Umowa powierzenia przetwarzania danych

§ 1. Strony i zawarcie umowy

1. Podmiotem przetwarzającym jest Wizcode sp. z o.o., Rondo Ignacego Daszyńskiego 2B, 00-843 Warszawa, NIP 527 312 07 34, operator serwisu Taxti („Podmiot przetwarzający”).
2. Administratorem jest biuro rachunkowe, które założyło konto w serwisie Taxti („Administrator”).
3. Umowa zostaje zawarta w formie elektronicznej z chwilą akceptacji regulaminu serwisu przy zakładaniu konta, stanowi część umowy o świadczenie usług i obowiązuje przez czas jej trwania, a w zakresie obowiązków, które z natury trwają dłużej – do ich wykonania.
4. W sprawach ochrony danych osobowych postanowienia umowy mają pierwszeństwo przed regulaminem serwisu.

§ 2. Zakres danych i kategorie osób

1. Powierzeniu podlegają:
   1. adresy e-mail klientów Administratora, a także ich NIP i nazwy firm, jeżeli zostały podane przez Administratora albo przez klienta przy wystawianiu opinii;
   2. dane pobrane na podstawie NIP z rejestrów CEIDG i KRS: nazwa firmy, miasto, forma prawna, data rejestracji i rodzaj działalności;
   3. treść opinii wystawionych przez klientów Administratora;
   4. w programie poleceń: nazwa firmy albo imię i nazwisko osoby poleconej oraz jej telefon lub adres e-mail, a przy poleceniu z profilu Administratora także imię i nazwisko lub nazwa firmy polecającego oraz jego telefon lub adres e-mail;
2. Osobami, których dane dotyczą, są klienci Administratora i osoby kontaktowe po ich stronie oraz osoby polecone i polecające.
3. Powierzenie nie obejmuje danych szczególnych kategorii, danych księgowych, numerów rachunków bankowych ani numerów PESEL.

§ 3. Cel i zasady przetwarzania

1. Dane są przetwarzane wyłącznie w celu świadczenia usług serwisu: wysyłania w imieniu i na polecenie Administratora zaproszeń do wystawienia opinii oraz jednego przypomnienia po 7 dniach, publikowania opinii na profilu Administratora, w widżecie i w jego materiałach oraz przekazywania Administratorowi poleceń.
2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, również w odniesieniu do przekazywania danych do państwa trzeciego. Poleceniem jest niniejsza umowa oraz korzystanie przez Administratora z funkcji serwisu. Jeżeli obowiązek przetwarzania wynika z przepisów prawa, Podmiot przetwarzający informuje o nim Administratora przed rozpoczęciem przetwarzania, chyba że przepisy tego zabraniają.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych osobowych.
4. Podmiot przetwarzający nie udostępnia powierzonych danych innym użytkownikom serwisu i nie wykorzystuje ich do własnych celów.
5. Administrator oświadcza, że ma podstawę prawną do powierzenia danych oraz do kierowania do swoich klientów zaproszeń i przypomnień.

§ 4. Bezpieczeństwo i poufność

1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku (art. 32 RODO), w szczególności szyfrowanie transmisji danych, ograniczenie dostępu do danych do osób, którym jest on niezbędny, prace rozwojowe na danych testowych oraz kopie zapasowe.
2. Osoby upoważnione do przetwarzania danych są zobowiązane do zachowania ich w tajemnicy, także po ustaniu zatrudnienia lub współpracy.

§ 5. Podprocesorzy i przekazywanie danych

1. Administrator udziela ogólnej zgody na korzystanie z następujących podprocesorów:
   1. DigitalOcean – Hosting serwisu i bazy danych, Frankfurt nad Menem, Niemcy;
   2. Postmark – Wysyłka zaproszeń do wystawienia opinii i powiadomień e-mail, USA;
   3. Sentry – Raporty o błędach serwisu, USA;
2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje Administratora drogą elektroniczną co najmniej 15 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw, a w razie sprzeciwu – usunąć konto i rozwiązać umowę.
3. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych odpowiadające obowiązkom wynikającym z umowy.
4. Serwis i baza danych są utrzymywane na serwerach w państwie: Niemcy. Dane mogą być przekazywane do państw spoza Europejskiego Obszaru Gospodarczego wyłącznie podprocesorom wymienionym w ust. 1, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych.

§ 6. Naruszenia ochrony danych

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zgłoszenie zawiera, w zakresie znanym Podmiotowi przetwarzającemu, opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje oraz zastosowane i proponowane środki zaradcze.

§ 7. Pomoc i kontrola

1. Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi w realizacji żądań osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego jest niezwłocznie przekazywane Administratorowi.
2. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzenie audytu przez Administratora lub upoważnionego audytora, nie częściej niż raz w roku, po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w sposób nieutrudniający działalności Podmiotu przetwarzającego i z zachowaniem poufności. Koszty audytu ponosi Administrator.

§ 8. Usunięcie danych

1. Administrator może w każdym czasie usunąć w panelu (Ustawienia → Konto) dane wszystkich klientów albo całe konto. Usunięcie jest nieodwracalne.
2. Adres e-mail klienta Podmiot przetwarzający usuwa, gdy klient wystawi opinię.
3. Usunięcie danych klientów nie obejmuje wystawionych już opinii, które pozostają opublikowane bez powiązania z klientem.
4. Po usunięciu konta Podmiot przetwarzający usuwa powierzone dane klientów i poleceń, a opinie przechowuje jako niepublikowane. Kopie zapasowe są nadpisywane w cyklu nie dłuższym niż 30 dni.
5. Administrator ma dostęp do powierzonych danych w panelu do chwili ich usunięcia, co stanowi realizację obowiązku ich zwrotu.

§ 9. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu umowy obejmuje wyłącznie szkodę rzeczywistą, z wyłączeniem utraconych korzyści, i jest ograniczona do sumy opłat wniesionych przez Administratora w okresie 12 miesięcy poprzedzających zdarzenie wywołujące szkodę, a w przypadku planu bezpłatnego do kwoty 100 zł. Ograniczenie nie dotyczy szkody wyrządzonej umyślnie ani odpowiedzialności wobec osób, których dane dotyczą.
2. Administrator odpowiada za zgodność z prawem pozyskania i powierzenia danych.
3. Zmiany umowy wchodzą w życie po upływie 15 dni od zawiadomienia Administratora drogą elektroniczną. Administrator, który nie akceptuje zmiany, może przed tą datą usunąć konto i rozwiązać umowę.
4. Do umowy stosuje się prawo polskie. Spory rozstrzyga sąd właściwy dla siedziby Podmiotu przetwarzającego.
5. Kontakt w sprawach umowy i ochrony danych: [email protected].