1. Стороны и роль
Настоящий Data Processing Addendum («DPA») является частью договора между владельцем рабочего пространства TalkThem («Клиент», «Контролёр») и TalkThem («Процессор») в той мере, в которой TalkThem обрабатывает Персональные данные Клиента по его поручению. Для собственных данных аккаунта, безопасности, биллинга и работы сервиса TalkThem может действовать как самостоятельный контролёр в объёме, описанном в Privacy Policy.
2. Предмет, срок и инструкции
TalkThem обрабатывает данные только для предоставления live chat, visitor presence, маршрутизации сообщений, истории, аналитики, автоматизации, операторских приложений, уведомлений, хранения и защиты сервиса и только по документированным инструкциям Клиента, включая настройки продукта и использование API. Обработка продолжается в течение действия сервиса и периода хранения/удаления, предусмотренного договором и законом.
3. Субъекты и категории данных
Субъекты: посетители сайтов Клиента, конечные пользователи, операторы и иные лица, чьи данные Клиент передаёт через сервис. Данные: сообщения, IP-адрес, приблизительная геолокация по IP, user agent, URL/referrer, session/profile IDs, timestamps, visitor timeline, notes/tags, attachments, сведения о действиях операторов и иные данные, добровольно переданные через виджет.
4. Конфиденциальность и безопасность
TalkThem ограничивает доступ лицами, которым он необходим для предоставления сервиса, применяет обязательства конфиденциальности и разумные технические и организационные меры с учётом риска: TLS, разграничение ролей, защищённые сессии, 2FA, шифрование чувствительных секретов в состоянии покоя, rate limiting, сетевую защиту, журналирование и резервное копирование. Клиент отвечает за собственные endpoint-устройства, учётные записи, контент и корректную настройку доступа.
5. Помощь Контролёру
С учётом характера обработки TalkThem оказывает разумную помощь в выполнении запросов субъектов данных, оценке рисков/DPIA, безопасности и выполнении применимых обязанностей. Клиент остаётся ответственным за принятие решения по запросу посетителя и за наличие законного основания обработки.
6. Инциденты
При подтверждённом нарушении безопасности Персональных данных Клиента TalkThem уведомляет Клиента без неоправданной задержки после того, как становится известно об инциденте, и предоставляет разумно доступную информацию, необходимую Клиенту для выполнения своих обязательств.
7. Субпроцессоры
Клиент предоставляет общее письменное разрешение использовать поставщиков, обозначенных как субпроцессоры на странице Subprocessors. TalkThem остаётся ответственным за выполнение применимых обязанностей субпроцессорами и обязуется устанавливать с ними договорные требования по защите данных. О планируемом существенном изменении субпроцессора TalkThem по возможности заранее уведомляет Клиента разумным электронным способом, обновляет публичный список и предоставляет возможность заявить обоснованное возражение, связанное с защитой данных.
8. Международные передачи
Если передача из EEA требует механизма Article 46 GDPR, применяются действующие Standard Contractual Clauses Европейской комиссии в соответствующем модуле, включая необходимые приложения и дополнительные меры. Для restricted transfer по UK GDPR стороны используют действующий UK International Data Transfer Addendum к EU SCC либо IDTA, когда это применимо, а также выполняют требуемую оценку защиты данных.
9. Удаление и возврат
После прекращения сервиса и по законной инструкции Клиента TalkThem удаляет или возвращает Персональные данные Клиента, если хранение не требуется законом или для ограниченных законных целей, включая безопасность, разрешение споров и доказательство договорных действий. Резервные копии удаляются в ходе обычной ротации.
10. Аудит и подтверждение
TalkThem предоставляет информацию, разумно необходимую для подтверждения соблюдения настоящего DPA, и допускает разумные аудиторские процедуры с предварительным уведомлением, с учётом безопасности, конфиденциальности других клиентов и коммерческой тайны. Стороны по возможности используют документацию и дистанционную проверку до проведения onsite-аудита.
11. California / US state service-provider terms
Когда применимо законодательство штатов США и TalkThem действует как service provider/contractor, TalkThem не продаёт и не передаёт для cross-context behavioral advertising Персональную информацию Клиента, обрабатывает её только для конкретных business purposes предоставления и защиты TalkThem и не использует её вне разрешённых договором и законом целей и не объединяет её с персональной информацией из других источников, кроме случаев, разрешённых применимым законом.
12. Сведения для приложений SCC
Когда применяются SCC, Клиент является data exporter, а TalkThem — data importer/processor (либо subprocessor, если Клиент сам действует как processor). Обработка осуществляется постоянно или по запросу в течение срока сервиса; субъекты и категории данных описаны в разделе 3, цели — в разделе 2, хранение — в разделе 9 и Privacy Policy. Технические и организационные меры раздела 4 и страницы Security & Trust составляют Annex II, а поставщики, обозначенные как subprocessors в актуальном списке, — Annex III. Контактные данные сторон и требуемый выбор применимого права/судов заполняются из аккаунта/заказа Клиента и юридических реквизитов TalkThem.
13. Приоритет
При конфликте между DPA и общими Terms по вопросам обработки Персональных данных этот DPA имеет приоритет. Обязательные SCC/UK Addendum имеют приоритет в той мере, в которой это требуется их условиями.