Umowa powierzenia przetwarzania danych (DPA)

1. Strony umowy

Administrator danych (zwany dalej „Administratorem") - Klient korzystający z usługi Relup, w szczególności firma serwisowa lub instalacyjna prowadząca własną działalność gospodarczą, której dane podane są w panelu firmy w aplikacji Relup (nazwa, adres, NIP).

Podmiot przetwarzający (zwany dalej „Procesorem" lub „Operatorem"):

2. Przedmiot i czas trwania powierzenia

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i na zasadach określonych w niniejszej Umowie oraz w Regulaminie usługi Relup.

Powierzenie obejmuje cały okres, w jakim Administrator korzysta z usługi Relup, a także - w niezbędnym zakresie - okres przejściowy po zakończeniu korzystania, w którym Procesor umożliwia eksport danych oraz wykonuje końcowe czyszczenie zgodnie z polityką retencji.

3. Charakter i cel przetwarzania

Procesor przetwarza powierzone dane wyłącznie w celu wykonywania umowy o świadczenie usługi Relup, tj. zapewnienia Administratorowi narzędzia do:

• prowadzenia ewidencji klientów końcowych i obsługiwanych urządzeń,
• planowania i realizacji wizyt serwisowych oraz przeglądów,
• generowania, przechowywania i udostępniania protokołów serwisowych (w tym w postaci plików PDF),
• wysyłki powiadomień e-mail (np. potwierdzeń wizyt, przypomnień, protokołów) w imieniu Administratora,
• wysyłki powiadomień SMS organizacyjnych do klientów końcowych Administratora (po włączeniu funkcji i odpowiednich ustawień),
• zarządzania kontami pracowników Administratora,
• zapewnienia bezpieczeństwa danych i ciągłości działania usługi.

Procesor nie wykorzystuje powierzonych danych do własnych celów marketingowych ani analitycznych.

4. Kategorie osób, których dane dotyczą

Powierzenie może obejmować dane następujących kategorii osób:

• klienci końcowi Administratora (właściciele lub użytkownicy serwisowanych urządzeń) oraz osoby kontaktowe wskazane przez Administratora,
• pracownicy i współpracownicy Administratora korzystający z aplikacji,
• technicy i serwisanci wykonujący czynności w terenie,
• osoby odbierające protokoły serwisowe (jeżeli odbiór jest dokumentowany),
• inne osoby, których dane Administrator wprowadzi do systemu w ramach prowadzenia działalności.

5. Kategorie danych osobowych

Powierzenie może obejmować w szczególności następujące kategorie danych:

• dane identyfikacyjne i kontaktowe (imię i nazwisko, adres, numer telefonu, adres e-mail),
• dane lokalizacyjne odnoszące się do miejsca instalacji urządzeń (adres, kod pocztowy, miasto, opcjonalnie lokalizacja na mapie),
• dane dotyczące urządzeń (numery seryjne, producenci, modele, historia serwisowa) - w zakresie, w jakim łączą się z danymi osób fizycznych,
• historia wizyt, treść protokołów, notatki serwisowe, zdjęcia,
• treść wiadomości e-mail wysyłanych w ramach usługi (w tym do klientów końcowych),
• numery telefonów i treść wiadomości SMS wysyłanych do klientów końcowych (powiadomienia organizacyjne),
• metadane operacyjne i doręczenia wiadomości (e-mail, SMS), w tym statusy wysyłki, identyfikatory u dostawcy, znaczniki czasu i kody błędów,
• dane pracowników Administratora niezbędne do zarządzania ich dostępem (e-mail, imię i nazwisko, telefon, kwalifikacje, rola).

Powierzenie nie obejmuje szczególnych kategorii danych w rozumieniu art. 9 RODO. Administrator zobowiązuje się nie wprowadzać do systemu danych szczególnej kategorii bez uprzedniego uzgodnienia z Procesorem i bez odrębnej podstawy prawnej.

6. Obowiązki Podmiotu przetwarzającego

Procesor zobowiązuje się:

• przetwarzać powierzone dane wyłącznie na udokumentowane polecenie Administratora (poleceniem jest również korzystanie z aplikacji zgodnie z jej przeznaczeniem oraz konfiguracja ustawień w panelu firmy),
• zapewniać, że osoby upoważnione do przetwarzania danych po stronie Procesora są zobowiązane do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności,
• stosować odpowiednie środki techniczne i organizacyjne (zob. sekcja 9),
• pomagać Administratorowi w realizacji obowiązków określonych w art. 32–36 RODO,
• pomagać Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą,
• po zakończeniu świadczenia usługi - usunąć lub zwrócić powierzone dane zgodnie z sekcją 12,
• udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO,
• nie przekazywać danych do państw trzecich poza zasadami opisanymi w sekcji 14,
• bezzwłocznie informować Administratora o stwierdzonym naruszeniu ochrony danych (zob. sekcja 11).

7. Obowiązki Administratora

Administrator zobowiązuje się:

• posiadać podstawę prawną do przetwarzania danych, które wprowadza do aplikacji Relup,
• spełniać obowiązki informacyjne wobec osób, których dane są wprowadzane do systemu (art. 13/14 RODO),
• konfigurować ustawienia aplikacji (w szczególności ustawienia powiadomień e-mail/SMS, ról i dostępów pracowników) w sposób zgodny z RODO i własną polityką ochrony danych,
• w zakresie powiadomień SMS do klientów końcowych - posiadać właściwą podstawę prawną kontaktu operacyjnego oraz poprawność numerów telefonów wprowadzonych do systemu,
• nadawać i odbierać uprawnienia dostępu pracownikom oraz prowadzić listę osób upoważnionych do przetwarzania danych po swojej stronie,
• nie wprowadzać do systemu danych szczególnej kategorii bez uprzedniego uzgodnienia,
• niezwłocznie informować Procesora o istotnych zmianach mających wpływ na powierzenie (np. zmiana zakresu działalności, zmiana siedziby).

8. Podpowierzenie / dalsi podprocesorzy

Administrator wyraża ogólną zgodę na powierzenie przez Procesora przetwarzania danych dalszym podmiotom przetwarzającym (subprocesorom) niezbędnym do świadczenia usługi (np. dostawcom hostingu, dostawcy wysyłki e-mail, dostawcy wysyłki SMS, dostawcy obiektowego składowania plików).

Aktualna lista subprocesorów jest publikowana i utrzymywana w dokumencie Lista podwykonawców. Procesor zobowiązuje się:

• powierzać dalsze przetwarzanie wyłącznie podmiotom dającym wystarczające gwarancje zgodności z RODO,
• zawierać z subprocesorami umowy nakładające na nich obowiązki nie mniej rygorystyczne niż wynikające z niniejszej Umowy,
• informować Administratora o planowanych zmianach dotyczących dodania lub zastąpienia subprocesorów, zapewniając mu możliwość wyrażenia sprzeciwu z uzasadnionych przyczyn.

Procesor pozostaje w pełni odpowiedzialny wobec Administratora za działania i zaniechania subprocesorów w zakresie powierzonego przetwarzania.

9. Środki bezpieczeństwa

Uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, Procesor wdraża odpowiednie środki techniczne i organizacyjne, w tym w szczególności:

• szyfrowanie transmisji (TLS/HTTPS),
• hashowanie haseł (bcrypt),
• uwierzytelnianie tokenami JWT z ograniczonym czasem życia,
• kontrolę dostępu opartą na rolach i segregację danych pomiędzy firmami,
• logowanie krytycznych operacji w dzienniku audytowym,
• regularne kopie zapasowe wykonywane przez dostawcę hostingu (zgodnie z jego polityką),
• ograniczenie dostępu do infrastruktury produkcyjnej do uprawnionego personelu Procesora,
• politykę haseł i poufności obowiązującą personel Procesora,
• cykliczne aktualizacje zależności i zarządzanie podatnościami.

Procesor stosuje zasadę minimalizacji danych - w aplikacji powstają pola odpowiadające konkretnym celom przetwarzania właściwym dla działalności serwisowej.

10. Realizacja wniosków osób, których dane dotyczą

Jeżeli osoba, której dane dotyczą, skieruje do Administratora wniosek o realizację uprawnień wynikających z RODO (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw), Procesor - na żądanie Administratora - udziela mu odpowiedniej pomocy technicznej i organizacyjnej.

W pierwszej wersji aplikacji część wniosków może być realizowana ręcznie: na zgłoszenie z adresu powiązanego z firmą Administratora wysłane na [email protected], Procesor przygotuje eksport, sprostowanie lub usunięcie powierzonych danych w rozsądnym terminie.

Jeżeli wniosek osoby, której dane dotyczą, zostanie wysłany bezpośrednio do Procesora (z pominięciem Administratora), Procesor - o ile to możliwe - przekazuje wniosek Administratorowi lub informuje wnioskodawcę o właściwym adresacie.

11. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych dotyczącego powierzonych danych Procesor:

• powiadomi Administratora bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia,
• w miarę dostępnych informacji podaje charakter naruszenia, kategorie i przybliżoną liczbę osób, których dotyczy, kategorie i przybliżoną liczbę naruszonych danych, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki,
• współpracuje z Administratorem przy realizacji obowiązków wynikających z art. 33 i 34 RODO,
• dokumentuje incydent i podejmuje działania ograniczające jego skutki.

Obowiązek zgłoszenia naruszenia organowi nadzorczemu oraz osobom, których dane dotyczą, spoczywa na Administratorze.

12. Zakończenie umowy - usunięcie / zwrot danych

Po zakończeniu świadczenia usługi Relup Procesor - zgodnie z decyzją Administratora - usuwa albo zwraca wszelkie powierzone dane oraz usuwa wszelkie ich istniejące kopie, chyba że obowiązek dalszego przechowywania danych wynika z powszechnie obowiązujących przepisów prawa.

Domyślny harmonogram zakończenia powierzenia:

• okres 30 dni od zakończenia korzystania z usługi - utrzymanie danych w trybie ograniczonym, umożliwiające Administratorowi eksport i odzyskanie,
• po upływie powyższego okresu - usunięcie danych z bazy produkcyjnej i z usług subprocesorów w technicznie wykonalnym zakresie,
• kopie zapasowe - usuwane zgodnie z polityką backupu dostawcy hostingu (cykl rotacji backupów).

Pełne usunięcie z dokumentacji audytowej i logów może podlegać dłuższym okresom, jeżeli wymagają tego względy bezpieczeństwa, dochodzenia roszczeń lub obowiązki prawne - w takim zakresie dane są minimalizowane.

Rekordy wysyłki SMS (sms outbox) podlegają okresom retencji opisanym w Polityce prywatności (m.in. do 24 miesięcy dla wysłanych/doręczonych w produkcji, krótsze okresy dla rekordów testowych i statusów końcowych nieudanej wysyłki).

13. Prawa kontroli / audytu

Administrator ma prawo do uzyskania od Procesora informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO. Na żądanie Administratora Procesor:

• udostępni dokumentację dotyczącą zastosowanych środków bezpieczeństwa,
• umożliwi przeprowadzenie audytu - w sposób uzgodniony z wyprzedzeniem, w terminie nie zakłócającym świadczenia usługi i z poszanowaniem tajemnicy przedsiębiorstwa oraz danych innych klientów Procesora,
• w uzasadnionych przypadkach może zaproponować audyt wykonany przez niezależną stronę trzecią lub odwołanie się do certyfikatów subprocesorów.

Koszty audytu, który wykracza poza zakres niezbędny do zweryfikowania zgodności z RODO, ponosi Administrator.

14. Transfer poza Europejski Obszar Gospodarczy

Część subprocesorów może przetwarzać dane w lokalizacjach poza EOG. W takim przypadku Procesor zapewnia, że transfer odbywa się na podstawie:

• decyzji Komisji Europejskiej o odpowiednim poziomie ochrony, lub
• standardowych klauzul umownych (SCC) Komisji Europejskiej, lub
• innego mechanizmu transferu danych dopuszczonego przez RODO.

Aktualny status regionów oraz mechanizmów transferu poszczególnych subprocesorów wymaga weryfikacji w ich umowach i jest podawany na stronie Lista podwykonawców.

15. Kontakt

Wszelka komunikacja w sprawach powierzenia danych odbywa się w formie wiadomości e-mail.

• Kontakt do Procesora: [email protected],
• Kontakt do Administratora - adres e-mail podany w panelu firmy w aplikacji Relup.