Umowa Powierzenia Przetwarzania Danych (DPA)

1. Definicje

Terminy użyte w niniejszej DPA mają znaczenie nadane im przez RODO, o ile nie zdefiniowano ich inaczej.

• RODO (GDPR): Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.
• Dane Osobowe: Wszelkie dane osobowe przetwarzane przez Procesora w imieniu Administratora w celu świadczenia Usług określonych w Umowie Głównej.
• Usługi: Usługi świadczone przez Procesora na rzecz Administratora zgodnie z Umową Główną (platforma SaaS Boostedchat).
• Naruszenie Ochrony Danych Osobowych: Naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych Osobowych.

2. Przedmiot i Cel Przetwarzania

2.1. Procesor zobowiązuje się przetwarzać Dane Osobowe wyłącznie w imieniu Administratora, na jego udokumentowane polecenie i w celu wykonania Usług określonych w Umowie Głównej.

2.2. Uznaje się, że polecenie Administratora obejmuje wszelkie czynności niezbędne do świadczenia Usług (w tym korzystanie z infrastruktury chmurowej, API, modeli AI itp.), zgodnie z funkcjonalnością platformy i konfiguracją wybraną przez Administratora.

2.3. Szczegółowy opis przedmiotu, celu, charakteru przetwarzania, kategorii danych oraz kategorii osób, których dane dotyczą, znajduje się w Załączniku 1 do niniejszej DPA.

3. Obowiązki Procesora (Boostedchat)

Procesor oświadcza i zobowiązuje się, że:

3.1. Przetwarza Dane Osobowe wyłącznie w zakresie i celu przewidzianym w niniejszej DPA i Umowie Głównej.

3.2. Zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych (np. pracownicy, współpracownicy) zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3.3. Wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, zgodnie z Art. 32 RODO. Opis wdrożonych środków znajduje się w Załączniku 2.

3.4. Uwzględniając charakter przetwarzania, w miarę możliwości pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw (zgodnie z Rozdziałem III RODO).

3.5. Wspiera Administratora w wywiązywaniu się z obowiązków określonych w Art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków).

3.6. Po zakończeniu świadczenia Usług, w zależności od decyzji Administratora, usuwa lub zwraca Administratorowi wszelkie Dane Osobowe. Zasady te szczegółowo opisuje polityka retencji określona w Załączniku 1.

4. Obowiązki Administratora (Klient)

Administrator oświadcza i zobowiązuje się, że:

4.1. Jest wyłącznym administratorem Danych Osobowych i ponosi pełną odpowiedzialność za zgodność ich przetwarzania z prawem, w tym za posiadanie odpowiedniej podstawy prawnej do ich przetwarzania.

4.2. Ponosi wyłączną odpowiedzialność za jakość, integralność i legalność Danych Osobowych wprowadzanych do platformy Procesora.

4.3. Ponosi wyłączną odpowiedzialność za konfigurację Usług, w tym za wszelkie automatyzacje, skrypty AI, prompty oraz działania marketingowe prowadzone przy użyciu platformy.

4.4. Zgody na przetwarzanie danych wrażliwych i biometrycznych: Administrator jest wyłącznie odpowiedzialny za zebranie wszelkich niezbędnych, wyraźnych zgód (zgodnie z Art. 9 RODO) od osób, których dane dotyczą, w przypadku przetwarzania danych o zdrowiu lub danych biometrycznych (w tym na potrzeby klonowania lub syntezy głosu).

4.5. Zgody na nagrywanie i monitoring: Administrator jest wyłącznie odpowiedzialny za poinformowanie swoich pracowników i klientów końcowych oraz (jeśli jest to wymagane prawnie) zebranie od nich zgód na nagrywanie i analizowanie rozmów (głosowych i tekstowych) prowadzonych za pośrednictwem Usług.

4.6. Zgodność z AI Act: Administrator przyjmuje do wiadomości, że w świetle przyszłych regulacji (np. AI Act UE) pełni rolę "Wdrażającego" (Deployer) systemy AI i ponosi odpowiedzialność za ich wykorzystanie zgodnie z przeznaczeniem i obowiązującym prawem.

5. Dalsze Powierzenie (Podprocesorzy)

5.1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających („Podprocesorzy") w celu świadczenia Usług.

5.2. Lista aktualnie zatwierdzonych Podprocesorów znajduje się w Załączniku 3 do niniejszej DPA.

5.3. Procesor zobowiązuje się informować Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia Podprocesorów, dając Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian. Informacja będzie przekazywana poprzez e-mail lub panel w platformie, z co najmniej 14-dniowym wyprzedzeniem.

5.4. Procesor zapewnia, że umowy z Podprocesorami nakładają na nich obowiązki w zakresie ochrony danych nie mniejsze niż te określone w niniejszej DPA (zgodnie z Art. 28 ust. 4 RODO).

5.5. Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego Podprocesora spoczywa na Procesorze.

6. Transfer Danych poza EOG

6.1. Administrator akceptuje, że świadczenie Usług może wiązać się z transferem Danych Osobowych poza Europejski Obszar Gospodarczy (EOG), w szczególności do USA, gdzie zlokalizowani są kluczowi Podprocesorzy (wymienieni w Załączniku 3).

6.2. Zasady i mechanizmy prawne regulujące takie transfery (w tym Data Privacy Framework i Standardowe Klauzule Umowne) są określone w Załączniku 4 (Moduł A).

7. Audyt

7.1. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w Art. 28 RODO.

7.2. Procesor zezwala na audyty, w tym inspekcje, przeprowadzane przez Administratora lub upoważnionego przez niego audytora.

7.3. Strony uzgadniają, że w pierwszej kolejności Administrator będzie korzystał z dostarczanych przez Procesora raportów z audytów zewnętrznych (np. SOC 2, ISO 27001, jeśli są dostępne) lub odpowiedzi na kwestionariusze bezpieczeństwa.

7.4. Koszty audytu bezpośredniego ponosi Administrator. Audyt taki musi być zapowiedziany z co najmniej 30-dniowym wyprzedzeniem i nie może naruszać zobowiązań Procesora wobec innych klientów ani bezpieczeństwa jego infrastruktury.

8. Naruszenia Ochrony Danych Osobowych

8.1. Procesor zgłasza Administratorowi każde stwierdzone Naruszenie Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

8.2. Zgłoszenie będzie zawierać co najmniej informacje wymagane przez Art. 33 ust. 3 RODO.

9. Jurysdykcje Specjalne

9.1. W przypadku, gdy Administrator przetwarza dane podlegające szczególnym regulacjom jurysdykcyjnym (np. HIPAA, CCPA w USA), zastosowanie mają dodatkowe moduły zawarte w Załączniku 4.