Umowa powierzenia przetwarzania danych osobowych

1. Przedmiot i czas trwania powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Vizyto. Umowa obowiązuje przez okres korzystania przez Administratora z usług Vizyto, a po jego zakończeniu do czasu zwrotu lub usunięcia danych zgodnie z niniejszą umową.

Niniejsza umowa stanowi Załącznik nr 1 do Regulaminu Vizyto. Akceptacja Regulaminu i umowy w wersji wskazanej na stronie Vizyto wiąże strony bez potrzeby podpisywania odrębnego dokumentu.

2. Charakter i cel przetwarzania

Przetwarzanie ma charakter zautomatyzowany i obejmuje w szczególności zbieranie, utrwalanie, organizowanie, przechowywanie, przeglądanie, wykorzystywanie, przesyłanie, ograniczanie, usuwanie i anonimizowanie danych.

Celem przetwarzania jest udostępnienie Administratorowi funkcji Vizyto, w szczególności obsługi rezerwacji, bazy klientów, komunikacji, pracy zespołu, raportów, plików, automatyzacji i asystenta AI, w zakresie funkcji włączonych i używanych przez Administratora.

3. Rodzaje danych i kategorie osób

Powierzenie może obejmować następujące dane, zależnie od sposobu korzystania z Vizyto:

• dane identyfikacyjne i kontaktowe, w tym imię, nazwisko, numer telefonu, adres e-mail i identyfikatory konta
• dane dotyczące rezerwacji i świadczenia usług, w tym terminy, wybrane usługi, płatności ewidencjonowane w systemie, historia wizyt, zgody i preferencje
• dane przekazane w notatkach, formularzach, wiadomościach, rozmowach, nagraniach, transkrypcjach i plikach, które mogą obejmować szczególne kategorie danych, jeżeli Administrator zdecyduje się je wprowadzić
• dane techniczne i dotyczące aktywności, w tym adres IP, identyfikatory urządzeń, logi bezpieczeństwa i informacje potrzebne do rozwiązywania błędów
• dane klientów, potencjalnych klientów, pracowników, współpracowników, użytkowników i innych osób, których dane Administrator wprowadza lub pozyskuje za pomocą Vizyto

4. Udokumentowane polecenia Administratora

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są Regulamin, niniejsza umowa, ustawienia i działania Administratora w Vizyto oraz inne udokumentowane dyspozycje stron. Dotyczy to również przekazywania danych do państwa trzeciego lub organizacji międzynarodowej.

Jeżeli obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego, Podmiot przetwarzający poinformuje o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania przekazania takiej informacji z uwagi na ważny interes publiczny.

Podmiot przetwarzający niezwłocznie poinformuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

5. Poufność i bezpieczeństwo

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi poufności.

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne wymagane przez art. 32 RODO, z uwzględnieniem stanu wiedzy technicznej, kosztu wdrożenia, charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych.

6. Dalsze powierzenie

Administrator udziela ogólnej pisemnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających wymienionych na stronie z listą podwykonawców Vizyto.

Podmiot przetwarzający poinformuje Administratora o planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego, umożliwiając wniesienie uzasadnionego sprzeciwu przed zmianą. Na dalszy podmiot przetwarzający zostaną nałożone co najmniej te same obowiązki ochrony danych, które wynikają z niniejszej umowy. Podmiot przetwarzający pozostaje odpowiedzialny wobec Administratora za wykonanie tych obowiązków.

7. Pomoc Administratorowi

Uwzględniając charakter przetwarzania, Podmiot przetwarzający w miarę możliwości pomaga Administratorowi, za pomocą odpowiednich środków technicznych i organizacyjnych, wywiązać się z obowiązku odpowiadania na żądania osób wykonujących prawa określone w rozdziale III RODO.

Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO, w szczególności w zakresie bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji, z uwzględnieniem charakteru przetwarzania oraz dostępnych informacji.

8. Naruszenia ochrony danych

Po stwierdzeniu naruszenia ochrony powierzonych danych Podmiot przetwarzający zgłosi je Administratorowi bez zbędnej zwłoki. Celem operacyjnym jest przekazanie pierwszego zgłoszenia w ciągu 24 godzin od stwierdzenia naruszenia, jeżeli dostępne informacje pozwalają zidentyfikować Administratora i prawdopodobny wpływ zdarzenia.

Zgłoszenie będzie uzupełniane w miarę pozyskiwania informacji i, w zakresie dostępnym Podmiotowi przetwarzającemu, opisze charakter naruszenia, możliwe konsekwencje, zastosowane lub proponowane środki oraz punkt kontaktowy do dalszych ustaleń.

9. Zakończenie świadczenia usług

Po zakończeniu świadczenia usług związanych z przetwarzaniem Podmiot przetwarzający, zależnie od udokumentowanej decyzji Administratora, usunie albo zwróci dane osobowe i usunie ich istniejące kopie, chyba że prawo Unii Europejskiej lub państwa członkowskiego nakazuje ich dalsze przechowywanie.

Jeżeli Administrator nie wyda innej zgodnej z prawem dyspozycji, dane zostaną usunięte lub zanonimizowane w terminie 30 dni od zamknięcia konta biznesu. Dane w kopiach zapasowych wygasają zgodnie z cyklem ich przechowywania i do tego czasu pozostają odizolowane od zwykłego użycia.

10. Informacje i audyty

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego przez niego audytora, i współpracuje przy nich.

Audyt powinien uwzględniać bezpieczeństwo innych klientów, tajemnicę przedsiębiorstwa i ciągłość usług. Jeżeli wystarczające są aktualne raporty, certyfikaty lub odpowiedzi pisemne, strony w pierwszej kolejności korzystają z tych form potwierdzenia zgodności.

11. Obowiązki i prawa Administratora

• Administrator odpowiada za istnienie podstawy prawnej, zgodność poleceń z prawem, realizację obowiązków informacyjnych i zakres danych wprowadzanych do Vizyto
• Administrator określa cele i sposoby przetwarzania oraz korzysta wyłącznie z funkcji i danych niezbędnych do prowadzonej działalności
• Administrator ma prawo uzyskać informacje o przetwarzaniu, zgłaszać polecenia, sprzeciwiać się zmianie dalszego podmiotu przetwarzającego i przeprowadzać audyty na zasadach opisanych w umowie
• Administrator niezwłocznie informuje Podmiot przetwarzający o żądaniach, zdarzeniach lub zmianach, które mają wpływ na zakres powierzenia

12. Postanowienia końcowe

W sprawach nieuregulowanych niniejszą umową stosuje się RODO, prawo polskie i Regulamin Vizyto. W przypadku sprzeczności między niniejszą umową a Regulaminem w zakresie powierzenia przetwarzania danych pierwszeństwo ma niniejsza umowa.