⚠️ PROJEKT – wymaga weryfikacji prawnej przed publikacją

Dokument wygenerowany z szablonu Nova. Nie stanowi porady prawnej i nie może zostać opublikowany, dopóki prawnik go nie sprawdzi i nie oznaczy jako zweryfikowany.

Brakujące dane do uzupełnienia: 9.

GYOP – Umowa powierzenia przetwarzania danych osobowych

Wersja 0.1.0-draft · Obowiązuje od: ⟦DO UZUPEŁNIENIA: data zatwierdzenia / approval date⟧

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa Powierzenia”) ma zastosowanie, gdy klient biznesowy korzysta z GYOP do przetwarzania danych osobowych swoich użytkowników, pracowników lub klientów. Stanowi część umowy o korzystanie z GYOP (dalej: „Umowa Główna”) i realizuje wymogi art. 28 ust. 3 rozporządzenia (UE) 2016/679 („RODO”).

1. Strony

1. Administrator (dalej: „Klient”): klient biznesowy wskazany w Umowie Głównej lub w bloku podpisów poniżej.
2. Podmiot przetwarzający: NOVA AI VENTURES SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Jasna 26, 00-054 Warszawa, Polska, KRS 0001208266, NIP 5253069869, REGON 543362820, VAT UE PL5253069869, kapitał zakładowy 156 000,00 zł, e-mail: privacy@novaai.ventures (dalej: „NovaAI”).

2. Definicje

Pojęcia takie jak „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą” i „naruszenie ochrony danych osobowych” mają znaczenie nadane w RODO. „Podprocesor” oznacza inny podmiot przetwarzający, któremu NovaAI powierza przetwarzanie w imieniu Klienta. „Dane Klienta” oznaczają dane osobowe przetwarzane przez NovaAI w imieniu Klienta na podstawie Umowy Głównej.

3. Przedmiot i charakterystyka przetwarzania

1. NovaAI przetwarza Dane Klienta wyłącznie w celu świadczenia GYOP: prowadzenie listy ofert i bazy klientów biura nieruchomości oraz zbieranie reakcji klientów na przypisane im oferty.
2. Czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, określa pkt 14.
3. Klient odpowiada za zgodność przetwarzania z prawem, w tym za posiadanie podstawy prawnej i poinformowanie osób, których dane dotyczą.

4. Obowiązki podmiotu przetwarzającego

NovaAI:

1. przetwarza Dane Klienta wyłącznie na udokumentowane polecenie Klienta – którym są Umowa Główna, niniejsza Umowa Powierzenia oraz sposób korzystania z GYOP i jego konfiguracja przez Klienta – także w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek taki nakłada na nią prawo Unii lub prawo państwa członkowskiego; w takim przypadku informuje Klienta przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania;
2. niezwłocznie informuje Klienta, jeżeli jej zdaniem wydane polecenie narusza przepisy o ochronie danych;
3. zapewnia, by osoby upoważnione do przetwarzania Danych Klienta zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
4. stosuje wszystkie środki wymagane na mocy art. 32 RODO, opisane w pkt 15;
5. przestrzega warunków korzystania z usług Podprocesorów określonych w pkt 5;
6. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Klientowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą;
7. pomaga Klientowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz dostępne jej informacje;
8. po zakończeniu świadczenia usług usuwa lub zwraca Dane Klienta zgodnie z pkt 10;
9. udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia przeprowadzanie audytów zgodnie z pkt 9.

5. Podprocesorzy

1. Klient udziela NovaAI ogólnej pisemnej zgody na korzystanie z usług Podprocesorów wskazanych w pkt 16.
2. NovaAI informuje Klienta o zamierzonym dodaniu lub zastąpieniu Podprocesora co najmniej 30 dni wcześniej, e-mailem lub w produkcie. W tym terminie Klient może wnieść uzasadniony sprzeciw z przyczyn dotyczących ochrony danych. Jeżeli strony nie rozwiążą sprawy, Klient może wypowiedzieć usługi, których zmiana dotyczy, przed jej wejściem w życie, ze zwrotem opłat uiszczonych z góry za okres po wypowiedzeniu.
3. NovaAI nakłada na każdego Podprocesora, w drodze umowy, te same obowiązki ochrony danych co w niniejszej Umowie Powierzenia i ponosi pełną odpowiedzialność wobec Klienta za wypełnianie obowiązków przez Podprocesora.

6. Przekazywanie danych do państw trzecich

NovaAI przekazuje Dane Klienta poza Europejski Obszar Gospodarczy wyłącznie po spełnieniu warunków rozdziału V RODO – na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym Ram ochrony danych UE–USA) lub standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914, z dodatkowymi środkami, gdy są potrzebne. Zabezpieczenie stosowane wobec każdego Podprocesora wskazuje pkt 16.

7. Naruszenia ochrony danych osobowych

NovaAI zawiadamia Klienta o naruszeniu ochrony danych osobowych dotyczącym Danych Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od jego stwierdzenia. Zawiadomienie zawiera, w miarę dostępności, informacje wymienione w art. 33 ust. 3 RODO; informacje jeszcze niedostępne są przekazywane sukcesywnie bez dalszej zbędnej zwłoki. NovaAI podejmuje rozsądne działania w celu ograniczenia naruszenia i jego skutków.

8. Pomoc i koszty

NovaAI udziela pomocy opisanej w niniejszej Umowie Powierzenia w miarę możliwości za pomocą funkcji GYOP. Pomoc wykraczająca poza te funkcje, niewynikająca z naruszenia Umowy Powierzenia przez NovaAI, może być odpłatna według rozsądnych stawek uzgodnionych z góry.

9. Audyty

1. NovaAI udostępnia na żądanie dokumentację niezbędną do wykazania zgodności z niniejszą Umową Powierzenia (np. polityki bezpieczeństwa, certyfikaty lub raporty z audytów).
2. Jeżeli dokumentacja nie jest wystarczająca, Klient lub niezależny audytor zobowiązany do zachowania poufności może przeprowadzić audyt, w tym inspekcję, po zawiadomieniu z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy, nie częściej niż raz w roku, chyba że wymaga tego organ nadzorczy lub po naruszeniu ochrony danych osobowych. Każda ze stron ponosi własne koszty.

10. Zwrot i usunięcie danych

Po zakończeniu świadczenia usług NovaAI usuwa Dane Klienta albo – według wyboru Klienta dokonanego przed zakończeniem – zwraca je i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie. Kopie w kopiach zapasowych są usuwane w zwykłym cyklu ich wymiany i w międzyczasie nie są wykorzystywane.

11. Odpowiedzialność

Odpowiedzialność stron na podstawie niniejszej Umowy Powierzenia określają Umowa Główna oraz art. 82 RODO. Żadne postanowienie Umowy Powierzenia nie ogranicza odpowiedzialności wobec osób, których dane dotyczą.

12. Czas obowiązywania

Umowa Powierzenia obowiązuje tak długo, jak NovaAI przetwarza Dane Klienta w imieniu Klienta. W razie sprzeczności między Umową Powierzenia a Umową Główną w zakresie ochrony danych pierwszeństwo ma Umowa Powierzenia.

13. Prawo właściwe

Umowa Powierzenia podlega prawu polskiemu. Spory rozstrzyga sąd powszechny właściwy dla siedziby NovaAI.

14. Załącznik I – Opis przetwarzania

15. Załącznik II – Środki techniczne i organizacyjne

1. szyfrowane połączenia (HTTPS) przy całej transmisji danych
2. kontrola dostępu po stronie serwera: biuro widzi tylko to, co grupa mu udostępniła
3. dostęp do danych osobowych tylko dla osób, które go potrzebują do pracy
4. usuwanie danych w terminach opisanych w tej polityce

Naruszenia ochrony danych osobowych są obsługiwane zgodnie z pkt 7.

16. Załącznik III – Podprocesorzy

17. Podpisy