Соглашение об обработке данных

1. Стороны и сфера применения

Настоящее Соглашение об обработке данных («СОД») заключается между клиентом, принимающим Условия предоставления услуг («Клиент», контролер), и IMFA Labs LLC, обществом с ограниченной ответственностью, зарегистрированным в штате Вайоминг, США («IMFA», обработчик). Оно является частью Условий и применяется к персональным данным, которые IMFA обрабатывает для Клиента при предоставлении IMFA Agents («Персональные данные Клиента»). Оно отражает статью 28 Общего регламента ЕС по защите данных (GDPR), UK GDPR и аналогичные законы, если они применяются.

Если настоящее СОД противоречит Условиям, в отношении Персональных данных Клиента преимущественную силу имеет настоящее СОД. Если применяются Стандартные договорные условия и они противоречат настоящему СОД, преимущественную силу имеют Стандартные договорные условия.

2. Предмет и срок

IMFA обрабатывает Персональные данные Клиента для предоставления сервиса, который настраивает Клиент: размещение агентов, ответы в диалогах в виджете на веб-сайте, по голосу и в подключенных каналах, хранение знаний и файлов, сбор лидов и заказов, подключение выбранных Клиентом сервисов и обеспечение безопасности сервиса. Обработка продолжается, пока Клиент пользуется сервисом, и до удаления в соответствии с разделом 11. Подробности приведены в Приложении 1.

3. Обязанности Клиента

Клиент:

• решает, какие персональные данные поступают в сервис и с какой целью, и имеет для этого законное основание;
• предоставляет своим посетителям и клиентам уведомления, требуемые законом (в том числе о том, что они общаются с ИИ, если это требуется), и получает любое требуемое согласие;
• не добавляет данные особых категорий или данные детей, если это не разрешено законом и у Клиента нет всех требуемых мер защиты;
• надлежащим образом настраивает своих агентов, каналы, доступ команды и интеграции;
• отвечает на запросы своих субъектов данных с помощью IMFA в соответствии с разделом 8.

4. Обязанности IMFA

IMFA:

• обрабатывает Персональные данные Клиента только по документированным инструкциям Клиента, которыми являются Условия, настоящее СОД и настройки Клиента в сервисе, если закон не требует иного (в этом случае IMFA сначала сообщает об этом Клиенту, если закон этого не запрещает);
• сообщает Клиенту, если считает, что какая-либо инструкция нарушает законодательство о защите данных;
• не продает Персональные данные Клиента и не использует их в собственных целях, за исключением случаев, когда это необходимо для обеспечения безопасности сервиса, предотвращения злоупотреблений и соблюдения закона, как описано в Политике конфиденциальности;
• не использует Персональные данные Клиента для обучения моделей ИИ.

5. Конфиденциальность

IMFA обеспечивает, чтобы лица, уполномоченные обрабатывать Персональные данные Клиента, были связаны обязательствами о конфиденциальности и получали к ним доступ только в той мере, в какой это необходимо для предоставления, поддержки и защиты сервиса.

6. Безопасность

IMFA применяет технические и организационные меры, указанные в Приложении 2, с учетом современного уровня техники, затрат и рисков. IMFA может обновлять их при условии, что общий уровень защиты не снижается.

7. Субобработчики

Клиент дает IMFA общее разрешение на привлечение субобработчиков. Актуальный список приведен на странице Субобработчики. IMFA:

• связывает каждого субобработчика письменным договором, устанавливающим обязательства по защите данных, которые обеспечивают защиту не ниже настоящего СОД, соразмерно предоставляемой им услуге;
• обновляет список до добавления или замены субобработчика; Клиент может попросить уведомлять его об изменениях по электронной почте по адресу privacy@imfa.io;
• позволяет Клиенту заявить возражение по обоснованным причинам, связанным с защитой данных, в течение 30 дней с момента обновления; если стороны не могут урегулировать возражение, Клиент может прекратить использование затронутой функции или прекратить пользование сервисом и получить пропорциональный возврат предоплаченных сумм за неиспользованный период этой подписки;
• остается ответственной за исполнение обязательств своими субобработчиками в соответствии с требованиями закона.

Платформы, которые подключает Клиент (Meta, Telegram, Discord, Google и способы оплаты через Stripe), действуют в качестве независимых контролеров в отношении собственной обработки и не являются субобработчиками IMFA.

8. Помощь с запросами субъектов данных

С учетом характера обработки IMFA помогает Клиенту отвечать на запросы о доступе к персональным данным, их исправлении, удалении, ограничении обработки или переносе, главным образом с помощью инструментов в сервисе (просмотр и удаление диалогов, лидов, файлов и агентов). Если инструментов недостаточно, Клиент может обратиться по адресу privacy@imfa.io. Если IMFA получает запрос непосредственно от субъекта данных Клиента, она направляет этого человека к Клиенту, если может его установить, и не отвечает на запрос сама, если Клиент об этом не просит.

9. Нарушения безопасности персональных данных

IMFA уведомляет Клиента без неоправданной задержки после того, как ей становится известно о нарушении безопасности персональных данных, затрагивающем Персональные данные Клиента, и по мере появления предоставляет информацию, необходимую Клиенту для выполнения собственных обязательств. IMFA принимает разумные меры для локализации нарушения. Уведомление не является признанием вины.

10. Оценки воздействия и органы власти

IMFA оказывает Клиенту разумную помощь в проведении оценок воздействия на защиту данных и предварительных консультаций с надзорными органами в отношении сервиса, используя доступную ей информацию, главным образом настоящее СОД, Раскрытие информации об ИИ и список субобработчиков.

11. Возврат и удаление

Клиент может в любое время удалить в сервисе диалоги, файлы, знания, агентов и всю свою учетную запись. При удалении учетной записи IMFA удаляет Персональные данные Клиента, как описано в Политике конфиденциальности (по истечении 3-дневного срока, в течение которого Клиент может отменить удаление), за исключением случаев, когда закон требует от IMFA их хранить. Копии в резервных копиях провайдеров удаляются в соответствии с их обычным графиком. Перед удалением Клиент может запросить копию своих данных по адресу privacy@imfa.io.

12. Аудиты

IMFA предоставляет информацию, обоснованно необходимую для подтверждения соблюдения настоящего СОД, включая настоящий документ, приложения к нему и сводки сертификатов ее провайдеров. Если этого недостаточно, Клиент может запросить аудит не чаще одного раза в год, с уведомлением за 30 дней, за свой счет, силами независимого аудитора, связанного обязательством о конфиденциальности, таким образом, чтобы не нарушать работу сервиса и не раскрывать данные других клиентов. Аудиты субобработчиков охватываются их собственными отчетами и сертификатами.

13. Международная передача данных

IMFA находится в США, а ее субобработчики обрабатывают данные в странах, перечисленных в Приложении 3. Если Персональные данные Клиента передаются из Европейской экономической зоны, Соединенного Королевства или Швейцарии в страну, в отношении которой нет решения о достаточности защиты, Стандартные договорные условия ЕС (Модуль 2, от контролера к обработчику, или Модуль 3, от обработчика к обработчику, в зависимости от случая) вместе с дополнением Великобритании и швейцарскими корректировками, если они применяются, включаются в настоящее СОД посредством ссылки, при этом IMFA выступает импортером данных. IMFA требует эквивалентных гарантий от своих субобработчиков.

14. Ответственность и срок действия

Ответственность каждой стороны по настоящему СОД подлежит ограничениям, установленным в Условиях, за исключением случаев, когда закон их не допускает. Настоящее СОД действует до тех пор, пока IMFA обрабатывает Персональные данные Клиента.

Приложение 1: Сведения об обработке

Приложение 2: Технические и организационные меры

• Контроль доступа: аутентификация для каждого запроса к панели управления и API; проверка разрешений на стороне сервера для каждой функции; роли для совместно используемых агентов (владелец, редактор, наблюдатель); административные инструменты доступны только администраторам IMFA.
• Учетные данные: ключи API и токены доступа хранятся в виде хешей; учетные данные каналов и токены Google хранятся в зашифрованном виде; секретные данные никогда не отображаются повторно в чате конструктора.
• Передача: зашифрованные соединения (HTTPS) между браузерами, нашими сервисами и нашими провайдерами.
• Изоляция: при каждом запросе данные каждого клиента ограничены его собственной учетной записью и агентами.
• Предотвращение злоупотреблений: ограничения частоты запросов для каждого посетителя, диалога, агента и учетной записи; проверки на ботов в виджете; автоматические проверки содержимого и безопасности; предупреждения и блокировки посетителей.
• Защита данных при использовании ИИ: запрос нулевого хранения данных в Convex AI Gateway; удаление контактных данных перед квалификацией лидов и составлением сводок; исключение инструкций из ответов.
• Минимизация и хранение данных: автоматическое удаление неактивных диалогов, журналов и записей в сроки, указанные в Политике конфиденциальности; хранение решений без текста диалога.
• Записи об активности: журналы аудита и активности для чувствительных изменений и активности агентов.
• Провайдеры: инфраструктура у провайдеров, имеющих собственные сертификаты безопасности (см. список субобработчиков).

Приложение 3: Механизмы международной передачи данных