Umowa powierzenia przetwarzania danych osobowych

Strony i sposób zawarcia

Umowa jest zawierana w formie elektronicznej jako załącznik do umowy o korzystanie z BUR Master CRM (dalej: „umowa główna”). Zawarcie następuje przez akceptację jej treści przy zakupie abonamentu lub w panelu, przez osobę uprawnioną do reprezentowania firmy-klienta. Stronami są:

• firma-klient wskazana w koncie BUR Master CRM (nazwa i NIP z danych konta), dalej: „Administrator”,
• Katarzyna Wojtasińska prowadząca działalność gospodarczą pod firmą K8 Katarzyna Wojtasińska, ul. Kościuszki 1a/2, 44-100 Gliwice, NIP 9691543646, REGON 242751090, dalej: „Podmiot przetwarzający”.

Potwierdzenie akceptacji z datą, numerem wersji i danymi firmy przechowujemy w systemie i wysyłamy na e-mail konta.

§1. Przedmiot i cel

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w Załączniku nr 1, wyłącznie w celu świadczenia usługi BUR Master CRM.
2. Umowa realizuje wymogi art. 28 ust. 3 RODO.

§2. Czas trwania

Umowa obowiązuje przez czas trwania umowy głównej oraz okres potrzebny na zwrot lub usunięcie danych (§9).

§3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest w szczególności korzystanie z funkcji systemu przez użytkowników Administratora oraz niniejsza umowa;
2. niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy;
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy;
4. stosuje środki bezpieczeństwa opisane w Załączniku nr 2;
5. pomaga Administratorowi w realizacji praw osób, których dane dotyczą (m.in. przez funkcje eksportu, poprawiania i usuwania danych), oraz przekazuje mu żądania otrzymane bezpośrednio od tych osób w ciągu 3 dni roboczych;
6. pomaga Administratorowi w wypełnianiu obowiązków z art. 32–36 RODO;
7. nie wykorzystuje powierzonych danych do własnych celów, w tym do marketingu ani trenowania modeli AI;
8. prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§4. Obowiązki Administratora

Administrator odpowiada za posiadanie podstawy prawnej przetwarzania, spełnienie obowiązku informacyjnego wobec uczestników oraz za zgodność z prawem danych i dokumentów, które wprowadza do systemu, w tym aktualność wgranych wzorów dokumentów operatorów.

§5. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku nr 3.
2. O planowanym dodaniu lub zmianie podprocesora Podmiot przetwarzający informuje e-mailem co najmniej 30 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw; jeśli strony się nie porozumieją, Administrator może wypowiedzieć umowę główną ze skutkiem na dzień zmiany.
3. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada za ich działania jak za własne.

§6. Przekazywanie danych poza EOG

Dane mogą być przekazywane poza EOG tylko do podprocesorów z Załącznika nr 3 i wyłącznie na podstawie rozdziału V RODO (decyzja o adekwatności lub standardowe klauzule umowne).

§7. Naruszenia ochrony danych

Podmiot przetwarzający powiadamia Administratora o stwierdzonym naruszeniu bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego wykrycia. Powiadomienie zawiera informacje z art. 33 ust. 3 RODO w zakresie, w jakim są dostępne, a brakujące Podmiot przetwarzający uzupełnia na bieżąco.

§8. Audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania zgodności z art. 28 RODO.
2. Administrator może przeprowadzić audyt zapowiedziany z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (poza audytem po naruszeniu), w godzinach pracy i bez dostępu do danych innych klientów. W pierwszej kolejności audyt odbywa się przez pisemne pytania.

§9. Zakończenie przetwarzania

1. Po zakończeniu umowy głównej Administrator ma 30 dni na eksport danych i dokumentów z systemu.
2. Po tym terminie Podmiot przetwarzający usuwa dane, a z kopii zapasowych w ciągu kolejnych 30 dni, chyba że przepisy wymagają dalszego przechowywania. Na żądanie potwierdza usunięcie.
3. Obowiązek przechowywania dokumentacji projektowej przez okres trwałości projektu spoczywa na Administratorze. Przechowywanie w systemie jest możliwe przez czas aktywnego abonamentu.

§10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron wobec osób, których dane dotyczą, określa art. 82 RODO. W relacji między stronami odpowiedzialność Podmiotu przetwarzającego jest ograniczona do wysokości opłat zapłaconych przez Administratora w ciągu 12 miesięcy przed zdarzeniem, z wyjątkiem szkody wyrządzonej umyślnie.
2. Zmiana umowy następuje przez udostępnienie nowej wersji w panelu z 30-dniowym wyprzedzeniem i jej akceptację.
3. W sprawach nieuregulowanych stosuje się RODO i Kodeks cywilny. W razie sprzeczności z umową główną w zakresie ochrony danych pierwszeństwo ma niniejsza umowa.

Załącznik nr 1. Zakres powierzenia

Załącznik nr 2. Środki bezpieczeństwa

• szyfrowanie transmisji (TLS) i przechowywanie haseł wyłącznie jako skrótu z solą,
• logiczna izolacja danych każdego klienta,
• role i uprawnienia użytkowników, ochrona przed zgadywaniem haseł,
• dostęp personelu według zasady minimalnych uprawnień, z rejestrem dostępu,
• regularne kopie zapasowe z okresowym testem odtworzenia,
• aktualizacje oprogramowania i wtyczek, monitoring błędów,
• ograniczanie danych wysyłanych do modelu AI do niezbędnego minimum,
• procedura obsługi naruszeń.

Załącznik nr 3. Lista podprocesorów

Aktualna lista jest zawsze dostępna na tej stronie.