§ 1. Strony i charakter umowy
Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa”) jest zawierana pomiędzy klientem usługi Nextriv — administratorem danych w rozumieniu art. 4 pkt 7 RODO (dalej: „Administrator”) — a Thermonext Michał Sendrowski z siedzibą w Konarzycach (ul. Olszowa 8B, 18-400 Konarzyce), NIP 7182165488, działającą jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO (dalej: „Podmiot przetwarzający”).
Umowa stanowi umowę powierzenia, o której mowa w art. 28 ust. 3 RODO, i jest zawierana jako element umowy o świadczenie usługi Nextriv (dalej: „Umowa główna”). W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Umowa.
§ 2. Przedmiot i czas trwania powierzenia
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi Nextriv — chmurowego systemu monitoringu warunków środowiskowych (gromadzenie danych pomiarowych, alerty i powiadomienia, raporty, zarządzanie kontami użytkowników w organizacji Administratora).
Powierzenie trwa przez okres obowiązywania Umowy głównej. Zakończenie Umowy głównej oznacza zakończenie powierzenia, z zastrzeżeniem obowiązków opisanych w § 6 (usunięcie lub zwrot danych).
§ 3. Charakter i cel przetwarzania
Charakter przetwarzania: operacje wykonywane w sposób zautomatyzowany w infrastrukturze usługi, w szczególności zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, wykorzystywanie do generowania powiadomień i raportów, ujawnianie użytkownikom upoważnionym przez Administratora oraz usuwanie.
Cel przetwarzania: świadczenie usługi Nextriv zgodnie z Umową główną i udokumentowanymi poleceniami Administratora. Podmiot przetwarzający nie przetwarza powierzonych danych we własnych celach.
§ 4. Kategorie danych i osób, których dane dotyczą
Powierzenie obejmuje następujące kategorie danych zwykłych:
- dane identyfikacyjne i kontaktowe użytkowników kont w organizacji Administratora: imię i nazwisko, służbowy adres e-mail, opcjonalnie numer telefonu (powiadomienia SMS), rola w systemie;
- dane kontaktów zewnętrznych wskazanych przez Administratora jako odbiorcy powiadomień: imię i nazwisko, adres e-mail, numer telefonu;
- dane o aktywności użytkowników w usłudze: logi zdarzeń, wpisy audit trail, metadane sesji (np. adres IP);
- treści wprowadzane przez użytkowników (np. nazwy lokalizacji, notatki, komentarze do alarmów) — w zakresie, w jakim zawierają dane osobowe.
§ 5. Osoby, których dane dotyczą, i zakaz danych szczególnych
Osoby, których dane dotyczą, to w szczególności: pracownicy i współpracownicy Administratora korzystający z usługi oraz osoby wskazane przez Administratora jako odbiorcy powiadomień.
Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do usługi.
§ 5a. Obowiązki Administratora
Administrator zobowiązuje się powierzać dane przetwarzane zgodnie z prawem: zapewnić ważną podstawę prawną przetwarzania powierzanych danych, realizować obowiązki informacyjne wobec osób, których dane dotyczą (art. 13–14 RODO), oraz wprowadzać do usługi wyłącznie dane, do których powierzenia jest uprawniony.
Administrator odpowiada za treść i zgodność z prawem wydawanych poleceń oraz za dokonaną przez siebie konfigurację usługi (w tym zakres wprowadzanych danych i dobór odbiorców powiadomień), a także niezwłocznie informuje Podmiot przetwarzający o okolicznościach mających wpływ na zgodność przetwarzania z prawem.
§ 6. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający zobowiązuje się:
- przetwarzać dane wyłącznie na udokumentowane polecenie Administratora (za które uznaje się Umowę główną i konfigurację usługi dokonaną przez Administratora) — co dotyczy także przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej — chyba że obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego, któremu podlega; w takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;
- niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii lub państwa członkowskiego o ochronie danych;
- zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi poufności;
- stosować środki techniczne i organizacyjne wymagane przez art. 32 RODO — w tym szyfrowanie transmisji (TLS), logiczną izolację danych pomiędzy organizacjami (separacja na poziomie aplikacji i modelu danych), kontrolę dostępu opartą na rolach, uwierzytelnianie dwuskładnikowe oraz rejestrowanie zdarzeń bezpieczeństwa;
- pomagać Administratorowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO), oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO;
- zgłaszać Administratorowi naruszenia ochrony powierzonych danych bez zbędnej zwłoki po ich stwierdzeniu, nie później niż w ciągu 48 godzin, przekazując informacje niezbędne do oceny naruszenia i ewentualnego zgłoszenia do organu nadzorczego;
- po zakończeniu świadczenia usługi — zależnie od decyzji Administratora — usunąć powierzone dane lub umożliwić ich zwrot (eksport w otwartych formatach), a następnie usunąć istniejące kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie;
- udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
§ 7. Podpowierzenie (podprocesorzy)
Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających (podprocesorów) w zakresie niezbędnym do świadczenia usługi — w szczególności dostawców infrastruktury chmurowej i hostingu, dostawców usług wysyłki wiadomości e-mail (Resend), bramki SMS (SMSAPI), usług sieciowych i bezpieczeństwa (Cloudflare) oraz narzędzi Google i Microsoft. Szczegółowy wykaz podmiotów prawnych, ich ról, lokalizacji przetwarzania i mechanizmów transferu zawiera lista podprocesorów, o której mowa w ust. 2.
Aktualna lista podprocesorów jest publikowana pod adresem nextriv.pl/legal/subprocessors. Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów e-mailem na administracyjny adres e-mail wskazany w Umowie głównej, dając Administratorowi możliwość wyrażenia sprzeciwu w terminie 14 dni od powiadomienia.
W razie sprzeciwu strony w dobrej wierze poszukują rozwiązania alternatywnego. Jeżeli rozwiązanie alternatywne nie jest możliwe, Administrator może wypowiedzieć Umowę główną w części, której świadczenie wymaga udziału kwestionowanego podprocesora, z zachowaniem 30-dniowego okresu wypowiedzenia i bez kar umownych.
Podmiot przetwarzający nakłada na każdego podprocesora — w drodze umowy — te same obowiązki ochrony danych, jakie przewiduje niniejsza Umowa, i odpowiada wobec Administratora za wypełnienie obowiązków przez podprocesorów.
Podmiot przetwarzający przetwarza powierzone dane przede wszystkim w centrach danych zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego. W przypadku podprocesorów przetwarzających dane poza EOG przekazanie odbywa się wyłącznie z zastosowaniem mechanizmów rozdziału V RODO (decyzje o adekwatności, w tym ramy ochrony danych UE–USA (DPF), lub standardowe klauzule umowne).
§ 8. Prawo kontroli (audyt)
Administrator ma prawo do przeprowadzania audytów lub inspekcji zgodności przetwarzania z niniejszą Umową — samodzielnie lub przez upoważnionego audytora niebędącego konkurentem Podmiotu przetwarzającego.
Audyt jest zapowiadany z co najmniej 14-dniowym wyprzedzeniem, przeprowadzany w godzinach pracy, w sposób nieuzasadnienie niezakłócający działalności Podmiotu przetwarzającego, nie częściej niż raz w roku — chyba że audyt jest następstwem stwierdzonego naruszenia lub żądania organu nadzorczego.
W pierwszej kolejności Podmiot przetwarzający realizuje prawo kontroli przez udostępnienie dokumentacji, opisów środków bezpieczeństwa i wyników audytów wewnętrznych. Strony mogą uzgodnić, że koszty audytu wykraczającego poza ten zakres ponosi Administrator.
§ 9. Odpowiedzialność
Każda ze stron odpowiada za szkody spowodowane swoim przetwarzaniem niezgodnym z RODO lub z niniejszą Umową, na zasadach określonych w art. 82 RODO.
Ograniczenia odpowiedzialności przewidziane w Umowie głównej stosuje się do niniejszej Umowy wyłącznie w stosunkach między stronami (inter partes). Nie ograniczają one ani nie wyłączają odpowiedzialności wobec osób, których dane dotyczą, wynikającej z art. 82 RODO, ani odpowiedzialności za szkodę wyrządzoną umyślnie (art. 473 § 2 Kodeksu cywilnego).
§ 10. Postanowienia końcowe
Umowa obowiązuje przez czas obowiązywania Umowy głównej i wygasa wraz z nią, z zastrzeżeniem obowiązków, które ze swojej natury trwają po jej zakończeniu (poufność, usunięcie/zwrot danych).
Prawem właściwym jest prawo polskie. W sprawach nieuregulowanych stosuje się RODO i przepisy krajowe o ochronie danych osobowych.
Niniejszy dokument jest wzorem udostępnianym informacyjnie i nie stanowi oferty. Wiążąca treść umowy powierzenia jest ustalana przy zawieraniu Umowy głównej. Umowa jest zawierana w formie elektronicznej — przez jej akceptację w procesie rejestracji lub zawierania Umowy głównej (art. 28 ust. 9 RODO dopuszcza formę pisemną, w tym elektroniczną); na życzenie klienta możliwe jest również zawarcie DPA w formie pisemnej.