Umowa o przetwarzanie danych

Botpress Umowa o przetwarzaniu danych (DPA)

Niniejsze DPA stanowi uzupełnienie i integralną część umowy pomiędzy podmiotem z grupy Botpress wskazanym w Warunkach świadczenia usług a Klientem. Niniejsze DPA wchodzi w życie z chwilą jego włączenia do takiej umowy przez odniesienie.

1)Definicje

1.a Terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszym dokumencie, mają znaczenie przypisane im w Umowie.

1.b W niniejszym DPA :

(a) "Umowa" ma znaczenie przypisane takiemu terminowi w Regulaminie.

(b)"GrupaBotpress " oznacza Botpress i wszelkie jej podmioty stowarzyszone.

(c) "Kalifornijskie Dane Osobowe" oznaczają Dane Osobowe podlegające ochronie CCPA.

(d) "Kanadyjskie Przepisy o Ochronie Danych" oznaczają Ustawę o Ochronie Danych Osobowych i Dokumentów Elektronicznych, SC 2000, c 5 oraz Ustawę o Ochronie Danych Osobowych w Sektorze Prywatnym, CQLR c P-39.1, które mogą zostać zmienione, zastąpione lub zastąpione.

(e) "CCPA" oznacza California Civil Code Sec. 1798.100 et seq. (znaną również jako California Consumer Privacy Act z 2018 r.).

(f) "Konsument", "Firma", "Sprzedaż" i "Usługodawca" będą miały znaczenie nadane im w CCPA.

(g) "Administrator" oznacza każdą Osobę, która samodzielnie lub wspólnie z innymi określa cele i sposoby Przetwarzania Danych Osobowych.

(h) "Przepisy o ochronie danych" oznaczają wszystkie obowiązujące na całym świecie przepisy dotyczące ochrony danych i prywatności, które mają zastosowanie do strony niniejszego DPA, w tym między innymi europejskie przepisy o ochronie danych, kanadyjskie przepisy o ochronie danych i CCPA, w każdym przypadku z późniejszymi zmianami, uchyleniami, konsolidacją lub zastąpieniem.

(i) "PodmiotDanych" oznacza osobę fizyczną, której dotyczą Dane Osobowe.

(j) "Europa" oznacza Unię Europejską, Europejski Obszar Gospodarczy i/lub ich państwa członkowskie, Szwajcarię i Zjednoczone Królestwo.

(k) "Europejskie przepisy o ochronie danych" oznaczają przepisy o ochronie danych obowiązujące w Europie, które mogą zostać zmienione, zastąpione lub zastąpione.

(l) "Dane europejskie" oznaczają Dane osobowe podlegające ochronie na mocy europejskich przepisów o ochronie danych.

(m) "Dozwolone Podmioty Stowarzyszone" oznaczają wszelkie Podmioty Stowarzyszone Klienta, które (i) mogą korzystać z Usług Oprogramowania zgodnie z Umową, (ii) kwalifikują się jako Administrator Danych Osobowych przetwarzanych przez Botpress oraz (iii) podlegają europejskim przepisom o ochronie danych.

(n) "Osoba" jest interpretowana szeroko i obejmuje każdą osobę fizyczną, korporację, spółkę z ograniczoną odpowiedzialnością, spółkę komandytową, spółkę, stowarzyszenie, spółkę osobową, trust lub majątek, wspólne przedsięwzięcie, podmiot rządowy lub jego jednostkę polityczną lub jakikolwiek inny podmiot.

(o) "Dane Osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

(p) "Przetwarzanie" lub "Proces" oznacza dowolną operację lub zestaw operacji wykonywanych przez Podmiot Przetwarzający na Danych Osobowych, niezależnie od tego, czy odbywa się to w sposób automatyczny;

(q) "Podmiot przetwarzający" oznacza Osobę, która przetwarza Dane osobowe w imieniu Administratora.

(r) "Organ regulacyjny" oznacza, w stosownych przypadkach, każdą Osobę lub organ ścigania lub inną agencję posiadającą uprawnienia regulacyjne, nadzorcze lub rządowe (na mocy systemu ustawowego lub w inny sposób) w odniesieniu do całości lub części Przetwarzania Danych osobowych w związku ze świadczeniem lub otrzymywaniem Usług, w tym między innymi europejskie organy nadzorcze ds. ochrony danych;

(s) "Naruszenie bezpieczeństwa" oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do Danych osobowych przekazywanych, przechowywanych lub w inny sposób przetwarzanych przez Botpress i/lub Podprzetwarzających w związku ze świadczeniem Usług, z wyłączeniem zdarzeń, które nie zagrażają bezpieczeństwu Danych osobowych, w tym nieudanych prób logowania, pingów, skanowania portów, ataków typu "odmowa usługi" i innych ataków sieciowych na zapory ogniowe lub systemy sieciowe.

(t) "Usługi" oznaczają Usługi Oprogramowania lub Usługi Profesjonalne świadczone przez dowolny podmiot z Grupy Botpress na rzecz Klienta lub jego Podmiotów Powiązanych.

(u) "Standardowe Klauzule Umowne" oznaczają standardowe klauzule umowne stanowiące załącznik do decyzji Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r., które mogą zostać zmienione, zastąpione lub zastąpione.

(v) "Podprzetwarzający" oznacza dowolny Podmiot przetwarzający zaangażowany przez Botpress lub Podmioty stowarzyszone Botpress w celu pomocy w wypełnianiu zobowiązań Botpress w odniesieniu do świadczenia Usług na podstawie Umowy. Podmiotami Przetwarzającymi mogą być osoby trzecie lub Podmioty Powiązane Botpress , ale nie będą to osoby zatrudnione lub zaangażowane przez Botpress.

(w) "Państwo trzecie" oznacza jurysdykcję lub odbiorcę: (i) nieuznanego przez Komisję Europejską za zapewniającego odpowiedni poziom ochrony danych osobowych; oraz (ii) nieobjętego odpowiednimi ramami uznanymi przez odpowiednie organy lub sądy za zapewniające odpowiedni poziom ochrony danych osobowych;

(x) "Dane oUżytkowaniu" oznaczają dane dotyczące korzystania z Oprogramowania przez Upoważnionych Użytkowników, które mogą zawierać Dane Osobowe w przypadkach, w których konieczna jest identyfikacja poszczególnych użytkowników, ale z wyłączeniem Danych dotyczących Rozmów. Dane o Użytkowaniu mogą obejmować Dane Osobowe pracowników i kontrahentów Klienta, ale nie użytkowników końcowych wchodzących w interakcje z Botami Klienta.

2) Rola stron

2.a Przetwarzając Dane konwersacyjne za pośrednictwem Usług, strony przyjmują do wiadomości i zgadzają się, że Klient działa jako Administrator, a Botpress działa jako Podmiot przetwarzający.

2.b Jeśli Klient działa jako Podmiot przetwarzający w imieniu Administratora, strona Botpress będzie uważana za podrzędny podmiot przetwarzający Klienta.

2.c Botpress będzie Administratorem w odniesieniu do Danych o Użytkowaniu.

3) Zgodność z przepisami o ochronie danych

3.a Każda ze stron będzie przetwarzać Dane Osobowe zgodnie ze wszystkimi obowiązującymi przepisami o ochronie danych.

3.b Botpress nie ponosi odpowiedzialności za zgodność z przepisami o ochronie danych mającymi zastosowanie do Klienta lub branży Klienta, które nie mają ogólnego zastosowania do Botpress.

3.c Jeśli Botpress dowie się, że nie może Przetwarzać Danych Osobowych zgodnie z instrukcjami Klienta ze względu na wymóg prawny wynikający z obowiązującego prawa, Botpress (i) niezwłocznie powiadomi Klienta o tym wymogu prawnym w zakresie dozwolonym przez obowiązujące prawo; oraz (ii) w razie potrzeby wstrzyma wszelkie Przetwarzanie (inne niż zwykłe przechowywanie i utrzymywanie bezpieczeństwa danych osobowych, których to dotyczy) do czasu wydania przez Klienta nowych instrukcji zgodnie z obowiązującym prawem. W przypadku powołania się na to postanowienie, Botpress nie będzie ponosić odpowiedzialności wobec Klienta na mocy Umowy za niewykonanie odpowiednich Usług oprogramowania lub Usług profesjonalnych do czasu, gdy Botpress w uzasadniony sposób stwierdzi, że instrukcje Klienta są zgodne z prawem.

4.Botpress Obowiązki

4.a Botpress będzie przetwarzać Dane Osobowe wyłącznie w celach opisanych w niniejszym DPA lub w inny sposób uzgodniony w ramach zgodnych z prawem instrukcji otrzymanych od Klienta, z wyjątkiem przypadków i w zakresie, w jakim jest to wymagane przez obowiązujące prawo.

4.b Botpress wdroży i będzie utrzymywać odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Osobowych przed Incydentami Bezpieczeństwa, w tym zgodnie z opisem w Załączniku 2 do niniejszego DPA ("Środki Bezpieczeństwa"). Botpress może modyfikować lub aktualizować Środki Bezpieczeństwa według własnego uznania, pod warunkiem, że taka modyfikacja lub aktualizacja nie spowoduje istotnego pogorszenia ochrony zapewnianej przez Środki Bezpieczeństwa.

4.c Botpress będzie traktować Dane Osobowe jako informacje poufne Klienta i zapewni, że każdy z jego pracowników lub osób kontaktowych upoważnionych do dostępu lub Przetwarzania Danych Osobowych podlega odpowiednim zobowiązaniom do zachowania poufności (umownym lub ustawowym) w odniesieniu do tych Danych Osobowych.

4.d Botpress usunie lub zwróci wszystkie Dane Osobowe przetwarzane zgodnie z niniejszym DPA, po rozwiązaniu lub wygaśnięciu Umowy. Botpress może zachować kopie Danych Osobowych, jeśli jest to wymagane przez obowiązujące prawo lub w przypadku, gdy Dane Osobowe zostały zarchiwizowane w systemach kopii zapasowych, które to dane zostaną bezpiecznie odizolowane i zabezpieczone przed dalszym przetwarzaniem i usunięte zgodnie z obowiązującymi praktykami usuwania.

5 Zobowiązania klienta

5.a Klient jest odpowiedzialny za zapewnienie, że korzystanie przez niego z Usług oprogramowania lub Oprogramowania jest zgodne ze wszystkimi obowiązującymi przepisami o ochronie danych, w tym poprzez zapewnienie, że (i) jest upoważniony do wyznaczenia Botpress do Przetwarzania Danych osobowych w jego imieniu zgodnie z niniejszym DPA, (ii) ma prawo do przekazania lub zapewnienia dostępu do Danych osobowych do Botpress w celu Przetwarzania zgodnie z warunkami Umowy (w tym niniejszego DPA), (iii) zapewnienie, że instrukcje Klienta dotyczące Przetwarzania Danych osobowych są zgodne z obowiązującymi przepisami, w tym przepisami o ochronie danych;

5.b Klient niezwłocznie powiadomi Botpress na piśmie, jeśli ma powody sądzić lub jeśli został powiadomiony, że Przetwarzanie Danych Osobowych dokonywane przez Klienta za pośrednictwem Usług narusza lub może naruszać obowiązujące prawo, w tym przepisy o ochronie danych.

5.c Klient jest odpowiedzialny za ustalenie, czy środki bezpieczeństwa wdrożone przez Botpress odpowiednio spełniają obowiązki Klienta wynikające z obowiązujących przepisów o ochronie danych. Klient jest również odpowiedzialny za zapewnienie, że jego dostęp do Usług oprogramowania jest zabezpieczony i zastrzeżony dla upoważnionego personelu.

6 Naruszenie bezpieczeństwa

6.a Botpress niezwłocznie powiadomi Klienta, jeśli dowie się o jakimkolwiek Naruszeniu Bezpieczeństwa i dostarczy terminowo informacje dotyczące takiego Naruszenia Bezpieczeństwa, gdy stanie się ono znane lub zostanie w uzasadniony sposób zażądane przez Klienta.

6.b Na żądanie Botpress niezwłocznie zapewni Klientowi uzasadnioną pomoc niezbędną do umożliwienia Klientowi powiadomienia organów regulacyjnych i/lub osób, których dane dotyczą, o naruszeniu bezpieczeństwa, jeśli takie powiadomienie jest wymagane na mocy przepisów o ochronie danych.

7) Podprzetwarzający

7.a Botpress może angażować Podprzetwarzających do Przetwarzania Danych Osobowych. Aktualni Podprzetwarzający są wymienieni w Załączniku 3, o wszelkich zmianach Podprzetwarzających Klient zostanie powiadomiony.

7.b Botpress wybiera Podprzetwarzających, którzy oferują zobowiązania w zakresie ochrony danych, które zapewniają co najmniej taki sam poziom ochrony Danych osobowych, jak te określone w niniejszym DPA (w tym, w stosownych przypadkach, w standardowych klauzulach umownych), w zakresie mającym zastosowanie do charakteru usług świadczonych przez takich Podprzetwarzających. Botpress pozostaje odpowiedzialny za przestrzeganie przez każdego Podprzetwarzającego zobowiązań wynikających z niniejszego DPA oraz za wszelkie działania lub zaniechania takiego Podprzetwarzającego powodujące naruszenie któregokolwiek ze zobowiązań Botpresswynikających z niniejszego DPA.

7.c Jeśli Botpress przetwarza Dane europejskie w imieniu Klienta, Klient może sprzeciwić się nowemu Podprzetwarzającemu z uzasadnionych powodów związanych z ochroną danych. W przypadku powiadomienia o takim sprzeciwie, Botpress zgadza się omówić tę kwestię w dobrej wierze, aby osiągnąć rozsądne z handlowego punktu widzenia rozwiązanie. Jeśli takie rozwiązanie nie zostanie osiągnięte, Botpress może albo zrezygnować z wyznaczenia nowego Podprzetwarzającego, albo zezwolić Klientowi na zakończenie subskrypcji części Usług oprogramowania opartej na takim nowym Podprzetwarzającym bez ponoszenia odpowiedzialności wobec którejkolwiek ze stron (ale bez uszczerbku dla wszelkich opłat poniesionych przed zakończeniem subskrypcji).

7.d Jeśli jest to wymagane przez prawo lub na mocy standardowych klauzul umownych, Botpress dołoży uzasadnionych starań, aby udostępnić Klientowi wymagane informacje o umowach Botpressz Podprzetwarzającymi. Klient zgadza się, że niektóre informacje mogą zostać usunięte z takich umów lub udostępnione na zasadzie poufności.

8 Przekazywanie danych osobowych

8.a Przetwarzanie Danych Osobowych innych niż Dane Europejskie przez podmioty z Grupy Botpress będzie miało miejsce w każdej jurysdykcji, w której takie przetwarzanie jest dozwolone przez obowiązujące prawo Jurysdykcji Prywatności.

8.b Przetwarzanie Danych Europejskich odbywa się wyłącznie:

a) W Europie;

b) w jurysdykcji, która zapewnia odpowiedni poziom ochrony na mocy decyzji Komisji Europejskiej w oparciu o obowiązujące przepisy o ochronie danych;

c) w dowolnej jurysdykcji, przez organizację lub podmiot oferujący odpowiednie zabezpieczenia, w tym poprzez Standardowe Klauzule Umowne;

d) w dowolnej jurysdykcji, za pisemną zgodą Klienta lub osoby, której dane dotyczą.

8.c W przypadku, gdy Przetwarzanie Danych Europejskich ma miejsce w Państwie Trzecim, uznaje się, że strony zawarły Standardowe Klauzule Umowne wyłącznie w odniesieniu do odpowiednich Danych Osobowych i odpowiedniego Przetwarzania. Strony uzgadniają, że dla celów Standardowych klauzul umownych :

a) Jeśli Klient jest Kontrolerem, a Botpress jest Podmiotem Przetwarzającym, zastosowanie ma Moduł 2 (Kontroler-Podmiot Przetwarzający).

b) Jeśli Klient jest Podmiotem Przetwarzającym, a Botpress jest Podprzetwarzającym, zastosowanie ma Moduł 3 (Podmiot Przetwarzający do Podmiotu Przetwarzającego).

c) W odniesieniu do Danych o Użytkowaniu zastosowanie ma Moduł 1 (Administrator do Administratora).

d) w Klauzuli 7 Standardowych Klauzul Umownych opcjonalna klauzula dokowania nie będzie miała zastosowania;

e) w Klauzuli 9 Standardowych Klauzul Umownych zastosowanie będzie miała Opcja 2, a okres uprzedniego pisemnego powiadomienia o zmianach podwykonawcy przetwarzania będzie wynosił 10 dni;

f) w Klauzuli 11 Standardowych Klauzul Umownych język fakultatywny nie będzie miał zastosowania;

g) w Klauzuli 17 (Opcja 1), Standardowe Klauzule Umowne będą podlegać prawu irlandzkiemu;

h) w Klauzuli 18(b) Standardowych Klauzul Umownych, spory będą rozstrzygane przez sądy w Irlandii;

i)Botpress będzie "importerem danych", a Klient będzie "eksporterem danych" (w imieniu własnym i Dozwolonych Podmiotów Powiązanych);

j) odpowiednie informacje określone w Załączniku 1 i Załączniku 2 do niniejszego DPA uznaje się za zawarte w Załącznikach do Standardowych Klauzul Umownych;

k) jeżeli i w zakresie, w jakim Standardowe Klauzule Umowne pozostają w sprzeczności z jakimkolwiek postanowieniem niniejszego DPA, Standardowe Klauzule Umowne będą miały pierwszeństwo w zakresie takiej sprzeczności.

8.d Przekazywanie danych do Szwajcarii i Wielkiej Brytanii. W zakresie, w jakim przekazywanie Danych Osobowych między Klientem a Botpress i/lub Podprzetwarzającym podlega przepisom o ochronie danych Szwajcarii lub Wielkiej Brytanii, Standardowe Klauzule Umowne uznaje się za zmienione w celu odzwierciedlenia wymogów obowiązujących szwajcarskich i brytyjskich przepisów o ochronie danych, w tym odniesień do ustawodawstwa, obowiązującego prawa oraz właściwych organów i sądów.

9) Przetwarzanie CCPA

9.a Przetwarzając California Personal Information zgodnie z instrukcjami Klienta, strony przyjmują do wiadomości i zgadzają się, że Klient jest Firmą, a Botpress jest Usługodawcą w rozumieniu CCPA. Strony uzgadniają, że Botpress będzie przetwarzać Dane Osobowe Kalifornii jako Usługodawca wyłącznie w celu świadczenia Usług Oprogramowania i Usług Profesjonalnych zgodnie z Umową ("Cel Biznesowy") lub w inny sposób dozwolony przez CCPA.

10) Żądania osób trzecich

10.a Klient będzie odpowiedzialny za odpowiadanie na wszelkie żądania osób, których dane dotyczą, lub organów regulacyjnych w odniesieniu do ich Danych osobowych, a Klient będzie korzystał z dostępnych funkcji Usług oprogramowania w celu uzyskania odpowiednich informacji o przetwarzaniu Danych osobowych.

10.b Jeśli Klient nie jest w stanie samodzielnie odpowiedzieć na żądanie Podmiotu Danych lub Organu Regulacyjnego ("Żądanie"), Botpress zapewni Klientowi uzasadnioną pomoc w celu udzielenia odpowiedzi na wszelkie takie żądania związane z Przetwarzaniem Danych Osobowych na mocy Umowy. Z wyjątkiem przypadków i w zakresie, w jakim żądanie opiera się na nieprzestrzeganiu przez Botpress zobowiązań wynikających z niniejszego DPA, Klient zwróci Botpress uzasadnione wydatki związane z udzieleniem Klientowi wszelkiej pomocy.

10.c Jeśli Żądanie lub inna komunikacja dotycząca Przetwarzania Danych Osobowych na mocy Umowy zostanie złożona bezpośrednio na adres Botpress, Botpress niezwłocznie poinformuje o tym Klienta i doradzi Podmiotowi Danych lub Organowi Regulacyjnemu złożenie Żądania bezpośrednio do Klienta. Klient będzie ponosić wyłączną odpowiedzialność za udzielenie merytorycznej odpowiedzi na wszelkie takie Żądania lub komunikaty dotyczące Danych Osobowych.

11. audyt dotyczący danych osobowych

11.a Na żądanie i uzasadnione powiadomienie Botpress, Klient jest upoważniony, na własny koszt, do przeprowadzenia niezbędnych weryfikacji w celu zapewnienia, że Dane Osobowe przetwarzane przez Botpress w imieniu Klienta są przetwarzane zgodnie z instrukcjami Klienta. Na żądanie Klienta Botpress umożliwi przeprowadzenie audytu i kontroli przetwarzania dokonywanego przez Botpress. Taki audyt może zostać przeprowadzony przez Klienta i/lub osobę trzecią (wybraną przez Klienta i zaakceptowaną przez Botpress) działającą w imieniu Klienta. Klient podejmie wszelkie niezbędne środki, aby uniknąć spowodowania jakichkolwiek szkód lub zakłóceń w pomieszczeniach, sprzęcie, personelu i działalności podmiotów Grupy Botpress .

11.b Klient i Botpress uzgodnią z wyprzedzeniem charakter, zakres i czas trwania każdego audytu przeprowadzanego przez Klienta, a Klient zwróci Botpress wszelkie uzasadnione koszty związane z takim audytem, które mogą zostać oszacowane na żądanie Klienta przed rozpoczęciem audytu. W możliwym zakresie wszelkie wymagania audytowe Klienta zostaną spełnione za pośrednictwem raportów z audytów stron trzecich dostarczonych przez Botpress, jeśli są one dostępne.

11.c Jeśli Botpress przetwarza dane europejskie w imieniu Klienta, Botpress dostarczy Klientowi, na uzasadnione żądanie (na zasadzie poufności) (i) skróconą kopię raportu (raportów) z testów bezpieczeństwa oraz (ii) pisemne odpowiedzi na wszystkie uzasadnione wnioski o informacje złożone przez Klienta niezbędne do potwierdzenia zgodności Botpress z niniejszym DPA, pod warunkiem, że Klient nie skorzysta z takiego prawa częściej niż raz w roku kalendarzowym, chyba że Klient może wykazać uzasadnione podstawy, aby podejrzewać, że Botpressnie przestrzega DPA.

12 Ograniczenie odpowiedzialności

12.a Odpowiedzialność Botpressi jej podmiotów stowarzyszonych, łącznie, wynikająca z lub związana z niniejszą Umową o partnerstwie (i wszelkimi innymi Umowami o partnerstwie między stronami) oraz Standardowymi klauzulami umownymi (w stosownych przypadkach), niezależnie od tego, czy wynika ona z umowy, czynu niedozwolonego lub jakiejkolwiek innej teorii odpowiedzialności, będzie ograniczona do łącznej kwoty Opłat uiszczonych przez Klienta na rzecz Botpress w zamian za Usługi w okresie 12 miesięcy poprzedzających zdarzenie powodujące odpowiedzialność.

13) Jurysdykcja

O ile obowiązujące przepisy o ochronie danych nie stanowią inaczej, niniejsza Umowa o partnerstwie biznesowym będzie regulowana i interpretowana zgodnie z przepisami mającymi zastosowanie do Umowy, a wszelkie spory dotyczące niniejszej Umowy będą rozstrzygane przez właściwe sądy jurysdykcji wskazanej we Wniosku.

W zakresie, w jakim przepisy o ochronie danych wymagają, aby niniejsze DPA podlegało prawu państwa członkowskiego Unii Europejskiej, niniejsze DPA podlega prawu Irlandii, a spory dotyczące niniejszej Umowy będą rozstrzygane przez sądy irlandzkie.

14. Ogólne

14.a Pierwszeństwo. W przypadku jakiejkolwiek niezgodności pomiędzy którymkolwiek z postanowień niniejszego DPA a jakimkolwiek innym postanowieniem Umowy, postanowienia DPA mają zawsze pierwszeństwo, chyba że i w zakresie, w jakim wyraźnie określono, że inne postanowienie Umowy ma pierwszeństwo lub że postanowienie niniejszego DPA zostanie uchylone lub zmodyfikowane.

14.b Zmiany. Botpress może zmienić niniejsze DPA w celu odzwierciedlenia zmian w swoich praktykach przetwarzania danych. Wszelkie zmiany inne niż zmiany mające na celu doprecyzowanie języka (które będą rutynowo przekazywane Klientowi) będą przekazywane Klientowi i nie będą miały zastosowania, chyba że zostaną zaakceptowane przez Klienta. Jeśli modyfikacja niniejszej Umowy o partnerstwie jest wymagana przez obowiązujące prawo, Klient

ma możliwość zaakceptowania takiej modyfikacji lub zakończenia subskrypcji Usług oprogramowania.

14.c Rozdzielność postanowień. Jeśli którekolwiek z postanowień niniejszej Umowy o partnerstwie zostanie uznane za nieważne lub niewykonalne, nie będzie to miało wpływu na ważność i wykonalność pozostałych postanowień niniejszej Umowy o partnerstwie.

Załącznik 1 - Szczegóły przetwarzania

Identyfikacja kontrolera

Klient

Osoba kontaktowa: osoba wskazana w Ofercie zaakceptowanej przez Klienta. Identyfikacja podmiotu przetwarzającego

Jeśli Klient znajduje się w Kanadzie: Technologies Botpress Inc.

Jeśli Klient znajduje się w innym miejscu: Botpress, Inc.

Osoba kontaktowa:

Jean-Bernard Perrron

[email protected]

Kategorie osób, których dane dotyczą

Klient może przekazywać Dane Osobowe w trakcie korzystania z Usługi Oprogramowania, których zakres jest określany i kontrolowany przez Klienta według jego wyłącznego uznania, z zastrzeżeniem obowiązujących warunków świadczenia usług, i które mogą obejmować między innymi Dane Osobowe dotyczące następujących kategorii Podmiotów Danych:

• Osoby korzystające z Oprogramowania w imieniu Klienta
• Użytkownicy końcowi botów klienckich

Kategorie danych osobowych

Klient może przesyłać Dane Osobowe do Usług Oprogramowania i może zezwalać Użytkownikom Końcowym na przesyłanie Danych Osobowych do Usług Oprogramowania, których zakres jest określany i kontrolowany przez Klienta według jego wyłącznego uznania, z zastrzeżeniem obowiązujących warunków świadczenia usług.

Usługa Oprogramowania nie jest przeznaczona do Przetwarzania danych wrażliwych, Klient powinien być odpowiedzialny za określenie przydatności Usług Oprogramowania do Przetwarzania danych wrażliwych.

Botpress będzie przetwarzać dane kontaktowe Autoryzowanych Użytkowników (imię i nazwisko, adres e-mail, telefon) oraz dane dotyczące użytkowania i zachowania związane z korzystaniem z produktu w celach wsparcia technicznego i statystycznych.

Charakter przetwarzania

• Przechowywanie i inne Przetwarzanie niezbędne do świadczenia, utrzymywania i ulepszania Usług świadczonych na rzecz Klienta;
• Ujawnienie zgodnie z Umową (w tym niniejszym DPA) i/lub zgodnie z obowiązującymi przepisami prawa;
• Botpress będzie przetwarzać Dane Osobowe w zakresie niezbędnym do świadczenia Usług zgodnie z Umową oraz zgodnie z dalszymi instrukcjami Klienta dotyczącymi korzystania przez niego z Usług.
• Botpress Przetwarza Dane o użytkowaniu w celu zapewnienia wsparcia technicznego i do celów statystycznych (na potrzeby ulepszania i rozwoju produktów).

Okres przechowywania danych osobowych

Z zastrzeżeniem zobowiązania Botpressdo usunięcia lub zwrotu danych Klientowi, w ramach Umowy Botpress będzie przetwarzać Dane Osobowe przez okres obowiązywania Umowy, chyba że uzgodniono inaczej na piśmie.

Załącznik 2 - Środki bezpieczeństwa

1. Zarządzanie

Botpress wdraża odpowiednie polityki i procedury dotyczące Danych Osobowych, w tym:

• Procedury bezpieczeństwa informacji;
• Zasady korzystania z danych osobowych ;
• Procedura zgłaszania incydentów związanych z bezpieczeństwem i prywatnością ;
• Mechanizmy oceny ryzyka;
• Procedury audytu wewnętrznego ;
• Środki umowne;

2) Dostęp użytkownika

• Funkcje i obowiązki użytkowników Botpress i profili użytkowników z dostępem do Danych Osobowych i systemów informatycznych są jasno określone.
• Botpress przyjmuje środki mające na celu informowanie użytkowników o zasadach bezpieczeństwa, które mają wpływ na wykonywanie ich obowiązków, oraz o konsekwencjach naruszenia tych zasad.
• Protokoły tekstowe nie są używane do uzyskiwania dostępu do Danych Osobowych ani ich przesyłania. Do tych operacji akceptowany jest wyłącznie protokół SSL.
• Botpress zapewnia bezpieczeństwo procesów i procedur obsługi lub usuwania fizycznych nośników lub sprzętu, które mogą zawierać Dane Osobowe.
• Dane Osobowe są fizycznie oddzielone lub logicznie oddzielone, jeśli znajdują się w bazie danych lub środowisku wirtualnym, od innych danych Botpress . Jeśli Dane Osobowe nie są fizycznie oddzielone od innych danych, systemów lub aplikacji niezwiązanych z Klientem, Botpress stosuje odpowiednie kontrole bezpieczeństwa, w tym kontrole dostępu.

3) Kontrola dostępu

Botpress utrzymuje serwery, odpowiednie bazy danych i inne komponenty sprzętowe i/lub programowe, które przechowują Dane Osobowe w bezpiecznym centrum danych z dostępem kontrolowanym i monitorowanym w celu dopuszczenia wyłącznie upoważnionego personelu.

Botpress stosuje skuteczne środki logicznej kontroli dostępu do wszystkich systemów wykorzystywanych do tworzenia, przesyłania lub przetwarzania Danych osobowych, w tym między innymi:

• Uwierzytelnianie użytkownika, który musi używać unikalnych identyfikatorów ("identyfikatorów użytkownika") i nazw.
• Wystarczająco złożona i solidna strategia haseł.

• Prawa dostępu/uprawnienia użytkownika do zasobów informacyjnych zawierających Dane Osobowe muszą być przyznawane w oparciu o zasadę ograniczonego dostępu związaną z obowiązkami i odpowiedzialnością użytkownika.
• Dostęp użytkowników do systemów komputerowych umożliwiających dostęp do Danych Osobowych zostanie usunięty natychmiast po odejściu użytkownika lub jeśli użytkownik zmieni pracę, a nowa praca nie wymaga dostępu.
• Domyślne hasła i ustawienia zabezpieczeń muszą zostać zmienione w produktach/aplikacjach stron trzecich używanych do obsługi Danych Osobowych.
• Podczas przetwarzania Danych Osobowych zewnętrzni dostawcy usług podlegają takim samym wymogom i obowiązkom w zakresie bezpieczeństwa jak autoryzowani użytkownicy Botpress.
• Coroczna weryfikacja zasadności kont użytkowników i powiązanych z nimi uprawnień dostępu do danych osobowych.

4. architektura bezpieczeństwa sieci

Botpress stosuje skuteczne środki kontroli dostępu do sieci we wszystkich systemach wykorzystywanych do tworzenia, przesyłania lub przetwarzania Danych osobowych, w tym między innymi:

• Zapory sieciowe działają przez cały czas i są zainstalowane na granicy sieci między wewnętrzną (prywatną) siecią Botpress a siecią publiczną (Internetem).
• W sieci Botpress stosowane są odpowiednio skonfigurowane i monitorowane systemy wykrywania i zapobiegania włamaniom.
• W bazie danych i innych systemach informatycznych wykorzystywanych do przetwarzania Danych osobowych włączone są tylko te usługi/procesy i porty, które są niezbędne do wykonywania rutynowych programów. Wszystkie inne usługi/procesy na hoście są wyłączone.
• Wszystkie systemy informatyczne, repozytoria i inne systemy wykorzystywane do przetwarzania Danych Osobowych muszą być fizycznie zlokalizowane w kontrolowanym środowisku centrum danych i wykorzystywane w celu ochrony systemów informatycznych.
• Bezpieczne kanały (np. TLS, SFTP, SSH, IPSEC itp.) muszą być konsekwentnie wykorzystywane do komunikacji z centrum danych Botpress .

5) Kontrola zarządzania podatnościami

Botpress stosuje skuteczne środki kontroli zarządzania lukami w zabezpieczeniach we wszystkich systemach wykorzystywanych do tworzenia, przesyłania lub przetwarzania Danych osobowych, w tym między innymi:

• Wdrożenie sieciowych urządzeń zapobiegawczych i wykrywających, aby pomóc w filtrowaniu wiadomości phishingowych i złośliwego oprogramowania, zanim dotrą one do stacji roboczych zarządzanych przez Botpress i mających bezpośredni lub pośredni dostęp do danych osobowych.
• Wdrożenie oprogramowania antywirusowego i chroniącego przed złośliwym oprogramowaniem na wszystkich stacjach roboczych zarządzanych przez Botpress i przetwarzających Dane Osobowe.
• Utrzymywanie standardowego procesu i praktyki zarządzania poprawkami w celu zapewnienia ochrony wszystkich urządzeń wykorzystywanych do uzyskiwania dostępu do Danych Osobowych, ich przetwarzania lub przechowywania.

• Urządzenia i dokumenty zawierające dane osobowe muszą umożliwiać identyfikację informacji, do których uzyskano dostęp, być zinwentaryzowane i dostępne tylko dla użytkowników, którzy są upoważnieni do dostępu do danych zgodnie z dokumentem bezpieczeństwa.
• Środki zapobiegające kradzieży, utracie lub nieuprawnionemu dostępowi do Danych Osobowych podczas operacji przesyłania i transferu.

6. tworzenie kopii zapasowych, odzyskiwanie i dostępność danych

Botpress wdraża następujące plany odzyskiwania po awarii i ciągłości działania, aby zminimalizować maksymalny czas przestoju i utratę danych.

• Botpress wdraża funkcje odzyskiwania danych po awarii mające na celu przywrócenie funkcjonalności systemu zawierającego Dane Osobowe w terminie uzgodnionym przez strony lub, w przypadku jego braku, w rozsądnym terminie, biorąc pod uwagę charakter Danych Osobowych.
• Botpress systematycznie zapewnia, że Dane Osobowe są niedostępne dla osób innych niż upoważniony personel Botpress (np. zewnętrzne kopie zapasowe są systematycznie szyfrowane).
• W celu zmniejszenia ryzyka związanego z zagrożeniami środowiskowymi, niebezpieczeństwami i możliwościami nieautoryzowanego dostępu, sprzęt powinien być zlokalizowany z dala od miejsc o wysokim prawdopodobieństwie wystąpienia zagrożeń środowiskowych i uzupełniony o nadmiarowy sprzęt znajdujący się w rozsądnej odległości.
• Należy wdrożyć mechanizmy bezpieczeństwa i nadmiarowości w celu ochrony sprzętu przed przerwami w dostawie mediów (np. awariami zasilania, zakłóceniami sieci itp.).
• Należy ustanowić zasady i procedury dotyczące zatrzymywania i przechowywania danych oraz wdrożyć mechanizmy tworzenia kopii zapasowych lub nadmiarowości w celu zapewnienia zgodności z wymogami regulacyjnymi, ustawowymi, umownymi lub biznesowymi. Testowanie odzyskiwania kopii zapasowych dysków lub taśm powinno odbywać się w zaplanowanych odstępach czasu.

7. audyt bezpieczeństwa

Botpress stosuje kontrole we wszystkich systemach wykorzystywanych do tworzenia, przesyłania lub przetwarzania Danych osobowych, w tym między innymi:

• Skanowanie luk w zabezpieczeniach lub audyty zewnętrznych (publicznych) urządzeń infrastrukturalnych zawierających Dane Osobowe.
• Zewnętrzne testy penetracyjne systemów Botpress , które przechowują i przetwarzają Dane Osobowe.
• Okresowa ocena przez stronę trzecią, gdy aplikacje lub procesy wspierają informacje finansowe.
• Botpress zobowiązuje się do usunięcia wszystkich luk w zabezpieczeniach zidentyfikowanych w wyniku testów penetracyjnych i powiadomienia Klienta o działaniach naprawczych.

8) Szkolenie i świadomość

Botpress wdraża program podnoszenia świadomości w zakresie bezpieczeństwa dla swoich pracowników i usługodawców, którzy wchodzą w interakcje z systemami obsługującymi Dane osobowe, w tym:

• Botpress zapewnia, że jego pracownicy rozumieją zagrożenia związane z zarządzaniem ryzykiem informacyjnym i obawy związane z usługami Botpress oraz odpowiednie polityki zarządzania ryzykiem informacyjnym.
• Botpress pracownicy otrzymują szkolenia i regularne aktualizacje w zakresie odpowiednich polityk i procedur zarządzania ryzykiem informacyjnym w ramach standardowego schematu klasyfikacji zarządzania ryzykiem i odpowiednich procedur.
• Personel podwykonawcy powinien być zaznajomiony ze schematem klasyfikacji zarządzania ryzykiem informacyjnym Botpress i odpowiednimi procedurami.
• Należy ustanowić zasady i procedury dotyczące usuwania widocznych dokumentów zawierających dane wrażliwe, gdy obszar roboczy pozostaje bez nadzoru, oraz egzekwowania wylogowania sesji stacji roboczej na okres bezczynności.

Załącznik 3 - Podmioty podprzetwarzające O ile nie wskazano inaczej, miejscem przetwarzania jest : USA.

Amazon Web Services

• AWS obsługuje nasze usługi w chmurze i wszystkie dane klientów.
• AWS przetwarza informacje analityczne dotyczące korzystania z usług w chmurze Botpress .

Google Analytics

• Google Analytics przetwarza informacje analityczne dotyczące korzystania z usług w chmurze Botpress .

Freshdesk

• Freshdesk zapewnia usługi pomocy technicznej.
• Freshdesk przetwarza wszystkie dane dostarczone przez użytkowników do celów wsparcia technicznego.

Hotjar

• W serwisie korzystamy z usług Hotjar.
• Hotjar dostarcza informacji o zachowaniu odwiedzających serwis.

OpenAI

• OpenAI służy do przetwarzania danych wprowadzanych przez użytkownika w celu wygenerowania odpowiedzi tekstowych.

Mixpanel

• Mixpanel służy do gromadzenia danych analitycznych dotyczących produktów i korzystania z Witryny, które są wykorzystywane do ulepszania usługi.

Intercom

• Intercom służy do zapewniania wsparcia na żywo osobom odwiedzającym usługę i Witrynę.