Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Umowy zawartej między UAB Ocoya („Ocoya”) a podmiotem będącym klientem, który jest stroną Umowy jako Członek („Klient”), i podlega jej warunkom. Wszystkie terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszej DPA, mają znaczenie nadane im w Umowie. Dla uniknięcia wątpliwości wszelkie odniesienia do „Umowy” obejmują niniejszą DPA (w tym SKU (w stosownych przypadkach), zgodnie z definicją zawartą w niniejszym dokumencie).

1. Definicje

„Podmiot powiązany” oznacza podmiot, który bezpośrednio lub pośrednio Kontroluje dany podmiot, jest przez niego Kontrolowany lub pozostaje wraz z nim pod wspólną Kontrolą.

„Umowa” oznacza nasze Warunki korzystania z usług lub inną pisemną bądź elektroniczną umowę regulującą świadczenie Usługi na rzecz Klienta, z uwzględnieniem ich ewentualnych aktualizacji dokonywanych od czasu do czasu.

„Kontrola” oznacza udział własnościowy, udział w prawach głosu lub podobny udział stanowiący pięćdziesiąt procent (50%) lub więcej wszystkich istniejących w danym czasie udziałów w danym podmiocie. Termin „Kontrolowany” należy interpretować odpowiednio.

„Dane Klienta” oznaczają wszelkie dane osobowe, które przetwarzamy w imieniu Klienta za pośrednictwem Usługi, zgodnie z bardziej szczegółowym opisem zawartym w niniejszej DPA.

„Przepisy o ochronie danych” oznaczają wszystkie przepisy ustawowe i wykonawcze dotyczące ochrony danych, mające zastosowanie do przetwarzania Danych Klienta przez daną stronę na podstawie Umowy, w tym, w stosownych przypadkach, Europejskie przepisy o ochronie danych oraz Pozaeuropejskie przepisy o ochronie danych.

„Europejskie przepisy o ochronie danych” oznaczają wszystkie przepisy ustawowe i wykonawcze dotyczące ochrony danych mające zastosowanie w Europie, w tym (i) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych) („RODO”); (ii) Dyrektywę 2002/58/WE dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej; (iii) właściwe krajowe przepisy wdrażające akty, o których mowa w pkt (i) i (ii); (iv) RODO w brzmieniu stanowiącym część prawa Zjednoczonego Królestwa na mocy sekcji 3 brytyjskiej ustawy o wystąpieniu z Unii Europejskiej z 2018 r. (UK European Union (Withdrawal) Act 2018) oraz brytyjską ustawę o ochronie danych z 2018 r. (UK Data Protection Act 2018) (łącznie „Brytyjskie przepisy o ochronie danych”); oraz (v) szwajcarską federalną ustawę o ochronie danych z dnia 19 czerwca 1992 r. wraz z rozporządzeniem wykonawczym („Szwajcarska ustawa o ochronie danych”).

„Europa” oznacza, do celów niniejszej DPA, Europejski Obszar Gospodarczy i jego państwa członkowskie („EOG”), Szwajcarię oraz Zjednoczone Królestwo („UK”).

„Pozaeuropejskie przepisy o ochronie danych” oznaczają kalifornijską ustawę o ochronie prywatności konsumentów (California Consumer Privacy Act, „CCPA”); kanadyjską ustawę o ochronie danych osobowych i dokumentach elektronicznych (Personal Information Protection and Electronic Documents Act, „PIPEDA”); brazylijską ogólną ustawę o ochronie danych (Lei Geral de Proteção de Dados, „LGPD”), ustawę federalną nr 13,709/2018; oraz australijską ustawę o ochronie prywatności z 1988 r. (Privacy Act 1988 (Cth)) z późniejszymi zmianami („Australijskie prawo o ochronie prywatności”).

„SKU” oznaczają (i) standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi, przyjęte przez Komisję Europejską w jej decyzji wykonawczej (UE) 2021/91 z dnia 4 czerwca 2021 r.; lub (ii) standardowe klauzule umowne między podmiotami przetwarzającymi, przyjęte przez Komisję Europejską w jej decyzji wykonawczej (UE) 2021/91 z dnia 4 czerwca 2021 r.; w zależności od przypadku zgodnie z Sekcją 6.3.

„Incydent bezpieczeństwa” oznacza każde nieuprawnione lub niezgodne z prawem naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty lub zmodyfikowania Danych Klienta, nieuprawnionego ujawnienia Danych Klienta lub nieuprawnionego dostępu do nich, w systemach zarządzanych lub w inny sposób kontrolowanych przez Ocoya.

„Dane wrażliwe” oznaczają (a) numer ubezpieczenia społecznego, numer identyfikacji podatkowej, numer paszportu, numer prawa jazdy lub podobny identyfikator (lub jakąkolwiek jego część); (b) numer karty kredytowej lub debetowej (z wyjątkiem skróconego numeru (ostatnie cztery cyfry) karty kredytowej lub debetowej); (c) informacje dotyczące zatrudnienia, finansów, zdolności kredytowej, dane genetyczne, biometryczne lub dotyczące zdrowia; (d) pochodzenie rasowe lub etniczne, poglądy polityczne lub przynależność religijną, przynależność do związków zawodowych, informacje dotyczące życia seksualnego lub orientacji seksualnej bądź karalności; (e) hasła do kont; lub (f) inne informacje mieszczące się w definicji „szczególnych kategorii danych” na gruncie właściwych Przepisów o ochronie danych.

„Dalszy podmiot przetwarzający” oznacza każdy podmiot przetwarzający, z którego usług korzysta Ocoya lub jej Podmioty powiązane w celu wsparcia w wykonywaniu jej zobowiązań dotyczących świadczenia Usługi na podstawie Umowy lub niniejszej DPA. Dalszymi podmiotami przetwarzającymi mogą być podmioty trzecie lub Podmioty powiązane Ocoya, z wyłączeniem jednak pracowników, wykonawców lub konsultantów Ocoya.

„Addendum UK” oznacza Addendum dotyczące międzynarodowego przekazywania danych (International Data Transfer Addendum) (wersja B1.0) wydane przez Information Commisioners Office na podstawie art. 119(A) brytyjskiej ustawy o ochronie danych z 2018 r. (UK Data Protection Act 2018), z uwzględnieniem jego aktualizacji lub zmian dokonywanych od czasu do czasu.

Terminy „dane osobowe”, „administrator”, „osoba, której dane dotyczą”, „podmiot przetwarzający” i „przetwarzanie” mają znaczenie nadane im we właściwych Przepisach o ochronie danych, a jeżeli nie zostały w nich zdefiniowane – w RODO, natomiast terminy „przetwarzać”, „przetwarza” i „przetwarzany” w odniesieniu do jakichkolwiek Danych Klienta należy interpretować odpowiednio.

2. Role i obowiązki

Role stron — Europejskie przepisy o ochronie danych lub LGPD mają zastosowanie do przetwarzania Danych Klienta przez którąkolwiek ze stron; strony przyjmują do wiadomości i zgadzają się, że w odniesieniu do przetwarzania Danych Klienta Ocoya jest podmiotem przetwarzającym działającym w imieniu Klienta (niezależnie od tego, czy Klient sam jest administratorem, czy podmiotem przetwarzającym). Dla uniknięcia wątpliwości niniejsza DPA nie ma zastosowania w przypadkach, w których Ocoya jest administratorem (w rozumieniu Europejskich przepisów o ochronie danych), chyba że w Załączniku C (Warunki właściwe dla poszczególnych jurysdykcji) do niniejszej DPA postanowiono inaczej.

Ograniczenie celu — Ocoya przetwarza Dane Klienta, zgodnie z dalszym opisem zawartym w Załączniku A (Szczegóły przetwarzania danych) do niniejszej DPA, wyłącznie zgodnie z udokumentowanymi, zgodnymi z prawem poleceniami Klienta określonymi w niniejszej DPA, w zakresie niezbędnym do zapewnienia zgodności z obowiązującym prawem lub w inny sposób uzgodniony na piśmie („Dozwolone cele”). Strony uzgadniają, że Umowa, w tym niniejsza DPA, wraz z dokonaną przez Klienta konfiguracją lub wykorzystaniem jakichkolwiek ustawień, funkcji lub opcji w Usłudze (które Klient może od czasu do czasu modyfikować) stanowią pełne i ostateczne polecenia Klienta skierowane do Ocoya w odniesieniu do przetwarzania Danych Klienta (w tym do celów SKU), a przetwarzanie wykraczające poza zakres tych poleceń (jeżeli takie występuje) wymaga uprzedniego pisemnego porozumienia między stronami.

Dane zakazane — Klient nie będzie przekazywać (ani powodować przekazywania) Ocoya jakichkolwiek Danych wrażliwych do przetwarzania na podstawie Umowy, a Ocoya nie ponosi żadnej odpowiedzialności za Dane wrażliwe, czy to w związku z Incydentem bezpieczeństwa, czy w inny sposób. Dla uniknięcia wątpliwości niniejsza DPA nie ma zastosowania do Danych wrażliwych.

Zgodność po stronie Klienta — Klient oświadcza i zapewnia, że (i) przestrzegał i będzie nadal przestrzegać wszystkich obowiązujących przepisów prawa, w tym Przepisów o ochronie danych, w odniesieniu do przetwarzania przez siebie Danych Klienta oraz wszelkich poleceń dotyczących przetwarzania, które wydaje Ocoya; oraz (ii) przekazał i będzie nadal przekazywać wszelkie informacje oraz uzyskał i będzie nadal uzyskiwać wszelkie zgody i prawa niezbędne na gruncie Przepisów o ochronie danych do tego, aby Ocoya mogła przetwarzać Dane Klienta w celach opisanych w Umowie. Klient ponosi wyłączną odpowiedzialność za prawidłowość, jakość i legalność Danych Klienta oraz za sposób, w jaki Klient pozyskał Dane Klienta. Bez uszczerbku dla ogólnego charakteru powyższego Klient zgadza się, że odpowiada za przestrzeganie wszystkich przepisów prawa (w tym Przepisów o ochronie danych) mających zastosowanie do wszelkich Kampanii (w rozumieniu Umowy) lub innych treści tworzonych, wysyłanych lub zarządzanych za pośrednictwem Usługi.

Zgodność z prawem poleceń Klienta — Klient zapewni, że przetwarzanie Danych Klienta przez Ocoya zgodnie z poleceniami Klienta nie spowoduje naruszenia przez Ocoya jakichkolwiek obowiązujących przepisów ustawowych, wykonawczych lub zasad, w tym, bez ograniczeń, Przepisów o ochronie danych. Ocoya niezwłocznie powiadomi Klienta na piśmie, o ile nie zabraniają jej tego Europejskie przepisy o ochronie danych, jeżeli dowie się lub uzna, że jakiekolwiek polecenie Klienta dotyczące przetwarzania danych narusza Europejskie przepisy o ochronie danych. Jeżeli Klient działa jako podmiot przetwarzający w imieniu administratora będącego podmiotem trzecim (lub innego pośrednika działającego na rzecz ostatecznego administratora), Klient zapewnia, że jego polecenia dotyczące przetwarzania określone w Umowie i niniejszej DPA, w tym udzielone Ocoya upoważnienia do powierzania przetwarzania Dalszym podmiotom przetwarzającym zgodnie z niniejszą DPA, zostały zatwierdzone przez właściwego administratora. Klient pełni funkcję jedynego punktu kontaktowego dla Ocoya, a Ocoya nie ma obowiązku bezpośredniej interakcji (w tym przekazywania powiadomień lub uzyskiwania upoważnień) z jakimkolwiek administratorem będącym podmiotem trzecim, inaczej niż w ramach zwykłego świadczenia Usługi w zakresie wymaganym na podstawie Umowy. W stosownych przypadkach Klient odpowiada za przekazywanie właściwemu administratorowi wszelkich powiadomień otrzymanych na podstawie niniejszej DPA.

3. Dalsze powierzenie przetwarzania

Upoważnione dalsze podmioty przetwarzające — Klient zgadza się, że Ocoya może korzystać z usług Dalszych podmiotów przetwarzających w celu przetwarzania Danych Klienta w imieniu Klienta. Dalsze podmioty przetwarzające, z których usług Ocoya obecnie korzysta i które zostały przez nią upoważnione, a Ocoya powiadomi Klienta o dodaniu lub usunięciu Dalszych podmiotów przetwarzających co najmniej 10 dni przed wprowadzeniem takich zmian, jeżeli Klient wyrazi zgodę na otrzymywanie takich powiadomień.

Obowiązki Dalszych podmiotów przetwarzających — Ocoya: (i) zawrze z każdym Dalszym podmiotem przetwarzającym pisemną umowę zawierającą obowiązki w zakresie ochrony danych zapewniające co najmniej taki sam poziom ochrony Danych Klienta jak obowiązki określone w niniejszej DPA, w zakresie, w jakim mają one zastosowanie do charakteru usługi świadczonej przez dany Dalszy podmiot przetwarzający; oraz (ii) pozostaje odpowiedzialna za przestrzeganie przez taki Dalszy podmiot przetwarzający obowiązków wynikających z niniejszej DPA oraz za wszelkie działania lub zaniechania takiego Dalszego podmiotu przetwarzającego, które powodują naruszenie przez Ocoya któregokolwiek z jej obowiązków wynikających z niniejszej DPA. Klient przyjmuje do wiadomości i zgadza się, że w stosownych przypadkach Ocoya wypełnia swoje obowiązki wynikające z Klauzuli 9 Klauzul 2021 między administratorem a podmiotem przetwarzającym oraz Klauzul 2021 między podmiotami przetwarzającymi (w zależności od przypadku) poprzez przestrzeganie niniejszej Sekcji 3, a także że ze względu na ograniczenia wynikające z obowiązku zachowania poufności Ocoya może nie mieć możliwości ujawnienia Klientowi umów z Dalszymi podmiotami przetwarzającymi, jednak na żądanie Ocoya dołoży uzasadnionych starań, aby przekazać Klientowi wszelkie istotne informacje, jakie może w uzasadniony sposób przekazać w związku z umowami z Dalszymi podmiotami przetwarzającymi.

4. Bezpieczeństwo

Środki bezpieczeństwa — Ocoya wdroży i będzie utrzymywać odpowiednie techniczne i organizacyjne środki bezpieczeństwa mające na celu ochronę Danych Klienta przed Incydentami bezpieczeństwa oraz zachowanie bezpieczeństwa i poufności Danych Klienta zgodnie ze standardami bezpieczeństwa Ocoya opisanymi w Załączniku B („Środki bezpieczeństwa”) do niniejszej DPA.

Poufność przetwarzania — Ocoya zapewni, że każda osoba upoważniona przez Ocoya do przetwarzania Danych Klienta (w tym jej personel, przedstawiciele i podwykonawcy) będzie podlegać odpowiedniemu obowiązkowi zachowania poufności (umownemu lub ustawowemu).

Aktualizacje środków bezpieczeństwa — Klient odpowiada za zapoznanie się z udostępnionymi przez Ocoya informacjami dotyczącymi bezpieczeństwa danych oraz za samodzielną ocenę, czy Usługa spełnia wymagania Klienta i jego obowiązki prawne wynikające z Przepisów o ochronie danych. Klient przyjmuje do wiadomości, że Środki bezpieczeństwa podlegają postępowi technicznemu i rozwojowi oraz że Ocoya może od czasu do czasu aktualizować lub modyfikować Środki bezpieczeństwa, pod warunkiem że takie aktualizacje i modyfikacje nie spowodują obniżenia ogólnego poziomu bezpieczeństwa Usługi świadczonej na rzecz Klienta.

Reagowanie na Incydenty bezpieczeństwa — Po uzyskaniu wiedzy o Incydencie bezpieczeństwa Ocoya: (i) powiadomi Klienta bez zbędnej zwłoki, a jeżeli to możliwe – w ciągu 48 godzin od uzyskania takiej wiedzy; (ii) będzie terminowo przekazywać informacje dotyczące Incydentu bezpieczeństwa w miarę ich uzyskiwania lub zgodnie z uzasadnionym żądaniem Klienta; oraz (iii) niezwłocznie podejmie uzasadnione kroki w celu ograniczenia skutków i zbadania każdego Incydentu bezpieczeństwa. Powiadomienie o Incydencie bezpieczeństwa lub reakcja na niego przez Ocoya na podstawie niniejszej Sekcji 4.4 nie mogą być interpretowane jako uznanie przez Ocoya jakiejkolwiek winy lub odpowiedzialności w związku z Incydentem bezpieczeństwa.

Obowiązki Klienta — Niezależnie od powyższego Klient zgadza się, że z zastrzeżeniem postanowień niniejszej DPA odpowiada za bezpieczne korzystanie z Usługi, w tym za zabezpieczenie swoich danych uwierzytelniających do konta, ochronę bezpieczeństwa Danych Klienta podczas ich przesyłania do Usługi i z Usługi oraz podjęcie wszelkich odpowiednich kroków w celu bezpiecznego zaszyfrowania lub wykonania kopii zapasowej wszelkich Danych Klienta przesłanych do Usługi.

5. Raporty bezpieczeństwa i audyty

Prawa audytu — Ocoya udostępni Klientowi wszelkie informacje w uzasadniony sposób niezbędne do wykazania zgodności z niniejszą DPA oraz umożliwi przeprowadzanie audytów, w tym inspekcji przez Klienta w celu oceny zgodności z niniejszą DPA, i będzie się do nich przyczyniać. Klient przyjmuje do wiadomości i zgadza się, że będzie wykonywać swoje prawa audytu wynikające z niniejszej DPA (w tym z niniejszej Sekcji 5.1 oraz, w stosownych przypadkach, z SKU) oraz wszelkie prawa audytu przyznane przez Przepisy o ochronie danych poprzez polecenie Ocoya zastosowania się do środków audytowych opisanych w poniższych sekcjach.

Raporty bezpieczeństwa — Klient przyjmuje do wiadomości, że Ocoya podlega regularnym audytom pod kątem zgodności ze standardami SSAE 16 i PCI przeprowadzanym odpowiednio przez niezależnych zewnętrznych audytorów i audytorów wewnętrznych. Na pisemne żądanie Ocoya przekaże Klientowi (z zastrzeżeniem poufności) skróconą kopię swojego najbardziej aktualnego raportu (raportów) z audytu („Raport”), aby Klient mógł zweryfikować zgodność Ocoya ze standardami audytowymi, według których została oceniona, oraz z niniejszą DPA.

Badanie due diligence w zakresie bezpieczeństwa — Oprócz Raportu Ocoya odpowie na wszystkie uzasadnione wnioski Klienta o udzielenie informacji w celu potwierdzenia zgodności Ocoya z niniejszą DPA, w tym udzieli odpowiedzi na kwestionariusze dotyczące bezpieczeństwa informacji, due diligence i audytu, udostępniając dodatkowe informacje dotyczące swojego programu bezpieczeństwa informacji na pisemny wniosek Klienta skierowany na adres support@ocoya.com, pod warunkiem że Klient nie będzie korzystać z tego prawa częściej niż raz w roku kalendarzowym.

6. Przekazywanie danych do państw trzecich

Lokalizacje centrów danych — Z zastrzeżeniem poniższej Sekcji Klient przyjmuje do wiadomości, że Ocoya może przekazywać Dane Klienta do Stanów Zjednoczonych i w dowolne inne miejsce na świecie, w którym Ocoya, jej Podmioty powiązane lub jej Dalsze podmioty przetwarzające prowadzą operacje przetwarzania danych, i przetwarzać je w tych miejscach. Ocoya zawsze zapewni, aby takie przekazywanie odbywało się zgodnie z wymogami Przepisów o ochronie danych i niniejszej DPA.

Dane z Australii. W zakresie, w jakim Ocoya jest odbiorcą Danych Klienta chronionych przez Australijskie prawo o ochronie prywatności, strony przyjmują do wiadomości i zgadzają się, że Ocoya może przekazywać takie Dane Klienta poza terytorium Australii w sposób dozwolony warunkami uzgodnionymi przez strony, pod warunkiem przestrzegania przez Ocoya niniejszej DPA i Australijskiego prawa o ochronie prywatności.

Przekazywanie danych z EOG. W zakresie, w jakim Ocoya jest odbiorcą Danych Klienta chronionych przez RODO w państwie spoza EOG, które nie zostało uznane za zapewniające odpowiedni stopień ochrony danych osobowych (zgodnie z właściwymi Europejskimi przepisami o ochronie danych), strony zgadzają się przestrzegać SKU i przetwarzać takie Dane Klienta zgodnie z SKU, które zostają włączone do niniejszej DPA i stanowią jej integralną część.

Przekazywanie danych z UK. W odniesieniu do przekazywania danych, do którego mają zastosowanie Brytyjskie przepisy o ochronie danych, zastosowanie mają SKU, które uważa się za zmienione w sposób określony w Addendum UK. Addendum UK uważa się za zawarte przez strony oraz włączone do niniejszej DPA i stanowiące jej integralną część. Ponadto: Tabele 1–3 w Części 1 Addendum UK uważa się za wypełnione informacjami określonymi w Załącznikach I i II do odpowiednich SKU; a Tabelę 4 w Części 1 Addendum UK uważa się za wypełnioną poprzez wybór opcji „żadna ze stron”.

Przekazywanie danych ze Szwajcarii. W odniesieniu do przekazywania danych, do którego ma zastosowanie Szwajcarska ustawa o ochronie danych, SKU mają zastosowanie zgodnie z Sekcją 6.3 z następującymi zmianami: (i) odniesienia do „rozporządzenia (UE) 2016/679” należy interpretować jako odniesienia do Szwajcarskiej ustawy o ochronie danych; (ii) odniesienia do konkretnych artykułów „rozporządzenia (UE) 2016/679” zastępuje się odpowiadającym im artykułem lub sekcją Szwajcarskiej ustawy o ochronie danych; (iii) odniesienia do „UE”, „Unii” i „prawa państwa członkowskiego” zastępuje się odniesieniem do „Szwajcarii”; (iv) Klauzulę 13 lit. a) oraz Część C Załącznika II skreśla się; (v) odniesienia do „właściwego organu nadzorczego” i „właściwych sądów” zastępuje się odniesieniami do „Szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji” oraz „właściwych sądów w Szwajcarii”; (vi) Klauzulę 17 zastępuje się postanowieniem o treści „Klauzule podlegają prawu Szwajcarii”; oraz (vii) Klauzulę 18 zastępuje się postanowieniem o treści „Wszelkie spory wynikające z niniejszych Klauzul rozstrzygają właściwe sądy Szwajcarii. Strony zgadzają się poddać jurysdykcji tych sądów”.

Przestrzeganie SKU. Strony uzgadniają, że jeżeli Ocoya nie będzie w stanie zapewnić przestrzegania SKU, niezwłocznie poinformuje Klienta o braku możliwości ich przestrzegania. Jeżeli Klient zamierza zawiesić przekazywanie Danych europejskich lub rozwiązać umowę w zakresie odpowiednich części Usługi, najpierw powiadomi o tym Ocoya i zapewni Ocoya rozsądny okres na usunięcie takiej niezgodności, w trakcie którego Ocoya i Klient będą w rozsądny sposób współpracować w celu uzgodnienia, jakie dodatkowe zabezpieczenia lub środki mogą być w uzasadniony sposób wymagane, jeżeli w ogóle. Klient jest uprawniony do zawieszenia przekazywania danych lub rozwiązania umowy w zakresie odpowiednich części Usługi z powodu nieprzestrzegania SKU wyłącznie wtedy, gdy Ocoya nie usunęła lub nie jest w stanie usunąć niezgodności w rozsądnym terminie.

Alternatywny mechanizm przekazywania. W zakresie, w jakim Ocoya przyjmie alternatywny, zgodny z prawem mechanizm przekazywania Danych europejskich, który nie został opisany w niniejszej DPA („Alternatywny mechanizm przekazywania”), Alternatywny mechanizm przekazywania ma zastosowanie zamiast mechanizmów przekazywania opisanych w niniejszej DPA (lecz wyłącznie w zakresie, w jakim taki Alternatywny mechanizm przekazywania jest zgodny z właściwymi Europejskimi przepisami o ochronie danych i obejmuje państwa, do których przekazywane są Dane europejskie). Ponadto, jeżeli i w zakresie, w jakim właściwy sąd lub organ nadzorczy orzeknie (z jakiegokolwiek powodu), że środki opisane w niniejszej DPA nie mogą stanowić podstawy do zgodnego z prawem przekazywania Danych europejskich (w rozumieniu właściwych Europejskich przepisów o ochronie danych), Ocoya może wdrożyć wszelkie dodatkowe środki lub zabezpieczenia, które mogą być w uzasadniony sposób wymagane w celu umożliwienia zgodnego z prawem przekazywania Danych europejskich.

7. Zwrot lub usunięcie danych

Usunięcie lub zwrot po rozwiązaniu Umowy. Po rozwiązaniu lub wygaśnięciu Umowy Ocoya (według wyboru Klienta) usunie lub zwróci Klientowi wszystkie Dane Klienta (w tym kopie) znajdujące się w jej posiadaniu lub pod jej kontrolą, z tym że wymóg ten nie ma zastosowania w zakresie, w jakim Ocoya jest zobowiązana na mocy obowiązującego prawa do przechowywania części lub całości Danych Klienta, ani do Danych Klienta zarchiwizowanych przez nią w systemach kopii zapasowych, które to Dane Klienta Ocoya w bezpieczny sposób odizoluje, zabezpieczy przed jakimkolwiek dalszym przetwarzaniem i ostatecznie usunie zgodnie z zasadami usuwania danych Ocoya, z wyjątkiem zakresu wymaganego przez obowiązujące prawo. Strony uzgadniają, że poświadczenie usunięcia Danych Klienta, o którym mowa w Klauzuli 8.5 i 16 lit. d) Klauzul 2021 między administratorem a podmiotem przetwarzającym oraz Klauzul 2021 między podmiotami przetwarzającymi (w zależności od przypadku), zostanie przekazane Klientowi przez Ocoya wyłącznie na pisemne żądanie Klienta.

8. Prawa osób, których dane dotyczą, i współpraca

Żądania osób, których dane dotyczą — W ramach Usługi Ocoya udostępnia Klientowi szereg funkcji samoobsługowych, z których Klient może korzystać w celu pobierania, poprawiania, usuwania Danych Klienta lub ograniczania ich wykorzystania i które Klient może wykorzystywać jako wsparcie w wykonywaniu swoich obowiązków (lub obowiązków swojego administratora będącego podmiotem trzecim) wynikających z Przepisów o ochronie danych w zakresie udzielania odpowiedzi na żądania osób, których dane dotyczą, za pośrednictwem konta Klienta, bez dodatkowych kosztów. Ponadto Ocoya, uwzględniając charakter przetwarzania, w miarę możliwości udzieli Klientowi uzasadnionej dodatkowej pomocy, aby umożliwić Klientowi (lub jego administratorowi będącemu podmiotem trzecim) wypełnienie obowiązków w zakresie ochrony danych dotyczących praw osób, których dane dotyczą, wynikających z Przepisów o ochronie danych. W przypadku skierowania takiego żądania bezpośrednio do Ocoya Ocoya nie odpowie bezpośrednio na taką komunikację bez uprzedniej zgody Klienta, chyba że będzie to stosowne (na przykład w celu skierowania osoby, której dane dotyczą, do kontaktu z Klientem) lub wymagane przez prawo. Jeżeli Ocoya jest zobowiązana do udzielenia odpowiedzi na takie żądanie, Ocoya, w przypadku gdy na podstawie żądania można zidentyfikować Klienta, niezwłocznie powiadomi Klienta i przekaże mu kopię żądania, chyba że prawo tego Ocoya zabrania. Dla uniknięcia wątpliwości żadne postanowienie Umowy (w tym niniejszej DPA) nie ogranicza ani nie uniemożliwia Ocoya udzielania odpowiedzi na żądania osób, których dane dotyczą, lub organów ochrony danych w odniesieniu do danych osobowych, których administratorem jest Ocoya.

Ocena skutków dla ochrony danych — W zakresie wymaganym przez właściwe Przepisy o ochronie danych Ocoya (uwzględniając charakter przetwarzania i dostępne jej informacje) przekaże wszelkie zasadnie żądane informacje dotyczące Usługi, aby umożliwić Klientowi przeprowadzenie oceny skutków dla ochrony danych lub uprzednich konsultacji z organami ochrony danych zgodnie z wymogami Przepisów o ochronie danych. Ocoya wypełni powyższy obowiązek poprzez: (i) przestrzeganie Sekcji 5 (Raporty bezpieczeństwa i audyty); (ii) przekazanie informacji zawartych w Umowie, w tym w niniejszej DPA; oraz (iii) jeżeli powyższe pkt (i) i (ii) nie wystarczą Klientowi do wypełnienia takich obowiązków – na żądanie, udzielenie dodatkowej uzasadnionej pomocy (na koszt Klienta).

9. Warunki właściwe dla poszczególnych jurysdykcji

W zakresie, w jakim Ocoya przetwarza Dane Klienta pochodzące z jednej z jurysdykcji wymienionych w Załączniku C i chronione przez obowiązujące w niej Przepisy o ochronie danych, warunki określone w Załączniku C w odniesieniu do danej jurysdykcji (danych jurysdykcji) („Warunki właściwe dla poszczególnych jurysdykcji”) mają zastosowanie dodatkowo do warunków niniejszej DPA. W przypadku jakiejkolwiek sprzeczności lub niejasności między Warunkami właściwymi dla poszczególnych jurysdykcji a jakimikolwiek innymi warunkami niniejszej DPA pierwszeństwo mają odpowiednie Warunki właściwe dla poszczególnych jurysdykcji, lecz wyłącznie w zakresie, w jakim Warunki właściwe dla poszczególnych jurysdykcji mają zastosowanie do Ocoya.

10. Ograniczenie odpowiedzialności

Łączna odpowiedzialność każdej ze stron i wszystkich jej Podmiotów powiązanych, wynikająca z niniejszej DPA (w tym SKU) lub z nią związana, podlega wyłączeniom i ograniczeniom odpowiedzialności określonym w Umowie. Wszelkie roszczenia przeciwko Ocoya lub jej Podmiotom powiązanym na podstawie niniejszej DPA lub w związku z nią (w tym, w stosownych przypadkach, SKU) mogą być dochodzone wyłącznie przez podmiot będący Klientem, który jest stroną Umowy. W żadnym wypadku żadna ze stron nie ogranicza swojej odpowiedzialności w odniesieniu do praw jakiejkolwiek osoby fizycznej w zakresie ochrony danych wynikających z niniejszej DPA lub z innych podstaw.

11. Relacja z umową

Niniejsza DPA pozostaje w mocy tak długo, jak Ocoya prowadzi operacje przetwarzania Danych Klienta w imieniu Klienta, lub do czasu rozwiązania Umowy (i zwrotu lub usunięcia wszystkich Danych Klienta zgodnie z powyższą Sekcją 7.1). Strony uzgadniają, że niniejsza DPA zastępuje wszelkie istniejące umowy powierzenia przetwarzania danych lub podobne dokumenty, które strony mogły wcześniej zawrzeć w związku z Usługą. W przypadku jakiejkolwiek sprzeczności lub niezgodności między niniejszą DPA a Standardowymi warunkami korzystania pierwszeństwo mają postanowienia następujących dokumentów (w kolejności pierwszeństwa): (i) SKU; następnie (ii) niniejsza DPA; a następnie (iii) Standardowe warunki korzystania. Z wyjątkiem zmian wprowadzonych niniejszą DPA Umowa pozostaje niezmieniona i w pełni obowiązująca. Nikt poza stroną niniejszej DPA, jej następcami prawnymi i dozwolonymi cesjonariuszami nie ma prawa do egzekwowania któregokolwiek z jej postanowień. Niniejsza DPA podlega prawu i jurysdykcji wskazanym w postanowieniach Umowy dotyczących prawa właściwego i jurysdykcji i zgodnie z nimi jest interpretowana, chyba że właściwe Przepisy o ochronie danych stanowią inaczej.

12. Kontakt

W razie jakichkolwiek pytań dotyczących niniejszych Warunków prosimy o kontakt pod adresem support@ocoya.com.

Załącznik A — Szczegóły przetwarzania danych

(a) Kategorie osób, których dane dotyczą: Kategorie osób, których dane osobowe są przetwarzane, obejmują (i) Członków (tj. indywidualnych użytkowników końcowych mających dostęp do konta Ocoya) oraz (ii) Kontakty (tj. subskrybentów Członka oraz inne osoby fizyczne, o których Członek przekazał nam informacje lub które w inny sposób nawiązały interakcję z Członkiem za pośrednictwem Usługi).

(b) Kategorie danych osobowych: Klient może przesyłać, przekazywać lub w inny sposób udostępniać Usłudze określone dane osobowe, których zakres jest zazwyczaj określany i kontrolowany przez Klienta według jego wyłącznego uznania, i mogą one obejmować następujące rodzaje danych osobowych:

• Członkowie: Dane identyfikacyjne i kontaktowe (imię i nazwisko, adres, tytuł, dane kontaktowe, nazwa użytkownika); informacje finansowe (dane karty kredytowej, dane rachunku, informacje o płatnościach); dane dotyczące zatrudnienia (pracodawca, stanowisko, lokalizacja geograficzna, obszar odpowiedzialności).
• Kontakty: Dane identyfikacyjne i kontaktowe (imię i nazwisko, data urodzenia, płeć, informacje ogólne, zawód lub inne informacje demograficzne, adres, tytuł, dane kontaktowe, w tym adres e-mail); zainteresowania lub preferencje osobiste (w tym historia zakupów, preferencje marketingowe i publicznie dostępne informacje z profili w mediach społecznościowych); informacje informatyczne (adresy IP, dane o korzystaniu, dane z plików cookie, dane o nawigacji online, dane o lokalizacji, dane przeglądarki); informacje finansowe (dane karty kredytowej, dane rachunku, informacje o płatnościach).

(c) Przetwarzane dane wrażliwe (jeżeli dotyczy): Ocoya nie zamierza zbierać ani przetwarzać i nie zbiera ani nie przetwarza celowo jakichkolwiek Danych wrażliwych w związku ze świadczeniem Usługi.

(d) Częstotliwość przetwarzania: W sposób ciągły i zgodnie z ustaleniami Klienta.

(e) Przedmiot i charakter przetwarzania: Ocoya świadczy usługę w zakresie mediów społecznościowych, udostępnia platformę automatyzacji i marketingu oraz świadczy inne powiązane usługi, zgodnie z bardziej szczegółowym opisem zawartym w Umowie. Przedmiotem przetwarzania danych na podstawie niniejszej DPA są Dane Klienta. Dane Klienta będą przetwarzane zgodnie z Umową (w tym niniejszą DPA) i mogą podlegać następującym czynnościom przetwarzania: przechowywaniu i innemu przetwarzaniu niezbędnemu do świadczenia, utrzymania i ulepszania Usługi świadczonej na rzecz Klienta na podstawie Umowy; lub ujawnianiu zgodnie z Umową lub w zakresie wymaganym przez obowiązujące prawo.

(f) Cel przetwarzania: Ocoya przetwarza Dane Klienta wyłącznie w Dozwolonych celach, które obejmują: (i) przetwarzanie niezbędne do świadczenia Usługi zgodnie z Umową; (ii) przetwarzanie inicjowane przez Klienta w ramach korzystania z Usługi; oraz (iii) przetwarzanie w celu wykonania wszelkich innych uzasadnionych poleceń przekazanych przez Klienta (np. za pośrednictwem poczty elektronicznej lub zgłoszeń do działu wsparcia), które są zgodne z warunkami Umowy.

(g) Czas trwania przetwarzania i okres, przez który dane osobowe będą przechowywane: Ocoya będzie przetwarzać Dane Klienta w sposób określony w Sekcji 7 (Zwrot lub usunięcie danych) niniejszej DPA.

Załącznik B — Warunki właściwe dla poszczególnych jurysdykcji

Europa

Sprzeciw wobec Dalszych podmiotów przetwarzających. Klient może wnieść na piśmie sprzeciw wobec powierzenia przez Ocoya przetwarzania nowemu Dalszemu podmiotowi przetwarzającemu w terminie pięciu (5) dni kalendarzowych od otrzymania powiadomienia zgodnie z Sekcją 3.1 DPA, pod warunkiem że sprzeciw taki opiera się na uzasadnionych podstawach związanych z ochroną danych. W takim przypadku strony omówią takie zastrzeżenia w dobrej wierze w celu wypracowania rozwiązania uzasadnionego z handlowego punktu widzenia. Jeżeli nie będzie możliwe osiągnięcie takiego rozwiązania, Ocoya, według własnego uznania, albo nie powierzy przetwarzania takiemu Dalszemu podmiotowi przetwarzającemu, albo umożliwi Klientowi zawieszenie lub rozwiązanie umowy w zakresie danej Usługi zgodnie z postanowieniami Umowy dotyczącymi jej rozwiązania, bez odpowiedzialności którejkolwiek ze stron (lecz bez uszczerbku dla wszelkich opłat poniesionych przez Klienta przed zawieszeniem lub rozwiązaniem).

Żądania dostępu do danych składane przez organy publiczne. Zgodnie z ogólną praktyką Ocoya nie udziela dobrowolnie agencjom ani organom publicznym (w tym organom ścigania) dostępu do kont Ocoya (w tym Danych Klienta) ani informacji na ich temat. Jeżeli Ocoya otrzyma od jakiejkolwiek agencji lub organu publicznego (w tym organu ścigania) wiążące żądanie (czy to w formie wezwania, nakazu sądowego, nakazu przeszukania, czy w ramach innej ważnej procedury prawnej) dostępu do konta Ocoya (w tym Danych Klienta) należącego do Klienta, którego podstawowe dane kontaktowe wskazują, że Klient znajduje się w Europie, lub informacji na temat takiego konta, Ocoya: (i) zbada zgodność żądania z prawem; (ii) poinformuje agencję publiczną, że Ocoya jest podmiotem przetwarzającym te dane; (iii) podejmie próbę skierowania agencji do wystąpienia o dane bezpośrednio do Klienta; (iv) powiadomi Klienta o żądaniu za pośrednictwem wiadomości e-mail wysłanej na podstawowy kontaktowy adres e-mail Klienta, aby umożliwić Klientowi wystąpienie o wydanie zabezpieczenia lub skorzystanie z innego odpowiedniego środka ochrony prawnej; oraz (v) udzielając odpowiedzi agencji lub organowi, przekaże minimalny dopuszczalny zakres informacji w oparciu o rozsądną interpretację żądania. W ramach tych działań Ocoya może przekazać agencji podstawowe dane kontaktowe Klienta oraz dane kontaktowe do celów rozliczeniowych. Ocoya nie jest zobowiązana do przestrzegania niniejszego ustępu 2, jeżeli prawo jej tego zabrania lub jeżeli w sposób uzasadniony i w dobrej wierze uważa, że pilny dostęp jest niezbędny w celu zapobieżenia bezpośredniemu ryzyku poważnej szkody dla jakiejkolwiek osoby fizycznej, bezpieczeństwa publicznego lub mienia Ocoya, Witryny Ocoya lub Usługi; jednak w przypadku gdy prawo zabrania Ocoya powiadomienia Klienta o żądaniach, Ocoya dołoży wszelkich starań, aby uzyskać uchylenie tego zakazu.

Kalifornia

O ile nie wskazano inaczej, definicja: „administratora” obejmuje „Przedsiębiorstwo” (Business); „podmiotu przetwarzającego” obejmuje „Usługodawcę” (Service Provider); „osoby, której dane dotyczą” obejmuje „Konsumenta” (Consumer); „danych osobowych” obejmuje „Informacje osobowe” (Personal Information); w każdym przypadku w rozumieniu CCPA.

Wyłącznie na potrzeby niniejszej sekcji „Kalifornia” Załącznika B „Dozwolone cele” obejmują przetwarzanie Danych Klienta wyłącznie w celach opisanych w niniejszej DPA i zgodnie z udokumentowanymi, zgodnymi z prawem poleceniami Klienta określonymi w niniejszej DPA, w zakresie niezbędnym do zapewnienia zgodności z obowiązującym prawem, w inny sposób uzgodniony na piśmie, w tym, bez ograniczeń, w Umowie, lub w inny sposób dozwolony dla „usługodawców” (service providers) na gruncie CCPA.

Obowiązki Ocoya dotyczące żądań osób, których dane dotyczą, opisane w Sekcji 8 (Prawa osób, których dane dotyczą, i współpraca) niniejszej DPA, obejmują również żądania wykonania praw na gruncie CCPA.

Niezależnie od jakichkolwiek ograniczeń wykorzystania zawartych w innych postanowieniach niniejszej DPA Ocoya przetwarza Dane Klienta w celu świadczenia Usługi, w Dozwolonych celach lub zgodnie z udokumentowanymi, zgodnymi z prawem poleceniami Klienta, lub w inny sposób dozwolony lub wymagany przez obowiązujące prawo.

Niezależnie od jakichkolwiek ograniczeń wykorzystania zawartych w innych postanowieniach niniejszego Załącznika B Ocoya może deidentyfikować lub agregować Dane Klienta w ramach świadczenia Usługi określonej w niniejszej DPA i Umowie.

W przypadku gdy Dalsze podmioty przetwarzające przetwarzają Informacje osobowe kontaktów Klienta, Ocoya podejmuje kroki w celu zapewnienia, aby takie Dalsze podmioty przetwarzające były Usługodawcami w rozumieniu CCPA, z którymi Ocoya zawarła pisemną umowę zawierającą warunki zasadniczo podobne do niniejszej sekcji „Kalifornia” Załącznika B, lub aby były w inny sposób wyłączone z zakresu definicji „sprzedaży” na gruncie CCPA. Ocoya przeprowadza odpowiednie badanie due diligence swoich Dalszych podmiotów przetwarzających.

Kanada

Ocoya podejmuje kroki w celu zapewnienia, aby Dalsze podmioty przetwarzające Ocoya, opisane w Sekcji 3 (Dalsze powierzenie przetwarzania) DPA, były podmiotami trzecimi w rozumieniu PIPEDA, z którymi Ocoya zawarła pisemną umowę zawierającą warunki zasadniczo podobne do niniejszej DPA. Ocoya przeprowadza odpowiednie badanie due diligence swoich Dalszych podmiotów przetwarzających.

Ocoya wdroży środki techniczne i organizacyjne określone w Sekcji 4 (Bezpieczeństwo) DPA.