Umowa powierzenia przetwarzania danych

Załącznik nr 1 do Regulaminu świadczenia usług StripBoard.

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta między Klientem w rozumieniu Regulaminu jako administratorem (dalej: Administrator) a Jakubem Mączką, prowadzącym działalność gospodarczą pod firmą Jakub Mączka Production (Omka Production), al. Jana Pawła II 27, 00-867 Warszawa, NIP 7671628404, REGON 380683088, jako podmiotem przetwarzającym (dalej: Procesor).
2. Umowa zostaje zawarta z chwilą akceptacji Regulaminu przy zakładaniu Konta i obowiązuje także w Okresie testów. Na wniosek Klienta Procesor zawiera umowę w formie dokumentu podpisanego przez obie strony.
3. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie, a pozostałe pojęcia znaczenie nadane w rozporządzeniu (UE) 2016/679 (dalej: RODO).

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych zawartych w Treściach Klienta w zakresie i celu niezbędnym do świadczenia Usługi.
2. Przetwarzanie polega na przechowywaniu, porządkowaniu, wyświetlaniu, udostępnianiu Użytkownikom wskazanym przez Administratora, eksporcie (PDF, plik projektu), wysyłce wiadomości e-mail inicjowanych przez Użytkowników, tworzeniu kopii zapasowych i usuwaniu danych.
3. Kategorie osób, których dane dotyczą: członkowie ekipy i osoby współpracujące przy produkcji; obsada, talenty i kandydaci w castingu; osoby kontaktowe klientów, agencji, dostawców i lokacji; kierowcy i osoby ujęte w planach transportu; inne osoby wymienione w dokumentach produkcyjnych wgranych przez Administratora.
4. Rodzaje danych: imię i nazwisko, funkcja i dział, numer telefonu, adres e-mail, godziny wezwań i harmonogramy, adresy lokacji i miejsc odbioru, wizerunek (zdjęcia castingowe i materiały wizualne), notatki oraz dane zawarte w dokumentach wgranych przez Administratora.
5. Informacje o zdrowiu (np. alergie albo przeciwwskazania istotne dla bezpieczeństwa na planie) Administrator może wprowadzać wyłącznie w minimalnym zakresie niezbędnym dla bezpieczeństwa osób na planie, na podstawie przesłanki z art. 9 ust. 2 RODO (w szczególności wyraźnej zgody osoby) i po poinformowaniu tej osoby. Administrator ogranicza dostęp do dokumentów z takimi informacjami do osób, które ich potrzebują. Innych danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO) Administrator nie wprowadza.
6. Umowa obowiązuje przez czas świadczenia Usługi na rzecz Administratora.

§ 3. Obowiązki Procesora

Procesor:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniami są Regulamin, niniejsza umowa i działania Użytkowników Administratora w aplikacji. Jeżeli prawo Unii lub państwa członkowskiego nakłada obowiązek przetwarzania, Procesor informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania;
2. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy;
3. dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, i sięga do Treści Klienta tylko wtedy, gdy jest to niezbędne do obsługi zgłoszenia Administratora, usunięcia awarii lub incydentu bezpieczeństwa albo wymaga tego prawo;
4. stosuje środki techniczne i organizacyjne opisane w § 9, odpowiednie do ryzyka (art. 32 RODO); może je zmieniać, jeżeli poziom ochrony nie spadnie;
5. pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą; żądanie skierowane omyłkowo do Procesora przekazuje Administratorowi w ciągu 5 dni roboczych i sam na nie nie odpowiada, chyba że Administrator go do tego upoważni;
6. pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje;
7. prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§ 4. Dalsze powierzenie

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista znajduje się w § 8.
2. O planowanym dodaniu lub zastąpieniu dalszego podmiotu Procesor informuje Administratora e-mailem co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę o świadczenie Usługi ze skutkiem natychmiastowym.
3. Procesor nakłada na dalsze podmioty obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada za ich działania jak za własne.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 5. Naruszenia ochrony danych

1. Procesor zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail Właściciela organizacji.
2. Zawiadomienie zawiera, w miarę dostępności informacji: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane i proponowane środki oraz dane osoby kontaktowej. Informacje niedostępne od razu Procesor przekazuje sukcesywnie.
3. Zgłoszenie naruszenia do Prezesa UODO i zawiadomienie osób, których dane dotyczą, należy do Administratora. Procesor nie kontaktuje się z tymi osobami bez zgody Administratora, chyba że wymaga tego prawo.

§ 6. Kontrola

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi i dokumentacji.
2. Administrator może przeprowadzić audyt, także przez niezależnego audytora zobowiązanego do poufności, nie częściej niż raz w roku, po zapowiedzi z co najmniej 30-dniowym wyprzedzeniem i na własny koszt. Ograniczenie częstotliwości nie obowiązuje po naruszeniu ochrony danych ani na żądanie organu nadzorczego.
3. Audyt nie obejmuje danych innych klientów ani infrastruktury dalszych podmiotów; w tym zakresie Procesor przekazuje ich raporty i certyfikaty.

§ 7. Zakończenie przetwarzania

1. Po zakończeniu świadczenia Usługi Administrator ma 30 dni na wyeksportowanie danych. Następnie Procesor usuwa dane osobowe, chyba że prawo nakazuje ich dalsze przechowywanie.
2. Kopie zapasowe zawierające dane wygasają w normalnym cyklu, nie później niż 30 dni od usunięcia danych.
3. Na żądanie Procesor potwierdza usunięcie danych e-mailem.

§ 8. Dalsze podmioty przetwarzające

• Supabase Pte. Ltd. (Singapur): baza danych, uwierzytelnianie i przechowywanie plików; dane w UE (Irlandia); standardowe klauzule umowne na wypadek dostępu spoza EOG.
• Vercel Inc. (USA): hosting aplikacji i funkcji serwerowych; serwery w UE i w USA; standardowe klauzule umowne.
• Plus Five Five, Inc. (Resend, USA): wysyłka e-maili inicjowanych przez Użytkowników, np. zaproszeń do projektu; wysyłka z UE, logi w USA; EU-US Data Privacy Framework i standardowe klauzule umowne.
• Google Cloud Poland sp. z o.o. (Google Maps Platform): podpowiedzi adresów lokacji i miejsc odbioru; otrzymuje wyłącznie tekst adresu.
• Openweather Ltd (Wielka Brytania): prognoza pogody; otrzymuje wyłącznie współrzędne lokacji i datę; decyzja Komisji Europejskiej o odpowiednim stopniu ochrony.

§ 9. Środki techniczne i organizacyjne

• Izolacja klientów: polityki dostępu na poziomie bazy danych (Row Level Security) na wszystkich tabelach z danymi, włączane automatycznie także na nowych tabelach. Użytkownik widzi wyłącznie dane Organizacji, do których należy, i projektów mu udostępnionych.
• Uprawnienia: role w Organizacji i w projekcie udostępnionym (edytor, tylko podgląd) egzekwowane przez bazę danych, nie tylko przez interfejs.
• Pliki: prywatne zasoby, ścieżki oddzielone dla każdej Organizacji i projektu, dostęp przez podpisane linki ważne najwyżej 1 godzinę.
• Szyfrowanie transmisji: HTTPS (TLS) dla strony, aplikacji i bazy danych.
• Hasła: przechowywane wyłącznie jako skrót kryptograficzny; komunikaty logowania i resetu hasła nie ujawniają, czy konto istnieje.
• Zaproszenia: jednorazowy token, w bazie wyłącznie jego skrót, ważność 7 dni, limity wysyłek.
• Lokalizacja danych: baza danych i pliki w regionie UE (Irlandia).
• Sekrety: klucze usług wyłącznie po stronie serwera, poza repozytorium kodu.
• Logi: bez treści dokumentów, haseł i tokenów.
• Kopie zapasowe: kopie bazy danych i plików wykonywane co najmniej raz w tygodniu, szyfrowane, przechowywane do 30 dni; test odtworzenia co najmniej raz na kwartał.
• Dostęp administracyjny: uwierzytelnianie dwuskładnikowe na kontach administracyjnych usług, w których przechowywane są dane.
• Aktualizacje: monitorowanie podatności w używanych bibliotekach i ich usuwanie.
• Incydenty: procedura obsługi naruszeń i rejestr naruszeń.
• Personel: dostęp do danych ma wyłącznie Procesor; ewentualni współpracownicy tylko po pisemnym zobowiązaniu do poufności.

§ 10. Postanowienia końcowe

1. Odpowiedzialność stron określają RODO i Regulamin.
2. W sprawach nieuregulowanych stosuje się Regulamin. W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
3. Zmiany umowy wymagają trybu przewidzianego dla zmian Regulaminu.