Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie

1. Umowa jest zawierana między Organizacją jako administratorem („Administrator”) a ADIUS Arkadiusz Zalewski, ul. Lipowa 19, 49-304 Brzeg, jako podmiotem przetwarzającym („Procesor”).
2. Umowa jest Załącznikiem nr 1 do Regulaminu i zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu. Procesor rejestruje wersję i datę akceptacji.
3. Pojęcia niezdefiniowane mają znaczenie nadane w Regulaminie i w rozporządzeniu (UE) 2016/679 („RODO”).

§ 2. Przedmiot, charakter, cel i czas przetwarzania

1. Przedmiotem jest przetwarzanie danych osobowych zawartych w Treściach w zakresie niezbędnym do świadczenia Usługi.
2. Charakter przetwarzania: przechowywanie, organizowanie, skanowanie antywirusowe, udostępnianie Odbiorcom wskazanym przez Administratora, eksport i usuwanie.
3. Cel: świadczenie Usługi zgodnie z Regulaminem. Procesor nie przetwarza danych do własnych celów, w szczególności marketingowych, i nie analizuje treści dokumentów.
4. Czas: okres obowiązywania umowy o świadczenie Usługi oraz okres eksportu i usuwania z § 9.

§ 3. Kategorie osób i danych

1. Kategorie osób: klienci, kontrahenci, Odbiorcy, pracownicy i współpracownicy Administratora oraz inne osoby, których dane Administrator umieści w Treściach.
2. Kategorie danych: dane identyfikacyjne i kontaktowe Odbiorców (imię i nazwisko, e-mail), dane w treści i nazwach dokumentów — w tym, zależnie od decyzji Administratora, numery identyfikacyjne (np. PESEL, NIP), dane finansowe i podatkowe, a także dane szczególnych kategorii (art. 9 RODO) lub dotyczące wyroków skazujących (art. 10 RODO), komentarze i historia udostępnień.
3. Administrator decyduje o zakresie danych w Treściach i odpowiada za podstawę ich przetwarzania oraz obowiązek informacyjny wobec osób.

§ 4. Obowiązki Procesora (art. 28 ust. 3 RODO)

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest umowa, Regulamin i działania Administratora w Usłudze (np. przesłanie pliku, udostępnienie, usunięcie). Jeżeli przepis prawa wymaga innego przetwarzania, Procesor informuje o tym Administratora przed jego rozpoczęciem, chyba że prawo tego zabrania. Procesor niezwłocznie informuje, jeżeli polecenie jego zdaniem narusza RODO (lit. a);
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy (lit. b);
3. stosuje środki z § 5 (lit. c, art. 32 RODO);
4. korzysta z dalszych podmiotów przetwarzających na zasadach § 6 (lit. d);
5. pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, w szczególności przez funkcje eksportu, usuwania i zarządzania Odbiorcami w Usłudze; wniosek skierowany bezpośrednio do Procesora przekazuje Administratorowi bez zbędnej zwłoki (lit. e);
6. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje (lit. f);
7. po zakończeniu Usługi usuwa lub zwraca dane zgodnie z § 9 (lit. g);
8. udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty na zasadach § 8 (lit. h).

§ 5. Środki bezpieczeństwa

Procesor stosuje w szczególności następujące środki (stan na dzień wersji umowy):

1. Szyfrowanie transmisji: HTTPS z nagłówkiem HSTS dla aplikacji i API.
2. Uwierzytelnianie: hasła przechowywane wyłącznie jako skróty, opcjonalne uwierzytelnianie wieloskładnikowe TOTP z kodami zapasowymi (sekrety przechowywane w postaci zaszyfrowanej), logowanie Google, ograniczanie liczby prób logowania i rejestracji.
3. Izolacja i kontrola dostępu: dane każdej Organizacji są logicznie odseparowane i chronione autoryzacją po stronie serwera, objętą testami automatycznymi; role administratora i klienta; możliwość dezaktywacji kont.
4. Dostęp personelu Procesora: dostęp wsparcia technicznego do konta Organizacji (impersonacja) wymaga ponownego podania hasła przez superadministratora, jest ograniczony do 15 minut i rejestrowany w rejestrze aktywności.
5. Bezpieczne udostępnianie: linki publiczne przechowywane jako skróty tokenów, z obowiązkowym terminem ważności, opcjonalnym hasłem, możliwością unieważnienia i usunięcia po pobraniu.
6. Ochrona przed złośliwym oprogramowaniem: każdy przesyłany plik jest skanowany przed zapisaniem; przy niedostępności skanera plik jest odrzucany.
7. Magazyn plików: prywatny zasobnik obiektowy w regionie UE, dostęp kluczem ograniczonym do jednego zasobnika; pliki pobierane wyłącznie przez autoryzowaną aplikację. Do potwierdzenia: szyfrowanie w spoczynku po stronie Backblaze B2 (SSE-B2) włączone dla zasobnika produkcyjnego.
8. Szyfrowanie danych wrażliwych w bazie: hasła SMTP, sekrety MFA, identyfikatory zgód płatniczych i treść powiadomień płatniczych są szyfrowane kluczem aplikacji.
9. Rozliczalność: rejestr aktywności (logowania, udostępnienia, pobrania, usunięcia, impersonacja) dostępny dla Administratora.
10. Usuwanie: dwufazowe usuwanie dokumentów i pakietów; eksport danych Organizacji do pliku ZIP.
11. Ciągłość działania: kopie zapasowe bazy danych i wersjonowanie zasobnika do potwierdzenia: harmonogram i test odtworzenia, docs/ops/backup-restore.md; monitoring dostępności i błędów z usuwaniem danych osobowych z raportów błędów.
12. Organizacja: dostęp produkcyjny ograniczony do Usługodawcy; sekrety przechowywane wyłącznie w środowisku serwera; zmiany wdrażane po automatycznych testach.

Procesor może zmieniać środki, jeżeli nie obniża to ogólnego poziomu bezpieczeństwa.

§ 6. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych na stronie Podmioty przetwarzające.
2. O zamiarze dodania lub zastąpienia dalszego podmiotu Procesor informuje Administratora e-mailem lub w Usłudze co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw; jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć umowę ze skutkiem na dzień zmiany.
3. Procesor nakłada na dalszy podmiot obowiązki ochrony danych co najmniej takie jak w niniejszej umowie i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).
4. Przekazanie danych poza EOG następuje wyłącznie przy zachowaniu warunków rozdziału V RODO.

§ 7. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail administratora Organizacji.
2. Zgłoszenie zawiera, w miarę dostępności, informacje z art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz dane kontaktowe. Informacje niedostępne od razu Procesor przekazuje sukcesywnie.
3. Zgłoszenie do Prezesa UODO i zawiadomienie osób należy do Administratora; Procesor zapewnia niezbędną pomoc.

§ 8. Audyt

1. Procesor udostępnia na żądanie informacje o środkach bezpieczeństwa i dalszych podmiotach w ciągu 14 dni.
2. Jeżeli informacje są niewystarczające, Administrator może przeprowadzić audyt, sam lub przez audytora zobowiązanego do poufności, po zawiadomieniu z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku (z wyjątkiem audytu po naruszeniu lub na żądanie organu), w godzinach pracy i bez dostępu do danych innych klientów. Koszty audytu ponosi Administrator.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu umowy Administrator ma 30 dni na eksport danych w trybie tylko do odczytu (zwrot danych).
2. Po tym terminie Procesor usuwa dane z systemów aktywnych, a kopie zapasowe wygasają najpóźniej w ciągu kolejnych 90 dni, chyba że prawo Unii lub państwa członkowskiego nakazuje dalsze przechowywanie.
3. Na żądanie Procesor potwierdza usunięcie.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Do odpowiedzialności stron stosuje się art. 82 RODO oraz § 11 Regulaminu w zakresie dopuszczalnym przez prawo.
2. Umowa obowiązuje przez czas obowiązywania umowy o świadczenie Usługi i wygasa po wykonaniu § 9.
3. Zmiany umowy wprowadza się w trybie zmiany Regulaminu. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.