Umowa powierzenia przetwarzania danych osobowych

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa") stanowi Załącznik nr 1 do Regulaminu sprzedaży i jej akceptacja jest częścią akceptacji Regulaminu (§11 ust. 4 Regulaminu).

§1. Strony i przedmiot

1. Umowa jest zawierana pomiędzy: Klientem — administratorem danych w rozumieniu art. 4 pkt 7 RODO (dalej: „Administrator"), a Tutela Labs sp. z o.o., ul. Kazimierza Pułaskiego 6/10, 26-600 Radom, KRS 0001204499, NIP 7963042680 — podmiotem przetwarzającym (dalej: „Procesor") — z chwilą zawarcia umowy sprzedaży zgodnie z §11 ust. 4 Regulaminu.
2. Przedmiot: przetwarzanie przez Procesora, w imieniu Administratora, danych osobowych zawartych w materiałach wgranych przez Administratora do Kreatora (zdjęcia stanowisk pracy oraz dane opisowe stanowisk) — wyłącznie w celu i zakresie określonym w §2.

§2. Charakter, cel, rodzaj danych, kategorie osób, czas trwania (art. 28 ust. 3 RODO)

Dane szczególnych kategorii (art. 9 RODO) nie są objęte powierzeniem — Regulamin (§7) zakazuje ich wgrywania; w razie przypadkowego wgrania stosuje się §6 ust. 4.

§3. Obowiązki Administratora

1. Administrator zapewnia, że dysponuje podstawą prawną przetwarzania danych osób widocznych na zdjęciach — jako pracodawca realizujący obowiązki BHP (art. 6 ust. 1 lit. c/f RODO w zw. z art. 226 Kodeksu pracy) — oraz że spełnił wobec tych osób obowiązek informacyjny (art. 13 RODO).
2. Administrator stosuje zasadę minimalizacji: wgrywa zdjęcia wykonane — o ile to możliwe — tak, aby nie pokazywały twarzy (instrukcja fotografowania w Kreatorze), i tylko w zakresie potrzebnym do analizy.
3. Administrator wydaje Procesorowi udokumentowane polecenia przetwarzania poprzez funkcje Kreatora (upload, generowanie, żądanie usunięcia); niniejsza Umowa wraz z Regulaminem stanowi komplet udokumentowanych poleceń.

§4. Obowiązki Procesora (art. 28 ust. 3 lit. a–h RODO)

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora (w tym w zakresie transferów z §5) — chyba że obowiązek przetwarzania nakłada na niego prawo UE lub państwa członkowskiego; wtedy informuje Administratora przed przetwarzaniem, o ile prawo tego nie zabrania;
2. zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
3. podejmuje środki wymagane na mocy art. 32 RODO — środki techniczne i organizacyjne opisane niżej;
4. przestrzega warunków korzystania z podprocesorów (§5);
5. biorąc pod uwagę charakter przetwarzania, pomaga Administratorowi — przez odpowiednie środki techniczne i organizacyjne — wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO);
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA), z uwzględnieniem charakteru przetwarzania i dostępnych informacji; o naruszeniu ochrony danych powierzonych informuje Administratora bez zbędnej zwłoki, nie później niż w 36 godzin od stwierdzenia naruszenia;
7. po zakończeniu świadczenia usług usuwa dane powierzone zgodnie z polityką retencji (§6), chyba że prawo UE lub państwa członkowskiego nakazuje przechowywanie;
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty (odpowiedź na pisemne zapytanie audytowe w 14 dni roboczych; inspekcja na miejscu — po uzgodnieniu terminu, nie częściej niż raz w roku, na koszt Administratora).

Środki bezpieczeństwa: szyfrowanie transmisji (TLS), uwierzytelnianie (konta z hasłami hashowanymi, tokeny z odświeżaniem), autoryzowany dostęp do plików zdjęć (podwójna autoryzacja pobrań), automatyczne rozmycie twarzy na każdym wgranym zdjęciu przed dalszym przetwarzaniem (zdjęcie zapisujemy wyłącznie w wersji z rozmyciem; gdy rozmycie się nie powiedzie, upload jest odrzucany i mówimy o tym wprost), limity zapytań (rate limiting), rozdzielenie środowisk. W budowie: kopie zapasowe z testem odtworzenia oraz uruchomienie automatu usuwania po okresie retencji na serwerze produkcyjnym (mechanizm jest gotowy i przetestowany, zostaje włączenie go przy wdrożeniu) — do tego czasu retencję i usuwanie na żądanie realizujemy ręcznie (§6).

§5. Podpowierzenie i transfery do państw trzecich

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających (podprocesorów). Aktualna lista podprocesorów jest publikowana w Polityce prywatności (poniżej — ta sama lista); o planowanych zmianach Procesor informuje z wyprzedzeniem 14 dni, dając Administratorowi możliwość wyrażenia sprzeciwu (art. 28 ust. 2 RODO).

1. Na każdego podprocesora Procesor nakłada — umową — te same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy (art. 28 ust. 4 RODO).
2. Transfer danych do państw trzecich (USA) odbywa się wyłącznie z zabezpieczeniami z rozdziału V RODO: decyzja o adekwatności dla podmiotów certyfikowanych w EU-U.S. Data Privacy Framework albo standardowe klauzule umowne (SCC) wraz z oceną transferu.

§6. Usuwanie danych (retencja)

1. Zdjęcia stanowisk pracy są usuwane po 90 dniach od wygenerowania Dokumentu (sesje porzucone bez wygenerowanego Dokumentu — po 30 dniach od uploadu); do czasu wdrożenia automatycznego mechanizmu usuwanie realizowane jest ręcznie, zgodnie z §4 i Polityką prywatności.
2. Administrator może w każdej chwili zażądać wcześniejszego usunięcia zdjęć (funkcja w Kreatorze lub e-mail); usunięcie następuje w 7 dni i obejmuje również kopie zapasowe, zgodnie z §4.
3. Usunięcie zdjęcia nie usuwa wygenerowanego Dokumentu (Dokument z osadzonym zdjęciem pozostaje dostępny dla Administratora zgodnie z Regulaminem i Polityką retencji).
4. Zdjęcia wgrane z naruszeniem Regulaminu (§7 Regulaminu, w tym dane szczególnych kategorii) Procesor usuwa niezwłocznie po stwierdzeniu naruszenia i informuje o tym Administratora.

§7. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron wobec osób, których dane dotyczą, reguluje art. 82 RODO.
2. Umowa obowiązuje przez czas określony w §2 i wygasa z chwilą usunięcia wszystkich danych powierzonych.
3. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Umowa jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO).