Umowa powierzenia przetwarzania danych

§1. Strony i przedmiot

1. Administrator - Klient, czyli podmiot zamawiający usługę hostingową.
2. Podmiot przetwarzający (Procesor) - Redicon Andrzej Walec, ul. Wincentego Witosa 1i/38, 10-688 Olsztyn, NIP 7393488426.
3. Przedmiotem jest przetwarzanie danych osobowych umieszczanych przez Administratora w ramach usługi (pliki, bazy danych, poczta e-mail) oraz logu serwera stron Administratora, o którym mowa w §3 ust. 6 pkt 1 - zawierającego adresy IP osób odwiedzających jego strony - wyłącznie w celu świadczenia usługi i w zakresie przez nią wymaganym.
4. Nie są danymi powierzonymi log wejścia na platformę (§3 ust. 6 pkt 2) ani logi serwera poczty (§3 ust. 7), choć zawierają dane osób odwiedzających strony Administratora i korespondujących z jego skrzynkami. Procesor prowadzi je we własnym imieniu, jako odrębny administrator, w uzasadnionym interesie polegającym na bezpieczeństwie i ciągłości platformy (art. 6 ust. 1 lit. f RODO), na zasadach opisanych w Polityce prywatności, która pełni wobec tych osób rolę informacji z art. 14 RODO. Umowa opisuje te logi w §3 dla przejrzystości; Procesor udziela Administratorowi wglądu w zapisy dotyczące jego domen na zgłoszenie.

§2. Charakter i zakres przetwarzania

1. Charakter: przechowywanie, utrwalanie, wykonywanie kopii zapasowych i transmisja - bez wglądu w treść ponad minimum techniczne (diagnostyka, bezpieczeństwo, obsługa zgłoszenia Administratora).
2. Kategorie osób i danych określa Administrator. Usługa nie jest przeznaczona do danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Administrator nie umieszcza takich danych w usłudze bez uprzedniego pisemnego uzgodnienia z Procesorem, obejmującego dodatkowe środki - w szczególności szyfrowanie tych danych na poziomie aplikacji Administratora kluczem, którego Procesor nie posiada - oraz potwierdzenie, że Administrator przeprowadził ocenę skutków dla ochrony danych (art. 35 RODO), jeżeli była wymagana. Administrator odpowiada za ocenę, czy środki opisane w §3 są adekwatne do ryzyka przetwarzania, które prowadzi (art. 28 ust. 1 i art. 32 RODO); dane umieszczone wbrew temu ustępowi Administrator przetwarza na własne ryzyko, a Procesor nie zapewnia dla nich środków innych niż opisane w §3.
3. Czas trwania: okres świadczenia usługi powiększony o okres retencji kopii zapasowych (§6).

§3. Obowiązki Procesora

1. Przetwarzanie wyłącznie na udokumentowane polecenie Administratora; poleceniem jest konfiguracja i korzystanie z usługi.
2. Poufność: dostęp do danych mają wyłącznie osoby upoważnione, zobowiązane do zachowania tajemnicy.
3. Środki techniczne i organizacyjne (art. 32 RODO): izolacja środowisk klientów (konteneryzacja z rozdzieleniem uprawnień systemowych), szyfrowanie transmisji, szyfrowane kopie zapasowe na terenie UE, wysyłane w trybie dopisywania - bez możliwości skasowania repozytorium kopii z serwera źródłowego (zasięg i głębokość kopii: §6 ust. 4), zamknięcie usług zarządzania i baz danych przed dostępem z sieci publicznej, dostęp administracyjny wyłącznie na klucze kryptograficzne i wyłącznie z wąskiej listy adresów wskazanych przez Procesora, egzekwowanej zaporą sieciową, odrębna szyfrowana sieć zarządzania dla ruchu pomiędzy serwerami Procesora, obowiązkowe uwierzytelnianie dwuskładnikowe kont personelu Procesora w panelu oraz rejestrowanie operacji wykonywanych w panelu.
4. Dostęp personelu Procesora do konta Administratora. Na potrzeby pomocy technicznej upoważniony operator może zalogować się do panelu „jako Administrator”. Sesja taka wygasa po 30 minutach i może zostać otwarta w trybie wyłącznie do odczytu. Rejestrowane jest otwarcie sesji oraz każda wykonana w niej zmiana danych; wpis o zmianie niesie tożsamość operatora, który jej dokonał; samo przeglądanie danych w sesji nie jest odnotowywane osobno. Z sesji trwale wyłączone są operacje ujawniające lub zmieniające dane uwierzytelniające Administratora oraz adres e-mail jego konta, zmiana pakietu i ceny, składanie zamówień i opłacanie dokumentów w jego imieniu, pobranie kopii baz danych i logów, wejście do narzędzia bazodanowego oraz zakładanie zadań cyklicznych. Sesję otwiera się wyłącznie w związku ze zgłoszeniem Administratora, w celu usunięcia awarii albo usunięcia zagrożenia bezpieczeństwa; zgłoszenie Administratora stanowi udokumentowane polecenie w rozumieniu ust. 1, a o sesji otwartej bez zgłoszenia Procesor informuje Administratora, podając jej przyczynę. Operator działa na podstawie upoważnienia nadanego przez Procesora (art. 29 RODO) - odrębne upoważnienie Administratora nie jest wymagane. Administrator otrzymuje na zgłoszenie wykaz sesji otwartych na jego koncie.
5. Narzędzia webowe do baz danych. Narzędzie nie ma własnego, publicznego adresu - wejście prowadzi wyłącznie z panelu, podpisanym i krótko ważnym odnośnikiem. Sesja odbywa się na jednorazowym koncie tworzonym na czas jej trwania i usuwanym po zakończeniu, z uprawnieniami ograniczonymi do wskazanej bazy. Procesor nie odczytuje ani nie zmienia hasła Administratora do bazy danych.
6. Logi ruchu do stron Administratora. Procesor prowadzi dwa rodzaje takich logów; oba zawierają adresy IP osób odwiedzających strony Administratora. Log z pkt 1 jest daną powierzoną (§1 ust. 3); log z pkt 2 Procesor prowadzi jako odrębny administrator (§1 ust. 4).
   1. Log serwera stron Administratora - pełny zapis żądań. Procesor usuwa go automatycznie po 90 dniach. Log ten pozostaje na serwerze, na którym działa usługa, i nie jest przekazywany do centralnego magazynu logów Procesora. Administrator pobiera bieżący log w panelu; każde pobranie jest rejestrowane;
   2. Log wejścia na platformę - zapis połączeń przychodzących z Internetu, powstający zanim żądanie trafi do usługi. Obejmuje także ruch do stron Administratora i zawiera adres IP odwiedzającego i czas połączenia, a ponadto - zależnie od tego, którą drogą szło żądanie i czy zakończyło się błędem - nazwę domeny, do której kierowało się połączenie, adres żądanej strony, adres strony odsyłającej oraz oznaczenie przeglądarki. Nie każdy zapis zawiera wszystkie te dane, ale Procesor wymienia je łącznie, bo w tym strumieniu wszystkie mogą wystąpić. Log ten jest przekazywany do centralnego magazynu logów Procesora i usuwany automatycznie po 14 dniach. Procesor prowadzi go dla bezpieczeństwa i ciągłości platformy; nie udostępnia go w panelu, ale udziela Administratorowi wglądu w zapisy dotyczące jego domen na zgłoszenie.
7. Logi serwera poczty. Procesor prowadzi logi doręczania poczty, z których wynika, kto do kogo napisał i kiedy - bez treści wiadomości. Jest to najwrażliwszy strumień danych powstających w związku z usługą, dlatego Procesor stosuje wobec niego najkrótszy z okresów przechowywania, jakie prowadzi: logi te są usuwane automatycznie po 7 dniach. Procesor nie udostępnia tych logów Administratorowi w panelu; wgląd następuje wyłącznie na zgłoszenie i w zakresie potrzebnym do obsługi tego zgłoszenia. Logi te Procesor prowadzi jako odrębny administrator (§1 ust. 4).
8. Pomoc Administratorowi w realizacji praw osób (art. 12–23 RODO) oraz obowiązków z art. 32–36 RODO - w zakresie możliwym dla dostawcy infrastruktury.
9. Zgłaszanie naruszeń: Procesor informuje Administratora o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, podając znane okoliczności.
10. Obowiązki Administratora. Administrator zapewnia podstawę prawną przetwarzania danych, które umieszcza w usłudze, wykonuje wobec osób, których dane dotyczą, obowiązki informacyjne - w tym informuje o korzystaniu z Procesora jako podmiotu przetwarzającego oraz o przetwarzaniu opisanym w §1 ust. 4, odsyłając do Polityki prywatności Procesora - i odpowiada za zgodność z prawem swoich poleceń. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych (art. 28 ust. 3 RODO).

§4. Podpowierzenie

1. Administrator wyraża ogólną zgodę na podpowierzenie przetwarzania danych powierzonych następującemu podmiotowi:
   • Hetzner Online GmbH (Gunzenhausen, Niemcy; ośrodki w Niemczech i Finlandii - UE) - infrastruktura serwerowa i przestrzeń na kopie zapasowe; Procesor ma z tym podmiotem zawartą umowę powierzenia.
2. Podmioty, z których Procesor korzysta przy obsłudze samego Administratora jako Klienta - rejestrator domen Aftermarket.pl Limited (Nikozja, Cypr - UE; zamówienie domeny wymaga założenia u rejestratora profilu abonenta z danymi Administratora: nazwa albo imię i nazwisko, adres, adres e-mail, numer telefonu, a dla przedsiębiorcy NIP; rejestrator przekazuje je dalej do właściwego rejestru domen, dla domen .pl - NASK; rejestrator i rejestr są wobec danych abonenta odrębnymi administratorami, przetwarzającymi je na podstawie regulaminu rejestru, który Administrator akceptuje osobnym oświadczeniem przy zamówieniu domeny), wystawca faktur Fakturownia sp. z o.o., operator płatności mElements S.A. (Paynow) oraz Cloudflare, Inc. (odróżnianie człowieka od automatu w formularzu zamówienia, w wyszukiwarce domen, przy logowaniu do panelu i przy odzyskiwaniu hasła do panelu - w zakresie adresu IP i danych technicznych przeglądarki osoby korzystającej z tych formularzy) - nie przetwarzają danych powierzonych i nie są podprocesorami w rozumieniu niniejszej umowy. Przetwarzają one dane Administratora jako strony umowy, wobec których administratorem jest Procesor; ich pełny opis, role i podstawy przekazania zawiera Polityka prywatności (pkt 3).
3. O zamiarze zmiany listy podprocesorów Procesor informuje z wyprzedzeniem 14 dni, wskazując nowy podmiot, zakres podpowierzenia i lokalizację przetwarzania. Sprzeciw Administratora zgłoszony przed wejściem zmiany w życie uprawnia go do wypowiedzenia usługi ze skutkiem przed tą datą; niewykorzystaną część opłaty Procesor zwraca wtedy proporcjonalnie (Regulamin §9 ust. 1 - rozwiązanie z przyczyn leżących po stronie Operatora).
4. Dane powierzone przez Administratora przetwarzane są wyłącznie na terenie Unii Europejskiej - w ośrodkach we Falkenstein (Niemcy) i w Helsinkach (Finlandia); kopie zapasowe przechowywane są w tych ośrodkach, w zasięgu określonym w §6 ust. 4. Log wejścia na platformę, który nie jest daną powierzoną (§1 ust. 4), trafia dodatkowo do serwera monitoringu w Norymberdze (Niemcy). Żaden podmiot spoza Europejskiego Obszaru Gospodarczego nie ma dostępu do danych powierzonych - dotyczy to również wymienionego w ust. 2 dostawcy usługi odróżniającej człowieka od automatu, który przetwarza wyłącznie dane osoby wypełniającej formularz. Rozszerzenie podpowierzenia poza EOG na dane powierzone wymaga odrębnej zgody Administratora i podstawy transferowej z rozdziału V RODO.

§5. Audyt

1. Administrator może przeprowadzić audyt zgodności - także przez upoważnionego audytora niebędącego konkurentem Procesora - po uzgodnieniu terminu z wyprzedzeniem minimum 14 dni, w sposób nieprzerywający świadczenia usług innym klientom, nie częściej niż raz w roku, chyba że audyt jest następstwem naruszenia ochrony danych albo żądania organu nadzorczego. Administrator ponosi własne koszty audytu, w tym koszty audytora. Udział Procesora w zakresie udostępnienia dokumentacji i odpowiedzi na pytania jest bezpłatny; czynności wykraczające poza ten zakres Procesor może rozliczyć według stawek uzgodnionych z Administratorem przed audytem, przy czym zastrzeżenie kosztów nie może uniemożliwić audytu ani ograniczyć uprawnienia z art. 28 ust. 3 lit. h RODO.
2. Procesor może w pierwszej kolejności udostępnić dokumentację zastosowanych środków i wyniki wcześniejszych audytów; audyt na miejscu jest uzasadniony wtedy, gdy dokumentacja nie wystarcza do wykazania zgodności.

§6. Zakończenie

1. Po zakończeniu usługi Procesor usuwa dane produkcyjne w terminie 30 dni (spójnie z Regulaminem §9). Usunięcie to wykonuje pracownik Procesora - nie jest to operacja automatyczna.
2. Kopie zapasowe wygasają po zakończeniu usługi zgodnie z cyklem retencji właściwym dla danego rodzaju danych i danego ośrodka (§6 ust. 4), po czym są nieodwracalnie usuwane. Oznacza to, że pliki stron znikają z kopii po około 6 miesiącach, a poczta i bazy danych po 12 miesiącach - do upływu tych okresów dane Administratora pozostają w kopiach.
3. Na wniosek Administratora złożony przed usunięciem Procesor zwraca dane (eksport plików i baz danych) w powszechnie używanym formacie.
4. Zasięg i głębokość kopii zapasowych zależą od rodzaju danych i Procesor określa je wprost:
   1. poczta i bazy danych - kopia trafia do dwóch lokalizacji zdalnych: do Helsinek (Finlandia; 7 kopii dziennych, 4 tygodniowe i 6 miesięcznych) oraz do Falkenstein (Niemcy; 14 dziennych, 8 tygodniowych i 12 miesięcznych). Najgłębsze okno wynosi tu 12 miesięcy;
   2. same pliki stron Administratora (konfiguracja jego konta idzie do obu ośrodków razem z bazami) - kopia trafia wyłącznie do Helsinek, w rotacji 7 kopii dziennych, 4 tygodniowych i 6 miesięcznych. Najgłębsze okno wynosi tu około 6 miesięcy, a Procesor nie zwielokrotnia tych danych geograficznie.
   Okno retencji napełnia się od dnia uruchomienia usługi.
5. Po zakończeniu usługi dane Administratora pozostające w kopiach zapasowych nie są odtwarzane ani w żaden sposób wykorzystywane, pozostają zaszyfrowane i wygasają wraz z cyklem retencji. Procesor nie usuwa wybiórczo danych jednego Administratora z kopii przed upływem cyklu retencji - kopie są migawkami całego serwera, a klucz serwera źródłowego działa w trybie dopisywania (§3 ust. 3); dane wygasają wraz z cyklem. Ten sam tryb dotyczy danych, których usunięcia Administrator zażądał w trakcie usługi: dane produkcyjne usuwa Administrator albo Procesor na jego polecenie, a kopie wygasają w cyklu retencji - Administrator uwzględnia to, informując osoby, których dane dotyczą, o okresie przechowywania.

§7. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają na zasadach art. 82 RODO. Ograniczenie odpowiedzialności z Regulaminu §8 nie dotyczy odpowiedzialności wobec osób, których dane dotyczą (art. 82 ust. 1–4 RODO), ani szkody wyrządzonej umyślnie. W rozliczeniach regresowych między Stronami (art. 82 ust. 5 RODO) oraz w zakresie roszczeń Administratora będącego przedsiębiorcą wobec Procesora z tytułu niniejszej umowy ograniczenie z Regulaminu §8 stosuje się odpowiednio; nie stosuje się go wobec Administratora będącego konsumentem ani przedsiębiorcą na prawach konsumenta.
2. W sprawach nieuregulowanych stosuje się RODO, Regulamin, Politykę prywatności i prawo polskie.