Umowa powierzenia przetwarzania danych osobowych

Niniejsza Umowa powierzenia przetwarzania danych osobowych, dalej DPA, określa zasady przetwarzania danych osobowych przez KROVARIQ w imieniu klienta korzystającego z platformy KROVARIQ.

DPA stanowi część umowy dotyczącej korzystania z platformy KROVARIQ, Regulaminu KROVARIQ lub innej umowy zawartej pomiędzy klientem a KROVARIQ, jeżeli w ramach świadczenia usług KROVARIQ przetwarza dane osobowe w imieniu klienta.

Podmiotem przetwarzającym jest Michał Królak prowadzący działalność gospodarczą pod marką KROVARIQ, NIP: 9472004607, ul. Hipoteczna 21/60, 91-324 Łódź, Polska, e-mail: [email protected].

Administratorem danych jest klient korzystający z platformy KROVARIQ, dalej jako Administrator lub Klient.

DPA zostaje zawarta zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., dalej RODO.

Powierzenie ma miejsce w zakresie, w którym Administrator wykorzystuje KROVARIQ do przetwarzania danych osobowych w swoich własnych celach, a KROVARIQ wykonuje operacje na tych danych w jego imieniu.

Podmiot przetwarzający nie staje się administratorem danych wyłącznie z tego powodu, że wykonuje operacje przetwarzania na rzecz Klienta.

Administrator powierza KROVARIQ przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług dostępnych w platformie KROVARIQ.

Operacje wykonywane są wyłącznie w zakresie koniecznym do świadczenia usług oraz zgodnie z udokumentowanymi poleceniami Administratora.

• zapisywanie, organizowanie, porządkowanie i przechowywanie danych;
• odczytywanie, wyszukiwanie, wykorzystywanie i analizowanie danych;
• przesyłanie i udostępnianie danych w ramach autoryzowanych integracji;
• łączenie, ograniczanie, aktualizowanie i automatyczne przetwarzanie danych;
• usuwanie, anonimizowanie oraz wykonywanie kopii bezpieczeństwa.

KROVARIQ może przetwarzać powierzone dane wyłącznie w celu świadczenia usług określonych w umowie z Klientem.

W zależności od wykorzystywanych funkcji może to obejmować prowadzenie CRM, obsługę leadów i klientów, komunikację, wiadomości, automatyzacje, follow-upy, oferty, raporty, zadania, bazę wiedzy, integracje, funkcje AI, Content Studio, przechowywanie danych i plików, bezpieczeństwo, diagnostykę oraz utrzymanie systemu.

KROVARIQ nie może wykorzystywać powierzonych danych do własnych, niezależnych celów, chyba że dla konkretnej operacji posiada odrębną podstawę prawną i występuje w charakterze niezależnego administratora.

Powierzenie obowiązuje przez okres świadczenia usług KROVARIQ na rzecz Administratora.

Po zakończeniu świadczenia usług KROVARIQ postępuje z powierzonymi danymi zgodnie z sekcją 18 DPA, chyba że przepisy prawa wymagają dalszego przechowywania określonych informacji.

• klienci Administratora, potencjalni klienci, leady i osoby kontaktujące się z Administratorem;
• kontrahenci, przedstawiciele kontrahentów, pracownicy, współpracownicy i użytkownicy końcowi usług Administratora;
• osoby kontaktujące się przez e-mail, formularze, media społecznościowe lub inne kanały;
• inne osoby, których dane Administrator zgodnie z prawem wprowadzi do platformy.

W zależności od konfiguracji platformy mogą to być m.in. dane identyfikacyjne, kontaktowe, CRM, komunikacyjne, biznesowe, dane zawarte w plikach i wiadomościach oraz inne dane wprowadzone przez Administratora lub pozyskane za pomocą skonfigurowanych przez niego integracji.

Administrator powinien ograniczać zakres powierzanych danych do informacji niezbędnych do realizacji własnych celów.

• imię, nazwisko, adres e-mail, numer telefonu, stanowisko, nazwa firmy i dane kontaktowe;
• dane dotyczące relacji handlowej, treść wiadomości, historia komunikacji, notatki, status leadu i dane CRM;
• informacje dotyczące ofert, dane dotyczące zadań, pliki i dokumenty;
• dane zawarte w materiałach przekazanych do funkcji AI, identyfikatory kont i profili oraz inne dane wprowadzone zgodnie z umową.

Platforma KROVARIQ nie jest domyślnie przeznaczona do przetwarzania danych szczególnych kategorii, o których mowa w art. 9 RODO.

Administrator nie powinien przekazywać takich danych, chyba że konkretna funkcja i umowa dopuszczają takie przetwarzanie, Administrator posiada właściwą podstawę prawną, przetwarzanie zostało odpowiednio ocenione pod kątem ryzyka oraz zastosowano środki bezpieczeństwa odpowiednie do charakteru danych.

Samo techniczne umożliwienie wpisania określonej informacji do pola tekstowego nie oznacza, że KROVARIQ jest przeznaczony do przetwarzania wszystkich kategorii danych osobowych.

KROVARIQ przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego.

Za udokumentowane polecenia mogą być uznane w szczególności postanowienia umowy, niniejsze DPA, konfiguracja workspace, ustawienia funkcji, uruchomienie integracji, polecenia przekazane przez uprawnionych użytkowników w platformie oraz prawidłowo autoryzowane dyspozycje przekazane KROVARIQ.

Jeżeli KROVARIQ uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych, poinformuje o tym Administratora w zakresie wymaganym prawem.

Administrator odpowiada za legalność poleceń przekazywanych KROVARIQ i zobowiązuje się w szczególności do następujących działań.

• przetwarzania danych zgodnie z prawem, posiadania odpowiedniej podstawy prawnej i realizowania obowiązków informacyjnych;
• powierzania wyłącznie danych, które może legalnie przetwarzać, oraz prawidłowego określenia celu i zakresu przetwarzania;
• zapewnienia właściwych uprawnień użytkowników oraz odpowiedniej konfiguracji konta i automatyzacji;
• niewykorzystywania platformy do działań niezgodnych z prawem i niewprowadzania nadmiernego zakresu danych;
• samodzielnej oceny, czy KROVARIQ jest odpowiedni do danych i procesów, które Administrator zamierza obsługiwać.

KROVARIQ zapewnia, że osoby upoważnione do przetwarzania powierzonych danych otrzymają dostęp wyłącznie w zakresie niezbędnym do wykonywania obowiązków, będą zobowiązane do zachowania poufności, zostaną odpowiednio poinstruowane w zakresie ochrony danych i nie będą wykorzystywać danych do nieuprawnionych celów.

Obowiązek poufności obowiązuje również po zakończeniu wykonywania czynności związanych z przetwarzaniem danych.

KROVARIQ wdraża odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, uwzględniając charakter przetwarzania, dostępne rozwiązania techniczne, koszty wdrożenia, zakres i kontekst przetwarzania oraz ryzyko naruszenia praw i wolności osób.

Środki muszą być adekwatne do ryzyka i nie ograniczają się wyłącznie do formalnego podpisania dokumentu. Minimalny opis środków znajduje się w Załączniku nr 2.

• kontrola dostępu, indywidualne konta użytkowników, role i uprawnienia oraz separacja danych pomiędzy organizacjami;
• zabezpieczenie sesji, uwierzytelnianie użytkowników i dodatkowe mechanizmy uwierzytelniania tam, gdzie są dostępne;
• kontrola dostępu do integracji, szyfrowanie odpowiednich sekretów i poświadczeń oraz ochrona transmisji danych;
• rejestrowanie zdarzeń, mechanizmy bezpieczeństwa aplikacji, kopie bezpieczeństwa i procedury odtwarzania;
• ograniczanie dostępu administracyjnego, zarządzanie podatnościami i aktualizacjami oraz środki ochrony infrastruktury.

Administrator udziela KROVARIQ ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających, jeżeli jest to niezbędne do świadczenia usług KROVARIQ.

Aktualna lista istotnych podprocesorów jest publikowana na stronie Lista podprocesorów KROVARIQ.

KROVARIQ zapewnia, że na podprocesora zostaną nałożone obowiązki w zakresie ochrony danych odpowiednie do charakteru świadczonej usługi i odpowiadające wymaganiom art. 28 RODO.

KROVARIQ pozostaje odpowiedzialny wobec Administratora za wykonywanie przez podprocesora obowiązków dotyczących ochrony danych w zakresie wynikającym z RODO.

W przypadku korzystania z ogólnej zgody na dalsze powierzenie KROVARIQ poinformuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia istotnego podprocesora z odpowiednim wyprzedzeniem, umożliwiając Administratorowi zgłoszenie uzasadnionego sprzeciwu z przyczyn związanych z ochroną danych.

Sposób informowania może obejmować wiadomość e-mail, informację w platformie albo aktualizację listy podprocesorów połączoną z mechanizmem powiadamiania o zmianach.

Jeżeli strony nie będą mogły znaleźć rozsądnego rozwiązania po uzasadnionym sprzeciwie Administratora, mogą zastosować środki przewidziane w umowie głównej, w tym zakończenie korzystania z funkcji wymagającej danego podprocesora albo zakończenie świadczenia odpowiedniej usługi.

KROVARIQ może korzystać z podprocesorów lub infrastruktury powodującej przekazywanie danych poza Europejski Obszar Gospodarczy.

W takim przypadku KROVARIQ zapewnia, aby transfer odbywał się zgodnie z rozdziałem V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych albo innego właściwego mechanizmu przewidzianego prawem.

W razie potrzeby KROVARIQ stosuje lub wymaga dodatkowych zabezpieczeń odpowiednich do ryzyka związanego z transferem.

Uwzględniając charakter przetwarzania, KROVARIQ pomaga Administratorowi, w miarę możliwości za pomocą odpowiednich środków technicznych i organizacyjnych, w realizacji obowiązków związanych z żądaniami osób, których dane dotyczą.

Może to obejmować pomoc w zakresie dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia i sprzeciwu.

Jeżeli osoba, której dane Administrator powierzył KROVARIQ, skieruje żądanie bezpośrednio do KROVARIQ, KROVARIQ co do zasady nie będzie samodzielnie rozstrzygać żądania w imieniu Administratora, lecz może przekazać je Administratorowi, chyba że obowiązujące przepisy wymagają innego działania.

KROVARIQ poinformuje Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych powierzonych Administratora.

Jeżeli pełne informacje nie są dostępne od razu, mogą być przekazywane etapami bez zbędnej zwłoki.

• charakter naruszenia, kategorie danych i kategorie osób;
• przybliżona liczba osób lub rekordów;
• prawdopodobne konsekwencje;
• zastosowane lub planowane środki zaradcze;
• informacje mogące pomóc Administratorowi w realizacji obowiązków wynikających z art. 33 i 34 RODO.

Po zakończeniu świadczenia usług związanych z przetwarzaniem danych, zgodnie z wyborem Administratora i postanowieniami umowy głównej, KROVARIQ usuwa powierzone dane osobowe albo umożliwia ich zwrot lub eksport oraz usuwa istniejące kopie, chyba że przepisy prawa wymagają dalszego przechowywania danych.

Możliwość technicznego eksportu, okres dostępności danych po zakończeniu subskrypcji oraz harmonogram usuwania mogą być szczegółowo określone w Regulaminie lub dokumentacji usługi.

Dane mogą przez ograniczony czas pozostawać w kopiach bezpieczeństwa, jeżeli ich natychmiastowe selektywne usunięcie nie jest technicznie możliwe. W takim przypadku pozostają odpowiednio chronione i nie są wykorzystywane do innych celów do czasu nadpisania lub usunięcia zgodnie z cyklem backupów.

Uwzględniając charakter przetwarzania oraz informacje dostępne KROVARIQ, Podmiot przetwarzający pomaga Administratorowi w realizacji obowiązków wynikających z art. 32-36 RODO, w zakresie właściwym dla świadczonej usługi.

Może to obejmować pomoc dotyczącą bezpieczeństwa przetwarzania, oceny ryzyka, naruszeń, oceny skutków dla ochrony danych oraz konsultacji z organem nadzorczym.

Odpowiedzialność za ustalenie, czy wymagane jest przeprowadzenie DPIA, spoczywa na Administratorze.

KROVARIQ udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, z uwzględnieniem ochrony bezpieczeństwa, tajemnic przedsiębiorstwa, praw innych klientów oraz poufności infrastruktury.

• dokumentacja bezpieczeństwa i odpowiedzi na kwestionariusze;
• zestawienia środków technicznych i organizacyjnych;
• raporty lub wyniki audytów, jeżeli są dostępne;
• inne odpowiednie materiały potwierdzające stosowane zabezpieczenia.

Administrator ma prawo weryfikować zgodność przetwarzania powierzonych danych z niniejszym DPA oraz art. 28 RODO. W pierwszej kolejności kontrola powinna być realizowana za pomocą dokumentacji i informacji udostępnianych przez KROVARIQ.

Jeżeli będzie to niewystarczające, Administrator może zwrócić się o przeprowadzenie dodatkowego audytu.

Administrator ponosi własne koszty audytu, chyba że strony uzgodnią inaczej albo audyt ujawni istotne naruszenie obowiązków KROVARIQ.

• audyt powinien być uzasadniony i mieć zakres proporcjonalny do ryzyka;
• audyt powinien być przeprowadzany w sposób niezakłócający nadmiernie działania KROVARIQ;
• audyt musi respektować poufność i bezpieczeństwo innych klientów;
• audyt powinien być uzgodniony z rozsądnym wyprzedzeniem, chyba że jest konieczny w związku z incydentem lub poleceniem organu;
• audyt nie może prowadzić do ujawnienia danych innych klientów, sekretów uwierzytelniających ani informacji, których ujawnienie naruszałoby bezpieczeństwo platformy.

Dostęp pracowników lub upoważnionych osób KROVARIQ do danych Administratora może nastąpić wyłącznie w zakresie niezbędnym m.in. do realizacji zgłoszenia wsparcia, diagnostyki, usunięcia awarii, zapewnienia bezpieczeństwa, przeciwdziałania nadużyciom, wykonania udokumentowanego polecenia Administratora albo spełnienia obowiązku prawnego.

Dostęp powinien być ograniczony do osób uprawnionych i zakresu niezbędnego dla określonego celu.

Jeżeli Administrator korzysta z funkcji sztucznej inteligencji, powierzone dane mogą być przetwarzane w ramach takich funkcji zgodnie z konfiguracją wybraną przez Administratora.

KROVARIQ może korzystać z zewnętrznych dostawców technologii AI działających jako podprocesorzy lub w innej roli wynikającej z konkretnej usługi.

Administrator odpowiada za ocenę, czy dane przekazywane do funkcji AI mogą być legalnie przetwarzane w tym celu. Administrator powinien w szczególności unikać przekazywania do modeli AI danych nadmiernych lub danych szczególnych kategorii, jeżeli nie jest to konieczne i zgodne z prawem.

KROVARIQ stosuje odpowiednie mechanizmy ograniczające zakres przetwarzania zgodnie z konfiguracją i charakterem funkcji.

KROVARIQ może tworzyć kopie zapasowe danych w celu zapewnienia ciągłości działania, bezpieczeństwa i możliwości odtworzenia systemu.

Aktualna produkcyjna procedura backupów KROVARIQ obejmuje codzienny backup bazy PostgreSQL, eksport workflow n8n oraz archiwum storage aplikacji. Backup jest uruchamiany cyklicznie na VPS, a skrypt retencji usuwa katalogi backupów starsze niż 14 dni.

Kopie zapasowe są chronione odpowiednimi środkami bezpieczeństwa, dostępne wyłącznie dla uprawnionych osób lub systemów, nie są wykorzystywane do niezależnych celów, podlegają właściwym okresom retencji oraz są nadpisywane lub usuwane zgodnie z cyklem backupów.

KROVARIQ może wykorzystywać centra danych, infrastrukturę chmurową, sieci dostarczania treści, storage oraz inne usługi techniczne świadczone przez zewnętrznych dostawców.

Aktualne informacje o istotnych podprocesorach i lokalizacji przetwarzania znajdują się na stronie Lista podprocesorów KROVARIQ albo w dokumentacji usługi.

Jeżeli KROVARIQ otrzyma prawnie wiążące żądanie organu publicznego dotyczące powierzonych danych, postąpi zgodnie z obowiązującym prawem.

Jeżeli prawo na to pozwala, KROVARIQ poinformuje Administratora o żądaniu przed udostępnieniem danych.

KROVARIQ nie udostępnia powierzonych danych organom publicznym dobrowolnie w zakresie wykraczającym poza obowiązki prawne lub udokumentowane polecenia Administratora.

Każda ze Stron odpowiada za własne obowiązki wynikające z RODO i innych właściwych przepisów.

Administrator odpowiada w szczególności za legalność przetwarzania, podstawę prawną, prawidłowość poleceń, zakres powierzanych danych oraz spełnianie obowiązków administratora.

KROVARIQ odpowiada w szczególności za obowiązki nałożone bezpośrednio na podmiot przetwarzający oraz za realizację obowiązków przyjętych w niniejszym DPA.

Postanowienia dotyczące odpowiedzialności umownej, limitów odpowiedzialności i odszkodowań mogą być dodatkowo określone w Regulaminie lub umowie głównej, z zastrzeżeniem przepisów bezwzględnie obowiązujących.

W przypadku sprzeczności pomiędzy niniejszym DPA a postanowieniami innych dokumentów dotyczących przetwarzania danych osobowych w charakterze administrator-procesor, pierwszeństwo mają postanowienia niniejszego DPA w zakresie dotyczącym powierzenia przetwarzania danych.

Nie dotyczy to postanowień wymaganych bezwzględnie obowiązującymi przepisami.

KROVARIQ może aktualizować DPA, jeżeli jest to konieczne w szczególności z powodu zmian prawa, zmian usług, nowych funkcji, zmian infrastruktury, zmian podprocesorów, zmian technicznych, zmian organizacyjnych albo konieczności poprawy zgodności lub bezpieczeństwa.

O istotnych zmianach Administrator zostanie poinformowany z odpowiednim wyprzedzeniem, jeżeli zmiany wpływają na sposób przetwarzania powierzonych danych lub obowiązki Administratora.

DPA zaczyna obowiązywać w momencie, w którym pomiędzy Administratorem a KROVARIQ powstaje stosunek powierzenia przetwarzania danych, w szczególności w związku z rozpoczęciem korzystania z usługi umożliwiającej przetwarzanie danych osobowych w imieniu Administratora.

DPA pozostaje w mocy przez cały okres, w którym KROVARIQ przetwarza powierzone dane.

DPA może zostać zawarta w formie elektronicznej.

Jeżeli Regulamin lub proces zawierania umowy wyraźnie przewiduje włączenie niniejszego DPA do umowy z Klientem, akceptacja odpowiednich warunków może stanowić udokumentowanie zawarcia DPA, o ile spełnione są wymagania właściwego prawa.

Art. 28 ust. 9 RODO wymaga, aby umowa lub inny akt prawny dotyczący powierzenia miał formę pisemną, w tym elektroniczną.

W zakresie nieuregulowanym niniejszym DPA zastosowanie mają RODO, właściwe przepisy prawa Unii Europejskiej, właściwe przepisy prawa polskiego dotyczące ochrony danych osobowych oraz umowa główna lub Regulamin KROVARIQ.

W sprawach dotyczących powierzenia danych, bezpieczeństwa przetwarzania lub niniejszego DPA Administrator może kontaktować się z KROVARIQ: Michał Królak - KROVARIQ, ul. Hipoteczna 21/60, 91-324 Łódź, Polska, NIP: 9472004607, e-mail: [email protected].