Tłumaczenie informacyjne. W razie rozbieżności rozstrzygająca jest oryginalna wersja angielska, podlegająca jurysdykcji Irlandii (Cuandeoro Limited, CRO 813028).
Umowa Powierzenia Przetwarzania Danych Veripass
Stanowi część Regulaminu świadczenia usług.
1. Strony i role. Klient jest administratorem. Cuandeoro Limited t/a Veripass jest podmiotem przetwarzającym dane osobowe zawarte w dokumentach Klienta i treściach konta („Dane Osobowe Klienta”).
2. Przedmiot, charakter i cel. Przechowywanie, wyodrębnianie, analiza i publikacja danych paszportów produktów i baterii, wyłącznie w celu świadczenia Usługi.
3. Czas trwania. Okres obowiązywania subskrypcji oraz okres usunięcia danych, o którym mowa w pkt 11.
4. Kategorie osób, których dane dotyczą. Pracownicy i użytkownicy Klienta; osoby kontaktowe dostawców, klientów i laboratoriów Klienta wskazane w przesłanych dokumentach.
5. Kategorie danych. Imiona i nazwiska, służbowe dane kontaktowe, stanowiska, podpisy i identyfikatory występujące w dokumentach; dane kont użytkowników. Nie przewiduje się szczególnych kategorii danych. Klient nie będzie ich przesyłał.
5A. Obowiązki Klienta. Klient zapewnia, że posiada podstawę prawną przetwarzania i wydaje zgodne z prawem polecenia, informuje osoby, których dane dotyczą, w wymaganym zakresie oraz nie przesyła szczególnych kategorii danych.
6. Obowiązki podmiotu przetwarzającego. Veripass:
- (a) będzie przetwarzać dane wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na niego prawo UE lub prawo państwa członkowskiego; w takim przypadku Veripass informuje Klienta o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;
- (b) zapewni, aby osoby upoważnione do przetwarzania były zobowiązane do zachowania poufności;
- (c) wdroży środki techniczne i organizacyjne określone w Załączniku 2;
- (d) będzie pomagać Klientowi w realizacji żądań osób, których dane dotyczą, oraz w wypełnianiu obowiązków wynikających z art. 32-36 RODO, uwzględniając charakter przetwarzania;
- (e) udostępni informacje niezbędne do wykazania zgodności z przepisami;
- (f) niezwłocznie poinformuje Klienta, jeżeli jego polecenie stanowi naruszenie przepisów o ochronie danych.
7. Podprocesorzy.
- Klient udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku 3.
- Veripass powiadamia o nowych podprocesorach pocztą elektroniczną z 30-dniowym wyprzedzeniem. Klient może zgłosić sprzeciw z uzasadnionych przyczyn, a jeżeli nie zostanie uzgodnione rozwiązanie, może wypowiedzieć umowę bez kar.
- Veripass nakłada na każdego podprocesora równoważne obowiązki w zakresie ochrony danych i pozostaje za nich odpowiedzialny.
8. Transfery międzynarodowe. Dane Osobowe Klienta mogą być przetwarzane w Stanach Zjednoczonych przez dostawcę usług hostingowych Veripass (Cloud Clusters, Inc.) oraz Google (Gemini API, plan płatny) na podstawie Standardowych Klauzul Umownych (decyzja wykonawcza Komisji (UE) 2021/914) oraz, w stosownych przypadkach, unijno-amerykańskich Ram Ochrony Danych (EU-US Data Privacy Framework), wraz ze środkami uzupełniającymi (szyfrowanie podczas transmisji i w spoczynku). Pliki demonstracyjne są usuwane po 24 godzinach.
9. Przetwarzanie z użyciem AI. Dokumenty są przetwarzane przez dostawców AI wymienionych w Załączniku 3 na warunkach, które nie zezwalają im na wykorzystywanie danych Klienta do trenowania ich modeli. Nie wykorzystujemy Państwa dokumentów ani danych do trenowania jakiegokolwiek modelu sztucznej inteligencji.
10. Naruszenia ochrony danych osobowych. Veripass powiadamia Klienta bez zbędnej zwłoki, a w każdym przypadku w ciągu 48 godzin od stwierdzenia naruszenia dotyczącego Danych Osobowych Klienta, przekazując informacje wymagane na podstawie art. 33(3) RODO w miarę ich dostępności.
11. Zwrot i usunięcie. Według wyboru Klienta Veripass zwraca lub usuwa Dane Osobowe Klienta. W ciągu 60 dni od rozwiązania umowy Klient może wyeksportować swoje dane. Następnie Veripass usuwa Dane Osobowe Klienta w ciągu 30 dni, w tym kopie zapasowe w ramach ich cyklu rotacji (maksymalnie 35 dni), chyba że prawo UE lub prawo państwa członkowskiego wymaga ich przechowywania.
12. Audyty. Veripass umożliwia Klientowi lub niezależnemu audytorowi upoważnionemu przez Klienta i związanemu obowiązkiem poufności przeprowadzanie audytów, w tym inspekcji, i wnosi do nich wkład. Audyty odbywają się raz na 12 miesięcy po powiadomieniu z 30-dniowym wyprzedzeniem (częściej po naruszeniu lub gdy wymaga tego organ nadzorczy), w godzinach pracy i na koszt Klienta. Jeżeli wystarczy, w pierwszej kolejności stosuje się pisemny kwestionariusz.
13. Odpowiedzialność. Z zastrzeżeniem ograniczeń przewidzianych w Regulaminie świadczenia usług, z wyjątkiem przypadków, w których RODO nie dopuszcza ograniczenia.
14. Pierwszeństwo. W razie sprzeczności niniejsze DPA ma pierwszeństwo przed Regulaminem w kwestiach ochrony danych.
Załącznik 1 · Szczegóły przetwarzania
Jak w pkt 2 do 5.
Załącznik 2 · Środki techniczne i organizacyjne
- TLS 1.2 lub wyższy podczas transmisji; szyfrowanie AES-256 w spoczynku.
- Dostęp oparty na rolach, MFA dla pracowników, zasada najmniejszych uprawnień.
- Dane Klienta logicznie oddzielone dla każdego konta.
- Dziennik audytu zatwierdzeń i publikacji.
- Codzienne szyfrowane kopie zapasowe, rotacja 35-dniowa.
- Pliki demonstracyjne usuwane po 24 h.
- Instalacja poprawek dla krytycznych podatności w ciągu 7 dni.
- Coroczny przegląd tych środków.
Załącznik 3 · Podprocesorzy
| Podprocesor | Cel | Lokalizacja |
|---|---|---|
| Cloud Clusters, Inc. | Hosting aplikacji i stron paszportów | Stany Zjednoczone |
| Google (Gemini API, plan płatny) | Wyodrębnianie danych z dokumentów | Stany Zjednoczone |
| Cloud Clusters, Inc. (własny serwer pocztowy, mailcow) | Poczta elektroniczna | Stany Zjednoczone |
Stripe przetwarza własne dane rozliczeniowe Veripass; nie przetwarza Danych Osobowych Klienta zawartych w dokumentach.