მონაცემთა დამუშავების ხელშეკრულება

სამუშაო ვერსია იურიდიული გადახედვისთვის. ეს DPA დაწერილია „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის (უფლებამოსილი პირის ხელშეკრულების წესები) და GDPR-ის 28-ე მუხლის შესაბამისად. მას იურისტი ჯერ არ გადაუხედავს და ძალაში არ არის.

1. მიზანი და მხარეები

მონაცემთა დამუშავების ხელშეკრულება (DPA) არის შეთანხმების ნაწილი შპს „ქეი ქოლს“ (საქართველოს ს/ნ 404509983, [რეგისტრირებული მისამართი · დასადასტურებელია], შემდგომში „KCall“ ან „უფლებამოსილი პირი“) და iCall-ის მომხმარებელ ბიზნესს („კლიენტი“ ან „დამუშავებისთვის პასუხისმგებელი პირი“) შორის. ის ვრცელდება პერსონალურ მონაცემებზე, რომელსაც KCall iCall-ის მეშვეობით კლიენტის სახელით ამუშავებს. მონაცემებზე, რომლებსაც KCall თავად, როგორც დამუშავებისთვის პასუხისმგებელი პირი, ამუშავებს, იხილეთ კონფიდენციალურობის პოლიტიკა.

2. განმარტებები

„პერსონალური მონაცემები“, „დამუშავება“, „დამუშავებისთვის პასუხისმგებელი პირი“, „უფლებამოსილი პირი“ და „მონაცემთა სუბიექტი“ ნიშნავს იმას, რაც მათ „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონში და, სადაც ის გამოიყენება, GDPR-შია განსაზღვრული („მონაცემთა დაცვის კანონმდებლობა“). „სუბპროცესორი“ (შემდგომი უფლებამოსილი პირი) არის მესამე პირი, რომელსაც KCall კლიენტის პერსონალური მონაცემების დასამუშავებლად რთავს. „ინციდენტი“ არის უსაფრთხოების დარღვევა, რომელიც იწვევს პერსონალური მონაცემების შემთხვევით ან უკანონო განადგურებას, დაკარგვას, შეცვლას, გამჟღავნებას ან მათზე წვდომას.

3. როლები და დამუშავების დეტალები

კლიენტი არის დამუშავებისთვის პასუხისმგებელი პირი, KCall კი უფლებამოსილი პირი. დამუშავების საგანი, ბუნება, მიზანი, ხანგრძლივობა, მონაცემთა სახეები და მონაცემთა სუბიექტები მითითებულია დანართში 1. KCall მონაცემებს ამუშავებს ხელშეკრულების მოქმედების განმავლობაში, შემდეგ კი მე-11 მუხლის მიხედვით.

4. ინსტრუქციები

• KCall პერსონალურ მონაცემებს ამუშავებს მხოლოდ კლიენტის დოკუმენტირებული ინსტრუქციების საფუძველზე. ასეთი ინსტრუქციებია ხელშეკრულება, შეკვეთის ფორმა, კაბინეტში კლიენტის მიერ გამართული პარამეტრები და სერვისით სარგებლობა.
• KCall მონაცემებს არ ამუშავებს საკუთარი მიზნებისთვის, არ ყიდის და AI მოდელების გასაწვრთნელად არ იყენებს. სერვისის გასაუმჯობესებლად გამოყენებას კლიენტის ცალკე თანხმობა სჭირდება [წვრთნა ან გაუმჯობესება მხოლოდ ცალსახა თანხმობით · დასადასტურებელია].
• თუ KCall ფიქრობს, რომ ინსტრუქცია მონაცემთა დაცვის კანონმდებლობას არღვევს, ამის შესახებ კლიენტს დაუყოვნებლივ აცნობებს და შეუძლია ამ ინსტრუქციის შესრულება შეაჩეროს, სანამ საკითხი არ დაზუსტდება.
• კლიენტმა უნდა მისცეს კანონიერი ინსტრუქციები. მას ევალება, რომ დამუშავებას ჰქონდეს სამართლებრივი საფუძველი და შეასრულოს ზარის ჩაწერისა და ხელოვნური ინტელექტის გამჟღავნების წესში აღწერილი შეტყობინებისა და თანხმობის მოთხოვნები.

5. კონფიდენციალურობა

KCall უზრუნველყოფს, რომ მონაცემების დამმუშავებელ პირებს აქვთ კონფიდენციალურობის ვალდებულება, წვდომა ეძლევათ მხოლოდ იმდენად, რამდენიც სერვისისთვისაა საჭირო, და გავლილი აქვთ მონაცემებთან მუშაობის ტრენინგი [დადასტურდეს პერსონალის კონფიდენციალურობის პირობები და ტრენინგი · დასადასტურებელია].

6. უსაფრთხოება

KCall იცავს რისკის შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს, მათ შორის დანართ 3-ში და უსაფრთხოების მიმოხილვაში მითითებულს. KCall-ს მათი შეცვლა შეუძლია, თუ დაცვის დონე არ შემცირდება.

7. სუბპროცესორები

• კლიენტი KCall-ს წინასწარ წერილობით თანხმობას აძლევს, გამოიყენოს დანართ 2-ში მითითებული სუბპროცესორები იქვე აღნიშნული მიზნებისთვის და მდებარეობებში.
• სუბპროცესორის დამატებამდე ან შეცვლამდე KCall კლიენტს ელფოსტით და კაბინეტში აცნობებს არანაკლებ [30 დღით · დასადასტურებელია] ადრე.
• კლიენტს შეუძლია [14 დღის · დასადასტურებელია] ვადაში წერილობით გამოთქვას წინააღმდეგობა და მონაცემთა დაცვასთან დაკავშირებული მიზეზები მიუთითოს. შემდეგ მხარეები კეთილსინდისიერად ეცდებიან გამოსავლის პოვნას. თუ გამოსავალი არ არსებობს, კლიენტს შეუძლია შეწყვიტოს შესაბამისი სერვისი და მიიღოს წინასწარ გადახდილი საფასურის ის ნაწილი, რომელიც შეწყვეტის შემდგომ პერიოდს ეკუთვნის.
• KCall თითოეულ სუბპროცესორს აკისრებს ვალდებულებებს, რომლებიც ამ DPA-ის ტოლფას დაცვას იძლევა, და კლიენტის წინაშე სრულად პასუხისმგებელი რჩება მათზე.
• ქართული კანონმდებლობა სუბპროცესორის გამოყენებისთვის მოითხოვს დამუშავებისთვის პასუხისმგებელი პირის წინასწარ თანხმობას. იურისტმა უნდა დაადასტუროს, რომ შეტყობინება და წინააღმდეგობის გამოთქმის უფლება, კლიენტის პირდაპირი პასუხის გარეშეც, საკმარისია [დადასტურდეს იურისტთან · დასადასტურებელია].

8. საერთაშორისო გადაცემა

კლიენტის მონაცემები ნაგულისხმევად ინახება და მუშავდება ევროკავშირში (ფრანკფურტი, გერმანია და ჰელსინკი, ფინეთი). ზოგიერთმა სუბპროცესორმა მონაცემები შეიძლება სხვა ქვეყნებში დაამუშაოს, როგორც დანართ 2-შია ნაჩვენები. KCall პერსონალურ მონაცემებს საქართველოდან გარეთ და შემდგომ გადასცემს მხოლოდ მაშინ, როცა ამას მონაცემთა დაცვის კანონმდებლობა იძლევა: კომპეტენტური ორგანოს მიერ დადგენილ ადეკვატური დაცვის ქვეყანაში, ან გარანტიებით, მაგალითად დამტკიცებული სახელშეკრულებო პირობებით [თითოეული პროვაიდერისთვის შეირჩეს და დოკუმენტირდეს მექანიზმი · დასადასტურებელია]. თუ კლიენტზე GDPR ვრცელდება, მხარეები საჭიროების შემთხვევაში დაამატებენ ევროკავშირის სტანდარტულ სახელშეკრულებო პირობებს [დადასტურდეს, შედიან თუ არა ევროკავშირის კლიენტები მოქმედების სფეროში · დასადასტურებელია].

9. დახმარება კლიენტისთვის

• მონაცემთა სუბიექტის მოთხოვნები. თუ KCall დამრეკავისგან ან კონტაქტისგან მოთხოვნას მიიღებს, მას კლიენტს გადასცემს [2 სამუშაო დღის · დასადასტურებელია] ვადაში და თავად არ უპასუხებს, თუ ამას არ დაავალებენ. KCall კლიენტს აძლევს იმ ინსტრუმენტებსა და დახმარებას, რაც გონივრულად სჭირდება მოთხოვნებზე კანონით დადგენილ ვადაში პასუხისთვის (საქართველოში ეს, როგორც წესი, 10 სამუშაო დღეა). ამას KCall აკეთებს თხოვნიდან [5 სამუშაო დღის · დასადასტურებელია] ვადაში.
• შესაბამისობა. KCall ეხმარება უსაფრთხოების ზომებში, ინციდენტების შეტყობინებაში, ზეგავლენის შეფასებებსა და ორგანოსთან კონსულტაციაში, დამუშავების ბუნებისა და მის ხელთ არსებული ინფორმაციის გათვალისწინებით. გონივრული დამატებითი ძალისხმევა შეიძლება ანაზღაურდეს ჩვენი სტანდარტული ტარიფებით [დადასტურდეს დახმარების საფასური, ასეთის არსებობისას · დასადასტურებელია].
• ჩანაწერები. KCall აწარმოებს დამუშავების აქტივობების ჩანაწერებს, რასაც მონაცემთა დაცვის კანონმდებლობა უფლებამოსილ პირს ავალდებულებს, და კომპეტენტური ორგანოს მოთხოვნისას გადასცემს მას.

10. ინციდენტები

KCall კლიენტს ინციდენტის შესახებ, რომელიც მის პერსონალურ მონაცემებს შეეხო, აცნობებს გაუმართლებელი დაყოვნების გარეშე და ნებისმიერ შემთხვევაში ინციდენტის დადასტურებიდან [24 საათის · დასადასტურებელია] ვადაში. ქართული კანონმდებლობა უფლებამოსილ პირს დაუყოვნებლივ შეტყობინებას ავალდებულებს, ამიტომ KCall დადასტურებულ ინციდენტს გადაუდებლად განიხილავს. შეტყობინება იგზავნება ანგარიშის მფლობელთან და ჩვენთან რეგისტრირებულ უსაფრთხოების საკონტაქტო პირთან და მოიცავს ცნობილ ინფორმაციას: ინციდენტის ბუნებას, სავარაუდოდ დაზარალებულ მონაცემებსა და პირებს, სავარაუდო შედეგებს, მიღებულ ზომებს და საკონტაქტო პირს. KCall კლიენტს ინფორმაციას განუახლებს და დამატებით დეტალებს გადასცემს, როგორც კი გაირკვევა. კლიენტი წყვეტს, აცნობოს თუ არა ორგანოს (საქართველოში ეს არის საქართველოს სახელმწიფო აუდიტის სამსახური, ინციდენტის გამოვლენიდან 72 საათში) და მონაცემთა სუბიექტებს. იხილეთ ინციდენტის შეტყობინების ვალდებულება.

11. დაბრუნება და წაშლა

ხელშეკრულების დასრულებისას KCall კლიენტს მონაცემების ექსპორტისთვის [30 დღეს · დასადასტურებელია] აძლევს, შემდეგ კი შლის პერსონალურ მონაცემებსა და არსებულ ასლებს, როგორც ეს მონაცემთა შენახვის ვადების განრიგშია აღწერილი, გარდა იმ შემთხვევისა, როცა კანონი მათ შენახვას მოითხოვს. სარეზერვო ასლები იშლება იქ მითითებული წესით. KCall წაშლას კლიენტის მოთხოვნით წერილობით ადასტურებს.

12. ინფორმაცია და აუდიტი

KCall კლიენტს აწვდის ინფორმაციას, რომელიც ამ DPA-ის დაცვის დასადასტურებლად არის საჭირო, მათ შორის უსაფრთხოების გონივრულ კითხვარებზე პასუხებს. კლიენტს, ან მის მიერ დასახელებულ და კონფიდენციალურობით შეკრულ აუდიტორს, შეუძლია KCall-ის აუდიტი ჩაატაროს წელიწადში ერთხელ ან ინციდენტის შემდეგ, [30 დღის · დასადასტურებელია] წინასწარი შეტყობინებით, სამუშაო საათებში და ისე, რომ სერვისს ან სხვა კლიენტებს არ შეუშალოს ხელი. KCall-ს შეუძლია ჯერ დამოუკიდებელი ანგარიში ან დისტანციური აუდიტი შესთავაზოს. აუდიტის ხარჯს კლიენტი იხდის, თუ აუდიტი არსებით დარღვევას არ გამოავლენს [დადასტურდეს აუდიტის უფლებები · დასადასტურებელია]. აუდიტი სხვა კლიენტების მონაცემებს არ მოიცავს.

13. პასუხისმგებლობა და უპირატესობის რიგი

პასუხისმგებლობაზე ამ DPA-ის მიხედვით ვრცელდება მომსახურების პირობებში მითითებული ზღვრები. თუ ეს DPA პერსონალურ მონაცემებთან დაკავშირებულ სხვა დოკუმენტებს ეწინააღმდეგება, DPA-ს აქვს უპირატესობა.

14. ამ DPA-ის ცვლილებები

KCall ამ DPA-ს არ შეცვლის დაცვის შემცირების მიმართულებით კლიენტის თანხმობის გარეშე. სხვა ცვლილებების შესახებ კლიენტს აცნობებს ისე, როგორც მომსახურების პირობებშია აღწერილი, და წინააღმდეგობის გამოთქმის შესაძლებლობას მისცემს.

15. მოქმედი კანონმდებლობა

გამოიყენება მომსახურების პირობებში მითითებული კანონმდებლობა და სასამართლოები, იმ გამონაკლისით, რომ მონაცემთა დაცვის კანონმდებლობის იმპერატიული ნორმები მოქმედებს ისე, როგორც ამას კანონი მოითხოვს.

16. დანართი 1: დამუშავების დეტალები

• პუნქტი

  საგანი და ბუნება

  აღწერა

  კლიენტისთვის AI ხმოვანი ასისტენტის მუშაობა: სატელეფონო ზარების მიღება და განხორციელება, მეტყველების გაგება, პასუხი, ზარების გადართვა, ტრანსკრიპტებისა და შეჯამებების შედგენა, ჩანაწერების შენახვა (ჩართვის შემთხვევაში) და ქმედებების შესრულება კლიენტის მიერ დაკავშირებულ სისტემებში

• პუნქტი

  მიზანი

  აღწერა

  კლიენტისთვის iCall სერვისის მიწოდება

• პუნქტი

  ხანგრძლივობა

  აღწერა

  ხელშეკრულების მოქმედების ვადა, შემდეგ კი შენახვის ვადების განრიგის მიხედვით

• პუნქტი

  მონაცემთა სუბიექტები

  აღწერა

  კლიენტის დამრეკავები და ადამიანები, ვისაც კლიენტი ურეკავს, კლიენტის თანამშრომლები და მომხმარებლები

• პუნქტი

  მონაცემთა სახეები

  აღწერა

  ხმოვანი აუდიო, ტრანსკრიპტები, ტელეფონის ნომრები, ზარებზე დასახელებული სახელები და საკონტაქტო მონაცემები, ზარის დრო, ხანგრძლივობა და შედეგი, დამრეკავის მიერ თავისი თხოვნის შესახებ მიცემული ინფორმაცია, ჩანაწერები და შეჯამებები, კლიენტის მიერ დაკავშირებული სისტემების მონაცემები (მაგალითად ვიზიტები, შეკვეთები)

• პუნქტი

  განსაკუთრებული კატეგორიები

  აღწერა

  განზრახ არ გროვდება. დამრეკავმა მათი მოხსენიება შეიძლება. კლიენტმა ასისტენტი ისე არ უნდა გამართოს, რომ მათ აგროვებდეს, თუ არ აქვს კანონიერი საფუძველი და ეს წერილობით არ შეუთანხმებია [დადასტურდეს განსაკუთრებული კატეგორიების წესი · დასადასტურებელია]

• პუნქტი

  სიხშირე

  აღწერა

  უწყვეტი, სერვისით სარგებლობის განმავლობაში

17. დანართი 2: სუბპროცესორები

ქვემოთ მოცემული სია ჩვენი გაშვების შემადგენლობაა და DPA-ის დამტკიცებამდე დადასტურდება [დადასტურდეს შემადგენლობა, ხელშეკრულების დონეები და დამუშავების რეგიონები · დასადასტურებელია]. „არასავალდებულო“ ნიშნავს, რომ KCall პროვაიდერს იყენებს მხოლოდ მაშინ, როცა კლიენტი შესაბამის ფუნქციას ჩართავს.

• სუბპროცესორი

  Supabase (პლატფორმა AWS-ზე)

  რას აკეთებს

  მონაცემთა ბაზა, ავტორიზაცია და ფაილების შენახვა, ჩანაწერების ჩათვლით

  მონაცემები

  კლიენტის ყველა მონაცემი

  მდებარეობა

  AWS eu-central-1, ფრანკფურტი, გერმანია

  გამოყენება

  ძირითადი

• სუბპროცესორი

  Hetzner Online GmbH

  რას აკეთებს

  ხმოვანი სერვერი: სატელეფონო გარემო, ცოცხალი აუდიოს გადაცემა, კამპანიების დისპეტჩერი

  მონაცემები

  ზარის მიმდინარეობისას ცოცხალი ზარის აუდიო და ზარის მონაცემები, სერვერის ჟურნალები

  მდებარეობა

  ჰელსინკი, ფინეთი

  გამოყენება

  ძირითადი, დაგეგმილია გაშვებისთვის

• სუბპროცესორი

  Vercel Inc.

  რას აკეთებს

  ვებგვერდის, კაბინეტისა და მართვის API-ის ჰოსტინგი

  მონაცემები

  მოთხოვნები, ავტორიზაციის მონაცემები, კაბინეტის შინაარსი გადაცემისას

  მდებარეობა

  სერვერული ფუნქციები ფრანკფურტში, გერმანია, გლობალური ქსელითა და შეერთებული შტატების კომპანიით

  გამოყენება

  ძირითადი

• სუბპროცესორი

  Google (Gemini API)

  რას აკეთებს

  AI მოდელი მეტყველებისა და ენისთვის, რომელიც ზარებს იგებს და პასუხობს

  მონაცემები

  ცოცხალი ზარის აუდიო, ტექსტი, მოთხოვნები და კლიენტის ცოდნის ბაზა

  მდებარეობა

  [დადასტურდეს დამუშავების რეგიონი და ფასიანი სერვისის მონაცემთა პირობები, მონაცემებზე წვრთნის გარეშე · დასადასტურებელია]

  გამოყენება

  ძირითადი

• სუბპროცესორი

  Flitt

  რას აკეთებს

  გადახდების დამუშავება და ინვოისირება

  მონაცემები

  ბილინგის საკონტაქტო პირი, კომპანიის მონაცემები, გადახდის სტატუსი

  მდებარეობა

  საქართველო [დადასტურდეს · დასადასტურებელია]

  გამოყენება

  ძირითადი

• სუბპროცესორი

  gosms.ge

  რას აკეთებს

  SMS: დადასტურების კოდები და შეტყობინებები

  მონაცემები

  ტელეფონის ნომერი, შეტყობინების ტექსტი

  მდებარეობა

  საქართველო [დადასტურდეს · დასადასტურებელია]

  გამოყენება

  ძირითადი

• სუბპროცესორი

  Cloudflare Turnstile ან hCaptcha

  რას აკეთებს

  ბოტების შემოწმება დადასტურების SMS-ის გაგზავნამდე

  მონაცემები

  ტექნიკური მონაცემები, მაგალითად IP მისამართი

  მდებარეობა

  განსაზღვრავს პროვაიდერი [შეირჩეს და დადასტურდეს · დასადასტურებელია]

  გამოყენება

  დაგეგმილი

• სუბპროცესორი

  Google Workspace APIs (კალენდარი, Sheets და სხვა)

  რას აკეთებს

  კლიენტის საკუთარი კალენდრის ან ცხრილის წაკითხვა და ჩაწერა

  მონაცემები

  კლიენტის დაკავშირებულ ანგარიშში არსებული მონაცემები

  მდებარეობა

  კლიენტის Google ანგარიშის პარამეტრების მიხედვით

  გამოყენება

  არასავალდებულო, კლიენტის მიერ დაკავშირებისას

• სუბპროცესორი

  Telegram

  რას აკეთებს

  შეტყობინებები კლიენტის თანამშრომლებისთვის

  მონაცემები

  შეტყობინების ტექსტი, სახელები

  მდებარეობა

  ევროკავშირის გარეთ, სხვადასხვა [დადასტურდეს · დასადასტურებელია]

  გამოყენება

  არასავალდებულო

• სუბპროცესორი

  Viber (Rakuten Viber)

  რას აკეთებს

  შეტყობინებები

  მონაცემები

  შეტყობინების ტექსტი, ტელეფონის ნომრები

  მდებარეობა

  [დადასტურდეს · დასადასტურებელია]

  გამოყენება

  არასავალდებულო

• სუბპროცესორი

  WhatsApp (Meta)

  რას აკეთებს

  შეტყობინებები

  მონაცემები

  შეტყობინების ტექსტი, ტელეფონის ნომრები

  მდებარეობა

  ევროკავშირის გარეთ, სხვადასხვა [დადასტურდეს · დასადასტურებელია]

  გამოყენება

  არასავალდებულო

KCall-ის ოპერატორები, როცა კლიენტი მათ ზარების გადაცემას არჩევს, მუშაობენ KCall-ის საკუთარი პასუხისმგებლობით და ამ DPA-ის ფარგლებში. ისინი ცალკე სუბპროცესორი არ არიან.

Supabase-მა შეიძლება დამატებითი სუბპროცესორები გამოიყენოს, მაგალითად Amazon Web Services, საკუთარი პირობების მიხედვით. ამ სიაში ახალი პროვაიდერის დამატებამდე ჩვენ გაცნობებთ.

18. დანართი 3: უსაფრთხოების ზომები

ქვემოთ მოცემული ზომები შეჯამებაა. უსაფრთხოების მიმოხილვა თითოეულის სტატუსს გვიჩვენებს და ამბობს, რა არის დაგეგმილი. „დაგეგმილად“ მონიშნული პუნქტები ჯერ აგებული არ არის.

• კლიენტების გამიჯვნა მწკრივის დონის უსაფრთხოებითა და როლებზე დაფუძნებული წვდომით, ნებართვების შემოწმებით ყოველ მოთხოვნაზე
• ჩანაწერები კერძო საცავში, რომელზეც წვდომა მხოლოდ მოკლევადიანი ხელმოწერილი ბმულებითაა შესაძლებელი, თითოეული გაცემა აუდიტის ჟურნალში აღირიცხება
• მგრძნობიარე ქმედებების მხოლოდ დამატებადი აუდიტის ჟურნალი
• მხარდაჭერის წვდომა მხოლოდ დასახელებული, შეზღუდული მოცულობისა და ვადით შეზღუდული (არაუმეტეს 30 დღე) ნებართვით, რომელიც აუდიტის ჟურნალში აღირიცხება და რომლის გაუქმებაც კლიენტს შეუძლია; ვადაგასული ან გაუქმებული ნებართვით წვდომა დაუშვებელია (ნებართვის გაცემა პლატფორმის ადმინისტრატორსაც შეუძლია, იხილეთ უსაფრთხოების მიმოხილვა)
• მეორე ფაქტორი პლატფორმის ადმინისტრატორებისთვის
• დაშიფვრა გადაცემისას და საცავის დაშიფვრა ჰოსტინგ-პროვაიდერების მიერ [დადასტურდეს · დასადასტურებელია]
• საიდუმლო მონაცემები კოდისა და სატესტო სისტემებისგან განცალკევებით ინახება, ტექნიკური ჟურნალები კი ზარის შინაარსისგან თავისუფალია
• დაგეგმილია: ხარჯის, ზარის ხანგრძლივობისა და მცდელობების ლიმიტები, რომლებსაც პლატფორმა ახორციელებს
• დამოუკიდებელი გადახედვა და ავტომატური ტესტები ცვლილებების გამოშვებამდე
• სარეზერვო ასლები და აღდგენა დაგეგმილია; შიდა მიზნებია აღდგენა 4 საათში და მონაცემთა დაკარგვა არაუმეტეს 24 საათისა, ეს მიზნებია და არა ვალდებულება