Umowa powierzenia przetwarzania danych

Niniejsza DPA reguluje przetwarzanie przez HansaChat danych osobowych Klienta w celu świadczenia usługi. Przedmiot, charakter, cel, kategorie danych, kategorie osób, których dane dotyczą, oraz czas trwania określa załącznik 1.

Klient określa cele i podstawowe środki przetwarzania treści przestrzeni roboczej. HansaChat przetwarza te dane na zlecenie Klienta. Niniejsza DPA nie obejmuje danych osobowych, które HansaChat przetwarza jako samodzielny administrator na potrzeby rozliczeń, administracji kontami, bezpieczeństwa usługi, przeciwdziałania nadużyciom, administracji wsparciem lub zgodności; to przetwarzanie opisuje Polityka prywatności.

HansaChat przetwarza dane osobowe Klienta wyłącznie na podstawie udokumentowanych instrukcji Klienta, w tym Umowy o świadczenie usług, niniejszej DPA, wykorzystania i konfiguracji usługi przez Klienta oraz kolejnych instrukcji przekazywanych w formie tekstowej. HansaChat może przetwarzać dane, gdy wymaga tego prawo Unii lub państwa członkowskiego, i informuje o tym Klienta wcześniej, chyba że prawo zakazuje takiego powiadomienia z ważnych powodów interesu publicznego.

HansaChat niezwłocznie informuje Klienta, jeżeli w jego ocenie instrukcja narusza RODO lub inne właściwe prawo Unii albo państwa członkowskiego o ochronie danych, i może zawiesić dotkniętą instrukcję do czasu jej potwierdzenia lub zmiany.

HansaChat zapewnia, że każda osoba upoważniona do przetwarzania danych osobowych Klienta jest związana obowiązkiem poufności lub właściwym ustawowym obowiązkiem i otrzymuje dostęp wyłącznie tam, gdzie jest to niezbędne do działania usługi, konserwacji, rozwiązywania problemów, bezpieczeństwa, przeciwdziałania nadużyciom, zgodności z prawem lub wsparcia żądanego przez Klienta.

Tam, gdzie ma zastosowanie sekcja 3 niemieckiej ustawy o ochronie danych w świadczeniu usług cyfrowych telekomunikacji (TDDDG), HansaChat chroni treść i okoliczności komunikacji jako tajemnicę telekomunikacyjną. HansaChat nie zdobywa wiedzy ponad to, co jest niezbędne do świadczenia usługi komunikacyjnej lub ochrony jej systemów technicznych, i wykorzystuje taką wiedzę w innym celu tylko wtedy, gdy ustawa w odniesieniu do telekomunikacji wprost na to pozwala.

Obowiązek poufności trwa nadal po zakończeniu pracy danej osoby i po zakończeniu Umowy o świadczenie usług.

Z uwzględnieniem stanu techniki, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania HansaChat utrzymuje właściwe techniczne i organizacyjne środki ochrony zgodnie z art. 32 RODO. Aktualne środki opisano w załączniku 2 i na stronie Bezpieczeństwa.

HansaChat może aktualizować te środki w miarę zmian technologii i ryzyka, pod warunkiem że ogólny poziom ochrony nie zostanie istotnie obniżony w czasie trwania Umowy o świadczenie usług.

Klient udziela HansaChat ogólnego upoważnienia w formie pisemnej do korzystania z podprocesorów wymienionych w załączniku 3. HansaChat nakłada na każdego podprocesora w istotnych rzeczach takie same obowiązki w zakresie ochrony danych, pozostaje odpowiedzialny za wykonanie przez niego niniejszej DPA i utrzymuje listę w aktualnym stanie.

HansaChat powiadamia z wyprzedzeniem co najmniej 30 dni e-mailem na kontakt kontowy Klienta albo przez widoczne powiadomienie w usłudze przed dodaniem lub zastąpieniem podprocesora przetwarzającego dane osobowe Klienta. Krótszy okres może zostać zastosowany, gdy jest to konieczne dla zaradzenia pilnemu ryzyku dla bezpieczeństwa, ryzyku prawnemu lub ryzyku dla dostępności; HansaChat zapewni wówczas powiadomienie tak szybko, jak to będzie rozsądnie możliwe.

Klient może wnieść sprzeciw w okresie powiadomienia z rozsądnych powodów ochrony danych. Strony działają w dobrej wierze na rzecz komercyjnie rozsądnego rozwiązania. Jeżeli takie nie jest dostępne, Klient może zakończyć dotkniętą usługę przed rozpoczęciem przetwarzania przez nowego podprocesora, bez kar za niewykorzystany, opłacony z góry okres tej dotkniętej usługi.

Podstawowy magazyn przestrzeni roboczej znajduje się w Niemczech. Zaszyfrowane kopie zapasowe Restic są przechowywane we Frankfurcie i Sztokholmie. Dostarczanie sieciowe i opcjonalne funkcje wspomagające mogą angażować inne lokalizacje, jak wskazano w załączniku 3.

HansaChat nie przesyła danych osobowych Klienta do państwa trzeciego ani organizacji międzynarodowej, chyba że zostanie do tego pouczony przez Klienta, jest to niezbędne do świadczenia włączonej funkcji usługi albo wymaga tego prawo, i tylko wtedy, gdy spełnione są wymagania rozdziału V RODO. Właściwe zabezpieczenia mogą obejmować decyzję o adekwatności, standardowe klauzule umowne Komisji Europejskiej oraz uzupełniające techniczne i organizacyjne środki ochrony.

Jeżeli HansaChat otrzyma wniosek od osoby, której dane dotyczą, w sprawie danych osobowych Klienta, niezwłocznie przekazuje wniosek Klientowi i nie odpowiada, chyba że zostanie upoważniony przez Klienta albo wymaga tego prawo.

Z uwzględnieniem charakteru przetwarzania i dostępnych informacji HansaChat udziela Klientowi rozsądnej pomocy w zakresie praw osób, których dane dotyczą, oraz zobowiązań Klienta wynikających z art. 32–36 RODO, w tym bezpieczeństwa, oceny naruszeń, ocen skutków dla ochrony danych i wcześniejszych konsultacji.

HansaChat powiadamia Klienta bez nieuzasadnionej zwłoki po uzyskaniu wiadomości o naruszeniu ochrony danych osobowych dotyczącym danych osobowych Klienta. Powiadomienie zawiera informacje dostępne dla HansaChat, których Klient rozsądnie potrzebuje dla swoich obowiązków wynikających z art. 33 i 34 RODO, a dalsze informacje mogą być przekazywane etapami, w miarę ich udostępniania.

HansaChat podejmuje rozsądne kroki w celu ograniczenia, zbadania, usunięcia przyczyn i złagodzenia skutków naruszenia oraz współpracuje z Klientem. Powiadomienie nie stanowi przyznania się do winy ani do odpowiedzialności.

Według wyboru Klienta HansaChat zwraca lub usuwa dane osobowe Klienta po zakończeniu usług przetwarzania i usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga przechowywania. Klient musi zażądać zwrotu przed datą usunięcia przestrzeni roboczej; jeżeli Klient nie udzieli instrukcji, wybierane jest usunięcie.

Anulowane płatne i próbne przestrzenie robocze pozostają użyteczne przez bieżący okres płatny lub próbny, a następnie przez 90 dni są tylko do odczytu i zostają usunięte. Usunięcie na wniosek właściciela natychmiast czyni przestrzeń roboczą tylko do odczytu i usuwa ją po 30-dniowym okresie karencji, chyba że zostanie anulowane. Przestrzenie demonstracyjne są usuwane po 24 godzinach. Bezpłatne przestrzenie robocze pozostają zapisywalne i są usuwane po 90 dniach bez utrwalonej wiadomości. Bazy danych przestrzeni roboczych i przesłane obiekty są usuwane według właściwego procesu usuwania; dane usuniętych przestrzeni roboczych z czasem znikają z zaszyfrowanych kopii zapasowych zgodnie z harmonogramem w załączniku 2.

HansaChat udostępnia informacje rozsądnie niezbędne do wykazania zgodności z art. 28 RODO i niniejszą DPA. Klient może przeprowadzić audyt objętego przetwarzania samodzielnie albo przez niezależnego, kwalifikowanego audytora związanego obowiązkiem poufności.

Audyty powinny zwykle zaczynać się od dostępnej dokumentacji i zdalnego przeglądu. Inspekcja na miejscu jest dostępna, gdy dokumentacja jest niewystarczająca albo istnieją rozsądne przesłanki nieprawidłowości, z rozsądnym wyprzedzeniem i bez narażania innych klientów, bezpieczeństwa ani tajemnic przedsiębiorstwa. Klient ponosi rozsądne koszty audytu, chyba że audyt wykaże istotne naruszenie ze strony HansaChat. Uprawnienia organów nadzorczych nie są ograniczane.

Niniejsza DPA rozpoczyna obowiązywanie zgodnie z sekcją Status umowy i pozostaje w mocy do czasu usunięcia przez HansaChat wszystkich danych osobowych Klienta. Jeżeli HansaChat nie może wykonywać niniejszej DPA, niezwłocznie informuje o tym Klienta. Klient może zawiesić przetwarzanie albo zakończyć dotkniętą usługę, jeżeli istotne naruszenie nie zostanie usunięte w rozsądnym terminie.

Odpowiedzialność, prawo właściwe i właściwość sądu wynikają z Umowy o świadczenie usług, chyba że bezwzględnie obowiązujące prawo ochrony danych stanowi inaczej. Nic w niniejszej DPA nie ogranicza praw osób, których dane dotyczą, ani uprawnień właściwego organu nadzorczego.