Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta między Klientem w rozumieniu regulaminu jako administratorem danych (dalej: „Administrator”) a OnHype Jonasz Stańczyk, ul. Strusia 1b/7, 05-500 Piaseczno, NIP 1231542084, REGON 526631450, jako podmiotem przetwarzającym (dalej: „Procesor”).
2. Umowa zostaje zawarta z chwilą akceptacji regulaminu przy zakładaniu Konta i stanowi jego Załącznik nr 1. Pojęcia pisane wielką literą mają znaczenie nadane im w regulaminie.
3. Umowa realizuje wymogi art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych wyłącznie w celu świadczenia usługi Aplikacji opisanej w regulaminie, w szczególności prowadzenia Rozmów przez Asystenta na stronie Administratora, zbierania leadów, przekazywania Rozmów zespołowi Administratora i udostępniania analityki.
2. Przetwarzanie obejmuje zbieranie, przechowywanie, porządkowanie, analizowanie, udostępnianie Administratorowi, przesyłanie do systemów wskazanych przez Administratora (np. przez webhooki) oraz usuwanie danych.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób: odwiedzający stronę Administratora, którzy rozmawiają z Asystentem, w tym klienci i potencjalni klienci Administratora.
2. Rodzaj danych: treść Rozmów i dane podane w nich dobrowolnie, dane kontaktowe z formularza leadów (np. imię, adres e-mail, numer telefonu i inne pola skonfigurowane przez Administratora), anonimowe identyfikatory odwiedzającego i Rozmowy, informacje techniczne (np. adres odwiedzanej strony, język przeglądarki), a w przypadku sprawdzania statusu zamówienia – dane zamówienia zalogowanego klienta sklepu.
3. Administrator nie powinien konfigurować Asystenta w sposób, który prowadzi do zbierania szczególnych kategorii danych (art. 9 RODO).

§ 4. Czas trwania

Powierzenie trwa przez czas obowiązywania umowy o świadczenie usługi Aplikacji, a po jej zakończeniu – przez czas potrzebny do zwrotu lub usunięcia danych zgodnie z § 9.

§ 5. Obowiązki Procesora

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; za polecenie uznaje się regulamin, tę umowę oraz konfigurację Aplikacji dokonaną przez Administratora,
2. niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza przepisy o ochronie danych,
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
4. stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, o których mowa w art. 32 RODO, w tym szyfrowanie transmisji, szyfrowanie danych dostępowych do integracji, kontrolę dostępu z uwierzytelnianiem dwuskładnikowym i dziennik działań w zespole,
5. pomaga Administratorowi w realizacji praw osób, których dane dotyczą, w szczególności udostępniając w Aplikacji eksport oraz usuwanie Rozmów i leadów,
6. pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.

§ 6. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających z następujących kategorii: dostawcy hostingu i infrastruktury chmurowej, dostawcy modeli językowych (AI) generujących odpowiedzi Asystenta, dostawcy usług poczty elektronicznej oraz dostawca płatności.
2. Aktualną listę dalszych podmiotów przetwarzających Procesor udostępnia na prośbę Administratora wysłaną na hi@yedi.pl.
3. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Procesor informuje Administratora e-mailem z wyprzedzeniem co najmniej 14 dni. Administrator może w tym czasie zgłosić uzasadniony sprzeciw, a jeśli strony nie dojdą do porozumienia – rozwiązać umowę o świadczenie usługi ze skutkiem natychmiastowym.
4. Procesor nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Administratora za ich wykonanie.

§ 7. Przekazywanie danych poza EOG

Dalsze podmioty przetwarzające mogą mieć siedzibę poza Europejskim Obszarem Gospodarczym, w szczególności w Stanach Zjednoczonych. Przekazanie danych odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

§ 8. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail przypisany do Konta.
2. Zgłoszenie zawiera informacje dostępne Procesorowi, potrzebne Administratorowi do oceny naruszenia i ewentualnego zgłoszenia go organowi nadzorczemu, w tym opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i danych oraz zastosowane lub proponowane środki.

§ 9. Zakończenie przetwarzania

Po zakończeniu umowy o świadczenie usługi Administrator może przez 30 dni wyeksportować dane z Aplikacji. Po tym czasie Procesor usuwa powierzone dane, a kopie zapasowe są nadpisywane w ciągu kolejnych 30 dni, chyba że przepisy prawa nakazują dalsze przechowywanie danych.

§ 10. Kontrola

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt, w tym inspekcję, po uprzednim zawiadomieniu Procesora z co najmniej 14-dniowym wyprzedzeniem, w dni robocze i w sposób nieutrudniający działalności Procesora. Audyt może przeprowadzić także audytor upoważniony przez Administratora, zobowiązany do zachowania poufności. Koszty audytu ponosi Administrator.

§ 11. Postanowienia końcowe

1. Odpowiedzialność stron za szkody wynikające z przetwarzania danych określają przepisy RODO oraz postanowienia regulaminu.
2. W sprawach nieuregulowanych stosuje się regulamin oraz przepisy RODO i prawa polskiego.
3. W razie sprzeczności między regulaminem a tą umową w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.