UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

1. EASY RENT lub Podmiot przetwarzający — Simply Media Kamil Kostka, ul. Lotnicza 69/7, 47-400 Racibórz, NIP 6392025652, REGON 522200210.

2. Użytkownik, Administrator lub Podmiot powierzający — podmiot korzystający z Serwisu na podstawie Umowy, który powierza EASY RENT przetwarzanie Danych osobowych.

3. Umowa — umowa o świadczenie usług w ramach Serwisu (Umowa serwisu Easy Rent), zawarta pomiędzy EASY RENT a Użytkownikiem.

4. Umowa powierzenia — niniejsza umowa powierzenia przetwarzania danych osobowych.

5. Serwis — platforma Easy Rent dostępna w domenie easy-rent.pl i jej subdomenach oraz w domenach Użytkowników (formularze i widgety rezerwacyjne).

6. Usługi — usługi świadczone przez EASY RENT w ramach Serwisu na podstawie Umowy.

7. RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

8. Ustawa — ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych.

9. Dane osobowe — dane osobowe w rozumieniu art. 4 pkt 1 RODO, powierzone EASY RENT do przetwarzania na podstawie Umowy powierzenia.

10. Dalszy podmiot przetwarzający — podmiot, któremu EASY RENT powierza przetwarzanie Danych osobowych na podstawie art. 28 ust. 4 RODO.

11. Naruszenie ochrony danych — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

12. Kanały komunikacji — funkcje Serwisu, za pomocą których Użytkownik prowadzi korespondencję ze swoimi klientami (poczta e-mail oraz WhatsApp Business), w tym odbiera i wysyła wiadomości.

13. Funkcje AI (Asystent) — funkcje Serwisu wykorzystujące model sztucznej inteligencji, w szczególności do klasyfikacji wiadomości, przygotowywania propozycji odpowiedzi, odczytywania danych z korespondencji na polecenie użytkownika oraz transkrypcji poleceń głosowych.

1. Umowa powierzenia stanowi część Umowy i określa warunki, na jakich EASY RENT, jako Podmiot przetwarzający, przetwarza Dane osobowe w imieniu Administratora w ramach świadczenia Usług, zgodnie z art. 28 RODO. Umowa powierzenia i pozostałe postanowienia Umowy są komplementarne; w razie niezgodności w zakresie ochrony Danych osobowych pierwszeństwo ma Umowa powierzenia.

2. Na podstawie Umowy powierzenia Administrator powierza EASY RENT przetwarzanie Danych osobowych, dla których jest administratorem w rozumieniu RODO, w zakresie i celu określonym w § 3.

3. Przetwarzanie danych osobowych przez EASY RENT jako administratora (w szczególności danych Użytkownika jako klienta EASY RENT, związanych z zawarciem i rozliczaniem Umowy) nie jest objęte Umową powierzenia i odbywa się na zasadach opisanych w Polityce prywatności EASY RENT, dostępnej na stronie https://easy-rent.pl/polityka-prywatnosci.

4. Jeżeli Użytkownik działa jako podmiot przetwarzający w imieniu innego administratora danych, Strony uzgadniają, że:
a) Użytkownik zapewnia, że uzyskał od tego administratora zgodę na powierzenie przetwarzania EASY RENT jako dalszemu podmiotowi przetwarzającemu, a umowa łącząca go z administratorem jest zgodna z art. 28 RODO i z Umową powierzenia;
b) polecenia przekazywane EASY RENT przez Użytkownika są zgodne z poleceniami administratora, a informacje przekazywane przez EASY RENT Użytkownikowi na podstawie Umowy powierzenia są przez niego przekazywane administratorowi;
c) EASY RENT przyjmuje polecenia wyłącznie od Użytkownika, chyba że Użytkownik przestał istnieć faktycznie lub prawnie i nie ma następcy prawnego;
d) Użytkownik odpowiada wobec EASY RENT za prawidłowe wykonanie obowiązków administratora i zwalnia EASY RENT z odpowiedzialności za roszczenia administratora wynikające z poleceń wydanych przez Użytkownika niezgodnie z poleceniami administratora.

1. Cel. Dane osobowe są przetwarzane wyłącznie w celu świadczenia Usług zgodnie z Umową, w szczególności w celu:
a) prowadzenia ewidencji klientów, pojazdów, rezerwacji i najmów;
b) obsługi najmu, w tym wydania i zwrotu pojazdu, protokołów, dokumentacji uszkodzeń i rozliczeń;
c) przygotowywania umów najmu i dokumentów oraz obsługi ich podpisywania;
d) obsługi płatności, kaucji i rozrachunków z klientami Użytkownika;
e) prowadzenia korespondencji z klientami w Kanałach komunikacji, w tym przez Funkcje AI;
f) weryfikacji uprawnień do kierowania pojazdami w Centralnej Ewidencji Kierowców — jeżeli Użytkownik z tej funkcji korzysta;
g) prezentowania lokalizacji pojazdów z systemów GPS wskazanych przez Użytkownika — jeżeli Użytkownik z tej funkcji korzysta;
h) wysyłki powiadomień (e-mail, SMS) do klientów i pracowników Użytkownika;
i) zapewnienia wsparcia technicznego, ciągłości działania i bezpieczeństwa Serwisu.

2. Charakter i operacje. Przetwarzanie ma charakter stały i odbywa się wyłącznie w formie elektronicznej, w systemach informatycznych Serwisu. Obejmuje w szczególności: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie (np. wysłanie wiadomości do klienta na polecenie użytkownika Administratora), dopasowywanie, ograniczanie, usuwanie i niszczenie.

3. Kategorie osób, których dane dotyczą:
a) klienci i najemcy Administratora (osoby fizyczne, w tym prowadzące działalność gospodarczą);
b) osoby kontaktowe i reprezentanci klientów niebędących osobami fizycznymi;
c) dodatkowi kierowcy wskazani w rezerwacjach i umowach;
d) osoby kierujące do Administratora zapytania (potencjalni klienci), w tym przez Kanały komunikacji i formularze na stronach Administratora;
e) pracownicy i współpracownicy Administratora korzystający z Serwisu.

4. Rodzaje Danych osobowych:
a) dane identyfikacyjne i kontaktowe: imię i nazwisko, adres e-mail, numer telefonu (w tym numer i nazwa profilu w WhatsApp), adres zamieszkania lub korespondencyjny, data urodzenia, numer PESEL;
b) dane z dokumentów: rodzaj, seria i numer dokumentu tożsamości, numer prawa jazdy, kategorie i daty uprawnień oraz wynik ich weryfikacji, a także obrazy dokumentów przekazane przez Administratora;
c) dane przedsiębiorcy: firma, NIP, adres;
d) dane dotyczące najmu: rezerwacje, terminy, pojazdy, przebieg, protokoły wydania i zwrotu, zdjęcia pojazdu i uszkodzeń, umowy najmu i podpisy, notatki pracowników Administratora;
e) dane finansowe: kwoty najmu, kaucje, płatności i ich status, zaległości i dodatkowe opłaty, numery rachunków bankowych — jeżeli zostały wprowadzone; pełnych danych kart płatniczych EASY RENT nie przechowuje;
f) treść korespondencji: wiadomości e-mail i WhatsApp wymieniane z klientami, ich załączniki i metadane (daty, adresy, identyfikatory wiadomości), a także streszczenia i dane odczytane z korespondencji przez Funkcje AI;
g) dane o lokalizacji pojazdów w okresie najmu — pobierane z systemów GPS wskazanych przez Administratora;
h) dane pracowników Administratora: imię i nazwisko, adres e-mail, rola i uprawnienia, historia działań w Serwisie, dane techniczne sesji oraz nagrania głosowych poleceń kierowanych do Asystenta — przekazywane wyłącznie do transkrypcji i nieprzechowywane przez EASY RENT.

5. Przedmiotem powierzenia nie są szczególne kategorie danych osobowych (art. 9 RODO) ani dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do Serwisu, w tym nie przesyłać ich przez Kanały komunikacji, chyba że jest to niezbędne i dopuszczalne na podstawie przepisów prawa.

6. Czas. Dane osobowe są przetwarzane przez czas obowiązywania Umowy oraz przez okres niezbędny do ich zwrotu lub usunięcia zgodnie z § 12.

1. EASY RENT przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Administratora, również w odniesieniu do przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek przetwarzania nakłada na EASY RENT prawo Unii lub prawo państwa członkowskiego; w takim przypadku EASY RENT przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

2. Udokumentowanym poleceniem są w szczególności: postanowienia Umowy i Umowy powierzenia, konfiguracja Serwisu dokonana przez Administratora (np. podłączenie Kanału komunikacji, włączenie Funkcji AI, integracji z systemem GPS lub weryfikacji uprawnień do kierowania), czynności wykonywane w Serwisie przez upoważnionych użytkowników Administratora oraz inne polecenia przekazane w formie dokumentowej.

3. Jeżeli zdaniem EASY RENT wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych, EASY RENT niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany.

4. EASY RENT nie przetwarza Danych osobowych do własnych celów. W szczególności nie sprzedaje ich, nie udostępnia w celach marketingowych i nie wykorzystuje ich — ani nie pozwala Dalszym podmiotom przetwarzającym wykorzystywać — do trenowania modeli sztucznej inteligencji. EASY RENT może tworzyć z Danych osobowych zanonimizowane zestawienia statystyczne, niepozwalające na identyfikację osób, w celu utrzymania i rozwoju Serwisu.

1. Jeżeli Administrator korzysta z Funkcji AI, treść korespondencji oraz dane niezbędne do wykonania danej funkcji są przekazywane dostawcy modelu sztucznej inteligencji wskazanemu w Załączniku nr 1, w celu: klasyfikacji wiadomości, przygotowania propozycji odpowiedzi, odczytania danych z korespondencji na polecenie użytkownika, redakcji tekstu na polecenie użytkownika oraz transkrypcji poleceń głosowych.

2. Propozycje przygotowane przez Funkcje AI nie są wysyłane automatycznie. Każdą wiadomość do klienta Administratora zatwierdza i wysyła upoważniony użytkownik Administratora. Funkcje AI nie podejmują wobec osób, których dane dotyczą, decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie na nie wpływających (art. 22 RODO).

3. EASY RENT ogranicza zakres danych przekazywanych dostawcy modelu AI do niezbędnego dla danej funkcji i korzysta wyłącznie z dostawców, którzy na podstawie standardowych warunków komercyjnych i umowy powierzenia nie wykorzystują przekazanych danych do trenowania swoich modeli.

4. Administrator może zażądać wyłączenia Funkcji AI dla swojego konta. EASY RENT wykona żądanie w terminie 7 dni roboczych; część funkcji Serwisu może wtedy działać w ograniczonym zakresie.

5. Kanał WhatsApp Business działa na koncie WhatsApp Business należącym do Administratora, podłączonym do Serwisu przez Administratora. Administrator samodzielnie akceptuje warunki korzystania z usług WhatsApp Business wymagane przez Meta, a Meta świadczy tę usługę na podstawie umowy z Administratorem (§ 9 ust. 5).

6. Dane dostępowe do Kanałów komunikacji (np. token dostępu WhatsApp) EASY RENT przechowuje w postaci zaszyfrowanej. Po odłączeniu kanału przez Administratora EASY RENT przestaje odbierać i wysyłać wiadomości w tym kanale i usuwa dane dostępowe.

1. EASY RENT zobowiązuje się:
a) zapewnić, aby osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania ich w tajemnicy albo podlegały ustawowemu obowiązkowi zachowania tajemnicy — także po zakończeniu zatrudnienia lub współpracy — oraz aby przetwarzały je wyłącznie na polecenie Administratora;
b) stosować środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 RODO i § 7;
c) przestrzegać warunków korzystania z usług Dalszych podmiotów przetwarzających określonych w § 9;
d) biorąc pod uwagę charakter przetwarzania, pomagać Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO — w szczególności przez funkcje Serwisu umożliwiające wgląd, poprawienie, eksport i usunięcie danych — a gdy nie jest to możliwe w Serwisie, na wniosek Administratora w terminie nie dłuższym niż 7 dni roboczych;
e) uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, w tym przy ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym;
f) niezwłocznie przekazywać Administratorowi żądania osób, których dane dotyczą, skierowane bezpośrednio do EASY RENT, bez udzielania na nie odpowiedzi co do istoty, chyba że Administrator na to pozwoli;
g) udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w terminie nie dłuższym niż 7 dni roboczych od otrzymania żądania, oraz umożliwiać przeprowadzanie audytów na zasadach określonych w § 11;
h) prowadzić rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Administratora, o którym mowa w art. 30 ust. 2 RODO;
i) niezwłocznie informować Administratora o każdym postępowaniu, kontroli lub żądaniu organu publicznego dotyczącym Danych osobowych, o ile przepisy prawa tego nie zabraniają.

2. Administrator oświadcza, że Dane osobowe powierzone EASY RENT zgromadził i przetwarza zgodnie z prawem, w szczególności ma podstawę prawną ich przetwarzania i spełnił wobec osób, których dane dotyczą, obowiązki informacyjne — także w zakresie korzystania z Funkcji AI i Kanałów komunikacji.

3. Administrator współdziała z EASY RENT przy wykonywaniu Umowy powierzenia, udziela wyjaśnień w razie wątpliwości co do legalności poleceń i terminowo wykonuje swoje obowiązki.

1. EASY RENT stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania. Aktualny opis tych środków zawiera Załącznik nr 2.

2. EASY RENT regularnie testuje, mierzy i ocenia skuteczność stosowanych środków i może je zmieniać, pod warunkiem że zmiana nie obniży poziomu ochrony Danych osobowych.

1. EASY RENT bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od stwierdzenia Naruszenia ochrony danych dotyczącego Danych osobowych, zawiadamia o nim Administratora na adres e-mail przypisany do jego konta w Serwisie.

2. Zawiadomienie zawiera co najmniej informacje wskazane w art. 33 ust. 3 RODO, w zakresie znanym EASY RENT w chwili zawiadomienia: charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów, dane kontaktowe osoby, od której można uzyskać więcej informacji, możliwe konsekwencje naruszenia oraz środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania jego skutków. Informacje, których nie można przekazać od razu, EASY RENT przekazuje sukcesywnie, bez zbędnej zwłoki.

3. EASY RENT niezwłocznie podejmuje działania w celu ograniczenia skutków naruszenia, dokumentuje naruszenie i współpracuje z Administratorem przy zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą. Decyzję o zgłoszeniu i zawiadomieniu podejmuje Administrator.

1. Administrator udziela EASY RENT ogólnej zgody na korzystanie z usług Dalszych podmiotów przetwarzających. Lista Dalszych podmiotów przetwarzających, z którymi EASY RENT współpracuje w dniu zawarcia Umowy powierzenia, stanowi Załącznik nr 1 i jest publikowana pod adresem https://easy-rent.pl/podmioty-przetwarzajace.

2. O zamiarze dodania lub zastąpienia Dalszego podmiotu przetwarzającego EASY RENT informuje Administratora z co najmniej 14-dniowym wyprzedzeniem, drogą elektroniczną (e-mail lub komunikat w koncie w Serwisie). W tym terminie Administrator może zgłosić uzasadniony sprzeciw. W razie sprzeciwu EASY RENT nie powierzy danych temu podmiotowi, a jeżeli nie jest to możliwe bez istotnego ograniczenia Usług — Administrator może rozwiązać Umowę ze skutkiem na dzień zmiany, a EASY RENT informuje go o funkcjach, których działanie zostałoby ograniczone.

3. EASY RENT nakłada na każdy Dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych co najmniej takie jak określone w Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.

4. Jeżeli Dalszy podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie jego obowiązków spoczywa na EASY RENT (art. 28 ust. 4 RODO).

5. Nie są Dalszymi podmiotami przetwarzającymi: organy publiczne, od których Serwis pobiera dane na polecenie Administratora (np. Centralna Ewidencja Kierowców), ani dostawcy wybrani przez Administratora i działający na podstawie jego własnej umowy, z którymi Serwis wymienia dane na polecenie Administratora — w szczególności operator systemu GPS Administratora, operator płatności, na którego koncie Administratora są obsługiwane płatności jego klientów (Stripe), oraz dostawca usługi WhatsApp Business (Meta).

1. EASY RENT może przekazywać Dane osobowe do państwa trzeciego (poza Europejski Obszar Gospodarczy) lub umożliwiać do nich dostęp z państwa trzeciego wyłącznie wtedy, gdy spełnione są warunki rozdziału V RODO, w szczególności na podstawie:
a) decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) — w tym, w odniesieniu do podmiotów w Stanach Zjednoczonych uczestniczących w programie EU–US Data Privacy Framework, decyzji wykonawczej Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r.;
b) standardowych klauzul umownych przyjętych przez Komisję Europejską (decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.), wraz z dodatkowymi środkami ochrony, jeżeli są niezbędne.

2. Państwo przetwarzania i podstawę przekazania dla każdego Dalszego podmiotu przetwarzającego wskazuje Załącznik nr 1.

1. Administrator ma prawo sprawdzić, czy EASY RENT przestrzega Umowy powierzenia i RODO. W pierwszej kolejności EASY RENT udziela odpowiedzi na pytania Administratora oraz udostępnia dokumentację, w terminie określonym w § 6 ust. 1 lit. g.

2. Jeżeli informacje, o których mowa w ust. 1, są niewystarczające, Administrator może przeprowadzić audyt — samodzielnie lub przez niezależnego audytora zobowiązanego do zachowania poufności — nie częściej niż raz w roku, chyba że zachodzi uzasadnione podejrzenie naruszenia lub audytu żąda organ nadzorczy. Administrator zawiadamia o audycie z co najmniej 14-dniowym wyprzedzeniem, wskazując jego zakres. Audyt odbywa się w dni robocze, w godzinach pracy EASY RENT, bez zakłócania świadczenia Usług i bez dostępu do danych innych Użytkowników.

3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy powierzenia przez EASY RENT.

1. Umowa powierzenia obowiązuje przez czas obowiązywania Umowy i rozwiązuje się wraz z nią.

2. Administrator może rozwiązać Umowę powierzenia, a wraz z nią Umowę, ze skutkiem natychmiastowym, jeżeli:
a) EASY RENT w rażący sposób naruszy cel lub zakres przetwarzania określony w Umowie powierzenia;
b) w wyniku kontroli Prezesa Urzędu Ochrony Danych Osobowych zostanie stwierdzone, że EASY RENT nie wdrożył środków technicznych i organizacyjnych wymaganych przez RODO, Ustawę lub inne przepisy.

3. Przed zakończeniem Umowy oraz w terminie 30 dni od jej zakończenia Administrator może pobrać Dane osobowe za pomocą funkcji Serwisu, o ile są dostępne, albo zażądać ich przekazania w powszechnie używanym formacie elektronicznym. Zasady zmiany dostawcy, w tym okres przejściowy, określa Umowa.

4. Po upływie terminu, o którym mowa w ust. 3, EASY RENT usuwa Dane osobowe w terminie 30 dni, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie. Dane w kopiach zapasowych są usuwane w ramach cyklicznej rotacji kopii, nie później niż w terminie 30 dni, a do tego czasu są chronione i nieprzetwarzane w innym celu niż odtworzenie Serwisu. Na żądanie Administratora EASY RENT potwierdza usunięcie danych.

1. Każda ze Stron odpowiada za szkody wyrządzone drugiej Stronie oraz osobom trzecim w związku z wykonywaniem Umowy powierzenia, zgodnie z RODO, Ustawą, innymi przepisami prawa oraz Umową powierzenia.

2. Z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa, odpowiedzialność EASY RENT wobec Administratora w związku z przetwarzaniem Danych osobowych nie obejmuje utraconych korzyści, a jej łączny limit wynosi 100% wynagrodzenia otrzymanego przez EASY RENT od Administratora z tytułu Umowy w okresie 6 miesięcy poprzedzających zdarzenie powodujące szkodę.

3. Ograniczenia, o których mowa w ust. 2, nie dotyczą szkody wyrządzonej umyślnie ani odpowiedzialności wobec osób, których dane dotyczą, wynikającej z art. 82 RODO.

1. Umowa powierzenia zostaje zawarta z chwilą jej zaakceptowania przez Użytkownika w procesie rejestracji w Serwisie (zaznaczenie odpowiedniego pola) lub w inny sposób przewidziany w Umowie i wchodzi w życie z dniem zawarcia.

2. O zmianie Umowy powierzenia EASY RENT informuje Administratora drogą elektroniczną z co najmniej 14-dniowym wyprzedzeniem. Administrator, który nie akceptuje zmiany, może przed jej wejściem w życie rozwiązać Umowę. Zmiany wymagane przez przepisy prawa lub decyzje organów mogą wejść w życie w terminie wynikającym z tych przepisów lub decyzji.

3. W sprawie ochrony danych osobowych można kontaktować się z EASY RENT pod adresem kontakt@easy-rent.pl.

4. W sprawach nieuregulowanych Umową powierzenia stosuje się przepisy prawa polskiego, w szczególności RODO i Ustawy.

5. Sądem właściwym do rozstrzygania sporów związanych z Umową powierzenia jest sąd właściwy dla siedziby EASY RENT.

6. Załączniki stanowią integralną część Umowy powierzenia:
a) Załącznik nr 1 — Lista Dalszych podmiotów przetwarzających;
b) Załącznik nr 2 — Środki techniczne i organizacyjne.

1. Szyfrowanie transmisji danych między przeglądarką, Serwisem i dostawcami.

2. Szyfrowanie danych w spoczynku.

3. Dodatkowe szyfrowanie na poziomie aplikacji wybranych kategorii danych o podwyższonym ryzyku, w szczególności numerów identyfikacyjnych i numerów dokumentów oraz danych dostępowych integracji i Kanałów komunikacji.

4. Logiczna separacja danych poszczególnych Administratorów.

5. Kontrola dostępu oparta na rolach i uprawnieniach nadawanych przez Administratora jego użytkownikom.

6. Ograniczony do wyznaczonych osób i chroniony silnym uwierzytelnianiem dostęp administracyjny do platformy.

7. Rejestrowanie zdarzeń istotnych dla bezpieczeństwa.

8. Regularne kopie zapasowe i możliwość odtworzenia danych po awarii.

9. Rozdzielenie środowiska produkcyjnego od środowisk testowych.

10. Bezpieczne przechowywanie danych uwierzytelniających do systemów, poza kodem źródłowym.

11. Minimalizacja danych w narzędziach analitycznych i przekazywanych dostawcom, w tym dostawcom modeli AI.

12. Bezpieczny proces wytwarzania oprogramowania: przegląd kodu, testy przed wdrożeniem, bieżące aktualizacje i usuwanie podatności.

1. Upoważnienia do przetwarzania danych i zobowiązania do zachowania poufności dla osób mających dostęp do Danych osobowych.

2. Zasada minimalnego dostępu do danych produkcyjnych i okresowy przegląd uprawnień.

3. Zabezpieczenie urządzeń służbowych.

4. Procedura postępowania w razie Naruszenia ochrony danych.

5. Procedura obsługi żądań organów publicznych dotyczących danych.

6. Weryfikacja Dalszych podmiotów przetwarzających przed rozpoczęciem współpracy i w trakcie niej.