Data Processing Agreement

§1. POSTANOWIENIA OGÓLNE

1. Wszystkie terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszej umowie, mają znaczenie określone w Regulaminie DOZO dla Partnerów.
2. Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa”) stanowi integralną część umowy głównej („Umowa Główna”) zawartej pomiędzy Partnerem („Administrator”) oraz DOZO („Podmiot przetwarzający”)
3. Do zawarcia Umowy pomiędzy Administratorem a Podmiotem przetwarzającym dochodzi poprzez zaakceptowanie treści Umowy poprzedzone samodzielnym wypełnieniem przez Administratora formularza rejestracji dostępnego w Aplikacji lub na stronie internetowej.
4. Niniejsza Umowa obowiązuje od dnia wejścia w życie Umowy Głównej aż do dnia jej zakończenia. Nie wyłącza to możliwości rozwiązania Umowy na warunkach w niej przewidzianych.
5. Strony, chcąc uregulować zasady powierzenia przetwarzania danych osobowych w związku z wykonywaniem Umowy Głównej, postanawiają inkorporować do łączącego je stosunku umownego standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi na podstawie art. 28 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 oraz art. 29 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 przyjęte decyzją wykonawczą Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. – w brzmieniu określonym w niniejszej Umowie.

§2. STANDARDOWE KLAUZULE UMOWNE

SEKCJA I

Klauzula 1. CEL I ZAKRES

Klauzula 2. NIEZMIENNOŚĆ KLAUZUL

1. Strony zobowiązują się nie zmieniać klauzul z wyjątkiem dodawania informacji do załączników lub aktualizowania zawartych w nich informacji. 
2. Postanowienie to nie uniemożliwia stronom umieszczania standardowych klauzul umownych określonych w niniejszych klauzulach w treści umowy o szerszym zakresie ani dodawania innych klauzul lub dodatkowych zabezpieczeń, pod warunkiem że nie będą one bezpośrednio lub pośrednio sprzeczne z klauzulami umownymi ani nie będą naruszały podstawowych praw lub wolności osób, których dane dotyczą.

Klauzula 3. WYKŁADNIA

1. Jeżeli w niniejszych klauzulach użyto terminów zdefiniowanych odpowiednio w rozporządzeniu (UE) 2016/679 lub rozporządzeniu (UE) 2018/1725, terminy te mają takie samo znaczenie jak w tych rozporządzeniach.
2. Niniejsze klauzule odczytuje się i interpretuje w świetle odpowiednio przepisów rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.
3. Niniejszych klauzul nie interpretuje się w sposób sprzeczny z prawami i obowiązkami przewidzianymi w rozporządzeniu (UE) 2016/679 lub rozporządzeniu (UE) 2018/1725 ani w sposób naruszający podstawowe prawa lub wolności osób, których dane dotyczą.

Klauzula 4. HIERARCHIA

W razie sprzeczności między niniejszymi klauzulami a postanowieniami powiązanych umów między Stronami istniejących w chwili uzgadniania niniejszych klauzul lub zawartych po ich uzgodnieniu, pierwszeństwo mają niniejsze Klauzule. 

Klauzula 5 – fakultatywna. KLAUZULA PRZYSTĄPIENIA

SEKCJA II – OBOWIĄZKI STRON

Klauzula 6. Opis przetwarzania

Szczegóły dotyczące operacji przetwarzania, w szczególności kategorie danych osobowych i cele, dla których dane osobowe są przetwarzane w imieniu Administratora, określono w załączniku II.

Klauzula 7. Obowiązki stron 

7.1. Polecenia

1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny. Administrator może wydawać kolejne polecenia przez cały okres przetwarzania danych osobowych. Polecenia te są zawsze dokumentowane. 
2. Podmiot przetwarzający bezzwłocznie powiadamia Administratora, jeżeli w opinii podmiotu przetwarzającego polecenie wydane przez Administratora narusza rozporządzenie (UE) 2016/679 lub rozporządzenie (UE) 2018/1725 lub obowiązujące przepisy Unii lub państwa członkowskiego o ochronie danych.

7.2. Ograniczenie celu

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w konkretnym celu lub celach przetwarzania, określonych w załączniku II, chyba że otrzyma dalsze polecenia od administratora.

7.3. Czas trwania przetwarzania danych osobowych

Przetwarzanie przez podmiot przetwarzający odbywa się wyłącznie przez okres określony w załączniku II. 

7.4. Bezpieczeństwo przetwarzania

1. W celu zapewnienia bezpieczeństwa danych osobowych podmiot przetwarzający wdraża co najmniej środki techniczne i organizacyjne określone w załączniku III. Zapewnienie bezpieczeństwa danych obejmuje ochronę danych przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (naruszenie ochrony danych osobowych). Oceniając odpowiedni poziom bezpieczeństwa, strony należycie uwzględniają stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz związane z tym ryzyko dla osób, których dane dotyczą. 
2. Podmiot przetwarzający udziela członkom swojego personelu dostępu do danych osobowych podlegających przetwarzaniu jedynie w zakresie bezwzględnie niezbędnym do wykonania umowy, zarządzania nią i jej monitorowania. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania otrzymanych danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności. 

7.5. Dane wrażliwe

Jeżeli przetwarzanie obejmuje dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne lub dane biometryczne do celów jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby, bądź dane dotyczące wyroków skazujących i czynów zabronionych („dane wrażliwe”), podmiot przetwarzający stosuje szczególne ograniczenia lub dodatkowe zabezpieczenia.

7.6 Dokumentacja i zgodność

1. Strony są w stanie wykazać zgodność z niniejszymi klauzulami.
2. Podmiot przetwarzający niezwłocznie i odpowiednio rozpatruje zapytania administratora dotyczące przetwarzania danych zgodnie z niniejszymi klauzulami. 
3. Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków, które są określone w niniejszych klauzulach i wynikają bezpośrednio z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725. Na wniosek administratora podmiot przetwarzający zezwala również na audyty czynności przetwarzania objętych niniejszymi klauzulami i uczestniczy w tych audytach. Audyty te przeprowadza się w rozsądnych odstępach czasu lub jeżeli istnieją przesłanki wskazujące na niezgodność. Podejmując decyzję w sprawie przeglądu lub audytu, administrator może wziąć pod uwagę odpowiednie certyfikaty, jakie ma podmiot przetwarzający. 
4. Administrator może przeprowadzić audyt samodzielnie lub upoważnić do jego przeprowadzenia niezależnego audytora. Audyty mogą również obejmować inspekcje w pomieszczeniach lub obiektach fizycznych podmiotu przetwarzającego. Audyty te przeprowadza się, informując o nich, w stosownych przypadkach, z odpowiednim wyprzedzeniem. 
5. Na wniosek właściwego(-ych) organu(-ów) nadzorczego(-ych) strony udostępniają mu (im) informacje, o których mowa w niniejszej klauzuli, w tym wyniki wszelkich audytów.

7.7. Korzystanie z usług podmiotów podprzetwarzających

1. Podmiot przetwarzający ma ogólną zgodę Administratora na korzystanie z usług podmiotów podprzetwarzających wpisanych do uzgodnionego wykazu, który stanowi Załącznik IV do Umowy. Podmiot przetwarzający informuje Administratora na piśmie o wszelkich zamierzonych zmianach w tym wykazie polegających na dodaniu lub zastąpieniu podmiotów podprzetwarzających z wyprzedzeniem co najmniej 1 miesiąca, dając tym samym Administratorowi wystarczająco dużo czasu na wyrażenie sprzeciwu wobec takich zmian przed rozpoczęciem korzystania z usług danego podmiotu podprzetwarzającego (podmiotów podprzetwarzających). Podmiot przetwarzający przekazuje Administratorowi niezbędne informacje umożliwiające mu skorzystanie z prawa sprzeciwu.
2. Jeżeli Podmiot przetwarzający korzysta z usług podmiotu podprzetwarzającego w celu przeprowadzenia określonych czynności przetwarzania (w imieniu Administratora), dokonuje tego w drodze umowy, która nakłada na podmiot podprzetwarzający zasadniczo takie same obowiązki w zakresie ochrony danych jak obowiązki nałożone na Podmiot przetwarzający dane zgodnie z niniejszymi klauzulami. Podmiot przetwarzający zapewnia, aby podmiot podprzetwarzający wypełniał obowiązki, którym podlega podmiot przetwarzający na mocy niniejszych klauzul oraz rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.
3. Na wniosek Administratora podmiot przetwarzający przekazuje Administratorowi kopię umowy, jaką zawarł z podmiotem podprzetwarzającym, a w razie wprowadzenia zmian przekazuje Administratorowi jej zaktualizowaną wersję. W zakresie niezbędnym do ochrony tajemnicy handlowej lub innych informacji poufnych, w tym danych osobowych, podmiot przetwarzający może utajnić tekst umowy przed jej udostępnieniem.
4. Podmiot przetwarzający pozostaje w pełni odpowiedzialny przed Administratorem za wykonanie obowiązków podmiotu podprzetwarzającego zgodnie z jego umową z podmiotem przetwarzającym. Podmiot przetwarzający powiadamia Administratora o każdym przypadku niewywiązania się przez podmiot podprzetwarzający z jego zobowiązań umownych.
5. Podmiot przetwarzający uzgadnia z podmiotem podprzetwarzającym klauzulę dotyczącą beneficjenta będącego osobą trzecią, zgodnie z którą to klauzulą – jeżeli podmiot przetwarzający przestanie istnieć faktycznie lub formalnie lub stanie się niewypłacalny – administrator ma prawo rozwiązać umowę z podmiotem podprzetwarzającym i nakazać mu usunięcie lub zwrot danych osobowych.

7.8. Międzynarodowe przekazywanie danych

1. Wszelkie przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej przez Podmiot przetwarzający odbywa się wyłącznie na udokumentowane polecenie Administratora lub w celu spełnienia szczególnego wymogu na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Podmiot przetwarzający, i odbywa się zgodnie z rozdziałem V rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725. 
2. Jeżeli zgodnie z klauzulą 7.7 Podmiot przetwarzający korzysta z usług podmiotu podprzetwarzającego w celu przeprowadzenia określonych czynności przetwarzania (w imieniu administratora), które wiążą się z przekazywaniem danych osobowych w rozumieniu rozdziału V rozporządzenia (UE) 2016/679, Administrator wyraża zgodę na to, by podmioty te mogły zapewnić zgodność z rozdziałem V rozporządzenia (UE) 2016/679 za pomocą standardowych klauzul umownych przyjętych przez Komisję zgodnie z art. 46 ust. 2 rozporządzenia (UE) 2016/679, pod warunkiem że spełnione są warunki stosowania tych standardowych klauzul umownych.

Klauzula 8. POMOC DLA ADMINISTRATORA

1. Podmiot przetwarzający niezwłocznie zawiadamia Administratora o każdym wniosku otrzymanym od osoby, której dane dotyczą. Podmiot przetwarzający nie odpowiada na taki wniosek samodzielnie, chyba że Administrator wyraził na to zgodę.
2. Podmiot przetwarzający pomaga Administratorowi w wypełnianiu jego obowiązków dotyczących udzielania odpowiedzi na wnioski osób, których dane dotyczą, o skorzystanie z przysługujących im praw, z uwzględnieniem charakteru przetwarzania. Wypełniając swoje obowiązki zgodnie z lit. a) i b), Podmiot przetwarzający stosuje się do poleceń Administratora.
3. Oprócz spoczywającego na podmiocie przetwarzającym obowiązku pomagania Administratorowi zgodnie z klauzulą 8 lit. b) Podmiot przetwarzający pomaga mu ponadto w zapewnieniu wypełniania następujących obowiązków, z uwzględnieniem charakteru przetwarzania danych oraz informacji, którymi dysponuje podmiot przetwarzający:
   1. obowiązek przeprowadzenia oceny wpływu planowanych operacji przetwarzania na ochronę danych osobowych („ocena skutków dla ochrony danych”), jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych;
   2. obowiązek skonsultowania się z właściwym(-i) organem(-ami) nadzorczym(-i) przed rozpoczęciem przetwarzania, jeżeli ocena skutków dla ochrony danych wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby administrator nie zastosował środków w celu jego ograniczenia;
   3. obowiązek zapewnienia prawidłowości i aktualności danych osobowych poprzez niezwłoczne poinformowanie Administratora, jeżeli Podmiot przetwarzający stwierdzi, że przetwarzane przez niego dane osobowe są nieprawidłowe lub nieaktualne;
   4. obowiązki określone w art. 32 rozporządzenia (UE) 2016.
4. Strony określają w załączniku III odpowiednie środki techniczne i organizacyjne, za pomocą których Podmiot przetwarzający jest zobowiązany pomagać Administratorowi w stosowaniu niniejszej klauzuli, jak również zakres wymaganej pomocy. 

Klauzula 9. ZGŁASZANIE NARUSZENIA OCHRONY DANYCH OSOBOWYCH

W przypadku naruszenia ochrony danych osobowych Podmiot przetwarzający współpracuje z Administratorem i pomaga mu w wypełnianiu jego obowiązków wynikających z art. 33 i 34 rozporządzenia (UE) 2016/679 lub, w stosownych przypadkach, z art. 34 i 35 rozporządzenia (UE) 2018/1725, z uwzględnieniem charakteru przetwarzania i informacji, którymi dysponuje Podmiot przetwarzający.

9.1 Naruszenie ochrony danych dotyczące danych przetwarzanych przez Administratora

W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez Administratora Podmiot przetwarzający wspomaga Administratora:

1. przy zgłaszaniu naruszenia ochrony danych osobowych właściwemu(-ym) organowi(-om) nadzorczemu(-ym) niezwłocznie po tym, jak administrator dowiedział się o naruszeniu, w stosownych przypadkach/(chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych); 
2. przy uzyskiwaniu następujących informacji, które zgodnie z art. 33 ust. 3 rozporządzenia (UE) 2016/679 powinny być zawarte w zgłoszeniu administratora i obejmować co najmniej: 
   1. charakter danych osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie; 
   2. możliwe konsekwencje naruszenia ochrony danych osobowych; 
   3. środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków. 

Jeżeli przekazanie wszystkich tych informacji równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a po uzyskaniu dostępu do dalszych informacji przekazuje się je bez zbędnej zwłoki;

3. przy wypełnianiu – zgodnie z art. 34 rozporządzenia (UE) 2016/679 obowiązku zawiadomienia bez zbędnej zwłoki osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli naruszenie to może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

9.2 Naruszenie ochrony danych dotyczące danych przetwarzanych przez Podmiot przetwarzający

W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych przez Podmiot przetwarzający podmiot przetwarzający zgłasza naruszenie Administratorowi niezwłocznie po tym, jak dowiedział się o naruszeniu. Zgłoszenie to powinno zawierać co najmniej:

1. opis charakteru naruszenia (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie);
2. dane punktu kontaktowego, w którym można uzyskać więcej informacji na temat naruszenia ochrony danych osobowych;
3. wskazanie prawdopodobnych konsekwencji naruszenia oraz środków, które zostały lub mają zostać wprowadzone w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków.

Jeżeli przekazanie wszystkich tych informacji równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a po uzyskaniu dostępu do dalszych informacji przekazuje się je bez zbędnej zwłoki.

Strony określają w załączniku III wszystkie inne elementy, które ma przedstawić Podmiot przetwarzający, wspomagając Administratora w wypełnianiu jego obowiązków określonych w art. 33 i 34 rozporządzenia (UE) 2016/679.

SEKCJA III – POSTANOWIENIA KOŃCOWE

Klauzula 10. NARUSZENIE KLAUZUL I ROZWIĄZANIE UMOWY

1. Bez uszczerbku dla przepisów rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725, w przypadku gdy Podmiot przetwarzający narusza swoje obowiązki wynikające z niniejszych klauzul, Administrator może polecić mu, by zawiesił przetwarzanie danych osobowych do czasu, gdy Podmiot przetwarzający zapewni zgodność z niniejszymi klauzulami, lub Umowa Główna ulega rozwiązaniu. Podmiot przetwarzający niezwłocznie zawiadamia Administratora, jeżeli z jakiegokolwiek powodu nie jest w stanie zastosować się do niniejszych klauzul.

2. Administrator jest uprawniony do rozwiązania Umowy Głównej w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli:

   1. Administrator zawiesił przetwarzanie danych osobowych przez Podmiot przetwarzający zgodnie z lit. a) i jeżeli zgodność z niniejszymi klauzulami nie zostanie przywrócona w rozsądnym terminie, a w każdym razie w terminie jednego miesiąca od zawieszenia;
   2. Podmiot przetwarzający poważnie lub stale narusza niniejsze klauzule lub swoje obowiązki wynikające z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725; 
   3. Podmiot przetwarzający nie stosuje się do wiążącej decyzji właściwego sądu lub właściwego(-ych) organu(-ów) nadzorczego(-ych) dotyczącej jego obowiązków wynikających z niniejszych klauzul lub z rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.

3. Podmiot przetwarzający ma prawo rozwiązać Umowę Główną w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli po zawiadomieniu Administratora o tym, że jego polecenie narusza obowiązujące wymogi prawne zgodnie z klauzulą 7.1 lit. b), Administrator nalega na wypełnienie polecenia.

4. Po rozwiązaniu Umowy Głównej Podmiot przetwarzający, zależnie od decyzji Administratora, usuwa wszystkie dane osobowe przetwarzane w imieniu Administratora i poświadcza Administratorowi, że tego dokonał, lub zwraca Administratorowi wszystkie dane osobowe i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Podmiot przetwarzający zapewnia przestrzeganie niniejszych klauzul do czasu usunięcia lub zwrotu danych. 

§3. POSTANOWIENIA KOŃCOWE

1. Strony uzgadniają, że niniejsza Umowa zastępuje wszelkie wcześniejsze ustalenia dotyczące danych osobowych, które Strony mogły wcześniej zawrzeć w związku z Umową Główną.
2. W przypadku jakiejkolwiek sprzeczności w treści Umowy oraz Umowy Głównej w odniesieniu do przetwarzania danych osobowych pierwszeństwo mają zasady określone w niniejszej Umowie.
3. Niniejsza Umowa podlega prawu polskiemu, a Strony niniejszym poddają się jurysdykcji sądów polskich, chyba że obowiązujące przepisy o ochronie danych stanowią inaczej.

ZAŁĄCZNIK I – WYKAZ STRON

Strony określono w Umowie Głównej.

ZAŁĄCZNIK II – OPIS PRZETWARZANIA

Kategorie osób, których dane osobowe są przetwarzane: Klienci, którzy utworzyli Konto w Aplikacji,
w celu korzystania z Usług Administratora oraz Partnerzy będący osobami fizycznymi lub osoby fizyczne będące reprezentantami Partnerów.

Kategorie przetwarzanych danych osobowych: imię i nazwisko, numer telefonu, data urodzenia, zdjęcie profilowe, historia transakcji, historia czatu, lista kontaktów i komentarze.

Przetwarzane dane wrażliwe: -

Charakter przetwarzania: dokonywane zakupów za pośrednictwem Aplikacji dostarczanej przez Podmiot przetwarzający, dostosowane do zakresu Usług, z których korzystać będzie Klient, z częstotliwością uzależnioną od potrzeb Administratora.

Cele, w których dane osobowe są przetwarzane w imieniu administratora:

• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Czas trwania przetwarzania: do czasu zakończenia świadczenia usług na rzecz Klienta przez Administratora lub usunięcia przez Klienta Konta w Aplikacji, do czasu wypełnienia obowiązku prawnego lub do czasu wykonania do czasu realizacji celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

ZAŁĄCZNIK III – ŚRODKI TECHNICZNE I ORGANIZACYJNE, W TYM ŚRODKI TECHNICZNE I ORGANIZACYJNE W CELU ZAPEWNIENIA BEZPIECZEŃSTWA DANYCH

Opis technicznych i organizacyjnych środków bezpieczeństwa wdrożonych przez Podmiot przetwarzający:

• Szyfrowanie: metody szyfrowania (zarówno w trakcie przesyłania, jak i podczas ich przechowywania) wykorzystujące protokoły odpowiadające standardom branżowym, takie jak TLS (Transport Layer Security). 
• Kontrola dostępu: ścisła kontrola dostępu zapewniająca dostęp do danych osobowych tylko upoważnionym pracownikom. Obejmuje to kontrolę dostępu opartą na rolach (RBAC) oraz tzw. podejście zerowego zaufania (model Zero Trust).
• Kopie zapasowe: regularne wykonywanie kopii zapasowych wszystkich danych, aby zapobiec ich utracie. Kopie zapasowe są szyfrowane i bezpiecznie przechowywane
  w wybranych lokalizacjach.
• Bezpieczeństwo sieci: sieć jest chroniona przez zapory ogniowe (tzw. firewalle).
• Bezpieczne praktyki w pracach rozwojowych: przestrzeganie przez zespół deweloperski bezpiecznych praktyk podczas tworzenia kodu do platformy. Regularnie przeprowadzane są audyty bezpieczeństwa i przeglądy kodu, aby zapewnić integralność naszego oprogramowania.
• Audyty bezpieczeństwa i sprawdzenia zgodności: regularnie przeprowadzane są audyty bezpieczeństwa i zapewniana jest zgodność z odpowiednimi przepisami, a tam gdzie znajdzie to zastosowanie także ze standardami ochrony danych.
• Uwierzytelnianie użytkownika – stosowane są silne środki uwierzytelniania użytkownika, w tym hasło jednorazowe (OTP) i uwierzytelnianie dwuskładnikowe (2FA), które mają na celu chronić konta użytkowników.
• Aktualizacje oprogramowania – wszystkie komponenty oprogramowania są regularnie aktualizowane, co pozwala chronić platformę przed podatnościami.

ZAŁĄCZNIK IV: WYKAZ PODMIOTÓW PODPRZETWARZAJĄCYCH

Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług następujących podmiotów podprzetwarzających:

Footnotes

1. Celem niniejszych standardowych klauzul umownych („klauzule”) jest zapewnienie przestrzegania art. 28 ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.
2. Administrator i Podmiot przetwarzający uzgodnili niniejsze klauzule w celu zapewnienia przestrzegania art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 lub art. 29 ust. 3 i 4 rozporządzenia (UE) 2018/1725. 
3. Niniejsze Klauzule mają zastosowanie do przetwarzania danych osobowych określonego w załączniku II.
4. Załączniki I–IV stanowią integralną część Klauzul.
5. Niniejsze Klauzule pozostają bez uszczerbku dla obowiązków, którym podlega Administrator na mocy rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.
6. Niniejsze Klauzule same w sobie nie zapewniają wypełnienia obowiązków związanych z międzynarodowym przekazywaniem danych zgodnie z rozdziałem V rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725.