Umowa powierzenia przetwarzania danych osobowych (sygnadesk)

PROJEKT DO WERYFIKACJI PRAWNEJ. Przed publikacją dokument wymaga przeglądu przez radcę prawnego lub adwokata.

Niniejsza umowa powierzenia (dalej: Umowa powierzenia) stanowi integralną część umowy o korzystanie z usługi sygnadesk, zawartej na podstawie Regulaminu usługi sygnadesk (dalej: Umowa główna), i zostaje zawarta pomiędzy Klientem, występującym jako administrator danych (dalej: Administrator), a Jeton Cloud spółka z ograniczoną odpowiedzialnością spółka komandytowa, ul. Domaniewska 37/2.43, 02-672 Warszawa, KRS 0000850403, NIP 5213901362, REGON 386529721, występującą jako podmiot przetwarzający (dalej: Przetwarzający). Akceptacja Regulaminu obejmuje zawarcie niniejszej Umowy powierzenia.

1. Przedmiot, charakter i cel przetwarzania

1.1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi sygnadesk, to jest udostępnienia i utrzymania platformy do przyjmowania i obsługi zgłoszeń naruszeń prawa oraz innych nieprawidłowości, wraz z kopiami zapasowymi i wsparciem technicznym.

1.2. Przetwarzanie ma charakter ciągły i odbywa się w formie elektronicznej, przez okres obowiązywania Umowy głównej oraz okres usunięcia danych po jej zakończeniu, opisany w punkcie 7.

1.3. Kategorie osób, których dane dotyczą: osoby dokonujące zgłoszeń (o ile ujawnią swoją tożsamość), osoby, których zgłoszenia dotyczą, osoby wskazane w treści zgłoszeń, a także Użytkownicy Administratora w zakresie danych zapisywanych w związku z obsługą zgłoszeń.

1.4. Rodzaje danych: dane identyfikacyjne i kontaktowe, dane dotyczące zatrudnienia, treść zgłoszeń i korespondencji ze zgłaszającym oraz załączniki, które mogą obejmować szczególne kategorie danych w rozumieniu art. 9 RODO oraz dane dotyczące naruszeń prawa w rozumieniu art. 10 RODO, jeżeli zamieści je zgłaszający lub Administrator.

1.5. Dane kont Klienta i Użytkowników (rejestracja, rozliczenia, logowanie) przetwarza Jeton Cloud jako odrębny administrator i nie są one objęte niniejszą Umową powierzenia; zasady ich przetwarzania opisuje polityka prywatności.

2. Polecenia Administratora i granice przetwarzania

2.1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się Umowę główną, konfigurację usługi dokonaną w panelu przez Administratora oraz zgłoszenia kierowane przez niego do wsparcia technicznego.

2.2. Przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w tym analitycznych ani marketingowych, i nie profiluje osób, których dane dotyczą.

2.3. Jeżeli w ocenie Przetwarzającego polecenie narusza przepisy o ochronie danych, Przetwarzający niezwłocznie informuje o tym Administratora.

3. Dostęp do treści zgłoszeń, dwa tryby usługi

3.1. Tryb standardowy. Treści zgłoszeń są szyfrowane kluczami zarządzanymi przez platformę. Dostęp personelu Przetwarzającego do treści zgłoszeń jest organizacyjnie i technicznie ograniczony i może nastąpić wyłącznie: na wyraźne żądanie Administratora w związku z obsługą zgłoszenia serwisowego, albo gdy wymagają tego bezwzględnie obowiązujące przepisy prawa. Każdy taki dostęp jest odnotowywany, a Administrator jest o nim informowany, chyba że zakazują tego przepisy.

3.2. Tryb szyfrowania end-to-end. Po włączeniu tego trybu przez Administratora treści zgłoszeń, załączniki i korespondencja są zaszyfrowane kluczami pozostającymi wyłącznie po stronie Administratora. Przetwarzający nie posiada żadnego klucza ani mechanizmu odzyskania i nie ma technicznej możliwości dostępu do tych treści, niezależnie od podstawy żądania. W tym trybie czynności Przetwarzającego wobec treści ograniczają się do przechowywania i transmisji danych w postaci zaszyfrowanej.

3.3. Niezależnie od trybu Przetwarzający ma dostęp do danych technicznych i metadanych niezbędnych do utrzymania usługi (np. identyfikatory spraw, statusy, znaczniki czasu, dane rozliczeniowe), które nie obejmują treści zgłoszeń.

4. Bezpieczeństwo i poufność

4.1. Przetwarzający wdraża środki techniczne i organizacyjne odpowiednie do ryzyka, stosownie do art. 32 RODO, w tym: szyfrowanie danych w transmisji i w spoczynku, kontrolę i rejestrowanie dostępu, rozdzielenie środowisk, regularne, szyfrowane kopie zapasowe przechowywane u niezależnego dostawcy w Europejskim Obszarze Gospodarczym w formie chronionej przed przedwczesnym usunięciem, automatyczne skanowanie załączników pod kątem złośliwego oprogramowania oraz procedury zarządzania incydentami.

4.2. Do przetwarzania dopuszczane są wyłącznie osoby upoważnione, zobowiązane do zachowania poufności na podstawie umowy lub ustawy. Obowiązek poufności trwa również po ustaniu współpracy tych osób z Przetwarzającym.

5. Podpowierzenie

5.1. Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających (podprocesorów). Aktualny wykaz podprocesorów jest dostępny pod adresem https://sygnadesk.com/legal/subprocessors i stanowi element niniejszej Umowy powierzenia.

5.2. O zamiarze dodania lub zmiany podprocesora Przetwarzający informuje Administratora co najmniej 14 dni wcześniej, aktualizując wykaz i wysyłając zawiadomienie e-mail. Administrator może w tym terminie wnieść uzasadniony sprzeciw; w braku porozumienia każda ze stron może rozwiązać Umowę główną na zasadach opisanych w Regulaminie dla zmian niekorzystnych.

5.3. Przetwarzający nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej Umowy powierzenia i odpowiada za ich działania jak za własne.

5.4. Dane są przetwarzane na terenie Europejskiego Obszaru Gospodarczego. Jeżeli usługa podprocesora wiąże się z transferem poza EOG, transfer odbywa się na podstawie ważnego mechanizmu z rozdziału V RODO (w szczególności standardowych klauzul umownych), co odnotowano w wykazie podprocesorów.

6. Wsparcie Administratora i naruszenia

6.1. Przetwarzający, uwzględniając charakter przetwarzania, wspiera Administratora w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32-36 RODO, w zakresie, w jakim jest to możliwe przy pomocy funkcji platformy i posiadanych informacji. W trybie end-to-end możliwości wsparcia są ograniczone do danych, do których Przetwarzający ma dostęp.

6.2. O stwierdzonym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych Przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od stwierdzenia naruszenia, przekazując informacje wymagane art. 33 ust. 3 RODO, w miarę ich ustalania.

6.3. Zgłoszenia naruszeń do organu nadzorczego oraz zawiadomienia osób, których dane dotyczą, pozostają obowiązkiem Administratora.

7. Zakończenie przetwarzania

7.1. Po zakończeniu Umowy głównej Przetwarzający, zależnie od wyboru Administratora zgłoszonego najpóźniej w terminie 30 dni od zakończenia, zwraca dane w powszechnie używanym formacie albo je usuwa. W braku dyspozycji dane są usuwane po upływie tego terminu.

7.2. Usunięcie obejmuje również kopie zapasowe, które wygasają zgodnie z cyklem retencji kopii, nie dłuższym niż 40 dni od usunięcia danych z systemu produkcyjnego. Do czasu wygaśnięcia kopie pozostają zaszyfrowane i nie są wykorzystywane do przetwarzania.

7.3. Przetwarzający może zachować dane w zakresie i przez okres wymagany bezwzględnie obowiązującymi przepisami prawa.

8. Audyt

8.1. Administrator może żądać informacji niezbędnych do wykazania zgodności przetwarzania z art. 28 RODO. Przetwarzający udostępnia w pierwszej kolejności dokumentację środków bezpieczeństwa, opisy procedur oraz posiadane raporty i zaświadczenia.

8.2. Audyt na miejscu lub za pośrednictwem upoważnionego audytora (niebędącego konkurentem Przetwarzającego) jest możliwy po uzgodnieniu terminu z wyprzedzeniem co najmniej 14 dni, w godzinach pracy, nie częściej niż raz w roku, chyba że audyt jest następstwem naruszenia. Koszty audytu ponosi Administrator. Audyt nie może naruszać poufności danych innych klientów Przetwarzającego.

9. Odpowiedzialność i postanowienia końcowe

9.1. Odpowiedzialność Przetwarzającego wobec Administratora z tytułu niniejszej Umowy powierzenia podlega ograniczeniom przewidzianym w Regulaminie, w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy, które nie ograniczają odpowiedzialności wobec osób, których dane dotyczą, wynikającej wprost z RODO.

9.2. Umowa powierzenia obowiązuje przez okres obowiązywania Umowy głównej oraz okres opisany w punkcie 7. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.

Warszawa, [data do uzupełnienia]