Wersja wstępna dokumentu

To przejściowa, skrócona wersja dokumentu obowiązująca w okresie programu pilotażowego. Pełna wersja, wraz z kompletem danych rejestrowych operatora, zostanie opublikowana po zakończeniu weryfikacji prawnej. O zmianie poinformujemy z wyprzedzeniem na adres e-mail przypisany do konta.

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Wersja przejściowa 1.0-interim — obowiązuje od dnia publikacji.

Niniejsza umowa stanowi integralną część Regulaminu platformy RaisoPro i zostaje zawarta z chwilą akceptacji Regulaminu, na podstawie art. 28 ust. 3 RODO.

§1. Strony

  1. Administrator — przedsiębiorca korzystający z Platformy (Subskrybent), który wprowadza do niej dane osobowe swoich klientów końcowych i pracowników.
  2. Podmiot przetwarzający — Marek Suchocki, twórca projektu rozwijanego pod marką RaisoPro, adres poczty elektronicznej: [email protected] (dalej: Operator). Kontakt: [email protected].
  3. Operator zastrzega sobie prawo do przeniesienia praw i obowiązków wynikających z niniejszej Umowy (wraz z przeniesieniem praw i obowiązków wynikających z Regulaminu) na inny podmiot, w tym podmiot powiązany z Operatorem lub następcę prawnego, na co Administrator wyraża zgodę. O zamiarze przeniesienia Operator zawiadomi Administratora drogą elektroniczną co najmniej 14 dni wcześniej, wskazując dane nowego podmiotu przetwarzającego. Administrator może w tym terminie wyrazić sprzeciw; sprzeciw jest równoznaczny z wypowiedzeniem umowy o świadczenie usług ze skutkiem na dzień przeniesienia.

§2. Przedmiot, charakter i cel przetwarzania

  1. Administrator powierza Operatorowi przetwarzanie danych osobowych w celu i w zakresie niezbędnym do świadczenia usług Platformy: prowadzenia kalendarza i rezerwacji, bazy klientów, obsługi wizyt i dokumentacji, realizacji komunikacji (SMS, e-mail, powiadomienia push) oraz udostępniania raportów i analiz.
  2. Przetwarzanie ma charakter zautomatyzowany i odbywa się w systemach teleinformatycznych Operatora.
  3. Operator przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uznaje się Regulamin, niniejszą umowę oraz czynności wykonywane przez Administratora i jego użytkowników w Platformie.

§3. Czas trwania

Powierzenie trwa przez okres obowiązywania umowy o świadczenie usług i kończy się wraz z jej rozwiązaniem, z zastrzeżeniem §9.

§4. Rodzaje danych i kategorie osób

  1. Kategorie osób: klienci końcowi Administratora, osoby kontaktowe, pracownicy i współpracownicy Administratora korzystający z Platformy.
  2. Rodzaje danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, numer telefonu, adres e-mail), dane o wizytach i usługach, historia komunikacji i zgód marketingowych, notatki wprowadzone przez Administratora, dane rozliczeniowe, a w zakresie modułów branżowych — dane dotyczące przedmiotu usługi (np. dane pojazdu) oraz dokumentacja fotograficzna.
  3. Administrator zobowiązuje się nie wprowadzać do Platformy szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), o ile nie uzgodni z Operatorem odrębnie warunków takiego przetwarzania. Za wprowadzenie takich danych wbrew niniejszemu zobowiązaniu odpowiada Administrator.

§5. Obowiązki Operatora

Operator zobowiązuje się do:

  1. przetwarzania danych wyłącznie na polecenie Administratora, w tym w zakresie transferów poza EOG, chyba że obowiązek wynika z prawa Unii lub prawa krajowego — wówczas Operator informuje Administratora przed przetwarzaniem, o ile prawo tego nie zakazuje;
  2. zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
  3. stosowania środków bezpieczeństwa wymaganych art. 32 RODO (§6);
  4. przestrzegania warunków korzystania z podprocesorów (§7);
  5. pomocy Administratorowi — w miarę możliwości i przy uwzględnieniu charakteru przetwarzania — w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (§8);
  6. pomocy Administratorowi w wywiązaniu się z obowiązków wynikających z art. 32–36 RODO, przy uwzględnieniu charakteru przetwarzania i informacji dostępnych Operatorowi;
  7. usunięcia lub zwrotu danych po zakończeniu świadczenia usług (§9);
  8. udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia audytów na zasadach z §10.

§6. Bezpieczeństwo przetwarzania

Operator stosuje w szczególności: szyfrowanie transmisji (TLS), kontrolę dostępu opartą na rolach i uprawnieniach, logiczne rozdzielenie danych poszczególnych Administratorów, przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, rejestrowanie zdarzeń istotnych dla bezpieczeństwa, regularne kopie zapasowe wraz z testami odtworzenia, aktualizacje komponentów oraz procedurę reagowania na incydenty.

§7. Podprocesorzy

  1. Administrator wyraża ogólną zgodę na korzystanie przez Operatora z podprocesorów, przy zachowaniu warunków z niniejszego paragrafu.
  2. Na dzień zawarcia umowy Operator korzysta z podprocesorów: OVH (hosting, baza danych, kopie zapasowe), Resend i Amazon Web Services (SES) (poczta elektroniczna), SMSAPI i JustSend (wiadomości SMS), Functional Software (Sentry) (monitoring błędów, bez domyślnego przekazywania danych osobowych), OpenRouter (moduł AI — wyłącznie dane firmy i parametry kampanii, bez danych klientów końcowych), dostawcy usług księgowych i fakturowania.
  3. O zamiarze dodania lub zmiany podprocesora Operator informuje Administratora z co najmniej 14-dniowym wyprzedzeniem, na adres e-mail przypisany do konta lub w Platformie. Administrator może w tym terminie wnieść uzasadniony sprzeciw; w razie braku porozumienia każda ze stron może rozwiązać umowę o świadczenie usług w zakresie objętym sprzeciwem.
  4. Operator nakłada na podprocesorów obowiązki ochrony danych nie mniej rygorystyczne niż wynikające z niniejszej umowy i odpowiada wobec Administratora za ich działania i zaniechania jak za własne.

§8. Prawa osób, których dane dotyczą

  1. Żądania osób, których dane dotyczą, rozpatruje Administrator. Operator nie odpowiada na nie samodzielnie.
  2. Jeżeli żądanie wpłynie do Operatora, przekazuje je Administratorowi bez zbędnej zwłoki.
  3. Operator udostępnia Administratorowi funkcje Platformy umożliwiające samodzielną realizację żądań (dostęp, sprostowanie, usunięcie, eksport danych), a gdy jest to niewystarczające — udziela rozsądnej pomocy technicznej.

§9. Zakończenie przetwarzania

  1. Po rozwiązaniu umowy o świadczenie usług Administrator ma 30 dni na samodzielny eksport danych z Platformy.
  2. Po upływie tego terminu Operator usuwa lub anonimizuje powierzone dane, w tym z systemów pomocniczych, z zastrzeżeniem ust. 3.
  3. Dane pozostające w kopiach zapasowych są usuwane wraz z rotacją kopii, nie później niż w ciągu 30 dni. Operator może zachować dane, których przechowywanie nakazuje prawo Unii lub prawo krajowe, wyłącznie w tym zakresie i przez wymagany okres.
  4. Na żądanie Administratora Operator potwierdza usunięcie danych.

§10. Audyt

  1. Administrator ma prawo weryfikować spełnianie przez Operatora obowiązków wynikających z art. 28 RODO.
  2. W pierwszej kolejności weryfikacja odbywa się w drodze udostępnienia przez Operatora informacji, dokumentacji lub posiadanych certyfikatów i raportów, w terminie 30 dni od żądania.
  3. Jeżeli informacje te okażą się niewystarczające, Administrator może przeprowadzić audyt w siedzibie Operatora lub zlecić go niezależnemu audytorowi zobowiązanemu do poufności — po uzgodnieniu terminu i zakresu, z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku kalendarzowym (poza przypadkiem stwierdzonego naruszenia ochrony danych).
  4. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków po stronie Operatora. Zasady rozliczenia zaangażowania Operatora wykraczającego poza rozsądny zakres strony uzgadniają każdorazowo przed rozpoczęciem audytu.

§11. Naruszenia ochrony danych

  1. Operator zgłasza Administratorowi każde stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
  2. Zgłoszenie zawiera dostępne informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i rekordów, możliwych konsekwencjach oraz zastosowanych lub proponowanych środkach zaradczych. Informacje uzupełniające Operator przekazuje sukcesywnie.
  3. Zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, dokonuje Administrator.

§12. Postanowienia końcowe

  1. Niniejsza umowa jest wersją przejściową. Operator opublikuje pełną wersję dokumentu w trybie zmiany Regulaminu.
  2. W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego.
  3. W razie sprzeczności między niniejszą umową a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
← Wróć do serwisu