Regulamin EULA DPA Polityka prywatności

Umowa powierzenia przetwarzania danych osobowych (DPA)

§1. Strony

  1. Administrator – Klient korzystający z aplikacji „Integrator IdoSell z Pigu".
  2. Podmiot przetwarzający – BEQUALO sp. z o.o. z siedzibą w Poznaniu, ul. Św. Marcin 29/8, 61-806 Poznań, KRS: 0000808746, NIP: 7831807482, REGON: 384618745.

§2. Przedmiot i charakter powierzenia

  1. Administrator powierza Podmiotowi przetwarzającemu dane osobowe do przetwarzania w celu świadczenia usługi Aplikacji.
  2. Powierzenie następuje na podstawie art. 28 RODO.
  3. Przetwarzanie ma charakter zautomatyzowany i może obejmować zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, przesyłanie, dopasowywanie, ograniczanie, usuwanie lub niszczenie danych.
  4. Podmiot przetwarzający przetwarza dane wyłącznie w zakresie niezbędnym do:
    1. zestawienia i utrzymania integracji,
    2. synchronizacji danych między IdoSell a Pigu.lt,
    3. utrzymania technicznego, diagnostyki, bezpieczeństwa i supportu,
    4. rozliczania usługi,
    5. wykrywania błędów i zapobiegania nadużyciom.

§3. Czas trwania przetwarzania

  1. Dane są powierzone na czas obowiązywania umowy o korzystanie z Aplikacji.
  2. Po zakończeniu świadczenia usługi Podmiot przetwarzający usuwa lub zwraca dane osobowe, chyba że prawo Unii lub prawo polskie nakazuje dalsze ich przechowywanie.
  3. Logi techniczne, kopie bezpieczeństwa oraz dane niezbędne do zapewnienia rozliczalności, bezpieczeństwa, dochodzenia lub obrony roszczeń mogą być przechowywane po zakończeniu świadczenia Usługi przez okres nie dłuższy niż 120 dni, chyba że obowiązek dłuższego przechowywania wynika z przepisów prawa lub z konieczności zabezpieczenia roszczeń.

§4. Kategorie osób i danych

  1. Powierzenie może obejmować dane następujących kategorii osób:
    1. klientów końcowych sklepu,
    2. odbiorców zamówień,
    3. osób kontaktowych Klienta,
    4. pracowników lub współpracowników Klienta, jeżeli ich dane pojawiają się w systemie.
  2. Powierzenie może obejmować następujące kategorie danych:
    1. imię i nazwisko,
    2. adres dostawy i/lub adres rozliczeniowy,
    3. adres e-mail,
    4. numer telefonu,
    5. dane dotyczące zamówienia, płatności, dostawy i zwrotu,
    6. identyfikatory kont, zamówień, ofert i transakcji,
    7. dane techniczne i logi operacyjne związane z realizacją integracji.

§5. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający:
    1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora,
    2. zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
    3. wdraża odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, adekwatne do ryzyka.
  2. Środki, o których mowa powyżej, obejmują w szczególności:
    1. kontrolę dostępu do systemów,
    2. uwierzytelnianie użytkowników administracyjnych,
    3. segmentację dostępu do danych,
    4. szyfrowanie transmisji,
    5. rejestrowanie zdarzeń i logowanie operacji,
    6. tworzenie kopii zapasowych,
    7. zabezpieczenia przed utratą dostępności i integralności danych,
    8. procedury reagowania na incydenty.
  3. Podmiot przetwarzający uwzględnia stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania.

§6. Dalsze powierzenie

  1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających, pod warunkiem że:
    1. są one wykorzystywane wyłącznie w zakresie niezbędnym do świadczenia usługi,
    2. zostaną objęte obowiązkami ochrony danych nie mniej rygorystycznymi niż wynikające z niniejszej umowy.
  2. Aktualna lista kategorii podprocesorów obejmuje w szczególności:
    1. dostawców hostingu i VPS,
    2. dostawców poczty transakcyjnej i alertów,
    3. dostawców monitoringu, backupu i bezpieczeństwa,
    4. dostawców narzędzi serwisowych używanych do utrzymania usługi.
  3. Na żądanie Administratora Podmiot przetwarzający udostępni aktualną listę podprocesorów.
  4. Co do zasady dane osobowe są przetwarzane na infrastrukturze zlokalizowanej na terytorium UE lub EOG. Jeżeli dalsze powierzenie wiąże się z przekazaniem danych poza EOG, Podmiot przetwarzający zapewni odpowiednią podstawę legalizującą transfer danych, w szczególności standardowe klauzule umowne, jeżeli są wymagane.

§7. Pomoc dla Administratora

  1. Podmiot przetwarzający, uwzględniając charakter przetwarzania i dostępne informacje, wspiera Administratora w zakresie:
    1. realizacji praw osób, których dane dotyczą,
    2. zgłaszania naruszeń,
    3. oceny skutków dla ochrony danych,
    4. konsultacji z organem nadzorczym, jeżeli będą wymagane.

§8. Naruszenia ochrony danych

  1. Podmiot przetwarzający zawiadomi Administratora o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później jednak niż w terminie 72 godzin od stwierdzenia naruszenia, o ile w danych okolicznościach przekazanie informacji w tym terminie jest możliwe.
  2. Zawiadomienie powinno obejmować, o ile to możliwe:
    1. opis charakteru naruszenia,
    2. kategorie danych i osób, których dotyczy naruszenie,
    3. możliwe konsekwencje,
    4. zastosowane lub proponowane środki zaradcze.

§9. Audyt i informacje

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z niniejszą umową, w zakresie wymaganym przez art. 28 RODO.
  2. Audyt może być przeprowadzony nie częściej niż raz w roku kalendarzowym, po uprzednim co najmniej 14-dniowym zawiadomieniu.
  3. Audyt nie może:
    1. naruszać tajemnicy przedsiębiorstwa Podmiotu przetwarzającego,
    2. prowadzić do ujawnienia danych innych klientów,
    3. zakłócać ciągłości działania usługi.
  4. Podmiot przetwarzający może zamiast pełnego audytu udostępnić aktualną dokumentację bezpieczeństwa, odpowiedzi compliance lub wyniki audytów wewnętrznych, o ile będą wystarczające do wykazania zgodności.

§10. Odpowiedzialność

  1. Każda ze Stron odpowiada za własne naruszenia obowiązków wynikających z RODO.
  2. W relacjach umownych między Stronami odpowiedzialność Podmiotu przetwarzającego z tytułu niniejszej umowy jest ograniczona do wysokości odpowiedzialności określonej w Regulaminie lub umowie głównej, z zastrzeżeniem, że ograniczenie to nie uchybia bezwzględnie obowiązującym przepisom prawa.
  3. Podmiot przetwarzający nie odpowiada za zgodność z prawem danych wprowadzonych do Aplikacji przez Administratora ani za podstawy prawne ich pozyskania.

§11. Zwrot i usunięcie danych

  1. Po zakończeniu usługi Podmiot przetwarzający usuwa dane osobowe z systemów produkcyjnych w rozsądnym terminie operacyjnym.
  2. Dane z kopii zapasowych są usuwane zgodnie z cyklem retencji backupów, nie później niż po upływie 120 dni, chyba że obowiązek dłuższego przechowywania wynika z przepisów prawa lub z konieczności zabezpieczenia roszczeń.
  3. Podmiot przetwarzający może zachować dane w zakresie niezbędnym do:
    1. spełnienia obowiązków prawnych,
    2. obrony przed roszczeniami,
    3. zapewnienia rozliczalności i bezpieczeństwa.

§12. Postanowienia końcowe

  1. Umowa podlega prawu polskiemu.
  2. W sprawach nieuregulowanych zastosowanie mają RODO oraz umowa główna.
  3. W razie sprzeczności pomiędzy DPA a Regulaminem, w zakresie ochrony danych pierwszeństwo ma DPA.