AI GDPR Shield

Umowa powierzenia przetwarzania danych osobowych

zawarta w dniu [DATA] pomiędzy:

[NAZWA KLIENTA] z siedzibą w [ADRES], NIP [NIP], reprezentowaną przez [IMIĘ I NAZWISKO, FUNKCJA], zwaną dalej „Administratorem”,

a

[NAZWA USŁUGODAWCY] z siedzibą w [ADRES SIEDZIBY], NIP [NIP], REGON [REGON], [wpisana do rejestru przedsiębiorców KRS pod numerem … / wpisany do CEIDG], reprezentowaną przez [IMIĘ I NAZWISKO, FUNKCJA], zwaną dalej „Podmiotem przetwarzającym”,

zwanymi dalej łącznie „Stronami”.

§ 1. Przedmiot i cel powierzenia

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi AI GDPR Shield („Usługa”) na podstawie umowy zawartej na warunkach Regulaminu Usługi („Umowa główna”), zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).
2. Charakter i cel przetwarzania: przechowywanie i wyświetlanie w panelu Usługi danych niezbędnych do zarządzania licencją i stanowiskami, weryfikacji uprawnień oprogramowania oraz prezentowania Administratorowi statystyk korzystania z Usługi. Przetwarzanie obejmuje operacje: zbieranie, przechowywanie, przeglądanie, udostępnianie Administratorowi, usuwanie.
3. Rodzaje danych osobowych:
   1. dane użytkowników panelu: adres e-mail, nazwa użytkownika/firmy, dane kontaktowe i rozliczeniowe podane przez Administratora;
   2. dane stanowisk: losowy identyfikator instalacji, nazwa komputera (która może zawierać imię lub nazwisko pracownika), wersja systemu operacyjnego, data aktywacji i ostatniej aktywności;
   3. statystyki: liczba danych zastąpionych przez oprogramowanie w podziale na kategorie (np. „PESEL: 12”), bez ich treści;
   4. treść korespondencji z działem wsparcia dotyczącej Usługi, jeżeli zawiera dane osobowe.
4. Kategorie osób, których dane dotyczą: pracownicy, współpracownicy i inne osoby korzystające z oprogramowania lub panelu w imieniu Administratora.
5. Strony potwierdzają, że treść tekstów anonimizowanych przez oprogramowanie oraz powiązanie oznaczeń zastępczych (tokenów) z danymi są przetwarzane wyłącznie lokalnie na urządzeniach Administratora i nie są przekazywane Podmiotowi przetwarzającemu. Umowa powierzenia nie obejmuje tych danych, a Podmiot przetwarzający nie ma do nich dostępu.

§ 2. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający zobowiązuje się:
   1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora; za udokumentowane polecenie uznaje się Umowę główną, Umowę powierzenia oraz ustawienia i działania Administratora w panelu Usługi;
   2. niezwłocznie poinformować Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy;
   3. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
   4. stosować środki techniczne i organizacyjne, o których mowa w art. 32 RODO, opisane w Załączniku A;
   5. uwzględniając charakter przetwarzania, pomagać Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz z obowiązków określonych w art. 32–36 RODO;
   6. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO;
   7. nie przekazywać danych do państwa trzeciego ani organizacji międzynarodowej, chyba że zapewnione są zabezpieczenia wymagane w rozdziale V RODO.

§ 3. Dalsze powierzenie (podprzetwarzanie)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających wymienionych w Załączniku B.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem lub w panelu Usługi co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw; w razie braku porozumienia Administrator może wypowiedzieć Umowę główną ze skutkiem na dzień wprowadzenia zmiany.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający obowiązki ochrony danych nie mniejsze niż określone w Umowie powierzenia i odpowiada wobec Administratora za ich wykonanie.

§ 4. Naruszenia ochrony danych

1. Podmiot przetwarzający powiadamia Administratora o stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Administratora podany w panelu Usługi.
2. Powiadomienie zawiera co najmniej informacje wskazane w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne; pozostałe informacje Podmiot przetwarzający przekazuje niezwłocznie po ich uzyskaniu.

§ 5. Kontrola

1. Administrator ma prawo kontroli zgodności przetwarzania z Umową powierzenia, w szczególności przez żądanie informacji i dokumentów, a także przez audyt przeprowadzony przez Administratora lub upoważnionego audytora zobowiązanego do zachowania poufności.
2. O zamiarze przeprowadzenia audytu Administrator zawiadamia Podmiot przetwarzający co najmniej 14 dni wcześniej. Audyt odbywa się w godzinach pracy, nie częściej niż raz w roku, chyba że jest związany z naruszeniem ochrony danych lub żądaniem organu nadzorczego. Koszty audytu ponosi Administrator.

§ 6. Czas trwania i zakończenie

1. Umowa powierzenia obowiązuje przez czas trwania Umowy głównej.
2. Po zakończeniu świadczenia Usługi Podmiot przetwarzający usuwa powierzone dane w terminie 30 dni, chyba że prawo Unii lub prawo polskie nakazują ich dalsze przechowywanie. Przed usunięciem Administrator może zażądać zwrotu danych w formacie elektronicznym. Kopie zapasowe są usuwane zgodnie z ich cyklem rotacji, nie później niż w ciągu [90] dni.

§ 7. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność Stron za naruszenie przepisów o ochronie danych osobowych określa RODO. W pozostałym zakresie stosuje się postanowienia Umowy głównej dotyczące odpowiedzialności, w tym jej ograniczenia, w zakresie dopuszczalnym przez przepisy.
2. W sprawach nieuregulowanych stosuje się Umowę główną, RODO oraz przepisy prawa polskiego. W razie sprzeczności między Umową główną a Umową powierzenia w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.
3. Kontakt w sprawach ochrony danych: Podmiot przetwarzający – AIGDPR@itevenement.pl; Administrator – adres e-mail podany w panelu Usługi lub [ADRES E-MAIL ADMINISTRATORA].

Załącznik A – Środki techniczne i organizacyjne

1. Szyfrowanie transmisji: komunikacja oprogramowania i panelu z serwerem odbywa się wyłącznie przez HTTPS (TLS).
2. Lokalizacja: serwer Usługi znajduje się w centrum danych w Warszawie (Polska); dane nie są przekazywane poza Europejski Obszar Gospodarczy.
3. Uwierzytelnianie: hasła użytkowników przechowywane wyłącznie w postaci skrótu PBKDF2-SHA256 z solą; sesje z losowymi tokenami, których skróty przechowuje serwer; sesje wygasają po 7 dniach.
4. Ochrona dostępu do serwera: dostęp administracyjny ograniczony do upoważnionych osób Podmiotu przetwarzającego; klucze i hasła usług przechowywane poza kodem aplikacji w pliku dostępnym wyłącznie dla administratora systemu; pliki aplikacji chronione przed modyfikacją przez inne konta systemowe.
5. Minimalizacja: Usługa nie przesyła na serwer treści tekstów ani wykrytych danych; statystyki obejmują wyłącznie liczby w podziale na kategorie.
6. Ochrona na urządzeniach Administratora: lokalne powiązanie tokenów z danymi szyfrowane mechanizmem Windows DPAPI dla konta użytkownika i usuwane po 30 dniach nieużywania.
7. Płatności: dane kart płatniczych obsługuje wyłącznie operator płatności; Podmiot przetwarzający nie przechowuje ich.
8. Kopie zapasowe danych serwera: [CZĘSTOTLIWOŚĆ I MIEJSCE PRZECHOWYWANIA – DO UZUPEŁNIENIA].
9. Aktualizacje: oprogramowanie serwera i systemu operacyjnego jest aktualizowane w zakresie poprawek bezpieczeństwa; zmiany w oprogramowaniu są testowane automatycznie przed wdrożeniem.

Załącznik B – Dalsze podmioty przetwarzające