LP-09 — Umowa powierzenia przetwarzania danych osobowych (DPA)

Nazwa dokumentu: Umowa powierzenia przetwarzania danych osobowych

Kod dokumentu: LP-09

Wersja: 1.0

Status: dokument roboczy do publikacji po uzupełnieniu danych rejestrowych, technicznych, listy podprocesorów i załączników bezpieczeństwa

Obowiązuje od: [UZUPEŁNIĆ DATĘ]

Domena główna: te8.pl

Podmiot przetwarzający: TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]

Administrator danych: Klient / Organizacja korzystająca z usług TE8

Typ dokumentu: Data Processing Agreement / DPA / Umowa powierzenia przetwarzania danych osobowych

Metryka dokumentu

Dokumenty powiązane

Rozdział I — Strony Umowy i postanowienia ogólne

§1. Strony Umowy

1. Niniejsza Umowa zostaje zawarta pomiędzy:

Administratorem danych:
Nazwa / firma: [UZUPEŁNIĆ DANE KLIENTA]
Adres siedziby: [UZUPEŁNIĆ]
NIP / numer rejestrowy: [UZUPEŁNIĆ]
Osoba kontaktowa: [UZUPEŁNIĆ]
E-mail do spraw ochrony danych: [UZUPEŁNIĆ]
E-mail do spraw bezpieczeństwa: [UZUPEŁNIĆ]

Podmiotem przetwarzającym:
TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ]
Adres siedziby: [UZUPEŁNIĆ]
NIP: [UZUPEŁNIĆ]
REGON: [UZUPEŁNIĆ]
KRS/CEIDG: [UZUPEŁNIĆ, JEŻELI DOTYCZY]
E-mail kontaktowy: [UZUPEŁNIĆ, NP. kontakt@te8.pl]
E-mail do spraw prywatności: [UZUPEŁNIĆ, NP. privacy@te8.pl]
E-mail do spraw bezpieczeństwa: [UZUPEŁNIĆ, NP. security@te8.pl]
Strona internetowa: te8.pl

2. Administrator oraz Podmiot przetwarzający zwani są dalej łącznie „Stronami”, a każdy z osobna „Stroną”.
3. Umowa może zostać zawarta w formie pisemnej, elektronicznej, dokumentowej, przez akceptację w panelu klienta, przez zaakceptowanie zamówienia, przez zawarcie umowy głównej albo w inny sposób dopuszczalny przez przepisy prawa i system TE8.
4. Jeżeli Umowa jest zawierana przez osobę działającą w imieniu Administratora, osoba ta oświadcza, że posiada odpowiednie umocowanie do zawarcia Umowy.

§2. Cel Umowy

1. Celem Umowy jest określenie zasad powierzenia TE8 przetwarzania danych osobowych przez Administratora w związku z korzystaniem z usług TE8.
2. Umowa określa w szczególności:
   1. przedmiot przetwarzania,
   2. czas trwania przetwarzania,
   3. charakter i cel przetwarzania,
   4. typ danych osobowych,
   5. kategorie osób, których dane dotyczą,
   6. obowiązki i prawa Administratora,
   7. obowiązki Podmiotu przetwarzającego,
   8. zasady korzystania z dalszych podmiotów przetwarzających,
   9. zasady bezpieczeństwa,
   10. zasady pomocy Administratorowi,
   11. zasady audytu,
   12. zasady zgłaszania naruszeń,
   13. zasady usunięcia albo zwrotu danych po zakończeniu świadczenia usług.
3. Umowa stanowi część dokumentacji prawnej TE8 i powinna być stosowana łącznie z umową główną, regulaminami usług TE8, Polityką Prywatności TE8 oraz właściwymi załącznikami technicznymi.

§3. Relacja do umowy głównej

1. Umowa ma zastosowanie wyłącznie w zakresie, w jakim TE8 przetwarza dane osobowe w imieniu Administratora.
2. Umowa nie zastępuje umowy głównej, regulaminu usługi, zamówienia, licencji, SLA ani innych dokumentów handlowych lub technicznych.
3. W przypadku sprzeczności pomiędzy Umową a umową główną, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Umowa, chyba że Strony wyraźnie uzgodnią dalej idące lub bardziej szczegółowe postanowienia zgodne z RODO.
4. W zakresie spraw nieuregulowanych Umową zastosowanie mają postanowienia umowy głównej oraz właściwe przepisy prawa.

§4. Zakres stosowania

1. Umowa ma zastosowanie do usług TE8, w których Administrator powierza TE8 przetwarzanie danych osobowych.
2. Umowa może mieć zastosowanie w szczególności do:
   1. Systemu TE8 w modelu online, cloud, hybrydowym albo zarządzanym,
   2. panelu organizacji,
   3. usług synchronizacji,
   4. usług hostingu,
   5. usług wsparcia technicznego,
   6. usług diagnostycznych,
   7. API TE8,
   8. TE8 Repo,
   9. TE8 Store,
   10. TE8 Update,
   11. usług integracyjnych,
   12. usług administracyjnych,
   13. usług backupu albo odtwarzania, jeżeli są świadczone przez TE8,
   14. innych usług, w których TE8 przetwarza dane w imieniu Administratora.
3. Umowa nie ma zastosowania do danych przetwarzanych wyłącznie lokalnie w środowisku Administratora, do których TE8 nie ma dostępu i których TE8 nie przetwarza.

Rozdział II — Definicje

§5. Słownik pojęć

Na potrzeby niniejszej Umowy poniższe pojęcia mają następujące znaczenie:

1. Administrator — podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych powierzonych TE8.
2. Dane osobowe — informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
3. Dane powierzone — dane osobowe przetwarzane przez TE8 w imieniu Administratora na podstawie niniejszej Umowy.
4. Dalszy podmiot przetwarzający albo Podprocesor — podmiot, któremu TE8 powierza dalsze przetwarzanie danych osobowych w celu świadczenia usług na rzecz Administratora.
5. DPA albo Umowa — niniejsza Umowa powierzenia przetwarzania danych osobowych.
6. EOG — Europejski Obszar Gospodarczy.
7. Incydent bezpieczeństwa — zdarzenie dotyczące bezpieczeństwa informacji, które może, ale nie musi stanowić naruszenia ochrony danych osobowych.
8. Instrukcja Administratora — udokumentowane polecenie Administratora dotyczące przetwarzania danych powierzonych przez TE8.
9. Konto usług TE8 — odrębna usługa identyfikacji, uwierzytelniania i SSO, objęta LP-01.
10. Naruszenie ochrony danych osobowych — naruszenie bezpieczeństwa prowadzące do przypadkowego albo niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
11. Podmiot przetwarzający — TE8, przetwarzający dane osobowe w imieniu Administratora.
12. RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli ogólne rozporządzenie o ochronie danych.
13. SCC — standardowe klauzule umowne przyjęte przez Komisję Europejską, jeżeli mają zastosowanie do danej relacji lub transferu.
14. Subprocesor — dalszy podmiot przetwarzający dane osobowe w imieniu TE8 i na potrzeby świadczenia usług Administratorowi.
15. System TE8 — odrębne oprogramowanie wirtualnego pulpitu oraz powiązana technologia TE8, objęta LP-04.
16. TE8 — TE8 [UZUPEŁNIĆ FORMĘ PRAWNĄ].
17. Usługi TE8 — usługi, produkty, funkcje, systemy, API, panele, komponenty, repozytoria, aktualizacje i wsparcie świadczone przez TE8.
18. Umowa główna — umowa, regulamin, zamówienie, licencja, subskrypcja albo inny dokument określający korzystanie z usług TE8 przez Administratora.
19. Użytkownik końcowy — osoba fizyczna, której dane mogą być przetwarzane w ramach usług TE8 na polecenie Administratora.
20. Środki techniczne i organizacyjne — środki bezpieczeństwa stosowane w celu ochrony danych osobowych, określone w Umowie, załącznikach, dokumentacji lub politykach TE8.

Rozdział III — Role Stron

§6. Administrator danych

1. Administrator decyduje o celach i sposobach przetwarzania danych powierzonych TE8.
2. Administrator odpowiada w szczególności za:
   1. legalność przetwarzania danych osobowych,
   2. posiadanie właściwych podstaw prawnych przetwarzania,
   3. realizację obowiązków informacyjnych wobec osób, których dane dotyczą,
   4. prawidłowość, adekwatność i aktualność danych,
   5. zakres danych powierzonych TE8,
   6. udzielanie TE8 zgodnych z prawem instrukcji,
   7. obsługę praw osób, których dane dotyczą, chyba że Umowa stanowi inaczej,
   8. ocenę, czy usługi TE8 są odpowiednie do planowanego przetwarzania,
   9. przeprowadzenie oceny skutków dla ochrony danych, jeżeli jest wymagana,
   10. zgodność konfiguracji usług TE8 z wymaganiami Administratora.
3. Administrator nie powinien powierzać TE8 danych, których przetwarzanie nie jest potrzebne do korzystania z usług TE8 albo których powierzenie byłoby niezgodne z prawem.

§7. TE8 jako Podmiot przetwarzający

1. TE8 przetwarza dane powierzone wyłącznie w imieniu Administratora i zgodnie z jego udokumentowanymi instrukcjami, chyba że prawo Unii Europejskiej lub prawo państwa członkowskiego nakłada na TE8 obowiązek innego przetwarzania.
2. TE8 nie decyduje samodzielnie o celach przetwarzania danych powierzonych, z wyjątkiem przypadków, w których działa jako niezależny administrator danych zgodnie z LP-02 — Polityką Prywatności TE8.
3. TE8 może decydować o technicznych i organizacyjnych sposobach realizacji przetwarzania, o ile nie zmienia to celów i zasad przetwarzania określonych przez Administratora.
4. TE8 nie sprzedaje danych powierzonych Administratora.

§8. TE8 jako niezależny administrator

1. Niezależnie od niniejszej Umowy TE8 może działać jako administrator danych w zakresie własnych celów, w szczególności:
   1. prowadzenia Konta usług TE8,
   2. prowadzenia rozliczeń, faktur i księgowości,
   3. obsługi własnych obowiązków prawnych,
   4. zapewnienia bezpieczeństwa własnych systemów,
   5. obsługi zgłoszeń i reklamacji,
   6. prowadzenia komunikacji administracyjnej,
   7. dochodzenia roszczeń i obrony przed roszczeniami,
   8. obsługi relacji handlowej z Administratorem.
2. Zasady przetwarzania danych przez TE8 jako administratora określa LP-02 — Polityka Prywatności TE8.

§9. Brak współadministracji

1. Strony nie zamierzają tworzyć relacji współadministratorów danych w odniesieniu do danych powierzonych, chyba że odrębna umowa wyraźnie stanowi inaczej.
2. Jeżeli w przyszłości Strony ustalą wspólne cele i sposoby przetwarzania określonych danych, powinny zawrzeć odrębne porozumienie o współadministracji.

Rozdział IV — Przedmiot, czas trwania, charakter i cel przetwarzania

§10. Przedmiot przetwarzania

1. Przedmiotem przetwarzania jest przetwarzanie danych osobowych powierzonych TE8 przez Administratora w związku ze świadczeniem usług TE8.
2. Szczegółowy opis przetwarzania, w tym typy danych, kategorie osób, cele i czynności przetwarzania, określa Załącznik A do Umowy.
3. Zakres przetwarzania może zależeć od usług aktywowanych przez Administratora, konfiguracji organizacji, sposobu korzystania z Systemu TE8, API, Store, Update, Repo, wsparcia, diagnostyki i innych usług powiązanych.

§11. Czas trwania przetwarzania

1. TE8 przetwarza dane powierzone przez okres obowiązywania umowy głównej albo korzystania przez Administratora z usług TE8, chyba że Strony uzgodnią inny okres.
2. Po zakończeniu świadczenia usług TE8 usuwa albo zwraca dane powierzone zgodnie z Rozdziałem XV Umowy, chyba że dalsze przechowywanie jest wymagane przez prawo Unii Europejskiej, prawo państwa członkowskiego albo konieczne do ustalenia, dochodzenia lub obrony roszczeń.
3. Dane mogą pozostawać przez ograniczony czas w kopiach zapasowych, logach technicznych i systemach retencji zgodnie z Załącznikiem B i polityką backupu TE8.

§12. Charakter przetwarzania

1. Przetwarzanie może mieć charakter zautomatyzowany, częściowo zautomatyzowany albo manualny w zakresie niezbędnym do świadczenia usług TE8.
2. Czynności przetwarzania mogą obejmować w szczególności:
   1. zbieranie,
   2. utrwalanie,
   3. organizowanie,
   4. porządkowanie,
   5. przechowywanie,
   6. adaptowanie,
   7. modyfikowanie,
   8. pobieranie,
   9. przeglądanie,
   10. wykorzystywanie,
   11. ujawnianie przez przesłanie w ramach usług,
   12. udostępnianie uprawnionym użytkownikom Administratora,
   13. dopasowywanie lub łączenie,
   14. ograniczanie,
   15. usuwanie,
   16. niszczenie,
   17. tworzenie kopii zapasowych,
   18. logowanie zdarzeń,
   19. diagnostykę,
   20. synchronizację,
   21. migrację,
   22. aktualizację,
   23. eksport i import danych.

§13. Cel przetwarzania

1. TE8 przetwarza dane powierzone wyłącznie w celu świadczenia usług TE8 na rzecz Administratora oraz wykonywania obowiązków wynikających z Umowy.
2. Cele przetwarzania mogą obejmować w szczególności:
   1. świadczenie usług Systemu TE8,
   2. świadczenie usług online,
   3. obsługę kont i organizacji Administratora,
   4. obsługę uprawnień i ról,
   5. obsługę plików i środowisk roboczych, jeżeli dana usługa to obejmuje,
   6. obsługę integracji,
   7. obsługę API,
   8. obsługę repozytoriów i pakietów,
   9. obsługę aktualizacji,
   10. obsługę Store i licencji,
   11. obsługę zgłoszeń wsparcia,
   12. diagnostykę techniczną,
   13. zapewnienie bezpieczeństwa usług,
   14. tworzenie kopii zapasowych,
   15. monitoring działania usług,
   16. wykonywanie poleceń Administratora,
   17. realizację obowiązków wynikających z umowy głównej.

Rozdział V — Typy danych i kategorie osób

§14. Typy danych osobowych

1. W zależności od usług używanych przez Administratora, TE8 może przetwarzać następujące typy danych powierzonych:
   1. dane identyfikacyjne,
   2. dane kontaktowe,
   3. dane kont użytkowników,
   4. dane organizacyjne,
   5. dane ról i uprawnień,
   6. dane logowania i sesji,
   7. dane techniczne,
   8. dane urządzeń,
   9. dane aktywności użytkowników,
   10. dane plików i metadanych plików, jeżeli usługa to obejmuje,
   11. dane przesyłane przez API,
   12. dane przechowywane w repozytoriach, jeżeli zawierają dane osobowe,
   13. dane zgłoszeń wsparcia,
   14. dane diagnostyczne,
   15. logi aplikacyjne i systemowe,
   16. dane konfiguracji,
   17. dane licencji i aktywacji, jeżeli można je powiązać z osobą fizyczną,
   18. inne dane przekazane przez Administratora w ramach usług TE8.
2. Administrator nie powinien powierzać TE8 danych szczególnych kategorii, danych dotyczących wyroków skazujących i czynów zabronionych, danych medycznych, danych dzieci ani innych danych wysokiego ryzyka, chyba że:
   1. jest to wyraźnie przewidziane w umowie głównej,
   2. TE8 potwierdził możliwość takiego przetwarzania,
   3. Administrator posiada odpowiednią podstawę prawną,
   4. Strony uzgodniły odpowiednie środki bezpieczeństwa,
   5. Załącznik A wskazuje takie kategorie danych.

§15. Kategorie osób, których dane dotyczą

1. Dane powierzone mogą dotyczyć w szczególności:
   1. pracowników Administratora,
   2. współpracowników Administratora,
   3. administratorów organizacji,
   4. użytkowników końcowych,
   5. klientów Administratora,
   6. kontrahentów Administratora,
   7. dostawców Administratora,
   8. partnerów Administratora,
   9. osób kontaktowych,
   10. osób wskazanych w zgłoszeniach wsparcia,
   11. osób, których dane znajdują się w plikach, repozytoriach, logach, API albo systemach Administratora, jeżeli usługa TE8 obejmuje takie przetwarzanie.
2. Szczegółowe kategorie osób powinny zostać określone w Załączniku A.

§16. Ograniczenia dotyczące danych

1. Administrator zobowiązuje się nie powierzać TE8 danych niepotrzebnych do realizacji usług.
2. Administrator zobowiązuje się nie przekazywać TE8 haseł, sekretów, kluczy prywatnych, tokenów, danych płatniczych, danych szczególnych kategorii ani innych danych wysokiego ryzyka, chyba że jest to konieczne i zgodne z umową oraz zabezpieczeniami uzgodnionymi przez Strony.
3. Jeżeli Administrator przekaże TE8 dane nadmiarowe albo nieuprawnione, TE8 może zażądać ich usunięcia, ograniczyć przetwarzanie, odmówić obsługi zgłoszenia albo podjąć inne działania uzasadnione bezpieczeństwem i prawem.

Rozdział VI — Instrukcje Administratora

§17. Udokumentowane instrukcje

1. TE8 przetwarza dane powierzone wyłącznie na podstawie udokumentowanych instrukcji Administratora.
2. Instrukcjami Administratora są w szczególności:
   1. niniejsza Umowa,
   2. umowa główna,
   3. zamówienie,
   4. konfiguracja usług dokonana przez Administratora,
   5. ustawienia panelu organizacji,
   6. ustawienia API,
   7. ustawienia użytkowników i ról,
   8. zgłoszenia wsparcia,
   9. pisemne albo elektroniczne polecenia Administratora,
   10. dokumentacja techniczna zaakceptowana przez Administratora przez korzystanie z usługi.
3. TE8 nie ma obowiązku wykonywania instrukcji, która jest niejasna, sprzeczna z prawem, sprzeczna z umową, technicznie niemożliwa, naruszająca bezpieczeństwo albo wykraczająca poza zakres usług TE8.

§18. Instrukcja niezgodna z prawem

1. Jeżeli TE8 uzna, że instrukcja Administratora narusza RODO albo inne przepisy o ochronie danych osobowych, poinformuje Administratora o tym fakcie, chyba że prawo zabrania przekazania takiej informacji.
2. TE8 może wstrzymać wykonanie instrukcji do czasu jej wyjaśnienia, zmiany albo potwierdzenia zgodności z prawem.
3. Administrator odpowiada za skutki instrukcji przekazanej TE8, w zakresie w jakim instrukcja pochodzi od Administratora i nie wynika z zawinionego działania TE8.

§19. Zakres uznaniowości technicznej TE8

1. Administrator przyjmuje do wiadomości, że TE8 może samodzielnie decydować o technicznych i organizacyjnych sposobach świadczenia usług, w tym o architekturze, zabezpieczeniach, infrastrukturze, narzędziach, podprocesorach, kopiach zapasowych i procesach operacyjnych, o ile pozostaje to zgodne z Umową i instrukcjami Administratora.
2. Decyzje techniczne TE8 nie oznaczają, że TE8 staje się administratorem danych powierzonych, chyba że TE8 zacznie samodzielnie określać cele przetwarzania tych danych.

Rozdział VII — Obowiązki Podmiotu przetwarzającego

§20. Podstawowe obowiązki TE8

1. TE8 zobowiązuje się:
   1. przetwarzać dane powierzone wyłącznie na udokumentowane polecenie Administratora,
   2. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi poufności,
   3. stosować odpowiednie środki techniczne i organizacyjne,
   4. przestrzegać warunków korzystania z podprocesorów,
   5. wspierać Administratora w realizacji praw osób, których dane dotyczą,
   6. wspierać Administratora w realizacji obowiązków bezpieczeństwa, zgłaszania naruszeń i oceny skutków, w zakresie uzasadnionym charakterem przetwarzania,
   7. po zakończeniu świadczenia usług usunąć albo zwrócić dane powierzone zgodnie z Umową,
   8. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z Umowy,
   9. umożliwiać audyty zgodnie z Rozdziałem XIV,
   10. informować Administratora, jeżeli zdaniem TE8 instrukcja narusza przepisy o ochronie danych.

§21. Poufność

1. TE8 zapewnia, że osoby upoważnione do przetwarzania danych powierzonych zostały zobowiązane do zachowania poufności albo podlegają odpowiedniemu obowiązkowi poufności.
2. Dostęp do danych powierzonych powinien być ograniczony do osób, którym jest on potrzebny do świadczenia usług, wsparcia, bezpieczeństwa, utrzymania, diagnostyki, administracji albo realizacji obowiązków wynikających z Umowy.
3. TE8 stosuje zasadę minimalnych uprawnień w zakresie dostępu personelu do danych powierzonych.

§22. Personel TE8

1. TE8 zapewnia, że personel upoważniony do przetwarzania danych powierzonych otrzymuje dostęp wyłącznie w zakresie niezbędnym do realizacji zadań.
2. TE8 może prowadzić ewidencję upoważnień, logi dostępu, rejestry działań administracyjnych oraz inne mechanizmy kontroli dostępu.
3. TE8 może stosować kontrole bezpieczeństwa personelu, szkolenia, procedury onboardingu i offboardingu oraz polityki bezpieczeństwa odpowiednie do charakteru usług.

§23. Dokumentacja zgodności

1. TE8 prowadzi dokumentację techniczną, organizacyjną albo bezpieczeństwa w zakresie potrzebnym do wykazania zgodności z Umową.
2. Dokumentacja może obejmować w szczególności:
   1. opis środków technicznych i organizacyjnych,
   2. listę podprocesorów,
   3. polityki bezpieczeństwa,
   4. procedury incydentowe,
   5. procedury backupu,
   6. procedury kontroli dostępu,
   7. wyniki audytów lub certyfikaty, jeżeli są dostępne,
   8. informacje o lokalizacjach przetwarzania,
   9. informacje o transferach poza EOG, jeżeli występują.

Rozdział VIII — Obowiązki Administratora

§24. Legalność przetwarzania

1. Administrator oświadcza, że posiada odpowiednią podstawę prawną do przetwarzania danych powierzonych i do powierzenia ich TE8.
2. Administrator odpowiada za spełnienie obowiązków informacyjnych wobec osób, których dane dotyczą.
3. Administrator odpowiada za zapewnienie, że dane powierzone są adekwatne, stosowne i ograniczone do tego, co niezbędne dla celów przetwarzania.
4. Administrator odpowiada za prawidłowość i aktualność danych powierzonych.

§25. Konfiguracja usług

1. Administrator odpowiada za konfigurację usług TE8 w zakresie dostępnym dla Administratora.
2. Administrator powinien w szczególności:
   1. nadawać uprawnienia zgodnie z zasadą minimalnych uprawnień,
   2. odbierać dostęp użytkownikom, którzy nie powinni już mieć dostępu,
   3. konfigurować role i organizacje zgodnie z własnymi politykami,
   4. włączać dostępne zabezpieczenia, takie jak MFA, jeżeli są wymagane przez ryzyko,
   5. zarządzać tokenami i kluczami API,
   6. kontrolować integracje,
   7. kontrolować podmioty i osoby, którym udziela dostępu,
   8. wykonywać własne kopie zapasowe, jeżeli usługa tego wymaga,
   9. monitorować aktywność użytkowników w zakresie dostępnych funkcji.

§26. Odpowiedzialność za instrukcje

1. Administrator odpowiada za zgodność swoich instrukcji z przepisami prawa.
2. Administrator nie powinien wydawać TE8 instrukcji, które wymagałyby naruszenia prawa, naruszenia bezpieczeństwa, naruszenia praw osób trzecich albo świadczenia usług poza zakresem umowy głównej.
3. Administrator odpowiada za skutki instrukcji przekazanych przez osoby, którym nadał uprawnienia administracyjne albo techniczne.

Rozdział IX — Środki techniczne i organizacyjne

§27. Ogólne zasady bezpieczeństwa

1. TE8 stosuje odpowiednie środki techniczne i organizacyjne mające na celu zapewnienie poziomu bezpieczeństwa odpowiadającego ryzyku przetwarzania.
2. Środki bezpieczeństwa są dobierane z uwzględnieniem:
   1. stanu wiedzy technicznej,
   2. kosztu wdrażania,
   3. charakteru, zakresu, kontekstu i celów przetwarzania,
   4. ryzyka naruszenia praw lub wolności osób fizycznych,
   5. rodzaju usług TE8,
   6. konfiguracji Administratora,
   7. rodzaju danych powierzonych,
   8. wymagań umowy głównej.
3. Podstawowy opis środków technicznych i organizacyjnych znajduje się w Załączniku B.

§28. Kategorie środków bezpieczeństwa

1. Środki techniczne i organizacyjne mogą obejmować w szczególności:
   1. kontrolę dostępu,
   2. uwierzytelnianie,
   3. autoryzację,
   4. zasadę minimalnych uprawnień,
   5. szyfrowanie transmisji,
   6. szyfrowanie danych w spoczynku, jeżeli jest stosowane,
   7. separację środowisk,
   8. separację tenantów,
   9. logowanie zdarzeń,
   10. monitoring bezpieczeństwa,
   11. kopie zapasowe,
   12. procedury odtwarzania,
   13. zarządzanie podatnościami,
   14. aktualizacje bezpieczeństwa,
   15. testy bezpieczeństwa,
   16. kontrolę podprocesorów,
   17. procedury reagowania na incydenty,
   18. szkolenia i zobowiązania personelu,
   19. kontrolę fizyczną dostępu do infrastruktury, jeżeli dotyczy,
   20. ciągłość działania,
   21. zarządzanie zmianą,
   22. zarządzanie konfiguracją,
   23. bezpieczne usuwanie danych.

§29. Zmiany środków bezpieczeństwa

1. TE8 może zmieniać środki techniczne i organizacyjne, jeżeli nie prowadzi to do istotnego obniżenia poziomu bezpieczeństwa danych powierzonych.
2. Zmiany mogą wynikać z rozwoju usług, zmian technologicznych, zmian dostawców, zmian ryzyka, zmian prawa, wymogów bezpieczeństwa albo rozwoju infrastruktury.
3. Jeżeli zmiana środków bezpieczeństwa istotnie wpływa na bezpieczeństwo danych powierzonych, TE8 może poinformować Administratora w sposób przewidziany dla komunikacji kontraktowej albo technicznej.

Rozdział X — Podprocesorzy

§30. Zgoda na podprocesorów

1. Administrator wyraża ogólną zgodę na korzystanie przez TE8 z podprocesorów w zakresie niezbędnym do świadczenia usług TE8, z zastrzeżeniem postanowień niniejszej Umowy.
2. TE8 korzysta z podprocesorów w szczególności w zakresie:
   1. hostingu,
   2. infrastruktury chmurowej,
   3. CDN,
   4. poczty elektronicznej,
   5. systemów bezpieczeństwa,
   6. monitoringu,
   7. systemów zgłoszeń,
   8. kopii zapasowych,
   9. obsługi płatności, jeżeli dotyczy,
   10. analityki technicznej,
   11. wsparcia technicznego,
   12. repozytoriów,
   13. aktualizacji,
   14. innych usług wspierających działanie TE8.
3. Lista podprocesorów znajduje się w Załączniku C albo w innym miejscu wskazanym przez TE8.

§31. Warunki korzystania z podprocesorów

1. TE8 zapewnia, że z podprocesorem zostanie zawarta umowa nakładająca na podprocesora obowiązki ochrony danych zasadniczo odpowiadające obowiązkom TE8 wynikającym z niniejszej Umowy.
2. TE8 odpowiada wobec Administratora za działania i zaniechania podprocesorów w zakresie wymaganym przez RODO i niniejszą Umowę.
3. TE8 powinien dobierać podprocesorów z uwzględnieniem charakteru usług, ryzyka, bezpieczeństwa, lokalizacji przetwarzania i zgodności z prawem.

§32. Zmiana podprocesorów

1. TE8 może dodawać, zmieniać albo usuwać podprocesorów.
2. TE8 poinformuje Administratora o planowanej zmianie podprocesora w sposób określony w Umowie, panelu, wiadomości e-mail, stronie z listą podprocesorów albo innym uzgodnionym kanale.
3. Administrator może wnieść uzasadniony sprzeciw wobec nowego podprocesora w terminie [UZUPEŁNIĆ, NP. 14 DNI] od otrzymania informacji o zmianie.
4. Sprzeciw powinien być oparty na uzasadnionych podstawach dotyczących ochrony danych osobowych.
5. W przypadku uzasadnionego sprzeciwu Strony podejmą działania w celu znalezienia rozwiązania, w szczególności:
   1. ograniczenia korzystania z danego podprocesora, jeżeli jest technicznie możliwe,
   2. zastosowania alternatywnego podprocesora, jeżeli jest dostępny,
   3. ograniczenia zakresu usługi,
   4. rozwiązania danej usługi w zakresie, w jakim korzystanie z podprocesora jest konieczne.
6. Brak sprzeciwu w terminie oznacza akceptację zmiany podprocesora.

Rozdział XI — Transfery poza EOG

§33. Zasada ogólna

1. TE8 dąży do przetwarzania danych powierzonych na terytorium EOG, jeżeli jest to technicznie i organizacyjnie możliwe.
2. Niektóre usługi, podprocesorzy albo funkcje mogą wiązać się z przekazaniem danych poza EOG.
3. Transfer danych poza EOG może nastąpić wyłącznie zgodnie z RODO i właściwymi mechanizmami prawnymi.

§34. Mechanizmy transferowe

1. Jeżeli dane powierzone są przekazywane poza EOG, TE8 stosuje odpowiedni mechanizm transferowy, w szczególności:
   1. decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony,
   2. standardowe klauzule umowne,
   3. dodatkowe środki techniczne i organizacyjne,
   4. wiążące reguły korporacyjne, jeżeli mają zastosowanie,
   5. inny mechanizm dopuszczony przez RODO.
2. Informacje o transferach poza EOG powinny zostać wskazane w Załączniku D albo w liście podprocesorów.

§35. Ocena transferu

1. TE8 może przeprowadzać ocenę transferu danych, jeżeli jest wymagana przez przepisy prawa albo praktykę organów nadzorczych.
2. Administrator powinien współpracować z TE8 w zakresie oceny transferu, jeżeli jest to wymagane przez charakter przetwarzania albo instrukcje Administratora.
3. Jeżeli transfer nie może być realizowany zgodnie z prawem, TE8 może ograniczyć, zmienić albo zakończyć korzystanie z danego podprocesora albo funkcji.

Rozdział XII — Pomoc Administratorowi

§36. Realizacja praw osób

1. TE8, w zakresie możliwym i uzasadnionym charakterem przetwarzania, pomaga Administratorowi w realizacji praw osób, których dane dotyczą.
2. Pomoc może obejmować w szczególności:
   1. eksport danych,
   2. wyszukanie danych,
   3. usunięcie danych,
   4. ograniczenie przetwarzania,
   5. sprostowanie danych, jeżeli funkcja jest dostępna,
   6. udzielenie informacji technicznych,
   7. wsparcie w analizie zgłoszenia osoby, której dane dotyczą.
3. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do TE8 w sprawie danych powierzonych, TE8 przekaże żądanie Administratorowi albo poinformuje osobę o konieczności kontaktu z Administratorem, o ile jest to możliwe i zgodne z prawem.
4. TE8 nie odpowiada samodzielnie na żądania osób dotyczące danych powierzonych, chyba że Administrator wyda taką instrukcję albo obowiązek taki wynika z prawa.

§37. Bezpieczeństwo przetwarzania

1. TE8 pomaga Administratorowi w realizacji obowiązków dotyczących bezpieczeństwa przetwarzania, w zakresie wynikającym z charakteru usług TE8 i informacji dostępnych TE8.
2. Pomoc może obejmować w szczególności:
   1. udostępnienie opisu środków technicznych i organizacyjnych,
   2. udostępnienie informacji o podprocesorach,
   3. udostępnienie informacji o lokalizacji przetwarzania,
   4. udostępnienie informacji o logach,
   5. udostępnienie informacji o backupach,
   6. udzielenie informacji dotyczących incydentu,
   7. udzielenie informacji potrzebnych do oceny skutków dla ochrony danych,
   8. udzielenie informacji potrzebnych do konsultacji z organem nadzorczym, jeżeli ma zastosowanie.

§38. Odpłatność dodatkowej pomocy

1. Pomoc standardowa wynikająca z Umowy jest realizowana w zakresie funkcji i wsparcia dostępnego w ramach usług TE8.
2. Jeżeli żądanie Administratora wymaga pracy niestandardowej, znacznych zasobów, eksportu specjalnego, analizy indywidualnej, działań poza zakresem umowy głównej albo wsparcia prawnego lub technicznego wykraczającego poza standardową usługę, TE8 może uzależnić realizację od odrębnego wynagrodzenia, o ile jest to zgodne z prawem i umową.

Rozdział XIII — Naruszenia ochrony danych osobowych

§39. Obowiązek zgłoszenia Administratorowi

1. TE8 powiadomi Administratora o naruszeniu ochrony danych osobowych dotyczącym danych powierzonych bez zbędnej zwłoki po stwierdzeniu naruszenia.
2. Powiadomienie zostanie przekazane na adres kontaktowy Administratora wskazany w Umowie, panelu organizacji, umowie głównej albo innym uzgodnionym kanale.
3. Administrator odpowiada za zgłoszenie naruszenia organowi nadzorczemu oraz zawiadomienie osób, których dane dotyczą, jeżeli obowiązki te mają zastosowanie.

§40. Treść powiadomienia

1. Powiadomienie o naruszeniu powinno zawierać informacje dostępne TE8 na moment zgłoszenia, w szczególności:
   1. opis charakteru naruszenia,
   2. kategorie i przybliżoną liczbę osób, których dane dotyczą, jeżeli jest znana,
   3. kategorie i przybliżoną liczbę rekordów danych, jeżeli jest znana,
   4. możliwe konsekwencje naruszenia, jeżeli są znane,
   5. środki zastosowane albo proponowane przez TE8 w celu zaradzenia naruszeniu,
   6. środki ograniczające możliwe negatywne skutki naruszenia,
   7. dane kontaktowe osoby lub zespołu odpowiedzialnego za obsługę incydentu,
   8. status postępowania wyjaśniającego.
2. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, TE8 może przekazywać informacje sukcesywnie w miarę ich ustalania.

§41. Współpraca przy naruszeniu

1. TE8 podejmie rozsądne działania w celu ograniczenia skutków naruszenia, zabezpieczenia danych, przywrócenia bezpieczeństwa i współpracy z Administratorem.
2. Administrator zobowiązuje się współpracować z TE8 przy analizie naruszenia, w szczególności przekazując informacje o konfiguracji, użytkownikach, instrukcjach, logach, działaniach administratorów i okolicznościach po stronie Administratora, jeżeli mają znaczenie dla naruszenia.
3. Żadne powiadomienie TE8 o incydencie nie powinno być traktowane jako przyznanie odpowiedzialności za naruszenie.

§42. Incydenty niewpływające na dane powierzone

1. TE8 może informować Administratora o istotnych incydentach bezpieczeństwa, które nie stanowią naruszenia danych powierzonych, jeżeli mogą mieć znaczenie dla bezpieczeństwa usług.
2. Zakres takiej informacji może być ograniczony z uwagi na bezpieczeństwo, poufność, ochronę innych klientów albo obowiązki prawne.

Rozdział XIV — Audyty i informacje o zgodności

§43. Informacje o zgodności

1. TE8 udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z Umowy, w zakresie uzasadnionym charakterem usług i dostępnymi informacjami.
2. Informacje mogą obejmować w szczególności:
   1. opis środków technicznych i organizacyjnych,
   2. listę podprocesorów,
   3. informacje o transferach poza EOG,
   4. informacje o certyfikatach, jeżeli są dostępne,
   5. raporty audytowe, jeżeli są dostępne,
   6. odpowiedzi na kwestionariusze bezpieczeństwa,
   7. dokumentację dotyczącą bezpieczeństwa,
   8. informacje o procesach incydentowych,
   9. informacje o retencji i backupach.
3. TE8 może udostępniać informacje o zgodności w panelu klienta, repozytorium dokumentów, przez e-mail, w ramach audytu albo w innym uzgodnionym kanale.

§44. Audyt

1. Administrator ma prawo przeprowadzić audyt TE8 w zakresie wymaganym przez RODO i Umowę.
2. Audyt powinien być:
   1. uzasadniony,
   2. zapowiedziany z rozsądnym wyprzedzeniem,
   3. prowadzony w godzinach pracy TE8,
   4. prowadzony w sposób niezakłócający działania usług TE8,
   5. ograniczony do danych i procesów dotyczących Administratora,
   6. prowadzony z zachowaniem poufności,
   7. prowadzony zgodnie z zasadami bezpieczeństwa TE8.
3. Administrator może przeprowadzić audyt samodzielnie albo przez niezależnego audytora zobowiązanego do zachowania poufności i zaakceptowanego przez TE8, przy czym TE8 może odmówić audytora będącego konkurentem TE8 albo osobą budzącą uzasadnione ryzyko bezpieczeństwa.
4. TE8 może zaproponować alternatywę dla audytu fizycznego, w szczególności raport z audytu zewnętrznego, certyfikat, kwestionariusz bezpieczeństwa, spotkanie techniczne albo udostępnienie dokumentacji.

§45. Ograniczenia audytu

1. Audyt nie może naruszać bezpieczeństwa TE8, tajemnicy przedsiębiorstwa, praw innych klientów, poufności danych innych administratorów ani stabilności usług.
2. Administrator nie może uzyskać dostępu do:
   1. danych innych klientów,
   2. kodu źródłowego TE8,
   3. tajemnic przedsiębiorstwa TE8,
   4. szczegółów zabezpieczeń, których ujawnienie zwiększyłoby ryzyko naruszenia,
   5. informacji objętych obowiązkiem poufności wobec podmiotów trzecich,
   6. środowisk produkcyjnych w sposób zagrażający bezpieczeństwu lub ciągłości usług.
3. Jeżeli audyt wymaga ponadstandardowego zaangażowania TE8, TE8 może uzależnić jego przeprowadzenie od uzgodnienia wynagrodzenia, zakresu, terminu i zasad bezpieczeństwa.

§46. Wyniki audytu

1. Administrator przekaże TE8 wyniki audytu w zakresie dotyczącym TE8.
2. Jeżeli audyt wykaże niezgodności, Strony uzgodnią rozsądny plan działań naprawczych, o ile niezgodności są zasadne i dotyczą obowiązków TE8 wynikających z Umowy.
3. Wyniki audytu są poufne i nie mogą być ujawniane osobom trzecim bez zgody TE8, chyba że obowiązek ujawnienia wynika z przepisów prawa albo decyzji uprawnionego organu.

Rozdział XV — Zakończenie przetwarzania, zwrot i usunięcie danych

§47. Zakończenie świadczenia usług

1. Po zakończeniu świadczenia usług TE8 przetwarzanie danych powierzonych powinno zostać zakończone zgodnie z Umową, umową główną, dokumentacją i przepisami prawa.
2. Administrator powinien przed zakończeniem usług pobrać, wyeksportować albo zabezpieczyć dane, które chce zachować, o ile usługa zapewnia taką możliwość.
3. TE8 może zapewnić okres przejściowy na eksport danych, jeżeli wynika to z umowy głównej, planu, SLA albo dokumentacji.

§48. Zwrot danych

1. Na żądanie Administratora TE8 może zwrócić dane powierzone w dostępnym technicznie formacie, w zakresie obsługiwanym przez daną usługę.
2. Zakres, format, sposób i termin zwrotu danych mogą zależeć od:
   1. rodzaju usługi,
   2. typu danych,
   3. wolumenu danych,
   4. konfiguracji Administratora,
   5. aktualnego statusu usługi,
   6. terminu zakończenia umowy,
   7. wymagań bezpieczeństwa,
   8. obowiązków prawnych,
   9. uzgodnień handlowych.
3. Zwrot danych może wymagać odrębnego wynagrodzenia, jeżeli wykracza poza standardowe funkcje eksportu dostępne w usłudze.

§49. Usunięcie danych

1. Po zakończeniu świadczenia usług TE8 usuwa dane powierzone, chyba że Administrator zażąda ich zwrotu albo prawo wymaga dalszego przechowywania.
2. Usunięcie danych może nastąpić zgodnie z cyklem retencji, backupów i procedur technicznych TE8.
3. Dane mogą pozostawać przez ograniczony czas w:
   1. kopiach zapasowych,
   2. logach bezpieczeństwa,
   3. logach audytowych,
   4. archiwach technicznych,
   5. systemach rozliczeń,
   6. systemach reklamacyjnych,
   7. systemach wymaganych do ochrony roszczeń albo spełnienia obowiązków prawnych.
4. Dane pozostające w backupach powinny być zabezpieczone i usuwane zgodnie z harmonogramem retencji TE8.

§50. Potwierdzenie usunięcia

1. Na żądanie Administratora TE8 może potwierdzić usunięcie danych powierzonych w zakresie, w jakim jest to technicznie i organizacyjnie możliwe.
2. Potwierdzenie może mieć formę oświadczenia, raportu, komunikatu systemowego albo innej formy uzgodnionej przez Strony.
3. Potwierdzenie usunięcia nie musi obejmować danych przechowywanych zgodnie z prawem w kopiach zapasowych, logach albo dokumentacji, do czasu upływu właściwych okresów retencji.

Rozdział XVI — Poufność i tajemnica przedsiębiorstwa

§51. Poufność danych powierzonych

1. TE8 zobowiązuje się zachować poufność danych powierzonych oraz informacji dotyczących przetwarzania, z zastrzeżeniem przypadków, w których ujawnienie jest wymagane przez prawo albo konieczne do świadczenia usług zgodnie z Umową.
2. Obowiązek poufności obowiązuje przez czas trwania Umowy oraz po jej zakończeniu.

§52. Poufność informacji TE8

1. Administrator zobowiązuje się zachować poufność informacji TE8 dotyczących zabezpieczeń, architektury, procedur, podprocesorów, raportów audytowych, luk, incydentów, infrastruktury i innych informacji niepublicznych.
2. Administrator nie może ujawniać informacji poufnych TE8 osobom trzecim bez zgody TE8, chyba że obowiązek ujawnienia wynika z przepisów prawa albo decyzji uprawnionego organu.

Rozdział XVII — Odpowiedzialność

§53. Odpowiedzialność Stron

1. Każda ze Stron odpowiada za naruszenie obowiązków wynikających z RODO, Umowy i przepisów prawa w zakresie, w jakim obowiązki te dotyczą tej Strony.
2. Administrator odpowiada za legalność przetwarzania, podstawy prawne, obowiązki informacyjne, zakres danych, instrukcje oraz konfigurację usług.
3. TE8 odpowiada za przetwarzanie danych powierzonych zgodnie z Umową, udokumentowanymi instrukcjami Administratora oraz obowiązkami procesora wynikającymi z RODO.

§54. Ograniczenie odpowiedzialności B2B

1. W relacjach B2B, w zakresie dopuszczalnym przez przepisy prawa, łączna odpowiedzialność TE8 z tytułu niniejszej Umowy jest ograniczona zgodnie z limitem odpowiedzialności przewidzianym w umowie głównej.
2. Jeżeli umowa główna nie określa limitu odpowiedzialności, łączna odpowiedzialność TE8 wobec Administratora z tytułu niniejszej Umowy jest ograniczona do kwoty netto faktycznie zapłaconej TE8 przez Administratora za usługi, których dotyczyło zdarzenie, w okresie 12 miesięcy poprzedzających zdarzenie będące podstawą roszczenia.
3. Ograniczenie odpowiedzialności nie ma zastosowania do przypadków, w których bezwzględnie obowiązujące przepisy prawa nie pozwalają na ograniczenie odpowiedzialności.

§55. Wyłączenia odpowiedzialności

W zakresie dopuszczalnym przez przepisy prawa TE8 nie ponosi odpowiedzialności za:

1. przetwarzanie danych na podstawie niezgodnej z prawem instrukcji Administratora, chyba że TE8 naruszył obowiązek poinformowania Administratora o oczywistej niezgodności instrukcji z prawem,
2. brak podstawy prawnej przetwarzania po stronie Administratora,
3. brak realizacji obowiązku informacyjnego przez Administratora,
4. powierzenie TE8 danych nadmiarowych albo nieuprawnionych,
5. błędną konfigurację usług przez Administratora,
6. nadanie zbyt szerokich uprawnień przez Administratora,
7. działania użytkowników, administratorów albo integracji Administratora,
8. wyciek danych wynikający z utraty poświadczeń przez Administratora albo jego użytkowników,
9. brak kopii zapasowych po stronie Administratora, jeżeli obowiązek backupu spoczywał na Administratorze,
10. przetwarzanie danych poza zakresem usług TE8 przez systemy Administratora albo podmioty trzecie,
11. naruszenia wynikające z działania aplikacji, komponentów albo integracji dostarczonych przez Administratora lub podmioty trzecie.

Rozdział XVIII — Czas obowiązywania i rozwiązanie Umowy

§56. Czas obowiązywania

1. Umowa obowiązuje przez czas trwania umowy głównej albo przez czas, w którym TE8 przetwarza dane powierzone w imieniu Administratora.
2. Umowa wygasa po zakończeniu przetwarzania danych powierzonych oraz wykonaniu obowiązków zwrotu albo usunięcia danych, z zastrzeżeniem postanowień, które ze swojej natury powinny obowiązywać po zakończeniu Umowy.

§57. Rozwiązanie Umowy

1. Rozwiązanie umowy głównej powoduje rozwiązanie niniejszej Umowy, chyba że Strony uzgodnią inaczej albo dalsze przetwarzanie jest konieczne do zakończenia usług, zwrotu danych, usunięcia danych, spełnienia obowiązków prawnych albo ochrony roszczeń.
2. Administrator może rozwiązać Umowę w zakresie danej usługi, jeżeli TE8 istotnie narusza obowiązki procesora i nie usunie naruszenia w rozsądnym terminie po otrzymaniu wezwania.
3. TE8 może rozwiązać Umowę albo odmówić dalszego przetwarzania, jeżeli Administrator wydaje instrukcje niezgodne z prawem, nie zawarł wymaganej umowy głównej, narusza obowiązki płatnicze, narusza bezpieczeństwo albo powierza dane w sposób sprzeczny z Umową.

Rozdział XIX — Postanowienia końcowe

§58. Zmiany Umowy

1. TE8 może zmienić Umowę z ważnych przyczyn, w szczególności w przypadku:
   1. zmiany przepisów prawa,
   2. zmiany interpretacji przepisów albo praktyki organów,
   3. zmiany usług TE8,
   4. zmiany środków bezpieczeństwa,
   5. zmiany listy podprocesorów,
   6. zmiany mechanizmów transferu danych,
   7. zmiany dokumentacji prawnej TE8,
   8. konieczności doprecyzowania postanowień,
   9. konieczności dostosowania Umowy do nowych wymagań RODO albo organów nadzorczych.
2. Zmiany Umowy mogą być komunikowane przez panel klienta, wiadomość e-mail, stronę te8.pl, komunikat w usłudze albo inny kanał przewidziany w umowie głównej.
3. Jeżeli Administrator nie akceptuje zmiany Umowy istotnie wpływającej na przetwarzanie danych, powinien zaprzestać korzystania z usług, których zmiana dotyczy, albo skorzystać z procedury rozwiązania umowy głównej, jeżeli taka procedura ma zastosowanie.

§59. Prawo właściwe

1. Umowa podlega prawu Rzeczypospolitej Polskiej oraz właściwym przepisom prawa Unii Europejskiej, w szczególności RODO.
2. W przypadku sprzeczności Umowy z bezwzględnie obowiązującymi przepisami RODO, pierwszeństwo mają przepisy RODO.

§60. Spory

1. Strony będą dążyć do polubownego rozwiązania sporów wynikających z Umowy.
2. W relacjach B2B sądem właściwym do rozstrzygania sporów jest sąd właściwy dla siedziby TE8, chyba że bezwzględnie obowiązujące przepisy prawa stanowią inaczej albo umowa główna przewiduje inny sąd właściwy.

§61. Pierwszeństwo załączników

1. Załączniki stanowią integralną część Umowy.
2. W przypadku sprzeczności pomiędzy treścią główną Umowy a załącznikiem, pierwszeństwo ma treść główna Umowy, chyba że załącznik wyraźnie wskazuje dalej idące środki ochrony danych.

§62. Wejście w życie

1. Umowa wchodzi w życie z dniem [UZUPEŁNIĆ DATĘ] albo z dniem jej zaakceptowania przez Administratora, w zależności od tego, które zdarzenie nastąpi później.
2. Umowa obowiązuje do czasu zastąpienia jej nową wersją albo zakończenia przetwarzania danych powierzonych przez TE8.

Załącznik A — Opis przetwarzania

A.1. Przedmiot przetwarzania

A.2. Czas trwania przetwarzania

A.3. Charakter przetwarzania

• hosting i przechowywanie danych, jeżeli dotyczy,
• obsługa kont i użytkowników,
• obsługa ról i uprawnień,
• udostępnianie danych uprawnionym użytkownikom Administratora,
• synchronizacja danych,
• przetwarzanie przez API,
• przetwarzanie przez repozytoria i pakiety, jeżeli zawierają dane osobowe,
• przetwarzanie w ramach aktualizacji i diagnostyki,
• obsługa zgłoszeń wsparcia,
• monitoring bezpieczeństwa,
• logowanie zdarzeń,
• backup i odtwarzanie,
• migracja, import i eksport danych,
• usuwanie i anonimizacja danych.

A.4. Cele przetwarzania

• świadczenie usług TE8 na rzecz Administratora,
• utrzymanie działania Systemu TE8 i usług powiązanych,
• obsługa organizacji Administratora,
• obsługa użytkowników Administratora,
• obsługa plików, zasobów i środowisk, jeżeli dana usługa to obejmuje,
• obsługa API, integracji i automatyzacji,
• obsługa Store, Update i Repo,
• obsługa wsparcia technicznego,
• diagnostyka i usuwanie błędów,
• zapewnienie bezpieczeństwa,
• tworzenie kopii zapasowych,
• wykonywanie instrukcji Administratora.

A.5. Typy danych osobowych

A.6. Kategorie osób, których dane dotyczą

• pracownicy Administratora,
• współpracownicy Administratora,
• administratorzy organizacji,
• użytkownicy końcowi,
• klienci Administratora, jeżeli dane są przetwarzane w usługach TE8,
• kontrahenci Administratora,
• dostawcy Administratora,
• partnerzy Administratora,
• osoby kontaktowe,
• osoby wskazane w zgłoszeniach wsparcia,
• inne osoby, których dane Administrator wprowadzi do usług TE8.

Załącznik B — Środki techniczne i organizacyjne

B.1. Zarządzanie bezpieczeństwem

• wewnętrzne polityki bezpieczeństwa,
• procedury kontroli dostępu,
• procedury reagowania na incydenty,
• procedury backupu i odtwarzania,
• procedury zarządzania podatnościami,
• procedury zarządzania zmianą,
• procedury nadawania i odbierania uprawnień,
• zobowiązania personelu do poufności,
• szkolenia lub instrukcje bezpieczeństwa dla personelu.

B.2. Kontrola dostępu

• indywidualne konta użytkowników,
• role i uprawnienia,
• zasada minimalnych uprawnień,
• MFA dla kont administracyjnych, jeżeli jest stosowane,
• kontrola dostępu do środowisk produkcyjnych,
• logowanie dostępu administracyjnego,
• procedura offboardingu,
• okresowe przeglądy uprawnień, jeżeli są stosowane.

B.3. Bezpieczeństwo transmisji

• szyfrowanie transmisji TLS,
• bezpieczne endpointy API,
• weryfikacja certyfikatów,
• ochrona tokenów i kluczy API,
• podpisy webhooków, jeżeli są stosowane,
• ograniczenia sieciowe, jeżeli są stosowane.

B.4. Bezpieczeństwo przechowywania

• kontrola dostępu do danych w spoczynku,
• szyfrowanie danych w spoczynku, jeżeli jest stosowane,
• separacja tenantów, jeżeli usługa jest wielodostępowa,
• separacja środowisk produkcyjnych, testowych i deweloperskich,
• bezpieczne zarządzanie sekretami,
• ograniczenie dostępu do backupów.

B.5. Logi i monitoring

• logi aplikacyjne,
• logi bezpieczeństwa,
• logi dostępu administracyjnego,
• monitoring anomalii,
• alerty bezpieczeństwa,
• monitoring infrastruktury,
• retencja logów zgodna z analizą ryzyka i wymaganiami usługi.

B.6. Backup i odtwarzanie

• cykliczne kopie zapasowe, jeżeli dana usługa to obejmuje,
• kontrola dostępu do backupów,
• retencja backupów zgodna z polityką TE8,
• procedury odtwarzania,
• testy odtwarzania, jeżeli są stosowane,
• usuwanie lub nadpisywanie backupów zgodnie z cyklem retencji.

B.7. Zarządzanie podatnościami

• monitorowanie podatności,
• aktualizacje bezpieczeństwa,
• skanowanie zależności, jeżeli jest stosowane,
• procedura obsługi zgłoszeń bezpieczeństwa,
• ocena ryzyka podatności,
• wdrażanie poprawek bezpieczeństwa.

B.8. Ciągłość działania

• monitoring dostępności,
• procedury awaryjne,
• kopie zapasowe,
• plan odtwarzania usług, jeżeli dotyczy,
• redundancja wybranych elementów infrastruktury, jeżeli jest stosowana,
• komunikacja o incydentach, jeżeli jest wymagana.

B.9. Środki specyficzne dla API, Repo, Store i Update

• rate limiting API,
• tokeny o ograniczonym zakresie,
• rotacja tokenów,
• podpisy pakietów,
• sumy kontrolne pakietów,
• skanowanie pakietów, jeżeli jest stosowane,
• kontrola publikacji w repozytoriach,
• mechanizmy blokowania komponentów wysokiego ryzyka,
• kontrola źródeł aktualizacji,
• monitoring nadużyć.

Załącznik C — Lista podprocesorów

Lista podprocesorów powinna zostać uzupełniona przed publikacją lub udostępniona w osobnym, aktualizowanym rejestrze.

Załącznik D — Transfery poza EOG

D.1. Informacje ogólne

D.2. Standardowe klauzule umowne

1. Jeżeli transfer danych poza EOG wymaga zastosowania standardowych klauzul umownych, Strony albo TE8 i odpowiedni podprocesor zastosują właściwy moduł SCC.
2. W przypadku sprzeczności pomiędzy niniejszą Umową a SCC, w zakresie transferu danych poza EOG pierwszeństwo mają SCC.
3. TE8 może udostępnić Administratorowi informacje potrzebne do oceny transferu, w zakresie uzasadnionym charakterem przetwarzania i dostępnymi informacjami.

Załącznik E — Procedura zgłaszania naruszeń

E.1. Kanały zgłoszeń

E.2. Minimalny zakres informacji o naruszeniu

• data i godzina wykrycia naruszenia,
• data i godzina wystąpienia naruszenia, jeżeli jest znana,
• opis charakteru naruszenia,
• usługa, której dotyczy naruszenie,
• kategorie danych, których dotyczy naruszenie,
• przybliżona liczba osób, których dane dotyczą, jeżeli jest znana,
• przybliżona liczba rekordów danych, jeżeli jest znana,
• możliwe skutki naruszenia,
• zastosowane środki zaradcze,
• rekomendowane działania Administratora,
• osoba kontaktowa po stronie TE8.

Załącznik F — Rejestr instrukcji Administratora

Załącznik G — Rekomendowany checkbox / akceptacja DPA w panelu B2B

Działając w imieniu Administratora danych, potwierdzam zawarcie Umowy powierzenia przetwarzania danych osobowych TE8 (LP-09) i akceptuję jej postanowienia.

Potwierdzam, że Administrator odpowiada za legalność danych powierzonych TE8, podstawy prawne przetwarzania, obowiązki informacyjne oraz zakres danych wprowadzanych do usług TE8.

Załącznik H — Rekomendowany zapis dowodowy akceptacji DPA

Załącznik I — Checklist wdrożeniowy dla TE8 DPA

• Uzupełnić dane rejestrowe TE8.
• Uzupełnić datę wejścia w życie DPA.
• Uzupełnić adresy e-mail: privacy, security, reklamacje, kontakt.
• Określić, dla których usług TE8 DPA ma zastosowanie.
• Oddzielić przetwarzanie, w którym TE8 jest administratorem, od przetwarzania, w którym TE8 jest procesorem.
• Uzupełnić Załącznik A dla każdego modelu usługi: SaaS, cloud, on-premise support, API, Repo, Store, Update.
• Uzupełnić konkretne kategorie danych i osób.
• Uzupełnić okresy retencji danych, logów i backupów.
• Uzupełnić Załącznik B — środki techniczne i organizacyjne.
• Uzupełnić listę podprocesorów w Załączniku C.
• Uzupełnić transfery poza EOG w Załączniku D.
• Określić termin na sprzeciw wobec nowego podprocesora.
• Określić procedurę powiadamiania o zmianie podprocesorów.
• Określić kanał zgłaszania naruszeń.
• Określić standardowy czas reakcji TE8 po stwierdzeniu naruszenia.
• Określić procedurę audytu i dostępne dokumenty zgodności.
• Określić, które audyty są odpłatne albo wymagają wcześniejszego uzgodnienia.
• Określić procedurę zwrotu i usunięcia danych po zakończeniu usług.
• Wdrożyć zapis dowodowy akceptacji DPA w panelu B2B.
• Sprawdzić zgodność z LP-01, LP-02, LP-03, LP-04, LP-05, LP-06, LP-07, LP-08 i LP-10.