Соглашение об обработке данных

Все, кому Kadaleo разрешает обрабатывать Персональные данные клиента, связаны обязательством конфиденциальности.

Kadaleo применяет меры, перечисленные в разделе «Безопасность» Политики конфиденциальности, и поддерживает их соразмерными риску, как того требует статья 32 GDPR.

Клиент даёт Kadaleo общее разрешение использовать перечисленных ниже субобработчиков, которые обрабатывают Персональные данные клиента от имени Kadaleo. Kadaleo возлагает на каждого из них обязательства по защите данных, равноценные настоящему DPA, и остаётся за них ответственной. В Политике конфиденциальности также перечислены получатели, которые действуют только в собственных целях Kadaleo или как самостоятельные контролёры.

Twilio. Если номер WhatsApp подключён через аккаунт Twilio компании Kadaleo, Twilio Ireland Limited передаёт сообщения как наш субобработчик по Data Protection Addendum Twilio. Отдельно и не по нашим инструкциям Twilio обрабатывает данные об использовании связи и, в необходимой мере, содержимое сообщений как самостоятельный контролёр в собственных целях: безопасность платформы и предотвращение инцидентов, предотвращение злоупотреблений и мошенничества (включая улучшение своих внутренних инструментов и обучение своих внутренних моделей для этих целей), соблюдение законов и требований регуляторов, разработка и улучшение продуктов и бизнес-аналитика (Data Protection Addendum Twilio, разделы 3.3, 3.4 и 3.5). Мы не контролируем эту обработку; клиенту следует упомянуть её в собственном уведомлении о конфиденциальности, и страница конфиденциальности, которую Kadaleo создаёт для сайта клиента, это делает.

Передача Персональных данных клиента за пределы Европейской экономической зоны опирается на решение об адекватности, включая EU-US Data Privacy Framework, если получатель и сервис сертифицированы, либо на Стандартные договорные условия из условий обработки данных поставщика, при необходимости с дополнительными мерами. Клиент может запросить копию гарантий по адресу legal@kadaleo.com. fal.ai не привлекается к обработке Персональных данных клиента и поэтому не является субобработчиком. Каждый запрос на изображение или видео сначала переписывает наш поставщик ИИ Anthropic (условия обработчика со Стандартными договорными условиями) в чисто визуальное описание без имён, адресов, контактов, упоминаний реальных людей и мест, по которым видно, где находится бизнес или человек (известный город или достопримечательность могут остаться, если это и есть нужный вид), затем результат проверяется второй раз, а если любой из шагов не удался, ничего не отправляется. Фотографии, загруженные клиентом, в fal не передаются никогда; ролик по картинке делается только из картинки, созданной Kadaleo. Мы проверяем этот фильтр на сложных примерах. Поскольку он автоматический, редкий пропуск нельзя исключить полностью. Если персональные данные всё же попадут в fal, Kadaleo рассматривает это как нарушение безопасности персональных данных: локализует его, просит fal удалить запрос и все созданные по нему файлы (каждый запрос и так указывает fal не хранить историю запросов) и без неоправданной задержки уведомляет затронутого клиента по разделу о нарушениях. Эта процедура не является гарантией передачи в смысле главы V GDPR и не делает такую передачу законной. Если мы когда-нибудь захотим отправлять в fal данные, по которым можно установить человека, мы сначала заключим условия между обработчиками (модуль 3) и внесём fal в список субобработчиков с уведомлением за 14 дней.

Kadaleo уведомляет клиента без неоправданной задержки после того, как ей стало известно о нарушении безопасности Персональных данных клиента, и передаёт имеющуюся информацию, чтобы помочь клиенту выполнить собственные обязанности по уведомлению.

Когда владелец закрывает аккаунт в Настройках, Персональные данные клиента остаются доступными для экспорта 30 дней, и в это время закрытие можно отменить. Затем они удаляются и покидают ротационные резервные копии в течение 35 дней после удаления, поэтому весь цикл завершается примерно за 65 дней. Резервные копии используются только для восстановления после сбоев; если резервная копия когда-либо восстанавливается, уже выполненные закрытия автоматически выполняются повторно. Kadaleo хранит собственные счета и налоговые записи в течение установленного законом срока, который не распространяется на CRM-данные клиента, переписки и резервные копии. Клиент может удалить данные раньше в продукте или написав на legal@kadaleo.com. Шаги для данных, полученных от подключённых платформ, описаны на странице Удаление данных.

Kadaleo предоставляет клиенту информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, а также допускает проведение проверок, включая инспекции, клиентом или назначенным им аудитором и содействует им. Проверка, как правило, начинается с документов и дистанционной оценки. Инспекция на месте или дополнительная проверка в тот же год проводится, если документов недостаточно для подтверждения соблюдения, после нарушения безопасности персональных данных или если этого требует надзорный орган. Клиент направляет обоснованное письменное уведомление не менее чем за 30 дней, за исключением случаев после нарушения или когда орган требует более короткого срока, а проверка проводится в рабочее время, на условиях конфиденциальности, без доступа к данным других клиентов и без риска для их безопасности. Каждая сторона несёт собственные расходы, за исключением того, что Kadaleo может взимать разумные расходы за проверку сверх одной в год, не вызванную нарушением с её стороны. В отношении своих субобработчиков Kadaleo вправе опираться на их сертификаты и отчёты об аудите.

Ответственность сторон по настоящему DPA подчиняется ограничениям, установленным в Условиях использования, в той мере, в какой это допускает закон. Ничто в настоящем DPA не ограничивает права субъектов данных, полномочия надзорных органов, Стандартные договорные условия, где они применяются, или средства защиты, которые закон не позволяет ограничивать. Если настоящее DPA и Условия противоречат друг другу в части обработки персональных данных, преобладает настоящее DPA. К спорам между сторонами применяются право Португалии и суды Comarca da Madeira (Фуншал), как и в Условиях, без ущерба для императивных норм. Английская версия преобладает над переводами.