Pogodba o obdelavi podatkov

Ta pogodba o obdelavi podatkov („DPA“) je sestavni del Splošnih pogojev poslovanja med stranko (podjetjem, ki se naroči na LetsBot, „vi“) in družbo BOT FOR DIGITAL SOLUTIONS LIMITED, registrirano v Angliji in Walesu pod številko 15477940, s sedežem na naslovu 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Združeno kraljestvo („LetsBot“, „mi“, „nas“).

S sprejetjem Splošnih pogojev poslovanja sklenete tudi to DPA, vključno s klavzulami o prenosu, ki so s sklicevanjem vključene v prilogah IV do VI. Za vsako stranko veljajo samodejno od sprejetja, še preden se prenesejo kakršni koli osebni podatki stranke, podpis pa ni potreben.

Podpisani izvodi in dokumenti po meri. Na zahtevo na support@letsbot.net vam bomo zagotovili izvod te DPA, ki ga sopodpišemo, ali pogodbo oziroma dokument po meri, ki ga potrebuje vaša organizacija, na primer izpolnjen sklop klavzul o prenosu.

Vrstni red veljavnosti. V primeru neskladja imajo prednost klavzule o prenosu v prilogah IV do VI, nato ta DPA, nato Splošni pogoji poslovanja.

Jezik. Zavezujoča je angleška različica te DPA; arabska različica je zagotovljena zgolj za lažje razumevanje. Za standardne klavzule brazilskega organa ANPD je zavezujoče uradno portugalsko besedilo.

• Osebni podatki stranke: osebni podatki, ki jih pri zagotavljanju storitve obdelujemo v vašem imenu, vključno s podatki o vaših stikih, sporočili, mediji in naročili. Podrobnosti so v Prilogi I.
• Podobdelovalec: katera koli tretja oseba, ki jo angažiramo za obdelavo osebnih podatkov stranke.
• Kršitev varstva osebnih podatkov: kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje osebnih podatkov stranke ali nepooblaščen dostop do njih.
• Zakonodaja o varstvu podatkov: zakoni, ki veljajo za obdelavo, vključno z GDPR EU, GDPR Združenega kraljestva in zakonom Data Protection Act 2018, savdskim Zakonom o varstvu osebnih podatkov in njegovimi predpisi, brazilskim zakonom LGPD ter egiptovskim zakonom št. 151 iz leta 2020 in njegovimi izvedbenimi predpisi.
• „Upravljavec“, „obdelovalec“, „posameznik, na katerega se nanašajo osebni podatki“ in „obdelava“ imajo pomen, opredeljen v Zakonodaji o varstvu podatkov. „Obdelovalec“ vključuje „operador“ po LGPD.

1. Vi ste upravljavec osebnih podatkov stranke (ali obdelovalec, ki deluje za drugega upravljavca), mi pa smo obdelovalec.
2. Osebne podatke stranke obdelujemo samo na podlagi vaših dokumentiranih navodil, vključno glede prenosov v druge države. Vaša navodila so Splošni pogoji poslovanja, ta DPA, nastavitve, ki jih izberete na nadzorni plošči (kot so kanali, integracije, funkcije UI in obdobja hrambe), ter vsa druga pisna navodila, o katerih se dogovorimo.
3. Če nam zakon nalaga, da osebne podatke stranke obdelujemo drugače kot po vaših navodilih, vas bomo o tem obvestili, preden to storimo, razen če ta zakon to prepoveduje.
4. Takoj vas bomo obvestili, če menimo, da je navodilo v nasprotju z Zakonodajo o varstvu podatkov.
5. Odgovorni ste za zakonito zbiranje podatkov in za zakonito podlago za pošiljanje sporočil svojim stikom, vključno s kakršnim koli soglasjem, ki ga zahtevata Meta ali zakon.
6. Osebnih podatkov stranke ne uporabljamo za lastne namene, jih ne prodajamo in jih ne uporabljamo za učenje modelov UI.

Do osebnih podatkov stranke lahko dostopajo samo zaposleni in pogodbeni sodelavci, ki dostop potrebujejo za zagotavljanje, podporo ali zaščito storitve, in vsi so zavezani k varovanju njihove zaupnosti.

Osebe, ki imajo dostop do osebnih podatkov stranke, delajo večinoma v Egiptu prek naše povezane družbe Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), po naših navodilih in pod pogoji, ki niso nič manj zaščitni od te DPA.

Uporabljamo tehnične in organizacijske ukrepe iz Priloge II, jih redno pregledujemo in med trajanjem vaše naročnine ne bomo znižali splošne ravni zaščite.

Poleg tega se zavezujemo k:

• šifriranim varnostnim kopijam podatkovnih baz delovnih prostorov: vsako noč za plačljive, preizkusne in brezplačno dodeljene delovne prostore ter v 10-dnevnem ciklu za druge delovne prostore, poleg tega pa vsakodnevni varnostni kopiji osrednje podatkovne baze računov. Varnostne kopije se hranijo v zasebni shrambi, ločeno od produkcijskega strežnika, v Google Cloud v Združenih državah Amerike (us-east1), 30 dni, nato pa se izbrišejo;
• temu, da se medijske datoteke, izmenjane v pogovorih, hranijo v shrambi, ki je ni mogoče brskati ali izpisati, in se posredujejo prek dolgih, naključnih povezav, ki jih je težko uganiti (razen profilnih slik stikov). Kdor ima natančno povezavo, lahko datoteko odpre. Medije prenašamo na časovno omejene podpisane povezave;
• beleženju vsakega vstopa podpore v delovni prostor in vsake prijave v varnostni dnevnik tega delovnega prostora.

1. Splošno pooblastilo. Pooblaščate nas, da angažiramo podobdelovalce, navedene na naši strani s podobdelovalci (Priloga III).
2. Predhodno obvestilo. Najmanj 30 dni pred dodajanjem ali zamenjavo podobdelovalca bomo o tem obvestili po e-pošti vse, ki so se na obvestila naročili, in posodobili stran. Za naročilo pišite na support@letsbot.net z zadevo „Subprocessor updates“.
3. Ugovor. V obdobju obveščanja lahko iz utemeljenih razlogov, povezanih z varstvom podatkov, pisno ugovarjate. Vaš ugovor bomo poskušali rešiti, na primer tako, da tega podobdelovalca ne uporabljamo za vaše podatke. Če to ni mogoče, lahko odpoveste prizadeti del storitve in prejmete vračilo vnaprej plačanih pristojbin za preostalo obdobje.
4. Nujna zamenjava. Če moramo podobdelovalca zamenjati takoj, da zaščitimo varnost ali neprekinjenost storitve, vas bomo o tem obvestili čim prej, pri čemer obdržite enako pravico do ugovora.
5. Enakovredne obveznosti. Vsakega podobdelovalca, ki je tretja oseba, zavežemo s pisno pogodbo z obveznostmi glede varstva podatkov, ki niso nič manj zaščitne od te DPA, za njegovo izvajanje pa vam ostajamo odgovorni.
6. Integracije, ki jih izberete, kot so Meta (WhatsApp, Messenger, Instagram), platforme za e-trgovino in sistemi CRM, niso naši podobdelovalci. Povežete jih vi, podatke pa obdelujejo pod svojimi pogoji, dogovorjenimi z vami.

1. O vsaki kršitvi varstva osebnih podatkov, ki zadeva osebne podatke stranke, vas bomo obvestili brez nepotrebnega odlašanja, v vsakem primeru pa v 24 urah od trenutka, ko se z njo seznanimo. To je naš standard v vseh državah.
2. Obvestilo pošljemo na e-poštni naslov lastnika računa in, kadar je mogoče, na nadzorno ploščo. Kolikor so informacije na voljo, opisuje: naravo in vzrok kršitve; kategorije in približno število posameznikov, na katere se nanašajo osebni podatki, ter zapisov; verjetne posledice; sprejete ali predlagane ukrepe za njeno omejitev; in našo kontaktno točko.
3. Če vseh informacij nimamo takoj, jih bomo zagotovili postopoma brez nepotrebnega odlašanja in vas redno obveščali, dokler incident ni zaključen.
4. Pomagali vam bomo izpolniti vaše lastne obveznosti obveščanja organov in posameznikov, na katere se nanašajo osebni podatki, vključno z 72-urnimi roki v EU, Združenem kraljestvu in Savdski Arabiji ter rokom treh delovnih dni v Braziliji.
5. Obvestilo ne pomeni priznanja krivde ali odgovornosti.

1. Če prejmemo zahtevo posameznika, na katerega se nanašajo osebni podatki, v zvezi z osebnimi podatki stranke, vam jo bomo posredovali v 48 urah in nanjo ne bomo odgovorili brez vašega pooblastila, razen da sporočimo, da smo jo posredovali naprej.
2. Nadzorna plošča vam omogoča izvoz, popravljanje in brisanje stikov, pogovorov in sporočil. Kadar ta orodja ne zadostujejo, vam bomo zagotovili razumno pomoč.
3. Pri pomoči upoštevamo vaše zakonske roke, vključno s šestimi delovnimi dnevi v Egiptu.

Zagotovili vam bomo informacije, ki jih razumno potrebujete za izvedbo ocene učinka v zvezi z varstvom podatkov, ocene tveganja prenosa ali predhodnega posvetovanja z nadzornim organom. Kadar vam zakon nalaga, da z nami delite ustrezno oceno učinka, jo bomo sprejeli.

1. Med trajanjem naročnine lahko kadar koli izvozite svoje podatke, izbrišete posamezen pogovor (s čimer se izbrišejo njegova sporočila in mediji) ali na nadzorni plošči izbrišete celoten delovni prostor. Navedba razloga ni obvezna.
2. Ko se storitev konča, so vaši podatki na voljo za izvoz še 30 dni. Ko je delovni prostor izbrisan, osebne podatke stranke v 30 dneh izbrišemo iz naših aktivnih sistemov, vključno z mediji, arhivsko kopijo, datotekami in shranjenimi odgovori pri našem ponudniku UI ter sporočili pri naši storitvi za povezavo s kodo QR. Kopije v varnostnih kopijah potečejo v nadaljnjih 30 dneh.
3. Hranimo samo tisto, kar moramo hraniti po zakonu, in to do izbrisa še naprej varujemo v skladu s to DPA.
4. Na zahtevo bomo izbris pisno potrdili.

1. Dali bomo na voljo informacije, potrebne za dokazovanje skladnosti s to DPA, in odgovarjali na razumne varnostne vprašalnike.
2. Če te informacije ne zadostujejo, lahko vi ali neodvisni revizor, zavezan k zaupnosti, pri nas opravite revizijo enkrat na 12 mesecev, z 30-dnevnim predhodnim obvestilom, v delovnem času in brez ogrožanja podatkov drugih strank. Ta omejitev ne velja po kršitvi varstva osebnih podatkov ali kadar revizijo zahteva nadzorni organ.
3. Vsaka stranka nosi svoje stroške, razen če revizija razkrije bistveno kršitev z naše strani.
4. Na njihovo zahtevo bomo sodelovali s pristojnimi nadzornimi organi, vključno s savdskim organom za podatke in umetno inteligenco (SDAIA).

1. Kje se podatki obdelujejo. Osebni podatki stranke gostujejo v Google Cloud v Združenih državah Amerike (regija us-east1), do njih na daljavo dostopa naše osebje, ki dela večinoma v Egiptu prek naše povezane družbe, obdelujejo pa jih podobdelovalci na lokacijah, navedenih na njihovi strani. Vsi naši strežniki in varnostne kopije so v Združenih državah Amerike; gostovanja v nobeni drugi regiji ne ponujamo.
2. Mehanizmi prenosa. Klavzule v Prilogi IV (EU in Združeno kraljestvo), Prilogi V (Brazilija) in Prilogi VI (Savdska Arabija) so za vsako stranko sestavni del te DPA in urejajo vsak prenos, za katerega velja ustrezni zakon.
3. Tuji zakoni, ki smo jim zavezani. Smo družba iz Združenega kraljestva, za katero velja pravo Združenega kraljestva. Podatki gostujejo pri ameriškem ponudniku, ameriški organi pa lahko od ameriških ponudnikov zahtevajo razkritje podatkov po ameriškem pravu, vključno z zakonom CLOUD Act in oddelkom 702 zakona Foreign Intelligence Surveillance Act. Za našo povezano družbo v Egiptu velja egiptovsko pravo. Ni nam znano, da bi nam kateri koli od teh zakonov preprečeval izpolnjevanje te DPA, in če se to spremeni, vas bomo nemudoma obvestili.
4. Zahteve javnih organov. Če prejmemo zavezujočo zahtevo javnega organa za razkritje osebnih podatkov stranke, vas bomo o tem obvestili, razen če zakon to prepoveduje, organ prosili, naj se obrne na vas, izpodbijali zahteve, ki so nezakonite ali pretirane, in razkrili le zahtevani minimum.

1. Ko vklopite odgovore UI, agente UI, prepis glasovnih sporočil ali orodja UI, podatke, ki jih funkcija potrebuje, pošljemo enemu od naših ponudnikov storitev UI, ki so podobdelovalci v Združenih državah Amerike: sporočila, zgodovino pogovorov, glasovna sporočila, datoteke znanja in katalog izdelkov ter ime in številko stika, kadar jih funkcija uporablja.
2. Naši ponudniki storitev UI so OpenAI, privzeti ponudnik, ki vedno izvaja prepis glasovnih sporočil ter shranjevanje in iskanje po datotekah znanja; ter Anthropic (Claude) in Google (Gemini API), h katerima lahko naloge UI usmerimo namesto k OpenAI ali kot rezervo ali jima pošljemo omejen vzorec zahtev za primerjavo kakovosti odgovorov. Primerjalni odgovori se nikoli ne pošljejo vašim strankam. Seznam in mehanizmi prenosa so na naši strani s podobdelovalci.
3. V skladu s svojimi poslovnimi pogoji noben od teh ponudnikov podatkov, poslanih prek njegovega API, ne uporablja za učenje svojih modelov (glejte poslovne pogoje OpenAI, Commercial Terms družbe Anthropic in Gemini API Additional Terms), mi pa nismo privolili v nobeno uporabo za učenje. Vsak ponudnik v skladu s svojimi pogoji hrani začasno kopijo za spremljanje zlorab, OpenAI pa ustvarjene odgovore hrani v skladu s svojo politiko podatkov API.
4. Osebnih podatkov stranke ne uporabljamo za učenje nobenega modela. Kar se funkcija „učenje iz zgodovine“ nauči, ostane v vašem delovnem prostoru.
5. Te funkcije so neobvezne in jih lahko kadar koli izklopite. Ko izbrišete svoj delovni prostor, izbrišemo datoteke, shranjene zanj pri OpenAI.
6. Odgovorni ste, da svoje stranke obvestite, da lahko odgovore ustvari UI, kadar to zahteva zakon.

1. Naše osebje za podporo vstopi v vaš delovni prostor samo za zagotavljanje podpore.
2. Vsak vstop se zabeleži v varnostni dnevnik vašega delovnega prostora, ki ga lahko pregledate.
3. Če za svoj delovni prostor vklopite dvostopenjsko preverjanje pristnosti, lahko naše osebje vanj vstopi samo z vašo izrecno odobritvijo.

Za odgovornost vsake pogodbene stranke po tej DPA veljajo omejitve iz Splošnih pogojev poslovanja, razen za odgovornost, ki je po zakonu ni mogoče omejiti, in brez poseganja v pravice posameznikov, na katere se nanašajo osebni podatki, po klavzulah o prenosu v prilogah IV do VI, ki jih nič v tej DPA ali Splošnih pogojih poslovanja ne omejuje.

1. Ta DPA velja, dokler obdelujemo osebne podatke stranke.
2. To DPA lahko posodobimo, da sledimo zakonodaji ali storitvi. O vsaki bistveni spremembi vas bomo obvestili 30 dni vnaprej, nobena sprememba pa med plačanim obdobjem vaše naročnine ne bo znižala ravni zaščite.
3. Za to DPA velja pravo Anglije in Walesa, pristojna pa so njihova sodišča, razen da za vsak sklop klavzul o prenosu v prilogah IV do VI veljata pravo in sodišča, ki jih ta sklop določa.

Za namene Zakona o varstvu osebnih podatkov in njegove izvedbene uredbe (člen 17):

• Namen, kategorije podatkov in trajanje obdelave so navedeni v Prilogi I.
• O kršitvi vas obvestimo brez nepotrebnega odlašanja in v 24 urah (oddelek 7).
• Tuji zakoni, ki smo jim zavezani, in njihov vpliv so opisani v oddelku 12.
• Če nam savdsko pravo nalaga razkritje, vas bomo o tem obvestili.
• Podobdelovalci in drugi prejemniki so navedeni v Prilogi III, o vsaki spremembi pa vas obvestimo vnaprej, s pravico do ugovora (oddelek 6).
• Zahteve posameznikov, na katere se nanašajo osebni podatki, posredujemo v 48 urah (oddelek 8) in sprejemamo ocene in revizije (oddelek 11).
• Klavzule o prenosu: Priloga VI.

Za namene LGPD delujemo kot „operador“:

• Podatke obdelujemo po vaših navodilih (člen 39) in vodimo evidenco dejanj obdelave (člen 37).
• Uporabljamo varnostne ukrepe iz Priloge II, naša dolžnost zagotavljanja varnosti pa traja tudi po koncu obdelave (člena 46 in 47).
• O kršitvi vas obvestimo v 24 urah, da lahko vi v treh delovnih dneh obvestite ANPD in posameznike, na katere se nanašajo osebni podatki (člen 48).
• Podatke izbrišemo, ko se obdelava konča, v skladu z oddelkom 10 (člen 16).
• Nič v tej DPA ne omejuje naše odgovornosti do posameznikov, na katere se nanašajo osebni podatki, kadar jo nalaga LGPD.
• Klavzule o prenosu: Priloga V. Na zahtevo zagotovimo portugalski povzetek mednarodnega prenosa, ki ga lahko objavite za svoje stranke.

Za namene Zakona št. 151 iz leta 2020 in njegovih izvedbenih predpisov:

• Naša povezana družba v Egiptu je Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), številka vpisa v trgovinski register 223572 (registrski urad Cairo Investment), Tower 22, 3. nadstropje, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egipt.
• Preden se zanesemo na obdelavo in čezmejne prenose, pridobimo vsako licenco ali dovoljenje, ki ga zakon zahteva zanje, ter imenujemo pooblaščeno osebo za varstvo podatkov, registrirano pri Centru za varstvo osebnih podatkov (Personal Data Protection Center).
• Poleg tega, da vas obvestimo v 24 urah, o kršitvi v 72 urah obvestimo tudi Center za varstvo osebnih podatkov, kadar nam to kot obdelovalcu nalaga zakon, in to v usklajevanju z vami.
• Z vami sodelujemo pri odgovarjanju na zahteve posameznikov, na katere se nanašajo osebni podatki, v šestih delovnih dneh.
• Odgovorni ste za pridobitev privolitve posameznikov, na katere se nanašajo osebni podatki, kadar jo zahteva zakon, vključno s privolitvijo za prenose zunaj Egipta.

Ta pogodba o obdelavi podatkov vsebuje pogoje, ki jih zahtevata člen 28(3) GDPR EU in GDPR Združenega kraljestva: navodila (razdelek 3), zaupnost (razdelek 4), varnost (razdelek 5 in Priloga II), podobdelovalci (razdelek 6), pomoč pri zahtevah posameznikov, na katere se nanašajo osebni podatki (razdelek 8), ter pri varnosti, kršitvah in ocenah (razdelki 5, 7 in 9), izbris in vračilo (razdelek 10) ter informacije in revizije (razdelek 11).

Za Združeno kraljestvo, kjer imamo sedež, velja sklep Evropske komisije o ustreznosti. Priloga IV (standardne pogodbene klavzule EU in dodatek Združenega kraljestva) je kljub temu vključena za vsako stranko in ureja vsak prenos osebnih podatkov stranke, ki ga GDPR EU ali GDPR Združenega kraljestva sicer ne dovoljuje, vključno z našimi nadaljnjimi prenosi v Združene države.

Ti ukrepi se izvajajo že danes:

• Šifriranje med prenosom: TLS 1.3 na robu omrežja Cloudflare s HSTS ter certifikati TLS na izvornem strežniku.
• Šifriranje v mirovanju: privzeto šifriranje Google Cloud s ključi, ki jih upravlja Google, za diske in shrambe (buckets) ter šifriranje na ravni aplikacije za dostopne žetone kanalov, skrivnosti integracij in webhookov, skrivnosti dvofaktorske avtentikacije, odgovore na ankete in evidence privolitev.
• Gesla in žetoni: gesla so zgoščena z bcrypt; žetoni API so shranjeni kot zgoščene vrednosti.
• Ločenost: ločena podatkovna baza za vsak delovni prostor.
• Omrežje: podatkovne baze in predpomnilniki niso dosegljivi z interneta; zaščita Cloudflare pred napadi DDoS in požarni zid za spletne aplikacije; zaščita pred boti Turnstile na javnih obrazcih.
• Utrjevanje strežnikov: izolacija računov CageFS, požarni zid in pregledovanje zlonamerne programske opreme Imunify360 ter varnostno posodabljanje jedra med delovanjem (KernelCare).
• Nadzor dostopa: vloge in dovoljenja za vsakega uporabnika, ločena zaščita prijave za notranja administracijska orodja, dvofaktorska avtentikacija, ki je na voljo vsakemu delovnemu prostoru, in omejitve naslovov IP za prijavo.
• Beleženje: varnostni dnevnik za vsak delovni prostor, ki zajema prijave in neuspešne poskuse, spremembe dvofaktorske avtentikacije in vlog, dostop podpore ter menjavo ključev API.
• Integracije: preverjanje podpisov dohodnih podatkov iz platform Meta, Salla in Zid ter ločena podpisna skrivnost za vsak nov odhodni webhook.
• Zasebna shramba: dokumenti, e-poštne priloge, posnetki klicev, varnostne kopije in arhivirani delovni prostori so shranjeni v zasebnih shrambah, pri katerih je javni dostop preprečen.
• Mediji iz pogovorov: shranjeni so v shrambi, po kateri ni mogoče brskati in katere vsebine ni mogoče izpisati, dostavljajo pa se prek dolgih naključnih povezav, ki jih je težko uganiti (razen profilnih slik stikov); prehod na časovno omejene podpisane povezave poteka.
• Varnostne kopije: nočne varnostne kopije podatkovnih baz plačljivih, preizkusnih in brezplačno dodeljenih delovnih prostorov, 10-dnevno kroženje za druge delovne prostore in dnevna varnostna kopija osrednje podatkovne baze računov; hranijo se 30 dni v zasebni shrambi v Združenih državah (us-east1).
• Izbris: vsaka stranka lahko na nadzorni plošči izbriše celoten delovni prostor, vključno z njegovimi mediji, arhivsko kopijo in datotekami UI pri OpenAI; z izbrisom pogovora se izbrišejo njegova sporočila in mediji.
• Najmanjši obseg podatkov: dohodni podatki platform se izbrišejo po 14 dneh, strežniški dnevniki po 14 dneh, posnetki klicev pa privzeto po 90 dneh.
• Spremljanje: zunanje spremljanje razpoložljivosti ter notranje spremljanje pomnilnika, podatkovnih baz, sej in čakalnih vrst z opozorili v realnem času, v katerih so telefonske številke in e-poštni naslovi zakriti.

Aktualni seznam podobdelovalcev s podatki, ki jih obdelujejo, njihovimi lokacijami in zaščitnimi ukrepi za prenose je objavljen na naši strani s podobdelovalci in je del te pogodbe o obdelavi podatkov.

Standardne pogodbene klavzule, sprejete z Izvedbenim sklepom Komisije (EU) 2021/914, so vključene s sklicevanjem:

• Modul dva (od upravljavca do obdelovalca), kadar ste upravljavec, in Modul tri (od obdelovalca do obdelovalca), kadar delujete kot obdelovalec za nekoga drugega.
• Klavzula 7 (klavzula o pristopu): vključena.
• Klavzula 9(a): možnost 2 (splošno pisno dovoljenje), s 30-dnevnim predhodnim obvestilom.
• Klavzula 11(a): neobvezno besedilo se ne uporablja.
• Klavzula 13: pristojni nadzorni organ se določi v skladu s klavzulo 13(a) glede na vaš položaj.
• Klavzula 17: možnost 1, velja pravo Irske. Klavzula 18: sodišča Irske.
• Priloga I.A: pogodbenici iz razdelka 1 (vi kot izvoznik podatkov, mi kot uvoznik podatkov). Priloga I.B: Priloga I te pogodbe o obdelavi podatkov. Priloga I.C: kot je določeno v skladu s klavzulo 13. Priloga II: Priloga II te pogodbe o obdelavi podatkov. Priloga III: Priloga III te pogodbe o obdelavi podatkov.

Za prenose, za katere velja pravo Združenega kraljestva, je s sklicevanjem vključen dodatek urada ICO o mednarodnem prenosu podatkov k standardnim pogodbenim klavzulam EU: tabela 1, zgoraj navedeni pogodbenici; tabela 2, zgoraj izbrane klavzule; tabela 3, priloge od I do III; tabela 4, katera koli pogodbenica lahko dodatek odpove, kot je določeno v njegovem razdelku 19.

Za mednarodne prenose podatkov, za katere velja LGPD, pogodbenici s sprejetjem Splošnih pogojev v celoti in brez kakršnih koli sprememb sprejmeta standardne pogodbene klavzule iz Priloge II Resolucije CD/ANPD št. 19/2024. Veljavno je uradno portugalsko besedilo.

• Oddelek I: vi ste izvoznik (upravljavec), mi pa uvoznik (operater); prenos je opisan v Prilogi I.
• Oddelek III (varnostni ukrepi): Priloga II.
• Oddelek IV: brez dodatnih klavzul.

Noben drug pogoj te pogodbe o obdelavi podatkov ali Splošnih pogojev ne sme izključiti ali spremeniti teh klavzul ali biti v nasprotju z njimi.

Za prenose osebnih podatkov zunaj Kraljevine pogodbenici s sprejetjem Splošnih pogojev brez sprememb sprejmeta standardne pogodbene klavzule za prenos osebnih podatkov, ki jih je izdal Savdski organ za podatke in umetno inteligenco (SDAIA), predloga 2 (od upravljavca do obdelovalca).

• Pogodbenici: vi ste izvoznik, mi pa uvoznik.
• Dodatki od 1 do 3 predloge: razdelek 1, Priloga I in Priloga II te pogodbe o obdelavi podatkov.
• Za te klavzule veljajo zakoni Kraljevine Savdske Arabije, pristojna pa so njena sodišča, kot določajo klavzule.
• O kršitvi vas obvestimo v 24 urah, zahteve posameznikov, na katere se nanašajo osebni podatki, posredujemo v 48 urah in pri vsaki reviziji sodelujemo s SDAIA.
• Sporočimo vam, kateri podobdelovalci zunaj Kraljevine so pristopili k tem klavzulam, in kateri niso, preden se pri vaših podatkih zanesemo nanje.