Umowa powierzenia przetwarzania danych osobowych

1. Przedmiot, charakter i cel przetwarzania

WonderBy przetwarza dane osobowe w imieniu Firmy w celu świadczenia opisanych w Regulaminie funkcji Platformy w zakresie rezerwacji, kalendarza, zarządzania klientami, powiadomień i kampanii (Usługi). Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, porządkowanie, wyświetlanie, przesyłanie (na przykład wysyłanie SMS-ów, e-maili i powiadomień push) oraz usuwanie danych.

Niniejsza Umowa powierzenia nie obejmuje danych, które WonderBy przetwarza jako administrator danych we własnych celach, takich jak konta Klientów, Marketplace, opinie, bezpieczeństwo i rozliczenia, opisanych w naszej Polityce prywatności.

2. Kategorie osób, których dane dotyczą, i kategorie danych

Firma nie może wykorzystywać Usług do przetwarzania szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących, chyba że ma podstawę prawną i jest to ściśle niezbędne. W takim przypadku Firma odpowiada za zastosowanie wymaganych dodatkowych zabezpieczeń.

3. Czas trwania

Niniejsza Umowa powierzenia obowiązuje tak długo, jak WonderBy przetwarza dane osobowe w imieniu Firmy, i wygasa z chwilą usunięcia tych danych zgodnie z rozdziałem 11.

4. Polecenia

WonderBy przetwarza dane osobowe wyłącznie na udokumentowane polecenie Firmy. Regulamin, niniejsza Umowa powierzenia oraz sposób korzystania z Usług i ich konfiguracja przez Firmę stanowią pełne polecenia Firmy. WonderBy poinformuje Firmę, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych, i może wstrzymać takie przetwarzanie.

Jeżeli prawo Unii Europejskiej lub prawo państwa członkowskiego nakłada na WonderBy obowiązek przetwarzania danych w inny sposób, WonderBy uprzednio poinformuje o tym Firmę, chyba że prawo tego zabrania.

5. Obowiązki Firmy

Firma odpowiada za zgodność przetwarzania z prawem, w tym za posiadanie podstawy prawnej do dodania każdego klienta i do wysłania każdej wiadomości marketingowej, za informowanie osób, których dane dotyczą, za prowadzenie ewidencji zgód, jeżeli jest to wymagane, oraz za rozpatrywanie żądań osób, których dane dotyczą. Firma zapewnia, że jej Członkowie zespołu korzystają z Usług zgodnie z prawem i niniejszą Umową powierzenia.

6. Poufność i bezpieczeństwo

WonderBy zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności i uzyskują do nich dostęp wyłącznie w zakresie niezbędnym do świadczenia Usług, udzielenia wsparcia, o które wystąpiła Firma, lub zbadania nadużycia; taki dostęp w ramach wsparcia jest rejestrowany.

WonderBy stosuje środki techniczne i organizacyjne opisane w Załączniku nr 1 i może je aktualizować, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.

7. Podprzetwarzający

Firma udziela WonderBy ogólnej zgody na korzystanie z usług podprzetwarzających wymienionych w Załączniku nr 2. WonderBy nakłada na każdego podprzetwarzającego obowiązki w zakresie ochrony danych równoważne z określonymi w niniejszej Umowie powierzenia i pozostaje odpowiedzialny za wywiązywanie się przez nich z tych obowiązków.

WonderBy poinformuje o każdym zamierzonym dodaniu lub zastąpieniu podprzetwarzającego z co najmniej 30-dniowym wyprzedzeniem e-mailem lub w aplikacji oraz poprzez aktualizację Załącznika nr 2. W tym terminie Firma może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; jeżeli strony nie zdołają rozstrzygnąć sprzeciwu, Firma może wypowiedzieć Usługi, których to dotyczy, i otrzymać zwrot opłat uiszczonych z góry za niewykorzystany okres.

8. Przekazywanie danych do państw trzecich

Jeżeli przetwarzanie wiąże się z przekazaniem danych osobowych poza Europejski Obszar Gospodarczy do państwa, w odniesieniu do którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony, WonderBy zapewnia odpowiednie zabezpieczenie, takie jak Standardowe klauzule umowne Komisji Europejskiej (moduł 3, podmiot przetwarzający – podmiot przetwarzający, w odniesieniu do podprzetwarzających) lub certyfikacja w ramach EU-US Data Privacy Framework, wraz ze środkami uzupełniającymi, jeżeli są potrzebne.

9. Pomoc

Uwzględniając charakter przetwarzania, WonderBy pomaga Firmie, poprzez odpowiednie środki techniczne i organizacyjne, wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, przede wszystkim za pomocą funkcji dostępnych w aplikacjach (edycja i usuwanie klientów, oznaczanie rezygnacji z marketingu, eksport danych). Jeżeli WonderBy otrzyma żądanie bezpośrednio od klienta Firmy, niezwłocznie przekazuje je Firmie i sam na nie nie odpowiada, z wyjątkiem potwierdzenia jego przekazania.

WonderBy przekazuje również Firmie rozsądne informacje, aby pomóc jej w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym.

10. Naruszenia ochrony danych osobowych

WonderBy zawiadamia Firmę bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Firmy. Zawiadomienie opisuje, w zakresie, w jakim jest to znane, charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie, prawdopodobne konsekwencje oraz środki zastosowane lub proponowane. WonderBy podejmuje rozsądne działania w celu ograniczenia naruszenia i zminimalizowania jego skutków.

11. Usunięcie i zwrot danych

W okresie obowiązywania Umowy powierzenia Firma może eksportować i usuwać swoje dane w aplikacjach. Gdy Firma usunie swój profil lub świadczenie Usług się zakończy, WonderBy usuwa dane osobowe przetwarzane w imieniu Firmy w terminie 90 dni, chyba że prawo Unii Europejskiej lub prawo państwa członkowskiego nakazuje ich przechowywanie. Przed usunięciem danych Firma może zażądać ich eksportu, pisząc na adres [email protected]. Kopie zapasowe są usuwane w ramach cyklu rotacji kopii.

12. Informacje i audyty

WonderBy udostępnia informacje niezbędne do wykazania przestrzegania niniejszej Umowy powierzenia, w tym odpowiedzi na rozsądne kwestionariusze dotyczące bezpieczeństwa. Jeżeli nie jest to wystarczające, Firma może na własny koszt i nie częściej niż raz w roku (lub po naruszeniu albo na żądanie organu nadzorczego) przeprowadzić audyt za pośrednictwem niezależnego audytora zobowiązanego do zachowania poufności, z co najmniej 30-dniowym wyprzedzeniem, bez zakłócania działalności WonderBy i bez dostępu do danych innych klientów.

13. Odpowiedzialność i pierwszeństwo

Odpowiedzialność każdej ze stron na podstawie niniejszej Umowy powierzenia podlega ograniczeniom określonym w Regulaminie, z wyjątkiem przypadków, w których RODO nie dopuszcza takiego ograniczenia. W przypadku sprzeczności między niniejszą Umową powierzenia a Regulaminem w zakresie danych osobowych pierwszeństwo ma niniejsza Umowa powierzenia. Niniejsza Umowa powierzenia podlega prawu polskiemu.

Załącznik nr 1. Środki techniczne i organizacyjne

• Hosting w Amazon Web Services w UE (Frankfurt) z zabezpieczeniami fizycznymi zarządzanymi przez dostawcę oraz szyfrowaniem przechowywanych danych, tam gdzie jest to obsługiwane.
• Szyfrowanie wszystkich danych w trakcie przesyłania (TLS); szyfrowane uzgadnianie logowania; sesyjne pliki cookie HTTP-only.
• Uwierzytelnianie za pomocą jednorazowych kodów SMS, krótkotrwałe tokeny dostępu, limity liczby aktywnych sesji oraz limity prób logowania.
• Kontrola dostępu oparta na rolach w ramach Platformy (właściciel, administrator, Członek zespołu) oraz dostęp pracowników WonderBy według zasady minimalnych uprawnień, z rejestrowaniem dostępu w ramach wsparcia.
• Rozdzielenie środowisk produkcyjnego, deweloperskiego i testowego; dane poufne (sekrety) przechowywane w zarządzanej usłudze do przechowywania sekretów.
• Usuwanie danych osobowych z logów aplikacji i raportów błędów; logi serwerów przechowywane przez 30 dni.
• Automatyczne limity okresu przechowywania: kody logowania 24 godziny, treść wiadomości 90 dni, logi zapytań AI 30 dni.
• Regularne kopie zapasowe bazy danych zarządzane przez dostawcę bazy danych.
• Ochrona przed atakami i nadużyciami zapewniana przez Cloudflare, aktualizacje zależności oraz przegląd kodu wprowadzanych zmian.
• Udokumentowana procedura postępowania w przypadku incydentów i naruszeń ochrony danych osobowych.

Załącznik nr 2. Podprzetwarzający