Umowa powierzenia przetwarzania danych

1. Zakres i strony

Niniejsza Umowa powierzenia przetwarzania danych („Umowa powierzenia”) stanowi część Warunków korzystania zawartych między Pitempo a Klientem i ma zastosowanie do wszystkich danych osobowych, które Pitempo przetwarza w imieniu Klienta przy świadczeniu Usługi („Dane osobowe Klienta”). Klient jest administratorem (lub — gdy działa w imieniu innego administratora — podmiotem przetwarzającym), a Pitempo jest podmiotem przetwarzającym (lub dalszym podmiotem przetwarzającym). W razie sprzeczności niniejsza Umowa powierzenia ma pierwszeństwo przed Warunkami w zakresie Danych osobowych Klienta.

2. Definicje

„Przepisy o ochronie danych” oznaczają wszystkie przepisy o ochronie danych osobowych mające zastosowanie do przetwarzania, w tym — w odpowiednim zakresie — rozporządzenie (UE) 2016/679 (RODO), brytyjskie RODO (UK GDPR) i brytyjską ustawę Data Protection Act 2018, szwajcarską federalną ustawę o ochronie danych (FADP), turecką ustawę nr 6698 o ochronie danych osobowych (KVKK), brazylijską ogólną ustawę o ochronie danych (LGPD) oraz przepisy stanów USA o ochronie prywatności, takie jak California Consumer Privacy Act (CCPA). Pojęcia „administrator”, „podmiot przetwarzający”, „dane osobowe”, „przetwarzanie”, „osoba, której dane dotyczą” i „naruszenie ochrony danych osobowych” mają znaczenie nadane im przez właściwe Przepisy o ochronie danych; na gruncie KVKK administratorem jest „veri sorumlusu”, a podmiotem przetwarzającym „veri işleyen”. Pozostałe pojęcia pisane wielką literą mają znaczenie nadane im w Warunkach.

3. Szczegóły przetwarzania

Przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, określa załącznik 1.

4. Polecenia

Pitempo przetwarza Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek taki nakłada na niego prawo; w takim przypadku przed rozpoczęciem przetwarzania Pitempo informuje Klienta o tym obowiązku prawnym, o ile prawo tego nie zabrania. Udokumentowanymi poleceniami Klienta są Warunki, niniejsza Umowa powierzenia oraz sposób, w jaki Klient korzysta z Usługi i ją konfiguruje. Pitempo niezwłocznie informuje Klienta, jeżeli jego zdaniem wydane polecenie narusza Przepisy o ochronie danych.

5. Poufność

Pitempo zapewnia, aby osoby upoważnione do przetwarzania Danych osobowych Klienta zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, a dostęp był ograniczony do niezbędnego zakresu.

6. Bezpieczeństwo

Pitempo stosuje środki techniczne i organizacyjne opisane w załączniku 2, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku. Pitempo może aktualizować te środki, pod warunkiem że ogólny poziom bezpieczeństwa nie ulegnie obniżeniu.

7. Dalsze podmioty przetwarzające

Klient udziela Pitempo ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Pitempo udostępnia Klientowi, na żądanie wysłane na adres privacy@pitempo.com, aktualną listę dalszych podmiotów przetwarzających wraz z ich funkcją i miejscem przetwarzania. Pitempo informuje Klienta o każdym zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego co najmniej 30 dni wcześniej, e-mailem lub w Usłudze. W tym terminie Klient może wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych; jeżeli strony nie zdołają rozstrzygnąć sprzeciwu, Klient może wypowiedzieć umowę w zakresie usługi, której zmiana dotyczy, przed jej wejściem w życie. Pitempo nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy, obowiązki w zakresie ochrony danych zapewniające co najmniej taki sam poziom ochrony jak niniejsza Umowa powierzenia i pozostaje odpowiedzialny wobec Klienta za wywiązywanie się przez dalsze podmioty przetwarzające z ich obowiązków.

Usługi, które Klient zamawia bezpośrednio i łączy z Usługą, na przykład własne konto u dostawcy SMS, nie są dalszymi podmiotami przetwarzającymi Pitempo; Klient poleca Pitempo przekazywanie im danych niezbędnych do świadczenia danej usługi.

8. Przekazywanie danych do państw trzecich

Pitempo przekazuje Dane osobowe Klienta do państwa trzeciego wyłącznie zgodnie z Przepisami o ochronie danych.

W zakresie, w jakim przetwarzanie obejmuje przekazywanie danych podlegające rozdziałowi V RODO, zastosowanie mają standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 („SKU”), które zostają włączone do niniejszej Umowy powierzenia przez odesłanie w następujący sposób: gdy Klient jest administratorem, ma zastosowanie moduł drugi, a gdy jest podmiotem przetwarzającym — moduł trzeci; ma zastosowanie klauzula 7 (klauzula dokująca); w klauzuli 9 lit. a) ma zastosowanie opcja 2 (ogólna pisemna zgoda, z 30-dniowym uprzedzeniem); fakultatywne brzmienie klauzuli 11 nie ma zastosowania; zgodnie z klauzulą 17 SKU podlegają prawu Irlandii, a zgodnie z klauzulą 18 spory rozstrzygają sądy Irlandii; właściwy organ nadzorczy ustala się zgodnie z klauzulą 13; załączniki I i II do SKU uzupełnia się informacjami z załączników 1 i 2 do niniejszej Umowy powierzenia, przy czym Klient jest podmiotem przekazującym dane, a Pitempo podmiotem odbierającym dane.

W przypadku przekazywania danych podlegającego brytyjskiemu RODO zastosowanie ma również International Data Transfer Addendum do standardowych klauzul umownych Komisji Europejskiej wydany przez brytyjskiego Information Commissionera. W przypadku przekazywania danych podlegającego FADP SKU stosuje się z dostosowaniami wymaganymi przez prawo szwajcarskie, a właściwym organem nadzorczym jest szwajcarski Federalny Komisarz ds. Ochrony Danych i Informacji. Jeżeli inne Przepisy o ochronie danych, na przykład KVKK lub LGPD, wymagają szczególnego instrumentu przekazywania danych, strony wprowadzą go przed dokonaniem przekazania.

9. Pomoc

Uwzględniając charakter przetwarzania oraz dostępne mu informacje, Pitempo pomaga Klientowi, poprzez odpowiednie środki techniczne i organizacyjne, w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków Klienta dotyczących bezpieczeństwa, naruszeń ochrony danych osobowych, oceny skutków dla ochrony danych i uprzednich konsultacji z organami nadzorczymi. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Pitempo z żądaniem dotyczącym Danych osobowych Klienta, Pitempo bez zbędnej zwłoki przekazuje żądanie Klientowi i nie odpowiada na nie samodzielnie, chyba że Klient tak poleci.

10. Naruszenia ochrony danych osobowych

Pitempo zawiadamia Klienta bez zbędnej zwłoki, a w miarę możliwości w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta. W zakresie, w jakim informacje są dostępne, zawiadomienie opisuje charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów, których dotyczy naruszenie, możliwe konsekwencje oraz środki zastosowane lub proponowane. Pitempo podejmuje rozsądne działania w celu ograniczenia naruszenia i złagodzenia jego skutków. Za zgłoszenie naruszenia organom nadzorczym i zawiadomienie osób, których dane dotyczą, gdy jest to wymagane, odpowiada Klient, na przykład w terminie 72 godzin na gruncie RODO oraz decyzji tureckiej Rady Ochrony Danych Osobowych.

11. Zwrot i usunięcie danych

Po zakończeniu świadczenia Usługi Pitempo umożliwia Klientowi eksport Danych osobowych Klienta w sposób opisany w pkt 14 Warunków, a następnie usuwa je w ciągu 30 dni od upływu okresu na odzyskanie danych, chyba że prawo wymaga ich przechowywania. Kopie znajdujące się w kopiach zapasowych są nadpisywane w normalnym cyklu tworzenia kopii i nie są przywracane, z wyjątkiem odtwarzania po awarii. Na żądanie Pitempo potwierdza usunięcie danych.

12. Informacje i audyty

Pitempo udostępnia Klientowi wszelkie informacje niezbędne do wykazania przestrzegania niniejszej Umowy powierzenia i art. 28 RODO oraz umożliwia Klientowi lub upoważnionemu przez niego niezależnemu audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Audyty należy zapowiadać z co najmniej 30-dniowym wyprzedzeniem; przeprowadza się je w zwykłych godzinach pracy, bez zakłócania działalności, z zachowaniem poufności i nie częściej niż raz w roku, chyba że naruszenie ochrony danych osobowych lub żądanie organu nadzorczego uzasadnia przeprowadzenie dodatkowego audytu. Pitempo może w pierwszej kolejności odpowiedzieć na żądanie audytu, przekazując informacje i dokumentację na piśmie. Każda ze stron ponosi własne koszty.

13. Przepisy stanów USA o ochronie prywatności

W zakresie, w jakim zastosowanie mają przepisy stanów USA o ochronie prywatności, Pitempo działa jako „service provider” lub „processor”. Pitempo nie sprzedaje ani nie udostępnia Danych osobowych Klienta; nie przechowuje, nie wykorzystuje ani nie ujawnia ich w żadnym celu innym niż świadczenie Usługi na rzecz Klienta, w tym w żadnym celu handlowym innym niż świadczenie Usługi, ani poza bezpośrednią relacją biznesową z Klientem; oraz nie łączy ich z danymi osobowymi otrzymanymi z innych źródeł, chyba że prawo na to zezwala. Pitempo wypełnia ciążące na nim obowiązki wynikające z tych przepisów, zapewnia wymagany przez nie poziom ochrony prywatności i zawiadamia Klienta, jeżeli stwierdzi, że nie jest już w stanie wypełniać swoich obowiązków. Klient może podjąć rozsądne i odpowiednie kroki w celu powstrzymania i usunięcia skutków nieuprawnionego wykorzystywania Danych osobowych Klienta. Pitempo oświadcza, że rozumie te ograniczenia i będzie ich przestrzegać.

14. Obowiązki Klienta

Klient odpowiada za zgodność przetwarzania z prawem, w tym za posiadanie podstawy prawnej, poinformowanie osób, których dane dotyczą (na przykład klientów, których pojazdy obsługuje), oraz uzyskanie wymaganych zgód. Klient nie może przechowywać w Usłudze szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących.

15. Odpowiedzialność i okres obowiązywania

Odpowiedzialność każdej ze stron na podstawie niniejszej Umowy powierzenia podlega ograniczeniom określonym w Warunkach, z wyjątkiem zakresu, w jakim Przepisy o ochronie danych lub SKU nie dopuszczają takiego ograniczenia. Niniejsza Umowa powierzenia obowiązuje tak długo, jak Pitempo przetwarza Dane osobowe Klienta.

Załącznik 1: Szczegóły przetwarzania

Załącznik 2: Środki techniczne i organizacyjne

• Szyfrowanie w transmisji: wszystkie połączenia z Usługą korzystają z HTTPS/TLS; e-maile są przekazywane do naszego dostawcy poczty przez szyfrowane połączenie (STARTTLS).
• Kontrola dostępu: logowanie za pomocą hasła i opcjonalnie kluczy dostępu (passkeys); hasła są przechowywane wyłącznie jako skróty z solą; jednorazowe kody weryfikacyjne wygasają po 5 minutach; limity liczby prób chronią przed atakami siłowymi; sesje wygasają.
• Oddzielenie Klientów: dane każdego Klienta są odizolowane na poziomie bazy danych za pomocą zasad zabezpieczeń na poziomie wierszy, tak aby żaden Klient nie miał dostępu do danych innego Klienta.
• Autoryzacja: uprawnienia oparte na rolach w ramach każdego Konta; ceny, koszty i zyski są widoczne wyłącznie dla upoważnionych ról, a pola, których dana rola nie może widzieć, w ogóle nie są wysyłane do jej przeglądarki.
• Rozliczalność: rejestry audytu zmian (kto, co, kiedy) oraz historia logowań z zamaskowanymi adresami IP.
• Dostęp administracyjny: dostęp do serwerów wyłącznie za pomocą kluczy SSH, z wyłączonym logowaniem hasłem i logowaniem na konto root; narzędzia administracyjne chronione dodatkową kontrolą dostępu; zasada minimalnych uprawnień.
• Dane uwierzytelniające połączonych usług: dane uwierzytelniające, które Klient wprowadza dla połączonych usług, na przykład kont dostawców SMS, są przechowywane w postaci zaszyfrowanej.
• Dostępność: codzienne kopie zapasowe bazy danych przechowywane przez 7 dni oraz udokumentowana procedura przywracania.
• Minimalizacja i okres przechowywania danych: automatyczna anonimizacja rejestrów wiadomości po 12 miesiącach; automatyczne usuwanie starych powiadomień, historii logowań po 180 dniach i tymczasowych danych importu po 30 dniach.
• Bezpieczne wytwarzanie oprogramowania: testy automatyczne, w tym testy izolacji Klientów i uprawnień dostępu, oraz audyty podatności zależności przed każdym wydaniem; niezwłoczne aktualizacje zabezpieczeń.
• Zarządzanie incydentami: procedura wykrywania, oceny, ograniczania i zgłaszania naruszeń ochrony danych osobowych.