3. Data Processing Agreement — DPA

3.1. Strony i charakter DPA

Niniejsza Umowa Powierzenia Przetwarzania Danych stanowi część umowy pomiędzy Klientem a Stashek.

W zakresie danych osobowych przetwarzanych przez Stashek w imieniu Klienta:

Klient działa jako Administrator, a Stashek działa jako Podmiot przetwarzający.

Jeżeli charakter konkretnego procesu powoduje inną kwalifikację stron na podstawie RODO, strony stosują właściwy dla tego procesu podział ról.

3.2. Przedmiot i czas przetwarzania

Przedmiotem przetwarzania jest obsługa danych osobowych niezbędna do świadczenia Usługi Stashek.

Przetwarzanie trwa przez okres obowiązywania umowy oraz przez czas niezbędny do usunięcia lub zwrotu danych zgodnie z niniejszym DPA.

3.3. Charakter i cel przetwarzania

Operacje mogą obejmować:

• zbieranie;
• przesyłanie;
• utrwalanie;
• organizowanie;
• przechowywanie;
• odczytywanie;
• analizowanie w celu wygenerowania odpowiedzi;
• udostępnianie upoważnionym użytkownikom Klienta;
• usuwanie.

Celem jest świadczenie funkcjonalności Stashek zgodnie z konfiguracją i instrukcjami Klienta.

3.4. Kategorie osób

Dane mogą dotyczyć w szczególności:

• klientów Klienta;
• potencjalnych klientów Klienta;
• użytkowników stron internetowych Klienta;
• pracowników i współpracowników Klienta;
• innych osób kontaktujących się z Klientem za pomocą Widgetu.

3.5. Kategorie danych

Dane mogą obejmować:

• dane identyfikacyjne;
• dane kontaktowe;
• treść wiadomości;
• informacje przekazane przez użytkownika w trakcie rozmowy;
• dane techniczne;
• identyfikatory sesji;
• inne dane określone przez Klienta.

Klient nie powinien zlecać Stashek przetwarzania szczególnych kategorii danych ani danych dotyczących wyroków skazujących i naruszeń prawa bez uprzedniego uzgodnienia odpowiednich zabezpieczeń.

3.6. Instrukcje Administratora

Stashek przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego.

Konfiguracja Stashek dokonana przez Klienta oraz korzystanie z funkcjonalności Usługi stanowią udokumentowane instrukcje w zakresie odpowiadającym tym czynnościom.

Jeżeli Stashek uważa, że instrukcja narusza RODO lub inne przepisy dotyczące ochrony danych, informuje o tym Klienta.

3.7. Poufność

Stashek zapewnia, że osoby upoważnione do przetwarzania danych:

a) są zobowiązane do zachowania poufności; albo

b) podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3.8. Bezpieczeństwo

Stashek wdraża środki techniczne i organizacyjne odpowiednie do ryzyka przetwarzania.

Aktualny ogólny opis środków znajduje się w sekcji Security Measures i stanowi część niniejszego DPA.

3.9. Dalsi podmioty przetwarzające

Klient udziela Stashek ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych na aktualnej liście Subprocessors.

Stashek informuje Klienta o planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego z wyprzedzeniem co najmniej 14 dni.

Klient może zgłosić uzasadniony sprzeciw związany z ochroną danych w terminie 14 dni od otrzymania informacji.

Stashek nakłada na dalszych procesorów obowiązki dotyczące ochrony danych odpowiadające obowiązkom wymaganym od Stashek w zakresie mającym zastosowanie do świadczonych przez nich usług.

Stashek pozostaje odpowiedzialny wobec Klienta za wykonanie obowiązków dotyczących ochrony danych przez swoich dalszych procesorów w zakresie wynikającym z RODO.

3.10. Prawa osób fizycznych

Uwzględniając charakter przetwarzania, Stashek w miarę możliwości pomaga Klientowi poprzez odpowiednie środki techniczne i organizacyjne w realizacji żądań osób, których dane dotyczą.

Jeżeli Stashek otrzyma żądanie dotyczące danych przetwarzanych wyłącznie w imieniu Klienta, przekaże je Klientowi, chyba że przepisy wymagają innego działania.

3.11. Pomoc Administratorowi

Stashek pomaga Klientowi — w zakresie wynikającym z charakteru przetwarzania oraz dostępnych informacji — w wywiązywaniu się z obowiązków dotyczących:

• bezpieczeństwa danych;
• naruszeń ochrony danych;
• oceny skutków dla ochrony danych;
• uprzednich konsultacji z organem nadzorczym.

3.12. Naruszenia ochrony danych

Stashek informuje Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych w imieniu Klienta.

W miarę dostępności informacja obejmuje:

• charakter naruszenia;
• kategorie danych i osób;
• możliwe konsekwencje;
• środki podjęte lub proponowane w celu ograniczenia skutków.

3.13. Usunięcie i zwrot danych

Po zakończeniu świadczenia usług związanych z przetwarzaniem Stashek, według wyboru Klienta:

a) usuwa dane osobowe; albo

b) zwraca dane Klientowi, jeżeli funkcjonalność Usługi i charakter danych umożliwiają ich zwrot,

oraz usuwa istniejące kopie, chyba że przepisy wymagają dalszego przechowywania danych.

Kopie zapasowe są usuwane zgodnie ze standardowym cyklem rotacji backupów.

3.14. Audyty

Stashek udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO.

W uzasadnionych przypadkach Stashek umożliwia audyt zgodności.

Audyt:

• odbywa się po wcześniejszym uzgodnieniu;
• nie powinien bezpodstawnie zakłócać działalności Stashek;
• powinien uwzględniać bezpieczeństwo danych innych klientów;
• może zostać przeprowadzony poprzez dostarczenie aktualnych raportów, certyfikatów lub odpowiedzi na kwestionariusz, jeżeli jest to wystarczające do wykazania zgodności.

3.15. Transfer międzynarodowy

Stashek nie przekazuje danych osobowych poza EOG bez zastosowania odpowiedniego mechanizmu prawnego wymaganego przez RODO.

W przypadku zastosowania standardowych klauzul umownych Komisji Europejskiej stanowią one część odpowiednich uzgodnień pomiędzy stronami w zakresie wymaganym prawem.

3.16. Pierwszeństwo

W przypadku sprzeczności pomiędzy DPA a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma DPA.