Niniejsza Umowa powierzenia przetwarzania danych stanowi część Regulaminu Sunset Docs zawartego między klientem a Esteve Castells Calpe, Barcelona, Spain. Ma zastosowanie automatycznie zawsze, gdy Sunset Docs przetwarza Dane Osobowe Klienta w imieniu klienta. Odrębnie podpisana umowa powierzenia ma pierwszeństwo w zakresie, w jakim jest wyraźnie sprzeczna z niniejszym dokumentem.
1. Definicje
RODO oznacza rozporządzenie (UE) 2016/679. Pojęcia administrator, podmiot przetwarzający, dane osobowe, przetwarzanie, osoba, której dane dotyczą, oraz naruszenie ochrony danych osobowych mają znaczenie nadane im w RODO. Dane Osobowe Klienta oznaczają dane osobowe przesłane do przestrzeni roboczej klienta lub w niej wygenerowane, które Sunset Docs przetwarza w imieniu klienta.
Przepisy o Ochronie Danych oznaczają RODO oraz wszelkie inne przepisy o prywatności lub ochronie danych mające zastosowanie do przetwarzania na podstawie niniejszej umowy powierzenia. Pojęcia Usługa i Klient mają znaczenie nadane im w Regulaminie.
2. Role i zakres
Klient jest administratorem albo podmiotem przetwarzającym działającym na rzecz innego administratora. Sunset Docs jest podmiotem przetwarzającym albo dalszym podmiotem przetwarzającym. Każda ze stron wypełnia własne obowiązki wynikające z Przepisów o Ochronie Danych.
Jeśli klient działa jako podmiot przetwarzający, potwierdza, że właściwy administrator zatwierdził jego polecenia i zaangażowanie Sunset Docs. Załącznik 1 opisuje przetwarzanie objęte niniejszą umową powierzenia.
3. Udokumentowane polecenia
Sunset Docs przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie zawarte w Regulaminie, niniejszej umowie powierzenia, konfiguracji usługi przez klienta i uprawnionym korzystaniu z funkcji. Jeśli prawo Unii lub prawo państwa członkowskiego wymaga innego przetwarzania, poinformujemy o tym klienta przed rozpoczęciem przetwarzania, chyba że prawo zabrania udzielania takiej informacji.
Poinformujemy klienta, jeśli naszym zdaniem polecenie narusza Przepisy o Ochronie Danych, i możemy wstrzymać przetwarzanie, którego to dotyczy, do czasu wyjaśnienia sprawy przez strony.
4. Poufność
Każda osoba upoważniona przez Sunset Docs do przetwarzania Danych Osobowych Klienta podlega umownemu lub ustawowemu obowiązkowi zachowania poufności i otrzymuje dostęp tylko wtedy, gdy jest on potrzebny w ramach jej funkcji.
5. Bezpieczeństwo
Sunset Docs stosuje środki techniczne i organizacyjne odpowiednie do ryzyka związanego z przetwarzaniem, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania. Aktualne środki opisano w Załączniku 2.
Możemy aktualizować te środki wraz ze zmianami usługi, pod warunkiem że aktualizacja nie obniża istotnie ogólnego poziomu ochrony Danych Osobowych Klienta.
6. Dalsze podmioty przetwarzające
Klient udziela ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających wskazanych na stronie Podmioty przetwarzające. Co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego, który będzie przetwarzać Dane Osobowe Klienta, powiadomimy o tym klienta. W tym okresie klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych.
Na każdy dalszy podmiot przetwarzający nakładamy obowiązki w zakresie ochrony danych zapewniające zasadniczo równoważną ochronę w odniesieniu do danego przetwarzania. Zgodnie z wymogami prawa odpowiadamy wobec klienta za wykonanie obowiązków przez dalszy podmiot przetwarzający. Jeśli po skutecznym sprzeciwie nie będzie dostępna żadna rozsądna alternatywa, klient może wypowiedzieć umowę w zakresie usługi, której to dotyczy, i otrzymać proporcjonalny zwrot opłat wniesionych z góry za niewykorzystany okres.
7. Żądania osób, których dane dotyczą
Uwzględniając charakter przetwarzania, zapewnimy rozsądną pomoc techniczną i organizacyjną w realizacji żądań dotyczących wykonywania praw osób, których dane dotyczą. Jeśli osoba, której dane dotyczą, zwróci się bezpośrednio do nas w sprawie Danych Osobowych Klienta, bez zbędnej zwłoki przekażemy żądanie klientowi i nie będziemy odpowiadać co do istoty sprawy, chyba że zostaniemy do tego upoważnieni lub zobowiązani przez prawo.
8. Naruszenia ochrony danych osobowych
Bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych Osobowych Klienta powiadomimy o nim klienta. Przekażemy dostępne nam w rozsądnym zakresie informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i wpisów, których dotyczy, prawdopodobnych konsekwencjach oraz zastosowanych lub proponowanych środkach.
Informacje mogą być przekazywane etapami. Nie opóźnimy pierwszego powiadomienia tylko dlatego, że nie znamy jeszcze wszystkich szczegółów, i zapewnimy rozsądną pomoc w wypełnianiu przez klienta obowiązków w zakresie zgłaszania naruszeń i zawiadamiania o nich.
9. Inna pomoc
Uwzględniając charakter przetwarzania i dostępne nam informacje, zapewnimy rozsądną pomoc w wypełnianiu obowiązków dotyczących bezpieczeństwa, przeprowadzaniu ocen skutków dla ochrony danych oraz uprzednich konsultacjach z organami nadzorczymi, jeśli dotyczą one Usługi.
10. Przekazywanie danych do państw trzecich
Przekazanie podlegające ograniczeniom nastąpi wyłącznie na podstawie mechanizmu dopuszczonego w rozdziale V RODO. W zależności od odbiorcy może to być decyzja stwierdzająca odpowiedni stopień ochrony, ramy ochrony danych UE-USA (EU-US Data Privacy Framework), jeśli odbiorca posiada certyfikację, lub standardowe klauzule umowne Komisji Europejskiej, w razie potrzeby z dodatkowymi zabezpieczeniami. Informacje o dostawcach są publikowane na stronie Podmioty przetwarzające.
11. Informacje i audyty
Udostępnimy informacje rozsądnie niezbędne do wykazania przestrzegania art. 28 RODO, w tym odpowiedzi na proporcjonalne pisemne pytania dotyczące bezpieczeństwa. Klient może przeprowadzać audyt nie częściej niż raz na 12 miesięcy, z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy, na własny koszt i z zachowaniem poufności, bez zakłócania usługi i bez dostępu do danych innych klientów.
Ograniczenia częstotliwości i terminu uprzedzenia nie obowiązują po podejrzewanym naruszeniu, w razie wiarygodnych dowodów istotnej niezgodności lub na żądanie organu nadzorczego. Przed audytem na miejscu należy przeprowadzić przegląd dokumentacji, jeśli może on w rozsądnym zakresie zaspokoić żądanie.
12. Zwrot i usunięcie
Skonfigurowany harmonogram usuwania stanowi stałe udokumentowane polecenie i nie ulega przedłużeniu w wyniku anulowania subskrypcji. Klient może usunąć dane wcześniej. Przed zakończeniem przetwarzania klient może pobrać oryginały, dla których właściciel włączył pobieranie, lub zażądać rozsądnego eksportu aktywnych Danych Osobowych Klienta na poziomie usługi.
Po zakończeniu przetwarzania klient może polecić nam zwrot i usunięcie aktywnych Danych Osobowych Klienta albo ich usunięcie bez zwrotu, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie. Jeśli klient nie wyda innego polecenia, istniejące harmonogramy usuwania pozostają w mocy. Pozostałości w zaszyfrowanych kopiach zapasowych bazy danych wygasają w ciągu 30 dni i do czasu usunięcia pozostają chronione.
Minimalne zapisy o usunięciu i zapisy audytowe bez treści mogą być przechowywane przez 12 miesięcy w celach bezpieczeństwa i rozliczalności. Na pisemne żądanie potwierdzimy zakończenie odpowiedniego procesu usuwania.
13. Odpowiedzialność
Do niniejszej umowy powierzenia mają zastosowanie postanowienia Regulaminu dotyczące odpowiedzialności. Nie ograniczają one praw osób, których dane dotyczą, uprawnień organów nadzorczych ani odpowiedzialności, której Przepisy o Ochronie Danych nie pozwalają stronom wyłączyć ani ograniczyć.
14. Okres obowiązywania i pierwszeństwo
Niniejsza umowa powierzenia obowiązuje tak długo, jak Sunset Docs przetwarza Dane Osobowe Klienta. W sprawach ochrony danych ma pierwszeństwo przed Regulaminem. Zmiany umowy powierzenia odbywają się zgodnie z procedurą zmian określoną w Regulaminie, z tym że zmiana wymagana przez prawo może wejść w życie wcześniej, po uprzednim zawiadomieniu.
Załącznik 1: Szczegóły przetwarzania
Przedmiot: świadczenie i obsługa usługi przyjmowania dokumentów Sunset Docs. Czas trwania: okres obowiązywania umowy powiększony o każdy skonfigurowany okres usuwania, ewentualny uzgodniony okres eksportu oraz cykl chronionych kopii zapasowych.
Charakter i cele: odbieranie, walidacja, skanowanie w poszukiwaniu złośliwego oprogramowania, szyfrowanie, przechowywanie, generowanie podglądów, wyświetlanie, powiadamianie, drukowanie, jeśli jest włączone, umożliwianie pobierania oryginałów za zgodą właściciela, rejestrowanie w dzienniku audytu i usuwanie tymczasowych dokumentów.
Osoby, których dane dotyczą: nadawcy dokumentów, użytkownicy i personel klienta, jego klienci, wykonawcy, dostawcy oraz inne osoby, których informacje znajdują się w przesłanych dokumentach. Dane osobowe mogą obejmować imiona i nazwiska, dane kontaktowe, dane identyfikacyjne, informacje biznesowe, zawodowe i finansowe, treść dokumentów, nazwy plików, adres e-mail nadawcy, metadane, dane bezpieczeństwa pochodzące z adresów IP oraz historię dostępu.
Przetwarzanie szczególnych kategorii danych i danych wysokiego ryzyka nie jest zamierzone ani dozwolone, chyba że uzgodniono to odrębnie na piśmie. Klient nie może przesyłać danych dzieci, danych dotyczących wyroków skazujących, pełnych danych kart płatniczych, danych logowania, sekretów ani danych, do których przetwarzania nie jest prawnie uprawniony.
Załącznik 2: Środki techniczne i organizacyjne
Środki obejmują szyfrowanie obiektów dokumentów na poziomie aplikacji algorytmem AES-256-GCM; osobno opakowane klucze dla każdego dokumentu; TLS podczas przesyłania; prywatną infrastrukturę; prywatną zaszyfrowaną replikę w R2; kontrolę dostępu do przestrzeni roboczych; opcjonalną weryfikację dwuetapową TOTP; haszowanie haseł algorytmem Argon2id; bezpieczne sesje i ochronę przed CSRF; kwarantannę, walidację zawartości i skanowanie w poszukiwaniu złośliwego oprogramowania.
Środki obejmują również krótkotrwałą autoryzację podglądu; restrykcyjne ustawienia pamięci podręcznej; niepubliczne ścieżki obiektów; rejestrowanie istotnych działań na dokumentach; określony okres przechowywania kopii zapasowych; usuwanie zaplanowane i ręczne; ograniczony dostęp produkcyjny; obowiązki zachowania poufności; weryfikację dostawców oraz procedury reagowania na incydenty.
Załącznik 3: Dalsze podmioty przetwarzające
Aktualne dalsze podmioty przetwarzające, cele, kategorie danych, regiony przetwarzania i zabezpieczenia przekazywania danych są publikowane pod adresem sunsetdocs.com/subprocessors. Częścią niniejszego Załącznika w odniesieniu do Danych Osobowych Klienta są wyłącznie dostawcy wskazani tam jako dalsze podmioty przetwarzające.
15. Kontakt
Pytania, sprzeciwy, potwierdzenia usunięcia i podpisane egzemplarze można uzyskać pod adresem [email protected].