資料處理協議

對於客戶透過服務處理的有關其自己的呼叫者和聯絡人的個人資料（「客戶個人資料」），客戶是控制者，CallMama 是處理者。 CallMama 僅根據客戶的書面說明處理客戶個人數據，其中包括服務條款、本 DPA 以及客戶對服務功能的使用。

保留期限： 通話詳細記錄的保留期限為適用電信法和稅法要求的期限（通常為 90 天到 12 個月，取決於司法管轄區）。所有其他客戶個人資料將保留，直到客戶要求刪除、DPA 終止或適用的保留期到期（以較早者為準）。

• 僅按照客戶書面說明處理客戶個人數據，除非法律另有要求（在這種情況下，CallMama 將通知客戶，除非法律禁止）。
• 確保有權處理資料的人員受到保密的約束。
• 實施適當的技術和組織安全措施（見下文附件）。
• 考慮到處理的性質，協助客戶進行資料主體請求、安全性、違規通知和資料保護影響評估。
• 在服務條款終止或書面請求後 30 天內，刪除或返還所有客戶個人資料並以書面確認刪除，除非適用法律要求繼續保留，在這種情況下，CallMama 將告知客戶法律依據和預計刪除日期。
• 提供證明遵守本 DPA 所需的信息，並允許客戶或其授權審計員進行審計和檢查，但須遵守： (i) 提前 60 個工作日發出書面通知； (ii) 在工作時間內進行活動，不得造成不當幹擾； (iii) 審計員受審計約束； (iv) 除非發現重大違規行為，否則客戶承擔費用。 CallMama 可以提供 ISO 27001 或 SOC 2 報告來取代直接審核。
• 處理記錄： CallMama 維護根據 GDPR 第 30(2) 條代表客戶執行的所有處理類別的記錄，可根據書面請求提供。
• DPIA 協助： 如果通話錄音或其他處理需要 GDPR 第 35 條規定的 DPIA，CallMama 將提供合理的協助，包括有關安全措施、分處理者和處理活動的資訊。

• 客戶有責任確保處理的合法依據及其指示的合法性。
• 如果客戶使用入口網站的通話錄音功能，則客戶必須向來電者發出通知並獲得法律要求的同意 - 請參閱 通話錄音通知.
• 客戶不得傳送 CallMama 特殊類別資料或超出服務設計處理範圍的敏感資料。

客戶授予 CallMama 聘請分處理者的一般書面授權，包括在 分處理者列表 發表於 CallMama.com。 CallMama 對每個分處理者施加與本 DPA 對 CallMama 施加的資料保護義務相同的義務，包括保密義務。 CallMama 仍然對其子處理器的效能負責。 CallMama 將在新增或更換子處理器之前至少 14 天通知客戶。客戶可以在收到通知後 14 天內以書面通知 CallMama，以合理、有記錄的資料保護理由反對新的或更換的子處理者。如果雙方無法解決異議，客戶可以書面通知終止受影響的服務部分。在 14 天的異議期後繼續使用服務即表示接受新的子處理者。

如果客戶個人資料從 EEA 或英國轉移到沒有充分性決定的國家/地區，則該轉移受歐盟 SCC（委員會實施決定 2021/914）、針對 EEA 轉移的模組 2（控制者對處理者）的管轄，以及針對英國轉移的英國 IDTA 2022 的管轄。兩者均透過引用併入，並在第 2 節中填寫詳細資料。 CallMama 已對所有第三國分處理者進行了轉移影響評估。

CallMama 將立即通知客戶，並在可行的情況下，在意識到影響客戶個人資料的個人資料外洩後 24 小時內通知客戶。此時間表旨在允許客戶評估違規行為，並根據需要在 GDPR 第 33 條和英國 GDPR 第 33 條要求的 72 小時內通知主管監管機構。通知將包括（在當時已知的範圍內）： (a) 對違規性質的描述，包括受影響的資料主體和記錄的類別和大致數量； (b) 違規行為可能造成的後果； (c) 為解決違規行為而採取或提議的措施。如果無法立即獲得信息，CallMama 將分階段提供信息，不再無故拖延。

本 DPA 是服務條款的補充並受其約束。若本 DPA 與服務條款在與個人資料處理相關的任何事宜上發生衝突，則以本 DPA 為準。本 DPA 受香港特別行政區法律管轄。然而，對於根據歐盟 SCC 產生的爭議，管轄法律和法院按照適用的 SCC 中的規定（委員會實施決定 2021/914 第 17 條和第 18 條）。本 DPA 在客戶接受服務條款時生效（或者，對於需要會簽 DPA 的客戶，則在雙方最後簽署的日期），並在 CallMama 處理客戶個人資料期間持續有效。

根據 GDPR 第 32 條的要求以及歐盟 SCC 附件 II 中的進一步詳細說明，CallMama 實施了以下技術和組織措施：

A. 加密和傳輸中的數據

• 傳輸中加密： 服務和最終用戶裝置之間傳輸的所有個人資料均使用 TLS 1.2 或更高版本進行加密。禁止未加密的個人資料傳輸。
• 靜態加密： 敏感個人資料（包括通話錄音和語音郵件）使用 AES-256 或同等技術進行靜態加密。所有備份媒體已加密。

B. 存取控制和身份驗證

• 多重身份驗證： 所有員工存取包含客戶個人資料的系統（包括遠端存取）都需要這樣做。
• 基於角色的存取控制： 存取客戶個人資料僅限於角色需要的員工。存取權限每季進行一次審核，並在終止或角色變更時立即撤銷。
• 獨特的用戶帳戶： 每個工作人員都有一個唯一的識別碼。禁止共享帳戶。強制執行密碼複雜性要求。
• 會話管理： 非活動會話自動逾時。最大失敗登入嘗試次數會觸發帳戶鎖定。

C. 監控、記錄和事件回應

• 安全監控： 持續監控系統的安全事件。部署入侵偵測和預防系統。
• 審計日誌記錄： 對客戶個人資料的所有存取和修改都會被記錄。日誌至少保留 12 個月並且防篡改。
• 事件響應： 至少每年維護和測試記錄在案的事件回應計畫。事件根據本 DPA 進行分類、控制和報告。

D. 實體和基礎設施安全

• 資料中心安全： 客戶個人資料託管在經過 ISO 27001 認證的資料中心 (Hetzner)，配備實體存取控制、閉路電視、環境控制和不間斷電源。
• 備份與復原： 定期進行備份並安全儲存。災難復原程序已記錄並經過測試。定義並檢視恢復時間目標。

E. 人員和供應商控制

• 員工保密： 所有有權存取客戶個人資料的員工和承包商均受合約保密義務的約束。在適用法律允許的情況下進行背景調查。
• 安全訓練： 所有有權存取個人資料的員工每年都會接受資料保護和安全意識培訓。
• 供應商盡職調查： 所有子處理者在參與之前都會接受資料保護和安全合規性評估，並持續受到監控。

F. 發展與變革管理

• 安全開發： 安全性已納入軟體開發生命週期。程式碼審查包括安全評估。漏洞管理和修補程式管理程式已到位。
• 滲透測試： 至少每年進行一次獨立滲透測試。嚴重漏洞將在 30 天內修復。
• 數據最小化： 系統旨在最大限度地減少處理的個人資料。在適當的情況下使用假名。

需要簽署 DPA 的企業客戶應聯繫 法律@CallMama.com。透過服務處理其自己的最終使用者資料的企業客戶接受服務條款也構成對本 DPA 的接受。

美國 — CCPA / CPRA

如果客戶個人資料包括加州居民的個人信息，則 CallMama 是 CCPA/CPRA 規定的“服務提供者”，而不是“第三方”。 CallMama 不會出售或共享客戶個人數據，不會在直接業務關係之外保留、使用或揭露該數據，並證明遵守 CCPA/CPRA 限制。處理加州個人資訊的分處理者受到同等服務提供者限制的約束。

加拿大 — PIPEDA 和魁北克法律 25

如果客戶個人資料包括加拿大居民的個人資訊：

• 管道： 加拿大《個人資訊保護與電子文件法》(PIPEDA) 要求 CallMama 實施符合原則 7（保障措施）的安全保障措施。客戶仍有責任獲得有意義的同意並回應存取和更正請求。
• 魁北克法 25： 對於魁北克居民來說，第 25 號法律（2023 年 9 月生效）規定了向資訊取得委員會 (CAI) 提供 72 小時違規通知義務。 CallMama 將在發現影響魁北克居民資料的違規行為後 24 小時內通知客戶。