GDPR — მონაცემთა დამუშავების ხელშეკრულება (DPA)

1. როლები

თქვენ ხართ კონტროლერი თქვენი ვიზიტორების მონაცემებზე (GDPR Art. 4(7)). Peit მოქმედებს თქვენი სახელით როგორც პროცესორი (Art. 4(8)).

2. დამუშავების ფარგლები

ხასიათი და მიზანი: AI ჩატბოტი მომსახურება — ვიზიტორების კითხვებზე პასუხი, ლიდების შეგროვება, ანალიტიკა.

ხანგრძლივობა: ხელშეკრულების მოქმედების მთელი პერიოდი + 30 დღე წაშლისთვის.

მონაცემთა კატეგორიები: სახელი, email, ტელეფონი, IP, ჩატის ჩანაწერები, ვიზიტის მეტამონაცემები.

მონაცემთა სუბიექტები: თქვენი ვებსაიტის და ჩატის ვიზიტორები.

3. ჩვენი ვალდებულებები

• მონაცემთა დამუშავება მხოლოდ თქვენი ინსტრუქციით
• პერსონალის კონფიდენციალურობის ხელშეკრულებები
• ტექნიკური და ორგანიზაციული უსაფრთხოების ღონისძიებები (Art. 32)
• სუბ-პროცესორების მიერ თანაბარი დონის უსაფრთხოების უზრუნველყოფა
• მონაცემთა სუბიექტების უფლებებში დახმარება
• მონაცემთა დარღვევის შესახებ შეტყობინება 72 საათში
• მონაცემთა წაშლა ან დაბრუნება ხელშეკრულების შეწყვეტისას

4. თქვენი ვალდებულებები

• სამართლებრივი საფუძველი ვიზიტორების მონაცემთა შეგროვებაზე
• საკუთარი privacy policy და cookie consent ვიზიტორებისთვის
• მონაცემთა შემცირების პრინციპის დაცვა
• მონაცემთა სუბიექტების მოთხოვნებზე ვადებში პასუხი

5. სუბ-პროცესორები

ჩვენ ვიყენებთ შემდეგ სუბ-პროცესორებს მონაცემთა დასამუშავებლად:

• Clerk (Authentication, USA)
• Vercel (Hosting & CDN, USA/EU)
• Lemon Squeezy (Payments, USA)
• Anthropic (Claude AI, USA)
• Voyage AI (Embeddings, USA)
• Resend (Transactional email, USA/EU)
• Postgres provider (Database, EU)

ახალი სუბ-პროცესორის შესახებ შეგატყობინებთ მინიმუმ 30 დღით ადრე და გექნებათ წინააღმდეგობის უფლება.

6. უსაფრთხოების ღონისძიებები

• TLS 1.3 ტრანზიტში, AES-256 encrypted at rest
• Role-based access control, MFA თანამშრომლებისთვის
• რეგულარული უსაფრთხოების აუდიტი
• ცალკე ლოგინგი წვდომებზე
• მუდმივი backup და disaster recovery (RPO ≤ 24 საათი)

7. დარღვევის შეტყობინება

მონაცემთა დარღვევის შემთხვევაში შეგატყობინებთ აღმოჩენიდან 72 საათში, აღწერით: ხასიათი, ზიანი, მითითებული ღონისძიებები.

8. აუდიტი

უფლება გაქვთ, წელიწადში ერთხელ, წინასწარი 30-დღიანი წერილობითი შეტყობინებით მოითხოვოთ ჩვენი GDPR-ის შესაბამისობის დადასტურება — SOC 2 / ISO 27001 ანგარიშების სახით ან წერილობითი კითხვარით.

9. საერთაშორისო გადაცემები

EU-ის ფარგლებს გარეთ მონაცემთა გადაცემა ხდება Standard Contractual Clauses (SCC) საფუძველზე ან ადეკვატურობის გადაწყვეტილებით.

10. შეწყვეტა

ხელშეკრულების შეწყვეტისას თქვენი ვიზიტორების მონაცემები წაიშლება 30 დღეში, თუ კანონი არ მოითხოვს მათ შენახვას.

11. კონტაქტი

DPA ან GDPR-თან დაკავშირებული კითხვები: legal@peit.ge