Umowa powierzenia przetwarzania danych

1. Strony umowy

Administrator danych: klient korzystający z serwisu LegisPulse, zgodnie z danymi wskazanymi w umowie lub zamówieniu.

Podmiot przetwarzający: Decent Code Sp. z o.o., ul. Młynarska 29, 58-300 Wałbrzych (siedziba rejestrowa), NIP 886 301 65 19, REGON 388 952 820, KRS 0000904994, kapitał zakładowy 10 000 zł, e-mail: firma@decentcode.pl.

Umowa powierzenia stanowi część umowy o korzystanie z LegisPulse i ma zastosowanie, gdy Klient wprowadza do systemu dane osobowe, których jest administratorem lub które przetwarza jako podmiot przetwarzający uprawniony do dalszego powierzenia.

2. Przedmiot powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi LegisPulse, w szczególności: utrzymania aplikacji i hostingu, obsługi Konta i Użytkowników, wykonywania codziennych Analiz Organizacji i ich Profili działalności, pobierania i przetwarzania metadanych oraz treści wiadomości z podłączonych Skrzynek (w zakresie wskazanym przez Administratora w konfiguracji), generowania Digestów i Podsumowań, backupu, bezpieczeństwa, wsparcia technicznego, diagnostyki błędów oraz realizacji udokumentowanych poleceń Administratora.

Przetwarzanie odbywa się przez okres korzystania z usługi, a po jej zakończeniu przez okres niezbędny do eksportu, zwrotu lub usunięcia danych oraz wykonania obowiązków bezpieczeństwa i rozliczalności.

3. Zakres i cele przetwarzania

Charakter przetwarzania obejmuje przechowywanie, utrwalanie, organizowanie, porządkowanie, modyfikowanie, przeglądanie w zakresie wsparcia, zabezpieczanie, tworzenie kopii zapasowych, odtwarzanie, ograniczanie, usuwanie i eksport danych, a także — w zakresie niezbędnym do świadczenia Usługi — przekazywanie zanonimizowanych i zminimalizowanych treści do modeli AI wyłącznie w regionie Unii Europejskiej.

Celem przetwarzania jest umożliwienie Administratorowi korzystania z systemu monitorowania zmian prawnych: konfiguracji Zakresów, obserwacji Źródeł, analizy Skrzynek oraz otrzymywania Digestów i Podsumowań.

Powierzenie może obejmować dane kontaktowe i identyfikacyjne Użytkowników, korespondencję z podłączonych Skrzynek (nadawcy, odbiorcy, tematy, treści), dane o konfiguracji Zakresów oraz inne dane, które Administrator wprowadzi do systemu.

Administrator zobowiązuje się do niekierowania do Usługi danych szczególnych kategorii w sposób niezamierzony; treści korespondencji mogą incidentalnie zawierać takie dane, co Podmiot przetwarzający uwzględnia stosując minimalizację przed przekazaniem do modeli AI.

4. Środki bezpieczeństwa

Podmiot przetwarzający stosuje środki techniczne i organizacyjne adekwatne do ryzyka, w szczególności kontrolę dostępu, nadawanie upoważnień, poufność personelu, szyfrowanie transmisji, szyfrowanie poświadczeń dostępowych do Skrzynek, segmentację uprawnień, kopie zapasowe, monitoring bezpieczeństwa, rejestrowanie zdarzeń oraz procedury obsługi incydentów.

Administrator odpowiada za konfigurację uprawnień Użytkowników, decyzję o podłączeniu Skrzynek i zakresie pobierania wstecznego, legalność poleceń przetwarzania oraz ocenę zgodności korzystania z systemu z obowiązkami Administratora wobec osób, których dane dotyczą.

5. Polecenia Administratora

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenia uznaje się umowę, Regulamin, konfigurację systemu, działania Administratora i Użytkowników w aplikacji, zgłoszenia wsparcia oraz inne pisemne lub elektroniczne dyspozycje Administratora.

Jeżeli Podmiot przetwarzający uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych, informuje o tym Administratora, chyba że zakazują tego przepisy prawa.

6. Poufność

Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności. Dostęp do danych ogranicza się do zakresu niezbędnego do świadczenia usługi, wsparcia, bezpieczeństwa lub wykonania zgodnego z prawem polecenia Administratora.

7. Podpowierzenie

Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających, jeżeli jest to niezbędne do świadczenia usługi, w szczególności: dostawcy infrastruktury chmurowej i hostingu w EOG (Google Cloud), poczty transakcyjnej w regionie UE (Mailgun), płatności (Stripe), monitoringu błędów w regionie UE oraz dostawcy modeli AI w regionie UE (Google Vertex AI).

Dostawcy modeli AI spoza EOG mogą być wykorzystywani wyłącznie do przetwarzania treści publicznych niebędących danymi osobowymi ani danymi powierzonymi przez Administratora. Przekazywanie im danych osobowych lub treści Klienta jest zabronione.

Podmiot przetwarzający nakłada na dalszych podprocesorów obowiązki ochrony danych nie mniej restrykcyjne niż wynikające z niniejszej umowy i odpowiada za ich działania zgodnie z RODO. Informacja o aktualnych kategoriach podprocesorów jest udostępniana Administratorowi na żądanie. Podmiot przetwarzający informuje o zamierzonych istotnych zmianach dotyczących podprocesorów, dając możliwość zgłoszenia sprzeciwu.

8. Pomoc Administratorowi

Podmiot przetwarzający, z uwzględnieniem charakteru przetwarzania i dostępnych informacji, pomaga Administratorowi w realizacji obowiązków dotyczących praw osób, których dane dotyczą, bezpieczeństwa przetwarzania, zgłaszania naruszeń, oceny skutków dla ochrony danych oraz konsultacji z organem nadzorczym.

Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Podmiotu przetwarzającego w sprawie danych powierzonych, Podmiot przetwarzający może przekazać żądanie Administratorowi, o ile przepisy prawa nie wymagają innego działania.

9. Naruszenia ochrony danych

Podmiot przetwarzający informuje Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony powierzonych danych osobowych. Informacja obejmuje, w miarę dostępności, opis charakteru naruszenia, możliwe skutki, podjęte lub proponowane środki zaradcze oraz dane kontaktowe.

Administrator odpowiada za ocenę obowiązku zgłoszenia naruszenia organowi nadzorczemu lub zawiadomienia osób, których dane dotyczą, chyba że przepisy nakładają określone obowiązki bezpośrednio na Podmiot przetwarzający.

10. Audyt i rozliczalność

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, z uwzględnieniem tajemnicy przedsiębiorstwa, bezpieczeństwa systemu oraz praw innych klientów.

Audyt może być realizowany przez analizę dokumentów, odpowiedzi na ankietę bezpieczeństwa lub spotkanie techniczne. Audyt bezpośredni wymaga wcześniejszego uzgodnienia terminu, zakresu i zasad bezpieczeństwa.

11. Zwrot i usunięcie danych

Po zakończeniu świadczenia usług Podmiot przetwarzający, według wyboru Administratora, umożliwia eksport danych, usuwa dane albo zwraca dane w uzgodnionej formie, chyba że prawo Unii Europejskiej lub prawo polskie nakazuje dalsze przechowywanie.

Kopie zapasowe mogą być usuwane zgodnie z cyklem retencji backupów. Do czasu usunięcia z kopii zapasowych dane pozostają zabezpieczone i nie są przetwarzane w innym celu niż bezpieczeństwo, odtworzenie danych lub wykonanie obowiązku prawnego.

12. Miejsce przetwarzania i transfer danych

Powierzone dane aplikacyjne są przetwarzane w Europejskim Obszarze Gospodarczym (regiony Google Cloud w Unii Europejskiej), chyba że strony uzgodnią inaczej lub transfer wynika z usług wybranych albo skonfigurowanych przez Administratora.

Jeżeli dojdzie do transferu danych osobowych poza EOG, Podmiot przetwarzający stosuje mechanizmy wymagane przez RODO, w szczególności standardowe klauzule umowne.

13. Obowiązki Administratora

Administrator zobowiązuje się do korzystania z usługi zgodnie z prawem, spełnienia obowiązków informacyjnych wobec osób, których dane dotyczą (w szczególności dotyczących podłączenia Skrzynki służbowej), zapewnienia podstaw prawnych przetwarzania, nadawania uprawnień zgodnie z zasadą minimalizacji oraz niewprowadzania danych w zakresie szerszym niż potrzebny.

14. Postanowienia końcowe

W zakresie nieuregulowanym niniejszą umową stosuje się RODO, przepisy prawa polskiego, Regulamin oraz umowę główną dotyczącą LegisPulse. W razie sprzeczności pierwszeństwo w zakresie ochrony danych osobowych mają postanowienia niniejszej Umowy powierzenia.