Umowa Powierzenia Danych

Umowa o przetwarzaniu danych (AVV) zgodnie z art. 28 RODO

Stan na dzień: 20.03.2026

Pomiędzy

zarejestrowanym klientem Biscotti CMP – zwanym dalej „administratorem” lub „klientem” –

a

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Republika Federalna Niemiec

Sąd rejestrowy: Sąd Rejonowy w Poczdamie Numer rejestru: HRB 40180 P Numer identyfikacyjny VAT: DE368000447 Numer podatkowy: 29/249/36095 Reprezentowana przez: Daniela Boscha (dyrektora generalnego), Philippa André Marschalla (prokurenta) E-mail: [email protected] Telefon: +49 3322 50703301 Godziny pracy: poniedziałek–piątek, 09:00–17:00 – zwany dalej „podmiotem przetwarzającym dane” lub „dostawcą” –

– administrator danych i podmiot przetwarzający dane, zwani dalej łącznie „stronami” –

Preambuła

Serdecznie witamy w Campcruisers GmbH! Bardzo się cieszymy, że możemy powitać Państwa jako klientów. Przejrzystość, najwyższe standardy bezpieczeństwa oraz partnerskie relacje oparte na wzajemnym szacunku są dla nas priorytetem. Ochrona Państwa danych oraz danych osób odwiedzających Państwa stronę internetową jest dla nas nie tylko obowiązkiem prawnym, ale także kluczową obietnicą jakościową naszej firmy.

Administrator korzysta z opracowanego, obsługiwanych i dystrybuowanego przez podmiot przetwarzający opartego na chmurze rozwiązania typu Software-as-a-Service (SaaS) „Biscotti CMP” (Consent Management Platform). W ramach świadczenia tych usług SaaS, które są udostępniane pod domeną biscotti-cmp.com oraz w aplikacji app.biscotti-cmp.com, podmiot przetwarzający przetwarza dane osobowe w imieniu i zgodnie z instrukcjami administratora. Niniejsza umowa określa zobowiązania stron w zakresie ochrony danych, wynikające z korzystania z Biscotti CMP. Ma ona zastosowanie do wszystkich działań związanych z umową główną (umową o świadczenie usług SaaS), w ramach których pracownicy podmiotu przetwarzającego dane lub osoby trzecie przez niego zatrudnione mogą mieć kontakt z danymi osobowymi administratora danych.

Niniejsza umowa jest niezbędna do spełnienia wymogów rozporządzenia (UE) 2016/679 (ogólne rozporządzenie o ochronie danych – RODO), w szczególności art. 28 RODO, a także uzupełniających przepisów federalnej ustawy o ochronie danych (BDSG) oraz ustawy o ochronie danych w telekomunikacji i usługach cyfrowych (TDDDG).

[!NOTE] Zawarcie umowy w obrocie elektronicznym Niniejsza umowa zostaje zawarta w formie elektronicznej zgodnie z art. 28 ust. 9 RODO. W momencie logowania/rejestracji przez administratora stanowi ona integralną część Ogólnych Warunków Handlowych (OWH) firmy Biscotti CMP. Zawarcie umowy następuje poprzez wyraźną zgodę elektroniczną w trakcie rejestracji (np. poprzez kliknięcie przycisku potwierdzenia) i nie wymaga oddzielnego, odręcznego podpisu do swojej ważności i skuteczności prawnej.

§ 1 Przedmiot i czas trwania przetwarzania

1.1 Przedmiot przetwarzania Podmiot przetwarzający świadczy na rzecz administratora usługi w zakresie zarządzania zgodami (Consent Management) oraz automatyzacji zgodności z przepisami o ochronie danych. Przedmiot przetwarzania danych osobowych wynika z umowy głównej zawartej między stronami dotyczącej korzystania z Biscotti CMP. Przetwarzanie obejmuje wszystkie operacje związane z danymi, które są niezbędne do zapewnienia funkcjonalności oprogramowania uzgodnionych w umowie. Obejmuje to w szczególności, ale nie wyłącznie:

• Udostępnianie i dostarczanie banerów zgody (banerów dotyczących plików cookie) na stronach internetowych administratora.
• Rejestrowanie, przechowywanie, zarządzanie i dokumentowanie decyzji dotyczących zgody (zgoda / odmowa) użytkowników końcowych (osób odwiedzających stronę internetową) administratora zgodnie z art. 7 ust. 1 RODO i § 25 ust. 1 TDDDG.
• Przeprowadzanie skanów plików cookie opartych na sztucznej inteligencji na stronach internetowych administratora w celu identyfikacji i kategoryzacji technologii śledzenia oraz ich porównania z bazą danych dostawców IAB.
• Przetwarzanie sygnałów w ramach Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) oraz Global Privacy Control (GPC).
• Określanie jurysdykcji użytkownika strony internetowej na podstawie adresu IP w celu dynamicznego wyświetlania banerów zgodnych z przepisami prawa (np. RODO, CCPA/CPRA).
• Generowanie tekstów prawnych (stopka redakcyjna, polityka prywatności, polityka plików cookie) przy pomocy sztucznej inteligencji za pośrednictwem zintegrowanego asystenta Legal Suite z wykorzystaniem Alibaba Cloud Qwen.
• Udostępnianie protokołów kontroli (dzienników audytowych), webhooków do powiadomień w czasie rzeczywistym, funkcji testów A/B oraz funkcji eksportu danych w celu realizacji praw osób, których dane dotyczą, zgodnie z art. 15 RODO.
• Zarządzanie subkontami agencji w ramach taryfy „Agency”, w tym zarządzanie klientami i branding white label.

1.2 Czas trwania przetwarzania Okres obowiązywania niniejszej umowy o przetwarzaniu danych zależy od okresu obowiązywania podstawowej umowy o korzystaniu z Biscotti CMP. Umowa wchodzi w życie z chwilą rejestracji administratora danych i aktywacji konta (w przypadku taryf bezpłatnych) lub z chwilą potwierdzenia płatności (w przypadku taryf płatnych, takich jak Starter, Growth, Business, Agency). Umowa wygasa automatycznie wraz z wygaśnięciem umowy głównej, niezależnie od przyczyny prawnej (np. w wyniku wypowiedzenia zwykłego, wypowiedzenia nadzwyczajnego lub usunięcia konta). Okres wypowiedzenia umowy głównej wynosi 1 dzień przed końcem danego okresu rozliczeniowego. Postanowienia niniejszej umowy, które ze względu na swój charakter mają obowiązywać po jej wygaśnięciu (w szczególności przepisy dotyczące usuwania i zwrotu danych oraz kwestii odpowiedzialności), pozostają nienaruszone po wygaśnięciu umowy.

§ 2 Rodzaj i cel przetwarzania

2.1 Rodzaj przetwarzania Rodzaj przetwarzania obejmuje gromadzenie, rejestrowanie, organizowanie, porządkowanie, przechowywanie, dostosowywanie lub modyfikowanie, odczytywanie, wyszukiwanie, wykorzystywanie, ujawnianie poprzez przekazywanie, rozpowszechnianie lub inną formę udostępniania, porównywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych. Przetwarzanie odbywa się głównie w sposób zautomatyzowany w infrastrukturze chmurowej podmiotu przetwarzającego dane (np. hostowanej na platformie Hetzner Online GmbH, lokalizacja serwerów zazwyczaj w Unii Europejskiej).

2.2 Cel przetwarzania Celem przetwarzania jest wyłącznie wypełnienie zobowiązań umownych wynikających z umowy głównej. Obejmuje to:

• Wykazalność zgody: przechowywanie danych dotyczących zgody w celu wypełnienia obowiązku rozliczalności administratora zgodnie z art. 5 ust. 2 w związku z art. 7 ust. 1 RODO.
• Zapewnienie techniczne: wyświetlanie banera zgody i zapewnienie funkcjonalności strony internetowej administratora z uwzględnieniem preferencji użytkowników.
• Analiza zgodności: automatyczne sprawdzanie stron internetowych administratora pod kątem ryzyka związanego z ochroną danych (skaner plików cookie).
• Tworzenie tekstów prawnych: przetwarzanie danych firmowych i kontaktowych administratora w celu tworzenia dostosowanych do potrzeb tekstów prawnych przy pomocy sztucznej inteligencji.
• Rozliczenia i zarządzanie kontami: zarządzanie kontami użytkowników, przydzielanie limitów sesji (np. 5 000 sesji w taryfie Free, 500 000 w taryfie Business) oraz obsługa przenoszenia sesji.
• Zarządzanie agencją: umożliwienie zarządzania maksymalnie 25 subkontami w taryfie Agency, w tym udostępnianie stron dla odsprzedawców i funkcji wysyłania wiadomości e-mail.

Przetwarzanie danych na własne potrzeby podmiotu przetwarzającego, w szczególności do własnych celów reklamowych lub tworzenia profili użytkowników, wykraczające poza zakres świadczenia usług wynikających z umowy, jest surowo zabronione, chyba że istnieje wyraźne zezwolenie prawne lub oddzielna zgoda.

§ 3 Rodzaj danych osobowych

W ramach przetwarzania na zlecenie przetwarzane są następujące kategorie danych osobowych. Administrator określa dokładny zakres danych poprzez korzystanie z Biscotti CMP i samodzielną konfigurację oprogramowania:

• Dane dotyczące zgody: decyzje (zgoda / odmowa dla różnych kategorii, takich jak niezbędne, funkcjonalne, analityczne, marketingowe, usługi AI), sygnatura czasowa (data i dokładna godzina wyrażenia zgody), unikalny numer identyfikacyjny (do pseudonimowego przyporządkowania decyzji do danego urządzenia końcowego/przeglądarki).
• Dane techniczne: adresy IP (są przetwarzane przede wszystkim w celu rozpoznania jurysdykcji na podstawie lokalizacji i z reguły są natychmiastowo anonimizowane/skracane, o ile administrator nie skonfiguruje inaczej), informacje o przeglądarce, informacje o urządzeniu, ciągi znaków agenta użytkownika, dane sesji.
• Dane z plików cookie i trackerów: wyniki skanowania stron internetowych administratora, w tym znalezione pliki cookie, zawartość pamięci lokalnej, trackery stron trzecich i ich klasyfikacja.
• Treści generowane przez sztuczną inteligencję: dane, które administrator wprowadza do asystenta Legal Suite w celu wygenerowania tekstów prawnych (polityka prywatności, stopka redakcyjna, OWH). Mogą one obejmować dane przedsiębiorstwa, nazwiska osób uprawnionych do reprezentacji, adresy oraz konkretne czynności przetwarzania, które są przetwarzane za pośrednictwem interfejsu API Alibaba Cloud Qwen.
• Dane kontaktowe (właściciele kont): imię i nazwisko, adres e-mail, nazwa firmy, adres, numer telefonu, numer identyfikacyjny VAT (NIP) klientów lub właścicieli kont.
• Dane dotyczące użytkowania: działania na pulpicie nawigacyjnym, statystyki banerów (wyświetlenia, interakcje, wskaźniki akceptacji), raporty dotyczące zgodności, protokoły kontroli zmian na koncie.
• Dane dotyczące płatności: informacje rozliczeniowe przetwarzane za pośrednictwem dostawcy usług płatniczych Stripe (przy czym dane kart kredytowych są tokenizowane bezpośrednio w Stripe i nie są przechowywane w postaci zwykłego tekstu u podmiotu przetwarzającego dane).

§ 4 Kategorie osób, których dane dotyczą

Przetwarzanie dotyczy następujących kategorii osób, których dane dotyczą:

• Odwiedzający stronę internetową (użytkownicy końcowi): osoby fizyczne, które odwiedzają strony internetowe administratora danych i których decyzje dotyczące zgody są zbierane, przetwarzane i przechowywane za pośrednictwem banera Biscotti CMP.
• Klienci (właściciele kont): osoby fizyczne, przedsiębiorcy indywidualni lub przedstawiciele osób prawnych, którzy jako kontrahenci podmiotu przetwarzającego zarejestrowali konto w Biscotti CMP.
• Członkowie zespołu i pracownicy: osoby, które zostały zaproszone przez właściciela konta (administratora) jako dodatkowi użytkownicy do panelu Biscotti CMP w celu zarządzania systemem.
• Klienci agencji (posiadacze subkont): Klienci końcowi agencji, którzy korzystają z taryfy „Agency” i dla których utworzono subkonta.

§ 5 Obowiązki i prawa administratora

5.1 Zgodność przetwarzania z prawem Wyłącznie administrator ponosi odpowiedzialność za ocenę dopuszczalności zleconego przetwarzania oraz za ochronę praw osób, których dane dotyczą (art. 4 pkt 7 RODO). Administrator zapewnia istnienie skutecznej podstawy prawnej (np. zgoda zgodnie z art. 6 ust. 1 lit. a RODO lub prawnie uzasadniony interes zgodnie z art. 6 ust. 1 lit. f RODO) do przetwarzania danych osobowych przez podmiot przetwarzający. Dotyczy to w szczególności wykorzystania plików Biscotti CMP do uzyskania zgody zgodnie z § 25 ust. 1 TDDDG.

5.2 Obowiązki informacyjne Administrator ponosi pełną odpowiedzialność za przekazywanie osobom, których dane dotyczą (w szczególności odwiedzającym stronę internetową), przejrzystych, precyzyjnych i terminowych informacji o przetwarzaniu danych zgodnie z art. 13 i art. 14 RODO. W tym celu podmiot przetwarzający udostępnia administratorowi niezbędne informacje techniczne dotyczące działania Biscotti CMP oraz wzory tekstów za pośrednictwem asystenta Legal Suite. Sprawdzanie zgodności z prawem i włączenie polityki prywatności leży w gestii administratora.

5.3 Korzystanie przez agencje i resellerów Jeśli administrator korzysta z taryfy „Agency” i tworzy subkonta dla swoich klientów, pozostaje on w stosunku do podmiotu przetwarzającego jedynym partnerem umownym i administratorem danych w rozumieniu przepisów o ochronie danych. Administrator danych gwarantuje, że posiada niezbędne umowy (w tym własne umowy o przetwarzaniu danych) ze swoimi klientami końcowymi. Jeśli administrator danych utworzy stronę dla odsprzedawcy lub korzysta z własnych serwerów pocztowych w ramach własnej domeny, ponosi wyłączną odpowiedzialność w zakresie ochrony danych i prawa konkurencji za tę infrastrukturę. Podmiot przetwarzający dane nie ponosi za to żadnej odpowiedzialności.

5.4 Zgłaszanie błędów Administrator danych ma obowiązek niezwłocznie i wyczerpująco poinformować podmiot przetwarzający dane, jeśli podczas sprawdzania wyników zlecenia stwierdzi błędy lub nieprawidłowości dotyczące przepisów o ochronie danych.

§ 6 Prawo administratora do wydawania poleceń

6.1 Rodzaj i zakres poleceń Podmiot przetwarzający przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń administratora, o ile nie jest do tego zobowiązany na mocy prawa Unii lub państw członkowskich, któremu podlega (art. 28 ust. 3 lit. a RODO). W takim przypadku podmiot przetwarzający poinformuje administratora o tym wymogu prawnym przed rozpoczęciem przetwarzania, o ile dane prawo nie zabrania takiego powiadomienia ze względu na ważny interes publiczny.

Umowa główna oraz niniejsze OWH stanowią początkowe udokumentowane instrukcje. Korzystanie przez administratora z funkcji Biscotti CMP (np. konfiguracja banera, uruchomienie skanowania, generowanie tekstów) w panelu administracyjnym uznaje się za udokumentowaną instrukcję szczegółową.

6.2 Forma instrukcji Instrukcje można zazwyczaj wydawać za pośrednictwem interfejsu użytkownika oprogramowania (aplikacji). Instrukcje wykraczające poza ten zakres należy wydawać w formie tekstowej (np. pocztą elektroniczną na adres [email protected]). Instrukcje ustne muszą zostać niezwłocznie potwierdzone przez administratora w formie tekstowej.

6.3 Zastrzeżenia wobec instrukcji Podmiot przetwarzający niezwłocznie informuje administratora, jeśli uzna, że instrukcja narusza RODO, BDSG lub inne przepisy dotyczące ochrony danych obowiązujące w Unii lub państwach członkowskich. Podmiot przetwarzający ma prawo wstrzymać wykonanie danej instrukcji do czasu jej potwierdzenia lub zmiany przez administratora. Podmiot przetwarzający może odmówić wykonania poleceń, które są w sposób oczywisty niezgodne z prawem.

§ 7 Obowiązek zachowania poufności

7.1 Obowiązek pracowników Podmiot przetwarzający potwierdza, że przed rozpoczęciem działalności zobowiązał wszystkie osoby uprawnione do przetwarzania danych osobowych administratora (pracowników, współpracowników, organy) do zachowania poufności (art. 28 ust. 3 lit. b RODO) lub że osoby te podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Obowiązek ten obejmuje również tajemnicę danych i pozostaje w mocy nawet po zakończeniu działalności lub stosunku pracy.

7.2 Szkolenia i podnoszenie świadomości Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych są regularnie instruowane i uwrażliwiane w zakresie przepisów dotyczących ochrony danych (RODO, BDSG) oraz bezpieczeństwa danych. Podmiot przetwarzający, reprezentowany przez zarząd (Daniel Bosch, Philipp André Marschall), dba o kulturę organizacyjną zgodną z przepisami o ochronie danych.

7.3 Inspektor ochrony danych Podmiot przetwarzający wyznaczył kompetentnego i rzetelnego inspektora ochrony danych, o ile jest to wymagane przepisami § 38 ust. 1 BDSG lub art. 37 RODO (np. w przypadku co najmniej 20 osób, które na stałe zajmują się zautomatyzowanym przetwarzaniem danych).

W przypadku braku ustawowego obowiązku wyznaczenia inspektora ochrony danych, podmiot przetwarzający dane zapewnia jednak, że obowiązki wynikające z przepisów o ochronie danych są w pełni nadzorowane i przestrzegane przez zarząd.

§ 8 Środki techniczno-organizacyjne (TOM) zgodnie z art. 32 RODO

8.1 Zasada bezpieczeństwa przetwarzania Podmiot przetwarzający oświadcza w sposób wiążący, że uwzględniając stan techniki, koszty wdrożenia oraz charakter, zakres, okoliczności i celów przetwarzania, a także różnego prawdopodobieństwa wystąpienia i wagi ryzyka dla praw i wolności osób fizycznych, podjął odpowiednie środki techniczne i organizacyjne (TOM), aby zapewnić poziom ochrony odpowiedni do ryzyka (art. 32 RODO). Środki te opierają się na uznanych standardach bezpieczeństwa IT (takich jak ISO 27001 i SOC 2).

8.2 Konkretne środki Podmiot przetwarzający wdraża w szczególności następujące środki i utrzymuje je przez cały okres obowiązywania umowy:

a) Pseudonimizacja i szyfrowanie (art. 32 ust. 1 lit. a RODO)

• Szyfrowanie podczas przesyłania: Wszystkie transmisje danych między użytkownikiem końcowym, administratorem a infrastrukturą Biscotti CMP odbywają się wyłącznie za pomocą najnowocześniejszych protokołów szyfrujących (TLS 1.2 lub TLS 1.3).
• Szyfrowanie w stanie spoczynku: Wszystkie bazy danych i nośniki pamięci na platformie Google Cloud (lokalizacja serwerów NL) są szyfrowane na poziomie dysków twardych (AES-256).
• Pseudonimizacja: Decyzje dotyczące zgody nie są powiązane z prawdziwymi nazwiskami, lecz z losowo generowanym, kryptograficznym numerem identyfikacyjnym. Adresy IP są domyślnie skracane/anonimizowane, gdy tylko zakończy się przypisywanie lokalizacji.

b) Poufność (kontrola dostępu i kontroli dostępu)

• Kontrola dostępu: Bezpieczeństwo fizyczne wykorzystywanych serwerów zapewnia zewnętrzny dostawca usług infrastrukturalnych (np. Google Cloud). Centra danych podlegają rygorystycznym, standardowym dla branży kontrolom dostępu i bezpieczeństwa. Własne pomieszczenia biurowe Campcruisers GmbH są zabezpieczone odpowiednimi fizycznymi ograniczeniami dostępu (np. zamkami bezpieczeństwa).
• Kontrola dostępu: Dostęp do systemów informatycznych podmiotu przetwarzającego dane jest zabezpieczony restrykcyjnymi wytycznymi dotyczącymi haseł, uwierzytelnianiem wieloskładnikowym (MFA) dla odpowiednich kont administracyjnych oraz limitami czasu sesji. Wykorzystywane są systemy takie jak Cloudflare Turnstile w celu ochrony prób logowania przed atakami botów.
• Kontrola dostępu: Obowiązuje zasada minimalnego przyznawania uprawnień (Role-Based Access Control – RBAC). Pracownicy podmiotu przetwarzającego mają dostęp tylko do tych danych, które są absolutnie niezbędne do wykonania ich zadań. Dane klientów z różnych planów taryfowych są logicznie oddzielone od siebie (wielodostępność).

c) Integralność (kontrola przekazywania, wprowadzania i separacji)

• Kontrola przekazywania: Dane nie są transportowane na fizycznych nośnikach danych. Przesyłanie odbywa się wyłącznie za pośrednictwem zabezpieczonych sieci.
• Kontrola wprowadzania danych: Biscotti CMP posiada obszerny dziennik audytowy (Audit-Log). W każdej chwili można sprawdzić, który użytkownik (klient, członek zespołu, agencja) w jakim momencie wprowadził jakie zmiany w panelu (np. zmiana tekstów banerów, dostosowanie kategorii plików cookie).
• Kontrola separacji: Dane zebrane w różnych celach są przetwarzane oddzielnie. Środowiska produkcyjne, testowe i rozwojowe są ściśle od siebie odizolowane.

d) Dostępność i odporność (art. 32 ust. 1 lit. b i c RODO)

• Dostępność: Podmiot przetwarzający dane podejmuje standardowe w branży, odpowiednie środki w celu zapewnienia dostępności systemów (hosting na platformie Google Cloud). Nie gwarantuje się jednak wyraźnej dostępności w ramach umowy SLA i nie istnieje pełna redundancja infrastruktury.
• Odporność: Architektura systemu jest zaprojektowana w taki sposób, aby przewidywane obciążenia sesji były zazwyczaj przetwarzane w sposób niezawodny. Nie stosuje się jednak dedykowanego równoważenia obciążenia ani mechanizmów automatycznego skalowania (auto-scaling).
• Możliwość odtworzenia: Podmiot przetwarzający podejmuje odpowiednie środki ostrożności (np. regularne tworzenie kopii zapasowych baz danych), aby umożliwić odtworzenie danych w przypadku incydentu technicznego. Nie ma jednak gwarancji odtworzenia bez utraty danych, dlatego administrator jest proszony o samodzielne korzystanie z dostępnych funkcji eksportu.

e) Procedury regularnej weryfikacji (art. 32 ust. 1 lit. d RODO)

• Podmiot przetwarzający regularnie weryfikuje wewnętrznie skuteczność podjętych środków technicznych i organizacyjnych.
• Istnieją wewnętrzne procesy reagowania na incydenty bezpieczeństwa (Incident-Response), aby móc przeciwdziałać potencjalnym incydentom w ramach prawnych.
• Środki techniczne i organizacyjne podlegają ciągłemu procesowi doskonalenia.

8.3 Dostosowanie środków technicznych i organizacyjnych Środki techniczne i organizacyjne podlegają postępowi technicznemu i dalszemu rozwojowi. Podmiot przetwarzający ma prawo wdrożyć alternatywne, adekwatne środki, o ile poziom bezpieczeństwa nie jest niższy niż w przypadku ustalonych środków. Istotne zmiany należy zgłaszać administratorowi w formie pisemnej.

§ 9 Podwykonawcy przetwarzający dane

9.1 Zlecanie przetwarzania podwykonawcom Administrator niniejszym udziela podmiotowi przetwarzającemu ogólnego pisemnego upoważnienia (art. 28 ust. 2 RODO) do angażowania kolejnych podmiotów przetwarzających (podwykonawców). Przetwarzający zapewnia, że starannie wybiera podwykonawców przetwarzających dane i nakłada na nich umownie te same obowiązki w zakresie ochrony danych, które są określone w niniejszej umowie (art. 28 ust. 4 RODO).

9.2 Obecnie zatwierdzeni podwykonawcy W momencie zawarcia umowy następujący podwykonawcy świadczą usługi Biscotti CMP i są uznawani przez administratora za zatwierdzonych. Przetwarzający zapewnił, że w przypadku dostawców z USA jako partnerem umownym działa odpowiedni oddział w UE, aby zachować poziom ochrony danych obowiązujący w UE:

9.3 Przekazywanie danych do państw trzecich W przypadku przetwarzania danych przez podwykonawców poza Unią Europejską (UE) lub Europejskim Obszarem Gospodarczym (EOG) (np. w przypadku Resend), podmiot przetwarzający zapewnia spełnienie szczególnych warunków określonych w art. 44 i następnych RODO. Odbywa się to zazwyczaj poprzez zawarcie aktualnych standardowych klauzul umownych (SCC) Komisji Europejskiej w połączeniu z oceną skutków transferu (Transfer Impact Assessment) oraz wdrożeniem dodatkowych środków technicznych (np. szyfrowania).

9.4 Zmiana lub zaangażowanie nowych podwykonawców przetwarzających dane Podmiot przetwarzający poinformuje administratora o każdej planowanej zmianie dotyczącej zaangażowania lub zastąpienia podwykonawców przetwarzających dane. Informacja ta zostanie przekazana w formie pisemnej (np. pocztą elektroniczną na adres podany w koncie) co najmniej 30 dni przed planowaną zmianą. Administrator danych może sprzeciwić się zmianie z ważnych powodów związanych z ochroną danych w ciągu 14 dni od otrzymania powiadomienia. W przypadku braku sprzeciwu zmiana uznaje się za zatwierdzoną. W przypadku uzasadnionego sprzeciwu, którego podmiot przetwarzający nie może wyeliminować poprzez podjęcie rozsądnych środków, administrator ma prawo do nadzwyczajnego wypowiedzenia umowy głównej z dniem wejścia zmiany w życie.

§ 10 Wsparcie w zakresie praw osób, których dane dotyczą

10.1 Obowiązek wsparcia Podmiot przetwarzający wspiera administratora, w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne, w wypełnianiu jego obowiązku udzielania odpowiedzi na wnioski o skorzystanie z praw osób, których dane dotyczą, wymienionych w rozdziale III RODO (art. 15–22 RODO) (art. 28 ust. 3 lit. e RODO).

10.2 Realizacja techniczna w Biscotti CMP Biscotti CMP ma na celu zapewnienie administratorowi wsparcia technicznego w wypełnianiu jego obowiązków:

• Prawo do informacji (art. 15 RODO) i prawo do przenoszenia danych (art. 20 RODO): Oprogramowanie oferuje możliwości eksportu danych (np. w formacie CSV) lub można zwrócić się do działu wsparcia z prośbą o eksport konkretnych identyfikatorów zgody zgodnie z przepisami o ochronie danych.
• Prawo do wycofania zgody (art. 7 ust. 3 RODO): Baner zgody w Biscotti CMP oferuje użytkownikom końcowym funkcję wyświetlania dokonanych ustawień i wycofania zgody w dowolnym momencie.
• Prawo do usunięcia danych (art. 17 RODO): Zebrane dane mogą zostać usunięte przez administratora za pomocą funkcji udostępnionych w panelu kontrolnym lub, po przedstawieniu odpowiednich dowodów, na wniosek skierowany do działu wsparcia technicznego.

10.3 Przekazywanie wniosków Jeżeli osoba, której dane dotyczą, dochodzi swoich praw bezpośrednio wobec podmiotu przetwarzającego, ten nie odpowie na wniosek samodzielnie, lecz niezwłocznie skieruje osobę, której dane dotyczą, do administratora, o ile na podstawie dostępnych danych możliwe jest przypisanie jej do administratora. Podmiot przetwarzający niezwłocznie przekazuje wniosek administratorowi.

§ 11 Wsparcie w zakresie oceny skutków dla ochrony danych (DSFA) i obowiązków zgłoszeniowych

11.1 Ocena skutków dla ochrony danych (art. 35 RODO) Podmiot przetwarzający wspiera administratora, biorąc pod uwagę rodzaj przetwarzania i dostępne mu informacje, w przeprowadzeniu oceny skutków dla ochrony danych (DSFA) zgodnie z art. 35 RODO, a także w ewentualnej koniecznej wcześniejszej konsultacji z organem nadzorczym (art. 36 RODO).

11.2 Zgłaszanie naruszeń ochrony danych osobowych Podmiot przetwarzający jest zobowiązany do niezwłocznego, najpóźniej jednak w ciągu 48 godzin od uzyskania wiedzy, zgłoszenia administratorowi na piśmie każdego naruszenia ochrony danych osobowych (wycieku danych), które dotyczy danych przetwarzanych na zlecenie.

§ 12 Usunięcie i zwrot danych

12.1 Usunięcie po wygaśnięciu umowy Po zakończeniu świadczenia usług przetwarzania (wygaśnięcie umowy głównej) podmiot przetwarzający jest zobowiązany, zgodnie z wyborem administratora danych, do usunięcia lub zwrotu wszystkich danych osobowych, o ile prawo Unii lub prawo państw członkowskich (np. obowiązki przechowywania wynikające z prawa handlowego i podatkowego zgodnie z HGB i AO) nie nakładają obowiązku przechowywania danych osobowych.

12.2 Standardowa procedura Biscotti CMP O ile administrator nie wyda odmiennych instrukcji, obowiązuje następująca standardowa procedura: Administrator ma możliwość samodzielnego zabezpieczenia swoich danych przed wygaśnięciem umowy za pomocą funkcji eksportu (CSV). Po wejściu w życie wypowiedzenia i upływie okresu rozliczeniowego konto administratora zostanie dezaktywowane. Dane osobowe zapisane na koncie są przechowywane przez okres przejściowy wynoszący 30 dni (okres przechowywania), aby umożliwić przywrócenie danych w przypadku przypadkowego obniżenia planu taryfowego. Po upływie tych 30 dni dane są nieodwracalnie i zgodnie z przepisami o ochronie danych usuwane z systemów produkcyjnych.

12.3 Potwierdzenie usunięcia Na wyraźne żądanie administratora danych podmiot przetwarzający potwierdza mu na piśmie usunięcie danych zgodnie z przepisami o ochronie danych.

§ 13 Prawa do kontroli i audyty

13.1 Prawo do kontroli Podmiot przetwarzający udostępnia administratorowi wszystkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w art. 28 RODO oraz w niniejszej umowie. Umożliwia on przeprowadzanie kontroli – w tym inspekcji – przez administratora lub wyznaczonego przez niego audytora zobowiązanego do zachowania poufności oraz współpracuje przy ich przeprowadzaniu.

13.2 Przeprowadzanie audytów Aby nie zagrażać bezpieczeństwu centrów danych i poufności danych innych klientów (separacja klientów), strony uzgadniają następujący sposób postępowania w przypadku audytów:

• Administrator danych będzie wykonywał swoje prawo do kontroli przede wszystkim poprzez żądanie i ocenę miarodajnych certyfikatów (np. ISO 27001) lub poprzez szczegółowe kwestionariusze dotyczące bezpieczeństwa IT.
• Jeśli te informacje okażą się niewystarczające, administrator ma prawo przeprowadzić kontrolę na miejscu w siedzibie Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Inspekcje na miejscu należy zgłaszać z odpowiednim wyprzedzeniem (z reguły co najmniej 14 dni).

§ 14 Odpowiedzialność i odszkodowanie

14.1 Stosunki zewnętrzne (wobec osób, których dane dotyczą) Za naprawę szkód odpowiedzialność wobec osoby, której dane dotyczą, ponoszą administrator i podmiot przetwarzający zgodnie z art. 82 RODO. Podmiot przetwarzający ponosi odpowiedzialność za szkodę wynikającą z przetwarzania tylko wtedy, gdy nie wywiązał się ze swoich obowiązków wynikających z RODO lub postąpił wbrew zgodnie z prawem wydanym poleceniom administratora.

14.2 Stosunki wewnętrzne (między stronami) W stosunkach wewnętrznych strony zwalniają się z odpowiedzialności, jeżeli jedna ze stron wykaże, że nie ponosi żadnej odpowiedzialności za okoliczności, które doprowadziły do powstania szkody.

14.3 Ograniczenie odpowiedzialności wynikające z umowy głównej Dodatkowo obowiązują postanowienia dotyczące odpowiedzialności zawarte w umowie głównej (OWH). Wyklucza się odpowiedzialność za niewielkie zaniedbanie, chyba że dotyczy to naruszenia istotnych zobowiązań umownych (zobowiązań kardynalnych). W takim przypadku odpowiedzialność ogranicza się do typowej dla umowy, przewidywalnej szkody.

§ 15 Postanowienia końcowe

15.1 Forma pisemna i zmiany Zmiany i uzupełnienia niniejszej umowy wymagają formy pisemnej (np. e-mail). Podmiot przetwarzający zastrzega sobie prawo do zmiany niniejszej umowy w celu dostosowania jej do zmienionych warunków prawnych lub rozwoju technicznego. Administrator zostanie poinformowany o zmianach pocztą elektroniczną.

15.2 Hierarchia W przypadku sprzeczności poszczególnych postanowień niniejszej umowy o przetwarzaniu danych z postanowieniami umowy głównej (OWH), pierwszeństwo mają postanowienia niniejszej umowy o przetwarzaniu danych w zakresie ochrony danych i bezpieczeństwa danych.

15.3 Klauzula salwatoryjna Jeżeli poszczególne postanowienia niniejszej umowy są lub staną się nieważne lub niewykonalne, nie ma to wpływu na ważność pozostałych postanowień. Strony zobowiązują się zastąpić nieważne lub niewykonalne postanowienie postanowieniem ważnym i wykonalnym.

15.4 Prawo właściwe i właściwość sądowa Niniejsza umowa podlega wyłącznie prawu Republiki Federalnej Niemiec, z wyłączeniem Konwencji Narodów Zjednoczonych o umowach międzynarodowej sprzedaży towarów. Wyłączną właściwością sądową dla wszelkich sporów wynikających z niniejszej umowy lub związanych z nią jest, o ile jest to dopuszczalne prawnie, siedziba podmiotu przetwarzającego dane (Falkensee). Językiem umowy jest język niemiecki.