Umowa Powierzenia Przetwarzania (DPA)
Niniejsza Umowa Powierzenia Przetwarzania („DPA") stanowi część Regulaminu między Marko Omelyash VARSOFIA („Procesor", „my") a organizacją klienta („Administrator", „Ty") i ma zastosowanie zawsze, gdy przetwarzamy dane osobowe w Twoim imieniu w związku z Usługą. Zawarta jest na podstawie art. 28 Rozporządzenia (UE) 2016/679 (RODO) i uzupełnia Politykę prywatności.
1. Role stron
Administrator jest administratorem wszelkich danych osobowych zawartych w Treści Klienta (w tym danych Użytkowników Końcowych / sygnatariuszy). Procesor przetwarza takie dane osobowe w imieniu Administratora, zgodnie z jego udokumentowanymi poleceniami, wyłącznie w celu świadczenia Usługi. Każda strona jest niezależnie odpowiedzialna za swoje własne obowiązki administratora wynikające z RODO.
2. Przedmiot, czas trwania, charakter i cel
Przedmiot: świadczenie Usługi. Czas trwania: przez okres obowiązywania umowy oraz uzgodnione okresy eksportu/usunięcia danych po jej zakończeniu. Charakter i cel: hosting, transmisja, przechowywanie i przetwarzanie danych osobowych niezbędnych do świadczenia procesów podpisu elektronicznego, w tym podpisywania, audytu, powiadomień i archiwizacji ukończonych dokumentów.
3. Kategorie osób, których dane dotyczą i danych osobowych
Osoby, których dane dotyczą: użytkownicy, administratorzy, sygnatariusze i inne osoby wymienione w Treści Klienta. Dane osobowe: dane identyfikacyjne i kontaktowe (imię, e-mail, telefon, adres IP, user-agent), treść dokumentów wybranych przez Administratora, dowody podpisu i wpisy w dzienniku audytu. Administrator odpowiada za to, by nie przesyłać szczególnych kategorii danych (art. 9 RODO) ani danych dzieci, chyba że zapewniona jest odpowiednia podstawa prawna i dodatkowe zabezpieczenia.
4. Przetwarzanie na udokumentowane polecenia
Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenia Administratora, w tym w odniesieniu do transferów do państw trzecich, chyba że obowiązek innego przetwarzania wynika z prawa Unii lub państwa członkowskiego, któremu podlega Procesor. Polecenia Administratora są zawarte w umowie (Regulamin, Polityka prywatności i niniejsza DPA), w konfiguracji organizacji Administratora w Usłudze oraz w każdym dalszym pisemnym poleceniu Administratora.
5. Poufność
Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności oraz że dostęp jest ograniczony do personelu, który potrzebuje go do wykonywania swoich obowiązków.
6. Środki bezpieczeństwa (art. 32 RODO)
Procesor wdraża odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie w transmisji i spoczynku, nowoczesne hashowanie haseł, obsługę uwierzytelniania wieloskładnikowego, kontrolę dostępu opartą na rolach, niezmienny dziennik audytu z łańcuchem hashów, ochronę perymetru (TLS, ochrona przed DDoS, WAF) oraz testowane procedury kopii zapasowych i odzyskiwania. Szczegółowe środki opisane są w Polityce prywatności i mogą być okresowo aktualizowane, pod warunkiem że poziom ochrony nie zostaje obniżony.
7. Podprocesorzy
Administrator udziela Procesorowi ogólnej pisemnej zgody na zaangażowanie podprocesorów do wsparcia w świadczeniu Usługi. Aktualna lista podprocesorów jest udostępniana online i stanowi część niniejszej DPA przez odniesienie. Procesor poinformuje Administratora (e-mailem i/lub baner w aplikacji) o zamierzonym dodaniu lub zmianie podprocesora z co najmniej 30-dniowym wyprzedzeniem, dając Administratorowi możliwość sprzeciwu z uzasadnionych przyczyn. Jeśli sprzeciw jest uzasadniony i strony nie osiągną porozumienia w ciągu kolejnych 30 dni, Administrator może rozwiązać umowę w zakresie dotkniętej części Usługi. Procesor pozostaje w pełni odpowiedzialny wobec Administratora za wykonanie obowiązków przez podprocesora. Aktualna lista jest opublikowana pod adresem sign.yt/subprocessors.
8. Transfery międzynarodowe
Tam, gdzie dane osobowe są przekazywane poza Europejski Obszar Gospodarczy, Procesor opiera się na Standardowych Klauzulach Umownych Komisji Europejskiej (Decyzja 2021/914) oraz na uzupełniających środkach technicznych i organizacyjnych zgodnych z wyrokiem Schrems II. Tam, gdzie Administrator wybiera funkcje lub dostawców wymagających transferów (np. konkretnych dostawców AI), Administrator potwierdza i poleca takie transfery.
9. Pomoc w realizacji praw osób, których dane dotyczą
Uwzględniając charakter przetwarzania, Procesor pomaga Administratorowi za pomocą odpowiednich środków technicznych i organizacyjnych w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w art. 15-22 RODO, w szczególności udostępniając w produkcie narzędzia eksportu danych, usuwania i pobierania śladu audytu.
10. Naruszenia ochrony danych osobowych
Procesor zawiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych Administratora, dostarczając informacje racjonalnie dostępne Procesorowi, aby umożliwić Administratorowi wywiązanie się z jego własnych obowiązków wynikających z art. 33 i 34 RODO.
11. Audyty
Procesor udostępnia Administratorowi, na pisemny wniosek i z zachowaniem poufności, informacje niezbędne do wykazania zgodności z niniejszą DPA. Audyty wykraczające poza takie ujawnienie informacji są ograniczone do (a) gotowych raportów audytora dostępnych Procesorowi (np. raporty z niezależnych audytów, jeśli istnieją) oraz (b) jednego audytu na miejscu rocznie, z co najmniej 30-dniowym wyprzedzeniem, przez wzajemnie akceptowalnego audytora i na koszt Administratora, w przypadku rozsądnie uzasadnionych obaw co do zgodności.
12. Zwrot i usunięcie danych
Po zakończeniu umowy Procesor usunie Treść Klienta z systemów aktywnych w okresach określonych w Regulaminie (okno eksportu, a następnie usunięcie). Kopie zapasowe zawierające Treść Klienta zostaną nadpisane w zwykłym toku zgodnie z okresem rotacji kopii zapasowych. Procesor może zachować dane osobowe, jeżeli jest to wymagane przez właściwe prawo (np. dokumentacja księgowa).
13. Odpowiedzialność
Łączna odpowiedzialność każdej strony wynikająca z niniejszej DPA lub w związku z nią podlega ograniczeniom odpowiedzialności określonym w Regulaminie.
14. Prawo właściwe
Niniejsza DPA podlega prawu polskiemu i jest interpretowana spójnie z Regulaminem. W przypadku sprzeczności między niniejszą DPA a Regulaminem w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza DPA.
15. Kontakt
We wszystkich pytaniach dotyczących niniejszej DPA skontaktuj się z support@sign.yt.