Umowa powierzenia przetwarzania danych

1. Strony i zakres

Niniejsza Umowa powierzenia przetwarzania danych ("DPA") została zawarta między PeakCore LLC, spółką z ograniczoną odpowiedzialnością z Wyoming, która prowadzi AIGROW ("my", "nas"), a firmą akceptującą nasz Regulamin ("ty"). Stanowi część umowy złożonej z Regulaminu oraz dokumentów, które on wymienia ("Umowa").

Ma zastosowanie, ilekroć przetwarzamy Dane Osobowe Klienta w związku ze świadczeniem Usług na twoją rzecz. Obowiązuje automatycznie, bez podpisu, od chwili, gdy po raz pierwszy przekażesz nam takie dane. Typowe przypadki to:

• dane o firmie, konkurentach i sumaryczny ruch z Google Analytics, które zapisujesz w monitorze;
• dane klientów agencji, jej elementy identyfikacji wizualnej i raporty white-label;
• leady, które osadzony na stronie agencji checker zbiera od odwiedzających tę stronę;
• dane z Search Console i klucz, który łączysz z silnikiem bloga;
• wiadomości, wspomnienia i dokumenty przekazywane asystentowi oraz treści silnika bloga;
• prompty i odpowiedzi przechodzące przez nasze API;
• materiały, które przesyłasz nam do prac wykonywanych na zlecenie i do komunikatów prasowych, takie jak opinie klientów, cytaty i imiona oraz nazwiska pracowników.

Niniejsza DPA dotyczy wyłącznie klientów biznesowych. Nie dotyczy danych osobowych, które przetwarzamy jako administrator, takich jak dane konta, rozliczeń i kontaktowe, objętych Polityką prywatności.

2. Definicje

Pojęcia zdefiniowane w Regulaminie mają tu to samo znaczenie. "Administrator", "podmiot przetwarzający", "osoba, której dane dotyczą", "dane osobowe", "przetwarzanie" i "organ nadzorczy" mają znaczenie nadane w RODO. Ponadto:

• Dane Osobowe Klienta oznaczają dane osobowe, które przetwarzamy w twoim imieniu w związku ze świadczeniem Usług.
• Prawo Ochrony Danych oznacza przepisy mające zastosowanie do tego przetwarzania, w tym w szczególności unijne ogólne rozporządzenie o ochronie danych 2016/679 ("RODO"), RODO w brzmieniu obowiązującym jako część prawa brytyjskiego ("UK GDPR"), brytyjską ustawę o ochronie danych z 2018 roku, szwajcarską ustawę federalną o ochronie danych ("FADP"), kalifornijską ustawę o prywatności konsumentów (California Consumer Privacy Act) oraz podobne przepisy stanów USA.
• Podprocesor oznacza podmiot trzeci, któremu zlecamy przetwarzanie Danych Osobowych Klienta.
• Naruszenie Ochrony Danych Osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia Danych Osobowych Klienta lub nieuprawnionego dostępu do nich w systemach, które kontrolujemy my lub nasi Podprocesorzy.
• SCC oznaczają standardowe klauzule umowne zatwierdzone decyzją wykonawczą Komisji Europejskiej 2021/914.
• Aneks brytyjski oznacza Aneks o międzynarodowym transferze danych do SCC, wydany przez brytyjskiego Komisarza ds. Informacji (Information Commissioner).

3. Role

Jesteś administratorem Danych Osobowych Klienta, a my jesteśmy twoim podmiotem przetwarzającym. Jeśli działasz na rzecz własnego klienta, jak robi to agencja, jesteś podmiotem przetwarzającym, twój klient jest administratorem, a my jesteśmy twoim podprocesorem. Potwierdzasz, że twój klient upoważnił cię do wydawania nam tych poleceń, w tym do powierzenia przetwarzania naszym Podprocesorom, i że pozostajesz naszym jedynym punktem kontaktu.

W odniesieniu do danych potrzebnych nam do prowadzenia działalności jesteśmy administratorem, a nie podmiotem przetwarzającym. Są to dane konta i rozliczeń, zapisy dotyczące użytkowania i kosztów, dzienniki bezpieczeństwa i nadużyć oraz statystyki, które nikogo nie identyfikują. Możemy wykorzystywać zapisy użytkowania i takie statystyki do obsługi, zabezpieczania, rozliczania i ulepszania Usług, a nigdy do identyfikowania osób, których dotyczą twoje dane.

Stany Zjednoczone. Gdy mają zastosowanie stanowe przepisy USA o prywatności, działamy jako twój usługodawca (service provider) lub wykonawca (contractor). Nie sprzedajemy Danych Osobowych Klienta ani ich nie udostępniamy. Nie zatrzymujemy ich, nie wykorzystujemy ani nie ujawniamy w żadnym celu innym niż świadczenie Usług na podstawie Umowy, ani poza naszą bezpośrednią relacją biznesową z tobą, i nie łączymy ich z danymi osobowymi z innych źródeł, z wyjątkiem przypadków dozwolonych przez te przepisy. Wypełniamy obowiązki, które te przepisy na nas nakładają, i powiadomimy cię, jeśli przestaniemy móc je spełniać. Możesz wówczas podjąć rozsądne i odpowiednie kroki w celu zaprzestania nieuprawnionego wykorzystania danych i jego naprawienia.

4. Przetwarzanie na twoje polecenie

Przetwarzamy Dane Osobowe Klienta wyłącznie na twoje udokumentowane polecenie, także w zakresie przekazywania danych międzynarodowo, chyba że prawo wymaga inaczej. W takim przypadku informujemy cię o tym wymogu prawnym przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

Twoje polecenia stanowią: niniejsza DPA, Umowa, wybrane przez ciebie ustawienia i sposób korzystania z Usług oraz wszelkie dalsze pisemne polecenia, na które się zgodzimy. Wybór funkcji, modelu lub adresu dostawy jest poleceniem. Na przykład gdy wybierasz model w asystencie lub w API, przesłanie twoich treści do dostawcy tego modelu jest częścią twoich poleceń.

Poinformujemy cię, jeśli naszym zdaniem polecenie narusza Prawo Ochrony Danych. Nie mamy obowiązku sprawdzania zgodności twoich poleceń z prawem i możemy zawiesić objęte nim przetwarzanie do czasu, aż potwierdzisz lub zmienisz polecenie.

Odpowiadasz za zgodność z prawem przetwarzania, które zlecasz: za posiadanie podstawy prawnej, przekazanie wymaganych przez prawo informacji, uzyskanie wymaganych zgód oraz za prawidłowość przekazywanych danych. Usługi nie są przeznaczone do przetwarzania szczególnych kategorii danych osobowych, danych o karalności ani danych dzieci. Nie przekazuj nam takich danych, chyba że jest to niezbędne do świadczenia Usługi i zgodne z prawem.

5. Poufność

Dostęp do Danych Osobowych Klienta zapewniamy wyłącznie osobom, które potrzebują go do świadczenia Usług, ich wsparcia lub zabezpieczenia i które są związane zobowiązaniami do zachowania poufności lub ustawowym obowiązkiem poufności.

Jeśli sąd, organ lub inny podmiot trzeci zażąda od nas Danych Osobowych Klienta, w miarę możliwości odsyłamy go do ciebie. Informujemy cię o żądaniu, chyba że prawo tego zabrania, i ujawniamy wyłącznie to, co jesteśmy prawnie zobowiązani ujawnić.

6. Bezpieczeństwo

Wdrażamy środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiedni do ryzyka, zgodnie z art. 32 RODO, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania. Obecnie stosowane środki wymieniono poniżej i stanowią one Załącznik II w rozumieniu SCC.

Możemy zmieniać te środki wraz z rozwojem technologii i zagrożeń, o ile zmiana nie obniża istotnie ogólnego poziomu bezpieczeństwa. Odpowiadasz za bezpieczeństwo własnego konta, urządzeń, kluczy API i linków do raportów oraz za dane, które postanawiasz przesłać. Nasza strona o bezpieczeństwie opisuje, jak działa AIGROW.

7. Podprocesorzy

Udzielasz nam ogólnej zgody na korzystanie z usług Podprocesorów. Kategorie, z których korzystamy, wraz z ich lokalizacjami wymieniono w załączniku poniżej. Aktualna lista Podprocesorów jest dostępna na prośbę wysłaną na adres privacy@aigrow.gg.

Powiadomimy cię e-mailem, na adres przypisany do twojego konta, co najmniej 14 dni przed rozpoczęciem przetwarzania Danych Osobowych Klienta przez nowego Podprocesora. W tym terminie możesz zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych, pisząc na adres privacy@aigrow.gg. Omówimy twoje zastrzeżenia w dobrej wierze. Jeśli nie uda się ich rozwiązać, możesz zakończyć korzystanie z danej Usługi na podstawie pisemnego powiadomienia, a do wszelkich uiszczonych kwot stosuje się Politykę zwrotów. Jest to twój jedyny środek w razie sprzeciwu.

Jeśli musimy pilnie zastąpić Podprocesora ze względów bezpieczeństwa lub aby zapewnić ciągłość działania Usług, możemy to zrobić od razu i powiadomimy cię o tym jak najszybciej po fakcie, z tym samym prawem do sprzeciwu.

Na każdego Podprocesora nakładamy w pisemnej umowie obowiązki w zakresie ochrony danych, które co do istoty zapewniają taką samą ochronę jak niniejsza DPA, zgodnie z art. 28 ust. 4 RODO. Wobec ciebie pozostajemy odpowiedzialni za wykonanie obowiązków przez naszych Podprocesorów.

8. Pomoc

Z uwzględnieniem charakteru przetwarzania i dostępnych nam informacji pomagamy ci w następujących sprawach:

• odpowiadanie na żądania osób, których dane dotyczą, w celu wykonania ich praw, za pomocą funkcji Usług, a gdy to nie wystarcza, na prośbę wysłaną na adres privacy@aigrow.gg;
• twoje obowiązki w zakresie bezpieczeństwa, oceny skutków dla ochrony danych i uprzednie konsultacje z organami nadzorczymi, poprzez udostępnianie informacji o Usługach.

Jeśli osoba, której dane dotyczą, skontaktuje się z nami bezpośrednio w sprawie Danych Osobowych Klienta, odsyłamy ją do ciebie i sami nie odpowiadamy, poza potwierdzeniem, że przekazaliśmy żądanie.

Jeżeli pomoc wykracza poza funkcje i informacje, które Usługi już zapewniają, możemy naliczyć rozsądne koszty, o czym poinformujemy cię z góry, chyba że pomoc jest potrzebna z powodu naruszenia przez nas niniejszej DPA.

9. Naruszenia ochrony danych osobowych

Powiadamiamy cię bez zbędnej zwłoki po stwierdzeniu Naruszenia Ochrony Danych Osobowych, e-mailem na adres przypisany do twojego konta. W miarę jak informacje stają się dostępne, przekazujemy ci informacje wymienione w art. 33 ust. 3 RODO:

• charakter naruszenia, w tym, o ile to możliwe, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów, których naruszenie dotyczy;
• punkt kontaktowy, w którym można uzyskać więcej informacji;
• możliwe konsekwencje naruszenia;
• środki podjęte lub proponowane w celu zaradzenia naruszeniu oraz złagodzenia jego ewentualnych negatywnych skutków.

Podejmujemy rozsądne kroki, aby powstrzymać naruszenie i usunąć jego skutki. Odpowiadasz za wszelkie zgłoszenia do organów nadzorczych i osób, których dane dotyczą, a my będziemy ci pomagać w sposób opisany w sekcji o pomocy.

Nieudane próby lub działania, które nie naruszają bezpieczeństwa Danych osobowych klienta, takie jak nieudane próby logowania, pingi, skanowanie portów lub zablokowane ataki, nie są naruszeniami ochrony danych osobowych. Nasze powiadomienie o naruszeniu nie oznacza przyznania się do winy ani odpowiedzialności.

10. Zwrot i usunięcie

Gdy korzystasz z Usług, możesz samodzielnie usunąć znaczną część swoich danych, na przykład monitor, połączoną stronę bloga, dokument lub zapis w pamięci asystenta, a o kopię pozostałych danych możesz poprosić pod adresem privacy@aigrow.gg.

Gdy Usługi się zakończą lub w dowolnym momencie na twoje pisemne żądanie przesłane na adres privacy@aigrow.gg, w rozsądnym terminie zwracamy lub usuwamy Dane osobowe klienta, według twojego wyboru, chyba że prawo wymaga od nas ich zachowania. Na twoją prośbę potwierdzamy usunięcie na piśmie. Jeśli nie złożysz żądania, usuniemy Dane osobowe klienta, gdy przestaną być nam potrzebne do świadczenia Usług, jak opisuje Polityka prywatności.

Dane, które musimy przechowywać na mocy prawa, pozostają chronione na podstawie niniejszej umowy DPA i są przetwarzane wyłącznie w celu, który tego wymaga.

11. Informacje i audyty

Udostępniamy ci informacje niezbędne do wykazania zgodności z art. 28 RODO. Robimy to przede wszystkim na piśmie: poprzez niniejszą umowę DPA, naszą stronę o bezpieczeństwie oraz pisemne odpowiedzi na twoje uzasadnione pytania dotyczące naszego przetwarzania. Nie posiadamy certyfikatów podmiotów trzecich, takich jak SOC 2 czy ISO 27001.

Inspekcja odbywa się tylko wtedy, gdy wymagają jej Przepisy o ochronie danych lub organ nadzorczy, a informacje przekazane na piśmie nie spełniają tego wymogu. W takim przypadku:

• przekazujesz nam z rozsądnym wyprzedzeniem pisemne powiadomienie oraz uzgadniasz z nami zakres, termin i czas trwania;
• przeprowadzasz ją ty lub niezależny audytor związany obowiązkiem poufności, który nie jest naszym konkurentem;
• odbywa się w godzinach pracy, nie zakłóca działania Usług i nie daje dostępu do danych innych klientów ani do naszych informacji poufnych w zakresie wykraczającym poza potrzeby inspekcji;
• ponosisz jej koszty, w tym nasze;
• odbywa się co najwyżej raz w roku, chyba że organ nadzorczy wymaga częściej.

Audyty na podstawie SCC przeprowadza się w taki sam sposób, w zakresie, w jakim SCC na to pozwalają.

12. Transfery międzynarodowe

Przetwarzamy Dane osobowe klienta w Stanach Zjednoczonych i w Niemczech, a ty zezwalasz na transfery do tych krajów oraz do lokalizacji naszych Podprocesorów.

Transfery podlegające RODO

Jeżeli Dane osobowe klienta podlegające RODO są przekazywane nam lub przez nas Podprocesorowi do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, SCC są włączone do niniejszej umowy DPA przez odniesienie: Moduł 2, gdy jesteś administratorem, oraz Moduł 3, gdy jesteś podmiotem przetwarzającym. Ty jesteś eksporterem danych, a my importerem danych. W odniesieniu do SCC:

• stosuje się klauzulę dołączenia z klauzuli 7;
• w klauzuli 9 stosuje się opcję 2, z okresem wypowiedzenia określonym w sekcji o Podprocesorach;
• opcjonalne sformułowanie w klauzuli 11 nie ma zastosowania;
• w klauzuli 13 właściwy organ nadzorczy jest określany zgodnie z klauzulą 13 lit. a;
• w klauzulach 17 i 18 stosuje się prawo i sądy Irlandii;
• Załącznik I jest uzupełniany przez strony wskazane w niniejszej umowie DPA oraz załącznik o szczegółach przetwarzania, Załącznik II przez środki bezpieczeństwa wskazane w niniejszej umowie DPA, a Załącznik III przez listę Podprocesorów dostępną na żądanie.

Jeżeli jesteś agencją działającą na rzecz swoich klientów, klient będący administratorem może przystąpić do SCC na podstawie klauzuli 7, składając pisemne powiadomienie na adres privacy@aigrow.gg, za twoją zgodą.

Wielka Brytania. W przypadku transferów podlegających brytyjskiemu RODO UK Addendum jest włączony przez odniesienie. Tabela 1 jest uzupełniana danymi stron z niniejszej umowy DPA, Tabela 2 przez SCC w brzmieniu określonym powyżej, a Tabela 3 przez załączniki do niniejszej umowy DPA. W Tabeli 4 importer może zakończyć obowiązywanie UK Addendum, jak pozwala na to jego sekcja 19.

Szwajcaria. W przypadku transferów podlegających FADP SCC stosuje się z następującymi zmianami: właściwym organem nadzorczym jest Federalny Komisarz ds. Ochrony Danych i Informacji, odniesienia do RODO należy rozumieć jako odniesienia do FADP, a osoby, których dane dotyczą, w Szwajcarii mogą wszczynać postępowania w miejscu swojego zwykłego pobytu.

Jeżeli odbiorca posiada certyfikat w ramach Ramowych zasad ochrony danych UE-USA (EU-US Data Privacy Framework) lub jego rozszerzenia brytyjskiego albo szwajcarskiego, możemy zamiast tego oprzeć się na tym certyfikacie. Jeżeli mechanizm transferu zostanie zastąpiony lub przestanie obowiązywać, możemy przyjąć inny zgodny z prawem mechanizm i poinformujemy cię o tym.

Jeżeli SCC lub UK Addendum są sprzeczne z niniejszą umową DPA, mają pierwszeństwo w odniesieniu do transferów, które obejmują.

13. Odpowiedzialność

W zakresie dozwolonym przez prawo odpowiedzialność każdej ze stron wynikająca z niniejszej umowy DPA lub z nią związana, w tym z SCC, podlega ograniczeniom i wyłączeniom odpowiedzialności zawartym w Regulaminie. Te limity stosuje się do Umowy i niniejszej umowy DPA łącznie, a nie oddzielnie.

Żadne postanowienie niniejszej umowy DPA nie ogranicza odpowiedzialności wobec osób, których dane dotyczą, na podstawie SCC ani odpowiedzialności, której nie można ograniczyć na mocy obowiązującego prawa.

W zakresie dozwolonym przez prawo zwolnisz nas z odpowiedzialności z tytułu roszczeń osób trzecich, kar i kosztów wynikających z przetwarzania prowadzonego na twoje polecenie, jeżeli te polecenia lub dane, które przekazałeś, naruszały Przepisy o ochronie danych.

14. Okres obowiązywania, pierwszeństwo i zmiany

Niniejsza umowa DPA obowiązuje tak długo, jak przetwarzamy Dane osobowe klienta. Pozostaje w mocy po zakończeniu Umowy do czasu zwrotu lub usunięcia tych danych.

W razie sprzeczności dokumentów stosuje się następującą kolejność: zamówienie lub pisemna umowa podpisana przez obie strony, następnie Warunki usług dla danego produktu, następnie niniejsza umowa DPA w sprawach ochrony danych, następnie Regulamin, a potem nasze pozostałe polityki. SCC i UK Addendum mają pierwszeństwo, jak określa sekcja o transferach międzynarodowych. Przepisy bezwzględnie obowiązujące mają pierwszeństwo przed wszystkimi z nich.

Możemy aktualizować niniejszą umowę DPA, na przykład w związku ze zmianami w prawie lub wśród naszych Podprocesorów. O każdej zmianie, która istotnie obniża ochronę Danych osobowych klienta, powiadomimy cię e-mailem z co najmniej 30-dniowym wyprzedzeniem. Żadna zmiana nie obniża ochrony wymaganej przez Przepisy o ochronie danych.

Niniejsza umowa DPA podlega prawu właściwemu dla Regulaminu, z wyjątkiem SCC, które podlegają prawu wskazanemu w ich klauzulach. Jeśli potrzebujesz kopii podpisanej przez obie strony do swojej dokumentacji, napisz na adres legal@aigrow.gg.

15. Załącznik: szczegóły przetwarzania

Niniejszy załącznik opisuje przetwarzanie do celów art. 28 ust. 3 RODO oraz Załącznika I do SCC.

16. Załącznik: kategorie Podprocesorów

Poniżej wymieniono kategorie Podprocesorów, którzy mogą przetwarzać Dane osobowe klienta, wraz z ich lokalizacjami. Aktualna lista Podprocesorów z nazwy jest dostępna na żądanie pod adresem privacy@aigrow.gg.