UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Umowa powierzenia przetwarzania danych osobowych zawarta w dniu [DATA] w [MIEJSCOWOŚĆ] pomiędzy:

Powierzający: [NAZWA FIRMY KLIENTA], z siedzibą w [ADRES], zarejestrowana pod numerem [NUMER REJESTRU, NP. KRS/NIP], reprezentowana przez [IMIĘ I NAZWISKO OSOBY REPREZENTUJĄCEJ], zwaną dalej „Administratorem”,

Podmiot przetwarzający: CONTRACTORS.ES SP. Z O.O. z siedzibą w Zielonce, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Bydgoszczy, XIII Wydział Gospodarczy KRS, pod numerem KRS 0001219274, NIP 5543043884, REGON 543878653, reprezentowana przez prezesa zarządu Pawła Bukowskiego, zwaną dalej „Podmiotem przetwarzającym”.

Umowa powierzenia jest integralną częścią Warunków świadczenia usługi i wiąże strony niezależnie od jej osobnego podpisania. Obowiązuje od dnia 2026-10-31.

§ 1. Przedmiot i cel umowy

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w związku z korzystaniem przez Administratora z usługi Contractors.es, na zasadach określonych w niniejszej Umowie oraz w Warunkach świadczenia usługi.
2. Podmiot przetwarzający przetwarza dane osobowe wyłącznie w zakresie i celu niezbędnym do prawidłowego świadczenia usługi.
3. Umowa zawiera wszystkie obowiązki wynikające z art. 28 ust. 1, 2, 3 i 4 RODO.

§ 2. Charakter i cel przetwarzania

1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych podwykonawcom.
2. Podmiot przetwarzający nie określa samodzielnie celów ani środków przetwarzania.
3. Podmiot przetwarzający przetwarza dane osobowe w celu świadczenia usługi, jej utrzymania, zabezpieczania, tworzenia kopii zapasowych oraz wsparcia technicznego, a w zakresie funkcji AI — w celu realizacji funkcji Usługi korzystających z modeli sztucznej inteligencji, w szczególności w celu rozpoznawania tekstu w dokumentach, dopasowywania materiałów oraz wyceny i magazynu, a w zakresie Czat Pomocy — w celu świadczenia pomocy do aplikacji.
4. Podmiot przetwarzający nie przetwarza danych osobowych w celu trenowania modeli ani w celach marketingowych ani własnych analitycznych. Dane osobowe i wyniki przetwarzania nie służą do tworzenia przez Podmiot przetwarzający statystyk użytkowania.
5. Funkcje AI mogą być rozszerzane o kolejne funkcje Usługi. Dodanie funkcji AI ani zmiana sposobu działania funkcji AI nie wymaga zmiany niniejszej Umowy, o ile dane przetwarzane w ramach funkcji AI pozostają w granicach wskazanych w § 3 ust. 1, a cel przetwarzania, podwykonawca AI, lokalizacja przetwarzania oraz podstawa ewentualnego przekazywania poza Europejskim Obszarem Gospodarczym pozostają bez zmiany. Podmiot przetwarzający informuje Administratora o takiej zmianie w sposób zwyczajowo przyjęty dla Usługi. Zmiana podwykonawcy AI podlega § 5.

§ 3. Zakres przetwarzania

1. Przedmiot przetwarzania: dane osobowe wprowadzone przez Administratora lub jego Uprawnionych Użytkowników do usługi Contractors.es albo przekazane w ramach funkcji Usługi, obejmujące w szczególności:
   1. dane pracowników, współpracowników i podwykonawców: imiona i nazwiska, adresy, adresy e-mail, numery telefonów, numery identyfikacyjne, numery rachunków, informacje o wynagrodzeniu, uprawnienia i szkolenia, przynależność do organizacji, uprawnienia do kierowania pojazdami, ewidencja czasu pracy, lokalizacja;
   2. dane dotyczące badań okresowych: wyłącznie informację o zdolności do pracy, bez wyników badań — dane tych osób nie mogą być przekazywane do funkcji AI;
   3. dane klientów, kontrahentów i dostawców Administratora: dane identyfikacyjne, kontaktowe i handlowe;
   4. dane dotyczące projektów budowlanych, obejmujące dokumentację projektową, umowy, faktury, protokoły odbioru, zdjęcia z placu budowy oraz inne dokumenty i pliki wprowadzone przez Administratora;
   5. dane przekazywane w celu realizacji funkcji AI: treść dokumentów i plików wprowadzanych przez Administratora, w tym dokumentów poddanych rozpoznaniu tekstu, oraz dane handlowe Administratora, w tym pozycje cennika i wykazu materiałów, wyłącznie w zakresie niezbędnym do wykonania polecenia przetwarzania;
   6. dane przekazywane w celu realizacji Czat Pomocy w aplikacji: treść rozmowy, dane podane przez użytkownika w formularzu czatu oraz dane techniczne — adres IP, dane urządzenia i przeglądarki.
2. Kategorie osób, których dane dotyczą: pracownicy, współpracownicy, podwykonawcy, kandydaci do pracy, klienci, kontrahenci, dostawcy, osoby trzecie uczestniczące w realizacji projektów budowlanych, osoby widoczne na zdjęciach z placu budowy oraz osoby kontaktujące się z pomocą techniczną za pośrednictwem Czat Pomocy w aplikacji.
3. Dane szczególnych kategorii oraz dane o niekaralności: Podmiot przetwarzający przetwarza wyłącznie dane, o których mowa w ust. 1 pkt 1–6. Podmiot przetwarzający nie przetwarza danych szczególnych kategorii, o których mowa w art. 9 RODO, ani danych o niekaralności, o których mowa w art. 10 RODO. Administrator nie powinien przekazywać funkcjom AI dokumentów zawierających dane tych kategorii. Czat Pomocy jest kanałem wolnego tekstu i nie podlega automatycznej kontroli treści — Administrator nie powinien przekazywać w rozmowie danych szczególnych kategorii ani danych o niekaralności.
4. Źródło danych: Administrator oraz osoby, których dane dotyczą. Administrator przekazuje Podmiotowi przetwarzającemu instrukcje w formie pisemnej lub elektronicznej, w tym przez udokumentowane ustawienia usługi.
5. Czas trwania: przez okres obowiązywania Warunków, a w zakresie kopii zapasowych — przez okres retencji określony w § 9.
6. Częstotliwość: przetwarzanie ciągłe.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się, że:

1. przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych podwykonawcom, z wyjątkiem przypadków, gdy obowiązek przetwarzania wynika z prawa Unii lub prawa państwa członkowskiego; w takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku przed przetwarzaniem, chyba że prawo zabrania ujawnienia informacji;
2. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO; w takim przypadku Podmiot przetwarzający ma prawo odmówić wykonania polecenia do czasu rozstrzygnięcia sprawy;
3. zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności;
4. stosuje środki bezpieczeństwa opisane w Załączniku nr 2 do niniejszej Umowy, uwzględniając stan wiedzy, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, tak aby zapewnić stopień bezpieczeństwa odpowiedni do ryzyka;
5. przestrzega warunków podpowierzenia określonych w § 5;
6. uwzględniając charakter przetwarzania oraz dostępne Podmiotowi przetwarzającemu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO. Pomoc udzielana jest w miarę możliwości, w razie potrzeby i na pisemny wniosek Administratora, w zakresie, w jakim Podmiot przetwarzający dysponuje odpowiednimi informacjami, i polega w szczególności na:
   1. udostępnieniu informacji o przetwarzaniu prowadzonym przez Podmiot przetwarzającym, w tym o jego charakterze, celach i zakresie, o kategoriach danych osobowych i osób, których dane dotyczą, oraz o podwykonawcach;
   2. udostępnieniu dokumentacji środków bezpieczeństwa, o których mowa w Załączniku nr 2, oraz informacji o wynikach ich przeglądu;
   3. udostępnieniu informacji o okolicznościach naruszenia ochrony danych osobowych, o których mowa w § 7, w zakresie niezbędnym do sporządzenia przez Administratora zgłoszenia lub zawiadomienia;
   4. wsparciu technicznym Administratora w identyfikacji danych przetwarzanych przez Podmiot przetwarzającym w odpowiedzi na żądania osób, których dane dotyczą. Pomoc nie obejmuje doradztwa prawnego, sporządzania oceny skutków dla ochrony danych ani innych analiz prawnych, oceny zgodności przetwarzania Administratora z RODO, przygotowywania zawiadomień do osób, których dane dotyczą, ani do organu nadzorczego, ani reprezentowania Administratora przed organem nadzorczym. Administrator pozostaje odpowiedzialny za sporządzenie oceny skutków dla ochrony danych oraz za realizację obowiązków, o których mowa w art. 32–36 RODO.
7. w miarę możliwości, na pisemny wniosek Administratora, pomaga Administratorowi odpowiedzieć na żądania osoby, której dane dotyczą, w zakresie, w jakim są związane z przetwarzaniem przez Podmiot przetwarzający, poprzez udostępnienie Administratorowi danych przetwarzanych przez Podmiot przetwarzającym, które są niezbędne do odpowiedzi na żądanie. W przypadku gdy uzyskanie danych wymaga współpracy podwykonawcy, Podmiot przetwarzający informuje Administratora bez zbędnej zwłoki po powzięciu wiadomości o żądaniu, wraz z przewidywanym terminem udostępnienia danych;
8. po zakończeniu świadczenia usługi usuwa lub zwraca dane osobowe zgodnie z § 9;
9. udostępnia Administratorowi wszystkie informacje niezbędne do wykazania zgodności z obowiązkami z art. 28 ust. 3 RODO oraz umożliwia i współuczestniczy w audytach zgodnie z § 8;
10. dokumentuje prowadzone przetwarzanie w zakresie, w jakim jest to wymagane, oraz dokumentuje zastosowane środki bezpieczeństwa.

§ 5. Podpowierzenie przetwarzania

1. Podmiot przetwarzający powierza przetwarzanie danych osobowych podwykonawcom wyłącznie w zakresie niezbędnym do realizacji usługi.
2. Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej autoryzacji podpowierzenia przetwarzania podwykonawcom wymienionym w Załączniku nr 3 do niniejszej Umowy.
3. Wykaz podwykonawców wraz z lokalizacją przetwarzania i podstawą przekazywania danych poza Europejskim Obszarem Gospodarczym stanowi treść Załącznika nr 3.
4. Podmiot przetwarzający informuje Administratora o zamiarze powierzenia przetwarzania nowemu podwykonawcy co najmniej 30 dni przed powierzeniem, wskazując jego dane, zakres przetwarzania, lokalizację oraz podstawę ewentualnego przekazywania poza Europejskim Obszarem Gospodarczym.
5. Administrator może w terminie 30 dni od otrzymania informacji wnieść pisemny sprzeciw. W takim przypadku strony podejmują negocjacje w celu znalezienia rozwiązania.
6. Jeżeli uwzględnienie sprzeciwu nie jest możliwe albo strony nie dojdą do porozumienia w wyniku negocjacji, Podmiot przetwarzający dokonuje zmiany podwykonawcy opisanej w powiadomieniu, o którym mowa w ust. 4. Podział Administratorów pomiędzy różnych podwykonawców dla tej samej funkcji nie jest możliwy. Administrator może wypowiedzieć niniejszą Umowę i Warunki świadczenia usługi ze skutem na koniec bieżącego okresu rozliczeniowego; w przypadku wypowiedzenia z tej przyczyny Opłaty uiszczone z góry nie podlegają zwrotowi.
7. Podmiot przetwarzający zawiera z każdym podwykonawcą umowę nakładającą obowiązki ochrony danych na poziomie nie niższym niż wynikający z niniejszej Umowy, w szczególności zobowiązanie do poufności, zapewnienie odpowiedniego poziomu bezpieczeństwa oraz usunięcie danych po zakończeniu przetwarzania.
8. Podmiot przetwarzający pozostaje odpowiedzialny wobec Administratora za wywiązanie się przez podwykonawcę z obowiązków ochrony danych.
9. W umowach z podwykonawcami Podmiot przetwarzający uwzględnia obowiązek niewykorzystywania danych osobowych do trenowania modeli oraz obowiązek niewykorzystywania ich do własnych celów analitycznych i marketingowych. Podmiot przetwarzający wyłącza w ustawieniach konta podwykonawcy AI wykorzystanie danych do trenowania modeli, utrzymuje to wyłączenie oraz informuje Administratora o każdej zmianie ustawień podwykonawcy, która mogłaby prowadzić do takiego wykorzystania.

§ 6. Przekazywanie danych osobowych poza Europejskim Obszar Gospodarczym

1. Wariant europejski świadczenia usługi przewiduje przechowywanie i przetwarzanie danych osobowych w Unii Europejskiej. Przekazywanie danych osobowych poza Europejskim Obszarem Gospodarczym w tym wariancie zachodzi wyłącznie w zakresie: (i) dostępu podwykonawcy przechowującego pliki — Akamai Technologies (Linode) — do przechowywanych plików z terytorium Stanów Zjednoczonych oraz przekazywania tych plików podwykonawcom podwykonawcy; (ii) przetwarzania danych Czat Pomocy, o których mowa w ust. 5; (iii) przetwarzania przez podwykonawców spoza Europejskiego Obszaru Gospodarczego w ramach ich własnych podwykonawców. Podstawy przekazania, identyfikacja podwykonawców oraz ich lokalizacja są wskazane w Załączniku nr 3.
2. W wariancie amerykańskim przekazywanie danych osobowych poza Europejskim Obszarem Gospodarczym odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej przyjętych decyzją wykonawczą (UE) 2021/914, uzupełnionych o ocenę skutków przetwarzania dla ochrony danych, albo — w odniesieniu do podwykonawcy będącego certyfikowanym uczestnikiem ram EU-US Data Privacy Framework — na podstawie tych ram, wraz z rozszerzeniami na Wielką Brytanię i Szwajcarię. Podstawa ta, wraz z identyfikacją podwykonawcy, jest wskazana w Załączniku nr 3.
3. Funkcje AI aplikacji są realizowane w Unii Europejskiej niezależnie od wybranego wariantu. Przekazywanie danych osobowych do dostawcy modeli poza Europejskim Obszarem Gospodarczym nie zachodzi. Administrator nie przekazuje funkcjom AI danych, o których mowa w § 3 ust. 1 pkt 2, ani danych szczególnych kategorii, ani danych o niekaralności.
4. Podmiot przetwarzający ocenia, czy przepisy państwa odbioru danych pozwalają na realizację zobowiązań wynikających z niniejszej Umowy, i stosuje środki dodatkowe, jeżeli są potrzebne.
5. Niezależnie od wariantu przetwarzania dane Czat Pomocy są przekazywane do podwykonawcy tawk.to, Inc. i przetwarzane w Stanach Zjednoczonych, w tym z wykorzystaniem funkcji AI podwykonawcy (tłumaczenie automatyczne, automatyczna pierwsza linia pomocy). Przekazywanie to odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej, decyzja (UE) 2021/914, uzupełnionych o ocenę skutków przetwarzania dla ochrony danych. Podwykonawca ten jest certyfikowanym uczestnikiem ram EU-US Data Privacy Framework, wraz z rozszerzeniami na Wielką Brytanię i Szwajcarię. Podwykonawca jest wskazany w Załączniku nr 3.

§ 7. Naruszenia ochrony danych osobowych

1. Podmiot przetwarzający informuje Administratora o naruszeniu ochrony danych osobowych niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia naruszenia.
2. Informacja zawiera:
   1. charakter naruszenia, w tym kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz liczbę rekordów;
   2. dane kontaktowe osoby lub zespołu odpowiedzialnego za naruszenie;
   3. opis prawdopodobnych konsekwencji naruszenia;
   4. opis środków podjętych lub proponowanych w celu ograniczenia skutków i zapobieżenia kolejnym naruszeniom.
3. Jeżeli nie wszystkie informacje są dostępne w chwili zgłoszenia, Podmiot przetwarzający przekazuje je partiami, w miarę ich uzyskiwania.
4. Podmiot przetwarzający podejmuje wszelkie środki techniczne i organizacyjne w celu ograniczenia skutków naruszenia i zapobieżenia dalszym naruszeniom oraz udziela Administratorowi pomocy w wywiązywaniu się z obowiązkiem poinformowania osób, których dane dotyczą, oraz organu nadzorczego, polegającej na udostępnieniu informacji, o których mowa w ust. 2, oraz na wsparciu technicznym. Administrator samodzielnie sporządza zawiadomienia i dokonuje zgłoszeń.
5. Podmiot przetwarzający dokumentuje każde naruszenie, w tym również takie, które nie wymaga zgłoszenia, wraz z oceną ryzyka dla praw i wolności osób.
6. Zgłoszenie naruszenia przez Podmiot przetwarzający nie stanowi przyznania się do winy ani do odpowiedzialności.

§ 8. Audyt

1. Weryfikacja dokumentowa i zdalna. Na pisemny wniosek Administratora Podmiot przetwarzający udostępnia, w terminie 30 dni od otrzymania wnioseku, informacje i dokumenty niezbędne do wykazania zgodności z obowiązkami z art. 28 ust. 3 RODO, w tym dokumentację środków bezpieczeństwa, o których mowa w Załączniku nr 2, oraz zestawienia wyników testów bezpieczeństwa. Administrator występuje z takim żądaniem nie częściej niż raz w roku, w zakresie, w jakim jest to rozsądne i proporcjonalne do celu weryfikacji, z uwzględnieniem poufności, praw do własności intelektualnej Podmiotu przetwarzającego oraz praw i obowiązków innych Administratorów i podwykonawców. W przypadku naruszenia ochrony danych osobowych zgłoszonego zgodnie z § 7 lub uzasadnionego podejrzenia naruszenia obowiązków Podmiotu przetwarzającego częstotliwość i zakres udostępniania ustala się z Podmiotem przetwarzającym indywidualnie.
2. Administrator przeprowadza weryfikację sam lub zleca ją osobie trzeciej przez siebie wskazanej. Weryfikacja prowadzona jest w pierwszej kolejności w formie dokumentowej i zdalnej, w tym w formie wideokonferencji z osobami odpowiedzialnymi za bezpieczeństwo i ochronę danych osobowych. Podmiot przetwarzający jest uprawniony do wskazania kandydata na osobę trzecią przeprowadzającą weryfikację; Administrator może wskazać inną osobę trzecią, o ile jest ona niezależna, dysponuje odpowiednią kompetencją techniczną i nie jest powiązana z Podmiotem przetwarzającym ani z jego podwykonawcami. Administrator może zakwestionować zakres, metodykę i wyniki weryfikacji, a Podmiot przetwarzający jest uprawniony do wniesienia uzasadnionych zastrzeżeń co do zakresu i metodyki weryfikacji; Administrator rozpatruje zastrzeżenia bez zwłoki.
3. Inspekcja na miejscu. Inspekcja na miejscu w siedzibie Podmiotu przetwarzającego może zostać przeprowadzona wyłącznie przy łącznym spełnieniu następujących warunków:
   1. weryfikacja dokumentowa i zdalna nie pozwoliła Administratorowi na zadowalające wykazanie zgodności;
   2. Administrator dysponuje uzasadnionym podejrzeniem istotnego naruszenia obowiązków Podmiotu przetwarzającego, zgłoszonym pisemnie wraz z uzasadnieniem. Inspekcja odbywa się z co najmniej 14-dniowym uprzedzeniem, w godzinach pracy Podmiotu przetwarzającego, bez zakłócania działania usługi, w pomieszczeniu wskazanym przez Podmiotu przetwarzającego, bez dostępu do infrastruktury produkcyjnej oraz do systemów, w których przetwarzane są dane osobowe innych Administratorów. Osoby przeprowadzające inspekcję podlegają obowiązku poufności, zobowiązują się do przestrzegania polityki bezpieczeństwa Podmiotu przetwarzającego oraz do nienagrywania, niefotografowania i niezapisywania danych poza zakresem niezbędnym do celu inspekcji. Z uwagi na to, że usługa jest realizowana w środowiskach podwykonawców wskazanych w Załączniku nr 3, inspekcja na miejscu nie obejmuje środowisk produkcyjnych ani urządzeń służących do przetwarzania danych osobowych.
4. Koszty weryfikacji. Koszty przeprowadzenia weryfikacji, w tym wynagrodzenie osoby trzeciej przeprowadzającej weryfikację, ponosi Administrator. W przypadku stwierdzenia w jej wyniku istotnego naruszenia obowiązków Podmiotu przetwarzającego Administrator może żądać jego usunięcia; koszt działań naprawczych ponosi Podmiot przetwarzający, w zakresie, w jakim nie narusza to postanowień § 10 ust. 6 niniejszej Umowy. Kosztów weryfikacji Podmiot przetwarzający nie ponosi. Wyniki weryfikacji nie stanowią samodzielnej podstawy do ustalenia odpowiedzialności Podmiotu przetwarzającego; odpowiedzialność określają przepisy prawa oraz § 10 niniejszej Umowy.
5. Podmiot przetwarzający przekazuje Administratorowi zestawienia wyników testów podatności oraz przeglądów bezpieczeństwa, o których mowa w Załączniku nr 2, a także udokumentowaną procedurę reagowania na incydenty. W przypadku uzyskania certyfikatu w ramach zatwierdzonego mechanizmu certyfikacji, o którym mowa w art. 42 RODO, Podmiot przetwarzający informuje o tym Administratora, a Administrator może wykazać zgodność z obowiązkami z art. 28 ust. 3 RODO w sposób przewidziany w art. 28 ust. 5 RODO.

§ 9. Czas trwania, usunięcie i zwrot danych

1. Niniejsza Umowa obowiązuje przez czas obowiązywania Warunków świadczenia usługi.
2. Po zakończeniu świadczenia usługi Podmiot przetwarzający usuwa lub zwraca dane osobowe w terminie 30 dni, z wyjątkiem:
   1. kopii zapasowych, które usuwane są w cyklu retencji nie dłuższym niż 12 miesięcy;
   2. danych, których przechowywanie nakazują przepisy prawa, w szczególności przepisy podatkowe i księgowe, w zakresie i przez okres wynikający z tych przepisów;
   3. danych przetwarzanych w ramach funkcji AI u dostawcy modeli, które usuwane są niezwłocznie po zakończeniu przetwarzania, z uwzględnieniem okresu retencji określonego przez tego dostawcę;
   4. danych przetwarzanych w ramach Czat Pomocy u podwykonawcy tawk.to, które usuwane są na nasze polecenie, z uwzględnieniem okresu retencji określonego przez tego podwykonawcę; kopie zapasowe tego podwykonawcy usuwane są w cyklu retencji nie dłuższym niż 90 dni.
3. Podmiot przetwarzający informuje Administratora o zakończeniu usuwania w terminie 15 dni od jego dokonania, na żądanie.
4. Dane osobowe, o których mowa w ust. 2 pkt 1, nie są w tym czasie udostępniane w celach innych niż odtworzenie po awarii ani przetwarzane poza zakresem niezbędnym do odtworzenia.

§ 10. Odpowiedzialność

1. Administrator odpowiada za zgodność przekazywanych danych z prawem, za posiadanie podstawy prawnej ich przetwarzania oraz za poinformowanie osób, których dane dotyczą, w tym osób kontaktujących się z pomocą techniczną za pośrednictwem Czat Pomocy w aplikacji.
2. Administrator odpowiada za szkodę wyrządzoną Podmiotowi przetwarzającemu wskutek przekazania danych naruszających prawo.
3. Podmiot przetwarzający odpowiada za szkodę wynikającą z naruszenia przepisów o ochronie danych osobowych w zakresie wynikającym z art. 82 ust. 2 RODO, to znaczy wtedy, gdy nie wywiązał się z obowiązków z art. 28 ust. 1 i 3 RODO lub działał poza udokumentowanym poleceniem albo wbrew niemu.
4. Podmiot przetwarzający zwalnia się z odpowiedzialności wyłącznie w przypadkach przewidzianych w art. 82 ust. 3 RODO, to znaczy gdy wykaże, że w żaden sposób nie odpowiada za zdarzenie, które doprowadziło do szkody.
5. Odpowiedzialność na podstawie art. 82 RODO nie podlega ograniczeniu umownemu. Niniejsza Umowa nie zawiera postanowień ograniczających tę odpowiedzialność.
6. Podmiot przetwarzający odpowiada wobec Administratora z tytułu naruszenia obowiązków wynikających z niniejszej Umowy, z uwzględnieniem limitów odpowiedzialności określonych w Warunkach świadczenia usługi, w zakresie, w jakim limity te nie dotyczą odpowiedzialności z art. 82 RODO.

§ 11. Postanowienia końcowe

1. Niniejsza Umowa jest niezależna od Warunków świadczenia usługi w zakresie, w jakim dotyczy przetwarzania danych osobowych. W razie sprzeczności rozstrzyga niniejsza Umowa.
2. Administrator oświadcza, że w przypadku przetwarzania danych osobowych, których sam nie jest administratorem, posiada pisemną zgodę lub inny tytuł wynikający z art. 28 ust. 2 RODO, upoważniający Podmiot przetwarzający do powierzenia przetwarzania na podstawie niniejszej Umowy.
3. Podmiot przetwarzający nie przejmuje obowiązków informacyjnych wobec osób trzecich, których administratorem jest Administrator.
4. W sprawach nieuregulowanych niniejszą Umową mają zastosowanie przepisy RODO oraz przepisy prawa polskiego. Spory rozstrzyga sąd właściwy ze względu na siedzibę Podmiotu przetwarzającego.
5. Umowa zostaje zawarta w formie elektronicznej. Kliknięcie w przycisk akceptacji stanowi oświadczenie o zawarciu umowy w formie elektronicznej w rozumieniu art. 60¹ Kodeksu cywilnego i spełnia wymogi art. 28 ust. 3 RODO. Administrator zachowuje potwierdzenie akceptacji przez okres obowiązywania Umowy oraz przez 5 lat po jej zakończeniu.

Załącznik nr 1 — Opis przetwarzania

Załącznik nr 2 — Środki bezpieczeństwa

Podmiot przetwarzający stosuje następujące środki techniczne i organizacyjne, uwzględniające stan wiedzy, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania:

1. Szyfrowanie transmisji — cały ruch między Administratorem, jego Uprawnionymi Użytkownikami oraz podwykonawcami realizowany jest z użyciem protokołu TLS, w tym dla dostępu przez API.
2. Przechowywanie danych — dane osobowe przechowujemy w środowiskach udostępnianych przez podwykonawców wskazanych w Załączniku nr 3, w wydzielonych przestrzeniach dla każdego Administratora.
3. Kontrola dostępu — dostęp oparty na zasadzie minimalnych uprawnień, z kontrolą na poziomie roli, okresowym przeglądem uprawnień i rejestrem dostępu dla personelu o podwyższonych uprawnieniach.
4. Uwierzytelnianie — obowiązkowe uwierzytelnianie wieloskładnikowe dla personelu mającego dostęp do systemów.
5. Rejestrowanie zdarzeń — rejestrowanie dostępu do danych, zmian danych oraz zdarzeń administracyjnych, z ograniczonym okresem przechowywania wpisów.
6. Kopie zapasowe — regularne tworzenie kopii Danych wraz z okresowym testowaniem ich odtwarzalności.
7. Rekrutacja i szkolenia — sprawdzenie wiarygodności personelu, szkolenia w zakresie ochrony danych oraz zobowiązanie do zachowania poufności.
8. Zarządzanie incydentami — udokumentowana procedura reagowania na incydenty, z klasyfikacją, eskalacją, komunikacją i analizą po zdarzeniu.
9. Testy bezpieczeństwa — okresowe testy podatności oraz przeglądy bezpieczeństwa.
10. Zarządzanie podwykonawcami — ocena ryzyka przed udostępnieniem dostępu podwykonawcy, udokumentowane umowy powierzenia oraz okresowy przegląd uprawnień.
11. Świadomość bezpieczeństwa — cykliczne szkolenia personelu, w tym zakresu odpowiedzialności za dane osobowe.
12. Kanał Czat Pomocy — dostęp do konta podwykonawcy obsługującego czat ograniczony do osób uprawnionych, transmisja do podwykonawcy szyfrowana protokołem TLS, umowne zobowiązanie podwykonawcy do niewykorzystywania danych rozmów do trenowania własnych modeli oraz okresowy przegląd uprawnień do konta.
13. Konto podwykonawcy AI — wyłączenie wykorzystania danych do trenowania modeli w ustawieniach konta podwykonawcy AI, utrzymanie tego wyłączenia oraz okresowy przegląd ustawień podwykonawcy pod kątem zmian w zakresie trenowania modeli.

Załącznik nr 3 — Wykaz podwykonawców

Aktualny wykaz podwykonawców wraz z ich danymi kontaktowymi, zakresem przetwarzania, lokalizacją i podstawą przekazywania danych poza Europejskim Obszarem Gospodarczym jest publikowany w Witrynie pod adresem https://contractors.es/pl/lista-subprocesorow/ i stanowi Załącznik nr 3 do niniejszej Umowy. Wykaz jest aktualizowany zgodnie z § 5.