UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Data Processing Agreement • ExpoLead

1. Strony i status Umowy

1.1. DPA zostaje zawarta pomiędzy Procesorem wskazanym na stronie tytułowej, świadczącym usługę ExpoLead, a Klientem będącym administratorem danych osobowych powierzonych za pośrednictwem ExpoLead („Administrator”). Procesor i Administrator są dalej łącznie „Stronami”.

1.2. DPA stanowi integralną część umowy o korzystanie z ExpoLead („Umowa główna”) i spełnia wymagania art. 28 ust. 3 RODO. W zakresie danych powierzonych DPA ma pierwszeństwo przed sprzecznym postanowieniem Umowy głównej.

1.3. DPA zostaje zawarta przez podpis, formę elektroniczną albo udokumentowaną akceptację w procesie zawierania Umowy głównej. Obowiązuje przez cały okres przetwarzania danych w imieniu Administratora.

2. Przedmiot, czas, charakter i cel przetwarzania

2.1. Administrator powierza Procesorowi dane osobowe wyłącznie w zakresie niezbędnym do świadczenia, zabezpieczenia i zakończenia Usługi zgodnie z Umową główną oraz udokumentowanymi poleceniami Administratora.

2.2. Przedmiot, czas trwania, charakter, cele, operacje, kategorie osób i danych określa Załącznik A. Harmonogram retencji stanowi Załącznik E.

2.3. Procesor nie uzyskuje prawa do danych poza prawem do ich przetwarzania zgodnie z DPA. Nie używa danych powierzonych do własnego marketingu, sprzedaży ani trenowania własnych lub cudzych modeli AI.

2.4. Dane Konta, rozliczeń, kontaktu, bezpieczeństwa i własnej zgodnej z prawem analityki Procesor przetwarza jako odrębny administrator na zasadach Polityki Prywatności; nie są one objęte powierzeniem, chyba że równocześnie stanowią treść Danych Klienta.

3. Udokumentowane polecenia Administratora

3.1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek wynika z prawa Unii lub państwa członkowskiego. W takim przypadku Procesor informuje Administratora przed przetwarzaniem, o ile prawo tego nie zabrania.

3.2. Poleceniami są DPA, Umowa główna, konfiguracja i działania Administratora lub upoważnionych Użytkowników w Aplikacji oraz dodatkowe pisemne instrukcje zgodne z zakresem Usługi.

3.3. Jeżeli Procesor uzna polecenie za naruszające RODO lub inne przepisy ochrony danych, niezwłocznie informuje Administratora i może wstrzymać jego wykonanie w zakresie niezbędnym do wyjaśnienia.

3.4. Instrukcja wykraczająca poza standardową Usługę może wymagać uzgodnienia zakresu, terminu i rozsądnych kosztów, ale Procesor nie uzależnia wykonania obowiązków wynikających bezpośrednio z art. 28 RODO od dodatkowej opłaty.

4. Obowiązki Procesora

4.1. Procesor zapewnia, aby osoby upoważnione do przetwarzania zobowiązały się do poufności lub podlegały ustawowemu obowiązkowi poufności, otrzymały dostęp wyłącznie w niezbędnym zakresie i stosowały instrukcje bezpieczeństwa.

4.2. Procesor wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka, zgodnie z art. 32 RODO i Załącznikiem C. Nie obniża istotnie ogólnego poziomu ochrony w okresie obowiązywania DPA.

4.3. Procesor, uwzględniając charakter przetwarzania, pomaga Administratorowi poprzez odpowiednie środki w realizacji praw osób. Wniosek osoby dotyczący danych powierzonych przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada samodzielnie, chyba że otrzyma polecenie albo wymaga tego prawo.

4.4. Procesor pomaga Administratorowi w zapewnieniu zgodności z art. 32–36 RODO, w tym w ocenie ryzyka, naruszeń, DPIA i uprzednich konsultacjach, w zakresie informacji dostępnych Procesorowi i charakteru Usługi.

4.5. Procesor prowadzi wymaganą dokumentację kategorii czynności, współpracuje z właściwym organem i udostępnia Administratorowi informacje niezbędne do wykazania zgodności z DPA.

4.6. Procesor informuje Administratora o prawnie wiążącym żądaniu organu dotyczącym danych powierzonych, o ile prawo tego nie zabrania, oraz ogranicza ujawnienie do zakresu prawnie wymaganego.

5. Podprocesorzy

5.1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku B, wyłącznie w określonym tam zakresie.

5.2. Procesor informuje Administratora na trwałym nośniku co najmniej 14 dni przed zamierzonym dodaniem lub zastąpieniem podprocesora, wskazując nazwę, usługę, dane, lokalizację i mechanizm transferu. Administrator może w tym terminie zgłosić uzasadniony sprzeciw dotyczący ochrony danych.

5.3. Strony w dobrej wierze poszukują rozwiązania sprzeciwu, w tym ograniczenia funkcji, alternatywnego dostawcy albo dodatkowych zabezpieczeń. Gdy rozwiązanie jest niemożliwe, Administrator może wypowiedzieć część Usługi wymagającą danego podprocesora lub Umowę główną bez opłaty za niewykorzystany okres tej części.

5.4. Procesor zawiera z podprocesorem umowę nakładającą co najmniej te same obowiązki ochrony danych, które wynikają z DPA, i pozostaje w pełni odpowiedzialny wobec Administratora za wykonanie obowiązków podprocesora.

6. Transfery międzynarodowe

6.1. Podstawowa infrastruktura hostingu i kopii zapasowych znajduje się w Niemczech i Francji. Funkcje AI i wysyłka wiadomości mogą powodować dostęp lub transfer poza EOG w zakresie wskazanym w Załączniku B.

6.2. Transfer poza EOG odbywa się wyłącznie na udokumentowane polecenie Administratora i przy zastosowaniu właściwego mechanizmu z rozdziału V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, Data Privacy Framework – jeżeli odbiorca posiada ważną certyfikację – lub standardowych klauzul umownych wraz z oceną transferu i środkami uzupełniającymi, gdy są potrzebne.

6.3. Procesor udostępnia na żądanie informacje o mechanizmie transferu, z zastrzeżeniem ochrony tajemnic i bezpieczeństwa.

7. Naruszenia ochrony danych

7.1. Procesor zawiadamia Administratora o naruszeniu ochrony danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od uzyskania świadomości naruszenia. Zawiadomienie może być etapowe, jeżeli pełne informacje nie są od razu dostępne.

7.2. Zawiadomienie zawiera, w miarę dostępności, charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, podjęte lub proponowane środki, punkt kontaktowy i informacje potrzebne Administratorowi do wykonania art. 33 i 34 RODO.

7.3. Procesor zabezpiecza dowody, ogranicza skutki, współpracuje przy ocenie ryzyka i dokumentuje incydent zgodnie z Załącznikiem D. Zawiadomienie nie stanowi uznania odpowiedzialności.

8. Zwrot, przeniesienie i usunięcie danych

8.1. Po zakończeniu świadczenia usług Procesor – według wyboru Administratora – zwraca wszystkie dane osobowe oraz usuwa istniejące kopie albo usuwa dane i kopie bez ich zwracania, chyba że prawo wymaga dalszego przechowywania.

8.2. Wybór może zostać dokonany w Koncie lub na ask@expolead.io. Brak instrukcji oznacza udostępnienie danych do pobrania przez co najmniej 30 dni po okresie przejściowym, a następnie ich usunięcie zgodnie z Załącznikiem E.

8.3. Dane w kopiach zapasowych są izolowane od zwykłego użycia i usuwane przez nadpisanie w cyklu do 30 dni, chyba że ich wcześniejsze usunięcie jest technicznie możliwe. Dane zachowane na podstawie prawa pozostają zablokowane i są usuwane po ustaniu obowiązku.

8.4. Na żądanie Procesor potwierdza wykonanie usunięcia, bez ujawniania informacji zagrażających bezpieczeństwu systemu.

9. Audyty i wykazanie zgodności

9.1. Procesor udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO, w pierwszej kolejności poprzez dokumentację, kwestionariusze, raporty i niezależne poświadczenia, jeżeli są dostępne.

9.2. Administrator może przeprowadzić audyt nie częściej niż raz w roku, z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy i w sposób nienaruszający bezpieczeństwa ani poufności innych klientów. Ograniczenia te nie mają zastosowania po istotnym naruszeniu, na żądanie organu lub przy uzasadnionym podejrzeniu niezgodności.

9.3. Audyt może przeprowadzić Administrator lub niezależny audytor związany poufnością. Procesor nie może bezzasadnie odmówić ani opóźniać audytu. Administrator pokrywa własne koszty, a dodatkowe uzasadnione koszty Procesora tylko wtedy, gdy audyt wykracza poza standardowy zakres i zostały uprzednio uzgodnione; stwierdzona istotna niezgodność obciąża Procesora.

10. Obowiązki Administratora

10.1. Administrator zapewnia zgodność swoich poleceń, podstawę prawną, przejrzystość wobec osób, minimalizację danych, prawidłową konfigurację uprawnień i legalność komunikacji marketingowej.

10.2. Administrator nie powierza danych szczególnych kategorii, danych o wyrokach ani dokumentów tożsamości bez uprzedniego pisemnego uzgodnienia i wdrożenia odpowiednich zabezpieczeń.

10.3. Administrator odpowiada za bezpieczeństwo swoich urządzeń, Użytkowników, danych logowania, integracji i niesynchronizowanych danych offline.

11. Odpowiedzialność

11.1. Każda Strona odpowiada za własne naruszenie RODO i DPA. Postanowienia Umowy głównej dotyczące odpowiedzialności mają zastosowanie między Stronami w zakresie dopuszczalnym prawem, ale nie ograniczają praw osób, kompetencji organów ani odpowiedzialności wynikającej z art. 82 RODO.

11.2. Siła wyższa może wpływać na ocenę odpowiedzialności kontraktowej, lecz nie uchyla obowiązków ustawowych dotyczących bezpieczeństwa, współpracy, zawiadomienia i ograniczenia skutków naruszenia.

12. Zmiany i postanowienia końcowe

12.1. Zmiana DPA może wynikać ze zmiany prawa, zaleceń organu, technologii lub Usługi, nie może jednak obniżać ogólnego poziomu ochrony ani legalizować nowego celu Procesora. O istotnej zmianie Procesor informuje co najmniej 30 dni wcześniej.

12.2. Administrator może sprzeciwić się zmianie istotnie pogarszającej ochronę. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może zakończyć funkcję objętą zmianą albo Umowę główną bez opłaty za niewykorzystany okres tej funkcji.

12.3. Do DPA stosuje się prawo polskie, bez uszczerbku dla RODO i bezwzględnie obowiązujących przepisów. Polska wersja językowa jest rozstrzygająca, chyba że Strony uzgodnią inaczej.

12.4. Załączniki A–E stanowią integralną część DPA.

ZAŁĄCZNIK A

Opis czynności przetwarzania danych powierzonych

ZAŁĄCZNIK B

Wykaz podprocesorów ExpoLead

Dostawcy niebędący podprocesorami danych Klienta

Zmiany wykazu

O zamierzonym dodaniu lub zastąpieniu podprocesora Procesor informuje Administratora co najmniej 14 dni wcześniej na trwałym nośniku, przekazując informacje wymagane w § 5 DPA.

ZAŁĄCZNIK C

Środki techniczne i organizacyjne

Procesor może stosować środki równoważne lub skuteczniejsze, pod warunkiem że ogólny poziom bezpieczeństwa nie zostanie obniżony.

ZAŁĄCZNIK D

Procedura reagowania na naruszenia ochrony danych

Kanały

• Zgłoszenie do ExpoLead: ask@expolead.io lub kanał incydentowy wskazany w indywidualnej Umowie/SLA.
• Zawiadomienie Administratora: adres właściciela Konta i dodatkowy kontakt bezpieczeństwa, jeżeli został wskazany.
• Komunikacja z mediami, osobami i organem pozostaje po stronie Administratora, chyba że Strony uzgodnią inaczej lub prawo nakazuje działanie Procesorowi.

ZAŁĄCZNIK E

Harmonogram retencji danych ExpoLead