Załącznik nr 1: umowa powierzenia przetwarzania danych osobowych
1. Strony i przedmiot
- Umowa jest zawierana między Klientem jako administratorem danych (albo podmiotem przetwarzającym, który powierza dane dalej za zgodą administratora) a Usługodawcą jako podmiotem przetwarzającym, zgodnie z art. 28 RODO.
- Usługodawca przetwarza dane osobowe wyłącznie w celu świadczenia Usługi, w zakresie: dane kupujących ze Sklepu (imię i nazwisko widoczne w wiadomościach, treść wiadomości, numery i dane zamówień bez adresów i e-maili, treść ocen) oraz dane Użytkowników Klienta.
- Dane obejmują osoby: kupujących w Sklepie Klienta oraz Użytkowników Konta. Przetwarzanie polega na pobieraniu, przechowywaniu, wyświetlaniu i przesyłaniu danych do Empik Marketplace w ramach funkcji Usługi, przez czas trwania umowy.
2. Obowiązki Usługodawcy
- Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie Klienta, którym jest umowa i konfiguracja Usługi przez Klienta; zapewnia, że osoby mające dostęp do danych zobowiązały się do poufności.
- Usługodawca stosuje środki bezpieczeństwa odpowiednie do ryzyka, w szczególności: szyfrowanie połączeń (HTTPS), szyfrowanie kluczy API, oddzielenie danych kont, kontrolę dostępu z rolami, rejestr działań w Koncie i kopie zapasowe.
- Usługodawca pomaga Klientowi w realizacji praw osób, których dane dotyczą, oraz w obowiązkach z art. 32-36 RODO, w zakresie wynikającym z charakteru przetwarzania.
- O naruszeniu ochrony danych Usługodawca zawiadamia Klienta bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia.
- Po zakończeniu umowy Usługodawca usuwa dane w ciągu 30 dni, chyba że przepisy nakazują ich dalsze przechowywanie. Usługodawca udostępnia informacje niezbędne do wykazania spełnienia obowiązków i umożliwia Klientowi audyt po uprzednim uzgodnieniu terminu.
3. Dalsze podmioty przetwarzające
- Klient udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:
- Dostawca serwera (hosting) (serwervps.pl), Polska: utrzymanie serwera i bazy danych
- Stripe Payments Europe Ltd. (stripe.com), Irlandia (część danych w USA): obsługa płatności kartą
- wFirma sp. z o.o. (wfirma.pl), Polska: wystawianie faktur VAT
- Dostawca poczty wychodzącej, EOG: wysyłka maili z usługi
- Google (Gemini API, plan płatny) (ai.google.dev), USA i EOG: funkcje AI w obsłudze wiadomości i podsumowaniu dnia, tylko gdy Klient je włączy
- Anthropic PBC (anthropic.com), USA: szkice odpowiedzi AI, tylko gdy Klient je włączy i użyje
- O planowanych zmianach Usługodawca informuje Klienta e-mailem co najmniej 14 dni wcześniej; Klient może zgłosić sprzeciw i wypowiedzieć umowę. Przekazanie danych poza EOG odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej albo innego mechanizmu z rozdziału V RODO.