Umowa powierzenia przetwarzania danych osobowych

Strony i przedmiot

Administrator — organizacja korzystająca z serwisu Deweloper360, wprowadzająca dane osobowe. Podmiot przetwarzający — Paweł Skrodzki Doradztwo Gospodarcze, NIP 952-218-57-18 (dalej: Przetwarzający).

Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym poniżej, na podstawie art. 28 RODO. Umowa zostaje zawarta z chwilą akceptacji regulaminu i obowiązuje przez czas korzystania z serwisu.

Charakter, cel i czas przetwarzania

1. Charakter: przechowywanie i przetwarzanie danych w systemie teleinformatycznym w celu wygenerowania dokumentów, prowadzenia rejestru wersji i rejestru doręczeń oraz udostępnienia dokumentów wskazanym osobom.
2. Cel: świadczenie usługi na rzecz Administratora, w zakresie niezbędnym do wykonania umowy o korzystanie z serwisu.
3. Czas: przez okres obowiązywania umowy oraz 30 dni po jej zakończeniu, z zastrzeżeniem dokumentów doręczonych nabywcom, dostępnych pod linkami doręczeń przez okres wskazany przez Administratora.

Rodzaj danych i kategorie osób

1. Kategorie osób: nabywcy lokali i domów oraz osoby ich reprezentujące, osoby kontaktowe po stronie Administratora i jego klientów.
2. Rodzaj danych: imię i nazwisko, adres zamieszkania albo do korespondencji, adres e-mail, numer telefonu, oznaczenie lokalu, cena i warunki umowy, data i sposób doręczenia dokumentu.
3. Przetwarzający nie żąda podania danych szczególnych kategorii (art. 9 RODO); Administrator zobowiązuje się ich nie wprowadzać.

Obowiązki Przetwarzającego (art. 28 ust. 3 RODO)

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest także korzystanie z funkcji serwisu; niezwłocznie informuje, jeżeli polecenie narusza przepisy o ochronie danych.
2. Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.
3. Stosuje środki techniczne i organizacyjne opisane w załączniku poniżej (art. 32 RODO).
4. Korzysta z podprocesorów na zasadach opisanych w kolejnym punkcie.
5. Pomaga Administratorowi w realizacji żądań osób, których dane dotyczą — udostępniając w serwisie funkcje eksportu, sprostowania i usunięcia danych, a w pozostałym zakresie na wniosek, w terminie 7 dni.
6. Pomaga Administratorowi w wykonaniu obowiązków z art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych i w obsłudze naruszeń.
7. Po zakończeniu świadczenia usług usuwa dane albo zwraca je Administratorowi — zależnie od jego wyboru — oraz usuwa kopie, chyba że przepisy nakazują dalsze przechowywanie.
8. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia audyty na zasadach opisanych niżej.

Podprocesorzy

1. Administrator wyraża ogólną zgodę na korzystanie z podprocesorów. Aktualny wykaz publikujemy na stronie „Bezpieczeństwo i ochrona danych”: hosting (UE), poczta transakcyjna (UE), bramka SMS, przechowywanie kopii zapasowych (UE).
2. O zamiarze dodania albo zmiany podprocesora informujemy z 14-dniowym wyprzedzeniem. Administrator może zgłosić uzasadniony sprzeciw; jeżeli nie da się go uwzględnić, Administrator może rozwiązać umowę o korzystanie z serwisu z proporcjonalnym zwrotem opłaty za niewykorzystany okres.
3. Przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych i odpowiada wobec Administratora za ich działania jak za własne.

Naruszenia ochrony danych

Naruszenie ochrony danych osobowych zgłaszamy Administratorowi bez zbędnej zwłoki, nie później niż w 48 godzin od jego stwierdzenia, wskazując charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne konsekwencje oraz zastosowane i proponowane środki. Zgłoszenie organowi nadzorczemu i zawiadomienie osób należy do Administratora; Przetwarzający udziela mu w tym pomocy.

Audyt

Administrator może przeprowadzić audyt nie częściej niż raz w roku kalendarzowym, po zawiadomieniu z 14-dniowym wyprzedzeniem, w godzinach pracy i bez zakłócania działania serwisu, z zachowaniem poufności danych innych klientów. Obowiązek informacyjny uznaje się za spełniony także przez przekazanie aktualnych raportów ze skanowania podatności i opisu środków bezpieczeństwa. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy.

Załącznik A. Środki techniczne i organizacyjne

1. Szyfrowanie transmisji (TLS 1.2+, HSTS) i nagłówki bezpieczeństwa; szyfrowanie kopii zapasowych; szyfrowanie na poziomie aplikacji danych nabywcy — imienia i nazwiska, adresu oraz adresu e-mail — w doręczeniach, w odbiorach, w zamówieniach i na fakturach.
2. Kontrola dostępu oparta na rolach, uwierzytelnienie dwuskładnikowe obowiązkowe dla ról administracyjnych, ograniczanie prób logowania, sesje wygasające po bezczynności.
3. Dziennik zdarzeń dostępny dla Administratora; rozdzielenie środowiska produkcyjnego i testowego; zakaz kopiowania danych produkcyjnych do środowiska testowego.
4. Kopie zapasowe codzienne, przechowywane poza serwerem produkcyjnym, retencja 30 dni, kwartalny test odtworzenia; cele RPO 24 h i RTO 8 h.
5. Cykliczne skanowanie podatności (zależności, obraz kontenera, kod, skan pasywny aplikacji) i usuwanie podatności krytycznych w 72 godziny.
6. Serwery i kopie w Unii Europejskiej; brak transferu do państw trzecich.

Odpowiedzialność

Odpowiedzialność stron reguluje RODO oraz regulamin serwisu. Ograniczenie odpowiedzialności wynikające z regulaminu nie wyłącza odpowiedzialności wobec osób, których dane dotyczą, na zasadach z art. 82 RODO.