Umowa powierzenia przetwarzania

Niniejsza umowa stanowi część Warunków korzystania z usługi i konkretyzuje obowiązki stron przy postępowaniu z danymi osobowymi.

Administrator (Zleceniodawca): Klient.

Podmiot przetwarzający (Zleceniobiorca):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubaj, Zjednoczone Emiraty Arabskie

1. Przedmiot i czas trwania

1.1 Przedmiotem jest przetwarzanie danych osobowych, które Administrator wprowadza w ramach korzystania z Platformy Growmindr lub zleca ich zbieranie za jej pośrednictwem.

1.2 Czas trwania odpowiada okresowi obowiązywania umowy głównej. Umowa kończy się automatycznie z chwilą jej zakończenia; obowiązki wynikające z punktu 10 trwają poza nim nadal.

2. Charakter, cel i zakres przetwarzania

2.1 Cele: zarządzanie i wzbogacanie danych kontaktowych, tworzenie i zatwierdzanie treści, planowanie i wysyłka wiadomości outreach wraz z przetwarzaniem odpowiedzi i rezygnacji, wyszukiwanie i monitorowanie linków, zarządzanie zespołem i kontem oraz analiza wymienionych operacji na rzecz Administratora.

2.2 Charakter przetwarzania: zbieranie, utrwalanie, organizowanie, przechowywanie, dostosowywanie, odczytywanie, pobieranie, wykorzystywanie, przekazywanie, ograniczanie, usuwanie i niszczenie.

2.3 Kategorie osób, których dane dotyczą: odbiorcy wiadomości outreach, osoby kontaktowe w przedsiębiorstwach docelowych oraz pracownicy i osoby działające na zlecenie Administratora, które korzystają z Platformy.

2.4 Kategorie danych osobowych: dane kontaktowe (imię i nazwisko, służbowy adres e-mail, numer telefonu, stanowisko, pracodawca, publicznie dostępne profile), treści komunikacji, dane dotyczące dostarczania i interakcji (dostarczenie, otwarcia, kliknięcia, odpowiedzi, rezygnacje), informacje o ocenie i statusie oraz dane konta i ról użytkowników.

2.5 Szczególne kategorie danych osobowych według art. 9 RODO nie są przedmiotem powierzenia. Administrator nie będzie wprowadzał takich danych do Platformy.

3. Prawo do wydawania poleceń

3.1 Zleceniobiorca przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Korzystanie z funkcji Platformy przez Administratora uznaje się za polecenie; wykraczające poza to pojedyncze polecenia następują w formie tekstowej na adres [email protected].

3.2 Jeżeli Zleceniobiorca uzna polecenie za niezgodne z prawem, niezwłocznie o tym informuje i może wstrzymać jego wykonanie do czasu wyjaśnienia.

3.3 Przetwarzanie wykraczające poza polecenie następuje wyłącznie w zakresie, w jakim Zleceniobiorca jest do tego zobowiązany na mocy prawa Unii lub prawa państwa członkowskiego; informuje on w takim przypadku Administratora z wyprzedzeniem, o ile prawo tego nie zabrania.

4. Poufność

Zleceniobiorca zobowiązuje osoby zajmujące się przetwarzaniem pisemnie do zachowania poufności, o ile nie podlegają one już ustawowemu obowiązkowi zachowania tajemnicy. Zobowiązanie trwa również po zakończeniu działalności.

5. Środki techniczne i organizacyjne

Zleceniobiorca stosuje opisane w załączniku 1 środki według art. 32 RODO. Może je rozwijać, o ile poziom ochrony nie zostanie obniżony.

6. Podmioty podprzetwarzające

6.1 Administrator udziela ogólnego upoważnienia do zlecenia następującym podmiotom podprzetwarzającym:

• Cloudflare — dostarczanie i zabezpieczanie strony internetowej. Siedziba USA;

przekazywanie na podstawie standardowych klauzul umownych.

6.2 Paddle działa w zakresie obsługi płatności jako Merchant of Record i jest w tym zakresie odrębnym administratorem, a nie podmiotem podprzetwarzającym.

6.3 Bazę danych, pamięć obiektową, pomiar zasięgu oraz funkcje AI do tworzenia tekstów Zleceniobiorca prowadzi na własnej infrastrukturze w Dubaju, Zjednoczone Emiraty Arabskie. Nie następuje w tym zakresie żadne zlecenie osobom trzecim; do przekazywania do Zjednoczonych Emiratów Arabskich obowiązuje punkt 12.

6.4 Usługi, które Administrator sam podłącza, składając własny klucz dostępowy — w szczególności Hunter.io i Apollo.io do wzbogacania kontaktów oraz własny serwer pocztowy do wysyłki —, działają na rachunek i odpowiedzialność Administratora. Administrator samodzielnie zawiera z tymi dostawcami niezbędne porozumienia.

6.5 Jeżeli Zleceniobiorca zamierza skorzystać z kolejnego podmiotu podprzetwarzającego lub wymienić istniejący, informuje o tym Administratora co najmniej 30 dni wcześniej w formie tekstowej. Administrator może w ciągu 14 dni wnieść sprzeciw z ważnego powodu z zakresu ochrony danych. Jeżeli sprzeciwu nie można usunąć, każda strona może wypowiedzieć umowę główną na planowany moment zmiany.

7. Obowiązki wsparcia

7.1 Zleceniobiorca wspiera Administratora odpowiednimi środkami przy udzielaniu odpowiedzi na wnioski osób, których dane dotyczą. Platforma udostępnia w tym celu funkcje eksportu i usuwania oraz trwałą listę blokad dla adresów, które zrezygnowały.

7.2 Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Zleceniobiorcy, przekazuje on wniosek niezwłocznie Administratorowi i nie odpowiada na niego samodzielnie.

7.3 Zleceniobiorca wspiera Administratora w przestrzeganiu art. 32–36 RODO, w szczególności przy ocenie skutków dla ochrony danych, o ile niezbędne informacje znajdują się wyłącznie w jego posiadaniu.

8. Zgłaszanie naruszeń ochrony danych osobowych

Zleceniobiorca zgłasza Administratorowi naruszenie ochrony danych osobowych niezwłocznie, najpóźniej w ciągu 48 godzin od powzięcia wiadomości, w formie tekstowej. Zgłoszenie zawiera, o ile jest to znane, charakter zdarzenia, kategorie danych, których dotyczy, przybliżoną liczbę osób, których dotyczy, prawdopodobne następstwa oraz zastosowane środki zaradcze. Zleceniobiorca nie dokonuje zgłoszenia do organu nadzorczego; obowiązek ten spoczywa na Administratorze.

9. Dowody i kontrole

9.1 Zleceniobiorca wykazuje przestrzeganie niniejszej umowy na żądanie w odpowiedni sposób, w szczególności poprzez udzielenie informacji i przedłożenie dokumentacji środków według załącznika 1.

9.2 Administrator jest uprawniony, po wcześniejszym zapowiedzeniu z odpowiednim terminem, w zwykłych godzinach pracy upewnić się co do przestrzegania. Kontrole odbywają się bez możliwego do uniknięcia zakłócenia przebiegu pracy i najwyżej raz na rok kalendarzowy, chyba że szczególna okoliczność uzasadnia dodatkową kontrolę. Nakłady wykraczające poza zwykłe udzielenie informacji Zleceniobiorca może odpowiednio naliczyć.

10. Usunięcie i zwrot

10.1 Po zakończeniu umowy głównej Zleceniobiorca udostępnia Administratorowi dane przez 30 dni do eksportu i następnie je usuwa.

10.2 Kopie zapasowe są rotacyjnie nadpisywane i najpóźniej 14 dni po usunięciu w systemie produkcyjnym ostatecznie usuwane.

10.3 Z usunięcia wyłączone są dane, dla których istnieje ustawowy obowiązek przechowywania, oraz lista blokad adresów, które zrezygnowały, których przechowywanie jest niezbędne do wypełnienia obowiązku z art. 21 ust. 3 RODO; dane te zostają odpowiednio ograniczone w przetwarzaniu.

11. Odpowiedzialność i postanowienia końcowe

11.1 Do odpowiedzialności stosuje się odpowiednio punkt 10 Warunków korzystania z usługi; art. 82 RODO pozostaje nienaruszony.

11.2 W razie sprzeczności między niniejszą umową a umową główną niniejsza umowa ma pierwszeństwo w kwestiach z zakresu ochrony danych.

11.3 Obowiązuje prawo Republiki Federalnej Niemiec.

12. Przekazywanie do państwa trzeciego

12.1 Zleceniobiorca ma siedzibę i prowadzi swoje systemy w Zjednoczonych Emiratach Arabskich. Dla tego państwa nie istnieje decyzja stwierdzająca odpowiedni stopień ochrony wydana przez Komisję Europejską na podstawie art. 45 RODO.

12.2 Do przekazywania danych osobowych z Europejskiego Obszaru Gospodarczego do Zleceniobiorcy obowiązują dlatego standardowe klauzule umowne Komisji Europejskiej zgodnie z decyzją wykonawczą (UE) 2021/914 z dnia 4 czerwca 2021 roku, a mianowicie moduł 2 (administrator do podmiotu przetwarzającego). Zostają one niniejszym w pełnym zakresie włączone do niniejszej umowy i mają przed nią pierwszeństwo w razie sprzeczności.

12.3 Dla wypełnienia załączników do standardowych klauzul umownych obowiązuje:

• Załącznik I.A (Strony): eksporterem danych jest Administrator,

importerem danych Zleceniobiorca; dane wynikają z preambuły niniejszej umowy oraz z danych podstawowych konta Administratora.

• Załącznik I.B (Opis przekazywania): punkt 2 niniejszej umowy.
• Załącznik I.C (Właściwy organ nadzorczy): organ nadzorczy

państwa członkowskiego, w którym Administrator ma siedzibę; jeżeli nie ma on siedziby w Unii, organ państwa członkowskiego, w którym znajdują się osoby, których dane dotyczą.

• Załącznik II (Środki techniczne i organizacyjne): załącznik 1 niniejszej

umowy.

• Załącznik III (Lista podmiotów podprzetwarzających): punkt 6 niniejszej

umowy.

12.4 Przy możliwościach wyboru w klauzulach obowiązuje: klauzula 7 (klauzula przystąpienia) znajduje zastosowanie. Dla klauzuli 9 obowiązuje opcja 2 (ogólne pisemne upoważnienie) z uzgodnionym w punkcie 6.5 terminem. Fakultatywna klauzula 11 lit. a (niezależny organ rozstrzygania sporów) nie znajduje zastosowania. Dla klauzuli 17 obowiązuje prawo Irlandii, dla klauzuli 18 lit. b właściwe są sądy Irlandii. Punkt 11.3 niniejszej umowy oraz wybór prawa w Warunkach korzystania z usługi pozostają tym nienaruszone i obowiązują dla wszystkich pozostałych kwestii.

12.5 Zleceniobiorca potwierdza, że nie są mu znane żadne przepisy prawne, które uniemożliwiałyby mu wypełnienie standardowych klauzul umownych. Jeżeli otrzyma urzędowe nakazanie wydania przekazanych danych, informuje Administratora o tym, o ile jest to prawnie dopuszczalne, i zaskarża nakazanie, o ile istnieją wystarczające widoki na powodzenie. Uzupełniająco obowiązują środki z załącznika 1.

12.6 Na żądanie Zleceniobiorca udostępnia Administratorowi podpisany egzemplarz standardowych klauzul umownych.

13. Właściwe prawo Zjednoczonych Emiratów Arabskich

Niezależnie od RODO Zleceniobiorca podlega ustawie federalnej nr 45 z 2021 roku Zjednoczonych Emiratów Arabskich o ochronie danych osobowych (PDPL). W zakresie, w jakim wynikające z niej obowiązki pokrywają się z obowiązkami niniejszej umowy, Zleceniobiorca wypełnia każdorazowo dalej idący obowiązek.

Załącznik 1 — Środki techniczne i organizacyjne według art. 32 RODO

Poufność — kontrola dostępu fizycznego. Systemy są prowadzone w centrum danych w Dubaju, Zjednoczone Emiraty Arabskie. Fizyczny dostęp jest ograniczony do osób uprawnionych i jest protokołowany.

Poufność — kontrola dostępu do systemu. Logowanie za pomocą indywidualnych kont z hasłami haszowanymi zgodnie ze stanem techniki. Sesje wygasają po 15 minutach bezczynności. Pliki cookie sesji są httpOnly, SameSite=Strict i są przesyłane wyłącznie przez HTTPS. Administracyjny dostęp do systemów produkcyjnych odbywa się wyłącznie przez SSH z uwierzytelnianiem kluczem.

Poufność — kontrola dostępu do danych. Uprawnienia oparte na rolach (Właściciel, Administrator, Redaktor, Weryfikator, Obserwator). Rozdzielenie najemców jest dodatkowo egzekwowane na poziomie bazy danych przez Row-Level Security, która w razie błędu odmawia dostępu zamiast go dopuszczać. Maszynowe dostępy między usługami odbywają się wyłącznie przez krótkotrwałe, podpisane tokeny usługowe.

Poufność — kontrola rozdzielności. Każdy klient pracuje we własnym najemcy; każda usługa korzysta z własnej bazy danych bez dostępu obcego. Rekordy bez prawidłowego odniesienia do najemcy nie są dostępne.

Integralność — kontrola przekazywania. Szyfrowanie transportu za pomocą TLS dla wszystkich połączeń od i do Platformy. Wewnętrzne usługi są dostępne wyłącznie przez lokalny interfejs i nie są publicznie eksponowane.

Integralność — kontrola wprowadzania. Istotne dla bezpieczeństwa zdarzenia są rejestrowane z momentem i działającym kontem w protokole aktywności.

Dostępność i odporność. Codzienne automatyczne zabezpieczanie bazy danych z okresem przechowywania 14 dni. Monitorowanie usług z automatycznym ponownym uruchomieniem w razie zakłócenia. Ochrona przed przeciążeniem przez ograniczanie częstotliwości.

Procedura przeglądu i oceny. Zależności są regularnie sprawdzane pod kątem znanych podatności i aktualizowane. Dane dostępowe znajdują się poza systemem kontroli wersji. Zmiany w środowisku produkcyjnym odbywają się poprzez możliwy do prześledzenia proces wdrażania.

Kontrola zlecenia. Podmioty podprzetwarzające są wykorzystywane wyłącznie według punktu 6 niniejszej umowy i zobowiązywane umownie do odpowiedniego poziomu ochrony.