Regulamin EULA DPA Polityka prywatności Dokumentacja

Umowa powierzenia przetwarzania danych osobowych (DPA)

Dokument dotyczy aplikacji „Integrator IdoSell z Temu”.

§1. Strony

  1. Administrator – Klient korzystający z aplikacji „Integrator IdoSell z Temu”.
  2. Podmiot przetwarzający – BEQUALO sp. z o.o. z siedzibą w Poznaniu, ul. Św. Marcin 29/8, 61-806 Poznań, KRS: 0000808746, NIP: 7831807482, REGON: 384618745.

§2. Przedmiot i charakter powierzenia

  1. Administrator powierza Podmiotowi przetwarzającemu dane osobowe do przetwarzania w celu świadczenia usługi Aplikacji.
  2. Powierzenie następuje na podstawie art. 28 RODO.
  3. Przetwarzanie ma charakter zautomatyzowany i ciągły oraz może obejmować zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, przesyłanie, dopasowywanie, ograniczanie, usuwanie lub niszczenie danych.
  4. Podmiot przetwarzający przetwarza dane wyłącznie w zakresie niezbędnym do:
    1. zestawienia i utrzymania integracji,
    2. synchronizacji danych między IdoSell a Temu,
    3. obsługi i realizacji zamówień, wysyłek oraz zwrotów,
    4. utrzymania technicznego, diagnostyki, bezpieczeństwa i supportu,
    5. rozliczania usługi,
    6. wykrywania błędów i zapobiegania nadużyciom.

§3. Czas trwania przetwarzania

  1. Dane są powierzone na czas obowiązywania umowy o korzystanie z Aplikacji.
  2. Po zakończeniu świadczenia usługi Podmiot przetwarzający usuwa lub zwraca dane osobowe, chyba że prawo Unii lub prawo polskie nakazuje dalsze ich przechowywanie. Dane osobowe w systemach produkcyjnych są usuwane lub nieodwracalnie anonimizowane nie później niż w terminie 30 dni od zakończenia świadczenia usługi.
  3. Logi techniczne oraz kopie zapasowe zawierające dane osobowe są usuwane zgodnie z cyklem retencji kopii zapasowych, nie później niż w terminie 35 dni, chyba że obowiązek dłuższego przechowywania wynika z przepisów prawa lub z konieczności zabezpieczenia roszczeń.

§4. Kategorie osób i danych

  1. Powierzenie może obejmować dane następujących kategorii osób:
    1. klientów końcowych (konsumentów) składających zamówienia na platformie Temu,
    2. odbiorców zamówień i przesyłek,
    3. osób kontaktowych Klienta,
    4. pracowników lub współpracowników Klienta, jeżeli ich dane pojawiają się w systemie.
  2. Powierzenie może obejmować następujące kategorie danych:
    1. imię i nazwisko,
    2. adres dostawy i/lub adres rozliczeniowy,
    3. adres e-mail,
    4. numer telefonu,
    5. dane dotyczące zamówienia, płatności, dostawy i zwrotu,
    6. informacje konfigurowane przez kupującego dotyczące zamówienia lub produktu,
    7. identyfikatory kont, zamówień, ofert i transakcji,
    8. dane logistyczne, w tym numery przesyłek i listów przewozowych,
    9. dane techniczne i logi operacyjne związane z realizacją integracji.

§5. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający:
    1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora,
    2. zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
    3. wdraża odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, adekwatne do ryzyka.
  2. Środki, o których mowa powyżej, obejmują w szczególności:
    1. kontrolę dostępu do systemów opartą o zasady „need-to-know” oraz „least privilege”,
    2. uwierzytelnianie użytkowników administracyjnych,
    3. segmentację i ograniczenie dostępu do danych do zakresu danego Klienta,
    4. szyfrowanie danych osobowych w bazie danych (AES-256-GCM),
    5. szyfrowanie transmisji (TLS 1.2 lub wyższy),
    6. rejestrowanie zdarzeń i logowanie operacji na danych,
    7. tworzenie kopii zapasowych,
    8. nieodwracalną anonimizację danych osobowych zgodnie z przyjętym okresem retencji,
    9. zabezpieczenia przed utratą dostępności i integralności danych,
    10. procedury reagowania na incydenty.
  3. Podmiot przetwarzający uwzględnia stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania.

§6. Dalsze powierzenie

  1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających, pod warunkiem że:
    1. są one wykorzystywane wyłącznie w zakresie niezbędnym do świadczenia usługi,
    2. zostaną objęte obowiązkami ochrony danych nie mniej rygorystycznymi niż wynikające z niniejszej umowy.
  2. Aktualna lista podprocesorów obejmuje w szczególności:
    1. OVH (OVH Cloud / OVH Sp. z o.o.) – hosting i infrastruktura serwerowa (VPS), z przetwarzaniem na terytorium UE (Polska, Francja),
    2. dostawców poczty transakcyjnej i alertów,
    3. dostawców monitoringu, backupu i bezpieczeństwa,
    4. dostawców narzędzi serwisowych używanych do utrzymania usługi.
  3. Na żądanie Administratora Podmiot przetwarzający udostępni aktualną listę podprocesorów wraz z ich pełnymi nazwami.
  4. Co do zasady dane osobowe są przetwarzane na infrastrukturze zlokalizowanej na terytorium UE lub EOG. Jeżeli dalsze powierzenie wiązałoby się z przekazaniem danych poza EOG, Podmiot przetwarzający zapewni odpowiednią podstawę legalizującą transfer danych, w szczególności standardowe klauzule umowne, jeżeli są wymagane.

§7. Pomoc dla Administratora

  1. Podmiot przetwarzający, uwzględniając charakter przetwarzania i dostępne informacje, wspiera Administratora w zakresie:
    1. realizacji praw osób, których dane dotyczą (w tym dostępu, sprostowania, usunięcia oraz sprzeciwu),
    2. zgłaszania naruszeń,
    3. oceny skutków dla ochrony danych,
    4. konsultacji z organem nadzorczym, jeżeli będą wymagane.

§8. Naruszenia ochrony danych

  1. Podmiot przetwarzający zawiadomi Administratora o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później jednak niż w terminie 72 godzin od stwierdzenia naruszenia, o ile w danych okolicznościach przekazanie informacji w tym terminie jest możliwe.
  2. Zawiadomienie powinno obejmować, o ile to możliwe:
    1. opis charakteru naruszenia,
    2. kategorie danych i osób, których dotyczy naruszenie,
    3. możliwe konsekwencje,
    4. zastosowane lub proponowane środki zaradcze.
  3. Podmiot przetwarzający dysponuje procedurą umożliwiającą powiadomienie Administratora oraz, w razie potrzeby, platformy Temu lub organów nadzorczych o podejrzewanym lub potwierdzonym naruszeniu ochrony danych.

§9. Audyt i informacje

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z niniejszą umową, w zakresie wymaganym przez art. 28 RODO.
  2. Audyt może być przeprowadzony nie częściej niż raz w roku kalendarzowym, po uprzednim co najmniej 14-dniowym zawiadomieniu.
  3. Audyt nie może:
    1. naruszać tajemnicy przedsiębiorstwa Podmiotu przetwarzającego,
    2. prowadzić do ujawnienia danych innych klientów,
    3. zakłócać ciągłości działania usługi.
  4. Podmiot przetwarzający może zamiast pełnego audytu udostępnić aktualną dokumentację bezpieczeństwa, odpowiedzi compliance lub wyniki audytów wewnętrznych, o ile będą wystarczające do wykazania zgodności.

§10. Odpowiedzialność

  1. Każda ze Stron odpowiada za własne naruszenia obowiązków wynikających z RODO.
  2. W relacjach umownych między Stronami odpowiedzialność Podmiotu przetwarzającego z tytułu niniejszej umowy jest ograniczona do wysokości odpowiedzialności określonej w Regulaminie lub umowie głównej, z zastrzeżeniem, że ograniczenie to nie uchybia bezwzględnie obowiązującym przepisom prawa.
  3. Podmiot przetwarzający nie odpowiada za zgodność z prawem danych wprowadzonych do Aplikacji przez Administratora ani za podstawy prawne ich pozyskania.

§11. Zwrot i usunięcie danych

  1. Po zakończeniu usługi Podmiot przetwarzający usuwa lub nieodwracalnie anonimizuje dane osobowe w systemach produkcyjnych nie później niż w terminie 30 dni od zakończenia świadczenia usługi.
  2. Dane z kopii zapasowych są usuwane zgodnie z cyklem retencji kopii zapasowych, nie później niż w terminie 35 dni, chyba że obowiązek dłuższego przechowywania wynika z przepisów prawa lub z konieczności zabezpieczenia roszczeń.
  3. Podmiot przetwarzający może zachować dane w zakresie niezbędnym do:
    1. spełnienia obowiązków prawnych,
    2. obrony przed roszczeniami,
    3. zapewnienia rozliczalności i bezpieczeństwa.

§12. Postanowienia końcowe

  1. Umowa podlega prawu polskiemu.
  2. W sprawach nieuregulowanych zastosowanie mają RODO oraz umowa główna.
  3. W razie sprzeczności pomiędzy DPA a Regulaminem, w zakresie ochrony danych pierwszeństwo ma DPA.