Umowa powierzenia danych

Strony i charakter dokumentu

Podmiot przetwarzający: Ecom Mariusz Małachowski, NIP 5432027712, Poleska 23/6, 15-476 Białystok, e-mail: biuro@brandstyle.pl.

Administrator: sklep, którego pełna nazwa, adres, numer identyfikacyjny i reprezentacja zostaną wpisane do umowy. Dokument jest wzorem do uzgodnienia i zawarcia; samo wyświetlenie tej strony ani rejestracja konta nie oznaczają zawarcia umowy powierzenia.

Przedmiot, czas i zakres

Administrator powierza dane w celu obsługi zaproszeń po zamówieniu, przyjmowania opinii, moderacji, odpowiedzi i publikacji. Przetwarzanie obejmuje zapis, porządkowanie, przechowywanie, wysyłanie wiadomości, udostępnianie zatwierdzonych opinii i usunięcie lub zwrot danych.

Osoby, których dotyczą dane: kupujący i autorzy opinii. Kategorie danych: e-mail, identyfikator zamówienia, token i status zaproszenia, podana nazwa autora, ocena, komentarz, temat, wyróżniki, daty i odpowiedź sklepu. Nie należy przekazywać szczególnych kategorii danych ani danych o wyrokach.

Czas: okres świadczenia usługi oraz uzgodniony czas zwrotu lub usunięcia danych. Załącznik powinien wskazywać konkretne terminy, zakres integracji i zasady postępowania z kopiami zapasowymi.

Instrukcje i poufność

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora, także w zakresie transferów, chyba że prawo nakazuje inaczej. W takim przypadku informuje administratora przed przetwarzaniem, o ile prawo tego nie zabrania.

Do danych dopuszczane są wyłącznie osoby upoważnione i zobowiązane do poufności. Jeśli instrukcja zdaniem podmiotu przetwarzającego narusza przepisy o ochronie danych, niezwłocznie informuje on administratora.

Bezpieczeństwo i naruszenia

Strony określają środki odpowiadające ryzyku zgodnie z art. 32 RODO. Załącznik powinien opisywać faktycznie wdrożoną kontrolę dostępu, szyfrowanie transmisji, rozdzielenie sklepów, zarządzanie sekretami, aktualizacje, kopie zapasowe, odtwarzanie i okresowe sprawdzanie zabezpieczeń.

Podmiot przetwarzający zgłasza administratorowi naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu i przekazuje dostępne informacje potrzebne do oceny skutków i obowiązków zgłoszeniowych. Dokładne kanały, osoby kontaktowe i zasady współpracy należy wskazać w załączniku.

Dalsze powierzenie i transfery

Dalszy podmiot przetwarzający może być zaangażowany wyłącznie na podstawie uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej administrator otrzymuje informację o planowanej zmianie i możliwość sprzeciwu w uzgodnionym terminie.

Na dalszy podmiot nakłada się obowiązki ochrony danych odpowiadające tej umowie. Pierwotny podmiot przetwarzający pozostaje odpowiedzialny wobec administratora za wykonanie tych obowiązków.

Załącznik musi zawierać zatwierdzoną listę dostawców, czynności, lokalizacje, zasady zmian i ewentualne transfery poza EOG wraz z odpowiednim mechanizmem prawnym. Wzór nie zawiera zgody na nieustalonych dostawców ani transfery.

Pomoc administratorowi i audyt

Z uwzględnieniem charakteru przetwarzania podmiot przetwarzający pomaga administratorowi odpowiadać na żądania osób oraz realizować obowiązki dotyczące bezpieczeństwa, naruszeń, oceny skutków i konsultacji z organem nadzorczym.

Udostępnia informacje potrzebne do wykazania zgodności z obowiązkami z art. 28 RODO oraz umożliwia audyty i inspekcje administratora lub upoważnionego audytora i przyczynia się do ich przeprowadzenia. Organizacja audytu nie może pozbawiać administratora tego prawa.

Zwrot i usunięcie danych

Po zakończeniu usług administrator wybiera zwrot albo usunięcie danych. Podmiot przetwarzający usuwa także istniejące kopie, chyba że prawo wymaga ich dalszego przechowywania. Strony ustalają format zwrotu, termin, obsługę backupów i sposób potwierdzenia wykonania.

Sam eksport opinii CSV nie obejmuje całego zbioru danych powierzonych. Przed zawarciem umowy należy potwierdzić pełną procedurę zwrotu i usunięcia oraz jej wykonalność.

Co trzeba uzupełnić przed podpisaniem

Umowę należy zawrzeć w formie pisemnej, w tym elektronicznej. Przed zawarciem uzupełnij i sprawdź poniższe załączniki.

• Dane administratora, reprezentację, datę, czas trwania i osoby kontaktowe obu stron.
• Opis przetwarzania, udokumentowane instrukcje i uzgodnione terminy retencji.
• Faktycznie wdrożone środki techniczne i organizacyjne, backup oraz test odtwarzania.
• Listę podwykonawców, lokalizacje i podstawy ewentualnych transferów.
• Kanał obsługi naruszeń i żądań, zasady audytu oraz procedurę zwrotu i usunięcia.

Powiązane informacje