Projekt — w trakcie weryfikacji prawnej
Umowa powierzenia przetwarzania danych
Projekt. Niniejszy dokument jest projektem przygotowanym przez zespół deweloperski Solispec i jest w trakcie weryfikacji przez prawnika. Nie obowiązuje jeszcze. Tłumaczenia udostępniono dla wygody; w razie rozbieżności rozstrzyga wersja angielska.
1. Strony i zakres
Niniejsza Umowa powierzenia przetwarzania danych („DPA”) zostaje zawarta między klientem korzystającym z planu Pro, Business lub White Label („Klient”, administrator) a operatorem Solispec — ukraińskim przedsiębiorcą prowadzącym jednoosobową działalność gospodarczą: [OPERATOR: imię i nazwisko, numer identyfikacji podatkowej i adres — do uzupełnienia przez właściciela] („Solispec”, podmiot przetwarzający).
Ma ona zastosowanie, gdy projekty lub książka adresowa klientów Klienta zawierają dane osobowe osób trzecich, i uzupełnia Regulamin świadczenia usług. Ma na celu spełnienie wymogów art. 28 RODO. [PRAWNIK: potwierdzić sposób zawarcia DPA, np. akceptacja w ustawieniach konta lub wraz z Regulaminem.]
2. Charakterystyka przetwarzania
- Przedmiot: hosting i przetwarzanie danych Klienta w serwisie Solispec.
- Czas trwania: przez okres świadczenia Serwisu Klientowi przez Solispec, z doliczeniem okresu usunięcia określonego w sekcji 10.
- Charakter i cel: przechowywanie, wyświetlanie, obliczenia, wersjonowanie, kopie zapasowe oraz, gdy będzie dostępny, eksport — wyłącznie w celu świadczenia Serwisu.
- Kategorie osób, których dane dotyczą: klienci Klienta i ich osoby kontaktowe oraz inne osoby, które Klient wprowadza do projektów.
- Kategorie danych osobowych: imię i nazwisko, e-mail, telefon, adres, notatki oraz lokalizacje lub adresy instalacji w projektach. Klient nie powinien przechowywać szczególnych kategorii danych (art. 9 RODO).
3. Polecenia
Solispec przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta. Poleceniami Klienta są Regulamin, niniejsza DPA oraz korzystanie przez Klienta z funkcji Serwisu. Jeżeli prawo zobowiązuje Solispec do innego przetwarzania danych, Solispec poinformuje o tym Klienta z wyprzedzeniem, chyba że prawo tego zabrania. Solispec poinformuje Klienta, jeżeli uzna, że polecenie narusza przepisy o ochronie danych.
4. Poufność
Solispec zapewnia, aby wszystkie osoby upoważnione do przetwarzania danych osobowych były zobowiązane do zachowania poufności.
5. Środki bezpieczeństwa
Solispec stosuje odpowiednie środki techniczne i organizacyjne, w tym:
- szyfrowanie w trakcie przesyłania (TLS);
- kontrolę dostępu opartą na kontach i rolach;
- izolację danych każdej organizacji od innych organizacji;
- haszowanie haseł;
- regularne kopie zapasowe przechowywane w UE.
Solispec może aktualizować te środki, o ile poziom ochrony nie ulegnie obniżeniu.
6. Podmioty podprzetwarzające
Klient udziela ogólnej zgody na korzystanie z następujących podmiotów podprzetwarzających:
- OVH — hosting i kopie zapasowe (UE);
- Stripe — płatności kartą (dane rozliczeniowe Klienta);
- Heleket — płatności kryptowalutą (dane rozliczeniowe Klienta);
- dostawca usługi wysyłki e-maili (SMTP) [do wskazania].
Google Analytics (wyłącznie za zgodą) i dostawcy map (OpenStreetMap/Nominatim, dostawcy kafelków map, Mapbox z własnym tokenem użytkownika) otrzymują żądania bezpośrednio z przeglądarki odwiedzającego lub dotyczą korzystania ze strony; nie otrzymują książki adresowej klientów Klienta. [PRAWNIK: potwierdzić tę kwalifikację.]
Solispec z wyprzedzeniem poinformuje Klienta o każdym nowym lub zastępowanym podmiocie podprzetwarzającym [okres powiadomienia do ustalenia]. Klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; jeżeli nie zostanie znalezione rozwiązanie, Klient może rozwiązać umowę w zakresie danego planu. Solispec nakłada na każdy podmiot podprzetwarzający obowiązki w zakresie ochrony danych równoważne niniejszej DPA i pozostaje za nie odpowiedzialny.
7. Przekazywanie danych do państw trzecich
Dane Klienta są hostowane i archiwizowane w UE, dlatego standardowe klauzule umowne nie są potrzebne w odniesieniu do hostingu. Jeżeli Stripe, Heleket lub Google przetwarzają dane poza UE, przekazania te opierają się na ich własnych zabezpieczeniach. [PRAWNIK: potwierdzić siedzibę Heleket i podstawę przekazania.]
[PRAWNIK: Solispec ma siedzibę na Ukrainie i administruje Serwisem zdalnie; ocenić, czy taki dostęp wymaga zabezpieczeń zgodnie z rozdziałem V RODO.]
8. Pomoc
Uwzględniając charakter przetwarzania, Solispec pomaga Klientowi:
- odpowiadać na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw); jeżeli osoba taka zwróci się bezpośrednio do Solispec, Solispec przekaże żądanie Klientowi;
- wywiązywać się z obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji.
9. Naruszenia ochrony danych osobowych
Solispec powiadomi Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych Klienta. Powiadomienie będzie zawierać informacje dostępne w danym momencie, takie jak charakter naruszenia, prawdopodobne konsekwencje oraz podjęte lub proponowane środki.
10. Usunięcie lub zwrot danych
Po zakończeniu świadczenia Serwisu Klient może uzyskać kopię swoich danych: poprzez samodzielny eksport, gdy będzie dostępny, a do tego czasu — na żądanie wysłane na [email protected], realizowane w ciągu jednego miesiąca. Następnie Solispec usuwa dane osobowe, chyba że prawo wymaga ich przechowywania. Kopie w kopiach zapasowych są usuwane w miarę rotacji, w ciągu maksymalnie 30 dni [do weryfikacji].
11. Audyty
Na żądanie Solispec udostępnia informacje niezbędne do wykazania przestrzegania niniejszej DPA oraz umożliwia przeprowadzanie audytów przez Klienta lub upoważnionego przez niego audytora i przyczynia się do nich, z zachowaniem rozsądnego wyprzedzenia i poufności. [PRAWNIK: ustalić zasady dotyczące częstotliwości i kosztów.]
12. Odpowiedzialność i pierwszeństwo
Odpowiedzialność z tytułu niniejszej DPA określa Regulamin świadczenia usług, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa. W razie sprzeczności między niniejszą DPA a Regulaminem w sprawach ochrony danych pierwszeństwo ma niniejsza DPA.