Umowa Powierzenia Przetwarzania Danych Osobowych

§ 1. Strony Umowy

§ 2. Przedmiot i Czas Trwania Umowy

1. Przedmiotem niniejszej umowy jest powierzenie przez Administratora Procesorowi przetwarzania danych osobowych klientów Administratora w celu świadczenia usług Oprogramowania Menago.
2. Umowa zostaje zawarta na czas nieokreślony, obowiązuje od momentu akceptacji Regulaminu i wygasa z chwilą trwałego usunięcia wszystkich powierzonych danych przez Procesora po rozwiązaniu umowy o świadczenie usług.
3. Procesor przetwarza powierzone dane wyłącznie w zakresie i celu niezbędnym do świadczenia usług Oprogramowania Menago, opisanych w Regulaminie.

§ 3. Cel, Charakter i Zakres Przetwarzania

Procesor przetwarza dane osobowe w następujących celach, wyłącznie na udokumentowane polecenie Administratora wynikające z korzystania z funkcji Oprogramowania:

§ 4. Kategorie Danych i Osób

§ 5. Obowiązki Procesora

1. Polecenia Administratora. Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Korzystanie przez Administratora z funkcji Oprogramowania (dodawanie klientów, tworzenie wizyt, włączanie powiadomień e-mail) stanowi takie udokumentowane polecenie. Jeżeli prawo UE lub prawo polskie wymaga od Procesora przetwarzania danych w innym zakresie, Procesor informuje o tym Administratora przed przetwarzaniem.
2. Poufność. Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania ich w tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Bezpieczeństwo. Procesor wdraża i utrzymuje techniczne oraz organizacyjne środki ochrony danych opisane szczegółowo w § 8 niniejszej umowy, zapewniające poziom bezpieczeństwa adekwatny do ryzyka.
4. Dalsze powierzenie (podprocesory). Procesor może korzystać z usług podprocesorów wymienionych w § 7 niniejszej umowy. Administrator wyraża ogólną zgodę na korzystanie z tych podmiotów. O planowanych zmianach w wykazie podprocesorów Procesor informuje Administratora z wyprzedzeniem 14 dni, umożliwiając zgłoszenie sprzeciwu. Na każdego podprocesora nakładane są obowiązki ochrony danych co najmniej równoważne obowiązkom wynikającym z niniejszej umowy.
5. Prawa osób. Biorąc pod uwagę charakter przetwarzania, Procesor pomaga Administratorowi — w miarę możliwości — wywiązać się z obowiązku odpowiadania na żądania w zakresie wykonywania praw osób, których dane dotyczą (m.in. dostęp, sprostowanie, usunięcie, przenoszenie). Żądania należy kierować na adres kontakt@menago.net.
6. Wsparcie przy obowiązkach RODO. Procesor pomaga Administratorowi w zapewnieniu zgodności z art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń organowi, zawiadamianie osób, ocena skutków dla ochrony danych — DPIA), uwzględniając dostępne mu informacje o charakterze przetwarzania.
7. Naruszenia bezpieczeństwa. Procesor powiadamia Administratora niezwłocznie, jednak nie później niż w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych. Powiadomienie zawiera przynajmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze.
8. Usunięcie lub zwrot danych. Po zakończeniu świadczenia usług Procesor, według wyboru Administratora, usuwa lub zwraca wszystkie dane osobowe oraz usuwa istniejące ich kopie, chyba że prawo UE lub polskie nakłada obowiązek ich przechowywania. Usunięcie nastąpi w terminie określonym w § 8 Regulaminu.
9. Udostępnianie informacji i audyt. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania przestrzegania obowiązków określonych w art. 28 RODO oraz umożliwia przeprowadzanie audytów na zasadach opisanych w § 9 niniejszej umowy.

§ 6. Obowiązki i Oświadczenia Administratora

1. Administrator oświadcza, że jest uprawniony do przetwarzania powierzonych danych osobowych oraz że posiada ważną podstawę prawną ich przetwarzania (np. zgodę klienta lub uzasadniony interes w prowadzeniu działalności salonu).
2. Administrator jest odpowiedzialny za zgodne z prawem zbieranie danych klientów oraz za realizację wobec nich obowiązku informacyjnego wynikającego z art. 13 RODO.
3. Administrator zobowiązuje się korzystać z Oprogramowania wyłącznie w celach zgodnych z prawem, Regulaminem i niniejszą umową.
4. Korzystając z funkcji wysyłki e-maili do klientów salonu (potwierdzenia wizyt, przypomnienia), Administrator potwierdza, że posiada odpowiednią podstawę prawną do przekazania adresu e-mail klienta Procesorowi w tym celu.
5. Eksportując kalendarz wizyt w formacie iCal lub udostępniając publiczny URL subskrypcji kalendarza, Administrator przyjmuje pełną odpowiedzialność za bezpieczne zarządzanie dostępem do tego linku i zawartych w nim danych osobowych.
6. Administrator niezwłocznie informuje Procesora o wszelkich zmianach mogących wpłynąć na zakres lub sposób przetwarzania powierzonych danych.

§ 7. Wykaz Podprocesorów

Administrator wyraża ogólną zgodę (art. 28 ust. 2 RODO) na korzystanie przez Procesora z następujących podprocesorów. Każdy z nich przetwarza dane wyłącznie w zakresie niezbędnym do realizacji swojej funkcji i jest związany umową zapewniającą co najmniej równoważny poziom ochrony danych.

§ 8. Techniczne i Organizacyjne Środki Bezpieczeństwa (TOMs)

Procesor wdraża i utrzymuje następujące środki bezpieczeństwa adekwatne do ryzyka przetwarzania (art. 32 RODO):

§ 9. Prawo do Audytu i Inspekcji

1. Administrator ma prawo do weryfikacji przestrzegania przez Procesora postanowień niniejszej umowy, w tym poprzez przeprowadzenie audytu lub inspekcji.
2. Audyt przeprowadzany jest na pisemny (e-mail) wniosek Administratora, złożony z wyprzedzeniem co najmniej 7 dni roboczych. Wniosek powinien precyzować zakres planowanego audytu.
3. Audyt odbywa się w sposób nienaruszający bezpieczeństwa infrastruktury i danych innych klientów. Procesor może odmówić dostępu do systemów lub dokumentów, których ujawnienie naruszałoby prawa osób trzecich lub obowiązki zachowania poufności.
4. Koszty audytu ponosi Administrator. Strony uzgadniają warunki logistyczne i finansowe audytu indywidualnie.
5. W ramach regularnej weryfikacji, Procesor udostępnia na żądanie: niniejszą dokumentację UPDO, wykaz podprocesorów, opis środków bezpieczeństwa (§ 8) oraz potwierdzenie realizacji obowiązków wynikających z niniejszej umowy.

§ 10. Przekazywanie Danych do Państw Trzecich

1. Procesor nie przekazuje powierzonych danych osobowych do państw trzecich poza EOG bez zapewnienia odpowiednich zabezpieczeń wymaganych przez RODO.
2. W przypadku korzystania z podprocesorów mających siedzibę poza EOG (wymienionych w § 7), transfer danych odbywa się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską decyzją z 4 czerwca 2021 r. (2021/914/UE).
3. Dane przechowywane w infrastrukturze Supabase zlokalizowane są w regionie EU (Frankfurt, Niemcy) i nie opuszczają EOG.

§ 11. Postanowienia Końcowe

1. Niniejsza umowa stanowi integralną część Regulaminu Oprogramowania Menago. W przypadku sprzeczności pomiędzy postanowieniami niniejszej umowy a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia niniejszej UPDO.
2. Wszelkie zmiany niniejszej umowy wymagają pisemnego (e-mailowego) powiadomienia Administratora z wyprzedzeniem co najmniej 14 dni. Dalsze korzystanie z Oprogramowania po tym terminie oznacza akceptację zmian.
3. Umowę reguluje prawo polskie. W sprawach nieuregulowanych zastosowanie mają przepisy RODO i Kodeksu Cywilnego.
4. Umowa wchodzi w życie z chwilą akceptacji Regulaminu i wygasa po trwałym usunięciu wszystkich powierzonych danych osobowych.