Projekt dokumentu. Treść nie została jeszcze zatwierdzona.

Umowa powierzenia przetwarzania danych osobowych

Wersja: projekt

1. Strony i zawarcie umowy

  1. Niniejsza umowa powierzenia przetwarzania danych osobowych („DPA”) zostaje zawarta pomiędzy:
    1. Klientem – jako administratorem danych osobowych;
    2. R19 Agency Joanna Stachowicz, NIP: 9452222407, ul. Żmujdzka 3, 31-426 Kraków – jako podmiotem przetwarzającym („Usługodawca”).
  2. DPA zostaje zawarte elektronicznie z chwilą akceptacji Regulaminu przez Klienta przy zakładaniu Konta. Nie wymaga odrębnego podpisu.
  3. DPA stanowi część umowy o świadczenie Usługi DB Search.

2. Przedmiot, czas i cel przetwarzania

  1. Usługodawca przetwarza dane osobowe wyłącznie w celu świadczenia Usługi na rzecz Klienta, w szczególności obsługi Widgetu wyszukiwarki, zapisu zdarzeń wyszukiwania i udostępniania statystyk wyszukiwań.
  2. Powierzenie obowiązuje przez czas trwania umowy o świadczenie Usługi, a po jej zakończeniu – przez czas niezbędny do usunięcia albo zwrotu danych zgodnie z punktem 10 DPA.
  3. Charakter przetwarzania obejmuje w szczególności odbieranie, zapisywanie, przechowywanie, odczytywanie, porządkowanie, analizowanie i usuwanie danych w systemach wykorzystywanych do świadczenia Usługi.

3. Zakres danych i kategorie osób

  1. Usługodawca może przetwarzać następujące rodzaje danych:
    1. adres IP użytkownika Sklepu;
    2. treść zapytania wpisanego do wyszukiwarki, która może zawierać dane osobowe;
    3. informacje o klikniętym produkcie;
    4. typ urządzenia;
    5. czas zdarzenia wyszukiwania.
  2. Osobami, których dane dotyczą, są użytkownicy Sklepu Klienta.

4. Polecenia Klienta

  1. Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa polskiego.
  2. Poleceniem Klienta są w szczególności: Regulamin, niniejsze DPA, ustawienia Konta oraz polecenia przesłane przez osoby upoważnione przez Klienta.
  3. Usługodawca poinformuje Klienta, jeżeli uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych.
  4. Przekazanie danych poza Europejski Obszar Gospodarczy może nastąpić wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przekazania wynika z prawa.

5. Poufność i bezpieczeństwo

  1. Usługodawca zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności.
  2. Usługodawca wdraża środki techniczne i organizacyjne odpowiednie do ryzyka, zgodnie z art. 32 RODO.
  3. W ramach działania Usługi stosowane są co najmniej następujące rozwiązania:
    1. hasła użytkowników panelu są przechowywane w formie zahaszowanej;
    2. dostęp do synchronizacji WooCommerce jest oparty na kluczach REST API z dostępem wyłącznie do odczytu;
    3. adres IP jest wykorzystywany do ograniczania prób logowania;
    4. panel wykorzystuje mechanizmy sesji logowania oraz ochrony formularzy przed atakami CSRF.
  4. [UZUPEŁNIJ: opis pozostałych faktycznie wdrożonych środków organizacyjnych i technicznych, w tym zasad dostępu administracyjnego, szyfrowania, kopii zapasowych i reagowania na incydenty.]

6. Pomoc dla Klienta

  1. Uwzględniając charakter przetwarzania, Usługodawca pomaga Klientowi w realizacji żądań osób, których dane dotyczą, w zakresie dostępnym dla Usługodawcy.
  2. Usługodawca pomaga Klientowi w realizacji obowiązków określonych w art. 32–36 RODO, w szczególności w zakresie bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym.
  3. Pomoc jest udzielana w zakresie adekwatnym do charakteru Usługi oraz informacji dostępnych Usługodawcy.

7. Naruszenia ochrony danych

  1. Usługodawca zgłasza Klientowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia.
  2. Zgłoszenie zawiera dostępne informacje o charakterze naruszenia, jego możliwych skutkach oraz działaniach podjętych lub planowanych przez Usługodawcę.
  3. Zgłoszenie jest kierowane na adres e-mail przypisany do Konta Klienta, chyba że Klient wskaże inny kanał kontaktu.

8. Podprzetwarzający

  1. Klient udziela Usługodawcy ogólnej zgody na korzystanie z podprzetwarzających wskazanych na stronie lista podprzetwarzających.
  2. Usługodawca poinformuje Klienta o planowanym dodaniu lub zastąpieniu podprzetwarzającego z wyprzedzeniem umożliwiającym zgłoszenie sprzeciwu.
  3. Klient może zgłosić uzasadniony sprzeciw wobec zmiany przed jej wejściem w życie.
  4. Usługodawca zapewni, że podprzetwarzający będzie związany obowiązkami ochrony danych co najmniej równoważnymi z obowiązkami wynikającymi z DPA.

9. Informacje i audyty

  1. Usługodawca udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
  2. Klient ma prawo przeprowadzić audyt lub inspekcję Usługodawcy, osobiście albo przez upoważnionego audytora.
  3. Strony uzgadniają termin i sposób przeprowadzenia audytu w sposób ograniczający ryzyko dla bezpieczeństwa danych i ciągłości działania Usługi. Nie ogranicza to prawa Klienta do przeprowadzenia audytu wymaganego przez prawo lub uzasadnionego incydentem.

10. Zakończenie przetwarzania

  1. Po zakończeniu świadczenia Usługi Usługodawca, zgodnie z wyborem Klienta, zwróci albo usunie powierzone dane, chyba że obowiązek ich dalszego przechowywania wynika z prawa.
  2. Dane zostaną zwrócone lub usunięte w terminie do 10 dni roboczych od rozwiązania umowy.

11. Postanowienia końcowe

  1. W sprawach nieuregulowanych DPA zastosowanie mają Regulamin oraz przepisy RODO.
  2. Jeżeli postanowienie DPA okaże się nieważne lub nieskuteczne, pozostałe postanowienia pozostają w mocy.