Załącznik nr 1 — umowa powierzenia przetwarzania danych osobowych

Niniejszy dokument stanowi Załącznik nr 1 do Regulaminu świadczenia usługi LiveRun, jest jego integralną częścią i stanowi umowę powierzenia przetwarzania danych osobowych (dalej: „Umowa Powierzenia”) w rozumieniu art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: „RODO”).

Akceptacja Regulaminu jest równoznaczna z zawarciem niniejszej Umowy Powierzenia. Nie jest wymagany odrębny dokument ani podpis odręczny — art. 28 ust. 9 RODO dopuszcza formę elektroniczną.

Usługodawca odnotowuje, którą wersję Regulaminu wraz z niniejszym Załącznikiem Klient zaakceptował oraz kiedy. Informacja ta jest udostępniana Klientowi na żądanie skierowane na adres privacy@liverun.io.

W zakresie nieuregulowanym stosuje się Regulamin oraz Politykę prywatności. W razie rozbieżności co do zasad powierzenia — rozstrzyga niniejszy Załącznik.

Usługodawca/ Podmiot przetwarzający: Arkadiusz Grzanko, prowadzący działalność pod firmą: ARKADIUSZ GRZANKO 50FRAMES

Na potrzeby niniejszej Umowy Powierzenia pojęcie „Klienta” obejmuje również przedsiębiorcę zawierającego Umowę Powierzenia, na zasadach § 5 ust. 9 Regulaminu (Użytkownik Workspace), w zakresie jego Danych Własnych (w rozumieniu Regulaminu).

Klient jest administratorem danych osobowych, które wprowadza do Usługi lub które wprowadzają osoby przez niego upoważnione — członkowie ekipy, szefowie ekip, reżyserzy, kierowcy, kontakty produkcyjne (wszystkie osoby korzystające z Usługi w ramach organizacji Klienta, z wyłączeniem Użytkowników Workspace w zakresie ich Danych Własnych) — chyba że w odniesieniu do danej produkcji lub części wprowadzanych w ramach niej danych Klient działa jako podmiot przetwarzający w imieniu innego administratora (np. nadawcy) dalej zwanego „Administratorem Pierwotnym”. Klient będący Użytkownikiem Workspace jest administratorem lub podmiotem przetwarzającym wszystkich Danych Własnych, wprowadzanych przez niego lub przez osoby przez niego upoważnione.

Usługodawca jest podmiotem przetwarzającym (lub odpowiednio dalszym podmiotem przetwarzającym) te dane i przetwarza je wyłącznie w zakresie i celu opisanym w § 3.

W odniesieniu do danych Konta samego Klienta (adres e-mail, imię i nazwisko, dziennik logowań) Usługodawca jest administratorem — zasady opisuje Polityka prywatności.

Klient na mocy niniejszej Umowy Powierzenia, powierza Usługodawcy do przetwarzania dane osobowe, wskazane w § 3 i 4 niniejszej Umowy Powierzenia, a Usługodawca zobowiązuje się do ich przetwarzania zgodnie z RODO i postanowieniami niniejszej Umowy Powierzenia.

Klient niniejszym oświadcza i gwarantuje, że (z zastrzeżeniem ust. 6 poniżej) jest administratorem powierzanych danych osobowych, w rozumieniu RODO, a ich gromadzenie i przetwarzanie odbywa się zgodnie z RODO oraz powszechnie obowiązującymi przepisami prawa, a także iż Klient jest podmiotem uprawnionym do powierzenia przetwarzania danych osobowych Usługodawcy oraz do ich wprowadzenia do Usługi.

Jeżeli Klient działa jako podmiot przetwarzający w imieniu Administratora Pierwotnego, Usługodawca jest dalszym podmiotem przetwarzającym w rozumieniu art. 28 ust. 4 RODO, a Klient oświadcza i gwarantuje, że:

W przypadku, o którym mowa w ust. 6 powyżej:

Jeżeli produkcja jest realizowana przez współadministratorów (art. 26 RODO), Klient oświadcza, że działa w imieniu i za zgodą każdego z nich, a Usługodawca wykonuje polecenia wyłącznie za pośrednictwem Klienta.

W przypadku, gdyby którekolwiek z oświadczeń Klienta, o których mowa w niniejszym paragrafie okazało się nieprawdziwe, Klient zwolni Usługodawcę z jakichkolwiek roszczeń podmiotów trzecich w tym zakresie oraz naprawi szkodę poniesioną w tym zakresie przez Usługodawcę.

Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie Klienta (lub Administratora Pierwotnego) - co dotyczy także przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej – chyba, że prawo Unii lub prawo polskie nakłada na niego taki obowiązek; w takim przypadku Usługodawca przed rozpoczęciem przetwarzania informuje Klienta o tym obowiązku prawnym, o ile prawo to nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny. Poleceniem tym jest korzystanie z Usługi zgodnie z jej przeznaczeniem — w tym konfiguracja Usługi oraz czynności wykonywane w niej przez Klienta i osoby przez niego upoważnione — oraz treść niniejszego Załącznika.

Polecenia wykraczające poza zwykłe korzystanie z Usługi Klient kieruje na adres privacy@liverun.io — w formie pisemnej lub dokumentowej. W przypadku poleceń wykraczających poza funkcjonalności Usługi, Usługodawca może uzależnić wykonanie takiego polecenia od jego technicznej wykonalności w ramach Usługi oraz od pokrycia przez Klienta uzasadnionych kosztów jego wykonania.

Jeżeli w ocenie Usługodawcy polecenie narusza RODO lub inne przepisy o ochronie danych, Usługodawca niezwłocznie informuje o tym Klienta i może wstrzymać jego wykonanie do czasu wyjaśnienia lub modyfikacji polecenia.

Usługodawca przetwarza dane poza poleceniem Klienta wyłącznie wtedy, gdy wymaga tego prawo — informując o tym Klienta przed przetworzeniem, chyba że prawo tego zakazuje.

Polecenia Klienta oraz osób działających z jego upoważnienia dotyczą wyłącznie danych objętych dokonanym przez niego powierzeniem. Uprawnienia do zarządzania Workspace nie obejmują prawa wydawania poleceń dotyczących Danych Własnych innych podmiotów, w szczególności ich ujawnienia, zwrotu lub usunięcia, bez odpowiedniej podstawy prawnej i umocowania.

Obowiązek informacyjny wobec osób, których dane Klient wprowadza, spoczywa na Kliencie jako administratorze.

Usługodawca udostępnia w Usłudze notę informacyjną (zakładka „Info” oraz nagłówek czatu) i pełną Politykę prywatności. Nie zastępuje to obowiązku Klienta.

Klient oświadcza, że dysponuje podstawą prawną do przekazania danych ekipy do przetwarzania w Usłudze, że dane te zostały zebrane i są przetwarzane zgodnie z RODO i przepisami prawa powszechnie obowiązującego oraz że jest uprawniony do powierzenia ich przetwarzania Usługodawcy.

Usługodawca zapewnia, że osoby mające dostęp do danych są zobowiązane do zachowania poufności — na podstawie umowy albo ustawowego obowiązku.

Zobowiązanie do poufności obowiązuje bezterminowo, także po zakończeniu świadczenia Usługi.

Dostęp personelu Usługodawcy do Treści Klienta następuje wyłącznie w zakresie niezbędnym do usunięcia awarii lub obsługi zgłoszenia Klienta.

Usługodawca stosuje środki techniczne i organizacyjne odpowiadające ryzyku (art. 32 RODO). Opis stosowanych środków organizacyjnych i technicznych znajduje się pod adresem strony o bezpieczeństwie, w zakresie w jakim ich upublicznienie nie naraża bezpieczeństwa Usługi.

Opis obejmuje m.in. szyfrowanie połączeń, rozdzielenie danych między Klientów na poziomie bazy danych, kontrolę dostępu opartą na rolach oraz kopie zapasowe.

Usługodawca może zmienić zastosowane środki, o ile poziom ochrony nie ulegnie obniżeniu.

Klient wyraża ogólną zgodę na korzystanie przez Usługodawcę z dalszych podmiotów przetwarzających. Aktualna lista jest jawna: lista podprocesorów.

O zamiarze usunięcia, zmiany lub dodania nowego podprocesora Usługodawca informuje z wyprzedzeniem co najmniej 14 dni.

Klient ma prawo wnieść w ww. terminie uzasadniony sprzeciw i — jeżeli sprzeciwu nie da się uwzględnić — zakończyć korzystanie z Usługi bez negatywnych konsekwencji, z zachowaniem prawa do pobrania danych.

Usługodawca nakłada na podprocesorów obowiązki nie mniejsze niż wynikające z niniejszego Załącznika i odpowiada za ich działania jak za własne.

Klient zobowiązuje się nie wyrażać sprzeciwu bez uzasadnionej przyczyny (związanej stricte z ochroną danych osobowych).

Usługodawca nie przekazuje danych do państwa trzeciego ani organizacji międzynarodowej bez zgody Klienta. Klient wyraża zgodę na przekazywanie danych podprocesorom wskazanym na liście podprocesorów, także poza Europejski Obszar Gospodarczy (jeżeli dotyczy), o ile odbywa się ono na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO).

Usługodawca zobowiązuje się do przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w art. 28 ust. 2 i 4 RODO.

Biorąc pod uwagę charakter przetwarzania Usługodawca będzie w miarę możliwości pomagał Klientowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązków odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w Rozdziale III RODO.

Znaczną część tych praw Klient realizuje samodzielnie w Usłudze — podgląd, poprawienie i usunięcie danych ekipy oraz eksport zestawień są dostępne z poziomu interfejsu.

Żądanie skierowane przez osobę, której dane dotyczą, bezpośrednio do Usługodawcy zostaje przekazane Klientowi bez zbędnej zwłoki; Usługodawca nie rozstrzyga go samodzielnie.

Uwzględniając charakter przetwarzania oraz dostępne mu informacje Usługodawca pomaga Klientowi w wypełnieniu obowiązków z art. 32–36 RODO w zakresie dotyczącym przetwarzania w Usłudze.

Naruszenie ochrony danych osobowych Usługodawca zgłasza Klientowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres kontaktowy z zakresu ochrony danych osobowych przekazany przez Klienta.

Zgłoszenie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, opis możliwych skutków oraz podjęte lub proponowane działania.

Jeżeli nie jest możliwe przekazanie wszystkich informacji, o których mowa w ust. 2, jednocześnie, Usługodawca przekazuje je sukcesywnie, bez zbędnej zwłoki.

Zgłoszenia i pytania dotyczące bezpieczeństwa: security@liverun.io.

Klient przyjmuje do wiadomości, że kanały rozmów zespołów nie są dostępne producentowi ani właścicielowi produkcji — Klient, akceptując niniejszy Załącznik, poleca Usługodawcy takie ukształtowanie dostępu.

Jedyną drogą ujawnienia pojedynczej wiadomości jest jej zgłoszenie przez uczestnika kanału.

Klient ocenia we własnym zakresie, czy taki układ odpowiada jego obowiązkom wynikającym z prawa pracy — w szczególności art. 94³ Kodeksu pracy.

Ograniczenie z ust. 1 nie wyłącza obowiązków z § 10 w zakresie żądań osób, których dane dotyczą.

Po zakończeniu świadczenia Usługi Usługodawca — wedle wyboru Klienta — usuwa dane albo zwraca je w formacie nadającym się do odczytu maszynowego, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje dalsze przechowywanie danych. Zwrot danych w formacie innym niż standardowo udostępniany w Usłudze lub wymagający niestandardowego nakładu pracy następuje na koszt Klienta.

Wybór Klient zgłasza w ciągu 30 dni od zakończenia. Brak zgłoszenia oznacza usunięcie.

Klient może pobrać swoje dane samodzielnie (Konto → Eksport danych, eksporty zestawień w produkcji) — także po zakończeniu świadczenia, w okresie 30 dni.

Usunięcie obejmuje kopie u podprocesorów, z zastrzeżeniem kopii zapasowych, które wygasają zgodnie z ich cyklem — nie dłuższym niż 30 dni.

Usługodawca udostępnia Klientowi informacje niezbędne do wykazania zgodności z art. 28 RODO.

Usługodawca umożliwia audyt — przeprowadzany przez Klienta lub upoważnionego przez niego audytora — w terminie uzgodnionym z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku, chyba że audyt wynika ze stwierdzonego naruszenia.

Audyt nie może naruszać poufności danych innych Klientów Usługodawcy ani jego tajemnicy przedsiębiorstwa. Audyt prowadzi się w dni robocze, w sposób proporcjonalny i najmniej zakłócający działalność Usługodawcy. Audyty i inspekcje prowadzone będą w proporcjonalnym zakresie i każdorazowo przy wykorzystaniu najmniej inwazyjnych metod. Audytor zewnętrzny nie może być podmiotem prowadzącym działalność konkurencyjną wobec Usługodawcy i przed audytem zobowiązuje się na piśmie do zachowania poufności. Jeżeli sposób przeprowadzania audytu narusza powyższe zasady, Usługodawca może zgłosić sprzeciw; wówczas Strony uzgadniają inny sposób przeprowadzenia audytu.

W pierwszej kolejności obowiązek z ust. 1 realizuje strona o bezpieczeństwie oraz lista podprocesorów.

Koszty audytu ponosi Klient, chyba że audyt wynika ze stwierdzonego naruszenia.

Usługodawca odpowiada wobec Klienta za szkodę wyrządzoną zawinionym naruszeniem niniejszego Załącznika lub przepisów o ochronie danych osobowych, na zasadach ogólnych, z zastrzeżeniem ust. 2–3 poniżej.

Odpowiedzialność Usługodawcy wobec Klienta z tytułu ochrony danych osobowych jest ograniczona do szkody rzeczywistej oraz do kwoty 20.000,00 złotych. Ograniczenie nie dotyczy szkody wyrządzonej umyślnie.

Usługodawca nie odpowiada za szkodę wynikającą z przetwarzania danych zgodnie z poleceniami Klienta, z wprowadzenia do Usługi danych, o których mowa w § 7 ust. 2 Regulaminu, nadawania przez Klienta dostępów do Usługi i wprowadzania danych niezgodnie z udzielonymi upoważnieniami do przetwarzania danych osobowych w organizacji Klienta, ani z naruszenia przez Klienta obowiązków lub oświadczeń, o których mowa w § 2 ust. 4–8 lub § 6.

Klient zobowiązuje się zwolnić Usługodawcę z odpowiedzialności wobec osób trzecich, w tym Administratora Pierwotnego i osób, których dane dotyczą, oraz naprawić szkodę Usługodawcy, w tym pokryć zasądzone odszkodowania i uzasadnione koszty obrony, jeżeli wynikają one z okoliczności, o których mowa w ust. 3.

Postanowienia niniejszego paragrafu nie ograniczają praw osób, których dane dotyczą, wynikających z art. 82 RODO.

Wszelkie pojęcia, które nie zostały wyraźnie zdefiniowane odmiennie w niniejszej Umowie Powierzenia mają znaczenie zgodne ze znaczeniem nadanym im w RODO oraz Regulaminie.

Z tytułu wykonywania obowiązków wynikających z niniejszej Umowy Powierzenia Usługodawcy nie przysługuje wynagrodzenie.

Niniejsza Umowa Powierzenia podlega prawu polskiemu oraz jurysdykcji sądów polskich.

Niniejszą Umowę Powierzenia sporządzono w języku polskim i wersja polska jest wiążąca. Wersje w innych językach mają charakter informacyjny; w razie rozbieżności rozstrzyga wersja polska.

W zakresie nieuregulowanym niniejszą Umową Powierzenia zastosowanie znajdują odpowiednie przepisy powszechnie obowiązującego prawa, w szczególności dotyczące ochrony danych osobowych.

Jeżeli którekolwiek z postanowień niniejszej Umowy Powierzenia jest lub stanie się nie ważne, nie narusza to ważności pozostałych postanowień. W miejsce nieważnych postanowień Umowy Powierzenia Strony niezwłocznie uzgodnią takie postanowienia, które będą odpowiadać znaczeniu i celowi postanowień nieważnych.

Wszelkie spory wynikające z niniejszej Umowy Powierzenia będą rozstrzygane przez sąd właściwy dla siedziby Usługodawcy.

Zmiana niniejszej Umowy Powierzenia dokonywana będzie w sposób przewidziany w Regulaminie.