Umowa powierzenia przetwarzania danych osobowych

1. 1.Celem przetwarzania jest wyłącznie wykonanie Umowy głównej, w szczególności aktualizacje, kopie zapasowe, monitoring, działania z zakresu bezpieczeństwa, usuwanie awarii i infekcji, przenoszenie strony oraz zlecone zmiany.
2. 2.Przetwarzanie obejmuje: przechowywanie, kopiowanie, odtwarzanie, przeglądanie w niezbędnym zakresie, przenoszenie między serwerami i usuwanie danych.
3. 3.Kategorie osób, których dane dotyczą: osoby kontaktujące się przez stronę Administratora, klienci i kupujący w sklepie internetowym, subskrybenci, użytkownicy kont na stronie, pracownicy i współpracownicy Administratora wymienieni na stronie.
4. 4.Rodzaje danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, adres e-mail, numer telefonu, adres), dane zamówień i transakcji, treść wiadomości przesłanych przez formularze, dane logowania do kont na stronie, adresy IP i inne dane techniczne zapisane w bazie danych i logach.
5. 5.Podmiot przetwarzający nie przetwarza danych szczególnych kategorii, chyba że Administrator umieścił je na stronie. W takim przypadku Administrator informuje o tym Podmiot przetwarzający.
6. 6.Przetwarzanie trwa przez czas obowiązywania Umowy głównej.

1. 1.Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się Umowę główną, wybrany plan oraz zlecenia złożone w panelu klienta.
2. 2.Jeżeli polecenie Administratora w ocenie Podmiotu przetwarzającego narusza przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.
3. 3.Podmiot przetwarzający dopuszcza do danych wyłącznie osoby upoważnione, które zobowiązały się do zachowania tajemnicy.
4. 4.Podmiot przetwarzający pomaga Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz z obowiązków określonych w art. 32 do 36 RODO, biorąc pod uwagę charakter przetwarzania i dostępne informacje.
5. 5.Podmiot przetwarzający nie wykorzystuje danych do własnych celów.

Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, o których mowa w art. 32 RODO, w szczególności:

• szyfrowanie połączeń przy dostępie do strony i serwera,
• przechowywanie dostępów w zaszyfrowanym sejfie z kontrolą dostępu i uwierzytelnianiem dwuskładnikowym,
• przechowywanie kopii zapasowych w szyfrowanej postaci poza serwerem strony, z określonym okresem retencji,
• regularne testy odtworzenia kopii zapasowych,
• zasadę najmniejszych uprawnień dla kont serwisowych,
• rejestrowanie dostępu i działań administracyjnych.

1. 1.Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających, w szczególności dostawców infrastruktury serwerowej i przestrzeni na kopie zapasowe.
2. 2.Podmiot przetwarzający informuje Administratora o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie zgłosić sprzeciw.
3. 3.Na dalszy podmiot przetwarzający nakładane są te same obowiązki ochrony danych, co w umowie. Podmiot przetwarzający odpowiada wobec Administratora za ich wykonanie.
4. 4.Dane nie są przekazywane poza Europejski Obszar Gospodarczy bez podstawy przewidzianej w rozdziale V RODO.

1. 1.Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
2. 2.Zgłoszenie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje oraz podjęte i proponowane środki zaradcze.
3. 3.Podmiot przetwarzający współpracuje z Administratorem przy ocenie ryzyka i przygotowaniu zgłoszenia do organu nadzorczego oraz zawiadomienia osób, których dane dotyczą. Decyzja o zgłoszeniu należy do Administratora.

1. 1.Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. 2.Administrator może przeprowadzić audyt lub inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do zachowania tajemnicy, po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej. Audyt odbywa się w sposób nieutrudniający pracy i w pierwszej kolejności na podstawie dokumentów.

1. 1.Po zakończeniu Umowy głównej Podmiot przetwarzający przekazuje Administratorowi ostatnią pełną kopię strony, a następnie usuwa dane i kopie zapasowe w terminie 30 dni, chyba że przepis prawa nakazuje ich dalsze przechowywanie.
2. 2.Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych na adres e-mail Administratora.

Każda ze stron odpowiada za szkody wyrządzone naruszeniem przepisów o ochronie danych na zasadach określonych w art. 82 RODO. W pozostałym zakresie stosuje się postanowienia regulaminu dotyczące odpowiedzialności.

1. 1.Umowa obowiązuje przez czas obowiązywania Umowy głównej.
2. 2.W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych i Kodeksu cywilnego.
3. 3.W razie sprzeczności między umową a regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma umowa.
4. 4.Kontakt w sprawach umowy: kontakt@administracjastron.pl.