Kasunduan sa Pagproseso ng Datos

Ang Kasunduan sa Pagproseso ng Datos na ito (ang "DPA") ay bahagi ng Mga Tuntunin ng Serbisyo (ang "Mga Tuntunin") sa pagitan ng Melaya Labs LLC ("Melaya") at ng negosyong kliyente na tumatanggap sa Mga Tuntunin (ang "Kliyente"). Itinatakda nito ang mga tuntuning naaangkop kapag pinoproseso ng Melaya ang personal na datos sa ngalan ng Kliyente sa pagbibigay ng plataporma ng Melaya, kabilang ang Agentic Framework, ang Assistant, mga konektor, Device Control, Browser Control, Computer Control, at mga kaugnay na serbisyo (ang "Mga Serbisyo"). Ang DPA na ito ay isinasama sa Mga Tuntunin sa pamamagitan ng sanggunian at nagbubuklod sa Kliyente at sa Melaya nang walang lagda. Maaaring humiling ang Kliyente ng kopyang kontra-nilagdaan ng Melaya sa pamamagitan ng pagsulat sa info@melaya.org.

1. Mga Kahulugan at Interpretasyon

Sa DPA na ito, ang mga sumusunod na termino ay may mga kahulugang nakasaad sa ibaba. Ang ibang mga terminong may malaking titik ay may mga kahulugang ibinigay sa Mga Tuntunin.

• "Mga Batas sa Proteksyon ng Datos" ay tumutukoy sa lahat ng batas sa proteksyon ng personal na datos na naaangkop sa pagproseso ng Personal na Datos ng Kliyente sa ilalim ng Mga Tuntunin, kabilang ang Regulation (EU) 2016/679 (ang "GDPR"), ang GDPR bilang bahagi ng batas ng United Kingdom (ang "UK GDPR") at ang UK Data Protection Act 2018, at ang Swiss Federal Act on Data Protection ng 25 Setyembre 2020 (ang "FADP"), bawat isa ayon sa pagbabago o pagpapalit dito.
• "Personal na Datos ng Kliyente" ay tumutukoy sa personal na datos na pinoproseso ng Melaya sa ngalan ng Kliyente sa pagbibigay ng Mga Serbisyo, ayon sa inilarawan sa Annex I, kabilang ang personal na datos sa Nilalaman ng Gumagamit at ang personal na datos na binabasa o ipinapadala ng mga ahente, mga daloy ng proseso, at mga pag-uusap sa Assistant ng Kliyente papunta sa mga Nakakonektang Serbisyo.
• "Awtorisadong Gumagamit" ay tumutukoy sa taong pinahihintulutan ng Kliyente na gumamit ng Mga Serbisyo sa ilalim ng account o mga proyekto ng Kliyente.
• "Nakakonektang Serbisyo" ay tumutukoy sa isang aplikasyon, account, serbisyo, device, o tagapagkaloob ng modelo ng third-party na ikinokonekta o pinipili ng Kliyente o ng mga Awtorisadong Gumagamit nito para gamitin kasama ng Mga Serbisyo, tulad ng Odoo, HubSpot, Google Workspace, Microsoft Teams, Slack, isang exchange account, o isang tagapagkaloob ng modelo ng wika.
• "Subprocessor" ay tumutukoy sa isang third party na kinukuha ng Melaya upang iproseso ang Personal na Datos ng Kliyente sa ngalan ng Melaya. Ang isang Nakakonektang Serbisyo ay hindi isang Subprocessor, maliban sa nakasaad sa Seksyon 3.5.
• "Paglabag sa Personal na Datos" ay tumutukoy sa isang paglabag sa seguridad na nagdudulot ng aksidente o ilegal na pagkasira, pagkawala, pagbabago, hindi awtorisadong pagsisiwalat sa, o pag-access sa, Personal na Datos ng Kliyente na ipinadala, itinago, o kung hindi man ay pinoproseso ng Melaya o ng mga Subprocessor nito. Hindi kasama rito ang mga hindi matagumpay na pagtatangka o mga gawaing hindi nagsasapanganib sa seguridad ng Personal na Datos ng Kliyente, tulad ng mga ping, port scan, o mga nabigong pagtatangkang mag-log in.
• "SCCs" ay tumutukoy sa Standard Contractual Clauses para sa paglipat ng personal na datos patungo sa mga ikatlong bansa na nakasaad sa Annex ng Commission Implementing Decision (EU) 2021/914 ng 4 Hunyo 2021.
• "UK Addendum" ay tumutukoy sa International Data Transfer Addendum sa EU Commission Standard Contractual Clauses na inilabas ng UK Information Commissioner sa ilalim ng seksyon 119A ng Data Protection Act 2018, bersyon B1.0, na may bisa mula 21 Marso 2022.
• "Controller", "processor", "data subject", "personal na datos", "pagproseso", at "nangangasiwang awtoridad" ay may mga kahulugang ibinigay sa GDPR at kinabibilangan ng mga katumbas na termino sa ibang Mga Batas sa Proteksyon ng Datos.

2. Saklaw at mga Tungkulin ng mga Partido

2.1 Naaangkop ang DPA na ito kapag ginagamit ng Kliyente ang Mga Serbisyo para sa mga layuning pangnegosyo o propesyonal at pinoproseso ng Melaya ang Personal na Datos ng Kliyente sa ngalan ng Kliyente. Hindi ito naaangkop sa isang indibidwal na gumagamit ng Mga Serbisyo para sa lubos na personal o pansambahayang layunin; ang Patakaran sa Pagkapribado ang namamahala sa gayong paggamit.

2.2 Para sa Personal na Datos ng Kliyente, ang Kliyente ang controller, o isang processor na kumikilos sa ngalan ng sarili nitong controller, at ang Melaya ang processor, o isang subprocessor kung saan ang Kliyente ay kumikilos bilang processor. Kung ang Kliyente ay kumikilos bilang processor, ginagarantiya ng Kliyente na pinahintulutan ng controller nito ang mga tagubilin ng Kliyente at ang pagkuha sa Melaya, at ang Kliyente ang nananatiling tanging punto ng ugnayan ng Melaya.

2.3 Kumikilos ang Melaya bilang isang independiyenteng controller, at hindi sa ilalim ng DPA na ito, para sa personal na datos na pinoproseso nito para sa sarili nitong mga layunin: ang paglikha at pamamahala ng mga account, ang pagpapatunay ng pagkakakilanlan ng mga Awtorisadong Gumagamit, ang billing at mga bayad, ang pag-iwas sa pandaraya at pang-aabuso, ang seguridad at integridad ng Mga Serbisyo, ang suporta at mga komunikasyon ukol sa serbisyo, ang pinagsama-samang analytics ng paggamit, ang pagsunod sa batas, at ang pagtatatag o pagtatanggol ng mga legal na paghahabol. Inilalarawan ng Patakaran sa Pagkapribado ang pagprosesong iyon.

2.4 Naaangkop ang DPA na ito hangga't pinoproseso ng Melaya ang Personal na Datos ng Kliyente, kabilang ang pagkatapos magwakas ang Mga Tuntunin, hanggang sa matanggal ng Melaya ang Personal na Datos ng Kliyente sa ilalim ng Seksyon 11.

3. Pagproseso Batay sa mga Tagubilin ng Kliyente

3.1 Iproproseso lamang ng Melaya ang Personal na Datos ng Kliyente ayon sa mga dokumentadong tagubilin ng Kliyente, kabilang ang kaugnay sa mga paglipat patungo sa isang ikatlong bansa, maliban kung iba ang hinihingi ng batas na sakop ng Melaya. Sa gayong sitwasyon, aabisuhan ng Melaya ang Kliyente tungkol sa legal na kinakailangang iyon bago magproseso, maliban kung ipinagbabawal ito ng batas na iyon batay sa mahahalagang batayan ng interes ng publiko.

3.2 Binubuo ang mga dokumentadong tagubilin ng Kliyente ng Mga Tuntunin at ng DPA na ito; ang pagsasaayos at paggamit ng Mga Serbisyo ng Kliyente at ng mga Awtorisadong Gumagamit nito, kabilang ang mga daloy ng proseso, mga ahente, mga prompt, mga pag-uusap sa Assistant, mga iskedyul, mga trigger, mga na-upload na dokumento, mga retrieval index, mga konektor, ang piniling modelo at tagapagkaloob, at ang piniling mode ng pag-apruba o autonomy; at anumang karagdagang nakasulat na tagubilin na napagkasunduan ng mga partido. Mananagot ang Kliyente sa mga tagubiling ibinibigay ng mga Awtorisadong Gumagamit nito at ng mga awtomatikong prosesong isinaayos nito.

3.3 Aabisuhan ng Melaya ang Kliyente nang walang di-makatwirang pagkaantala kung, sa palagay nito, may isang tagubiling lumalabag sa Mga Batas sa Proteksyon ng Datos, at maaari nitong suspindihin ang kaugnay na pagproseso hanggang sa kumpirmahin o baguhin ng Kliyente ang tagubilin. Hindi obligado ang Melaya na magsagawa ng legal na pagsusuri sa mga tagubilin ng Kliyente.

3.4 Kapag ikinokonekta ng Kliyente ang isang Nakakonektang Serbisyo, halimbawa ang isang Odoo database sa pamamagitan ng Melaya module para sa Odoo, isang HubSpot account, isang Google account, Microsoft Teams, o isang Slack workspace, pinoproseso ng Melaya ang datos na binabasa o isinusulat ng mga ahente, mga daloy ng proseso, at mga pag-uusap sa Assistant ng Kliyente papunta sa o mula sa serbisyong iyon, para lamang isagawa ang mga gawaing itinuturo ng Kliyente, at sa loob lamang ng access na ipinagkakaloob ng Kliyente sa koneksyong iyon, tulad ng mga OAuth scope na inaaprubahan ng Kliyente o, para sa Odoo, ang mga karapatan sa access ng Melaya Agent user. Ang Kliyente ang nagpapasya kung aling mga serbisyo, account, scope, at record ang ikinokonekta, at maaari niyang idiskonekta ang mga ito anumang oras.

3.5 Ang datos na itinuturo ng Kliyente sa Mga Serbisyo na ipadala sa isang Nakakonektang Serbisyo, kabilang ang mga prompt at context na ipinadala sa isang tagapagkaloob ng modelo na pinipili ng Kliyente, ay isinisiwalat batay sa mga tagubilin ng Kliyente, at pinoproseso ito ng Nakakonektang Serbisyo sa ilalim ng sarili nitong mga tuntunin kasama ang Kliyente. Hindi mananagot ang Melaya para sa pagprosesong isinasagawa ng isang Nakakonektang Serbisyo sa ilalim ng mga tuntuning iyon. Kung ang isang tagapagkaloob ay nagpoproseso ng Personal na Datos ng Kliyente sa ilalim ng isang kontrata sa Melaya sa halip na sa Kliyente, ituturing ng Melaya ang tagapagkaloob na iyon bilang isang Subprocessor sa ilalim ng Seksyon 6.

3.6 Hindi ibebenta ng Melaya ang Personal na Datos ng Kliyente o gagamitin ito para sa patalastas. Maliban sa nakasaad sa Seksyon 3.6 na ito, hindi gagamitin ng Melaya ang Personal na Datos ng Kliyente upang sanayin o pagbutihin ang mga modelong AI. Maaaring gamitin ng Melaya ang datos ng interaksyon mula sa Computer Control at sa mga desktop app, ayon sa inilarawan sa Patakaran sa Pagkapribado, upang sanayin, suriin, at pagbutihin ang sarili nitong mga modelo at tampok, maliban kung tumutol ang Kliyente sa pamamagitan ng pagsulat sa info@melaya.org. Pagkatapos ng isang pagtutol, ihihinto ng Melaya ang gayong paggamit ng datos ng Kliyente mula sa oras na iyon pasulong.

3.7 Mananagot ang Kliyente sa pagkakaroon ng legal na batayan para sa pagprosesong itinuturo nito, sa pagbibigay ng mga paunawa at pagkuha ng mga pahintulot na hinihingi ng Mga Batas sa Proteksyon ng Datos, sa pagkakaroon ng awtoridad sa mga Nakakonektang Serbisyo, device, computer, at account na ikinokonekta nito, at sa katumpakan ng Personal na Datos ng Kliyente. Hindi magtuturo ang Kliyente ng pagprosesong ipinagbabawal ng Mga Batas sa Proteksyon ng Datos.

4. Pagiging Kumpidensyal

Titiyakin ng Melaya na ang mga taong pinahihintulutan nitong magproseso ng Personal na Datos ng Kliyente ay nangako sa pagiging kumpidensyal o nasa ilalim ng naaangkop na legal na obligasyon ng pagiging kumpidensyal, at na ang access ng mga ito ay limitado lamang sa kinakailangan upang ibigay, suportahan, at pangalagaan ang Mga Serbisyo. Hindi isisiwalat ng Melaya ang Personal na Datos ng Kliyente sa mga third party maliban kung pinahihintulutan ng DPA na ito, batay sa mga tagubilin ng Kliyente, o kung hinihingi ng batas. Kung may humiling na awtoridad pampubliko ng access sa Personal na Datos ng Kliyente, aabisuhan ng Melaya ang Kliyente kung legal na pinapahintulutan ito, at ituturo nito ang awtoridad sa Kliyente, at isisiwalat lamang ang minimum na datos na legal na hinihingi ng kahilingan.

5. Seguridad

5.1 Ipapatupad at papanatilihin ng Melaya ang naaangkop na teknikal at organisasyonal na mga hakbang upang protektahan ang Personal na Datos ng Kliyente laban sa isang Paglabag sa Personal na Datos, ayon sa hinihingi ng Artikulo 32 ng GDPR. Ang mga hakbang na iyon ay inilarawan sa Annex II at sa Pangkalahatang-tanaw ng Seguridad sa melaya.org/legal/security.

5.2 Nasuri na ng Kliyente ang Annex II at ang Pangkalahatang-tanaw ng Seguridad, kabilang ang mga kontrol na inilarawan ditong isinasagawa pa o hindi pa naipapatupad, at sumasang-ayon na, isinaalang-alang ang kalagayan ng teknolohiya, ang mga gastos sa pagpapatupad, at ang katangian, saklaw, konteksto, at mga layunin ng pagproseso, ang mga ito ay nagbibigay ng antas ng seguridad na naaangkop sa panganib para sa Personal na Datos ng Kliyente na pinipili ng Kliyente na iproseso gamit ang Mga Serbisyo.

5.3 Maaaring baguhin ng Melaya ang mga hakbang nito sa paglipas ng panahon, sa kondisyong ang isang pagbabago ay hindi makabuluhang nagpapababa sa pangkalahatang seguridad ng Mga Serbisyo.

5.4 Ang seguridad ay ibinabahagi. Mananagot ang Kliyente sa seguridad ng sarili nitong mga account, credential, device, computer, at Nakakonektang Serbisyo, sa tamang pagsasaayos ng Mga Serbisyo, kabilang ang mga pahintulot, mga nakakonektang scope, mga app allowlist, at mga mode ng pag-apruba, at sa nilalamang pinipili nitong isumite.

6. Mga Subprocessor

6.1 Nagbibigay ang Kliyente sa Melaya ng pangkalahatang nakasulat na awtorisasyon na kumuha ng mga Subprocessor. Ang mga Subprocessor na ginagamit ng Melaya sa isang partikular na panahon ay nakalista sa melaya.org/legal/subprocessors, na bumubuo sa Annex III.

6.2 Bago magproseso ang isang Subprocessor ng Personal na Datos ng Kliyente, makikipagkontrata ang Melaya rito sa pamamagitan ng isang nakasulat na kontrata na nagpapataw ng mga obligasyon sa proteksyon ng datos na ang antas ng proteksyon ay hindi bababa sa mga nasa DPA na ito, sa lawak na naaangkop sa serbisyong ibinibigay ng Subprocessor. Mananatiling mananagot ang Melaya sa Kliyente para sa pagtupad ng mga obligasyon ng bawat Subprocessor.

6.3 Magbibigay ang Melaya ng hindi bababa sa labinlimang (15) araw na paunawa bago magsimulang magproseso ang isang bagong Subprocessor ng Personal na Datos ng Kliyente, sa pamamagitan ng pagbabago sa pahina ng mga Subprocessor at pag-abiso sa Kliyente sa pamamagitan ng email o sa Mga Serbisyo. Kung kinakailangang palitan agad ng Melaya ang isang Subprocessor upang sumunod sa batas o tugunan ang isang panganib sa seguridad o pagpapatuloy ng serbisyo, maaari itong magbigay ng mas maikling paunawa at pagkatapos ay magbibigay ng paunawa sa lalong madaling panahon na makatwiran.

6.4 Maaaring tumutol ang Kliyente sa isang bagong Subprocessor batay sa makatwirang mga dahilan ng proteksyon ng datos sa pamamagitan ng pagsulat sa info@melaya.org sa loob ng panahon ng paunawa. Pag-uusapan ng mga partido ang pagtutol nang may mabuting hangarin. Kung hindi nila ito malutas sa loob ng makatwirang panahon, maaaring wakasan ng Kliyente ang Mga Serbisyong apektado ng bagong Subprocessor sa pamamagitan ng nakasulat na paunawa, at ibabalik ng Melaya ang anumang paunang bayad na singil para sa panahon pagkatapos ng pagwawakas. Ang pagwawakas at ang pagbabalik na iyon ang natatanging lunas ng Kliyente para sa isang hindi nalutas na pagtutol.

7. Mga Internasyonal na Paglipat

7.1 Itinatag ang Melaya Labs LLC sa United States, at ang pangunahing imprastraktura ng produksyon ng Melaya, kabilang ang pangunahing database at cache, ay naka-host sa Singapore. Ang Personal na Datos ng Kliyente ay maaari ring iproseso sa mga lokasyon ng mga Subprocessor na nakalista sa pahina ng mga Subprocessor. Ililipat lamang ng Melaya ang Personal na Datos ng Kliyente sa pagitan ng mga bansa alinsunod sa Seksyon 7 na ito at sa Mga Batas sa Proteksyon ng Datos.

7.2 Sa lawak na ang paglipat ng Kliyente ng Personal na Datos ng Kliyente patungo sa Melaya ay isang paglipat patungo sa isang ikatlong bansa na sakop ng GDPR at hindi sakop ng isang adequacy decision o ibang balidong mekanismo ng paglipat, ang SCCs ay isinasama sa DPA na ito at naaangkop ayon sa mga sumusunod:

• Naaangkop ang Module Two (controller sa processor) kung saan ang Kliyente ay isang controller, at naaangkop ang Module Three (processor sa processor) kung saan ang Kliyente ay isang processor. Ang Kliyente ang data exporter at ang Melaya ang data importer.
• Naaangkop ang Clause 7 (docking clause).
• Sa ilalim ng Clause 9(a), naaangkop ang Opsyon 2 (pangkalahatang nakasulat na awtorisasyon), kasama ang panahon ng paunawa na nakasaad sa Seksyon 6.3.
• Hindi naaangkop ang opsyonal na pananalita sa Clause 11(a).
• Sa ilalim ng Clause 13, ang karampatang nangangasiwang awtoridad ay tinutukoy alinsunod sa Clause 13(a).
• Sa ilalim ng Clause 17, naaangkop ang Opsyon 1 at ang SCCs ay pinamamahalaan ng batas ng Ireland. Sa ilalim ng Clause 18(b), ang mga alitan ay nililitis ng mga hukuman ng Ireland.
• Ang Annexes I, II, at III ng SCCs ay nilagyan ng impormasyon sa Annexes I, II, at III ng DPA na ito.
• Ang mga audit sa ilalim ng Clause 8.9 ay isinasagawa alinsunod sa Seksyon 10, at ang sertipikasyon ng pagtanggal na tinutukoy sa Clause 8.5 ay ibibigay sa nakasulat na kahilingan ng Kliyente.

7.3 Sa lawak na ang paglipat ay sakop ng UK GDPR, ang SCCs ay naaangkop ayon sa binago ng UK Addendum, na isinasama sa DPA na ito. Ang Table 1 ng UK Addendum ay nilagyan ng mga detalye ng mga partido sa Annex I, ang Table 2 ng mga module at opsyong pinili sa Seksyon 7.2, at ang Table 3 ng Annexes I hanggang III ng DPA na ito. Para sa Table 4, walang partido ang maaaring magwakas sa UK Addendum sa ilalim ng Seksyon 19 nito.

7.4 Sa lawak na ang paglipat ay sakop ng FADP, ang SCCs ay naaangkop na may mga sumusunod na pagbabago: ang mga sanggunian sa GDPR ay babasahin bilang mga sanggunian sa FADP; ang Swiss Federal Data Protection and Information Commissioner ang karampatang nangangasiwang awtoridad para sa mga paglipat na sakop ng FADP; ang terminong "Member State" ay hindi humahadlang sa mga data subject sa Switzerland na maghain ng mga paghahabol sa kanilang lugar ng karaniwang paninirahan alinsunod sa Clause 18(c); at, kung saan ang paglipat ay sakop kapwa ng FADP at GDPR, naaangkop ang namamahalang batas at foro na pinili sa Seksyon 7.2.

7.5 Kung ililipat ng Melaya ang Personal na Datos ng Kliyente sa isang Subprocessor sa isang ikatlong bansa, titiyakin ng Melaya na ang paglipat ay sakop ng isang balidong mekanismo ng paglipat, tulad ng SCCs, at ng mga karagdagang hakbang na inilarawan sa Annex II kung kinakailangan.

7.6 Kung ang isang mekanismo ng paglipat na pinagbabatayan sa Seksyon 7 na ito ay mapawalang-bisa o mapalitan, makikipagtulungan ang mga partido nang may mabuting hangarin upang magtatag ng balidong alternatibo.

8. Tulong sa Kliyente

8.1 Isinaalang-alang ang katangian ng pagproseso, tutulungan ng Melaya ang Kliyente sa pamamagitan ng naaangkop na teknikal at organisasyonal na mga hakbang, hangga't maaari, sa pagtugon sa mga kahilingan ng mga data subject na gamitin ang kanilang mga karapatan. Pinapayagan ng Mga Serbisyo ang mga Awtorisadong Gumagamit na kunin ang kopya, iwasto, at tanggalin ang sarili nilang datos ng account at tanggalin ang mga pag-uusap, dokumento, retrieval index, at koneksyon. Kung ang Melaya ay makatanggap ng isang kahilingan mula sa isang data subject na may kinalaman sa Personal na Datos ng Kliyente, ipapasa nito ang kahilingan sa Kliyente nang walang di-makatwirang pagkaantala kung kaya nitong matukoy ang Kliyente, at hindi ito tutugon mismo sa kahilingan maliban sa pagtuturo sa data subject patungo sa Kliyente o ayon sa itinuturo ng Kliyente.

8.2 Isinaalang-alang ang katangian ng pagproseso at ang impormasyong available sa Melaya, magbibigay ang Melaya ng makatwirang tulong sa Kliyente kaugnay ng mga pagtatasa sa epekto sa proteksyon ng datos at mga paunang konsultasyon sa mga nangangasiwang awtoridad na hinihingi ng Mga Batas sa Proteksyon ng Datos mula sa Kliyente kaugnay ng Mga Serbisyo, pangunahin sa pamamagitan ng paglalaan ng DPA na ito, ng Pangkalahatang-tanaw ng Seguridad, at ng impormasyong inilarawan sa Seksyon 10.

8.3 Kung pinapahintulutan ng Mga Batas sa Proteksyon ng Datos, maaaring maningil ang Melaya ng makatwirang bayad para sa tulong sa ilalim ng Seksyon 8 na ito na higit pa sa mga self-service na tampok ng Mga Serbisyo at sa dokumentasyong karaniwang inilalaan ng Melaya.

9. Paglabag sa Personal na Datos

9.1 Aabisuhan ng Melaya ang Kliyente ng isang Paglabag sa Personal na Datos nang walang di-makatwirang pagkaantala, at sa anumang pagkakataon sa loob ng pitumpu't dalawang (72) oras pagkatapos nitong malaman ito. Ipapadala ng Melaya ang paunawa sa email address na nauugnay sa account ng Kliyente at sa anumang contact sa seguridad na ibinigay ng Kliyente sa Melaya sa pamamagitan ng sulat.

9.2 Ilalarawan ng paunawa, sa lawak na nalalaman sa oras na iyon, ang katangian ng Paglabag sa Personal na Datos, kabilang ang mga kategorya at tinatayang bilang ng mga data subject at record na apektado; ang malamang na mga kahihinatnan nito; ang mga hakbang na ginawa o iminungkahi upang tugunan ito at mabawasan ang maaaring masamang epekto nito; at ang isang punto ng ugnayan para sa karagdagang impormasyon. Kung hindi available ang impormasyong ito sa parehong oras, ibibigay ito ng Melaya nang paunti-unti nang walang karagdagang di-makatwirang pagkaantala.

9.3 Gagawa ang Melaya ng makatwirang mga hakbang upang pigilin, imbestigahan, at lunasan ang Paglabag sa Personal na Datos at bibigyan nito ang Kliyente ng makatwirang tulong na kailangan nito upang matupad ang sarili nitong mga obligasyong mag-abiso sa mga nangangasiwang awtoridad at mga data subject. Hindi aabisuhan ng Melaya ang mga data subject o nangangasiwang awtoridad ng Kliyente tungkol sa isang Paglabag sa Personal na Datos sa ngalan ng Kliyente maliban kung itinuturo ito ng Kliyente o hinihingi ito ng batas.

9.4 Ang pag-abiso o pagtugon ng Melaya sa isang Paglabag sa Personal na Datos ay hindi isang pagkilala sa kasalanan o pananagutan.

10. Mga Audit at Pagpapakita ng Pagsunod

10.1 Ilalaan ng Melaya sa Kliyente ang impormasyong makatwirang kinakailangan upang ipakita ang pagsunod sa Artikulo 28 ng GDPR at sa DPA na ito: ang DPA na ito at ang Pangkalahatang-tanaw ng Seguridad; sa nakasulat na kahilingan sa info@melaya.org, ang kasalukuyang control matrix ng Melaya at listahan ng mga remediation na isinasagawa; at ang mga nakasulat na sagot ng Melaya sa isang makatwirang questionnaire sa seguridad at pagkapribado nang hindi hihigit sa isang beses sa loob ng anumang labindalawang (12) buwang panahon. Wala pang SOC 2 report, ISO/IEC 27001 certificate, o katumbas na third-party attestation ang Melaya sa kasalukuyan, at sasabihin nito sa Kliyente kung magbago ito. Ang impormasyong hindi pampubliko ay ibinibigay na napapailalim sa mga obligasyon ng pagiging kumpidensyal.

10.2 Kung hindi sapat ang impormasyong iyon upang ipakita ang pagsunod, kung hinihingi ito ng isang nangangasiwang awtoridad, o pagkatapos ng isang Paglabag sa Personal na Datos, maaaring i-audit ng Kliyente ang pagsunod ng Melaya sa DPA na ito, mismo o sa pamamagitan ng isang independiyenteng auditor na nasasailalim sa mga obligasyon ng pagiging kumpidensyal at hindi isang kakumpitensya ng Melaya. Dapat magbigay ang Kliyente ng hindi bababa sa tatlumpung (30) araw na nakasulat na paunawa na may iminumungkahing saklaw, at pagkakasunduan ng mga partido ang saklaw, oras, at tagal nang maaga. Ang mga audit ay isinasagawa nang hindi hihigit sa isang beses sa loob ng anumang labindalawang (12) buwang panahon, maliban kung hinihingi ng isang nangangasiwang awtoridad kung hindi man o pagkatapos ng isang Paglabag sa Personal na Datos, sa loob ng normal na oras ng negosyo, at sa paraang hindi di-makatwirang makakasagabal sa mga operasyon ng Melaya.

10.3 Unang mag-aalok ang Melaya na isagawa ang audit nang remote, sa pamamagitan ng pagsusuri ng dokumento at mga panayam. Isang on-site na audit lamang ang isasagawa kung hindi makatwirang maaabot ng isang remote na audit ang layunin nito. Ang isang audit ay hindi sumasaklaw sa datos ng ibang mga customer ng Melaya, sa impormasyong protektado ng legal na pribilehiyo, o sa mga pasilidad ng mga Subprocessor, kung saan ilalaan ng Melaya ang nauugnay na impormasyong natatanggap nito mula sa mga Subprocessor na iyon.

10.4 Sasagutin ng Kliyente ang sarili nitong mga gastos sa isang audit at isasauli nito ang makatwirang mga gastos ng Melaya sa pagsuporta sa isang on-site na audit, maliban kung ipinapakita ng audit ang isang makabuluhang paglabag sa DPA na ito ng Melaya. Bibigyan ng Kliyente ang Melaya ng kopya ng ulat ng audit, na siyang kumpidensyal na impormasyon ng Melaya.

11. Pagbabalik at Pagtanggal ng Personal na Datos ng Kliyente

11.1 Sa loob ng panahon ng Mga Tuntunin, maaaring kunin ng Kliyente ang kopya at tanggalin ang Personal na Datos ng Kliyente gamit ang Mga Serbisyo, kabilang ang mga tampok sa pagkuha ng kopya ng datos at pagtanggal ng account sa mga setting ng account at ang pagtanggal ng mga pag-uusap, dokumento, retrieval index, at koneksyon.

11.2 Kapag isinara ang account ng Kliyente o nagwakas ang Mga Tuntunin, tatanggalin ng Melaya ang Personal na Datos ng Kliyente mula sa mga aktibong sistema nito nang walang di-makatwirang pagkaantala at sa anumang pagkakataon sa loob ng tatlumpung (30) araw, maliban kung hinihingi ng batas na sakop ng Melaya na panatilihin ang datos. Dapat kunin ng Kliyente ang kopya ng anumang Personal na Datos ng Kliyente na nais nitong panatilihin bago isara ang account nito. Sa nakasulat na kahilingan ng Kliyente na ginawa bago ang pagsasara, magbibigay ang Melaya ng makatwirang tulong sa pagbabalik ng Personal na Datos ng Kliyente sa isang karaniwang ginagamit, nababasa-ng-makina na format.

11.3 Ang mga kopya ng Personal na Datos ng Kliyente sa mga backup ng Melaya na protektado ng enkripsyon ay tinatanggal kapag natatapos na ang bisa ng mga backup alinsunod sa iskedyul ng pagpapanatili ng backup na inilarawan sa Pangkalahatang-tanaw ng Seguridad. Hanggang doon, nananatili silang protektado sa ilalim ng DPA na ito at hindi ginagamit para sa anumang ibang layunin.

11.4 Sa loob ng panahon ng Mga Tuntunin, ang mga run log, trace, at telemetry ay tinatanggal ayon sa mga window ng pagpapanatili na nakadepende sa plano na inilarawan sa Patakaran sa Pagkapribado. Hindi mababawi ng Melaya ang datos na itinuro ng Kliyente sa Mga Serbisyo na ipadala sa isang Nakakonektang Serbisyo. Sa nakasulat na kahilingan ng Kliyente, kukumpirmahin ng Melaya ang pagtanggal sa pamamagitan ng sulat.

12. Pananagutan

Ang pananagutan ng bawat partido na nagmumula sa o may kaugnayan sa DPA na ito, kabilang sa ilalim ng SCCs at ng UK Addendum sa lawak na pinapahintulutan ng mga ito, ay napapailalim sa mga pagbubukod at limitasyon ng pananagutan sa Mga Tuntunin, at anumang sanggunian sa Mga Tuntunin tungkol sa pananagutan sa ilalim ng Mga Tuntunin ay kinabibilangan ng pananagutan sa ilalim ng DPA na ito. Walang anuman sa DPA na ito ang naglilimita sa mga karapatan ng mga data subject sa ilalim ng SCCs o anumang pananagutan na hindi maaaring limitahan sa ilalim ng Mga Batas sa Proteksyon ng Datos.

13. Pagkakasunod-sunod ng Prayoridad

Kung nagsasalungatan ang mga dokumentong bumubuo sa kasunduan sa pagitan ng Kliyente at ng Melaya, ang sumusunod na pagkakasunod-sunod ang naaangkop sa lawak ng salungatan: una, ang SCCs, ang UK Addendum, at ang mga probisyong Swiss sa Seksyon 7, kung saan naaangkop ang mga ito; pangalawa, ang DPA na ito; pangatlo, ang Mga Tuntunin. Ang isang kasunduan sa pagproseso ng datos o kasunduang pang-enterprise na nilagdaan ng dalawang partido na tahasang pumapalit sa DPA na ito ay mananaig dito.

14. Mga Pagbabago sa DPA na Ito

Maaaring baguhin ng Melaya ang DPA na ito upang ipakita ang mga pagbabago sa Mga Batas sa Proteksyon ng Datos, mga patnubay mula sa mga nangangasiwang awtoridad, bago o pinalitang mga mekanismo ng paglipat, o mga pagbabago sa Mga Serbisyo. Magbibigay ang Melaya ng paunawa ng mga makabuluhang pagbabago sa parehong paraan tulad ng para sa mga makabuluhang pagbabago sa Mga Tuntunin. Ang isang pagbabago ay hindi makabuluhang magpapababa sa proteksyon ng Personal na Datos ng Kliyente sa ilalim ng DPA na ito, maliban kung hinihingi ito ng batas. Ang petsang "Huling na-update" sa itaas ng pahinang ito ay nagpapakita ng kasalukuyang bersyon. Ang isang nilagdaang kopya ng DPA na ito ay maaari lamang baguhin sa pamamagitan ng nakasulat na kasunduan ng dalawang partido.

15. Namamahalang Batas at Hurisdiksyon

Ang DPA na ito ay pinamamahalaan ng batas na namamahala sa Mga Tuntunin, kasalukuyang ang mga batas ng Estado ng Delaware, United States, at ang mga alitan na nagmumula sa o may kaugnayan dito ay nililitis ayon sa nakasaad sa Mga Tuntunin, maliban kung hinihingi ng SCCs, ng UK Addendum, o ng Mga Batas sa Proteksyon ng Datos ang ibang namamahalang batas o foro.

16. Petsa ng Pagkakabisa, Lagda, at mga Kontra-nilagdaang Kopya

Ang DPA na ito ay magkakabisa sa petsang mas huli sa pagitan ng petsa ng pagtanggap ng Kliyente sa Mga Tuntunin at ng petsa ng unang paglalathala ng DPA na ito. Walang kinakailangang lagda: ang pagtanggap ng Kliyente sa Mga Tuntunin ay pagtanggap na rin sa DPA na ito at sa SCCs at UK Addendum na isinama dito. Maaaring humiling ang Kliyente ng kopya ng DPA na ito na kontra-nilagdaan ng Melaya sa pamamagitan ng pagsulat sa info@melaya.org kalakip ang pangalan ng legal na entity ng Kliyente, address, at mga detalye ng contact.

Annex I. Mga Detalye ng Pagproseso

• Data exporter: ang Kliyente, ayon sa pagkakakilanlan sa account nito sa Melaya o order form. Contact: ang email address na nauugnay sa account ng Kliyente. Mga Aktibidad: paggamit ng Mga Serbisyo. Tungkulin: controller, o processor sa ngalan ng sarili nitong controller. Lagda at Petsa: pagtanggap sa Mga Tuntunin.
• Data importer: Melaya Labs LLC, United States. Contact: Privacy Team, info@melaya.org. Mga Aktibidad: pagbibigay ng Mga Serbisyo. Tungkulin: processor, o subprocessor. Lagda at Petsa: paglalathala ng DPA na ito, at kontra-paglagda sa kahilingan.
• Mga kategorya ng data subject: mga Awtorisadong Gumagamit ng Kliyente, kabilang ang mga empleyado at kontratista; mga customer, prospect, contact, supplier ng Kliyente, at ibang mga indibidwal na ang personal na datos ay nilalaman ng Nilalaman ng Gumagamit o ng mga record, mensahe, file, at pahinang binabasa ng mga ahente ng Kliyente mula sa Nakakonektang Serbisyo; mga indibidwal na ipinapakita sa mga screen, pahina, o window ng application na pinagmamasdan ng mga ahente ng Kliyente; at mga indibidwal na nakikipag-ugnayan sa mga ahenteng inilulunsad ng Kliyente.
• Mga kategorya ng personal na datos: datos ng pagkakakilanlan at contact, tulad ng mga pangalan, email address, numero ng telepono, username, titulo sa trabaho, at pangalan ng kumpanya; ang nilalaman ng mga prompt, pag-uusap, output ng ahente, na-upload na dokumento, retrieval index, email, mensahe sa chat, entry sa kalendaryo, record ng CRM at ERP, at file; datos na binabasa mula sa o isinusulat sa Nakakonektang Serbisyo; mga screen frame, screenshot, accessibility tree, nilalaman ng pahina, pamagat ng window, nakilalang teksto, at record ng aksyon na nililikha ng Device Control, Browser Control, at Computer Control; at teknikal na datos, tulad ng IP address, identifier ng device at session, log, at run trace. Ang eksaktong datos ay nakadepende sa pagsasaayos at paggamit ng Kliyente sa Mga Serbisyo.
• Mga espesyal na kategorya ng personal na datos: wala sa layunin. Hindi magsusumite ang Kliyente ng mga espesyal na kategorya ng personal na datos, o personal na datos na may kinalaman sa mga paghatol at pagkakasalang kriminal, maliban kung ito ay kinakailangan, legal, at naaangkop na pinangalagaan. Kung gagawin ito ng Kliyente, naaangkop ang mga hakbang sa Annex II.
• Dalas ng paglipat: tuloy-tuloy, hangga't ginagamit ng Kliyente ang Mga Serbisyo.
• Katangian ng pagproseso: hosting, imbakan, pag-oorganisa, retrieval, indexing at embedding, pagsusuri at pagbabago gamit ang mga modelo ng wika, paghahatid papunta at mula sa Nakakonektang Serbisyo, pagsasagawa ng mga aksyon ng ahente, pagpapakita, pagkuha ng kopya, at pagtanggal, ayon sa itinuturo ng Kliyente sa pamamagitan ng Mga Serbisyo.
• Layunin ng pagproseso: upang ibigay, suportahan, at pangalagaan ang Mga Serbisyo sa ilalim ng Mga Tuntunin, kabilang ang pagpapatakbo ng mga ahente, daloy ng proseso, pag-uusap sa Assistant, konektor, trigger, at mga session ng Device Control, Browser Control, at Computer Control na isinasaayos ng Kliyente.
• Tagal at pagpapanatili: para sa panahon ng Mga Tuntunin at hanggang sa pagtanggal sa ilalim ng Seksyon 11. Ang mga pag-uusap, dokumento, at retrieval index ay pinapanatili hanggang tanggalin ng Kliyente ang mga ito o isara ang account nito. Ang mga run log, trace, at telemetry ay sumusunod sa mga window ng pagpapanatili na nakadepende sa plano, at ang datos ng integration ay sumusunod sa mga panahong partikular sa integration, na inilarawan sa Patakaran sa Pagkapribado. Natatapos ang bisa ng mga backup ayon sa iskedyul na inilarawan sa Pangkalahatang-tanaw ng Seguridad.
• Mga paglipat sa mga Subprocessor: ayon sa inilarawan sa Annex III, para sa paksa, katangian, at tagal na nakasaad sa Annex I na ito.
• Karampatang nangangasiwang awtoridad: tinutukoy alinsunod sa Clause 13 ng SCCs, o, kung naaangkop, ang UK Information Commissioner o ang Swiss Federal Data Protection and Information Commissioner.

Annex II. Teknikal at Organisasyonal na mga Hakbang

Inilalapat ng Melaya ang mga sumusunod na hakbang sa Mga Serbisyo. Inilalarawan ng Pangkalahatang-tanaw ng Seguridad sa melaya.org/legal/security ang mga ito nang mas detalyado, kabilang ang mga kontrol na isinasagawa pa o hindi pa naipapatupad.

• Enkripsyon habang nasa transit: TLS 1.2 o mas mataas para sa trapiko sa pagitan ng mga client at Mga Serbisyo, tinatapos sa Cloudflare, kasama ang HSTS at isang mahigpit na Content Security Policy. Ang mga internal na service-to-service call ay tumatakbo sa loopback o pribadong network link.
• Enkripsyon habang naka-imbak: ang mga sensitibong halaga, kabilang ang mga credential ng exchange API, mga credential ng konektor at OAuth token, at mga sikreto at recovery code ng MFA, ay protektado ng AES-256-GCM envelope encryption sa proseso ng server bago maitago, kung saan ang mga susi ay hiwalay na itinatago mula sa mga credential ng database at vault at pinapalitan nang paikot nang walang downtime. Ang mga backup ay protektado ng enkripsyon. Ang full-disk encryption ng mga production volume ay hindi pa pinagagana at nasa security roadmap.
• Paghihiwalay ng tenant: bawat request ay naka-saklaw sa na-authenticate na user sa antas ng application, ang PostgreSQL row-level security ay ipinatutupad bilang pangalawang antas sa ilalim ng isang database role na hindi ito maaaring laktawan, at ang mga retrieval index ay ibinabalik lamang sa daloy ng proseso na may-ari ng mga ito.
• Kontrol sa access: mga password na na-hash gamit ang bcrypt; available ang TOTP multi-factor authentication sa bawat user at kinakailangan upang magdagdag ng mga credential ng exchange o lumikha ng mga susi ng platform API; mga session token na nilagdaan gamit ang mga paikot na susi sa pagpirma; awtorisasyong nakabatay sa tungkulin at sa plano na ipinatutupad sa server; rate limiting sa mga endpoint ng authentication at API; mga token ng runner at telepono na itinatago lamang bilang hash at maaaring bawiin.
• Access ng personnel: ang access sa mga production system ay ipinagkakaloob kada engineer sa ilalim ng proseso ng pag-apruba ng dalawang tao, limitado sa kinakailangan ng tungkulin, sinusuri sa isang dokumentadong quarterly na batayan, at tinatanggal kapag nag-offboard, kabilang ang pagbawi ng mga susi at session.
• Logging at monitoring: structured na log ng application, host, at edge na ipinapadala palabas ng production host nang real time patungo sa isang log store sa parehong rehiyon, at isang append-only, hash-chained na security audit log na nag-iimbak ng mga IP address bilang keyed HMAC digest lamang at beripikado araw-araw.
• Secure na development at pamamahala ng kahinaan: peer review bago mag-merge, static type check, pagsusuri ng sikreto sa pre-commit hook at CI, pagsusuri ng kahinaan ng dependency at container sa bawat build, mga naitakdang bersyon ng CI action, isang restricted na deployment path, at awtomatikong mga update sa seguridad ng operating system. Hindi pa dumaan ang Melaya sa isang panlabas na penetration test.
• Pagtugon sa insidente: isang nakasulat na pamamaraan ng pagtugon sa insidente na may mga antas ng severity, mga natukoy na tungkulin, mga hakbang sa paglimita na may kasamang pagpapalit ng susi, isang 72-oras na notification matrix, at mga pagsusuri pagkatapos ng insidente.
• Backup at pagpapatuloy: gabi-gabing mga backup na protektado ng enkripsyon ng mga production database at na-upload na dokumento, pinapanatili sa iskedyul na 7 pang-araw-araw, 4 pang-lingguhan, at 6 na pang-buwanang snapshot, na may lingguhang integrity check at test restore, at isang nakasulat na business continuity plan. Ang mga backup sa kasalukuyan ay nakaimbak sa parehong rehiyon ng production, at ang Mga Serbisyo ay tumatakbo mula sa isang solong pangunahing rehiyon na walang awtomatikong failover.
• Pagpapaliit at pagtanggal ng datos: awtomatikong mga retention sweep para sa run data ayon sa plano; self-service na pagkuha ng kopya at pagtanggal; pagbura sa pamamagitan ng tombstone na nagpapanatili ng integridad ng audit log; hindi binabasa at hindi nagpapasok ng teksto ang Computer Control sa mga secure field at binabalutan nito ng kulay ang mga window ng mga application na hindi pinapayagan; inaalis ng browser extension ang mga halaga ng password field mula sa mga snapshot ng pahina.
• Mga pananggalang ng ahente: mga app allowlist at antas ng pahintulot, mga kahilingan sa pag-apruba para sa mga natukoy na makabuluhang aksyon sa Safe mode, mga kontrol na stop at kill, at mga pagsusuri ng patakaran sa server-side sa mga command ng device at computer.
• Pamamahala ng Subprocessor: mga nakasulat na kontrata na may mga obligasyon sa proteksyon ng datos, isang inilathalang listahan ng mga Subprocessor, at paunang paunawa ng mga pagbabago.
• Mga Certification: binubuo ng Melaya ang mga kontrol nito batay sa SOC 2 Trust Services Criteria at ISO/IEC 27001 ngunit wala pa itong hawak na anumang third-party na certification o attestation sa kasalukuyan.

Annex III. Mga Subprocessor

Ang mga Subprocessor na kinukuha ng Melaya, kasama ang kanilang lokasyon, layunin, at pananggalang sa paglipat, ay nakalista sa melaya.org/legal/subprocessors. Ang listahang iyon, ayon sa binago sa ilalim ng Seksyon 6, ang bumubuo sa Annex III na ito. Hanggang sa petsa ng DPA na ito, ang pangunahing compute, database, at cache hosting ng Melaya ay ibinibigay ng Alibaba Cloud sa Singapore.

Ang mga Nakakonektang Serbisyong pinipili ng Kliyente, kabilang ang mga tagapagkaloob ng modelo na pinipili ng Kliyente para sa mga ahente nito, ay kinukuha sa direksyon ng Kliyente sa ilalim ng Seksyon 3 at hindi mga Subprocessor, maliban sa nakasaad sa Seksyon 3.5.

Ugnayan

Ang mga katanungan tungkol sa DPA na ito, mga kahilingan para sa kontra-nilagdaang kopya, at mga paunawa sa ilalim ng DPA na ito ay dapat ipadala sa: