ról, dostęp zespołu wsparcia oraz rotację kluczy API.
• Integracje: weryfikacja podpisów danych przychodzących od Meta, Salla i Zid oraz osobny sekret podpisujący dla każdego nowego webhooka wychodzącego.
• Prywatna pamięć: dokumenty, załączniki e-mail, nagrania rozmów, kopie zapasowe i zarchiwizowane przestrzenie robocze są przechowywane w prywatnych zasobnikach z zablokowanym dostępem publicznym.
• Multimedia z rozmów: przechowywane w pamięci, której nie można przeglądać ani listować, i udostępniane przez długie, losowe, trudne do odgadnięcia linki (z wyjątkiem zdjęć profilowych kontaktów); trwa przejście na podpisane linki ważne przez ograniczony czas.
• Kopie zapasowe: conocne kopie zapasowe baz danych płatnych, próbnych i bezpłatnie udostępnionych przestrzeni roboczych, 10-dniowa rotacja dla pozostałych przestrzeni roboczych oraz codzienna kopia zapasowa centralnej bazy danych kont; przechowywane przez 30 dni w prywatnej pamięci w Stanach Zjednoczonych (us-east1).
• Usuwanie: każdy klient może usunąć całą przestrzeń roboczą z panelu, w tym jej multimedia, kopię archiwalną i pliki AI w OpenAI; usunięcie rozmowy kasuje jej wiadomości i multimedia.
• Minimalizacja danych: przychodzące dane z platform usuwane po 14 dniach, logi serwera po 14 dniach, a nagrania rozmów domyślnie po 90 dniach.
• Monitorowanie: zewnętrzne monitorowanie dostępności oraz wewnętrzne monitorowanie pamięci, baz danych, sesji i kolejek z alertami w czasie rzeczywistym, w których numery telefonów i adresy e-mail są maskowane.

Aktualna lista podmiotów podprzetwarzających wraz z przetwarzanymi przez nie danymi, ich lokalizacją i zabezpieczeniami transferów jest opublikowana na naszej stronie podmiotów podprzetwarzających i stanowi część niniejszej umowy DPA.

Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 są włączone przez odesłanie:

• Moduł drugi (od administratora do podmiotu przetwarzającego), gdy jesteś administratorem, oraz Moduł trzeci (od podmiotu przetwarzającego do podmiotu przetwarzającego), gdy działasz jako podmiot przetwarzający na rzecz innej osoby.
• Klauzula 7 (klauzula przystąpienia): ma zastosowanie.
• Klauzula 9 lit. a): Opcja 2 (ogólne pisemne upoważnienie), z 30-dniowym wyprzedzeniem powiadomienia.
• Klauzula 11 lit. a): fakultatywne sformułowanie nie ma zastosowania.
• Klauzula 13: właściwy organ nadzorczy ustala się zgodnie z klauzulą 13 lit. a) w zależności od Twojej sytuacji.
• Klauzula 17: Opcja 1, prawem właściwym jest prawo Irlandii. Klauzula 18: sądy Irlandii.
• Załącznik I.A: strony wskazane w sekcji 1 (Ty jako podmiot eksportujący dane, my jako podmiot importujący dane). Załącznik I.B: Załącznik I do niniejszej umowy DPA. Załącznik I.C: zgodnie z ustaleniem na podstawie klauzuli 13. Załącznik II: Załącznik II do niniejszej umowy DPA. Załącznik III: Załącznik III do niniejszej umowy DPA.

W przypadku transferów podlegających prawu brytyjskiemu włącza się przez odesłanie Międzynarodowy aneks dotyczący przekazywania danych do standardowych klauzul umownych UE wydany przez ICO: Tabela 1 – strony wskazane powyżej; Tabela 2 – klauzule wybrane powyżej; Tabela 3 – Załączniki I–III; Tabela 4 – każda ze stron może rozwiązać Aneks w sposób określony w jego sekcji 19.

W przypadku międzynarodowego przekazywania danych podlegającego LGPD, akceptując Regulamin, strony przyjmują standardowe klauzule umowne zawarte w Załączniku II do Uchwały CD/ANPD nr 19/2024 w całości i bez jakichkolwiek zmian. Wiążący jest oficjalny tekst portugalski.

• Sekcja I: Ty jesteś podmiotem eksportującym (administratorem), a my podmiotem importującym (operatorem); transfer opisano w Załączniku I.
• Sekcja III (środki bezpieczeństwa): Załącznik II.
• Sekcja IV: brak dodatkowych klauzul.

Żadne inne postanowienie niniejszej umowy DPA ani Regulaminu nie może wyłączać, zmieniać tych klauzul ani być z nimi sprzeczne.

W przypadku przekazywania danych osobowych poza Królestwo, akceptując Regulamin, strony przyjmują bez zmian Standardowe klauzule umowne dotyczące przekazywania danych osobowych wydane przez Saudyjski Urząd ds. Danych i Sztucznej Inteligencji (SDAIA), Wzór 2 (od administratora do podmiotu przetwarzającego).

• Strony: Ty jesteś podmiotem eksportującym, a my podmiotem importującym.
• Dodatki 1–3 do wzoru: sekcja 1, Załącznik I i Załącznik II do niniejszej umowy DPA.
• Klauzule te podlegają prawu Królestwa Arabii Saudyjskiej, a jurysdykcję mają jego sądy, zgodnie z treścią klauzul.
• Powiadamiamy Cię o naruszeniu w ciągu 24 godzin, przekazujemy żądania osób, których dane dotyczą, w ciągu 48 godzin i współpracujemy z SDAIA przy każdym audycie.
• Informujemy Cię, które podmioty podprzetwarzające spoza Królestwa przystąpiły do tych klauzul, a które nie – zanim powierzymy im Twoje dane.