Umowa powierzenia przetwarzania danych osobowych

Strony

Administrator: przedsiębiorca, w imieniu którego założono Konto w serwisie Footler, oznaczony danymi podanymi w Koncie i przy płatności („Administrator”, „Klient”),

Podmiot przetwarzający: Konrad Bejger, prowadzący jednoosobową działalność gospodarczą pod firmą „Konrad Bejger”, wpisaną do CEIDG, ul. Magellana 6/64, 80-288 Gdańsk, Polska, NIP 8781795948, REGON 367501781, e-mail: contact@getfootler.com („Podmiot przetwarzający”, „Footler”).

§ 1. Definicje i przedmiot umowy

1. Pojęcia „dane osobowe”, „przetwarzanie”, „naruszenie ochrony danych osobowych” i inne mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 („RODO”). „Umowa główna” to umowa o świadczenie usług Footler zawarta na podstawie Regulaminu, a „Usługa” – usługi świadczone na jej podstawie.
2. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w Umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową i RODO.

§ 2. Charakter, cel i zakres przetwarzania

1. Cel: świadczenie Usługi – tworzenie, przechowywanie i hostowanie stopek e-mail (obrazków PNG i animowanych GIF-ów) oraz wizytówek online osób wskazanych przez Administratora, nagrywanie animacji, wysyłka wiadomości e-mail związanych z Usługą, licznik otwarć wizytówek, pomoc przy instalacji stopek i – gdy Administrator z niej korzysta – instalacja stopek w całej firmie (Google Workspace, Microsoft 365).
2. Charakter: zbieranie (wprowadzanie danych przez Administratora i osoby, którym udostępnił link), przechowywanie, porządkowanie, adaptowanie (generowanie obrazków i animacji), udostępnianie (publiczne udostępnianie stopek i wizytówek pod linkami, które Administrator umieszcza w swoich wiadomościach) i usuwanie, a w funkcjach opartych na AI – analiza.
3. Kategorie osób: pracownicy, współpracownicy, zleceniobiorcy i inne osoby, których stopki Administrator tworzy w Panelu, oraz osoby kontaktowe Administratora.
4. Kategorie danych: imię i nazwisko, stanowisko, numery telefonów, adres e-mail, profile w mediach społecznościowych (np. LinkedIn), zdjęcie, slogan i inne teksty stopki, dane firmy (nazwa, adres, strona, logo), liczba otwarć wizytówki, a przy instalacji w całej firmie – adresy e-mail osób z domeny Administratora, które wysyłają wiadomości bez przypisanej stopki (przez 7 dni).
5. Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO).
6. Czas: przez czas trwania Umowy głównej, a po jej zakończeniu – do usunięcia danych zgodnie z § 9.

§ 3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w sprawie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania wynika z przepisów prawa – wtedy przed rozpoczęciem przetwarzania informuje o nim Administratora, jeśli prawo tego nie zabrania. Poleceniem są Umowa, Regulamin i działania Administratora w Panelu (np. dodanie osoby, zmiana danych, wybór wzoru). Polecenia wykraczające poza funkcje Usługi Podmiot przetwarzający może odrzucić; Administrator może wtedy wypowiedzieć Umowę główną.
2. Podmiot przetwarzający informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy.
4. Podmiot przetwarzający stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w Załączniku 2. Może je zmieniać, jeśli nie obniża to ogólnego poziomu bezpieczeństwa.
5. Podmiot przetwarzający, w miarę możliwości i uwzględniając charakter przetwarzania, pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą (rozdział III RODO) – przede wszystkim przez funkcje Panelu (edycja, usuwanie osób i pobranie danych). Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki.
6. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje.
7. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania, jeśli wymaga tego art. 30 RODO.

§ 4. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku 1.
2. O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem albo w Panelu co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeśli strony się nie porozumieją, Administrator może wypowiedzieć Umowę główną ze skutkiem na dzień zmiany – to jedyne uprawnienie z tytułu sprzeciwu.
3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające w drodze umowy – także przez akceptację ich standardowych warunków – obowiązki ochrony danych odpowiadające tej Umowie i odpowiada wobec Administratora za wypełnianie przez nie tych obowiązków (art. 28 ust. 4 RODO).

§ 5. Przekazywanie danych poza EOG

Dane mogą być przekazywane do państw spoza Europejskiego Obszaru Gospodarczego tylko z zabezpieczeniami z rozdziału V RODO, wskazanymi w Załączniku 1.

§ 6. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2 RODO), e-mailem na adres Konta.
2. Zgłoszenie zawiera informacje z art. 33 ust. 3 RODO, w miarę ich dostępności; brakujące informacje Podmiot przetwarzający przekazuje, gdy je uzyska.
3. Podmiot przetwarzający współpracuje z Administratorem przy wyjaśnianiu naruszenia i ograniczaniu jego skutków, w zakresie, w jakim to od niego zależy.

§ 7. Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO – przede wszystkim tę Umowę z załącznikami i odpowiedzi na pisemne pytania.
2. Jeśli te informacje nie wystarczą, Administrator albo upoważniony przez niego audytor zobowiązany do zachowania tajemnicy, który nie jest konkurentem Podmiotu przetwarzającego, może przeprowadzić audyt lub inspekcję po uprzedzeniu Podmiotu przetwarzającego co najmniej 30 dni wcześniej, nie częściej niż raz na 12 miesięcy (chyba że doszło do naruszenia albo żąda tego organ nadzorczy), w dni robocze, w uzgodnionym terminie i bez dostępu do danych innych klientów ani do systemów dostawców.
3. Koszty audytu, w tym uzasadnione koszty czasu pracy Podmiotu przetwarzającego, ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Podmiot przetwarzający.

§ 8. Obowiązki Administratora

Administrator zapewnia, że ma podstawę prawną do przetwarzania powierzonych danych i do ich publicznego udostępnienia w stopkach i wizytówkach, że poinformował o tym osoby, których dane dotyczą (art. 13 i 14 RODO), i że dane są prawidłowe. Administrator odpowiada za to, komu udostępnia dostęp do Panelu i prywatne linki.

§ 9. Usunięcie danych

1. Przed zakończeniem Umowy głównej Administrator może pobrać powierzone dane z Panelu (eksport) – to zwrot danych w rozumieniu art. 28 ust. 3 lit. g RODO.
2. Po zakończeniu Umowy głównej Podmiot przetwarzający usuwa powierzone dane w ciągu 30 dni, chyba że przepisy prawa nakazują dalsze przechowywanie.
3. Dane w kopiach zapasowych, jeśli są tworzone, są usuwane w ramach ich rotacji.
4. Po usunięciu danych stopki i wizytówki przestają pokazywać dane osób pod dotychczasowymi linkami.

§ 10. Odpowiedzialność

Wobec osób, których dane dotyczą, strony odpowiadają zgodnie z art. 82 RODO. We wzajemnych relacjach stron, także za szkody związane z tą Umową, stosuje się postanowienia Regulaminu o odpowiedzialności, w tym jej ograniczenia, w granicach dopuszczalnych przez prawo.

§ 11. Postanowienia końcowe

1. Umowa obowiązuje przez czas trwania Umowy głównej i do wykonania obowiązków z § 9.
2. W sprawach ochrony danych osobowych Umowa ma pierwszeństwo przed Regulaminem.
3. Umowa może być zmieniana w trybie zmiany Regulaminu albo w formie dokumentowej.
4. Do Umowy stosuje się prawo polskie. Spory rozstrzyga sąd wskazany w Regulaminie. W razie rozbieżności między wersją polską a angielską rozstrzyga wersja polska.

Załącznik 1. Dalsze podmioty przetwarzające

Załącznik 2. Środki techniczne i organizacyjne

• szyfrowanie połączeń (HTTPS/TLS);
• hasła przechowywane wyłącznie jako skróty scrypt z solą; identyfikatory sesji przechowywane jako skróty; cookie sesji HttpOnly, SameSite i Secure;
• losowe, długie i trudne do odgadnięcia linki do paneli, wizytówek i stron z propozycjami;
• kontrola dostępu do Panelu: konto z hasłem ustawionym po potwierdzeniu adresu e-mail albo prywatny klucz;
• limity zapytań i ochrona przed nadużyciami; weryfikacja nadawców poczty przychodzącej (DKIM, DMARC);
• ochrona przed odczytem adresów sieci prywatnych przy pobieraniu stron internetowych, z limitami rozmiaru i czasu;
• treść odebranych wiadomości e-mail traktowana jako niezaufana – nigdy nie jest wyświetlana jako HTML na stronach Usługi;
• minimalizacja danych: do modelu AI trafiają tylko dane potrzebne do danego zadania; Usługa nie zapisuje, kto i kiedy wyświetlił stopkę osoby z Panelu;
• dostęp do danych produkcyjnych tylko dla Podmiotu przetwarzającego i upoważnionych osób zobowiązanych do zachowania tajemnicy;
• infrastruktura u dostawcy hostingu z zabezpieczeniami fizycznymi i sieciowymi centrów danych;
• aktualizacje oprogramowania i procedura obsługi naruszeń (§ 6).