Podmiot przetwarzający będzie przetwarzać Dane osobowe wyłącznie w celu świadczenia usług określonych w Umowie głównej. Przedmiot przetwarzania obejmuje następujące parametry:

2.1 Kategorie osób, których dane dotyczą

• Klienci i potencjalni klienci (Leads) Administratora.
• Pracownicy, agenci i współpracownicy zewnętrzni Administratora (użytkownicy platformy SaaS).
• Partnerzy biznesowi i dostawcy Administratora.

2.2 Rodzaje danych osobowych

2.3 Charakter przetwarzania

Przetwarzanie obejmuje zbieranie, rejestrowanie, porządkowanie, strukturyzowanie, przechowywanie, adaptowanie, wyszukiwanie, wgląd, wykorzystywanie, udostępnianie (w obrębie platformy), ograniczanie, usuwanie i niszczenie danych z wykorzystaniem zautomatyzowanych systemów IT i AI.

Podmiot przetwarzający zobowiązuje się, że podczas przetwarzania Danych osobowych będzie ściśle przestrzegał następujących obowiązków:

• Pisemne polecenia: Dane osobowe przetwarza wyłącznie na podstawie udokumentowanych poleceń Administratora (co obejmuje korzystanie z funkcji w obrębie platformy SaaS). Jeżeli Podmiot przetwarzający uzna, że polecenie narusza GDPR, niezwłocznie powiadamia o tym Administratora.
• Poufność: Zapewnia, że osoby upoważnione do przetwarzania (pracownicy, współpracownicy zewnętrzni) są związane ścisłym prawnym obowiązkiem zachowania poufności.
• Pomoc Administratorowi: Uwzględniając charakter przetwarzania oraz dostępne mu informacje, udziela Administratorowi pomocy w wypełnianiu obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń oraz przeprowadzania oceny skutków dla ochrony danych (DPIA).
• Ograniczenie wykorzystania: Danych osobowych Administratora nigdy nie wykorzystuje do własnych celów marketingowych, sprzedaży osobom trzecim ani monetyzacji danych.

Administrator jako właściciel danych ponosi podstawową odpowiedzialność za zgodność z prawem przetwarzania. Administrator zobowiązuje się, że:

• Posiada ważną podstawę prawną (np. zgoda, umowa, prawnie uzasadniony interes) do zbierania i przekazywania Danych osobowych Podmiotowi przetwarzającemu.
• Przekazał osobom, których dane dotyczą, terminowo wszystkie niezbędne informacje (Privacy Policy) zgodnie z art. 13 i 14 GDPR.
• Nie będzie wprowadzał do systemów Podmiotu przetwarzającego szczególnych kategorii danych osobowych (dane zdrowotne, biometryczne, poglądy polityczne), chyba że zostanie to wyraźnie pisemnie uzgodnione i zabezpieczone dodatkowymi TOMs.
• Będzie dbać o bezpieczeństwo swoich haseł dostępu (stosowanie 2FA/MFA) oraz kluczy API do dostępu do platformy Findes.

Podmiot przetwarzający stosuje najwyższe standardy branżowe ochrony danych. Standardowe TOMs (Technical and Organisational Measures) obejmują:

5.1 Środki techniczne

• Szyfrowanie: Wszystkie dane są szyfrowane podczas transmisji (TLS 1.3 / HTTPS) oraz w stanie spoczynku (szyfrowanie baz danych AES-256).
• Kontrola dostępu: Wdrożono ścisły system ról i uprawnień (RBAC). Dostęp do produkcyjnych baz danych mają wyłącznie upoważnieni starsi inżynierowie poprzez bezpieczne połączenia VPN i MFA.
• Kopie zapasowe (Backups): Zautomatyzowane codzienne kopie zapasowe, przechowywane w oddzielnych lokalizacjach geograficznych, z weryfikacją integralności odtwarzania.
• Nadzór nad siecią: Stosowanie WAF (Web Application Firewall), ochrony DDoS oraz systemów wykrywania włamań (IDS/IPS).

5.2 Środki organizacyjne

• Polityka haseł: Obowiązkowe stosowanie silnych haseł i uwierzytelniania wieloskładnikowego (MFA) dla wszystkich pracowników Podmiotu przetwarzającego.
• Szkolenia: Regularne coroczne szkolenia pracowników z zakresu bezpieczeństwa informacji i zgodności z GDPR.
• Clean Desk Policy: Polityka czystego biurka i blokowania ekranów w fizycznych pomieszczeniach firmy.
• Zarządzanie incydentami: Udokumentowana procedura szybkiego reagowania na incydenty bezpieczeństwa.

Administrator udziela Podmiotowi przetwarzającemu ogólnego pisemnego upoważnienia do angażowania Podmiotów podprzetwarzających. Podmiot przetwarzający korzysta obecnie z następujących kluczowych Podmiotów podprzetwarzających:

6.1 Zmiana Podmiotów podprzetwarzających

Podmiot przetwarzający powiadomi Administratora o każdej zamierzonej zmianie lub dodaniu nowych Podmiotów podprzetwarzających (zazwyczaj poprzez powiadomienie w panelu administracyjnym lub pocztą elektroniczną) co najmniej 14 dni przed wprowadzeniem zmiany. Administrator ma prawo wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych. Jeżeli sporu nie można rozstrzygnąć, Administrator ma prawo odstąpić od Umowy głównej.

6.2 Odpowiedzialność za Podmioty podprzetwarzające

Podmiot przetwarzający zawiera z każdym Podmiotem podprzetwarzającym wiążącą umowę (DPA), która nakłada na Podmiot podprzetwarzający takie same lub bardziej rygorystyczne obowiązki w zakresie ochrony danych, jak określone w niniejszym DPA. Podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec Administratora za wypełnianie obowiązków Podmiotów podprzetwarzających.

Podstawową lokalizacją przetwarzania i przechowywania danych jest Europejski Obszar Gospodarczy (EOG). Jeżeli usługa wymaga transferu danych poza EOG (np. do dostawców w USA), Podmiot przetwarzający zapewnia, że transfer odbywa się wyłącznie na jednej z poniższych podstaw prawnych:

• Decyzja stwierdzająca odpowiedni stopień ochrony: Transfer do państw, w stosunku do których Komisja Europejska stwierdziła, że zapewniają odpowiedni poziom ochrony (w tym EU-US Data Privacy Framework dla certyfikowanych przedsiębiorstw w USA).
• Standardowe klauzule umowne (SCCs): Zawarcie najnowszych SCCs zatwierdzonych przez Komisję Europejską, z dodatkowymi środkami technicznymi (Transfer Impact Assessment - TIA), jeżeli jest to konieczne.

W przypadku potwierdzonego naruszenia bezpieczeństwa danych osobowych (np. nieuprawniony dostęp, utrata, zniszczenie lub ujawnienie danych) przetwarzanych przez Podmiot przetwarzający, podmiot ten:

• Bez zbędnej zwłoki, najpóźniej w terminie 48 godzin od powzięcia wiadomości o naruszeniu, pisemnie powiadomi Administratora (na adres e-mail administratora systemu lub DPO Administratora).
• W powiadomieniu wskaże: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje naruszenia oraz środki, które zostały lub zostaną podjęte w celu złagodzenia szkody.
• Udzieli wszelkiej rozsądnej pomocy Administratorowi w wypełnianiu jego obowiązku powiadomienia organu nadzorczego (np. Informacijskega pooblaščenca) oraz osób, których dane dotyczą, w 72-godzinnym terminie wymaganym przez GDPR.

Jeżeli osoba, której dane dotyczą (np. klient Administratora), skieruje żądanie realizacji swoich praw (dostępu, sprostowania, usunięcia/zapomnienia, ograniczenia, przenoszenia) bezpośrednio do Podmiotu przetwarzającego, ten:

• Niezwłocznie przekaże żądanie Administratorowi i nie będzie na nie samodzielnie odpowiadał.
• W ramach funkcjonalności platformy IT udostępni Administratorowi narzędzia umożliwiające samodzielne spełnienie żądania (np. przycisk usunięcia profilu, eksport danych do JSON/CSV).
• Jeżeli narzędzia te okażą się niewystarczające, Podmiot przetwarzający na pisemne żądanie Administratora udzieli pomocy technicznej przy realizacji żądania. Ewentualna obszerna praca ręczna może zostać obciążona Administratorowi zgodnie z obowiązującym cennikiem usług IT.

Ponieważ Findes Group integruje w swoich platformach funkcje AI (np. automatyzacja obsługi, analiza dokumentów), zastosowanie mają następujące rygorystyczne zasady zgodne z Rozporządzeniem w sprawie sztucznej inteligencji (EU AI Act):

• Zero-Data Retention dla uczenia AI: Dane osobowe Administratora nigdy nie są wykorzystywane do trenowania (fine-tuning) modeli publicznych lub modeli bazowych (Foundation Models) Podmiotu przetwarzającego ani jego Podmiotów podprzetwarzających AI (np. OpenAI). Wywołania API do dostawców AI są skonfigurowane w taki sposób, aby dane nie były przechowywane ani wykorzystywane do uczenia.
• Przejrzystość: Tam, gdzie system AI komunikuje się bezpośrednio z klientami końcowymi Administratora (np. AI Chatbot), klient musi być jasno poinformowany, że komunikuje się z maszyną.
• Zakaz systemów wysokiego ryzyka: Podmiot przetwarzający nie realizuje na rzecz Administratora procesów AI, które należałyby do kategorii „niedopuszczalnego ryzyka” (np. punktacja społeczna) lub „wysokiego ryzyka” (np. zautomatyzowana rekrutacja, zdalna identyfikacja biometryczna), chyba że zostanie zawarty odrębny aneks z odpowiednią oceną ryzyka (Fundamental Rights Impact Assessment).

Administrator ma prawo weryfikować zgodność Podmiotu przetwarzającego z niniejszym DPA oraz z GDPR. Audyt przeprowadza się na następujących warunkach:

• Administrator najpierw żąda dokumentacji i certyfikatów Podmiotu przetwarzającego (np. raportów ISO 27001, SOC 2, oświadczeń bezpieczeństwa). Jeżeli dokumentacja ta potwierdza zgodność, dodatkowy audyt fizyczny nie jest wymagany.
• Jeżeli dokumentacja jest niewystarczająca lub w przypadku poważnego incydentu bezpieczeństwa, Administrator (lub niezależny audytor zewnętrzny niebędący konkurentem Podmiotu przetwarzającego) może przeprowadzić audyt po wcześniejszym powiadomieniu z co najmniej 30-dniowym wyprzedzeniem.
• Audyt przeprowadza się w godzinach pracy, w sposób minimalnie zakłócający działalność Podmiotu przetwarzającego. Koszty audytu pokrywa Administrator, chyba że audyt wykaże poważne naruszenia po stronie Podmiotu przetwarzającego.

Po wygaśnięciu Umowy głównej lub na wyraźne żądanie Administratora Podmiot przetwarzający:

• Umożliwi Administratorowi eksport wszystkich Danych osobowych w standardowym formacie nadającym się do odczytu maszynowego (np. CSV, JSON) w terminie 30 dni od zakończenia umowy.
• Po upływie 30-dniowego okresu przejściowego bezpiecznie i trwale usunie wszystkie Dane osobowe Administratora ze wszystkich systemów produkcyjnych.
• Dane w kopiach zapasowych (backups) zostaną automatycznie nadpisane i zniszczone zgodnie z regularnym cyklem rotacji kopii zapasowych (zazwyczaj 90 dni), przy czym pozostają w pełni zaszyfrowane i niedostępne do przetwarzania.

Wyjątkiem od usunięcia są dane, które Podmiot przetwarzający musi przechowywać na podstawie obowiązków ustawowych (np. przepisów podatkowych i rachunkowych), przy czym dane te są przechowywane wyłącznie w tym celu.

Odpowiedzialność stron za szkody wyrządzone osobom, których dane dotyczą, z tytułu naruszenia GDPR oceniana jest zgodnie z art. 82 GDPR. We wzajemnej relacji (B2B) obowiązuje, co następuje:

• Podmiot przetwarzający odpowiada za szkodę tylko wówczas, gdy nie wypełnił obowiązków wynikających z GDPR, które są wyraźnie nałożone na podmioty przetwarzające, lub gdy działał poza zakresem albo wbrew zgodnym z prawem poleceniom Administratora.
• Łączna odpowiedzialność odszkodowawcza Podmiotu przetwarzającego (w tym kary nakładane przez organy nadzorcze) z tytułu niniejszego DPA jest ściśle ograniczona do kwoty określonej w Umowie głównej jako maksymalna granica odpowiedzialności (Liability Cap). Jeżeli kwota ta nie została określona, odpowiedzialność ogranicza się do wysokości opłat zapłaconych przez Administratora na rzecz Podmiotu przetwarzającego w ciągu 12 miesięcy przed zdarzeniem, które wywołało szkodę.
• Żadna ze stron nie odpowiada za szkody pośrednie, utratę zysków, utratę danych (jeżeli Administrator zaniechał wykonywania własnych kopii zapasowych) ani uszczerbek na reputacji.

Niniejsze DPA wchodzi w życie jednocześnie z Umową główną (lub z chwilą zatwierdzenia Ogólnych warunków) i pozostaje w mocy tak długo, jak Podmiot przetwarzający przechowuje lub przetwarza jakiekolwiek Dane osobowe w imieniu Administratora.

W przypadku niezgodności między postanowieniami niniejszego DPA a postanowieniami Umowy głównej, pierwszeństwo mają postanowienia niniejszego DPA w zakresie, w jakim dotyczą ochrony danych osobowych i zgodności z GDPR.

Do niniejszego DPA stosuje się prawo określone w Umowie głównej. Jeżeli nie zostało ono określone, zastosowanie ma prawo Republiki Słowenii (dla Findes Marketing d.o.o.) lub prawo Anglii i Walii (dla Investra International Ltd). Wszelkie spory wynikające z niniejszego DPA są rozstrzygane przed sądem właściwym wskazanym w Umowie głównej.

Podmiot przetwarzający zastrzega sobie prawo do jednostronnej zmiany niniejszego DPA, jeżeli jest to konieczne ze względu na zmiany w ustawodawstwie (np. nowe wytyczne EDPB, aktualizacje EU AI Act). O istotnych zmianach Administrator zostanie powiadomiony z co najmniej 30-dniowym wyprzedzeniem.