Umowa powierzenia przetwarzania danych (DPA)

1. Strony

Administrator:klient biznesowy Descly (dalej "Administrator"), którego dane identyfikacyjne znajdują się w zamówieniu lub w korespondencji.

Procesor: Oskar Niedbalski, Berensona 159, 03-287 Warszawa, Działalność nierejestrowana (art. 5 ust. 1 Prawa przedsiębiorców), e-mail: hello@descly.pl (dalej "Procesor").

2. Przedmiot i czas

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia Usługi Descly: danych produktowych, analiz, plików XLSX/CSV, zdjęć, danych producenta (GPSR), danych z monitoringu oraz danych kontaktowych osób wskazanych przez Administratora. Przetwarzanie trwa przez czas obowiązywania umowy o świadczenie Usługi, chyba że przepisy nakazują dłuższe przechowywanie.

3. Instrukcje i poufność

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie transferów do państw trzecich, chyba że prawo Unii lub państwa członkowskiego wymaga inaczej. Procesor zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do poufności.

4. Bezpieczeństwo

Procesor wdraża środki techniczne i organizacyjne odpowiednie do ryzyka, w tym: szyfrowanie TLS, kontrolę dostępu, RLS w bazie, zasadę minimalnych uprawnień, kopie zapasowe, logowanie i monitorowanie, procedurę zgłaszania naruszeń. Środki są opisane w Polityce prywatności i mogą być aktualizowane wraz z rozwojem Usługi.

5. Podprocesorzy

Administrator udziela ogólnej zgody na korzystanie z podprocesorów wskazanych poniżej. Procesor poinformuje o zmianie listy z wyprzedzeniem, umożliwiając sprzeciw; jeżeli sprzeciw uniemożliwi świadczenie Usługi, Administrator może rozwiązać umowę.

6. Transfery poza EOG

Transfery do USA odbywają się na podstawie standardowych klauzul umownych (SCC) oraz - pomocniczo - certyfikacji EU-U.S. Data Privacy Framework. Izrael jest objęty decyzją Komisji 2011/61/UE z 31 stycznia 2011 r. Na żądanie Administratora Procesor przekaże kopię odpowiednich zabezpieczeń.

7. Pomoc Administratorowi

Procesor pomaga Administratorowi w realizacji praw osób, których dane dotyczą, w ocenie skutków dla ochrony danych (DPIA) i w zgłoszeniach naruszeń, w zakresie, w jakim zna dane i może działać. Zgłoszenia praw osób należy kierować na hello@descly.pl. W przypadku naruszenia Procesor poinformuje Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, aby umożliwić zgłoszenie do UODO w ciągu 72 godzin.

8. Usunięcie i zwrot danych

Po zakończeniu umowy Procesor usunie lub zwróci dane według wyboru Administratora, chyba że przepisy nakazują dalsze przechowywanie (np. faktury przez 5 lat). Jeżeli Administrator nie wskaże sposobu w ciągu 30 dni, Procesor usunie dane. Dane w kopiach zapasowych są usuwane zgodnie z rotacją backupów, nie dłużej niż w ciągu 30 dni.

9. Audyt

Administrator może raz w roku (lub częściej w przypadku naruszenia) przeprowadzić audyt zgodności, zdalnie i z zachowaniem poufności. Audyt nie może ujawniać danych innych klientów ani tajemnic przedsiębiorstwa Procesora. Procesor udostępni dokumentację środków bezpieczeństwa i odpowiednie certyfikaty, jeżeli są dostępne.

10. Odpowiedzialność

Odpowiedzialność stron za naruszenie RODO i niniejszej umowy jest określona w Regulaminie i przepisach prawa. Postanowienia niniejszej umowy nie ograniczają praw osób, których dane dotyczą, ani odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów.

11. Przejście do innego dostawcy (Data Act)

Zgodnie z rozdziałem VI rozporządzenia (UE) 2023/2854 Administrator może rozpocząć przejście do innego dostawcy po okresie wypowiedzenia nie dłuższym niż 2 miesiące. Okres przejściowy wynosi do 30 dni i może zostać przedłużony. Po nim Administrator ma co najmniej 30 dni na odbiór danych. Procesor zapewnia eksport danych w formacie JSON/CSV oraz pliki, pomoc w migracji, informacje o znanych ryzykach i ciągłość usługi. Po okresie odbioru dane są usuwane, chyba że przepisy nakazują dłuższe przechowywanie. Procesor nie pobiera opłat za przejście; od 12 stycznia 2027 r. opłaty za przejście są zakazane.

12. Kontakt i zawarcie umowy

Aby zawrzeć wiążącą umowę powierzenia, napisz na hello@descly.pl z danymi stron i zakresem danych. Potwierdzimy zawarcie umowy mailem. W sprawach DSA i treści: /legal/zglos-tresc.