Umowa Powierzenia Przetwarzania Danych (DPA) — FizzUp B2B

1. Cel i ograniczony zakres DPA

Niniejsza DPA stanowi część umowy B2B pomiędzy Klientem a DB 77 CUW Sp. z o.o. („FizzUp”) i ma zastosowanie wyłącznie do przetwarzania, w którym:

• Klient działa jako administrator, a
• FizzUp działa jako podmiot przetwarzający na udokumentowane polecenie Klienta.

DPA nie obejmuje Prywatnej Warstwy Coachingowej użytkownika, dla której FizzUp działa jako odrębny administrator zgodnie z Polityką prywatności i Warunkami Enterprise.

Strony stosują więc model mieszany: dane listy uczestników i statusów (kto został zaproszony, kto aktywował konto, kto ukończył onboarding) FizzUp przetwarza w imieniu Klienta jako podmiot przetwarzający, a prywatne dane coachingowe uczestnika są danymi FizzUp jako odrębnego administratora i Klient ich nie otrzymuje.

2. Co obejmuje DPA

DPA może obejmować następujące operacje:

1. przyjęcie od Klienta danych Administratorów Organizacji;
2. przyjęcie listy osób przeznaczonych do zaproszenia, np. imię/nazwisko, służbowy e-mail, identyfikator organizacyjny;
3. zarządzanie przypisaniem seatów na polecenie Klienta;
4. utrzymanie danych organizacyjnych niezbędnych do administrowania workspace'em;
5. przetwarzanie Materiałów Klienta w celu tworzenia lub udostępniania scenariuszy w ramach tej organizacji;
6. obsługę wsparcia wykonywaną na udokumentowane polecenie Administratora Organizacji;
7. rozliczeniowe metadane organizacyjne, w zakresie w jakim Klient jest ich administratorem.

3. Czego DPA nie obejmuje

Po samodzielnej aktywacji konta przez użytkownika do DPA nie należą w szczególności:

• prywatne rozmowy i transkrypcje;
• błędy, scoring edukacyjny, cele, plany i pamięć użytkownika;
• szczegółowa historia sesji;
• indywidualne rekomendacje i inferencje edukacyjne;
• treści prywatnych nagrań;
• inne dane należące do Prywatnej Warstwy Coachingowej.

Klient nie może wydawać FizzUp poleceń dotyczących ujawnienia, modyfikacji, usunięcia lub wykorzystania tej warstwy jako administrator w ramach niniejszej DPA. Prawa osoby w tym zakresie są realizowane wobec FizzUp jako odrębnego administratora.

4. Czas trwania

DPA obowiązuje przez okres, w którym FizzUp przetwarza Dane Powierzone na rzecz Klienta, oraz przez czas technicznie konieczny do bezpiecznego usunięcia/zwrotu danych po zakończeniu umowy, z zastrzeżeniem obowiązków prawnych.

5. Kategorie osób i danych

Osoby

• Administratorzy Organizacji;
• osoby zaproszone do korzystania z seatów przed/na etapie aktywacji;
• pracownicy lub współpracownicy, których dane pojawiają się w Materiałach Klienta;
• osoby kontaktowe Klienta.

Dane

• imię i nazwisko/nazwa;
• służbowy e-mail i identyfikator organizacyjny;
• rola/uprawnienia w organizacji;
• status zaproszenia, aktywacji i przypisania seat'a;
• rola i dział w organizacji oraz informacja o ukończeniu onboardingu;
• zagregowane statystyki programu (wyłącznie dla grup co najmniej 10 aktywnych osób), które nie są danymi osobowymi konkretnych uczestników;
• dane zawarte w Materiałach Klienta;
• dane supportowe przekazane przez Administratora Organizacji.

Dane szczególnych kategorii nie są zamierzonym zakresem DPA i Klient nie powinien przekazywać ich w Materiałach Klienta bez wcześniejszego uzgodnienia i odpowiedniej podstawy prawnej.

6. Charakter i cel przetwarzania

Operacje mogą obejmować zbieranie, utrwalanie, organizowanie, przechowywanie, udostępnianie w ramach workspace'u, usuwanie i inne operacje konieczne do:

• utworzenia i administracji organizacją;
• zapraszania i przypisywania seatów;
• świadczenia uzgodnionych funkcji organizacyjnych;
• obsługi Materiałów Klienta;
• bezpieczeństwa i wsparcia.

7. Polecenia Klienta

FizzUp przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Klienta, chyba że prawo UE lub państwa członkowskiego wymaga innego przetwarzania. W takim przypadku FizzUp informuje Klienta przed przetwarzaniem, o ile prawo tego nie zabrania.

Polecenia wynikają w szczególności z umowy, Order Form, ustawień Administratora Organizacji i uzgodnionych zgłoszeń supportowych.

FizzUp informuje Klienta, jeżeli w jego ocenie polecenie narusza RODO lub inne przepisy o ochronie danych, i może wstrzymać wykonanie do czasu wyjaśnienia.

7.1 Prawa i obowiązki Klienta

Klient określa cele i środki przetwarzania Danych Powierzonych oraz zachowuje prawa administratora przewidziane w RODO. Klient odpowiada za zgodność swoich poleceń z prawem, właściwą podstawę prawną, obowiązki informacyjne wobec osób, prawidłowość przekazywanych danych oraz zakres uprawnień Administratorów Organizacji. Klient nie poleca FizzUp przetwarzania danych wykraczającego poza uzgodniony zakres bez uprzedniego udokumentowania zmiany.

8. Poufność personelu

FizzUp zapewnia, aby osoby upoważnione do przetwarzania Danych Powierzonych były zobowiązane do poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi poufności oraz miały dostęp wyłącznie w zakresie potrzebnym do swojej roli.

9. Bezpieczeństwo

FizzUp wdraża środki odpowiednie do ryzyka zgodnie z art. 32 RODO, w tym odpowiednio:

• szyfrowanie transmisji;
• kontrolę dostępu i zasadę najmniejszych uprawnień;
• silne mechanizmy uwierzytelniania administracyjnego;
• logiczną separację organizacji/tenantów;
• backup i odtwarzanie awaryjne;
• logowanie bezpieczeństwa i monitoring;
• zarządzanie podatnościami i aktualizacjami;
• procedury reagowania na incydenty;
• ocenę dostawców i zarządzanie subprocessorami;
• bezpieczne procesy wytwarzania i wdrażania oprogramowania.

Szczegółowe TOM mogą zostać przekazane Klientowi jako załącznik bezpieczeństwa z uwzględnieniem ochrony informacji o zabezpieczeniach.

10. Subprocessorzy

FizzUp może korzystać z dalszych podmiotów przetwarzających wskazanych w publicznym rejestrze dostawców. FizzUp nakłada na subprocessora obowiązki ochrony danych odpowiednie do charakteru usługi i pozostaje odpowiedzialny wobec Klienta za wykonanie obowiązków subprocessora w zakresie wymaganym art. 28 RODO.

Na dzień tej wersji Dane Powierzone przetwarzają w szczególności: Railway (hosting aplikacji i bazy danych), Hostinger (wysyłka e-maili z zaproszeniami i powiadomieniami przez serwer pocztowy SMTP oraz skrzynki pocztowe i domena FizzUp, w zakresie korespondencji z Klientem) oraz Stripe (rozliczenia Klienta). Pełny rejestr zawiera dokument „Podmioty przetwarzające i dostawcy”.

Klient udziela ogólnego pisemnego upoważnienia do korzystania z subprocessorów. FizzUp informuje Klienta o każdym planowanym dodaniu lub zastąpieniu subprocessora, który będzie przetwarzał Dane Powierzone, co najmniej 30 dni wcześniej. Klient może w tym czasie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony współpracują nad rozsądnym rozwiązaniem; jeżeli nie jest ono możliwe, Klient może zrezygnować z dotkniętej funkcji albo zakończyć dotkniętą część usługi przed rozpoczęciem przetwarzania przez nowego subprocessora.

11. Transfery międzynarodowe

FizzUp zapewnia zgodny z prawem mechanizm transferu Danych Powierzonych poza EOG, jeżeli taki transfer występuje, w szczególności poprzez decyzję o adekwatności, DPF dla uprawnionego odbiorcy albo odpowiednie Standardowe Klauzule Umowne wraz z oceną transferu i dodatkowymi zabezpieczeniami, gdy są potrzebne.

12. Pomoc w realizacji praw osób

Uwzględniając charakter przetwarzania, FizzUp w rozsądnym zakresie pomaga Klientowi, za pomocą odpowiednich środków technicznych i organizacyjnych, w realizacji żądań dotyczących Danych Powierzonych.

Jeżeli FizzUp otrzyma żądanie, które dotyczy wyłącznie danych, dla których Klient jest administratorem, może przekierować osobę do Klienta i poinformować Klienta o żądaniu.

Jeżeli żądanie dotyczy Prywatnej Warstwy Coachingowej, FizzUp obsługuje je we własnej roli administratora; nie przekazuje Klientowi treści tego żądania poza zakresem wymaganym prawem.

13. Naruszenia ochrony danych

FizzUp zawiadamia Klienta o naruszeniu ochrony Danych Powierzonych bez zbędnej zwłoki po powzięciu o nim wiedzy i przekazuje, w miarę dostępności, informacje potrzebne Klientowi do wykonania obowiązków z art. 33–34 RODO. Informacje mogą być przekazywane etapami w miarę postępu analizy incydentu.

Zawiadomienie nie stanowi przyznania odpowiedzialności.

14. DPIA i konsultacje

FizzUp, uwzględniając charakter przetwarzania i dostępne informacje, udziela Klientowi rozsądnej pomocy w zakresie oceny skutków dla ochrony danych i uprzednich konsultacji dotyczących Danych Powierzonych.

15. Audyt i informacje o zgodności

FizzUp udostępnia informacje rozsądnie niezbędne do wykazania zgodności z art. 28 RODO. W pierwszej kolejności strony korzystają z istniejących raportów, certyfikatów, odpowiedzi bezpieczeństwa i dokumentacji.

Jeżeli jest to niewystarczające, Klient może przeprowadzić audyt nie częściej niż raz w roku oraz dodatkowo po istotnym naruszeniu dotyczącym Danych Powierzonych, z rozsądnym wyprzedzeniem, w godzinach pracy, z zachowaniem poufności i bez nieuzasadnionego zakłócania działalności FizzUp. Klient ponosi własne koszty audytu, chyba że audyt wykaże istotne naruszenie DPA przez FizzUp.

16. Zwrot i usunięcie Danych Powierzonych

Po zakończeniu świadczenia usług związanych z Danymi Powierzonymi FizzUp — zgodnie z wyborem Klienta, o ile technicznie i prawnie właściwe — usuwa lub zwraca Dane Powierzone i usuwa istniejące kopie, z wyjątkiem danych, których dalsze przechowywanie jest wymagane prawem.

Dane usunięte z systemu aktywnego mogą przez ograniczony czas pozostać w zabezpieczonych, rotowanych backupach zgodnie z harmonogramami dostawców infrastruktury i procedurami odtwarzania awaryjnego. Nie są one używane do bieżącego świadczenia usługi. Po odtworzeniu awaryjnym uzgodnione polecenie usunięcia jest ponownie stosowane w zakresie technicznie możliwym i wymaganym prawem.

Niniejsza sekcja nie nakazuje usunięcia Prywatnej Warstwy Coachingowej użytkownika tylko dlatego, że umowa organizacji została zakończona. Dane te podlegają Polityce prywatności i relacji FizzUp–użytkownik.

17. Odpowiedzialność i pierwszeństwo

Odpowiedzialność stron w związku z DPA podlega limitom uzgodnionym w Warunkach Enterprise/Order Form w zakresie dopuszczalnym przez prawo. W przypadku sprzeczności dotyczącej obowiązków art. 28 RODO pierwszeństwo ma DPA.

18. Prawo właściwe

O ile Order Form nie stanowi inaczej, DPA podlega prawu właściwemu dla umowy głównej, z zachowaniem bezpośrednio stosowanych przepisów RODO.

Polska wersja DPA jest wersją rozstrzygającą w razie rozbieżności z tłumaczeniem angielskim, chyba że Order Form wyraźnie wskazuje inaczej.