Perjanjian Pengolahan Data

Botpress Perjanjian Pemrosesan Data (DPA)

DPA ini merupakan tambahan dari, dan merupakan bagian yang tidak terpisahkan dari, perjanjian antara entitas grup Botpress yang diidentifikasi dalam Ketentuan Layanan dan Pelanggan. DPA ini berlaku setelah dimasukkan ke dalam perjanjian tersebut melalui referensi.

1.Definisi

1.a Istilah-istilah dalam huruf besar yang tidak didefinisikan di sini memiliki arti yang diberikan kepada istilah-istilah tersebut di dalam Perjanjian.

1.b Dalam DPA ini:

(a) "Perjanjian" memiliki arti yang diberikan pada istilah tersebut dalam Ketentuan Layanan.

(b)"Botpress Group" berarti Botpress dan afiliasinya.

(c) "Informasi Pribadi California" berarti Data Pribadi yang tunduk pada perlindungan CCPA.

(d) "Undang-Undang Perlindungan Data Kanada" berarti Undang-Undang Perlindungan Informasi Pribadi dan Dokumen Elektronik, SC 2000, c 5 dan Undang-Undang yang berkaitan dengan perlindungan informasi pribadi di sektor swasta, CQLR c P-39.1 sebagaimana dapat diubah, digantikan, atau diganti.

(e) "CCPA" berarti California Civil Code Sec. 1798.100 et seq. (juga dikenal sebagai California Consumer Privacy Act of 2018).

(f) "Konsumen", "Bisnis", "Jual" dan "Penyedia Layanan" akan memiliki arti yang diberikan kepada mereka dalam Perjanjian Baku.

(g) "Pengontrol" berarti setiap Orang yang, sendiri atau bersama-sama dengan orang lain, menentukan tujuan dan cara Pemrosesan Data Pribadi.

(h) "Hukum Perlindungan Data" berarti semua undang-undang yang berlaku di seluruh dunia yang berkaitan dengan perlindungan data dan privasi yang berlaku untuk pihak dalam DPA ini, termasuk tanpa batasan pada Hukum Perlindungan Data Eropa, Hukum Perlindungan Data Kanada, dan CCPA dalam setiap kasus sebagaimana telah diubah, dicabut, dikonsolidasikan, atau digantikan dari waktu ke waktu.

(i) "Subjek Data" berarti individu yang terkait dengan Data Pribadi.

(j) "Eropa" berarti Uni Eropa, Wilayah Ekonomi Eropa dan/atau negara-negara anggotanya, Swiss dan Inggris.

(k) "Hukum Perlindungan Data Eropa" berarti hukum perlindungan data yang berlaku di Eropa, sebagaimana dapat diubah, digantikan, atau diganti.

(l) "Data Eropa" berarti Data Pribadi yang tunduk pada perlindungan Hukum Perlindungan Data Eropa.

(m) "Afiliasi yang Diizinkan" berarti setiap Afiliasi Pelanggan yang (i) diizinkan untuk menggunakan Layanan Perangkat Lunak sesuai dengan Perjanjian, (ii) memenuhi syarat sebagai Pengendali Data Pribadi yang Diproses oleh Botpress, dan (iii) tunduk pada Hukum Perlindungan Data Eropa.

(n) "Orang" harus diartikan secara luas dan mencakup setiap individu, korporasi, perseroan terbatas, persekutuan terbatas, perusahaan, asosiasi, persekutuan, kepercayaan atau harta peninggalan, usaha patungan, badan pemerintah atau subdivisi politik daripadanya, atau entitas lainnya.

(o) "Data Pribadi" berarti setiap informasi yang berkaitan dengan individu yang teridentifikasi atau dapat diidentifikasi.

(p) "Pemrosesan" atau "Proses" berarti setiap operasi atau serangkaian operasi yang dilakukan oleh Pemroses terhadap Data Pribadi, baik secara otomatis maupun tidak;

(q) "Pemroses" berarti Orang yang Memproses Data Pribadi atas nama Pengendali.

(r) "Regulator" berarti, sebagaimana berlaku, setiap Orang atau penegak hukum atau lembaga lain yang memiliki otoritas pengaturan, pengawasan atau pemerintah (baik di bawah skema hukum atau lainnya) atas semua atau sebagian dari Pemrosesan Data Pribadi sehubungan dengan penyediaan atau penerimaan Layanan, termasuk, namun tidak terbatas pada, otoritas pengawas perlindungan data Eropa;

(s) "Pelanggaran Keamanan" berarti pelanggaran keamanan yang mengarah pada penghancuran, kehilangan, pengubahan, pengungkapan yang tidak disengaja atau melanggar hukum, pengungkapan yang tidak sah, atau akses ke, Data Pribadi yang dikirimkan, disimpan, atau Diproses oleh Botpress dan/atau Sub-Pemroses sehubungan dengan penyediaan Layanan, tidak termasuk peristiwa yang tidak membahayakan keamanan Data Pribadi, termasuk upaya masuk yang gagal, ping, pemindaian port, serangan penolakan layanan, dan serangan jaringan lainnya pada firewall atau sistem jaringan.

(t) "Layanan" berarti Layanan Perangkat Lunak atau Layanan Profesional yang disediakan oleh entitas mana pun dari Botpress Group kepada Pelanggan atau Afiliasinya.

(u) "Klausul Kontrak Standar" berarti klausul kontrak standar yang dilampirkan pada Keputusan Komisi Eropa (EU) 2021/914 tertanggal 4 Juni 2021; sebagaimana dapat diubah, digantikan, atau diganti.

(v) "Sub-Pemroses" berarti setiap Pemroses yang dilibatkan oleh Botpress atau Afiliasi Botpress untuk membantu memenuhi kewajiban Botpress sehubungan dengan penyediaan Layanan berdasarkan Perjanjian. Sub-Pemroses dapat mencakup pihak ketiga atau Afiliasi Botpress tetapi tidak akan mencakup individu yang dipekerjakan atau dilibatkan oleh Botpress.

(w) "Negara Ketiga" berarti yurisdiksi atau penerima: (i) tidak diakui oleh Komisi Eropa sebagai negara yang memberikan tingkat perlindungan yang memadai untuk data pribadi; dan (ii) tidak tercakup dalam kerangka kerja yang sesuai yang diakui oleh otoritas atau pengadilan yang relevan sebagai negara yang memberikan tingkat perlindungan yang memadai untuk data pribadi;

(x) "Data Penggunaan" berarti data yang berkaitan dengan Penggunaan Perangkat Lunak oleh Pengguna yang Berwenang, yang mungkin berisi Data Pribadi yang diperlukan untuk mengidentifikasi pengguna individu, tetapi tidak termasuk Data Percakapan apa pun. Data Penggunaan dapat mencakup Data Pribadi tentang karyawan dan kontraktor Pelanggan tetapi tidak tentang pengguna akhir yang berinteraksi dengan Bot Pelanggan.

2. Peran para pihak

2.a Dalam Memproses Data Percakapan melalui Layanan, para pihak mengakui dan menyetujui bahwa Pelanggan bertindak sebagai Pengendali dan Botpress bertindak sebagai Pemroses.

2.b Jika Pelanggan bertindak sebagai Pemroses atas nama Pengendali, Botpress akan dianggap sebagai sub-pemroses Pelanggan.

2.c Botpress akan menjadi Pengendali sehubungan dengan Data Penggunaan.

3. Kepatuhan terhadap Hukum Perlindungan Data

3.a Masing-masing pihak harus melakukan pemrosesan Data Pribadi sesuai dengan semua Hukum Perlindungan Data yang berlaku.

3.b Botpress tidak bertanggung jawab atas kepatuhan terhadap Hukum Perlindungan Data apa pun yang berlaku untuk Pelanggan atau industri Pelanggan yang tidak berlaku secara umum untuk Botpress.

3.c Jika Botpress mengetahui bahwa ia tidak dapat Memproses Data Pribadi sesuai dengan instruksi Pelanggan karena persyaratan hukum berdasarkan hukum yang berlaku, Botpress akan (i) segera memberi tahu Pelanggan tentang persyaratan hukum tersebut sejauh yang diizinkan oleh hukum yang berlaku; dan (ii) jika perlu, hentikan semua Pemrosesan (selain hanya menyimpan dan menjaga keamanan Data Pribadi yang terpengaruh) hingga saat Pelanggan mengeluarkan instruksi baru sesuai dengan hukum yang berlaku. Jika ketentuan ini diberlakukan, Botpress tidak akan bertanggung jawab kepada Pelanggan berdasarkan Perjanjian atas kegagalan untuk melakukan Layanan Perangkat Lunak atau Layanan Profesional yang berlaku hingga saat Botpress secara wajar menentukan bahwa instruksi Pelanggan adalah sah menurut hukum.

4.Botpress Kewajiban

4.a Botpress hanya akan Memproses Data Pribadi untuk tujuan yang dijelaskan dalam DPA ini atau sebagaimana disepakati dalam lingkup instruksi yang sah yang diterima dari Pelanggan, kecuali jika dan sejauh yang disyaratkan oleh hukum yang berlaku.

4.b Botpress harus menerapkan dan memelihara langkah-langkah teknis dan organisasi yang sesuai untuk melindungi Data Pribadi dari Insiden Keamanan, termasuk sebagaimana dijelaskan di bawah Jadwal 2 pada DPA ini ("TindakanKeamanan"). Botpress dapat memodifikasi atau memperbarui Tindakan Keamanan atas kebijakannya sendiri asalkan modifikasi atau pembaruan tersebut tidak mengakibatkan degradasi material dalam perlindungan yang ditawarkan oleh Tindakan Keamanan.

4.c Botpress akan memperlakukan Data Pribadi sebagai informasi rahasia Pelanggan dan akan memastikan bahwa setiap karyawan atau penghubungnya yang diberi wewenang untuk mengakses atau Memproses Data Pribadi tunduk pada kewajiban kerahasiaan yang sesuai (baik secara kontraktual maupun hukum) sehubungan dengan Data Pribadi tersebut.

4.d Botpress akan menghapus atau mengembalikan semua Data Pribadi yang Diproses sesuai dengan DPA ini, pada saat pengakhiran atau berakhirnya Perjanjian. Botpress dapat menyimpan salinan Data Pribadi jika diwajibkan oleh hukum yang berlaku, atau di mana Data Pribadi telah diarsipkan di sistem cadangan, yang datanya akan diisolasi dengan aman dan dilindungi dari Pemrosesan lebih lanjut dan dihapus sesuai dengan praktik penghapusan yang berlaku.

5. Kewajiban Pelanggan

5.a Pelanggan bertanggung jawab untuk memastikan bahwa penggunaan Layanan Perangkat Lunak atau Perangkat Lunak sesuai dengan semua Hukum Perlindungan Data yang berlaku, termasuk dengan memastikan bahwa (i) Pelanggan memiliki wewenang untuk menunjuk Botpress untuk Memproses Data Pribadi atas namanya sesuai dengan DPA ini, (ii) Pelanggan memiliki hak untuk mentransfer, atau memberikan akses ke, Data Pribadi ke Botpress untuk Diproses sesuai dengan persyaratan Perjanjian (termasuk DPA ini), (iii) memastikan bahwa instruksi Pelanggan terkait dengan Pemrosesan Data Pribadi sesuai dengan hukum yang berlaku, termasuk Hukum Perlindungan Data;

5.b Pelanggan harus segera memberi tahu Botpress secara tertulis jika memiliki alasan untuk meyakini atau jika telah diberitahu bahwa Pemrosesan Data Pribadi yang dilakukan oleh Pelanggan melalui Layanan adalah atau mungkin melanggar hukum yang berlaku, termasuk Hukum Perlindungan Data.

5.c Pelanggan bertanggung jawab untuk menentukan apakah langkah-langkah keamanan yang diterapkan oleh Botpress secara memadai memenuhi kewajiban Pelanggan berdasarkan Undang-Undang Perlindungan Data yang berlaku. Pelanggan juga bertanggung jawab untuk memastikan bahwa aksesnya ke Layanan Perangkat Lunak dijamin dan disediakan untuk personel yang berwenang.

6. Pelanggaran Keamanan

6.a Botpress akan segera memberi tahu Pelanggan jika mengetahui adanya Pelanggaran Keamanan dan akan memberikan informasi tepat waktu terkait Pelanggaran Keamanan tersebut saat diketahui atau diminta secara wajar oleh Pelanggan.

6.b Berdasarkan permintaan, Botpress akan segera memberikan bantuan yang wajar kepada Pelanggan sebagaimana diperlukan untuk memungkinkan Pelanggan memberitahukan Pelanggaran Keamanan kepada Regulator dan/atau Subjek Data yang terkena dampak, jika pemberitahuan tersebut diwajibkan berdasarkan Undang-Undang Perlindungan Data.

7. Sub-Prosesor

7.a Botpress dapat melibatkan Sub-Pemroses untuk Memproses Data Pribadi. Sub-Pemroses saat ini tercantum pada Jadwal 3, setiap perubahan pada Sub-Pemroses akan diberitahukan kepada Pelanggan.

7.b Botpress memilih Sub-Pemroses yang menawarkan upaya perlindungan data yang memberikan setidaknya tingkat perlindungan yang sama untuk Data Pribadi seperti yang ada dalam DPA ini (termasuk, jika sesuai, Klausul Kontrak Standar), sejauh yang berlaku untuk sifat layanan yang disediakan oleh Sub-Pemroses tersebut. Botpress tetap bertanggung jawab atas kepatuhan setiap Sub-Pemroses terhadap kewajiban DPA ini dan untuk setiap tindakan atau kelalaian Sub-Pemroses tersebut yang menyebabkan pelanggaran terhadap salah satu kewajiban Botpressdi bawah DPA ini.

7.c Jika Botpress Memproses Data Eropa atas nama Pelanggan, Pelanggan dapat mengajukan keberatan kepada Sub-Pemroses baru, untuk alasan yang wajar berdasarkan perlindungan data. Jika diberitahu tentang keberatan semacam itu, Botpress setuju untuk mendiskusikan masalah ini dengan itikad baik untuk mencapai resolusi yang wajar secara komersial. Jika tidak ada resolusi seperti itu yang dapat dicapai, Botpress dapat memilih untuk mengabaikan penunjukan Sub-Pemroses baru, atau mengizinkan Pelanggan untuk mengakhiri langganannya ke bagian Layanan Perangkat Lunak yang mengandalkan Sub-Pemroses baru tersebut tanpa tanggung jawab kepada salah satu pihak (tetapi tanpa mengurangi biaya apa pun yang timbul sebelum penghentian).

7.d Jika diwajibkan oleh hukum atau berdasarkan Klausul Kontrak Standar, Botpress akan melakukan upaya yang wajar untuk menyediakan informasi yang diperlukan Pelanggan tentang perjanjian Botpressdengan Sub-Pemroses. Pelanggan setuju bahwa beberapa informasi dapat disunting dari perjanjian tersebut atau diberikan secara rahasia.

8. Pemindahan Data Pribadi

8.a Pemrosesan Data Pribadi selain Data Eropa oleh entitas Grup Botpress akan dilakukan di yurisdiksi mana pun di mana pemrosesan tersebut diizinkan oleh hukum yang berlaku di Yurisdiksi Privasi.

8.b Pemrosesan Data Eropa akan dilakukan secara eksklusif:

a) Di Eropa;

b) dalam yurisdiksi yang memberikan tingkat perlindungan yang memadai berdasarkan keputusan Komisi Eropa berdasarkan Hukum Perlindungan Data yang berlaku;

c) di yurisdiksi mana pun, oleh organisasi atau entitas yang menawarkan perlindungan yang sesuai, termasuk melalui Klausul Kontrak Standar;

d) di yurisdiksi mana pun, dengan persetujuan tertulis dari Pelanggan atau Subjek Data terkait.

8.c Ketika Pemrosesan Data Eropa dilakukan di Negara Ketiga, para pihak akan dianggap telah menandatangani Klausul Kontrak Standar hanya sehubungan dengan Data Pribadi yang relevan dan Pemrosesan yang relevan. Para pihak setuju bahwa untuk tujuan Klausul Kontrak Standar:

a) Jika Pelanggan adalah Pengendali dan Botpress adalah Pemroses, Modul 2 (Pengendali ke Pemroses) akan berlaku.

b) Jika Pelanggan adalah Pemroses dan Botpress adalah sub-pemroses, Modul 3 (Pemroses ke Pemroses) akan berlaku.

c) Sehubungan dengan Data Penggunaan, Modul 1 (Pengendali ke Pengendali) akan berlaku.

d) dalam Klausul 7 Klausul Kontrak Standar, klausul docking opsional tidak berlaku;

e) dalam Klausul 9 Klausul Kontrak Standar, Opsi 2 akan berlaku dan jangka waktu untuk pemberitahuan tertulis sebelumnya tentang perubahan sub-pemroses adalah 10 hari;

f) dalam Klausul 11 Klausul Kontrak Standar, bahasa opsional tidak akan berlaku;

g) dalam Klausul 17 (Opsi 1), Klausul Kontrak Standar akan diatur oleh hukum Irlandia;

h) dalam Klausul 18(b) Klausul Kontrak Standar, perselisihan akan diselesaikan di pengadilan Irlandia;

i)Botpress akan menjadi "importir data" dan Pelanggan akan menjadi "pengekspor data" (atas nama dirinya sendiri dan Afiliasi yang Diizinkan);

j) informasi yang relevan yang ditetapkan dalam Jadwal 1 dan Jadwal 2 dari DPA ini akan dianggap termasuk dalam Lampiran Klausul-Klausul Kontrak Standar;

k) jika dan sepanjang Klausula Kontrak Baku bertentangan dengan ketentuan dalam DPA ini, Klausula Kontrak Baku akan berlaku sepanjang tidak bertentangan.

8.d Transfer Swiss dan Inggris Raya. Sejauh transfer Data Pribadi antara Pelanggan dan Botpress dan/atau Sub-Pemroses tunduk pada Hukum Perlindungan Data Swiss atau Inggris, Klausul Kontrak Standar akan dianggap telah diubah untuk mencerminkan persyaratan Hukum Perlindungan Data Swiss dan Inggris yang berlaku, termasuk referensi ke undang-undang, hukum yang berlaku, serta otoritas dan pengadilan yang berwenang.

9. Pemrosesan CCPA

9.a Saat memproses Informasi Pribadi California sesuai dengan instruksi Pelanggan, para pihak mengakui dan menyetujui bahwa Pelanggan adalah Bisnis dan Botpress adalah Penyedia Layanan untuk tujuan CCPA. Para pihak setuju bahwa Botpress akan Memproses Informasi Pribadi California sebagai Penyedia Layanan secara ketat untuk tujuan melakukan Layanan Perangkat Lunak dan Layanan Profesional berdasarkan Perjanjian ("Tujuan Bisnis") atau sebagaimana diizinkan oleh CCPA.

10. Permintaan Pihak Ketiga

10.a Pelanggan bertanggung jawab untuk memenuhi permintaan apa pun dari Subjek Data atau Regulator sehubungan dengan Data Pribadi mereka dan Pelanggan harus menggunakan fitur Layanan Perangkat Lunak yang tersedia untuk mengambil informasi yang relevan tentang pemrosesan Data Pribadi.

10.b Jika Pelanggan tidak dapat secara mandiri menangani permintaan Subjek Data atau Regulator ("Permintaan"), Botpress akan memberikan bantuan yang wajar kepada Pelanggan, untuk menanggapi setiap permintaan tersebut yang berkaitan dengan Pemrosesan Data Pribadi berdasarkan Perjanjian. Kecuali jika dan sejauh permintaan didasarkan pada kegagalan Botpress untuk menghormati kewajibannya berdasarkan DPA ini, Pelanggan harus mengganti biaya yang wajar kepada Botpress untuk biaya yang wajar dalam memberikan bantuan kepada Pelanggan.

10.c Jika Permintaan atau komunikasi lain terkait Pemrosesan Data Pribadi berdasarkan Perjanjian dibuat secara langsung ke Botpress, Botpress akan segera memberi tahu Pelanggan dan akan menyarankan Subjek Data atau Regulator untuk mengirimkan Permintaan mereka secara langsung kepada Pelanggan. Pelanggan akan bertanggung jawab penuh untuk menanggapi secara substantif setiap Permintaan atau komunikasi yang melibatkan Data Pribadi.

11. Audit yang berkaitan dengan data pribadi

11.a Atas permintaan dan pemberitahuan yang wajar kepada Botpress, Pelanggan diberi wewenang, dengan biaya sendiri, untuk melakukan verifikasi yang diperlukan untuk memastikan bahwa Data Pribadi yang diproses oleh Botpress atas nama Pelanggan diproses sesuai dengan instruksi Pelanggan. Atas permintaan Pelanggan, Botpress akan mengizinkan audit dan pemeriksaan pemrosesan yang dilakukan oleh Botpress. Audit semacam itu dapat dilakukan oleh Pelanggan dan / atau pihak ketiga (dipilih oleh Pelanggan dan diterima secara wajar oleh Botpress) yang bertindak atas nama Pelanggan. Pelanggan harus mengambil semua tindakan yang diperlukan untuk menghindari kerusakan atau gangguan pada tempat, peralatan, personel, dan bisnis entitas Grup Botpress .

Botpress 11.b Pelanggan dan Botpress harus menyetujui terlebih dahulu sifat, ruang lingkup, dan durasi audit apa pun oleh Pelanggan, dan Pelanggan harus mengganti semua biaya yang wajar yang terkait dengan audit tersebut, yang dapat diperkirakan atas permintaan Pelanggan sebelum dimulainya audit. Sejauh mungkin, setiap persyaratan audit Pelanggan harus dipenuhi melalui laporan audit pihak ketiga yang disediakan oleh Botpress, jika tersedia.

11.c Jika Botpress Memproses Data Eropa atas nama Pelanggan, Botpress akan memberikan kepada Pelanggan, atas permintaan yang wajar, (secara rahasia) (i) salinan ringkasan laporan pengujian keamanannya dan (ii) tanggapan tertulis atas semua permintaan informasi yang wajar yang dibuat oleh Pelanggan yang diperlukan untuk mengonfirmasi kepatuhan Botpress terhadap DPA ini, asalkan Pelanggan tidak boleh menggunakan hak tersebut lebih dari sekali per tahun kalender kecuali jika Pelanggan dapat menunjukkan alasan yang masuk akal untuk mencurigai ketidakpatuhan Botpressterhadap DPA.

12. Pembatasan Tanggung Jawab

12.a Tanggung jawab Botpress'dan Afiliasinya, yang diambil secara agregat, yang timbul dari atau terkait dengan DPA ini (dan DPA lainnya antara para pihak) dan Klausul Kontrak Standar (jika ada), baik dalam kontrak, kesalahan atau di bawah teori tanggung jawab lainnya, akan terbatas pada jumlah agregat Biaya yang dibayarkan oleh Pelanggan kepada Botpress sebagai pertimbangan untuk Layanan selama periode 12 bulan sebelum kejadian yang menimbulkan tanggung jawab.

13. Yurisdiksi

Kecuali diwajibkan lain oleh Hukum Perlindungan Data yang berlaku, DPA ini akan diatur dan ditafsirkan sesuai dengan hukum yang berlaku untuk Perjanjian dan setiap perselisihan mengenai Perjanjian ini akan diselesaikan oleh pengadilan yang kompeten di yurisdiksi yang ditunjukkan dalam Proposal.

Sejauh Hukum Perlindungan Data mengharuskan DPA ini diatur oleh hukum negara anggota Uni Eropa, DPA ini akan diatur oleh hukum Irlandia dan perselisihan mengenai Perjanjian ini akan diselesaikan oleh pengadilan Irlandia.

14. Umum

14.a Prioritas. Apabila terdapat ketidaksesuaian antara ketentuan-ketentuan dalam DPA ini dengan ketentuan lain dalam Perjanjian, maka ketentuan-ketentuan dalam DPA akan selalu didahulukan, kecuali dan sepanjang secara tegas diatur bahwa ketentuan lain dalam Perjanjian akan didahulukan atau ketentuan dalam DPA ini dikesampingkan atau dimodifikasi.

14.b Amandemen. Botpress dapat mengubah DPA ini untuk mencerminkan perubahan dalam praktik pemrosesan datanya. Setiap perubahan selain perubahan untuk memperjelas bahasa (yang akan dikomunikasikan secara rutin kepada Pelanggan) akan disampaikan kepada Pelanggan dan tidak akan berlaku kecuali jika diterima oleh Pelanggan. Jika modifikasi DPA ini diwajibkan oleh hukum yang berlaku, Nasabah akan

memiliki pilihan untuk menerima modifikasi tersebut atau menghentikan langganannya atas Layanan Perangkat Lunak.

14.c Keterpisahan. Apabila terdapat ketentuan-ketentuan tertentu dalam DPA ini yang dianggap tidak sah atau tidak dapat dilaksanakan, maka keabsahan dan keberlakuan ketentuan-ketentuan lainnya dalam DPA ini tidak akan terpengaruh.

Jadwal 1 - Rincian Pemrosesan

Identifikasi Pengontrol

Pelanggan

Narahubung : orang yang diidentifikasi dalam Proposal yang diterima oleh Pelanggan. Identifikasi Pemroses

Jika Pelanggan berlokasi di Kanada: Technologies Botpress Inc.

Jika Pelanggan berada di tempat lain: Botpress, Inc.

Narahubung:

Jean-Bernard Perrron

[email protected]

Kategori Subjek Data

Pelanggan dapat mengirimkan Data Pribadi selama menggunakan Layanan Perangkat Lunak, yang mana hal ini ditentukan dan dikendalikan oleh Pelanggan atas kebijakannya sendiri, dengan tunduk pada persyaratan layanan yang berlaku, dan yang dapat mencakup, namun tidak terbatas pada Data Pribadi yang berkaitan dengan kategori Subyek Data berikut ini:

• Individu yang menggunakan Perangkat Lunak atas nama Pelanggan
• Pengguna Akhir Bot Pelanggan

Kategori Data Pribadi

Pelanggan dapat mengirimkan Data Pribadi ke Layanan Perangkat Lunak dan dapat mengizinkan Pengguna Akhir untuk mengirimkan Data Pribadi ke Layanan Perangkat Lunak, yang mana hal ini ditentukan dan dikendalikan oleh Pelanggan atas kebijakannya sendiri, dengan tunduk pada ketentuan layanan yang berlaku.

Layanan Perangkat Lunak tidak dirancang untuk tujuan Memproses data sensitif, Pelanggan harus bertanggung jawab untuk menentukan kesesuaian Layanan Perangkat Lunak untuk Memproses data sensitif.

Botpress akan memproses informasi kontak tentang Pengguna Resmi (nama, email, telepon) dan data penggunaan dan perilaku tentang penggunaan produk untuk dukungan teknis dan tujuan statistik.

Sifat Pemrosesan

• Penyimpanan dan Pemrosesan lain yang diperlukan untuk menyediakan, memelihara, dan meningkatkan Layanan yang diberikan kepada Pelanggan;
• Pengungkapan sesuai dengan Perjanjian (termasuk DPA ini) dan/atau sebagaimana diwajibkan oleh hukum yang berlaku;
• Botpress akan Memproses Data Pribadi sebagaimana diperlukan untuk menyediakan Layanan sesuai dengan Perjanjian, dan sebagaimana diinstruksikan lebih lanjut oleh Pelanggan dalam penggunaan Layanan.
• Botpress Memproses Data Penggunaan untuk memberikan dukungan teknis dan untuk tujuan statistik (untuk peningkatan dan pengembangan produk).

Jangka waktu penyimpanan Data Pribadi

Tunduk pada kewajiban Botpressuntuk menghapus atau mengembalikan data kepada Pelanggan, berdasarkan Perjanjian, Botpress akan Memproses Data Pribadi selama durasi Perjanjian, kecuali jika disepakati lain secara tertulis.

Jadwal 2 - Tindakan Keamanan

1. Tata Kelola

Botpress menerapkan kebijakan dan prosedur yang tepat terkait Data Pribadi, termasuk:

• Prosedur Keamanan Informasi;
• Kebijakan tentang penggunaan Data Pribadi ;
• Prosedur Pelaporan Insiden Keamanan dan Privasi ;
• Mekanisme Penilaian Risiko;
• Prosedur Audit Internal ;
• Tindakan-tindakan Kontraktual;

2. Akses Pengguna

• Fungsi dan tanggung jawab pengguna Botpress dan profil pengguna yang memiliki akses ke Data Pribadi dan sistem informasi didefinisikan dengan jelas.
• Botpress mengadopsi langkah-langkah untuk memberi tahu penggunanya tentang aturan keamanan yang memengaruhi pelaksanaan tugas mereka dan konsekuensinya jika mereka melanggar aturan ini.
• Protokol teks yang jelas tidak digunakan untuk mengakses atau mentransfer Data Pribadi. Hanya protokol SSL yang diterima untuk operasi ini.
• Botpress memastikan keamanan proses dan prosedur penanganan atau pembuangan media fisik atau peralatan yang mungkin berisi Data Pribadi.
• Data Pribadi dipisahkan secara fisik, atau dipisahkan secara logis jika berada di database atau lingkungan virtual, dari data Botpress lainnya. Jika Data Pribadi tidak dipisahkan secara fisik dari data, sistem, atau aplikasi lain yang tidak terkait dengan Pelanggan, Botpress menerapkan kontrol keamanan yang sesuai, termasuk kontrol akses.

3. Kontrol akses

Botpress memelihara server, basis data yang relevan, dan komponen perangkat keras dan/atau perangkat lunak lainnya yang menyimpan Data Pribadi di pusat data yang aman dengan akses yang dikontrol dan dipantau agar hanya personel yang berwenang yang dapat mengaksesnya.

Botpress menerapkan langkah-langkah kontrol akses logis yang efektif pada semua sistem yang digunakan untuk membuat, mengirimkan, atau memproses Data Pribadi, langkah-langkah tersebut termasuk, namun tidak terbatas pada:

• Otentikasi pengguna, yang harus menggunakan pengidentifikasi unik ("ID pengguna") dan nama.
• Strategi kata sandi yang cukup rumit dan kuat.

• Hak akses/keistimewaan pengguna terhadap sumber daya informasi yang mengandung Data Pribadi harus diberikan atas dasar kebutuhan untuk mengetahui terkait dengan tugas dan tanggung jawab pengguna.
• Akses pengguna ke sistem komputer yang mengizinkan akses ke Data Pribadi akan dihapus segera setelah pengguna meninggalkan perusahaan atau jika pengguna berganti pekerjaan dan pekerjaan baru tersebut tidak memerlukan akses.
• Kata sandi default dan pengaturan keamanan harus diubah dalam produk/aplikasi pihak ketiga yang digunakan untuk mendukung Data Pribadi.
• Penyedia layanan pihak ketiga harus tunduk pada persyaratan dan kewajiban keamanan yang setara dengan pengguna resmi Botpress saat memproses Data Pribadi.
• Validasi ulang tahunan atas pembenaran akun pengguna dan otorisasi terkait dengan akses ke informasi pribadi.

4. Arsitektur keamanan jaringan

Botpress menerapkan langkah-langkah kontrol akses jaringan yang efektif pada semua sistem yang digunakan untuk membuat, mengirimkan, atau memproses Data Pribadi, langkah-langkah tersebut termasuk, namun tidak terbatas pada:

• Firewall beroperasi setiap saat dan dipasang di batas jaringan antara jaringan internal (pribadi) Botpress dan jaringan publik (Internet).
• Sistem deteksi dan pencegahan penyusupan yang dikonfigurasi dan dipantau dengan benar digunakan pada jaringan Botpress .
• Hanya layanan/proses dan port yang diperlukan untuk menjalankan program rutin yang diaktifkan pada basis data dan sistem informasi lain yang digunakan untuk memproses Data Pribadi. Semua layanan/proses lain pada host dinonaktifkan.
• Semua sistem informasi, repositori, dan sistem lain yang digunakan untuk memproses Data Pribadi harus secara fisik berada di lingkungan pusat data yang terkendali dan digunakan untuk tujuan melindungi sistem informasi.
• Saluran aman (misalnya, TLS, SFTP, SSH, IPSEC, dll.) harus digunakan secara konsisten untuk komunikasi ke pusat data Botpress .

5. Kontrol Manajemen Kerentanan

Botpress menerapkan kontrol manajemen kerentanan yang efektif pada semua sistem yang digunakan untuk membuat, mengirimkan, atau memproses Data Pribadi, tindakan tersebut termasuk namun tidak terbatas pada:

• Penyebaran perangkat pencegahan dan pendeteksian jaringan untuk membantu menyaring email phishing dan malware sebelum mencapai workstation yang dikelola oleh Botpress dan memiliki akses langsung atau tidak langsung ke Data Pribadi.
• Penyebaran perangkat lunak pencegahan dan pendeteksian anti-virus dan anti-malware pada semua workstation yang dikelola oleh Botpress dan pemrosesan Data Pribadi.
• Mempertahankan proses dan praktik manajemen tambalan standar untuk memastikan perlindungan semua perangkat yang digunakan untuk mengakses, memproses, atau menyimpan Data Pribadi.

• Perangkat dan dokumen yang berisi Data Pribadi harus memungkinkan identifikasi informasi yang diakses, diinventarisasi, dan hanya dapat diakses oleh pengguna yang memiliki wewenang untuk mengakses data sesuai dengan dokumen keamanan.
• Tindakan untuk mencegah pencurian, kehilangan, atau akses tidak sah ke Data Pribadi selama operasi transmisi dan transfer.

6. Pencadangan, pemulihan, dan ketersediaan data

Botpress mengimplementasikan rencana pemulihan bencana dan kelangsungan bisnis berikut ini untuk meminimalkan waktu henti maksimum dan kehilangan data.

• Botpress menerapkan fungsi pemulihan bencana yang dirancang untuk memulihkan fungsionalitas sistem yang berisi Data Pribadi dalam jangka waktu yang disepakati oleh para pihak atau, jika tidak, dalam jangka waktu yang wajar mengingat sifat Data Pribadi.
• Botpress harus secara sistematis memastikan bahwa Data Pribadi tidak dapat diakses selain oleh personel Botpress yang berwenang (misalnya, cadangan eksternal harus dienkripsi secara sistematis).
• Untuk mengurangi risiko dari ancaman lingkungan, bahaya dan peluang untuk peralatan akses yang tidak sah harus ditempatkan jauh dari lokasi yang memiliki risiko lingkungan probabilitas tinggi dan dilengkapi dengan peralatan yang berlebihan yang terletak pada jarak yang wajar.
• Mekanisme keamanan dan redundansi harus diterapkan untuk melindungi peralatan dari pemadaman layanan utilitas (misalnya, kegagalan daya, gangguan jaringan, dll.).
• Kebijakan dan prosedur untuk penyimpanan dan penyimpanan data harus dibuat dan mekanisme pencadangan atau redundansi diimplementasikan untuk memastikan kepatuhan terhadap persyaratan peraturan, undang-undang, kontrak atau bisnis. Pengujian pemulihan cadangan disk atau tape harus dilaksanakan pada interval yang direncanakan.

7. Audit keamanan

Botpress menerapkan kontrol pada semua sistem yang digunakan untuk membuat, mengirimkan, atau memproses Data Pribadi, kontrol tersebut termasuk, namun tidak terbatas pada:

• Pemindaian kerentanan pihak ketiga atau audit terhadap perangkat infrastruktur yang berhadapan dengan pihak luar (publik) yang berisi Data Pribadi.
• Pengujian penetrasi pihak ketiga terhadap sistem Botpress yang menyimpan dan memproses Data Pribadi.
• Evaluasi pihak ketiga secara berkala di mana aplikasi atau proses mendukung informasi keuangan.
• Botpress berjanji untuk menangani semua kerentanan yang diidentifikasi sebagai hasil dari tes penetrasi dan untuk memberi tahu Pelanggan tentang tindakan perbaikan.

8. Pelatihan dan kesadaran

Botpress menerapkan program kesadaran keamanan bagi karyawan dan penyedia layanan yang berinteraksi dengan sistem yang menangani Data Pribadi, termasuk:

• Botpress harus memastikan bahwa stafnya memiliki pemahaman tentang ancaman dan masalah manajemen risiko informasi yang berkaitan dengan Layanan Botpress dan kebijakan manajemen risiko informasi yang relevan.
• Botpress Staf harus menerima pelatihan dan pembaruan rutin mengenai kebijakan dan prosedur manajemen risiko informasi yang relevan dengan skema klasifikasi manajemen risiko standar dan prosedur yang sesuai.
• Staf sub-kontraktor harus mengetahui skema klasifikasi manajemen risiko informasi Botpress dan prosedur yang sesuai.
• Kebijakan dan prosedur harus dibuat untuk membersihkan dokumen yang terlihat yang berisi data sensitif ketika ruang kerja tidak dijaga dan pemberlakuan logout sesi stasiun kerja untuk periode tidak aktif.

Jadwal 3 - Sub-Prosesor Kecuali dinyatakan lain, lokasi pemrosesan adalah : AMERIKA SERIKAT.

Layanan Web Amazon

• AWS menjadi tuan rumah layanan cloud kami dan semua Data Pelanggan.
• AWS memproses informasi analitik tentang penggunaan layanan cloud Botpress .

Google Analytics

• Google Analytics memproses informasi analitik tentang penggunaan layanan cloud Botpress .

Freshdesk

• Freshdesk menyediakan layanan meja bantuan.
• Freshdesk memproses semua data yang diberikan oleh pengguna untuk tujuan dukungan teknis.

Hotjar

• Kami menggunakan layanan Hotjar pada layanan ini.
• Hotjar memberikan informasi tentang perilaku pengunjung layanan.

OpenAI

• OpenAI digunakan untuk memproses input teks pengguna untuk menghasilkan respons teks.

Panel campuran

• Mixpanel digunakan untuk mengumpulkan analisis penggunaan produk dan situs web, yang digunakan untuk meningkatkan layanan.

Intercom

• Intercom digunakan untuk memberikan dukungan langsung kepada pengunjung layanan dan Situs Web.