Umowa powierzenia przetwarzania danych

Jak stosować ten dokument

Ten wzór jest częścią dokumentacji SaaS Health. Stroną powierzającą („Administrator”) jest Klient, czyli firma wskazana w umowie o świadczenie usług SaaS Health albo w Zamówieniu, a podmiotem przetwarzającym („Procesor”) jest Grantbot.pl Sp. z o.o., właściciel marki SaaS Health. Umowa wiąże strony od dnia zawarcia umowy głównej albo przyjęcia Zamówienia, które się do niej odwołuje, albo od dnia jej podpisania. Indywidualnie podpisana umowa powierzenia ma pierwszeństwo przed tym wzorem.

Umowa dotyczy danych osobowych, które platforma pobiera z systemów Klienta, a Klient jest ich administratorem (np. dane jego klientów i subskrybentów w systemie płatności). Dane kont Użytkowników panelu i dane rozliczeniowe Grantbot.pl Sp. z o.o. przetwarza jako administrator; zasady opisuje Polityka prywatności.

1. Strony i podstawa powierzenia

Umowa zostaje zawarta pomiędzy:

Administratorem: Klientem wskazanym w umowie głównej lub w Zamówieniu, który określa cele i sposoby przetwarzania powierzonych danych,

a

Procesorem: Grantbot.pl Sp. z o.o. z siedzibą w Warszawie, ul. Złota 75A/7, 00-819 Warszawa, KRS 0001244303, NIP 5273221240.

Umowa realizuje wymagania art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 („RODO”). Pojęcia administratora, podmiotu przetwarzającego, danych osobowych, przetwarzania i naruszenia ochrony danych mają znaczenie nadane im w RODO.

2. Przedmiot i czas przetwarzania

Administrator powierza Procesorowi dane osobowe w zakresie niezbędnym do połączenia panelu SaaS Health z systemami Klienta, pobierania z nich danych, wyliczania wskaźników firmy, przygotowania audytu i planu naprawczego, prezentowania wyników Użytkownikom Klienta oraz świadczenia wsparcia.

Przetwarzanie trwa przez okres świadczenia usług oraz przez czas konieczny do zwrotu lub usunięcia danych po zakończeniu umowy głównej. Szczegóły operacji, kategorii danych i osób określa Załącznik nr 1 oraz Zamówienie.

3. Instrukcje Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego. W takim przypadku, o ile prawo tego nie zabrania, Procesor poinformuje Administratora przed rozpoczęciem przetwarzania.
2. Za udokumentowane polecenia uważa się Umowę, umowę główną, Zamówienie, przekazanie przez Administratora kluczy dostępu do jego systemów wraz z uzgodnionym zakresem połączenia, działania upoważnionego Użytkownika w panelu (np. odświeżenie danych, zlecenie planu naprawczego) oraz późniejsze polecenia przekazane na adres [email protected].
3. Jeżeli zdaniem Procesora polecenie narusza RODO albo inne przepisy o ochronie danych, Procesor niezwłocznie poinformuje Administratora i może wstrzymać wykonanie polecenia do czasu jego wyjaśnienia.
4. Procesor nie wykorzystuje powierzonych danych do własnego marketingu, sprzedaży, trenowania modeli AI ani do porównań udostępnianych innym klientom, chyba że Administrator wyrazi na to odrębną, wyraźną zgodę w dodatkowym porozumieniu. Dostawca modelu AI wskazany w Załączniku nr 3 przetwarza dane przesyłane przez API wyłącznie w celu wykonania zapytania i zgodnie ze swoimi warunkami komercyjnymi nie wykorzystuje ich do trenowania modeli.

4. Obowiązki Administratora

Administrator:

• zapewnia zgodność poleceń i przetwarzania z prawem, w tym właściwą podstawę prawną oraz spełnienie obowiązków informacyjnych wobec osób, których dane znajdują się w jego systemach;
• udostępnia Procesorowi klucze dostępu o najwęższych uprawnieniach potrzebnych do uzgodnionych wyliczeń i odwołuje je, gdy przestają być potrzebne;
• zarządza Użytkownikami po swojej stronie i zgłasza Procesorowi osoby, którym należy nadać lub odebrać dostęp do panelu;
• nie udostępnia systemów zawierających dane szczególnych kategorii ani danych dotyczących wyroków skazujących bez wcześniejszego pisemnego uzgodnienia zakresu i dodatkowych zabezpieczeń;
• informuje Procesora o szczególnych ryzykach, ograniczeniach retencji i instrukcjach, których nie można wywnioskować z Zamówienia.

5. Obowiązki Procesora

Procesor zobowiązuje się:

• dopuścić do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności;
• stosować środki techniczne i organizacyjne odpowiednie do ryzyka, opisane w Załączniku nr 2;
• prowadzić wymaganą dokumentację przetwarzania i udostępniać informacje niezbędne do wykazania zgodności z art. 28 RODO;
• wspierać Administratora w realizacji praw osób, obsłudze naruszeń, ocenie skutków dla ochrony danych i konsultacjach z organem nadzorczym, z uwzględnieniem charakteru przetwarzania i dostępnych informacji;
• niezwłocznie poinformować Administratora o prawnie wiążącym żądaniu organu dotyczącym danych, o ile prawo nie zabrania takiego powiadomienia;
• po zakończeniu usług zwrócić lub usunąć dane zgodnie z pkt 13.

6. Poufność i dostęp

Procesor nadaje dostęp według zasady najmniejszych uprawnień. Dostęp administracyjny jest ograniczony do osób realizujących utrzymanie, wsparcie lub bezpieczeństwo platformy. Upoważnienia są odbierane po ustaniu potrzeby dostępu.

Obowiązek poufności obowiązuje również po zakończeniu współpracy lub upoważnienia. Procesor odpowiada za zapoznanie upoważnionych osób z zasadami bezpiecznego przetwarzania.

7. Dalsze powierzenie

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających („Podprocesorów”) wymienionych w Załączniku nr 3.
2. Procesor zapewnia, że umowa z Podprocesorem nakłada obowiązki ochrony danych nie mniej rygorystyczne niż obowiązki wynikające z niniejszej Umowy, w zakresie właściwym dla powierzonych czynności.
3. Procesor pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków Podprocesora w zakresie wymaganym przez art. 28 ust. 4 RODO.
4. O planowanym dodaniu lub zastąpieniu Podprocesora Procesor poinformuje co najmniej 14 dni wcześniej, w szczególności przez aktualizację Załącznika nr 3 lub wiadomość e-mail. Administrator może w tym czasie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony podejmą próbę uzgodnienia rozwiązania; jeżeli nie będzie ono możliwe, Administrator może wypowiedzieć umowę główną ze skutkiem na dzień wprowadzenia spornego Podprocesora.

8. Prawa osób, których dane dotyczą

Jeżeli Procesor otrzyma żądanie dotyczące powierzonych danych, niezwłocznie przekaże je Administratorowi i nie będzie samodzielnie odpowiadał, chyba że otrzyma takie polecenie lub obowiązek wynika z prawa.

Większość powierzonych danych pozostaje w systemach Administratora, a platforma zapisuje wyłącznie wyliczone wskaźniki i zestawienia (Załącznik nr 1). W miarę możliwości technicznych Procesor pomaga Administratorowi wyszukiwać, poprawiać, eksportować, ograniczać i usuwać dane zapisane w platformie. Standardowa pomoc mieści się w wynagrodzeniu za usługę; prace wykraczające poza zwykły zakres mogą zostać rozliczone według uzgodnionej stawki, o czym Administrator zostanie uprzedzony.

9. Naruszenia ochrony danych

Procesor powiadomi Administratora o stwierdzonym naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin od jego potwierdzenia. Powiadomienie będzie uzupełniane w miarę uzyskiwania informacji i obejmie, o ile są dostępne:

• charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów;
• możliwe konsekwencje naruszenia;
• zastosowane lub proponowane środki ograniczające skutki, w tym informację, które klucze dostępu Administrator powinien odwołać;
• punkt kontaktowy do dalszych ustaleń.

Powiadomienie nie oznacza uznania odpowiedzialności. Administrator podejmuje decyzje dotyczące zgłoszenia organowi nadzorczemu i zawiadomienia osób, a Procesor udziela mu rozsądnej pomocy.

10. Ocena skutków i konsultacje

Procesor, biorąc pod uwagę charakter przetwarzania i dostępne informacje, pomaga Administratorowi w realizacji obowiązków z art. 32–36 RODO. Administrator odpowiada za ustalenie, czy wymagana jest ocena skutków dla ochrony danych lub uprzednia konsultacja.

11. Informacje i audyty

Procesor udostępnia informacje potrzebne do wykazania zgodności, w pierwszej kolejności w formie dokumentacji, raportów, odpowiedzi na kwestionariusz lub wyników niezależnych przeglądów. Administrator może przeprowadzić audyt nie częściej niż raz w roku, chyba że wystąpiło naruszenie, żądanie organu lub uzasadnione podejrzenie istotnej niezgodności.

Audyt wymaga co najmniej 14 dni uprzedzenia, odbywa się w godzinach pracy, nie może naruszać bezpieczeństwa ani poufności innych klientów i powinien być prowadzony przez osobę zobowiązaną do poufności. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków Procesora.

12. Transfery międzynarodowe

Hosting aplikacji i baza danych działają w regionie Unii Europejskiej. Część Podprocesorów to firmy z siedzibą w USA, także te przechowujące dane w UE, a model AI i wysyłka e-maili działają w USA (Załącznik nr 3). Przekazanie danych poza EOG, w tym zdalny dostęp tych firm, następuje wyłącznie z wykorzystaniem mechanizmu zgodnego z rozdziałem V RODO: decyzji o odpowiednim stopniu ochrony (w tym EU-U.S. Data Privacy Framework, o ile odbiorca jest nim objęty) lub standardowych klauzul umownych wraz z niezbędnymi środkami dodatkowymi, albo na udokumentowane polecenie Administratora.

Niniejsza Umowa sama w sobie nie zastępuje standardowych klauzul wymaganych dla transferu do importera w państwie trzecim. Jeżeli są potrzebne, właściwe moduły klauzul zostaną włączone do relacji z odbiorcą danych.

13. Zwrot i usunięcie danych

Po zakończeniu usług Procesor, według wyboru Administratora zgłoszonego przed zakończeniem umowy, przekaże eksport zapisanych wskaźników i raportów w uzgodnionym formacie albo je usunie, chyba że prawo wymaga dalszego przechowywania. W braku instrukcji Procesor w terminie do 30 dni usunie klucze dostępu z sejfu, odłączy integracje i usunie dane organizacji Administratora z bazy platformy. Niezależnie od tego Administrator powinien odwołać klucze dostępu po stronie swoich systemów.

Dane mogą pozostać przez ograniczony czas w kopiach zapasowych prowadzonych przez dostawcę bazy danych, które są usuwane zgodnie z 7-dniowym cyklem retencji kopii i nie są przywracane do zwykłego użycia, chyba że jest to konieczne do odtworzenia środowiska po awarii. Kopie raportów zapisane przez panel w pamięci przeglądarki Użytkownika są usuwane przy wylogowaniu; jeśli Użytkownik się nie wyloguje, pozostają na jego urządzeniu do czasu wyczyszczenia danych przeglądarki. Obowiązki poufności i bezpieczeństwa pozostają w mocy.

14. Postanowienia końcowe

Umowa obowiązuje przez czas, w którym Procesor przetwarza dane w imieniu Administratora. W razie sprzeczności w sprawach ochrony danych pierwszeństwo ma niniejsza Umowa, a następnie umowa główna i Zamówienie, chyba że indywidualnie podpisana umowa powierzenia stanowi inaczej.

Do Umowy stosuje się prawo polskie. Zmiana istotnie wpływająca na ochronę powierzonych danych wymaga utrwalenia w formie dokumentowej.

Załącznik nr 1: opis przetwarzania

Załącznik nr 2: środki bezpieczeństwa

• szyfrowanie transmisji z użyciem aktualnych protokołów TLS;
• klucze dostępu do systemów Klienta przechowywane w zaszyfrowanym sejfie bazy danych (Supabase Vault), odczytywane wyłącznie przez serwer platformy i nigdy nieprzekazywane do przeglądarki;
• korzystanie z kluczy o najwęższych uprawnieniach, jakie umożliwia dostawca systemu (np. klucz tylko do odczytu w systemie płatności, uprawnienie do odczytu wyników w narzędziach reklamowych);
• logiczne rozdzielenie organizacji, kontrola dostępu na poziomie aplikacji i bazy danych, polityki Row Level Security oraz automatyczne testy izolacji organizacji;
• konta w panelu zakładane wyłącznie na zaproszenie, przypisane do jednej organizacji i roli, z logowaniem hasłem albo przez konto Google;
• minimalizacja danych: dane identyfikujące klientów Klienta są przetwarzane w pamięci serwera i nie są zapisywane w bazie platformy;
• przekazywanie do modelu AI wyłącznie wyników audytu i wskaźników potrzebnych do przygotowania planu naprawczego, przez API w ramach warunków komercyjnych dostawcy, bez wykorzystywania danych do trenowania modeli; funkcja jest włączana dla Klienta po uzgodnieniu;
• codzienne kopie zapasowe bazy danych wykonywane przez dostawcę bazy danych, przechowywane przez 7 dni;
• zarządzanie aktualizacjami, zależnościami i podatnościami w zakresie adekwatnym do ryzyka;
• procedura reagowania na incydenty, odbierania dostępów i obsługi żądań osób;
• zobowiązanie personelu do poufności i ograniczenie dostępu do danych Klienta do uzasadnionych przypadków;
• regularny przegląd adekwatności zabezpieczeń wraz ze zmianą zakresu i ryzyka usługi.

Załącznik nr 3: Podprocesorzy

Na żądanie Administratora Procesor przekaże aktualną listę podmiotów wykorzystywanych dla jego konta, wraz z dostępnymi informacjami o lokalizacji i mechanizmie transferu.

Potwierdzenie stron

Jeżeli Umowa jest zawierana przez podpis, podpisują ją osoby uprawnione do reprezentacji. Jeżeli jest zawierana przez odwołanie w umowie głównej lub w przyjętym Zamówieniu, dane stron i data zawarcia z tych dokumentów zastępują poniższe pola. Podpisany egzemplarz można zamówić pod adresem [email protected].