Umowa powierzenia przetwarzania danych

Spis treści

1. 1. Zakres, role i definicje
2. 2. Szczegóły Przetwarzania
3. 3. Instrukcje Klienta
4. 4. Poufność osób upoważnionych
5. 5. Środki bezpieczeństwa
6. 6. Podprocesorzy
7. 7. Lokalizacja danych i przekazywanie międzynarodowe
8. 8. Pomoc w obsłudze żądań Osób, Których Dane Dotyczą
9. 9. Powiadomienie o Naruszeniu Ochrony Danych Osobowych
10. 10. Oceny skutków i konsultacje z organami regulacyjnymi
11. 11. Informacje i audyty
12. 12. Zwrot i usunięcie danych
13. 13. Żądania organów publicznych
14. 14. Odpowiedzialność
15. 15. Okres obowiązywania i pierwszeństwo
16. 16. Punkt kontaktowy ds. ochrony danych i rejestr czynności przetwarzania
17. Załącznik 1: Szczegóły Przetwarzania
18. Załącznik 2: Środki techniczne i organizacyjne
19. Załącznik 3: Podprocesorzy

Wersja: 1.2 · Opublikowano: 16 października 2026 r. · Obowiązuje: od zaakceptowania w przypadku nowych Przestrzeni Roboczych; w przypadku Przestrzeni Roboczych, które zaakceptowały wcześniejszą Wersję, od dnia wskazanego przez STAK w powiadomieniu na podstawie punktu 20 Warunków Świadczenia Usług dla Klientów · Tekst rozstrzygający: Angielski (punkt 23.9 Warunków Świadczenia Usług dla Klientów)

Wydawca: STAK Global, LLC, spółka z ograniczoną odpowiedzialnością utworzona w stanie Delaware, Stany Zjednoczone Ameryki (numer rejestrowy 10798493), która jest właścicielem STAK (ستاك) i Usług. Kontakt: [email protected].

1. Zakres, role i definicje

1.1 Niniejsza Umowa Powierzenia Przetwarzania Danych stanowi integralną część Umowy na podstawie punktu 3.1 Warunków Świadczenia Usług dla Klientów STAK („Warunki”). Reguluje ona Przetwarzanie Danych Osobowych Klienta przez STAK. Wyrażenia zdefiniowane w Warunkach mają w niniejszej Umowie Powierzenia Przetwarzania Danych takie samo znaczenie.

1.2 Klient jest Administratorem Danych w odniesieniu do Danych Osobowych Klienta, a STAK jest Podmiotem Przetwarzającym, który przetwarza je w imieniu Klienta i na jego polecenie.

• Administrator Danych i Podmiot Przetwarzający oznaczają ich odpowiedniki na gruncie Obowiązującego Prawa Ochrony Danych, takie jak podmiot kontrolujący i podmiot przetwarzający w Królestwie Arabii Saudyjskiej.
• Jeżeli Klient przetwarza dane jako podmiot przetwarzający w imieniu innego administratora, STAK przetwarza je jako podmiot przetwarzający działający na rzecz Klienta i nie jest Podprocesorem w rozumieniu punktu 1.3. Klient zapewnia, że jego polecenia są zgodne z poleceniami tego administratora.
• STAK przetwarza Dane Konta jako Administrator Danych, zgodnie z opisem w Polityce Prywatności, a niniejsza Umowa Powierzenia Przetwarzania Danych nie ma do nich zastosowania. Ani to odniesienie, ani odniesienie w Załączniku 3 nie tworzy zobowiązań umownych na podstawie punktu 3.2 Warunków.

1.3 Poniższe wyrażenia mają znaczenia podane przy każdym z nich:

• Dane Osobowe Klienta: Dane Osobowe zawarte w Danych Klienta, w tym dane dotyczące Klientów Końcowych, pracowników, dostawców i Użytkowników Klienta, inne niż Dane Konta.
• Wrażliwe Dane Osobowe: dane dotyczące zdrowia i dane kliniczne oraz wszelkie dane, które Obowiązujące Prawo Ochrony Danych klasyfikuje jako wrażliwe.
• Przetwarzanie: każda operacja wykonywana na Danych Osobowych, taka jak zbieranie, rejestrowanie, przechowywanie, pobieranie, wykorzystywanie, ujawnianie, przekazywanie i usuwanie.
• Podprocesor: każda strona, którą STAK angażuje do Przetwarzania Danych Osobowych Klienta w celu świadczenia Usług.
• Osoba, Której Dane Dotyczą: osoba fizyczna, której dotyczą Dane Osobowe.
• Incydent Bezpieczeństwa: każde zdarzenie, które zagraża lub co do którego istnieje podejrzenie, że zagraża poufności, integralności lub dostępności Usług.
• Naruszenie Ochrony Danych Osobowych: każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty lub zmiany Danych Osobowych Klienta albo do nieuprawnionego ujawnienia Danych Osobowych Klienta lub nieuprawnionego dostępu do nich.
• Kopia Zapasowa: każda kopia Danych Klienta wykonana w celu odtworzenia, zgodnie z punktem 12.3 i Załącznikiem 2.
• Środowisko Produkcyjne: systemy i bazy danych, na których działają Usługi i z których korzysta Klient, z wyłączeniem Kopii Zapasowych.
• Obowiązujące Prawo Ochrony Danych: ustawodawstwo o ochronie danych osobowych mające zastosowanie do Przetwarzania, każde w zakresie, w jakim ma zastosowanie, w tym następujące:
  • w Państwie Kuwejt: Ustawa nr 20 z 2014 r. o transakcjach elektronicznych oraz Rozporządzenie w sprawie ochrony prywatności danych, Ramy regulacyjne dotyczące przetwarzania w chmurze i Polityka klasyfikacji danych wydane przez Communication and Information Technology Regulatory Authority, każde w swoim zakresie;
  • ustawa o ochronie danych osobowych Królestwa Arabii Saudyjskiej, wydana dekretem królewskim nr (M/19) z dnia 9/2/1443 AH, z późniejszymi zmianami, jej rozporządzenie wykonawcze oraz rozporządzenie w sprawie przekazywania danych osobowych poza Królestwo;
  • w Zjednoczonych Emiratach Arabskich: Federalny Dekret-Ustawa nr (45) z 2021 r. o ochronie danych osobowych, Ustawa Federalna nr (2) z 2019 r. o wykorzystaniu technologii informacyjno-komunikacyjnych w dziedzinach zdrowia oraz przepisy o ochronie danych Dubai International Financial Centre i Abu Dhabi Global Market w odniesieniu do podmiotów im podlegających;
  • Ustawa nr (30) z 2018 r. wprowadzająca ustawę o ochronie danych osobowych Królestwa Bahrajnu;
  • Ustawa nr (13) z 2016 r. o ochronie prywatności danych osobowych Państwa Katar;
  • ustawa o ochronie danych osobowych wydana dekretem królewskim nr (6/2022) Sułtanatu Omanu;
  • ogólne rozporządzenie Unii Europejskiej o ochronie danych (rozporządzenie (UE) 2016/679), jeżeli ma zastosowanie do Klienta;
  • ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa oraz Data Protection Act 2018; szwajcarska ustawa federalna o ochronie danych; California Consumer Privacy Act w brzmieniu zmienionym oraz pozostałe kompleksowe ustawy stanowe o prywatności w Stanach Zjednoczonych Ameryki; Personal Information Protection and Electronic Documents Act Kanady oraz prawa prowincjonalne; brazylijska Lei Geral de Proteção de Dados (ustawa nr 13.709/2018); indyjska Digital Personal Data Protection Act, 2023; turecka ustawa nr 6698 o ochronie danych osobowych; egipska ustawa nr 151 z 2020 r.; południowoafrykańska Protection of Personal Information Act, 2013; singapurska Personal Data Protection Act 2012; australijska Privacy Act 1988; oraz każde inne prawo o ochronie danych osobowych mające zastosowanie do Przetwarzania.

2. Szczegóły Przetwarzania

Załącznik 1 określa przedmiot, czas trwania, charakter i cel Przetwarzania, kategorie Osób, Których Dane Dotyczą, oraz kategorie Danych Osobowych.

3. Instrukcje Klienta

3.1 STAK przetwarza Dane Osobowe Klienta wyłącznie na podstawie udokumentowanych poleceń Klienta. Polecenia te to:

• Umowa;
• ustawienia Przestrzeni Roboczej;
• czynności wykonywane przez Użytkowników w ramach Usług;
• wszelkie inne pisemne polecenia uzgodnione przez Strony.

3.2 STAK może przetwarzać dane inaczej niż zgodnie z tymi poleceniami, jeżeli wymaga tego Obowiązujące Prawo. Powiadamia o tym Klienta z wyprzedzeniem, chyba że prawo zakazuje takiego powiadomienia.

3.3 STAK powiadamia Klienta, jeżeli uważa, że polecenie narusza Obowiązujące Prawo Ochrony Danych. Może odmówić wykonania tego polecenia do czasu, aż Klient zmieni je w celu usunięcia naruszenia albo potwierdzi je na piśmie wraz z oświadczeniem o jego podstawie prawnej, które STAK w uzasadniony sposób akceptuje.

3.4 Klient odpowiada za zgodność swoich poleceń z prawem oraz za posiadanie podstawy prawnej do zbierania i Przetwarzania Danych Osobowych Klienta. Obejmuje to informowanie Osób, Których Dane Dotyczą, oraz uzyskiwanie ich zgody, jeżeli jest to potrzebne, w tym zgody na przekazanie ich danych zgodnie z punktem 7.

4. Poufność osób upoważnionych

STAK ogranicza dostęp do Danych Osobowych Klienta do pracowników i współpracowników, którzy potrzebują go do swojej pracy, i zobowiązuje ich do zachowania poufności. Pracownicy i współpracownicy STAK uzyskują dostęp do Danych Klienta wyłącznie w następujących przypadkach, a początek każdego takiego dostępu do Środowiska Produkcyjnego jest rejestrowany:

• (a) w celu udzielenia wsparcia, o które prosi Klient;
• (b) w celu obsługi i utrzymania Usług oraz ich odtwarzania z Kopii Zapasowych;
• (c) w celu zbadania Incydentu Bezpieczeństwa lub podejrzewanego naruszenia Polityki Dopuszczalnego Użytkowania;
• (d) gdy wymaga tego prawo.

5. Środki bezpieczeństwa

5.1 STAK stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Osobowych Klienta, uwzględniając charakter i ryzyka Przetwarzania. Obejmują one co najmniej środki określone w Załączniku 2.

5.2 STAK może aktualizować te środki, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.

5.3 Klient odpowiada za środki bezpieczeństwa pozostające pod jego kontrolą, takie jak zarządzanie Użytkownikami i uprawnieniami, włączenie logowania dwuetapowego, zabezpieczenie swoich urządzeń i sprzętu oraz bezpieczne przechowywanie eksportowanych danych.

6. Podprocesorzy

6.1 Klient upoważnia STAK do zaangażowania Podprocesorów wymienionych w Załączniku 3.

6.2 STAK musi zawrzeć pisemną umowę z każdym Podprocesorem. Umowa musi nakładać obowiązki w zakresie ochrony danych zapewniające poziom ochrony odpowiedni do Przetwarzania i zasadniczo równoważny niniejszej Umowie Powierzenia Przetwarzania Danych. STAK pozostaje wobec Klienta odpowiedzialny za wykonanie zobowiązań swoich Podprocesorów.

6.3 STAK powiadamia Klienta o każdym nowym Podprocesorze co najmniej 30 dni przed rozpoczęciem przez niego Przetwarzania Danych Osobowych Klienta, w ramach Usług lub pocztą elektroniczną.

6.4 W okresie powiadomienia Klient może pisemnie sprzeciwić się nowemu Podprocesorowi z uzasadnionych względów ochrony danych. Jeżeli Strony nie mogą uzgodnić rozwiązania, Klient może rozwiązać dotkniętą subskrypcję lub Umowę przed rozpoczęciem Przetwarzania i otrzymać zwrot z góry opłaconych Opłat za pozostały okres.

6.5 Połączeni Dostawcy, których Klient łączy za pośrednictwem własnych kont, nie są Podprocesorami STAK. Należą do nich Dostawcy Usług Płatniczych, Meta w odniesieniu do własnego konta WhatsApp Business Klienta oraz platformy dostaw. Przesyłanie im danych na polecenie Klienta jest przekazaniem dokonywanym na wskazanie Klienta i w jego imieniu.

6.6 Dane są przesyłane do dostawcy Funkcji AI wyłącznie wtedy, gdy Użytkownik zażąda jednej z tych funkcji, gdy Użytkownik prześle dokument do odczytu przez jedną z nich, na przykład paragon, lub gdy automatyzacja skonfigurowana przez Użytkownika wykonuje krok wykorzystujący AI, i przesyłane są wyłącznie dane potrzebne do realizacji tego żądania lub kroku. Dostawca nie może wykorzystywać ich do trenowania swoich modeli. Wrażliwe Dane Osobowe są mu przesyłane wyłącznie wtedy, gdy zawiera je samo żądanie lub krok.

7. Lokalizacja danych i przekazywanie międzynarodowe

7.1 Usługi są hostowane w Środowisku Produkcyjnym Amazon Web Services w regionie Frankfurt, w Republice Federalnej Niemiec, a Dane Osobowe Klienta są tam przechowywane przede wszystkim. Kopie Zapasowe są przechowywane w tym samym regionie, a ich kopie są wykonywane do odrębnego regionu Amazon Web Services w Republice Irlandii.

7.2 Klient przyjmuje do wiadomości poniższe i wyraźnie zezwala na wynikające z tego przekazania:

• (a) hosting odbywa się w Unii Europejskiej, która może znajdować się poza krajem, w którym Klient ma siedzibę lub prowadzi działalność;
• (b) Cloudflare przez cały czas przetwarza ruch sieciowy za pośrednictwem swojej globalnej sieci;
• (c) pozostali Podprocesorzy wymienieni w Załączniku 3 przetwarzają dane w innych krajach, w tym w Stanach Zjednoczonych Ameryki, wyłącznie wtedy, gdy korzysta się z danej usługi;
• (d) Pracownicy STAK mogą uzyskiwać dostęp do danych z Państwa Kuwejt, wyłącznie w przypadkach określonych w punkcie 4.

7.3 W przypadku przekazywania Danych Osobowych Klienta poza kraj, w którym zostały zebrane, STAK stosuje następujące zabezpieczenia:

• (a) umowy, o których mowa w punkcie 6.2, w tym standardowe klauzule umowne zawarte przez STAK z Podprocesorami spoza Unii Europejskiej;
• (b) szyfrowanie podczas transmisji i w spoczynku;
• (c) mechanizmy przekazywania uznane przez Obowiązujące Prawo Ochrony Danych, jeżeli ich wymaga, w tym mechanizmy określone w punkcie 7.6.

7.4 Klient musi uzyskać wszelkie zgody lub zezwolenia, których prawo jego kraju wymaga do przekazania Danych Osobowych Klienta poza ten kraj, czy to od organu regulacyjnego, czy od Osób, Których Dane Dotyczą. STAK na żądanie dostarcza informacji potrzebnych w tym celu.

7.5 STAK może przenieść główny hosting lub Kopie Zapasowe do innego regionu po powiadomieniu Klienta z co najmniej 30-dniowym wyprzedzeniem, a Klient może wnieść sprzeciw na podstawie punktu 6.4, przy czym rozwiązanie na podstawie tego punktu wchodzi w życie przed datą przeniesienia. Tymczasowe uruchomienie Usług z Kopii Zapasowych w Republice Irlandii po utracie głównego regionu hostingu nie jest przeniesieniem w rozumieniu niniejszego punktu, a STAK niezwłocznie powiadamia o nim Klienta.

7.6 Mechanizmy przekazywania wymagane przez prawo: bez uszczerbku dla punktu 7.4:

• (a) Jeżeli ogólne rozporządzenie Unii Europejskiej o ochronie danych ma zastosowanie do Klienta, standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 („Standardowe Klauzule Umowne UE”) są włączone do niniejszej Umowy Powierzenia Przetwarzania Danych przez odniesienie: Moduł Drugi (od administratora do podmiotu przetwarzającego), jeżeli Klient jest administratorem, oraz Moduł Trzeci (od podmiotu przetwarzającego do podmiotu przetwarzającego), jeżeli przetwarza dane na rzecz innego administratora. Klient jest eksporterem danych, a STAK – importerem danych. Zastosowanie ma Klauzula 7 (klauzula dokowania). Na podstawie Klauzuli 9(a) zastosowanie ma Opcja 2 (ogólne pisemne upoważnienie) wraz z okresem powiadomienia określonym w punkcie 6.3. Opcjonalne sformułowanie w Klauzuli 11(a) nie ma zastosowania. Na podstawie Klauzul 17 i 18 zastosowanie mają prawo i sądy Republiki Irlandii. Właściwy organ nadzorczy jest określany zgodnie z Klauzulą 13. Załączniki do nich są uzupełniane Załącznikami 1, 2 i 3. Mają one pierwszeństwo przed Umową w razie sprzeczności między nimi.
• (b) Jeżeli do Klienta ma zastosowanie ustawa o ochronie danych osobowych Królestwa Arabii Saudyjskiej, standardowe klauzule umowne dotyczące przekazywania danych osobowych wydane przez Saudi Data and Artificial Intelligence Authority, Szablon Drugi (od administratora do podmiotu przetwarzającego), są włączone do niniejszej Umowy Powierzenia Przetwarzania Danych przez odniesienie. Klient jest eksporterem danych, a STAK – importerem danych, a załączniki do nich są uzupełniane Załącznikami 1, 2 i 3. STAK przekazuje Klientowi informacje, których Klient potrzebuje do oceny ryzyka przekazania, którą musi przeprowadzić zgodnie z rozporządzeniem w sprawie przekazywania danych osobowych poza Królestwo. Mają one pierwszeństwo przed Umową w razie sprzeczności między nimi.
• (c) Jeżeli do Klienta ma zastosowanie Federalny Dekret-Ustawa nr (45) z 2021 r. Zjednoczonych Emiratów Arabskich, STAK stosuje do przekazanych danych postanowienia, środki i kontrole tej ustawy w zakresie, w jakim mają zastosowanie do podmiotu przetwarzającego.
• (d) Jeżeli do Klienta ma zastosowanie brytyjskie ogólne rozporządzenie o ochronie danych, International Data Transfer Addendum do Standardowych Klauzul Umownych UE wydany przez brytyjskiego Information Commissioner (wersja B1.0, obowiązująca od 21 marca 2022 r., z późniejszymi zmianami) jest włączony przez odniesienie. Tabele od 1 do 3 są uzupełniane danymi Stron zawartymi w Umowie oraz w Załącznikach od 1 do 3. W odniesieniu do Tabeli 4 każda ze Stron może zakończyć Addendum w zakresie, w jakim zezwala na to jego Sekcja 19.
• (e) Jeżeli do Klienta ma zastosowanie szwajcarska federalna ustawa o ochronie danych, Standardowe Klauzule Umowne UE stosuje się z następującymi zmianami: właściwym organem nadzorczym w odniesieniu do przekazań podlegających tej ustawie jest Federalny Pełnomocnik ds. Ochrony Danych i Informacji Szwajcarii; odniesienia do RODO obejmują tę ustawę; a pojęcie „państwo członkowskie” rozumie się w taki sposób, aby osoby, których dane dotyczą, w Szwajcarii mogły dochodzić roszczeń w Szwajcarii.
• (f) Jeżeli inne Obowiązujące Prawo Ochrony Danych wymaga określonego instrumentu przekazania, takiego jak standardowe klauzule umowne krajowego organu ochrony danych Brazylii lub standardowa umowa na podstawie tureckiej ustawy nr 6698, STAK na żądanie Klienta podpisuje lub włącza taki instrument, a jego szczegóły są uzupełniane na podstawie Załączników od 1 do 3.
• (g) Jeżeli ma zastosowanie California Consumer Privacy Act lub podobna ustawa o prywatności stanu Stanów Zjednoczonych, STAK działa jako dostawca usług, wykonawca lub podmiot przetwarzający Klienta. STAK nie sprzedaje ani nie udostępnia Danych Osobowych Klienta. Nie zatrzymuje ich, nie wykorzystuje ani nie ujawnia w jakimkolwiek celu innym niż świadczenie Usług na podstawie Umowy ani poza bezpośrednią relacją biznesową z Klientem. Nie łączy ich z informacjami osobowymi z innych źródeł, z wyjątkiem przypadków dozwolonych przez te przepisy. Przestrzega tych przepisów i zapewnia taki sam poziom ochrony prywatności, jakiego one wymagają. Informuje Klienta, jeżeli nie jest w stanie dłużej wypełniać tych zobowiązań. Klient może podjąć rozsądne kroki w celu zaprzestania i naprawienia skutków jakiegokolwiek nieuprawnionego wykorzystania. STAK oświadcza, że rozumie te ograniczenia.

7.7 Dane, które muszą pozostać w określonym kraju: Klient nie może przechowywać w Usługach danych, które zgodnie z Obowiązującym Prawem muszą być przechowywane lub przetwarzane w określonym kraju, chyba że Usługi wskażą, zgodnie z punktem 9.5 Warunków, że hosting w tym kraju jest dostępny dla danej Aplikacji. Wynika to z punktu 13.4 Warunków i punktu 5.4 Polityki Dopuszczalnego Użytkowania.

8. Pomoc w obsłudze żądań Osób, Których Dane Dotyczą

8.1 Usługi dają Klientowi narzędzia do przeglądania, eksportowania i poprawiania Danych Osobowych jego Klientów Końcowych, narzędzie do ich usuwania poprzez zastąpienie ich tożsamości pseudonimem przy zachowaniu zapisów, które prawo nakazuje przechowywać, oraz narzędzia do przeglądania i poprawiania danych jego pracowników. Klient korzysta z tych narzędzi do odpowiadania na żądania Osób, Których Dane Dotyczą, a STAK pomaga na podstawie punktu 8.3 we wszystkim, czego one nie obejmują, w tym w eksporcie i usuwaniu danych pracowników.

8.2 Jeżeli STAK otrzyma bezpośrednio od Osoby, Której Dane Dotyczą, żądanie dotyczące Danych Osobowych Klienta, niezwłocznie przekazuje je Klientowi i odpowiada wyłącznie na polecenie Klienta.

8.3 STAK udziela Klientowi rozsądnej pomocy we wszystkim, czego nie obejmują dostępne narzędzia.

9. Powiadomienie o Naruszeniu Ochrony Danych Osobowych

9.1 STAK powiadamia Klienta bez zbędnej zwłoki po powzięciu wiadomości o jakimkolwiek Naruszeniu Ochrony Danych Osobowych dotyczącym Danych Osobowych Klienta. Czyni to w miarę możliwości w ciągu 24 godzin od powzięcia o nim wiadomości, a w każdym przypadku w ciągu 48 godzin.

9.2 Powiadomienie zawiera, w zakresie, w jakim informacje są dostępne:

• (a) charakter naruszenia;
• (b) kategorie danych i Osób, Których Dane Dotyczą, oraz ich przybliżona liczba;
• (c) prawdopodobne skutki;
• (d) środki podjęte i proponowane w celu zaradzenia naruszeniu;
• (e) punkt kontaktowy w STAK.

STAK przekazuje dalsze informacje, gdy tylko staną się dostępne.

9.3 STAK niezwłocznie podejmuje rozsądne środki w celu ograniczenia naruszenia i jego skutków. Współpracuje z Klientem przy powiadamianiu organów regulacyjnych i Osób, Których Dane Dotyczą, jeżeli Klient jest do tego zobowiązany, z uwzględnieniem terminów, które prawo wyznacza Klientowi. Jeżeli Obowiązujące Prawo wymaga, aby STAK sam powiadomił organ regulacyjny o naruszeniu, STAK czyni to w wymaganym terminie i informuje o tym Klienta.

9.4 Powiadomienie przez STAK o naruszeniu lub jego współpraca w jego rozwiązaniu nie stanowią przyznania się do winy ani odpowiedzialności.

10. Oceny skutków i konsultacje z organami regulacyjnymi

Na żądanie Klienta STAK przekazuje rozsądne informacje potrzebne do przeprowadzenia oceny skutków dla ochrony danych lub do konsultacji z organem regulacyjnym, w zakresie, w jakim dotyczy to Usług.

11. Informacje i audyty

11.1 Na żądanie Klienta STAK przekazuje informacje rozsądnie potrzebne do wykazania zgodności z niniejszą Umową Powierzenia Przetwarzania Danych. Obejmuje to dokumentację bezpieczeństwa i odpowiedzi na jeden kwestionariusz bezpieczeństwa rocznie.

11.2 Klient może, na własny koszt, przeprowadzić audyt lub zlecić jego przeprowadzenie niezależnemu audytorowi związanemu obowiązkiem poufności, w następujących przypadkach:

• (a) gdy wymaga tego organ regulacyjny;
• (b) po Naruszeniu Ochrony Danych Osobowych dotyczącym jej danych;
• (c) gdy informacje przekazane zgodnie z punktem 11.1 są niewystarczające.

Audyt podlega następującym warunkom:

• Klient powiadamia STAK o audycie z co najmniej 30-dniowym wyprzedzeniem.
• Odbywa się w godzinach pracy w Dniach Roboczych.
• Audyt na podstawie lit. (c) odbywa się nie częściej niż raz w roku.
• Żaden audyt nie obejmuje obiektów Podprocesorów. Zamiast tego wystarczają ich certyfikaty i niezależne raporty.
• Żaden audyt nie obejmuje dostępu do danych innych klientów ani niczego, co wpływa na ich bezpieczeństwo.

12. Zwrot i usunięcie danych

12.1 Klient może eksportować Dane Osobowe Klienta w dowolnym momencie oraz przez 30 dni po zakończeniu Umowy, zgodnie z punktem 19.5 Warunków.

12.2 Po upływie okresu eksportu STAK usuwa Dane Osobowe Klienta ze Środowiska Produkcyjnego w ciągu 30 dni, chyba że Obowiązujące Prawo wymaga ich zachowania, oraz z zastrzeżeniem wstrzymania usunięcia, o którym mowa w punkcie 19.5 Warunków, w okresie, gdy STAK został powiadomiony o sporze sądowym, postępowaniu wyjaśniającym lub żądaniu właściwego organu.

12.3 Kopie Zapasowe są przechowywane przez następujące okresy przechowywania:

• (a) odtwarzanie do dowolnego punktu w czasie oraz codzienne Kopie Zapasowe: 35 dni od daty wykonania każdej Kopii Zapasowej;
• (b) nocne logiczne Kopie Zapasowe bazy danych (zrzuty bazy danych): 35 dni;
• (c) miesięczne Kopie Zapasowe: 12 miesięcy od daty wykonania każdej Kopii Zapasowej;
• (d) wcześniejsze wersje przesłanych plików: 90 dni od daty ich zastąpienia lub usunięcia.

Zasady mające zastosowanie do tych Kopii Zapasowych:

• Codzienne i miesięczne Kopie Zapasowe oraz ich kopie są przechowywane w skarbcach kopii zapasowych, których polityka uniemożliwia komukolwiek, w tym własnym pracownikom STAK, usunięcie Kopii Zapasowej przed upływem jej okresu przechowywania lub zmianę tego okresu, a których blokada w trybie zgodności dostawcy hostingu uniemożliwia usunięcie jakiejkolwiek Kopii Zapasowej przez co najmniej pierwsze 35 dni.
• Nocne logiczne Kopie Zapasowe są chronione przed zmianą i usunięciem do czasu upływu okresu ich przechowywania.
• STAK nie usuwa żadnej Kopii Zapasowej przed upływem okresu jej przechowywania, nawet na żądanie Klienta.
• Wszystkie Kopie Zapasowe są wyłączone z użytku i są wykorzystywane wyłącznie do odtwarzania technicznego, z zastrzeżeniem punktu 12.4, lub gdy wymaga tego prawo.
• Wszystkie Kopie Zapasowe zawierające usunięte dane wygasają z upływem tych okresów, to jest najpóźniej w ciągu 12 miesięcy, a usunięte dane są wówczas trwale niszczone.
• Na żądanie STAK informuje Klienta o dacie, w której wygasa ostatnia Kopia Zapasowa zawierająca usunięte dane, aby Klient mógł poinformować Osobę, Której Dane Dotyczą.

12.4 Jeżeli STAK przywraca Kopię Zapasową w tych okresach, to przed udostępnieniem danych ponownie stosuje usunięcia dokonane na podstawie punktu 8.1 oraz usunięcia dokonane na podstawie punktu 12.2 po dacie sporządzenia tej Kopii Zapasowej, korzystając z zapisów, które prowadzi w odniesieniu do tych operacji.

13. Żądania organów publicznych

Jeżeli STAK otrzyma od organu rządowego lub sądowego wiążące żądanie ujawnienia Danych Osobowych Klienta, powiadamia o tym Klienta, chyba że prawo zakazuje takiego powiadomienia. STAK ogranicza ujawnienie do minimum wymaganego przez żądanie. Kwestionuje żądania, które w uzasadniony sposób uznaje za niezgodne z prawem, za pomocą dostępnych środków prawnych.

14. Odpowiedzialność

Odpowiedzialność każdej Strony na podstawie niniejszej Umowy Powierzenia Przetwarzania Danych, w tym jej odpowiedzialność wobec drugiej Strony na podstawie standardowych klauzul umownych, o których mowa w punkcie 7.6, podlega postanowieniom o ograniczeniu odpowiedzialności zawartym w punkcie 16 Warunków, w zakresie, w jakim te punkty na to zezwalają, i bez uszczerbku dla przysługujących Osobom, Których Dane Dotyczą, praw na ich podstawie.

15. Okres obowiązywania i pierwszeństwo

15.1 Niniejsza Umowa Powierzenia Przetwarzania Danych obowiązuje tak długo, jak STAK przetwarza Dane Osobowe Klienta.

15.2 W razie sprzeczności niniejszej Umowy Powierzenia Przetwarzania Danych z Warunkami ma ona pierwszeństwo w sprawach dotyczących Danych Osobowych Klienta.

15.3 Jeżeli Obowiązujące Prawo Ochrony Danych nakłada obowiązek bezwzględnie obowiązujący, surowszy niż niniejsza Umowa Powierzenia Przetwarzania Danych, obowiązek ten ma zastosowanie w swoim zakresie.

16. Punkt kontaktowy ds. ochrony danych i rejestr czynności przetwarzania

STAK wyznaczył punkt kontaktowy ds. ochrony danych, z którym można się skontaktować pocztą elektroniczną pod adresem [email protected]. STAK prowadzi rejestr czynności przetwarzania, które wykonuje w imieniu klientów, i udostępnia go właściwemu organowi regulacyjnemu, jeżeli wymaga tego prawo.

Załącznik 1: Szczegóły Przetwarzania

• Przedmiot: świadczenie Usług Klientowi zgodnie z Warunkami.
• Czas trwania: okres obowiązywania Umowy, okres eksportu i usuwania po jej zakończeniu zgodnie z punktem 12, okresy przechowywania Kopii Zapasowych określone w punkcie 12.3 oraz okresy przechowywania przez Podprocesorów określone w Załączniku 3.
• Charakter i cel:
  • przechowywanie i hosting Danych Klienta;
  • przetwarzanie sprzedaży, zamówień, rezerwacji i faktur;
  • zarządzanie magazynem, księgowością, kadrami i płacami;
  • wysyłanie wiadomości zleconych przez Klienta za pośrednictwem jego własnych kont u Połączonych Dostawców lub za pośrednictwem dostawców wiadomości, z których korzysta STAK, gdy tylko zostaną wymienieni w Załączniku 3;
  • świadczenie Funkcji AI, gdy są używane;
  • Kopie Zapasowe, bezpieczeństwo i Wsparcie.
• Kategorie Osób, Których Dane Dotyczą:
  • Klienci Końcowi Klienta, goście i pacjenci;
  • jego pracownicy i kandydaci do pracy;
  • Użytkownicy;
  • jego dostawcy i ich osoby kontaktowe;
  • kierowcy i kurierzy.
• Kategorie Danych Osobowych:
  • dane identyfikacyjne i kontaktowe, takie jak imię i nazwisko, telefon, adres e-mail, adres i miejsce dostawy;
  • zapisy transakcji, zamówień, rezerwacji i faktur;
  • odniesienia powiązane z płatnościami, bez pełnych numerów kart;
  • dane programów lojalnościowych, preferencje i zgody;
  • dane o pracownikach Klienta, takie jak numer Civil ID, dane dotyczące pobytu, wynagrodzenie, międzynarodowy numer rachunku bankowego (IBAN), obecność i urlopy;
  • zdjęcia i dokumenty przesyłane przez Klienta;
  • dzienniki wiadomości i ślad audytowy.
• Wrażliwe Dane Osobowe: dane dotyczące zdrowia i dane kliniczne, gdy używane są Aplikacje dla klinik, z zastrzeżeniem punktu 7.7 oraz punktu 13.4 Warunków, zgodnie z którym funkcji dokumentacji pacjentów nie wolno wykorzystywać w odniesieniu do pacjentów korzystających ze świadczeń zdrowotnych w Państwie Kuwejt lub w Zjednoczonych Emiratach Arabskich; oraz dane dotyczące zdrowia w dokumentacji kadrowej, takie jak zwolnienia lekarskie. Dokumentacja kliniczna i dokumentacja kadrowa są szyfrowane osobnymi kluczami, a dane te są widoczne wyłącznie dla Użytkowników, którzy posiadają role upoważnione do ich wglądu. Kody diagnoz i procedur w roszczeniach ubezpieczeniowych i uprzednich zgodach ubezpieczyciela oraz zdjęcia kart ubezpieczeniowych są chronione szyfrowaniem baz danych i magazynu opisanym w Załączniku 2.

Załącznik 2: Środki techniczne i organizacyjne

1. Szyfrowanie:
   • Dane w transmisji są szyfrowane protokołem TLS w wersji 1.2 lub nowszej, a tożsamość serwera bazy danych jest weryfikowana przy każdym połączeniu.
   • Dane w spoczynku w bazach danych, na dyskach, w plikach, w Kopiach Zapasowych i w magazynie sekretów są szyfrowane algorytmem AES-256 przy użyciu kluczy zarządzanych za pośrednictwem AWS Key Management Service (AWS KMS) lub przez dostawcę hostingu.
   • Dokumentacja kadrowa i dokumentacja kliniczna są dodatkowo szyfrowane w ramach aplikacji osobnymi kluczami, a dane połączeniowe Połączonych Dostawców są przechowywane w osobnym magazynie sekretów, szyfrowanym osobnym kluczem.
2. Oddzielenie danych każdego klienta: każdy rekord Danych Klienta zawiera identyfikator Przedsiębiorstwa, do którego należy. Polityki bezpieczeństwa na poziomie wierszy w bazie danych mają zastosowanie do roli aplikacji, a rola aplikacji nie ma uprawnień do ich obchodzenia. Ograniczenia oparte na kluczach złożonych uniemożliwiają powiązanie rekordów jednego Przedsiębiorstwa z rekordami innego.
3. Kontrola dostępu:
   • Dostęp jest przyznawany zgodnie z zasadą najmniejszych uprawnień.
   • Dostęp do Środowiska Produkcyjnego jest ograniczony do wskazanych imiennie pracowników STAK, wymaga uwierzytelniania wieloskładnikowego, a początek każdego dostępu jest rejestrowany.
   • Dostęp administracyjny do serwerów odbywa się wyłącznie za pośrednictwem AWS Systems Manager, bez bezpośredniego logowania (SSH).
4. Bezpieczeństwo logowania Użytkowników:
   • Dla Użytkowników Usługi oferują klucze dostępu, aplikacje uwierzytelniające i kody weryfikacyjne wysyłane na zweryfikowany telefon.
   • Dla Klienta oferują one konfigurowalne role i uprawnienia, dostęp ograniczony według Oddziału oraz, w Planach, które je obejmują, reguły bezczynności sesji i alerty dla Właścicieli o logowaniach z nowych urządzeń.
5. Ślad audytowy: prowadzony jest ślad audytowy zmian, którego żaden Użytkownik nie może zmienić ani usunąć. Rejestruje on wykonawcę czynności, czas, źródło i adres IP. Gdy Klient usuwa Dane Osobowe Klienta Końcowego na podstawie punktu 8.1, wpisy tracą dane identyfikujące tę osobę, ale zachowują informację o tym, co zostało zrobione, przez kogo i kiedy. Ślad audytowy jest usuwany wraz z Danymi Klienta zgodnie z punktem 12. Zapisy księgowe są połączone w łańcuch, który ujawnia każdą manipulację.
6. Kopie Zapasowe i odtwarzanie:
   • zautomatyzowane, ciągłe Kopie Zapasowe umożliwiają odtworzenie do dowolnego punktu w czasie w ciągu 35 dni;
   • codzienne Kopie Zapasowe są przechowywane przez 35 dni, a miesięczne Kopie Zapasowe przez 12 miesięcy, i są kopiowane do odrębnego regionu geograficznego w Republice Irlandii. Polityka skarbców kopii zapasowych uniemożliwia ich usunięcie przed upływem okresu przechowywania oraz zmianę tego okresu, a blokada w trybie zgodności uniemożliwia usunięcie jakiejkolwiek Kopii Zapasowej przez co najmniej pierwsze 35 dni;
   • co noc wykonywana jest logiczna Kopia Zapasowa bazy danych, przechowywana przez 35 dni w magazynie chronionym przed zmianą i usunięciem;
   • odtwarzanie bazy danych z Kopii Zapasowych jest testowane co miesiąc.
7. Dane płatnicze: Usługi zaprojektowano tak, aby STAK nie przechowywał pełnych numerów kart. Płatności są dokonywane na stronach hostowanych przez Dostawców Usług Płatniczych lub na ich certyfikowanych terminalach akceptujących karty i w ich aplikacjach. Ekrany Usług nie zawierają pól do wprowadzania danych kart, a Usługi umożliwiają Klientowi przeskanowanie pól tekstowych pod kątem numerów kart wprowadzonych przez pomyłkę, aby można je było usunąć.
8. Sieć i infrastruktura: bazy danych działają w sieciach prywatnych, niedostępnych publicznie, za zaporami sieciowymi. Zaporę aplikacji internetowej i ochronę przed atakami typu odmowa usługi zapewnia Cloudflare.
9. Zarządzanie podatnościami i bezpieczne tworzenie oprogramowania: kod jest poddawany przeglądowi, a testy automatyczne są uruchamiane przed każdym wydaniem. Biblioteki oprogramowania są sprawdzane, a aktualizacje bezpieczeństwa są stosowane bez zbędnej zwłoki.
10. Monitorowanie i reagowanie na incydenty:
    • infrastruktura chmurowa jest monitorowana automatycznie przez całą dobę, z natychmiastowymi alertami;
    • każda czynność administracyjna w infrastrukturze chmurowej jest rejestrowana, a zagrożenia i nadmiarowe uprawnienia są wykrywane automatycznie za pomocą dedykowanych usług Amazon (AWS CloudTrail, GuardDuty i IAM Access Analyzer);
    • stosuje się udokumentowane procedury reagowania na Incydenty Bezpieczeństwa oraz powiadamiania zgodnie z punktem 9.
11. Ciągłość działania: stosuje się plany ciągłości działania i odtwarzania, zgodnie z celami odtwarzania określonymi w Umowie o Poziomie Usług.
12. Personel: Pracownicy i współpracownicy STAK są zobowiązani do zachowania poufności i przechodzą szkolenia z zakresu świadomości bezpieczeństwa.
13. Bezpieczne usuwanie: dane są usuwane zgodnie z punktem 12, a dostawca hostingu niszczy nośniki zgodnie ze swoimi standardami.

Załącznik 3: Podprocesorzy

Dostawcy używani wyłącznie po włączeniu. STAK ma skonfigurowanych następujących dostawców, ale nie wykorzystuje ich obecnie do przetwarzania Danych Osobowych Klienta. Zaczyna korzystać z któregokolwiek z nich dopiero po wysłaniu powiadomienia zgodnie z punktem 6.3, z co najmniej 30-dniowym wyprzedzeniem, a powiadomienie wskazuje, gdzie dostawca przetwarza dane i jak długo je przechowuje.

Gdy STAK uruchomi własny numer WhatsApp, Meta wysyła z niego kody logowania do Użytkowników oraz kody weryfikacyjne do Klientów Końcowych, którzy weryfikują swoje numery telefonów na Stronach Publicznych. W ten sposób przetwarza dane, które STAK przetwarza jako Administrator Danych na podstawie Polityki Prywatności, a nie Dane Osobowe Klienta.

Poza wymienionymi powyżej dostawcami STAK nie korzysta z dostawców wiadomości tekstowych, powiadomień push, portfeli cyfrowych ani wyszukiwania, weryfikacji i mapowania adresów w celu przetwarzania Danych Osobowych Klienta.