Umowa powierzenia przetwarzania danych osobowych

§1. Strony i status

1. Administratorem jest Użytkownik korzystający z Usługi w zakresie, w jakim samodzielnie ustala cele i sposoby przetwarzania danych osobowych przekazywanych do DeliverIQ, w szczególności adresów e-mail osób trzecich („Administrator”).
2. Procesorem jest SNP GROUP Spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, ul. Antoniego Edwarda Odyńca 73 / 89, 02-644 Warszawa, KRS 0001047532, NIP 5214028145, REGON 525866411 („Procesor”).
3. Umowa Powierzenia ma zastosowanie wyłącznie, gdy Użytkownik przekazuje do Usługi dane osobowe osób trzecich, a Procesor przetwarza je w imieniu Użytkownika. Nie zmienia ona statusu Procesora jako odrębnego administratora danych Konta, rozliczeń, komunikacji z Użytkownikiem, bezpieczeństwa i innych danych przetwarzanych przez Procesora we własnych celach, opisanych w Polityce prywatności.
4. Administrator oświadcza, że posiada podstawę prawną i wszelkie uprawnienia niezbędne do przetwarzania i przekazania danych osobowych do Usługi oraz do wydawania Procesorowi poleceń zgodnie z Umową Powierzenia.
5. Niniejsza Umowa Powierzenia jest zawierana wraz z umową o świadczenie Usługi na zasadach Regulaminu. Akceptacja Regulaminu obejmuje akceptację DPA, gdy spełnione są warunki wskazane w ust. 3.

§2. Przedmiot i czas trwania powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych wyłącznie w celu świadczenia Usługi, w szczególności technicznej walidacji adresów e-mail w trybie Single i Bulk, udostępnienia wyników, obsługi Konta, zapewnienia bezpieczeństwa i wykonania poleceń Administratora realizowanych poprzez funkcjonalności Usługi.
2. Zakres powierzenia, rodzaje danych, kategorie osób, charakter przetwarzania i czas jego trwania określa Załącznik nr 1 do DPA.
3. Powierzenie trwa przez okres obowiązywania umowy o świadczenie Usługi oraz przez czas technicznie niezbędny do zakończenia przetwarzania, usunięcia danych lub wykonania obowiązku prawnego, z zastrzeżeniem §10.

§3. Polecenia Administratora

1. Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym polecenia wynikające z korzystania z funkcjonalności Usługi, Regulaminu, niniejszej Umowy Powierzenia oraz instrukcji przekazanych przez Administratora przez formularz kontaktowy.
2. Procesor może przetwarzać dane inaczej niż na polecenie Administratora wyłącznie, gdy wymaga tego prawo Unii Europejskiej lub prawo polskie, któremu Procesor podlega. W takim przypadku Procesor poinformuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania przekazania takiej informacji z uwagi na ważny interes publiczny.
3. Jeżeli zdaniem Procesora polecenie narusza RODO lub inne przepisy o ochronie danych, Procesor niezwłocznie poinformuje o tym Administratora, o ile jest to prawnie dopuszczalne.
4. Administrator odpowiada za zgodność poleceń oraz konfiguracji i sposobu korzystania z Usługi z prawem, w tym za minimalizację danych, dobór danych przekazywanych do walidacji i realizację obowiązków informacyjnych wobec osób, których dane dotyczą.

§4. Obowiązki Procesora

1. Procesor zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi poufności.
2. Procesor prowadzi działania w zakresie niezbędnym do zapewnienia zgodności przetwarzania z art. 28 RODO oraz z niniejszą Umową Powierzenia.
3. Procesor nie wykorzystuje danych powierzonych do własnych celów marketingowych, budowania niezależnych baz kontaktowych ani podejmowania decyzji wobec osób, których dane dotyczą.
4. Procesor zapewnia, że dostęp do danych powierzonych jest ograniczony do osób i systemów, dla których jest niezbędny do realizacji Usługi.

§5. Bezpieczeństwo i poufność

1. Procesor wdraża odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.
2. Środki bezpieczeństwa są dostosowywane do architektury Usługi i mogą obejmować w szczególności: kontrolę dostępu, uwierzytelnianie, szyfrowanie transmisji, segmentację uprawnień, zabezpieczenia aplikacyjne, mechanizmy ochrony przed nadużyciami, kopie zapasowe, monitoring dostępności, procedury aktualizacji oraz zasady retencji danych.
3. Administrator przyjmuje do wiadomości, że adres e-mail może stanowić dane osobowe, a wynik walidacji ma charakter techniczny. Administrator nie powinien przekazywać do Usługi danych szczególnych kategorii, danych dotyczących wyroków skazujących i czynów zabronionych ani innych danych, które nie są konieczne do walidacji adresów e-mail.
4. Procesor dokonuje okresowego przeglądu adekwatności środków bezpieczeństwa i może je aktualizować, jeżeli nie obniża to poziomu ochrony wymaganego przepisami prawa i Umową Powierzenia.

§6. Podprocesorzy

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających („Podprocesorzy”) w zakresie koniecznym do świadczenia Usługi, w szczególności dostawców hostingu, infrastruktury serwerowej, baz danych, przechowywania danych, kopii zapasowych, monitoringu, bezpieczeństwa i wsparcia technicznego.
2. Procesor zapewnia, aby Podprocesor był związany obowiązkami ochrony danych co najmniej równoważnymi z obowiązkami wynikającymi z niniejszej Umowy Powierzenia, w szczególności w zakresie poufności, bezpieczeństwa i dalszego powierzenia.
3. Aktualne kategorie Podprocesorów są opisane w Polityce prywatności. Jeżeli Procesor zamierza dodać lub zastąpić Podprocesora w sposób mogący istotnie wpłynąć na przetwarzanie danych powierzonych, poinformuje Administratora z odpowiednim wyprzedzeniem poprzez Konto lub aktualizację dokumentacji. Administrator może zgłosić uzasadniony sprzeciw przez formularz kontaktowy w terminie 14 dni od otrzymania informacji.
4. W razie uzasadnionego sprzeciwu Strony podejmą próbę uzgodnienia rozwiązania. Jeżeli nie będzie to możliwe, Administrator może zaprzestać korzystania z funkcjonalności wymagającej udziału danego Podprocesora, a jeżeli nie jest to racjonalnie możliwe — rozwiązać umowę w zakresie, którego dotyczy istotna zmiana, bez ponoszenia opłat za niewykorzystany okres po dacie skuteczności rozwiązania.
5. Procesor pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków ochrony danych przez Podprocesora w zakresie wymaganym przez przepisy prawa.

§7. Pomoc Administratorowi

1. Uwzględniając charakter przetwarzania i informacje dostępne Procesorowi, Procesor pomaga Administratorowi, w odpowiednim zakresie, w realizacji obowiązków dotyczących odpowiedzi na żądania osób, których dane dotyczą.
2. Jeżeli Procesor otrzyma żądanie osoby, którego treść dotyczy danych powierzonych przez Administratora, przekaże je Administratorowi bez zbędnej zwłoki, o ile jest to prawnie dopuszczalne i technicznie możliwe. Procesor nie odpowiada na takie żądanie merytorycznie w imieniu Administratora, chyba że Administrator wyda odrębne, udokumentowane polecenie.
3. Procesor pomaga Administratorowi — w zakresie adekwatnym do roli Procesora i dostępnych informacji — w realizacji obowiązków z art. 32–36 RODO, w tym przy ocenie ryzyka, zgłaszaniu naruszeń, ocenie skutków dla ochrony danych i uprzednich konsultacjach.

§8. Naruszenia ochrony danych osobowych

1. W razie stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych powierzonych Procesor powiadomi Administratora bez zbędnej zwłoki po uzyskaniu wiarygodnej informacji o naruszeniu.
2. Powiadomienie będzie zawierało informacje dostępne Procesorowi i potrzebne Administratorowi do oceny naruszenia, w szczególności opis charakteru naruszenia, przybliżone kategorie i liczbę osób oraz rekordów danych, możliwe konsekwencje i podjęte albo planowane działania zaradcze. Jeżeli przekazanie wszystkich informacji jednocześnie nie jest możliwe, Procesor będzie je przekazywał etapami.
3. Procesor nie składa zgłoszenia naruszenia do organu nadzorczego ani nie zawiadamia osób, których dane dotyczą, w imieniu Administratora, chyba że obowiązek taki wynika bezpośrednio z prawa albo Administrator wyda odrębne pisemne polecenie.

§9. Audyty i informacje

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, z uwzględnieniem ochrony tajemnic przedsiębiorstwa, bezpieczeństwa systemów i praw innych klientów.
2. Administrator ma prawo przeprowadzić audyt zgodności Procesora z niniejszą Umową Powierzenia nie częściej niż raz w roku kalendarzowym, chyba że uzasadnione podejrzenie naruszenia lub wiążące żądanie organu wymaga częstszego audytu.
3. Audyt wymaga zgłoszenia co najmniej 30 dni wcześniej, powinien być prowadzony w godzinach roboczych oraz nie może w nieuzasadniony sposób zakłócać działania Usługi ani naruszać bezpieczeństwa lub poufności informacji innych klientów. Administrator i audytor są zobowiązani do zachowania poufności.
4. Procesor może w pierwszej kolejności udostępnić aktualną dokumentację, wyniki niezależnych audytów, certyfikaty lub odpowiedzi na kwestionariusz bezpieczeństwa, jeżeli pozwala to racjonalnie zweryfikować zgodność bez audytu na miejscu.
5. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie niniejszej Umowy Powierzenia przez Procesora.

§10. Zwrot i usunięcie danych

1. Po zakończeniu świadczenia Usługi albo na udokumentowane żądanie Administratora Procesor, według wyboru Administratora i w zakresie technicznie możliwym, zwróci albo usunie dane osobowe powierzone do przetwarzania, chyba że prawo Unii Europejskiej lub prawo polskie nakłada na Procesora obowiązek ich dalszego przechowywania.
2. Pliki wejściowe Bulk są usuwane po zakończeniu etapu odczytu i przetworzenia. Pliki wynikowe Bulk są dostępne przez okres wskazany w Usłudze, obecnie co do zasady przez 7 dni od zakończenia zadania, po czym są usuwane zgodnie z mechanizmami retencji.
3. Techniczne wpisy cache walidacji mogą być przechowywane przez ograniczony czas, obecnie co do zasady do 30 dni dla trybu Light i do 14 dni dla trybu Deep. Cache wykorzystuje identyfikator HMAC zamiast jawnego adresu e-mail jako klucza wyszukiwania, lecz może nadal podlegać ochronie jako informacja związana z danymi osobowymi.
4. Usunięcie z aktywnych systemów nie musi oznaczać natychmiastowego usunięcia z kopii zapasowych; dane w kopiach zapasowych pozostają zabezpieczone i nie są aktywnie przetwarzane, a następnie są nadpisywane lub usuwane zgodnie z cyklem retencji kopii zapasowych.

§11. Transfery poza EOG

1. Procesor nie przekazuje danych powierzonych poza Europejski Obszar Gospodarczy, chyba że Administrator wyda udokumentowane polecenie albo transfer jest niezbędny w związku z korzystaniem z zatwierdzonego Podprocesora i odbywa się zgodnie z rozdziałem V RODO.
2. Jeżeli transfer poza EOG będzie wymagany, Procesor zapewni zastosowanie odpowiedniego mechanizmu legalizującego transfer, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych lub innego mechanizmu dopuszczonego przez RODO.

§12. Postanowienia końcowe

1. W sprawach nieuregulowanych DPA stosuje się Regulamin oraz przepisy RODO i prawa polskiego.
2. W razie sprzeczności między DPA a Regulaminem, w zakresie przetwarzania danych osobowych powierzonych przez Administratora, pierwszeństwo mają postanowienia DPA.
3. Zmiana DPA może być dokonana zgodnie z zasadami zmiany Regulaminu. Zmiany wymagane przepisami prawa lub dotyczące bezpieczeństwa mogą zostać wprowadzone w terminie koniecznym do zachowania zgodności i bezpieczeństwa Usługi.
4. Kontakt w sprawach związanych z DPA jest możliwy przez formularz kontaktowy.

Załącznik nr 1 — opis przetwarzania danych