Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta pomiędzy Klientem korzystającym z usługi Opinka, jako Administratorem, a Łukaszem Matwiejczykiem, prowadzącym działalność gospodarczą pod firmą Hexa Intelligence Łukasz Matwiejczyk, ul. Solec 52 m. 1, 00-382 Warszawa, NIP 525-298-18-62, REGON 527040477, wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, jako Podmiotem przetwarzającym.
2. Umowa jest zawierana w formie elektronicznej z chwilą akceptacji przy zakładaniu konta w serwisie opinka.pl i stanowi część umowy o świadczenie usługi Opinka („Umowa główna”). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
3. Umowa realizuje wymagania art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w tym paragrafie.
2. Kategorie osób: klienci Administratora (Odbiorcy), których numery Administrator wprowadza do serwisu, oraz osoby oceniające wizytę za pomocą Kodu QR.
3. Rodzaje danych: numer telefonu, imię (jeśli Administrator je wprowadzi), data wizyty wynikająca z daty wprowadzenia numeru, ocena wizyty, zaznaczone odpowiedzi, treść uwag, informacja o prośbie o kontakt oraz dane podane dobrowolnie przez Odbiorcę w uwagach. Administrator nie wprowadza do serwisu danych szczególnych kategorii (art. 9 RODO), w szczególności informacji o zdrowiu.
4. Charakter przetwarzania: zbieranie, przechowywanie, szyfrowanie, wysyłanie wiadomości SMS za pośrednictwem operatora bramki SMS, udostępnianie Administratorowi w koncie i w powiadomieniach e-mail, sporządzanie zestawień, pseudonimizacja i usuwanie.
5. Cel przetwarzania: wysłanie Odbiorcy prośby o ocenę wizyty i jednorazowego przypomnienia, umożliwienie mu przekazania oceny i uwag, obsługa rezygnacji z wiadomości oraz przygotowanie dla Administratora statystyk i podsumowań.
6. Czas przetwarzania: przez czas obowiązywania Umowy głównej, z zastrzeżeniem terminów usuwania z § 9.

§ 3. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzanych danych i do kontaktu z Odbiorcami w sprawie wizyty, w tym zgodę wymaganą przez art. 398 Prawa komunikacji elektronicznej, jeśli jest wymagana.
2. Administrator spełnia wobec Odbiorców obowiązek informacyjny z art. 13 RODO. Podmiot przetwarzający udostępnia w tym celu stronę z informacją dla Odbiorców, dostępną ze Strony oceny, którą Administrator może uzupełnić własną informacją.
3. Administrator wydaje polecenia przetwarzania przez korzystanie z funkcji serwisu, w szczególności przez wprowadzenie numeru telefonu, wybór pory wysyłki i ustawienie treści wiadomości. Te czynności stanowią udokumentowane polecenie w rozumieniu art. 28 ust. 3 lit. a RODO.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego. Jeśli polecenie jego zdaniem narusza przepisy o ochronie danych, niezwłocznie informuje o tym Administratora,
2. nie wykorzystuje powierzonych danych do własnych celów, w szczególności do marketingu, i nie łączy ich z danymi innych klientów, z wyjątkiem zachowania skrótu (hash) numeru telefonu na potrzeby obsługi rezygnacji Odbiorcy z wiadomości od danego Administratora,
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy,
4. stosuje środki bezpieczeństwa opisane w § 5,
5. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających opisanych w § 6,
6. pomaga Administratorowi, w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania Odbiorców w zakresie wykonywania ich praw (rozdział III RODO), w szczególności przekazuje Administratorowi żądania skierowane bezpośrednio do Podmiotu przetwarzającego w ciągu 3 dni roboczych,
7. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje,
8. po zakończeniu świadczenia usług usuwa dane zgodnie z § 9,
9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów zgodnie z § 7,
10. prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 5. Środki bezpieczeństwa

Podmiot przetwarzający stosuje co najmniej następujące środki:

1. szyfrowanie numerów telefonów w bazie danych oraz przechowywanie ich w wersji umożliwiającej wyświetlenie wyłącznie ostatnich trzech cyfr w zestawieniach,
2. szyfrowanie transmisji danych (HTTPS/TLS), w tym komunikacji z operatorem bramki SMS,
3. kontrolę dostępu: dostęp do danych w koncie mają wyłącznie Użytkownicy Administratora, a po stronie Podmiotu przetwarzającego wyłącznie upoważnione osoby w zakresie niezbędnym do utrzymania usługi i pomocy technicznej,
4. haszowanie haseł, ochronę przed atakami na formularze i ograniczenie liczby prób logowania,
5. automatyczne usuwanie numerów telefonów po 30 dniach,
6. usuwanie numerów telefonów i adresów e-mail z treści uwag przed ich przekazaniem do modelu sztucznej inteligencji,
7. regularne kopie zapasowe i aktualizacje oprogramowania.

§ 6. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. W dniu zawarcia umowy są to:
   1. LINK Mobility Poland sp. z o.o. (SMSAPI): wysyłka wiadomości SMS. Zakres danych: numer telefonu i treść wiadomości. Przetwarzanie na terenie EOG,
   2. Anthropic PBC, USA: przygotowanie miesięcznych podsumowań. Zakres danych: oceny i treść uwag po usunięciu numerów telefonów i adresów e-mail. Podstawa przekazania: EU-US Data Privacy Framework oraz standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914).
2. Podmiot przetwarzający informuje Administratora mailem o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających co najmniej 14 dni przed zmianą. Administrator może w tym terminie wyrazić sprzeciw, a jeśli strony nie dojdą do porozumienia, rozwiązać Umowę główną ze skutkiem natychmiastowym i otrzymać zwrot proporcjonalnej części opłaty.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Administratora za ich wykonanie.

§ 7. Kontrola i audyt

1. Administrator może żądać informacji o sposobie przetwarzania danych. Podmiot przetwarzający odpowiada w ciągu 14 dni.
2. Administrator może przeprowadzić audyt, samodzielnie lub przez audytora zobowiązanego do zachowania tajemnicy, po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze, w sposób niezakłócający działania usługi. Audyt w pierwszej kolejności przeprowadza się na podstawie dokumentów i wyjaśnień.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Podmiot przetwarzający.

§ 8. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzenie naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, mailem na adres konta.
2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Pozostałe informacje Podmiot przetwarzający przekazuje niezwłocznie, gdy je uzyska.
3. Podmiot przetwarzający podejmuje niezwłocznie działania w celu ograniczenia skutków naruszenia i dokumentuje je.

§ 9. Usuwanie danych

1. Numery telefonów Odbiorców są usuwane automatycznie po 30 dniach od ich wprowadzenia. Anulowanie wysyłki przez Administratora powoduje natychmiastowe usunięcie numeru.
2. Oceny i uwagi Odbiorców, pozbawione numerów telefonów, są przechowywane przez czas obowiązywania Umowy głównej. Administrator może w każdej chwili pobrać je w eksporcie.
3. Po rozwiązaniu Umowy głównej, w tym po usunięciu konta, Podmiot przetwarzający usuwa wszystkie powierzone dane w ciągu 30 dni, w tym z kopii zapasowych w cyklu ich nadpisywania, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie.

§ 10. Odpowiedzialność

Odpowiedzialność stron za szkody wyrządzone przetwarzaniem danych określa art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Regulaminu dotyczące odpowiedzialności.

§ 11. Postanowienia końcowe

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej.
2. W sprawach nieuregulowanych stosuje się RODO, przepisy Kodeksu cywilnego i Regulamin. W razie sprzeczności między Regulaminem a tą umową w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.
3. Zmiany umowy następują w trybie przewidzianym dla zmian Regulaminu.