Umowa powierzenia przetwarzania danych (DPA)

Na potrzeby niniejszej DPA Administratorem jest użytkownik lub podmiot, w imieniu którego użytkownik korzysta z EZINDRA, w zakresie, w jakim określa cele i sposoby przetwarzania danych osobowych osób trzecich. Podmiotem Przetwarzającym jest Albert Fiksak, wskazany jako usługodawca w Regulaminie. Jeżeli użytkownik działa w imieniu innego podmiotu, oświadcza, że jest upoważniony do zawarcia DPA w jego imieniu.

DPA stanowi integralną część Regulaminu i zostaje zawarta elektronicznie wraz z jego akceptacją. Ma zastosowanie wyłącznie do danych osobowych przetwarzanych przez Podmiot Przetwarzający w imieniu Administratora ("Dane Powierzone"). Nie obejmuje danych, dla których Podmiot Przetwarzający działa jako niezależny administrator, w tym danych konta, rozliczeń, bezpieczeństwa i bezpośredniego kontaktu z użytkownikiem.

"Właściwe Przepisy o Ochronie Danych" oznaczają przepisy o ochronie danych i prywatności mające zastosowanie do danego przetwarzania, w tym RODO, jeżeli ma zastosowanie. Odniesienia do Administratora i Podmiotu Przetwarzającego obejmują równoważne role na gruncie Właściwych Przepisów o Ochronie Danych, jeżeli przepisy te używają innej terminologii.

Przetwarzanie dotyczy danych osobowych przekazanych przez Administratora podczas korzystania z EZINDRA. Może obejmować przechowywanie, organizowanie, pobieranie, wyświetlanie, synchronizowanie, generowanie dokumentów i plików PDF, bezpieczne udostępnianie wycen, wysyłanie wiadomości oraz wykonywanie operacji zainicjowanych przez użytkownika.

Celem jest wyłącznie świadczenie i zabezpieczanie EZINDRA zgodnie z Regulaminem oraz udokumentowanymi instrukcjami Administratora. Przetwarzanie trwa przez okres korzystania z usługi oraz przez okres technicznie i prawnie niezbędny do zwrotu lub usunięcia danych po zakończeniu usługi.

Osobami, których dane dotyczą, mogą być klienci, potencjalni klienci, osoby kontaktowe, przedstawiciele, pracownicy i inne osoby, których dane Administrator wprowadza do EZINDRA w związku ze swoją działalnością.

Dane osobowe mogą obejmować dane identyfikacyjne i kontaktowe, informacje o firmie lub organizacji, adresy, informacje o wycenie, zleceniu, usłudze lub projekcie, korespondencję, status udostępnienia wyceny i decyzji oraz inne treści lub pliki przekazane przez Administratora.

EZINDRA nie jest przeznaczona do przetwarzania wrażliwych ani szczególnie chronionych kategorii danych osobowych, w tym szczególnych kategorii danych z art. 9 RODO lub danych dotyczących wyroków skazujących i naruszeń prawa z art. 10 RODO, jeżeli przepisy te mają zastosowanie. Administrator nie powinien świadomie przekazywać takich danych bez wcześniejszego uzgodnienia z Podmiotem Przetwarzającym oraz zapewnienia odpowiedniej podstawy prawnej i zabezpieczeń.

Podmiot Przetwarzający przetwarza Dane Powierzone wyłącznie na udokumentowane instrukcje Administratora, w tym instrukcje dotyczące transferów międzynarodowych, chyba że przetwarzanie jest wymagane przez Właściwe Przepisy o Ochronie Danych. Jeżeli prawo na to pozwala, Podmiot Przetwarzający poinformuje Administratora o takim wymogu prawnym przed rozpoczęciem przetwarzania. Instrukcje obejmują działania wykonywane przez użytkownika w aplikacji, ustawienia konta oraz udokumentowane żądania przekazane Podmiotowi Przetwarzającemu w związku z usługą.

Administrator odpowiada za zgodność z prawem gromadzenia i przekazywania danych osobowych do EZINDRA, posiadanie odpowiedniej podstawy prawnej, przekazanie wymaganych informacji osobom, których dane dotyczą, prawidłowość i zgodność z prawem instrukcji oraz korzystanie z usługi zgodnie z Właściwymi Przepisami o Ochronie Danych.

Jeżeli Podmiot Przetwarzający uzna, że instrukcja narusza Właściwe Przepisy o Ochronie Danych, poinformuje o tym Administratora, chyba że prawo zabrania takiej informacji.

Podmiot Przetwarzający zapewnia, że osoby upoważnione do przetwarzania Danych Powierzonych są zobowiązane do zachowania poufności, stosuje środki bezpieczeństwa odpowiednie do ryzyka i ogranicza dostęp do zakresu niezbędnego do świadczenia usługi.

Uwzględniając charakter przetwarzania i dostępne informacje, Podmiot Przetwarzający w rozsądnym zakresie pomaga Administratorowi w realizacji praw osób, których dane dotyczą, oraz obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń, ocen skutków i konsultacji z organem nadzorczym, w tym obowiązków z art. 32–36 RODO, jeżeli mają zastosowanie.

Podmiot Przetwarzający udostępnia informacje racjonalnie niezbędne do wykazania zgodności z niniejszą DPA oraz, jeżeli ma zastosowanie RODO, z art. 28 RODO, i współpracuje przy uzasadnionych przeglądach zgodności przewidzianych niniejszą DPA.

Podmiot Przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do usługi i ryzyka, w tym szyfrowanie transmisji przez HTTPS, uwierzytelnianie i kontrolę dostępu, izolację danych między kontami i przestrzeniami roboczymi, ograniczenie uprawnień, zabezpieczenia przed nieautoryzowanymi operacjami, rejestrowanie istotnych zdarzeń bezpieczeństwa oraz procesy aktualizacji bezpieczeństwa i reagowania na incydenty.

Środki mogą być rozwijane lub zastępowane środkami zapewniającymi co najmniej porównywalny poziom ochrony, jeżeli wymagają tego względy bezpieczeństwa, rozwój techniczny lub zmiany infrastruktury.

Po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych Powierzonych Podmiot Przetwarzający powiadomi Administratora bez zbędnej zwłoki oraz, w miarę dostępności informacji, przekaże dane racjonalnie niezbędne Administratorowi do spełnienia obowiązków wynikających z Właściwych Przepisów o Ochronie Danych. Podmiot Przetwarzający podejmie również rozsądne działania w celu ograniczenia incydentu i ryzyka jego ponownego wystąpienia.

Administrator udziela Podmiotowi Przetwarzającemu ogólnego pisemnego upoważnienia do korzystania z dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia EZINDRA. Podmiot Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki w zakresie ochrony danych zasadniczo równoważne obowiązkom wynikającym z niniejszej DPA i pozostaje odpowiedzialny wobec Administratora za ich wykonywanie w zakresie wymaganym przez Właściwe Przepisy o Ochronie Danych.

Aktualna lista dostawców używanych przez EZINDRA, wraz ze wskazaniem podmiotów działających jako dalsi przetwarzający, ich podstawowych ról oraz głównych miejsc przetwarzania lub transferu, jest publikowana na stronie „Dostawcy, dalsze podmioty przetwarzające i infrastruktura”.

Podmiot Przetwarzający poinformuje Administratora drogą elektroniczną na adres e-mail przypisany do konta co najmniej 14 dni przed planowanym dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego. Powiadomienie wskaże co najmniej nazwę podmiotu, jego rolę lub cel przetwarzania, planowaną datę zaangażowania oraz, jeżeli ma to znaczenie dla oceny zmiany, główne miejsce przetwarzania lub transferu, i umożliwi Administratorowi wniesienie przed tą datą uzasadnionego sprzeciwu z przyczyn dotyczących ochrony danych. Strony podejmą rozsądną próbę rozwiązania sprzeciwu; jeżeli nie będzie to możliwe, Administrator może zakończyć korzystanie z usługi przed zaangażowaniem danego podmiotu.

W przypadku międzynarodowych transferów Danych Powierzonych stosuje się mechanizm transferowy wymagany przez Właściwe Przepisy o Ochronie Danych. Jeżeli zastosowanie ma RODO i przekazanie poza Europejski Obszar Gospodarczy wymaga mechanizmu transferowego, transfer jest realizowany z wykorzystaniem mechanizmu przewidzianego w rozdziale V RODO, stosowanego przez Podmiot Przetwarzający lub właściwego dalszego podmiotu przetwarzającego zależnie od struktury danego transferu. Może to obejmować w szczególności decyzję stwierdzającą odpowiedni stopień ochrony albo standardowe klauzule umowne wraz z dodatkowymi zabezpieczeniami, gdy są potrzebne.

Informacje o podstawie transferu i stosowanych zabezpieczeniach, w tym o sposobie uzyskania ich kopii lub miejscu, w którym zostały udostępnione, można uzyskać pod adresem contact@ezindra.com.

Jeżeli Podmiot Przetwarzający otrzyma od osoby, której dane dotyczą, żądanie odnoszące się do Danych Powierzonych, nie będzie samodzielnie rozstrzygać tego żądania i przekaże je Administratorowi, jeżeli prawo na to pozwala. Podmiot Przetwarzający zapewni rozsądną pomoc techniczną potrzebną do obsługi żądania, uwzględniając charakter przetwarzania i funkcje EZINDRA.

Po zakończeniu usług obejmujących przetwarzanie Podmiot Przetwarzający, według wyboru Administratora, zwróci Dane Powierzone w rozsądnym, technicznie dostępnym formacie albo je usunie oraz usunie istniejące kopie, chyba że Właściwe Przepisy o Ochronie Danych lub inne wiążące prawo wymagają dalszego przechowywania określonych danych. Dostępne funkcje eksportu mogą zostać wykorzystane do zwrotu danych.

Dane znajdujące się wyłącznie w rotacyjnych kopiach zapasowych, których selektywne usunięcie nie jest dostępne w zwykłym toku działania systemu lub infrastruktury dostawcy, po usunięciu z systemów aktywnych pozostają zabezpieczone i wyłączone ze zwykłego użycia oraz są usuwane lub nadpisywane zgodnie z normalnym cyklem retencji właściwej kopii zapasowej, chyba że prawo wymaga dłuższego przechowywania. Jeżeli taka kopia zostanie użyta do odtworzenia systemu po awarii, dane pozostają objęte obowiązkiem usunięcia zgodnie z niniejszym punktem.

Na uzasadnione żądanie Podmiot Przetwarzający przekaże informacje potrzebne do wykazania zgodności z niniejszą DPA. W pierwszej kolejności mogą zostać wykorzystane dostępne dokumenty bezpieczeństwa, raporty lub inne dowody zgodności. Jeżeli informacje te okażą się niewystarczające, Administrator może przeprowadzić audyt samodzielnie lub za pośrednictwem niezależnego audytora, po rozsądnym uprzednim powiadomieniu i w sposób, który nie narusza bezpieczeństwa, poufności innych klientów ani ciągłości usługi.

Jeżeli niniejsza DPA pozostaje w sprzeczności z Regulaminem w zakresie przetwarzania Danych Powierzonych, pierwszeństwo ma DPA. Zmiany DPA są wersjonowane i komunikowane zgodnie z prawem i Regulaminem; aktualizacja listy dalszych podmiotów przetwarzających dokonana zgodnie z sekcją 8 nie wymaga odrębnej DPA. Jeżeli dodatek dotyczący konkretnego kraju zostanie wyraźnie wskazany jako mający zastosowanie do Administratora, stanowi on część niniejszej DPA i ma pierwszeństwo w zakresie konfliktu dotyczącego wymogów właściwych dla danej jurysdykcji. Kontakt w sprawach DPA: contact@ezindra.com.