DATA PROCESSING ADDENDUMДОПОЛНЕНИЕ О ОБРАБОТКЕ ДАННЫХ
This Data Processing Addendum, including its Attachments, (“https://www.read.ai/termsofserviceЭто Дополнение о Обработке Данных, включая его Приложения, ("") заключено между Read AI, Inc. (", "", или "") и Корпоративным клиентом ("" или "вы") и является частью Условий обслуживания Read AI, Inc., доступных по адресу , которые могут периодически обновляться, или любого другого соглашения о предоставлении заключенных услуг между Read и Клиентом (""). Это DPA вступает в силу с даты, когда вы согласились с Соглашением. Это DPA будет автоматически прекращено при окончании действия Соглашения или досрочно прекратится в соответствии с условиями этого DPA. В случае конфликта между условиями этого DPA, Соглашением или любой другой документацией, условия этого DPA регулируют и контролируют процесс обработки Персональных Данных Клиентов (как эти термины определены ниже). Используемые, но не определенные в этом DPA термины будут иметь значение, предоставленное в Соглашении.
1.1. Scope. This DPA applies where Company Processes Customer Personal Data as a Processor on behalf of Customer, the Controller, in connection with providing the Services. The parties agree that Read is the Processor of Customer Personal Data, except where Read acts as an independent Controller processing Customer Personal Data in accordance with Section 1.5 in connection with its own legitimate business operations.
1.2. Limitations on Use. In Company’s capacity as a Processor, Company will Process Customer Personal Data only: (a) pursuant to Customer’s documented Instructions as specified under Section 1.3 (Instructions), including with regard to transfers of Customer Personal Data to a third country; and (b) as otherwise required by applicable laws, provided that Company will inform Customer (unless prohibited by law) of the applicable legal requirement before such Processing. As a Processor, Company will not (except where otherwise instructed to do so by the Customer): (a) retain, use, or disclose the Customer Personal Data (i) outside of the direct business relationship between the parties or (ii) for any purpose other than for the specific purpose of performing the Services; (b) sell or share (as defined by Data Protection Law) the Customer Personal Data; or (c) combine Customer Personal Data with Personal Data Company receives from individuals or other sources, except as permitted by Data Protection Law.
1.3. Processor Instructions. Customer instructs Company to Process Customer Personal Data as necessary to provide the Services and as otherwise authorized or permitted under this DPA and the Agreement, including as specified in Attachment 2 (Scope of Processing). This DPA, the Agreement, and any instructions provided by Customer through configuration tools made available by Company are Customer’s documented instructions regarding Company’s Processing of Customer Personal Data (“Instructions”). Additional Instructions provided by Customer (if any) require prior written agreement by Customer and Company. Customer will not instruct Company to Process Customer Personal Data in violation of any Data Protection Law. Company may suspend Processing based upon any Customer Instructions that Company reasonably suspects violate Data Protection Law, provided Company will promptly inform Customer if Company believes an instruction infringes Data Protection Law.
1.4. Compliance. Each party will comply with its obligations under Data Protection Law. Company shall promptly notify Customer if it determines that it cannot meet its obligations under Data Protection Law. Upon receiving written notice from Customer that Company has Processed Customer Personal Data without authorization, Company will take reasonable and appropriate steps to stop and remediate such Processing.
1.5. Independent Controller Processing. Read may Process certain data (including Customer Personal Data and Service Data) for its own legitimate business purposes, as an independent Controller, solely when the Processing is strictly necessary and proportionate, and if the Processing is for one of the following purposes:
1.5.1. Customer Personal Data, including but not limited to name, user name, profile photo, email address, phone number, and postal address may be Processed for: (i) billing and account management, and related Customer correspondence; (ii) complying with and resolving legal obligations, including responding to Data Subject Requests (defined in Section 2.1) for Personal Data processed by Company as Controller, financial requirements, agreements, and disputes; (iii) abuse detection, prevention, and protection, virus scanning and scanning to detect violations of terms of service (such as copyright infringement, SPAM, and actions not permitted under Read's Terms of Service); (iv) improving and optimizing the performance and core functionalities of accessibility, privacy, security, and the IT infrastructure efficiency of the Services; (v) internal reporting, financial reporting, revenue planning, capacity planning, and forecast modeling (including product strategy); and (vi) receiving and using Feedback for Read's overall service improvement. For the avoidance of doubt, the company does not process the following categories of Customer Personal Data for the purposes of this Section 1.5.1: audio and video recordings, transcription content, the substance of communications or meeting content.
1.5.2. In addition, Service Data may be Processed for: (i) sales and marketing; (ii) performing data analytics; (iii) monitoring, improving, and supporting the Services; and (iv) designing, developing, and offering Read products and Services.
Except as permitted by Clause 1.7, when acting as an independent Controller, Company will not process Customer Personal Data for any purposes other than the above list of legitimate business purposes.
1.6. Company will not Process Customer Personal Data for third-party advertising, direct marketing, profiling, research or analytics purposes except where such processing is (i) necessary to comply with Customer's Instructions as set out this DPA, or (ii) for the legitimate business purposes described in Section 1.5 or (iii) part of Company’s free Services or individual (i.e., non-enterprise) Services.
1.7. Company shall only process Customer Personal Data for the purposes specified in this DPA; provided, however, Company may process Customer Personal Data and Service Data for “further” or “compatible” purposes (within the meaning of Articles 5(1)(b) and 6(4) GDPR, where applicable), to the extent it is acting as an independent Controller as set out in Sections 1.5.1 and 1.5.2, or seek consent from end users for new types of data processing, where permitted by the Read account administrator and Data Protection Law.
1.8. Confidentiality. Company will ensure that persons authorized by Company to Process any Customer Personal Data are subject to appropriate confidentiality obligations.
1.9. Security. Regardless of its role as a Processor or independent Controller, Company will implement and maintain appropriate technical and organizational measures designed to protect Customer Personal Data against Security Incidents and provide the level of protection required by Data Protection Law in accordance with Attachment 4 (Data Security Exhibit). Company may amend the technical and organizational measures, provided the new measures do not materially reduce the level of security provided by Attachment 4 (Data Security Exhibit).
1.10. Disposal. In its capacity as a Processor, at the choice of Customer, Company will (or will enable Customer via the Services to) delete (and will delete existing copies of) all Customer Personal Data after termination of the Agreement (unless Data Protection Law requires the storage of such Customer Personal Data by Company, in which case Company will only further retain and Process such Customer Personal Data for the limited duration and purposes required by such Data Protection Law). The certification of deletion contemplated by Section 8.5 of the SCCs shall be provided on Customers’ written request.
1.11. Deidentified Data. In Company’s capacity as a Processor, Customer authorizes Company to Process Deidentified Data to provide and improve the Services. Company will (a) take reasonable measures to ensure the Deidentified Data cannot be associated with a Data Subject and (b) publicly commit to maintain and use Deidentified Data in deidentified form and not attempt to reidentify Deidentified Data except as permitted by Data Protection Law.
To the extent Company acts as a Processor:В качестве Процессора:
2.1. Data Subject Rights Assistance. Customer shall be responsible for responding to requests from individuals to exercise rights under Data Protection Law relating to Customer Personal Data (each a “Data Subject Request”). Customer will inform Company of any Data Subject Request to which Company must comply and provide the information necessary for Company to comply with the request. Company will, to the extent permitted by Data Protection Law, notify Customer if Company receives a Data Subject Request. To the extent Customer, in its use of the Services, does not have the ability to address the Data Subject Request, Company will, on Customer’s request, use commercially reasonable assistance to Customer in responding to such Data Subject Request, to the extent the response to such Data Subject Request is required under Data Protection Law.
2.2. Security Assistance. Taking into account the nature of Processing and the information available to Company, Company will provide commercially reasonable efforts to assist Customer in Customer’s efforts to comply with Customer’s obligations to secure Customer Personal Data by providing the information and assistance described in Section 3 (Audits).
2.3. Security Incident Notice and Assistance. Company will notify Customer without undue delay after becoming aware of a Security Incident. Company will further take commercially reasonable steps to mitigate the effects and minimize any impact from the Security Incident and assist Customer in complying with any related notification obligations under Data Protection Law.
2.4. The obligations described in Section 2.3 shall not apply if a Security Incident results from the actions or omissions of Customer, except where required by Data Protection Law. Company’s obligation to report or respond to a Security Incident under Section 2.3 will not be construed as an acknowledgement by Company of any fault or liability with respect to the Security Incident.
2.5. Notification to Read. If Customer determines to notify any governmental entity, Data Subject(s), the public, or others of a Security Incident, to the extent such notice directly or indirectly refers to or identifies Read, where permitted by applicable laws, Customer will notify Read in writing in advance of such notice and will, in good faith, consult with Read and consider any clarifications or corrections Read may reasonably recommend or request to any such notification that relates to Read’s involvement in or relevance to such Security Incident and is consistent with applicable laws.
2.6. Data Protection Impact Assessment (“DPIA”) and Prior Consultation Assistance. Taking into account the nature of Processing and the information available to Company, Company will provide commercially reasonable assistance to Customer in ensuring compliance with the obligations related to DPIAs and consulting with regulatory authorities.
To the extent Company acts as a Processor:В той мере, в которой Компания действует в качестве Процессора:
3.1. Company Audits. Company may procure audits by third parties to assess Company’s adherence to the following standards or requirements: (a) SOC 2 Type II; (b) ISO 27001; (c) PCI DSS Service Provider Level 1; and/or (d) certifications or other documentation evidencing compliance with alternative standards that are substantially equivalent to the foregoing (collectively, “Audits”). Subject to the confidentiality obligations set forth in the Agreement, Company will provide Customer with summaries of Company’s then-current Audit reports (“Reports”) on Customer’s request. If the Agreement does not include a provision protecting Company’s confidential information, then the Reports will be made available to Customer subject to a mutually agreed upon non-disclosure agreement covering the Reports.
3.2 Customer Audits. Customer agrees to exercise its audit rights by first requesting the Reports as described in Section 3.1 (Company Reports). Customer will only request additional information or an on-site audit of Company to the extent the information provided by Company is not reasonably sufficient to enable Customer to evaluate Company’s compliance with this DPA and/or Data Protection Law. Except in the event of a Security Incident or regulatory investigation, Customer will provide no less than 30 days' advance notice of its request for an on-site audit and will cooperate in good faith with Company to schedule any such audit on a mutually agreeable date and time. Any such on-site audit must occur during Company’s normal business hours and be conducted by Customer or a nationally recognized independent auditor that has agreed to confidentiality provisions reasonably acceptable to Company. Customer is responsible for ensuring that the audit will comply with Company’s applicable on-site policies and procedures and will not unreasonably interfere with Company’s business activities. Customer will provide a written summary of any audit findings to Company, and the results of the audit will be the confidential information of Company.
To the extent Company acts as a Processor:В случае, если Компания действует как Обработчик:
4.1. Appointment of Subprocessors. Customer authorizes Company to use subcontractors to Process Customer Personal Data in connection with providing the Services (each, a “Subprocessor”). Customer specifically consents to Company’s appointment of the Subprocessors listed at https://trust.read.ai/subprocessors (the “Subprocessor List”).
4.2. Objection Right for New Subprocessors.
4.2.1. Company will notify Customer of its intent to update the Subprocessor List at least 15 days prior to engaging a new Subprocessor. Customer may object to Company’s use of a new Subprocessor within 10 days of receiving such notice by sending an e-mail to privacy@read.ai clearly indicating its desire to object to any such change.
4.2.2. If Customer objects to the change in Subprocessors, Company and Customer will cooperate in good faith to resolve Customer’s objection. If the parties are unable to resolve Customer’s objection within 10 days, then either party may terminate the Agreement only with respect to those Services that Company indicates cannot be provided without the objected-to Subprocessor.
4.3. Liability. Company will impose data protection obligations upon any Subprocessor that are no less protective of Customer Personal Data than those included in this DPA. Company will be liable to Customer for any breach of such obligations by its Subprocessors as it would for its own acts and omissions.
To the extent Company acts as a Processor:В случае, если Компания действует как Обработчик:
5.1. Overview. The parties will conduct any transfers of European Economic Area, UK, and Swiss residents’ Customer Personal Data to a country not subject to an adequacy decision (a “Data Transfer”) pursuant to the SCCs, which are incorporated and deemed executed by this reference. If Company notifies Customer that Data Transfers can be conducted in compliance with Data Protection Law pursuant to an alternative transfer mechanism such as the Data Privacy Framework, the parties will rely on the alternative mechanism to legitimize Data Transfers instead of the provisions that follow.
5.2. SCCs. The parties agree to comply with the general clauses and; (i) where Company acts as a Processor, with Module 2 (Controller to Processor) of the SCCs with Customer as the “data exporter” and Company as the “data importer” ; and (ii) where Company acts as independent Controller, with Module 1 (Controller to Controller) of the SCCs with Customer as the “data exporter” and Company as the “data importer”.
5.3. Transfers Subject to Swiss Data Protection Law. If any Customer Personal Data subject to the Swiss Federal Act on Data Protection of 25 September 2020 (as amended, replaced, or updated from time to time, the “FADP”) is subject to a Data Transfer, the parties will conduct such transfer pursuant to the SCCs with the following modifications: the competent supervisory authority in Annex I.C under Clause 13 shall be the Federal Data Protection and Information Commissioner; references to a “Member State” and “EU Member State” will not be read to prevent individuals in Switzerland from suing for their rights in Switzerland; and references to “GDPR” in the SCCs will be understood as references to the FADP.
5.4. Transfers Subject to the UK GDPR. Any Customer Personal Data that is subject to the UK GDPR and a Data Transfer will be subject to the UK IDTA, which is incorporated and deemed executed by this reference.
Each party’s and all of its affiliates’ liability, taken together in the aggregate, arising out of or related to this DPA, whether in contract, tort, or under any other theory of liability, is subject to the limitation of liability in the Agreement. Nothing in this Section 6 is intended to restrict the rights of individuals under Data Protection Law.Ответственность каждой стороны и всех её аффилированных лиц в совокупности, возникающая из или в связи с настоящим DPA, будь то по договору, деликту или по любой другой теории ответственности, подлежит ограничению ответственности в Соглашении. Ничто в этом Разделе 6 не предназначено для ограничения прав физических лиц по Закону о защите данных.
7.1. To the extent there is any conflict between the terms of this DPA, on the one hand, and the applicable SCCs or UK IDTA, on the other hand, the SCCs or UK IDTA, as appropriate, will control. Except as specifically amended and modified by this DPA, the terms and provisions of the Agreement remain unchanged and in full force and effect. Except as expressly stated in the SCCs and the UK IDTA, the governing law and forum selection provisions of the Agreement will apply to any disputes arising out of this DPA. No supplement, modification, or amendment of this DPA will be binding unless executed in writing by each party to this DPA.
7.2. If there is a change in (i) Data Protection Law, or (ii) a determination, decision, or order by a Supervisory Authority or competent court affecting this DPA or the lawfulness of any Processing activities under this DPA, then Read may propose supplements and modifications to this DPA. If the Customer objects to the supplement or modification, then Customer must object to the supplement or modification within thirty (30) days or the right to object is waived. If Customer timely objects to the appropriateness of the supplement or modification, then the parties will work to resolve their differences, and if resolution cannot occur within thirty (30) days of Customer’s notice of objection, then either party may terminate this DPA and any affected portion(s) of the Agreement. All supplements and modifications will be in writing and signed by the parties unless the terms of the Agreement provide otherwise.
7.3. The provisions of this DPA are severable. If any phrase, clause or provision or Attachment (including the SCCs) is invalid or unenforceable in whole or in part, such invalidity or unenforceability shall affect only such phrase, clause or provision, and the rest of this DPA or the remainder of the Attachment, shall remain in full force and effect.
Attachment 1: DefinitionsПриложение 1: Определения
For purposes of this DPA, the following terms will have the meaning ascribed below:
“CCPA” means the California Consumer Privacy Act of 2018, including (a) as amended by the California Privacy Rights Act of 2020 or otherwise and (b) any regulations promulgated thereunder.
“Controller” means “controller” and “business” (and analogous variations of such terms) under Data Protection Law.
“Customer Personal Data” means Personal Data that Company Processes on behalf of Customer in connection with providing the Services as described in Attachment 2. Customer Personal Data does not include Service Data.
“Data Protection Law” means the GDPR, the UK GDPR, the FADP, the CCPA, the Colorado Privacy Act, the Connecticut Act Concerning Personal Data Privacy and Online Monitoring, the Virginia Consumer Data Protection Act, the Utah Consumer Privacy Act, and any other state, federal, or international data protection or privacy laws that apply to Company’s Processing of Customer Personal Data.
"Data Subject” means the identified or identifiable person to whom Personal Data relates.
“Deidentified Data” means information that cannot reasonably be linked to or associated with Customer or any Data Subject.
“GDPR” means the Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
“Personal Data” means “personal data” and “personal information” (and analogous variations of such terms) under Data Protection Law.
“Process” or ”Processing” means any operation or set of operations which is performed on Personal Data or on sets of Personal Data, whether or not by automated means, such as collection, recording, organization, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction, extending further to such operation or operations under Data Protection Law.
“Processor” means “processor” and “service provider” (and analogous variations of such terms) under Data Protection Law.
“SCCs” means Commission Implementing Decision (EU) 2021/914 of 4 June 2021 on SCCs for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council (Text with EEA relevance), available at https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914, as may be replaced or superseded by the European Commission. For the purposes of Module 2, the parties make the following choices for implementing the SCCs:
For the purposes of Module 1, the parties make the following choices for implementing the SCCs:
“Security Incident” means “personal data breach” and “security incident” (and analogous variations of such terms) under Data Protection Law. For clarity, Security Incident does not include unsuccessful attempts or activities that do not compromise the security of Customer Personal Data (such as unsuccessful log-in attempts, pings, port scans, denial of service attacks, or other network attacks on firewalls or networked systems).“Service Data” means any data relating to the use, support, or operation of the Services, which is collected directly by Read from or about users of the Services or Customer’s use of the Services for use for Read’s own purposes.
“Services” means the services provided by Company pursuant to the Agreement.
“Supervisory Authority” means an independent public authority responsible for monitoring the application of Data Protection Law, including the Processing of Personal Data covered by this DPA.
“UK GDPR” means the GDPR as incorporated into United Kingdom law by the Data Protection Act 2018 and amended by the Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (each as amended, superseded, or replaced).
“UK IDTA” means the International Data Transfer Addendum to the EU Commission Standard Contractual Clauses issued by the UK Information Commissioner, Version B1.0, in force 21 March 2022, available at https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf. Neither party can terminate the UK IDTA pursuant to Table 4 and Section 19 thereof without the written consent of the other.
Attachment 2 - Scope of ProcessingПриложение 2 - Объем обработки
Data exporter
Customer
Data importer
Company
Subject-Matter and Duration of Processing
Company Processes Customer Personal Data if and when provided by Customer in the course of providing the Services in accordance with the Agreement and until the Agreement terminates or expires.
Nature and Purpose of Processing
Processing of Customer Personal Data in connection with and for the purpose of Company providing the Services to Customer pursuant to the Agreement. Specifically, the Customer Personal Data will, if and to the extent Customer provides it, be subject to storage and analysis, among other Processing activities.
Types of Customer Personal Data
Customer may submit Customer Personal Data to the Services, the extent of which is determined and controlled by Customer in its sole discretion. This may include, but is not limited to the following categories of data:
Categories of Data Subjects
The data subjects will include Customer’s employees, contractors, and end-users.
Special Categories of Data (as applicable)
The Services are not designed for special categories of Personal Data. Company does not anticipate that Customer will submit special categories to the Services. To the extent that such data is submitted to the Services, it is determined and controlled by Customer in its sole discretion.
Frequency of Transfers
Company will import Customer Personal Data on a continuous basis.
Period of Data Retention
Company will retain the Personal Data until the termination of the Agreement, unless otherwise agreed to by the parties.
Attachment 3 - Scope of Processing (Company as Controller)
Data exporter
Customer
Data importer
Company
Subject-Matter and Duration of Processing
Company Processes Customer Personal Data and Service Data for the purposes described in Section 1.5 of this DPA and for as long as necessary to achieve the purposes of processing.
Nature and Purpose of Processing
Processing of Customer Personal Data and Service Data for the purposes described in Section 1.5 of this DPA. Specifically, the Customer Personal Data and Service Data will, if and to the extent Customer provides it, be subject to storage and analysis, among other Processing activities.
Types of Personal Data
Customer may submit Personal Data to the Services and Company may obtain Personal Data via the provision of the Services. This may include, but is not limited to the following categories of data:
Categories of Data Subjects
The data subjects will include Customer’s employees, contractors, and end-users.
Special Categories of Data (as applicable)
The Services are not designed for special categories of Personal Data. Company does not anticipate that Customer will submit special categories to the Services and Company shall not seek to obtain special categories through its provision of the Services.
Frequency of Transfers
Company will import Customer Personal Data and Service Data on a continuous basis.
Period of Data Retention
Company will retain the Personal Data for as long as necessary to achieve its intended purposes and as otherwise notified to Data Subjects in Company’s applicable privacy notice.
Attachment 4 - Data Security Exhibit
Объем1.1.. DPA применимо, когда Компания обрабатывает Персональные Данные Клиента в качестве Процессора от имени Клиента, Приказчика, в рамках предоставления Услуг. Стороны согласны, что Read является Процессором Персональных Данных Клиента, за исключением случаев, когда Read выступает в качестве независимого Приказчика, обрабатывающего Персональные Данные Клиента в соответствии с Разделом 1.5 в связи с собственной легитимной деловой деятельностью.
Ограничения использования.1.2. В качестве Процессора, Компания будет обрабатывать Персональные Данные Клиента только: (a) по документально подтвержденным Инструкциям Клиента, указанным в Разделе 1.2 (Инструкции), в том числе относительно передачи Персональных Данных Клиента в третьи страны; и (b) в соответствии с применимыми законами, при этом Компания проинформирует Клиента (если это не запрещено законом) об обязательном юридическом требовании до такой Обработки. В качестве Процессора, Компания не будет: (x) сохранять, использовать или раскрывать Персональные Данные Клиента (i) вне прямых деловых отношений между сторонами или (ii) для любых целей, кроме как для выполнения Услуг; (y) продавать или передавать (как определено Законом о защите данных) Персональные Данные Клиента; или (z) объединять Персональные Данные Клиента с Персональными Данными, полученными Компанией от индивидуумов или других источников, за исключением случаев, разрешённых Законом о защите данных.
1.3. Инструкции Процессора. Клиент инструктирует Компанию обрабатывать Персональные Данные Клиента в том объеме, который необходим для предоставления Услуг и в других случаях как определено или разрешено этим DPA и Соглашением, включая те, которые указаны в Приложении 2 (Объем обработки). Этот DPA, Соглашение и любые инструкции, предоставленные Клиентом через инструменты настройки, предоставленные Компанией, являются документально подтвержденными инструкциями Клиента относительно Обработки Персональных Данных Клиента Компанией (""). Дополнительные инструкции Клиента (если таковые имеются) требуют предварительного письменного согласия Клиента и Компании. Клиент не должен инструктировать Компанию обрабатывать Персональные Данные Клиента в нарушение какого-либо Закона о защите данных. Компания может приостановить Обработку на основании любых Инструкций Клиента, которые Компания обоснованно считает нарушающими Закон о защите данных, при этом Компания незамедлительно информирует Клиента, если она полагает, что инструкция нарушает Закон о защите данных.
1.4. Соблюдение. Каждая сторона будет соблюдать свои обязательства в соответствии с Законом о защите данных. Компания незамедлительно уведомит Клиента, если определит, что не может исполнить свои обязательства в соответствии с Законом о защите данных. После получения письменного уведомления от Клиента о том, что Компания обработала Персональные Данные Клиента без разрешения, Компания предпримет разумные и надлежащие меры для прекращения и исправления такой Обработки.
1.5. Обработка независимого Приказчика. Read может обрабатывать определённые Персональные Данные Клиента для собственных легитимных деловых целей, как независимый Приказчик, исключительно если Обработка строго необходима и пропорциональна, и если Обработка осуществляется для одной из следующих целей:
Условий обслуживания Read1.5.1. Данные, которые можно напрямую идентифицировать (имя, имя пользователя, фотография профиля, адрес электронной почты, номер телефона, почтовый адрес и все Персональные Данные Клиента, непосредственно связанные с такими данными) могут быть обработаны для: (i) выставление счетов и управление аккаунтом, а также связанная с Клиентом переписка; (ii) соблюдение и разрешение юридических обязательств, в том числе ответ на Запросы субъектов данных (определенные в Разделе 2.1) о Персональных данных, обрабатываемых Компанией в качестве Приказчика, финансовые требования, соглашения и споры; (iii) обнаружение, предотвращение и защита от злоупотреблений, проверка на вирусы и сканирование для обнаружения нарушений условий обслуживания (таких как нарушение авторских прав, СПАМ и действия, не разрешенные условиями ; (iv) улучшение и оптимизация производительности и основных функций доступности, конфиденциальности, безопасности и эффективности инфраструктуры IT-услуг; (v) внутреннее и финансовое отчетность, прогнозирование доходов, планирование ресурсов и капитальные плановые модели (включая стратегию продукта); и (vi) получение и использование отзывов для общего улучшения сервиса Read.
Выступая в качестве независимого Приказчика, Компания не будет обрабатывать Персональные Данные Клиента для других целей, кроме вышеупомянутого списка легитимных деловых целей.
1.6. Компания не будет обрабатывать Персональные Данные Клиента для рекламы третьих лиц, прямого маркетинга, профилирования, исследования или аналитических целей, за исключением случаев, когда такая обработка (i) необходима для соблюдения инструкций Клиента, как указано в этом DPA, или (ii) для легитимных деловых целей, описанных в Разделе 1.5 или (iii) часть бесплатных услуг Компании или индивидуальных (то есть не-корпоративных) услуг.
1.7. Компания будет обрабатывать Персональные Данные Клиента только для целей, указанных в этом DPA; однако Компания может обрабатывать Персональные Данные Клиента для "дальнейших" или "совместимых" целей (в значении Статьи 5(1)(b) и 6(4) GDPR, где применимо), или запрашивать согласие конечных пользователей на новые виды обработки данных, если это разрешено администратором Read и Законом о защите данных.
Конфиденциальность.1.8. Компания обеспечит, чтобы лица, уполномоченные Компанией на обработку любых Персональных Данных Клиента, были обязаны соблюдать надлежащие обязательства конфиденциальности.
1.9. Безопасность. Независимо от своей роли в качестве Процессора или независимого Приказчика, Компания внедрит и поддержит надлежащие технические и организационные меры для защиты Персональных Данных Клиента от инцидентов безопасности и обеспечит уровень защиты, требуемый Законом о защите данных в соответствии с Приложением 3 (Экспонент безопасности данных). Компания может изменять технические и организационные меры, при условии, что новые меры не снизят существенным образом уровень безопасности, предусмотренный Приложением 3 (Экспонент безопасности данных).
Утилизация. 1.10.В своем качестве Процессора,по выбору Клиента, Компания будет (или предоставит Клиенту через Услуги возможность) удалять (и удалит существующие копии) все Персональные Данные Клиента после прекращения действия Соглашения (если только Закон о защите данных не требует хранения таких Персональных Данных Клиента Компанией, в этом случае Компания будет сохранять и обрабатывать такие Персональные Данные Клиента только в течение ограниченного времени и только для целей, установленных таким Законом о защите данных). Сертификация удаления, предусмотренная Разделом 8.5 Стандартных договорных условий (SCC), будет предоставляться по письменному запросу Клиента.
Специализированные данные. 1.11. В своем качестве Процессора,Клиент полномочен Компанией обрабатывать Специализированные данные для предоставления и улучшения Услуг. Компания предпримет (a) разумные меры для обеспечения невозможности связывания Специализированных данных с субъектом данных и (b) публично обязуется поддерживать и использовать Специализированные данные в специализированной форме и не пытаться повторно идентифицировать Специализированные данные, за исключением случаев, разрешенных Законом о защите данных.
Помощь в реализации прав субъектов данных2.1.. Клиент отвечает за обработку запросов от лиц на реализацию прав в соответствии с Законом о защите данных, касающихся Персональных Данных Клиента (каждый ""). Клиент уведомит Компанию о любом Запросе субъекта данных, которому Компания должна соответствовать и предоставить информацию, необходимую для выполнения этого запроса. Компания уведомит Клиента, насколько это разрешено Законом о защите данных, если Компания получит Запрос субъекта данных. По запросу Клиента, если в его использовании Услуг он не обладает возможностью ответить на Запрос субъекта данных, Компания предоставит Клиенту коммерчески обоснованную помощь в ответе на такой Запрос субъекта данных, насколько это требуется в соответствии с Законом о защите данных.
Помощь в области безопасности. 2.2.Учитывая характер Обработки и доступную Компании информацию, Компания будет предпринимать коммерчески обоснованные усилия для помощи Клиенту в его усилиях по соблюдению клиентских обязательств по обеспечению безопасности Персональных Данных Клиента, предоставляя информацию и помощь, описанные в Разделе 3 (Аудиты).
Уведомление и помощь при инцидентах безопасности. 2.3.Компания уведомит Клиента без неоправданной задержки после того, как станет известно о каком-либо Инциденте безопасности. Компания дополнительно примет коммерчески обоснованные меры для смягчения последствий и минимизации любых последствий Инцидента безопасности и поможет Клиенту соблюдать любые связанные с ним обязательства по уведомлению согласно Закону о защите данных.
2.4. Обязанности, описанные в Разделе 2.3, не применяются, если Инцидент безопасности является результатом действий или бездействия Клиента, за исключением случаев, предусмотренных Законом о защите данных. Обязательство Компании сообщать или реагировать на Инцидент безопасности в соответствии с разделом 2.3 не должно считаться признанием Компанией какой-либо вины или ответственности по отношению к Инциденту безопасности.
DPIA Помощь в оценке воздействия на защиту данных ("") и предварительная консультационная помощь2.5.. Учитывая характер Обработки и доступную Компании информацию, Компания предоставит коммерческую помощь Клиенту в обеспечении соблюдения обязательств, связанных с DPIA и консультациями с регулирующими органами.
3.1. Аудиты Компании. Компания может заказывать аудиты у третьих сторон, чтобы оценить её соответствие следующим стандартам или требованиям: (a) SOC 2 Type II; (b) ISO 27001; (c) PCI DSS Level 1 для поставщиков услуг; и/или (d) сертификации или другие документы, подтверждающие соответствие альтернативным стандартам, которые в существенной степени эквивалентны перечисленным выше (в совокупности, ""). При соблюдении обязательств по конфиденциальности, изложенных в Соглашении, Компания предоставит Клиенту обобщенные сведения о текущих аудитах Компании («») по запросу Клиента. Если Соглашение не содержит положения о защите конфиденциальной информации Компании, тогда Отчеты будут предоставлены Клиенту на основании взаимно согласованного соглашения о неразглашении, охватывающего Отчеты.
Аудиты клиентов. 3.2 Клиент соглашается воспользоваться своими правами на аудит, сначала запросив Отчеты, как это описано в Разделе 3.1 (Отчеты компании). Клиент может запросить дополнительную информацию или проведение аудита на месте только в том случае, если предоставленная Компанией информация недостаточна для оценки соблюдения Компанией настоящего DPA и/или Закона о защите данных. За исключением случаев инцидента безопасности или регуляторного расследования, Клиент предоставляет не менее чем за 30 дней уведомление о своем запросе на аудит на месте и будет добросовестно сотрудничать с Компанией для согласования даты и времени аудита. Любой такой аудит на месте должен проводиться в течение нормальных рабочих часов Компании и проводиться Клиентом или независимым аудитором с национальным признанием, который согласился с положениями о конфиденциальности, которые приемлемы для Компании. Клиент несет ответственность за обеспечение соответствия аудита применимым на месте политикам и процедурам Компании и за то, чтобы аудит не мешал деятельности Компании. Клиент предоставляет Компании письменное резюме любых выводов аудита, а результаты аудита будут конфиденциальной информацией Компании.
Назначение Субобработчиков. 4.1.Клиент разрешает Компании использовать субподрядчиков для обработки личных данных клиентов в связи с предоставлением Услуг (каждый, «»). Клиент специально соглашается с назначением Компанией Субобработчиков, указанных на [веб-сайте] ("").
Право на возражение против новых субобработчиков. 4.2.
4.2.1. Компания уведомит Клиента о намерении обновить Список Субобработчиков как минимум за 15 дней до привлечения нового субобработчика. Клиент может возразить против использования Компанией нового Субобработчика в течение 10 дней после получения такого уведомления, отправив электронное письмо на privacy@read.ai с четким указанием желания возразить против изменения.
4.2.2. Если Клиент возражает против изменения Субобработчиков, Компания и Клиент будут добросовестно сотрудничать для разрешения возражения Клиента. Если сторонам не удается разрешить возражение Клиента в течение 10 дней, то любая из сторон может расторгнуть Соглашение только в отношении тех Услуг, которые Компания указывает как невозможные для оказания без оспариваемого Субобработчика.
Ответственность. 4.3.Компания будет накладывать на каждого Субобработчика обязательства по защите данных, не менее защищающие личные данные клиентов, чем те, что включены в настоящий DPA. Компания несет ответственность перед Клиентом за любое нарушение таких обязательств Субобработчиками, так же как за свои действия и бездействия.
Обзор.5.1. Стороны будут осуществлять любые передачи личных данных клиентов из Европейской экономической зоны, Великобритании и Швейцарии в страну, не обладающую адекватным решением ("") согласно SCC, которые включены идаются выполненными по настоящему соглашению. Если Компания уведомит Клиента о том, что передачи данных могут осуществляться в соответствии с Законом о защите данных через альтернативный механизм передачи, такой как Рамка конфиденциальности данных, стороны будут полагаться на альтернативный механизм для легитимизации передач данных вместо приведенных ниже положений.
SCC. 5.2.Стороны соглашаются соблюдать общие положения и Модуль 2 (Контролер-Обработчик) SCC, при этом Клиент выступает в качестве "экспортера данных", а Компания - как "импортер данных".
Передачи, подлежащие Швейцарскому закону о защите данных. 5.3.Если любые Личные данные Клиента, которые подлежат Швейцарскому федеральному закону о защите данных от 19 июня 1992 года ("") подлежат передаче данных, стороны будут осуществлять такую передачу согласно SCC с следующими модификациями: компетентным надзорным органом в Приложении I.C по Статье 13 будет Федеральный комиссар по защите данных и информации; ссылки на "Государство-член" и "Государство-член ЕС" не будут интерпретироваться как препятствующие людям в Швейцарии подавать иск для защиты своих прав в Швейцарии; и ссылки на "GDPR" в SCC будут интерпретироваться как ссылки на FADP.
Передачи, подлежащие UK GDPR. 5.4.Любые Личные данные Клиента, подлежащие UK GDPR и Передаче данных, будут подпадать под UK IDTA, которая включается и считается выполненной по настоящему соглашению.
7.1. В случае, если возникает конфликт между условиями этого DPA, с одной стороны, и применимыми SCC или UK IDTA, с другой стороны, преимущество имеют SCC или UK IDTA, в зависимости от ситуации. За исключением случаев, специально указанных и измененных настоящим DPA, условия и положения Соглашения остаются неизменными и в полной силе. За исключением случаев, прямо указанных в SCC и UK IDTA, применимое законодательство и положения о выборе форума из Соглашения будут применяться к любым спорам, возникающим из этого DPA. Никакие дополнения, изменения или поправки к этому DPA не будут обязательны, если они не оформлены письменно каждой из сторон DPA.
7.2. Если происходят изменения в (i) Законе о защите данных или (ii) определение, решение или приказ надзорного органа или компетентного суда, оказывающее влияние на этот DPA или законность любой обрабатывающей деятельности в рамках этого DPA, то Read может предложить дополнения и изменения к этому DPA. Если Клиент возражает против дополнения или изменения, то Клиент должен возразить против дополнения или изменения в течение тридцати (30) дней, иначе право на возражение утрачивается. В случае, если Клиент своевременно возражает против уместности дополнения или изменения, стороны будут работать над разрешением своих разногласий, и если разрешение не может быть достигнуто в течение тридцати (30) дней с момента уведомления Клиентом о возражении, любая из сторон может расторгнуть этот DPA и любую затронутую часть(-и) Соглашения. Все дополнения и изменения должны быть оформлены письменно и подписаны обеими сторонами, если в условиях Соглашения не предусмотрено иное.
7.3.j Положения этого DPA являются отделимыми. Если какая-либо фраза, пункт или положение или Приложение (включая SCC) недействительны или неисполнимы в целом или частично, такая недействительность или неисполнимость будут касаться только этой фразы, пункта или положения, и остальная часть этого DPA или оставшаяся часть Приложения будет оставаться в полной силе и действии.
Для целей данного DPA следующие термины будут иметь значения, указанные ниже:
CCPA“” означает Калифорнийский закон о защите прав потребителей 2018 года, включая (a) с поправками, внесенными Калифорнийским законом о правах на частную жизнь 2020 года или иными способами, и (b) любые регулирующие акты, издаваемые в соответствии с ним.
Контролер“” означает "контролер" и "бизнес" (и аналогичные вариации этих терминов) в соответствии с Законом о защите данных.
Личные данные клиентов“” означает Личные данные, которые Компания обрабатывает от имени Клиента в связи с предоставлением Услуг, как описано в Приложении 2.
Закон о защите данных“” означает GDPR, UK GDPR, FADP, CCPA, Закон штата Колорадо о конфиденциальности, Закон Коннектикута о конфиденциальности данных и онлайн-мониторинге, Закон о защите данных потребителей Вирджинии, Закон штата Юта о конфиденциальности потребителей и любые другие государственные, федеральные или международные законы о защите данных, которые применяются к Обработке личных данных клиентов Компанией.
Субъект данных"” означает идентифицированное или идентифицируемое лицо, к которому относятся личные данные.
Деидентифицированные данные“” означает информацию, которую нельзя разумно связать или ассоциировать с Клиентом или любым Субъектом данных.
GDPR“” означает Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, а также отмену Директивы 95/46 / EC (Общий регламент по защите данных).
Персональные данные“” означает "персональные данные" и "персональная информация" (и аналогичные вариации этих терминов) в соответствии с Законом о защите данных.
ПроцессОбработка“” или „” означает любое действие или совокупность действий, выполняемых с персональными данными или наборами персональных данных, независимо от того, автоматизировано ли оно, такие как сбор, запись, организация, структурирование, хранение, адаптация или изменение, извлечение, консультация, использование, раскрытие путем передачи, распространение или иной доступ, выравнивание или комбинирование, ограничение, стирание или уничтожение, а также действие или действия в соответствии с Законом о защите данных.
Процессор“” означает "процессор" и "поставщик услуг" (и аналогичные вариации этих терминов) в соответствии с Законом о защите данных.
SCChttps://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914“” означает Исполняющее решение Комиссии (ЕС) 2021/914 от 4 июня 2021 года о SCC для передачи персональных данных в третьи страны в соответствии с Регламентом (ЕС) 2016/679 Европейского парламента и Совета (Текст с актуальными ссылками ЕЭЗ), доступный по адресу , который может быть заменен или переведен Европейской комиссией. Стороны делают следующие выборы для реализации SCC:
Инцидент безопасности«» означает «нарушение персональных данных» и «инцидент безопасности» (и аналогичные разновидности таких терминов) в соответствии с Законом о защите данных.
Услуги«» означают услуги, предоставляемые Компанией согласно Соглашению.
Контролирующий орган«» означает независимый государственный орган, ответственный за контроль за применением Закона о защите данных, включая обработку Персональных данных, охватываемую данным DPA.
UK GDPR«» означает GDPR в редакции, инкорпорированной в законодательство Соединенного Королевства Законом о защите данных 2018 года и измененной Законом о защите данных, конфиденциальности и электронных коммуникациях (изменения и др.) Регламент 2019 (ЕС Выход) (в каждом случае с изменениями, заменами или исправлениями).
UK IDTA«» означает Дополнение к стандартным контрактным положениям ЕС Комиссии о международной передаче данных, выпущенное Уполномоченным по информации Великобритании, Версия B1.0, вступившая в силу 21 марта 2022 года, доступная по адресу https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf. Ни одна из сторон не может расторгнуть UK IDTA в соответствии с Таблицей 4 и Разделом 19 без письменного согласия другой стороны.
Клиент
Компания
Компания обрабатывает персональные данные клиентов, если и когда они предоставляются Клиентом в ходе предоставления Услуг в соответствии с Соглашением и до тех пор, пока Соглашение не будет расторгнуто или истечет.
Обработка персональных данных клиентов в связи с и с целью предоставления Услуг Компанией Клиенту по Соглашению. В частности, персональные данные клиентов будут, если и в той мере, в какой они предоставляются Клиентом, подлежать хранению и анализу, среди прочих видов обработки.
Клиент может передавать персональные данные клиентов в Услуги, степень которых определяется и контролируется Клиентом по их усмотрению. Это может включать, но не ограничивается, следующими категориями данных:
Субъектами данных будут сотрудники, подрядчики и конечные пользователи клиента.
Услуги не предназначены для специальных категорий персональных данных. Компания не предполагает, что Клиент будет передавать специальные категории в Услуги. В той мере, в какой такие данные передаются в Услуги, это определяется и контролируется Клиентом по их собственному усмотрению.
Компания будет непрерывно импортировать персональные данные клиентов.
Компания будет хранить персональные данные до окончания срока действия Соглашения, если стороны не договорятся об ином.
%2C%20Color%3DOriginal.png)
