Umowa powierzenia przetwarzania danych osobowych

Załącznik do Regulaminu usługi Gorilla Radar, zawierany wraz z Umową. Spełnia wymogi art. 28 ust. 3 RODO.

§ 1. Strony i przedmiot

1. Administratorem jest Klient w rozumieniu Regulaminu. Podmiotem przetwarzającym jest Gorilla Software Sp. z o.o. z siedzibą w Rzeszowie (KRS 0000890717), zwana dalej Przetwarzającym.
2. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia Usługi Gorilla Radar, na zasadach tej umowy, Regulaminu i RODO.
3. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie; RODO oznacza rozporządzenie (UE) 2016/679.

§ 2. Zakres, charakter i cel przetwarzania

Element	Opis
Cel	wykonanie Audytów, przygotowanie i wysyłka Raportów, obsługa integracji z usługami zewnętrznymi Klienta, obsługa zgłoszeń
Charakter	pobieranie treści Sklepu, utrwalanie zrzutów ekranu, analiza automatyczna i z użyciem modeli AI, przechowywanie, udostępnianie w Panelu, wysyłka e-mail, usuwanie
Kategorie osób	klienci i użytkownicy Sklepu, których dane są widoczne w jego treści (np. autorzy opinii); osoby, których dane zawiera konto testowe; pracownicy i współpracownicy Administratora będący odbiorcami Raportów; osoby wskazane w dokumentach Sklepu (np. regulaminie)
Rodzaje danych	imię, nazwisko lub pseudonim, adres e-mail, numer telefonu, adres, treść opinii i komentarzy, dane logowania do konta testowego, dane zamówienia testowego, identyfikatory i dane z usług zewnętrznych w zakresie udostępnionym przez Administratora
Szczególne kategorie danych	nie są powierzane; Administrator nie wskazuje do Audytu podstron zawierających takie dane
Czas	przez czas trwania Umowy oraz 30 dni po jej rozwiązaniu, zgodnie z § 17 ust. 4 Regulaminu

§ 3. Obowiązki Przetwarzającego

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest konfiguracja Audytu w Panelu, Regulamin oraz polecenia przesłane e-mailem. Jeżeli polecenie narusza w ocenie Przetwarzającego przepisy, Przetwarzający niezwłocznie informuje o tym Administratora.
2. Przetwarzający dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności.
3. Przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności:
   1. szyfrowanie transmisji (TLS) i szyfrowanie danych dostępowych, kont testowych oraz tokenów integracji w spoczynku;
   2. kontrolę dostępu opartą na rolach i uwierzytelnianie dwuskładnikowe dla personelu;
   3. rejestrowanie dostępu do danych i kopie zapasowe z okresową weryfikacją odtworzenia;
   4. minimalizację danych przekazywanych do modeli AI, w tym przez maskowanie danych kontaktowych na zrzutach, gdy nie są potrzebne do analizy;
   5. regularne testy i aktualizacje zabezpieczeń.
4. Przetwarzający pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą, oraz w wypełnianiu obowiązków z art. 32 do 36 RODO.
5. Przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, podając informacje wymagane przez art. 33 ust. 3 RODO w zakresie, w jakim je posiada.
6. Przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w tym do trenowania modeli sztucznej inteligencji, i zapewnia, że dostawcy modeli AI nie wykorzystują ich w tym celu.

§ 4. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania podmiotom wskazanym w tabeli poniżej oraz kolejnym podmiotom, o których Przetwarzający poinformuje z wyprzedzeniem.
2. O zamiarze dodania lub zmiany podmiotu Przetwarzający informuje Administratora e-mailem lub w Panelu co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić uzasadniony sprzeciw; jeżeli Strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym ze zwrotem proporcjonalnej części opłaty.
3. Przetwarzający nakłada na dalszych przetwarzających obowiązki nie mniejsze niż w tej umowie i odpowiada za ich działania jak za własne.

Podmiot	Zakres	Lokalizacja danych	Podstawa transferu poza EOG
OVH Sp. z o.o. (grupa OVHcloud)	infrastruktura Serwisu, przechowywanie Raportów i zrzutów	UE	nie dotyczy
Anthropic (model Claude)	analiza treści i zrzutów ekranu	USA	standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO)
OVH Sp. z o.o. (grupa OVHcloud)	wysyłka Raportów i powiadomień	UE	nie dotyczy

§ 5. Prawa Administratora

1. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie odpowiedzi na kwestionariusz i dokumentacji zabezpieczeń.
2. Administrator może przeprowadzić audyt lub inspekcję, sam albo przez audytora zobowiązanego do poufności, po uprzedzeniu Przetwarzającego co najmniej 14 dni wcześniej, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych lub żąda tego organ nadzorczy. Audyt odbywa się w godzinach pracy i nie może zakłócać działania Serwisu. Koszty audytu ponosi Administrator.

§ 6. Zakończenie przetwarzania i odpowiedzialność

1. Po zakończeniu świadczenia Usługi Przetwarzający, w zależności od decyzji Administratora, umożliwia pobranie danych w terminie z § 17 ust. 4 Regulaminu, a następnie usuwa je wraz z kopiami, chyba że przepisy nakazują dalsze przechowywanie. Kopie zapasowe są nadpisywane w cyklu nie dłuższym niż 30 dni.
2. Administrator oświadcza, że posiada podstawę prawną do przetwarzania danych powierzanych Przetwarzającemu, w tym do udostępnienia konta testowego i danych z usług zewnętrznych.
3. Odpowiedzialność Stron określa art. 82 RODO. W stosunkach między Stronami stosuje się ograniczenia odpowiedzialności z § 12 Regulaminu w zakresie dopuszczalnym przez prawo.
4. Umowa obowiązuje przez czas trwania Umowy i do chwili usunięcia danych. W sprawach nieuregulowanych stosuje się Regulamin i RODO. W razie sprzeczności w zakresie ochrony danych pierwszeństwo ma ta umowa.