Umowa powierzenia przetwarzania danych (DPA)

Preambuła

Niniejsza umowa powierzenia przetwarzania danych osobowych („DPA”) stanowi integralny załącznik do Regulaminu Serwisu CommentTap i zostaje zawarta pomiędzy Użytkownikiem Serwisu, który za pomocą Serwisu przetwarza dane osobowe Kontaktów/Leadów jako administrator albo jako procesor działający w imieniu właściwego administratora (np. agencja prowadząca kampanie klienta) — w niniejszej umowie zwanym „Administratorem” jako stroną wydającą polecenia — a Podmiotem przetwarzającym: Michał Kołnierzak prowadzący działalność gospodarczą pod firmą „KOLM MICHAŁ KOŁNIERZAK”, ul. Milenijna 43/2, 03-130 Warszawa, NIP 5361929091, REGON 367735680 („Procesor”, „Operator”).

Umowa zostaje zawarta z chwilą akceptacji Regulaminu i rozpoczęcia korzystania z Serwisu w sposób prowadzący do przetwarzania danych Kontaktów. Realizuje wymogi art. 28 RODO.

Użytkownik może działać jako administrator albo jako podmiot przetwarzający upoważniony przez właściwego administratora do dalszego powierzenia (np. agencja prowadząca kampanie marki). Administrator danych jest wskazywany dla każdego podłączonego profilu Instagram (domyślnie dane workspace'u), a kampanie, strony kampanii i klauzule informacyjne używają administratora swojego profilu; agencja wskazuje właściwego klienta dla każdego prowadzonego profilu. W drugim przypadku Użytkownik zapewnia posiadanie takiego upoważnienia, przekazuje zgodne z nim polecenia i na uzasadnione żądanie udostępnia informacje potrzebne do wykonania obowiązków z art. 28 RODO.

§1. Powierzenie i zakres

• Administrator powierza Procesorowi przetwarzanie danych w zakresie i w celu niezbędnym do świadczenia Usług określonych w Regulaminie.
• Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora (którym jest korzystanie z funkcji Serwisu oraz Regulamin), chyba że obowiązek nakłada prawo UE lub państwa członkowskiego.
• Jeżeli przetwarzanie inne niż polecone wynika z prawa UE lub państwa członkowskiego, przed jego rozpoczęciem Procesor informuje o tym obowiązku Administratora, chyba że prawo zakazuje udzielenia takiej informacji z uwagi na ważny interes publiczny.
• Eksport danych do zewnętrznego systemu wskazanego przez Administratora (webhook, arkusz, integracja) Procesor wykonuje na jego udokumentowane polecenie; Administrator ustala podstawę przekazania i relację z odbiorcą. Samo techniczne wykonanie eksportu nie czyni odbiorcy podprocesorem Procesora.

§2. Charakter, cel, czas, rodzaj danych i kategorie osób

• Cel: świadczenie funkcji SaaS do prowadzenia kampanii komunikacji w mediach społecznościowych (odpowiedzi na komentarze, DM, wyzwalacze słów kluczowych, zbieranie i zarządzanie leadami, analityka).
• Charakter: operacje na danych w systemach informatycznych Procesora i jego podprocesorów (przechowywanie, utrwalanie, porządkowanie, przesyłanie do Platform, usuwanie).
• Czas: od podłączenia konta Platformy do Serwisu — od tej chwili Serwis odbiera komentarze i wiadomości kierowane do tego konta, także zanim zostanie uruchomiona kampania — przez okres obowiązywania umowy o świadczenie Usług, z zastrzeżeniem §7.
• Usuwanie nieaktywnych Kontaktów: Kontakt bez żadnej interakcji przez 24 miesiące Procesor usuwa automatycznie wraz z rozmowami; akceptując niniejszą umowę, Administrator wydaje to udokumentowane polecenie. Rejestr rezygnacji (opt-out) zostaje w postaci jednokierunkowego skrótu, aby rezygnacja była nadal respektowana. Wcześniejszy eksport jest możliwy w każdej chwili.
• Rodzaj danych: identyfikatory platformowe (ID użytkownika u dostawcy, username, nazwa wyświetlana), adres e-mail, treść komentarzy, odpowiedzi na relacje i wiadomości, tagi, notatki, pola niestandardowe (lead fields), status leada, status i treść rezygnacji (opt-out), odpowiedzi na pytanie o zgodę marketingową wraz z jej treścią, zgłoszenia do konkursów, znaczniki czasu, historia dostarczeń i kliknięć, a w zakresie włączonych funkcji także identyfikatory techniczne i dane zdarzeń (linki śledzone, pomiar konwersji) oraz treści przekazywane do funkcji AI. Serwis nie wymaga i nie przewiduje wprowadzania danych szczególnych kategorii (art. 9 RODO).
• Kategorie osób: osoby komentujące i korespondujące z profilami Administratora na Platformach, odwiedzający strony kampanii i — gdy Administrator włączy pomiar — strony objęte pomiarem, osoby przesyłające formularze, uczestnicy konkursów oraz osoby, których dane znajdują się w powierzonych treściach.

§3. Obowiązki Procesora

• przetwarzanie danych wyłącznie na udokumentowane polecenie Administratora;
• zapewnienie, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi poufności;
• stosowanie środków technicznych i organizacyjnych zapewniających bezpieczeństwo adekwatne do ryzyka (art. 32 RODO) — patrz §4;
• przestrzeganie warunków korzystania z podprocesorów (§5);
• wspieranie Administratora w odpowiadaniu na żądania osób, których dane dotyczą (Rozdział III RODO);
• wspieranie Administratora w wywiązywaniu się z obowiązków z art. 32–36 RODO;
• po zakończeniu Usług — usunięcie lub zwrot danych zgodnie z §7;
• udostępnianie informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienie audytów (§6);
• niezwłoczne informowanie Administratora, jeżeli polecenie stanowi naruszenie RODO lub innych przepisów.

§4. Środki bezpieczeństwa (art. 32 RODO)

Procesor stosuje w szczególności: szyfrowanie transmisji (TLS), kontrolę dostępu opartą na rolach i zasadzie wiedzy koniecznej, uwierzytelnianie, hashowanie haseł, kopie zapasowe, rejestrowanie zdarzeń, oddzielenie środowisk oraz przetwarzanie u dostawców o odpowiednim poziomie bezpieczeństwa.

§6. Audyt

Procesor udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji, po uzgodnieniu terminu i zakresu, w sposób niezakłócający działania Procesora i z zachowaniem poufności. Rutynowe audyty planuje się nie częściej niż raz w roku; ograniczenie to nie dotyczy uzasadnionych wątpliwości co do zgodności, istotnej zmiany przetwarzania, naruszenia ochrony danych ani żądań uprawnionego organu. Procesor może w pierwszej kolejności udostępnić raporty i certyfikaty (np. dostawców infrastruktury), co nie wyłącza prawa do audytu.

§7. Zakończenie i usunięcie danych

Po zakończeniu świadczenia Usług Procesor, według wyboru Administratora, usuwa albo zwraca dane osobowe oraz usuwa istniejące kopie, chyba że prawo UE lub państwa członkowskiego nakazuje ich przechowywanie. Po zakończeniu zwykłego świadczenia dane usuwamy po upływie uzgodnionego okresu na ich zwrot, domyślnie 30 dni. Jeżeli realizowana jest procedura zmiany dostawcy z §12a Regulaminu, stosujemy okres przejścia i okres pobrania właściwe dla tej procedury i nie usuwamy danych przed ich upływem, chyba że otrzymamy wcześniejsze, jednoznaczne polecenie uprawnionego Administratora, po wyjaśnieniu wpływu tego polecenia na migrację. Zawieszenie dostępu nie jest samo w sobie zakończeniem powierzenia. Wcześniejsze polecenie usunięcia Procesor wykonuje bez oczekiwania na upływ tego okresu. Kopie zapasowe wygasają według cyklu rotacji (do 30 dni) i są używane wyłącznie do odtwarzania; po odtworzeniu Procesor ponownie wykonuje polecenia usunięcia.

§8. Naruszenia ochrony danych

Procesor zgłasza Administratorowi każde naruszenie ochrony danych osobowych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje umożliwiające realizację obowiązków z art. 33–34 RODO. Kontakt: security@commenttap.com, privacy@commenttap.com.

§9. Przekazywanie poza EOG

Ewentualny transfer danych poza EOG odbywa się wyłącznie przy zapewnieniu zabezpieczeń zgodnych z Rozdziałem V RODO (m.in. SCC i/lub DPF), zgodnie z sekcją 8 Polityki Prywatności.

§10. Odpowiedzialność i postanowienia końcowe

• Odpowiedzialność stron regulują RODO oraz Regulamin.
• W zakresie nieuregulowanym stosuje się RODO i prawo polskie.
• W razie sprzeczności między niniejszą Umową a Regulaminem w kwestiach ochrony danych — pierwszeństwo ma niniejsza Umowa.