Umowa powierzenia przetwarzania danych

1. Strony i sposób zawarcia

Administratorem danych objętych powierzeniem jest Klient decydujący o celach i sposobach ich przetwarzania, np. w ramach prowadzonej działalności. Podmiotem przetwarzającym jest CodeTronic sp. z o.o. („CodeTronic”). Umowa dotyczy Klientów występujących jako administratorzy; samo korzystanie prywatne z aplikacji nie przesądza o pełnieniu tej roli.

Pełna nazwa

CODETRONIC SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ

Siedziba

ul. Biała 4 / 81, 00-895 Warszawa, Polska

Rejestry

KRS 0000619356 · NIP 5272770536 · REGON 364496080

Forma prawna

Spółka z ograniczoną odpowiedzialnością

Rejestracja

19 maja 2016 r.

Kapitał zakładowy

5 000 zł

Kontakt

[email protected]

Projekt stanowi proponowany załącznik do umowy o usługę ZnakujTo.pl. Przed zawarciem należy zidentyfikować Klienta, osoby uprawnione do wydawania poleceń, dane kontaktowe stron oraz datę rozpoczęcia przetwarzania. Samo zamieszczenie projektu na stronie nie oznacza zawarcia umowy powierzenia.

Umowa obejmuje dane wprowadzane przez Klienta do usługi. Dane, dla których CodeTronic samodzielnie określa cele, takie jak obsługa własnych rozliczeń z Klientem, podlegają polityce prywatności.

2. Przedmiot, cel, czas i zakres

Powierzenie służy realizacji zleconych przez Klienta operacji w ZnakujTo.pl: przechowywania informacji, prowadzenia wycen i zleceń, organizacji produkcji, udostępniania statusów, przygotowania wysyłek oraz zapewnienia wsparcia i ciągłości usługi. Obejmuje zapis, organizowanie, odczyt, zmianę, udostępnienie na polecenie, zwrot i usunięcie danych.

Osobami, których dane dotyczą, mogą być klienci i kontrahenci zakładu, ich osoby kontaktowe, pracownicy i współpracownicy oraz odbiorcy przesyłek. Zakres danych może obejmować imiona, nazwiska, służbowe dane kontaktowe, adresy, dane prowadzonej działalności, informacje o zleceniach, rolach i czynnościach użytkowników oraz dane występujące w przekazanych plikach.

Usługa nie jest przeznaczona do gromadzenia szczególnych kategorii danych ani danych o wyrokach skazujących. Klient nie powinien przekazywać danych zbędnych do pracy zakładu. Powierzenie trwa przez okres świadczenia usługi oraz uzgodniony czas zwrotu lub usunięcia danych, z uwzględnieniem dopuszczalnych obowiązków prawnych.

3. Polecenia administratora i poufność

CodeTronic przetwarza dane wyłącznie na udokumentowane polecenie Klienta, w granicach umowy i zgodnych z prawem dyspozycji. Czynności upoważnionych użytkowników w aplikacji stanowią polecenia w zakresie jej funkcji. Dodatkowe dyspozycje wymagają formy pozwalającej wykazać ich treść i nadawcę.

Jeżeli obowiązek przetwarzania wynika z prawa, CodeTronic informuje o nim Klienta przed wykonaniem, chyba że prawo tego zabrania. Gdy polecenie w ocenie CodeTronic narusza przepisy o ochronie danych, informuje o tym Klienta i uzgadnia zgodny z prawem sposób postępowania.

Dostęp mogą otrzymać wyłącznie osoby upoważnione, zobowiązane do poufności albo podlegające odpowiedniemu ustawowemu obowiązkowi. Dane nie mogą być wykorzystywane do własnego marketingu CodeTronic ani udostępniane innym zakładom poza poleceniami Klienta.

4. Środki techniczne i organizacyjne

Środki ochrony powinny odpowiadać ryzyku i obejmować kontrolę uprawnień, rozdzielenie dostępu poszczególnych zakładów, bezpieczne uwierzytelnianie, ochronę transmisji, zarządzanie aktualizacjami, kopie zapasowe, sprawdzanie odtwarzania oraz procedurę reagowania na incydenty.

Klient odpowiada za właściwe upoważnienia swojego zespołu, bezpieczeństwo urządzeń i treść przekazywanych danych. CodeTronic odpowiada za środki w pozostającym pod jego kontrolą zakresie usługi. Przy instalacji własnej obowiązki infrastrukturalne określa zamówienie.

5. Dalsze powierzenie i przekazywanie danych

Zaangażowanie dalszego podmiotu przetwarzającego wymaga uprzedniej szczegółowej albo ogólnej pisemnej zgody Klienta. W przypadku zgody ogólnej CodeTronic informuje o planowanym dodaniu lub zmianie dostawcy, umożliwiając zgłoszenie uzasadnionego sprzeciwu przed zmianą.

Projekt proponuje co najmniej 14 dni na ocenę planowanej zmiany. Strony ustalają sposób rozwiązania sprzeciwu, w tym alternatywny sposób świadczenia albo zakończenie odpowiedniej części usługi, jeżeli nie da się zapewnić zgodnego rozwiązania.

Umowa z dalszym podmiotem musi zapewniać właściwe obowiązki ochrony danych. CodeTronic pozostaje odpowiedzialny wobec Klienta za wykonanie obowiązków przez zaangażowany podmiot w zakresie wynikającym z RODO. Transfer poza EOG wymaga właściwej podstawy i zabezpieczeń oraz zgodności z poleceniem Klienta.

CodeTronic korzysta z Google Workspace do obsługi poczty. Jeżeli zgłoszenie wsparcia lub jego załącznik zawiera dane powierzone przez Klienta, Google może uczestniczyć w ich przetwarzaniu w zakresie obsługi tej korespondencji. Należy ograniczać dane w zgłoszeniach do informacji niezbędnych do rozwiązania problemu.

Dla plików ZnakujTo.pl planowane są MinIO i S3; wybór technologii nie wskazuje jeszcze operatora ani lokalizacji danych. Paynow / mElements S.A. jest planowanym operatorem płatności za ZnakujTo.pl. Obsługa własnych płatności i obowiązków prawnych operatora nie oznacza powierzenia mu danych klientów zakładu na podstawie niniejszej umowy.

6. Pomoc administratorowi i obsługa naruszeń

CodeTronic, uwzględniając charakter przetwarzania i dostępne informacje, pomaga Klientowi realizować prawa osób, oceny skutków, konsultacje z organem nadzorczym oraz obowiązki bezpieczeństwa. Żądania osób dotyczące powierzonych danych przekazuje Klientowi; nie podejmuje samodzielnie decyzji w jego imieniu bez upoważnienia.

O stwierdzonym naruszeniu ochrony powierzonych danych CodeTronic zawiadamia Klienta bez zbędnej zwłoki. Zawiadomienie obejmuje dostępne informacje o charakterze zdarzenia, zakresie danych i osób, możliwych skutkach, podjętych działaniach i punkcie kontaktowym. Brak pełnych informacji nie opóźnia pierwszego zgłoszenia; informacje są uzupełniane.

Strony współpracują przy ograniczaniu skutków i zabezpieczeniu dowodów. O zawiadomieniu organu lub osób decyduje właściwy administrator, chyba że bezpośredni obowiązek CodeTronic wynika z prawa.

7. Informacje, kontrola i audyty

CodeTronic udostępnia informacje niezbędne do wykazania spełniania obowiązków i umożliwia audyt, w tym inspekcję prowadzoną przez Klienta lub upoważnionego audytora. Strony uzgadniają organizację kontroli tak, aby chronić dane innych klientów, poufność i ciągłość działania, bez ograniczania ustawowego prawa kontroli.

Klient przekazuje zgodne z prawem polecenia, zapewnia podstawę przetwarzania i wykonuje obowiązki informacyjne wobec osób, których dane wprowadza. Powinien informować CodeTronic o okolicznościach wpływających na bezpieczeństwo przetwarzania.

8. Zwrot lub usunięcie danych

Po zakończeniu świadczenia CodeTronic, zgodnie z wyborem Klienta, zwraca lub usuwa powierzone dane i usuwa ich istniejące kopie, chyba że prawo wymaga dalszego przechowywania. Sposób zwrotu powinien umożliwiać rzeczywiste wykorzystanie danych przez Klienta.

Harmonogram musi obejmować system produkcyjny i kopie zapasowe. Dane oczekujące na usunięcie z rotowanych kopii pozostają chronione i nie są wykorzystywane do innych celów; ewentualne odtworzenie wymaga ponownego wykonania dyspozycji usunięcia. Na żądanie Klienta CodeTronic potwierdza realizację uzgodnionych czynności.

Podstawa: art. 28 i 32–36 RODO. Ten projekt wymaga uzgodnienia stron oraz sprawdzenia prawnego przed zawarciem.