Umowa Powierzenia (DPA)

UMOWA POWIERZENIA

zwana dalej „Umową” lub „Umową Powierzenia”, zawarta w dniu akceptacji Regulaminu w Serwisie, w Krakowie, pomiędzy:

[…] z siedzibą w […], adres: […] wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego, prowadzonego przez Sąd Rejonowy […] Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS: […], NIP: […], REGON: […], z kapitałem zakładowym w wysokości […] zł

reprezentowaną przez:

[…] – […]

zwaną dalej „Powierzającym” lub „Administratorem”

a

FlatHub Spółką z ograniczoną odpowiedzialnością z siedzibą w Krakowie pod adresem ul. Bronowicka 38/5; 30-091, Kraków, wpisaną do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego pod numerem: 0001009006, NIP: 6772488192 reprezentowaną przez:

Paweł Jan Kulig – Prezes Zarządu

zwaną dalej „Przetwarzającym” lub „Stroną”

zwanymi łącznie dalej „Stronami”.

Zważywszy, że:

1. Powierzający korzysta z funkcjonalności systemu Gaius-Lex (dalej: „System”) na podstawie regulaminu świadczenia usług Gaius-Lex w obrocie profesjonalnym (B2B), zaakceptowanego elektronicznie przez Powierzającego (dalej: „Regulamin”). Umowa o świadczenie Usług zostaje zawarta elektronicznie na zasadach Regulaminu i nie wymaga podpisania odrębnego dokumentu.

2. Niniejsza Umowa Powierzenia reguluje powierzenie Przetwarzającemu danych osobowych osób trzecich wprowadzanych do Systemu przez Powierzającego lub upoważnionych przez niego Użytkowników. Do skutecznego powierzenia nie jest wymagane podpisanie odrębnej umowy głównej ani dodatkowej umowy powierzenia, a przetwarzanie w ramach Usług odpłatnych jest związane z aktywnym Abonamentem.

3. Przetwarzający będzie przetwarzał Dane osobowe jako podmiot przetwarzający wyłącznie w zakresie koniecznym do świadczenia Usług objętych aktywnym Abonamentem oraz oświadcza, że stosuje odpowiednie środki techniczne i organizacyjne służące ochronie powierzonych Danych.

Strony zgodnie postanowiły co następuje:

1. POSTANOWIENIA OGÓLNE

1.1. Ilekroć w niniejszej Umowie Powierzenia poniższe wyrażenia są pisane wielką literą, mają one znaczenie określone poniżej.

1.2. Ilekroć Umowa Powierzenia odwołuje się do pojęć zdefiniowanych w Regulaminie, w szczególności do Abonamentu, Konta, Systemu, Użytkownika i Usług, należy je rozumieć zgodnie z Regulaminem zaakceptowanym przez Powierzającego.

1.3. O ile postanowienia niniejszej Umowy Powierzenia bezpośrednio lub pośrednio nie stanowią inaczej, definicje, które odnoszą się do terminu w liczbie mnogiej, odnoszą się również do tego terminu w liczbie pojedynczej i odwrotnie.

1.4. W zakresie przetwarzania Danych powierzonych na rzecz Administratora postanowienia Umowy Powierzenia mają pierwszeństwo przed Regulaminem, Polityką Prywatności oraz innymi dokumentami dotyczącymi świadczenia Usług. Polityka Prywatności znajduje odrębne zastosowanie do danych, które Przetwarzający przetwarza jako administrator, w szczególności danych Konta, danych kontaktowych i rozliczeniowych.

2. POWIERZENIE DANYCH OSOBOWYCH

2.1. Administrator powierza Przetwarzającemu Dane osobowe wskazane w załączniku nr 1, wprowadzane do Systemu przez Administratora lub Użytkowników upoważnionych w ramach jego Konta, a także Dane powstałe w wyniku ich przetwarzania. Zakres powierzenia obejmuje wyłącznie operacje konieczne do świadczenia Usług objętych aktywnym Abonamentem.

2.2. Przetwarzanie Danych osobowych odbywa się na zasadach określonych w Umowie Powierzenia, RODO oraz innych właściwych przepisach o ochronie danych osobowych.

2.3. Przetwarzający przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenia uważa się postanowienia Umowy Powierzenia oraz czynności Administratora lub upoważnionych Użytkowników podejmowane w Systemie zgodnie z Regulaminem, w szczególności przesłanie dokumentu, treści lub nagrania oraz uruchomienie OCR, transkrypcji, analizy AI/LLM albo generowania treści. Przetwarzający nie wykorzystuje Danych do trenowania, dostrajania ani rozwijania modeli AI ani do innych własnych celów, chyba że Administrator wyda w tym zakresie odrębne, wyraźne i udokumentowane polecenie. Jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego, Przetwarzający informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo nie zabrania przekazania takiej informacji.

2.4. Przetwarzającemu nie przysługuje dodatkowe wynagrodzenie z tytułu wykonywania Umowy Powierzenia ponad Opłatę Abonamentową należną za aktywny Abonament, chyba że Strony uprzednio uzgodnią inaczej w formie dokumentowej.

2.5. Przetwarzanie Danych osobowych będzie wykonywane w okresie obowiązywania Umowy. Jeżeli Strony będą związane kilkoma Umowami związanymi z powierzeniem przetwarzania danych osobowych, czas przetwarzania trwa do wygaśnięcia ostatniej z nich.

2.6. Przetwarzający oświadcza, że zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie spełniało wymogi RODO, odpowiadało poziomowi ryzyka i chroniło prawa osób, których Dane dotyczą.

2.7. Administrator oświadcza, że jest uprawniony do przetwarzania Danych osobowych w zakresie, w jakim je powierza do przetwarzania Przetwarzającemu, w tym w szczególności, że dopełnił wszelkich czynności wymaganych RODO i innym obowiązującymi przepisami prawa oraz że dysponuje odpowiednią podstawą prawną ich przetwarzania.

3. ZAKRES I CEL POWIERZENIA

3.1. Powierzone Dane są przetwarzane elektronicznie w Systemie oraz w infrastrukturze Przetwarzającego i jego dalszych podmiotów przetwarzających, co do zasady w sposób zautomatyzowany. Dostęp personelu Przetwarzającego do treści Danych jest dopuszczalny wyłącznie w zakresie niezbędnym do obsługi zgłoszenia Administratora, zapewnienia bezpieczeństwa, usunięcia awarii, wyjaśnienia Naruszenia albo wykonania obowiązku prawnego.

3.2. Przetwarzanie ma charakter ciągły w zakresie hostingu, przechowywania, zabezpieczenia i wykonywania kopii zapasowych oraz doraźny, inicjowany przez Użytkownika, w zakresie OCR, transkrypcji, wyszukiwania, analizy AI/LLM i generowania treści.

3.3. Dane mogą być przekazywane poza Europejski Obszar Gospodarczy wyłącznie przez dalsze podmioty przetwarzające wskazane w załączniku nr 2 albo dodane zgodnie z pkt 5.3 oraz tylko z zastosowaniem mechanizmu zgodnego z rozdziałem V RODO, w szczególności decyzji o odpowiednim stopniu ochrony albo standardowych klauzul umownych wraz z wymaganymi środkami uzupełniającymi. Informacja przekazywana Administratorowi obejmuje co najmniej nazwę podmiotu, państwo przetwarzania, cel i podstawę transferu.

4. OBOWIĄZKI PRZETWARZAJĄCEGO

4.1. Przetwarzający zobowiązuje się dołożyć należytej staranności przy przetwarzaniu powierzonych Danych osobowych.

4.2. Przetwarzający ponosi odpowiedzialność za działania swoich pracowników i innych osób, przy pomocy których przetwarza powierzone Dane osobowe, jak za własne działanie i zaniechanie.

4.3. Przetwarzający zobowiązuje się do nadania upoważnień do przetwarzania Danych osobowych wszystkim osobom, które będą przetwarzały powierzone mu Dane w celu realizacji niniejszej Umowy Powierzenia oraz ich przeszkolenia z zakresu ochrony Danych. Zapewnia również, że osoby przez niego upoważnione do przetwarzania zostaną zobowiązane do zachowania w tajemnicy przetwarzanych Danych osobowych, chyba że będą to osoby zobowiązane do zachowania tajemnicy na podstawie obowiązującego prawa.

4.4. Przetwarzający po zakończeniu świadczenia Usług związanych z przetwarzaniem powierzonych mu Danych, w terminie 90 dni od zakończenia Umowy, według decyzji Administratora zwraca Administratorowi Dane Osobowe w powszechnie używanym formacie elektronicznym oraz usuwa wszelkie ich istniejące kopie, w tym z kopii zapasowych, lub przesyła pisemne potwierdzenie ich zniszczenia, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie Danych osobowych.

4.5. Przetwarzający zobowiązany jest do stosowania wszelkich adekwatnych do poziomu ryzyka środków technicznych i organizacyjnych zabezpieczających Dane osobowe na zasadach określonych w art. 32 RODO.

4.6. W miarę możliwości, Przetwarzający pomaga Administratorowi w niezbędnym zakresie wywiązywać się z obowiązków określonych w art. 32-36 RODO. W przypadku stwierdzenia Naruszenia ochrony danych osobowych Przetwarzający niezwłocznie, jednak nie później niż w ciągu 48 godzin od jego stwierdzenia, informuje o nim Administratora, przekazując mu wszelkie istotne informacje oraz udziela niezbędnej pomocy w wypełnieniu obowiązków wynikających z art. 33-34 RODO.

4.7. Przetwarzający zobowiązuje się pomagać Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO.

4.8. Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwi Administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Koszty audytu ponosi każda ze Stron we własnym zakresie. Administrator zobowiązany jest do zachowania w poufności wszelkich informacji uzyskanych w związku z przeprowadzanym audytem, w tym wyników audytu. Zobowiązanie do poufności obowiązuje przez okres obowiązywania Umowy powierzenia oraz przez okres 5 lat po jej zakończeniu.

4.9. Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie niniejszego rozporządzenia lub innych przepisów Unii lub państwa członkowskiego o ochronie danych.

5. DALSZE POWIERZENIE I TRANSFER POZA EOG

5.1. Administrator udziela zgody Przetwarzającemu na dalsze powierzenie przetwarzania Danych osobowych, podmiotom Przetwarzającego, których lista jest wskazana w załączniku nr 2 do Umowy Powierzenia.

5.2. Dalsze powierzenie, o którym mowa w pkt 5.1 powyżej, ma na celu wyłącznie zagwarantowanie prawidłowego oraz bezpiecznego działania Systemu i świadczenia Usług zgodnie z Umową.

5.3. Przetwarzający poinformuje Administratora o zmianie w zakresie dalszego powierzenia, poprzez zmianę załącznika nr 2 i wiadomość mailową, z wyprzedzeniem co najmniej 14 dni przed planowanym rozpoczęciem przetwarzania przez nowego dalszego przetwarzającego. Administrator uprawniony jest do zgłoszenia sprzeciwu co do zamiaru przekazania danych osobowych do przetwarzania dalszemu przetwarzającemu w ciągu 14 dni od otrzymania stosownej informacji. W przypadku zgłoszenia uzasadnionego sprzeciwu przez Administratora, Przetwarzający nie powierzy danych objętych sprzeciwem danemu podmiotowi, chyba że Strony uzgodnią inaczej. W przypadku braku możliwości świadczenia Usług bez udziału podmiotu objętego sprzeciwem, Administratorowi przysługuje prawo wypowiedzenia Umowy.

5.4. Przed rozpoczęciem przetwarzania Danych osobowych przez dalszego przetwarzającego, Przetwarzający potwierdzi, że dalszy przetwarzający jest w stanie zapewnić poziom ochrony danych osobowych wymagany na podstawie postanowień niniejszej Umowy Powierzenia oraz spełniający wymogi wynikające z RODO.

5.5. W przypadku dalszego powierzenia, podstawą przetwarzania będzie umowa, w której dalszy przetwarzający zobowiąże się do wykonania tych samych obowiązków, które na mocy Umowy i RODO nałożone są na Przetwarzającego.

5.6. Przetwarzający ponosi odpowiedzialność wobec Administratora za niewykonanie lub nienależyte wykonanie obowiązków przez dalszego przetwarzającego ciążących na nim z mocy stosowanych przepisów prawa lub stosunku umownego.

5.7. Przetwarzający nie będzie przekazywał Danych osobowych poza terytorium Europejskiego Obszaru Gospodarczego, chyba że uzyska w tym zakresie odrębne zezwolenie Administratora, którego Administrator nie odmówi bez uzasadnionych przyczyn, a taki transfer będzie odbywać się w zgodzie z przepisami RODO. Przekazanie Danych poza EOG następuje z zastosowaniem mechanizmów zgodnych z rozdziałem V RODO, w szczególności standardowych klauzul umownych (SCC) zatwierdzonych decyzją wykonawczą Komisji Europejskiej 2021/914 z dnia 4 czerwca 2021 r., wraz z wymaganymi środkami uzupełniającymi oraz udokumentowaną oceną skutków transferu (Transfer Impact Assessment). Przetwarzający oświadcza, że zawarł standardowe klauzule umowne z każdym dalszym podmiotem przetwarzającym mającym siedzibę poza EOG, wskazanym w załączniku nr 2, oraz że na żądanie Administratora udostępni kopię tych klauzul (z możliwością zanonimizowania informacji handlowych). W każdym wypadku przekazanie odbywać się będzie wyłącznie w celu realizacji Umowy.

6. ODPOWIEDZIALNOŚĆ

6.1. Przetwarzający jest odpowiedzialny za udostępnienie lub wykorzystanie Danych osobowych niezgodnie z treścią niniejszej Umowy Powierzenia, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych osobom nieupoważnionym.

6.2. Przetwarzający odpowiada za rzeczywiste szkody spowodowane przetwarzaniem Danych w sposób naruszający RODO, w zakresie, w jakim nie wykonał obowiązków nałożonych na niego przez RODO albo działał poza zgodnymi z prawem instrukcjami Administratora lub wbrew nim. Łączna odpowiedzialność Przetwarzającego wobec Administratora z tytułu Umowy Powierzenia jest ograniczona do sumy Opłat Abonamentowych zapłaconych za 6 miesięcy poprzedzających zdarzenie powodujące szkodę, a jeżeli Abonament trwał krócej - do sumy opłat faktycznie zapłaconych za ten okres, chyba że bezwzględnie obowiązujące przepisy prawa stanowią inaczej. Ograniczenie nie narusza praw osób, których Dane dotyczą.

7. POSTANOWIENIA KOŃCOWE

7.1. Zmiana Umowy Powierzenia jest możliwa wyłącznie w formie dokumentowej pod rygorem nieważności, a także w trybie przewidzianym w Umowie Głównej.

7.2. Zmiana Umowy Powierzenia wymaga uprzedniej pisemnej zgody obu Stron wyrażonej w formie dokumentowej (w tym elektronicznej) pod rygorem nieważności. Za zgodę uważa się w szczególności podpisanie aneksu lub wymianę jednoznacznych oświadczeń woli drogą e-mailową. Zmiana Umowy nie może prowadzić do rozszerzenia obowiązków lub ograniczenia uprawnień Administratora bez jego wyraźnej zgody.

7.3. Poniższe załączniki do Umowy Powierzenia stanowią integralną część Umowy Powierzenia. Zmiany załączników do Umowy Powierzenia nie stanowią zmiany jej treści:

Załącznik nr 1 – Zakres i charakter powierzenia danych.

Załącznik nr 2 – Lista dalszych podmiotów przetwarzających.

7.4. Wszelkie spory związane z Umową Powierzenia będą rozstrzygane przez sąd właściwy zgodnie z Regulaminem zaakceptowanym przez Administratora.

7.5. Niniejsza Umowa podlega wyłącznie prawu polskiemu.

Umowa Powierzenia jest zawierana elektronicznie wraz z akceptacją Regulaminu i nie wymaga podpisów (pkt 2.5 i 21.4 Regulaminu). Stroną jako Powierzający jest Usługobiorca oznaczony na Koncie.

Załącznik nr 1 do Umowy Powierzenia – Zakres i charakter powierzenia danych

Załącznik nr 2 do Umowy – Lista dalszych podmiotów przetwarzających

Aktualna, wersjonowana Lista Podwykonawców wraz z podstawami transferów jest publikowana pod adresem gaius-lex.pl/podwykonawcy.