Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych („Umowa powierzenia”) stanowi część Warunków korzystania z usług lub innej pisemnej umowy („Umowa”) między Shopxare, LLC („Shopxare”, „Podmiot przetwarzający”) a klientem („Klient”, „Administrator”). Ma zastosowanie automatycznie, gdy Shopxare przetwarza Dane osobowe Klienta. Klienci potrzebujący podpisanej kopii mogą o nią poprosić przez formularz wniosku o umowę powierzenia.

1. Definicje

„Przepisy o ochronie danych” to wszystkie przepisy dotyczące przetwarzania danych osobowych mające zastosowanie do strony, w tym rozporządzenie (UE) 2016/679 („RODO”), UK GDPR i Data Protection Act 2018, szwajcarska federalna ustawa o ochronie danych, California Consumer Privacy Act ze zmianami („CCPA”), inne stanowe przepisy USA o prywatności oraz turecka ustawa nr 6698 o ochronie danych osobowych („KVKK”). „Dane osobowe Klienta” to dane osobowe zawarte w Danych Klienta, które Shopxare przetwarza w imieniu Klienta. Pojęcia „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych”, „przetwarzanie” i „organ nadzorczy” mają znaczenie nadane w RODO. „Podprzetwarzający” to podmiot trzeci, któremu Shopxare powierza przetwarzanie Danych osobowych Klienta.

2. Role i zakres

2.1 W odniesieniu do Danych osobowych Klienta Klient jest administratorem (lub podmiotem przetwarzającym działającym dla własnego administratora), a Shopxare — podmiotem przetwarzającym (lub podprzetwarzającym).

2.2 Shopxare jest odrębnym administratorem danych konta, rozliczeń i strony opisanych w Polityce prywatności; niniejsza Umowa powierzenia nie dotyczy tych danych.

2.3 Przedmiot, charakter, cel i czas trwania przetwarzania, rodzaje danych i kategorie osób, których dane dotyczą, opisano w Załączniku I.

3. Obowiązki Klienta

Klient: (a) będzie wydawać wyłącznie zgodne z prawem polecenia; (b) będzie mieć podstawę prawną i przekaże wymagane informacje, także dotyczące cookies i local storage Messengera na swoich stronach; (c) nie poleci Shopxare przetwarzania szczególnych kategorii danych poza zakresem dozwolonym przez Zasady dopuszczalnego użytkowania; oraz (d) odpowiada za prawidłowość Danych osobowych Klienta.

4. Obowiązki Shopxare

Shopxare:

4.1 będzie przetwarzać Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta — którym są Umowa, niniejsza Umowa powierzenia oraz konfiguracja i korzystanie z Usług przez Klienta — chyba że prawo stanowi inaczej (wtedy poinformuje Klienta, jeśli prawo tego nie zabrania), i poinformuje Klienta, jeśli uzna, że polecenie narusza Przepisy o ochronie danych;

4.2 zapewni, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;

4.3 wdroży środki techniczne i organizacyjne z Załącznika II;

4.4 będzie przestrzegać warunków korzystania z Podprzetwarzających z pkt 6;

4.5 uwzględniając charakter przetwarzania, pomoże Klientowi odpowiednimi środkami w realizacji żądań osób, których dane dotyczą (pkt 7);

4.6 pomoże Klientowi w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków i uprzednich konsultacji, uwzględniając dostępne mu informacje;

4.7 usunie lub zwróci Dane osobowe Klienta po zakończeniu Usług (pkt 9); oraz

4.8 udostępni informacje niezbędne do wykazania zgodności i umożliwi audyty (pkt 10).

5. Bezpieczeństwo i poufność

Shopxare stosuje środki z Załącznika II i może je aktualizować, o ile ogólny poziom ochrony nie spadnie.

6. Podprzetwarzający

6.1 Klient udziela Shopxare ogólnej zgody na korzystanie z Podprzetwarzających. Aktualna lista znajduje się na stronie Podprzetwarzający (Załącznik III).

6.2 Shopxare poinformuje Klienta co najmniej 30 dni przed rozpoczęciem przetwarzania Danych osobowych Klienta przez nowego Podprzetwarzającego, aktualizując stronę i wysyłając e-mail do klientów subskrybujących aktualizacje lub tych, którzy podpisali niniejszą Umowę powierzenia. Klient może w tym terminie wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych. Strony omówią sprzeciw w dobrej wierze; jeśli nie zostanie rozwiązany, Klient może rozwiązać umowę w zakresie danych Usług i otrzymać zwrot opłat uiszczonych z góry za pozostały okres.

6.3 Shopxare nałoży na każdego Podprzetwarzającego obowiązki ochrony danych nie mniej rygorystyczne niż niniejsza Umowa powierzenia i odpowiada za jego działania.

6.4 Usługi, które Klient sam podłącza (np. Telegram, dostawca AI z kluczem API Klienta, WooCommerce lub Shopify), nie są Podprzetwarzającymi Shopxare; relację Klienta z nimi regulują ich warunki.

7. Żądania osób, których dane dotyczą

Klient może sam uzyskiwać dostęp, poprawiać, eksportować i usuwać większość Danych osobowych Klienta w Usługach. Jeśli Shopxare otrzyma żądanie osoby, której dane dotyczą, w zakresie Danych osobowych Klienta, przekaże je Klientowi bez zbędnej zwłoki i nie odpowie samodzielnie, chyba że w celu skierowania tej osoby do Klienta lub gdy wymaga tego prawo.

8. Naruszenia ochrony danych osobowych

8.1 Shopxare powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od stwierdzenia naruszenia dotyczącego Danych osobowych Klienta.

8.2 Powiadomienie opisze — w zakresie, w jakim jest to wiadome — charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz podjęte lub proponowane środki. Shopxare przekaże dalsze informacje, gdy będą dostępne, i podejmie rozsądne kroki w celu ograniczenia i usunięcia skutków naruszenia.

8.3 Powiadomienie nie oznacza przyznania się do winy.

9. Usunięcie i zwrot

W trakcie Usług Klient może eksportować Dane osobowe Klienta. W ciągu 30 dni od zakończenia Usług Shopxare usunie je z aktywnych systemów; kopie w kopiach zapasowych są usuwane w cyklu kopii (35 dni) i do tego czasu chronione. Shopxare może przechowywać dane wymagane przepisami, z zastrzeżeniem niniejszej Umowy powierzenia.

10. Audyty

10.1 Na żądanie, nie częściej niż raz w roku (chyba że wymaga tego organ nadzorczy lub po naruszeniu), Shopxare odpowie na rozsądny kwestionariusz bezpieczeństwa i udostępni aktualną dokumentację bezpieczeństwa.

10.2 Jeśli to nie wystarczy do wykazania zgodności, Klient może przeprowadzić audyt po co najmniej 30-dniowym pisemnym uprzedzeniu, w godzinach pracy, bez nieuzasadnionego zakłócania działalności Shopxare, na podstawie umowy o poufności i na własny koszt. Audyty Podprzetwarzających opierają się na ich raportach i certyfikatach.

11. Przekazywanie danych do państw trzecich

11.1 Dane osobowe Klienta są przechowywane na serwerach w Turcji i mogą być przetwarzane w Stanach Zjednoczonych i innych krajach, w których działa Shopxare lub jego Podprzetwarzający.

11.2 EOG. W zakresie, w jakim Dane osobowe Klienta podlegające RODO są przekazywane do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, strony włączają standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 („SKU”): Moduł Drugi (od administratora do podmiotu przetwarzającego), gdy Klient jest administratorem, i Moduł Trzeci (między podmiotami przetwarzającymi), gdy jest podmiotem przetwarzającym. W SKU: stosuje się klauzulę 7 (klauzula przystąpienia); zgodnie z klauzulą 9 stosuje się opcję 2 (ogólna zgoda) z terminem z pkt 6.2; nie stosuje się opcjonalnego brzmienia klauzuli 11; zgodnie z klauzulami 17 i 18 właściwe są prawo i sądy Irlandii; załączniki I–III do SKU wypełniają Załączniki I–III do niniejszej Umowy powierzenia.

11.3 Wielka Brytania. Do przekazywania podlegającego UK GDPR stosuje się International Data Transfer Addendum do SKU wydany przez Information Commissioner; Tabelę 1 wypełnia Załącznik I, Tabelę 2 pkt 11.2, Tabelę 3 Załączniki I–III, a Tabela 4 pozwala każdej ze stron go zakończyć.

11.4 Szwajcaria. Do przekazywania podlegającego prawu szwajcarskiemu stosuje się SKU, przy czym właściwym organem jest Federalny Komisarz ds. Ochrony Danych i Informacji, a odesłania do RODO rozumie się jako odesłania do prawa szwajcarskiego.

11.5 Turcja. Do przekazywania podlegającego KVKK strony zastosują, w razie potrzeby, umowę standardową opublikowaną przez turecki Urząd Ochrony Danych Osobowych, a Klient dokona wymaganego zgłoszenia do Urzędu.

11.6 Jeśli mechanizm przekazywania zostanie unieważniony, strony będą współpracować nad alternatywą.

12. Przepisy USA o prywatności

W zakresie, w jakim zastosowanie mają CCPA lub podobne przepisy stanowe, Shopxare działa jako „service provider” lub „processor”. Shopxare nie będzie: (a) sprzedawać ani udostępniać Danych osobowych Klienta; (b) przechowywać, wykorzystywać ani ujawniać ich w celach innych niż świadczenie Usług ani poza bezpośrednią relacją biznesową z Klientem; (c) łączyć ich z danymi osobowymi z innych źródeł, chyba że prawo na to pozwala; będzie przestrzegać odpowiednich obowiązków wynikających z tych przepisów, zapewni wymagany przez nie poziom ochrony i poinformuje Klienta, jeśli nie będzie w stanie ich spełnić. Klient może podjąć rozsądne kroki w celu zatrzymania i naprawy nieuprawnionego użycia. Shopxare oświadcza, że rozumie te ograniczenia.

13. Odpowiedzialność i pierwszeństwo

Odpowiedzialność każdej strony z tytułu niniejszej Umowy powierzenia podlega ograniczeniom z Umowy, chyba że Przepisy o ochronie danych lub SKU na to nie pozwalają. W razie sprzeczności z Umową pierwszeństwo w zakresie przetwarzania Danych osobowych Klienta ma niniejsza Umowa powierzenia; w razie sprzeczności z SKU — SKU.

---

Załącznik I — Opis przetwarzania

Podmiot przekazujący: Klient wskazany w Umowie lub w swojej Przestrzeni roboczej; kontakt: właściciel Przestrzeni roboczej. Rola: administrator lub podmiot przetwarzający. Działania: korzystanie z Usług.

Podmiot odbierający: Shopxare, LLC, 2318 Garden Rd, Shopxare Park, Monterey, CA 93940, Stany Zjednoczone; [email protected]. Rola: podmiot przetwarzający. Działania: świadczenie Usług.

Kategorie osób, których dane dotyczą: Użytkownicy końcowi Klienta (odwiedzający stronę, klienci, potencjalni klienci i inne osoby kontaktujące się z Klientem) oraz Użytkownicy Klienta (członkowie zespołu).

Kategorie danych osobowych: imiona i nazwiska, adresy e-mail, numery telefonów, identyfikatory użytkowników i atrybuty przesyłane przez Klienta; treść wiadomości i pliki; identyfikatory Telegram i e-mail; odwiedziny stron, zdarzenia, urządzenie, przeglądarka, język i przybliżona lokalizacja (ustalona na podstawie IP); dane sygnalizacyjne połączeń (połączenia nie są nagrywane); oceny rozmów; imiona, zdjęcia i stanowiska członków zespołu.

Szczególne kategorie: nie są przewidziane; pojawiają się tylko, jeśli Użytkownicy końcowi umieszczą je w wiadomościach — wtedy stosuje się środki z Załącznika II.

Częstotliwość: ciągła.

Charakter i cel: hosting, przechowywanie, przesyłanie, wyświetlanie, wyszukiwanie, analiza (w tym funkcje AI włączone przez Klienta), tłumaczenie i usuwanie w celu świadczenia Usług Klientowi.

Okres przechowywania: przez czas trwania Umowy, a następnie zgodnie z pkt 9.

Przekazywanie Podprzetwarzającym: zgodnie z Załącznikiem III i w celach tam wskazanych.

Właściwy organ nadzorczy: organ ustalony zgodnie z klauzulą 13 SKU.

Załącznik II — Środki techniczne i organizacyjne

Środki opisano na stronie Bezpieczeństwo; obejmują one: szyfrowanie danych w transmisji (TLS 1.2+); szyfrowanie przechowywanych danych uwierzytelniających, takich jak tokeny integracji i klucze API; solone haszowanie haseł; weryfikację dwuetapową i zatwierdzanie logowań dla członków zespołu; kontrolę dostępu opartą na rolach i separację przestrzeni roboczych w aplikacji; dzienniki audytu; ograniczenie dostępu do systemów produkcyjnych do upoważnionego personelu Shopxare; ochronę sieci i łagodzenie ataków DDoS przez Cloudflare; ograniczanie liczby zapytań; podpisane webhooki; weryfikację tożsamości (HMAC) użytkowników Messengera; codzienne kopie zapasowe przechowywane przez 35 dni; monitorowanie i publiczną stronę statusu; procedury reagowania na incydenty; praktyki bezpiecznego wytwarzania z automatycznymi testami przed każdym wydaniem; oraz obowiązki poufności personelu.

Załącznik III — Podprzetwarzający

Zob. stronę Podprzetwarzający, stanowiącą część niniejszej Umowy powierzenia.