Umowa powierzenia przetwarzania danych zcal

Ostatnia aktualizacja: 1 stycznia 2024 r.

To tłumaczenie służy Twojej wygodzie. Jeśli różni się od wersji angielskiej, obowiązuje wersja angielska.

Niniejsza Umowa powierzenia przetwarzania danych (DPA), która obejmuje przywołane Standardowe Klauzule Umowne oraz Dodatek Brytyjski (w tym Załączniki A i B), zostaje włączona do każdej istniejącej i ważnej Umowy Ramowej o Świadczenie Usług lub Warunków korzystania (Umowa) zawartych wcześniej lub równocześnie między Tobą, Klientem (w tym Twoimi spółkami zależnymi i powiązanymi), a zcal, Inc. (Podmiotem Przetwarzającym, w tym jego spółkami zależnymi i powiązanymi) i stanowi ich część. Niniejsza DPA wprowadza dodatkowe warunki, które mają zastosowanie zawsze, gdy informacje przekazywane przez Ciebie zcal na podstawie Umowy zawierają Dane Osobowe (zgodnie z definicją poniżej). Datę wejścia w życie DPA określają Warunki korzystania zcal.

1.0 Definicje

W niniejszej DPA stosuje się następujące definicje.

1.1 „Upoważniony Personel” oznacza (a) pracowników zcal, którzy potrzebują dostępu do Danych Osobowych lub wiedzy o nich, aby świadczyć odpowiednie usługi; oraz (b) wykonawców, agentów i audytorów zcal, którzy potrzebują dostępu do Danych Osobowych lub wiedzy o nich, aby umożliwić zcal wypełnianie jej obowiązków wynikających z Umowy i niniejszej DPA, i którzy są prawnie związani pisemnymi zobowiązaniami do zachowania poufności i innymi zobowiązaniami, które odpowiednio chronią Dane Osobowe zgodnie z niniejszą DPA.

1.2 „CCPA” oznacza California Consumer Privacy Act of 2018, Cal. Civ. Code § [1798.100 - 1798.199.100], ze zmianami, w tym wprowadzonymi przez California Privacy Rights Act of 2020 i jego późniejsze przepisy wykonawcze.

1.3 „Dane Klienta” oznaczają wszelkie informacje, dane i inne treści, w dowolnym formacie, które Ty lub Twoi przedstawiciele, jako klient lub użytkownik, przesyłacie, publikujecie lub w inny sposób wysyłacie za pośrednictwem Usług, lub które są przesyłane przez Twoich potencjalnych klientów, klientów lub innych użytkowników końcowych Usług, którzy wchodzą w interakcje z Tobą i Twoimi użytkownikami, albo w ich imieniu.

1.4 „Przepisy o Ochronie Danych” oznaczają wszystkie obowiązujące przepisy prawa federalnego, stanowego i międzynarodowego, a także wiążące regulacje i formalne dyrektywy dotyczące ochrony danych, prywatności i bezpieczeństwa danych, w brzmieniu aktualizowanym z biegiem czasu. Obejmuje to w szczególności, bez ograniczeń, Unijne Przepisy o Ochronie Danych, Brytyjskie Przepisy o Ochronie Danych, Szwajcarskie Przepisy o Ochronie Danych, CCPA, Virginia Consumer Data Protection Act (VCDPA), Colorado Privacy Act (CPA), Connecticut Data Privacy Act (CTDPA) oraz Utah Consumer Privacy Act (UCPA), ale wyraźnie wyłącza wyroki ugodowe (consent decrees).

1.5 „Osoba, której Dane Dotyczą” oznacza konkretną osobę lub konsumenta, do których odnoszą się Dane Osobowe.

1.6 „Unijne Przepisy o Ochronie Danych” oznaczają RODO wraz z wszelkimi obowiązującymi przepisami prawa lub regulacjami, które je wdrażają, a także przepisy prawa Unii Europejskiej lub Państw Członkowskich, ze zmianami wprowadzanymi okresowo.

1.7 „RODO” oznacza ogólne rozporządzenie o ochronie danych (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych).

1.8 „Dane Osobowe” oznaczają wszelkie Dane Klienta dotyczące konkretnej, zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, które zcal Przetwarza w imieniu Klienta podczas świadczenia Usług, jeśli takie informacje podlegają ochronie prawnej jako „dane osobowe”, „informacje osobowe” lub pod podobnym pojęciem na podstawie jakiegokolwiek Przepisu (Przepisów) o Ochronie Danych.

1.9 „Przetwarzać” lub „Przetwarzanie” oznacza każdą operację lub zestaw operacji wykonywanych na Danych Osobowych, w sposób zautomatyzowany lub niezautomatyzowany, takich jak zbieranie, rejestrowanie, porządkowanie, przechowywanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, przesyłanie, rozpowszechnianie lub inne udostępnianie, łączenie, ograniczanie, usuwanie lub niszczenie danych.

1.10 „Naruszenie Bezpieczeństwa” oznacza potwierdzone naruszenie środków bezpieczeństwa informacji zcal, które prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia Danych Osobowych objętych niniejszą DPA lub nieuprawnionego dostępu do nich.

1.11 „Usługi” oznaczają usługi świadczone Tobie przez zcal na podstawie Umowy.

1.12 „Standardowe Klauzule Umowne” lub „SCC” oznaczają standardowe klauzule dotyczące przekazywania Danych Osobowych podmiotom przetwarzającym w państwach trzecich, które zostały zatwierdzone przez Komisję Europejską. Obecnie zatwierdzona wersja jest określona w decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. i jest dostępna pod adresem https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=e.

1.13 „Szwajcarskie Przepisy o Ochronie Danych” oznaczają wszystkie przepisy prawa obecnie obowiązujące w Szwajcarii dotyczące ochrony danych, Przetwarzania Danych Osobowych, prywatności i/lub komunikacji elektronicznej. Obejmuje to Federalną ustawę o ochronie danych z dnia 19 czerwca 1992 r., jej rozporządzenia oraz przyszłą znowelizowaną szwajcarską Federalną ustawę o ochronie danych z dnia 25 września 2020 r., gdy wejdzie w życie (łącznie „FADP”).

1.14 „Dodatek Brytyjski” oznacza Dodatek dotyczący międzynarodowego przekazywania danych do Standardowych Klauzul Umownych Komisji UE (zdefiniowanych powyżej „SCC”) wydany przez Komisarza na podstawie S119A(1) Data Protection Act 2018, wersja B1.0, obowiązujący od 21 marca 2022 r., dostępny pod adresem https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf.

1.15 „Brytyjskie Przepisy o Ochronie Danych” oznaczają wszystkie przepisy prawa obecnie obowiązujące w Zjednoczonym Królestwie dotyczące ochrony danych, Przetwarzania Danych Osobowych, prywatności i/lub komunikacji elektronicznej, w tym brytyjskie RODO (UK GDPR) oraz Data Protection Act 2018.

1.16 „Brytyjskie RODO” (UK GDPR) oznacza ogólne rozporządzenie o ochronie danych Zjednoczonego Królestwa, które stanowi część prawa Zjednoczonego Królestwa na mocy sekcji 3 European Union (Withdrawal) Act 2018.

1.17 Pojęcia „Podmiot Przetwarzający” i „Administrator” mają znaczenie nadane im przez obowiązujący Przepis o Ochronie Danych. Wszelkie pojęcia pisane wielką literą, które nie zostały zdefiniowane w niniejszej DPA, mają znaczenie nadane im w Umowie i zostają niniejszym formalnie przyjęte przez odesłanie.

2.0 Przetwarzanie i przekazywanie Danych Osobowych

2.1 Obowiązki Klienta. Klient jest Administratorem Danych Osobowych i musi (a) określać cel i główne sposoby Przetwarzania Danych Osobowych zgodnie z Umową; (b) odpowiadać za prawidłowość Danych Osobowych; oraz (c) wypełniać swoje obowiązki wynikające z Przepisów o Ochronie Danych. Obejmuje to, w razie potrzeby, zapewnienie podstawy prawnej do zbierania Danych Osobowych, przekazywanie wymaganych informacji Osobom, których Dane Dotyczą, i/lub uzyskanie zgody Osoby, której Dane Dotyczą, na Przetwarzanie Danych Osobowych.

2.2 Obowiązki zcal. zcal jest Podmiotem Przetwarzającym Dane Osobowe i musi (a) Przetwarzać Dane Osobowe w imieniu Klienta zgodnie z pisemnymi poleceniami Klienta wydanymi w okresie obowiązywania niniejszej DPA (chyba że udzielono pisemnego zwolnienia) oraz (b) wypełniać swoje obowiązki wynikające z Przepisów o Ochronie Danych. Aneks 1 do Załącznika A opisuje zamierzone Przetwarzanie Danych Osobowych na podstawie niniejszej DPA. Strony uzgadniają, że Umowa, w tym niniejsza DPA, wraz z korzystaniem przez Klienta z Usług zgodnie z Umową, stanowi pełne i ostateczne pisemne polecenia Klienta dla zcal dotyczące Przetwarzania Danych Osobowych. Wszelkie dalsze polecenia wykraczające poza ten zakres wymagają uprzedniej, podpisanej przez obie strony pisemnej umowy między Klientem a zcal. Jeśli zcal w uzasadniony sposób podejrzewa, że istnieje sprzeczność między Przepisem o Ochronie Danych a poleceniami Klienta, zcal niezwłocznie poinformuje o tym Klienta, a obie strony będą współpracować w dobrej wierze, aby usunąć tę sprzeczność, realizując jednocześnie cele polecenia.

2.3 Wykorzystywanie danych. zcal nie będzie wykorzystywać Danych Osobowych, z wyjątkiem sytuacji, gdy zezwalają na to polecenia Klienta, lub gdy jest to konieczne do wszczęcia postępowania w sprawie roszczeń lub obrony przed nimi, spełnienia wymogów prawnych, współpracy z organami regulacyjnymi lub do innych podobnych dopuszczalnych celów wyraźnie dozwolonych przez Przepisy o Ochronie Danych.

2.4 Miejsce Przetwarzania. Obie strony przyjmują do wiadomości i uzgadniają, że Przetwarzanie Danych Osobowych będzie odbywać się w Stanach Zjednoczonych i potencjalnie w innych jurysdykcjach poza miejscem zamieszkania Osoby, której Dane Dotyczą. Klient musi spełnić wszystkie wymogi dotyczące informowania i zgody w odniesieniu do takiego przekazywania i Przetwarzania, nałożone przez Przepisy o Ochronie Danych.

2.5 Zwrot lub zniszczenie danych. zcal zwróci lub w bezpieczny sposób zniszczy Dane Osobowe, zgodnie z poleceniami Klienta, na żądanie Klienta lub po zamknięciu konta (kont) Klienta, chyba że ich zachowanie jest wymagane w celu przestrzegania obowiązującego prawa.

3.0 Przepisy o ochronie danych UE, Szwajcarii i Zjednoczonego Królestwa

Niniejsza Sekcja 3 ma zastosowanie do Przetwarzania Danych Osobowych, gdy podlega ono Unijnym Przepisom o Ochronie Danych, Szwajcarskim Przepisom o Ochronie Danych lub Brytyjskim Przepisom o Ochronie Danych.

3.1 Przekazywanie Danych Osobowych. Klient przyjmuje do wiadomości i zgadza się, że zcal ma siedzibę w Stanach Zjednoczonych i że przekazywanie zcal Danych Osobowych z Europejskiego Obszaru Gospodarczego („UE”), Szwajcarii lub Zjednoczonego Królestwa w celu ich Przetwarzania stanowi przekazanie Danych Osobowych do Stanów Zjednoczonych. Wszelkie przekazania Danych Osobowych Klienta pochodzących z UE („Dane Osobowe z UE”), Szwajcarii („Szwajcarskie Dane Osobowe”) lub Zjednoczonego Królestwa („Brytyjskie Dane Osobowe”) do Stanów Zjednoczonych będą podlegać Standardowym Klauzulom Umownym oraz, w stosownych przypadkach, Dodatkowi Brytyjskiemu, na następujących warunkach:

a. W przypadku przekazywania Danych Osobowych z UE lub przekazywania obejmującego Szwajcarskie Dane Osobowe, które podlegają zarówno Unijnym Przepisom o Ochronie Danych, jak i Szwajcarskim Przepisom o Ochronie Danych (w tym drugim przypadku dla wszystkich przekazań danych stosowany będzie standard RODO), zastosowanie ma Moduł 2 SCC (dla przekazywania od Administratora do Podmiotu Przetwarzającego) wraz z Aneksami zawartymi w Załączniku A do niniejszej DPA, które zostają do niej włączone. Strony uzgadniają, że: (a) Klauzula 7 nie ma zastosowania; (b) zastosowanie ma Opcja 2 Klauzuli 9(a) z okresem uprzedniego powiadomienia wynoszącym 30 dni; (c) fakultatywne brzmienie Klauzuli 11(a) nie ma zastosowania; (d) prawem właściwym na podstawie Klauzuli 17 jest prawo Irlandii; (e) spory na podstawie Klauzuli 18 będą rozstrzygane przez sądy Irlandii; oraz (f) aneksy są wypełnione w Załączniku A do niniejszej DPA.

b. W przypadku przekazywania wyłącznie Szwajcarskich Danych Osobowych zastosowanie ma Moduł 2 SCC (dla przekazywania od Administratora do Podmiotu Przetwarzającego) wraz z Aneksami zawartymi w Załączniku A do niniejszej DPA, które zostają do niej włączone. Strony uzgadniają, że: (a) Klauzula 7 nie ma zastosowania; (b) zastosowanie ma Opcja 2 Klauzuli 9(a) z okresem uprzedniego powiadomienia wynoszącym 30 dni; (c) fakultatywne brzmienie Klauzuli 11(a) nie ma zastosowania; (d) właściwym organem nadzorczym w Aneksie I.C na podstawie Klauzuli 13 będzie Federalny Komisarz ds. Ochrony Danych i Informacji; (e) prawem właściwym na podstawie Klauzuli 17 jest prawo Szwajcarii; (f) spory na podstawie Klauzuli 18 będą rozstrzygane przez sądy Szwajcarii; (g) aneksy są wypełnione w Załączniku A do niniejszej DPA; oraz (h) wszelkie odniesienia do RODO należy rozumieć jako odniesienia do FADP.

c. W przypadku przekazywania Szwajcarskich Danych Osobowych, do którego mają zastosowanie Sekcje 3.1.a. i 3.1.b niniejszej DPA, pojęcia „państwo członkowskie” nie można interpretować w sposób uniemożliwiający Osobom, których Dane Dotyczą, w Szwajcarii korzystanie z prawa do wniesienia powództwa w Szwajcarii zgodnie z Klauzulą 18c.

d. W przypadku przekazywania Brytyjskich Danych Osobowych zastosowanie ma Moduł 2 SCC w sposób opisany w podsekcji 3.1.a. powyżej, a także Dodatek Brytyjski zawarty w Załączniku B do niniejszej DPA, który zostaje do niej włączony.

3.2 Obowiązki wynikające z RODO i brytyjskiego RODO. zcal: (a) zapewni Klientowi uzasadnioną pomoc w wypełnianiu jego obowiązków dotyczących Danych Osobowych z UE wynikających z art. 32–36 RODO (lub ich odpowiedników w Brytyjskich Przepisach o Ochronie Danych w przypadku Brytyjskich Danych Osobowych); (b) będzie prowadzić rejestr wszystkich kategorii czynności Przetwarzania wykonywanych w imieniu Klienta, zgodnie z wymogami art. 30 ust. 2 RODO (lub ich odpowiedników w Brytyjskich Przepisach o Ochronie Danych w przypadku Brytyjskich Danych Osobowych); oraz (c) na żądanie będzie współpracować z organem nadzorczym UE lub Zjednoczonego Królestwa w zakresie świadczenia Usług.

4.0 Przepisy o ochronie danych Stanów Zjednoczonych

Niniejsza Sekcja 4 ma zastosowanie do Przetwarzania Danych Osobowych, gdy podlega ono Przepisom o Ochronie Danych obowiązującym w Stanach Zjednoczonych.

4.1 CCPA/CPRA. Niniejsza podsekcja 4.1 reguluje Przetwarzanie przez zcal Danych Osobowych podlegających CCPA, w odniesieniu do których zcal działa jako usługodawca (service provider) Klienta. Klient udostępnia Dane Osobowe zcal, a zcal będzie Przetwarzać takie Dane Osobowe wyłącznie w celach biznesowych określonych w niniejszej Umowie, w tym w niniejszej DPA.

a. zcal nie będzie:

i. sprzedawać ani udostępniać Danych Osobowych;

ii. zachowywać, wykorzystywać ani ujawniać Danych Osobowych (i) w jakimkolwiek celu innym niż cele biznesowe określone w Umowie, w tym zachowywać, wykorzystywać ani ujawniać Danych Osobowych w celu komercyjnym innym niż cele biznesowe określone w Umowie lub w inny sposób dozwolony przez CCPA; ani (ii) poza bezpośrednią relacją biznesową między stronami;

iii. łączyć Danych Osobowych, które zcal otrzymuje od Klienta lub w jego imieniu, z Danymi Osobowymi, które zcal otrzymuje od innej strony lub w jej imieniu, albo które zbiera w ramach własnej interakcji z konsumentem. zcal może jednak łączyć Dane Osobowe w celu realizacji dowolnego celu biznesowego dozwolonego przez CCPA, w tym jej przepisy wykonawcze, lub przez przepisy przyjęte przez California Privacy Protection Agency.

b. zcal będzie wypełniać obowiązki, które mają do niej zastosowanie jako do usługodawcy na podstawie CCPA, i zapewni Danym Osobowym taki sam poziom ochrony prywatności, jakiego wymaga CCPA.

c. Klient ma prawo podejmować uzasadnione i odpowiednie środki, aby pomóc zapewnić, że zcal wykorzystuje Dane Osobowe w sposób zgodny z obowiązkami Klienta wynikającymi z CCPA. Procedura podejmowania takich środków jest opisana w Sekcji 9 poniżej.

d. zcal powiadomi Klienta, jeśli ustali, że nie może już wypełniać swoich obowiązków jako usługodawca na podstawie CCPA. Jeśli zcal przekaże takie powiadomienie, Klient będzie miał prawo podjąć uzasadnione i odpowiednie kroki, aby powstrzymać i usunąć skutki wszelkiego nieuprawnionego wykorzystywania Danych Osobowych.

e. W przypadku wszelkich podmiotów podprzetwarzających, z których zcal korzysta do Przetwarzania Danych Osobowych podlegających CCPA, oprócz obowiązków określonych w Sekcji 5 poniżej, umowa zcal z podmiotem podprzetwarzającym musi zobowiązywać ten podmiot do przestrzegania wymogów określonych w podsekcji 4.1.a powyżej.

f. Na potrzeby niniejszej Sekcji 4 pojęcia „konsument” (consumer), „usługodawca” (service provider), „sprzedawać” (sell) i „udostępniać” (share) mają znaczenie nadane im w CCPA.

4.2 Wirginia, Kolorado, Connecticut i Utah. Dla jasności oraz na potrzeby VCDPA, CPA, CTDPA i UCPA zastosowanie mają odpowiednie szczegóły Przetwarzania określone w Sekcji B Załącznika A.

5.0 Podmioty podprzetwarzające

5.1 Lista podmiotów podprzetwarzających. Klient zezwala zcal na korzystanie z podmiotów podprzetwarzających wymienionych w Załączniku A dołączonym do niniejszej DPA. zcal może okresowo aktualizować swoją listę podmiotów podprzetwarzających i będzie udostępniać wszelkie aktualizacje tutaj: https://zcal.co/data-processors.

6.0 Oświadczenie i zapewnienie Klienta

Klient oświadcza i gwarantuje, w imieniu własnym i swoich pracowników, że Dane Osobowe przekazywane zcal do Przetwarzania na podstawie Umowy i niniejszej DPA są zbierane, uzyskiwane zgodnie z prawem i wykorzystywane przez Klienta i jego pracowników zgodnie ze wszystkimi Przepisami o Ochronie Danych, w tym w szczególności, bez ograniczeń, z postanowieniami Przepisów o Ochronie Danych dotyczącymi ujawniania informacji, świadomej i wyraźnej zgody oraz reklamy ukierunkowanej, w tym z Rozdziałem II RODO. Ponadto Klient zobowiązuje się bronić zcal, zwolnić zcal z odpowiedzialności i zabezpieczyć zcal przed wszelkimi stratami, kosztami (w tym uzasadnionymi rzeczywiście poniesionymi kosztami obsługi prawnej i kosztami sądowymi), szkodami lub odpowiedzialnością wynikającymi z jakiegokolwiek roszczenia związanego z naruszeniem niniejszej Sekcji 6.

7.0 Ochrona danych

7.1 Bezpieczeństwo danych. zcal dołoży komercyjnie uzasadnionych starań, aby chronić bezpieczeństwo, poufność i integralność przekazanych jej Danych Osobowych, stosując uzasadnione zabezpieczenia administracyjne, fizyczne i techniczne. Bez ograniczania powyższego zcal: (a) wdroży uzasadnione zabezpieczenia administracyjne, fizyczne i techniczne (w tym komercyjnie uzasadnione zabezpieczenia przed robakami, końmi trojańskimi i innym kodem zakłócającym lub szkodliwym) w celu ochrony Danych Osobowych zgodnie z Przepisami o Ochronie Danych, odpowiednio do charakteru Danych Osobowych; (b) dołoży komercyjnie uzasadnionych starań, aby Dane Osobowe były odpowiednio bezpieczne i zaszyfrowane, oraz będzie stosować standardowe w branży procedury i systemy bezpieczeństwa mające zastosowanie do wykorzystywania Danych Osobowych, aby zapobiegać nieuprawnionemu dostępowi, kopiowaniu, modyfikowaniu, przechowywaniu, powielaniu, wyświetlaniu lub rozpowszechnianiu Danych Osobowych i podejmować wobec nich szybkie i odpowiednie działania naprawcze; oraz (c) zaprzestanie przechowywania dokumentów zawierających Dane Osobowe lub usunie sposoby, za pomocą których Dane Osobowe mogą zostać powiązane z konkretnymi osobami, w rozsądnie krótkim czasie od chwili, gdy można racjonalnie założyć, że (i) określone cele nie wymagają już przechowywania Danych Osobowych przez zcal oraz (ii) przechowywanie nie jest już konieczne ze względów prawnych lub biznesowych.

7.2 Upoważniony Personel. zcal musi zapewnić, że Upoważniony Personel zobowiązał się do zachowania poufności lub podlega odpowiedniemu ustawowemu obowiązkowi zachowania poufności, z obowiązkami co najmniej tak rygorystycznymi jak obowiązki określone w niniejszej DPA.

7.3 Naruszenia Bezpieczeństwa. Po potwierdzeniu Naruszenia Bezpieczeństwa: (a) zcal niezwłocznie: (i) poinformuje Klienta o Naruszeniu Bezpieczeństwa; (ii) zbada Naruszenie Bezpieczeństwa; (iii) przekaże Klientowi niezbędne szczegóły dotyczące Naruszenia Bezpieczeństwa, zgodnie z wymogami obowiązującego prawa; oraz (iv) podejmie uzasadnione działania, aby zapobiec ponownemu wystąpieniu Naruszenia Bezpieczeństwa; oraz (b) zcal zobowiązuje się współpracować z Klientem w zakresie zarządzania przez niego sytuacją poprzez: (i) zapewnienie uzasadnionej pomocy w dochodzeniu prowadzonym przez Klienta; oraz (ii) udostępnienie odpowiedniej dokumentacji i innych materiałów dotyczących wpływu Naruszenia Bezpieczeństwa na Klienta, w zakresie wymaganym do zachowania zgodności z Przepisami o Ochronie Danych.

8.0 Pomoc

8.1 Pomoc Podmiotu Przetwarzającego. Na pisemne żądanie Klienta zcal zapewni Klientowi uzasadnioną pomoc w zakresie niezbędnym, aby pomóc Klientowi wypełnić jego obowiązki wynikające z Przepisów o Ochronie Danych, w tym poprzez przekazanie Klientowi informacji o technicznych i organizacyjnych środkach bezpieczeństwa zcal oraz w zakresie wymaganym do przeprowadzenia ocen skutków dla ochrony danych.

8.2 Żądania Osób, których Dane Dotyczą. zcal zapewni Klientowi uzasadnioną pomoc w wypełnianiu obowiązków Klienta wobec Osób, których Dane Dotyczą, korzystających z praw przyznanych przez Przepisy o Ochronie Danych w odniesieniu do Danych Osobowych, jeśli Klient nie jest w stanie zrealizować takiego żądania bez pomocy zcal. Jeśli Osoba, której Dane Dotyczą, złoży do zcal żądanie wykonania prawa dotyczącego jej Danych Osobowych, dla których Administratorem jest Klient, zcal niezwłocznie poinformuje Klienta o żądaniu i poradzi Osobie, której Dane Dotyczą, aby złożyła swoje żądanie bezpośrednio Klientowi. Za odpowiedź na żądanie odpowiada Klient.

9.0 Audyty

W ciągu trzydziestu (30) dni od pisemnego żądania Klienta, nie częściej niż raz w roku i z zastrzeżeniem zobowiązań do zachowania poufności określonych w Umowie, zcal udostępni Klientowi (lub uzgodnionemu przez obie strony audytorowi zewnętrznemu) informacje racjonalnie niezbędne do wykazania, że zcal przestrzega obowiązków określonych w niniejszej DPA.

10.0 Postanowienia różne

10.1 Sprzeczność. W przypadku jakiejkolwiek sprzeczności lub niezgodności między niniejszą DPA a Przepisami o Ochronie Danych pierwszeństwo mają Przepisy o Ochronie Danych. W przypadku jakiejkolwiek sprzeczności lub niezgodności między postanowieniami niniejszej DPA a postanowieniami Umowy pierwszeństwo mają postanowienia niniejszej DPA, ale wyłącznie w zakresie, w jakim przedmiot dotyczy Przetwarzania Danych Osobowych.

10.2 Zmiany. Niniejszej DPA nie można zmienić inaczej niż w sposób określony w sekcji „Zmiany” Warunków korzystania zcal lub w postanowieniach dotyczących zmian zawartych w Umowie. Jeśli jakikolwiek organ ochrony danych ustali, że Umowa lub niniejsza DPA są niewystarczające do zachowania zgodności z Przepisami o Ochronie Danych lub ich zmianami, Klient i zcal zgadzają się współpracować w dobrej wierze w celu zmiany Umowy lub niniejszej DPA albo zawarcia dodatkowych, wzajemnie akceptowalnych umów o przetwarzaniu danych, starając się zachować zgodność ze wszystkimi Przepisami o Ochronie Danych.

10.3 Odpowiedzialność. Odpowiedzialność każdej ze Stron wynikająca z niniejszej DPA lub z nią związana, czy to z tytułu umowy, czynu niedozwolonego, czy na podstawie jakiejkolwiek innej teorii prawnej, podlega ograniczeniom odpowiedzialności określonym w Umowie. Dla uniknięcia wątpliwości każde odniesienie w niniejszym dokumencie do „DPA” obejmuje niniejszą DPA oraz jej załączniki i apendyksy.

10.4 Całość porozumienia. Niniejsza DPA nie wpływa na prawa i obowiązki stron wynikające z Umowy, które pozostają w pełni skuteczne. Niniejsza DPA wraz z Umową stanowi ostateczne, pełne i wyłączne porozumienie Stron dotyczące jej przedmiotu i zastępuje oraz łączy wszystkie wcześniejsze rozmowy i umowy między stronami dotyczące tego przedmiotu.

Załącznik A: Standardowe Klauzule Umowne

Niniejszy Aneks stanowi część Standardowych Klauzul Umownych.

Aneks I

A. Lista stron

Podmiot eksportujący dane

Podmiotem eksportującym dane jest Klient.

Adres: Adres Klienta wskazany w Umowie.

Imię i nazwisko, stanowisko i dane kontaktowe osoby wyznaczonej do kontaktów (IOD i/lub przedstawiciel w UE): Dane kontaktowe Klienta podane w Umowie/formularzu zamówienia.

Działania związane z danymi przekazywanymi na podstawie niniejszych Klauzul: Działania wymagane do świadczenia Usług opisanych w Umowie.

Podpis i data: Uznaje się, że Klient podpisał niniejszy Aneks I, akceptując Warunki korzystania zcal.

Podmiot importujący dane

Podmiotem importującym dane jest zcal.

Adres: 9800 Centre Pkwy, Houston, TX 77036

Imię i nazwisko, stanowisko i dane kontaktowe osoby wyznaczonej do kontaktów (IOD i/lub przedstawiciel w UE): Saurabh Chandarana, [email protected]

Działania związane z danymi przekazywanymi na podstawie niniejszych Klauzul: Działania wymagane do świadczenia Usług opisanych w Umowie.

Podpis i data: Uznaje się, że zcal podpisała niniejszy Aneks I, akceptując Warunki korzystania zcal.

B. Opis przekazania

Kategorie osób, których dane osobowe są przekazywane

Podmiot eksportujący dane może przekazywać zcal Dane Osobowe. Zakres tych danych jest określany i kontrolowany wyłącznie przez podmiot eksportujący dane i może obejmować między innymi Dane Osobowe dotyczące następujących grup osób, których dane dotyczą: (i) użytkowników końcowych podmiotu eksportującego dane, w tym pracowników, wykonawców, przedstawicieli, partnerów biznesowych, współpracowników i klientów; oraz (ii) osób, z którymi podmiot eksportujący dane umawia spotkania za pośrednictwem Usług podmiotu importującego dane, co może obejmować ich przedstawicieli, partnerów biznesowych, współpracowników, klientów i potencjalnych klientów.

Kategorie przekazywanych danych osobowych

Podmiot eksportujący dane może przekazywać zcal Dane Osobowe. Zakres tych danych jest określany i kontrolowany wyłącznie przez podmiot eksportujący dane i może obejmować między innymi następujące kategorie Danych Osobowych: (a) imię i nazwisko; (b) tytuł; (c) stanowisko; (d) pracodawcę; (e) dane kontaktowe (firma, adres e-mail, telefon, fizyczny adres służbowy); (f) dane dotyczące połączenia; (g) dane lokalizacyjne; oraz (h) inne dane elektroniczne wykorzystywane przez Klienta w związku z Usługami.

Przekazywane dane szczególnie chronione (jeśli dotyczy)

Brak

Częstotliwość przekazywania

Ciągła

Charakter przetwarzania

Operacje mogą obejmować zbieranie, przechowywanie, pobieranie, przeglądanie, wykorzystywanie, usuwanie lub niszczenie, ujawnianie poprzez przesłanie, rozpowszechnianie lub inne udostępnianie danych podmiotu eksportującego dane w zakresie niezbędnym do świadczenia Usług zgodnie z poleceniami podmiotu eksportującego dane, w tym do powiązanych celów wewnętrznych (takich jak kontrola jakości, rozwiązywanie problemów, rozwój produktu itp.).

Cel(e) przekazania danych i dalszego przetwarzania

Celem Przetwarzania Danych Osobowych przez zcal jest wykonanie usług umownych na podstawie Umowy z podmiotem eksportującym dane.

Okres, przez który dane osobowe będą przechowywane, lub, jeżeli nie jest to możliwe, kryteria ustalania tego okresu.

Dane osobowe są przechowywane tak długo, jak jest to racjonalnie niezbędne do osiągnięcia celów, w których zostały zebrane, do wypełnienia naszych zobowiązań umownych i prawnych oraz przez wszelkie mające zastosowanie okresy przedawnienia na potrzeby dochodzenia roszczeń i obrony przed nimi.

W przypadku przekazywania danych do (pod)podmiotów przetwarzających należy również określić przedmiot, charakter i czas trwania przetwarzania:

Przedmiot i charakter Przetwarzania przez podmioty podprzetwarzające są opisane w Aneksie III do niniejszej DPA. Przetwarzanie przez podmioty podprzetwarzające będzie trwało tak długo, jak podmiot importujący dane świadczy Usługi na rzecz podmiotu eksportującego dane na podstawie Umowy.

C. Właściwy organ nadzorczy

Jeśli zastosowanie ma unijne RODO, właściwym organem nadzorczym będzie irlandzki Komisarz ds. Ochrony Danych (Data Protection Commissioner). Jeśli zastosowanie ma brytyjskie RODO, właściwym organem nadzorczym będzie brytyjskie Biuro Komisarza ds. Informacji (Information Commissioner’s Office).

Aneks II: Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne mające na celu zapewnienie bezpieczeństwa danych

Podmiot Przetwarzający będzie utrzymywać uzasadnione zabezpieczenia administracyjne, fizyczne i techniczne w celu ochrony bezpieczeństwa, poufności i integralności Danych Osobowych przekazanych Podmiotowi Przetwarzającemu, zgodnie z opisem w niniejszej DPA oraz pod następującym linkiem: https://zcal.co/security.

Aneks III: Podmioty podprzetwarzające Podmiotu Przetwarzającego

Zawierając niniejszą DPA, Klient zezwolił na korzystanie z wymienionych podmiotów podprzetwarzających, których lista znajduje się tutaj: https://zcal.co/data-processors.

Załącznik B: Dodatek Brytyjski

Standardowe klauzule ochrony danych wydawane przez Komisarza na podstawie S119A(1) Data Protection Act 2018

Dodatek dotyczący międzynarodowego przekazywania danych do Standardowych Klauzul Umownych Komisji UE

WERSJA B1.0, OBOWIĄZUJE OD 21 MARCA 2022 R.

Niniejszy Dodatek został wydany przez Komisarza ds. Informacji (Information Commissioner) dla Stron dokonujących Przekazań Ograniczonych. Komisarz ds. Informacji uznaje, że zapewnia on Odpowiednie Zabezpieczenia dla Przekazań Ograniczonych, jeśli zostanie zawarty jako prawnie wiążąca umowa.

Część 1: Tabele

Tabela 1: Strony

Eksporter (który wysyła dane w ramach Przekazania Ograniczonego)

Pełna nazwa prawna: Zgodnie z Aneksem I do Załącznika A
Nazwa handlowa (jeśli inna): nie dotyczy
Adres główny (jeśli spółka – adres siedziby): Zgodnie z Aneksem I do Załącznika A
Urzędowy numer rejestrowy (jeśli istnieje) (numer spółki lub podobny identyfikator): nie dotyczy
Imię i nazwisko (opcjonalnie): Zgodnie z Aneksem I do Załącznika A
Stanowisko: Zgodnie z Aneksem I do Załącznika A
Dane kontaktowe, w tym adres e-mail: Zgodnie z Aneksem I do Załącznika A
Podpis: Uznaje się, że Eksporter podpisał niniejszy Dodatek, akceptując Warunki korzystania zcal.

Importer (który otrzymuje dane w ramach Przekazania Ograniczonego)

Pełna nazwa prawna: zcal
Nazwa handlowa (jeśli inna): nie dotyczy
Adres główny (jeśli spółka – adres siedziby): Zgodnie z Aneksem I do Załącznika A
Urzędowy numer rejestrowy (jeśli istnieje) (numer spółki lub podobny identyfikator): nie dotyczy
Imię i nazwisko (opcjonalnie): Zgodnie z Aneksem I do Załącznika A
Stanowisko: Zgodnie z Aneksem I do Załącznika A
Dane kontaktowe, w tym adres e-mail: Zgodnie z Aneksem I do Załącznika A
Podpis: Uznaje się, że Importer podpisał niniejszy Dodatek, akceptując Warunki korzystania zcal.

Tabela 2: Wybrane SCC, moduły i wybrane klauzule

SCC UE objęte Dodatkiem

Wersja Zatwierdzonych SCC UE, do której dołączony jest niniejszy Dodatek, opisana poniżej, w tym Informacje z Apendyksu:

Data: Zgodnie z DPA
Numer referencyjny: nie dotyczy
Inny identyfikator (jeśli istnieje): nie dotyczy

Tabela 3: Informacje z Apendyksu

„Informacje z Apendyksu” oznaczają informacje wymagane dla wybranych modułów, określone w Apendyksie do Zatwierdzonych SCC UE (z wyłączeniem Stron), które na potrzeby niniejszego Dodatku są określone w:

Aneks 1A: Lista stron: Zgodnie z Aneksem I do Załącznika A

Aneks 1B: Opis przekazania: Zgodnie z Aneksem I do Załącznika A

Aneks II: Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne mające na celu zapewnienie bezpieczeństwa danych: Zgodnie z Aneksem II do Załącznika A

Aneks III: Lista podmiotów podprzetwarzających (tylko Moduły 2 i 3): Zgodnie z Aneksem III do Załącznika A

Tabela 4: Zakończenie niniejszego Dodatku w przypadku zmiany Zatwierdzonego Dodatku

Które Strony mogą zakończyć niniejszy Dodatek zgodnie z Sekcją 19:

Importer
Eksporter

Część 2: Klauzule obowiązkowe

Klauzule obowiązkowe

Część 2: Klauzule obowiązkowe Zatwierdzonego Dodatku, będącego wzorem Dodatku B.1.0 wydanym przez ICO i przedłożonym Parlamentowi zgodnie z s119A Data Protection Act 2018 w dniu 2 lutego 2022 r., zaktualizowanym na podstawie Sekcji 18 tych Klauzul obowiązkowych.