Umowa powierzenia przetwarzania danych

1. Strony i przedmiot

Niniejsza umowa zostaje zawarta między klientem jako administratorem a EAS International, Klybeckstr. 141, 4057 Basel, Schweiz jako podmiotem przetwarzającym (usługodawca). Przedstawiciel usługodawcy w UE na podstawie art. 27 RODO: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Przedmiotem jest przetwarzanie danych osobowych, które klient wprowadza do Batteriepass Online lub zbiera za jego pomocą. Charakter, cel, rodzaje danych i kategorie osób, których dane dotyczą, opisano w załączniku 1. Umowa obowiązuje przez okres obowiązywania umowy o świadczenie usług, łącznie z fazą tylko do odczytu zgodnie z pkt 8 OWH.

2. Polecenia

Usługodawca przetwarza dane wyłącznie w ramach umowy o świadczenie usług i na udokumentowane polecenie klienta. Klient wydaje polecenia, korzystając z funkcji oprogramowania (np. publikowanie paszportu, przydzielanie poziomów dostępu, wysyłanie zapytania do dostawcy, eksport, usuwanie), oraz w formie dokumentowej na adres info@batteriepass-online.eu. Polecenia wykraczające poza uzgodniony zakres są traktowane jako wnioski o zmianę i mogą być rozliczane osobno.

Jeżeli usługodawca uzna polecenie za niezgodne z prawem, niezwłocznie informuje o tym klienta i może wstrzymać jego wykonanie do czasu potwierdzenia.

Udostępnianie treści paszportów ogółowi społeczeństwa, osobom mającym uzasadniony interes i organom odbywa się zgodnie z rozporządzeniem (UE) 2023/1542 w konfiguracji wybranej przez klienta i jest uznawane za polecenie klienta.

3. Obowiązki usługodawcy

• Poufność: wszystkie osoby uczestniczące w przetwarzaniu są zobowiązane do zachowania poufności. Dostęp do danych klienta następuje wyłącznie w zakresie niezbędnym do eksploatacji, wsparcia lub usuwania usterek.
• Bezpieczeństwo: usługodawca stosuje środki techniczne i organizacyjne określone w załączniku 3 i dostosowuje je do aktualnego stanu wiedzy technicznej bez obniżania poziomu ochrony.
• Pomoc: usługodawca wspiera klienta za pomocą środków oprogramowania (eksport, sprostowanie, usuwanie, dziennik dostępu) w realizacji praw osób, których dane dotyczą, oraz przy ocenach skutków dla ochrony danych i konsultacjach z organem nadzorczym, w zakresie, w jakim informacje znajdują się w posiadaniu usługodawcy.
• Zgłaszanie: usługodawca zgłasza klientowi naruszenia ochrony danych osobowych dotyczące danych klienta bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od ich stwierdzenia, na adres e-mail zapisany w koncie, wraz z dostępnymi informacjami zgodnie z art. 33 ust. 3 RODO.
• Żądania osób, których dane dotyczą: jeżeli osoby, których dane dotyczą, zwracają się bezpośrednio do usługodawcy, przekazuje on żądanie klientowi bez udzielania własnej merytorycznej odpowiedzi, o ile żądanie dotyczy danych klienta.
• Wykazanie zgodności: na żądanie usługodawca udostępnia informacje niezbędne do wykazania przestrzegania niniejszej umowy, w szczególności opis środków określonych w załączniku 3 oraz sprawozdania z incydentów bezpieczeństwa.
• Usuwanie: po zakończeniu przetwarzania usługodawca usuwa dane zgodnie z pkt 8 OWH, o ile nie istnieje ustawowy obowiązek przechowywania. W przypadku opublikowanych paszportów baterii ustawowy obowiązek utrzymywania ich w dostępności na podstawie art. 77 ust. 8 rozporządzenia (UE) 2023/1542 uznaje się za obowiązek przechowywania.

4. Prawa kontrolne klienta

Klient może kontrolować przestrzeganie niniejszej umowy raz w roku oraz w przypadku konkretnego powodu. Kontrola odbywa się przede wszystkim poprzez wgląd w dokumentację, sprawozdania i potwierdzenia dalszych podmiotów przetwarzających. Kontrola na miejscu jest możliwa po zapowiedzi z rozsądnym wyprzedzeniem (co najmniej 14 dni) w zwykłych godzinach pracy, o ile nie zagraża ona danym innych klientów. Za kontrole wykraczające poza jedną w roku lub niewywołane incydentem usługodawca może naliczyć wynikający z nich nakład pracy według rozsądnej stawki.

5. Dalsze podmioty przetwarzające

Klient wyraża zgodę na korzystanie z dalszych podmiotów przetwarzających wymienionych w załączniku 2. Usługodawca nakłada na nie obowiązki w zakresie ochrony danych równoważne obowiązkom uzgodnionym w niniejszej umowie.

Usługodawca informuje klienta e-mailem o zamierzonych zmianach (dodaniu lub zastąpieniu) co najmniej 30 dni wcześniej. W tym terminie klient może wnieść sprzeciw z ważnych przyczyn związanych z ochroną danych. W przypadku sprzeciwu każda ze stron może wypowiedzieć umowę o świadczenie usług ze skutkiem na dzień zmiany; pkt 8 OWH pozostaje nienaruszony.

6. Przetwarzanie w państwach trzecich

Dane są przechowywane na serwerach w Niemczech. Usługodawca ma siedzibę w Szwajcarii, w odniesieniu do której istnieje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony; dostęp ze Szwajcarii jest zatem dozwolony. Przetwarzanie w innych państwach trzecich odbywa się wyłącznie za zgodą klienta i na podstawie odpowiednich zabezpieczeń zgodnie z rozdziałem V RODO.

7. Obowiązki klienta

Klient odpowiada za zgodność przetwarzania z prawem, w szczególności za podstawę prawną publikacji informacji o osobach fizycznych w paszportach, za informowanie osób, których dane dotyczą, oraz za zgodność z prawem kontaktowania się z dostawcami i wnioskodawcami. Przydziela poziomy dostępu i uprawnienia dostępu na własną odpowiedzialność i sprawdza, czy dane udostępniane za pomocą oprogramowania są zgodne z przepisami prawa.

Klient wskazuje w koncie adres e-mail dostępny w sprawach ochrony danych i dba o jego aktualność.

8. Odpowiedzialność, okres obowiązywania, postanowienia końcowe

W zakresie odpowiedzialności zastosowanie ma pkt 11 OWH; art. 82 RODO pozostaje nienaruszony. Niniejsza umowa wygasa wraz z umową o świadczenie usług, ale obowiązuje nadal, dopóki usługodawca utrzymuje dane klienta w dostępności zgodnie z pkt 8 OWH. W pozostałym zakresie zastosowanie mają postanowienia końcowe OWH. W przypadku sprzeczności między niniejszą umową a OWH w sprawach ochrony danych pierwszeństwo ma niniejsza umowa.

Załącznik 1 – Przedmiot przetwarzania

• Charakter i cel: hosting, przechowywanie, wyświetlanie, eksport i przekazywanie treści paszportów baterii i powiązanych dokumentów; wysyłanie wiadomości e-mail w imieniu klienta (zapytania do dostawców, decyzje o dostępie); rejestrowanie dostępu do chronionych treści; udostępnianie API i webhooków.
• Rodzaje danych: imiona i nazwiska, funkcje i dane kontaktowe osób kontaktowych klienta, jego dostawców oraz wnioskodawców ubiegających się o dostęp (adres e-mail, organizacja, rola, cel, dokumenty potwierdzające); treść pól paszportu i dokumentów, o ile zawierają informacje o osobach fizycznych (np. osoba odpowiedzialna podmiotu gospodarczego, sygnatariusze deklaracji zgodności); dzienniki dostępu (skrócony zahaszowany adres IP, user agent, czas, poziom dostępu); dane przekazywane przez klienta do API.
• Kategorie osób, których dane dotyczą: pracownicy i osoby kontaktowe klienta, jego dostawców i partnerów handlowych; osoby wnioskujące o dostęp do chronionych treści paszportów (organy, podmioty zajmujące się naprawą i recyklingiem, nabywcy); osoby odwiedzające publiczne strony paszportów.
• Szczególne kategorie danych (art. 9 RODO) nie są przedmiotem przetwarzania; klient nie wprowadza takich danych do oprogramowania.

Załącznik 2 – Dalsze podmioty przetwarzające

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy – usługi centrum danych (serwery, baza danych, magazyn dokumentów, kopie zapasowe) w Falkenstein i Norymberdze.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Niemcy – wysyłka wiadomości e-mail w imieniu klienta.
• Stripe Payments Europe Ltd., Dublin, Irlandia, przetwarza dane płatnicze klienta jako samodzielny administrator i nie jest dalszym podmiotem przetwarzającym dane klienta w rozumieniu niniejszej umowy.

Załącznik 3 – Środki techniczne i organizacyjne

• Dostęp fizyczny i dostęp do systemów: serwery w certyfikowanych zgodnie z ISO 27001 centrach danych Hetzner; administracja wyłącznie przez SSH z uwierzytelnianiem kluczem i sieć prywatną; baza danych nie jest dostępna z publicznego internetu.
• Dostęp do danych: uprawnienia oparte na rolach (właściciel, edytor, przeglądający) dla każdej organizacji; separacja klientów na poziomie bazy danych za pomocą identyfikatora organizacji w każdym zapytaniu; poziomy dostępu do treści paszportów (publiczny, uzasadniony interes, organ) są egzekwowane po stronie serwera w jednej centralnej funkcji filtrującej.
• Uwierzytelnianie: hasła jako skróty scrypt; sesje z losowymi tokenami w bazie danych, 30 dni; weryfikacja adresu e-mail przed uzyskaniem dostępu do zapisu; limity prób logowania, rejestracji i resetowania; klucze API przechowywane wyłącznie jako skróty.
• Przekazywanie: TLS dla wszystkich połączeń; Content Security Policy; podpisane webhooki (HMAC) z sekretami przechowywanymi w postaci zaszyfrowanej.
• Integralność: każda publikacja paszportu tworzy wersję z łańcuchem skrótów (poprzedni skrót); dziennik audytu wszystkich operacji zapisu; przed upływem terminów umownych nic nie jest fizycznie usuwane.
• Dostępność: codzienna kopia zapasowa bazy danych i magazynu dokumentów z przechowywaniem przez co najmniej 30 dni w drugiej lokalizacji; regularne testy przywracania; monitorowanie dostępności.
• Separacja: dane produkcyjne oddzielone od środowisk programistycznych i testowych; paszporty w planie Pilot są oznaczone jako dane testowe.
• Organizacja: minimalizacja danych wbudowana w oprogramowanie (tylko pola wymagane dla paszportu); przegląd bezpieczeństwa przy każdej zmianie usługi; dokumentowanie incydentów; regularne aktualizacje komponentów systemu.