Umowa powierzenia przetwarzania danych

1. Definicje

Terminy takie jak administrator, podmiot przetwarzający, podmiot podprzetwarzający, osoba, której dane dotyczą, dane osobowe, przetwarzanie i naruszenie ochrony danych osobowych mają znaczenie nadane w UK GDPR i unijnym RODO. „Przepisy o ochronie danych” oznaczają UK GDPR, unijne RODO (rozporządzenie 2016/679), UK Data Protection Act 2018 oraz wszelkie inne właściwe przepisy o ochronie danych lub prywatności.

2. Role i zakres

W odniesieniu do danych osobowych przetwarzanych na podstawie umowy Klient jest administratorem, a Clavio podmiotem przetwarzającym (lub, jeśli Klient sam przetwarza dane w imieniu swoich użytkowników końcowych, Clavio jest podmiotem podprzetwarzającym). Clavio przetwarza dane osobowe wyłącznie w celu świadczenia i wspierania Usługi. Przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych oraz kategorie osób opisano poniżej w Załączniku A.

3. Obowiązki Podmiotu przetwarzającego (art. 28)

Clavio zobowiązuje się:

• Udokumentowane polecenia — przetwarzać dane osobowe wyłącznie na udokumentowane polecenia Klienta (w tym zawarte w umowie i tym DPA), chyba że prawo wymaga inaczej; w takim przypadku Clavio uprzednio poinformuje Klienta, o ile prawo na to pozwala.
• Poufność — zapewnić, że osoby upoważnione do przetwarzania danych osobowych są związane odpowiednim obowiązkiem poufności.
• Bezpieczeństwo — wdrożyć środki techniczne i organizacyjne opisane w §6 i Załączniku B (art. 32).
• Podmioty podprzetwarzające — angażować je wyłącznie zgodnie z §5.
• Pomoc w realizacji praw osób — uwzględniając charakter przetwarzania, wspierać Klienta odpowiednimi środkami w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw).
• Pomoc w zapewnianiu zgodności — wspierać Klienta w przestrzeganiu art. 32–36 (bezpieczeństwo, zgłaszanie naruszeń, oceny skutków dla ochrony danych i uprzednie konsultacje), uwzględniając informacje dostępne Clavio.
• Usunięcie lub zwrot — według wyboru Klienta usunąć lub zwrócić wszystkie dane osobowe po zakończeniu świadczenia usług i usunąć istniejące kopie, chyba że prawo wymaga przechowywania (zob. §8).
• Audyty — udostępniać informacje niezbędne do wykazania zgodności z art. 28 oraz umożliwiać audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego audytora i w nich uczestniczyć, z zastrzeżeniem rozsądnych ustaleń dotyczących poufności i bezpieczeństwa.

4. Naruszenie ochrony danych osobowych

Clavio powiadomi Klienta bez zbędnej zwłoki po uzyskaniu wiedzy o naruszeniu dotyczącym danych osobowych Klienta i przekaże racjonalnie dostępne informacje, aby pomóc mu w wypełnieniu własnych obowiązków powiadamiania organów nadzorczych i osób, których dane dotyczą, zgodnie z art. 33 i 34.

5. Podmioty podprzetwarzające

Klient udziela Clavio ogólnego upoważnienia do angażowania podmiotów podprzetwarzających w celu świadczenia Usługi. Obecne podmioty są wymienione w naszej Polityce prywatności i poniżej. Clavio nałoży na każdy z nich obowiązki ochrony danych zasadniczo równoważne obowiązkom z tego DPA i pozostaje odpowiedzialne za wykonywanie ich zobowiązań. Clavio poinformuje Klienta o zamierzonych zmianach i umożliwi wniesienie sprzeciwu z uzasadnionych powodów dotyczących ochrony danych.

• Anthropic — poprawianie transkrybowanego tekstu przez AI; przetwarza transkrypcje i treści dyktowane.
• OpenAI (Whisper) — transkrypcja mowy na tekst; przetwarza nagrania głosu.
• Groq — po skonfigurowaniu może zapewniać transkrypcję mowy na tekst; przetwarza nagrania głosu i powiązane dane wnioskowania zgodnie z właściwymi ustawieniami kontroli danych konta.
• Lemon Squeezy — obsługa płatności i rozliczanie subskrypcji jako Merchant of Record; przetwarza dane konta i tożsamości (imię i nazwisko, e-mail), dane rozliczeniowe i płatnicze oraz kraj do celów podatkowych.
• Apple — logowanie i weryfikacja tożsamości; przetwarza dane konta i tożsamości.
• Google — logowanie i weryfikacja tożsamości; przetwarza dane konta i tożsamości.
• Railway — hosting aplikacji i infrastruktura baz danych; może przetwarzać wszystkie kategorie opisane w Załączniku A.
• GitLab — dostarczanie oprogramowania i narzędzia operacyjne; przetwarza dane diagnostyczne i operacyjne.

6. Środki bezpieczeństwa (art. 32)

Clavio utrzymuje odpowiednie środki techniczne i organizacyjne chroniące dane osobowe, w tym: szyfrowanie podczas przesyłania (TLS); przechowywanie wyłącznie haszowanych tokenów uwierzytelniających zamiast haseł; kontrolę dostępu według zasady niezbędnej wiedzy; korzystanie z renomowanych dostawców infrastruktury; oraz praktyki operacyjne służące ciągłemu zapewnianiu poufności, integralności, dostępności i odporności Usługi. Podsumowanie znajduje się w Załączniku B.

7. Przekazywanie międzynarodowe

Jeżeli przetwarzanie w ramach tego DPA obejmuje przekazanie danych osobowych poza Zjednoczone Królestwo lub EOG do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, strony uzgadniają, że przekazanie podlega odpowiednim zabezpieczeniom z art. 46: Standardowym klauzulom umownym Komisji Europejskiej (EU 2021/914), a dla przekazań ze Zjednoczonego Królestwa — Brytyjskiej umowie o międzynarodowym przekazywaniu danych / Brytyjskiemu aneksowi, włączonym przez odniesienie i uzupełnionym danymi z Załączników. Standardowo podpisujemy te klauzule bez negocjacji.

8. Czas trwania, usunięcie i zwrot

Ten DPA obowiązuje tak długo, jak Clavio przetwarza dane osobowe w imieniu Klienta. Po rozwiązaniu lub wygaśnięciu Usługi, według wyboru Klienta, Clavio usunie lub zwróci dane osobowe Klienta i usunie istniejące kopie, z zastrzeżeniem krótkich okresów rotacji kopii zapasowych oraz przechowywania wymaganego prawem.

9. Załącznik A — Szczegóły przetwarzania

• Przedmiot i charakter: świadczenie usługi dyktowania głosowego z AI — przechwytywanie, przesyłanie, transkrypcja i poprawianie dyktowanych treści oraz zarządzanie kontami i subskrypcjami.
• Cel: dostarczanie Usługi Klientowi i jego upoważnionym użytkownikom.
• Czas trwania: przez okres umowy i ewentualny ograniczony okres zakończenia przetwarzania zgodnie z §8.
• Kategorie osób, których dane dotyczą: upoważnieni użytkownicy Klienta (np. pracownicy lub członkowie zespołu).
• Rodzaje danych osobowych: dane konta i tożsamości (identyfikator użytkownika, imię i nazwisko, e-mail, w tym adresy prywatnego przekazywania Apple); nagrania głosu i transkrypcje; dane subskrypcji, rozliczeń i płatności (obsługiwane przez naszego Merchant of Record, Lemon Squeezy), w tym kraj do celów podatkowych; dane użytkowania, diagnostyki oraz urządzenia/systemu operacyjnego.
• Szczególne kategorie danych: nagrania głosu przetwarzane tymczasowo w celu tworzenia transkrypcji; nieużywane do trenowania modeli AI.

10. Załącznik B — Środki bezpieczeństwa (podsumowanie)

• Szyfrowanie danych osobowych podczas przesyłania (TLS).
• Uwierzytelnianie przez dostawców tożsamości, u których użytkownik jest zalogowany; przechowywanie tylko haszowanych tokenów, nie haseł.
• Kontrola dostępu do systemów i danych oparta na rolach oraz zasadzie niezbędnej wiedzy.
• Korzystanie z renomowanych podmiotów podprzetwarzających w zakresie infrastruktury i AI, sprawdzonych pod kątem bezpieczeństwa i związanych warunkami ochrony danych.
• Rejestrowanie i monitorowanie w celu wykrywania zdarzeń bezpieczeństwa i reagowania na nie oraz procedura powiadamiania Klienta o naruszeniach ochrony danych osobowych.
• Środki służące terminowemu przywróceniu dostępności danych osobowych i dostępu do nich po incydencie.

11. Kontakt

Aby poprosić o ten DPA, podpisać go lub zadać pytania, skontaktuj się z office@justetools.co.uk .