Umowa powierzenia przetwarzania danych

1. Przedmiot, charakter i cel

Przetwarzamy dane osobowe wyłącznie w celu świadczenia Usługi Klientowi: zarządzania kontami i stanowiskami, prowadzenia szkoleń z kompetencji w zakresie AI, oceniania testów i sprawdzeń wiedzy, wydawania i weryfikacji certyfikatów, wysyłania e-maili, prowadzenia dowodów szkoleń i ścieżki audytu oraz udostępniania raportów i eksportów. Przetwarzanie obejmuje zbieranie, przechowywanie, porządkowanie, wykorzystywanie, przekazywanie dalszym podmiotom przetwarzającym wymienionym poniżej, usuwanie i inne operacje niezbędne do tych celów.

2. Czas trwania

Niniejsza DPA obowiązuje tak długo, jak przetwarzamy dane osobowe dla Klienta: przez okres subskrypcji i następujący po nim okres do usunięcia opisany w punkcie 11.

3. Osoby, których dane dotyczą, i kategorie danych

• Osoby, których dane dotyczą: pracownicy Klienta, którym przypisano stanowisko, oraz administratorzy Klienta.
• Dane identyfikacyjne i kontaktowe: imię i nazwisko, e-mail, dział, rola zawodowa i preferowany język.
• Dane konta: skrót hasła (Argon2id), dane weryfikacji dwuetapowej, jeśli jest używana, czasy logowania i adresy IP.
• Dane szkoleniowe: przypisane kursy, postęp i czas spędzony na lekcjach, odpowiedzi w testach i sprawdzeniach wiedzy, wyniki i próby, certyfikaty, potwierdzenia zasad AI Klienta.
• Zapisy wprowadzane przez Klienta: ewidencja narzędzi AI i inne dane wprowadzane przez administratorów.
• Dziennik audytu ważnych działań z czasem i autorem.

Usługa nie jest przeznaczona do szczególnych kategorii danych osobowych (art. 9 RODO) i Klient nie będzie ich wprowadzał.

4. Polecenia Klienta

Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta. Kompletnymi poleceniami Klienta są niniejsza DPA, Regulamin oraz ustawienia i działania administratorów Klienta w Usłudze. Poinformujemy Klienta, jeśli uznamy, że polecenie narusza przepisy o ochronie danych, a w inny sposób możemy przetwarzać dane tylko wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego; w takim przypadku poinformujemy o tym Klienta z wyprzedzeniem, chyba że prawo tego zabrania.

5. Poufność

Dostęp do danych mają tylko osoby, które potrzebują go do obsługi lub wsparcia Usługi, i są one zobowiązane do zachowania poufności.

6. Środki bezpieczeństwa

• Usługa i wszystkie dane działają na serwerze w centrum danych w Niemczech (UE).
• Szyfrowane połączenia (HTTPS); hasła przechowywane wyłącznie jako skróty Argon2id; podpisane pliki cookie sesji dostępne tylko przez HTTP.
• Ścisłe oddzielenie klientów: każde żądanie jest sprawdzane względem zalogowanego użytkownika i jego firmy.
• Weryfikacja dwuetapowa dla administratorów, obowiązkowa dla naszych kont wsparcia i dostępna dla każdego administratora Klienta.
• Ograniczanie liczby prób logowania, resetowania hasła i weryfikacji certyfikatów.
• Przechowywane sekrety, takie jak dane dostępowe nadawcy e-maili i klucze weryfikacji dwuetapowej, są szyfrowane (AES-256-GCM).
• Odpowiedzi w testach są oceniane na serwerze; poprawne odpowiedzi nigdy nie trafiają do przeglądarki.
• Dziennik audytu ważnych działań i dziennik zdarzeń bezpieczeństwa przechowywany przez 30 dni.
• Kopie zapasowe przechowywane do 30 dni i udokumentowana procedura postępowania w razie incydentów bezpieczeństwa.

7. Dostęp wsparcia

Upoważnieni pracownicy wsparcia MadHoney mogą zalogować się na konto administratora Klienta, aby na prośbę Klienta skonfigurować konto lub rozwiązać problem albo gdy jest to konieczne do ochrony Usługi. Taki dostęp jest ograniczony do panelu administracyjnego (nigdy lekcji, testów ani certyfikatów w imieniu pracowników), ograniczony w czasie i zapisywany w dzienniku audytu Klienta.

8. Dalsze podmioty przetwarzające

• Hostinger International Ltd. (Cypr) - wynajem wirtualnego serwera prywatnego, na którym działa Usługa; centrum danych w Niemczech (UE).
• ZONER a.s. (Republika Czeska) - serwer SMTP do doręczania e-maili (zaproszenia, przypomnienia, powiadomienia); centra danych w Brnie.

Klient udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na każdy z nich nakładamy obowiązki w zakresie ochrony danych równoważne niniejszej DPA. Poinformujemy administratorów Klienta e-mailem co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego; Klient może wnieść sprzeciw z uzasadnionego powodu, a jeśli nie zdołamy go rozwiązać, anulować subskrypcję przed wejściem zmiany w życie.

Paddle.com Market Ltd przetwarza dane dotyczące płatności i rozliczeń jako niezależny administrator (Merchant of Record) i nie otrzymuje żadnych danych o pracownikach Klienta.

9. Pomoc dla Klienta

Administratorzy mogą przeglądać, poprawiać, eksportować i usuwać dane swoich pracowników bezpośrednio w Usłudze. Uwzględniając charakter przetwarzania, pomożemy także Klientowi odpowiadać na żądania osób, których dane dotyczą, oraz wywiązywać się z obowiązków wynikających z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych i uprzednie konsultacje). Żądania pracowników, które do nas trafią, przekazujemy Klientowi.

10. Naruszenia ochrony danych osobowych

Powiadomimy administratorów Klienta o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż 48 godzin po jego stwierdzeniu, przekazując informacje dostępne zgodnie z art. 33 ust. 3 RODO, i uzupełnimy je w miarę ustalania kolejnych faktów. Podejmiemy działania w celu ograniczenia naruszenia i złagodzenia jego skutków.

11. Usunięcie i zwrot danych

W trakcie subskrypcji Klient może w każdej chwili eksportować swoje raporty, dowody szkoleń i ścieżkę audytu. Po zakończeniu subskrypcji administratorzy mogą logować się jeszcze przez 90 dni wyłącznie w celu eksportu danych; następnie firma i wszystkie jej dane są automatycznie usuwane, chyba że Klient poprosi o wcześniejsze usunięcie. Kopie w kopiach zapasowych są nadpisywane w ciągu 30 dni. Niniejszy punkt nie dotyczy danych, które musimy przechowywać na mocy prawa (np. faktur).

12. Audyty

Udostępnimy Klientowi informacje niezbędne do wykazania zgodności z niniejszą DPA i umożliwimy audyty, w tym inspekcje, przeprowadzane przez Klienta lub audytora zobowiązanego do zachowania poufności. Audyty odbywają się po rozsądnym uprzednim pisemnym powiadomieniu, w godzinach pracy, najwyżej raz w roku (z wyjątkiem sytuacji po naruszeniu ochrony danych osobowych) i na koszt Klienta, bez zakłócania Usługi i bez dostępu do danych innych klientów.

13. Obowiązki Klienta

Klient odpowiada za posiadanie podstawy prawnej przetwarzania, za poinformowanie swoich pracowników oraz za zgodność z prawem danych i poleceń, które nam przekazuje.

14. Odpowiedzialność i prawo właściwe

Odpowiedzialność na podstawie niniejszej DPA wynika z Regulaminu, chyba że RODO stanowi inaczej. Niniejsza DPA podlega prawu Republiki Czeskiej; spory z niej wynikające będą rozstrzygane przez sądy Republiki Czeskiej właściwe miejscowo według naszej siedziby. Kontakt w sprawach ochrony danych: sales@guard-ai.eu.