Umowa powierzenia przetwarzania danych (DPA)

Projekt do zawarcia wraz z Umową Struvo. Przed rozpoczęciem powierzenia należy potwierdzić strony, zakres usługi oraz wskazane poniżej parametry produkcyjne. Publikacja strony nie zastępuje zawarcia DPA w formie pisemnej, w tym elektronicznej.

1. Strony, przedmiot i czas

Klient oznaczony w zamówieniu jest administratorem danych projektowych, a Operator wskazany w Regulaminie jest podmiotem przetwarzającym. Jeżeli Klient sam działa jako procesor, niniejsze warunki stosuje się odpowiednio do dalszego powierzenia, pod warunkiem upoważnienia od właściwego administratora.

Powierzenie służy dostarczaniu Struvo: przechowywaniu i udostępnianiu dokumentacji uprawnionym osobom, organizacji projektów i rejestrów pracy, przygotowaniu eksportów, obsłudze zgłoszeń i zleconej analizie AI. Trwa przez okres wykonywania Umowy oraz niezbędny okres zwrotu i usunięcia danych. W kwestiach powierzenia DPA ma pierwszeństwo przed sprzecznym postanowieniem Regulaminu, bez ograniczania praw bezwzględnie obowiązujących.

2. Charakter operacji, osoby i dane

Operacje obejmują otrzymywanie, zapisywanie, organizowanie, przechowywanie, odczyt, udostępnianie zgodnie z uprawnieniami, tworzenie kopii, eksport, usuwanie i analizę wyłącznie w celu wykonania instrukcji. AI przetwarza treść przekazaną do danej funkcji, a nie uzyskuje samoistnego prawa do całego archiwum.

Osoby: użytkownicy i reprezentanci Klienta, pracownicy, podwykonawcy, kontrahenci oraz osoby przypadkowo utrwalone w dokumentacji. Dane: imię i nazwisko, kontakt, funkcja i uprawnienia, informacje o pracy i aktywności, wizerunek, lokalizacja projektu, opisy, zdjęcia, pliki i ich metadane.

Usługa nie jest przeznaczona do rutynowego przetwarzania danych z art. 9 i 10 RODO. Gdy takie dane są rzeczywiście niezbędne, przed ich powierzeniem strony muszą udokumentować zakres, podstawę, ryzyko i dodatkowe zabezpieczenia. Klient odpowiada za legalność pozyskania, minimalizację i obowiązki informacyjne; nie zwalnia to Operatora z jego własnych obowiązków.

3. Instrukcje i poufność

Instrukcjami są Umowa i DPA, ustawienia oraz uprawnione działania użytkowników w ramach usługi, a także udokumentowane dyspozycje upoważnionego przedstawiciela Klienta. Instrukcje poza uzgodnionym zakresem wymagają uzgodnienia sposobu wykonania. Kontakt: privacy@struvo.pl.

Operator przetwarza dane wyłącznie na udokumentowane polecenie, także w odniesieniu do transferów poza EOG. Wyjątek dotyczy obowiązku wynikającego z prawa UE lub państwa członkowskiego; przed przetwarzaniem Operator informuje o nim Klienta, chyba że prawo zakazuje tego z ważnych względów interesu publicznego. Jeżeli polecenie narusza RODO lub inne przepisy UE albo państwa członkowskiego o ochronie danych, Operator niezwłocznie informuje Klienta i wstrzymuje kwestionowaną operację do wyjaśnienia w zakresie dopuszczalnym prawem.

Dostęp otrzymują tylko osoby upoważnione i zobowiązane do poufności umownie lub ustawowo, w zakresie potrzebnym do zadania. Obowiązek poufności trwa po zakończeniu dostępu. Operator nie używa powierzonych treści do własnego marketingu ani treningu ogólnych modeli bez odrębnej, zgodnej z prawem podstawy i odpowiedniego uzgodnienia; dostawcy AI muszą być związani warunkami zgodnymi z tą instrukcją.

4. Bezpieczeństwo i załącznik techniczny

Operator wdraża i utrzymuje środki z art. 32 RODO odpowiednie do stanu wiedzy, kosztów, charakteru, zakresu, kontekstu, celów i ryzyka. Załącznik techniczny obejmuje:

• Kontrolę uprawnień do organizacji i projektów, logiczne oddzielenie danych klientów, uwierzytelnianie i ograniczenie dostępu administracyjnego według potrzeb.
• Ochronę transmisji przez HTTPS/TLS oraz prywatny magazyn plików z autoryzacją i krótkotrwałymi podpisanymi adresami dostępu. Nie jest to zapewnienie szyfrowania end-to-end przed procesorem.
• Procedury zarządzania uprawnieniami, sekretami, aktualizacjami i incydentami, ewidencję istotnych operacji oraz ograniczanie danych w logach.
• Zdolność zapewniania poufności, integralności, dostępności i odporności, odtwarzania dostępności po incydencie oraz regularnego sprawdzania skuteczności zabezpieczeń. Samo istnienie kodu nie dowodzi wykonania testu odtworzenia.

Do uzgodnienia przed powierzeniem: regiony i państwa przetwarzania, szyfrowanie spoczynkowe dla poszczególnych zasobów, częstotliwość i retencja kopii, maksymalny czas ich usunięcia, sposób i częstotliwość testów odtworzenia, retencja logów, odpowiedzialność za obsługę incydentów oraz ewentualne RPO/RTO. Strony zapisują te parametry w załączniku do zamówienia. Nie należy zastępować ich deklaracjami o niezweryfikowanym SLA.

5. Dalsze powierzenie i transfery

Klient udziela ogólnego pisemnego upoważnienia do dalszego powierzenia podmiotom z uzgodnionego wykazu stanowiącego załącznik do DPA, dostępnego na stronie Dostawcy i podprocesorzy. Należy wskazać pełną nazwę strony umowy, zakres, państwa przetwarzania i mechanizm transferu. Wpis dotyczący odrębnego administratora nie jest automatycznie upoważnieniem do dalszego powierzenia.

Operator zawiadamia Klienta e-mailem o planowanym dodaniu lub zastąpieniu podprocesora co najmniej 14 dni przed powierzeniem mu danych. W tym czasie Klient może zgłosić uzasadniony sprzeciw związany z ochroną danych. Strony uzgadniają rozwiązanie, np. innego dostawcę lub wyłączenie funkcji; do czasu rozwiązania sprzeciwu dane Klienta nie są przekazywane nowemu podprocesorowi. Gdy rozwiązanie nie jest możliwe, Klient może zakończyć dotkniętą usługę przed zmianą, bez kary, z proporcjonalnym zwrotem niewykorzystanej przedpłaty i zachowaniem prawa do eksportu.

Operator nakłada na podprocesora co najmniej takie same obowiązki ochrony danych jak wynikające z DPA, w tym dostateczne gwarancje środków bezpieczeństwa, i pozostaje odpowiedzialny wobec Klienta za wykonanie jego obowiązków. Transfer wymaga podstawy z rozdziału V RODO; sam wybór europejskiego regionu lub deklaracja TLS jej nie zastępuje.

6. Pomoc i naruszenia

Z uwzględnieniem charakteru przetwarzania Operator pomaga Klientowi odpowiednimi środkami technicznymi i organizacyjnymi w odpowiedzi na żądania z rozdziału III RODO. Żądanie otrzymane bezpośrednio przekazuje Klientowi bez zbędnej zwłoki; nie rozstrzyga go samodzielnie, chyba że upoważnia do tego instrukcja lub prawo.

Uwzględniając charakter przetwarzania i dostępne informacje, pomaga w obowiązkach z art. 32–36 RODO, w tym ocenie skutków, konsultacji uprzedniej, zawiadomieniu organu i osób. O naruszeniu ochrony powierzonych danych zawiadamia Klienta bez zbędnej zwłoki po stwierdzeniu, nie czekając na zakończenie analizy. Termin 72 godzin dla administratora nie jest terminem, który Operator może wykorzystać na opóźnienie zawiadomienia.

Informacja obejmuje dostępny opis zdarzenia, kategorie i przybliżoną liczbę osób oraz rekordów, punkt kontaktowy, prawdopodobne konsekwencje, zastosowane lub proponowane środki i działania ograniczające skutki. Braki są uzupełniane etapami bez zbędnej zwłoki. Operator dokumentuje zdarzenie, zabezpiecza dowody i współpracuje z Klientem. Klient utrzymuje aktualny kontakt do osoby odpowiedzialnej za takie zgłoszenia.

7. Informacje i audyty

Operator udostępnia informacje niezbędne do wykazania obowiązków z art. 28 RODO oraz umożliwia i wspiera audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego audytora. Strony uzgadniają organizację, poufność i ochronę danych innych klientów. Dokumentacja, niezależne raporty i zdalna kontrola mogą ograniczyć zakres inspekcji, ale nie wyłączają prawa do niezbędnego audytu. Pilne ryzyko, incydent lub żądanie organu uzasadniają szybszy tryb. Uzgodnienia organizacyjne lub kosztowe nie mogą uniemożliwiać realizacji prawa z art. 28 ust. 3 lit. h RODO.

8. Zwrot, usunięcie i zakończenie

Po zakończeniu usług Operator, według wyboru Klienta, zwraca albo usuwa wszystkie powierzone dane oraz usuwa istniejące kopie, chyba że prawo UE lub państwa członkowskiego wymaga przechowania. Zwrot i przejście odbywają się zgodnie z zasadami eksportu, bez skracania ustawowych terminów odbioru. Przy obowiązku zachowania danych Operator wskazuje podstawę i zakres, ogranicza wykorzystanie do tego obowiązku oraz zapewnia dalszą ochronę.

Termin wygaśnięcia pozostałych kopii zapasowych musi być ustalony w załączniku technicznym. Dane pozostające w kopii są wyłączone ze zwykłego użycia; odtworzenie awaryjne wymaga ponownego wykonania wcześniejszych dyspozycji usunięcia. Operator dokumentuje wykonanie dyspozycji i na żądanie potwierdza zwrot lub usunięcie. Polityka dotycząca własnych dokumentów rozliczeniowych Operatora nie uprawnia go do zatrzymania całego archiwum projektowego.