Databehandling Addedum

1Definitions

Kapitaliserte vilkår som ikke er definert her, har betydning i avtalen eller gjeldende databeskyttelseslover.

• Kontrollør — enheten som bestemmer formålene og måten å behandle personopplysninger på. Med hensyn til sluttbrukeren Kunden er den som styrer.
• Prosessor — enheten som behandler personopplysninger på vegne av den ansvarlige. Med hensyn til sluttbrukeren, Nabtech Digitalnet Limited___OpsIQ) er prosessoren.
• Underprosessor — enhver tredjepart engasjert av OpsIQ for å behandle personopplysninger i forbindelse med tjenestene.
• Personopplysninger — opplysninger om en identifisert eller identifiserbar fysisk person som OpsIQ behandler på kundens vegne i henhold til avtalen.
• Person — den fysiske personen som personopplysninger gjelder (f. eks. kundens besøkende, sluttbrukere og kontakter).
• Sluttbrukerdata — Personopplysninger om kundens besøkende, sluttbrukere og kontakter som behandles gjennom tjenestene.
• Databeskyttelseslover — alle gjeldende lover om databeskyttelse og personvern, inkludert EUGDPR(Forskrift (EU)2016/679), StorbritanniaGDPRog databeskyttelsesloven2018, denCCPAsom endret ved loven om databeskyttelse i Nigeria2023og tilsvarende lover andre steder.
• Behandling, Personopplysninger Breach, Tilsynsmyndigheten og Standard kontraktsklausuler ("SCC") har de betydninger som er angitt i gjeldende personvernlov.

2Roles & scope

Dette tillegget om databehandling ("DPA") utgjør en del av, og er innlemmet ved referanse i, avtalen mellom Nabtech Digitalnet Limited ("OpsIQ", "vi", "oss", "prosessor"), eller www.nabtech.co, og kunden ("Kunde", "du", "Behandlingsansvarlig") som styrer bruk av OpsIQ-plattformen – AI-chat-widgeten, innfødt billettering, CRM, kampanjestudio, nettsted/SEO-intelligens, besøksanalyser, webhooks, undersøkelser, informasjonskapsel-samtykkeplattform og AI-handlinger, levert som Cloud (SaaS) eller Self-Hosted (lisensiert) programvare ("Tjenestene").

For sluttbrukerdata som behandles gjennom tjenestene, Kunden er den som styrer (eller en prosessor som handler for tredjepartskontrollør) og OpsIQ er prosessoren. OpsIQ_ fungerer som en uavhengig kontroller kun for sin egen konto, fakturering og markedsføringsdata, som styres av OpsIQ Personvernerklæring og ikke av dette DPA.

Når denne DPA_ i konflikt med resten av avtalen, er dette DPA i det aktuelle spørsmålet om databehandling. En signert motpart er tilgjengelig på forespørsel til [email protected]. Personen, arten, formålet, kategoriene av personopplysninger og kategorier av personopplysninger er beskrevet i Vedlegg I.

Kategorier av registrerede

• Kundens besøkende og potensielle kunder
• Kundens registrerte sluttbrukere og kontoinnehavere
• Kundens kontakter, ledere og billettinnleggere
• Kundens egen ansatte og agenter som driver arbeidsområdet

Kategorier av personopplysninger

3Processing instructions

OpsIQ skal behandle personopplysninger Bare på kundens dokumenterte instruksjoner, inkludert konfigurasjonen av tjenestene, denne DPA og avtalen, med mindre det er nødvendig å gjøre noe annet i henhold til loven (i så fall vil OpsIQ_ informere kunden om dette juridiske kravet, med mindre lovlig forbudt å gjøre det).

OpsIQvil umiddelbart informere Kunden om at en instruksjon bryter mot Data Protection Laws.OpsIQgjør Ikke solgt Personopplysninger og gjør ikke tog AI-modeller på Kunde- eller sluttbrukerdata (se avsnitt 15).

4Duration of processing

OpsIQ behandler personopplysninger for Avtalens frist, pluss den etter-terminasjon eksport- og slettingsperioden fastsatt i avsnitt 12. Behandlingen er kontinuerlig for avtalens varighet på frekvensen beskrevet i Vedlegg I.

Kundekontrollerte retensjonsinnstillinger på arbeidsområdet gjelder i løpet av begrepet; se også Overholdelse Oversikt.

5Konfidensialitet

OpsIQ sikrer at enhver person som er autorisert til å behandle personopplysninger, er Forpliktelse til konfidensialitet (enten det er inngått kontrakt eller lovfestet forpliktelse) og får tilgang strengt på grunnlag av behov for å vite.

• Personalet er bundet av passende konfidensialitetsforetak som overlever slutten på engasjementet.
• Personell mottar databeskyttelses- og sikkerhetsutdanning som er hensiktsmessig til deres rolle.
• Adgang til produksjonssystemer som har personopplysninger er minst priviligert og logget (se pkt.6og vedlegg II).

6Security measures

OpsIQ implementerer egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er hensiktsmessig for risikoen, herunder:

• Kryptering: AES-256_ for personopplysninger i hvile; TLS_1.3 for data under transitt.
• Integritet og autentisitet: HMAC-SHA256 signaturer på alle utgående webhook levering.
• Leiebilisolasjon: Per-tenant krypteringsnøkler og logisk isolasjon på Cloud plattformen.
• Tilgangskontroll: rollebasert tilgang, minst priviligere administrasjon og autentiseringskontroll for OpsIQ personal.
• Hemmeligheter hygiene: identifikasjoner og konfigurasjonshemmeligheter lagres utenfor webroten, ikke i det serverte dokumenttreet.
• Overvåkning: per-action revisjon logger som registrerer sikkerhetsrelevante operasjoner.
• Resiliens: sikkerhetskopier på en roterende syklus og dokumenterte gjenoppretting prosedyrer.

En mer fullstendig beskrivelse av sikkerhetsprogrammet er publisert i vår Stoltsenter og elementisert i Vedlegg II.

7Underprosessorer

Kunden gir en allmenn godkjenning for OpsIQ å engasjere underprosessorer som er oppført i Vedlegg III. OpsIQ pålegger datavernforpliktelser for hver underprosessor som ikke er mindre beskyttende enn de i denne DPA_, og som fortsatt er Fullstendig ansvarlig til kunden for hver underprosessors ytelse.

OpsIQ vil gi kunden tidligere varsel av tilsetning eller erstatning av en underprosessor. Kunden kan objekt på rimelige, datavernrelaterte grunner innen 30-dager etter varsel; hvis innvendingen ikke kan løses, kan Kunden avslutte de berørte Tjenestene. Den aktuelle listen er oppført i vedlegg III.

8Data subject rights assistance

I betraktning av behandlingens art vil OpsIQ bistå kunden ved hensiktsmessige tekniske og organisatoriske tiltak i det omfang det er mulig, for å svare på forespørsler fra registrerede som utøver sine rettigheter (tilgang, rettelse, sletting, restriksjon, bærbarhet, innvending).

• Tjenestene tilbyr selvbetjente eksport- og slettingsverktøy som lar kunden handle mest forespørsler direkte innenfor arbeidsområdet.
• Når OpsIQ_ mottar en forespørsel direkte fra et datasubjekt som gjelder sluttbrukerdata, vil OpsIQ_, med mindre det er lovlig forbudt, umiddelbart sende den til kunden og ikke svare på annet enn i Kundens instruksjoner.

9Personal data breach

OpsIQ vil varsle kunden uten unødig forsinkelse etter å ha blitt klar over en personopplysninger som påvirker kundens personopplysninger. I den grad det er tilgjengelig, vil varslingen omfatte:

• En beskrivelse av arten av bruddet, herunder kategoriene og omtrentlig antall registrerede og registerer som gjelder,
• De sannsynlige konsekvensene av bruddet;
• De tiltak som treffes eller foreslått for å håndtere bruddet og redusere virkningene av det,
• Et kontaktpunkt for ytterligere informasjon.

OpsIQ vil samarbeide med kunden og ta rimelige skritt for å bistå sine bruddnotifikasjonsforpliktelser overfor tilsynsmyndighetene og de registrerte. Varsel sendes til sikkerhetskontakten på Kundens konto; Kunden må holde kontakten oppdatert.

10DPIA & prior consultation

Med hensyn til behandlingens art og informasjonen som er tilgjengelig for den, vil OpsIQ Hjelp kunden i å utføre konsekvensanalyser av databeskyttelse («DPIA-er») og eventuelle forhåndskonsultasjoner med en tilsynsmyndighet som kunden er pålagt å utføre i henhold til personvernlover.

Denne hjelpen inkluderer å gjøre relevant sikkerhetsdokumentasjon, behandle detaljer og innholdet i vedleggene til denne DPA, og svare på rimelige, omfangsfylte spørsmål om hvordan tjenestene behandler personopplysninger.

11International transfers (SCCs)

EU/EØS og UK Kundedata er som standard hostet i EU-regioner. Når OpsIQ overfører personopplysninger utenfor EØS, Storbritannia eller andre jurisdiksjoner som pålegger overføringsrestriksjoner, OpsIQ_ bygger på en passende overføringsmekanisme, inkludert:

• EU Standard kontraktsbestemte klausuler (Module to: Controller-til-Processor; og modul tre når videre overføring til underprosessorer gjelder), innlemmet ved referanse og fullført av detaljene i vedleggene,
• Den Tillegg om internasjonal dataoverføring i Storbritannia til EU SCCs for overføringer som er underlagt Storbritannia GDPR;
• Avgjørelser om disponibel rettssikkerhet der det er tilgjengelig, og tilleggstiltak der det kreves.

OpsIQ vil hjelpe kunden med å fullføre en overførings-impact vurdering på forespørsel. I en konflikt, SCC tar president over dette DPA i de saker som de styrer (se avsnitt 13).

12Deletion & return

Ved oppsigelse eller utløp av avtalen vil OpsIQ_ etter kundens valg, slette eller returnere alle personopplysninger som behandles på kundens vegne, og slette eksisterende kopier, med mindre det kreves oppbevaring i henhold til loven.

• Kunden har en 30-dag eksportvindu etter oppsigelse for å hente sine data ved hjelp av selvserverte eksportverktøy.
• Etter eksportvinduet slettes personopplysninger fra systemet.
• Restkopier i sikkerhetskopier renses på rullende backup syklus (vanligvis innen 30 dager), hvoretter de ikke gjenopprettes.

13Audits & inspections

OpsIQ vil gjøre tilgjengelig for Kundens informasjon rimelig nødvendig for å vise overholdelse av dette DPA. På kundens rimelige skriftlige forespørsel (ikke mer enn én gang i året, bortsett fra etter en personopplysninger Breach eller der det kreves av En tilsynsmyndighet), vil OpsIQ tillate og bidra til revisjoner, inkludert inspeksjoner, utført av Kunden eller en uavhengig revisor som er autorisert av Kunden.

For å minimere forstyrrelser kan OpsIQ tilfredsstille revisjonsforespørsler ved å gi tredjepartssertifiseringer, revisjonsrapporter og sikkerhetsdokumentasjon der disse rimelig adresserer kundens krav. Revisjonene er underlagt konfidensialitet og rimelig planlegging, omfang og sikkerhetsbegrensninger.

14Liability & order of precedence

Hver parts ansvar som oppstår i eller relatert til denne DPA__ er underlagt begrensninger og utelukkelser av ansvar fastsatt i avtalen. Ingenting i dette DPA___________________________________________________

Orden av forrang: i tilfelle konflikt, gjelder dokumentene i følgende rekkefølge med hensyn til databehandling: (1) SCC-ene (der det er relevant);2) detteDPA; (3) resten av avtalen. Vedleggene utgjør en integrert del av detteDPA.

15AI processing & no-training clause

OpsIQgjør ikke tog, finpunne eller forbedre noen AI-modell på Kunde- eller sluttbrukerdata. AI-referanseforespørsler sendes til Modellleverandøren kunden velger, å bære bare den live samtale sammenheng som kreves for å generere en reaksjon.

• Den valgte AI-leverandøren fungerer som en underprosessor for den inferensen; se Vedlegg III.
• OpsIQ_ beholder ikke spørsmål eller ferdigstillelser for modelleringsformål og samler ikke kundedata over leietakere til AI.
• Kunden er ansvarlig for å velge en leverandør som har egne forpliktelser, og for ikke å sende data kan det ikke sendes til denne leverandøren.

16Self-hosted clarification

Hvor kunden distribuerer OpsIQ som Programvare som er selvstendig (lisensiert) på infrastruktur Kundekontrollene, drifter Kunden programvaren, hosting og lagring selv.

• I den utplasseringen, OpsIQ_ lagrer, overfører eller på annen måte prosesserer sluttbrukerdata på kundens vegne, og fungerer som programvarelisensgiver i stedet for en prosessor.
• Seksjoner av denne DPA som beskriver OpsIQs prosessoraktiviteter (f. eks. skyhotell, underprosessorer og overføringer) gjelder bare i den grad OpsIQ faktisk utfører behandling - som for en ren selv-vert distribusjon, det ikke.
• Kunden er fortsatt den som har ansvaret for sikkerhet, overføringer og underprosessorer i sitt eget miljø. OpsIQ-valgte AI-leverandører fungerer fremdeles for kunden når kunden flyr til dem.

17Styrende lov

Denne DPA_ er styrt av, og tolkes i samsvar med, den Lov om regulering av avtalenuten at det berører eventuelle obligatoriske bestemmelser i personvernlover som gjelder for kunden eller de registrerte.

Når SCC-ene gjelder, er den styrende loven og forumet for SCC-ene som angitt i disse klausulene og råder over saker som ligger innenfor deres virkeområde.

18Annex I — Details of processing

19Annex II — Security measures

20Annex III — Approved sub-processors

OpsIQ-valgte AI-leverandører behandler kun personopplysninger for hensyn Kunderutene til dem, og bare som underprosessorer i henhold til avsnitt 15.

21Kontakt

Databeskyttelsesansvarlig: [email protected]

Personvernforespørsler: [email protected]

Sikkerhetsforespørsler: [email protected]

Rettslige henvendelser: [email protected]

For å be om en signert motpart til dette DPA, e-post [email protected]Se også vår Personvernerklæring, Overholdelse Oversikt og Stoltsenter.

Dette dokumentet er gitt for åpenhet og utgjør ikke juridisk rådgivning. Kunder i regulerte bransjer bør gjennomlese det med sin egen rådgiver før distribusjon.