Umowa powierzenia przetwarzania danych osobowych

Strony i zakres #

Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) zostaje zawarta między:

• Klientem korzystającym z Axcoda na podstawie Regulaminu — administratorem; a
• Alexander Tsyrulnikau, prowadzącym działalność pod nazwą Axcoda, ul. Wołyńska 144 lok. 26, 15-208 Białystok, NIP 7011109425 — podmiotem przetwarzającym.

Dotyczy danych osobowych, które Axcoda przetwarza w imieniu Klienta przy świadczeniu Axcoda Guard i platformy Axcoda, opisanych w Załączniku II. Nie dotyczy danych, których administratorem jest sama Axcoda (np. danych logowania do panelu) — te opisuje Polityka prywatności.

Jest to umowa powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO.

Jak zawierana jest Umowa powierzenia #

Umowa powierzenia zostaje zawarta w formie elektronicznej z chwilą akceptacji Regulaminu i Umowy powierzenia przy rejestracji lub akceptacji nowej wersji. Zapisujemy wersję i czas akceptacji. Art. 28 ust. 9 RODO dopuszcza formę elektroniczną takiej umowy. Umowa powierzenia obowiązuje tak długo jak umowa zawarta na podstawie Regulaminu i wygasa wraz z nią, z zastrzeżeniem sekcji Zakończenie umowy.

Standardowe klauzule umowne #

Integralną część Umowy powierzenia stanowią standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi, zawarte w załączniku do decyzji wykonawczej Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. („Klauzule”), z następującymi wyborami:

• Klauzula 5 (klauzula przystąpienia) — nie ma zastosowania; nowi Klienci przystępują przez akceptację Regulaminu.
• Klauzula 7.7 — Opcja 2: ogólne pisemne zezwolenie. Podmiot przetwarzający informuje administratora o zamierzonych zmianach listy podprocesorów co najmniej 14 dni wcześniej.
• Klauzula 9 — podmiot przetwarzający zgłasza administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od jego stwierdzenia.
• Załączniki I–IV do Klauzul uzupełniają poniższe załączniki do Umowy powierzenia.

W razie sprzeczności między Umową powierzenia lub Regulaminem a Klauzulami pierwszeństwo mają Klauzule. Poniższe sekcje wyjaśniają prostym językiem, jak je stosujemy.

Nasze zobowiązania jako podmiotu przetwarzającego #

Zobowiązania te realizują art. 28 ust. 3 RODO:

1. Wyłącznie na Twoje polecenie. Przetwarzamy dane wyłącznie w celu świadczenia Usługi opisanej w Regulaminie, zgodnie z wybranymi przez Ciebie ustawieniami w panelu i Twoimi udokumentowanymi poleceniami — także co do przekazywania danych poza EOG — chyba że obowiązek przetwarzania nakłada na nas prawo UE lub prawo polskie; wtedy informujemy Cię o tym wcześniej, o ile prawo tego nie zakazuje. Informujemy Cię, jeśli uznamy, że polecenie narusza prawo. (art. 28 ust. 3 lit. a)
2. Poufność. Każda osoba upoważniona do przetwarzania danych jest zobowiązana do zachowania tajemnicy. (art. 28 ust. 3 lit. b)
3. Bezpieczeństwo. Stosujemy środki techniczne i organizacyjne opisane w Załączniku III. (art. 28 ust. 3 lit. c, art. 32)
4. Podprocesorzy. Korzystamy z podprocesorów wyłącznie na zasadach z sekcji Podprocesorzy, na podstawie umów nakładających te same obowiązki ochrony danych, i odpowiadamy za nich. (art. 28 ust. 2, ust. 3 lit. d, ust. 4)
5. Pomoc przy żądaniach osób, których dane dotyczą. W panelu możesz wyszukać i usunąć dane przechowywane dla zamówienia; jego historia statusów i wysłane wiadomości wygasają po 90 dniach. Jeśli kupujący zwróci się bezpośrednio do nas, przekażemy Ci jego żądanie, nie odpowiadając na nie samodzielnie. (art. 28 ust. 3 lit. e)
6. Pomoc w wykonywaniu Twoich obowiązków z art. 32–36 RODO — bezpieczeństwo, zgłaszanie naruszeń, ocena skutków i uprzednie konsultacje — z uwzględnieniem dostępnych nam informacji. (art. 28 ust. 3 lit. f)
7. Usunięcie lub zwrot danych po zakończeniu. Zob. Zakończenie umowy. (art. 28 ust. 3 lit. g)
8. Informacje i audyty. Udostępniamy informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiamy audyty. Zob. Audyty. (art. 28 ust. 3 lit. h)

Podprocesorzy #

Udzielasz ogólnego zezwolenia na korzystanie z podprocesorów. Aktualna lista jest opublikowana na stronie Podprocesorzy i stanowi Załącznik IV.

• Wysyłamy e-mail właścicielowi konta co najmniej 14 dni przed tym, jak nowy lub zastępujący podprocesor zacznie przetwarzać dane.
• W tym terminie możesz zgłosić uzasadniony sprzeciw dotyczący ochrony danych, pisząc na [email protected]. Postaramy się wtedy znaleźć rozwiązanie, np. nie korzystać z tego podprocesora przy Twoich danych. Jeśli to niemożliwe, możesz rozwiązać umowę ze skutkiem przed zmianą, a my zwrócimy opłaty uiszczone z góry za niewykorzystany okres.
• Telegram i usługi push przeglądarek przetwarzają Twoje dane tylko wtedy, gdy dodasz odbiorcę korzystającego z takiego kanału. Dodając takiego odbiorcę, polecasz nam wysyłanie alertów tym kanałem.

Naruszenia ochrony danych #

Informujemy właściciela konta e-mailem bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Twoich danych. Zgłoszenie opisuje, w zakresie, w jakim jest to wiadome: co się stało, kategorie i przybliżoną liczbę osób oraz wpisów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz osobę do kontaktu. Dalsze informacje przekazujemy w miarę ich uzyskiwania. To Ty decydujesz o zgłoszeniu naruszenia organowi nadzorczemu i osobom, których dane dotyczą; pomagamy Ci, przekazując posiadane informacje.

Audyty #

Odpowiadamy na uzasadnione pisemne pytania o stosowane środki ochrony danych i udostępniamy dokumenty wskazane w Załączniku III. Jeśli to nie wystarczy do wykazania zgodności, Ty lub niezależny audytor zobowiązany do zachowania poufności możecie przeprowadzić audyt nie częściej niż raz w roku (chyba że wymaga tego naruszenie lub organ nadzorczy), z co najmniej 30-dniowym uprzedzeniem, w godzinach pracy i bez dostępu do danych innych klientów. Każda strona ponosi własne koszty audytu.

Zakończenie umowy #

Po zakończeniu umowy lub usunięciu konta usuwamy dane osobowe przetwarzane w Twoim imieniu w sposób opisany w Polityce prywatności: dane sklepów usuwamy po 30-dniowym okresie, w którym można przywrócić konto. Według Twojego wyboru zwracamy dane przed usunięciem: możesz wyeksportować je w formacie JSON z panelu przed zamknięciem konta albo poprosić nas na [email protected] o ich przesłanie w 30-dniowym okresie przywracania konta. Kopie znikają z kopii zapasowych wraz z ich rotacją, w ciągu 30 dni. Zachowujemy jedynie ograniczone zapisy wymienione w Polityce prywatności, przez podane tam okresy, oraz dane, których przechowywania wymaga prawo UE lub prawo polskie.

Zmiany Umowy powierzenia #

Zmiany listy podprocesorów następują zgodnie z sekcją Podprocesorzy. Każdą inną zmianę Umowy powierzenia przesyłamy właścicielowi konta; wchodzi ona w życie wobec Twojego konta dopiero po jej zaakceptowaniu w panelu, a do tego czasu obowiązuje poprzednia wersja. Jeśli nie zaakceptujesz zmiany wymaganej przez prawo, każda ze stron może rozwiązać umowę.

Odpowiedzialność #

Odpowiedzialność z tytułu Umowy powierzenia określa Regulamin, bez ograniczania praw osób, których dane dotyczą, wynikających z art. 82 RODO.

Załącznik I — Wykaz stron #

• Administrator: Klient wskazany w danych konta podanych przy rejestracji (nazwa, adres, NIP), reprezentowany przez właściciela konta. Kontakt: adres e-mail właściciela konta.
• Podmiot przetwarzający: Alexander Tsyrulnikau, prowadzący działalność pod nazwą Axcoda, ul. Wołyńska 144 lok. 26, 15-208 Białystok, NIP 7011109425. Kontakt: [email protected].

Załącznik II — Opis przetwarzania #

Kategorie osób, których dane dotyczą

• Kupujący w sklepie TikTok Shop administratora.
• Pracownicy administratora i inne osoby dodane przez administratora jako odbiorcy powiadomień (ich konta Telegram, adresy e-mail lub urządzenia).

Kategorie danych osobowych

• Identyfikatory zamówień, paczek, zwrotów i anulowań; statusy i historia statusów; terminy; kwoty i waluta; pierwszy produkt zamówienia (identyfikator i nazwa) i liczba pozycji; numer przesyłki i przewoźnik; przyczyny zwrotu i anulowania (kody i opisy) podawane przez TikTok; informacja, że kupujący czeka na odpowiedź na czacie, i jak długo.
• Identyfikatory, nazwa i region sklepu; dane produktów, SKU i stanów magazynowych; wskaźniki kondycji sklepu.
• Odbiorcy: identyfikator i nazwa czatu Telegram, adres e-mail lub subskrypcja push przeglądarki, język, strefa czasowa, godziny ciszy; nazwa w Telegramie osoby, która kliknie przycisk.
• Nieprzechowywane: imiona i nazwiska, adresy, numery telefonów i adresy e-mail kupujących oraz treść wiadomości z czatu. Mogą znajdować się w danych otrzymywanych z TikTok, ale są usuwane przy ich odbiorze i nigdy nie są zapisywane (zob. Załącznik III, minimalizacja danych).

Dane szczególnych kategorii: brak. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących.

Charakter przetwarzania: pozyskiwanie danych z API TikTok Shop i webhooków TikTok na podstawie autoryzacji administratora; filtrowanie; przechowywanie; wyliczanie terminów, alertów, podsumowań i wskaźników kondycji sklepu; przesyłanie alertów wybranymi przez administratora kanałami; usuwanie.

Cel: świadczenie na rzecz administratora usługi Axcoda Guard — alertów o terminach zamówień, zwrotach, czatach, stanach magazynowych, produktach i kondycji sklepu.

Czas trwania: przez czas obowiązywania umowy i do usunięcia danych zgodnie z sekcją Zakończenie umowy. Poszczególne okresy przechowywania podaje Polityka prywatności.

Częstotliwość: ciągła.

Załącznik III — Środki techniczne i organizacyjne #

• Minimalizacja danych: zdarzenia (webhooki) TikTok są zapisywane dopiero po usunięciu z nich przez usługę integracyjną pól kontaktowych kupujących i treści wiadomości z czatu; ze wszystkich zdarzeń i odpowiedzi API TikTok aplikacja Guard zapisuje tylko pola z listy dozwolonych, która nie obejmuje danych kontaktowych kupujących ani treści wiadomości. Do kanałów powiadomień trafiają tylko pola dozwolone na wybranym poziomie szczegółowości.
• Szyfrowanie w transmisji: HTTPS z HSTS na wszystkich publicznych punktach dostępu; TLS z weryfikacją certyfikatu między usługami a bazami danych.
• Szyfrowanie danych przechowywanych: tokeny TikTok — AES-256-GCM (szyfrowanie kopertowe, rotacja kluczy); adresy odbiorców i sekrety drugiego składnika szyfrowane na poziomie aplikacji. Kopie zapasowe są szyfrowane.
• Kontrola dostępu: rozdzielenie danych klientów przy każdym żądaniu; odrębne bazy danych i role dla każdej usługi; usługi wewnętrzne niedostępne z internetu; ruch wychodzący przez listę dozwolonych adresów; dostęp personelu tylko z imiennych kont, z obowiązkowym uwierzytelnianiem dwuskładnikowym, z dozwolonych sieci, z ponownym uwierzytelnieniem i zapisem przyczyny przy wrażliwych czynnościach; przegląd uprawnień co najmniej raz w roku i ich odebranie w ciągu 24 godzin od odejścia danej osoby.
• Rejestrowanie: chronione przed zmianą dzienniki zdarzeń, logowań i bezpieczeństwa bez danych kupujących, przechowywane co najmniej rok.
• Dostępność i odporność: szyfrowane kopie zapasowe w UE, przechowywane do 30 dni; monitorowanie zadań cyklicznych; usuniętych kont nie przywracamy z kopii zapasowych.
• Testy: testy automatyczne sprawdzające, że znaczniki danych osobowych nie trafiają do bazy danych, dzienników ani kanałów; aktualizacje zależności.
• Organizacja: umowy o zachowaniu poufności przed udzieleniem dostępu do danych klientów; za bezpieczeństwo odpowiada właściciel, który co najmniej raz w roku przegląda te środki.
• Środowiska: dane produkcyjne nie są kopiowane do środowisk deweloperskich ani testowych.

Więcej: Bezpieczeństwo.

Załącznik IV — Wykaz podprocesorów #

Lista opublikowana na stronie Podprocesorzy, aktualizowana zgodnie z Umową powierzenia.