Acord de prelucrare a datelor (model)

Clientul are calitatea de operator. Digital Leadership SRL (GENERATIVA), CUI 38585123, EUID ROONRC.J2017006715126, are calitatea de persoană împuternicită și prelucrează datele în numele clientului, pentru serviciul contractat. Persoana de contact pentru protecția datelor: dpo@generativa.ro.

Obiectul acordului îl constituie operarea asistentului virtual al clientului, pe canalele prevăzute în contract (telefon, chat și, la activare, WhatsApp): transcrierea vocii, generarea răspunsurilor, preluarea solicitărilor, transferul către oameni, notificarea echipei clientului și punerea conversațiilor la dispoziția clientului în platforma de administrare. Durata este cea a contractului, la care se adaugă perioada de returnare și ștergere de la pct. 10. Prelucrăm datele exclusiv în acest scop și nu le folosim pentru antrenarea vreunui model.

Persoanele vizate: persoanele care sună, scriu în chat sau pe WhatsApp clientului, precum și membrii echipei clientului care primesc transferuri și notificări. Categoriile de date: date de identificare și de contact (nume, telefon, inclusiv numărul apelantului, e-mail); conținutul conversației (vocea, prelucrată în timp real pentru transcriere, fără păstrarea sunetului; transcrierea, rezumatul, fișa de solicitare); metadate (data, ora, durata, canalul, starea transferului). Categorii speciale de date (art. 9 GDPR): în cazul clinicilor, clientul poate solicita ca asistentul să prelucreze date privind sănătatea. Clientul rămâne operatorul acestor date și răspunde pentru temeiul juridic al prelucrării; noi le prelucrăm exclusiv pe baza instrucțiunilor sale, în condițiile contractului.

Prelucrăm datele exclusiv pe baza instrucțiunilor scrise ale clientului. Contractul și prezentul acord constituie instrucțiunile inițiale. Dacă apreciem că o instrucțiune încalcă GDPR, informăm clientul de îndată.

Prelucrăm datele exclusiv în limitele prezentului acord, inclusiv în ceea ce privește transferurile. Persoanele care au acces la date s-au angajat să respecte confidențialitatea și au acces doar la datele necesare. Aplicăm măsurile de la pct. 8 și respectăm regulile de la pct. 6 privind sub-împuterniciții. Asistăm clientul în soluționarea cererilor persoanelor vizate și în îndeplinirea obligațiilor prevăzute la art. 32-36 GDPR. La final, ștergem sau returnăm datele, la alegerea clientului (pct. 10). Punem la dispoziția clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permitem auditurile de la pct. 11. Ținem evidența activităților de prelucrare efectuate în numele clientului (art. 30 alin. (2) GDPR).

Clientul ne acordă o autorizare generală de a recurge la sub-împuterniciți. Cu fiecare sub-împuternicit avem un acord scris care prevede obligații de protecție a datelor echivalente și rămânem răspunzători față de client. Lista nominală este inclusă în anexa acordului semnat, iar categoriile sunt publice. Înainte de a adăuga sau de a înlocui un sub-împuternicit, notificăm clientul direct, prin e-mail, cu cel puțin 30 de zile înainte. Clientul se poate opune, din motive legate de protecția datelor; dacă nu identificăm o soluție, clientul poate denunța contractul fără penalități, de la data la care noul furnizor ar fi început prelucrarea.

Prelucrarea are loc în principal în UE. Excepțiile, pe categorii: recunoașterea și sinteza vocală (punct de acces dedicat în UE, furnizor din SUA; garanții: clauze contractuale standard și evaluarea impactului transferului); mesajele WhatsApp, când canalul este activat (platforma WhatsApp Business: clauze contractuale standard; transmiterea prin furnizorul de telefonie, din SUA: reguli corporatiste obligatorii și clauze contractuale standard). Documentele justificative se transmit clientului la cerere.

Autentificarea în doi pași este disponibilă pentru fiecare cont. Un jurnal de acces arată ce membru al echipei noastre a deschis o conversație și când; jurnalul se păstrează 12 luni. Datele se șterg automat la termenele de la pct. 10, printr-o verificare zilnică.

Dacă o persoană vizată ni se adresează direct, o îndrumăm către client și îl informăm pe acesta. La cererea clientului, îi furnizăm datele necesare pentru răspuns sau efectuăm rectificarea ori ștergerea. Notificăm clientul cu privire la orice încălcare a securității datelor prelucrate în numele său, fără întârzieri nejustificate și în cel mult 48 de ore de la data la care am luat cunoștință de aceasta, furnizând informațiile prevăzute la art. 33 alin. (3) GDPR pe măsură ce devin disponibile, pentru ca clientul să poată notifica autoritatea de supraveghere în termen de 72 de ore.

Termenele standard de păstrare: transcrierea și rezumatul apelurilor, 12 luni de la apel (evidența apelului rămâne fără conținut, în scop statistic); numărul apelantului, 12 luni; transcrierea și datele personale din conversațiile scrise, 12 luni (se anonimizează); fișele lăsate asistentului (cereri, contacte pentru apel invers), 24 de luni (se șterg). Asistenții nu păstrează sunetul convorbirilor. Contractul poate stabili alte termene. Clientul poate solicita oricând ștergerea anticipată a unei conversații sau a unei fișe. Exportul din platformă. Contul clientului include o funcție de export care descarcă un fișier JSON cu: datele contului; jurnalul apelurilor (pentru fiecare apel: identificatorul, numărul apelantului, rezumatul, rezultatul, durata, costul și data), fără transcrierea apelurilor; programările; fișele lăsate asistentului; conversațiile scrise (chat și WhatsApp), cu transcrierea acestora. Exportul cuprinde cel mult 10.000 de rânduri pentru fiecare categorie. La încetarea contractului, la cerere, punem la dispoziția clientului, separat, transcrierile apelurilor, într-un format uzual, după care ștergem datele prelucrate în numele său, inclusiv la sub-împuterniciți, cu excepția datelor pe care legea ne obligă să le păstrăm. La cerere, confirmăm ștergerea în scris.

Clientul poate verifica respectarea prezentului acord pe baza documentelor pe care i le punem la dispoziție (descrierea măsurilor, lista sub-împuterniciților și acordurile încheiate cu aceștia, rapoartele și certificările furnizorilor). Dacă documentele nu sunt suficiente, clientul poate efectua un audit, direct sau printr-un auditor independent obligat la confidențialitate, cel mult o dată pe an, cu o notificare prealabilă de 15 zile lucrătoare și fără a afecta securitatea celorlalți clienți. Costul auditului este suportat de partea care îl solicită, cu excepția cazului în care auditul constată încălcări semnificative din partea noastră.

Clientul răspunde pentru legalitatea prelucrării: temeiul juridic, informarea persoanelor vizate (propria politică de confidențialitate și salutul asistentului), evidența activităților de prelucrare, instrucțiunile pe care ni le transmite, accesul echipei sale la platformă și la notificări și răspunsul la cererile persoanelor vizate. Noi îi punem la dispoziție textul salutului, care include informarea că asistentul este bazat pe inteligență artificială.

Răspunderea părților este cea prevăzută în contractul de servicii, fără a aduce atingere răspunderii față de persoanele vizate prevăzute la art. 82 GDPR. Acordul produce efecte pe durata contractului și până la finalizarea returnării și ștergerii de la pct. 10. Acordul este guvernat de legea română.