Umowa powierzenia przetwarzania danych osobowych

1.1Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa Powierzenia”) jest zawierana między klientem korzystającym z Produktów („Administrator”) a AESTHETECH Sp. z o.o. z siedzibą we Wrocławiu, ul. Hubska 52/14, 50-502 Wrocław, KRS 0001191504, NIP 8993034214 („Podmiot Przetwarzający”).

1.2Umowa Powierzenia stanowi załącznik do umowy, na podstawie której Podmiot Przetwarzający udostępnia Administratorowi Produkty („Umowa Główna”). Jest zawierana wraz z Umową Główną i obowiązuje tak długo, jak Podmiot Przetwarzający przetwarza dane osobowe w imieniu Administratora.

1.3Umowa Powierzenia wykonuje art. 28 ust. 3 rozporządzenia (UE) 2016/679 („RODO”). W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma Umowa Powierzenia.

2.1Pojęcia takie jak „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą” i „naruszenie ochrony danych osobowych” mają znaczenie nadane im w RODO. Ponadto:

1. (a)„Produkty” – Loop CRM i agent AI, wraz z ich konfiguracją i integracjami, udostępniane na podstawie Umowy Głównej;
2. (b)„Dane Administratora” – dane osobowe przetwarzane przez Podmiot Przetwarzający w imieniu Administratora w związku z Produktami;
3. (c)„Dalszy Podmiot Przetwarzający” – inny podmiot przetwarzający, któremu Podmiot Przetwarzający powierza określone czynności przetwarzania w imieniu Administratora.

3.1Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie Danych Administratora wyłącznie w celu udostępniania, utrzymania, zabezpieczenia i wsparcia Produktów zgodnie z Umową Główną.

4.1Podmiot Przetwarzający zobowiązuje się:

1. (a)przetwarzać Dane Administratora wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państw trzecich; poleceniami są Umowa Główna, Umowa Powierzenia oraz konfiguracja Produktów dokonana przez Administratora;
2. (b)niezwłocznie informować Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych;
3. (c)zapewnić, by osoby upoważnione do przetwarzania Danych Administratora zobowiązały się do zachowania tajemnicy;
4. (d)stosować środki bezpieczeństwa wymagane art. 32 RODO, opisane w § 5;
5. (e)przestrzegać warunków korzystania z Dalszych Podmiotów Przetwarzających określonych w § 6;
6. (f)pomagać Administratorowi, uwzględniając charakter przetwarzania, w odpowiadaniu na żądania osób, których dane dotyczą (§ 7);
7. (g)pomagać Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO, w tym zgłaszania naruszeń i oceny skutków dla ochrony danych;
8. (h)po zakończeniu świadczenia Produktów usunąć lub zwrócić Dane Administratora zgodnie z § 12;
9. (i)udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwiać audyty zgodnie z § 9.

5.1Uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, Podmiot Przetwarzający stosuje w szczególności następujące środki:

1. (a)szyfrowanie danych w transmisji (TLS) oraz w spoczynku w zakresie zapewnianym przez dostawców hostingu i bazy danych;
2. (b)kontrolę dostępu opartą na rolach i zasadzie najmniejszych uprawnień, z separacją danych każdego Administratora;
3. (c)uwierzytelnianie wieloskładnikowe przy dostępie administracyjnym;
4. (d)logi audytowe zmian dokonywanych w Produktach;
5. (e)regularne kopie zapasowe i zdolność szybkiego przywrócenia dostępności danych;
6. (f)bezpieczny proces wytwarzania oprogramowania, w tym przegląd kodu i testy automatyczne przed wdrożeniem;
7. (g)zobowiązania do poufności i szkolenia osób mających dostęp do Danych Administratora.

6.1Administrator udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z Dalszych Podmiotów Przetwarzających. Podmioty, z których Podmiot Przetwarzający korzysta w dniu wejścia w życie Umowy Powierzenia, wskazano poniżej.

6.2Integracje, które Administrator łączy z własnymi kontami u podmiotów trzecich (np. operatora płatności online, serwisu do fakturowania lub kalendarza), są wykorzystywane na polecenie Administratora i podlegają jego własnym umowom z tymi podmiotami.

6.3Podmiot Przetwarzający informuje Administratora e-mailem o zamiarze dodania lub zastąpienia Dalszego Podmiotu Przetwarzającego co najmniej 30 dni wcześniej. W tym terminie Administrator może wnieść uzasadniony sprzeciw. Jeżeli strony nie rozwiążą sprzeciwu, Administrator może wypowiedzieć Umowę Główną w zakresie danego Produktu.

6.4Podmiot Przetwarzający nakłada na każdy Dalszy Podmiot Przetwarzający obowiązki ochrony danych nie mniej rygorystyczne niż określone w Umowie Powierzenia i ponosi wobec Administratora pełną odpowiedzialność za ich wykonanie.

7.1Jeżeli Podmiot Przetwarzający otrzyma żądanie osoby, której dane dotyczą, w zakresie Danych Administratora, niezwłocznie przekazuje je Administratorowi i nie odpowiada na nie samodzielnie bez polecenia. Produkty umożliwiają Administratorowi dostęp do Danych Administratora, ich poprawianie, eksport i usuwanie.

8.1Podmiot Przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych dotyczące Danych Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

8.2Zgłoszenie zawiera, w dostępnym zakresie, informacje wymienione w art. 33 ust. 3 RODO. Informacje niedostępne w chwili zgłoszenia są przekazywane etapami, bez dalszej zbędnej zwłoki. Podmiot Przetwarzający podejmuje działania w celu zaradzenia naruszeniu i zminimalizowania jego skutków.

9.1Podmiot Przetwarzający udostępnia Administratorowi, na jego żądanie, informacje niezbędne do wykazania zgodności z Umową Powierzenia, w tym opis środków bezpieczeństwa i dokumentację dotyczącą Dalszych Podmiotów Przetwarzających.

9.2Administrator może przeprowadzić audyt samodzielnie lub przez audytora zobowiązanego do poufności, nie częściej niż raz na 12 miesięcy, z co najmniej 30-dniowym pisemnym wyprzedzeniem, w godzinach pracy i bez zakłócania działalności Podmiotu Przetwarzającego. Dodatkowe audyty są dopuszczalne po naruszeniu ochrony danych lub na żądanie organu nadzorczego. Każda ze stron ponosi własne koszty audytu.

10.1Dane Administratora mogą być przekazywane poza Europejski Obszar Gospodarczy wyłącznie do Dalszych Podmiotów Przetwarzających wskazanych w § 6 lub na polecenie Administratora, i tylko na podstawie decyzji stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń z rozdziału V RODO, w szczególności standardowych klauzul umownych (decyzja wykonawcza Komisji (UE) 2021/914).

11.1Treść rozmów z agentem AI oraz generowane przez niego odpowiedzi stanowią Dane Administratora.

11.2Dane Administratora nie są wykorzystywane do trenowania modeli sztucznej inteligencji ani przez Podmiot Przetwarzający, ani przez Dalszych Podmiotów Przetwarzających. Podmiot Przetwarzający korzysta z dostawców modeli językowych wyłącznie na warunkach wyłączających takie wykorzystanie.

11.3Podmiot Przetwarzający konfiguruje agenta AI tak, aby najpóźniej przy pierwszej interakcji informował rozmówców, że wchodzą w interakcję z systemem AI (art. 50 ust. 1 rozporządzenia (UE) 2024/1689). Administrator, jako podmiot stosujący, nie usuwa ani nie ukrywa tej informacji i opisuje korzystanie z agenta AI we własnej informacji o przetwarzaniu danych dla odwiedzających.

12.1W terminie 30 dni od zakończenia Umowy Głównej Podmiot Przetwarzający, według wyboru Administratora, zwraca Dane Administratora w powszechnie używanym formacie nadającym się do odczytu maszynowego albo je usuwa, wraz z istniejącymi kopiami, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie.

12.2Kopie w kopiach zapasowych są usuwane w ramach zwykłej rotacji kopii zapasowych i do tego czasu pozostają chronione zgodnie z Umową Powierzenia.

13.1Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO zgodnie z art. 82 RODO. W pozostałym zakresie odpowiedzialność stron reguluje Umowa Główna.

13.2Umowa Powierzenia podlega prawu polskiemu. Zmiany wymagają formy pisemnej lub dokumentowej, z wyjątkiem aktualizacji listy Dalszych Podmiotów Przetwarzających dokonywanych zgodnie z § 6.