Umowa powierzenia przetwarzania danych
1. Strony i przedmiot
Umowa zawierana jest między Firmą korzystającą z Platformy Rezzervio (administrator, dalej: „Firma”) a The Cloudest Tomasz Iwanowski, ul. Bandurskiego 47B, 05-270 Marki, Polska, NIP 1251739186 (podmiot przetwarzający, dalej: „Operator”), na podstawie art. 28 RODO. Firma powierza Operatorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług opisanych w Regulaminie.
2. Charakter, cel i czas przetwarzania
- Cel: przyjmowanie i obsługa rezerwacji oraz zapytań, wysyłka powiadomień, zbieranie opinii, przypomnienia o usługach cyklicznych, kopie zapasowe, bezpieczeństwo i diagnostyka.
- Operacje: zbieranie przez formularze, przechowywanie, wyświetlanie uprawnionym osobom Firmy, wysyłka e-maili, tworzenie kopii zapasowych, usuwanie.
- Czas: przez okres korzystania z Platformy oraz do usunięcia danych po zakończeniu korzystania (pkt 8).
3. Kategorie osób i danych
- Klienci Firmy: imię i nazwisko, adres e-mail, numer telefonu, szczegóły wizyt (usługa, termin, ceny, notatki), treść pól formularzy określonych przez Firmę, zapytania, opinie.
- Członkowie zespołu Firmy: imię i nazwisko, adres e-mail, rola, grafik, przypisania do wizyt, dane logowania (w postaci zabezpieczonej).
- Firma nie powinna zbierać przez Platformę danych szczególnych kategorii (art. 9 RODO), chyba że jest to niezbędne i ma do tego podstawę prawną.
4. Obowiązki Operatora
- Przetwarza dane wyłącznie na udokumentowane polecenie Firmy, którym są Regulamin, niniejsza Umowa i ustawienia wybrane przez Firmę w panelu.
- Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.
- Stosuje środki bezpieczeństwa (art. 32 RODO), w szczególności: izolację danych poszczególnych Firm, szyfrowanie połączeń (HTTPS), kontrolę uprawnień według ról, uwierzytelnianie dwuskładnikowe, ograniczenie dostępu według IP, ograniczenie panelu administratora Platformy do zaufanych adresów, historię działań, szyfrowane kopie zapasowe (AES-256-GCM) i limity prób logowania.
- Pomaga Firmie w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie), w tym przez funkcje panelu i eksport danych.
- Pomaga Firmie w wywiązaniu się z obowiązków z art. 32–36 RODO.
5. Dalsze powierzenie (podwykonawcy)
Firma udziela ogólnej zgody na korzystanie przez Operatora z podmiotów wymienionych w wykazie Podwykonawcy. Operator informuje o zamiarze dodania lub zmiany podwykonawcy co najmniej 30 dni wcześniej; Firma może zgłosić sprzeciw. Operator nakłada na podwykonawców te same obowiązki ochrony danych i odpowiada za ich działania.
6. Przekazywanie poza EOG
Główny magazyn aplikacji jest przewidziany w regionie Frankfurt (UE). Dostawcy zewnętrzni mogą przetwarzać dane również w innych lokalizacjach wskazanych w wykazie. Jeśli podwykonawca przetwarza dane poza EOG, odbywa się to na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych, zgodnie z wykazem podwykonawców.
7. Naruszenia ochrony danych
Operator powiadamia Firmę o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia. Przekazuje opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Pomaga Firmie w ocenie naruszenia i w zawiadomieniach.
8. Zakończenie przetwarzania
Po zakończeniu korzystania z Platformy Firma może pobrać eksport danych w panelu. Rozpoczęcie usuwania Firmy daje 7 dni na przywrócenie. Po tym czasie dane są usuwane z bieżącego magazynu, a z ręcznie pobranych zaszyfrowanych kopii zgodnie z ustalonym okresem ich przechowywania (patrz Polityka prywatności). Odrębna retencja minimalnej historii wizyty następuje wyłącznie za dobrowolną zgodą klienta opisaną w Polityce prywatności. W tym zakresie Operator działa jako odrębny administrator. Firma nie może udzielić tej zgody za klienta ani uzależnić rezerwacji od jej udzielenia. Niniejsza umowa nie upoważnia Operatora do zachowania całej bazy Firmy dla własnych celów.
9. Audyty
Operator udostępnia Firmie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów na zasadach uzgodnionych z wyprzedzeniem. W pierwszej kolejności Operator udostępnia informacje i dokumentację pozwalające ocenić wykonanie obowiązków podmiotu przetwarzającego. Jeżeli jest to niewystarczające, Firma może przeprowadzić audyt samodzielnie lub przez upoważnionego audytora zobowiązanego do poufności. Strony uzgadniają zakres, termin i sposób audytu, chroniąc dane innych firm i bezpieczeństwo systemów. Uzgodnienia nie mogą uniemożliwiać ani nadmiernie opóźniać kontroli, szczególnie w przypadku naruszenia lub uzasadnionego podejrzenia niezgodności. Nie ogranicza to uprawnień organu nadzorczego.