Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Administratorem danych jest Lokal, który założył Konto lub zawarł umowę z Usługodawcą (dalej: Administrator).
2. Podmiotem przetwarzającym jest instaPRO Kamil Grzelak, Michowo 6a, 09-100 Płońsk, NIP 5671921592 (dalej: Przetwarzający).
3. Umowa zostaje zawarta w formie elektronicznej z chwilą akceptacji Regulaminu przy zakładaniu Konta albo zawieraniu umowy. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§ 2. Przedmiot, cel i czas

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w celu prowadzenia Programu lojalnościowego Administratora: wydawania i aktualizowania Kart, obsługi Skanera, prowadzenia historii pieczątek i nagród oraz wysyłania wiadomości do Posiadaczy na polecenie Administratora.
2. Przetwarzanie obejmuje zbieranie, zapisywanie, przechowywanie, porządkowanie, wyświetlanie, przesyłanie w celu doręczenia Kart i wiadomości, eksport na prośbę Administratora i usuwanie danych.
3. Umowa obowiązuje przez czas korzystania przez Administratora z usług LoyalPRO, a po jego zakończeniu do czasu usunięcia lub zwrotu danych zgodnie z § 10.

§ 3. Rodzaj danych i kategorie osób

1. Posiadacze Kart: imię, numer telefonu lub adres e-mail, dzień i miesiąc urodzin (jeśli Administrator korzysta z rabatu urodzinowego), liczba pieczątek, daty wizyt, wydane nagrody, zgody na wiadomości wraz z treścią zgody i datą, historia wysłanych wiadomości, techniczne identyfikatory Karty i urządzenia.
2. Personel Administratora: imię, PIN do Skanera zapisany w postaci skrótu kryptograficznego, historia skanów.
3. Powierzone dane nie obejmują szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator nie wprowadza takich danych do systemu.

§ 4. Obowiązki podmiotu przetwarzającego

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin, niniejsza umowa oraz ustawienia i działania Administratora w Panelu, w tym wysyłka wiadomości i eksport danych.
2. Przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza przepisy o ochronie danych.
3. Do danych mają dostęp wyłącznie osoby upoważnione przez Przetwarzającego, zobowiązane do zachowania ich w tajemnicy, także po zakończeniu współpracy.
4. Przetwarzający pomaga Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, w odpowiadaniu na żądania osób, których dane dotyczą (art. 12–22 RODO), oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO. Żądanie skierowane bezpośrednio do Przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki.
5. Przetwarzający nie wykorzystuje powierzonych danych do własnych celów, nie sprzedaje ich i nie używa do reklam.

§ 5. Bezpieczeństwo

1. Przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności: szyfrowanie połączeń (HTTPS), oddzielenie danych każdego Lokalu, kontrolę dostępu i weryfikację dwuetapową dla administratorów systemu, przechowywanie haseł i PIN-ów wyłącznie w postaci skrótów, rejestrowanie istotnych zdarzeń, regularne kopie zapasowe oraz aktualizacje oprogramowania.
2. Przetwarzający regularnie sprawdza skuteczność tych środków i dostosowuje je do zmian ryzyka.

§ 6. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających w następujących kategoriach: dostawca serwerów i centrum danych w Unii Europejskiej, dostawcy usług wysyłki e-maili, operator bramki SMS, Apple i Google w zakresie doręczania i aktualizowania Kart w Portfelu.
2. Aktualną listę dalszych podmiotów przetwarzających z ich nazwami i siedzibami Przetwarzający udostępnia Administratorowi na żądanie, przesłane na kontakt@loyalpro.pl.
3. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie wyrazić sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym.
4. Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Administratora za ich wykonanie.

§ 7. Przekazywanie danych poza EOG

Dane mogą być przekazywane poza Europejski Obszar Gospodarczy wyłącznie z zachowaniem zabezpieczeń z rozdziału V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych.

§ 8. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres przypisany do Konta.
2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są znane; brakujące informacje Przetwarzający przekazuje niezwłocznie po ich ustaleniu.
3. Przetwarzający podejmuje działania w celu ograniczenia skutków naruszenia i współpracuje z Administratorem przy jego wyjaśnianiu.

§ 9. Kontrola

1. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt lub inspekcję, sam albo przez upoważnionego audytora zobowiązanego do poufności, po zawiadomieniu Przetwarzającego z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku, chyba że kontrola wiąże się z naruszeniem ochrony danych albo żądaniem organu nadzorczego. Kontrola nie może naruszać tajemnicy przedsiębiorstwa Przetwarzającego ani danych innych Lokali.

§ 10. Zakończenie

1. Po zakończeniu świadczenia usług Przetwarzający, zgodnie z decyzją Administratora, zwraca mu dane w postaci eksportu albo je usuwa, w terminie 30 dni, chyba że przepisy prawa nakazują ich dalsze przechowywanie. Brak decyzji w tym terminie oznacza polecenie usunięcia.
2. Kopie zapasowe są nadpisywane w cyklu nie dłuższym niż 30 dni; do tego czasu dane w kopiach są chronione i nie są używane.

§ 11. Postanowienia końcowe

1. Odpowiedzialność stron za szkody wynikłe z naruszenia przepisów o ochronie danych określa art. 82 RODO.
2. W sprawach nieuregulowanych stosuje się Regulamin, RODO oraz przepisy prawa polskiego.
3. Zmiany umowy wprowadza się w trybie zmiany Regulaminu.