Umowa powierzenia danych

1. Strony i zakres. Firma rejestrowana przez uprawnionego administratora jest administratorem powierzonych danych; usługodawca jest podmiotem przetwarzającym. Powierzenie trwa przez okres obsługi konta i uzgodnionego zwrotu/usuwania. Obejmuje pobieranie, porządkowanie, przechowywanie, aktualizowanie, udostępnianie zgodnie z instrukcją i usuwanie danych w celu obsługi zamówień, wiadomości, dokumentów, wysyłek i pracowników. 2. Kategorie. Osoby: nabywcy, odbiorcy przesyłek, osoby kontaktowe oraz użytkownicy i pracownicy sprzedawcy. Dane: imię, nazwisko, firma, identyfikatory nabywcy i zamówienia, adresy dostawy i rozliczenia, e-mail, telefon, NIP, zamówione pozycje, kwoty i status płatności, treść związanej z zamówieniem korespondencji, dokumenty i numery przesyłek. Nie należy wprowadzać szczególnych kategorii danych ani danych kart płatniczych. 3. Instrukcje i poufność. Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie administratora, w tym polecenia w aplikacji i konfigurację integracji, również przy przekazaniu do państwa trzeciego. Jeśli przetwarzanie jest wymagane prawem, informuje o tym wcześniej, o ile prawo tego nie zabrania. Informuje też, gdy instrukcja jego zdaniem narusza przepisy. Osoby z dostępem są zobowiązane do poufności, a dostęp ogranicza się do niezbędnego zakresu. 4. Zabezpieczenia i pomoc. Usługodawca stosuje środki adekwatne do ryzyka zgodnie z art. 32 RODO, w szczególności oddzielenie firm i uprawnień, szyfrowane połączenia, ochronę danych i kopii, monitoring oraz procedury obsługi incydentów i odtwarzania. Pomaga administratorowi realizować żądania osób oraz obowiązki z art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji. O naruszeniu powierzonych danych zawiadamia bez zbędnej zwłoki po jego stwierdzeniu, przekazując dostępne informacje i uzupełniając je w miarę ustaleń. 5. Dalsze powierzenie. Administrator udziela ogólnej zgody na niezbędne usługi infrastruktury i poczty cyber_Folks. Usługodawca zapewnia wymagane umowy nakładające odpowiadające obowiązki ochrony danych i pozostaje odpowiedzialny za ich wykonanie przez dalszy podmiot. O planowanej zmianie lub dodaniu podmiotu informuje e-mailem co najmniej 14 dni wcześniej, umożliwiając sprzeciw przed rozpoczęciem przetwarzania. Jeśli nie można uzgodnić odpowiedniego rozwiązania, administrator może zakończyć daną usługę i odzyskać dane. Synology i komputer usługodawcy stanowią jego własne zasoby kopii. 6. Zwrot i usuwanie. Po zakończeniu usługi usługodawca, według decyzji administratora, zwraca lub usuwa powierzone dane i ich kopie, chyba że ich przechowanie jest wymagane prawem. Strony ustalają format, bezpieczny sposób przekazania i termin, z uwzględnieniem rozmiaru danych i kopii. Do wykonania tego obowiązku dane są odizolowane od bieżącego wykorzystania i nadal chronione. Obowiązek usunięcia nie jest zastępowany samym zablokowaniem logowania. 7. Weryfikacja. Usługodawca udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO, umożliwia audyty i inspekcje administratora lub upoważnionego audytora oraz przyczynia się do nich. Uzgodnienie organizacji audytu służy ochronie danych innych firm i ciągłości usług, nie ogranicza ustawowego prawa kontroli. 8. Administrator odpowiada za podstawy prawne i obowiązki informacyjne wobec osób, poprawność instrukcji i uprawnienie do udostępnienia danych z podłączanych kont. Strony współpracują przy zapewnieniu prawidłowego przetwarzania. Stosuje się prawo polskie i RODO, z zachowaniem bezwzględnie obowiązujących praw i właściwości sądu wynikającej z przepisów.