資料處理協議

對於客戶透過服務處理的有關其自己的呼叫者和聯絡人的個人資料（「客戶個人資料」），客戶是控制者，CallMama 是處理者。

CallMama 僅根據客戶書面說明處理客戶個人資料。這些說明包括服務條款、本 DPA 以及客戶對服務功能的使用。

保留期限：

• 通話詳細記錄 保留期限為適用電信法和稅法要求的期限（通常為 90 天到 12 個月，視司法管轄區而定）。
• 所有其他客戶個人數據 保留至以下時間（以最早者為準）：客戶要求刪除、DPA 終止或適用的保留期到期。

• 僅根據客戶書面說明處理客戶個人數據，除非法律另有要求（在這種情況下，CallMama 將通知客戶，除非法律禁止）。
• 確保有權處理資料的人員受到保密的約束。
• 實施適當的技術和組織安全措施（見下文附件）。
• 考慮到處理的性質，協助客戶進行資料主體請求、安全性、違規通知和資料保護影響評估。
• 在服務條款（或書面請求）終止後 30 天內，刪除或返還所有客戶個人資料並以書面確認刪除。如果適用法律要求繼續保留，CallMama 將通知客戶法律依據和預計刪除日期。
• 提供證明遵守本 DPA 所需的信息，並允許客戶或其授權審計員進行審計和檢查，但須遵守：
  • 提前 60 個工作天發出書面通知；
  • 工作時間內進行，不得受到不當幹擾；
  • 審計員受保密義務約束；
  • 客戶承擔費用，除非審計發現重大違規行為。
  CallMama 可以提供 ISO 27001 或 SOC 2 報告，而不是直接審核。
• 處理記錄： CallMama 保留根據 GDPR 第 30(2) 條代表客戶執行的所有處理類別的記錄，可根據書面請求提供。
• DPIA 協助： 如果通話錄音或其他處理需要 GDPR 第 35 條規定的 DPIA，CallMama 將提供合理的協助，包括有關安全措施、分處理者和處理活動的資訊。

• 客戶有責任確保處理的合法依據及其指示的合法性。
• 如果客戶使用入口網站的通話錄音功能，則客戶必須向來電者發出通知並獲得法律要求的同意 - 請參閱 通話錄音通知.
• 客戶不得傳送 CallMama 特殊類別資料或超出服務設計處理範圍的敏感資料。

客戶授予 CallMama 聘請分處理者的一般書面授權，包括在 分處理者列表 發表於 CallMama.com。

CallMama 對每個分處理者施加與本 DPA 對 CallMama 施加的資料保護義務相同的義務，包括保密義務。 CallMama 仍然對其子處理器的效能負責。

CallMama 將在新增或更換子處理器之前至少 14 天通知客戶。客戶可以在收到通知後 14 天內以書面通知 CallMama，以合理、有記錄的資料保護理由反對新的或更換的子處理者。

如果雙方無法解決異議，客戶可以書面通知終止受影響的服務部分。在 14 天的反對期後繼續使用服務即表示接受新的子處理者。

如果客戶個人資料從歐洲經濟區或英國轉移到沒有充分性決定的國家/地區，則轉移受以下管轄：

• 針對 EEA 傳輸的歐盟標準合約條款（“EU SCC”，委員會實施決定 2021/914），模組 2（控制者到處理者）；和
• 適用於英國傳輸的 2022 年英國國際資料傳輸附錄（「UK IDTA」）。

兩者均透過引用併入，並在第 2 節中填寫詳細資料。 CallMama 已對所有第三國分處理者進行了轉移影響評估。

CallMama 在意識到影響客戶個人資料的個人資料外洩後，將立即通知客戶（在可行的情況下，不遲於 24 小時）。該時間表為客戶提供了評估違規行為的時間，並根據需要在 GDPR 第 33 條和英國 GDPR 第 33 條要求的 72 小時內通知主管監管機構。

據當時所知，該通知將包括：

• 違規性質的描述，包括受影響的資料主體和記錄的類別和大致數量；
• 違規行為可能造成的後果；和
• 為解決違規行為而採取或提議的措施。

如果無法立即獲得信息，CallMama 將分階段提供信息，不再無故拖延。

本 DPA 是服務條款的補充，並受服務條款的約束。若本 DPA 與服務條款在與個人資料處理相關的任何事宜上發生衝突，則以本 DPA 為準。

本 DPA 受香港特別行政區法律管轄。然而，對於根據歐盟 SCC 產生的爭議，管轄法律和法院是適用的 SCC 中指定的法律和法院（委員會實施決定 2021/914 第 17 條和第 18 條）。

本 DPA 在客戶接受服務條款時生效（或者，對於需要會簽 DPA 的客戶，則在雙方最後簽署的日期生效），並在 CallMama 處理客戶個人資料期間持續有效。

根據 GDPR 第 32 條的要求以及歐盟 SCC 附件 II 中的進一步詳細說明，CallMama 實施了以下技術和組織措施：

A. 加密和傳輸中的數據

• 傳輸中加密： 服務和最終用戶裝置之間傳輸的所有個人資料均使用 TLS 1.2 或更高版本進行加密。禁止未加密的個人資料傳輸。
• 靜態加密： 敏感個人資料（包括通話錄音和語音郵件）使用 AES-256 或同等技術進行靜態加密。所有備份媒體已加密。

B. 存取控制和身份驗證

• 多重身份驗證： 所有員工存取包含客戶個人資料的系統（包括遠端存取）都需要這樣做。
• 基於角色的存取控制： 存取客戶個人資料僅限於角色需要的員工。存取權限每季進行一次審核，並在終止或角色變更時立即撤銷。
• 獨特的用戶帳戶： 每個工作人員都有一個唯一的識別碼。禁止共享帳戶。強制執行密碼複雜性要求。
• 會話管理： 非活動會話自動逾時。最大失敗登入嘗試次數會觸發帳戶鎖定。

C. 監控、記錄和事件回應

• 安全監控： 持續監控系統的安全事件。部署入侵偵測和預防系統。
• 審計日誌記錄： 對客戶個人資料的所有存取和修改都會被記錄。日誌至少保留 12 個月並且防篡改。
• 事件響應： 至少每年維護和測試記錄在案的事件回應計畫。根據本 DPA 對事件進行分類、控制和報告。

D. 實體和基礎設施安全

• 資料中心安全： 客戶個人資料託管在經過 ISO 27001 認證的資料中心 (Hetzner)，配備實體存取控制、閉路電視、環境控制和不間斷電源。
• 備份與復原： 定期進行備份並安全儲存。災難復原程序已記錄並經過測試。定義並檢視恢復時間目標。

E. 人員和供應商控制

• 員工保密： 所有有權存取客戶個人資料的員工和承包商均受合約保密義務的約束。在適用法律允許的情況下進行背景調查。
• 安全訓練： 所有有權存取個人資料的員工每年都會接受資料保護和安全意識培訓。
• 供應商盡職調查： 所有子處理者在參與之前都會接受資料保護和安全合規性評估，並持續受到監控。

F. 發展與變革管理

• 安全開發： 安全性已納入軟體開發生命週期。程式碼審查包括安全評估。漏洞管理和修補程式管理程式已到位。
• 滲透測試： 至少每年進行一次獨立滲透測試。嚴重漏洞將在 30 天內修復。
• 數據最小化： 系統旨在最大限度地減少處理的個人資料。在適當的情況下使用假名。

需要簽署 DPA 的企業客戶應聯繫 法律@CallMama.com。透過服務處理其自己的最終使用者資料的企業客戶接受服務條款也構成對本 DPA 的接受。

美國 — CCPA / CPRA

如果客戶個人資料包括加州居民的個人信息，則 CallMama 是 CCPA/CPRA 規定的“服務提供者”，而不是“第三方”。

CallMama 不會出售或共享客戶個人數據，也不會在直接業務關係之外保留、使用或揭露該數據。 CallMama 證明遵守 CCPA/CPRA 限制，並要求處理加州個人資訊的子處理者遵守同等的服務提供者限制。

加拿大 — PIPEDA 和魁北克法律 25

如果客戶個人資料包括加拿大居民的個人資訊：

• 管道： 加拿大《個人資訊保護與電子文件法》(PIPEDA) 要求 CallMama 實施符合原則 7（保障措施）的安全保障措施。客戶仍有責任獲得有意義的同意並回應存取和更正請求。
• 魁北克法 25： 對於魁北克居民來說，第 25 號法律（2023 年 9 月生效）規定了向資訊取得委員會 (CAI) 提供 72 小時違規通知義務。 CallMama 將在發現影響魁北克居民資料的違規行為後 24 小時內通知客戶。