Niniejszy Data Processing Agreement („DPA”) określa zasady przetwarzania przez 2BITS danych osobowych powierzonych przez Klienta w związku ze świadczeniem usług MyLearningDay.
DPA ma zastosowanie, gdy w ramach świadczenia Usług 2BITS przetwarza dane osobowe w imieniu Klienta. W takim zakresie Klient jest administratorem danych, a 2BITS jest podmiotem przetwarzającym.
DPA stanowi część Umowy zawartej pomiędzy Klientem a 2BITS. Pojęcia zapisane wielką literą, które nie zostały zdefiniowane w DPA, mają znaczenie określone w Regulaminie lub EULA.
DPA nie dotyczy danych osobowych przetwarzanych przez 2BITS jako niezależnego administratora danych. Zasady takiego przetwarzania opisuje Polityka prywatności.
2BITS przetwarza dane osobowe w zakresie niezbędnym do udostępniania, utrzymania, zabezpieczania i obsługi Platformy oraz wykonywania innych Usług określonych w Umowie.
Przetwarzanie odbywa się przez okres obowiązywania Umowy oraz przez okres technicznie niezbędny do zwrotu lub usunięcia danych, z uwzględnieniem cyklu retencji kopii zapasowych i obowiązków wynikających z prawa.
Przedmiot, charakter, cel i zakres przetwarzania, a także kategorie osób i danych, określa Załącznik nr 1.
2BITS przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego. O takim obowiązku 2BITS poinformuje Klienta przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
Za udokumentowane polecenia uważa się w szczególności postanowienia Umowy, konfigurację Platformy, działania upoważnionych administratorów Klienta, zgłoszenia przekazane do wsparcia oraz inne instrukcje przekazane w formie dokumentowej.
Jeżeli zdaniem 2BITS polecenie Klienta narusza przepisy o ochronie danych, 2BITS poinformuje o tym Klienta i może wstrzymać jego wykonanie do czasu wyjaśnienia sprawy.
Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie zgodnie z poleceniem Klienta albo w zakresie koniecznym do wykonania Umowy oraz na podstawie mechanizmu dopuszczonego przez przepisy o ochronie danych.
2BITS:
Klient odpowiada za zgodność z prawem przetwarzania danych, w szczególności za:
Klient nie powinien wprowadzać do Platformy szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących i czynów zabronionych, chyba że jest to zgodne z prawem, niezbędne i zostało objęte odpowiednimi zabezpieczeniami.
Klient udziela 2BITS ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia Usług.
2BITS zobowiązuje dalszy podmiot przetwarzający do ochrony danych na warunkach zapewniających co najmniej taki sam poziom ochrony jak wynikający z DPA. 2BITS pozostaje odpowiedzialny wobec Klienta za wykonanie tych obowiązków w zakresie wymaganym przez prawo.
Aktualna lista dalszych podmiotów przetwarzających jest udostępniana Klientowi przez 2BITS. O planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego 2BITS poinformuje Klienta z odpowiednim wyprzedzeniem.
Klient może zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony podejmą wówczas próbę uzgodnienia rozsądnego rozwiązania. Jeżeli nie będzie ono możliwe, zastosowanie mają zasady zmiany lub rozwiązania Umowy.
Uwzględniając charakter przetwarzania i dostępne informacje, 2BITS pomaga Klientowi w zakresie wymaganym przez RODO:
Jeżeli 2BITS otrzyma żądanie dotyczące danych przetwarzanych wyłącznie w imieniu Klienta, przekaże je Klientowi bez zbędnej zwłoki i nie odpowie na nie samodzielnie, chyba że Klient udzieli takiego polecenia lub obowiązek odpowiedzi wynika z prawa.
Pomoc wykraczająca poza standardowy zakres Usług może podlegać dodatkowej opłacie, jeżeli wynika z działań Klienta albo wymaga istotnego zaangażowania po stronie 2BITS.
Po stwierdzeniu naruszenia ochrony danych osobowych przetwarzanych w imieniu Klienta 2BITS poinformuje Klienta bez zbędnej zwłoki.
W zakresie dostępnych informacji zawiadomienie będzie zawierać opis charakteru naruszenia, jego możliwych konsekwencji, zastosowanych lub proponowanych środków zaradczych oraz dane punktu kontaktowego. Informacje mogą być przekazywane etapami.
Klient odpowiada za ocenę obowiązku zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, chyba że obowiązek 2BITS wynika bezpośrednio z prawa.
2BITS udostępnia Klientowi informacje niezbędne do wykazania zgodności z DPA, w szczególności poprzez dokumentację, odpowiedzi na uzasadnione kwestionariusze, raporty lub dostępne materiały dotyczące bezpieczeństwa.
Jeżeli informacje te nie są wystarczające, Klient może przeprowadzić audyt samodzielnie lub przez niezależnego audytora zobowiązanego do zachowania poufności, nie częściej niż raz w roku, chyba że doszło do istotnego naruszenia albo częstszej kontroli wymaga organ nadzorczy.
Termin, zakres i sposób audytu wymagają wcześniejszego uzgodnienia. Audyt nie może zakłócać działalności 2BITS, obniżać bezpieczeństwa Platformy ani naruszać praw innych klientów. Koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie obowiązków przez 2BITS.
W trakcie obowiązywania Umowy Klient może korzystać z dostępnych funkcji eksportu danych.
Po zakończeniu świadczenia Usług 2BITS, według wyboru Klienta i w zakresie przewidzianym Umową, zwraca albo usuwa dane osobowe oraz ich kopie, chyba że prawo wymaga dalszego przechowywania.
Dane mogą pozostawać przez ograniczony czas w kopiach zapasowych. W tym okresie pozostają chronione, nie są wykorzystywane do innych celów i są usuwane zgodnie z normalnym cyklem retencji kopii.
W razie sprzeczności pomiędzy DPA a innymi dokumentami składającymi się na Umowę, w zakresie przetwarzania danych osobowych pierwszeństwo ma DPA.
Odpowiedzialność Stron związana z DPA podlega zasadom i ograniczeniom określonym w Umowie, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa.
DPA obowiązuje przez okres, w którym 2BITS przetwarza dane osobowe w imieniu Klienta.
Przedmiot przetwarzania: dane osobowe wprowadzane do Platformy lub przekazywane 2BITS przez Klienta w związku ze świadczeniem Usług.
Cel przetwarzania: udostępnianie, utrzymanie, zabezpieczanie i obsługa Platformy, w tym zarządzanie Użytkownikami, szkoleniami, zapisami, postępami, wynikami, certyfikatami, komunikacją, raportami, integracjami i wsparciem technicznym.
Charakter przetwarzania: zbieranie, utrwalanie, organizowanie, przechowywanie, przeglądanie, wykorzystywanie, przesyłanie, ograniczanie, usuwanie i inne operacje niezbędne do świadczenia Usług.
Czas trwania: przez okres obowiązywania Umowy oraz przez okres niezbędny do zwrotu lub usunięcia danych.
Kategorie osób: Użytkownicy Platformy, w szczególności pracownicy, współpracownicy, kandydaci, klienci, partnerzy, uczestnicy szkoleń, instruktorzy i administratorzy Klienta.
Kategorie danych:
2BITS stosuje środki adekwatne do ryzyka, charakteru Usług i aktualnego stanu wiedzy technicznej, w szczególności:
