Umowa powierzenia przetwarzania danych — OAZEE

Niniejsza Umowa powierzenia przetwarzania danych (DPA) stanowi część Regulaminu OAZEE między Arti Group s.r.o., numer identyfikacyjny firmy (IČO) 27930432, numer VAT (DIČ) CZ27930432, siedziba Schulhoffova 793/3, Háje, 149 00 Prague 4, Czech Republic (OAZEE), a klientem korzystającym z OAZEE do przetwarzania danych osobowych w jego imieniu (Klient).

Obowiązuje, gdy OAZEE przetwarza dane osobowe w treści strony, zapytaniach odwiedzających lub związanej z nimi obsłudze hostingu i dostarczania wyłącznie na rzecz Klienta. Klient jest zwykle administratorem; jeżeli jest agencją działającą dla administratora, OAZEE jest dalszym podmiotem przetwarzającym. Klient musi być uprawniony do wydawania odpowiednich instrukcji.

Pojęcia administratora, podmiotu przetwarzającego, danych osobowych, przetwarzania i naruszenia ochrony danych osobowych mają znaczenie nadane im przez RODO. DPA ma pierwszeństwo przed sprzecznymi warunkami ogólnymi w odniesieniu do objętego nią przetwarzania. Nie reguluje odrębnych celów OAZEE jako administratora w zakresie kont, płatności, bezpieczeństwa lub wsparcia, opisanych w Polityce prywatności. Obowiązujące przepisy o ochronie danych mają pierwszeństwo przed ograniczeniami umownymi.

• Przedmiot: hosting i obsługa strony Klienta oraz danych osobowych, które Klient postanawia zamieścić lub zbierać za pomocą obsługiwanych funkcji.
• Charakter i cel: przechowywanie, pobieranie, wyświetlanie i publikacja treści strony zgodnie z instrukcjami; odbiór, kontrola antyspamowa, przechowywanie i dostarczanie e-mailem zapytań odwiedzających; wsparcie techniczne, bezpieczeństwo oraz usuwanie lub zwrot niezbędne do realizacji tych funkcji.
• Osoby, których dane dotyczą: odwiedzający stronę Klienta, potencjalni i obecni klienci, osoby kontaktowe, personel oraz inne osoby, których dane Klient przekazuje zgodnie z prawem.
• Rodzaje danych: teksty i obrazy na stronie objęte instrukcjami, imiona i nazwiska, służbowe dane kontaktowe, adresy e-mail, numery telefonów, wiadomości, dane usług lub terminów wizyt, jeśli są używane, czasy wysłania, informacje o adresie IP w postaci skrótu, dane przeglądarki/user-agent oraz odpowiednie oznaczenia bezpieczeństwa lub spamu. Dostawcy infrastruktury i ochrony mogą przetwarzać dane połączenia potrzebne do dostarczania i bezpieczeństwa.
• Czas: przez okres świadczenia odpowiedniej usługi przetwarzania i obowiązywania zgodnych z prawem instrukcji przechowywania, po czym następuje zwrot lub usunięcie na zasadach sekcji 10. Dalsze przechowywanie na koncie nie uprawnia do wykorzystywania w innych celach.

Standardowa usługa nie jest przeznaczona do zbierania danych szczególnych kategorii, danych dotyczących przestępstw, dokumentów tożsamości ani innych wysoce wrażliwych informacji za pośrednictwem ogólnych formularzy lub poleceń AI. Klient nie może zlecać takiego przetwarzania bez podstawy prawnej i wyraźnie uzgodnionych odpowiednich warunków. Niezamówiona wiadomość zawierająca dane wrażliwe nadal jest chronionymi danymi osobowymi i nie może być swobodnie wykorzystywana do własnych celów.

Klient poleca OAZEE przetwarzać dane wyłącznie w celu realizacji funkcji wybranych w umowie, zapisanych ustawień i żądań Klienta oraz DPA. Żądanie publikacji treści strony jest instrukcją upublicznienia tych treści; prywatne zapytanie z formularza nie jest instrukcją jego publikacji.

OAZEE przetwarza dane wyłącznie na podstawie zgodnych z prawem udokumentowanych instrukcji, także dotyczących przekazywania danych za granicę, chyba że prawo UE lub państwa członkowskiego wymaga inaczej. W takim przypadku OAZEE informuje Klienta przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania. OAZEE niezwłocznie informuje Klienta, jeśli instrukcja wydaje się naruszać właściwe przepisy o ochronie danych, i może wstrzymać jej wykonanie do wyjaśnienia sprawy.

OAZEE nie wykorzystuje danych odwiedzających kontrolowanych przez Klienta do własnej reklamy, niezależnego trenowania modeli, sprzedaży ani niezwiązanego z usługą rozwoju produktów. Zgoda na hosting formularza nie uprawnia do przekazywania jego wiadomości dostawcy AI do jego niezależnych celów. Przetwarzanie AI objęte DPA wymaga odpowiedniej instrukcji Klienta i warunków współpracy z dostawcą zgodnych z DPA.

Klient określa podstawę prawną, przekazuje odwiedzającym wymagane informacje, ogranicza zbieranie do niezbędnych danych i wydaje zgodne z prawem instrukcje przechowywania. Obowiązki te nie zwalniają OAZEE z własnych obowiązków podmiotu przetwarzającego.

OAZEE zapewnia, że osoby upoważnione do przetwarzania są zobowiązane do poufności i otrzymują dostęp wyłącznie w zakresie potrzebnym do wykonywania obowiązków. OAZEE stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, uwzględniając ryzyko, zakres, kontekst, stan wiedzy technicznej i koszty wdrożenia.

Środki obejmują ograniczenie dostępu i uwierzytelnianie, ochronę danych podczas przesyłania, bezpieczne zarządzanie danymi uwierzytelniającymi, rozdzielenie dostępu klientów, proporcjonalną ochronę przed nadużyciami i spamem, odpowiednie rejestrowanie zdarzeń i obsługę incydentów oraz środki utrzymania dostępności i przywracania danych w odpowiednich przypadkach. Ochrona zarządzanej infrastruktury i przechowywanie są oceniane dla danego przetwarzania. DPA nie deklaruje konkretnej certyfikacji, wyłącznego regionu przechowywania, stałego czasu przywrócenia kopii zapasowej ani absolutnej gwarancji bezpieczeństwa.

OAZEE przekazuje Klientowi informacje racjonalnie niezbędne do oceny właściwych środków i nie obniża istotnie ogólnego poziomu ochrony wymaganego przez prawo w okresie świadczenia usługi przetwarzania.

Klient udziela ogólnego pisemnego upoważnienia do korzystania z dalszych podmiotów przetwarzających prawidłowo wskazanych dla danego przetwarzania. Wykaz dostawców w sekcji 12 musi określać rzeczywistych dostawców, funkcje, lokalizacje i właściwe zasady przekazywania danych przed powierzeniem im odpowiedniego przetwarzania. Nieużywana integracja oprogramowania sama w sobie nie oznacza, że dostawca otrzymuje dane Klienta.

Przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego dane Klienta OAZEE przekazuje informację o planowanej zmianie na zarejestrowany adres kontaktowy Klienta co najmniej 30 dni wcześniej, jeśli jest to wykonalne, aby umożliwić rzeczywiste zgłoszenie sprzeciwu z uzasadnionych przyczyn ochrony danych. Rzeczywiście pilna zmiana ze względów bezpieczeństwa lub prawnych jest zgłaszana możliwie najwcześniej i nie uchyla wymogu zgodnego z prawem upoważnienia i ochrony.

Klient może zgłosić sprzeciw w okresie powiadomienia. Strony poszukają rozsądnej alternatywy lub środka ochronnego. Jeśli nie da się rozwiązać sprzeciwu ani zapewnić zgodnej z prawem alternatywy, Klient może zakończyć daną usługę przetwarzania przed wejściem zmiany w życie bez opłaty za wcześniejsze zakończenie i otrzymać należny ustawowo lub umownie zwrot za objętą zmianą niewykorzystaną usługę. Nie oznacza to obietnicy dalszego korzystania z dostawcy, którego użycie jest bezprawne lub niemożliwe.

OAZEE nakłada na dalsze podmioty przetwarzające pisemne obowiązki zapewniające taką samą odpowiednią ochronę danych jak DPA i odpowiada wobec Klienta za ich wykonanie zgodnie z art. 28 RODO. Dalszy dostawca modelu AI nie jest zwolniony z tych wymogów tylko dlatego, że dostęp odbywa się przez inną platformę.

Instrukcja Klienta nie jest zrzeczeniem się ograniczeń RODO dotyczących przekazywania danych poza EOG. Przed przekazaniem objętym tymi ograniczeniami OAZEE musi ustalić i udokumentować ważny mechanizm dla rzeczywistego odbiorcy i przetwarzania wraz z wymaganą oceną oraz dodatkowymi zabezpieczeniami.

Przetwarzanie z punktu 12 obejmuje przekazywanie do Stanów Zjednoczonych. Przekazywanie opiera się na EU-U.S. Data Privacy Framework (DPF), gdy odbiorca i działanie są objęci aktualną certyfikacją, i/lub na właściwych standardowych klauzulach umownych (SCC) na podstawie DPA danego dostawcy. Polityka prywatności, punkty 8–9, określa lokalizacje, podmioty odbierające i odsyłacze do ich warunków przekazywania. Europejski podmiot umowny nie wyklucza dostępu lub przetwarzania w Stanach Zjednoczonych.

Decyzja stwierdzająca odpowiedni stopień ochrony może być stosowana tylko przy spełnieniu jej warunków. Oparcie na EU-U.S. Data Privacy Framework wymaga objęcia danego odbiorcy i działania aktualną certyfikacją. Jeśli stosuje się standardowe klauzule umowne, należy uzupełnić odpowiednie strony, moduł, załączniki, opis przetwarzania i środki; ogólne odesłanie w DPA nie stanowi zawartych klauzul przekazywania danych.

OAZEE udostępnia na żądanie informacje o rzeczywistym mechanizmie i dostęp do zabezpieczeń, z zastrzeżeniem zgodnej z prawem ochrony poufnych informacji i danych osobowych osób trzecich. Jeżeli przekazywanie nie może być zgodnie z prawem kontynuowane, należy je wstrzymać lub zastosować inne zgodne z prawem rozwiązanie.

Uwzględniając charakter przetwarzania, OAZEE pomaga Klientowi odpowiednimi środkami w odpowiadaniu na żądania dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia, gdy mają zastosowanie. Żądania można koordynować przez Pokaż adres e-mail.

Jeżeli OAZEE otrzyma żądanie dotyczące danych kontrolowanych przez Klienta, przekazuje je Klientowi bez zbędnej zwłoki i nie decyduje samodzielnie o jego odpowiedzi, chyba że wymaga tego prawo. Klient nadal odpowiada za ocenę żądania; OAZEE udziela pomocy w czasie pozwalającym dochować właściwego terminu prawnego. Zwrot danych może nastąpić na żądanie i nie ogranicza się do informacji widocznych w panelu.

OAZEE zawiadamia Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych objętych DPA. Zawiadomienie zawiera, w miarę dostępności, charakter incydentu, objęte kategorie i przybliżone liczby, punkt kontaktowy, prawdopodobne konsekwencje oraz podjęte lub planowane środki.

Informacje mogą być przekazywane etapami bez zbędnej zwłoki w miarę ustalania faktów. OAZEE współpracuje przy ograniczaniu skutków, naprawie oraz ocenie i obowiązkach zgłoszeniowych Klienta. Ewentualny 72-godzinny termin zgłoszenia przez administratora organowi nadzorczemu nie jest umownym okresem, przez który OAZEE może opóźniać poinformowanie Klienta.

Uwzględniając charakter przetwarzania i dostępne informacje, OAZEE pomaga Klientowi w obowiązkach bezpieczeństwa, zgłaszaniu naruszeń, ocenach skutków dla ochrony danych i uprzednich konsultacjach, gdy są wymagane.

OAZEE udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia i wspiera audyty, w tym inspekcje Klienta lub upoważnionego niezależnego audytora. Strony uzgadniają rozsądny termin uprzedzenia, zakres, poufność i ochronę danych innych klientów; ustalenia te nie mogą pozbawiać skuteczności ustawowego prawa audytu ani utrudniać działań właściwego organu. Istniejące niezależne raporty mogą być używane, jeśli są odpowiednie, ale nie są przedstawiane jako certyfikaty posiadane przez OAZEE, jeżeli tak nie jest.

Zwykła współpraca stanowi część właściwych obowiązków prawnych. Osobno uzgodniona opłata za rzeczywiście dodatkową pracę musi być rozsądna i nie może utrudniać realizacji obowiązkowych praw ani usuwania niezgodności samego OAZEE.

Po zakończeniu odpowiedniej usługi przetwarzania Klient może wybrać zwrot lub usunięcie swoich danych osobowych, w tym kopii, chyba że prawo UE lub państwa członkowskiego wymaga przechowywania. Żądania kieruje się na Pokaż adres e-mail; OAZEE udziela pomocy bez zbędnej zwłoki, a przy żądaniu zwrotu zapewnia przydatny, powszechnie używany format odpowiedni dla danych. Po zwrocie OAZEE usuwa pozostałe kopie, chyba że prawo UE lub państwa członkowskiego wymaga ich przechowywania, z zastrzeżeniem ograniczonego cyklu kopii zapasowych opisanego poniżej.

Jeśli Klient zachowuje konto i poleca dalsze przechowywanie w celu przywrócenia, ten określony cel przechowywania może być nadal realizowany na podstawie DPA. Zakończenie płatnego hostingu i zachowanie treści do przywrócenia nie jest tym samym co instrukcja usunięcia wszystkich przechowywanych treści. Operacyjne okresy przechowywania w Polityce prywatności nadal podlegają zgodnym z prawem instrukcjom Klienta i zasadzie niezbędności RODO.

Zapisy, których przechowywania wymaga prawo, są oddzielone i używane wyłącznie do wymaganego celu. Kopie zapasowe oczekujące na właściwy cykl usuwania pozostają chronione, nie służą nowym celom i są usuwane lub anonimizowane, gdy takie ograniczone przechowywanie przestaje być konieczne. OAZEE na żądanie wyjaśnia właściwy wyjątek przechowywania lub cykl.

Kontakt do instrukcji podmiotu przetwarzającego i spraw ochrony danych: Pokaż adres e-mail. Zawiadomienia dotyczące danych Klienta są kierowane na aktualny kontakt konta Klienta, chyba że uzgodniono inny. Klient musi aktualizować ten kontakt.

DPA podlega postanowieniu o prawie czeskim w Regulaminie bez ograniczania RODO, uprawnień właściwych organów nadzorczych, praw osób fizycznych ani innych bezwzględnie obowiązujących zabezpieczeń. Nie zmusza konsumenta do korzystania wyłącznie z sądu czeskiego wbrew właściwemu prawu.

Polityka prywatności, sekcja 8 wskazuje właściwe marki dostawców usług i ich funkcje. Dla rzeczywistego przetwarzania Klienta wykaz musi rozróżniać:

• Vercel Inc. (Stany Zjednoczone): hosting, przechowywanie Blob i ochrona związana z BotID, w tym odpowiednie przetwarzanie Kasada;
• Neon: przechowywanie bazy danych; aktualne publiczne warunki wskazują Databricks, Inc. i jego podmiot powiązany Neon, LLC (Stany Zjednoczone);
• Resend / Plus Five Five, Inc. (Stany Zjednoczone): dostarczanie zapytań i e-maili usługowych, w tym przechowywanie danych wiadomości w USA;
• skonfigurowani dostawcy AI lub funkcji głosowych, jeżeli dane Klienta są zgodnie z prawem uwzględnione: Google (w tym Google Cloud EMEA Limited, Irlandia, dla Gemini API Paid Services z czeskim adresem rozliczeniowym), OpenAI, OpenRouter z właściwym dalszym dostawcą lub Recraft;
• inni dostawcy wyłącznie w zakresie faktycznie wykorzystywanym w imieniu Klienta na podstawie wymaganego upoważnienia.

Niezależne przetwarzanie płatności Stripe, ujawnienia rejestrowe Gransy / Subreg lub właściwemu rejestrowi domen oraz własne powiadomienia wsparcia OAZEE ocenia się według ich rzeczywistych ról; nie wszystkie są automatycznie dalszymi podmiotami przetwarzającymi dane formularzy odwiedzających.

Region bazy danych to AWS US East 1, Północna Wirginia, Stany Zjednoczone (us-east-1). Domyślnym regionem funkcji Vercel dla OAZEE jest Washington, D.C., Stany Zjednoczone (iad1), a treści statyczne są dostarczane przez globalną sieć CDN. Logo, zdjęcia i przesłane pliki korzystają z Vercel Blob; region funkcji nie określa każdej lokalizacji Blob, pamięci podręcznej, kopii zapasowej lub zdalnego dostępu. Resend przechowuje dane e-maili w Stanach Zjednoczonych; wybór regionu wysyłki nie zmienia miejsca przechowywania.

Warunki dotyczące odbiorców i przekazywania z Polityki prywatności, punkty 8–9, stanowią część tego wykazu. Dla każdego aktywnego dalszego podmiotu przetwarzającego OAZEE podaje pod Pokaż adres e-mail właściwy podmiot umowny, funkcję, kategorie danych, odpowiednie miejsca przetwarzania i zdalnego dostępu oraz zabezpieczenia przekazywania, a o zmianach informuje zgodnie z punktem 5. Dodatkowi lub dalsi dostawcy muszą zostać wskazani dla faktycznego przetwarzania; wymienione regiony infrastruktury nie oznaczają, że całe przetwarzanie ogranicza się do tych regionów.