Załącznik dotyczący przetwarzania danych osobowych (DPA) — iFurn.pro

Niniejszy Załącznik dotyczący przetwarzania danych osobowych (dalej — „DPA”) ma zastosowanie, gdy Wykonawca (platforma iFurn.pro, dalej — „Serwis”) przetwarza dane osobowe w imieniu Użytkownika podczas świadczenia Serwisu oraz gdy do takiego przetwarzania ma zastosowanie unijne Ogólne rozporządzenie o ochronie danych 2016/679 (dalej — „GDPR”) lub inne obowiązujące przepisy o ochronie danych.

DPA stanowi część Umowy oferty publicznej i uzupełnia Politykę prywatności. W przypadku sprzeczności dotyczącej przetwarzania danych osobowych objętego GDPR stosuje się niniejszy DPA; kwestie odpowiedzialności reguluje Umowa oferty publicznej. Terminy niezdefiniowane w niniejszym dokumencie mają znaczenie nadane im przez GDPR.

1. Role stron

W odniesieniu do danych osobowych, które Użytkownik wprowadza lub przesyła do Serwisu (dalej — „Dane Użytkownika”), Użytkownik jest administratorem, a Wykonawca — podmiotem przetwarzającym działającym w imieniu Użytkownika. W odniesieniu do danych własnego konta Użytkownika oraz danych technicznych Serwisu administratorem jest Wykonawca (zob. Polityka prywatności).

2. Przedmiot i szczegóły przetwarzania

Przedmiot i czas trwania: świadczenie Serwisu przez okres obowiązywania Umowy oferty publicznej. Charakter i cel: przetwarzanie niezbędne do działania funkcji Serwisu zgodnie z poleceniami Użytkownika.

Kategorie danych: dane identyfikacyjne i kontaktowe, a także inne dane, które Użytkownik wprowadza do Serwisu (w tym dotyczące klientów, pracowników lub kontrahentów Użytkownika). Kategorie osób, których dane dotyczą: osoby, których dane Użytkownik przetwarza za pośrednictwem Serwisu. Operacje przetwarzania: zbieranie, przechowywanie, porządkowanie, wykorzystywanie, przekazywanie w ramach Serwisu oraz usuwanie, niezbędne do świadczenia Serwisu. Prawa i obowiązki Użytkownika jako administratora określają GDPR, niniejszy DPA oraz Umowa oferty publicznej. Użytkownik nie powinien wprowadzać szczególnych kategorii danych, chyba że jest to niezbędne i zgodne z prawem.

3. Polecenia Użytkownika

Wykonawca przetwarza Dane Użytkownika wyłącznie na udokumentowane polecenie Użytkownika, w tym Umowę oferty publicznej, Politykę prywatności oraz ustawienia Serwisu, chyba że przetwarzanie jest wymagane przez prawo; w takim przypadku Wykonawca przed rozpoczęciem przetwarzania informuje Użytkownika o odpowiednim wymogu prawnym, chyba że prawo zakazuje takiego powiadomienia. Jeżeli w opinii Wykonawcy polecenie narusza przepisy o ochronie danych, Wykonawca niezwłocznie informuje o tym Użytkownika.

4. Poufność

Wykonawca zapewnia, aby osoby upoważnione do przetwarzania Danych Użytkownika były zobowiązane do zachowania poufności.

5. Bezpieczeństwo

Wykonawca wdraża odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicznej, koszty oraz charakter, zakres i ryzyko przetwarzania, jak opisano w Polityce bezpieczeństwa. Żadne środki nie gwarantują absolutnego bezpieczeństwa; Wykonawca nie gwarantuje pełnej ochrony przed wszystkimi możliwymi zagrożeniami.

6. Podprocesorzy

Użytkownik udziela ogólnego upoważnienia do angażowania podprocesorów (w szczególności dostawców hostingu, centrów danych, dostawców infrastruktury chmurowej, poczty elektronicznej, usług analitycznych i płatniczych). Aktualna lista podprocesorów jest stale dostępna Użytkownikowi (w szczególności jest publikowana przez Wykonawcę). O planowanym dodaniu lub zmianie podprocesora Wykonawca informuje Użytkownika z wyprzedzeniem (w tym poprzez aktualizację listy), zapewniając rozsądną możliwość zgłoszenia sprzeciwu.

Użytkownik może zgłosić uzasadniony względami ochrony danych sprzeciw wobec nowego podprocesora w rozsądnym terminie przed rozpoczęciem odpowiedniego przetwarzania. Jeżeli sprzeciwu nie uda się rozstrzygnąć, Użytkownik ma prawo zaprzestać korzystania z odpowiedniej części Serwisu. Wykonawca nakłada na podprocesorów odpowiednie obowiązki dotyczące ochrony danych osobowych w przypadkach i w zakresie przewidzianych przez obowiązujące przepisy prawa. Odpowiedzialność Wykonawcy za działania lub zaniechania podprocesorów określają obowiązujące przepisy prawa oraz Umowa oferty publicznej. Odpowiedzialność majątkowa (pieniężna) Wykonawcy jest ograniczona zgodnie z Umową oferty publicznej w zakresie, w jakim takie ograniczenie jest dopuszczalne przez bezwzględnie obowiązujące przepisy obowiązującego prawa.

7. Wsparcie Użytkownika

Uwzględniając charakter przetwarzania oraz w miarę możliwości technicznych, Wykonawca zapewnia Użytkownikowi rozsądne wsparcie: za pomocą środków dostępnych w Serwisie — w zakresie żądań osób, których dane dotyczą; a także w zakresie zapewnienia bezpieczeństwa, zgłaszania incydentów oraz oceny skutków (DPIA) i konsultacji z organem nadzorczym. Wsparcie wykraczające poza standardową funkcjonalność Serwisu jest świadczone za uzasadnionymi kosztami Użytkownika. Obsługę żądań osób, których dane dotyczą, w odniesieniu do Danych Użytkownika zapewnia sam Użytkownik jako administrator.

8. Incydenty dotyczące danych osobowych

Wykonawca powiadamia Użytkownika o incydencie dotyczącym danych osobowych dotyczącym Danych Użytkownika bez zbędnej zwłoki po powzięciu o nim wiadomości oraz przekazuje dostępne w danym momencie informacje. Powiadomienia organu nadzorczego oraz osób, których dane dotyczą (w razie potrzeby), dokonuje Użytkownik jako administrator.

9. Usunięcie lub zwrot danych

Po zakończeniu świadczenia Serwisu Wykonawca, według wyboru Użytkownika, usuwa lub zwraca Dane Użytkownika dostępnymi środkami, chyba że ich dalsze przechowywanie jest wymagane przez prawo. Użytkownik samodzielnie i z wyprzedzeniem eksportuje potrzebne mu dane; techniczne kopie zapasowe są usuwane zgodnie ze zwykłymi cyklami.

10. Audyt

Na uzasadniony pisemny wniosek Użytkownika Wykonawca udostępnia informacje niezbędne do wykazania zgodności z niniejszym DPA — przede wszystkim w formie dostępnej dokumentacji, certyfikatów, raportów z kontroli lub pisemnych odpowiedzi; z reguły jest to wystarczające do potwierdzenia zgodności. Jeżeli udostępnione informacje są obiektywnie niewystarczające lub istnieją uzasadnione wątpliwości co do zgodności z niniejszym DPA lub GDPR, Wykonawca dopuszcza audyt lub inspekcję oraz się do nich przyczynia. Szczegóły organizacyjne takiego audytu (zakres, czas i tryb) są uprzednio uzgadniane na piśmie; takie uzgodnienie nie może być bezpodstawnie opóźniane ani wykorzystywane do odmowy audytu. Planowe audyty przeprowadzane są z reguły nie częściej niż raz w roku, w godzinach pracy, z rozsądnym uprzednim powiadomieniem, z zachowaniem poufności, bez nadmiernej ingerencji w funkcjonowanie Serwisu i za uzasadnionymi, udokumentowanymi kosztami Użytkownika; to ograniczenie co do częstotliwości nie ma zastosowania w przypadku incydentu dotyczącego danych osobowych, uzasadnionych podstaw do przypuszczenia, że doszło do naruszenia, istotnej zmiany przetwarzania lub żądania organu nadzorczego. Kosztami audytu nie obciąża się Użytkownika w zakresie, w jakim audyt wykazał istotne naruszenie po stronie Wykonawcy. W odniesieniu do podprocesorów (w szczególności centrów danych i dostawców usług chmurowych) bezpośredni dostęp fizyczny może być ograniczony warunkami odpowiednich dostawców; w takim przypadku Wykonawca zapewnia równoważne prawa audytu w umowach z podprocesorami oraz udostępnia dostępne raporty, certyfikaty i inną rozsądną pomoc. Ograniczenia co do częstotliwości i trybu nie mają zastosowania w zakresie, w jakim organ nadzorczy na podstawie prawa wyraźnie nakazuje inaczej.

11. Przekazywanie międzynarodowe

Jeżeli przetwarzanie obejmuje przekazywanie danych osobowych poza Europejski Obszar Gospodarczy (EOG), takie przekazywanie odbywa się przy istnieniu podstawy prawnej zgodnie z GDPR (w tym decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych lub innych odpowiednich zabezpieczeń).

12. Odpowiedzialność

Niniejszy DPA nie rozszerza ani nie zwiększa odpowiedzialności Wykonawcy w porównaniu z Umową oferty publicznej. Łączna odpowiedzialność Wykonawcy związana z przetwarzaniem danych osobowych jest ograniczona zgodnie z Umową oferty publicznej. Wykonawca nie odpowiada za polecenia Użytkownika, za zgodność z prawem Danych Użytkownika ani za niewykonanie przez Użytkownika jego obowiązków jako administratora. Ograniczenia odpowiedzialności nie mają zastosowania w zakresie, w jakim są zakazane przez bezwzględnie obowiązujące przepisy prawa.

13. Relacja między dokumentami

W zakresie przetwarzania danych osobowych objętego GDPR niniejszy DPA ma pierwszeństwo przed Polityką prywatności. W zakresie odpowiedzialności pierwszeństwo ma Umowa oferty publicznej. W pozostałym zakresie stosuje się Umowę oferty publicznej oraz Politykę prywatności. Wszystkie postanowienia stosuje się z uwzględnieniem bezwzględnie obowiązujących przepisów prawa.