Umowa powierzenia przetwarzania danych osobowych (DPA)

1.1. Niniejsza Umowa Powierzenia ma zastosowanie do wszystkich umów między Interdevelopment UAB (dalej: „Wykonawca”) a jego klientami (dalej: „Zamawiający”), które zawierają odesłanie do niej (dalej: „Umowa Główna”), i stanowi integralną część takich umów.

1.2. Umowa Powierzenia określa warunki przetwarzania przez Wykonawcę danych osobowych w imieniu Zamawiającego. Zamawiający jest administratorem, a Wykonawca – podmiotem przetwarzającym. Terminy są używane w rozumieniu RODO i Umowy Głównej.

1.3. Zamawiający odpowiada za zgodność przetwarzania z prawem, w tym za istnienie podstaw prawnych i informowanie osób, których dane dotyczą.

1.4. Umowa Powierzenia obowiązuje przez okres obowiązywania Umowy Głównej oraz do czasu zakończenia zwrotu i usunięcia danych zgodnie z sekcją 8.

2.1. Rozszerzenie wykazu kategorii osób, których dane dotyczą, lub kategorii danych dla konkretnego Zamawiającego (np. w związku z uruchomieniem programu lojalnościowego) następuje w drodze pisemnego porozumienia Stron. Związane z tym usługi dodatkowe są opłacane na warunkach uzgodnionych przez Strony.

3.1. Wykonawca przetwarza dane osobowe wyłącznie na udokumentowane polecenia Zamawiającego. Poleceniami są Umowa Główna, niniejsza Umowa Powierzenia oraz zadania zlecone w trybie przewidzianym w Umowie Głównej. Wykonawca informuje Zamawiającego, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych, i ma prawo wstrzymać jego wykonanie do czasu potwierdzenia lub zmiany polecenia przez Zamawiającego.

3.2. Wykonawca zapewnia zachowanie tajemnicy przez osoby, które dopuścił do danych (swoich pracowników i podwykonawców przetwarzania).

3.3. Wykonawca stosuje odpowiednie środki techniczne i organizacyjne w zakresie bezpieczeństwa zgodnie z art. 32 RODO, w tym zarządzanie dostępem, tworzenie kopii zapasowych i ochronę kanałów komunikacji. Opis stosowanych środków jest udostępniany Zamawiającemu na żądanie.

3.4. Uwzględniając charakter przetwarzania, Wykonawca pomaga Zamawiającemu w realizacji żądań osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO. Żądania otrzymane bezpośrednio przez Wykonawcę przekazuje on Zamawiającemu bez zwłoki. Pomoc wykraczająca poza zwykłe wsparcie techniczne (np. udział w ocenie skutków dla ochrony danych) jest odpłatna według uzgodnionej stawki.

3.5. Wykonawca powiadamia Zamawiającego o naruszeniu ochrony danych osobowych (w tym o ich nieuprawnionym ujawnieniu, utraceniu, zmodyfikowaniu, zniszczeniu lub o nieuprawnionym dostępie do nich) bez zbędnej zwłoki, nie później jednak niż w terminie 48 godzin po jego stwierdzeniu. Powiadomienie zawiera dostępne w danym momencie informacje o charakterze naruszenia, jego prawdopodobnych konsekwencjach i podjętych środkach, a także wskazanie osoby kontaktowej Wykonawcy.

4.1. Za podwykonawcę przetwarzania uważa się podmiot, któremu Wykonawca powierza przetwarzanie danych osobowych Zamawiającego, w tym ich hosting, przechowywanie lub obsługę systemów z dostępem do nich. Dostawcy usług pomocniczych bez dostępu do danych osobowych Zamawiającego (usług łączności, księgowych, prawnych i innych) nie są podwykonawcami przetwarzania.

4.2. Zamawiający udziela ogólnej zgody na angażowanie przez Wykonawcę podwykonawców przetwarzania. Aktualny wykaz podwykonawców przetwarzania jest publikowany na stronie https://interdevelopment.eu/pl/legal/subprocessors/.

4.3. O zaangażowaniu lub zastąpieniu podwykonawcy przetwarzania Wykonawca z wyprzedzeniem powiadamia Zamawiającego na adres poczty elektronicznej wskazany w Umowie Głównej. Zamawiający ma prawo w terminie 14 dni kalendarzowych wyrazić umotywowany sprzeciw z przyczyn związanych z ochroną danych. Jeżeli Strony nie osiągnęły porozumienia, Zamawiający ma prawo rozwiązać Umowę Główną bez zachowania okresu wypowiedzenia przewidzianego w Umowie Głównej.

4.4. Wykonawca nakłada na podwykonawców przetwarzania obowiązki w zakresie ochrony danych odpowiadające wymogom art. 28 RODO i odpowiada wobec Zamawiającego za ich wykonanie.

5.1. Dane osobowe są przetwarzane i przechowywane w centrach przetwarzania danych na terytorium UE/EOG, certyfikowanych zgodnie z normą ISO/IEC 27001.

5.2. Przekazywanie danych poza UE/EOG jest dopuszczalne wyłącznie za uprzednią pisemną zgodą Zamawiającego i przy spełnieniu wymogów rozdziału V RODO.

6.1. Wykonawca udostępnia Zamawiającemu informacje niezbędne do wykazania przestrzegania niniejszej Umowy Powierzenia, przede wszystkim w formie dokumentów, w tym raportów niezależnych audytorów i certyfikatów podwykonawców przetwarzania.

6.2. Jeżeli dokumenty nie są wystarczające, Zamawiający lub upoważniony przez niego audytor ma prawo przeprowadzić audyt nie częściej niż raz w roku kalendarzowym, za powiadomieniem z wyprzedzeniem co najmniej 30 dni kalendarzowych, w godzinach roboczych i bez zakłócania pracy Wykonawcy. Audytor podpisuje umowę o zachowaniu poufności i nie może być konkurentem Wykonawcy. Audyt nie obejmuje danych innych klientów Wykonawcy.

6.3. Koszty audytu ponosi Zamawiający.

7.1. Wykonawca ma prawo zmieniać niniejszą Umowę Powierzenia, publikując nową wersję na swojej stronie internetowej i powiadamiając Zamawiającego pocztą elektroniczną co najmniej 30 dni kalendarzowych przed wejściem zmian w życie.

7.2. Zmiany nie mogą obniżać poziomu ochrony danych osobowych bez zgody Zamawiającego. Jeżeli Zamawiający nie zgadza się ze zmianami, ma prawo rozwiązać Umowę Główną przed dniem ich wejścia w życie bez zachowania okresu wypowiedzenia przewidzianego w Umowie Głównej.

7.3. Poprzednie wersje Umowy Powierzenia pozostają dostępne na stronie internetowej Wykonawcy.

8.1. Po zakończeniu Umowy Głównej Wykonawca zwraca dane w trybie przewidzianym w Umowie Głównej, a następnie usuwa ich kopie, o ile przepisy prawa nie wymagają ich przechowywania. Kopie w archiwach kopii zapasowych są usuwane w ramach ich planowej rotacji, nie później jednak niż w terminie 90 dni.

9.1. Odpowiedzialność Stron z tytułu niniejszej Umowy Powierzenia określają postanowienia Umowy Głównej, w tym dotyczące ograniczenia odpowiedzialności.

9.2. W razie sprzeczności między Umową Główną a niniejszą Umową Powierzenia w kwestiach ochrony danych osobowych pierwszeństwo ma niniejsza Umowa Powierzenia. Do Umowy Powierzenia stosuje się prawo właściwe dla Umowy Głównej.

9.3. Kontakt w sprawach ochrony danych: info@interdevelopment.eu.

9.4. Niniejsza Umowa Powierzenia jest publikowana w kilku językach. W razie rozbieżności między wersjami językowymi pierwszeństwo ma wersja w języku litewskim.