Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część umowy regulującej korzystanie z Platformy i Usług KWIGA, w tym z Regulamin KWIGA („Umowy”), zawartej pomiędzy:
TUTERIA VCC, z adresem rejestrowym przy ul. Vrabcha 17A, piętro 1, lok. 3, 1000 Sofia, Bułgaria („KWIGA”, „TUTERIA”, „my”, „nas” lub „Podmiot przetwarzający”),
oraz
osobą fizyczną, firmą, organizacją, szkołą, Ekspertem, twórcą kursu lub innym podmiotem korzystającym z Usług KWIGA i określającym cele oraz sposoby przetwarzania danych osobowych za pośrednictwem Platformy KWIGA („Klient”, „Użytkownik Platformy” lub „Administrator”).
Niniejsza DPA ma zastosowanie, gdy i w zakresie, w jakim TUTERIA VCC przetwarza Dane osobowe w imieniu Klienta w związku ze świadczeniem Usług KWIGA.
Niniejsza DPA uzupełnia Umowę i będzie interpretowana łącznie z Polityką prywatności KWIGA oraz innymi mającymi zastosowanie dokumentami umownymi.
Na potrzeby niniejszej DPA:
„Mające zastosowanie przepisy o ochronie danych” oznaczają wszelkie przepisy dotyczące ochrony danych i prywatności mające zastosowanie do przetwarzania Danych osobowych na podstawie niniejszej DPA, w tym, w stosownych przypadkach, rozporządzenie (UE) 2016/679 („RODO”).
„Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą”, „Dane osobowe”, „Przetwarzanie”, „Naruszenie ochrony danych osobowych” oraz „Organ nadzorczy” mają znaczenie nadane im w RODO lub innych mających zastosowanie przepisach o ochronie danych.
„Klient” oznacza Użytkownika Platformy, który korzysta z Usług KWIGA i określa cele oraz sposoby Przetwarzania Danych usługowych.
„Dane usługowe” oznaczają Dane osobowe przesłane do Platformy KWIGA, zebrane za jej pośrednictwem, wygenerowane w jej ramach lub w inny sposób przetwarzane za jej pośrednictwem przez Klienta lub w jego imieniu w związku z korzystaniem z Usług.
Dane usługowe mogą obejmować Dane osobowe przetwarzane za pośrednictwem CRM, LMS, kursów, programów edukacyjnych, funkcji zarządzania uczniami i klientami, narzędzi komunikacyjnych, automatyzacji, ocen oraz innych funkcji Platformy KWIGA używanych przez Klienta.
„Podprzetwarzający” oznacza stronę trzecią zaangażowaną przez KWIGA do Przetwarzania Danych usługowych w imieniu Klienta.
Jeżeli Klient określa cele i sposoby Przetwarzania Danych usługowych, Klient działa jako Administrator takich Danych osobowych.
Klient odpowiada za swoje działania w zakresie Przetwarzania oraz za zgodność z obowiązkami mającymi zastosowanie do Administratorów na podstawie Mających zastosowanie przepisów o ochronie danych.
Jeżeli TUTERIA VCC Przetwarza Dane usługowe w imieniu Klienta i zgodnie z instrukcjami Klienta, TUTERIA VCC działa jako Podmiot przetwarzający.
TUTERIA VCC będzie Przetwarzać takie Dane usługowe zgodnie z niniejszą DPA, Umową, udokumentowanymi instrukcjami Klienta oraz Mającymi zastosowanie przepisami o ochronie danych.
Niektóre działania w zakresie Przetwarzania mogą być realizowane przez TUTERIA VCC w celach określonych niezależnie przez TUTERIA VCC.
Takie cele mogą obejmować, w stosownych przypadkach:
administrację i obsługę Platformy KWIGA;
bezpieczeństwo i integralność Platformy;
zapobieganie oszustwom i nadużyciom;
wykrywanie i badanie nieuprawnionego dostępu oraz incydentów bezpieczeństwa;
zgodność z obowiązkami prawnymi lub regulacyjnymi;
zarządzanie własnymi stosunkami umownymi TUTERIA VCC;
ustalanie, dochodzenie lub obrona roszczeń prawnych; oraz
inne cele opisane w Polityce prywatności KWIGA.
Jeżeli TUTERIA VCC niezależnie określa cele i sposoby takiego Przetwarzania, TUTERIA VCC działa jako niezależny Administrator w odniesieniu do tego Przetwarzania.
Takie Przetwarzanie podlega Polityce prywatności KWIGA Polityka prywatności oraz Obowiązującym Przepisom o Ochronie Danych i nie stanowi Przetwarzania prowadzonego przez TUTERIA VCC jako Podmiot Przetwarzający na podstawie niniejszej Umowy powierzenia przetwarzania danych.
Fakt, że Klient i TUTERIA VCC mogą Przetwarzać określone informacje dotyczące tej samej Osoby, której dane dotyczą, sam w sobie nie oznacza, że strony działają jako współadministratorzy.
Rola każdej ze stron zostanie określona w odniesieniu do celów i sposobów odpowiedniej czynności Przetwarzania.
Klient przestrzega Obowiązujących Przepisów o Ochronie Danych w związku z gromadzeniem, wykorzystywaniem, ujawnianiem i innym Przetwarzaniem Danych Usługowych.
Klient jest odpowiedzialny za zapewnienie, że:
a. posiada odpowiednią podstawę prawną do Przetwarzania Danych Usługowych;
b. Dane Usługowe zostały zebrane zgodnie z prawem;
c. Dane Usługowe są zgodnie z prawem ujawniane KWIGA lub w inny sposób udostępniane KWIGA do Przetwarzania;
d. Osoby, których dane dotyczą, otrzymują wszelkie informacje i zawiadomienia dotyczące prywatności wymagane na mocy Obowiązujących Przepisów o Ochronie Danych;
e. wszelkie zgody wymagane dla działań Klienta w zakresie Przetwarzania zostały ważnie uzyskane;
f. instrukcje Klienta dla KWIGA są zgodne z Obowiązującymi Przepisami o Ochronie Danych;
g. Klient przetwarza wyłącznie Dane Osobowe niezbędne do realizacji jego uzasadnionych i zgodnych z prawem celów; oraz
h. dla Danych Usługowych pozostających pod kontrolą Klienta ustalono odpowiednie okresy przechowywania.
Klient nie może korzystać z Usług w celu gromadzenia lub Przetwarzania Szczególnych Kategorii Danych Osobowych w rozumieniu art. 9 RODO, chyba że Klient ustanowił ważną podstawę prawną oraz, gdy jest to wymagane, mający zastosowanie warunek zgodnie z art. 9 RODO dla takiego Przetwarzania.
Jeżeli Klient korzysta z kwestionariuszy, formularzy, pól niestandardowych, przesłanych treści lub innych funkcji Usług w celu gromadzenia lub Przetwarzania takich danych, Klient działa jako Administrator i jest odpowiedzialny za określenie zgodności z prawem, celów i zakresu takiego Przetwarzania, przekazanie Osobom, których dane dotyczą, wszelkich wymaganych informacji, uzyskanie wyraźnej zgody, gdy Przetwarzanie opiera się na zgodzie, oraz spełnienie wszystkich innych mających zastosowanie wymogów Obowiązujących Przepisów o Ochronie Danych.
KWIGA Przetwarza takie Dane Usługowe w imieniu Klienta i zgodnie z udokumentowanymi instrukcjami Klienta oraz niniejszą Umową powierzenia przetwarzania danych.
Klient instruuje KWIGA, aby Przetwarzała Dane Usługowe w zakresie niezbędnym do:
świadczenia Usług wybranych i skonfigurowanych przez Klienta;
hostowania i utrzymywania Danych Usługowych;
zapewniania funkcjonalności CRM, LMS i innych funkcjonalności Platformy;
zapewniania dostępu do kursów i innych produktów;
administrowania funkcjonalnościami wybranymi przez Klienta;
zapewniania wsparcia technicznego;
utrzymywania i zabezpieczania Usług; oraz
innego wykonywania Umowy i udokumentowanych instrukcji Klienta.
Korzystanie z Platformy KWIGA i jej konfiguracja przez Klienta, w tym ustawienia, działania i funkcjonalności aktywowane przez Klienta, a także tworzenie i publikowanie przez Klienta stron internetowych, formularzy, powiadomień i innych materiałów za pośrednictwem Platformy, mogą być uznawane za udokumentowane instrukcje do celów niniejszej DPA.
Klient samodzielnie określa treść swojej Polityki prywatności, informacji dotyczących prywatności, formularzy i innych materiałów udostępnianych Osobom, których dane dotyczą, za pośrednictwem Platformy oraz ponosi odpowiedzialność za ich zgodność z Obowiązującymi Przepisami o Ochronie Danych oraz z faktycznym sposobem przetwarzania danych osobowych Klienta. KWIGA nie jest zobowiązana do weryfikowania ani zatwierdzania treści takich materiałów.
Jeżeli KWIGA zasadnie uzna, że instrukcja Klienta narusza Obowiązujące Przepisy o Ochronie Danych, KWIGA poinformuje o tym Klienta bez zbędnej zwłoki.
KWIGA może zawiesić odpowiednie Przetwarzanie w zakresie racjonalnie niezbędnym do czasu zmiany, wyjaśnienia lub potwierdzenia zgodności z prawem instrukcji.
KWIGA będzie Przetwarzać Dane Usługowe wyłącznie na udokumentowane instrukcje Klienta, chyba że Przetwarzanie jest wymagane przez mające zastosowanie prawo Unii lub państwa członkowskiego.
Jeżeli KWIGA jest prawnie zobowiązana do Przetwarzania Danych Usługowych inaczej niż na instrukcje Klienta, KWIGA poinformuje Klienta o tym wymogu prawnym przed Przetwarzaniem, chyba że prawo zabrania przekazania takiej informacji z ważnych względów interesu publicznego.
KWIGA zapewni, że osoby upoważnione do Przetwarzania Danych Usługowych:
Przetwarzają takie dane wyłącznie w zakresie niezbędnym do wykonywania swoich obowiązków;
podlegają odpowiednim obowiązkom zachowania poufności; oraz
otrzymują dostęp wyłącznie wtedy, gdy jest to racjonalnie niezbędne.
KWIGA wdroży odpowiednie środki techniczne i organizacyjne zaprojektowane w celu ochrony Danych Usługowych zgodnie z Sekcją 7 i Załącznikiem B do niniejszej DPA.
Uwzględniając charakter Przetwarzania oraz informacje dostępne dla KWIGA, KWIGA zapewni Klientowi racjonalną pomoc w wypełnianiu jego obowiązków wynikających z Obowiązujących Przepisów o Ochronie Danych, w tym obowiązków dotyczących:
wniosków Osób, których dane dotyczą;
bezpieczeństwa Przetwarzania;
Naruszeń Ochrony Danych Osobowych;
ocen skutków dla ochrony danych; oraz
konsultacji z Organami Nadzorczymi, w stosownych przypadkach.
KWIGA będzie prowadzić rejestry i przechowywać informacje dotyczące swoich działań związanych z Przetwarzaniem w zakresie wymaganym przez Obowiązujące Przepisy o Ochronie Danych.
Klient, jako Administrator, jest przede wszystkim odpowiedzialny za odpowiadanie na wnioski Osób, których dane dotyczą, odnoszące się do Danych Usługowych Przetwarzanych przez KWIGA w imieniu Klienta.
KWIGA zapewnia Klientowi funkcjonalność i/lub odpowiednie mechanizmy umożliwiające dostęp do Danych Usługowych znajdujących się pod kontrolą Klienta, zarządzanie nimi i ich eksport oraz, jeżeli obsługuje to odpowiednia funkcjonalność, poprawianie lub usuwanie takich Danych Usługowych, z zastrzeżeniem mających zastosowanie wymogów prawnych.
Uwzględniając charakter Przetwarzania, KWIGA zapewni Klientowi racjonalną pomoc, za pomocą odpowiednich środków technicznych i organizacyjnych, w miarę możliwości, w realizacji obowiązków Klienta dotyczących odpowiadania na wnioski Osób, których dane dotyczą.
Jeżeli KWIGA otrzyma wniosek Osoby, której dane dotyczą, odnoszący się przede wszystkim do Danych Usługowych, dla których Klient jest Administratorem, KWIGA może skierować Osobę, której dane dotyczą, do Klienta oraz, w stosownych przypadkach, poinformować Klienta o wniosku.
KWIGA nie odpowie samodzielnie na taki wniosek w imieniu Klienta, chyba że:
zostanie poinstruowana przez Klienta;
jest to dozwolone na mocy Umowy; lub
jest to wymagane przez mające zastosowanie prawo.
Akceptując niniejszą DPA, Klient udziela KWIGA stałej udokumentowanej instrukcji dotyczącej przetwarzania oraz, w stosownych przypadkach, usuwania lub anonimizacji Danych Usługi w odpowiedzi na żądania usunięcia danych zgłaszane przez Osoby, których dane dotyczą.
W przypadku gdy KWIGA otrzyma żądanie Osoby, której dane dotyczą, odnoszące się do Danych Usługi, w odniesieniu do których Klient pełni funkcję Administratora Danych, KWIGA powiadomi Klienta o takim żądaniu i umożliwi mu przekazanie dodatkowych udokumentowanych instrukcji lub instrukcji sprzecznych z instrukcją pierwotną.
Jeżeli Klient nie przekaże udokumentowanych instrukcji sprzecznych z instrukcją pierwotną w ciągu czternastu (14) dni kalendarzowych od daty powiadomienia przez KWIGA, KWIGA jest upoważniona i zobowiązana do przystąpienia do usunięcia lub anonimizacji odpowiednich Danych Usługi zgodnie z niniejszą DPA oraz Obowiązującymi Przepisami o Ochronie Danych. Okres czternastu (14) dni kalendarzowych stanowi termin umowny na przekazanie przez Klienta instrukcji KWIGA i nie ustanawia ani nie zmienia żadnych terminów ustawowych mających zastosowanie do Klienta lub KWIGA na podstawie Obowiązujących Przepisów o Ochronie Danych, w tym RODO, kalifornijskiej ustawy o ochronie prywatności konsumentów (California Consumer Privacy Act), z późniejszymi zmianami, ani teksańskiej ustawy o prywatności i bezpieczeństwie danych (Texas Data Privacy and Security Act).
KWIGA może przystąpić do takiego usunięcia lub anonimizacji, chyba że Klient przekazał udokumentowane instrukcje sprzeczne z instrukcją pierwotną w obowiązującym terminie czternastu (14) dni kalendarzowych. Dane Osobowe nie podlegają usunięciu ani anonimizacji w zakresie, w jakim ich dalsze przechowywanie lub przetwarzanie jest wymagane przez Obowiązujące Przepisy o Ochronie Danych lub niniejszą DPA.
Klient, jako Administrator, jest odpowiedzialny za określenie odpowiednich okresów przechowywania Danych Usługowych Przetwarzanych w celach określonych przez Klienta, z zastrzeżeniem zasad przechowywania i usuwania ustanowionych na mocy niniejszej DPA oraz Umowy.
Do Danych Usługi mogą mieć zastosowanie różne okresy przechowywania w zależności od charakteru i celu odpowiednich danych oraz funkcjonalności, za pośrednictwem której dane te są Przetwarzane.
Po zakończeniu lub wygaśnięciu subskrypcji Klienta Dane Usługi dotyczące danego Klienta mogą być przechowywane przez okres do dziewięćdziesięciu (90) dni od daty zakończenia okresu subskrypcji Klienta w celu umożliwienia ponownej aktywacji, odzyskania danych oraz uporządkowanego zakończenia korzystania z Usług.
Po upływie wskazanego powyżej 90-dniowego okresu odpowiednie konto i/lub szkoła mogą zostać dezaktywowane, ukryte lub w inny sposób stać się niedostępne za pośrednictwem standardowego interfejsu Platformy KWIGA, bez usuwania lub modyfikowania zawartych w nich Danych Usługi.
Odpowiednie Dane Usługi mogą być przechowywane przez dodatkowy okres do dziewięćdziesięciu (90) dni w celu umożliwienia ich przywrócenia, rozwiązania kwestii technicznych lub umownych oraz zapewnienia uporządkowanego zakończenia świadczenia Usług.
Po upływie łącznego okresu stu osiemdziesięciu (180) dni od zakończenia lub wygaśnięcia subskrypcji odpowiednie Dane Usługi zostaną usunięte z aktywnych systemów Platformy KWIGA zgodnie z obowiązującymi procedurami przechowywania i usuwania danych.
Powyższa procedura ma zastosowanie z zastrzeżeniem udokumentowanych instrukcji odpowiedniego Administratora, niniejszego DPA oraz Obowiązujących Przepisów o Ochronie Danych. Nie ma ona zastosowania do Danych Osobowych, które TUTERIA VCC niezależnie i zgodnie z prawem Przetwarza jako niezależny Administrator zgodnie z Sekcją 5.7.
Dane Usługowe są zasadniczo przechowywane przez okres korzystania przez Klienta z odpowiednich Usług KWIGA oraz zgodnie z:
udokumentowanymi instrukcjami Klienta;
niniejszą DPA;
Umową; oraz
Obowiązujące przepisy o ochronie danych.
Żadne postanowienie niniejszej Sekcji nie zwalnia Klienta z odpowiedzialności jako Administratora za ustalenie, czy określone Dane Usług nadal są niezbędne i powinny być nadal przechowywane.
KWIGA zapewnia Klientowi funkcje i/lub odpowiednie mechanizmy umożliwiające dostęp do Danych Usług pozostających pod kontrolą Klienta, zarządzanie nimi i ich eksportowanie oraz, w zakresie obsługiwanym przez odpowiednie funkcje, usuwanie takich Danych Usług, z zastrzeżeniem obowiązujących wymogów prawnych.
W przypadku gdy Klient ręcznie usunie kontakt lub inne Dane Usługi za pośrednictwem Platformy KWIGA, odpowiednie dane zostaną początkowo usunięte w sposób logiczny (soft deletion) i będą możliwe do odzyskania przez okres do trzydziestu (30) dni od daty usunięcia. Po upływie tego okresu odpowiednie Dane Osobowe zostaną trwale usunięte z aktywnych systemów Platformy KWIGA, z zastrzeżeniem obowiązujących wymogów prawnych oraz przechowywania danych, do których przechowywania Podmiot Przetwarzający jest zgodnie z prawem uprawniony lub zobowiązany.
Po zakończeniu lub wygaśnięciu subskrypcji Klienta Dane Usługi mogą być przechowywane zgodnie z okresami i warunkami określonymi w Sekcji 5.2.
W ciągu pierwszych dziewięćdziesięciu (90) dni Klientowi może zostać zapewniona rozsądna możliwość odzyskania lub wyeksportowania Danych Usługi, z uwzględnieniem funkcjonalności odpowiednich Usług.
Po upływie tego okresu odpowiednie konto i/lub szkoła mogą zostać dezaktywowane, ukryte lub stać się niedostępne za pośrednictwem standardowego interfejsu Platformy KWIGA. Dane Usługi mogą być przechowywane przez dodatkowy okres do dziewięćdziesięciu (90) dni zgodnie z Sekcją 5.2.
Po upływie łącznego okresu stu osiemdziesięciu (180) dni od zakończenia lub wygaśnięcia subskrypcji odpowiednie Dane Usługi zostaną usunięte z aktywnych systemów Platformy KWIGA zgodnie z obowiązującymi procedurami usuwania, niniejszym DPA, udokumentowanymi instrukcjami Administratora oraz Obowiązującymi Przepisami o Ochronie Danych.
Jeżeli Dane Usług pozostają tymczasowo w systemach kopii zapasowych, odzyskiwania po awarii lub podobnych systemach po usunięciu z aktywnych systemów, takie dane nadal podlegają odpowiednim środkom bezpieczeństwa i nie będą odtwarzane ani wykorzystywane do zwykłego Przetwarzania, z wyjątkiem sytuacji, gdy jest to konieczne do odzyskiwania po awarii, zapewnienia bezpieczeństwa, zgodności z prawem lub innych uzasadnionych celów technicznych.
Takie kopie zostaną usunięte lub nadpisane zgodnie z obowiązującymi procedurami KWIGA dotyczącymi przechowywania kopii zapasowych.
W przypadku gdy Dane Usługi zostaną ręcznie usunięte przez Klienta, a następnie trwale usunięte z aktywnych systemów, kopie takich danych mogą pozostać w systemach kopii zapasowych utworzonych przed ich trwałym usunięciem przez dodatkowy okres do siedmiu (7) dni. Po upływie tego okresu kopie te zostaną usunięte lub nadpisane zgodnie z obowiązującymi procedurami przechowywania kopii zapasowych.
Niniejsza Sekcja ma zastosowanie do Danych Usług Przetwarzanych przez TUTERIA VCC jako Podmiot Przetwarzający.
Nie wymaga ona od TUTERIA VCC usunięcia Danych Osobowych, które TUTERIA VCC niezależnie i zgodnie z prawem Przetwarza w charakterze Administratora.
Takie dane mogą być przechowywane, gdy jest to konieczne do celów opisanych w dokumencie KWIGA Polityka prywatności oraz zgodnie z Obowiązującymi Przepisami o Ochronie Danych.
Klient udziela ogólnego upoważnienia KWIGA do angażowania Podwykonawców przetwarzania, gdy jest to racjonalnie konieczne do świadczenia, utrzymania, wsparcia, obsługi lub zapewnienia bezpieczeństwa Usług KWIGA.
Przed zezwoleniem Podwykonawcy przetwarzania na Przetwarzanie Danych Usług, KWIGA zapewni, że Podwykonawca przetwarzania podlega umownym obowiązkom w zakresie ochrony danych, które zapewniają odpowiedni poziom ochrony Danych Usług i spełniają wymogi mające zastosowanie do podwykonawców przetwarzania na mocy Obowiązujących Przepisów o Ochronie Danych.
KWIGA pozostaje odpowiedzialna za wykonywanie przez jej Podwykonawców przetwarzania obowiązków w zakresie ochrony danych w zakresie wymaganym przez Obowiązujące Przepisy o Ochronie Danych.
KWIGA udostępni Klientom informacje dotyczące odpowiednich Podwykonawców przetwarzania za pośrednictwem odpowiedniego mechanizmu.
W przypadkach wymaganych przez Obowiązujące Przepisy o Ochronie Danych KWIGA zapewni rozsądne powiadomienie o planowanych istotnych zmianach dotyczących dodania lub zastąpienia Podwykonawców przetwarzania.
Klient może zgłosić uzasadnione zastrzeżenia odnoszące się konkretnie do kwestii ochrony danych wynikających z proponowanego Podwykonawcy przetwarzania.
Strony będą działać w dobrej wierze, aby rozwiązać każde takie uzasadnione zastrzeżenie.
Jeżeli Klient samodzielnie włącza lub łączy integrację strony trzeciej, korzystając z własnego konta, danych uwierzytelniających lub kluczy API, TUTERIA przetwarza i przekazuje Dane Usług tej stronie trzeciej na udokumentowane instrukcje Klienta.
Klient jest odpowiedzialny za ustalenie, czy korzystanie przez niego z takiej usługi strony trzeciej jest zgodne z Obowiązującymi Przepisami o Ochronie Danych, w tym za ustanowienie wszelkich wymaganych ustaleń umownych i zabezpieczeń międzynarodowego transferu danych z tą stroną trzecią.
Uwzględniając stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele Przetwarzania, a także ryzyko o różnym prawdopodobieństwie i wadze dla praw i wolności osób fizycznych, KWIGA wdroży i będzie utrzymywać odpowiednie środki techniczne i organizacyjne zaprojektowane w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku.
W zależności od charakteru i ryzyka związanego z danym Przetwarzaniem takie środki mogą obejmować:
a. mechanizmy kontroli dostępu i autoryzacji;
b. środki zaprojektowane w celu utrzymania odpowiedniego rozdzielenia i autoryzacji między środowiskami i danymi Klientów;
c. środki uwierzytelniania i zarządzania dostępem;
d. rejestrowanie i monitorowanie;
e. środki mające na celu wykrywanie podejrzanej aktywności, nadużyć i nieuprawnionego dostępu;
f. mechanizmy kontroli ruchu i żądań, w tym w stosownych przypadkach kontrola limitów;
g. zarządzanie podatnościami;
h. testowanie bezpieczeństwa;
i. procedury wykrywania incydentów i reagowania na nie;
j. środki tworzenia kopii zapasowych i odzyskiwania danych;
k. mechanizmy kontroli dotyczące dostępu wykonawców, usługodawców i innych upoważnionych osób;
l. procedury przeglądu zdarzeń i incydentów związanych z bezpieczeństwem; oraz
m. okresowy przegląd i testowanie odpowiednich technicznych i organizacyjnych środków kontroli bezpieczeństwa.
Dodatkowe informacje dotyczące kategorii środków technicznych i organizacyjnych wdrożonych przez KWIGA określono w Załączniku B.
KWIGA może od czasu do czasu aktualizować swoje środki techniczne i organizacyjne, aby uwzględnić:
rozwój technologiczny;
zidentyfikowane ryzyka;
zmiany w Usługach;
wyniki przeglądów bezpieczeństwa;
incydenty bezpieczeństwa; oraz
zmiany w obowiązującym prawie.
Takie zmiany nie mogą istotnie obniżać ogólnego poziomu ochrony zapewnianej Danym Usługi.
KWIGA powiadomi Klienta bez zbędnej zwłoki po uzyskaniu wiedzy o Naruszeniu Ochrony Danych Osobowych mającym wpływ na Dane Usługi Przetwarzane przez KWIGA w imieniu Klienta.
W zakresie, w jakim odpowiednie informacje są racjonalnie dostępne dla KWIGA, powiadomienie będzie zawierać:
a. opis charakteru Naruszenia Ochrony Danych Osobowych;
b. kategorie Danych Osobowych, których dotyczy naruszenie;
c. kategorie Osób, Których Dane Dotyczą, których dotyczy naruszenie;
d. przybliżoną liczbę Osób, Których Dane Dotyczą, których dotyczy naruszenie, o ile jest znana;
e. przybliżoną liczbę rekordów Danych Osobowych, których dotyczy naruszenie, o ile jest znana;
f. prawdopodobne konsekwencje Naruszenia Ochrony Danych Osobowych, o ile można je racjonalnie określić;
g. środki podjęte lub proponowane w celu ograniczenia, zbadania i usunięcia skutków Naruszenia Ochrony Danych Osobowych; oraz
h. dane kontaktowe lub inny odpowiedni kanał kontaktu, za pośrednictwem którego można uzyskać dalsze informacje.
Jeżeli wszystkie istotne informacje nie są dostępne w chwili pierwszego powiadomienia, KWIGA może początkowo przekazać dostępne informacje, a następnie uzupełniać je etapami w miarę postępu dochodzenia.
KWIGA podejmie odpowiednie środki, aby:
zbadać incydent;
określić jego charakter i zakres;
ograniczyć incydent;
złagodzić racjonalnie przewidywalne negatywne skutki;
zachować istotne dowody;
usunąć zidentyfikowane podatności, w stosownych przypadkach; oraz
podjąć rozsądne środki mające na celu zmniejszenie ryzyka ponownego wystąpienia.
Uwzględniając charakter Przetwarzania oraz informacje dostępne dla KWIGA, KWIGA zapewni Klientowi rozsądną pomoc w wypełnianiu mających zastosowanie obowiązków dotyczących:
powiadomienia Organu Nadzorczego;
komunikacji z Osobami, których dane dotyczą;
oceny ryzyka dla praw i wolności osób fizycznych; oraz
dokumentowania Naruszenia Ochrony Danych Osobowych.
Klient pozostaje odpowiedzialny, jako Administrator, za ustalenie, czy Naruszenie Ochrony Danych Osobowych dotyczące Danych Usługowych wymaga:
powiadomienia Organu Nadzorczego;
komunikacji z Osobami, których dane dotyczą; lub
innego działania wymaganego na mocy Obowiązujących Przepisów o Ochronie Danych.
Nie ma to wpływu na niezależne obowiązki prawne TUTERIA VCC dotyczące Danych Osobowych, w odniesieniu do których TUTERIA VCC działa jako Administrator.
Powiadomienie o Naruszeniu Ochrony Danych Osobowych lub współpraca w związku z nim nie stanowią same w sobie uznania winy ani odpowiedzialności przez którąkolwiek ze stron.
Jeżeli Dane Usługowe są Przetwarzane w Europejskim Obszarze Gospodarczym („EOG”), takie Przetwarzanie nie stanowi przekazania do państwa trzeciego do celów rozdziału V RODO.
Jeżeli KWIGA lub upoważniony Podprzetwarzający przekazuje Dane Usługowe poza EOG do jurysdykcji, która nie została uznana za zapewniającą odpowiedni poziom ochrony na mocy mającego zastosowanie prawa, KWIGA zapewni wdrożenie odpowiedniego mechanizmu przekazywania, gdy jest to wymagane.
Takie mechanizmy mogą obejmować:
decyzję stwierdzającą odpowiedni stopień ochrony przyjętą przez Komisję Europejską;
standardowe klauzule umowne zatwierdzone przez Komisję Europejską;
wiążące reguły korporacyjne, w stosownych przypadkach; lub
inny zgodny z prawem mechanizm przekazywania uznany na mocy Obowiązujących Przepisów o Ochronie Danych.
Jeżeli jest to wymagane na mocy Obowiązujących Przepisów o Ochronie Danych, KWIGA wdroży środki uzupełniające odpowiednie dla danego przekazania i związanych z nim ryzyk.
Na żądanie Klienta KWIGA udostępni rozsądne informacje dotyczące mających zastosowanie zabezpieczeń międzynarodowego przekazywania danych, gdy jest to wymagane przez Obowiązujące Przepisy o Ochronie Danych.
KWIGA udostępni Klientowi informacje w rozsądnym zakresie niezbędnym do wykazania zgodności z obowiązkami KWIGA jako Podmiotu Przetwarzającego na mocy Obowiązujących Przepisów o Ochronie Danych.
Na uzasadnione pisemne żądanie KWIGA udostępni istotne informacje dotyczące:
Przetwarzania przez nią Danych Usługowych;
mających zastosowanie środków technicznych i organizacyjnych;
istotnych Podprzetwarzających; oraz
innych kwestii rozsądnie wymaganych, aby Klient mógł ocenić zgodność KWIGA z niniejszą Umową Powierzenia Przetwarzania Danych.
Jeżeli informacje udostępnione przez KWIGA nie są w rozsądnym zakresie wystarczające do wykazania zgodności oraz gdy audyt jest wymagany na mocy Obowiązujących Przepisów o Ochronie Danych, KWIGA zezwoli na przeprowadzenie rozsądnych audytów lub inspekcji dotyczących Przetwarzania Danych Usługowych i przyczyni się do ich realizacji.
O ile Organ Nadzorczy lub Obowiązujące Przepisy o Ochronie Danych nie wymagają inaczej, Klient:
przekaże rozsądne uprzednie pisemne zawiadomienie o audycie;
ograniczy audyt do kwestii istotnych dla Przetwarzania na mocy niniejszej Umowy Powierzenia Przetwarzania Danych;
przeprowadzi audyt w normalnych godzinach pracy, o ile będzie to rozsądnie możliwe;
uniknie niepotrzebnego zakłócania działalności KWIGA; oraz
zapewnić, aby audytorzy podlegali odpowiednim obowiązkom zachowania poufności.
Audyt nie uprawnia Klienta ani jego audytora do dostępu do:
Danych Osobowych należących do innego Klienta;
informacji poufnych innego Klienta;
informacji, które mogłyby naruszyć bezpieczeństwo systemów KWIGA;
kodu źródłowego ani innej chronionej własności intelektualnej, z wyjątkiem przypadków, gdy jest to wyraźnie wymagane przez obowiązujące prawo; lub
informacji niezwiązanych z działaniami Klienta w zakresie Przetwarzania.
Strony będą współpracować w dobrej wierze w odniesieniu do uzasadnionych wniosków o audyt składanych przez właściwe Organy Nadzorcze.
Uwzględniając charakter Przetwarzania i informacje dostępne KWIGA, KWIGA zapewni Klientowi rozsądną pomoc w zakresie ocen skutków dla ochrony danych, jeżeli Klient jest zobowiązany do przeprowadzenia takiej oceny na mocy Obowiązujących Przepisów o Ochronie Danych.
Jeżeli jest to wymagane na mocy Obowiązujących Przepisów o Ochronie Danych, KWIGA zapewni rozsądną pomoc w związku z uprzednimi konsultacjami z właściwym Organem Nadzorczym dotyczącymi Przetwarzania realizowanego za pośrednictwem Usług.
Każda ze Stron będzie chronić Dane Osobowe i informacje poufne otrzymane w związku z niniejszą Umową Powierzenia Przetwarzania Danych przed nieuprawnionym ujawnieniem.
KWIGA zapewni, aby wykonawcy, usługodawcy i inne osoby upoważnione do Przetwarzania Danych Usług podlegali odpowiednim obowiązkom zachowania poufności lub obowiązującemu ustawowemu obowiązkowi zachowania poufności.
Klient zapewni, aby dane uwierzytelniające, prawa dostępu i funkcje administracyjne udostępniane za pośrednictwem Platformy KWIGA były używane wyłącznie przez odpowiednio upoważnione osoby.
Każda ze Stron będzie prowadzić rejestry dotyczące swoich działań w zakresie Przetwarzania w zakresie wymaganym przez Obowiązujące Przepisy o Ochronie Danych.
Strony będą w uzasadnionym zakresie współpracować ze sobą, gdy będzie to konieczne do udzielenia odpowiedzi na zgodne z prawem żądania Organów Nadzorczych dotyczące Przetwarzania regulowanego niniejszą Umową Powierzenia Przetwarzania Danych.
Żadne postanowienie niniejszej Umowy Powierzenia Przetwarzania Danych nie wymaga od żadnej ze Stron ujawnienia informacji, jeżeli ich ujawnienie jest zabronione przez obowiązujące prawo.
Każda ze Stron odpowiada za własne przestrzeganie Obowiązujących Przepisów o Ochronie Danych oraz za obowiązki przypisane jej na mocy niniejszej Umowy Powierzenia Przetwarzania Danych.
Odpowiedzialność między Stronami wynikająca z niniejszej Umowy Powierzenia Przetwarzania Danych lub z nią związana podlega ograniczeniom i wyłączeniom odpowiedzialności zawartym w Umowie, w zakresie dozwolonym przez Obowiązujące Przepisy o Ochronie Danych.
Żadne postanowienie niniejszej Umowy Powierzenia Przetwarzania Danych nie wyłącza ani nie ogranicza odpowiedzialności, gdy takie wyłączenie lub ograniczenie jest zabronione przez obowiązujące prawo.
Niniejsza Umowa Powierzenia Przetwarzania Danych wchodzi w życie, gdy Klient zostaje związany Umową, a KWIGA rozpoczyna Przetwarzanie Danych Usług w imieniu Klienta.
Niniejsza Umowa Powierzenia Przetwarzania Danych pozostaje w mocy tak długo, jak KWIGA Przetwarza Dane Usług w imieniu Klienta.
Rozwiązanie lub wygaśnięcie Umowy nie wpływa na postanowienia niniejszej Umowy Powierzenia Przetwarzania Danych, które ze względu na swój charakter mają obowiązywać po jej rozwiązaniu, w tym postanowienia dotyczące poufności, usunięcia lub zwrotu Danych Usług, odpowiedzialności i obowiązującego prawa.
Niniejsza Umowa Powierzenia Przetwarzania Danych stanowi część Umowy między Klientem a TUTERIA VCC regulującej korzystanie z Usług KWIGA.
W przypadku sprzeczności między niniejszą Umową Powierzenia Przetwarzania Danych a innym postanowieniem Umowy dotyczącym Przetwarzania Danych Usług przez TUTERIA VCC jako Podmiot Przetwarzający, niniejsza Umowa Powierzenia Przetwarzania Danych ma pierwszeństwo w odniesieniu do kwestii ochrony danych objętej sprzecznością.
KWIGA Polityka prywatności reguluje działania w zakresie Przetwarzania, w odniesieniu do których TUTERIA VCC działa jako Administrator.
Niniejsza Umowa Powierzenia Przetwarzania Danych reguluje Przetwarzanie Danych Usług prowadzone przez TUTERIA VCC w imieniu Klienta jako Podmiot Przetwarzający.
Niniejsza Umowa Powierzenia Przetwarzania Danych podlega prawu właściwemu dla Umowy między Klientem a TUTERIA VCC, bez uszczerbku dla bezwzględnie obowiązujących przepisów Obowiązujących Przepisów o Ochronie Danych.
Żadne postanowienie niniejszej Umowy Powierzenia Przetwarzania Danych nie ogranicza stosowania RODO ani uprawnień i jurysdykcji właściwego Organu Nadzorczego, jeżeli takie prawo lub jurysdykcja mają zastosowanie.
KWIGA może aktualizować niniejszą Umowę Powierzenia Przetwarzania Danych, gdy jest to uzasadnione koniecznością:
dostosowania się do zmian w Obowiązujących Przepisach o Ochronie Danych;
odzwierciedlać zmiany w Usługach KWIGA;
aktualizować środki techniczne lub organizacyjne;
aktualizować ustalenia dotyczące Przetwarzania; lub
wyjaśniać prawa i obowiązki stron.
Jeżeli zmiana istotnie wpływa na Przetwarzanie Danych Usługowych lub prawa i obowiązki Klienta w zakresie ochrony danych, KWIGA zapewni odpowiednie powiadomienie, gdy jest to wymagane przez obowiązujące prawo lub Umowę.
Pytania dotyczące niniejszej DPA lub Przetwarzania przez KWIGA Danych Usługowych w imieniu Klienta można kierować na adres:
TUTERIA VCC
ul. Vrabcha 17A, piętro 1, lokal 3
1000 Sofia, Bułgaria
E-mail: support@kwiga.com
Niniejszy Załącznik stanowi część Umowy powierzenia przetwarzania danych.
Przetwarzanie Danych Usługowych przez KWIGA w zakresie niezbędnym do świadczenia, utrzymania, wspierania i zabezpieczania Usług KWIGA wybranych i skonfigurowanych przez Klienta.
Przez okres korzystania przez Klienta z odpowiednich Usług KWIGA. Po rozwiązaniu lub wygaśnięciu subskrypcji Klienta Dane Usługowe dotyczące konkretnego Klienta mogą być przechowywane przez okres do dziewięćdziesięciu (90) dni od zakończenia okresu subskrypcji Klienta, aby umożliwić ponowną aktywację, odzyskanie danych i uporządkowane zakończenie świadczenia Usług.
Po upływie tego okresu Dane Osobowe zawarte w Danych Usługowych dotyczących konkretnego Klienta, w tym powiązane dane dotyczące zamówień, zostaną zanonimizowane zgodnie z Sekcją 5 DPA i obowiązującymi w KWIGA procedurami przechowywania danych. Po upływie dodatkowych dziewięćdziesięciu (90) dni od takiej anonimizacji odpowiednie dane zostaną trwale usunięte z aktywnych systemów Platformy KWIGA zgodnie z obowiązującymi procedurami przechowywania i usuwania danych, chyba że dalsze przechowywanie jest wymagane przez obowiązujące prawo lub w inny sposób dozwolone na mocy DPA. W przypadku gdy TUTERIA VCC Przetwarza Dane Osobowe w imieniu Klienta jako Podmiot Przetwarzający, niniejszy proces przechowywania i usuwania danych ma zastosowanie z zastrzeżeniem udokumentowanych instrukcji Klienta, obowiązującej umowy powierzenia przetwarzania danych oraz Obowiązujących Przepisów o Ochronie Danych.
Dane Osobowe Przetwarzane przez TUTERIA VCC w charakterze niezależnego Administratora podlegają okresom przechowywania mającym zastosowanie do tego Przetwarzania.
W zależności od Usług wybranych i skonfigurowanych przez Klienta Przetwarzanie może obejmować:
zbieranie;
rejestrowanie;
organizowanie;
porządkowanie;
przechowywanie;
hosting;
dostosowywanie;
pobieranie;
przeglądanie;
wykorzystywanie;
przekazywanie;
udostępnianie;
administrowanie;
analizę zgodnie z instrukcjami Klienta;
ograniczanie;
eksport;
usuwanie;
anonimizacja; oraz
inne Przetwarzanie niezbędne do świadczenia wybranych Usług.
Przetwarzanie Danych Usługowych w celach określonych przez Klienta, w tym, w zależności od sposobu korzystania przez Klienta z KWIGA:
zarządzanie uczniami i klientami;
funkcjonalność CRM;
funkcjonalność LMS;
udostępnianie i administrowanie kursami oraz programami edukacyjnymi;
administrowanie dostępem do produktów cyfrowych;
testy, quizy i zadania;
śledzenie postępów w kursie;
certyfikaty;
komunikacja z uczniami i klientami;
funkcjonalność e-maili i powiadomień;
automatyzacje;
administrowanie zamówieniami;
funkcjonalność integracji;
obsługa klienta;
raportowanie i analityka wybrane przez Klienta; oraz
inne funkcjonalności włączone lub skonfigurowane przez Klienta.
W zależności od sposobu korzystania przez Klienta z Usług, Osoby, których Dane Dotyczą, mogą obejmować:
uczniów;
osoby uczące się;
klientów;
potencjalnych klientów;
subskrybentów;
uczestników kursów;
pracowników i wykonawców Klienta;
instruktorów;
administratorów;
asystentów;
przedstawicieli Klienta; oraz
inne osoby fizyczne, których Dane Osobowe są przekazywane na Platformę KWIGA lub przetwarzane za jej pośrednictwem przez Klienta lub w jego imieniu.
W zależności od Usług wykorzystywanych przez Klienta, Dane Usługowe mogą obejmować:
Informacje identyfikacyjne i profilowe
imię;
drugie imię;
nazwisko;
zdjęcie profilowe;
identyfikatory konta lub profilu.
Informacje kontaktowe
adres e-mail;
numer telefonu;
inne dane kontaktowe przekazane przez Klienta lub Osobę, której dane dotyczą.
Informacje edukacyjne i dotyczące nauki
kursy i programy;
zapisy;
informacje o dostępie;
postępy w kursie;
ukończenie lekcji;
odpowiedzi na quizy i testy;
wyniki testów;
oceny;
zadania;
komentarze;
certyfikaty;
osiągnięcia;
punkty i statusy.
Informacje CRM i dotyczące zarządzania klientami
tagi;
grupy;
status klienta;
notatki;
historia klienta;
historia komunikacji;
pola niestandardowe skonfigurowane przez Klienta.
Informacje dotyczące zamówień i transakcji
identyfikatory zamówień;
produkty;
kwoty;
waluty;
rabaty;
kupony;
status płatności;
daty transakcji;
informacje o zwrotach;
parametry rat lub subskrypcji;
inne informacje o zamówieniu przetwarzane w imieniu Klienta.
KWIGA nie wymaga od Klientów wprowadzania danych bezpieczeństwa kart płatniczych, takich jak pełne numery kart lub kody CVC, do zwykłych pól Danych Usługi CRM lub LMS.
Komunikacja
wiadomości;
e-maile;
komentarze;
informacje związane ze wsparciem;
inna komunikacja przetwarzana za pośrednictwem funkcjonalności wybranej przez Klienta.
Informacje techniczne
W zakresie Przetwarzania w imieniu Klienta:
adres IP;
informacje o logowaniu/aktywności;
informacje o urządzeniu lub przeglądarce;
identyfikatory techniczne;
znaczniki czasu.
Usługi KWIGA nie wymagają od Klienta Przetwarzania Szczególnych Kategorii Danych Osobowych. Dane Usługi mogą jednak obejmować Szczególne Kategorie Danych Osobowych, jeśli Klient zdecyduje się zbierać lub w inny sposób Przetwarzać takie dane za pośrednictwem kwestionariuszy, formularzy, pól niestandardowych, przesłanych treści, komunikacji lub innych konfigurowalnych funkcji Usług.
Klient określa treść i cele takiego Przetwarzania oraz odpowiada za ustanowienie odpowiedniej podstawy prawnej oraz, w przypadku gdy jest to wymagane, odpowiedniego warunku zgodnie z art. 9 RODO.
Przetwarzanie może odbywać się w sposób ciągły lub okresowy przez cały okres korzystania przez Klienta z odpowiednich Usług, w zależności od wybranej funkcjonalności i instrukcji Klienta.
TUTERIA VCC wdraża środki techniczne i organizacyjne zaprojektowane w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyk związanych z Przetwarzaniem Danych Usługi.
Opisane poniżej środki stanowią kategorie środków bezpieczeństwa i mogą być okresowo dostosowywane lub uzupełniane w oparciu o charakter Przetwarzania, rozwój technologiczny, zidentyfikowane ryzyka oraz zmiany w Usługach KWIGA.
KWIGA wdraża środki zaprojektowane w celu ograniczenia dostępu do Danych Osobowych i funkcjonalności Platformy do upoważnionych użytkowników, upoważnionych osób i systemów.
Takie środki mogą obejmować:
uwierzytelnianie użytkowników;
zarządzanie rolami i uprawnieniami;
kontrole autoryzacji;
ograniczenia dostępu na podstawie odpowiedniego kontekstu użytkownika lub Klienta;
zarządzanie wewnętrznymi prawami dostępu i ich przegląd; oraz
środki zaprojektowane w celu zapobiegania nieuprawnionemu dostępowi między środowiskami Klientów.
KWIGA wdraża kontrole techniczne zaprojektowane w celu zapewnienia, że dostęp do danych Klienta jest odpowiednio ograniczony zgodnie z mającym zastosowanie kontekstem autoryzacji Klienta, konta, szkoły, projektu lub innym.
Kontrole autoryzacji są odpowiednio przeglądane i testowane pod kątem danej funkcjonalności.
KWIGA stosuje mechanizmy rejestrowania i monitorowania odpowiednie dla działania i bezpieczeństwa Usług.
Środki te mogą obejmować:
rejestrowanie zdarzeń aplikacyjnych i systemowych;
monitorowanie zdarzeń bezpieczeństwa;
wykrywanie podejrzanej aktywności;
monitorowanie błędów;
monitorowanie ruchu;
analiza nietypowej lub potencjalnie nadużywającej aktywności; oraz
prowadzenie odpowiednich rejestrów incydentów bezpieczeństwa.
KWIGA wdraża środki mające na celu wykrywanie, ograniczanie i reagowanie na nadużycia, nieuprawniony dostęp oraz zautomatyzowane niewłaściwe wykorzystanie funkcjonalności Platformy.
W zależności od odpowiedniej usługi lub punktu końcowego takie środki mogą obejmować:
kontrole żądań;
kontrole limitów;
ograniczenia dostępu;
zautomatyzowane lub ręczne mechanizmy blokowania;
wykrywanie podejrzanej aktywności; oraz
dodatkowe kontrole weryfikacji lub autoryzacji.
KWIGA utrzymuje procesy służące identyfikowaniu, ocenie i usuwaniu podatności bezpieczeństwa.
Takie środki mogą obejmować:
przeglądy bezpieczeństwa;
testowanie kontroli autoryzacji;
testowanie zautomatyzowane, gdy jest to odpowiednie;
usuwanie podatności;
przegląd ustaleń dotyczących bezpieczeństwa;
testowanie regresji; oraz
weryfikację środków naprawczych.
KWIGA utrzymuje procesy służące wykrywaniu, eskalowaniu, badaniu, powstrzymywaniu i usuwaniu skutków incydentów bezpieczeństwa oraz naruszeń ochrony danych osobowych.
Takie procesy mogą obejmować:
eskalację incydentów;
dochodzenie techniczne;
zachowanie i analizę odpowiednich logów;
środki powstrzymujące;
usuwanie skutków;
ocenę ryzyka;
ocenę potrzeby powiadomienia organów regulacyjnych i Klienta;
przegląd po incydencie; oraz
wdrożenie działań naprawczych.
Osoby upoważnione do dostępu do Danych Usługi podlegają odpowiednim obowiązkom zachowania poufności.
Dostęp do Danych Osobowych jest zapewniany na podstawie wymagań operacyjnych i ograniczany w zakresie, w jakim jest to racjonalnie wykonalne.
KWIGA utrzymuje procesy tworzenia kopii zapasowych i odzyskiwania danych odpowiednie dla danych Usług i infrastruktury.
Dane z kopii zapasowych podlegają odpowiednim mechanizmom kontroli dostępu i zabezpieczeń.
Usunięte Dane Osobowe mogą tymczasowo pozostawać w systemach kopii zapasowych do czasu ich usunięcia lub nadpisania zgodnie z obowiązującymi procedurami przechowywania kopii zapasowych.
KWIGA wdraża środki mające na celu wspieranie dostępności i odporności Usług, odpowiednie do charakteru i ryzyka danego Przetwarzania.
Środki techniczne i organizacyjne mogą być poddawane przeglądowi i aktualizowane na podstawie:
zmian na Platformie;
zidentyfikowanych zagrożeń bezpieczeństwa;
ustaleń dotyczących podatności;
incydentów;
zmian obowiązujących wymogów prawnych; oraz
rozwoju technologicznego.
Aktualizacje nie mogą istotnie obniżać ogólnego poziomu ochrony zapewnianego Danym Usługi.