Perjanjian Pemprosesan Data

Perjanjian Pemprosesan Data Botpress (DPA)

DPA ini adalah tambahan dan menjadi sebahagian daripada perjanjian antara entiti kumpulan Botpress yang dikenal pasti dalam Terma Perkhidmatan dan Pelanggan. DPA ini berkuat kuasa apabila ia dimasukkan ke dalam perjanjian tersebut melalui rujukan.

1. Definisi

1.a Istilah berhuruf besar yang tidak ditakrifkan di sini mempunyai maksud seperti yang diberikan dalam Perjanjian.

1.b Dalam DPA ini:

(a) “Perjanjian” mempunyai maksud seperti yang diberikan dalam Terma Perkhidmatan.

(b) “Kumpulan Botpress” bermaksud Botpress dan mana-mana syarikat gabungannya.

(c) “Maklumat Peribadi California” bermaksud Data Peribadi yang tertakluk kepada perlindungan CCPA.

(d) “Undang-undang Perlindungan Data Kanada” bermaksud Personal Information Protection and Electronic Documents Act, SC 2000, c 5 dan Akta berkaitan perlindungan maklumat peribadi dalam sektor swasta, CQLR c P-39.1 seperti yang mungkin dipinda, diganti atau digantikan.

(e) “CCPA” bermaksud California Civil Code Seksyen 1798.100 et seq. (juga dikenali sebagai California Consumer Privacy Act 2018).

(f) “Pengguna”, “Perniagaan”, “Jual” dan “Penyedia Perkhidmatan” akan mempunyai maksud seperti yang diberikan dalam CCPA.

(g) “Pengawal” bermaksud mana-mana Individu yang, bersendirian atau bersama-sama dengan pihak lain, menentukan tujuan dan cara Pemprosesan Data Peribadi.

(h) “Undang-undang Perlindungan Data” bermaksud semua undang-undang berkaitan perlindungan data dan privasi yang terpakai di seluruh dunia yang terpakai kepada mana-mana pihak dalam DPA ini, termasuk tanpa had Undang-undang Perlindungan Data Eropah, Undang-undang Perlindungan Data Kanada dan CCPA, dalam setiap kes seperti yang dipinda, dimansuhkan, disatukan atau digantikan dari semasa ke semasa.

(i) “Subjek Data” bermaksud individu yang berkaitan dengan Data Peribadi.

(j) “Eropah” bermaksud Kesatuan Eropah, Kawasan Ekonomi Eropah dan/atau negara ahlinya, Switzerland dan United Kingdom.

(k) “Undang-undang Perlindungan Data Eropah” bermaksud undang-undang perlindungan data yang terpakai di Eropah, seperti yang mungkin dipinda, diganti atau digantikan.

(l) “Data Eropah” bermaksud Data Peribadi yang tertakluk kepada perlindungan Undang-undang Perlindungan Data Eropah.

(m) “Gabungan Dibenarkan” bermaksud mana-mana Gabungan Pelanggan yang (i) dibenarkan menggunakan Perkhidmatan Perisian mengikut Perjanjian, (ii) layak sebagai Pengawal Data Peribadi yang Diproses oleh Botpress, dan (iii) tertakluk kepada Undang-undang Perlindungan Data Eropah.

(n) “Orang” hendaklah ditafsirkan secara meluas dan termasuk mana-mana individu, syarikat, syarikat liabiliti terhad, perkongsian terhad, syarikat, persatuan, perkongsian, amanah atau harta pusaka, usaha sama, entiti kerajaan atau bahagian politiknya, atau mana-mana entiti lain.

(o) “Data Peribadi” bermaksud sebarang maklumat yang berkaitan dengan individu yang dikenal pasti atau boleh dikenal pasti.

(p) “Pemprosesan” atau “Proses” bermaksud sebarang operasi atau set operasi yang dilakukan oleh Pemproses ke atas Data Peribadi, sama ada secara automatik atau tidak;

(q) “Pemproses” bermaksud Individu yang Memproses Data Peribadi bagi pihak Pengawal.

(r) “Pengawal Selia” bermaksud, jika berkenaan, mana-mana Individu atau agensi penguatkuasaan undang-undang atau lain-lain yang mempunyai kuasa kawal selia, penyeliaan atau kerajaan (sama ada di bawah skim statutori atau sebaliknya) ke atas semua atau mana-mana bahagian Pemprosesan Data Peribadi berkaitan dengan penyediaan atau penerimaan Perkhidmatan, termasuk, tanpa had, pihak berkuasa penyeliaan perlindungan data Eropah;

(s) “Pelanggaran Keselamatan” bermaksud pelanggaran keselamatan yang menyebabkan kemusnahan, kehilangan, perubahan, pendedahan tanpa kebenaran, atau akses tanpa kebenaran secara tidak sengaja atau menyalahi undang-undang ke atas Data Peribadi yang dihantar, disimpan atau diproses oleh Botpress dan/atau Sub-Pemproses berkaitan dengan penyediaan Perkhidmatan, tidak termasuk kejadian yang tidak menjejaskan keselamatan Data Peribadi, termasuk cubaan log masuk yang tidak berjaya, ping, imbasan port, serangan penafian perkhidmatan, dan serangan rangkaian lain ke atas firewall atau sistem rangkaian.

(t) “Perkhidmatan” bermaksud Perkhidmatan Perisian atau Perkhidmatan Profesional yang disediakan oleh mana-mana entiti Kumpulan Botpress kepada Pelanggan atau Gabungannya.

(u) “Klausa Kontrak Piawai” bermaksud klausa kontrak piawai yang dilampirkan pada Keputusan Suruhanjaya Eropah (EU) 2021/914 bertarikh 4 Jun 2021; seperti yang mungkin dipinda, diganti atau digantikan.

(v) “Sub-Pemproses” bermaksud mana-mana Pemproses yang dilantik oleh Botpress atau Gabungan Botpress untuk membantu memenuhi kewajipan Botpress berkaitan dengan penyediaan Perkhidmatan di bawah Perjanjian. Sub-Pemproses boleh termasuk pihak ketiga atau Gabungan Botpress tetapi tidak termasuk individu yang diambil bekerja atau dilantik oleh Botpress.

(w) “Negara Ketiga” bermaksud bidang kuasa atau penerima: (i) yang tidak diiktiraf oleh Suruhanjaya Eropah sebagai menyediakan tahap perlindungan data peribadi yang mencukupi; dan (ii) yang tidak dilindungi oleh rangka kerja yang sesuai yang diiktiraf oleh pihak berkuasa atau mahkamah berkaitan sebagai menyediakan tahap perlindungan data peribadi yang mencukupi;

(x) “Data Penggunaan” bermaksud data berkaitan Penggunaan Perisian oleh Pengguna Dibenarkan, yang mungkin mengandungi Data Peribadi jika perlu untuk mengenal pasti pengguna individu tetapi tidak termasuk sebarang Data Perbualan. Data Penggunaan boleh termasuk Data Peribadi tentang pekerja dan kontraktor Pelanggan tetapi bukan tentang pengguna akhir yang berinteraksi dengan Bot Pelanggan.

2. Peranan pihak-pihak

2.a Dalam Pemprosesan Data Perbualan melalui Perkhidmatan, pihak-pihak mengakui dan bersetuju bahawa Pelanggan bertindak sebagai Pengawal dan Botpress bertindak sebagai Pemproses.

2.b Jika Pelanggan bertindak sebagai Pemproses bagi pihak Pengawal, Botpress akan dianggap sebagai sub-pemproses kepada Pelanggan.

2.c Botpress akan menjadi Pengawal berkenaan dengan Data Penggunaan.

3. Pematuhan terhadap Undang-undang Perlindungan Data

3.a Setiap pihak hendaklah menjalankan sebarang pemprosesan Data Peribadi mengikut semua Undang-undang Perlindungan Data yang terpakai.

3.b Botpress tidak bertanggungjawab untuk pematuhan terhadap mana-mana Undang-undang Perlindungan Data yang terpakai kepada Pelanggan atau industri Pelanggan yang tidak terpakai secara umum kepada Botpress.

3.c Jika Botpress menyedari bahawa ia tidak boleh Memproses Data Peribadi mengikut arahan Pelanggan disebabkan keperluan undang-undang di bawah mana-mana undang-undang yang terpakai, Botpress akan (i) segera memaklumkan Pelanggan tentang keperluan undang-undang tersebut setakat yang dibenarkan oleh undang-undang yang terpakai; dan (ii) jika perlu, menghentikan semua Pemprosesan (selain hanya menyimpan dan mengekalkan keselamatan Data Peribadi yang terjejas) sehingga Pelanggan mengeluarkan arahan baharu yang mematuhi undang-undang yang terpakai. Jika peruntukan ini digunakan, Botpress tidak akan bertanggungjawab kepada Pelanggan di bawah Perjanjian untuk sebarang kegagalan melaksanakan Perkhidmatan Perisian atau Perkhidmatan Profesional yang berkaitan sehingga Botpress secara munasabah menentukan bahawa arahan Pelanggan adalah sah.

4. Kewajipan Botpress

4.a Botpress hanya akan Memproses Data Peribadi untuk tujuan yang dinyatakan dalam DPA ini atau seperti yang dipersetujui dalam skop arahan sah yang diterima daripada Pelanggan, kecuali jika dan setakat yang dikehendaki oleh undang-undang yang terpakai.

4.b Botpress hendaklah melaksanakan dan mengekalkan langkah teknikal dan organisasi yang sesuai untuk melindungi Data Peribadi daripada Insiden Keselamatan, termasuk seperti yang diterangkan di Jadual 2 DPA ini (“Langkah Keselamatan”). Botpress boleh mengubah suai atau mengemas kini Langkah Keselamatan mengikut budi bicara mereka asalkan perubahan tersebut tidak menyebabkan penurunan ketara dalam perlindungan yang ditawarkan oleh Langkah Keselamatan.

4.c Botpress hendaklah menganggap Data Peribadi sebagai maklumat sulit Pelanggan dan akan memastikan mana-mana pekerja atau kontraktornya yang diberi kuasa untuk mengakses atau Memproses Data Peribadi tertakluk kepada kewajipan kerahsiaan yang sesuai (sama ada kontrak atau statutori) berkaitan Data Peribadi tersebut.

4.d Botpress akan memadam atau memulangkan semua Data Peribadi yang Diproses mengikut DPA ini, apabila Perjanjian ditamatkan atau tamat tempoh. Botpress boleh menyimpan salinan Data Peribadi jika dikehendaki oleh undang-undang yang berkenaan, atau jika Data Peribadi telah diarkibkan dalam sistem sandaran, di mana data tersebut akan diasingkan dengan selamat dan dilindungi daripada sebarang Pemprosesan lanjut serta dipadam mengikut amalan pemadaman yang berkenaan.

5. Tanggungjawab Pelanggan

5.a Pelanggan bertanggungjawab memastikan penggunaan Perkhidmatan Perisian atau Perisian adalah selaras dengan semua Undang-Undang Perlindungan Data yang berkenaan, termasuk memastikan bahawa (i) ia diberi kuasa untuk melantik Botpress bagi Memproses Data Peribadi bagi pihaknya mengikut DPA ini, (ii) ia mempunyai hak untuk memindahkan, atau memberikan akses kepada, Data Peribadi kepada Botpress untuk Diproses mengikut terma Perjanjian (termasuk DPA ini), (iii) memastikan arahan Pelanggan berkaitan Pemprosesan Data Peribadi mematuhi undang-undang yang berkenaan, termasuk Undang-Undang Perlindungan Data;

5.b Pelanggan hendaklah segera memaklumkan Botpress secara bertulis jika mempunyai sebab untuk mempercayai atau telah dimaklumkan bahawa Pemprosesan Data Peribadi yang dilakukan oleh Pelanggan melalui Perkhidmatan adalah atau mungkin melanggar undang-undang yang berkenaan, termasuk Undang-Undang Perlindungan Data.

5.c Pelanggan bertanggungjawab untuk menentukan sama ada langkah-langkah keselamatan yang dilaksanakan oleh Botpress memenuhi kewajipan Pelanggan di bawah Undang-Undang Perlindungan Data yang berkenaan. Pelanggan juga bertanggungjawab memastikan akses kepada Perkhidmatan Perisian adalah terjamin dan hanya untuk kakitangan yang diberi kuasa.

‍6. Pelanggaran Keselamatan

6.a Botpress akan segera memaklumkan Pelanggan jika menyedari sebarang Pelanggaran Keselamatan dan akan memberikan maklumat berkaitan pelanggaran tersebut secara tepat pada masanya apabila diketahui atau diminta secara munasabah oleh Pelanggan.

6.b Atas permintaan, Botpress akan segera memberikan bantuan yang munasabah kepada Pelanggan sebagaimana perlu untuk membolehkan Pelanggan memaklumkan Pelanggaran Keselamatan kepada Pengawal Selia dan/atau Subjek Data yang terjejas, jika pemakluman tersebut diperlukan di bawah Undang-Undang Perlindungan Data.

7. Sub-Pemproses

7.a Botpress boleh melantik Sub-Pemproses untuk Memproses Data Peribadi. Senarai Sub-Pemproses semasa terdapat pada Jadual 3, sebarang perubahan kepada Sub-Pemproses akan dimaklumkan kepada Pelanggan.

7.b Botpress memilih Sub-Pemproses yang menawarkan komitmen perlindungan data yang sekurang-kurangnya setara dengan perlindungan Data Peribadi seperti yang dinyatakan dalam DPA ini (termasuk, jika berkenaan, Klausa Kontrak Piawai), setakat mana yang berkenaan dengan jenis perkhidmatan yang diberikan oleh Sub-Pemproses tersebut. Botpress kekal bertanggungjawab atas pematuhan setiap Sub-Pemproses terhadap kewajipan DPA ini dan sebarang tindakan atau kelalaian Sub-Pemproses yang menyebabkan pelanggaran mana-mana kewajipan Botpress di bawah DPA ini.

7.c Jika Botpress Memproses Data Eropah bagi pihak Pelanggan, Pelanggan boleh membantah Sub-Pemproses baharu, atas alasan yang munasabah berkaitan perlindungan data. Jika dimaklumkan tentang bantahan tersebut, Botpress bersetuju untuk membincangkan perkara itu dengan niat baik bagi mencapai penyelesaian komersial yang munasabah. Jika tiada penyelesaian dicapai, Botpress boleh memilih untuk tidak melantik Sub-Pemproses baharu tersebut, atau membenarkan Pelanggan menamatkan langganan untuk bahagian Perkhidmatan Perisian yang bergantung kepada Sub-Pemproses baharu itu tanpa liabiliti kepada mana-mana pihak (tetapi tanpa menjejaskan sebarang yuran yang telah dikenakan sebelum penamatan).

7.d Jika dikehendaki oleh undang-undang atau di bawah Klausa Kontrak Piawai, Botpress akan berusaha secara munasabah untuk menyediakan maklumat yang diperlukan kepada Pelanggan mengenai perjanjian Botpress dengan Sub-Pemproses. Pelanggan bersetuju bahawa sebahagian maklumat mungkin disunting daripada perjanjian tersebut atau diberikan secara sulit.

8. Pemindahan Data Peribadi

8.a Pemprosesan Data Peribadi selain Data Eropah oleh entiti Kumpulan Botpress akan dilakukan di mana-mana bidang kuasa yang dibenarkan oleh undang-undang yang berkenaan dalam Bidang Kuasa Privasi.

8.b Pemprosesan Data Eropah hanya akan dilakukan :

a) Di dalam Eropah;

b) Di bidang kuasa yang menyediakan tahap perlindungan yang mencukupi di bawah keputusan Suruhanjaya Eropah berdasarkan Undang-Undang Perlindungan Data yang berkenaan;

c) Di mana-mana bidang kuasa, oleh organisasi atau entiti yang menawarkan perlindungan yang sesuai, termasuk melalui Klausa Kontrak Piawai;

d) Di mana-mana bidang kuasa, dengan persetujuan bertulis daripada Pelanggan atau Subjek Data yang berkenaan.

8.c Apabila Pemprosesan Data Eropah berlaku di Negara Ketiga, pihak-pihak dianggap telah memasuki Klausa Kontrak Piawai hanya untuk Data Peribadi dan Pemprosesan yang berkaitan. Pihak-pihak bersetuju bahawa bagi tujuan Klausa Kontrak Piawai :

a) Jika Pelanggan adalah Pengawal dan Botpress adalah Pemproses, Modul 2 (Pengawal kepada Pemproses) akan diguna pakai.

b) Jika Pelanggan adalah Pemproses dan Botpress adalah sub-pemproses, Modul 3 (Pemproses kepada Pemproses) akan diguna pakai.

c) Bagi Data Penggunaan, Modul 1 (Pengawal kepada Pengawal) akan diguna pakai.

d) Dalam Klausa 7 Klausa Kontrak Piawai, klausa dok pilihan tidak akan diguna pakai;

e) Dalam Klausa 9 Klausa Kontrak Piawai, Pilihan 2 akan diguna pakai dan tempoh notis bertulis awal bagi perubahan sub-pemproses ialah 10 hari;

f) Dalam Klausa 11 Klausa Kontrak Piawai, bahasa pilihan tidak akan diguna pakai;

g) Dalam Klausa 17 (Pilihan 1), Klausa Kontrak Piawai akan ditadbir oleh undang-undang Ireland;

h) Dalam Klausa 18(b) Klausa Kontrak Piawai, pertikaian akan diselesaikan di mahkamah Ireland;

i) Botpress akan menjadi "pengimport data" dan Pelanggan akan menjadi "pengeksport data" (bagi pihak sendiri dan Sekutu yang Dibenarkan);

j) maklumat yang berkaitan seperti yang dinyatakan dalam Jadual 1 dan Jadual 2 DPA ini dianggap termasuk dalam Lampiran Klausa Kontrak Piawai;

k) jika dan setakat mana Klausa Kontrak Piawai bercanggah dengan mana-mana peruntukan DPA ini, Klausa Kontrak Piawai akan mengatasi setakat mana berlaku percanggahan tersebut.

8.d Pemindahan Switzerland dan United Kingdom. Setakat mana pemindahan Data Peribadi antara Pelanggan dan Botpress dan/atau Sub-Pemproses tertakluk kepada Undang-Undang Perlindungan Data Switzerland atau United Kingdom, Klausa Kontrak Piawai dianggap dipinda untuk mencerminkan keperluan Undang-Undang Perlindungan Data Swiss dan UK yang berkenaan, termasuk rujukan kepada perundangan, undang-undang yang berkenaan serta pihak berkuasa dan mahkamah yang berwibawa.

9. Pemprosesan CCPA

9.a Apabila memproses Maklumat Peribadi California mengikut arahan Pelanggan, pihak-pihak mengakui dan bersetuju bahawa Pelanggan adalah Perniagaan dan Botpress adalah Penyedia Perkhidmatan bagi tujuan CCPA. Pihak-pihak bersetuju bahawa Botpress akan Memproses Maklumat Peribadi California sebagai Penyedia Perkhidmatan semata-mata untuk tujuan melaksanakan Perkhidmatan Perisian dan Perkhidmatan Profesional di bawah Perjanjian ("Tujuan Perniagaan") atau sebagaimana dibenarkan oleh CCPA.

10. Permintaan Pihak Ketiga

10.a Pelanggan bertanggungjawab untuk menangani sebarang permintaan daripada Subjek Data atau Pengawal Selia berkaitan Data Peribadi mereka dan Pelanggan hendaklah menggunakan ciri-ciri Perkhidmatan Perisian yang tersedia untuk mendapatkan maklumat berkaitan mengenai pemprosesan Data Peribadi.

10.b Jika Pelanggan tidak dapat menangani sendiri permintaan daripada Subjek Data atau Pengawal Selia (“Permintaan”), Botpress akan memberikan bantuan yang munasabah kepada Pelanggan, untuk membolehkan Pelanggan memberi maklum balas kepada permintaan berkaitan Pemprosesan Data Peribadi di bawah Perjanjian. Kecuali jika dan setakat mana permintaan tersebut berpunca daripada kegagalan Botpress mematuhi kewajipannya di bawah DPA ini, Pelanggan hendaklah membayar semula perbelanjaan munasabah Botpress untuk bantuan yang diberikan kepada Pelanggan.

10.c Jika Permintaan atau komunikasi lain berkaitan Pemprosesan Data Peribadi di bawah Perjanjian dibuat terus kepada Botpress, Botpress akan segera memaklumkan Pelanggan dan akan menasihati Subjek Data atau Pengawal Selia untuk mengemukakan Permintaan mereka terus kepada Pelanggan. Pelanggan akan bertanggungjawab sepenuhnya untuk memberi maklum balas substantif kepada sebarang Permintaan atau komunikasi berkaitan Data Peribadi.

11. Audit berkaitan data peribadi

11.a Atas permintaan dan dengan notis yang munasabah kepada Botpress, Pelanggan dibenarkan, atas perbelanjaan sendiri, untuk menjalankan pengesahan yang diperlukan bagi memastikan Data Peribadi yang diproses oleh Botpress bagi pihak Pelanggan diproses mengikut arahan Pelanggan. Atas permintaan Pelanggan, Botpress hendaklah membenarkan audit dan pemeriksaan ke atas pemprosesan yang dijalankan oleh Botpress. Audit ini boleh dijalankan oleh Pelanggan dan/atau pihak ketiga (yang dipilih oleh Pelanggan dan diterima secara munasabah oleh Botpress) yang bertindak bagi pihak Pelanggan. Pelanggan hendaklah mengambil semua langkah yang perlu untuk mengelakkan sebarang kerosakan atau gangguan kepada premis, peralatan, kakitangan dan perniagaan entiti Kumpulan Botpress.

11.b Pelanggan dan Botpress hendaklah bersetuju terlebih dahulu mengenai sifat, skop dan tempoh mana-mana audit oleh Pelanggan, dan Pelanggan hendaklah membayar balik kepada Botpress semua kos munasabah yang berkaitan dengan audit tersebut, yang boleh dianggarkan atas permintaan Pelanggan sebelum audit dimulakan. Jika boleh, sebarang keperluan audit oleh Pelanggan hendaklah dipenuhi melalui laporan audit pihak ketiga yang disediakan oleh Botpress, jika tersedia.

11.c Jika Botpress Memproses Data Eropah bagi pihak Pelanggan, Botpress akan menyediakan kepada Pelanggan, atas permintaan munasabah, (secara sulit) (i) salinan ringkasan laporan ujian keselamatannya dan (ii) jawapan bertulis kepada semua permintaan maklumat munasabah yang dibuat oleh Pelanggan yang diperlukan untuk mengesahkan pematuhan Botpress dengan DPA ini, dengan syarat Pelanggan tidak boleh menggunakan hak ini lebih daripada sekali setahun kecuali Pelanggan boleh menunjukkan alasan munasabah untuk mengesyaki ketidakpatuhan Botpress terhadap DPA.

12. Had Liabiliti

12.a Liabiliti Botpress dan Sekutunya, secara agregat, yang timbul daripada atau berkaitan dengan DPA ini (dan mana-mana DPA lain antara pihak-pihak) dan Klausa Kontrak Piawai (jika berkenaan), sama ada dalam kontrak, tort atau di bawah mana-mana teori liabiliti lain, akan dihadkan kepada jumlah agregat Yuran yang dibayar oleh Pelanggan kepada Botpress sebagai balasan untuk Perkhidmatan dalam tempoh 12 bulan sebelum kejadian yang menimbulkan liabiliti.

13. Bidang Kuasa

Kecuali dikehendaki sebaliknya oleh Undang-Undang Perlindungan Data yang berkenaan, DPA ini hendaklah ditadbir dan ditafsirkan mengikut undang-undang yang terpakai kepada Perjanjian dan sebarang pertikaian mengenai Perjanjian ini hendaklah diselesaikan oleh mahkamah yang berwibawa di bidang kuasa yang dinyatakan dalam Cadangan.

Setakat mana Undang-Undang Perlindungan Data memerlukan DPA ini ditadbir oleh undang-undang negara anggota Kesatuan Eropah, DPA ini hendaklah ditadbir oleh undang-undang Ireland dan pertikaian mengenai Perjanjian ini hendaklah diselesaikan oleh mahkamah Ireland.

14. Umum

14.a Keutamaan. Jika terdapat sebarang percanggahan antara mana-mana peruntukan DPA ini dan mana-mana peruntukan lain dalam Perjanjian, peruntukan DPA akan sentiasa diutamakan, kecuali dan setakat mana dinyatakan dengan jelas bahawa peruntukan lain dalam Perjanjian akan diutamakan atau bahawa peruntukan dalam DPA ini akan diketepikan atau diubah.

14.b Pindaan. Botpress boleh meminda DPA ini untuk mencerminkan perubahan dalam amalan pemprosesan datanya. Sebarang pindaan selain daripada perubahan untuk memperjelas bahasa (yang akan dimaklumkan secara rutin kepada Pelanggan) akan dikemukakan kepada Pelanggan dan tidak akan terpakai melainkan diterima oleh Pelanggan. Jika pindaan DPA ini diperlukan oleh undang-undang yang terpakai, Pelanggan akan mempunyai pilihan untuk menerima pindaan tersebut atau menamatkan langganan kepada Perkhidmatan Perisian.

14.c  Kebolehpisahan. Jika mana-mana peruntukan individu dalam DPA ini didapati tidak sah atau tidak boleh dikuatkuasakan, kesahihan dan penguatkuasaan peruntukan lain dalam DPA ini tidak akan terjejas.‍

‍

Jadual 1 – Butiran Pemprosesan

Pengenalpastian Pengawal

Pelanggan

Orang untuk Dihubungi : individu yang dikenal pasti dalam Cadangan yang diterima oleh Pelanggan.

Pengenalpastian Pemproses

Jika Pelanggan berada di Kanada : Technologies Botpress Inc. Jika Pelanggan berada di tempat lain : Botpress, Inc.

Orang untuk Dihubungi:

Jean-Bernard Perron [email protected]

Kategori Subjek Data

Pelanggan boleh menyerahkan Data Peribadi semasa menggunakan Perkhidmatan Perisian, di mana skopnya ditentukan dan dikawal sepenuhnya oleh Pelanggan, tertakluk kepada terma perkhidmatan yang berkenaan, dan mungkin termasuk, tetapi tidak terhad kepada Data Peribadi berkaitan kategori Subjek Data berikut:

• Individu yang menggunakan Perisian bagi pihak Pelanggan
• Pengguna Akhir Bot Pelanggan

Kategori Data Peribadi

Pelanggan boleh menyerahkan Data Peribadi kepada Perkhidmatan Perisian dan boleh membenarkan Pengguna Akhir menyerahkan Data Peribadi kepada Perkhidmatan Perisian, di mana skopnya ditentukan dan dikawal sepenuhnya oleh Pelanggan, tertakluk kepada terma perkhidmatan yang berkenaan.

Perkhidmatan Perisian ini tidak direka untuk tujuan Memproses data sensitif, Pelanggan bertanggungjawab menentukan kesesuaian Perkhidmatan Perisian untuk Memproses data sensitif.

Botpress akan memproses maklumat hubungan tentang Pengguna Sah (nama, e-mel, telefon) serta data penggunaan dan tingkah laku berkaitan penggunaan produk untuk sokongan teknikal dan tujuan statistik.

Sifat Pemprosesan

• Penyimpanan dan Pemprosesan lain yang diperlukan untuk menyediakan, mengekalkan dan menambah baik Perkhidmatan yang diberikan kepada Pelanggan;
• Pendedahan mengikut Perjanjian (termasuk DPA ini) dan/atau seperti yang dikehendaki oleh undang-undang yang berkenaan;
• Botpress akan Memproses Data Peribadi sebagaimana perlu untuk menyediakan Perkhidmatan mengikut Perjanjian, dan seperti yang diarahkan oleh Pelanggan dalam penggunaan Perkhidmatan.
• Botpress Memproses Data Penggunaan untuk menyediakan sokongan teknikal dan untuk tujuan statistik (bagi penambahbaikan dan pembangunan produk).

Tempoh Penyimpanan Data Peribadi

Tertakluk kepada kewajipan Botpress untuk memadam atau memulangkan data kepada Pelanggan, di bawah Perjanjian, Botpress akan Memproses Data Peribadi sepanjang tempoh Perjanjian, kecuali dipersetujui sebaliknya secara bertulis

‍

‍Jadual 2 – Langkah-langkah Keselamatan‍

1. Tadbir Urus

Botpress melaksanakan dasar dan prosedur yang sesuai berkaitan Data Peribadi, termasuk:

• Prosedur Keselamatan Maklumat;
• Dasar penggunaan Data Peribadi;
• Prosedur Pelaporan Insiden Keselamatan dan Privasi;
• Mekanisme Penilaian Risiko;
• Prosedur Audit Dalaman;
• Langkah Kontrak;

‍2. Akses Pengguna

• Fungsi dan tanggungjawab pengguna Botpress serta profil pengguna yang mempunyai akses kepada Data Peribadi dan sistem maklumat ditakrifkan dengan jelas.
• Botpress mengambil langkah untuk memaklumkan penggunanya tentang peraturan keselamatan yang berkaitan dengan pelaksanaan tugas mereka dan akibat jika melanggar peraturan tersebut.
• Protokol teks jelas tidak digunakan untuk mengakses atau memindahkan Data Peribadi. Hanya protokol SSL diterima untuk operasi ini.
• Botpress memastikan keselamatan proses dan prosedur untuk pengendalian atau pelupusan media fizikal atau peralatan yang mungkin mengandungi Data Peribadi.
• Data Peribadi dipisahkan secara fizikal, atau dipisahkan secara logik jika berada dalam pangkalan data atau persekitaran maya, daripada data Botpress yang lain. Jika Data Peribadi tidak dipisahkan secara fizikal daripada data, sistem atau aplikasi lain yang tidak berkaitan dengan Pelanggan, Botpress menggunakan kawalan keselamatan yang sesuai, termasuk kawalan akses.

3. Kawalan Akses

Botpress menyelenggara pelayan, pangkalan data berkaitan, dan komponen perkakasan dan/atau perisian lain yang menyimpan Data Peribadi di pusat data yang selamat dengan akses yang dikawal dan dipantau untuk membenarkan hanya kakitangan yang diberi kuasa.

Botpress menggunakan langkah kawalan akses logik yang berkesan pada semua sistem yang digunakan untuk mencipta, menghantar, atau memproses Data Peribadi, termasuk tetapi tidak terhad kepada:

• Pengesahan pengguna, yang mesti menggunakan pengecam unik ("ID pengguna") dan nama.
• Strategi kata laluan yang cukup kompleks dan kukuh.
  
• Hak/keistimewaan akses pengguna kepada sumber maklumat yang mengandungi Data Peribadi mesti diberikan berdasarkan keperluan berkaitan tugas dan tanggungjawab pengguna.
• Akses pengguna kepada sistem komputer yang membenarkan akses kepada Data Peribadi hendaklah dipadam serta-merta apabila pengguna tersebut meninggalkan organisasi atau jika pengguna bertukar jawatan dan jawatan baharu tidak memerlukan akses tersebut.
• Kata laluan lalai dan tetapan keselamatan mesti diubah dalam produk/aplikasi pihak ketiga yang digunakan untuk menyokong Data Peribadi.
• Penyedia perkhidmatan pihak ketiga tertakluk kepada keperluan dan obligasi keselamatan yang setara seperti pengguna yang diberi kuasa oleh Botpress semasa memproses Data Peribadi.
• Pengesahan semula tahunan terhadap justifikasi akaun pengguna dan kebenaran berkaitan yang mempunyai akses kepada maklumat peribadi.

‍4. Seni bina keselamatan rangkaian

Botpress menggunakan langkah kawalan akses rangkaian yang berkesan pada semua sistem yang digunakan untuk mencipta, menghantar, atau memproses Data Peribadi, termasuk tetapi tidak terhad kepada:

• Firewall beroperasi sepanjang masa dan dipasang di sempadan rangkaian antara rangkaian dalaman (persendirian) Botpress dan rangkaian awam (Internet).
• Sistem pengesanan dan pencegahan pencerobohan yang dikonfigurasi dan dipantau dengan betul digunakan pada rangkaian Botpress.
• Hanya perkhidmatan/proses dan port yang diperlukan untuk menjalankan program rutin dibenarkan pada pangkalan data dan sistem maklumat lain yang digunakan untuk memproses Data Peribadi. Semua perkhidmatan/proses lain pada hos tersebut dinyahdayakan.
• Semua sistem maklumat, repositori dan sistem lain yang digunakan untuk memproses Data Peribadi mesti diletakkan secara fizikal di pusat data terkawal dan digunakan untuk tujuan melindungi sistem maklumat.
• Saluran selamat (contohnya, TLS, SFTP, SSH, IPSEC, dan lain-lain) mesti digunakan secara konsisten untuk komunikasi ke pusat data Botpress.

5. Kawalan Pengurusan Kerentanan

Botpress menggunakan kawalan pengurusan kerentanan yang berkesan pada semua sistem yang digunakan untuk mencipta, menghantar, atau memproses Data Peribadi, termasuk tetapi tidak terhad kepada:

• Penggunaan peranti pencegahan dan pengesanan rangkaian untuk membantu menapis e-mel pancingan data dan perisian hasad sebelum sampai ke stesen kerja yang diuruskan oleh Botpress dan mempunyai akses langsung atau tidak langsung kepada Data Peribadi.
• Penggunaan perisian pencegahan dan pengesanan anti-virus dan anti-malware pada semua stesen kerja yang diuruskan oleh Botpress dan memproses Data Peribadi.
• Mengekalkan proses dan amalan pengurusan tampalan standard untuk memastikan perlindungan semua peranti yang digunakan untuk mengakses, memproses atau menyimpan Data Peribadi.
  
• Peranti dan dokumen yang mengandungi Data Peribadi mesti membolehkan pengecaman maklumat yang diakses, direkodkan dalam inventori dan hanya boleh diakses oleh pengguna yang diberi kuasa mengikut dokumen keselamatan.
• Langkah-langkah untuk mencegah kecurian, kehilangan atau akses tidak dibenarkan kepada Data Peribadi semasa operasi penghantaran dan pemindahan.

6. Sandaran data, pemulihan dan ketersediaan

Botpress melaksanakan pelan pemulihan bencana dan kesinambungan perniagaan berikut untuk meminimumkan masa henti maksimum dan kehilangan data.

• Botpress melaksanakan fungsi pemulihan bencana yang direka untuk memulihkan fungsi sistem yang mengandungi Data Peribadi dalam tempoh masa yang dipersetujui oleh pihak-pihak atau, jika tiada, dalam tempoh masa yang munasabah berdasarkan sifat Data Peribadi.
• Botpress akan memastikan secara sistematik bahawa Data Peribadi tidak boleh diakses kecuali oleh kakitangan Botpress yang diberi kuasa (contohnya, sandaran luaran akan sentiasa disulitkan).
• Untuk mengurangkan risiko daripada ancaman persekitaran, bahaya dan peluang akses tidak dibenarkan, peralatan hendaklah diletakkan jauh dari lokasi yang berisiko tinggi dan disokong oleh peralatan ganti yang terletak pada jarak yang munasabah.
• Mekanisme keselamatan dan kelebihan (redundancy) hendaklah dilaksanakan untuk melindungi peralatan daripada gangguan perkhidmatan utiliti (contohnya, kegagalan kuasa, gangguan rangkaian, dan lain-lain).
• Dasar dan prosedur untuk pengekalan dan penyimpanan data hendaklah diwujudkan dan mekanisme sandaran atau kelebihan dilaksanakan untuk memastikan pematuhan terhadap keperluan kawal selia, statutori, kontrak atau perniagaan. Ujian pemulihan sandaran cakera atau pita hendaklah dilaksanakan pada selang masa yang dirancang.

7. Audit keselamatan

Botpress menggunakan kawalan pada semua sistem yang digunakan untuk mencipta, menghantar, atau memproses Data Peribadi, termasuk tetapi tidak terhad kepada:

• Imbasan kerentanan atau audit pihak ketiga ke atas peranti infrastruktur yang mengandungi Data Peribadi dan boleh diakses secara awam (public).
• Ujian penembusan pihak ketiga ke atas sistem Botpress yang menyimpan dan memproses Data Peribadi.
• Penilaian berkala oleh pihak ketiga apabila aplikasi atau proses menyokong maklumat kewangan.
• Botpress berjanji untuk menangani semua kerentanan yang dikenal pasti hasil daripada ujian penembusan dan memaklumkan kepada Pelanggan mengenai tindakan pembaikan.
  

8. Latihan dan kesedaran

Botpress melaksanakan program kesedaran keselamatan untuk pekerja dan penyedia perkhidmatannya yang berinteraksi dengan sistem yang mengendalikan Data Peribadi, termasuk:

• Botpress akan memastikan kakitangannya memahami ancaman dan kebimbangan pengurusan risiko maklumat berkaitan Perkhidmatan Botpress serta dasar pengurusan risiko maklumat yang berkaitan.
• Kakitangan Botpress akan menerima latihan dan kemas kini berkala mengenai dasar dan prosedur pengurusan risiko maklumat yang berkaitan, skema pengelasan risiko standard dan prosedur yang sesuai.
• Kakitangan sub-kontraktor akan dimaklumkan mengenai skema pengelasan pengurusan risiko maklumat Botpress dan prosedur yang sesuai.
• Dasar dan prosedur hendaklah diwujudkan untuk membersihkan dokumen yang kelihatan mengandungi data sensitif apabila ruang kerja ditinggalkan tanpa pengawasan dan penguatkuasaan log keluar sesi stesen kerja selepas tempoh tidak aktif.

‍

Jadual 3 – Sub-Pemproses

Botpress mengekalkan senarai Sub-Pemproses terkini di Pusat Kepercayaan. Kecuali dinyatakan sebaliknya, semua data akan diproses di Amerika Syarikat.