2026年11月12日版本。 **生效：**自 cenaly.ge 服务开放注册和数据接收之日起生效；在此之前，cenaly.ge 上的服务不接收企业的个人数据。
本文本为便于阅读而提供的译文。主要文本为格鲁吉亚语文本；各语言版本之间存在不一致时，适用对数据主体更有利的解释。
本数据处理协议（“本协议”）由在 cenaly.ge 上注册账户的企业（“企业”，数据控制者）与个体经营者 ANDREI VERBITSKII（识别号 305573448，格鲁吉亚）（“我们”，数据处理者）依据格鲁吉亚2023年6月14日第3144号《个人数据保护法》（“法律”）第36条订立。本协议构成服务条款的组成部分，并在注册 cenaly.ge 账户时与服务条款一并接受；就个人数据处理事项而言，如本协议与条款相冲突，以本协议为准。本协议中的术语具有法律所赋予的含义。
1.1. 企业委托我们在提供服务所必需的范围内，处理企业或其用户通过服务输入、上传或接收的个人数据（“企业数据”）。企业是数据控制者；我们是数据处理者。
1.2. 处理的依据和目的、数据和数据主体的类别以及处理期限载于附件1（法律第36(1)条）。
1.3. 企业负责确保具备处理企业数据的法律依据（法律第5–6条）、告知数据主体（法律第24–25条）、就通话录音作出提示（法律第11条），并负责向我们传输数据的合法性。
2.1. 我们仅根据企业的书面指示处理企业数据（法律第36(2)(a)条）。指示包括本协议、服务条款、企业及其用户在服务中的设置和操作，以及发送至 info@meni.ge 的书面指示。
2.2. 我们不为其他目的处理企业数据，包括用于我们自己的广告或训练人工智能模型（法律第36(4)条）。
2.3. 如我们认为某项指示违反法律，我们将告知企业，并可在该指示得到澄清之前暂不执行。
3.1. 我方直接参与处理的人员负有保密义务（法律第36(2)(b)条）。
3.2. 我们采取附件3所述的组织和技术安全措施（法律第27条、第36(2)(c)条和第36(5)条）。
4.1. 企业接受本协议，即事先以书面形式同意（法律第36(7)条）委托附件2所列的数据处理者。
4.2. 我们将至少提前30天通知企业拟新增或更换数据处理者——通过向账户所有者发送电子邮件或在界面中通知。企业可在该期限内以书面形式提出异议；如我们无法满足该异议，企业可以终止合同，并获得未使用期间预付费用的退款。
4.3. 我们与每一数据处理者订立书面协议，为其设定的义务所提供的保护不低于本协议。委托数据处理者不免除我们的义务和责任。
4.4. 除人工智能提供商（第5.3款）和推送通知服务（第5.4款）外，我们仅委托在德国或具有适当保障的国家名单（国家审计署审计长2026年4月14日第007号命令）内的其他国家处理企业数据的数据处理者。
5.1. 企业数据在 AWS eu-central-1 区域（德国法兰克福）存储和处理。德国列于具有适当保障的国家名单之中；该传输以法律第37(1)条为依据。
5.2. 除第5.3款和第5.4款规定的情形外，我们不向美国或名单以外的其他国家传输企业数据。如有必要进行其他此类传输，在未取得企业的书面同意且不具备法律第37条规定的依据（包括必要时取得国家审计署的许可）之前，我们不会开始该传输。
5.3. 人工智能功能。 企业数据仅为企业已启用的人工智能功能、在最小范围内，并仅在依据法律第37(2)(d)条使用“关于为人工智能处理而传输数据的同意书”文本（cenaly.ge/legal/ai-consent）在服务中作出书面同意后，方传输给名单以外的人工智能提供商（附件2第B部分）：由所有者或管理员就账户作出同意，由员工就其本人数据作出同意，由宾客就其发送给人工智能助手的本人消息作出同意。在作出此类同意后启用人工智能功能，构成企业依据第2.1款作出的指示。如某项功能会处理他人的数据（另一方的声音、文档中的顾客信息），企业应确保具备传输该等数据的依据，包括在必要时取得其书面同意；如不具备该依据，企业不得将该功能用于此类数据。撤回同意将关闭相关功能，且不再向名单以外的提供商传输新的数据。
5.4. 推送通知。 向企业用户的应用和浏览器发送的有关事件（通话、订单、预订、任务、消息）的通知，以及向企业网站访问者发送的浏览器通知，只能通过位于名单以外的设备或浏览器制造商的通知服务（附件2第C部分）送达。数据仅在最小范围内（设备的推送地址、事件类型、技术标识符，以及对于可见通知而言的简短标题和正文）传输给此类服务，并仅在其设备或浏览器上启用通知的人依据法律第37(2)(d)条使用“关于送达推送通知的同意书”文本（cenaly.ge/legal/push-consent）作出书面同意后方可进行。在事件允许的情况下，我们编写的通知文本不包含企业的顾客、宾客和来电者的个人数据。对于向其网站访问者发送的浏览器通知，企业作为数据控制者对订阅窗口及其文本负责；服务提供相应文本。在设备上或浏览器中关闭通知，即撤回就该设备或浏览器作出的同意。
5.5. 如企业自行在服务中接入外部服务（电信运营商、即时通讯工具、支付服务、集成），数据根据企业的指示传输至该服务，并由企业确保该传输的合法性。
6.1. 本协议终止或账户关闭时，我们根据企业的选择，以机器可读格式返还企业数据或将其删除（包括副本），但格鲁吉亚立法要求保存的除外（法律第36(2)(d)条和第36(9)条）。如企业在账户关闭后30天内未作出选择，企业数据将被删除；该等数据在备份轮换周期结束时从备份中消失。
6.2. 如我们与企业之间发生与数据处理相关的争议，我们将立即停止处理相关企业数据，并将我们所持有的数据移交企业，但格鲁吉亚立法另有规定的除外（法律第36(8)条）。
7.1. 我们通过服务中可用的工具（记录的搜索、导出、更正、删除、封存）并应请求，协助企业履行其在数据主体请求方面的义务（法律第36(10)条）。我们直接收到的数据主体请求如涉及企业数据，将毫不迟延地转交企业。
7.2. 我们向企业提供证明遵守法律所需的信息，并支持企业对处理活动进行监督（法律第36(2)(e)条和第36(6)条），包括答复合理的书面问题以及提供有关安全措施的信息。现场审计可经协商进行，每年不超过一次，但国家审计署要求进行的除外。
7.3. 应请求，我们向企业提供进行数据保护影响评估所需的信息（法律第31条）。
8.1. 当我们获悉影响企业数据的事件时，我们将毫不迟延地通知企业（法律第29(2)条），并告知已知情况：事件的情形和时间、可能受影响数据的类别和数量、可能的后果、已采取和拟采取的措施以及联系人。
8.2. 就影响企业数据的事件通知国家审计署和数据主体，是企业作为数据控制者的义务（法律第29–30条）；我们予以协助。
9.1. 本协议在企业拥有 cenaly.ge 账户期间持续有效，此后就第6节规定的义务而言，在该等义务履行完毕之前持续有效。
9.2. 本协议受格鲁吉亚法律管辖。
9.3. 我们将提前通知企业本协议的变更；扩大处理范围或变更处理国家的变更须至少提前30天通知，企业有权提出异议并终止合同。
| 项目 | 内容 |
|---|---|
| 数据主体 | 企业的顾客、宾客和访问者；企业账户的员工和其他用户；交易对方及其代表；企业通话和往来通信的参与者 |
| 数据类别 | 身份和联系数据；订单、预订和预约；偏好和备注（包括过敏原，如企业保存）；以企业保存的范围为限的人事和薪资数据；通话记录、通话录音、转录文本（如已启用）；往来通信和文件；技术标识符。特殊类别数据——仅在企业保存且已确保具备法律第6条规定的依据时 |
| 目的 | 提供服务：存储和显示数据，执行企业所选择的功能（订单、预订、CRM、人事、电话、知识库、人工智能功能），通知（包括第5.4款规定的推送通知），支持、安全和备份 |
| 依据 | 企业依据本协议作出的指示；相对于数据主体的处理依据由企业确保 |
| 期限 | 账户存续期间以及履行第6节所需的时间 |
第A部分. 位于德国和名单内国家的数据处理者
| 数据处理者 | 职能 | 处理地点 |
|---|---|---|
| Amazon Web Services（AWS） | 托管、存储、数据库、计算、API 和 WebSockets、身份验证（Amazon Cognito）、电子邮件发送（Amazon SES）、备份、日志 | 德国，eu-central-1（法兰克福） |
| Amazon Web Services——Amazon Transcribe、Amazon Bedrock | 转录和语言模型（如使用） | 德国，eu-central-1（法兰克福） |
| Amazon CloudFront | 分发页面和公开文件 | 距离用户最近的分发网络节点 |
第B部分. 名单以外的人工智能提供商——仅依据第5.3款（依据法律第37(2)(d)条作出的同意）
| 提供商 | 职能 | 国家 |
|---|---|---|
| OpenAI, L.L.C. | 语音识别、通话助手、摘要和建议、知识库、语音命令 | 美国 |
| Google LLC | 宾客人工智能助手；语音识别（如选择该引擎） | 美国 |
| Microsoft Corporation（Azure AI Speech） | 语音识别（如选择该引擎） | 美国或服务区域所在的其他国家 |
| polza.ai | 将请求路由至模型的网关（如使用） | 俄罗斯 |
第C部分. 名单以外的推送通知服务——仅依据第5.4款（依据法律第37(2)(d)条作出的同意）
| 服务 | 职能 | 国家 |
|---|---|---|
| Apple Inc.（Apple Push Notification service） | 向 iPhone、iPad 和 Mac 上的应用以及在 Safari 中送达通知 | 美国 |
| Google LLC（Firebase Cloud Messaging） | 向装有 Google 服务的 Android 应用以及在基于 Chrome 的浏览器中送达通知 | 美国 |
| Microsoft Corporation（Windows Push Notification Services） | 向 Windows 应用以及在 Microsoft Edge 中送达通知 | 美国 |
| Mozilla Corporation（Mozilla 推送服务） | 在 Firefox 中送达浏览器通知 | 美国 |
| Huawei（Push Kit）；VK（RuStore 推送） | 向从相应应用商店安装在不含 Google 服务的设备上的 Android 应用送达通知 | 提供商的服务区域，包括中国或俄罗斯 |