Umowa powierzenia przetwarzania danych osobowych (DPA)

Załącznik nr 1 do Regulaminu korzystania z aplikacji INK Routine.

Postanowienia ogólne

1. Niniejsza Umowa Powierzenia stanowi integralną część Regulaminu korzystania z aplikacji INK Routine („Regulamin”) i określa zasady przetwarzania danych osobowych przez Usługodawcę na zlecenie Klienta w związku z korzystaniem z Aplikacji.
2. Pojęcia pisane wielką literą i niezdefiniowane odmiennie w Umowie Powierzenia mają znaczenie nadane im w Regulaminie.
3. W zakresie danych osobowych zawartych w Materiałach wgrywanych do Aplikacji (w szczególności wizerunków osób utrwalonych na zdjęciach i wideo):
   • Klient działa jako administrator danych osobowych w rozumieniu art. 4 pkt 7 RODO,
   • Usługodawca działa jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO.
4. Aplikacja jest udostępniana w standardowym modelu SaaS. Usługodawca świadczy usługi w standardowym modelu i nie jest zobowiązany do wdrażania indywidualnych rozwiązań, chyba że Strony uzgodnią inaczej.

§ 1. Przedmiot i zakres przetwarzania

1. Klient powierza Usługodawcy przetwarzanie danych osobowych wyłącznie w zakresie niezbędnym do świadczenia usług objętych Regulaminem.
2. Dane osobowe przetwarzane są przez Usługodawcę w celu:
   • realizacji usług świadczonych za pośrednictwem Aplikacji, w szczególności przechowywania Materiałów, generowania opisów i hashtagów z użyciem AI oraz publikacji treści na Kontach Społecznościowych wskazanych przez Klienta,
   • zapewnienia bezpieczeństwa i prawidłowego działania Aplikacji,
   • zapewnienia wsparcia technicznego, obsługi zgłoszeń oraz usuwania błędów lub incydentów bezpieczeństwa.
3. Charakter przetwarzania obejmuje w szczególności przechowywanie, organizowanie, zabezpieczanie, wykonywanie kopii zapasowych, automatyczną analizę treści (AI i mechanizm bezpieczeństwa treści), publikację na zlecenie Klienta oraz usuwanie lub anonimizację danych.
4. Usługodawca nie wykorzystuje danych osobowych powierzonych przez Klienta do własnych celów marketingowych, reklamowych ani handlowych.
5. Usługodawca przetwarza dane osobowe wyłącznie na udokumentowane polecenie Klienta — poleceniem jest w szczególności wgranie Materiału do Aplikacji i konfiguracja harmonogramu publikacji — chyba że obowiązek przetwarzania wynika z przepisów prawa.
6. Usługodawca nie monitoruje aktywnie danych wprowadzanych do Aplikacji (poza zautomatyzowanym mechanizmem bezpieczeństwa treści opisanym w Regulaminie) i posiada do nich wyłącznie ograniczony dostęp techniczny niezbędny do utrzymania, zabezpieczenia i prawidłowego działania Aplikacji.

§ 2. Kategorie danych i osób

1. Zakres danych osobowych powierzanych Usługodawcy zależy od sposobu korzystania z Aplikacji przez Klienta — w praktyce są to przede wszystkim wizerunki osób utrwalone na zdjęciach i wideo wykonanych prac (tatuaży) oraz ewentualne dane osobowe zawarte w opisach.
2. Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO. Klient przyjmuje do wiadomości, że zdjęcia tatuaży mogą w wyjątkowych przypadkach pośrednio ujawniać takie dane (np. tatuaż o treści światopoglądowej) — Klient odpowiada za posiadanie odpowiedniej podstawy prawnej publikacji takich Materiałów.
3. Klient zobowiązuje się nie wprowadzać do Aplikacji danych dotyczących zdrowia, wyników badań, diagnoz ani dokumentacji medycznej.

§ 3. Obowiązki Klienta

1. Klient odpowiada za zgodność przetwarzania danych osobowych z obowiązującymi przepisami prawa, w szczególności za:
   • legalność danych wprowadzanych do Aplikacji,
   • posiadanie zgód na rozpowszechnianie wizerunku osób utrwalonych na Materiałach (art. 81 ustawy o prawie autorskim i prawach pokrewnych) w zakresie obejmującym publikację w mediach społecznościowych,
   • spełnienie obowiązków informacyjnych wobec osób, których dane dotyczą,
   • realizację praw osób, których dane dotyczą,
   • bezpieczeństwo danych po stronie Klienta.
2. Klient ponosi odpowiedzialność za Materiały i treści wprowadzane do Aplikacji oraz sposób korzystania z Aplikacji.

§ 4. Obowiązki Usługodawcy

1. Usługodawca zobowiązuje się:
   • przetwarzać dane osobowe zgodnie z Umową Powierzenia, Regulaminem oraz udokumentowanymi poleceniami Klienta,
   • zapewnić poufność danych osobowych,
   • dopuścić do przetwarzania danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności,
   • stosować odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO,
   • pomagać Klientowi (w rozsądnym i proporcjonalnym zakresie) w realizacji obowiązków wynikających z art. 32–36 RODO.
2. Usługodawca może odmówić wykonania instrukcji Klienta, jeżeli byłaby sprzeczna z prawem, wykraczałaby poza zakres usług lub funkcjonalności Aplikacji albo mogłaby naruszyć bezpieczeństwo systemów lub danych innych klientów. Jeżeli zdaniem Usługodawcy instrukcja Klienta narusza przepisy o ochronie danych osobowych, Usługodawca poinformuje o tym Klienta.

§ 5. Środki techniczne i organizacyjne

1. Usługodawca stosuje odpowiednie środki techniczne i organizacyjne zgodne z art. 32 RODO, w szczególności: kontrolę dostępu, uwierzytelnianie użytkowników, szyfrowanie transmisji danych (HTTPS), szyfrowanie tokenów dostępu w spoczynku, izolację danych klientów, wykonywanie kopii zapasowych, ograniczenie dostępu administracyjnego oraz zabezpieczenia infrastruktury chmurowej.
2. Usługodawca może aktualizować stosowane środki bezpieczeństwa wraz z rozwojem usług lub zmianą poziomu ryzyka.

§ 6. Podmioty podprzetwarzające

1. Klient wyraża ogólną zgodę na korzystanie przez Usługodawcę z podmiotów podprzetwarzających w zakresie niezbędnym do świadczenia usług objętych Regulaminem.
2. Aktualna lista podmiotów podprzetwarzających znajduje się w Załączniku nr 2 do Umowy Powierzenia (poniżej).
3. Usługodawca poinformuje Klienta o planowanym dodaniu lub zmianie podmiotu podprzetwarzającego poprzez publikację aktualizacji listy, informację w Aplikacji lub drogą elektroniczną co najmniej 7 dni przed planowaną zmianą.
4. Usługodawca zapewnia, aby podmioty podprzetwarzające były związane obowiązkami ochrony danych odpowiadającymi wymaganiom wynikającym z RODO.
5. Klient może zgłosić uzasadniony sprzeciw wobec nowego podmiotu podprzetwarzającego z ważnych powodów związanych z ochroną danych osobowych w terminie 7 dni od dnia poinformowania o zmianie. Brak sprzeciwu w powyższym terminie uznaje się za akceptację zmiany.

§ 7. Transfer danych poza Europejski Obszar Gospodarczy

1. Baza danych i wgrywane Materiały są przechowywane w regionie Unii Europejskiej. W związku z korzystaniem z wybranych usług technologicznych (w szczególności hostingu aplikacji, analizy AI i obsługi płatności) część danych może być przekazywana poza EOG lub może występować możliwość dostępu do danych z państw trzecich.
2. W przypadku transferu danych poza EOG Usługodawca stosuje mechanizmy wymagane przez RODO, w szczególności standardowe klauzule umowne (SCC) lub EU-US Data Privacy Framework, jeżeli dany dostawca uczestniczy w tym programie.

§ 8. Naruszenia ochrony danych osobowych

1. Usługodawca wdraża procedury umożliwiające wykrywanie i obsługę incydentów bezpieczeństwa oraz naruszeń ochrony danych osobowych.
2. W przypadku stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych powierzonych przez Klienta Usługodawca poinformuje Klienta bez zbędnej zwłoki.
3. Usługodawca podejmie odpowiednie działania mające na celu ograniczenie skutków naruszenia oraz zabezpieczenie danych przed dalszym naruszeniem.

§ 9. Realizacja praw osób, których dane dotyczą

1. Klient realizuje prawa osób, których dane dotyczą, samodzielnie.
2. Usługodawca zapewnia Klientowi rozsądną pomoc przy realizacji obowiązków wynikających z RODO, o ile jest to możliwe poprzez funkcjonalności Aplikacji lub standardowe działania Usługodawcy.
3. Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do Usługodawcy, Usługodawca może przekazać takie żądanie Klientowi lub poinformować o konieczności kontaktu z Klientem.

§ 10. Audyty i informacje

1. Usługodawca udostępnia Klientowi informacje niezbędne do wykazania zgodności z art. 28 RODO — w pierwszej kolejności poprzez przekazanie dokumentacji, informacji lub wyjaśnień w formie elektronicznej.
2. Audyty mogą być prowadzone wyłącznie wyjątkowo, po wcześniejszym uzgodnieniu terminu i zakresu, w sposób nienaruszający bezpieczeństwa usług, tajemnicy przedsiębiorstwa oraz danych innych klientów.

§ 11. Okres przetwarzania i usuwanie danych

1. Dane osobowe są przetwarzane przez okres świadczenia usług oraz przez okres niezbędny do realizacji obowiązków prawnych, zabezpieczenia roszczeń lub utrzymania kopii zapasowych.
2. Po usunięciu Konta dane są trwale usuwane lub anonimizowane niezwłocznie, nie później niż w ciągu 30 dni, zgodnie z Regulaminem, chyba że przepisy prawa wymagają dalszego przechowywania. Dane mogą czasowo pozostawać w kopiach zapasowych oraz logach technicznych zgodnie z procedurami bezpieczeństwa.
3. Podmiot przetwarzający usuwa automatycznie pliki pochodzące z przerwanego wgrywania, niepowiązane z żadnym Materiałem widocznym na Koncie Klienta, po upływie 24 godzin od ich zapisania. Operacja ta stanowi element utrzymania infrastruktury i nie obejmuje Materiałów widocznych na Koncie Klienta ani plików wykorzystywanych przez zaplanowane publikacje.
4. Klient może przed usunięciem Konta zabezpieczyć kopie istotnych dla niego Materiałów.

§ 12. Odpowiedzialność

1. Każda ze Stron odpowiada za naruszenie obowiązków wynikających z RODO zgodnie z obowiązującymi przepisami prawa.
2. Usługodawca odpowiada wyłącznie za szkody wynikające z naruszenia obowiązków nałożonych bezpośrednio na Usługodawcę przez RODO lub z przetwarzania danych niezgodnie z Umową Powierzenia.
3. Usługodawca nie ponosi odpowiedzialności za: legalność danych wprowadzanych przez Klienta, brak zgód na rozpowszechnianie wizerunku, sposób korzystania z Aplikacji przez Klienta, treść Materiałów ani decyzje podejmowane przez Klienta.
4. W maksymalnym zakresie dopuszczalnym przez prawo całkowita odpowiedzialność Usługodawcy związana z Umową Powierzenia ograniczona jest do wysokości opłat uiszczonych przez Klienta za okres ostatnich 12 miesięcy korzystania z usług.

§ 13. Postanowienia końcowe

1. W przypadku sprzeczności pomiędzy Umową Powierzenia a Regulaminem pierwszeństwo mają postanowienia Umowy Powierzenia w zakresie dotyczącym przetwarzania danych osobowych.
2. Usługodawca może aktualizować Umowę Powierzenia w zakresie niezbędnym do dostosowania jej do zmian prawa, zmian technologicznych lub rozwoju usług. Aktualna wersja publikowana jest wraz z Regulaminem na stronie Aplikacji.
3. W sprawach nieuregulowanych zastosowanie mają przepisy RODO oraz prawa polskiego.

Załącznik nr 1 do Umowy Powierzenia — opis przetwarzania

Załącznik nr 2 do Umowy Powierzenia — podmioty podprzetwarzające

Pytania dotyczące Umowy Powierzenia: kontakt@inkroutine.pl. Zobacz też Politykę prywatności — zasady przetwarzania danych, dla których administratorem jest INK Routine (dane konta, rozliczenia, logi).