Dodatek do przetwarzania danych

Zdefiniowane terminy mają znaczenia nadane im w RODO. Następujące terminy mają poniższe znaczenia.

Ten DPA ma zastosowanie do przetwarzania danych osobowych klienta, które są realizowane przez upDevTeam LTD w imieniu klienta w trakcie świadczenia Usługi.

Strony przyjmują do wiadomości, że w odniesieniu do takiego przetwarzania Klient jest Administratorem, a upDevTeam LTD jest Procesorem.

upDevTeam LTD przetwarza również dane jako Administrator w zakresie własnych operacji biznesowych (fakturowanie, przeciwdziałanie nadużyciom, marketing). Polityka prywatności opisuje to przetwarzanie.

upDevTeam LTD będzie:

Klient upoważnia upDevTeam LTD do angażowania następujących Podprocesorów:

Poinformujemy Klienta z co najmniej 30-dniowym wyprzedzeniem przed dodaniem lub zastąpieniem Podprocesora, publikując zmianę na godeskflow.com/dpa lub wysyłając e-mail do kontaktu. Jeśli Klient zasadnie zgłosi sprzeciw na podstawie ochrony danych, będziemy działać w dobrej wierze, aby znaleźć rozwiązanie; jeśli nie uda się dojść do porozumienia, Klient może wygasić dotkniętą Usługę z wygodnych powodów.

Pozostajemy odpowiedzialni przed Klientem za działania i zaniechania naszych Podprocesorów tak, jakby były to nasze własne.

Wdrażamy i utrzymujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym:

Dane Osobowe Klienta są hostowane w EOG. Gdzie transfer Danych Osobowych Klienta poza EOG jest konieczny (np. gdy zaangażowany jest Podprocesor z siedzibą w USA), strony włączają Klauzule standardowe umowne przez odniesienie, z upDevTeam LTD działającym jako 'eksporter danych' dla tego transferu oraz Podprocesorem jako 'importer danych'.

Gdy Klient jest zarejestrowany poza EOG, a dane osobowe przepływają od upDevTeam LTD do Klienta, strony wprowadzają SCC (Moduł 4) dla odpowiedniego transferu.

Przeprowadzamy ocenę wpływu transferu dla każdego Sub-przetwarzającego spoza EOG i stosujemy środki uzupełniające (szyfrowanie, pseudonimizację), gdzie ocena to zaleca.

Jeżeli otrzymamy żądanie od osoby, której dane dotyczą, w odniesieniu do Danych Osobowych Klienta, nie odpowiemy bezpośrednio, wyjątkiem jest potwierdzenie odbioru i skierowanie osoby, której dane dotyczą, do Klienta. Przekażemy żądanie Klientowi bez zbędnej zwłoki.

Udzielimy Klientowi rozsądnej pomocy w odpowiedzi na żądania dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu, biorąc pod uwagę charakter przetwarzania i dostępne nam informacje. Gdy żądanie jest nadmierne lub rażąco nieuzasadnione, możemy pobrać rozsądna opłatę.

Powiadomimy Klienta bez zbędnej zwłoki, w każdym razie w ciągu 72 godzin od chwili, gdy staniemy się świadomi naruszenia danych osobowych dotyczących Danych Osobowych Klienta. Powiadomienie będzie zawierać informacje wymagane przez Artykuł 33(3) RODO w zakresie, w jakim są znane, z aktualizacjami w miarę postępu śledztwa.

Współpracujemy z Klientem w celu opanowania, zbadania i udokumentowania naruszenia i nie będziemy wydawać żadnych publicznych oświadczeń na ten temat bez wcześniejszej zgody Klienta, chyba że wymaga tego prawo.

Dostarczamy Klientowi informacje niezbędne do wykazania zgodności z Artykułem 28 RODO poprzez (a) niniejszą DPA, (b) dostępny na żądanie dokument white paper dotyczący bezpieczeństwa oraz (c) najnowsze raporty audytów zewnętrznych odpowiednich Sub-przetwarzających (np. raporty SOC 2).

Jeśli Klient uzna, że materiały, o których mowa w sekcji 10.1, są niewystarczające, Klient może, na swój koszt i po co najmniej 30 dniach pisemnego powiadomienia, przeprowadzić audyt naszej zgodności z niniejszą DPA nie więcej niż raz w roku (z wyjątkiem przypadku poważnego naruszenia), pod warunkiem że audyt (i) odbywa się w normalnych godzinach pracy, (ii) nie zakłóca naszych operacji, (iii) jest przeprowadzany przez niezależnego audytora związane odpowiednimi obowiązkami poufności, i (iv) nie obejmuje dostępu do obiektów lub danych innych klientów.

Raporty z audytów są informacjami poufnymi upDevTeam LTD i mogą być udostępniane tylko regulacjom i doradcom prawnym w ramach poufności.

Po zakończeniu Usługi, w zależności od wyboru Klienta, w ciągu 30 dni od daty rozwiązania, zwrócimy wszystkie Dane Osobowe Klienta w ustrukturyzowanym formacie elektronicznym lub usuniemy je w sposób bezpieczny, z wyjątkiem sytuacji, gdy przechowywanie jest wymagane przez prawo UE lub prawo państwa członkowskiego.

Kopie zapasowe będą usuwane zgodnie z naszym standardowym cyklem przechowywania kopii zapasowych (obecnie 35 dni). Kopie zapasowe pozostają chronione przez środki bezpieczeństwa określone w sekcji 6, dopóki nie zostaną nadpisane.

Odpowiedzialność wynikająca z niniejszej DPA jest regulowana sekcją ograniczenia odpowiedzialności Warunków korzystania z usługi.

Gdy Artykuł 82 RODO przydziela odpowiedzialność między wspólnymi administratorami, procesorami a sub-przetwarzającymi, strony zgadzają się stosować do tego ustawowego podziału.

Niniejsza DPA wchodzi w życie z dniem przyjęcia przez Klienta Warunków korzystania z usługi i trwa tak długo, jak upDevTeam LTD przetwarza Dane Osobowe Klienta w imieniu Klienta, plus wszelki okres przetrwania niezbędny do zrealizowania obowiązków wynikających z sekcji 9, 10 i 11.

Niniejsza DPA podlega prawu Republiki Cypryjskiej, z wyjątkiem sytuacji, gdy mają zastosowanie SCC, wówczas obowiązuje prawo określone w SCC w zakresie spraw objętych zakresem SCC.

Powiadomienia dotyczące niniejszej DPA powinny być wysyłane na adres info@godeskflow.com (kwestie związane z przetwarzaniem danych) oraz na adres info@godeskflow.com (kwestie dotyczące osób, których dane dotyczą oraz organów nadzorczych).