Umowa powierzenia przetwarzania danych

Informacja o wersji językowej. Niniejszy dokument jest wyłącznie informacyjnym tłumaczeniem na język polski. Prawnie wiążąca jest wersja litewska: Umowa powierzenia przetwarzania danych (po litewsku). Tłumaczenie może różnić się od oryginału sformułowaniami; w razie rozbieżności rozstrzyga wersja litewska.

Obowiązuje od 2026-10-31 (wersja 1.3). Niniejsza umowa jest zawierana w formie elektronicznej: Administrator akceptuje ją w portalu (w sekcji „Umowa powierzenia przetwarzania danych”) przed rozpoczęciem przetwarzania danych osobowych albo potwierdza ją łącznie z odrębną umową podpisaną za pomocą jednorazowego linku; na tej stronie przedstawiono jej tekst.

Forma akceptacji. Akceptacja jest zwykłym podpisem elektronicznym w rozumieniu rozporządzenia (UE) nr 910/2014, a nie kwalifikowanym podpisem elektronicznym. Strony z góry uzgadniają na piśmie, że taki podpis jest równoważny podpisowi własnoręcznemu (art. 5 ust. 1 litewskiej ustawy o identyfikacji elektronicznej i usługach zaufania w transakcjach elektronicznych) oraz że niniejsza umowa została zawarta na piśmie w formie elektronicznej (art. 28 ust. 9 RODO). Podmiot przetwarzający przechowuje dowody akceptacji: wersję umowy i sumę kontrolną tekstu (SHA-256), użytkownika, który dokonał akceptacji, i jego rolę, czas serwera, zpseudonimizowaną wartość IP oraz identyfikator przeglądarki. Po akceptacji Podmiot przetwarzający wysyła potwierdzenie na adres e-mail użytkownika, który jej dokonał, a na wniosek Administratora w każdej chwili przekazuje kopię dowodów akceptacji, dzięki czemu porozumienie to można zapisać na trwałym nośniku. Umowę może zaakceptować wyłącznie właściciel lub administrator Administratora; firma obsługująca nie akceptuje jej w imieniu Administratora. Innych dodatkowych wymogów formy (art. 1.73 ust. 3 Kodeksu cywilnego Litwy, dalej: KC Litwy) strony nie ustanawiają.

1. Strony, przedmiot i czas trwania

Niniejsza umowa na podstawie art. 28 Ogólnego rozporządzenia o ochronie danych (UE) 2016/679 (RODO) reguluje przetwarzanie danych osobowych, które UAB NVGroup, kod osoby prawnej 149942553, siedziba: Elektrinės g. 8, 03150 Vilnius (Podmiot przetwarzający), wykonuje w imieniu klienta (Administratora), świadcząc usługę Skerry zgodnie z regulaminem usługi (po litewsku). Administrator jest wskazany w zamówieniu lub na arkuszu podpisu umowy.

Umowę opracowano na podstawie elementów z art. 28 ust. 3 RODO, zestawionych w tabeli w pkt 12. Państwowa Inspekcja Ochrony Danych (Valstybinė duomenų apsaugos inspekcija, VDAI) opracowała standardowe klauzule umowne na podstawie art. 28 ust. 8 RODO (opinia 18/2021 Europejskiej Rady Ochrony Danych); ich dosłowne brzmienie nie ma w niniejszej umowie zastosowania, jednak umowa obejmuje te same elementy z art. 28 ust. 3 RODO.

Umowa obowiązuje przez okres, w którym Podmiot przetwarzający świadczy Usługę na rzecz Administratora, oraz do czasu zwrotu lub usunięcia danych zgodnie z pkt 9.

Jeżeli Administrator jest firmą obsługującą, która przetwarza dane swoich klientów (operatorów basenów), albo audytorem energetycznym lub innym specjalistą przetwarzającym dane swojego zleceniodawcy w narzędziu Skerry, potwierdza on, że posiada zgodę swojego klienta lub zleceniodawcy na powierzenie Podmiotowi przetwarzającemu roli podmiotu podprzetwarzającego, i sam odpowiada za to, aby do portalu lub narzędzia nie przesyłać danych osobowych, do przetwarzania których nie ma podstawy.

2. Charakter i cel przetwarzania

Cel — świadczenie na rzecz Administratora dziennika jakości wody w basenach, SPA i podobnych obiektach, ocen zgodności oraz powiązanych usług.

Czynności przetwarzania — odbiór i przechowywanie danych, wyświetlanie ich użytkownikom Administratora, sprawdzanie według limitów określonych w przepisach prawa, przygotowywanie ocen i raportów (PDF), eksport, wysyłanie wiadomości, kopiowanie i niszczenie.

Dane są przetwarzane wyłącznie na udokumentowane polecenie Administratora. Za polecenia uznaje się postanowienia niniejszej umowy, regulamin usługi, zamówienie oraz działania użytkowników Administratora w portalu (funkcje portalu stanowią wszystkie polecenia Administratora, które Podmiot przetwarzający jest obowiązany wykonać). Dodatkowe polecenia, których Usługa nie przewiduje, Podmiot przetwarzający wykonuje, jeżeli jest to technicznie możliwe, nie zmienia istoty Usługi, a Administrator pokrywa rozsądne dodatkowe koszty. Podmiot przetwarzający może wstrzymać wykonanie polecenia i niezwłocznie powiadomić o tym Administratora, jeżeli uważa, że polecenie narusza prawo o ochronie danych, do czasu aż Administrator je potwierdzi, zmieni lub odwoła (art. 28 ust. 3 RODO). Podmiot przetwarzający nie wykorzystuje danych osobowych do własnych celów; z danych Administratora niebędących danymi osobowymi może tworzyć zanonimizowane statystyki, jak wskazano w rozdziale 8 regulaminu usługi.

3. Osoby, których dane dotyczą, i kategorie danych

Osoby, których dane dotyczą: pracownicy Administratora i użytkownicy portalu (operatorzy, technicy, audytorzy, osoby z uprawnieniami do przeglądania), osoby kontaktowe laboratoriów i dostawców usług, których dane Administrator wpisuje, a także inne osoby, których dane mogą znajdować się w dokumentach lub danych przesłanych przez Administratora (na przykład kierownicy, osoby odpowiedzialne, osoby kontaktowe zleceniodawcy audytora).

Kategorie danych: imię, adres e-mail, stanowisko i rola w portalu; imię osoby, która dokonała pomiaru (pole measured_by), oraz kto, kiedy i jaki wpis wprowadził (autorstwo odczytów, badań, działań); wpisy dziennika działań; dane logowania (skrót hasła, skróty tokenów, zpseudonimizowana wartość IP, identyfikator przeglądarki); dane osobowe znajdujące się w dokumentach przesłanych przez Administratora i w uwagach w polach tekstowych.

Szczególnych kategorii danych (w tym danych o zdrowiu osób odwiedzających) celowo nie przetwarzamy, a Administrator nie może ich wpisywać w uwagach ani dokumentach. Przetwarzane odczyty wody, wyniki laboratoryjne i dane obiektów zasadniczo nie są danymi osobowymi.

4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania poza EOG; jeżeli uważa, że polecenie narusza przepisy prawa, niezwłocznie o tym informuje;
2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
3. stosuje środki bezpieczeństwa opisane w pkt 7 (art. 32 RODO);
4. przestrzega warunków dotyczących podmiotów podprzetwarzających z pkt 5;
5. uwzględniając charakter przetwarzania, pomaga Administratorowi odpowiadać na wnioski osób, których dane dotyczą, przede wszystkim udostępniając funkcje portalu do przeglądania, eksportu i anonimizacji danych; otrzymawszy wniosek bezpośrednio, przekazuje go Administratorowi i sam nie udziela odpowiedzi;
6. pomaga Administratorowi wywiązywać się z obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych), przekazując posiadane informacje; zwykłe, ogólne przekazanie informacji jest bezpłatne, natomiast pomoc wymagająca nadzwyczajnie dużo czasu (na przykład odrębne wnioski osób, których dane dotyczą, lub oceny skutków Administratora) jest płatna według rozsądnej, uprzednio uzgodnionej lub publikowanej przez Podmiot przetwarzający stawki, która nie jest nieproporcjonalna (wytyczne EROD 07/2020);
7. po zakończeniu świadczenia Usługi usuwa lub zwraca dane zgodnie z pkt 9;
8. udostępnia Administratorowi informacje niezbędne do wykazania przestrzegania art. 28 RODO oraz umożliwia przeprowadzenie audytu zgodnie z pkt 10.

5. Podmioty podprzetwarzające

Zewnętrznego podmiotu przetwarzającego dane księgowe ani operatora płatności nie ma. Jeżeli taki będzie wykorzystywany, zostanie dodany do niniejszej listy, a o tym zostanie wcześniej poinformowany Administrator, jak wskazano poniżej.

Administrator udziela ogólnej pisemnej zgody na korzystanie z tych podmiotów podprzetwarzających oraz na ich zmiany lub uzupełnienia (art. 28 ust. 2 RODO). O zamiarze dodania lub zmiany podmiotu podprzetwarzającego Podmiot przetwarzający informuje Administratora aktywnie, pocztą elektroniczną (a nie tylko przez publikację listy), nie później niż 14 dni wcześniej, podając nazwę, miejsce i cel podmiotu podprzetwarzającego; gdy zmianę inicjuje sam podmiot podprzetwarzający (na przykład netcup zmienia swoje podmioty podprzetwarzające), Podmiot przetwarzający niezwłocznie przekazuje otrzymane powiadomienie Administratorowi, a termin na sprzeciw nie może upłynąć wcześniej niż termin przysługujący Podmiotowi przetwarzającemu wobec podmiotu podprzetwarzającego i w każdym razie wynosi co najmniej 7 dni. Administrator może w ciągu 10 dni od powiadomienia zgłosić pisemny sprzeciw wyłącznie z uzasadnionych powodów związanych z ochroną danych, wskazując je. Jeżeli sprzeciwu nie otrzymano, uważa się, że Administrator wyraził zgodę. Jeżeli Administrator zgłosi uzasadniony sprzeciw, Podmiot przetwarzający może (a) nie korzystać z nowego podmiotu podprzetwarzającego w odniesieniu do danych tego Administratora, jeżeli jest to technicznie możliwe bez nieproporcjonalnego wysiłku, albo (b) rozwiązać umowę w odniesieniu do tej części Usługi, do której potrzebny jest dany podmiot podprzetwarzający, zwracając kwotę zapłaconą za nieświadczony opłacony okres; inne środki ochrony prawnej nie są ograniczone w zakresie, w jakim nie zakazuje tego RODO. W przypadku pilnym (zagrożenie bezpieczeństwa, zaprzestanie działalności przez podmiot podprzetwarzający) podmiot podprzetwarzający można zmienić natychmiast, niezwłocznie o tym informując. Podmiot przetwarzający zawiera z podmiotem podprzetwarzającym umowę, w której obowiązują te same zobowiązania w zakresie ochrony danych, i odpowiada wobec Administratora za wykonywanie obowiązków przez podmiot podprzetwarzający, z wyjątkiem granic odpowiedzialności określonych w pkt 11.

6. Miejsce przetwarzania i przekazywanie poza EOG

Dane są przetwarzane i przechowywane w Unii Europejskiej (serwer aplikacji i baza danych — w Niemczech; personel podmiotów podprzetwarzających netcup i usługi wsparcia — w Austrii i Niemczech) oraz w Szwajcarii (poczta elektroniczna i kopie zapasowe w Proton Drive). Podmiot przetwarzający nie przekazuje danych poza Europejski Obszar Gospodarczy, z wyjątkiem Szwajcarii, do której stosuje się decyzję stwierdzającą odpowiedni stopień ochrony.

7. Techniczne i organizacyjne środki bezpieczeństwa

Podmiot przetwarzający stosuje następujące środki (odpowiadają one wdrożonym w systemie):

• Izolacja najemców: każda organizacja widzi wyłącznie swoje dane; izolacja jest wdrożona na poziomie wierszy bazy danych (PostgreSQL row-level security, włączone i obowiązujące nawet właściciela tabeli) i sprawdzana testami automatycznymi;
• Uwierzytelnianie: hasła są przechowywane wyłącznie jako skrót argon2; tokeny sesji, zaproszeń i odzyskiwania hasła są przechowywane wyłącznie jako skrót; dostępne jest uwierzytelnianie dwuskładnikowe (TOTP) z jednorazowymi kodami odzyskiwania, sekrety TOTP są przechowywane w postaci zaszyfrowanej, a każdy kod może zostać użyty tylko raz; dla administratorów platformy jest ono obowiązkowe;
• Sesje: plik cookie sesji HttpOnly, Secure, SameSite=Lax, domyślny okres ważności 72 godz.; po odzyskaniu hasła istniejące sesje są unieważniane;
• Ograniczanie liczby prób: próby logowania, uwierzytelniania dwuskładnikowego, odzyskiwania hasła i zaproszeń są ograniczane;
• Dziennik audytowy: dziennik działań jest wyłącznie dopisywany; nie zapisuje się do niego treści dokumentów, nazw plików ani adresów e-mail; działania administratora platformy zmieniające dane podlegają audytowi;
• Integralność rejestrów: wpisy odczytów, badań, działań i ocen są wyłącznie dopisywane; poprawka jest nowym wpisem;
• Dostęp wsparcia: pracownik Podmiotu przetwarzającego może przeglądać konto Administratora wyłącznie w trybie tylko do odczytu, nie dłużej niż 30 min, po wskazaniu przyczyny; dostęp ten jest zapisywany w dzienniku działań Administratora;
• Przesyłanie plików: sprawdzany jest typ i zawartość pliku, ograniczany rozmiar, obliczana suma kontrolna (SHA-256); pliki są przechowywane pod losowymi nazwami, a dostęp do plików zamówienia odbywa się za pomocą losowego tokenu;
• Połączenie: szyfrowane (TLS, HSTS);
• Kopie zapasowe: codziennie wykonywana jest skompresowana kopia bazy danych; jest przechowywana 14 dni na serwerze i 60 dni w Proton Drive, starsze są usuwane automatycznie. Kopie (bazy danych i magazynu dokumentów) są szyfrowane symetrycznym szyfrem AES-256 (GnuPG) przed zapisem na dysku i wysłaniem do Proton Drive; hasło szyfrujące jest przechowywane oddzielnie od kopii i od serwera. Skanowanie plików programem antywirusowym nie jest prowadzone, dlatego nie jest wskazane jako środek.

Podmiot przetwarzający może zmieniać środki bezpieczeństwa, jeżeli ogólny poziom ochrony się nie obniża. Bardziej szczegółowy opis środków technicznych Podmiot przetwarzający udostępnia zespołowi bezpieczeństwa Administratora na wniosek: info@skerry.eu. Administrator odpowiada za bezpieczeństwo danych logowania swoich użytkowników, zgodną z prawem podstawę przekazywania danych, minimalizację danych oraz zgodność z prawem swoich poleceń; Podmiot przetwarzający nie odpowiada za działania użytkowników Administratora (w tym za ujawnienie haseł).

8. Zgłaszanie naruszeń ochrony danych osobowych

Po stwierdzeniu naruszenia ochrony danych osobowych, które dotknęło dane Administratora, Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO), nie później niż w ciągu 72 godzin od potwierdzenia naruszenia, pocztą elektroniczną na adres wskazany w koncie lub w umowie. Administrator odpowiada za zgłoszenie organowi nadzorczemu i osobom, których dane dotyczą; 72-godzinny termin wobec organu nadzorczego Administrator liczy od otrzymania zgłoszenia od Podmiotu przetwarzającego. W zgłoszeniu wskazuje się charakter naruszenia, kategorie i przybliżoną liczbę dotkniętych danych, prawdopodobne skutki i stosowane środki — w zakresie, w jakim jest to wiadome.

9. Zwrot i usunięcie danych

Po zakończeniu Usługi, niezależnie od planu (w tym bezpłatnego), Administrator może na wniosek w ciągu 90 dni otrzymać eksport swoich danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (CSV, XLSX) bez dodatkowej opłaty; odpowiada to postanowieniu regulaminu usługi (po litewsku) o eksporcie i przejściu (unijny akt w sprawie danych, rozporządzenie (UE) 2023/2854; terminy stosuje się w zakresie, w jakim określa je akt w sprawie danych).

Co dzieje się dalej. Odczyty, badania, działania, oceny i dziennik działań są wyłącznie dopisywane: istniejącego wpisu nie można zmienić ani usunąć, z wyjątkiem imienia osoby, które jest anonimizowane. Na wniosek Administratora (a w każdym razie po upływie okna eksportu) Podmiot przetwarzający anonimizuje użytkowników Administratora: wyłącza konto, usuwa adres e-mail, hasło i sekrety uwierzytelniania dwuskładnikowego, odwołuje członkostwa i sesje, a w rejestrach zastępuje imię osoby, która dokonała pomiaru, i osoby wykonującej działanie neutralnym oznaczeniem; odczyty, czasy, limity i działania pozostają. Wpisy rejestrów Administratora są przechowywane do pisemnego polecenia Administratora, aby je zwrócić lub usunąć z nich dane osobowe (zanonimizować), ale nie dłużej niż 24 miesiące od zakończenia umowy, ponieważ system nie usuwa fizycznie samych wpisów (odczytów, czasów, limitów, działań); dane faktur, umów i zamówień Podmiot przetwarzający jako samodzielny administrator przechowuje na podstawie przepisów o rachunkowości. Kopie zapasowe starzeją się i są automatycznie usuwane w ciągu 60 dni (14 dni na serwerze i 60 dni w Proton Drive); po ich odtworzeniu anonimizacje są powtarzane na podstawie dziennika działań administratora.

Administrator musi wskazać swój wybór (zwrot lub usunięcie) w trakcie okna eksportu; jeżeli tego nie zrobi, uważa się, że wybrano zwrot oraz późniejsze usunięcie lub anonimizację w terminach wskazanych w niniejszym punkcie. Podmiot przetwarzający może przechowywać dane dłużej tylko w takim zakresie, w jakim wymagają tego przepisy prawa lub w jakim jest to potrzebne do dochodzenia roszczeń prawnych lub obrony przed nimi (w części dotyczącej faktur, umów i dowodów).

10. Audyt

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania przestrzegania art. 28 RODO, przede wszystkim opisy i streszczenia dotyczące bezpieczeństwa i zgodności (na przykład pkt 7 niniejszej umowy, streszczenia kontroli podmiotów trzecich lub sprawozdań o zgodności podmiotów podprzetwarzających, jeśli je posiada), i odpowiada na uzasadnione pytania na piśmie. Jeżeli te informacje są dla Administratora w uzasadniony sposób niewystarczające, może on, po pisemnym zawiadomieniu z 30-dniowym wyprzedzeniem, nie częściej niż raz na 12 miesięcy (w razie uzasadnionego podejrzenia naruszenia lub żądania organu — bez tego ograniczenia), przeprowadzić kontrolę zdalną lub w siedzibie Podmiotu przetwarzającego osobiście albo przez niezależnego audytora, który nie jest konkurentem i jest związany obowiązkiem poufności. Kontrola odbywa się w zwykłych godzinach pracy, z reguły nie dłużej niż dwa dni robocze, obejmuje wyłącznie przetwarzanie danych Administratora na podstawie niniejszej umowy, nie daje dostępu do danych innych klientów, tajemnic handlowych Podmiotu przetwarzającego ani systemów, których udostępnienie stwarzałoby zagrożenie dla bezpieczeństwa, i nie zakłóca działalności w sposób nieuzasadniony. Administrator pokrywa swoje oraz rozsądne koszty Podmiotu przetwarzającego (w tym czas pracy według stawki), chyba że kontrola ujawni istotne naruszenie niniejszej umowy; koszty nie mogą być takie, aby zniechęcały do wykonywania tego prawa. Administrator może żądać usunięcia stwierdzonych braków; Podmiot przetwarzający robi to w rozsądnym terminie.

11. Odpowiedzialność i prawo właściwe

Odpowiedzialność rozkłada się zgodnie z art. 82 RODO; niniejsza umowa nie ogranicza praw osób, których dane dotyczą. W stosunkach między stronami ograniczenia i wyłączenia odpowiedzialności z rozdziału 10 regulaminu usługi stosują się również do niniejszej umowy (wspólny limit dla wszystkich roszczeń), w zakresie, w jakim nie zakazują tego bezwzględnie obowiązujące przepisy RODO; Administrator odszkodowuje Podmiotowi przetwarzającemu szkody powstałe wskutek poleceń Administratora naruszających prawo o ochronie danych lub przekazania danych bez zgodnej z prawem podstawy. Stosuje się prawo Republiki Litewskiej; spory rozstrzyga się w drodze negocjacji, a w razie ich niepowodzenia — przed właściwym sądem litewskim według siedziby Podmiotu przetwarzającego.

12. Zgodność z elementami art. 28 ust. 3 RODO

13. Zmiany umowy

Nową wersję niniejszej umowy Podmiot przetwarzający zgłasza Administratorowi pocztą elektroniczną nie później niż 30 dni wcześniej; o zmianach podmiotów podprzetwarzających informuje się zgodnie z pkt 5. Podmiot przetwarzający może zmienić umowę bez potwierdzenia Administratora wyłącznie w takim zakresie, w jakim wymagają tego przepisy prawa lub decyzja organu nadzorczego (wówczas nowa wersja obowiązuje od dnia jej wejścia w życie). Nowa wersja wchodzi w życie wobec Administratora z chwilą jego akceptacji w portalu; do tego czasu obowiązuje wersja zaakceptowana wcześniej. Sama publikacja na stronie internetowej Podmiotu przetwarzającego nie wiąże Administratora w zakresie zmiany. Skutki nieprzyjęcia przez Administratora nowej wersji określono w pkt 9 regulaminu usługi (po litewsku).

14. Kontakt

Sprawy ochrony danych: info@skerry.eu. UAB NVGroup, Elektrinės g. 8, 03150 Vilnius.

Powiązane dokumenty: regulamin usługi (po litewsku), polityka prywatności (po litewsku).

Historia zmian