Umowa powierzenia przetwarzania danych osobowych

1. Role, przedmiot i czas trwania

Administrator powołuje Lizensa jako podmiot przetwarzający, a Lizensa przyjmuje ten obowiązek w odniesieniu do przetwarzania opisanego w ustępie 2.

• Przedmiot: prowadzenie sklepu hurtowego B2B Lizensa, konta klienta oraz jego licencji podrzędnych.
• Czas trwania: przez okres istnienia konta i do zakończenia zwrotu lub usunięcia danych z ustępu 9.
• Rodzaj i cele: realizacja zamówień i licencji, fakturowanie i księgowość, administracja kontem i dostępami, obsługa klienta, zapobieganie oszustwom oraz bezpieczeństwo platformy.

2. Kategorie danych i osób

Przetwarzanie obejmuje:

• Osoby: pracowników, klientów, użytkowników końcowych i dystrybutorów Administratora, których dane Administrator wprowadza do konta lub zamówienia;
• Kategorie danych osobowych: imię i nazwisko, służbowy adres e-mail, numer telefonu, adres rozliczeniowy i dostawy, NIP, dane zamówienia i licencji, metadane płatności, faktury i dokumenty księgowe, dane konta i logowania, korespondencja wsparcia oraz dane o zgodzie i analityce opisane w polityce prywatności.

Na rzecz Administratora nie są przetwarzane szczególne kategorie danych osobowych (art. 9 RODO).

3. Udokumentowane polecenia

Lizensa przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń Administratora, w tym dotyczących przekazywania do państw trzecich, chyba że wymagają tego przepisy prawa UE lub państwa członkowskiego — w takim przypadku Lizensa informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.

Poleceniami są: umowa o założenie konta, formularz zamówienia, konfiguracja wybrana przez Administratora w panelu oraz każda pisemna instrukcja wysłana na adres privacy@lizensa.pl.

4. Poufność

Każda osoba upoważniona przez Lizensa do przetwarzania danych osobowych jest związana obowiązkiem poufności i uzyskuje dostęp wyłącznie do danych niezbędnych do pełnienia swojej roli.

5. Bezpieczeństwo przetwarzania

Lizensa stosuje środki techniczne i organizacyjne wymagane art. 32 RODO, opisane w ustępie 9 polityki prywatności: TLS 1.3 podczas przesyłania, szyfrowanie AES-256 danych w spoczynku, kontrola dostępu z uwierzytelnianiem dwuskładnikowym dla pracowników, rejestrowanie działań uprzywilejowanych oraz regularne kopie zapasowe. Hosting i przetwarzanie CDN odbywają się w Unii Europejskiej.

6. Podprzetwarzający

Administrator udziela Lizensa ogólnej pisemnej zgody na korzystanie z podprzetwarzających; Lizensa prowadzi aktualną listę kategorii odbiorców w ustępie 3 polityki prywatności.

• Lizensa zawiadamia o dodaniu lub zmianie podprzetwarzającego co najmniej 30 dni wcześniej.
• Administrator może w tym terminie zgłosić pisemny sprzeciw; jeżeli nie zostanie on rozwiązany, Administrator może rozwiązać dane konto bez okresu wypowiedzenia.
• Lizensa nakłada umownie na każdego podprzetwarzającego obowiązki ochrony danych nie mniej rygorystyczne niż wynikające z niniejszej Umowy.

7. Przekazywanie międzynarodowe

Lizensa przekazuje dane osobowe poza EOG wyłącznie na podstawie zabezpieczeń wymienionych w ustępie 4 polityki prywatności: decyzji o adekwatności, ram UE-USA Data Privacy Framework, standardowych klauzul umownych Komisji Europejskiej lub dodatkowych środków technicznych. Jeżeli przekazanie opiera się na standardowych klauzulach umownych, są one zawierane z danym podprzetwarzającym.

8. Wsparcie Administratora

Uwzględniając rodzaj przetwarzania, Lizensa wspiera Administratora — w miarę możliwości — poprzez odpowiednie środki techniczne i organizacyjne przy realizacji praw osób (art. 12–22), przeprowadzaniu oceny skutków (art. 35), konsultacji z organem nadzorczym (art. 36) oraz zgłaszaniu i dokumentowaniu naruszenia (art. 33).

Wnioski osób, które Lizensa otrzymuje w imieniu Administratora, są przekazywane mu bez zbędnej zwłoki.

9. Audyt i kontrola

Lizensa udostępnia Administratorowi wszystkie informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty, w tym kontrole, prowadzone przez Administratora lub wskazanego przez niego audytora, z zastrzeżeniem:

• co najmniej 14 dni wcześniejszego pisemnego zawiadomienia;
• najwyżej jeden audyt w roku w tym samym zakresie;
• uzasadnionych ograniczeń poufności i działalności operacyjnej;
• kosztów ponosi Administrator, chyba że audyt wykaże istotne naruszenie ze strony Lizensa.

10. Zwrot i usunięcie danych

Po zakończeniu konta Lizensa zwraca lub usuwa przetworzone na rzecz Administratora dane osobowe w terminie 30 dni, chyba że prawo UE lub państwa członkowskiego nakazuje ich zachowanie. Na wniosek Lizensa usuwa lub anonimizuje dane osoby, której dotyczą dane, zgodnie z art. 17 RODO, z zastrzeżeniem ustawowych obowiązków przechowywania faktur i dokumentów księgowych.

11. Odpowiedzialność

Odpowiedzialność Lizensa na podstawie niniejszej Umowy jest ograniczona do wynagrodzeń zapłaconych przez Administratora w ciągu 12 miesięcy poprzedzających zdarzenie stanowiące podstawę roszczenia. Ograniczenie to nie ma zastosowania, jeżeli prawo je wyklucza, ani do odpowiedzialności za umyślne działanie lub rażące niedbalstwo.

12. Kontakt

Zawiadomienia umowne i sprawy z zakresu ochrony danych dotyczące niniejszej Umowy:

• Podmiot przetwarzający: Digital Soft Distribution Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, PL · privacy@lizensa.pl · support@lizensa.pl
• Organ nadzorczy: Prezes UODO (uodo.gov.pl)

Niniejsza Umowa podlega rozporządzeniu (UE) 2016/679 oraz prawu polskiemu, bez uszczególnienia bezwzględnie obowiązujących przepisów chroniących osoby w państwie ich zamieszkania.