Umowa powierzenia przetwarzania danych osobowych (usługa NextFlow)

Wersja 3. Załącznik nr 2 do Regulaminu usługi NextFlow. Umowa jest zawierana na podstawie art. 28 ust. 3 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) w chwili jej akceptacji w Panelu, razem z Regulaminem. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

Strony:

1. Administrator: Klient wskazany przy zamówieniu albo w Panelu (nazwa, adres, NIP).
2. Podmiot przetwarzający: BH WANDEX, ul. Erazma Ciołka 8/210, 01-402 Warszawa, NIP 525-191-70-81, e-mail: kontakt@nextflowautomation.pl.

§1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu z §2, wyłącznie w związku ze świadczeniem usługi NextFlow (strona internetowa, panel, hosting) na podstawie Regulaminu.
2. Umowa obowiązuje przez czas obowiązywania Umowy o świadczenie Usługi, także w okresie próbnym, i do usunięcia albo zwrotu danych zgodnie z §10.
3. Podmiot przetwarzający nie przetwarza powierzonych danych we własnych celach. Może tworzyć zbiorcze statystyki działania Usługi, które nie pozwalają zidentyfikować osób.

§2. Charakter, cel, rodzaj danych i kategorie osób

Statystyki odwiedzin, dziennik nieznalezionych adresów i dziennik zgód cookies prowadzone przez usługę nie zawierają adresów IP ani identyfikatorów osób.

§3. Obowiązki Administratora

1. Administrator zapewnia podstawę prawną przetwarzania i wykonuje obowiązki informacyjne wobec osób, których dane dotyczą. Polityka prywatności strony przygotowywana w Usłudze jest wzorem, który Administrator sprawdza i uzupełnia.
2. Administrator ustala pola formularzy, okresy przechowywania zgłoszeń i usługi zewnętrzne na stronie oraz zapewnia, że jego polecenia są zgodne z prawem.
3. Administrator nie powierza danych szczególnych kategorii ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 9 i 10 RODO).

§4. Polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek wynika z prawa; wtedy informuje o nim Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Udokumentowanym poleceniem są Regulamin, niniejsza umowa oraz ustawienia i działania Administratora w panelu (np. utworzenie formularza, ustawienie okresu przechowywania zgłoszeń, włączenie dziennika zgód cookies, użycie Asystenta tekstów, eksport albo usunięcie danych).
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

§5. Okresy przechowywania

1. Zgłoszenia z formularzy są usuwane automatycznie po upływie okresu ustawionego przez Administratora w panelu (domyślnie 24 miesiące). Administrator może usunąć zgłoszenie wcześniej.
2. Wpisy anonimowego dziennika zgód cookies są usuwane po 3 latach, a dziennik nieznalezionych adresów po 90 dniach.
3. Pozostałe dane są przechowywane do ich usunięcia przez Administratora albo do zakończenia umowy (§10).

§6. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
2. stosuje środki z §7 i ocenia ich adekwatność do ryzyka (art. 32 RODO);
3. korzysta z dalszych podmiotów przetwarzających wyłącznie zgodnie z §8;
4. pomaga Administratorowi wywiązywać się z obowiązku odpowiadania na żądania osób (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), w szczególności przez funkcje panelu: podgląd, eksport CSV i usuwanie zgłoszeń; żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie bez jego upoważnienia;
5. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32 do 36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
6. zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje z art. 33 ust. 3 RODO w zakresie, w jakim są dostępne, i uzupełniając je w miarę ich uzyskiwania;
7. informuje Administratora o kontroli, postępowaniu lub żądaniu organu dotyczącym powierzonych danych, o ile prawo tego nie zabrania;
8. udostępnia informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (§9);
9. prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§7. Środki bezpieczeństwa

1. Rozdzielenie danych klientów na poziomie bazy danych (polityki dostępu do wierszy z identyfikatorem klienta) i kontrola uprawnień po stronie serwera dla każdej operacji.
2. Szyfrowanie transmisji (HTTPS, TLS) i szyfrowanie danych w spoczynku u dostawcy bazy danych.
3. Dostęp do panelu wyłącznie po zalogowaniu, role z najmniejszymi potrzebnymi uprawnieniami; klucze serwisowe wyłącznie po stronie serwera.
4. Dostęp personelu Podmiotu przetwarzającego do panelu Administratora tylko w celu wsparcia, usunięcia awarii albo zapewnienia bezpieczeństwa, z zapisem w dzienniku operacji.
5. Minimalizacja danych technicznych: brak adresów IP w dziennikach usługi, skrót adresu IP z kluczem serwera tylko do limitu zgłoszeń, ochrona formularzy przed botami bez narzędzi śledzących.
6. Kopie zapasowe bazy danych i procedury odtworzenia danych z kopii.
7. Bieżące aktualizacje oprogramowania i przegląd zmian w kodzie przed wdrożeniem.
8. Procedura reagowania na incydenty i ocena skuteczności środków po każdym incydencie oraz przy istotnych zmianach Usługi.

§8. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. W dniu sporządzenia tej wersji umowy są to:

1. O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora na adres e-mail i w panelu co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeżeli Strony nie znajdą rozwiązania, Administrator może wypowiedzieć Umowę o świadczenie Usługi ze skutkiem przed zmianą i otrzymać zwrot opłaty za niewykorzystany okres. Gdy zmiana jest pilna ze względu na bezpieczeństwo danych albo zaprzestanie działalności przez dostawcę, informacja może nastąpić niezwłocznie po zmianie, a termin na sprzeciw biegnie od jej otrzymania.
2. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych, jakie wynikają z niniejszej umowy, i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).
3. Przekazanie danych do państwa trzeciego odbywa się wyłącznie na podstawie rozdziału V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework dla podmiotów nim objętych) albo standardowych klauzul umownych przyjętych przez Komisję Europejską, z dodatkowymi zabezpieczeniami, jeżeli są potrzebne.
4. Usługi włączane przez Administratora na jego stronie (np. Google Analytics, mapa Google, filmy z serwisów zewnętrznych) nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego; Administrator korzysta z nich na własnych zasadach.

§9. Audyt

1. Administrator może sprawdzić przestrzeganie umowy, w pierwszej kolejności przez pisemne pytania. Podmiot przetwarzający odpowiada w ciągu 30 dni i przekazuje dokumenty potrzebne do wykazania spełnienia obowiązków z art. 28 RODO, w tym dostępne raporty i certyfikaty dalszych podmiotów przetwarzających.
2. Audyt na miejscu albo przez niezależnego audytora zobowiązanego do poufności jest możliwy nie częściej niż raz na 12 miesięcy, chyba że doszło do naruszenia ochrony powierzonych danych albo żąda tego organ nadzorczy. Wymaga zawiadomienia co najmniej 14 dni wcześniej, odbywa się w dni robocze, w sposób niezakłócający świadczenia usługi i bez dostępu do danych innych klientów. Audytorem nie może być podmiot konkurujący z Podmiotem przetwarzającym.
3. Koszty audytu ponosi Administrator. Jeżeli audyt wykaże istotne naruszenie umowy, Podmiot przetwarzający ponosi własne koszty audytu i niezwłocznie usuwa stwierdzone nieprawidłowości.

§10. Zakończenie umowy, zwrot i usunięcie danych

1. Przez 30 dni od zakończenia świadczenia usługi Administrator może pobrać eksport danych (zgłoszenia w CSV, treści i pliki); pobranie eksportu stanowi zwrot danych. W tym terminie Administrator może też zażądać wcześniejszego usunięcia danych.
2. Po tym terminie Podmiot przetwarzający usuwa dane z systemów produkcyjnych, a z kopii zapasowych w cyklu ich rotacji, nie dłuższym niż 30 dni, chyba że prawo Unii lub państwa członkowskiego nakazuje dalsze przechowywanie. Do czasu usunięcia dane w kopiach nie są wykorzystywane.
3. Gdy okres próbny kończy się bez wyboru Planu, dane są przechowywane albo usuwane zgodnie z §4 Regulaminu.
4. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych w formie dokumentowej.

§11. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają na zasadach RODO i Kodeksu cywilnego. W roszczeniach między Stronami wobec Administratora, który nie jest Przedsiębiorcą na prawach konsumenta, stosuje się ograniczenia odpowiedzialności z §14 Regulaminu; nie dotyczą one szkody wyrządzonej umyślnie lub wskutek rażącego niedbalstwa ani odpowiedzialności wobec osób, których dane dotyczą, i organów nadzorczych, której nie można ograniczyć.
2. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie. W razie sprzeczności z Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Zmiana umowy, w tym listy dalszych podmiotów przetwarzających, następuje w trybie zmiany Regulaminu (§18 Regulaminu) albo §8 ust. 2; nowa wersja wymaga akceptacji Administratora w panelu.