Umowa powierzenia przetwarzania danych osobowych

Data Processing Agreement (DPA) — zawierana na podstawie art. 28 RODO w związku z korzystaniem z Usługi Complaia ERP

§ 1. Definicje i postanowienia ogólne

1. Użyte w DPA pojęcia: „RODO" — rozporządzenie (UE) 2016/679; „Dane" lub „Dane powierzone" — dane osobowe wprowadzane przez Administratora lub jego Użytkowników do Platformy w ramach korzystania z Usługi; „przetwarzanie", „administrator", „podmiot przetwarzający", „naruszenie ochrony danych", „podprocesor" — w znaczeniu nadanym przez RODO.

2. Procesorem jest Usługodawca, a Administratorem — Usługobiorca. DPA reguluje zasady przetwarzania Danych powierzonych przez Administratora w związku ze świadczeniem Usługi.

3. W zakresie ochrony danych osobowych DPA ma pierwszeństwo przed pozostałymi postanowieniami Regulaminu; w pozostałym zakresie stosuje się Regulamin.

§ 2. Przedmiot, charakter, cel i czas powierzenia

1. Administrator powierza Procesorowi przetwarzanie Danych w zakresie i w celu niezbędnym do świadczenia Usługi zgodnie z Regulaminem.

2. Charakter i cel przetwarzania: hosting, przechowywanie oraz przetwarzanie Danych w ramach funkcji Platformy uruchamianych i konfigurowanych przez Administratora (m.in. obsługa zamówień, magazynu, produkcji, kontrahentów, użytkowników).

3. Rodzaj danych, kategorie osób, których dane dotyczą, oraz rodzaje operacji określa Załącznik nr 1. Powierzenie nie obejmuje przypadków, w których — w zakresie wskazanym w Regulaminie i Polityce Prywatności — to Procesor występuje jako administrator własnych danych.

4. Powierzenie obowiązuje przez czas obowiązywania Umowy, z zastrzeżeniem § 12 i § 14.

§ 3. Oświadczenia i wyłączna odpowiedzialność Administratora

Administrator jako podmiot decydujący o celach i środkach ponosi odpowiedzialność administratora w rozumieniu RODO.

1. Administrator oświadcza i gwarantuje, że: (a) jest administratorem Danych albo jest uprawniony do ich powierzenia; (b) Dane zostały zebrane zgodnie z prawem i istnieje ważna podstawa prawna ich przetwarzania, w tym przekazania ich do Platformy; (c) dopełnił wobec osób, których dane dotyczą, obowiązków informacyjnych (art. 13–14 RODO); (d) wydawane przez niego polecenia są zgodne z prawem.

2. Administrator ponosi wyłączną odpowiedzialność za dopuszczalność i zgodność z prawem przetwarzania, za treść, prawidłowość i aktualność Danych oraz za prawidłowe skonfigurowanie dostępów i uprawnień swoich Użytkowników w Platformie.

3. Procesor nie ma obowiązku weryfikowania treści Danych ani istnienia podstawy prawnej ich przetwarzania i nie monitoruje legalności Danych wprowadzanych przez Administratora.

4. Dane szczególne. Administrator zobowiązuje się nie wprowadzać do Platformy danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków i naruszeń prawa (art. 10 RODO), chyba że strony uprzednio uzgodnią to na piśmie wraz z odpowiednimi zabezpieczeniami. Procesor nie odpowiada za skutki wprowadzenia takich danych z naruszeniem niniejszego ustępu.

5. Zwolnienie z odpowiedzialności (indemnizacja). Administrator zwalnia Procesora z odpowiedzialności oraz zaspokoi i pokryje uzasadnione koszty (w tym koszty obrony prawnej, kary i odszkodowania) wynikające z roszczeń osób, których dane dotyczą, organów nadzorczych lub osób trzecich, powstałych w związku z naruszeniem przez Administratora przepisów o ochronie danych, niniejszych oświadczeń lub jego poleceń.

§ 4. Polecenia i zakres przetwarzania

1. Procesor przetwarza Dane wyłącznie na udokumentowane polecenie Administratora. Regulamin, Umowa, niniejsze DPA oraz korzystanie przez Administratora z funkcji i ustawień Platformy stanowią udokumentowane polecenia w rozumieniu art. 28 ust. 3 lit. a oraz art. 29 i 32 ust. 4 RODO. Dotyczy to również przekazywania Danych do państwa trzeciego, jeżeli wynika z korzystania z Usługi (§ 8).

2. Jeżeli obowiązek przetwarzania wynika z prawa Unii lub państwa członkowskiego, Procesor informuje Administratora przed przetwarzaniem, chyba że prawo to zakazuje takiego poinformowania z uwagi na ważny interes publiczny.

3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych; Procesor nie jest jednak zobowiązany do prowadzenia oceny prawnej poleceń ani Danych Administratora.

4. Dane techniczne i zanonimizowane. Dane techniczne o działaniu Platformy — rejestr logowań oraz logi błędów i wydajności — Procesor przetwarza jako administrator we własnym celu utrzymania i zabezpieczenia Usługi, na zasadach określonych w Polityce Prywatności. Procesor jest ponadto uprawniony do wytwarzania i wykorzystywania danych zanonimizowanych oraz zagregowanych, powstałych w związku ze świadczeniem Usługi, we własnych celach analitycznych i rozwojowych, w sposób uniemożliwiający identyfikację Administratora, jego Użytkowników ani osób, których dane dotyczą. Procesor nie udostępnia osobom trzecim danych zagregowanych w sposób pozwalający na identyfikację Administratora ani na odtworzenie Danych powierzonych. W zakresie, w jakim dane, o których mowa w zdaniu pierwszym, obejmują Dane powierzone, stosuje się do nich pozostałe postanowienia DPA, w tym § 5–§ 8.

§ 5. Poufność

1. Procesor zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, oraz że dostęp do Danych mają wyłącznie osoby, którym jest to niezbędne do realizacji Usługi.

§ 6. Bezpieczeństwo przetwarzania (art. 32 RODO)

1. Procesor wdraża odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania. Wykaz środków zawiera Załącznik nr 2.

2. Procesor jest uprawniony do aktualizowania i modyfikowania środków, pod warunkiem że nie spowoduje to obniżenia poziomu bezpieczeństwa poniżej wymaganego przez art. 32 RODO. Administrator przyjmuje do wiadomości, że to on ocenia, czy oferowane środki spełniają jego wymagania jako administratora.

3. Serwery aplikacyjne Platformy Procesor utrzymuje samodzielnie w Polsce; w tym zakresie środki techniczne i organizacyjne wdraża i stosuje bezpośrednio Procesor.

§ 7. Podprocesorzy — zgoda ogólna

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z podprocesorów (art. 28 ust. 2 RODO). Wykaz podprocesorów zawiera Załącznik nr 3 i obejmuje wszystkich podprocesorów Procesora. Zmiana wykazu następuje przez zmianę DPA na zasadach § 14 ust. 2, z zachowaniem trybu informowania i sprzeciwu określonego w ust. 2–3 poniżej. Aktualna treść DPA wraz z Załącznikiem nr 3 jest stale dostępna w Serwisie.

2. Procesor informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów z wyprzedzeniem co najmniej 14 dni (np. przez aktualizację wykazu, powiadomienie e-mail lub komunikat w Platformie), umożliwiając Administratorowi wniesienie sprzeciwu.

3. Administrator może wnieść uzasadniony sprzeciw wobec zmiany w terminie 14 dni od poinformowania. Jeżeli strony nie uzgodnią rozwiązania, Administratorowi przysługuje prawo wypowiedzenia Umowy ze skutkiem na koniec bieżącego Okresu rozliczeniowego; wniesienie sprzeciwu nie wstrzymuje zmiany ani nie blokuje świadczenia Usługi. Brak sprzeciwu w terminie oznacza akceptację zmiany.

4. Procesor nakłada na każdego podprocesora — w drodze umowy — obowiązki w zakresie ochrony danych nie mniej restrykcyjne niż określone w DPA. Procesor odpowiada za działania i zaniechania podprocesorów jak za własne wyłącznie w zakresie wymaganym bezwzględnie obowiązującymi przepisami i z uwzględnieniem ograniczeń odpowiedzialności z § 13.

5. Integracje uruchamiane przez Administratora. Platforma umożliwia Administratorowi samodzielne uruchomienie integracji z podmiotami trzecimi (w szczególności operatorami pocztowymi i kurierskimi, platformami sprzedażowymi oraz systemami zewnętrznymi) przez wprowadzenie własnych poświadczeń dostępowych (np. klucza API) uzyskanych przez Administratora od tego podmiotu. Podmioty te nie są podprocesorami Procesora. Administrator oświadcza, że zawarł z takim podmiotem odrębną umowę o świadczenie usług oraz — jeżeli jest to wymagane — umowę powierzenia przetwarzania danych, a także że posiada podstawę prawną przekazania mu Danych. Procesor przekazuje Dane takiemu podmiotowi wyłącznie w zakresie i w sposób wynikający z konfiguracji dokonanej przez Administratora, nie jest stroną stosunku prawnego między Administratorem a tym podmiotem i nie odpowiada za przetwarzanie Danych po ich przekazaniu.

6. Publiczne usługi mapowe. Do geokodowania adresów, wyznaczania tras i wyświetlania map Platforma korzysta z publicznych usług projektu OpenStreetMap: wyszukiwarki adresów Nominatim i serwerów map prowadzonych przez OpenStreetMap Foundation (Wielka Brytania — państwo objęte decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony) oraz serwera tras OSRM prowadzonego przez FOSSGIS e.V. (Niemcy). Przekazywane są wyłącznie adresy (bez imion, nazwisk, numerów telefonów i adresów e-mail), współrzędne punktów tras i pozycje pojazdów, a przy wyświetlaniu map — adres IP urządzenia Użytkownika. Usługi te świadczone są na podstawie publicznych warunków korzystania ich operatorów, bez odrębnej umowy powierzenia. Korzystając z funkcji transportu i planowania tras, Administrator poleca Procesorowi takie przekazanie i akceptuje te warunki.

§ 8. Przekazywanie danych poza EOG

1. Dane powierzone przechowywane są na terenie Europejskiego Obszaru Gospodarczego. Poszczególni podprocesorzy mogą przetwarzać Dane poza Europejskim Obszarem Gospodarczym w zakresie wskazanym w Załączniku nr 3 — wyłącznie przy zapewnieniu mechanizmu transferu wymaganego przez rozdział V RODO (standardowe klauzule umowne zatwierdzone przez Komisję Europejską, decyzja stwierdzająca odpowiedni stopień ochrony lub inny dopuszczalny mechanizm). Korzystanie przez Administratora z Usługi obejmującej takich dostawców stanowi polecenie dokonania takiego przekazania.

2. Podstawowym mechanizmem transferu stosowanym przez Procesora są standardowe klauzule umowne. Jeżeli w odniesieniu do danego podprocesora zastosowanie ma również decyzja stwierdzająca odpowiedni stopień ochrony, ma ona charakter uzupełniający i jej ewentualne uchylenie lub unieważnienie nie wpływa na skuteczność standardowych klauzul umownych.

§ 9. Pomoc Administratorowi

1. Żądania osób, których dane dotyczą. Obsługa żądań osób, których dane dotyczą (rozdział III RODO), należy do obowiązków Administratora. Procesor pomaga Administratorowi w ich wykonaniu w zakresie wynikającym z charakteru przetwarzania, w szczególności udostępniając odpowiednie funkcje Platformy. Jeżeli żądanie wpłynie bezpośrednio do Procesora, Procesor nie odpowiada na nie samodzielnie, lecz przekazuje je Administratorowi — chyba że przekazanie jest niedopuszczalne na podstawie przepisów prawa.

2. Obowiązki z art. 32–36 RODO. Procesor pomaga Administratorowi w zapewnieniu zgodności z obowiązkami dotyczącymi bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych (DPIA) oraz uprzednich konsultacji, uwzględniając charakter przetwarzania oraz informacje dostępne Procesorowi.

3. Wynagrodzenie za pomoc. Czynności pomocy wykraczające poza standardowe funkcje Platformy lub wymagające istotnego nakładu pracy Procesor może wykonać za uprzednio uzgodnionym, uzasadnionym wynagrodzeniem, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.

§ 10. Naruszenia ochrony danych

1. Procesor zawiadamia Administratora o naruszeniu ochrony Danych powierzonych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje, którymi dysponuje, niezbędne Administratorowi do wykonania jego obowiązków.

2. Zgłoszenie naruszenia organowi nadzorczemu oraz zawiadomienie osób, których dane dotyczą (art. 33–34 RODO), należy do wyłącznych obowiązków Administratora. Procesor nie dokonuje tych zgłoszeń w imieniu Administratora, chyba że strony uzgodnią inaczej.

3. Przekazanie zawiadomienia, o którym mowa w ust. 1, nie stanowi uznania winy ani odpowiedzialności Procesora.

§ 11. Wykazanie zgodności i audyt

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO — w pierwszej kolejności w postaci dokumentacji, polityk, posiadanych certyfikatów lub raportów z audytów (np. zgodnych z uznanymi standardami) albo wypełnionego kwestionariusza.

2. Jeżeli powyższe informacje okażą się niewystarczające, Administrator może przeprowadzić audyt (inspekcję) na następujących zasadach: (a) nie częściej niż raz na 12 miesięcy, chyba że audyt jest wymagany przez organ nadzorczy lub następuje bezpośrednio po potwierdzonym naruszeniu dotyczącym Danych Administratora; (b) po uprzednim pisemnym powiadomieniu z wyprzedzeniem co najmniej 30 dni; (c) w godzinach pracy Procesora, w sposób niezakłócający jego działalności; (d) z zachowaniem poufności i bezpieczeństwa danych innych klientów; (e) na koszt Administratora; (f) przez Administratora lub upoważnionego audytora niebędącego konkurentem Procesora, po zawarciu zobowiązania do poufności.

3. Procesor może odmówić udostępnienia informacji objętych tajemnicą przedsiębiorstwa, dotyczących innych klientów lub naruszających bezpieczeństwo, w zakresie, w jakim nie jest to niezbędne do wykazania zgodności.

§ 12. Usunięcie lub zwrot danych

1. Po zakończeniu świadczenia Usługi Procesor — wedle wyboru Administratora zgłoszonego w terminie 30 dni od zakończenia — zwraca Dane (umożliwia ich eksport) albo je usuwa. W braku dyspozycji Administratora w tym terminie Procesor usuwa Dane w terminie 30 dni od upływu tego terminu. Jeżeli Administrator zainicjował procedurę zmiany dostawcy usługi przetwarzania danych albo przeniesienia Danych, o której mowa w § 12a Regulaminu, stosuje się terminy określone w tym paragrafie, a Dane podlegają usunięciu po ich upływie.

2. Procesor jest uprawniony do zachowania Danych w zakresie i przez okres wymagany przepisami prawa, a także do zachowania kopii Danych znajdujących się w rutynowych kopiach zapasowych do czasu ich planowego nadpisania, nie dłużej niż 7 dni od usunięcia Danych; do takich Danych stosuje się nadal obowiązki bezpieczeństwa i poufności, a dalsze przetwarzanie ogranicza się do celu, dla którego są przechowywane. Kopie zapasowe służą wyłącznie odtworzeniu Platformy po awarii; Procesor nie ma obowiązku odtwarzania z nich Danych na żądanie Administratora i nie gwarantuje, że będzie to możliwe.

§ 13. Odpowiedzialność

Postanowienia stosuje się w najszerszym zakresie dopuszczalnym przez prawo; nie naruszają one bezwzględnie obowiązujących przepisów, w tym art. 82 RODO wobec osób, których dane dotyczą, ani art. 473 § 2 Kodeksu cywilnego (szkoda umyślna).

1. Odpowiedzialność Procesora wynikająca z DPA lub z nią związana podlega ograniczeniom odpowiedzialności określonym w Regulaminie (§ 10 Regulaminu), w tym kwotowemu limitowi w wysokości opłat abonamentowych netto zapłaconych w okresie sześciu (6) Okresów rozliczeniowych poprzedzających zdarzenie; limity te obowiązują łącznie dla Regulaminu i DPA, a nie odrębnie.

2. Procesor nie odpowiada za szkody pośrednie, następcze ani utracone korzyści, w najszerszym zakresie dopuszczalnym przez prawo.

3. W stosunkach między stronami Administrator ponosi odpowiedzialność za naruszenia wynikające z zakresu jego obowiązków (podstawa prawna, treść Danych, polecenia, obowiązki informacyjne) i — zgodnie z § 3 ust. 5 — zwalnia z niej Procesora. Jeżeli Procesor naprawi szkodę osobie, której dane dotyczą, w części przypisanej Administratorowi, przysługuje mu roszczenie regresowe na zasadach art. 82 ust. 5 RODO.

§ 14. Czas obowiązywania i postanowienia końcowe

1. DPA obowiązuje przez czas obowiązywania Umowy. Postanowienia, które z natury powinny obowiązywać dłużej (w szczególności dotyczące poufności, usunięcia/zwrotu Danych, odpowiedzialności i indemnizacji), pozostają w mocy także po jej zakończeniu.

2. Zmiany DPA wymagają formy właściwej dla zmiany Regulaminu. Procesor może dokonać zmian niezbędnych do zachowania zgodności z przepisami o ochronie danych, informując Administratora na zasadach przewidzianych dla zmiany Regulaminu.

3. DPA podlega prawu polskiemu; w sprawach nieuregulowanych stosuje się Regulamin oraz przepisy RODO i ustawy o ochronie danych osobowych. Sądem właściwym jest sąd wskazany w Regulaminie.

4. Jeżeli którekolwiek postanowienie DPA okaże się nieważne lub bezskuteczne, pozostałe pozostają w mocy, a w miejsce postanowienia nieważnego wchodzi postanowienie dopuszczalne, najbliższe jego celowi.

Załącznik nr 1 — Szczegóły przetwarzania

Załącznik nr 2 — Środki techniczne i organizacyjne (art. 32 RODO)

Wykaz przykładowy; środki podlegają aktualizacji bez obniżania poziomu ochrony poniżej wymaganego przez art. 32 RODO.

• Szyfrowanie transmisji: połączenia z Platformą wyłącznie przez HTTPS (TLS) z nagłówkiem HSTS; połączenie aplikacji z bazą danych szyfrowane TLS.
• Szyfrowanie w spoczynku: poświadczenia integracji oraz klucze i tokeny KSeF szyfrowane algorytmem AES-256-GCM; szyfrowanie nośników w zakresie zapewnianym przez dostawcę infrastruktury.
• Izolacja danych: odrębna baza danych dla każdego Konta; dane jednego Konta nie są przechowywane w bazie innego Konta.
• Kontrola dostępu: indywidualne konta; role i uprawnienia nadawane przez Administratora w Platformie; polityka haseł (co najmniej 8 znaków, małe i wielkie litery, cyfra i znak specjalny; hasła przechowywane wyłącznie jako skrót bcrypt); blokada konta po 10 nieudanych próbach logowania w ciągu 15 minut; wygasanie sesji i unieważnianie sesji przy zmianie hasła.
• Ciągłość działania: automatyczne kopie zapasowe bazy danych w infrastrukturze AWS (region Frankfurt), przechowywane nie dłużej niż 7 dni i służące wyłącznie odtworzeniu Platformy po awarii.
• Rejestrowanie zdarzeń: dziennik zdarzeń Konta dostępny dla Administratora, rejestr logowań, rejestr błędów technicznych.
• Ochrona przed nadużyciami: limity liczby żądań i nieudanych logowań, nagłówki bezpieczeństwa (CSP, HSTS), oczyszczanie filtrów zapytań.
• Infrastruktura własna: serwery aplikacyjne Platformy Procesor utrzymuje samodzielnie w Polsce, stosując do nich środki wskazane powyżej.
• Środki organizacyjne: zobowiązania personelu do poufności, kontrola podprocesorów, procedura obsługi incydentów i zgłaszania naruszeń (§ 10).

Załącznik nr 3 — Wykaz podprocesorów

Wykaz obejmuje wszystkich podprocesorów Procesora. Zmiana wykazu następuje przez zmianę DPA, na zasadach § 7 ust. 1 oraz § 14 ust. 2.

Podmioty, z którymi Administrator samodzielnie uruchamia integracje przy użyciu własnych poświadczeń dostępowych, nie są podprocesorami Procesora — zob. § 7 ust. 5 DPA. Zasady korzystania z publicznych usług mapowych OpenStreetMap określa § 7 ust. 6 DPA.

Wiążąca jest polska wersja dokumentu.