Dodatek dotyczący przetwarzania danych

Warunki przetwarzania danych

1. Definicje. Wszystkie terminy pojęcia pisane wielką literą, które nie zostały zdefiniowane w niniejszym dokumencie, będą miały znaczenie określone w niniejszym Punkcie 1 (Definicje) lub w Umowie.

   
   A) „Przepisy o ochronie danych” oznaczają, w stosownych przypadkach: i) Rozporządzenie (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych („EU GDPR”); (ii) the EU GDPR as incorporated into UK law under the UK European Union (Withdrawal) Act 2018, and applicable legislation under such Act (the “UK GDPR”); (iii) the Federal Act on Data Protection of 19 June 1992 (Switzerland) (the “Swiss FADP”); (iv) U.S. state laws that govern the processing of personal data, including the California Consumer Privacy Act of 2018 (the “CCPA”), as amended by the California Privacy Rights Act of 2020 (the “CPRA”), and/or (v) Canadian Law 25.
   
   B) „EOG” oznacza Europejski Obszar Gospodarczy.
   
   C) „UE” oznacza Unię Europejską.
   
   D) „Standardowe Kklauzule Uumowne” lub „SKU” oznaczają klauzule załączone do decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do innych państw na mocy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, które są dostępne w Internecie pod adresem https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914&from=EN.
   
   E) „Transfer” oznacza ujawnienie, dostarczenie lub w inny sposób udostępnienie danych osobowych podmiotowi zewnętrznemu, w tym między innymi ujawnienie poprzez fizyczne przeniesienie danych osobowych do takiego podmiotu lub umożliwienie dostępu do danych osobowych w inny sposób.
   
   F) „Zjednoczone Królestwo (UK)” oznacza Wielką Brytanię.
   
   G) Terminy Pojęcia „administrator danych”, „osoba, której dane dotyczą”, „dane osobowe”, „informacje osobowe”, „naruszenie ochrony danych osobowych”, „przetwarzać” lub „przetwarzanie” oraz „podmiot przetwarzający” mają znaczenie określone w obowiązującej ustawie o ochronie danych.

2. Zadania stron. Strony uzgadniają, że dla celów wszelkich obowiązujących przepisów o ochronie danych, Sponsor jest administratorem danych osobowych (lub, w stosownych przypadkach, podmiotem przetwarzającym), a Extu jest podmiotem przetwarzającym dane osobowe. Każda ze stron będzie przestrzegać obowiązków wynikających z przepisów o ochronie danych osobowych, które mają do niej zastosowanie w związku z niniejszym DPA i przetwarzaniem danych osobowych.

3. Przetwarzanie danych osobowych. Extu będzie przetwarzać dane osobowe wyłącznie: a) w zakresie niezbędnym do wykonania swoich zobowiązań wynikających z Umowy; b) zgodnie z Umową, niniejszym DPA i innymi udokumentowanymi instrukcjami otrzymanymi od Sponsora, jak określono w Punkcie 4 (Instrukcje) poniżej; oraz c) w zakresie niezbędnym do zapewnienia zgodności z obowiązującym prawem. Szczegóły dotyczące przetwarzania danych osobowych (w tym przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą) przedstawiono w Załączniku A do niniejszego dokumentu.

4. Instrukcje. Extu będzie przetwarzać dane osobowe zgodnie z udokumentowanymi, zgodnymi z prawem instrukcjami Sponsora określonymi w Umowie i niniejszym dokumencie DPA, w tym instrukcjami dotyczącymi Transferów. Sponsor przyjmuje do wiadomości, że Extu gromadzi wyłącznie te dane osobowe, które zostały wyraźnie zażądane i zatwierdzone przez Sponsora. Sponsor może przekazać Extu na piśmie dodatkowe instrukcje dotyczące przetwarzania danych osobowych zgodnie z przepisami o ochronie danych. Extu zastosuje się do uzasadnionych, zgodnych z prawem i udokumentowanych dodatkowych instrukcji Sponsora, z wyjątkiem zakresu, w jakim takie instrukcje rozszerzają zakres działania Extu zgodnie z Umową, w którym to przypadku Extu zastrzega sobie prawo do naliczenia obciążenia Sponsoraowi dodatkowymich opłatami. O ile nie zabrania tego obowiązujące prawo, Extu poinformuje Sponsora, jeśli w uzasadnionej opinii Extu instrukcja Sponsora narusza obowiązujące Przepisy o Oochronie Ddanych.

5. Żądania osób, których dane dotyczą. Jeśli Extu otrzyma żądanie od osoby, której dane dotyczą, które będzie odnosić się do danych osobowych Sponsora i go wskażewskazuje, Extu niezwłocznie poinstruuje osobę, której dane dotyczą, aby przesłała takie żądanie do Sponsora. Extu będzie w stosownym zakresie pomagać Sponsorowi, stosując odpowiednie środki techniczne i organizacyjne, biorąc pod uwagę charakter przetwarzania, w wypełnianiu obowiązków Sponsora w zakresie odpowiadania na żądania osób, których dane dotyczą, o skorzystanie z ich praw wynikających z obowiązujących Przepisów o Oochronie Ddanych, w tym prawa do dostępu, sprostowania, sprzeciwu, usunięcia i przenoszenia danych.

6. Dodatkowa pomoc. Biorąc pod uwagę charakter przetwarzania i informacje dostępne Extu, Extu będzie stosownie w uzasadniony sposób pomagać Sponsorowi w wypełnianiu jego obowiązków w zakresie: a) zapewniania bezpieczeństwa danych osobowych; b) reagowania na naruszenia ochrony danych osobowych, jak określono poniżej w Punkcie 11 (Naruszenie ochrony danych osobowych); oraz c) przeprowadzania ocen wpływu na prywatność i ochronę danych oraz związanych z tym konsultacji z organami ds. ochrony danych.

7. Korzystanie z usług Podwykonawców. Sponsor niniejszym udziela Extu ogólnego pisemnego upoważnienia do wyznaczenia zewnętrznych podwykonawców przetwarzających dane osobowe Sponsora w związku z wykonywaniem przez Extu Umowy (każdy z nich zwany jest „Podwykonawcą przetwarzającym dane”). W szczególności Extu może nadal korzystać z usług Podwykonawców, którzy już je świadczą z Datą wejścia w życie DPA, a których wykaz jest dostępnya pod adresem https://extu.com/legal/subprocessors/ („Strona Podwykonawców”). Co najmniej trzydzieści (30) dni przed wyznaczeniem nowego Podwykonawcy mającego przetwarzać dane osobowe Sponsora w związku z wykonywaniem przez Extu Umowy, Extu prześle Sponsorowi powiadomienie o zamiarze wyznaczenia nowego Podwykonawcy, aktualizując wykaz dostępny na Sstronie Podwykonawców przetwarzających dane. Jeśli Sponsor nie zgłosi sprzeciwu w terminie dziesięciu (10) dni roboczych, nowy Podwykonawca przetwarzający dane zostanie uznany za zatwierdzony. Jeśli Sponsor zgłosi sprzeciw w terminie dziesięciu (10) dni, strony dołożą starań w dobrej wierze, aby rozstrzygnąć taki sprzeciw w rozsądnym terminie. W przeciwnym razie Sponsor może rozwiązać Umowę i niniejszy DPA za powiadomieniem Extu. Zanim jakikolwiek Podwykonawca otrzyma zezwolenie na przetwarzanie danych osobowych Sponsora, Extu zawrze z takim Podwykonawcą pisemną umowę, która będzie nie mniej restrykcyjna niż niniejszy DPA w odniesieniu do przetwarzania danych osobowych. Extu pozostanie odpowiedzialna za wszelkie działania lub zaniechania takiego Podwykonawcy w odniesieniu do danych osobowych, tak jakby takie działania lub zaniechania były dokonane przez Extu.

8. Transfery.

   
   A) W zakresie, w jakim przetwarzanie danych osobowych przez Extu wymaga Transferu przez Sponsora danych osobowych pochodzących z EOG, Wielkiej Brytanii lub Szwajcarii do Extu w kraju znajdującym się poza EOG, Wielką Brytanią lub Szwajcarią, który nie był przedmiotem wiążącej decyzji Komisji Europejskiej lub podobnego właściwego organu ds. ochrony danych, taki Transfer zostanie dokonane dokonany zgodnie ze SKU, które są niniejszym włączone przez odniesienie, z zastrzeżeniem następujących postanowień:

   i) jeśli Sponsor jest administratorem danych, a Extu jest podmiotem przetwarzającym, takie Transfery zostaną dokonane zgodnie z Modułem Ddrugim SKU;
   
   ii) w przypadku, gdy zarówno Sponsor, jak i Extu są podmiotami przetwarzającymi, takie Transfery będą dokonane zgodnie z Modułem Ttrzecim SKU;
   
   
   iii) w przypadku, gdy Transfer dotyczy danych osobowych pochodzących z Wielkiej Brytanii, SKU zostaną zmodyfikowane zgodnie z „Uzupełnieniem dotyczącym przekazywania danych z Wielkiej Brytanii„, opracowanym przez brytyjskie Biuro Komisarza ds. Informacji (UK Information Commissioner’s Office – „UKICO”), i obowiązującym od 21 marca 2022 r., które jest dostępne w Internecie pod adresem https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf i włączone do niniejszego dokumentu przez niniejsze odniesienie;
   
   iv) wybory dokonane przez strony w odniesieniu do tych elementów SKU, które przewidują opcjonalność, zostały określone dla poszczególnych jurysdykcji w Załączniku B do niniejszego dokumentu; oraz
   
   v) informacje wymagane przez: (A) Załącznik I i Załącznik III do SKU znajdują się w Załączniku A do niniejszego dokumentu, oraz B) Załącznik II do SKU znajduje się w Załączniku C do niniejszego dokumentu.

   B) Wszelkie dalsze Transfery przez Extu danych osobowych pochodzących z EOG, Wielkiej Brytanii lub Szwajcarii do odbiorcy w kraju poza EOG, Wielką Brytanią lub Szwajcarią, który nie był przedmiotem wiążącej decyzji Komisji Europejskiej lub podobnego właściwego organu ds. ochrony danych, podlegają wiążącym i odpowiednim mechanizmom, które zapewniają odpowiedni poziom ochrony, zgodnym z Przepisami o ochronie danych, np. Standardowymi klauzulami umownymi lub zatwierdzonymi wiążącymi regułami korporacyjnymi.

9. Poufność. Extu zapewni, że wszystkie osoby upoważnione do przetwarzania danych osobowych podlegają będą podlegać pisemnym zobowiązaniom do zachowania poufności lub odpowiednim ustawowym zobowiązaniom do zachowania poufności, które są nie nie będą mniej restrykcyjne niż te określone w niniejszym dokumencie lub w Umowie.

10. Bezpieczeństwo. Biorąc pod uwagę aktualny stan wiedzy, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, Extu wdroży odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiedniego do ryzyka związanego z przetwarzaniem danych osobowych.

11. Naruszenie ochrony danych osobowych. Jeśli Extu dowie się, że doszło do naruszenia danych osobowych (zgodnie z definicją zawartą w Ustawie o ochronie danych osobowych), bez zbędnej zwłoki powiadomi o nim Sponsora na piśmie. Biorąc pod uwagę charakter przetwarzania i informacje dostępne Extu, Extu stosownie pomoże Sponsorowi w wypełnieniu jego zobowiązań dotyczących naruszenia ochrony danych osobowych.

12. Zwrot lub zniszczenie. Extu zniszczy lub zwróci wszystkie dane osobowe Sponsorowi po rozwiązaniu Umowy lub niniejszego DPA, a także zniszczy istniejące kopie danych osobowych, chyba że: a) obowiązujące prawo lub uzasadnione zasady przechowywania danych przez Extu wymagają przechowywania danych osobowych lub b) takie dane osobowe są przechowywane w systemach archiwizacji lub tworzenia kopii zapasowych Extu. Wszelkie dane osobowe zatrzymane przez Extu zgodnie z niniejszym punktem 12 (Zwrot lub Zniszczenie) będą przechowywane zgodnie z warunkami niniejszego DPA.

13. Audyty; zapytania. Extu udostępni Sponsorowi informacje, które są niezbędne do wykazania przestrzegania przez Extu przepisów o ochronie danych oraz niniejszego DPA, a także, na koszt Sponsora, umożliwi i wesprze przeprowadzenie audytów, w tym inspekcji, przeprowadzanych przez wewnętrznych i zewnętrznych audytorów oraz personel Sponsora i odpowiednie organy ds. ochrony danych. W związku z powyższym Sponsor powiadomi Extu o takim audycie z odpowiednim wyprzedzeniem (w każdym przypadku nie krótszym niż trzydzieści (30) dni). Taki audyt zostanie przeprowadzony w terminie wspólnie uzgodnionym przez strony w standardowych godzinach pracy i nie będzie w nieuzasadniony sposób zakłócać działalności Extu. Sponsor wyraża zgodę, a przed przeprowadzeniem jakiegokolwiek audytu lub kontroli zgodnie z niniejszym Punktem 13 (Audyty; Zapytania) zobowiąże umownie swoich wewnętrznych i zewnętrznych audytorów i personel do wyrażenia zgody na traktowanie wszelkich informacji sprawdzonych, uzyskanych lub w inny sposób udostępnionych przez Extu podczas audytu lub kontroli, w tym wyników takiego audytu lub kontroli, jako informacji poufnych Extu.

14. Żądania ujawnienia danych. Jeśli Extu otrzyma jakiekolwiek wezwanie sądowe, sądowy, administracyjny lub arbitrażowy nakaz organu wykonawczego, administracyjnego lub regulującego, lub innego organu państwowego, który będzie odnosić się do przetwarzania przez firmę danych osobowych Sponsora („Żądanie ujawnienia danych”), niezwłocznie przekaże takie Żądanieje Sponsorowi bez odpowiadania na nie, chyba że obowiązujące prawo stanowi inaczej. Extu przekaże Sponsorowi odpowiednie informacje będące we własnymjej posiadaniu, które mogą stanowić odpowiedź na Żądanie ujawnienia danych, oraz udzieli wszelkiej uzasadnionej pomocy wymaganej od Sponsora w celu niezwłocznego udzielenia odpowiedzi na takie Żądanie.

15. Zgodność z CCPA. Strony przyjmują do wiadomości i zgadzają się, że Extu działa jako usługodawca (zgodnie z definicją zawartą w CCPA) na rzecz Sponsora w związku z realizacją przez Extu zobowiązań wynikających z Umowy. Extu przyjmuje do wiadomości i potwierdza, że nie przekazuje Sponsorowi żadnych środków pieniężnych ani innychego wynagrodzenia korzyści w zamian za otrzymanie danych osobowych (zgodnie z definicją CCPA) oraz zaświadcza, że rozumie i będzie przestrzegać ograniczeń określonych w niniejszym Punkcie 15 (Zgodność z CCPA). Z wyjątkiem przypadków wymaganych przez obowiązujące prawo, Extu nie będzie gromadzić, uzyskiwać dostępu, wykorzystywać, ujawniać, przetwarzać ani przechowywać danych osobowych w żadnym celu innym niż działania Extu zgodne z postanowieniami Umowy lub innym celem biznesowym dozwolonym przez CCPA, niniejszy DPA lub Umowę. W szczególności Extu nie będzie sprzedawać (zgodnie z definicją CCPA) ani udostępniać (zgodnie z definicją CPRA) żadnych danych osobowych.

16. Okres obowiązywania. Zobowiązania Extu wynikające z niniejszego DPA będą obowiązywać w okresie, w którym Extu będzie mieć dostęp do danych osobowych, będzie w ich posiadaniu lub będzie je nabędzieywać, nawet jeśli Umowa wygaśnie lub zostanie rozwiązana.

17. Ograniczenie odpowiedzialności. W celu uniknięcia jakichkolwiek wątpliwości, niniejszy DPA i wszelkie zobowiązania lub środki prawne z niego wynikające podlegają wszelkim ograniczeniom odpowiedzialności i wkluczeniom zrzeczeniom dotyczącym rodzajów szkód określonych w Umowie, w maksymalnym zakresie dozwolonym przez obowiązujące prawo.

18. Interpretacja. Z wyjątkiem przypadków wyraźnie określonych w niniejszym dokumencie, Umowa pozostaje w pełnej mocy. Prawa przyznane którejkolwiek ze stron na mocy niniejszego DPA stanowią uzupełnienie innych praw, które strona ta może posiadać na mocy Umowy, i nie zastępują ich. W przypadku jakiegokolwiek konfliktu lub niespójności między warunkami niniejszego DPA a warunkami Umowy w odniesieniu do przetwarzania danych osobowych, warunki niniejszego DPA będą miały charakter nadrzędny. W przypadku jakiegokolwiek konfliktu lub niespójności między warunkami dowolnego obowiązującego modułu SKU a warunkami niniejszego DPA w odniesieniu do jakichkolwiek Transferów, warunki SKU będą miały charakter nadrzędny.

TYM SAMYM strony niniejszej umowy doprowadziły do tego, że niniejszy DPA został podpisany przez ich należycie upoważnionych przedstawicieli z Datą wejścia w życie DPA.