Споразумение за обработване на лични данни

1. Страни и предмет

Настоящото Споразумение се сключва между Клиента („Администратор“) и ПРИЗМА ИИ ЕООД („Обработващ“) и урежда обработването на лични данни при ползване на PrismAI Reach.

Споразумението е неразделна част от Общите условия и се счита за прието с приемането им. При противоречие между двата документа по въпроси на защитата на данните предимство има настоящото Споразумение.

2. Предмет, срок, характер и цел на обработването

• Предмет: лични данни на физически лица, включени в списъците с контакти на Администратора.
• Срок: за срока на договора между страните и 30 дни след прекратяването му, с изключенията по т. 11.
• Характер: събиране от качен файл, съхранение, привеждане в стандартен формат, автоматизирано телефонно обаждане, изготвяне на текст на разговора и отбелязване на изход.
• Цел: провеждане на напомнящи обаждания по указание на Администратора.

3. Категории субекти и видове данни

3.1. Категории субекти на данни

Клиенти на Администратора — застраховани лица, купувачи с наложен платеж, собственици на превозни средства.

3.2. Видове лични данни

• идентификационни: име, телефонен номер;
• договорни: номер на полица, падеж и вноска; номер, съдържание и стойност на поръчка; град за доставка; регистрационен номер и данни за превозното средство, дата на технически преглед;
• данни за съгласието, отбелязано от Администратора;
• данни от разговора: текст, продължителност, отбелязан изход, дата и час.

3.3. Специални категории

Обработването на специални категории лични данни по чл. 9 от ОРЗД и на данни по чл. 10 не е предвидено. Администраторът се задължава да не качва такива данни.

4. Задължения на Администратора

1. Осигурява валидно правно основание за всяко обаждане и за предоставянето на данните на Обработващия.
2. Предоставя на субектите на данни изискуемата по чл. 13 и 14 от ОРЗД информация.
3. Отбелязва съгласието за всеки ред от качения файл и не качва редове без него.
4. Декларира преди стартиране на всяка кампания, че основанието е налице и че списъкът не е придобит без основание.
5. Не използва услугата за студени продажбени обаждания или за цели, забранени по Общите условия.
6. Уведомява Обработващия при постъпило искане от субект на данни, което изисква действие в системата.

5. Задължения на Обработващия

1. Обработва личните данни само по документирани указания на Администратора, включително относно международни трансфери, освен ако право на ЕС или на държава членка не изисква друго.
2. Осигурява поверителност от страна на лицата, които имат достъп до данните.
3. Прилага техническите и организационни мерки по Приложение 2.
4. Спазва условията по т. 8 при ползване на подизпълнители.
5. Съдейства на Администратора при упражняване на правата на субектите на данни.
6. Съдейства при задълженията по чл. 32 – 36 от ОРЗД, съобразно естеството на обработването и наличната информация.
7. Заличава или връща данните съгласно т. 11.
8. Предоставя информацията, необходима за доказване на съответствие, и допуска проверки съгласно т. 12.
9. Уведомява незабавно, ако указание на Администратора според него нарушава приложимото право.

6. Забрана за друго ползване

Обработващият не използва личните данни за собствени цели, не ги обогатява с външни източници, не ги предоставя на трети лица извън подизпълнителите по Приложение 1 и не ги използва за обучение или дообучение на модели с изкуствен интелект.

7. Сигурност

Обработващият прилага мерките, описани в Приложение 2, съобразени с рисковете за правата на субектите на данни, включително риска от неправомерен достъп и от нежелани обаждания.

8. Подизпълнители

Администраторът дава общо разрешение за ползване на подизпълнителите по Приложение 1.

При намерение за добавяне или замяна на подизпълнител Обработващият уведомява предварително, като публикува актуализирания списък и изпраща съобщение по имейл най-малко 30 дни преди промяната. В този срок Администраторът може да възрази; при основателно възражение, което не може да бъде преодоляно, всяка от страните може да прекрати договора.

Обработващият сключва с всеки подизпълнител задължения, не по-малко строги от настоящите, и отговаря за действията му както за свои.

9. Съдействие при права на субектите

Исканията за достъп, коригиране, заличаване, ограничаване, преносимост и възражение се отправят към Администратора. Обработващият изпълнява по негово указание съответното действие в системата, включително заличаване на текста на разговор, в срок до 10 работни дни.

Възражение срещу обаждания се изпълнява незабавно чрез вписване в списъка за изключване, без да е необходимо указание — включително когато е заявено по време на самия разговор.

10. Нарушения на сигурността

При установяване на нарушение на сигурността, засягащо лични данни на Администратора, Обработващият го уведомява без излишно забавяне и не по-късно от 48 часа от узнаването, с описание на естеството на нарушението, засегнатите категории и приблизителния брой записи, вероятните последици и предприетите мерки.

Уведомяването на надзорния орган и на субектите на данни е задължение на Администратора.

11. Заличаване и връщане

При прекратяване на договора Администраторът може да изиска износ на данните в машинночетим формат. След изтичане на 30 дни от прекратяването данните се заличават.

Списъкът за изключване не се заличава. Той съдържа само телефонни номера и датата на вписване и се съхранява безсрочно с единствената цел да бъде спазен отказът на съответните лица от бъдещи обаждания. Това е обработване, необходимо за спазване на възражение по чл. 21 от ОРЗД.

12. Проверки

Обработващият предоставя при поискване информация, необходима за доказване на съответствие с настоящото Споразумение.

Администраторът има право на проверка на място не повече от веднъж годишно, с предизвестие от 30 дни, в работно време и без да се засяга сигурността на данните на други клиенти. Разходите за проверката са за сметка на Администратора, освен ако тя не установи съществено нарушение.

13. Международни трансфери

Основното обработване се извършва в рамките на ЕС. Когато подизпълнител обработва данни извън ЕС, това се извършва въз основа на стандартните договорни клаузи на Европейската комисия или на друго валидно основание по глава V от ОРЗД. Мястото на обработване за всеки подизпълнител е посочено в Приложение 1.

Приложение 1 — Подизпълнители

Актуалният списък с наименование, предназначение и място на обработване се поддържа на страницата „Доверие и съответствие“ и е неразделна част от настоящото Споразумение.

Приложение 2 — Технически и организационни мерки

Разделяне на данните

Данните на всяка организация са изолирани на ниво база данни чрез правила за достъп на ред. Достъпът се проверява в базата, а не само в приложението, така че заобикалянето на потребителския интерфейс не дава достъп до чужди данни.

Ограничения по замисъл

• Разкриването, че се обажда изкуствен интелект, е част от шаблона на агента и не може да бъде променено или премахнато през приложението.
• Кампания не може да бъде в състояние на изпълнение без записана декларация за съгласие.
• Списъкът за изключване се проверява в същата заявка, която избира следващото обаждане; приложението може да добавя в него, но не и да заличава.
• Записът на аудио е изключен на ниво гласов агент.

Криптиране

Пренос по TLS. Съхранение с криптиране на ниво диск при доставчика на база данни. Резервни копия — криптирани, с денонощен цикъл.

Достъп

Достъпът на персонала е по принципа на минималната необходимост, с многофакторна автентикация към административните конзоли. Достъп до продукционни данни имат само лицата, чиито задължения го изискват.

Журнали

Води се журнал на обажданията и на промените по плана. Журнал на действията на потребителите в панела предстои да бъде въведен.

Приемственост

Възстановяване от резервно копие се тества периодично. Прекъсване при гласовата платформа или при телекомуникационния оператор може да забави обажданията; данните не се засягат.