Umowa Powierzenia Przetwarzania Danych Osobowych

Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Umowa reguluje powierzenie przetwarzania danych przez klienta B2B jako administratora na rzecz Shept jako podmiotu przetwarzającego. Zgodnie z art. 28 RODO umowa określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych i kategorie osób, których dane dotyczą, oraz obowiązki stron.

§1. Strony

Administrator: klient B2B korzystający z Platformy.

Procesor, Shept: Shept Sp. z o.o. z siedzibą w Rzeszowie, ul. Tadeusza Rejtana 27G, 35-326 Rzeszów, KRS 0001223355, NIP 8133947820, REGON 543968103. Kontakt: kontakt@shept.pl.

§2. Przedmiot, czas, charakter i cel

1. Shept przetwarza dane w celu świadczenia usług Platformy, w szczególności CRM, przechowywania danych, kalendarza, notatek, zadań, komunikacji, powiadomień i aktywowanych funkcji AI.

2. Powierzenie trwa przez okres korzystania z usługi oraz przez czas potrzebny do zwrotu lub usunięcia danych, wykonania obowiązków prawnych i obrony roszczeń.

3. Operacje obejmują przechowywanie, organizowanie, wyszukiwanie, przeglądanie, modyfikowanie, ograniczanie, eksport i usuwanie danych.

§3. Kategorie osób i danych

1. Kategorie osób: klienci, potencjalni klienci, leady, osoby kontaktowe, kontrahenci oraz inne osoby wprowadzone przez Administratora.

2. Kategorie danych: dane identyfikacyjne, kontaktowe, firmowe, zawodowe, informacje o zainteresowaniu ofertą, notatki, dane o spotkaniach, zadaniach i komunikacji.

3. Dane szczególnych kategorii nie są przeznaczone do funkcji AI. Administrator odpowiada za zgodność i podstawę prawną danych wprowadzanych do Systemu.

§4. Udokumentowane polecenia

1. Shept przetwarza dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek wynika z prawa.

2. Jeżeli polecenie jest, zdaniem Shept, sprzeczne z RODO, Shept informuje Administratora przed wykonaniem, o ile prawo nie zabrania takiej informacji.

3. Za udokumentowane polecenie Administratora uważa się w szczególności postanowienia niniejszej Umowy, Regulaminu oraz dokumentacji Platformy, konfigurację ustawień Organizacji dokonaną przez Administratora lub jego użytkowników, uruchomienie funkcji opcjonalnej, w tym funkcji wykorzystujących sztuczną inteligencję, a także każde działanie użytkownika podjęte w interfejsie Platformy w granicach nadanych mu uprawnień.

4. Polecenia wykraczające poza zakres określony w ust. 3, w szczególności wymagające prac programistycznych, migracji danych, przygotowania niestandardowego eksportu lub obsługi manualnej, wymagają formy dokumentowej i mogą być realizowane odpłatnie, po uprzednim uzgodnieniu zakresu i wynagrodzenia.

5. Administrator odpowiada za nadawanie, zmianę i odbieranie uprawnień swoim użytkownikom. Shept nie weryfikuje zasadności polecenia wydanego przez użytkownika działającego w granicach nadanych mu uprawnień i nie ponosi odpowiedzialności za skutki takiego polecenia.

§5. Poufność i bezpieczeństwo

1. Shept zapewnia poufność osób upoważnionych do przetwarzania danych.

2. Shept stosuje środki techniczne i organizacyjne adekwatne do ryzyka, opisane w Załączniku nr 2, w tym kontrolę dostępu, ograniczenie uprawnień, zabezpieczenia infrastruktury, uwierzytelnianie, monitoring wybranych zdarzeń i procedury reagowania na incydenty.

§6. Pomoc Administratorowi

Shept, w miarę możliwości technicznych i charakteru przetwarzania, pomaga Administratorowi w realizacji praw osób, obowiązków bezpieczeństwa, oceny skutków dla ochrony danych, konsultacji z organem nadzorczym oraz obsłudze naruszeń.

§7. Podprocesorzy

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów niezbędnych do świadczenia usług.

2. Mogą to być, w zależności od konfiguracji: Google Cloud i Firebase, Fakturownia, PayU, JustSend, Resend, dostawca transkrypcji oraz OpenAI, Anthropic i Google Gemini.

3. Shept nakłada na podprocesorów obowiązki ochrony danych odpowiadające wymaganiom RODO.

4. Aktualny wykaz podprocesorów jest publikowany pod adresem shept.pl/podprocesorzy. O zamiarze dodania nowego podprocesora lub zastąpienia dotychczasowego Shept informuje Administratora z wyprzedzeniem co najmniej 30 dni, pocztą elektroniczną lub komunikatem w Platformie.

5. Administrator może wnieść uzasadniony sprzeciw w terminie 14 dni od otrzymania informacji. Sprzeciw wymaga wskazania konkretnego ryzyka dla ochrony danych osób, których dane dotyczą. Sprzeciw nieuzasadniony albo oparty wyłącznie na przesłankach handlowych lub konkurencyjnych nie wywołuje skutków określonych w ust. 6.

6. W razie wniesienia skutecznego sprzeciwu Shept podejmie w dobrej wierze próbę zapewnienia rozwiązania alternatywnego. Jeżeli w terminie 30 dni nie okaże się to możliwe bez nieproporcjonalnego nakładu organizacyjnego lub finansowego, każda ze stron może wypowiedzieć umowę w części dotyczącej funkcji wymagającej udziału danego podprocesora, z zachowaniem 30-dniowego okresu wypowiedzenia. Administratorowi przysługuje wówczas zwrot opłat za niewykorzystany okres rozliczeniowy w tym zakresie. Roszczenia dalej idące są wyłączone.

7. Zachowania terminu, o którym mowa w ust. 4, nie wymaga zastąpienie podprocesora podmiotem świadczącym usługę równoważną przy zachowaniu nie niższego poziomu ochrony danych, zmiana o charakterze wyłącznie korporacyjnym po stronie podprocesora, a także skorzystanie z podprocesora zapasowego w sytuacji awarii, na czas niezbędny do przywrócenia ciągłości usługi. O zdarzeniach tych Shept informuje niezwłocznie po ich zajściu.

§8. AI i transkrypcja

1. Do dostawców AI przekazywany jest minimalny zakres danych potrzebny do konkretnego zadania.

2. W kluczowych funkcjach analitycznych mogą być stosowane identyfikatory zastępcze. Pseudonimizacja nie oznacza anonimizacji.

3. Dostawcy AI nie mają dostępu do pełnej bazy ani zbiorczych eksportów.

4. Dane przesyłane przez API nie są wykorzystywane do trenowania modeli w zakresie wynikającym z aktualnych warunków usługi. Ewentualne krótkookresowe przechowywanie może wystąpić dla celów bezpieczeństwa zgodnie z warunkami dostawcy.

5. Nagrania do transkrypcji są przekazywane wyłącznie w celu wykonania transkrypcji i nie są przechowywane przez Shept po jej wykonaniu.

§9. Transfery międzynarodowe

1. Transfer poza Europejski Obszar Gospodarczy odbywa się na podstawie odpowiedniego mechanizmu zgodnego z RODO, w tym decyzji o adekwatności lub Standardowych Klauzul Umownych, gdy mają zastosowanie.

2. W przypadku EU-U.S. Data Privacy Framework Shept weryfikuje, czy konkretny odbiorca jest objęty aktywną certyfikacją.

§10. Naruszenia

1. Shept zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym danych powierzonych bez zbędnej zwłoki, nie później niż w terminie 48 godzin od stwierdzenia naruszenia, na adres poczty elektronicznej wskazany przez Administratora jako właściwy w sprawach ochrony danych.

2. Administrator zobowiązany jest utrzymywać aktualność adresu, o którym mowa w ust. 1, i wskazać osobę uprawnioną do odbioru zawiadomień. Shept nie ponosi odpowiedzialności za skutki opóźnienia wynikające z nieaktualności tych danych.

3. Zawiadomienie obejmuje, w miarę dostępności, charakter naruszenia, kategorie danych i osób, możliwe skutki oraz działania zaradcze.

4. Zawiadomienie ma charakter informacyjny. Nie stanowi ono uznania odpowiedzialności Shept ani potwierdzenia, że naruszenie podlega zgłoszeniu organowi nadzorczemu lub zawiadomieniu osób, których dane dotyczą. Ocena w tym zakresie oraz decyzja o zgłoszeniu należą do Administratora.

§11. Wykazanie zgodności i audyt

1. Shept udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.

2. Obowiązek, o którym mowa w ust. 1, realizowany jest w pierwszej kolejności przez udostępnienie aktualnej dokumentacji, obejmującej wykaz podprocesorów, opis środków technicznych i organizacyjnych, wypełniony kwestionariusz bezpieczeństwa oraz, jeżeli Shept nimi dysponuje, raporty z testów bezpieczeństwa lub audytów przeprowadzonych przez podmiot zewnętrzny.

3. Jeżeli dokumentacja określona w ust. 2 nie jest wystarczająca do wykazania zgodności, Administrator może przeprowadzić audyt na następujących warunkach:

• nie częściej niż raz w roku kalendarzowym;
• po uprzednim zawiadomieniu w formie dokumentowej, z wyprzedzeniem co najmniej 30 dni, ze wskazaniem zakresu i planowanego przebiegu audytu;
• w dni robocze, w godzinach pracy Shept, w sposób nieprzerywający ciągłości świadczenia usług;
• przez Administratora albo niezależnego audytora niebędącego podmiotem konkurencyjnym wobec Shept, po uprzednim zawarciu umowy o zachowaniu poufności;
• na koszt Administratora, obejmujący również udokumentowany koszt zaangażowania personelu Shept według stawki 250 zł netto za każdą rozpoczętą godzinę, w zakresie, w jakim zaangażowanie to przekracza 8 godzin.

4. Audyt nie może obejmować danych innych klientów Shept, kodu źródłowego Platformy, informacji stanowiących tajemnicę przedsiębiorstwa ani testów penetracyjnych środowiska produkcyjnego. Testy penetracyjne mogą zostać przeprowadzone wyłącznie w środowisku testowym, na podstawie odrębnego uzgodnienia zakresu, terminu i sposobu raportowania wyników.

5. Ograniczeń określonych w ust. 3 lit. a i b nie stosuje się, jeżeli audyt stanowi następstwo stwierdzonego naruszenia ochrony danych dotyczącego danych Administratora albo wiążącego polecenia organu nadzorczego.

§12. Prawa osób

Jeżeli osoba zwróci się bezpośrednio do Shept w sprawie danych przetwarzanych w imieniu Administratora, Shept, w miarę możliwości, przekazuje żądanie Administratorowi i pomaga w jego realizacji.

§13. Zwrot i usunięcie danych

1. Przez okres 30 dni od dnia zakończenia świadczenia usług Administrator może samodzielnie pobrać powierzone dane w formatach udostępnianych przez Platformę. Na wniosek złożony w tym okresie Shept może wykonać eksport wspierany. Eksport w formacie niestandardowym lub wymagający prac programistycznych jest odpłatny według stawki określonej w § 11 ust. 3 lit. e.

2. Po upływie terminu określonego w ust. 1 Shept, według wyboru Administratora zgłoszonego przed upływem tego terminu, zwraca powierzone dane albo je usuwa lub anonimizuje. W braku zgłoszenia wyboru Shept usuwa dane.

3. Usunięcie danych z systemów produkcyjnych następuje w terminie 30 dni od upływu terminu określonego w ust. 1. Usunięcie z kopii zapasowych następuje wraz z cyklem rotacji kopii, nie później niż w terminie 60 dni od upływu tego terminu. W okresie tym dane zawarte w kopiach zapasowych nie są wykorzystywane operacyjnie.

4. Shept może zachować dane w zakresie i przez okres wymagany przepisami prawa albo niezbędny do ustalenia, dochodzenia lub obrony roszczeń. Do danych tych stosuje się nadal postanowienia niniejszej Umowy.

5. Na wniosek Administratora złożony w terminie 90 dni od zakończenia świadczenia usług Shept wystawia pisemne potwierdzenie usunięcia danych.

§14. Odpowiedzialność stron

1. Administrator odpowiada za podstawę prawną, obowiązki informacyjne, źródło danych i legalność danych przekazywanych Shept.

2. Shept odpowiada za wykonywanie obowiązków podmiotu przetwarzającego zgodnie z niniejszą Umową i RODO.

3. Powierzenie nie przenosi na Shept odpowiedzialności Administratora za cele i podstawy prawne jego własnego przetwarzania.

4. Odpowiedzialność Shept wobec Administratora z tytułu niniejszej Umowy podlega ograniczeniom określonym w § 14 Regulaminu. Ograniczenia te nie dotyczą odpowiedzialności wobec osób, których dane dotyczą, wynikającej z art. 82 RODO.

5. Jeżeli na Shept zostanie nałożona administracyjna kara pieniężna, zasądzone zostanie od Shept odszkodowanie albo Shept poniesie inne udokumentowane koszty, w tym koszty obsługi prawnej, a przyczyną będzie brak podstawy prawnej przetwarzania po stronie Administratora, niewykonanie przez niego obowiązku informacyjnego, wprowadzenie do Systemu danych szczególnych kategorii wbrew § 3 ust. 3 albo wydanie polecenia sprzecznego z prawem mimo uprzedzenia, o którym mowa w § 4 ust. 2, Administrator zwróci Shept poniesione kwoty w zakresie, w jakim odpowiadają one jego udziałowi w spowodowaniu szkody, zgodnie z art. 82 ust. 5 RODO.

6. Shept nie ponosi odpowiedzialności za skutki wprowadzenia przez Administratora lub jego użytkowników danych szczególnych kategorii, o których mowa w art. 9 RODO, do pól i funkcji Systemu, które nie są do tego przeznaczone.

7. Strona, przeciwko której skierowano roszczenie objęte ust. 5, niezwłocznie zawiadamia o tym drugą stronę oraz umożliwia jej udział w uzgadnianiu stanowiska i w postępowaniu. Zaniechanie zawiadomienia wyłącza roszczenie regresowe w zakresie, w jakim wpłynęło ono na możliwość obrony.

§15. Zawarcie Umowy, pierwszeństwo i zmiany

1. Niniejsza Umowa zostaje zawarta z chwilą jej akceptacji przez Administratora podczas zakładania konta Organizacji albo z chwilą pierwszego wprowadzenia do Systemu danych osobowych osób trzecich, w zależności od tego, które ze zdarzeń nastąpi wcześniej. Shept utrwala fakt, datę i godzinę akceptacji oraz identyfikator użytkownika, który jej dokonał, i udostępnia tę informację Administratorowi na żądanie.

2. W razie sprzeczności pomiędzy niniejszą Umową a Regulaminem lub Polityką Prywatności, w zakresie zasad przetwarzania danych powierzonych pierwszeństwo ma niniejsza Umowa. W pozostałym zakresie, w szczególności w zakresie odpowiedzialności, wynagrodzenia, zawieszenia dostępu oraz rozwiązania umowy, pierwszeństwo ma Regulamin.

3. Zmiana niniejszej Umowy następuje w trybie właściwym dla zmiany Regulaminu, określonym w § 15 Regulaminu.

4. Niniejsza Umowa zastępuje wcześniejsze ustalenia stron dotyczące powierzenia przetwarzania danych osobowych. Postanowienia wzorców umownych stosowanych przez Administratora nie wiążą Shept, chyba że zostały przez Shept wyraźnie zaakceptowane w formie dokumentowej.