Umowa powierzenia przetwarzania

Strony

Administrator danych ("Zleceniodawca")

Podmiot przetwarzający ("Alvoru")

Dalej łącznie: "Strony".

Zważywszy, że

• Strony zawarły umowę główną, w ramach której Alvoru jako Podmiot przetwarzający przetwarza dane osobowe w imieniu Zleceniodawcy (dalej: "Umowa główna");
• na podstawie artykułu 28 ust. 3 RODO wymagana jest pisemna umowa powierzenia przetwarzania danych, w której zawarto ustalenia dotyczące sposobu przetwarzania danych osobowych przez Podmiot przetwarzający;
• niniejsza umowa powierzenia przetwarzania danych (dalej: "DPA") stanowi integralną część Umowy głównej.

Artykuł 1 — Definicje

Pojęcia pisane w niniejszej DPA wielką literą mają znaczenie przypisane im w RODO, uzupełnione o definicje zawarte w Warunkach Ogólnych Alvoru.

Artykuł 2 — Przedmiot i czas trwania

2.1 Niniejsza DPA reguluje przetwarzanie danych osobowych przez Alvoru na zlecenie Zleceniodawcy w ramach Umowy głównej.

2.2 Niniejsza DPA wchodzi w życie z dniem rozpoczęcia Umowy głównej i wygasa z mocy prawa z chwilą zakończenia Umowy głównej, bez uszczerbku dla postanowień, które ze swej natury mają obowiązywać nadal.

Artykuł 3 — Charakter i cel przetwarzania

3.1 Charakter i cel przetwarzania polega na świadczeniu Usługi opisanej w Umowie głównej (obsługa klienta AI, w tym chatbot, e-mail i kalendarz).

3.2 Alvoru przetwarza dane osobowe wyłącznie na udokumentowane polecenie Zleceniodawcy, z zastrzeżeniem odmiennych obowiązków prawnych (art. 28 ust. 3 lit. a RODO). W tym ostatnim przypadku Alvoru informuje Zleceniodawcę o przetwarzaniu przed jego rozpoczęciem, chyba że prawo to zakazuje tego z ważnych powodów.

Artykuł 4 — Rodzaj danych osobowych i kategorie osób, których dane dotyczą

Szczególne kategorie danych osobowych (art. 9 RODO) oraz dane dotyczące wyroków skazujących (art. 10 RODO) nie są przetwarzane, chyba że dodatkowo uzgodniono to na piśmie.

Artykuł 5 — Obowiązki Podmiotu przetwarzającego

5.1 Alvoru przetwarza dane osobowe wyłącznie w celach określonych w Umowie głównej i niniejszej DPA oraz na pisemne polecenie Zleceniodawcy.

5.2 Alvoru zapewnia, że osoby przetwarzające dane osobowe są zobowiązane do zachowania poufności, czy to na mocy prawa, czy na mocy umowy.

5.3 Alvoru, uwzględniając charakter przetwarzania, udziela Zleceniodawcy rozsądnej pomocy w realizacji żądań osób, których dane dotyczą, w zakresie wykonywania ich praw na podstawie RODO.

5.4 Alvoru udostępnia Zleceniodawcy wszelkie informacje niezbędne do wykazania zgodności z artykułem 28 RODO.

5.5 Zakaz trenowania AI. Alvoru nigdy nie wykorzysta danych osobowych, które przetwarza w imieniu Administratora danych, do trenowania, dostrajania (fine-tuning) ani innego ulepszania modeli AI, ani do opracowywania własnych lub zewnętrznych aplikacji AI.

Artykuł 6 — Środki bezpieczeństwa (artykuł 32 RODO)

Alvoru podejmuje odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku, w tym:

• Szyfrowanie podczas transportu (TLS 1.2+) oraz, tam gdzie ma to zastosowanie, szyfrowanie w spoczynku;
• Kontrolę dostępu w oparciu o least privilege; uwierzytelnianie dwuskładnikowe dla administratorów;
• Firewalle, fail2ban i monitorowanie włamań;
• Codzienne szyfrowane kopie zapasowe z okresem przechowywania maksymalnie 90 dni;
• Restrykcyjne uprawnienia do plików (600) dla plików konfiguracyjnych i plików z danymi;
• Rejestrowanie i monitorowanie dostępu do systemów produkcyjnych;
• Okresową ocenę i aktualizację środków bezpieczeństwa.

Artykuł 7 — Podmioty podprzetwarzające

7.1 Zleceniodawca udziela Alvoru ogólnej pisemnej zgody na korzystanie z podmiotów podprzetwarzających, pod warunkiem że Alvoru spełnia pozostałe postanowienia niniejszego artykułu.

7.2 Aktualnie zaangażowane podmioty podprzetwarzające to:

7.3 Alvoru nakłada na podprzetwarzających te same obowiązki w zakresie ochrony danych, które zawarto w niniejszej DPA (art. 28 ust. 4 RODO).

7.4 Alvoru informuje Zleceniodawcę z co najmniej 14-dniowym wyprzedzeniem o zmianie lub dodaniu podprzetwarzających. Zleceniodawca może w tym terminie zgłosić umotywowany sprzeciw. W przypadku uzasadnionego sprzeciwu Zleceniodawca ma prawo bezpłatnie rozwiązać Umowę Główną.

Artykuł 8 — Przekazywanie poza EOG

Przekazywanie danych osobowych do państwa spoza Europejskiego Obszaru Gospodarczego odbywa się wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), wiążących reguł korporacyjnych, standardowych klauzul umownych UE (art. 46 ust. 2 lit. c RODO) lub innego zabezpieczenia przewidzianego w RODO, uzupełnionego o dodatkowe środki techniczne i organizacyjne tam, gdzie jest to wymagane.

Artykuł 9 — Prawa osób, których dane dotyczą

9.1 Alvoru zapewnia Zleceniodawcy odpowiednie wsparcie przy obsłudze żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszalność, sprzeciw) poprzez funkcje techniczne w portalu klienta oraz, w razie potrzeby, dodatkową pomoc.

9.2 Alvoru bezzwłocznie przekazuje Zleceniodawcy żądania osób, których dane dotyczą, wpływające bezpośrednio do Alvoru.

Artykuł 10 — Naruszenia ochrony danych

10.1 Alvoru informuje Zleceniodawcę bezzwłocznie i najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych (art. 33 ust. 2 RODO), aby Zleceniodawca mógł terminowo wypełnić swój obowiązek zgłoszenia w ciągu 72 godzin do Autoriteit Persoonsgegevens.

10.2 Zgłoszenie zawiera co najmniej: charakter naruszenia, kategorie i liczbę osób, których dane dotyczą, kategorie i liczbę objętych rekordów, prawdopodobne skutki oraz podjęte lub proponowane środki.

10.3 Alvoru udziela Zleceniodawcy odpowiedniej pomocy przy zgłoszeniu do Autoriteit Persoonsgegevens oraz, w stosownych przypadkach, osobom, których dane dotyczą.

Artykuł 11 — Audyt

11.1 Zleceniodawca może raz w roku kalendarzowym, po uprzednim pisemnym zawiadomieniu z co najmniej 30-dniowym wyprzedzeniem, na własny koszt przeprowadzić (lub zlecić) audyt przestrzegania niniejszej DPA przez Alvoru.

11.2 Audyt przeprowadza niezależny, zobowiązany do zachowania poufności audytor, w godzinach pracy i w sposób, który nie zakłóca normalnego funkcjonowania Alvoru.

11.3 Zamiast audytu na miejscu Alvoru może przedstawić aktualny raport niezależnej strony trzeciej (na przykład ISO 27001 lub SOC 2), o ile raport ten zapewnia rozsądnie wystarczającą pewność.

Artykuł 12 — Rozwiązanie umowy i usunięcie danych

12.1 Po rozwiązaniu Umowy Głównej Alvoru, według wyboru Zleceniodawcy i na pierwsze pisemne żądanie, usunie wszystkie dane osobowe lub zwróci je Zleceniodawcy, zgodnie z art. 28 ust. 3 lit. g RODO.

12.2 Takie żądanie można złożyć w ciągu 60 dni od rozwiązania umowy. W przypadku jego braku dane zostaną automatycznie usunięte po 60 dniach.

12.3 Kopie zapasowe offline są usuwane zgodnie z regularnym harmonogramem rotacji, najpóźniej 90 dni po rozwiązaniu umowy.

12.4 Dane, które Alvoru musi przechowywać na podstawie przepisów prawa, są przechowywane przez ustawowo określony okres.

Artykuł 13 — Odpowiedzialność

13.1 Odpowiedzialność Alvoru w ramach niniejszej DPA jest objęta i ograniczona postanowieniami o odpowiedzialności zawartymi w Ogólnych Warunkach należących do Umowy Głównej.

13.2 Bezwzględnie obowiązujące przepisy RODO pozostają nienaruszone.

Artykuł 13a — Rejestr czynności przetwarzania

Alvoru prowadzi rejestr czynności przetwarzania zgodnie z art. 30 RODO. Rejestr ten zawiera co najmniej: nazwę i dane kontaktowe Alvoru jako podmiotu przetwarzającego, kategorie przetwarzań wykonywanych w imieniu Administratorów, przekazania do państw trzecich i zastosowane zabezpieczenia oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa. Rejestr jest na żądanie dostępny dla Autoriteit Persoonsgegevens.

Artykuł 14 — Prawo właściwe i spory

Do niniejszej DPA stosuje się prawo niderlandzkie. Spory są przedkładane sądowi Overijssel, lokalizacja Almelo.

Podpisanie

Wyślij podpisaną wersję (zeskanowaną lub podpisaną cyfrowo) na info@alvoru.com. Alvoru zwróci współpodpisaną kopię.