Umowa powierzenia przetwarzania danych

Ta strona opisuje naszą standardową umowę powierzenia przetwarzania danych, aby mogli się Państwo z nią zapoznać przed złożeniem wniosku o nią. Sama nie stanowi umowy i nie tworzy żadnych zobowiązań. Wiążąca jest zawarta umowa powierzenia przetwarzania danych (DPA) wraz z załącznikami, a w razie rozbieżności między tą stroną a zawartą umową DPA pierwszeństwo ma zawarta umowa DPA.

Zawsze wtedy, gdy budujemy, hostujemy, utrzymujemy lub wspieramy system zawierający dane osobowe należące do Państwa lub Państwa użytkowników. To Państwo są administratorem (lub przedsiębiorstwem – business); DCI Brands LLC jest podmiotem przetwarzającym (lub usługodawcą). Umowa DPA stanowi część umowy o współpracy. Jeżeli w grę wchodzą chronione informacje zdrowotne, podpisywana jest również umowa Business Associate Agreement, której postanowienia mają pierwszeństwo w odniesieniu do tych danych.

Wszystko, czego wymaga art. 28 ust. 3 RODO, oraz odpowiedniki na podstawie brytyjskiego RODO (UK GDPR) i szwajcarskiej federalnej ustawy o ochronie danych (FADP):

1. Opis przetwarzania: przedmiot, czas trwania, charakter i cel, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, w załączniku właściwym dla Państwa współpracy.
2. Przetwarzanie wyłącznie na Państwa udokumentowane polecenie, również w odniesieniu do przekazywania danych, oraz nasze zobowiązanie do poinformowania Państwa, jeżeli naszym zdaniem polecenie narusza przepisy o ochronie danych.
3. Poufność: każda osoba upoważniona przez nas do przetwarzania Państwa danych jest związana pisemnym zobowiązaniem do zachowania poufności.
4. Bezpieczeństwo: środki techniczne i organizacyjne określone w załączniku, spełniające wymogi art. 32. Możemy je aktualizować, pod warunkiem że poziom ochrony nie zostanie istotnie obniżony.
5. Dalsze podmioty przetwarzające: Państwa ogólna pisemna zgoda, nałożenie przez nas na nie na piśmie równoważnych obowiązków oraz nasza odpowiedzialność za wykonywanie przez nie obowiązków.
6. Pomoc w realizacji praw osób, których dane dotyczą: dostępu, sprostowania, usunięcia, przenoszenia, ograniczenia przetwarzania i sprzeciwu, z uwzględnieniem charakteru przetwarzania.
7. Pomoc w wywiązywaniu się z obowiązków określonych w art. 32–36: bezpieczeństwo, zgłaszanie naruszeń, oceny skutków dla ochrony danych oraz uprzednie konsultacje, z uwzględnieniem dostępnych nam informacji.
8. Usunięcie lub zwrot danych po zakończeniu współpracy, według Państwa wyboru.
9. Informacje i audyty, zgodnie z opisem w sekcji 8.
10. Warunki przekazywania danych: standardowe klauzule umowne, brytyjski aneks (UK Addendum) i zmiany szwajcarskie, z wypełnionymi załącznikami.
11. Warunki wynikające z przepisów stanowych USA: działamy jako usługodawca lub podmiot przetwarzający, nie sprzedajemy ani nie udostępniamy Państwa danych, nie przechowujemy, nie wykorzystujemy ani nie ujawniamy ich poza bezpośrednią relacją biznesową ani w jakimkolwiek innym celu niż realizacja współpracy i nie łączymy ich z danymi z innych źródeł.
12. Państwa zapewnienia: że dysponują Państwo podstawą prawną, przekazali informacje i uzyskali zgody należne Państwa użytkownikom oraz że Państwa polecenia są zgodne z prawem.

Przetwarzamy je wyłącznie na Państwa udokumentowane polecenie i wyłącznie w celu realizacji współpracy: budowy, testowania, wdrażania, hostowania, monitorowania, tworzenia kopii zapasowych i wspierania systemu. Nie wykorzystujemy ich do własnych celów i ich nie sprzedajemy.

Nie wykorzystujemy Państwa danych osobowych do trenowania, dostrajania ani ulepszania jakiegokolwiek modelu, a nasze dalsze podmioty przetwarzające są umownie skonfigurowane tak, aby również tego nie robiły. Możemy generować zagregowane statystyki dotyczące działania systemu wyłącznie wtedy, gdy nie można ich powiązać z Państwem, Państwa użytkownikami ani jakąkolwiek osobą.

Korzystamy z dalszych podmiotów przetwarzających wyłącznie wtedy, gdy wymaga tego współpraca, na podstawie pisemnych warunków zapewniających ochronę co najmniej równoważną umowie DPA, i pozostajemy odpowiedzialni za ich działania. Kategorie: infrastruktura chmurowa w regionie wskazanym w Państwa ofercie, dostarczanie transakcyjnych wiadomości e-mail oraz dostawcy usług mowy, języka i modeli, jeżeli dana funkcja tego wymaga, a oferta ich wskazuje. Zawarta umowa DPA wymienia konkretnych dostawców dla Państwa współpracy.

Informujemy z 30-dniowym wyprzedzeniem przed dodaniem nowego dalszego podmiotu przetwarzającego. W tym okresie mogą Państwo wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; będziemy z Państwem współpracować w dobrej wierze, a jeżeli nie uda się rozwiązać problemu, każda ze stron może rozwiązać umowę w zakresie usługi, której to dotyczy, ze zwrotem proporcjonalnej części przedpłaconych, niewykorzystanych opłat. Jest to jedyny przysługujący środek. Dostawy w środowisku lokalnym (on-premise) i w środowisku odizolowanym (air-gapped) całkowicie eliminują dalszy podmiot przetwarzający w zakresie infrastruktury.

Dostarczane systemy są wyposażone w środki określone w załączniku dotyczącym bezpieczeństwa: co najmniej szyfrowanie podczas przesyłania i w spoczynku, kontrolę dostępu opartą na rolach, ustrukturyzowane rejestrowanie zdarzeń na potrzeby audytu oraz bezpieczne usuwanie plików tymczasowych. Dostęp personelu jest ograniczony do wskazanych z imienia i nazwiska osób, które go potrzebują, i jest rejestrowany. W przypadku współpracy w branżach regulowanych stosuje się dodatkowo mechanizmy kontroli wskazane w Państwa załączniku.

Powiadamiamy Państwa bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Państwa danych, a w każdym razie w ciągu 72 godzin od jego stwierdzenia. Powiadomienie określa, co wiemy, co zrobiliśmy i co zalecamy; pierwsze powiadomienie może mieć charakter wstępny i uzupełniamy je w miarę uzyskiwania dalszych informacji. Nie zgłaszamy nieudanych prób dostępu, skanowań ani pingów, a powiadomienie nie stanowi przyznania się do winy ani odpowiedzialności.

Pomagamy Państwu odpowiadać na żądania dostępu, sprostowania, usunięcia i przenoszenia danych w terminie, jaki przewiduje dla Państwa prawo.

Audyty rozpoczynają się od dokumentów. Na żądanie, raz na każde 12 miesięcy, przekazujemy naszą dokumentację bezpieczeństwa, załącznik dotyczący środków oraz wypełniony kwestionariusz bezpieczeństwa. Jeżeli okaże się to rzeczywiście niewystarczające, po potwierdzonym naruszeniu dotyczącym Państwa danych lub gdy wymaga tego organ nadzorczy, mogą Państwo przeprowadzić u nas audyt za 30-dniowym pisemnym uprzedzeniem, raz na każde 12 miesięcy, w godzinach pracy, na własny koszt, z zachowaniem poufności, bez zakłócania naszej działalności ani danych innych klientów, z udziałem audytora, który nie jest naszym konkurentem.

Dane produkcyjne w spoczynku pozostają w regionie wskazanym w Państwa ofercie. Dostęp administracyjny z innych lokalizacji oraz wszelkie nieuniknione przekazanie danych poza EOG, Zjednoczone Królestwo lub Szwajcarię są objęte standardowymi klauzulami umownymi i odpowiednimi aneksami.

Zwracamy lub usuwamy Państwa dane osobowe, według Państwa wyboru, i poświadczamy ich usunięcie. Kopie w zaszyfrowanych kopiach zapasowych są usuwane w ramach zwykłego cyklu kopii zapasowych i do tego czasu pozostają chronione. Zachowujemy wyłącznie to, co jesteśmy zobowiązani zachować na mocy prawa.

Prosimy napisać na adres constantine@vavusai.com, podając numer referencyjny oferty. Przesyłamy umowę do podpisu wraz z umową o współpracy. Rozpatrzymy Państwa własną umowę DPA i podpiszemy ją, jeżeli jej warunki są w istotnym zakresie zgodne z naszymi; w przeciwnym razie pierwszeństwo ma nasza umowa.