Umowa powierzenia przetwarzania danych

Załącznik nr 1 do Regulaminu usługi NOXTI (art. 28 RODO). Zawierana przez akceptację w Panelu razem z Regulaminem albo przez podpis razem z Zamówieniem indywidualnym.

Strony

Administrator („Klient"): przedsiębiorca, który zawarł z NOXTI umowę o korzystanie z Systemu na podstawie Regulaminu usługi NOXTI (dalej: Umowa).

Podmiot przetwarzający („NOXTI"): NOXTI spółka z ograniczoną odpowiedzialnością z siedzibą w Białymstoku, ul. Wiejska 68A lok. 6, 15-352 Białystok, KRS 0001270391, NIP 5423520749, adres biura i do korespondencji: ul. Bitwy Białostockiej 14, 15-103 Białystok, e-mail: hello@noxti.com.

Pojęcia zdefiniowane w Regulaminie mają tu to samo znaczenie. Dane to dane osobowe, które NOXTI przetwarza w imieniu Klienta (Załącznik 1).

§ 1. Przedmiot

1. Klient powierza NOXTI przetwarzanie Danych w zakresie i celu z Załącznika 1, wyłącznie w celu świadczenia usługi z Umowy.
2. Klient oświadcza, że ma podstawę prawną do przetwarzania Danych i ich powierzenia. Klient nie wprowadza do Systemu danych szczególnych kategorii (art. 9 i 10 RODO).

§ 2. Obowiązki NOXTI

NOXTI:

1. przetwarza Dane wyłącznie na udokumentowane polecenie Klienta, także co do przekazywania Danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada prawo Unii lub prawo polskie – wtedy informuje o nim Klienta przed rozpoczęciem przetwarzania, o ile prawo na to pozwala. Poleceniem są Umowa, ta umowa oraz ustawienia i Integracje skonfigurowane przez Klienta w Panelu. Jeśli polecenie w ocenie NOXTI narusza przepisy o ochronie danych, NOXTI niezwłocznie informuje o tym Klienta;
2. dopuszcza do Danych tylko osoby upoważnione, które zobowiązały się do zachowania poufności;
3. stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w Załączniku 2;
4. korzysta z dalszych podmiotów przetwarzających na zasadach § 3;
5. pomaga Klientowi, w miarę możliwości, w odpowiadaniu na żądania osób, których Dane dotyczą; żądanie skierowane do NOXTI przekazuje Klientowi bez zbędnej zwłoki;
6. pomaga Klientowi, uwzględniając charakter przetwarzania i dostępne informacje, w wywiązaniu się z obowiązków z art. 32–36 RODO;
7. po zakończeniu Umowy usuwa lub zwraca Dane na zasadach § 5;
8. udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach § 6.

§ 3. Dalsze podmioty przetwarzające

1. Klient udziela ogólnej zgody na korzystanie z podmiotów wymienionych na Liście podwykonawców (Załącznik nr 2 do Regulaminu).
2. O zamiarze dodania lub zmiany podmiotu NOXTI informuje Klienta e-mailem co najmniej 14 dni wcześniej. Klient może w tym terminie zgłosić sprzeciw. Jeśli Strony nie znajdą rozwiązania, Klient może wypowiedzieć Umowę ze skutkiem na dzień zmiany.
3. NOXTI nakłada na każdy dalszy podmiot przetwarzający obowiązki ochrony danych odpowiadające tej umowie i odpowiada za niego wobec Klienta jak za siebie.
4. Dostawcy zewnętrzni, których Klient podłączył w Panelu (marketplace'y, przewoźnicy, systemy Klienta), nie są dalszymi podmiotami przetwarzającymi NOXTI. Przekazanie im Danych następuje na polecenie Klienta.

§ 4. Naruszenia ochrony danych

1. NOXTI zawiadamia Klienta o naruszeniu ochrony Danych bez zbędnej zwłoki po jego stwierdzeniu, e-mailem do Administratorów Klienta.
2. Zawiadomienie zawiera informacje z art. 33 ust. 3 RODO, w miarę ich dostępności; informacje mogą być przekazywane etapami.
3. O zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób decyduje Klient. NOXTI przekazuje informacje potrzebne do tych czynności.

§ 5. Zakończenie przetwarzania

1. Po zakończeniu Umowy Klient pobiera Dane w terminach z § 14 Regulaminu.
2. Następnie NOXTI usuwa Dane w ciągu 30 dni. Kopie zapasowe są usuwane w cyklu ich rotacji. Na żądanie Klienta NOXTI potwierdza usunięcie e-mailem.
3. NOXTI może zachować Dane, jeśli wymaga tego prawo Unii lub prawo polskie.

§ 6. Informacje i audyt

1. NOXTI odpowiada na pytania Klienta dotyczące ochrony Danych i udostępnia dokumentację potrzebną do wykazania zgodności z art. 28 RODO.
2. Jeśli to nie wystarcza, Klient może przeprowadzić audyt, także przez audytora zobowiązanego do poufności: nie częściej niż raz w roku (poza audytem po naruszeniu lub na żądanie organu), po zapowiedzi z 30-dniowym wyprzedzeniem, na własny koszt i bez dostępu do danych innych klientów.

§ 7. Przekazywanie Danych poza EOG

Dane są przechowywane w Polsce. Przekazanie Danych poza EOG następuje tylko do podmiotów z Listy podwykonawców, na podstawie w niej wskazanej.

§ 8. Odpowiedzialność i postanowienia końcowe

1. Do odpowiedzialności Stron stosuje się § 12 Regulaminu.
2. Umowa obowiązuje przez czas Umowy i do usunięcia Danych. Jej forma elektroniczna spełnia wymóg z art. 28 ust. 9 RODO.
3. W sprawach danych osobowych ta umowa ma pierwszeństwo przed Regulaminem. Stosuje się prawo polskie.

Załącznik 1. Opis przetwarzania

Załącznik 2. Środki bezpieczeństwa

1. Połączenia wyłącznie szyfrowane; ruch filtrowany przez zaporę aplikacyjną i ochronę przed atakami.
2. Hasła przechowywane jako skróty; uwierzytelnianie dwuskładnikowe; kontrola sesji.
3. Role i uprawnienia Użytkowników; rozdzielenie danych klientów; dziennik zmian.
4. Klucze dostępowe do Integracji przechowywane w postaci zaszyfrowanej.
5. Regularne kopie zapasowe przechowywane w Polsce, poza serwerem produkcyjnym.
6. Dostęp do systemów produkcyjnych tylko dla upoważnionych osób zobowiązanych do poufności.