Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Załącznik nr 2 do Regulaminu świadczenia usług drogą elektroniczną - Salecare

Preambuła

1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: DPA lub Umowa Powierzenia) stanowi Załącznik nr 2 do Regulaminu świadczenia usług drogą elektroniczną - Salecare (dalej: Regulamin) i jego integralną część. Zostaje zawarta między:
   • Administratorem - Użytkownikiem (sprzedawcą), który zawarł z Operatorem Umowę o świadczenie Usługi na zasadach Regulaminu, oraz
   • Procesorem - Operatorem (Usługodawcą): Piotr Hyra, prowadzący jednoosobową działalność gospodarczą pod firmą Simple Studio Piotr Hyra, z siedzibą pod adresem ul. Wręczycka 90, 42-133 Bieżeń, wpisany do CEIDG, NIP 5742060804, REGON 365542882.
2. DPA zostaje zaakceptowana przez Użytkownika przy zawarciu Umowy (akceptacja Regulaminu) i wiąże strony przez czas obowiązywania Umowy.
3. Pojęcia pisane wielką literą, niezdefiniowane w DPA, mają znaczenie nadane im w Regulaminie. RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
4. DPA reguluje wyłącznie przetwarzanie danych osobowych klientów Użytkownika (kupujących/odbiorców zamówień) oraz osób piszących na skrzynki pocztowe, które Użytkownik podłączył do Serwisu, w odniesieniu do których Użytkownik jest administratorem, a Operator podmiotem przetwarzającym. Przetwarzanie danych, których administratorem jest Operator (m.in. dane Konta i rozliczeniowe), opisuje Polityka Prywatności i nie jest objęte niniejszą DPA.

§ 1. Przedmiot i charakter powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i w celu opisanym w Załączniku A, a Procesor zobowiązuje się przetwarzać te dane wyłącznie na zasadach określonych w DPA, RODO i innych obowiązujących przepisach o ochronie danych.
2. Przedmiot, charakter, cel i czas trwania przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, określa szczegółowo Załącznik A do DPA (zgodnie z art. 28 ust. 3 RODO).
3. Powierzenie następuje w celu i w zakresie niezbędnym do świadczenia przez Procesora Usługi na rzecz Administratora zgodnie z Regulaminem.

§ 2. Czas trwania

1. DPA obowiązuje przez czas obowiązywania Umowy o świadczenie Usługi.
2. Rozwiązanie lub wygaśnięcie Umowy skutkuje zakończeniem DPA, z zastrzeżeniem postępowania z danymi po zakończeniu przetwarzania (§ 11) oraz postanowień, które ze swej natury pozostają w mocy (m.in. dotyczących poufności).

§ 3. Obowiązki Procesora - zasady ogólne

Procesor zobowiązuje się w szczególności do:

1. Przetwarzania wyłącznie na udokumentowane polecenie Administratora (art. 28 ust. 3 lit. a RODO), w tym w zakresie przekazywania danych do państwa trzeciego - chyba że obowiązek taki nakłada na Procesora prawo Unii lub prawo państwa członkowskiego; w takim wypadku Procesor informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania takiej informacji ze względu na ważny interes publiczny. Za udokumentowane polecenie uznaje się także konfigurację i sposób korzystania z Usługi przez Administratora w panelu Serwisu oraz postanowienia Regulaminu i DPA.
2. Niezwłocznego poinformowania Administratora, jeżeli zdaniem Procesora wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 zd. drugie RODO).
3. Przetwarzania danych wyłącznie w zakresie i celu przewidzianym w DPA i Regulaminie; Procesor nie przetwarza powierzonych danych we własnych celach.

§ 4. Poufność

1. Procesor zapewnia, by osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO).
2. Procesor ogranicza dostęp do powierzonych danych wyłącznie do osób, którym jest on niezbędny do realizacji Usługi, oraz nadaje i ewidencjonuje upoważnienia do przetwarzania.

§ 5. Bezpieczeństwo przetwarzania

1. Procesor wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 RODO (art. 28 ust. 3 lit. c RODO).
2. Wykaz zastosowanych środków bezpieczeństwa zawiera Załącznik C do DPA. Procesor może je aktualizować, pod warunkiem zachowania co najmniej równoważnego poziomu bezpieczeństwa.

§ 6. Podpowierzenie (dalsze podmioty przetwarzające)

1. Administrator udziela Procesorowi ogólnej, uprzedniej zgody na korzystanie z dalszych podmiotów przetwarzających (podprocesorów) w celu realizacji Usługi (art. 28 ust. 2 RODO). Imienny wykaz podprocesorów, z oznaczeniem nazwy, siedziby, roli, zakresu danych, lokalizacji przetwarzania i podstawy transferu każdego z nich, zawiera Załącznik B do DPA, udostępniany Administratorowi wraz z DPA przed zawarciem Umowy.
2. Procesor zapewnia, że na dalszy podmiot przetwarzający nałożone zostaną te same obowiązki ochrony danych jak w niniejszej DPA, w drodze umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO). Procesor ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez podprocesora z jego obowiązków.
3. Informowanie o zmianach. Procesor informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów (np. komunikatem w panelu Serwisu lub wiadomością e-mail), z wyprzedzeniem co najmniej 30 dni przed wprowadzeniem zmiany, dając Administratorowi możliwość wyrażenia sprzeciwu.
4. Prawo sprzeciwu. Jeżeli Administrator zgłosi uzasadniony sprzeciw wobec zmiany podprocesora w terminie 30 dni od poinformowania, strony w dobrej wierze poszukają rozwiązania. Jeżeli porozumienie nie będzie możliwe, a Procesor zdecyduje się skorzystać z danego podprocesora, Administratorowi przysługuje prawo wypowiedzenia Umowy (rozwiązania na zasadach Regulaminu); dalsze korzystanie z Usługi po wprowadzeniu zmiany oznacza brak sprzeciwu.

§ 7. Pomoc w realizacji praw osób, których dane dotyczą

1. Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi - za pomocą odpowiednich środków technicznych i organizacyjnych - w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (art. 15–22) - art. 28 ust. 3 lit. e RODO.
2. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do Procesora, Procesor - o ile to możliwe - niezwłocznie przekaże takie żądanie Administratorowi i nie zrealizuje go samodzielnie bez polecenia Administratora.

§ 8. Pomoc w wypełnianiu obowiązków z art. 32–36 RODO

Procesor, uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (art. 28 ust. 3 lit. f RODO), tj. w zakresie:

1. zapewnienia bezpieczeństwa przetwarzania (art. 32);
2. zgłaszania naruszeń ochrony danych organowi nadzorczemu (art. 33) - Procesor zgłasza Administratorowi każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje niezbędne do wykonania przez Administratora jego obowiązków;
3. zawiadamiania osób, których dane dotyczą, o naruszeniu (art. 34);
4. dokonywania oceny skutków dla ochrony danych (DPIA - art. 35) oraz uprzednich konsultacji z organem nadzorczym (art. 36).

§ 9. Audyt i wykazanie zgodności

1. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi (lub upoważnionemu przez niego audytorowi) przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich (art. 28 ust. 3 lit. h RODO).
2. Strony uzgadniają, że audyty odbywają się: po uprzednim zawiadomieniu z rozsądnym wyprzedzeniem (co najmniej 14 dni), w godzinach pracy, w sposób nieingerujący nadmiernie w działalność Procesora oraz z poszanowaniem poufności i bezpieczeństwa danych innych klientów Procesora. W pierwszej kolejności Procesor może wykazać zgodność poprzez udostępnienie aktualnej dokumentacji, opisu środków bezpieczeństwa lub posiadanych certyfikatów/raportów z audytów.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie audytowe narusza RODO lub inne przepisy o ochronie danych.

§ 10. Transfery do państw trzecich

1. Powierzone dane są przetwarzane co do zasady na terenie Europejskiego Obszaru Gospodarczego (EOG).
2. W zakresie, w jakim realizacja Usługi wiąże się z przekazaniem powierzonych danych do państwa trzeciego (do podprocesorów wskazanych w Załączniku B, którzy przetwarzają dane poza EOG, w szczególności w Stanach Zjednoczonych, m.in. w związku z funkcjami AI inicjowanymi przez Administratora), przekazanie odbywa się wyłącznie zgodnie z rozdziałem V RODO: w zakresie, w jakim dostawca jest objęty certyfikacją w ramach EU-US Data Privacy Framework - na podstawie decyzji Komisji Europejskiej o adekwatności (art. 45 RODO), a niezależnie od tego przy zastosowaniu standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską (art. 46 RODO) jako zabezpieczenia uzupełniającego, wraz z dodatkowymi środkami, jeżeli są wymagane.
3. Szczegóły dotyczące lokalizacji podprocesorów i podstawy transferu wskazuje Załącznik B.

§ 11. Postępowanie z danymi po zakończeniu przetwarzania

1. Po zakończeniu świadczenia Usługi (rozwiązaniu lub wygaśnięciu Umowy) Procesor - zależnie od decyzji Administratora - usuwa lub zwraca Administratorowi wszelkie powierzone dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują dalsze przechowywanie danych (art. 28 ust. 3 lit. g RODO).
2. Administrator może pobrać/eksportować powierzone dane w trakcie obowiązywania Umowy oraz przez 30 dni po jej zakończeniu (okno samodzielnego pobrania, zgodnie z art. 25 rozporządzenia (UE) 2023/2854 i § 18 Regulaminu). Powierzone dane oraz ich kopie Procesor usuwa po upływie okresu karencji wynoszącego 90 dni od zakończenia Umowy, w braku odmiennej decyzji Administratora, z zastrzeżeniem kopii zapasowych, które są usuwane zgodnie z cyklem ich rotacji.

§ 12. Odpowiedzialność i postanowienia końcowe

1. Każda ze stron odpowiada za szkody spowodowane swoim działaniem niezgodnym z RODO na zasadach określonych w art. 82 RODO. Ograniczenia odpowiedzialności wynikające z Regulaminu stosuje się w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy.
2. W sprawach nieuregulowanych w DPA stosuje się postanowienia Regulaminu, RODO oraz przepisy prawa polskiego.
3. W razie sprzeczności między DPA a Regulaminem, w zakresie przetwarzania powierzonych danych osobowych rozstrzygają postanowienia DPA.
4. Zmiany DPA następują w trybie właściwym dla zmiany Regulaminu (§ 19 Regulaminu), z poszanowaniem wymogów art. 28 RODO.

Załącznik A - Opis przetwarzania (art. 28 ust. 3 RODO)

Załącznik B - Wykaz podprocesorów

Procesor korzysta z podmiotów wymienionych poniżej. Tabela 1 obejmuje podprocesorów, do których mogą trafić powierzone dane kupujących Administratora. Tabela 2 obejmuje dostawców, którzy powierzonych danych nie otrzymują i przetwarzają wyłącznie dane Administratora jako Użytkownika (m.in. dane Konta i dane do faktur), opisane w Polityce Prywatności; są wymienieni tutaj, aby cały wykaz był w jednym miejscu.

Podstawą przekazania danych poza EOG jest decyzja Komisji Europejskiej o adekwatności (EU-US Data Privacy Framework, dalej DPF, art. 45 RODO), w zakresie, w jakim dany podmiot jest objęty certyfikacją, a ponadto standardowe klauzule umowne przyjęte przez Komisję Europejską (dalej SCC, art. 46 RODO), wraz z dodatkowymi środkami tam, gdzie są wymagane.

Tabela 1. Podprocesorzy, do których mogą trafić powierzone dane

Tabela 2. Dostawcy, którzy nie otrzymują powierzonych danych

Aktualizacja wykazu. O zamierzonym dodaniu lub zastąpieniu podprocesora Procesor informuje Administratora zgodnie z § 6 (powiadomienie z wyprzedzeniem oraz prawo sprzeciwu). Aktualny wykaz jest zawsze dostępny w tym Załączniku, a na żądanie skierowane na adres [email protected] Procesor przekazuje także informacje o umowach powierzenia zawartych z podprocesorami.

Uwaga. Część funkcji Serwisu działa w infrastrukturze kontrolowanej przez Procesora i nie wiąże się z udziałem dodatkowych podprocesorów zewnętrznych.

Allegro. Allegro, z którego pobierane są dane na polecenie Administratora, jest wobec tych danych odrębnym, niezależnym administratorem i nie stanowi podprocesora Procesora w rozumieniu niniejszej DPA.

Załącznik C - Środki techniczne i organizacyjne (art. 32 RODO)

Procesor stosuje w szczególności następujące środki bezpieczeństwa:

1. Szyfrowanie połączeń - komunikacja z Serwisem i między jego komponentami odbywa się połączeniem szyfrowanym.
2. Kontrola dostępu - dostęp do danych na zasadzie niezbędności (need-to-know) i minimalnych uprawnień; uwierzytelnianie Użytkowników (hasła przechowywane w postaci skrótu); ewidencja upoważnień.
3. Oddzielenie danych Użytkowników - logiczne oddzielenie danych poszczególnych Użytkowników, tak by jeden Użytkownik nie miał dostępu do danych innego.
4. Kopie zapasowe - regularne tworzenie kopii zapasowych umożliwiających odtworzenie danych w razie awarii.
5. Rejestrowanie i monitorowanie - rejestrowanie zdarzeń bezpieczeństwa i dostępu, monitorowanie nieprawidłowości.
6. Minimalizacja danych - ograniczanie zakresu danych pobieranych z Allegro oraz danych kierowanych do funkcji AI do niezbędnego minimum.
7. Zarządzanie podprocesorami - weryfikacja gwarancji bezpieczeństwa podprocesorów i nakładanie na nich równoważnych obowiązków (§ 6).
8. Testowanie i ocena skuteczności - okresowe testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania (art. 32 ust. 1 lit. d RODO).

Procesor okresowo przegląda i - stosownie do ryzyka i stanu wiedzy technicznej - aktualizuje powyższe środki, zachowując co najmniej równoważny poziom bezpieczeństwa.