Aneks dotyczący ochrony prywatności na mocy prawa stanowego USA

Data wejścia w życie: 30 grudnia 2022

Niniejszy Aneks dotyczący ochrony prywatności na mocy prawa stanowego USA („Aneks”) uzupełnia Ramową Umowę Subskrypcyjną, Warunki świadczenia usług lub Warunki świadczenia usług dla Klientów Odsprzedawców (w zależności od przypadku, „Umowa”) i określa pewne prawa i obowiązki w zakresie ochrony danych na mocy określonych przepisów prawa stanowego USA. Terminy pisane dużą literą używane, ale nie zdefiniowane inaczej w niniejszym Aneksie, przyjmują znaczenie przypisane im w Umowie.

Sekcja A – Postanowienia ogólne. Niniejszą Sekcję A Aneksu stosuje się w przypadku świadczenia przez Zoom oraz korzystania przez Klienta z Usług w zakresie, w jakim Klient jest Firmą lub Administratorem, a Zoom przetwarza Dane osobowe Klienta na mocy ustawy CCPA lub innych obowiązujących, Stanowych przepisów o ochronie danych.

  1. Definicje. W całym niniejszym Aneksie „Klient” oznacza Firmę lub Kontrolera, który subskrybuje Usługi Zoom. Terminy pisane wielką literą używane w niniejszej Sekcji A, ale nie zdefiniowane inaczej, mają znaczenie przypisane im w Sekcjach B(1) i C(1) poniżej.

  2. Audyty i oceny.
    1. Zoom będzie przeprowadzać audyty zewnętrzne na potwierdzenie zgodności z normami ISO 27001 i SOC 2 Typ II w sposób następujący:

      1. Zoom będzie co roku weryfikować Kryteria Bezpieczeństwa, Dostępności i Prywatności w ramach audytu SOC-2.

      2. Audyty będą przeprowadzane zgodnie z normami i zasadami organu regulacyjnego lub akredytacyjnego dla obowiązującej normy lub struktury kontroli.

      3. Audyty będą przeprowadzane przez wykwalifikowanych, niezależnych audytorów bezpieczeństwa zewnętrznych firm, wybranych przez Zoom i na jego koszt.

      4. Na zakończenie każdego audytu zostanie wygenerowany raport z audytu dla klienta („Raport z Audytu Zoom”), który Zoom będzie udostępniać klientowi na jego żądanie co roku. Raport z Audytu Zoom będzie stanowić poufne informacje Zoom.

  3. Ograniczenia dotyczące otrzymywania informacji. Żadne postanowienie niniejszego Aneksu nie wymaga od Zoom ujawnienia: (a) jakichkolwiek danych lub informacji innych klientów Zoom lub stron trzecich; (b) jakichkolwiek wewnętrznych informacji księgowych lub finansowych; (c) jakichkolwiek tajemnic handlowych Zoom; ani (d) jakichkolwiek informacji, które według uzasadnionej opinii Zoom mogłyby: (i) zagrażać bezpieczeństwu sieci, systemów lub lokali Zoom; (ii) powodować naruszenie przez Zoom zobowiązań w zakresie bezpieczeństwa lub prywatności wobec stron trzecich; lub (iii) jakichkolwiek informacji poszukiwanych z innych powodów niż te określone w niniejszym Aneksie. Zoom może wymagać zgody Klienta na rozsądne warunki Zoom (lub jego zewnętrznego audytora lub asesora) przed przekazaniem Klientowi Raportu z Audytu Zoom.

  4. Usuwanie Danych. Zoom (a) zgodnie z wymogami obowiązujących przepisów stanowych o ochronie danych osobowych, które dotyczą Klienta, oraz na jego polecenie, usunie lub zwróci Klientowi wszystkie Dane osobowe po zakończeniu świadczenia Usług lub (b) zgodnie z wymogami CCPA, nie będzie przechowywać, wykorzystywać ani ujawniać Danych osobowych po zakończeniu lub wygaśnięciu relacji między Klientem a Zoom. Żadne z postanowień niniejszej Sekcji A(4) (Usuwanie danych) nie będzie wymagać od Zoom (i) usunięcia lub zwrotu danych, które musi zachować zgodnie z obowiązującymi przepisami, ani (ii) zwrotu zamiast zniszczenia Danych osobowych w zakresie, w jakim zwrot nie jest technicznie wykonalny lub wiązałby się ze znacznymi obciążeniami, kosztami lub jednym i drugim dla Zoom.

Sekcja B – Kalifornia. Niniejsza Sekcja B Aneksu ma zastosowanie do świadczenia Usług przez Zoom oraz korzystania z Usług przez Klienta w zakresie, w jakim Klient jest Firmą, a Zoom przetwarza Dane osobowe na rzecz Klienta zgodnie z ustawą CCPA.

  1. Definicje. Zgodnie z niniejszą Sekcją B Aneksu: (a) „CCPA” oznacza Kalifornijską ustawę o ochronie prywatności konsumentów z 2018 r., zmienioną przez Kalifornijską Ustawę o Prawach Prywatności z 2020 r. oraz wszelkie rozporządzenia wydane na jej podstawie; (b) „Dla firm”, „Cel Biznesowy”, „Cel Komercyjny”, „Konsument”, „Przetwarzanie”, „Sprzedaż”, „Dostawca usługi” i „Udostępnianie” mają odpowiednie znaczenia podane w CCPA; oraz (c) „Dane osobowe” oznaczają „Dane osobowe” zgodnie z definicją w CCPA, ale tylko w zakresie, w jakim dane osobowe są gromadzone, dostępne, uzyskiwane, odbierane, wykorzystywane, ujawniane lub w inny sposób przetwarzane przez Zoom w wyniku świadczenia przez Zoom Usług Klientowi w ramach swojej możliwości Firmy na mocy Umowy.

  2. Potwierdzenia i zobowiązania. Zoom (a) potwierdza, że Klient ujawnia Dane osobowe wyłącznie w ograniczonym i określonym celu, jakim jest świadczenie Usług, zgodnie z opisem zawartym w Formularzu Zamówienia i zgodnie z celami określonymi w Umowie; (b) przestrzega obowiązków nakładanych na Usługodawców zgodnie z ustawą CCPA i zapewnia poziom ochrony prywatności Danych osobowych zgodny z poziomem wymaganym na mocy ustawy CCPA, w tym taki sam poziom ochrony prywatności, jaki należy zapewnić Firmom; (c) przyjmuje do wiadomości, że Klient może podejmować zasadne i stosowne kroki zgodne z Sekcją A(2) niniejszego Załącznika w celu zapewnienia wykorzystania Danych osobowych przez Zoom zgodnego z obowiązkami Klienta na mocy ustawy CCPA; (d) będzie niezwłocznie informował Klienta o wszelkich ustaleniach przez Zoom braku możliwości dalszego spełniania swoich zobowiązań na mocy ustawy CCPA; oraz (e) przyjmuje do wiadomości, że po otrzymaniu powiadomienia Klient może podjąć zasadne i stosowne kroki, aby powstrzymać i naprawić nieautoryzowane wykorzystanie Danych osobowych na mocy obowiązujących przepisów, poprzez żądanie przekazania przez Zoom uzasadnionej dokumentacji na potwierdzenie, że Zoom nie przechowuje ani nie wykorzystuje już Danych osobowych będących przedmiotem ważnego żądania usunięcia.

  3. Ograniczenia. Zoom zobowiązuje się (a) nie sprzedawać ani nie udostępniać Danych osobowych; (b) nie zatrzymywać, nie wykorzystywać ani nie ujawniać żadnych Danych osobowych do celów innych niż te określone w Sekcji B(2)(a), powyżej, ani w inny sposób dozwolony na mocy CCPA, w tym nie zatrzymywać, nie wykorzystywać ani nie ujawniać Danych osobowych w Celu Komercyjnym innym niż podany(-e) cel(e) lub do obsługi innej Firmy; (c) nie zatrzymywać, nie wykorzystywać ani nie ujawniać Danych osobowych w przypadkach wykraczających poza bezpośredni stosunek biznesowy Zoom i Klienta, wyłączając zakres dozwolony na mocy ustawy CCPA; ani (d) nie łączyć Danych osobowych otrzymanych zgodnie z Umową zawierającą Dane osobowe innej strony ani nie wykorzystywać ich na potrzeby własnych interakcji Zoom z Konsumentem, którego Dane osobowe dotyczą, wyłączając zakres, w jakim Usługodawca ma takie prawo zgodnie z ustawą CCPA. Zoom niniejszym oświadcza, że rozumie swoje obowiązki wynikające z niniejszego Aneksu i będzie ich przestrzegać.

  4. Audyty, przeglądy i oceny. Klientowi przysługuje prawo, z zastrzeżeniem zasadnych wymogów i pisemnych umów wymaganych przez Zoom i zgodnych z ustawą CCPA, w tym na wyłączny koszt Klienta, do przeprowadzania audytów, przeglądów lub ocen Zoom nie częściej niż raz na 12 miesięcy, zgodnie z Sekcją A(2) (Audyty i oceny) powyżej.

  5. Żądania konsumentów. Klient jest zobowiązany niezwłocznie powiadomić Zoom oraz przekazać wszelkie niezbędne informacje Zoom po otrzymaniu i weryfikacji wniosku Klienta, a Zoom ma obowiązek niezwłocznie podjąć działania i przekazać informacje, jakich Klient może zasadnie wymagać w zakresie Danych osobowych Klienta, celem pomocy Klientowi w spełnieniu wniosków osób fizycznych, tak aby mogły one korzystać ze swoich praw na mocy ustawy CCPA, w tym m.in. żądania dostępu, korekty, usunięcia, rezygnacji ze Sprzedaży lub Udostępnienia Danych osobowych, lub otrzymania informacji na temat Danych osobowych, które dotyczą tych osób. Jeśli Zoom otrzyma jakiekolwiek żądanie bezpośrednio od Konsumenta(-ów) Klienta, wówczas Zoom może (i) doradzić Konsumentowi, aby skontaktował się bezpośrednio z Klientem z takim żądaniem lub (ii) skontaktować się z Klientem w celu udzielenia bezpośredniej odpowiedzi Klientowi.

Sekcja C – Wirginia, Kolorado, Utah i inne stany. Niniejsza Sekcja C Aneksu ma zastosowanie do świadczenia przez Zoom i korzystania przez Klienta z Usług w zakresie, w jakim Klient jest Administratorem Danych osobowych, a Zoom przetwarza Dane osobowe Klienta zgodnie z obowiązującymi stanowymi przepisami o ochronie danych.

  1. Definicje. Zgodnie z niniejszą Sekcją C Aneksu: (a) „Obowiązujące stanowe przepisy o ochronie danych” to (i) Ustawa o prywatności stanu Kolorado (ang. Colorado Privacy Act) z 2021, Ustawa o ochronie danych konsumentów stanu Wirginia (ang. Virginia Consumer Data Protection Act ) z 2021 lub Ustawa o prywatności konsumentów stanu Utah (ang. Utah Consumer Privacy Act) z 2022, z późniejszymi zmianami, lub (ii) wszelkie inne obowiązujące przepisy stanowe USA, które zostały uchwalone na potrzeby ochrony Danych osobowych, zgodnie z którymi Klient jest Administratorem, a Zoom Podmiotem przetwarzającym, przy czym warunki niniejszego Aneksu spełniają wymogi rzeczonych przepisów stanowych; (b) „Administrator”, „Dane osobowe”, „Przetwarzanie” i „Podmiot przetwarzający” przyjmują znaczenia przypisane im w obowiązujących stanowych przepisach o ochronie danych osobowych; oraz (c) „Instrukcje” przyjmują znaczenie określone poniżej.

  2. Przetwarzanie danych osobowych: role, zakres i odpowiedzialność.
    1. Strony przyjmują do wiadomości i zgadzają się na następujące fakty: Klient jest Administratorem Danych osobowych Klienta. Zoom jest Podmiotem przetwarzającym Dane osobowe Klienta.

    2. Jako Administrator Klient zleca Zoom wykonywanie podanych czynności w charakterze Podmiotu przetwarzającego na rzecz Klienta jedynie w niezbędnym i współmiernym zakresie (łącznie „Instrukcje”):

      1. Świadczenie i aktualizacja Usług zgodnie z licencją, konfiguracją i użytkowaniem przez Klienta i jego użytkowników, w tym poprzez korzystanie przez Klienta z ustawień Zoom, kontroli administratora lub innych funkcji Usług;

      2. Zabezpieczenie i monitorowanie Usług w czasie rzeczywistym;

      3. Rozwiązywanie problemów, naprawa błędów;

      4. Zapewnienie wsparcia na wniosek Klienta, w tym wykorzystanie wiedzy uzyskanej na podstawie poszczególnych wniosków o udzielenie pomocy klientowi z korzyścią dla wszystkich klientów Zoom, ale tylko w zakresie, w jakim rzeczona wiedza została zanonimizowana; oraz

      5. Przetwarzanie Danych osobowych Klienta w sposób zgodny z Umową (wliczając w to niniejszy Aneks oraz Załącznik A do Umowy) oraz innymi udokumentowanymi instrukcjami, które Klient przekazuje, a Zoom przyjmuje jako instrukcje.
    3. W zakresie, w jakim Zoom działa jako Podmiot przetwarzający Dane osobowe Klienta, Zoom będzie przetwarzać Dane osobowe Klienta wyłącznie zgodnie z Instrukcjami Klienta. Klient zapewni, że jego Instrukcje dla Zoom są zgodne ze wszystkimi przepisami prawa, zasadami i regulacjami mającymi zastosowanie do Danych osobowych Klienta oraz że przetwarzanie Danych osobowych Klienta zgodnie z Instrukcjami Klienta nie spowoduje, że Zoom naruszy obowiązujące przepisy o ochronie danych. Klient ponosi wyłączną odpowiedzialność za dokładność, jakość i legalność (i) Danych osobowych Klienta przekazanych Zoom przez Klienta lub w jego imieniu; (ii) sposobu, w jaki Klient uzyskał takie Dane osobowe Klienta; oraz (iii) Instrukcji przekazywanych Zoom w odniesieniu do przetwarzania takich Danych osobowych Klienta. Klient nie będzie przekazywał ani udostępniał Zoom żadnych Danych osobowych Klienta z naruszeniem Umowy lub niniejszego Aneksu.

    4. Klient upoważnia Zoom do skanowania i zgłaszania Danych osobowych w ograniczonych okolicznościach (np. na potrzeby wykrywania i zgłaszania materiałów związanych z seksualnym wykorzystywaniem dzieci; przestrzegania innych obowiązujących przepisów; zapewnienia zgodności z Wytycznymi dopuszczalnego użytkowania Zoom).

  3. Osoby upoważnione. Zoom dopilnuje, aby wszystkie osoby upoważnione do przetwarzania Danych osobowych Klienta zostały poinformowane o poufnym charakterze Danych osobowych Klienta i podlegały obowiązkowi zachowania poufności w odniesieniu do tych danych.

  4. Podwykonawcy i podmioty przetwarzające dane. W zakresie roli Zoom jako podmiotu przetwarzającego dane Klient niniejszym ogólnie upoważnia Zoom do angażowania podwykonawców i podmiotów przetwarzających dane zgodnie z niniejszą Sekcją C(4).

    1. Klient zgadza się na korzystanie przez Zoom z usług dostawców znajdujących się na stronie https://www.zoom.com/en/trust/subprocessors/ w celu przetwarzania Danych osobowych Klienta.

    2. Zoom może usunąć, zastąpić lub wyznaczyć dodatkowych dostawców. Jeśli Klient subskrybuje aktualizacje na https://www.zoom.com/en/trust/subprocessors/, Zoom powiadomi Klienta o wszelkich zmianach w zakresie współpracy z tymi dostawcami. O ile jest to wymagane na mocy obowiązujących stanowych przepisów o ochronie danych, Zoom zapewni Klientowi również możliwość zgłoszenia sprzeciwu wobec współpracy zgodnie z Sekcjami C(4)(d) i C(4)(e) niniejszego dokumentu.

    3. W nagłych przypadkach związanych z dostępnością lub bezpieczeństwem Usług Zoom nie ma obowiązku uprzedniego powiadamiania Klienta o zwolnieniu, zastąpieniu lub wyznaczeniu podwykonawców; jednakże Zoom powiadomi Klienta w ciągu 7 (siedmiu) dni roboczych od zmiany podwykonawcy.

    4. W każdym razie Klient jest uprawniony do wyrażenia pisemnego sprzeciwu w kwestii takiego zatrudnienia podwykonawcy w ciągu 15 (piętnastu) dni roboczych od otrzymania od Zoom rzeczonego powiadomienia.

    5. W przypadku zgłoszenia przez Klienta sprzeciwu wobec zatrudnienia nowego podwykonawcy Zoom przysługuje prawo do rozwiązania tej kwestii w jeden z podanych sposobów (według uznania Zoom):

      1. Zoom może anulować plany skorzystania z usług podwykonawcy w zakresie dotyczącym Danych osobowych Klienta.

      2. Zoom może podjąć kroki naprawcze, o zastosowanie których wnioskuje Klient w swoim sprzeciwie (co usuwa sprzeciw Klienta), i zacząć korzystać z usług podwykonawcy w odniesieniu do Danych osobowych Klienta.

      3. Zoom może zaprzestać świadczenia lub Klient może zgodzić się na zaprzestanie korzystania (tymczasowo lub na stałe) z określonego aspektu Usługi, który wiązałby się z wykorzystaniem takiego podwykonawcy w odniesieniu do Danych osobowych Klienta. Zoom dostarczy Klientowi pisemny opis alternatyw, które są uzasadnione z handlowego punktu widzenia, jeśli takie istnieją, w tym między innymi modyfikacje Usług. Jeśli Zoom, według własnego uznania, nie będzie w stanie zapewnić żadnej alternatywy lub jeśli Klient nie zgodzi się na żadną z zaproponowanych alternatyw, Zoom i Klient mogą wypowiedzieć Umowę, w tym niniejszy Aneks, z sześćdziesięciodniowym (60) okresem wypowiedzenia. Wypowiedzenie nie zwalnia Klienta z żadnych opłat lub należności wobec Zoom za Usługi świadczone do dnia wejścia w życie wypowiedzenia zgodnie z Umową.

      4. W przypadku braku sprzeciwu Klienta wobec zatrudnienia nowego podwykonawcy w ciągu 15 (piętnastu) dni roboczych od powiadomienia przez Zoom uznaje się, że Klient uznaje nowego podwykonawcę.

    6. Zoom może angażować podwykonawców przetwarzających Dane osobowe Klienta wyłącznie na podstawie pisemnej umowy i wymagać od podwykonawców spełnienia wszelkich zobowiązań Zoom, które zostały im zlecone w odniesieniu do takich Danych osobowych. Zoom pozostaje odpowiedzialny wobec Klienta, jeśli podwykonawca nie wywiąże się ze swoich obowiązków w zakresie ochrony danych, w takim samym zakresie, w jakim Zoom ponosiłby odpowiedzialność na mocy niniejszego Aneksu, gdyby sam dopuścił się takich działań lub zaniechań.

  5. Bezpieczeństwo informacji. Biorąc pod uwagę kontekst Przetwarzania, Zoom ma obowiązek utrzymywania odpowiednich środków technicznych i organizacyjnych w zakresie dotyczącym Danych osobowych Klienta, na potrzeby zapewnienia poziomu bezpieczeństwa stosownego do ryzyka, według postanowień niniejszego Aneksu i innych, wyraźnych postanowień zawartych w Umowie.

  6. Informacje dotyczące zgodności. Na uzasadniony wniosek Klienta Zoom udostępni Klientowi uzasadnione informacje, spójne i zgodne z obowiązującymi przepisami, które to informacje znajdują się w posiadaniu Zoom i które są niezbędne do wykazania, że Zoom przestrzega zobowiązań wynikających z niniejszego Aneksu.

 

Załącznik A

Opis przetwarzania

Administrator dla Podmiotu przetwarzającego


Charakter i cel przetwarzania: Zoom będzie przetwarzać Dane osobowe Klienta do następujących celów, na mocy Umowy (w tym na mocy niniejszego Aneksu):

  • Świadczenie i aktualizacja Usług zgodnie z licencją, konfiguracją i użytkowaniem przez Klienta i jego użytkowników, w tym poprzez korzystanie przez Klienta z ustawień Zoom, kontroli administratora lub innych funkcji Usług;

  • Zabezpieczenie i monitorowanie Usług w czasie rzeczywistym;

  • Rozwiązywanie problemów, naprawa błędów;

  • Zapewnienie wsparcia na wniosek Klienta, w tym wykorzystanie wiedzy uzyskanej na podstawie poszczególnych wniosków o udzielenie pomocy klientowi z korzyścią dla wszystkich klientów Zoom, ale tylko w zakresie, w jakim rzeczona wiedza została zanonimizowana;

    • .
  • W sposób zgodny z Umową (wliczając w to niniejszy Aneks) lub innymi udokumentowanymi instrukcjami, które Klient przekazuje, a Zoom przyjmuje jako instrukcje; i

  • W zakresie niezbędnym do wypełnienia zobowiązań prawnych.

Rodzaj Danych osobowych do przetworzenia:

Informacje o profilu konta Zoom: Dane związane z profilem konta Zoom użytkownika końcowego, zdjęciem profilowym, hasłem, nazwą firmy oraz preferencjami klienta. Obejmują one:

  • Unikalny identyfikator użytkownika Zoom,

  • zdjęcie profilowe (opcjonalne)

Dane diagnostyczne:

Metadane spotkania: metryki dotyczące korzystania z Usługi, w tym terminy i sposób przeprowadzenia spotkań).

Ta kategoria obejmuje:

  • logi wydarzeń (w tym podjęte działania, typ i podtyp wydarzenia, lokalizacja wydarzenia w aplikacji, znacznik czasu, UUID klienta, ID użytkownika oraz ID spotkania)

  • informacje o sesji spotkań, z uwzględnieniem częstotliwości, średniego i rzeczywistego czasu trwania, ilości, jakości, aktywności sieciowej i łączności sieciowej

  • liczba spotkań

  • liczbę sesji z udostępnianiem ekranu i bez udostępniania ekranu

  • liczba uczestników

  • informacje o prowadzącym spotkanie

  • nazwa prowadzącego

  • adres URL spotkania

  • czas rozpoczęcia/zakończenia spotkania

  • metoda dołączania

  • informacje dotyczące wydajności, rozwiązywania problemów i diagnostyki

Dane telemetryczne: Dane zebrane z lokalnie zainstalowanego oprogramowania (aplikacje i informacje z przeglądarki dotyczące wdrożenia Usług Zoom i powiązanego środowiska systemowego / informacje techniczne). Obejmują one:

  • nazwa komputera PC

  • mikrofon

  • prelegent

  • kamera

  • domena

  • ID dysku twardego

  • typ sieci

  • rodzaj systemu operacyjnego i wersja

  • wersja klienta

  • adres MAC

  • logi wydarzeń (w tym podjęte działania, typ i podtyp wydarzenia, lokalizacja wydarzenia w aplikacji, znacznik czasu, UUID klienta, ID użytkownika oraz ID spotkania)

  • logi usług (informacje o wydarzeniach i stanach systemu)

Inne dane wygenerowane przez Usługi:

  • identyfikacja spamu

  • powiadomienia push

  • Trwałe unikalne identyfikatory Zoom, np. UUID lub identyfikatory użytkowników, które są połączone z innymi elementami danych, w tym:

  • Adres IP

  • Centrum danych

  • nazwa komputera PC

  • Mikrofon <\/li>

  • Prelegent

  • Kamera

  • Domena

  • ID dysku twardego

  • Typ sieci

  • Typ i wersja systemu operacyjnego

  • Wersja klienta

  • Adresy IP wzdłuż ścieżki sieciowej

Dane pomocnicze:

  • Nazwisko osoby kontaktowej, która składa wniosek o udzielenie wsparcia, godzina, temat, opis problemu, informacja zwrotna po spotkaniu (kciuki w górę/w dół)

  • Załączniki dostarczone przez użytkownika, w tym nagrania, transkrypcje lub zrzuty ekranu, informacje zwrotne po spotkaniu (tekst otwarty z kciukiem w dół

Czas trwania Przetwarzania: okres obowiązywania Umowy plus okres do momentu, aż Zoom usunie lub zwróci wszystkie Dane osobowe Klienta przetwarzane w imieniu Klienta.

Aktualizacje

Zoom może od czasu do czasu zmieniać lub uzupełniać niniejszy Aneks dotyczący ochrony prywatności. Wszelkie takie modyfikacje niniejszego Aneksu dotyczącego ochrony prywatności zostaną opublikowane tutaj. Jeśli chcesz otrzymywać powiadomienia o zmianach lub uzupełnieniach niniejszego Aneksu dotyczącego ochrony prywatności, wpisz swój adres e-mail w polu tekstowym poniżej.