Umowa powierzenia przetwarzania danych osobowych

Administrator: Usługobiorca, a jeżeli Pracownię prowadzi inny podmiot niż on sam, ten podmiot (§ 7 ust. 6 Regulaminu). Administrator decyduje, jakie dane swoich klientów wprowadza do Serwisu i w jakim celu.

Podmiot przetwarzający: Usługodawca, czyli Hanna Półtorak, prowadząca działalność gospodarczą pod firmą VISUAL SPACE Hanna Półtorak, adres do doręczeń: ul. Świemirowska 15 lok. 1, 81-877 Sopot, NIP 5851502129, REGON 526447544, adres kontaktowy w sprawach danych: kontakt@projado.com.

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w związku ze świadczeniem usługi Serwisu, czyli narzędzia do prowadzenia projektów wnętrz (ankieta, inwentaryzacja, koncepcje, inspiracje, lista produktów, konsultacje). Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu świadczenia tej usługi na rzecz Administratora, na jego udokumentowane polecenie wyrażone przez korzystanie z funkcji Serwisu.

Umowa obowiązuje przez czas trwania Umowy o świadczenie usług, od założenia Pracowni do jej usunięcia albo do usunięcia ostatniego Konta z rolą Właściciela, i wygasa z chwilą jej zakończenia, z zastrzeżeniem pkt 12 (zwrot i usunięcie danych).

Przetwarzanie ma charakter ciągły i zautomatyzowany. Obejmuje operacje niezbędne do działania Serwisu: zapis, odczyt, aktualizację, udostępnianie w ramach Pracowni i przez Linki dla Klienta, generowanie eksportów na żądanie Administratora oraz usuwanie po zakończeniu przechowywania.

Kategorie osób: klienci Administratora (osoby fizyczne, dla których lub z którymi Administrator prowadzi projekt) oraz osoby kontaktowe po stronie firm klienta.

Kategorie danych:

1) imię i nazwisko oraz dane kontaktowe klienta;

2) dane firmy klienta do faktury (nazwa, NIP);

3) notatki Administratora o kliencie;

4) adres realizowanej inwestycji;

5) odpowiedzi na pytania ankiety: potrzeby, styl, budżet i skład gospodarstwa domowego; dobrowolne odpowiedzi o rozwiązaniach dostępności wnętrza; a także odpowiedzi o pokoju dziecka (wiek i liczba dzieci, ich zajęcia i zainteresowania, ulubione i nielubiane kolory oraz styl, a także to, czego potrzebuje pokój: łóżko, biurko, przechowywanie, miejsce do zabawy);

6) przesłane zdjęcia, inspiracje, pliki i dokumentacja pomiarowa;

7) komentarze i akceptacje materiałów, w tym imię i nazwisko podane przez klienta przy akceptacji przez Link dla Klienta, wraz z informacją, czy zostało wpisane samodzielnie, czy potwierdzone z danych podanych przez Administratora, bez adresu IP i bez danych przeglądarki;

8) listy produktów i zakupów oraz terminy konsultacji;

9) obrazy (najczęściej zrzuty ekranu) dołączone przez Członka Pracowni do rozmowy z pomocą, w zakresie, w jakim widać na nich dane klientów Administratora.

Ankieta nie pyta o niczyje zdrowie ani diagnozę, ani o to, dla kogo i dlaczego potrzebne są rozwiązania dostępności. Niektóre dobrowolne odpowiedzi o cechach przestrzeni mogą pośrednio ujawniać potrzeby zdrowotne; Podmiot przetwarzający nigdy nie wykorzystuje ich do wnioskowania o czyimkolwiek zdrowiu. Pytania o dostępność przestrzeni, czyli o rozwiązania, które projekt ma uwzględnić (na przykład brak progów, uchwyty, prysznic bez brodzika), są zadawane tylko wtedy, gdy Administrator włączy je w danym projekcie, a więc na jego polecenie. Podmiot przetwarzający nie włącza ich sam i zapisuje, kto w zespole Administratora i kiedy ustalił zakres pytań. Pytania o pokój dziecka są domyślnie włączone i Administrator może je wyłączyć; gdy są włączone, klient musi odpowiedzieć na pytanie o wiek dziecka, zanim wyśle ankietę (jedną z odpowiedzi jest „Nie wiem”), a pozostałe pytania o dzieci są dobrowolne. Wszystkie pozostałe pytania, o których mowa w tym punkcie, są dla klienta dobrowolne.

Odpowiedzi o rozwiązaniach dostępności wnętrza, treść pól opisowych, zdjęcia i pliki mogą w niektórych przypadkach pośrednio ujawniać informacje o zdrowiu domowników (art. 9 RODO). Podmiot przetwarzający nie sprawdza treści pól opisowych i nie może wykluczyć, że Administrator lub jego klient wprowadzi tam dane szczególnej kategorii. Administrator decyduje, czy wysyła klientowi ankietę i czy zadaje te pytania, i odpowiada za podstawę prawną przetwarzania odpowiedzi. Podmiot przetwarzający stosuje do tych danych środki bezpieczeństwa opisane w pkt 9.

Podmiot przetwarzający zobowiązuje się:

1) przetwarzać dane osobowe wyłącznie w celu i zakresie wskazanym w pkt 1 i 3, na udokumentowane polecenie Administratora;

2) zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;

3) stosować środki bezpieczeństwa opisane w pkt 9;

4) przestrzegać warunków dalszego powierzenia opisanych w pkt 7;

5) pomagać Administratorowi w realizacji obowiązków wynikających z art. 32–36 RODO oraz w odpowiadaniu na żądania osób, których dane dotyczą (pkt 8);

6) po zakończeniu świadczenia usług zwrócić lub usunąć dane zgodnie z pkt 12;

7) udostępniać Administratorowi informacje niezbędne do wykazania zgodności z umową oraz umożliwiać audyty zgodnie z pkt 11;

8) niezwłocznie informować Administratora, jeżeli jego polecenie narusza RODO lub inne przepisy o ochronie danych.

Administrator zobowiązuje się:

1) posiadać podstawę prawną przetwarzania danych klientów, które wprowadza do Serwisu;

2) wprowadzać do Serwisu wyłącznie dane niezbędne do realizacji projektu;

3) odpowiadać samodzielnie na żądania osób, których dane dotyczą, kierowane bezpośrednio do niego, oraz na te przekazane przez Podmiot przetwarzający zgodnie z pkt 8;

4) usunąć z Serwisu dane klienta, gdy zakończenie współpracy z nim wiąże się z obowiązkiem ich usunięcia.

Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z podwykonawców wymienionych poniżej, pod warunkiem nałożenia na nich tych samych obowiązków ochrony danych, jakie wiążą Podmiot przetwarzający na mocy tej umowy.

O zamiarze dodania lub zastąpienia podwykonawcy Podmiot przetwarzający zawiadamia Właścicieli Pracowni e-mailem, na adresy ich Kont, co najmniej 14 dni przed zmianą. W tym czasie Administrator może wnieść sprzeciw. Jeżeli strony nie usuną przyczyny sprzeciwu, Administrator może rozwiązać Umowę o świadczenie usług przed wejściem zmiany w życie i pobrać kopię danych Pracowni (pkt 12).

Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wypełnienie obowiązków ochrony danych przez swoich podwykonawców (art. 28 ust. 4 RODO).

Podwykonawcy:

1) Hetzner Online GmbH (Gunzenhausen, Niemcy): hosting serwera, bazy danych i plików. Zakres: wszystkie dane opisane w pkt 4, przechowywane na serwerach w Niemczech (Norymberga).

2) Lettermint B.V. (Zwolle, Holandia): dostawca poczty transakcyjnej. Zakres: adres e-mail odbiorcy i treść wiadomości wysyłanych w związku z projektem. Przetwarzanie w Unii Europejskiej.

3) Cloudflare, Inc. (San Francisco, USA): ochrona sieciowa i dostarczanie stron Serwisu. Zakres: cały ruch między przeglądarką a Serwisem w chwili przesyłania, a więc wszystkie dane opisane w pkt 4 w trakcie ich przesyłania, oraz adresy IP. Przetwarzanie w globalnej sieci Cloudflare, możliwe poza Europejskim Obszarem Gospodarczym, w tym w USA.

4) OVH SAS (Roubaix, Francja): skrzynka pocztowa adresu kontaktowego Podmiotu przetwarzającego. Zakres: wiadomości wysłane na ten adres, w tym żądania klientów Administratora przekazywane zgodnie z pkt 8. Przetwarzanie w Unii Europejskiej.

5) GitLab Inc. (San Francisco, USA): repozytorium kodu i potoki budowania Podmiotu przetwarzającego. Zakres: zaszyfrowana kopia bazy danych, zawierająca dane opisane w pkt 4 z wyjątkiem zdjęć i plików, przechowywana najwyżej jeden dzień, gdy Podmiot przetwarzający sprawdza, czy kopie zapasowe da się odtworzyć, albo odbudowuje serwer po awarii; GitLab przechowuje też klucz, który otwiera tę kopię. Przetwarzanie możliwe poza Europejskim Obszarem Gospodarczym, w tym w USA.

Dane są przekazywane poza Europejski Obszar Gospodarczy przez Cloudflare i przez GitLab, na podstawie standardowych klauzul umownych Komisji Europejskiej zawartych w ich umowach powierzenia oraz ich udziału w programie Ram Ochrony Danych UE–USA (EU–US Data Privacy Framework). Przechowywane dane (baza danych, pliki, poczta) pozostają w Unii Europejskiej; jedyną kopią przechowywaną poza nią jest zaszyfrowana kopia bazy danych opisana w ppkt 5, najwyżej przez jeden dzień. Podmiot przetwarzający odszyfrowuje i odtwarza tę kopię wyłącznie na kontrolowanym przez siebie serwerze budującym w Polsce, w bazie, która istnieje tylko na czas sprawdzenia. Na żądanie Podmiot przetwarzający przekazuje Administratorowi kopię klauzul.

Google Identity Services (logowanie przez Google) nie jest podwykonawcą w rozumieniu tej umowy: Google nie przetwarza danych klientów Administratora w ramach tej funkcji.

Jeśli klient zwróci się bezpośrednio do Podmiotu przetwarzającego (na przykład na adres kontakt@projado.com) z żądaniem dotyczącym swoich danych, Podmiot przetwarzający nie przeszukuje sam danych Administratorów w poszukiwaniu tej osoby, lecz przekazuje żądanie właściwej Pracowni, jeśli klient ją wskaże albo poda adres e-mail projektanta. Dane, które Podmiot przetwarzający przechowuje sam jako administrator (listę wykluczeń adresów e-mail, prośby o rozmowę, rozmowy z pomocą), przeszukuje i za nie odpowiada sam.

Podmiot przetwarzający przekazuje żądanie bez zbędnej zwłoki, e-mailem do Właścicieli tej Pracowni, w brzmieniu, w jakim je otrzymał, i informuje klienta, komu je przekazał. Sam na żądanie nie odpowiada i niczego na jego podstawie nie zmienia ani nie usuwa.

Administrator odpowiada na żądanie we własnym zakresie, jako administrator tych danych. Podmiot przetwarzający pomaga mu w tym funkcjami Serwisu, które pozwalają pobrać i usunąć dane klienta.

Podmiot przetwarzający stosuje w szczególności następujące środki:

1) połączenia z Serwisem są szyfrowane (HTTPS);

2) hasła Kont są przechowywane wyłącznie jako skróty kryptograficzne;

3) dostęp do danych projektu mają Członkowie danej Pracowni, zgodnie z przypisanymi rolami i uprawnieniami, oraz klienci i inne osoby, którym Pracownia udostępniła link, w zakresie tego linku; zespół Podmiotu przetwarzającego sięga do tych danych tylko wtedy, gdy wymaga tego utrzymanie Serwisu, jego bezpieczeństwo albo pomoc, o którą prosi Administrator;

4) Linki dla Klienta zawierają losowy identyfikator, który nie wynika z danych projektu, a w bazie danych przechowywany jest wyłącznie skrót tego identyfikatora;

5) hasła i dane sesji nigdy nie trafiają do eksportu danych.

Podmiot przetwarzający zgłasza Administratorowi każde stwierdzone naruszenie ochrony danych osobowych dotyczące danych powierzonych na mocy tej umowy, bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2 RODO).

Zgłoszenie jest wysyłane e-mailem do Właścicieli Pracowni, których dane dotyczy naruszenie, na adresy ich Kont.

Zgłoszenie zawiera, w zakresie znanym w danej chwili (art. 33 ust. 3 RODO):

1) charakter naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy;

2) możliwe konsekwencje naruszenia;

3) środki zastosowane lub proponowane w celu zaradzenia naruszeniu i ograniczenia jego skutków;

4) adres, pod którym można uzyskać więcej informacji (kontakt@projado.com).

Jeżeli nie wszystkie informacje są dostępne od razu, Podmiot przetwarzający przekazuje je kolejnymi wiadomościami, bez zbędnej zwłoki.

Podmiot przetwarzający wykazuje zgodność przetwarzania z tą umową w następującej kolejności (art. 28 ust. 3 lit. h RODO):

1) w pierwszej kolejności udostępnia Administratorowi na żądanie dokumentację: opis stosowanych środków bezpieczeństwa oraz raporty z audytów i certyfikaty swoich podwykonawców;

2) jeżeli to nie wystarcza, na żądanie Administratora umożliwia przegląd zdalny w uzgodnionym terminie (odpowiedzi na pytania, okazanie konfiguracji i zapisów);

3) Administrator albo upoważniony przez niego audytor może przeprowadzić audyt na miejscu nie częściej niż raz w roku, a także wtedy, gdy ma uzasadnione podejrzenie naruszenia umowy lub przepisów. Audyt odbywa się po uzgodnieniu terminu, w sposób, który nie narusza poufności danych innych Administratorów, a jego uzasadnione koszty ponosi Administrator.

Żadne z powyższych postanowień nie wyłącza prawa Administratora do inspekcji na miejscu.

1) W trakcie trwania usługi Administrator może w każdej chwili pobrać w Serwisie kopię danych swojej Pracowni.

2) Usunięcie Pracowni przez jej Właściciela nie kasuje danych od razu: Pracownia zostaje natychmiast zablokowana (nikt nie otworzy jej projektów, a linki wysłane klientom przestają działać) i jest przechowywana jeszcze przez 30 dni. W tym czasie Właściciel może pobrać kopię danych, przywrócić Pracownię albo skasować dane natychmiast.

3) Po upływie 30 dni, albo wcześniej na żądanie Administratora, dane klientów tej Pracowni, w tym ankieta, koncepcje, inwentaryzacja, pliki i certyfikaty akceptacji, są w całości usuwane z Serwisu i nie da się ich już przywrócić w Serwisie. Usunięty plik Podmiot przetwarzający może jeszcze odzyskać przez najwyżej 31 dni od jego usunięcia. W kopiach zapasowych dane mogą pozostać najwyżej 37 dni: kopia jest przechowywana 30 dni, a po jej usunięciu da się ją odzyskać jeszcze przez 7 dni.

4) Usunięcie Konta jedynej osoby w Pracowni blokuje tę Pracownię razem z Kontem i uruchamia ten sam 30-dniowy okres: w tym czasie zalogowanie przywraca Konto razem z Pracownią, a po jego upływie dane są kasowane.

5) Podmiot przetwarzający nie zwraca danych w formie innej niż eksport opisany wyżej, ponieważ Administrator ma do niego dostęp przez cały czas trwania umowy.

1) Każda ze stron odpowiada wobec drugiej za szkody wyrządzone niewykonaniem lub nienależytym wykonaniem tej umowy na zasadach i w granicach określonych w § 14 i § 15 Regulaminu.

2) Postanowienia te nie ograniczają odpowiedzialności stron wobec osób, których dane dotyczą, wynikającej z art. 82 RODO, ani uprawnień organu nadzorczego.

1) Zakres. Ten punkt stosuje się wtedy i w takim zakresie, w jakim do przetwarzania danych powierzonych na mocy tej umowy ma zastosowanie prawo któregokolwiek stanu USA o ochronie prywatności lub o danych dotyczących zdrowia konsumentów („prawo stanowe USA”). Chodzi w szczególności o California Consumer Privacy Act (Cal. Civ. Code § 1798.100 i nast.), Washington My Health My Data Act (RCW 19.373), przepisy stanu Nevada o danych dotyczących zdrowia konsumentów (NRS 603A.400–603A.550), Connecticut Data Privacy Act (Conn. Gen. Stat. § 42-515 i nast.) oraz podobne ustawy innych stanów. Punkt ten nie rozszerza stosowania tych przepisów na przypadki, których same nie obejmują, i nie ogranicza obowiązków wynikających z RODO; jeżeli do tych samych danych stosuje się RODO i prawo stanowe USA, strony stosują postanowienie, które zapewnia wyższy poziom ochrony.

2) Role. W rozumieniu prawa stanowego USA Administrator jest podmiotem, który decyduje o celach i sposobach przetwarzania („business”, „controller”, „regulated entity”), a Podmiot przetwarzający działa wyłącznie w jego imieniu („service provider”, „processor”).

3) Ograniczenia. Podmiot przetwarzający:

a) przetwarza dane wyłącznie w celu świadczenia usługi opisanej w pkt 1 i 3 („cel biznesowy”), na polecenie Administratora wyrażone w sposób opisany w pkt 1;

b) nie sprzedaje tych danych ani nie udostępnia ich na potrzeby reklamy opartej na aktywności osoby w różnych serwisach;

c) nie zatrzymuje, nie wykorzystuje ani nie ujawnia tych danych w żadnym innym celu, w tym we własnym celu handlowym, ani poza bezpośrednią relacją z Administratorem;

d) nie łączy tych danych z danymi osobowymi otrzymanymi z innych źródeł ani zebranymi we własnych kontaktach z daną osobą, chyba że prawo stanowe USA na to pozwala;

e) zapewnia tym danym poziom ochrony wymagany przez prawo stanowe USA i zawiadamia Administratora bez zbędnej zwłoki, jeżeli stwierdzi, że nie jest już w stanie wypełniać obowiązków z tego punktu.

4) Dane dotyczące zdrowia konsumentów.

a) Serwis nie pyta o niczyje zdrowie ani diagnozę (pkt 4). Niektóre dobrowolne odpowiedzi o cechach przestrzeni mogą pośrednio ujawniać potrzeby zdrowotne; Podmiot przetwarzający nigdy nie wykorzystuje ich do wnioskowania o czyimkolwiek zdrowiu. Ankieta zadaje pytania o dostępność wyłącznie na polecenie Administratora, wydane przez ich włączenie w projekcie.

b) Podmiot przetwarzający nie wykorzystuje odpowiedzi klienta, treści pól opisowych, zdjęć ani plików do ustalania, wnioskowania ani oznaczania stanu zdrowia jakiejkolwiek osoby i nie tworzy na ich podstawie etykiet, segmentów ani zdarzeń analitycznych.

c) Jeżeli powierzone dane są danymi dotyczącymi zdrowia konsumentów w rozumieniu prawa stanowego USA, Podmiot przetwarzający przetwarza je wyłącznie na podstawie tej umowy, w zakresie poleceń Administratora i operacji opisanych w pkt 3, oraz pomaga Administratorowi w wykonywaniu jego obowiązków środkami opisanymi w pkt 8, 9 i 12.

d) Administrator odpowiada za obowiązki, które prawo stanowe USA nakłada na podmiot decydujący o celach przetwarzania, w szczególności za wymaganą informację o przetwarzaniu danych dotyczących zdrowia, za zgodę osoby, jeżeli jest wymagana, oraz za odpowiedź na jej żądania.

5) Żądania osób. Pkt 8 stosuje się do żądań składanych na podstawie prawa stanowego USA (dostęp, sprostowanie, usunięcie, wycofanie zgody oraz lista podmiotów, którym dane udostępniono).

6) Podwykonawcy. Pkt 7 stosuje się. Podmiot przetwarzający zawiera z każdym podwykonawcą pisemną umowę, która nakłada obowiązki nie mniejsze niż wynikające z tego punktu.

7) Wykazanie zgodności. Pkt 11 stosuje się. Administrator może podjąć rozsądne i odpowiednie kroki, aby upewnić się, że Podmiot przetwarzający wykorzystuje dane zgodnie z obowiązkami Administratora wynikającymi z prawa stanowego USA, a po zawiadomieniu może wstrzymać nieuprawnione wykorzystanie danych i usunąć jego skutki.

8) Usunięcie danych. Pkt 12 stosuje się.

9) Oświadczenie. Podmiot przetwarzający oświadcza, że rozumie ograniczenia z ppkt 3 i będzie ich przestrzegać.

10) Prawo właściwe. Ten punkt nie zmienia prawa właściwego ani sądu wskazanych w Regulaminie.

1) Umowa jest Załącznikiem nr 1 do Regulaminu i zostaje zawarta z chwilą akceptacji Regulaminu przy zakładaniu Konta.

2) Zmiana umowy następuje w trybie zmiany Regulaminu (§ 20 Regulaminu).

3) W razie sprzeczności między umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma umowa.

4) W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.