Niniejsza Umowa powierzenia przetwarzania danych („Umowa Powierzenia”) stanowi część Regulaminu Adapty (zgodnie z definicją poniżej) obowiązującego między Klientem a Adapty, który reguluje korzystanie przez Klienta z usług Adapty oraz ich świadczenie.
Klient i Adapty są dalej zwani łącznie „Stronami”, a każdy z osobna „Stroną”. Dane Stron określono w Załączniku 1.
W przypadku sprzeczności lub niespójności z postanowieniami Regulaminu Adapty niniejsza Umowa Powierzenia ma pierwszeństwo przed pozostałymi postanowieniami Regulaminu Adapty w zakresie takiej sprzeczności lub niespójności.
Terminy pisane wielką literą, które nie zostały inaczej zdefiniowane w niniejszym dokumencie, mają znaczenie nadane im w Regulaminie Adapty.
Niniejsza Umowa Powierzenia, wraz ze wszystkimi Załącznikami, określa obowiązki Stron w zakresie ochrony danych w odniesieniu do Danych Osobowych przetwarzanych przez Adapty w imieniu Klienta, zgodnie z opisem zawartym w Załączniku 1 do niniejszej Umowy Powierzenia, zgodnie z Obowiązującymi Przepisami o Ochronie Prywatności.
1. Definicje
1.1. Regulamin Adapty oznacza regulamin dostępny pod adresem https://adapty.io/terms/ lub inną pisemną bądź elektroniczną umowę zawartą między Klientem a Adapty.
1.2. Obowiązujące Przepisy o Ochronie Prywatności oznaczają wszelkie przepisy prawa, ustawy, rozporządzenia, akty prawa miejscowego, kodeksy, regulacje, wytyczne, nakazy lub wszelkie inne obowiązki prawne ustanowione przez jakikolwiek organ władzy publicznej, które regulują zbieranie, wykorzystywanie, przekazywanie i ujawnianie Danych Osobowych.
1.3. Administrator Danych oznacza osobę fizyczną lub organizację, która ustala cele i sposoby przetwarzania Danych Osobowych lub w inny sposób odpowiada za podejmowanie decyzji dotyczących przetwarzania Danych Osobowych.
1.4. Podmiot Przetwarzający oznacza osobę fizyczną lub prawną albo inny podmiot, który przetwarza Dane Osobowe w imieniu Administratora.
1.5. Żądanie Osoby, której dane dotyczą ma znaczenie określone w pkt 3.2 niniejszej Umowy Powierzenia.
1.6. Osoba, której dane dotyczą oznacza bezpośrednio lub pośrednio zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, do której odnoszą się Dane Osobowe.
1.7. RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
1.8. UK GDPR oznacza zachowaną wersję ogólnego rozporządzenia UE o ochronie danych ((UE) 2016/679) (RODO UE) w brzmieniu stanowiącym część prawa Anglii i Walii, Szkocji oraz Irlandii Północnej na mocy sekcji 3 ustawy European Union (Withdrawal) Act 2018, ze zmianami wprowadzonymi załącznikiem 1 do Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Dane Osobowe oznaczają wszelkie informacje, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej i podlegają Obowiązującym Przepisom o Ochronie Prywatności, przekazane przez Klienta do przetwarzania, w tym informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby.
1.10. Naruszenie Ochrony Danych Osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia Danych Osobowych lub nieuprawnionego dostępu do nich.
1.11. Przetwarzanie, przetwarza i przetwarzać oznaczają wszelkie czynności obejmujące wykorzystanie Danych Osobowych lub uznane za przetwarzanie na podstawie Obowiązujących Przepisów o Ochronie Prywatności. Obejmuje to wszelkie operacje lub zestawy operacji wykonywane na Danych Osobowych lub zestawach Danych Osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Przetwarzanie obejmuje również przekazywanie Danych Osobowych osobom trzecim.
1.12. Standardowe Klauzule Umowne (SCC) oznaczają standardowe klauzule umowne zatwierdzone przez Komisję Europejską (wraz z ich aktualizacjami, zmianami, zastąpieniem lub uchyleniem dokonywanymi z czasem przez Komisję Europejską). Jeżeli Komisja Europejska zastąpi Standardowe Klauzule Umowne zmienionymi lub nowymi standardowymi klauzulami umownymi, wówczas, w zakresie, w jakim właściwy organ nadzorczy zatwierdzi stosowanie takich zmienionych lub nowych standardowych klauzul umownych, odesłania w niniejszym dokumencie do „Standardowych Klauzul Umownych” będą rozumiane jako odesłania do takich zmienionych lub nowych standardowych klauzul umownych.
1.13. Dalszy Podmiot Przetwarzający oznacza zewnętrzny podmiot przetwarzający dane, zaangażowany przez Adapty, któremu przyznano dostęp do Danych Osobowych lub który może potencjalnie uzyskać do nich dostęp albo który je przetwarza.
1.14. Zawiadomienie o Zmianie Dalszych Podmiotów Przetwarzających ma znaczenie określone w pkt 4.1 niniejszej Umowy Powierzenia.
2. Przetwarzanie danych osobowych
2.1. Role Stron
Strony przyjmują do wiadomości i zgadzają się, że w odniesieniu do przetwarzania danych osobowych Klient jest administratorem, a Adapty podmiotem przetwarzającym.
2.2. Szczegóły przetwarzania danych
Przedmiot, czas trwania, charakter i cel(e) przetwarzania danych osobowych, a także rodzaj danych osobowych i kategorie osób, których dane dotyczą, określono w Załączniku 1.
2.3. Zakres przetwarzania
Adapty powstrzyma się od przetwarzania danych osobowych w zakresie wykraczającym poza rozsądne i zwyczajowe wskazania ustalone przez Klienta, określone w Regulaminie Adapty lub w niniejszej Umowie Powierzenia, chyba że takiego przetwarzania wymagają przepisy prawa, którym Adapty podlega.
2.4. Polecenia Klienta
Polecenia Klienta dotyczące przetwarzania danych osobowych muszą być zgodne z obowiązującymi przepisami o ochronie prywatności. Klient ponosi wyłączną odpowiedzialność za prawidłowość, jakość i zgodność z prawem danych osobowych, a także za metody, za pomocą których Klient pozyskuje dane osobowe. Bez ograniczenia powyższego Klient ponosi wyłączną odpowiedzialność za zapewnienie istnienia odpowiedniej podstawy prawnej i prawa do przetwarzania danych osobowych zgodnie z postanowieniami Regulaminu Adapty i niniejszej Umowy Powierzenia. Klient w szczególności przyjmuje do wiadomości i zgadza się, że korzystanie przez niego z Usług nie będzie naruszać praw żadnej osoby, której dane dotyczą.
2.5. Podstawa prawna przetwarzania
Klient przyjmuje do wiadomości i zgadza się, że Usługi Adapty są uzależnione od wykazanej podstawy prawnej i na niej oparte; podstawę tę Klient musi uzyskać, a Adapty na niej polega. Klient oświadcza, że taka podstawa prawna istnieje.
2.6. Prywatność dzieci
W przypadku przetwarzania danych osobowych dzieci (w rozumieniu obowiązujących przepisów o ochronie prywatności) Klient jest zobowiązany do spełnienia dodatkowych wymogów służących ochronie dzieci, ustanowionych w zasadach platform, regulacjach i obowiązujących przepisach o ochronie prywatności. Niektóre z tych przepisów dotyczą wyłącznie dzieci (np. COPPA), inne zaś mają szerszy zakres, lecz przewidują szczególną ochronę dzieci (np. RODO i podobne przepisy regionalne).
3. Żądania Osób, których dane dotyczą
3.1. Odpowiedzi na Żądania Osób, których dane dotyczą
Klient ponosi wyłączną odpowiedzialność za wypełnianie wszelkich obowiązków prawnych dotyczących żądań wykonania praw osób, których dane dotyczą, wynikających z obowiązujących przepisów o ochronie prywatności. Strony zgadzają się i przyjmują do wiadomości, że Adapty nie ma możliwości udzielania odpowiedzi na żądania osób, których dane dotyczą.
3.2. Żądania Osób, których dane dotyczą
Odpowiedzialność Klienta i obsługa Żądań Osób, których dane dotyczą. Klient pozostaje wyłącznie odpowiedzialny za wypełnianie wszelkich ustawowych obowiązków dotyczących Żądań Osób, których dane dotyczą, wynikających z Obowiązujących Przepisów o Ochronie Prywatności. Klient upoważnia Adapty, działającą wyłącznie na udokumentowane polecenie Klienta i jako Podmiot Przetwarzający Klienta, do automatycznego przetwarzania i wykonywania żądań rezygnacji z otrzymywania wiadomości oraz sprzeciwów wobec marketingu bezpośredniego, otrzymanych bezpośrednio od Odbiorców za pośrednictwem mechanizmów rezygnacji udostępnionych w Wiadomościach, w tym poprzez dodanie danego Odbiorcy do listy wykluczeń Klienta.
Z wyjątkiem przypadków wyraźnie określonych w niniejszym punkcie Adapty nie będzie merytorycznie odpowiadać na Żądania Osób, których dane dotyczą, w imieniu Klienta i, w zakresie dozwolonym przez prawo, skieruje Osobę, której dane dotyczą, do Klienta lub powiadomi Klienta zgodnie z niniejszym punktem.
3.3. Żądanie osoby, której dane dotyczą
Jeżeli Klient zwróci się do Adapty o pomoc w udzieleniu odpowiedzi na żądanie, Adapty, w miarę możliwości, dołoży uzasadnionych z handlowego punktu widzenia starań, aby pomóc Klientowi w udzieleniu odpowiedzi na takie żądanie, w zakresie, w jakim Adapty jest do tego uprawniona na podstawie przepisów prawa, a udzielenie odpowiedzi na takie żądanie jest wymagane przez obowiązujące przepisy o ochronie prywatności.
3.4. Koszty
W zakresie dozwolonym przez prawo Klient ponosi wszelkie koszty powstałe w związku z udzieleniem takiej pomocy przez Adapty, w tym wszelkie opłaty związane z udostępnieniem dodatkowej funkcjonalności. W takich przypadkach Adapty z wyprzedzeniem powiadomi Klienta o tych kosztach.
4. Dalsze powierzenie przetwarzania
4.1. Powoływanie dalszych podmiotów przetwarzających
Klient upoważnia Adapty do powoływania dalszych podmiotów przetwarzających zgodnie z niniejszym punktem i wszelkimi ograniczeniami przewidzianymi w Umowie Powierzenia. Klient przyjmuje do wiadomości i zgadza się, że Adapty może korzystać z usług dalszych podmiotów przetwarzających bez uprzedniej zgody Klienta. Warunkiem dopuszczenia zewnętrznego dalszego podmiotu przetwarzającego do przetwarzania danych osobowych jest zawarcie przez Adapty z każdym dalszym podmiotem przetwarzającym pisemnej umowy zawierającej zobowiązania w zakresie ochrony danych, które zapewniają co najmniej taki sam poziom ochrony danych osobowych jak niniejsza Umowa Powierzenia. Adapty powiadomi Klienta na piśmie o wszelkich planowanych zmianach polegających na dodaniu lub zastąpieniu dalszych podmiotów przetwarzających przed dokonaniem takich zmian (dalej „Zawiadomienie o Zmianie Dalszych Podmiotów Przetwarzających”). Klient może wnieść sprzeciw wobec takich zmian dalszych podmiotów przetwarzających zgodnie z pkt 4.2 niniejszej Umowy Powierzenia.
4.2. Aktualny wykaz dalszych podmiotów przetwarzających
Aktualny wykaz dalszych podmiotów przetwarzających, z których usług Adapty korzysta przy przetwarzaniu, znajduje się w Załączniku 3 do niniejszej Umowy Powierzenia. Adapty zaktualizuje wykaz dalszych podmiotów przetwarzających w niniejszej Umowie Powierzenia w terminie trzydziestu (30) dni od każdej zmiany polegającej na dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego.
4.3. Odpowiedzialność
W odniesieniu do każdego dalszego podmiotu przetwarzającego Adapty: (i) podejmie uzasadnione kroki w celu zapewnienia, aby dalszy podmiot przetwarzający był zobowiązany do zapewnienia poziomu ochrony danych osobowych wymaganego przez Umowę Powierzenia, oraz (ii) pozostanie w pełni odpowiedzialna wobec Klienta za wypełnianie przez dalszy podmiot przetwarzający jego obowiązków w zakresie ochrony danych w przypadku, gdy dalszy podmiot przetwarzający nie wywiąże się z tych obowiązków.
4.4. Prawo sprzeciwu wobec dalszych podmiotów przetwarzających
Klient może w uzasadniony sposób wnieść sprzeciw wobec każdej planowanej zmiany polegającej na dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego (na przykład jeżeli przekazanie danych osobowych dalszemu podmiotowi przetwarzającemu może naruszać obowiązujące przepisy o ochronie danych lub osłabiać ochronę takich danych osobowych), niezwłocznie powiadamiając Adapty na piśmie w terminie trzydziestu (30) dni od otrzymania zawiadomienia o zmianie dalszego podmiotu przetwarzającego. Takie zawiadomienie Klienta musi wskazywać uzasadnione podstawy sprzeciwu.
Jeżeli Klient powiadomi Adapty o takim sprzeciwie, Strony przeprowadzą w dobrej wierze negocjacje w tej sprawie w celu wypracowania rozwiązania uzasadnionego z handlowego punktu widzenia. Jeżeli takich sprzeciwów nie da się rozstrzygnąć w terminie piętnastu (15) dni, ponieważ przetwarzanie nie może być prawidłowo kontynuowane bez udziału takiego dalszego podmiotu przetwarzającego, Adapty ma prawo odmówić dalszego przetwarzania zgodnie z niniejszą Umową Powierzenia i wypowiedzieć Regulamin Adapty bez ponoszenia odpowiedzialności z tytułu takiego wypowiedzenia.
5. Transgraniczne przekazywanie danych osobowych
5.1. Przekazywanie danych z UE
W zakresie, w jakim przetwarzanie Danych Osobowych podlega ochronie na podstawie RODO, Strony niniejszym uzgadniają, że takie przekazywanie podlega SCC, które zostają włączone do niniejszej Umowy Powierzenia przez odesłanie i stanowią jej integralną część. Opcje i załączniki SCC uznaje się za uzupełnione na podstawie Załącznika 4 do niniejszej Umowy Powierzenia.
5.2. Przekazywanie danych ze Szwajcarii
W zakresie, w jakim przetwarzanie Danych Osobowych podlega ochronie na podstawie szwajcarskiej federalnej ustawy o ochronie danych z dnia 19 czerwca 1992 r. („FADP”), Strony niniejszym uzgadniają, że takie przekazywanie podlega SCC z niezbędnymi dostosowaniami, tak aby SCC były zgodne z prawem szwajcarskim i tym samym nadawały się do zapewnienia odpowiedniego stopnia ochrony przy przekazywaniu danych ze Szwajcarii do państwa trzeciego zgodnie z art. 6 ust. 2 lit. a FADP. Wykaz dostosowań podano w pkt 4.3. dotyczącym przekazywania danych osobowych do państwa niezapewniającego odpowiedniego stopnia ochrony danych na podstawie standardowych klauzul umownych i wzorów umów z dnia 27 sierpnia 2021 r. Federalnego Pełnomocnika ds. Ochrony Danych i Informacji (dostępnych pod adresem https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Zastosowanie ma Przykład 2 Przypadku 2.
5.3. Przekazywanie danych z Wielkiej Brytanii
W zakresie, w jakim przetwarzanie Danych Osobowych podlega ochronie na podstawie UK GDPR, Strony niniejszym uzgadniają, że takie przekazywanie podlega Międzynarodowemu aneksowi do standardowych klauzul umownych Komisji Europejskiej dotyczących międzynarodowego przekazywania danych, dostępnemu pod adresem https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, w brzmieniu przyjętym, zmienionym lub zaktualizowanym przez brytyjski Urząd Komisarza ds. Informacji (Information Commissioner’s Office), Parlament lub Sekretarza Stanu.
6. Środki techniczne i organizacyjne
6.1. Środki techniczne i organizacyjne
Adapty wdroży i będzie utrzymywać odpowiednie środki techniczne i organizacyjne w celu zapewnienia odpowiedniego poziomu bezpieczeństwa, poufności i integralności Danych Osobowych, w tym, w stosownych przypadkach, środki przewidziane w art. 32 RODO, określone w Załączniku 2 do niniejszej Umowy Powierzenia, aby chronić Dane Osobowe przed:
- przypadkowym lub niezgodnym z prawem zniszczeniem oraz
- utratą, zmianą, nieuprawnionym ujawnieniem Danych Osobowych lub nieuprawnionym dostępem do nich (każde z tych zdarzeń zwane dalej „Naruszeniem Ochrony Danych Osobowych”).
6.2. Monitorowanie zgodności
Adapty regularnie monitoruje przestrzeganie środków określonych w Załączniku 2 do niniejszej Umowy Powierzenia.
6.3. Pomoc w zapewnieniu zgodności
Uwzględniając charakter Przetwarzania oraz Dane Osobowe dostępne dla Adapty, Adapty pomaga Klientowi w wywiązywaniu się z obowiązków wynikających z art. 32–36 RODO.
7. Naruszenie Ochrony Danych Osobowych
7.1. Zawiadomienie o Naruszeniu Ochrony Danych Osobowych
Jeżeli Adapty dowie się o naruszeniu ochrony danych osobowych, Adapty, w zakresie dozwolonym przez prawo, powiadomi o tym Klienta pocztą elektroniczną bez zbędnej zwłoki po tym, jak Adapty lub którykolwiek Dalszy Podmiot Przetwarzający dowie się o naruszeniu ochrony danych osobowych dotyczącym danych osobowych Klienta, oraz przekaże uzasadnione informacje (w zakresie, w jakim w rozsądnej mierze pozostają one w wiedzy lub pod kontrolą Adapty).
7.2. Współpraca
Adapty będzie współpracować, uwzględniając charakter przetwarzania oraz informacje dostępne dla Adapty, w celu udzielenia Klientowi pomocy w wywiązaniu się ze wszelkich obowiązków informowania osób, których dane dotyczą, lub organów ochrony danych o naruszeniu ochrony danych osobowych zgodnie z Obowiązującymi Przepisami o Ochronie Prywatności. Adapty podejmie również wszelkie kroki i działania racjonalnie niezbędne do usunięcia lub złagodzenia skutków naruszenia ochrony danych osobowych i będzie informować Klienta o wszystkich istotnych zdarzeniach związanych z naruszeniem ochrony danych osobowych.
8. Audyt
8.1. Prawo Klienta do przeprowadzania audytów
Adapty udostępni Klientowi wszelkie informacje racjonalnie niezbędne do wykazania przestrzegania obowiązków określonych w niniejszej Umowie Powierzenia oraz umożliwi przeprowadzanie audytów, w tym inspekcji, przez Klienta lub innego upoważnionego przez Klienta audytora w zakresie przestrzegania obowiązków wynikających z niniejszej Umowy Powierzenia.
8.2. Współpraca Adapty przy przeprowadzaniu audytu
Adapty zapewni Klientowi wszelkie informacje, systemy i personel racjonalnie niezbędne, aby Klient lub jego zewnętrzni audytorzy mogli przeprowadzić taki audyt, pod warunkiem że Klient:
8.2.1. powiadomi o audycie z wyprzedzeniem czterdziestu pięciu (45) dni; oraz
8.2.2. przeprowadzi audyt w zwykłych godzinach pracy; oraz
8.2.3. podejmie wszelkie uzasadnione środki, aby zapobiec niepotrzebnym zakłóceniom działalności Adapty. Takie audyty muszą być ściśle ograniczone do informacji związanych z przetwarzaniem danych osobowych.
8.3. Parametry audytu
Strony wspólnie uzgadniają zakres, termin i czas trwania audytu lub inspekcji.
8.4. Poufność
Wszystkie audyty przeprowadzane na podstawie niniejszej Umowy Powierzenia podlegają obowiązkom zachowania poufności. Klient musi udostępnić Adapty pełny raport z audytu i nie może udostępniać go osobom trzecim innym niż jego księgowi i doradcy prawni, którzy są zobowiązani do zachowania poufności. Klient nie może wykorzystywać takiego raportu z audytu w żadnym celu innym niż ocena przestrzegania przez Adapty niniejszej Umowy Powierzenia.
8.5. Koszty
Klient ponosi koszty takiego audytu, chyba że Strony postanowią inaczej.
8.6. Częstotliwość audytów
Klient nie może wykonywać swoich uprawnień do przeprowadzenia audytu częściej niż raz w dowolnym okresie dwunastu (12) miesięcy kalendarzowych, z wyjątkiem następujących przypadków:
8.6.1. jeżeli i kiedy wymaga tego właściwy organ ochrony danych; lub
8.6.2. jeżeli jest to konieczne w związku z naruszeniem bezpieczeństwa danych osobowych, do którego doszło u Adapty lub Dalszych Podmiotów Przetwarzających.
9. Poufność
9.1. Adapty podejmie wszelkie uzasadnione kroki w celu zapewnienia wiarygodności każdego członka personelu upoważnionego do przetwarzania danych osobowych oraz zapewni, aby taki personel podlegał odpowiednim obowiązkom zachowania poufności, a także będzie zawsze działać zgodnie z obowiązującymi przepisami o ochronie danych.
10. Usunięcie lub zwrot danych osobowych
10.1 W przypadku (i) rozwiązania niniejszej Umowy Powierzenia lub (ii) pisemnego żądania Klienta, lub (iii) gdy Adapty nie musi już przetwarzać Danych Osobowych w celu wykonania swoich zobowiązań wynikających z Regulaminu Adapty i niniejszej Umowy Powierzenia, lub (iv) gdy Adapty odstąpi od przetwarzania zgodnie z pkt 4.4 niniejszej Umowy Powierzenia, Adapty, według wyboru Klienta, usunie, zniszczy lub zwróci Klientowi wszystkie Dane Osobowe oraz zniszczy lub zwróci wszelkie istniejące kopie, chyba że Obowiązujące Przepisy o Ochronie Prywatności wymagają od Adapty zachowania kopii Danych Osobowych przez określony okres przechowywania. Po upływie takiego okresu przechowywania Adapty niezwłocznie usunie lub zniszczy wszystkie pozostałe Dane Osobowe.
W przypadku profili Odbiorców w Adapty Mail usunięcie polega na nieodwracalnej deidentyfikacji Danych Osobowych w profilu i oznaczeniu profilu jako usuniętego. Powstały w ten sposób rekord nie może być w rozsądny sposób wykorzystany przez Adapty, samodzielnie lub w połączeniu z innymi informacjami dostępnymi dla Adapty, do zidentyfikowania lub ponownego zidentyfikowania danego Odbiorcy.
Kopie zapasowe są przechowywane i nadpisywane zgodnie ze standardowym cyklem rotacji kopii zapasowych Adapty.
10.2. Jeżeli Dane Osobowe były przetwarzane przez jakichkolwiek Wykonawców, Adapty zapewni, aby w takich przypadkach Wykonawcy ci również zwrócili, usunęli lub zniszczyli wszystkie posiadane przez siebie Dane Osobowe zgodnie z warunkami określonymi w niniejszym punkcie.
11. Prawa konsumentów w Kalifornii w zakresie prywatności
11.1. Terminy „Informacje Osobowe”, „Konsument” oraz inne terminy pisane wielką literą w niniejszym pkt 11 mają znaczenie nadane im w ustawie California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 i nast., z późniejszymi zmianami („CCPA”).
11.2. Strony niniejszym uzgadniają, że wszelka wymiana danych osobowych między Stronami odbywa się wyłącznie w celu realizacji celu biznesowego, a Adapty nie otrzymuje ani nie przetwarza żadnych danych osobowych jako wynagrodzenia za Usługi.
11.3. W związku z tym Klient ponosi wyłączną odpowiedzialność za przestrzeganie CCPA w odniesieniu do korzystania przez niego z Usług. Klient ponosi wyłączną odpowiedzialność za zapewnienie, aby wymiana lub przekazywanie danych osobowych Osób, których dane dotyczą, w trakcie świadczenia Usług nie stanowiły Sprzedaży Danych Osobowych.
11.4. Adapty nie będzie przechowywać, wykorzystywać ani przekazywać danych osobowych w celach komercyjnych innych niż świadczenie Usług określonych w Regulaminie Adapty.
12. Okres obowiązywania
12.1. Niniejsza Umowa Powierzenia wchodzi w życie z dniem określonym w Regulaminie Adapty. Niniejsza Umowa Powierzenia pozostaje w mocy tak długo, jak długo obowiązuje Regulamin Adapty.
13. Rozdzielność postanowień
13.1. Jeżeli którekolwiek postanowienie niniejszej Umowy Powierzenia jest lub zostanie uznane za nieważne, bezskuteczne lub niewykonalne w całości lub w części, nie wpływa to na ważność, skuteczność i wykonalność pozostałych postanowień niniejszej Umowy Powierzenia.
13.2. Każde takie nieważne, bezskuteczne lub niewykonalne postanowienie, w zakresie dozwolonym przez prawo, uważa się za zastąpione takim ważnym, skutecznym i wykonalnym postanowieniem, które najwierniej odzwierciedla cel gospodarczy i przeznaczenie nieważnego, bezskutecznego lub niewykonalnego postanowienia pod względem jego przedmiotu, czasu, miejsca i zakresu zastosowania.
13.3. Powyższą zasadę stosuje się odpowiednio do wypełnienia wszelkich luk, które mogą zostać stwierdzone w niniejszej Umowie Powierzenia.
14. Całość porozumienia
14.1. Strony wyraźnie oświadczają, że niniejsza Umowa Powierzenia (wraz z załącznikami, do których się w niej odsyła) oraz dokumenty, do których się w niej odsyła, stanowią całość porozumienia między Stronami i zastępują wszelkie wcześniejsze projekty, umowy, zobowiązania, ustalenia, warunki i uzgodnienia między Stronami, jakiegokolwiek rodzaju, w formie pisemnej lub innej, dotyczące przedmiotu niniejszej Umowy Powierzenia, niezależnie od jakiejkolwiek sprzecznej kolejności pierwszeństwa.
15. Prawo właściwe i jurysdykcja
15.1. Prawo właściwe dla Umowy Powierzenia określają postanowienia Regulaminu Adapty.
15.2. Strony niniejszym poddają się jurysdykcji wybranej w Umowie Powierzenia w odniesieniu do wszelkich sporów lub roszczeń, jakkolwiek powstałych, wynikających z niniejszej Umowy Powierzenia, w tym sporów dotyczących jej istnienia, ważności lub rozwiązania oraz skutków jej nieważności.
16. Postanowienia różne
16.1. W przypadku sprzeczności lub wątpliwości między:
16.1.1 którymkolwiek postanowieniem Umowy Powierzenia a którymkolwiek postanowieniem Regulaminu Adapty pierwszeństwo mają postanowienia Umowy Powierzenia;
16.1.2. którymkolwiek postanowieniem niniejszej Umowy Powierzenia a którymikolwiek podpisanymi SCC pierwszeństwo mają postanowienia podpisanych SCC.
Załącznik 1. Parametry przetwarzania danych
Część A. Wykaz stron
Administrator
| Nazwa | Dane identyfikacyjne Klienta określone w Umowie, podczas rejestracji lub w odrębnym Formularzu Zamówienia |
|---|---|
| Adres | Adres Klienta określony w Umowie, podczas rejestracji lub w odrębnym Formularzu Zamówienia |
| Urzędowy numer rejestrowy | Numer rejestrowy Klienta określony w Umowie lub w odrębnym Formularzu Zamówienia |
| Imię i nazwisko, stanowisko i dane kontaktowe osoby do kontaktu | Przedstawiciel Klienta wskazany w Umowie lub w odrębnym Formularzu Zamówienia |
| Rola | Administrator |
Podmiot przetwarzający
| Nazwa | Adapty Tech Inc. |
|---|---|
| Adres | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Imię i nazwisko, stanowisko i dane kontaktowe osoby do kontaktu | Kirill Potekhin, dyrektor ds. technicznych, [email protected] |
| Rola | Podmiot przetwarzający |
Część B. Opis przetwarzania
| Kategorie osób, których dane dotyczą | Użytkownicy Końcowi aplikacji mobilnych Klienta; osoby odwiedzające strony internetowe, lejki internetowe i inne zasoby cyfrowe Klienta, ich użytkownicy oraz subskrybenci pozyskani za ich pośrednictwem; a także inne osoby fizyczne, których dane kontaktowe Klient zgodnie z prawem przekazuje Adapty w celu wysyłania Wiadomości za pośrednictwem Adapty Mail. |
|---|---|
| Kategorie przekazywanych danych osobowych | Kategorie danych osobowych przetwarzanych przez Podmiot Przetwarzający w ramach świadczenia Usług mogą obejmować, w zależności od konfiguracji i poleceń Klienta, następujące dane: |
| i. Informacje techniczne | Kategoria ta obejmuje dane techniczne dotyczące urządzenia, z którego Użytkownik Końcowy korzysta, aby uzyskać dostęp do usług cyfrowych Klienta, takich jak gry lub aplikacje mobilne. Informacje te mogą obejmować na przykład adres IP, model urządzenia, system operacyjny i ustawienia językowe. |
| ii. Identyfikatory | Kategoria ta obejmuje różne identyfikatory powiązane z urządzeniem Użytkownika Końcowego lub instancją aplikacji. Mogą to być na przykład Apple Identifier for Advertisers (IDFA), Identifier for Vendors (IDFV), Google Advertising ID i inne podobne identyfikatory. |
| iii. Dane o korzystaniu | Kategoria ta obejmuje informacje o sposobie, w jaki Użytkownicy Końcowi korzystają z usług Klienta. Obejmuje ona między innymi zdarzenia w aplikacji; działania Użytkownika Końcowego, takie jak kliknięcia reklam Klienta; wyświetlenia (odsłony) reklam Klienta; znaczniki czasu pobrania i instalacji aplikacji; uruchomienia aplikacji; zakupy w aplikacji, w tym czas i kwotę zakupu; a także wszelkie dodatkowe zdarzenia lub dane o interakcjach, które Klient zdecyduje się śledzić i analizować w zależności od charakteru swoich usług. |
| iv. Dane kontaktowe | Kategoria ta obejmuje dane osobowe, które bezpośrednio identyfikują konkretnego Użytkownika Końcowego lub go dotyczą i są niezbędne do komunikacji lub działania funkcji przeznaczonych dla konkretnego użytkownika. Dane te mogą obejmować na przykład adres e-mail, imię, nazwisko oraz inne informacje, które Klient celowo przekazuje Podmiotowi Przetwarzającemu. |
| v. Dane dotyczące poczty e-mail i wiadomości | Adres e-mail; imię i nazwisko; dane nadawcy i odbiorcy; treść wiadomości; metadane wiadomości; status subskrypcji i zgody; informacje o rezygnacjach z subskrypcji, skargach, zwrotach wiadomości i wykluczeniach; dane o doręczeniach, otwarciach, kliknięciach i zaangażowaniu; a także inne atrybuty przekazywane przez Klienta na potrzeby segmentacji, personalizacji i doręczania Wiadomości. |
| Przekazywanie danych wrażliwych (w stosownych przypadkach) oraz stosowane ograniczenia lub zabezpieczenia, w pełni uwzględniające charakter danych i związane z nimi ryzyko, takie jak na przykład ścisłe ograniczenie celu, ograniczenia dostępu (w tym dostęp wyłącznie dla pracowników, którzy przeszli specjalne szkolenie), prowadzenie rejestru dostępu do danych, ograniczenia dalszego przekazywania lub dodatkowe środki bezpieczeństwa | Nie dotyczy |
| Charakter przetwarzania (zakres przetwarzania) | Odbieranie, zbieranie, utrwalanie, organizowanie, przechowywanie, pobieranie, przeglądanie, wykorzystywanie, segmentacja, personalizacja, wykluczanie, ograniczanie, usuwanie oraz, na udokumentowane polecenie Klienta, przesyłanie Wiadomości i powiązanych metadanych do Odbiorców. |
| Cel(e) przetwarzania danych | Dane Osobowe mogą być przetwarzane wyłącznie w następujących celach: świadczenie Usług zgodnie z Umową. Podmiot Przetwarzający nie będzie sprzedawać Danych Osobowych Klienta. |
| Okres, przez który Dane Osobowe będą przetwarzane, lub, jeżeli nie jest to możliwe, kryteria ustalania tego okresu | Dane Osobowe będą Przetwarzane przez okres obowiązywania Regulaminu Adapty, a następnie wyłącznie przez okres niezbędny do zakończenia zwrotu lub usunięcia danych zgodnie z pkt 10 niniejszej Umowy Powierzenia, wypełnienia wymogów Obowiązujących Przepisów o Ochronie Prywatności, zakończenia odpowiednich cykli przechowywania kopii zapasowych lub przechowywania zanonimizowanych informacji, które nie identyfikują Osoby, której dane dotyczą, ani nie pozwalają w rozsądny sposób na jej ponowną identyfikację. |
Załącznik 2. Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne zapewniające bezpieczeństwo danych
| Środki w zakresie | Podjęte działania (T/N) | Jeśli tak, prosimy podać szczegóły |
|---|---|---|
| Pseudonimizacja i szyfrowanie danych osobowych | T | Dane Osobowe są szyfrowane podczas przesyłania. |
| Zapewnienie stałej poufności, integralności, dostępności i odporności systemów i usług przetwarzania danych | T | Wszystkie dane są przechowywane i przetwarzane w zamkniętej sieci wewnętrznej chronionej zaporą sieciową. Dane są stale replikowane w wielu centrach danych. Utrzymywane są przyrostowe kopie zapasowe. |
| Zapewnienie zdolności do przywrócenia dostępności danych osobowych i dostępu do nich w rozsądnym terminie w razie incydentu fizycznego lub technicznego | T | Dane są stale replikowane w wielu centrach danych. Utrzymywane są przyrostowe kopie zapasowe. |
| Procesy regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania | T | Cały kod wdrażany do środowiska produkcyjnego podlega przeglądowi. Testy automatyczne, w tym testy bezpieczeństwa, stanowią część procesu wdrożenia. Oprogramowanie podmiotów trzecich jest regularnie aktualizowane do najnowszej stabilnej wersji, w tym między innymi systemy operacyjne, bazy danych, pamięci podręczne, środowiska IDE i usługi orkiestracji. |
| Identyfikacja i autoryzacja Klienta | T | Klient jest autoryzowany za pomocą adresu e-mail i hasła. Wszystkie hasła są przechowywane w postaci zaszyfrowanej z użyciem losowej soli. |
| Ochrona danych podczas przesyłania | T | Wszystkie dane są przesyłane w postaci zaszyfrowanej z użyciem certyfikatów SSL/TLS. |
| Ochrona danych podczas przechowywania | T | Wszystkie dane są przechowywane i przetwarzane w zamkniętej sieci wewnętrznej chronionej zaporą sieciową. |
| Zapewnienie fizycznego bezpieczeństwa miejsc, w których przetwarzane są dane osobowe | T | Do przechowywania i przetwarzania danych wykorzystywane są centra danych klasy Tier 1. |
| Zapewnienie rejestrowania zdarzeń | T | Wykorzystywany jest rozproszony system rejestrowania zdarzeń, który przechowuje dane za zaporą sieciową. |
| Zapewnienie konfiguracji systemu, w tym konfiguracji domyślnej | T | Konfiguracja systemu, w tym konfiguracja domyślna, podlega przeglądowi i stałemu monitorowaniu. Domyślne porty i hasła są zmieniane. |
| Zarządzanie i nadzór w obszarze IT oraz bezpieczeństwo IT | T | Podmiot Przetwarzający stosuje szereg środków bezpieczeństwa infrastruktury w celu ochrony informacji Klienta przed nieuprawnionym dostępem, utratą, zmianą, wirusami, trojanami i innym podobnym złośliwym kodem. Środki te obejmują: • Regularne aktualizowanie systemów operacyjnych, sprzętu i oprogramowania podmiotów trzecich w celu usuwania luk w zabezpieczeniach. • Stosowanie zapór sieciowych i systemów zapobiegania włamaniom (IPS) w celu ograniczenia dostępu do serwerów i ich ochrony. • Zapewnienie bezpiecznej komunikacji przy dostępie zdalnym z użyciem uwierzytelniania wieloskładnikowego. • Tworzenie kopii zapasowych danych Klienta w codziennym cyklu rotacyjnym. |
| Certyfikacja/zapewnienie jakości procesów i produktów | T | Tak. Adapty posiada atestację SOC 2 Type II obejmującą skuteczność działania mechanizmów kontroli w zakresie bezpieczeństwa, dostępności i poufności. Aktualny raport SOC 2 Type II jest udostępniany na żądanie Klientom i potencjalnym Klientom na podstawie umowy o zachowaniu poufności (NDA). |
| Zapewnienie minimalizacji danych | T | Zbieranie danych ogranicza się do danych osobowych niezbędnych do świadczenia Usług. Dane osobowe nie są wykorzystywane do celów nieokreślonych w Umowie Powierzenia i Umowie i są przechowywane wyłącznie przez czas niezbędny do realizacji tych celów. |
| Zapewnienie jakości danych | T | Klient może zażądać zmiany lub usunięcia danych Użytkownika Końcowego. |
| Zapewnienie ograniczonego przechowywania danych | T | Dane Osobowe są przechowywane zgodnie z warunkami umownymi uzgodnionymi z Klientem oraz zgodnie z wymogami obowiązujących przepisów prawa. |
| Zapewnienie rozliczalności | T | Dane Osobowe są logicznie powiązane z konkretnym Klientem i nie są udostępniane między niepowiązanymi klientami. Zdarzenia i dzienniki audytu dotyczące dostępu do platformy i systemu są rejestrowane, monitorowane i okresowo poddawane przeglądowi. |
| Zapewnienie przenoszalności i usuwania danych | T | Podmiot Przetwarzający umożliwia przenoszenie i usuwanie danych na pisemne żądanie Klienta, z zastrzeżeniem postanowień Umowy i obowiązujących przepisów prawa. |
Załącznik 3. Wykaz dalszych podmiotów przetwarzających
Klient wyraził zgodę na korzystanie z usług następujących dodatkowych podmiotów przetwarzających:
| Nazwa | Adres | Opis przetwarzania |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Infrastruktura hostingu w chmurze oraz infrastruktura doręczania poczty e-mail, w tym przesyłanie Wiadomości e-mail i przetwarzanie metadanych związanych z doręczaniem. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Infrastruktura hostingu w chmurze |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Infrastruktura dostarczania treści i buforowania |
Załącznik 4. Warunki SCC
Postanowienia standardowych klauzul umownych UE określone w załączniku do decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. („SCC UE”) zostają włączone do Umowy Powierzenia przez odesłanie w następujący sposób:
1. Właściwy moduł
Modułem mającym zastosowanie do przekazywania Danych Osobowych Administratora pochodzących z UE na podstawie Umowy jest Moduł 2 – „Przekazywanie danych od administratora do podmiotu przetwarzającego”.
2. Wybrane opcje
W przypadkach, w których decyzja wykonawcza Komisji (UE) 2021/914 przewiduje możliwość wyboru opcji w SCC UE, wybiera się następujące opcje:
| Postanowienie SCC | Wybrana opcja / specyfikacja |
|---|---|
| Pkt 7: Klauzula dokująca | Fakultatywna klauzula dokująca nie ma zastosowania. |
| Pkt 9: Korzystanie z usług dalszych podmiotów przetwarzających | Opcja 2. Termin wynosi 30 dni roboczych. |
| Pkt 11: Środki ochrony prawnej / odszkodowanie | Postanowienie fakultatywne nie ma zastosowania. |
| Klauzula 17: Prawo właściwe | Opcja 1. Prawo Irlandii. |
| Sekcja 18: Wybór sądu i jurysdykcja | Sądy Irlandii. |
3. Załącznik I.A do SCC uznaje się za uzupełniony w następujący sposób:
- Podmiotem eksportującym dane jest Klient, a dane podmiotu eksportującego dane są takie same jak dane określone w Załączniku 1 (Część A) do Umowy Powierzenia.
Czynności związane z danymi przekazywanymi na podstawie SCC: przekazywanie Danych Osobowych przez podmiot eksportujący dane podmiotowi importującemu dane w celu umożliwienia podmiotowi importującemu dane przetwarzania takich Danych Osobowych w imieniu podmiotu eksportującego dane oraz świadczenia Usług zgodnie z Regulaminem Adapty. - Podmiotem importującym dane jest Adapty, a dane Adapty są takie same jak dane określone w Załączniku 1 (Część A) do Umowy Powierzenia.
Czynności związane z danymi przekazywanymi na podstawie SCC to: otrzymywanie Danych Osobowych od Podmiotu Eksportującego Dane w celu świadczenia Usług zgodnie z Regulaminem Adapty.
4. Załącznik I.B do SCC będzie taki sam jak Załącznik 1 do Umowy Powierzenia, a ponadto w celu uzupełnienia Załącznika I.B zamieszcza się następującą informację: przekazywanie ma charakter ciągły.
5. Załącznik I.C uzupełnia się w następujący sposób: organ nadzorczy Republiki Irlandii.
6. Załącznik II do SCC będzie taki sam jak Załącznik 2 do Umowy Powierzenia.
7. Załącznik III do SCC będzie taki sam jak Załącznik 3 do Umowy Powierzenia.
Ostatnia aktualizacja:
