Acord privind prelucrarea datelor

Prezentul Acord privind prelucrarea datelor („DPA”) face parte din Termenii și condițiile încheiate între client (afacerea care se abonează la LetsBot, „dumneavoastră”) și BOT FOR DIGITAL SOLUTIONS LIMITED, societate înregistrată în Anglia și Țara Galilor sub numărul 15477940, cu sediul la 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Regatul Unit („LetsBot”, „noi”, „nouă”).

Prin acceptarea Termenilor și condițiilor încheiați și prezentul DPA, inclusiv clauzele de transfer încorporate prin trimitere în Anexele IV-VI. Acestea se aplică automat fiecărui client de la acceptare, înainte de transferul oricăror Date cu caracter personal ale clientului, fără a fi necesară vreo semnătură.

Copii semnate și documente personalizate. La cerere, la support@letsbot.net, vă vom furniza o copie a prezentului DPA contrasemnată de noi sau un acord ori document personalizat de care are nevoie organizația dumneavoastră, cum ar fi un set completat de clauze de transfer.

Ordinea de prioritate. În caz de conflict, prevalează clauzele de transfer din Anexele IV-VI, apoi prezentul DPA, apoi Termenii și condițiile.

Limba. Versiunea în limba engleză a prezentului DPA prevalează; versiunea în limba arabă este furnizată cu titlu informativ. Pentru clauzele standard ale ANPD din Brazilia, prevalează textul oficial în limba portugheză.

• Date cu caracter personal ale clientului: datele cu caracter personal pe care le prelucrăm în numele dumneavoastră în cadrul furnizării serviciului, inclusiv datele contactelor dumneavoastră, mesajele, fișierele media și comenzile. Detaliile se află în Anexa I.
• Subprocesator: orice terț pe care îl angajăm pentru a prelucra Date cu caracter personal ale clientului.
• Încălcare a securității datelor cu caracter personal: o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a Datelor cu caracter personal ale clientului sau la accesul neautorizat la acestea.
• Legislația privind protecția datelor: legile aplicabile prelucrării, inclusiv GDPR al UE, GDPR al Regatului Unit și Data Protection Act 2018, Legea privind protecția datelor cu caracter personal din Arabia Saudită și regulamentele sale de aplicare, LGPD din Brazilia, precum și Legea nr. 151 din 2020 a Egiptului și Regulamentul său de aplicare.
• „Operator”, „persoană împuternicită de operator”, „persoană vizată” și „prelucrare” au înțelesurile din Legislația privind protecția datelor. „Persoana împuternicită de operator” include un „operador” în sensul LGPD.

1. Dumneavoastră sunteți operatorul Datelor cu caracter personal ale clientului (sau o persoană împuternicită care acționează pentru un alt operator), iar noi suntem persoana împuternicită de operator.
2. Prelucrăm Datele cu caracter personal ale clientului numai pe baza instrucțiunilor dumneavoastră documentate, inclusiv în ceea ce privește transferurile către alte țări. Instrucțiunile dumneavoastră sunt Termenii și condițiile, prezentul DPA, setările pe care le alegeți în panou (precum canalele, integrările, funcțiile AI și perioadele de păstrare) și orice alte instrucțiuni scrise convenite de noi.
3. Dacă o lege ne obligă să prelucrăm Date cu caracter personal ale clientului în alt mod decât conform instrucțiunilor dumneavoastră, vă vom informa înainte de a face acest lucru, cu excepția cazului în care legea respectivă interzice acest lucru.
4. Vă vom informa imediat dacă considerăm că o instrucțiune încalcă Legislația privind protecția datelor.
5. Sunteți responsabil pentru colectarea legală a datelor și pentru existența unui temei legal pentru a trimite mesaje contactelor dumneavoastră, inclusiv orice consimțământ cerut de Meta sau de lege.
6. Nu folosim Datele cu caracter personal ale clientului în scopuri proprii, nu le vindem și nu le folosim pentru antrenarea modelelor AI.

Doar angajații și colaboratorii care au nevoie de acces pentru a furniza, susține sau securiza serviciul pot accesa Datele cu caracter personal ale clientului și toți sunt obligați să le păstreze confidențialitatea.

Persoanele care au acces la Datele cu caracter personal ale clientului lucrează în principal în Egipt, prin afiliatul nostru Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), conform instrucțiunilor noastre și în condiții care nu oferă o protecție mai redusă decât prezentul DPA.

Aplicăm măsurile tehnice și organizatorice din Anexa II, le revizuim periodic și nu vom reduce nivelul general de protecție pe durata abonamentului dumneavoastră.

În plus, ne angajăm la:

• copii de rezervă criptate ale bazelor de date ale spațiilor de lucru: în fiecare noapte pentru spațiile de lucru plătite, în perioadă de probă și gratuite oferite de noi, și prin rotație la 10 zile pentru celelalte spații de lucru, plus o copie de rezervă zilnică a bazei de date centrale a conturilor. Copiile de rezervă sunt păstrate în spațiu de stocare privat, separat de serverul de producție, pe Google Cloud în Statele Unite (us-east1), timp de 30 de zile, după care sunt șterse;
• fișierele media schimbate în conversații sunt păstrate într-un spațiu de stocare care nu poate fi răsfoit sau listat și sunt servite prin linkuri lungi, aleatorii, greu de ghicit (cu excepția fotografiilor de profil ale contactelor). Oricine are linkul exact poate deschide fișierul. Migrăm fișierele media către linkuri semnate, cu valabilitate limitată în timp;
• înregistrarea fiecărei accesări de suport într-un spațiu de lucru și a fiecărei autentificări în jurnalul de securitate al spațiului de lucru respectiv.

1. Autorizare generală. Ne autorizați să angajăm subprocesatorii enumerați pe pagina subprocesatorilor (Anexa III).
2. Notificare prealabilă. Vă vom notifica cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subprocesator, prin e-mail către toți cei care s-au abonat și prin actualizarea paginii. Pentru abonare, scrieți la support@letsbot.net cu subiectul „Subprocessor updates”.
3. Obiecție. Puteți formula o obiecție în scris în perioada de notificare, din motive rezonabile legate de protecția datelor. Vom încerca să soluționăm obiecția, de exemplu prin a nu folosi subprocesatorul respectiv pentru datele dumneavoastră. Dacă nu putem, puteți rezilia partea afectată a serviciului și primi rambursarea oricăror taxe plătite în avans pentru perioada rămasă.
4. Înlocuire de urgență. Dacă trebuie să înlocuim imediat un subprocesator pentru a proteja securitatea sau continuitatea serviciului, vă vom informa cât mai curând posibil, iar dumneavoastră păstrați același drept de obiecție.
5. Obligații echivalente. Obligăm fiecare subprocesator terț printr-un contract scris care conține obligații de protecție a datelor nu mai puțin protectoare decât prezentul DPA și rămânem răspunzători față de dumneavoastră pentru îndeplinirea acestora.
6. Integrările pe care le alegeți, precum Meta (WhatsApp, Messenger, Instagram), platformele de comerț electronic și sistemele CRM, nu sunt subprocesatorii noștri. Dumneavoastră le conectați, iar acestea prelucrează datele conform propriilor termeni convenite cu dumneavoastră.

1. Vă vom notifica orice Încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale clientului fără întârzieri nejustificate și, în orice caz, în termen de 24 de ore de la momentul în care luăm cunoștință de aceasta. Acesta este standardul nostru în toate țările.
2. Trimitem notificarea la adresa de e-mail a proprietarului contului și, acolo unde este posibil, în panou. În măsura în care informațiile sunt disponibile, notificarea descrie: natura și cauza încălcării; categoriile și numărul aproximativ de persoane vizate și de înregistrări; consecințele probabile; măsurile luate sau propuse pentru limitarea acesteia; și punctul nostru de contact.
3. Dacă nu dispunem de toate informațiile deodată, le vom furniza în etape, fără întârzieri nejustificate, și vă vom ține la curent periodic până la închiderea incidentului.
4. Vă vom ajuta să vă îndepliniți propriile obligații de notificare a autorităților și a persoanelor vizate, inclusiv termenele de 72 de ore din UE, Regatul Unit și Arabia Saudită și termenul de trei zile lucrătoare din Brazilia.
5. O notificare nu reprezintă o recunoaștere a vinovăției sau a răspunderii.

1. Dacă primim o solicitare de la o persoană vizată privind Datele cu caracter personal ale clientului, v-o vom transmite în termen de 48 de ore și nu vom răspunde la ea fără autorizarea dumneavoastră, cu excepția precizării că am transmis-o mai departe.
2. Panoul vă permite să exportați, să corectați și să ștergeți contacte, conversații și mesaje. Acolo unde aceste instrumente nu sunt suficiente, vă vom acorda asistență rezonabilă.
3. Asistența noastră ține seama de termenele legale care vi se aplică, inclusiv de cele șase zile lucrătoare din Egipt.

Vă vom furniza informațiile de care aveți în mod rezonabil nevoie pentru a efectua o evaluare a impactului asupra protecției datelor, o evaluare a riscurilor transferului sau o consultare prealabilă cu o autoritate. Acolo unde legea vă obligă să ne transmiteți evaluarea de impact relevantă, o vom primi.

1. Pe durata abonamentului puteți, în orice moment, să vă exportați datele, să ștergeți orice conversație individuală (ceea ce îi șterge mesajele și fișierele media) sau să ștergeți întregul spațiu de lucru din panou. Indicarea unui motiv este opțională.
2. La încetarea serviciului, datele dumneavoastră rămân disponibile pentru export timp de 30 de zile. Când un spațiu de lucru este șters, ștergem Datele cu caracter personal ale clientului din sistemele noastre active în termen de 30 de zile, inclusiv fișierele media, copia arhivată, fișierele și răspunsurile stocate la furnizorul nostru de AI, precum și mesajele păstrate de serviciul nostru de conectare prin cod QR. Copiile din backupuri expiră în termen de încă 30 de zile.
3. Păstrăm doar ceea ce legea ne obligă să păstrăm și continuăm să protejăm aceste date conform prezentului DPA până la ștergerea lor.
4. La cerere, vom confirma ștergerea în scris.

1. Vom pune la dispoziție informațiile necesare pentru a demonstra conformitatea noastră cu prezentul DPA și vom răspunde la chestionare de securitate rezonabile.
2. Dacă aceste informații nu sunt suficiente, dumneavoastră sau un auditor independent obligat la confidențialitate ne puteți audita o dată la 12 luni, cu o notificare prealabilă de 30 de zile, în timpul programului de lucru și fără a pune în pericol datele altor clienți. Această limită nu se aplică după o Încălcare a securității datelor cu caracter personal sau atunci când auditul este cerut de o autoritate.
3. Fiecare parte își suportă propriile costuri, cu excepția cazului în care auditul relevă o încălcare semnificativă din partea noastră.
4. Vom coopera cu autoritățile de supraveghere competente, inclusiv cu Autoritatea Saudită pentru Date și Inteligență Artificială (SDAIA), la solicitarea acestora.

1. Unde sunt prelucrate datele. Datele cu caracter personal ale clientului sunt găzduite pe Google Cloud în Statele Unite (regiunea us-east1), sunt accesate de la distanță de personalul nostru, care lucrează în principal în Egipt prin afiliatul nostru, și sunt prelucrate de subprocesatori în locațiile indicate pe pagina acestora. Toate serverele și copiile noastre de rezervă se află în Statele Unite; nu oferim găzduire în nicio altă regiune.
2. Mecanisme de transfer. Clauzele din Anexa IV (UE și Regatul Unit), Anexa V (Brazilia) și Anexa VI (Arabia Saudită) fac parte din prezentul DPA pentru fiecare client și reglementează fiecare transfer căruia i se aplică legea corespunzătoare.
3. Legi străine cărora le suntem supuși. Suntem o societate din Regatul Unit, supusă legislației Regatului Unit. Datele sunt găzduite la un furnizor din SUA, iar autoritățile din SUA pot obliga furnizorii din SUA să divulge date în temeiul legislației SUA, inclusiv al CLOUD Act și al Secțiunii 702 din Foreign Intelligence Surveillance Act. Afiliatul nostru din Egipt este supus legislației egiptene. Nu avem cunoștință ca vreuna dintre aceste legi să ne împiedice să respectăm prezentul DPA și vă vom informa cu promptitudine dacă acest lucru se schimbă.
4. Solicitări din partea autorităților publice. Dacă primim o solicitare obligatorie din partea unei autorități publice de a divulga Date cu caracter personal ale clientului, vă vom informa, cu excepția cazului în care legea interzice acest lucru, vom cere autorității să se adreseze dumneavoastră, vom contesta solicitările ilegale sau excesive și vom divulga doar minimul necesar.

1. Când activați răspunsurile AI, agenții AI, transcrierea mesajelor vocale sau instrumentele AI, trimitem datele de care funcția are nevoie către unul dintre furnizorii noștri de servicii AI, care sunt subprocesatori în Statele Unite: mesajele, istoricul conversației, mesajele vocale, fișierele de cunoștințe și catalogul de produse, precum și numele și numărul contactului, acolo unde funcția le folosește.
2. Furnizorii noștri de servicii AI sunt OpenAI, furnizorul implicit, care se ocupă întotdeauna de transcrierea mesajelor vocale și de stocarea și căutarea în fișierele de cunoștințe; și Anthropic (Claude) și Google (Gemini API), către care putem direcționa sarcini AI în locul OpenAI sau ca soluție de rezervă, ori le putem trimite un eșantion limitat de solicitări pentru a compara calitatea răspunsurilor. Răspunsurile de comparație nu sunt trimise niciodată clienților dumneavoastră. Lista și mecanismele de transfer se află pe pagina subprocesatorilor.
3. Conform termenilor lor comerciali, niciunul dintre acești furnizori nu folosește datele trimise prin API-ul său pentru a-și antrena modelele (consultați termenii comerciali OpenAI, Termenii comerciali Anthropic și Termenii suplimentari Gemini API), iar noi nu am optat pentru nicio utilizare în scop de antrenare. Fiecare furnizor păstrează o copie temporară pentru monitorizarea abuzurilor, conform termenilor săi, iar OpenAI păstrează răspunsurile pe care le generează conform politicii sale privind datele API.
4. Nu folosim Datele cu caracter personal ale clientului pentru a antrena niciun model. Ceea ce învață funcția „învățare din istoric” rămâne în spațiul dumneavoastră de lucru.
5. Aceste funcții sunt opționale și le puteți dezactiva oricând. Când vă ștergeți spațiul de lucru, ștergem fișierele stocate pentru acesta la OpenAI.
6. Sunteți responsabil să le comunicați clienților dumneavoastră că răspunsurile pot fi generate de AI, acolo unde legea impune acest lucru.

1. Personalul nostru de suport intră în spațiul dumneavoastră de lucru numai pentru a oferi asistență.
2. Fiecare accesare este înregistrată în jurnalul de securitate al spațiului dumneavoastră de lucru, pe care îl puteți consulta.
3. Dacă activați autentificarea în doi pași pentru spațiul de lucru, personalul nostru îl poate accesa numai cu aprobarea dumneavoastră explicită.

Răspunderea fiecărei părți în temeiul prezentului DPA este supusă limitărilor din Termenii și condițiile, cu excepția răspunderii care nu poate fi limitată prin lege și fără a aduce atingere drepturilor persoanelor vizate în temeiul clauzelor de transfer din Anexele IV-VI, pe care nicio prevedere a prezentului DPA sau a Termenilor și condițiilor nu le limitează.

1. Prezentul DPA se aplică atât timp cât prelucrăm Date cu caracter personal ale clientului.
2. Putem actualiza prezentul DPA pentru a ține pasul cu legislația sau cu serviciul. Vom notifica orice modificare semnificativă cu 30 de zile înainte, iar nicio modificare nu va reduce nivelul de protecție pe durata abonamentului dumneavoastră plătit.
3. Prezentul DPA este guvernat de legile Angliei și Țării Galilor, iar instanțele acestora sunt competente, cu excepția faptului că fiecare set de clauze de transfer din Anexele IV-VI este guvernat de legea și instanțele pe care le specifică.

În scopul Legii privind protecția datelor cu caracter personal și al Regulamentului său de punere în aplicare (Articolul 17):

• Scopul, categoriile de date și durata prelucrării sunt prevăzute în Anexa I.
• Vă notificăm o încălcare fără întârzieri nejustificate și în termen de 24 de ore (secțiunea 7).
• Legile străine cărora le suntem supuși și impactul acestora sunt descrise în secțiunea 12.
• Dacă legislația saudită ne obligă să facem o divulgare, vă vom notifica în acest sens.
• Subprocesatorii și ceilalți destinatari sunt identificați în Anexa III și vă notificăm înainte de orice modificare, cu drept de obiecție (secțiunea 6).
• Transmitem solicitările persoanelor vizate în termen de 48 de ore (secțiunea 8) și acceptăm evaluări și audituri (secțiunea 11).
• Clauze de transfer: Anexa VI.

În sensul LGPD, acționăm ca „operador”:

• Prelucrăm datele conform instrucțiunilor dumneavoastră (Articolul 39) și ținem o evidență a operațiunilor de prelucrare (Articolul 37).
• Aplicăm măsurile de securitate din Anexa II, iar obligația noastră de securitate continuă și după încheierea prelucrării (Articolele 46 și 47).
• Vă notificăm o încălcare în termen de 24 de ore, astfel încât să puteți notifica ANPD și persoanele vizate în termen de trei zile lucrătoare (Articolul 48).
• Ștergem datele la încheierea prelucrării, conform secțiunii 10 (Articolul 16).
• Nicio prevedere a prezentului DPA nu limitează răspunderea noastră față de persoanele vizate acolo unde LGPD o impune.
• Clauze de transfer: Anexa V. La cerere, furnizăm un rezumat în limba portugheză al transferului internațional, pe care îl puteți publica pentru clienții dumneavoastră.

În sensul Legii nr. 151 din 2020 și al Regulamentului său de aplicare:

• Afiliatul nostru din Egipt este Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), număr de înregistrare în registrul comerțului 223572 (oficiul registrului Cairo Investment), Tower 22, etajul 3, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egipt.
• Obținem orice licență sau autorizație cerută de lege pentru prelucrarea noastră și pentru transferurile transfrontaliere înainte de a ne baza pe acestea și numim un responsabil cu protecția datelor înregistrat la Centrul pentru Protecția Datelor cu Caracter Personal.
• Pe lângă notificarea dumneavoastră în termen de 24 de ore, notificăm Centrului pentru Protecția Datelor cu Caracter Personal o încălcare a securității datelor în termen de 72 de ore, atunci când legea ne impune acest lucru în calitate de persoană împuternicită, în coordonare cu dumneavoastră.
• Colaborăm cu dumneavoastră pentru a răspunde cererilor persoanelor vizate în termen de șase zile lucrătoare.
• Sunteți responsabil pentru obținerea consimțământului persoanelor vizate atunci când legea îl impune, inclusiv a consimțământului pentru transferurile în afara Egiptului.

Prezentul DPA conține clauzele impuse de articolul 28 alineatul (3) din GDPR al UE și din GDPR al Regatului Unit: instrucțiunile (secțiunea 3), confidențialitatea (secțiunea 4), securitatea (secțiunea 5 și Anexa II), subprocesatorii (secțiunea 6), asistența privind cererile persoanelor vizate (secțiunea 8) și privind securitatea, încălcările de securitate și evaluările (secțiunile 5, 7 și 9), ștergerea și returnarea datelor (secțiunea 10), precum și informațiile și auditurile (secțiunea 11).

Regatul Unit, unde suntem stabiliți, beneficiază de o decizie privind caracterul adecvat adoptată de Comisia Europeană. Cu toate acestea, Anexa IV (Clauzele contractuale standard ale UE și Addendumul pentru Regatul Unit) este încorporată pentru fiecare client și reglementează orice transfer de Date cu caracter personal ale clientului pe care GDPR al UE sau GDPR al Regatului Unit nu îl permite în alt mod, inclusiv transferurile noastre ulterioare către Statele Unite.

Următoarele măsuri sunt deja în vigoare:

• Criptare în tranzit: TLS 1.3 la nivelul rețelei Cloudflare, cu HSTS, și certificate TLS pe serverul de origine.
• Criptare în repaus: criptarea implicită Google Cloud, cu chei gestionate de Google, pentru discuri și bucket-uri de stocare, plus criptare la nivelul aplicației pentru tokenurile de acces ale canalelor, secretele integrărilor și ale webhookurilor, secretele de autentificare în doi pași, răspunsurile la sondaje și evidențele privind consimțământul.
• Parole și tokenuri: parolele sunt stocate ca hash bcrypt; tokenurile API sunt stocate ca hash-uri.
• Izolare: o bază de date separată pentru fiecare spațiu de lucru.
• Rețea: bazele de date și memoriile cache nu sunt accesibile din internet; protecție Cloudflare împotriva atacurilor DDoS și firewall pentru aplicații web; protecție anti-bot Turnstile pe formularele publice.
• Securizarea serverelor: izolarea conturilor cu CageFS, firewall și scanare malware Imunify360 și aplicarea în timp real a patch-urilor de securitate pentru kernel (KernelCare).
• Controlul accesului: roluri și permisiuni pentru fiecare utilizator, un mecanism separat de autentificare pentru instrumentele interne de administrare, autentificare în doi pași disponibilă pentru fiecare spațiu de lucru și restricții de autentificare în funcție de IP.
• Jurnalizare: un jurnal de securitate pentru fiecare spațiu de lucru, care acoperă autentificările și încercările eșuate, modificările autentificării în doi pași și ale rolurilor, accesul echipei de asistență și rotirea cheilor API.
• Integrări: verificarea semnăturii pentru datele primite de la Meta, Salla și Zid și un secret de semnare separat pentru fiecare webhook de ieșire nou.
• Stocare privată: documentele, atașamentele de e-mail, înregistrările apelurilor, copiile de rezervă și spațiile de lucru arhivate sunt păstrate în bucket-uri de stocare private, cu accesul public blocat.
• Fișierele media din conversații: sunt păstrate într-un spațiu de stocare care nu poate fi răsfoit sau listat și sunt servite prin linkuri lungi, aleatorii, greu de ghicit (cu excepția fotografiilor de profil ale contactelor); trecerea la linkuri semnate, cu valabilitate limitată, este în curs.
• Copii de rezervă: copii de rezervă zilnice (pe timp de noapte) ale bazelor de date ale spațiilor de lucru plătite, în perioadă de probă și gratuite, o rotație la 10 zile pentru celelalte spații de lucru și o copie de rezervă zilnică a bazei de date centrale a conturilor; sunt păstrate 30 de zile în stocare privată în Statele Unite (us-east1).
• Ștergere: fiecare client poate șterge întregul spațiu de lucru din panou, inclusiv fișierele media, copia arhivată și fișierele AI de la OpenAI; ștergerea unei conversații elimină mesajele și fișierele media ale acesteia.
• Minimizarea datelor: datele primite de la platforme sunt șterse după 14 zile, jurnalele serverului după 14 zile, iar înregistrările apelurilor după 90 de zile, în mod implicit.
• Monitorizare: monitorizare externă a disponibilității și monitorizare internă a memoriei, bazelor de date, sesiunilor și cozilor, cu alerte în timp real, în care numerele de telefon și adresele de e-mail sunt mascate.

Lista actuală a subprocesatorilor, cu datele pe care le prelucrează, locațiile lor și garanțiile pentru transferuri, este publicată pe pagina subprocesatorilor și face parte din prezentul DPA.

Clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei sunt încorporate prin trimitere:

• Modulul doi (de la operator la persoana împuternicită), atunci când sunteți operator, și Modulul trei (de la persoana împuternicită la persoana împuternicită), atunci când acționați ca persoană împuternicită pentru altcineva.
• Clauza 7 (clauza de aderare): inclusă.
• Clauza 9(a): Opțiunea 2 (autorizare generală scrisă), cu o notificare prealabilă de 30 de zile.
• Clauza 11(a): formularea opțională nu se aplică.
• Clauza 13: autoritatea de supraveghere competentă se stabilește conform clauzei 13(a), în funcție de situația dumneavoastră.
• Clauza 17: Opțiunea 1, guvernată de legea Irlandei. Clauza 18: instanțele din Irlanda.
• Anexa I.A: părțile din secțiunea 1 (dumneavoastră în calitate de exportator de date, noi în calitate de importator de date). Anexa I.B: Anexa I a prezentului DPA. Anexa I.C: conform clauzei 13. Anexa II: Anexa II a prezentului DPA. Anexa III: Anexa III a prezentului DPA.

Pentru transferurile reglementate de legislația Regatului Unit, Addendumul privind transferul internațional de date la Clauzele contractuale standard ale UE emis de ICO este încorporat prin trimitere: Tabelul 1, părțile de mai sus; Tabelul 2, clauzele selectate mai sus; Tabelul 3, Anexele I–III; Tabelul 4, oricare dintre părți poate înceta Addendumul conform Secțiunii 19 a acestuia.

Pentru transferurile internaționale de date reglementate de LGPD, prin acceptarea Termenilor și condițiilor, părțile adoptă clauzele contractuale standard din Anexa II la Rezoluția CD/ANPD nr. 19/2024 integral și fără nicio modificare. Textul oficial în limba portugheză prevalează.

• Secțiunea I: dumneavoastră sunteți exportatorul (controlador) și noi suntem importatorul (operador); transferul este descris în Anexa I.
• Secțiunea III (măsuri de securitate): Anexa II.
• Secțiunea IV: nu există clauze suplimentare.

Nicio altă prevedere a prezentului DPA sau a Termenilor și condițiilor nu poate exclude, modifica sau contrazice aceste clauze.

Pentru transferurile de date cu caracter personal în afara Regatului, prin acceptarea Termenilor și condițiilor, părțile adoptă Clauzele contractuale standard pentru transferul datelor cu caracter personal emise de Autoritatea Saudită pentru Date și Inteligență Artificială (SDAIA), Modelul 2 (de la operator la persoana împuternicită), fără modificări.

• Părțile: dumneavoastră sunteți exportatorul, iar noi suntem importatorul.
• Apendicele 1–3 ale modelului: secțiunea 1, Anexa I și Anexa II ale prezentului DPA.
• Aceste clauze sunt guvernate de legile Regatului Arabiei Saudite, iar instanțele acestuia sunt competente, conform prevederilor clauzelor.
• Vă notificăm o încălcare a securității datelor în termen de 24 de ore, vă transmitem cererile persoanelor vizate în termen de 48 de ore și cooperăm cu SDAIA în cadrul oricărui audit.
• Vă informăm care subprocesatori din afara Regatului au aderat la aceste clauze și care nu au aderat, înainte de a ne baza pe ei pentru datele dumneavoastră.