Umowa powierzenia przetwarzania danych

1. Role i zakres

Niniejszy aneks stanowi część Warunków świadczenia usług. Klient jest administratorem, a THEFOCUS LTD podmiotem przetwarzającym w odniesieniu do danych osobowych przetwarzanych w przestrzeni roboczej klienta, na kontach reklamowych Klienta, w menedżerach tagów i narzędziach analitycznych oraz w przekazanych nam eksportach z CRM („Dane osobowe Klienta”). Załącznik 1 opisuje przetwarzanie. Jeśli Klient sam jest podmiotem przetwarzającym na rzecz innego administratora, działamy jako jego podmiot podprzetwarzający na tych samych warunkach.

Niniejszy aneks spełnia wymogi art. 28 brytyjskiego RODO (UK GDPR) oraz, w zakresie, w jakim mają zastosowanie, art. 28 RODO i przepisów dotyczących podmiotów przetwarzających zawartych w innych przepisach o ochronie danych na obsługiwanych przez nas rynkach.

2. Nasze obowiązki jako podmiotu przetwarzającego

• Przetwarzać Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, w tym na podstawie umowy i korzystania przez Klienta z aplikacji, chyba że przepisy prawa stanowią inaczej. W takim przypadku informujemy Klienta przed rozpoczęciem przetwarzania, chyba że przepisy prawa tego zabraniają. Informujemy Klienta, jeśli uważamy, że polecenie narusza przepisy o ochronie danych.
• Zapewnić, aby każda osoba upoważniona do przetwarzania danych była zobowiązana do zachowania poufności.
• Stosować środki techniczne i organizacyjne określone w Załączniku 2.
• Korzystać z podmiotów podprzetwarzających wyłącznie zgodnie z punktem 3.
• Pomagać Klientowi, uwzględniając charakter przetwarzania, w realizacji żądań osób, których dane dotyczą, oraz obowiązków w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków i uprzednich konsultacji z organami nadzorczymi.
• Zawiadomić Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta, przekazując informacje potrzebne Klientowi do wypełnienia własnych obowiązków zgłoszeniowych.
• Po zakończeniu świadczenia usług, w ciągu 30 dni, według wyboru Klienta usunąć lub zwrócić Dane osobowe Klienta oraz usunąć istniejące kopie, chyba że przepisy prawa wymagają ich przechowywania.
• Udostępniać informacje niezbędne do wykazania zgodności oraz umożliwiać audyty przeprowadzane przez Klienta lub wyznaczonego przez niego audytora, z 30-dniowym wyprzedzeniem, z zachowaniem poufności i nie częściej niż raz w roku, chyba że wymaga tego naruszenie lub organ nadzorczy.

3. Podmioty podprzetwarzające

Klient udziela ogólnej zgody na korzystanie z podmiotów podprzetwarzających opisanych na naszej stronie Podmioty podprzetwarzające; aktualna lista z nazwami jest dostępna w panelu klienta i na żądanie. O nowym podmiocie podprzetwarzającym informujemy w aplikacji z co najmniej 30-dniowym wyprzedzeniem. Klient może zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych; jeśli nie zdołamy rozwiązać sprzeciwu, Klient może zakończyć korzystanie z danej usługi bez kar. Na każdy podmiot podprzetwarzający nakładamy obowiązki w zakresie ochrony danych zapewniające ochronę nie mniejszą niż niniejszy aneks i pozostajemy odpowiedzialni za ich wykonanie.

4. Transfery międzynarodowe

Przekazujemy Dane osobowe Klienta poza Wielką Brytanię wyłącznie na podstawie brytyjskich przepisów o odpowiednim stopniu ochrony, UK Extension to the EU-US Data Privacy Framework, International Data Transfer Agreement ICO lub UK Addendum do standardowych klauzul umownych UE.

Jeśli Klient ma siedzibę w EOG, transfery do nas opierają się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w Zjednoczonym Królestwie; jeśli ta decyzja przestanie obowiązywać, standardowe klauzule umowne UE (moduł drugi lub moduł trzeci, jeśli Klient jest podmiotem przetwarzającym) zostają włączone przez odesłanie, przy czym prawem właściwym i miejscem rozstrzygania sporów wyłącznie w odniesieniu do tych klauzul jest Irlandia. Jeśli Klient ma siedzibę w Szwajcarii, te same klauzule mają zastosowanie ze zmianami szwajcarskimi. W przypadku innych rynków na żądanie podpisujemy postanowienia dotyczące transferu wymagane przez prawo właściwe dla Klienta, takie jak umowy standardowe na podstawie tureckiej KVKK lub chińskiej PIPL.

5. Szczególne kategorie danych i targetowanie wrażliwe

Klient nie może przesyłać do aplikacji szczególnych kategorii danych (np. danych dotyczących zdrowia), danych dotyczących przestępstw ani danych dzieci i nie może zlecać targetowania opartego na cechach wrażliwych.

6. Odpowiedzialność i okres obowiązywania

Odpowiedzialność na podstawie niniejszego aneksu podlega ograniczeniom określonym w Warunkach świadczenia usług. Niniejszy aneks obowiązuje tak długo, jak przetwarzamy Dane osobowe Klienta.

Załącznik 1: Opis przetwarzania

• Przedmiot i czas trwania: świadczenie usług w okresie obowiązywania umowy i 30-dniowym okresie zakończenia współpracy.
• Charakter i cel: planowanie i prowadzenie kampanii, sygnały optymalizacyjne w czasie rzeczywistym dla kampanii Klienta, konfiguracja pomiaru i śledzenia, raportowanie i wsparcie.
• Osoby, których dane dotyczą: pracownicy Klienta będący użytkownikami oraz jego potencjalni klienci i klienci, w zakresie, w jakim występują w danych reklamowych, analitycznych i CRM.
• Kategorie danych: imiona i nazwiska oraz służbowe dane kontaktowe użytkowników Klienta; identyfikatory internetowe, zahaszowane dane kontaktowe używane do dopasowywania konwersji na platformach, zagregowane wskaźniki kampanii i etapy leadów w CRM.
• Okres przechowywania: zgodnie z Informacją o prywatności i punktem 2.

Załącznik 2: Środki techniczne i organizacyjne

• Obowiązkowe uwierzytelnianie wieloskładnikowe dla wszystkich kont, z jednorazowymi kodami odzyskiwania przechowywanymi wyłącznie w postaci skrótów (hash).
• Dostęp pracowników oparty na rolach i zasadzie najmniejszych uprawnień, weryfikowany przy zmianie ról.
• Izolacja przestrzeni roboczych klientów egzekwowana w aplikacji i na poziomie bazy danych.
• Szyfrowanie w trakcie przesyłania z użyciem aktualnego protokołu TLS oraz szyfrowanie w spoczynku baz danych, plików i kopii zapasowych.
• Rozproszone, szyfrowane dostarczanie usług w ponad 125 krajach.
• Dzienniki audytowe tylko do dopisywania dla działań istotnych z punktu widzenia bezpieczeństwa.
• Brak przechowywania haseł do kont reklamowych; dostęp wyłącznie na podstawie uprawnień użytkownika lub partnera na platformie.
• Podpisane i zabezpieczone przed ponownym odtworzeniem webhooki i przyjmowanie danych.
• Automatyczne skanowanie sekretów i testy przed każdym wydaniem.
• Procedura reagowania na incydenty z określoną ścieżką eskalacji i powiadamianiem klientów.