Ushbu Ma'lumotlarni qayta ishlash bo'yicha kelishuv («DPA») Mijoz va BA Solutions, LLC («Gramdesk», «biz») o'rtasidagi Foydalanish shartlarining bir qismidir. U biz Mijozning Yakuniy foydalanuvchilari shaxsiy ma'lumotlarini uning topshirig'i bilan qayta ishlaganimizda va bu qayta ishlashga YeIning Ma'lumotlarni himoya qilish bo'yicha umumiy reglamenti (GDPR), UK GDPR, Shveytsariyaning FADP qonuni yoki shunga o'xshash talablarga ega boshqa ma'lumotlarni himoya qilish qonuni («Ma'lumotlarni himoya qilish qonunchiligi») qo'llanilganda amal qiladi. Mijoz Shartlarni qabul qilish orqali DPA'ni qabul qiladi; imzo kerak emas. Shaxsiy ma'lumotlarni qayta ishlash masalalarida DPA va Shartlar zid kelsa, DPA amal qiladi.
«Yakuniy foydalanuvchilar» — Mijoz ulagan Instagram akkauntiga yozadigan, izoh qoldiradigan yoki u bilan boshqacha muloqot qiladigan odamlar hamda Mijoz kontakt sifatida yozib qo'ygan har qanday shaxs. «Nazoratchi» (operator), «qayta ishlovchi», «shaxsiy ma'lumotlarning sizib chiqishi» va «ma'lumotlar subyekti» atamalari GDPR'dagi ma'nolarga ega.
I-ilovada tavsiflangan Yakuniy foydalanuvchilar ma'lumotlari bo'yicha Mijoz — operator, biz esa — qayta ishlovchimiz. Mijoz o'zi topshirgan qayta ishlashning qonuniyligi, jumladan unga va unga AI funksiyalarini qo'llashga huquqiy asos mavjudligi, Yakuniy foydalanuvchilarni qonun talab qilgan tarzda xabardor qilish va o'zi kiritgan ma'lumotlarning to'g'riligi uchun javobgar. Mijoz bizga maxsus toifadagi ma'lumotlarni qayta ishlashni topshirmaydi va Yakuniy foydalanuvchilar bunday ma'lumotlarni xabarlarda o'zlari yuborishi mumkinligini tushunadi.
Biz Yakuniy foydalanuvchilar ma'lumotlarini faqat Mijozning hujjatlashtirilgan ko'rsatmalari bo'yicha qayta ishlaymiz — bular Shartlar, DPA hamda Mijoz Xizmatdan qanday foydalanishi va uni qanday sozlashi: masalan, qaysi akkauntlarni ulashi, qaysi AI funksiyalarini yoqishi va nima yuborishi, — agar qonun boshqacha talab qilmasa; bunday holda, qonun taqiqlamasa, Mijozga oldindan xabar beramiz. Agar fikrimizcha ko'rsatma Ma'lumotlarni himoya qilish qonunchiligini buzsa, Mijozga xabar beramiz.
Mijoz bizga Meta Instagram foydalanuvchilaridan yuboradigan o'chirish so'rovlarini bajarishni ham topshiradi: bunday so'rov shu Instagram akkauntining ma'lumotlarini u ulangan barcha ish maydonlarida, jumladan Mijozning ish maydonida ham o'chiradi.
Biz Yakuniy foydalanuvchilar ma'lumotlarini sotmaymiz, reklama uchun ishlatmaymiz, ular asosida odamlar profilini tuzmaymiz, kuzatuv uchun va o'z maqsadlarimiz uchun foydalanmaymiz.
AQSh shtatlarining maxfiylik qonunlari
Kaliforniya iste'molchilar maxfiyligi to'g'risidagi qonuni (CCPA) yoki AQSh shtatining shunga o'xshash qonuni qo'llanilsa, biz Mijozning xizmat ko'rsatuvchisi yoki qayta ishlovchisi sifatida harakat qilamiz. Biz Yakuniy foydalanuvchilar ma'lumotlarini sotmaymiz yoki uzatmaymiz; ularni Mijoz bilan to'g'ridan-to'g'ri ishbilarmonlik munosabatlarimizdan tashqarida yoki Xizmatni ko'rsatishdan boshqa maqsadda saqlamaymiz, ishlatmaymiz yoki oshkor qilmaymiz; boshqalardan olingan shaxsiy ma'lumotlar bilan birlashtirmaymiz — o'sha qonun ruxsat bergan hollar bundan mustasno. Biz o'sha qonunga rioya qilamiz, Yakuniy foydalanuvchilar ma'lumotlariga u talab qiladigan himoyani ta'minlaymiz va bu majburiyatlarni bajara olmay qolsak, Mijozga xabar beramiz, toki u ruxsatsiz foydalanishni to'xtatish va bartaraf etish uchun oqilona choralar ko'ra olsin.
Yakuniy foydalanuvchilar ma'lumotlarini qayta ishlashga ruxsat bergan odamlarimiz maxfiylik majburiyati bilan bog'langan va ularga faqat Xizmatni ko'rsatish, qo'llab-quvvatlash va himoya qilish uchun zarur darajada kiradi.
Biz texnologiyalarning zamonaviy darajasi, xarajatlar va qayta ishlash xatarlarini hisobga olib, II-ilovadagi texnik va tashkiliy choralarni qo'llaymiz. Umumiy himoya darajasi pasaymasa, ularni yangilashimiz mumkin.
Mijoz bizga Yakuniy foydalanuvchilar ma'lumotlarining subprotsessorlarini jalb qilishga umumiy ruxsat beradi. Joriy ro'yxat — Subprotsessorlar sahifasidagi birinchi jadval; u yerdagi boshqa provayderlar Yakuniy foydalanuvchilar ma'lumotlarini olmaydi yoki faqat Mijozning o'zi ularni u yerga yuborgani uchun oladi (u ulagan Telegram chati). Yakuniy foydalanuvchilar ma'lumotlarining yangi subprotsessori haqida u ularni qayta ishlashni boshlashidan kamida 30 kun oldin o'sha yerda e'lon qilamiz; almashtirish Xizmat ishlashi yoki xavfsizligi uchun shoshilinch zarur bo'lsa, imkon qadar tezroq e'lon qilamiz. Shu muddat ichida Mijoz ma'lumotlarni himoya qilish bilan bog'liq asosli sabablarga ko'ra support@gramdesk.io manziliga yozib e'tiroz bildirishi mumkin; agar e'tirozni oqilona hisobga ola olmasak, Mijoz Xizmatning tegishli qismini tugatishi mumkin va biz davrning qolgan qismi uchun oldindan to'langan summani bank o'tkazmasi yoki akkauntga kredit sifatida qaytaramiz. Har bir subprotsessorga DPA'dagidan past bo'lmagan ma'lumotlarni himoya qilish majburiyatlarini yuklaymiz va ularning bajarilishi uchun javobgarmiz.
Qayta ishlash xususiyatini hisobga olib, biz Mijozga Yakuniy foydalanuvchilarning huquqlarini amalga oshirish bo'yicha so'rovlariga javob berishda — xususan, ulangan akkaunt yoki kontakt ma'lumotlarini o'chirish va so'rov bo'yicha ma'lumotlar nusxasini taqdim etish orqali — hamda Xizmatga taalluqli qismida ma'lumotlarni himoya qilishga ta'sirni baholash va oldindan maslahatlashuvlarda yordam beramiz. Agar Yakuniy foydalanuvchi bizga bevosita murojaat qilsa, qonun boshqacha talab qilmasa, so'rovni Mijozga yetkazamiz va o'zimiz javob bermaymiz.
Yakuniy foydalanuvchilar ma'lumotlariga tegishli sizib chiqish haqida bilganimizdan keyin Mijozga asossiz kechiktirmasdan xabar beramiz, Mijozga o'z majburiyatlarini bajarishi uchun kerakli ma'lumotlarni paydo bo'lishiga qarab taqdim etamiz va uni cheklash uchun oqilona choralar ko'ramiz.
Mijoz Instagram akkauntini uzganda, undan shu ish maydoniga import qilingan ma'lumotlarni butunlay o'chiramiz. Mijozning akkaunti o'chirilganda, Yakuniy foydalanuvchilar ma'lumotlarini 30 kun ichida o'chiramiz; bazaning zaxira nusxalaridagi nusxalar yana 7 kun ichida qayta yoziladi. O'chirishdan oldin Mijoz support@gramdesk.io manzili orqali ma'lumotlari nusxasini so'rashi mumkin; uni 30 kun ichida mashina o'qiy oladigan JSON fayl ko'rinishida taqdim etamiz. Ma'lumotlarni uzoqroq faqat qonun talab qilsa saqlaymiz.
DPA'ga rioya qilinishini tasdiqlash uchun oqilona zarur bo'lgan ma'lumotlarni, jumladan xavfsizlik bo'yicha oqilona so'rovnomalarga javoblarni taqdim etamiz. Agar bu yetarli bo'lmasa, Mijoz yiliga bir marta, 30 kun oldin ogohlantirib, maxfiylik majburiyati bilan bog'langan mustaqil auditorga tegishli yozuvlarimizni Mijoz hisobidan — Xizmat ishini buzmasdan va boshqa mijozlar ma'lumotlarini oshkor qilmasdan — tekshirishni topshirishi mumkin.
Biz AQShda ro'yxatdan o'tganmiz, Xizmat Shvetsiyada joylashgan, ayrim subprotsessorlar esa boshqa mamlakatlarda (Subprotsessorlar sahifasiga qarang). Agar Ma'lumotlarni himoya qilish qonunchiligi Yakuniy foydalanuvchilar ma'lumotlarini bizga yoki undan keyin uzatishni cheklasa, DPA'ga havola orqali quyidagilar kiritiladi:
- Komissiyaning (YeI) 2021/914 Ijro qarori bilan tasdiqlangan Standart shartnoma shartlari — 2-modul (operatordan qayta ishlovchiga) va, Mijozning o'zi qayta ishlovchi bo'lsa, 3-modul (qayta ishlovchidan qayta ishlovchiga) — bunda: Standart shartnoma shartlarining 7-moddasi kiritilmaydi; 9-modda — ushbu DPA 6-bandidagi xabar berish muddati bilan 2-variant; 11-moddaning ixtiyoriy matni kiritilmaydi; 17-modda — 1-variant, Irlandiya huquqi; 18-modda — Irlandiya sudlari; I va II-ilovalar quyida keltirilganidek;
- Buyuk Britaniya uchun — Axborot komissari chiqargan Xalqaro ma'lumotlar uzatish bo'yicha qo'shimcha, uning 1-qismi ushbu DPA asosida to'ldiriladi va har bir tomon uni 19-bo'limiga muvofiq tugatishi mumkin;
- Shveytsariya uchun — o'sha Standart shartnoma shartlari, bunda uzatish FADP bilan tartibga solinsa, qo'llaniladigan huquq — FADP, vakolatli organ — Shveytsariya Federal ma'lumotlarni himoya qilish va axborot bo'yicha vakili, «a'zo davlat» esa Shveytsariyani ham o'z ichiga oladi.
Agar davlat organi bizdan Yakuniy foydalanuvchilar ma'lumotlarini so'rasa, qonun taqiqlamasa, Mijozga xabar beramiz, asosli sabablar bo'lsa so'rovga e'tiroz bildiramiz va so'rov qonuniy talab qilganidan ortiq narsani oshkor qilmaymiz.
| Band | Tavsif |
|---|---|
| Ma'lumotlar eksportyori | Akkauntida ko'rsatilgan Mijoz; operator (yoki o'z mijozi uchun qayta ishlovchi). |
| Ma'lumotlar importyori | BA Solutions, LLC, Tacoma, Washington, United States, support@gramdesk.io; qayta ishlovchi. |
| Ma'lumotlar subyektlari | Yakuniy foydalanuvchilar: Mijozning ulangan Instagram akkauntlariga yozadigan yoki izoh qoldiradigan odamlar; Mijoz yozib qo'ygan kontaktlar; sifat analitikasi uchun — Mijozning jamoa a'zolari. |
| Ma'lumotlar toifalari | Instagram foydalanuvchi nomi, Instagram ID'si, ism va profil rasmi havolasi; Direct xabarlari va izohlar mazmuni hamda ulardagi mediaga havolalar; Mijoz yozib qo'ygan aloqa ma'lumotlari (ism, telefon, email); AI yaratgan belgilar va qoralamalar; jamoa a'zolari uchun — ularning javoblari va ushbu javoblarning baholari. |
| Maxsus toifalar | Nazarda tutilmagan. Yakuniy foydalanuvchilar bunday ma'lumotlarni xabarlarda o'zlari ko'rsatishi mumkin. |
| Davriylik | Doimiy, Instagram akkaunti ulangan ekan. |
| Xususiyati va maqsadi | Xabarlar, izohlar va postlarni qabul qilish, saqlash, ko'rsatish, tartiblash va yuborish; AI yordamida qoralama tayyorlash, tasniflash va baholash; statistika — Mijozga Xizmatni ko'rsatish uchun. |
| Saqlash muddati | Akkaunt ulangan va Mijoz akkaunti mavjud ekan; keyin 9-bandda tavsiflanganidek o'chiriladi. Mijoz o'chirgan kontaktlar (CRM lidlari) 30 kundan keyin butunlay o'chiriladi. |
| Subprotsessorlar | gramdesk.io/subprocessors sahifasidagi birinchi jadval. |
C. Vakolatli nazorat organi
- Agar Mijoz YeIda ta'sis etilgan bo'lsa — Standart shartnoma shartlarining 13(a)-moddasi bo'yicha unga mas'ul nazorat organi.
- Agar Mijoz YeIda ta'sis etilmagan, lekin GDPR 27-moddasi bo'yicha vakil tayinlagan bo'lsa — vakil ta'sis etilgan a'zo davlatning nazorat organi.
- Agar Mijoz YeIda ta'sis etilmagan va vakil tayinlashi shart bo'lmasa — Irlandiya Ma'lumotlarni himoya qilish komissiyasi.
- UK GDPR bo'yicha uzatishlar uchun — Axborot komissari idorasi; FADP bo'yicha — Shveytsariya Federal ma'lumotlarni himoya qilish va axborot bo'yicha vakili.
- Uzatishda shifrlash: sayt, konsol va API bilan barcha ulanishlarda TLS.
- Saqlashda shifrlash: ma'lumotlar bazasi va fayl omborlari AWS vositalari bilan shifrlangan.
- Instagram kirish tokenlari va to'lov kartalari tokenlari bazada Fernet (HMAC-SHA256 bilan AES-128-CBC) algoritmida shifrlangan.
- Ma'lumotlar bazasi yopiq tarmoq ichki tarmoqlarida, internetdan kirib bo'lmaydi; ilova uchun alohida baza roli.
- Ma'lumotlar bazasi hisob ma'lumotlari va boshqa ishlab chiqarish sirlari serverlarga AWS Secrets Manager'dan beriladi.
- AWS eu-north-1 (Stokgolm)da joylashtirish; bazaning avtomatik zaxira nusxalari 7 kun saqlanadi.
- Har bir ish maydoni ichida rollarga asoslangan kirish; ish maydonidagi harakatlar jurnali.
- Taklifnoma sirlari faqat xesh ko'rinishida saqlanadi; takroriy kirish urinishlari va kod so'rovlari cheklangan.
- Kirish tokenlari va to'liq telefon raqamlari jurnallarga tushmaydi; jurnallar 30 kundan keyin o'chiriladi.
- Xatolarni kuzatish sukut bo'yicha shaxsiy ma'lumotlarni yubormaslikka sozlangan; seans yozuvlari brauzerda yashiriladi.
- Xodimlarning kirishi Xizmatni ishlatish va qo'llab-quvvatlash uchun zarur bo'lgan darajada cheklangan.