Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych (Umowa powierzenia) stanowi część Warunków świadczenia usług, których stronami są: Ty oraz spółka z grupy GridStudio wskazana na Twojej fakturze (my, nas). Ma ona zastosowanie zawsze, gdy przetwarzamy w Twoim imieniu dane osobowe zawarte w Danych Klienta. Pojęcia pisane wielką literą, które nie zostały tu zdefiniowane, mają znaczenie nadane im w Warunkach świadczenia usług.

W odniesieniu do tego przetwarzania jesteś administratorem albo podmiotem przetwarzającym działającym na rzecz własnych klientów, a my jesteśmy Twoim podmiotem przetwarzającym. Każda ze stron przestrzega mających do niej zastosowanie przepisów o ochronie danych, w tym – w stosownych przypadkach – ogólnego rozporządzenia o ochronie danych obowiązującego w UE i w Zjednoczonym Królestwie, tureckiej ustawy o ochronie danych osobowych (KVKK) oraz ustawy o ochronie danych osobowych Zjednoczonych Emiratów Arabskich.

Niniejsza Umowa powierzenia nie obejmuje danych, które przetwarzamy jako administrator do własnych celów, takich jak dane konta i dane rozliczeniowe. Przetwarzanie to opisuje Polityka prywatności.

W razie sprzeczności między niniejszą Umową powierzenia a pozostałą częścią Warunków świadczenia usług w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza Umowa powierzenia.

• Przedmiot i cel: wysyłanie i odbieranie wiadomości w podłączonych przez Ciebie Kanałach, informowanie o ich statusie, dostarczanie Ci zdarzeń webhooków, rozliczenia oraz zapewnianie bezpieczeństwa Usługi.
• Czas trwania: tak długo, jak masz Konto, a następnie do czasu usunięcia danych w sposób opisany w punkcie 10.
• Charakter przetwarzania: odbieranie, przechowywanie, przesyłanie do Dostawców Kanałów, rejestrowanie w logach, wyświetlanie Tobie oraz usuwanie.
• Osoby, których dane dotyczą: osoby, do których wysyłasz wiadomości i od których je otrzymujesz, oraz wszelkie inne osoby wymienione w wiadomościach.
• Kategorie danych: identyfikatory, takie jak numery telefonów, identyfikatory czatów i identyfikatory użytkowników platform; treść wiadomości i multimedia, do których się one odwołują; statusy dostarczenia i przeczytania; oraz dołączane przez Ciebie referencje i metadane.
• Szczególne kategorie: Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych. To Ty decydujesz o zawartości swoich wiadomości i nie wolno Ci wysyłać takich danych, chyba że masz do tego podstawę prawną, a Dostawca Kanału na to zezwala.

Przetwarzamy dane osobowe wyłącznie na Twoje udokumentowane polecenie. Warunki świadczenia usług, niniejsza Umowa powierzenia oraz sposób, w jaki korzystasz z API i konsoli, stanowią komplet Twoich poleceń. Informujemy Cię, jeżeli naszym zdaniem polecenie narusza przepisy o ochronie danych, i nie mamy obowiązku wykonywać takiego polecenia.

Możemy także przetwarzać dane, gdy wymaga tego mające do nas zastosowanie prawo. W takim przypadku informujemy Cię o tym przed rozpoczęciem przetwarzania, chyba że prawo to zabrania udzielania takiej informacji.

Odpowiadasz za zgodność przetwarzania z prawem: za posiadanie podstawy prawnej, za zgody i informacje należne osobom, których dane dotyczą, oraz za prawidłowość przekazywanych przez Ciebie danych.

Zapewniamy, aby osoby upoważnione do przetwarzania danych osobowych były zobowiązane do zachowania tajemnicy i miały dostęp do danych wyłącznie w zakresie, w jakim wymaga tego ich praca.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka i możemy je aktualizować, o ile poziom ochrony się nie obniży. Obecnie obejmują one:

• szyfrowanie danych podczas przesyłania za pomocą TLS;
• hasła przechowywane w postaci skrótów Argon2id oraz tokeny sesji i klucze API przechowywane wyłącznie w postaci skrótów;
• szyfrowanie w spoczynku, algorytmem AES-256-GCM, sekretów podpisu webhooków oraz kluczy wiążących Konto z platformą dostarczania;
• dane uwierzytelniające, tokeny i kody autoryzacyjne Kanałów przekazywane do platformy dostarczania bez przechowywania i rejestrowania ich w logach przez bramkę;
• dostęp oparty na rolach dla członków Konta, klucze API ograniczone zakresem uprawnień i adresem IP, ograniczanie liczby żądań oraz blokadę po wielokrotnych nieudanych próbach logowania;
• logiczne rozdzielenie danych poszczególnych Kont;
• dziennik audytu działań administracyjnych, obejmujący każdy przypadek uzyskania przez naszych pracowników dostępu do Konta w celu udzielenia wsparcia;
• podpisane dostarczenia webhooków oraz weryfikację adresów webhooków pod kątem zakresów sieci prywatnych.

Udzielasz nam ogólnej zgody na korzystanie z usług podmiotów podprzetwarzających. Korzystamy z ich usług na podstawie pisemnej umowy, która nakłada obowiązki w zakresie ochrony danych równoważne obowiązkom określonym w niniejszej Umowie powierzenia, i pozostajemy wobec Ciebie odpowiedzialni za ich działania.

Kategorie podmiotów podprzetwarzających, z których usług korzystamy w odniesieniu do Danych Klienta, są następujące:

• Hosting i infrastruktura: dostawcy, którzy hostują nasze serwery, bazy danych i kopie zapasowe;
• Spółki z grupy GridStudio: które obsługują platformę dostarczania łączącą się z Dostawcami Kanałów i które wspierają Usługę.

Informujemy właścicieli Twojego Konta, zanim dodamy lub zastąpimy podmiot podprzetwarzający. W ciągu czternastu dni możesz wnieść sprzeciw z uzasadnionych powodów związanych z ochroną danych. Jeżeli nie zdołamy rozstrzygnąć sprzeciwu, możesz rozwiązać umowę, a my zwrócimy wówczas opłacone przez Ciebie niewykorzystane saldo Portfela oraz niewykorzystaną część kupionych przez Ciebie Pakietów, które nie wygasły, obliczoną proporcjonalnie.

Dostawcy Kanałów, tacy jak Meta, Telegram, TikTok, Twilio oraz inni dostawcy SMS i operatorzy, nie są naszymi podmiotami podprzetwarzającymi. To Ty ich wybierasz, z każdym z nich masz własną umowę, a my przesyłamy im dane na Twoje polecenie. Nasz operator płatności i nasz dostawca usługi dostarczania poczty e-mail przetwarzają dane konta i dane rozliczeniowe na rzecz nas jako administratora i nie otrzymują Danych Klienta.

Biorąc pod uwagę charakter przetwarzania, pomagamy Ci poprzez odpowiednie środki techniczne i organizacyjne odpowiadać na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw. Konsola i API pozwalają Ci wyszukiwać i pobierać wiadomości danego odbiorcy. Jeżeli osoba, której dane dotyczą, skontaktuje się bezpośrednio z nami, odsyłamy ją do Ciebie i nie odpowiadamy na żądanie sami, chyba że nas o to poprosisz lub wymaga tego prawo.

Udzielamy Ci także rozsądnej pomocy przy ocenach skutków dla ochrony danych, przy konsultacjach z organami nadzorczymi oraz w zakresie bezpieczeństwa przetwarzania, o ile dotyczą one Usługi, a Ty nie możesz uzyskać tych informacji samodzielnie.

Zawiadamiamy właścicieli Twojego Konta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych, które dotyczy Danych Klienta. Zawiadomienie opisuje to, co wiemy o charakterze naruszenia, danych, których ono dotyczy, jego możliwych konsekwencjach oraz zastosowanych lub proponowanych środkach, a informacje uzupełniamy w miarę ich uzyskiwania. Zawiadomienie nie stanowi przyznania się do winy.

Polecasz nam przesyłać Dane Klienta do Dostawców Kanałów i do wskazanych przez Ciebie odbiorców, niezależnie od miejsca, w którym się znajdują. My i nasze podmioty podprzetwarzające możemy przetwarzać Dane Klienta w krajach innych niż kraj, w którym masz siedzibę.

Jeżeli przepisy o ochronie danych ograniczają przekazywanie danych, strony opierają się na uznawanym przez te przepisy mechanizmie przekazywania. Jeżeli do przekazania danych przez Ciebie do nas wymagane są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, w stosownych przypadkach wraz z aneksem dla Zjednoczonego Królestwa, zostają one włączone do niniejszej Umowy powierzenia przez odesłanie, przy czym Ty jesteś podmiotem przekazującym dane, a my – podmiotem odbierającym dane, a szczegóły przetwarzania określają punkty 2 i 5.

W czasie obowiązywania umowy możesz pobierać Dane Klienta za pośrednictwem konsoli i API. Po rozwiązaniu umowy usuwamy Dane Klienta w rozsądnym terminie, chyba że mające do nas zastosowanie prawo wymaga ich przechowywania; w takim przypadku zachowujemy je w poufności i nie wykorzystujemy ich do żadnego innego celu. Na żądanie zgłoszone przed zamknięciem Konta udzielamy Ci rozsądnej pomocy przy eksporcie danych.

Kopie zapasowe są nadpisywane zgodnie z naszym cyklem tworzenia kopii zapasowych. Zapisy, których potrzebujemy jako administrator, takie jak łączne dane o zużyciu na potrzeby rozliczeń, są przechowywane zgodnie z Polityką prywatności.

Udostępniamy informacje, które są zasadnie niezbędne do wykazania, że przestrzegamy niniejszej Umowy powierzenia, i odpowiadamy na pisemne pytania dotyczące naszych środków bezpieczeństwa.

Jeżeli informacje te nie wystarczają do spełnienia wymogu prawnego, możesz – nie częściej niż raz w okresie dwunastu miesięcy i po pisemnym zawiadomieniu z trzydziestodniowym wyprzedzeniem – przeprowadzić audyt samodzielnie lub za pośrednictwem niezależnego audytora zobowiązanego do zachowania poufności. Audyt odbywa się w godzinach pracy, nie może zakłócać działania Usługi ani narażać na ujawnienie danych innych klientów i jest przeprowadzany na Twój koszt. Częstsze audyty są możliwe, gdy wymaga ich organ nadzorczy lub po naruszeniu ochrony danych osobowych.

Ograniczenia i wyłączenia odpowiedzialności zawarte w Warunkach świadczenia usług mają zastosowanie do niniejszej Umowy powierzenia, z wyjątkiem przypadków, w których przepisy o ochronie danych nie pozwalają na ich stosowanie do praw osób, których dane dotyczą.

Niniejsza Umowa powierzenia obowiązuje tak długo, jak przetwarzamy dane osobowe w Twoim imieniu. Jeżeli potrzebujesz podpisanego egzemplarza, napisz na adres support@omnimessage.co.