Umowa powierzenia przetwarzania danych osobowych (DPA)
Załącznik nr 1 do Regulaminu usługi Fotillo Cloud
§1 Postanowienia ogólne
1. Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: DPA) zawierana jest pomiędzy Operatorem (dalej także: Administrator) a Usługodawcą (dalej także: Podmiot przetwarzający).
2. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie usługi Fotillo Cloud (dalej: Regulamin).
3. DPA zostaje zawarta z chwilą akceptacji Regulaminu wraz z niniejszym załącznikiem, drogą elektroniczną, zgodnie z §4 Regulaminu. Forma elektroniczna czyni zadość wymogowi z art. 28 ust. 9 RODO. Usługodawca utrwala fakt, czas i wersję zaakceptowanych dokumentów.
4. Przedmiotem DPA jest określenie warunków, na jakich Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora w związku ze świadczeniem Usługi.
§2 Role stron
1. Administratorem danych osobowych Użytkowników końcowych, w tym ich wizerunków utrwalonych w Treściach, jest Operator. To Operator decyduje o celach i sposobach przetwarzania tych danych, w szczególności o wykorzystaniu Urządzenia i funkcji internetowej w swojej działalności.
2. Usługodawca przetwarza dane osobowe Użytkowników końcowych wyłącznie w imieniu i na rzecz Operatora, jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 i art. 28 RODO.
3. DPA nie obejmuje danych osobowych przetwarzanych przez Usługodawcę we własnych celach, w szczególności danych Operatora związanych z obsługą konta, licencji, rozliczeń i reklamacji, a także rejestrów akceptacji dokumentów oraz logów technicznych prowadzonych w celu wykazania zgodności z prawem, zapewnienia bezpieczeństwa oraz ustalenia, dochodzenia lub obrony roszczeń. W tym zakresie Usługodawca działa jako odrębny administrator, a zasady przetwarzania określa Polityka prywatności.
4. W przypadku zbycia Urządzenia z aktywowaną funkcją internetową DPA z nabywcą zostaje zawarta z chwilą akceptacji Regulaminu wraz z DPA zgodnie z §4 ust. 9 Regulaminu; z tą samą chwilą DPA ze zbywcą wygasa w zakresie danego Urządzenia. Do czasu akceptacji przez nabywcę Administratorem w zakresie danego Urządzenia pozostaje zbywca.
5. DPA nie obejmuje Treści przekazywanych z Urządzenia bezpośrednio do Konta (Album) na podstawie Kodu parowania, zgodnie z §3 ust. 6 Regulaminu. Treści te Usługodawca przechowuje na żądanie i na rzecz posiadacza Konta, na zasadach określonych w Regulaminie Konta i usługi Album Fotillo Cloud.
6. Jeżeli Operator jest osobą fizyczną korzystającą z Oprogramowania i Usługi wyłącznie w celach osobistych lub domowych w rozumieniu art. 2 ust. 2 lit. c RODO, nie działa w charakterze administratora, a postanowienia DPA nie znajdują w tym zakresie zastosowania; zasady przechowywania, udostępniania i usuwania Treści określa Regulamin. DPA znajduje zastosowanie w zakresie, w jakim Operator przetwarza dane osobowe Użytkowników końcowych w celach innych niż wyłącznie osobiste lub domowe, w szczególności obsługując wydarzenia na rzecz innych osób, niezależnie od tego, czy prowadzi zarejestrowaną działalność gospodarczą.
§3 Przedmiot, charakter, cel i czas przetwarzania
1. Przedmiotem przetwarzania są dane osobowe zawarte w Treściach przekazywanych do Usługi oraz powiązane z nimi dane techniczne.
2. Przetwarzanie ma charakter zautomatyzowanych operacji w systemach informatycznych Usługi i obejmuje: przyjmowanie, utrwalanie, organizowanie, przechowywanie, udostępnianie pod indywidualnym Linkiem, wyświetlanie, przekazywanie do wydruku oraz usuwanie.
3. Celem przetwarzania jest świadczenie Usługi na rzecz Administratora, zgodnie z Regulaminem.
4. Przetwarzanie odbywa się przez czas korzystania z Usługi przez Administratora, z uwzględnieniem okresu przechowywania Treści określonego w §10 Regulaminu.
§4 Rodzaj danych i kategorie osób
1. Przetwarzanie obejmuje następujące rodzaje danych osobowych:
1) wizerunek utrwalony na zdjęciach, a po uruchomieniu takich funkcji także na filmach,
2) dane techniczne powiązane z Treścią, w szczególności data przekazania, identyfikator Urządzenia, Link oraz adres IP urządzenia, z którego przekazano Treść,
3) adresy e-mail, jeżeli są przekazywane w ramach Usługi.
2. Kategorie osób, których dane dotyczą: Użytkownicy końcowi, w szczególności osoby fotografowane przy użyciu Urządzenia oraz osoby przesyłające Treści przez Funkcję upload.
§5 Obowiązki Podmiotu przetwarzającego
1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się Regulamin, niniejszą DPA oraz konfigurację Oprogramowania i Usługi dokonaną przez Administratora. Wyjątkiem jest sytuacja, gdy obowiązek przetwarzania nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego; w takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo nie zabrania udzielenia takiej informacji.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności.
4. Podmiot przetwarzający wdraża środki techniczne i organizacyjne wymagane na mocy art. 32 RODO, odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji danych (TLS), kontrolę dostępu do systemów, indywidualne, trudne do odgadnięcia Linki, cykliczne kopie zapasowe przechowywane nie dłużej niż 7 dni, automatyczne i trwałe usuwanie Treści po upływie okresu przechowywania oraz rejestrowanie operacji usunięcia. Aktualny opis środków Podmiot przetwarzający udostępnia Administratorowi na żądanie.
5. Biorąc pod uwagę charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO. Funkcjami wspierającymi są w szczególności przycisk „Usuń zdjęcie" na Stronie udostępniania oraz prezentowanie na niej danych Administratora podanych przez niego zgodnie z §5 ust. 2 pkt 7 i §9a Regulaminu; za prawdziwość i aktualność tych danych odpowiada Administrator.
6. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje. O stwierdzonym naruszeniu ochrony danych osobowych dotyczącym danych powierzonych Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, przekazując informacje niezbędne do zgłoszenia naruszenia organowi nadzorczemu.
7. Po zakończeniu świadczenia Usługi na rzecz Administratora Podmiot przetwarzający, zależnie od decyzji Administratora, usuwa lub zwraca mu wszystkie powierzone dane osobowe oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie. Decyzja Administratora może zostać wyrażona także za pomocą funkcji Usługi, w szczególności przez użycie opcji usunięcia wszystkich danych w panelu Usługi (wybór usunięcia) albo pobranie Treści przed usunięciem (zwrot danych). W braku decyzji Administratora dane są usuwane zgodnie z §10 Regulaminu. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych.
8. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich, na następujących warunkach: audyt wymaga zapowiedzi z co najmniej 14-dniowym wyprzedzeniem, odbywa się w dni robocze w godzinach pracy Podmiotu przetwarzającego, nie częściej niż raz w roku kalendarzowym (chyba że audyt jest następstwem stwierdzonego naruszenia lub żądania organu nadzorczego), a jego koszty ponosi Administrator. Audytor nie może być podmiotem konkurencyjnym wobec Usługodawcy.
9. Podmiot przetwarzający nie ujawnia danych powierzonych ani nie udziela do nich dostępu osobom trzecim, chyba że następuje to na polecenie Administratora, zgodnie z DPA i Regulaminem albo na podstawie obowiązku prawnego. Żądania udostępnienia danych powierzonych pochodzące od organów Podmiot przetwarzający w miarę możliwości kieruje bezpośrednio do Administratora; jeżeli jest prawnie zobowiązany do ujawnienia, informuje o tym Administratora i przekazuje mu kopię żądania, o ile prawo tego nie zabrania, a dane ujawnia wyłącznie w zakresie wymaganym prawem. Żądania innych osób trzecich Podmiot przetwarzający odrzuca albo kieruje do Administratora. Podmiot przetwarzający nie udziela nikomu nieograniczonego dostępu do danych powierzonych.
10. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem dotyczącym danych powierzonych bezpośrednio do Podmiotu przetwarzającego, ten niezwłocznie przekazuje żądanie Administratorowi i kieruje tę osobę do Administratora. Nie dotyczy to funkcji samoobsługowych oraz zgłoszeń przewidzianych w Regulaminie, w szczególności przycisku „Usuń zdjęcie" i zgłoszeń nadużyć, które Podmiot przetwarzający obsługuje zgodnie z Regulaminem.
§6 Podpowierzenie
1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług innych podmiotów przetwarzających (subprocesorów).
2. Aktualna lista subprocesorów jest publikowana na stronie Usługi i obejmuje na dzień zawarcia DPA: SEOHOST Sp. z o.o. z siedzibą przy ul. Obornickiej 330, 60-689 Poznań, NIP: 9721323212, REGON: 520718284, KRS: 0000939910 – dostawca hostingu Usługi (lokalizacja danych: Europejski Obszar Gospodarczy).
3. Podmiot przetwarzający informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia subprocesorów co najmniej 14 dni przed ich wdrożeniem, w szczególności publikując zaktualizowaną listę oraz przekazując informację pocztą elektroniczną lub komunikatem w Oprogramowaniu. Administrator może w tym terminie wyrazić sprzeciw.
4. Ze względu na jednolity charakter Usługi wyrażenie sprzeciwu uniemożliwia dalsze świadczenie Usługi na rzecz Administratora. W takim przypadku Administrator może zakończyć korzystanie z funkcji internetowej, a DPA wygasa zgodnie z §9.
5. Podmiot przetwarzający nakłada na subprocesorów, w drodze umowy, te same obowiązki ochrony danych, jakie wynikają z niniejszej DPA, i odpowiada wobec Administratora za wypełnienie obowiązków przez subprocesorów.
6. Planowany rozwój Usługi może wymagać powierzenia przetwarzania kolejnym subprocesorom, w szczególności dostawcom narzędzi automatycznej analizy obrazu (moderacja treści) oraz dostawcom przestrzeni dyskowej (przechowywanie oryginałów i filmów). Podmioty te zostaną dodane do listy subprocesorów przed uruchomieniem odpowiednich funkcji, w trybie określonym w ust. 3.
§7 Przekazywanie danych poza EOG
1. Dane osobowe są przechowywane na serwerach zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego.
2. Ewentualne przekazanie danych do państwa trzeciego może nastąpić wyłącznie z zachowaniem warunków określonych w rozdziale V RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych, oraz po uwzględnieniu tego na liście subprocesorów w trybie §6 ust. 3.
§8 Odpowiedzialność
1. Strony odpowiadają za przetwarzanie danych osobowych na zasadach określonych w art. 82 RODO.
2. Wobec Administratorów będących przedsiębiorcami odpowiedzialność Podmiotu przetwarzającego z tytułu niniejszej DPA podlega ograniczeniu określonemu w §12 ust. 3 Regulaminu, w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy prawa.
§9 Czas obowiązywania i zakończenie
1. DPA obowiązuje przez czas korzystania z Usługi przez Administratora.
2. Zakończenie korzystania z Usługi, niezależnie od podstawy, w tym zakończenie świadczenia Usługi z powodu bezczynności zgodnie z §13a ust. 3 Regulaminu, powoduje wygaśnięcie DPA. Wygaśnięcie DPA nie zwalnia Podmiotu przetwarzającego z obowiązków określonych w §5 ust. 7.
§10 Postanowienia końcowe
1. DPA podlega prawu polskiemu oraz RODO.
2. Zmiany DPA następują w trybie przewidzianym dla zmian Regulaminu (§14 Regulaminu).
3. Wiążąca jest wyłącznie polskojęzyczna wersja DPA. Wersje w innych językach mają charakter wyłącznie informacyjny.
4. W sprawach nieuregulowanych stosuje się postanowienia Regulaminu oraz przepisy RODO.