Data Processing Agreement
Version 1.0 · 12 October 2026 · Part of every client Order with Balabot
This Data Processing Agreement ("DPA") applies when Balabot (Romeda Solutions (רומדה פתרונות), "Processor") processes personal data on behalf of a client ("Client") while providing the services in an Order. It forms part of the Terms of Service. If it conflicts with them, this DPA prevails on data protection matters.
1. Roles and scope
The Client is the controller (or "business" under US state laws). Balabot is the processor (or "service provider" / "contractor"). Processing details are in Annex 1. This DPA is designed to meet GDPR and UK GDPR Article 28, US state privacy laws including the CCPA/CPRA, Canada's PIPEDA and Québec's Law 25, Israel's Privacy Protection Law, Japan's APPI and similar laws.
2. Instructions
Balabot processes Client personal data only on the Client's documented instructions (the Order, this DPA and the Client's configuration choices), unless the law requires otherwise, in which case Balabot will inform the Client first unless the law forbids it. Balabot will tell the Client if it believes an instruction breaks the law.
3. US state law terms
Balabot will not sell or share Client personal data, will not retain, use or disclose it outside the direct business relationship or for any purpose other than the services, and will not combine it with data from other sources except as the services require and the law allows. Balabot certifies that it understands these restrictions.
4. Confidentiality and security
Everyone who processes Client data for Balabot is bound by confidentiality. Balabot applies the technical and organisational measures in Annex 2.
5. Sub-processors
The Client authorises the sub-processors listed in Annex 3. Balabot will give at least 14 days' notice before adding or replacing one, and the Client may object on reasonable data protection grounds. If the objection cannot be resolved, the Client may end the affected service without penalty. Balabot imposes data protection terms on each sub-processor that are at least as protective as this DPA, and remains responsible for them.
6. International transfers
Balabot is established in Israel, which has an EU adequacy decision. For transfers to countries without adequate protection, the parties agree to the EU Standard Contractual Clauses (Module 2 or 3 as applicable), the UK International Data Transfer Addendum, and any other mechanism the applicable law requires, which are incorporated by reference.
7. Assistance
Balabot will help the Client respond to individuals' requests, carry out impact assessments and consult authorities, taking into account the nature of the processing. Balabot will pass any request it receives directly to the Client without delay.
8. Personal data breaches
Balabot will notify the Client without undue delay, and within 48 hours of becoming aware of a breach affecting Client data, with the information available, and will update the Client as it learns more.
9. Deletion and return
When the services end, Balabot will return or delete Client personal data within 60 days, at the Client's choice, unless the law requires it to be kept.
10. Audits
Balabot will make available the information needed to show compliance with this DPA and allow reasonable audits, with 30 days' notice, no more than once a year, unless a breach or a regulator requires otherwise.
11. Health information (HIPAA)
Balabot will not create, receive, maintain or transmit US protected health information until the parties sign a separate Business Associate Agreement. The Client must not send such information to Balabot before then.
12. Messaging and AI
The Client confirms it has the consents and notices needed for messages and calls Balabot sends on its behalf. Balabot configures AI tools so that providers do not use Client data to train general models where that option exists, and so that bots and AI voices disclose that they are AI where required.
Annex 1: Processing details
- Subject matter and duration: providing the services in the Order, for the Order's term.
- Nature and purpose: hosting, storing, transmitting and analysing data to run bots, phone answering, messaging, CRM, booking, marketing, websites and automations.
- Data subjects: the Client's customers, prospects, website visitors and staff.
- Data categories: names, contact details, messages, call audio and transcripts, bookings, purchase and lead information, reviews. Special categories only with a signed BAA or explicit written agreement.
Annex 2: Security measures
- Multi-factor authentication on all admin accounts; unique accounts per person.
- Least-privilege access, reviewed when people or projects change.
- Encryption in transit (TLS) and at rest where the provider supports it.
- Secrets and API keys kept in a password manager or vault, never in shared documents.
- Logging of admin access where tools allow; backups for data we host.
- Written incident response steps and a breach register.
Annex 3: Sub-processors
- Netlify, Inc.: website hosting and contact form (USA)
- Meta Platforms: WhatsApp Business (USA/Ireland)
- Google: Gmail email (USA)
Further providers used for a specific client service (AI models, telephony, voice, CRM, automation) are listed in that client’s Order.
Entente de traitement des données
Version 1.0 · 12 octobre 2026 · Fait partie de chaque Commande conclue avec Balabot
La présente entente (« Entente ») s’applique lorsque Balabot (Romeda Solutions (רומדה פתרונות), le « Sous-traitant ») traite des renseignements personnels pour le compte d’un client (le « Client ») dans le cadre d’une Commande. Elle fait partie des conditions de service et prévaut sur celles-ci en matière de protection des données.
1. Rôles et portée
Le Client est responsable du traitement ; Balabot est sous-traitant ou fournisseur de services. Les détails figurent à l’annexe 1. L’Entente vise à respecter l’article 28 du RGPD et du RGPD britannique, les lois des États américains (dont la CCPA/CPRA), la LPRPDE et la Loi 25 du Québec, la loi israélienne sur la protection de la vie privée, l’APPI japonaise et les lois semblables.
2. Instructions
Balabot ne traite les renseignements que sur instructions documentées du Client (la Commande, l’Entente et les paramètres choisis par le Client), sauf obligation légale contraire, dont il informe d’abord le Client si la loi le permet. Balabot signale toute instruction qu’il estime illégale.
3. Lois des États américains
Balabot ne vend ni ne partage les renseignements du Client, ne les conserve, n’utilise ni ne communique en dehors de la relation d’affaires directe ou à d’autres fins que les services, et ne les combine pas avec d’autres sources sauf si les services l’exigent et que la loi le permet.
4. Confidentialité et sécurité
Toute personne traitant les renseignements pour Balabot est tenue à la confidentialité. Balabot applique les mesures de l’annexe 2.
5. Sous-traitants ultérieurs
Le Client autorise ceux énumérés à l’annexe 3. Balabot donne un préavis d’au moins 14 jours avant tout ajout ou remplacement, et le Client peut s’y opposer pour des motifs raisonnables ; à défaut d’entente, il peut mettre fin au service visé sans pénalité. Balabot impose à chacun des obligations au moins équivalentes et en demeure responsable.
6. Transferts hors du Québec et à l’international
Balabot est établi en Israël, qui bénéficie d’une décision d’adéquation de l’UE. Pour les autres transferts, les parties conviennent des clauses contractuelles types de l’UE, de l’addendum britannique et de tout autre mécanisme requis. Pour les renseignements de personnes au Québec, le Client réalise l’évaluation des facteurs relatifs à la vie privée exigée avant leur communication hors du Québec, et Balabot lui fournit l’information nécessaire.
7. Assistance
Balabot aide le Client à répondre aux demandes des personnes concernées, aux évaluations d’impact et aux consultations des autorités, et lui transmet sans délai toute demande reçue directement.
8. Incidents de confidentialité
Balabot avise le Client sans délai indu, et au plus tard 48 heures après en avoir pris connaissance, de tout incident touchant ses renseignements, avec l’information disponible, puis le tient informé.
9. Suppression et restitution
À la fin des services, Balabot restitue ou supprime les renseignements du Client dans les 60 jours, au choix du Client, sauf obligation légale de conservation.
10. Audits
Balabot fournit l’information nécessaire pour démontrer sa conformité et permet des audits raisonnables, sur préavis de 30 jours, au plus une fois par an, sauf incident ou exigence d’une autorité.
11. Renseignements de santé (HIPAA)
Balabot ne traite aucun renseignement de santé protégé aux États-Unis avant la signature d’un Business Associate Agreement distinct.
12. Messagerie et IA
Le Client confirme détenir les consentements et avis requis pour les messages et appels faits en son nom. Balabot configure les outils d’IA pour que les fournisseurs n’utilisent pas les données du Client pour entraîner des modèles généraux lorsque l’option existe, et pour que les bots et voix IA indiquent qu’ils sont une IA lorsque la loi l’exige.
Annexe 1 : Détails du traitement
- Objet et durée : fourniture des services de la Commande, pour sa durée.
- Nature et finalité : hébergement, stockage, transmission et analyse pour exploiter bots, accueil téléphonique, messagerie, CRM, réservations, marketing, sites et automatisations.
- Personnes concernées : clients, prospects, visiteurs et personnel du Client.
- Catégories : noms, coordonnées, messages, enregistrements et transcriptions d’appels, réservations, achats, prospects, avis. Catégories particulières seulement avec un BAA signé ou un accord écrit explicite.
Annexe 2 : Mesures de sécurité
- Authentification multifacteur sur tous les comptes administrateurs ; comptes nominatifs.
- Accès minimal, révisé à chaque changement de personne ou de projet.
- Chiffrement en transit (TLS) et au repos lorsque le fournisseur le permet.
- Secrets et clés d’API conservés dans un gestionnaire de mots de passe.
- Journalisation des accès administrateurs lorsque possible ; sauvegardes des données hébergées.
- Procédure écrite de gestion des incidents et registre des incidents.
Annexe 3 : Sous-traitants ultérieurs
- Netlify, Inc. : hébergement du site et formulaire de contact (États-Unis)
- Meta Platforms : WhatsApp Business (États-Unis/Irlande)
- Google : courriel Gmail (États-Unis)
Les autres fournisseurs propres à un service client (modèles d’IA, téléphonie, voix, CRM, automatisation) sont indiqués dans la Commande de ce client.