Warunki powierzenia przetwarzania danych (DPA)

1.1. Związek z Umową. Niniejsze Warunki powierzenia przetwarzania danych (dalej również „Warunki powierzenia przetwarzania danych”) stanowią załącznik do Regulaminu spółki JAIK s.r.o., IČO (numer identyfikacyjny): 21536112, DIČ (numer identyfikacji podatkowej): CZ21536112, z siedzibą pod adresem Primátorská 296/38, Libeň, 180 00 Praha 8 (dalej również „Usługodawca” lub „Podmiot przetwarzający”), dotyczącego udostępniania aplikacji KUBA English dla firm (dalej „Regulamin”), oraz integralną część Umowy zawieranej między Użytkownikiem a Usługodawcą, niezależnie od tego, czy została ona zawarta poprzez podpisanie pisemnego Zamówienia, czy poprzez sfinalizowanie zamówienia w Panelu administracyjnym. Przedmiotem Umowy jest udostępnianie platformy i aplikacji KUBA English do nauki języka angielskiego, a także powiązanych usług w zakresie firmowej (B2B) edukacji językowej, w sposób opisany w dokumentacji umownej (tak opisane usługi dalej łącznie również „Usługi”, a Zamówienie, Regulamin, niniejsze Warunki powierzenia przetwarzania danych oraz ewentualne inne dokumenty umowne dalej łącznie „Umowa”). Warunki powierzenia przetwarzania danych regulują prawa i obowiązki Usługodawcy i Użytkownika przy przetwarzaniu danych osobowych w związku ze świadczeniem Usług i wykonywaniem Umowy. Powodem istnienia niniejszych Warunków powierzenia przetwarzania danych jest w szczególności fakt, że Użytkownik za pośrednictwem Usług udostępnia dane osobowe swoich pracowników i innych upoważnionych osób (Autoryzowanych użytkowników) w celu ich edukacji językowej oraz zarządzania ich dostępami w ramach firmowej (B2B) Subskrypcji. Terminy pisane wielką literą mają takie samo znaczenie jak w Umowie, chyba że niniejsze Warunki powierzenia przetwarzania danych stanowią inaczej.

1.2. Status Stron. Użytkownik występuje jako administrator danych osobowych (lub jako podmiot przetwarzający dane osobowe, jeżeli przetwarza dane osobowe na podstawie powierzenia przez osobę trzecią, np. przez członków swojej grupy). Usługodawca występuje jako podmiot przetwarzający dane osobowe (lub jako dalszy podmiot przetwarzający). Niniejsze Warunki powierzenia przetwarzania danych zawiera się zgodnie z art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej „RODO”) oraz zgodnie z czeską ustawą nr 110/2019 Sb. o przetwarzaniu danych osobowych.

1.3. Tryby korzystania z Usług i status Usługodawcy. Z Usług można korzystać w dwóch trybach. Poszczególni użytkownicy mogą korzystać z Aplikacji bezpośrednio na podstawie własnej rejestracji i Warunków dla użytkowników końcowych; w takim przypadku administratorem danych osobowych tych użytkowników jest Usługodawca, a tryb ten nie jest objęty niniejszymi Warunkami powierzenia przetwarzania danych. Ponadto Autoryzowani użytkownicy mogą zostać włączeni do Usług w ramach firmowego (B2B) partnerstwa z Użytkownikiem, w ramach którego Usługodawca zapewnia na rzecz Użytkownika w szczególności zarządzanie Subskrypcją B2B, przydzielanie i odbieranie dostępów oraz udostępnianie przeglądu postępów Autoryzowanych użytkowników w nauce; w tym zakresie Usługodawca występuje jako podmiot przetwarzający dane osobowe i zastosowanie mają niniejsze Warunki powierzenia przetwarzania danych. Każdy poszczególny użytkownik zawsze sam zakłada własne konto użytkownika i nim zarządza, a w odniesieniu do tego konta administratorem danych osobowych pozostaje Usługodawca; usunięcie Autoryzowanego użytkownika przez Użytkownika z Panelu administracyjnego powoduje wygaśnięcie dostępu Autoryzowanego użytkownika w ramach firmowej (B2B) Subskrypcji Użytkownika, nie wpływa to jednak na jego własne konto użytkownika.

1.4. Powierzenie przetwarzania. Użytkownik niniejszym powierza Usługodawcy przetwarzanie danych osobowych w zakresie i na warunkach określonych w niniejszych Warunkach powierzenia przetwarzania danych. Usługodawca jest zobowiązany przetwarzać dane osobowe wyłącznie na podstawie udokumentowanych poleceń Użytkownika, przy czym za takie polecenie uważa się zawarcie Umowy i wykonywanie obowiązków Usługodawcy wynikających z Umowy i niniejszych Warunków powierzenia przetwarzania danych, a także wykonywanie czynności, które Użytkownik (lub wyznaczony przez niego administrator konta) aktywuje i skonfiguruje za pośrednictwem Panelu administracyjnego.

1.5. Zależność od Umowy. Niniejsze Warunki powierzenia przetwarzania danych są zależne od Umowy. Warunki powierzenia przetwarzania danych wchodzą w życie z dniem wejścia w życie Umowy i tracą moc z chwilą zakończenia Umowy, chyba że niniejsze Warunki powierzenia przetwarzania danych stanowią inaczej.

2.1. Przedmiot i rodzaje danych osobowych. Przedmiotem przetwarzania są dane osobowe, które Usługodawca przetwarza przy świadczeniu Usług, w szczególności:

a) dane identyfikacyjne Autoryzowanych użytkowników, takie jak imię, nazwisko, stanowisko/rola oraz oznaczenie jednostki organizacyjnej (np. nazwa oddziału lub działu), jeżeli Użytkownik (lub jego administrator konta) wprowadzi je w Panelu administracyjnym;

b) dane kontaktowe Autoryzowanych użytkowników, w szczególności służbowy adres e-mail (który jednocześnie służy jako unikalny identyfikator Autoryzowanego użytkownika), ewentualnie numer telefonu, jeżeli został podany;

c) dane logowania i uwierzytelniania, takie jak nazwa użytkownika, hasło przechowywane w postaci zahashowanej, rejestry logowań oraz dane weryfikacyjne;

d) dane techniczne i eksploatacyjne, w szczególności adresy IP, rejestry aktywnych sesji (sessions), rejestry czasu logowania i czasu spędzonego w Aplikacji oraz inne logi aktywności w Aplikacji;

e) dane dotyczące nauki i wyników, w szczególności początkowy poziom wiedzy, ukończone lekcje i aktywności, postępy w nauce, wyniki ćwiczeń i testów, spersonalizowany plan nauki, statystyki aktywności, a także treść rozmów z edukacyjnym asystentem AI, w tym nagrania głosowe i ich transkrypcje, które Autoryzowany użytkownik utworzy w Aplikacji;

f) inne dane zawarte w Danych Użytkownika udostępnionych Usługodawcy w ramach świadczenia Usług (np. dane zawarte w notatkach administracyjnych, dane przekazane przy zapraszaniu lub imporcie Autoryzowanych użytkowników lub dane przekazane w ramach wsparcia technicznego).

2.2. Kategorie osób, których dane dotyczą. Osobami, których dane dotyczą i których dane osobowe są przetwarzane na podstawie niniejszych Warunków powierzenia przetwarzania danych, są:

a) Autoryzowani użytkownicy Aplikacji wyznaczeni przez Użytkownika, w szczególności pracownicy, członkowie organów statutowych, wspólnicy, konsultanci, dostawcy, pracownicy tymczasowi oraz inne osoby, którym Użytkownik umożliwi dostęp do Aplikacji w ramach firmowej (B2B) Subskrypcji;

b) administratorzy konta jako szczególna kategoria Autoryzowanych użytkowników wyznaczonych przez Użytkownika (w szczególności pracownicy działu kadr/HR Użytkownika), którzy mają dostęp do Panelu administracyjnego i zarządzają kontami użytkowników, dostępami oraz Subskrypcją Użytkownika.

3.1. Charakter przetwarzania. Usługodawca przetwarza dane osobowe w formie elektronicznej. Charakter przetwarzania polega w szczególności na prowadzeniu platformy i aplikacji do nauki języka angielskiego (zbieranie, przechowywanie, porządkowanie, udostępnianie i wyświetlanie treści edukacyjnych, ewidencja postępów i wyników Autoryzowanych użytkowników, personalizacja nauki oraz zapewnienie interaktywnej rozmowy z narzędziem AI, w tym rozpoznawania i syntezy mowy) oraz na zapewnianiu powiązanych usług związanych z zarządzaniem firmową (B2B) Subskrypcją Użytkownika (zarządzanie kontami użytkowników i ich synchronizacja, przydzielanie i odbieranie dostępów oraz udostępnianie Użytkownikowi przeglądów postępów Autoryzowanych użytkowników). Przetwarzanie odbywa się za pośrednictwem Aplikacji i Panelu administracyjnego.

3.2. Cel przetwarzania. Celem przetwarzania danych osobowych jest:

a) zapewnienie działania i udostępnianie platformy do nauki języka angielskiego, w tym dostępu Autoryzowanych użytkowników do treści edukacyjnych, personalizacji nauki i ewidencji ich postępów;

b) zarządzanie kontami użytkowników, przydzielanie i odbieranie dostępów oraz zarządzanie firmową (B2B) Subskrypcją i Panelem administracyjnym, w tym wysyłanie zaproszeń do Autoryzowanych użytkowników z inicjatywy Użytkownika;

c) zapewnienie technicznego działania, bezpieczeństwa, dostępności i integralności Aplikacji, w tym rejestrowania dostępów i aktywności w logach oraz ochrony przed nadużyciami;

d) wykonywanie innych obowiązków Usługodawcy wynikających z Umowy, w szczególności świadczenie wsparcia technicznego.

3.3. Zakres przeglądów udostępnianych Użytkownikowi. Usługodawca udostępnia administratorowi konta Użytkownika w Panelu administracyjnym następujące dane o każdym Autoryzowanym użytkowniku: imię, nazwisko, służbowy adres e-mail, dział (jeżeli został wprowadzony), status dostępu, datę ostatniej aktywności, liczbę aktywnych dni, długość serii aktywnych dni, liczbę i łączny czas trwania rozmów, rodzaj i nazwę rozmów, liczbę ukończonych lekcji i ćwiczeń, liczbę błędów i ich zmianę w czasie oraz inne zbiorcze wskaźniki postępów w nauce. Usługodawca nie udostępnia Użytkownikowi treści rozmów Autoryzowanego użytkownika, ich transkrypcji ani nagrań głosowych.

3.4. Oświadczenie Użytkownika. Użytkownik oświadcza, że posiada właściwą podstawę prawną do udostępnienia danych osobowych Autoryzowanych użytkowników Usługodawcy i do ich przetwarzania w ramach Usług oraz że wypełnił wszystkie obowiązki informacyjne i podobne, które nakładają na niego przepisy prawa wobec Autoryzowanych użytkowników (w szczególności wobec jego pracowników), w tym poinformował Autoryzowanych użytkowników o tym, że ich udział w edukacji językowej za pośrednictwem Usług i związane z tym przetwarzanie danych osobowych odbywa się z inicjatywy Użytkownika oraz że Użytkownik ma dostęp do zestawień w zakresie określonym w artykule 3.3. Usługodawca udostępnia Użytkownikowi w tym celu wzór informacji dla Autoryzowanych użytkowników, z którego Użytkownik może skorzystać. Użytkownik odpowiada za prawidłowość, aktualność i legalność danych, które wprowadzi lub zaimportuje do Panelu administracyjnego w odniesieniu do Autoryzowanych użytkowników.

4.1. Okres przetwarzania. Przetwarzanie danych osobowych odbywa się przez okres obowiązywania Umowy, względnie przez okres trwania Subskrypcji Użytkownika. Po zakończeniu Umowy lub wygaśnięciu ostatniej Subskrypcji Usługodawca jest uprawniony do przetwarzania danych osobowych wyłącznie w zakresie niezbędnym do wypełnienia obowiązków wynikających z przepisów prawa lub z niniejszych Warunków powierzenia przetwarzania danych, w szczególności w celu ochrony roszczeń prawnych Usługodawcy i Użytkownika.

4.2. Zakończenie przetwarzania. Po zakończeniu Umowy lub – jeżeli ostatnia Subskrypcja Użytkownika wygaśnie wcześniej – po wygaśnięciu tej Subskrypcji Usługodawca, zależnie od wyboru Użytkownika, albo zwróci Użytkownikowi wszystkie dane osobowe przetwarzane na podstawie niniejszych Warunków powierzenia przetwarzania danych, a następnie je usunie, albo po upływie 30 dni trwale usunie lub zniszczy wszystkie dane osobowe przetwarzane na podstawie niniejszych Warunków powierzenia przetwarzania danych, w tym wszystkie istniejące kopie, chyba że prawo Unii Europejskiej lub Republiki Czeskiej nakazuje ich dalsze przechowywanie. Jeżeli Użytkownik nie poinformuje Usługodawcy o swoim wyborze najpóźniej w terminie 30 dni od zakończenia Umowy (względnie wygaśnięcia Subskrypcji), uważa się, że wybrał usunięcie. Użytkownik przyjmuje do wiadomości, że poszczególni Autoryzowani użytkownicy mogą nadal samodzielnie korzystać z Aplikacji na podstawie własnego konta użytkownika i Warunków dla użytkowników końcowych, przy czym w odniesieniu do tych kont Usługodawca jest odrębnym administratorem danych osobowych, a zakończenie obowiązywania niniejszych Warunków powierzenia przetwarzania danych nie ma wpływu na ten stosunek. Niniejszy artykuł nie narusza uprawnienia Usługodawcy do dalszego przetwarzania Danych pochodnych zgodnie z Umową; dane osobowe ewentualnie zawarte w Danych pochodnych Usługodawca po zakończeniu przetwarzania zgodnie z niniejszym artykułem przechowuje wyłącznie w postaci zanonimizowanej lub zagregowanej, uniemożliwiającej identyfikację osób, których dane dotyczą.

5.1. Polecenia Użytkownika. Usługodawca przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń Użytkownika. Za udokumentowane polecenie Użytkownika uważa się w szczególności zawarcie Umowy, wykonywanie obowiązków wynikających z Umowy i niniejszych Warunków powierzenia przetwarzania danych oraz każde inne polecenie Użytkownika wydane na piśmie lub elektronicznie za pośrednictwem e-maila osoby kontaktowej, ewentualnie za pośrednictwem Panelu administracyjnego (w szczególności zaproszenie, wgranie lub import Autoryzowanych użytkowników, przydzielenie lub odebranie dostępów itp.). Jeżeli obowiązek przetwarzania danych osobowych nakłada na Usługodawcę prawo Unii Europejskiej lub państwa członkowskiego, Usługodawca informuje Użytkownika o tym wymogu przed rozpoczęciem przetwarzania, chyba że udzielenie takiej informacji byłoby zakazane z uwagi na ważny interes publiczny.

5.2. Niewłaściwe polecenia. Usługodawca bez zbędnej zwłoki informuje Użytkownika, jeżeli jego zdaniem polecenie Użytkownika jest sprzeczne z RODO lub innymi przepisami o ochronie danych osobowych. Usługodawca nie jest zobowiązany do oceny dopuszczalności prawnej poleceń Użytkownika w zakresie wykraczającym poza oczywistą sprzeczność z przepisami prawa. W przypadku sprzeczności z przepisami prawa Usługodawca może odmówić wykonania polecenia Użytkownika, przy czym w takim przypadku nie popada w jakąkolwiek zwłokę w świadczeniu Usług.

5.3. Poufność. Usługodawca zapewni, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy.

5.4. Współdziałanie przy wykonywaniu praw osób, których dane dotyczą. Usługodawca pomaga Użytkownikowi, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO, w terminie 14 dni od dnia doręczenia wniosku Użytkownika. Jeżeli Usługodawca otrzyma żądanie osoby, której dane dotyczą, bezpośrednio, przekaże je bez zbędnej zwłoki Użytkownikowi. Ewentualnymi kosztami Usługodawcy związanymi ze współdziałaniem wykraczającym poza zwykły zakres Usługodawca jest uprawniony obciążyć Użytkownika w odpowiedniej wysokości.

5.5. Współdziałanie przy wykonywaniu obowiązków Użytkownika. Usługodawca pomaga Użytkownikowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo przetwarzania, zgłaszanie naruszeń ochrony danych osobowych, ocena skutków dla ochrony danych oraz uprzednie konsultacje z organem nadzorczym), uwzględniając charakter przetwarzania oraz informacje dostępne Usługodawcy, w terminie 14 dni od doręczenia wniosku Użytkownika. Ewentualnymi kosztami Usługodawcy związanymi ze współdziałaniem wykraczającym poza zwykły zakres Usługodawca jest uprawniony obciążyć Użytkownika w pełnej wysokości.

6.1. Ogólna pisemna zgoda. Użytkownik udziela Usługodawcy ogólnej pisemnej zgody w rozumieniu art. 28 ust. 2 RODO na zaangażowanie dalszych podmiotów przetwarzających (subprocesorów) do przetwarzania danych osobowych w związku ze świadczeniem Usług. Użytkownik przyjmuje do wiadomości i zgadza się, że Usługi są świadczone z wykorzystaniem technologii i usług osób trzecich oraz że zaangażowanie tych dalszych podmiotów przetwarzających jest niezbędne do należytego świadczenia Usług.

6.2. Lista dalszych podmiotów przetwarzających. Na dzień wejścia w życie niniejszych Warunków powierzenia przetwarzania danych Usługodawca korzysta przy świadczeniu Usług z następujących dalszych podmiotów przetwarzających:

a) Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irlandia (oraz spółki z grupy Google) — dostawca infrastruktury chmurowej, na której działają Aplikacja, Panel administracyjny i baza danych, w tym pamięć masowa Danych Użytkownika; przetwarzanie odbywa się w centrum danych w Unii Europejskiej (region europe-west3, Frankfurt nad Menem); ponadto dostawca usług Firebase (dostarczanie powiadomień, zdalna konfiguracja i raportowanie błędów mobilnej Aplikacji) oraz logowania za pomocą konta Google; ewentualne przekazywanie do USA na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework;

b) Google LLC / Google Cloud EMEA Limited (Gemini API) — generatywna sztuczna inteligencja na potrzeby rozmów edukacyjnych i powiązanych funkcji; treść rozmów (zarówno tekst, jak i transkrypcje głosu) jest przetwarzana przez modele Gemini za pośrednictwem płatnego interfejsu Gemini API w ramach projektu chmurowego Usługodawcy, do którego zastosowanie mają warunki Google Cloud oraz jego aneks dotyczący przetwarzania danych; zgodnie z warunkami płatnej usługi Google nie wykorzystuje tych danych do trenowania swoich modeli; przetwarzanie może odbywać się również poza Unią Europejską na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework;

c) OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irlandia — generatywna sztuczna inteligencja na potrzeby wybranych funkcji edukacyjnych, za pośrednictwem interfejsu API; zgodnie z warunkami API OpenAI nie wykorzystuje tych danych do trenowania swoich modeli; przekazywanie do USA na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework;

d) ElevenLabs, Inc., 169 Madison Ave, New York, NY 10016, USA — rozpoznawanie mowy (zamiana głosu na tekst) i synteza mowy (zamiana tekstu na głos) na potrzeby rozmów głosowych; przekazywanie do USA na podstawie standardowych klauzul umownych;

e) Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA — monitorowanie błędów i wyjątków Aplikacji i Panelu administracyjnego; przekazywanie do USA na podstawie standardowych klauzul umownych;

f) Mixpanel, Inc., One Front Street, San Francisco, CA 94111, USA — analityka produktowa korzystania z Aplikacji; przekazywanie do USA na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework;

g) OneSignal, Inc., 2850 S Delaware St, San Mateo, CA 94403, USA — dostarczanie powiadomień i e-maili Autoryzowanym użytkownikom; przekazywanie do USA na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework;

h) Twilio Inc. (SendGrid), 101 Spear Street, San Francisco, CA 94105, USA — wysyłanie e-maili transakcyjnych, w szczególności zaproszeń do Autoryzowanych użytkowników z inicjatywy Użytkownika; przekazywanie do USA na podstawie standardowych klauzul umownych;

i) Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlandia — przetwarzanie płatności i prowadzenie danych rozliczeniowych administratorów konta Użytkownika; dane kart płatniczych przetwarza wyłącznie Stripe i nie są one udostępniane Usługodawcy; ewentualne przekazywanie do USA na podstawie standardowych klauzul umownych oraz ram EU–US Data Privacy Framework.

6.3. Lokalizacja danych. Podstawowe przechowywanie danych osobowych Autoryzowanych użytkowników (baza danych i pamięć masowa) odbywa się w centrum danych w Unii Europejskiej (Google Cloud, region europe-west3, Frankfurt nad Menem). Przekazywanie danych osobowych do państw trzecich następuje wyłącznie w przypadku dalszych podmiotów przetwarzających wymienionych w artykule 6.2, i to zawsze na podstawie odpowiednich zabezpieczeń zgodnie z rozdziałem V RODO (w szczególności standardowych klauzul umownych lub decyzji stwierdzającej odpowiedni stopień ochrony).

6.4. Informowanie o zmianach. Usługodawca informuje Użytkownika o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających co najmniej 30 dni wcześniej, za pośrednictwem e-maila wysłanego na adres osoby kontaktowej Użytkownika lub poprzez powiadomienie w Panelu administracyjnym. Użytkownik ma prawo wnieść sprzeciw wobec zmiany na piśmie w terminie 15 dni od otrzymania powiadomienia. Jeżeli Użytkownik nie wniesie sprzeciwu w wyznaczonym terminie, uważa się, że wyraża zgodę na zmianę.

6.5. Rozpatrywanie sprzeciwów. W przypadku gdy Użytkownik wniesie zasadny sprzeciw wobec zaangażowania dalszego podmiotu przetwarzającego, Usługodawca dołoży rozsądnych starań, aby zaproponować rozwiązanie alternatywne. Jeżeli rozwiązanie alternatywne nie jest możliwe lub uzasadnione z handlowego punktu widzenia, Usługodawca może zaprzestać świadczenia Usług lub niektórych ich części, przy czym nie powoduje to jakiejkolwiek zwłoki po stronie Usługodawcy, ewentualnie każda ze stron może rozwiązać Umowę ze skutkiem na dzień zamierzonej zmiany; w takim przypadku Usługodawca zwróci Użytkownikowi proporcjonalną część opłaty uiszczonej za niewykorzystaną część bieżącego okresu.

6.6. Obowiązki wobec dalszych podmiotów przetwarzających. Usługodawca zapewni w drodze umowy, aby każdy dalszy podmiot przetwarzający był związany obowiązkami w zakresie ochrony danych osobowych co najmniej równoważnymi obowiązkom określonym w niniejszych Warunkach powierzenia przetwarzania danych. Usługodawca odpowiada wobec Użytkownika za wypełnianie obowiązków przez dalszy podmiot przetwarzający w zakresie określonym w art. 28 ust. 4 RODO.

7.1. Środki techniczne i organizacyjne. Usługodawca wdrożył i utrzymuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku przetwarzania w rozumieniu art. 32 RODO, w szczególności:

a) szyfrowanie danych osobowych podczas przesyłania (TLS/HTTPS) oraz w miejscu przechowywania;

b) zapewnienie stałej poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentów fizycznych lub technicznych (tworzenie kopii zapasowych i procesy odtwarzania);

d) proces regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych;

e) zarządzanie dostępem do danych osobowych zgodnie z zasadą najmniejszych uprawnień (least privilege) oraz rozdzielenie ról w ramach Panelu administracyjnego (Autoryzowany użytkownik, administrator konta Użytkownika, superadmin Usługodawcy);

f) przechowywanie danych dostępowych (haseł) wyłącznie w postaci zahashowanej oraz obsługa uwierzytelniania dwuskładnikowego;

g) rejestrowanie w logach dostępów do danych osobowych i operacji administracyjnych, przy czym logi audytowe są przechowywane przez okres co najmniej 6 miesięcy;

h) logiczne oddzielenie danych poszczególnych Użytkowników oraz zarządzanie dostępami w Panelu administracyjnym w taki sposób, aby administrator konta Użytkownika miał dostęp wyłącznie do danych Autoryzowanych użytkowników w ramach własnej firmowej Subskrypcji;

i) przetwarzanie danych płatniczych wyłącznie za pośrednictwem certyfikowanego dostawcy usług płatniczych (PCI DSS); dane kart płatniczych nie są przechowywane przez Usługodawcę.

7.2. Incydenty bezpieczeństwa. W przypadku naruszenia ochrony danych osobowych Usługodawca zgłasza to naruszenie Użytkownikowi bez zbędnej zwłoki po powzięciu o nim wiadomości, nie później jednak niż w ciągu 48 godzin, w zakresie informacji, które są mu w danym momencie znane. Następnie Usługodawca bez zbędnej zwłoki uzupełnia wszystkie informacje w zakresie określonym w art. 33 ust. 3 RODO, gdy tylko staną się dostępne. Zgłoszenie przesyła się na adres e-mail osoby kontaktowej Użytkownika.

8.1. Prawo do audytu. Usługodawca umożliwi Użytkownikowi lub upoważnionemu przez niego niezależnemu audytorowi przeprowadzanie audytów i inspekcji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO i niniejszych Warunków powierzenia przetwarzania danych, na następujących warunkach:

a) Użytkownik jest uprawniony do przeprowadzenia audytu nie częściej niż raz na 12 miesięcy, chyba że audytu wymaga organ nadzorczy lub dojdzie do naruszenia ochrony danych osobowych;

b) Użytkownik zawiadomi Usługodawcę o zamiarze przeprowadzenia audytu co najmniej 30 dni wcześniej, a strony uzgodnią z wyprzedzeniem zakres, harmonogram i warunki bezpieczeństwa audytu;

c) audyt będzie przeprowadzany w godzinach pracy Usługodawcy i w sposób możliwie najmniej zakłócający działalność Usługodawcy;

d) audytor jest zobowiązany do zachowania w tajemnicy wszelkich faktów, o których dowie się w trakcie audytu, a Usługodawca jest uprawniony do żądania podpisania umowy o zachowaniu poufności przed rozpoczęciem audytu;

e) Usługodawca może w odpowiednim zakresie zaspokoić żądanie przeprowadzenia audytu poprzez udzielenie pisemnych odpowiedzi, przekazanie dokumentacji oraz wyników niezależnych audytów lub certyfikacji dalszych podmiotów przetwarzających, jeżeli jest to wystarczające do wykazania zgodności.

8.2. Koszty audytu. Wszelkie koszty związane z przeprowadzeniem audytu ponosi Użytkownik, z wyjątkiem przypadków, gdy audyt wykaże istotne naruszenie obowiązków Usługodawcy wynikających z niniejszych Warunków powierzenia przetwarzania danych. W takim przypadku koszty audytu ponosi Usługodawca.

9.1. Ograniczenie odpowiedzialności. Odpowiedzialność Usługodawcy za szkodę wyrządzoną naruszeniem obowiązków wynikających z niniejszych Warunków powierzenia przetwarzania danych podlega postanowieniom Regulaminu dotyczącym ograniczenia odpowiedzialności (artykuł 7 Regulaminu); limit odpowiedzialności określony w artykule 7.2 Regulaminu jest wspólny dla roszczeń wynikających z Umowy oraz z niniejszych Warunków powierzenia przetwarzania danych.

9.2. Wyłączenie odpowiedzialności. Usługodawca nie ponosi odpowiedzialności za szkodę powstałą w wyniku przetwarzania danych osobowych zgodnie z poleceniami Użytkownika, w wyniku braku współdziałania ze strony Użytkownika, w wyniku naruszenia obowiązków Użytkownika jako administratora danych osobowych (w szczególności obowiązku informacyjnego wobec własnych pracowników i innych Autoryzowanych użytkowników) lub w wyniku działań lub zaniechań osób trzecich, na które Usługodawca nie mógł w rozsądny sposób wpłynąć.

9.3. Wzajemne współdziałanie. W przypadku gdy wobec którejkolwiek ze stron zostanie zgłoszone roszczenie osoby, której dane dotyczą, lub wszczęte postępowanie przez organ nadzorczy w związku z przetwarzaniem danych osobowych na podstawie niniejszych Warunków powierzenia przetwarzania danych, strony będą zapewniać sobie wzajemnie odpowiednie współdziałanie w celu obrony przed takim roszczeniem lub w takim postępowaniu.

9.4. Szczególne wyłączenie. Użytkownik gwarantuje, że posiada właściwą podstawę prawną do udostępniania i przetwarzania danych osobowych Autoryzowanych użytkowników w ramach Usług (w szczególności przy zapraszaniu lub imporcie Autoryzowanych użytkowników oraz przydzielaniu dostępów w ramach firmowej Subskrypcji) oraz że wypełnia wszystkie obowiązki wynikające z RODO, czeskiej ustawy nr 110/2019 Sb. o przetwarzaniu danych osobowych oraz kodeksu pracy (w szczególności obowiązek informacyjny wobec pracowników będących Autoryzowanymi użytkownikami oraz ewentualne współdziałanie z przedstawicielami pracowników lub z organizacją związkową). Usługodawca nie odpowiada za jakąkolwiek szkodę, która powstanie po stronie Użytkownika w związku z naruszeniem tych obowiązków Użytkownika. Usługodawca jest ponadto uprawniony do odmowy wykonania polecenia Użytkownika w przypadku, gdy byłoby ono sprzeczne z wyżej wymienionymi przepisami prawa.

9.5. Zwrot kar pieniężnych i sankcji. Jeżeli w związku z przetwarzaniem danych osobowych na podstawie niniejszych Warunków powierzenia przetwarzania danych organ nadzorczy wszcznie wobec Usługodawcy kontrolę lub dojdzie do wszczęcia postępowania administracyjnego lub innego postępowania w związku z przetwarzaniem danych osobowych, a jego wynikiem będzie nałożenie na Usługodawcę kary pieniężnej, której podstawą będzie naruszenie obowiązków Użytkownika jako administratora danych osobowych (w szczególności obowiązków Użytkownika określonych w niniejszych Warunkach powierzenia przetwarzania danych lub wynikających z poleceń Użytkownika), Użytkownik jest zobowiązany zwrócić Usługodawcy równowartość tej kary pieniężnej w pełnej wysokości w terminie 30 dni od dnia uprawomocnienia się decyzji danego organu, przy czym o uprawomocnieniu się decyzji Usługodawca poinformuje Użytkownika. Obowiązek naprawienia szkody stosuje się odpowiednio również do rozstrzygnięć dotyczących roszczeń zgłoszonych przez osoby, których dane dotyczą.

10.1. Postanowienia pozostające w mocy. Obowiązek zachowania poufności, postanowienia dotyczące odpowiedzialności oraz obowiązki związane z usunięciem lub zwrotem danych osobowych pozostają w mocy również po zakończeniu Umowy.

10.2. Pierwszeństwo. W przypadku sprzeczności między niniejszymi Warunkami powierzenia przetwarzania danych a pozostałymi częściami Umowy (w tym Regulaminem) w kwestiach przetwarzania danych osobowych pierwszeństwo mają niniejsze Warunki powierzenia przetwarzania danych.