Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa” lub „DPA”) stanowi integralną część Regulaminu świadczenia usług drogą elektroniczną w ramach serwisu IntegratorHub.pl (dalej: „Umowa Główna”) i zostaje zawarta w formie elektronicznej z chwilą utworzenia Konta przez Użytkownika, pomiędzy:
Użytkownikiem (Klientem), będącym przedsiębiorcą, który zarejestrował Konto w systemie IntegratorHub (podając dane identyfikacyjne wraz z numerem NIP), zwanym dalej „Administratorem”, a Zintronic Sp. z o.o. z siedzibą w Białymstoku, ul. Karola Modzelewskiego 2, 15-535 Białystok, KRS: 0000690689, NIP: 9662114233, REGON: 368007675, dostawcą systemu IntegratorHub, zwanym dalej „Podmiotem przetwarzającym” lub „Procesorem”.
§ 1. Przedmiot i czas trwania Powierzenia
Administrator oświadcza, że jest Administratorem Danych Osobowych w rozumieniu art. 4 pkt 7 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) w odniesieniu do danych swoich klientów końcowych (kupujących) oraz pracowników.
Na podstawie art. 28 RODO, Administrator powierza Podmiotowi przetwarzającemu dane osobowe do przetwarzania, a Podmiot przetwarzający zobowiązuje się do ich przetwarzania wyłącznie w granicach określonych niniejszą Umową oraz w celu prawidłowej realizacji usług świadczonych w ramach systemu IntegratorHub (Umowy Głównej).
Umowa zostaje zawarta na czas trwania Umowy Głównej (okres korzystania z konta w serwisie IntegratorHub, wliczając okres testowy oraz wybrany przez Administratora okres archiwizacji danych przypisany do planu taryfowego).
§ 2. Charakter, cel, kategorie osób i zakres danych
Charakter i cel przetwarzania: Przetwarzanie ma charakter zautomatyzowany i odbywa się w systemie teleinformatycznym Podmiotu przetwarzającego. Celem przetwarzania jest:
pobieranie, synchronizacja i obsługa zamówień z platform sprzedażowych (m.in. Allegro, Magento),
automatyczne generowanie dokumentów księgowych (faktur, korekt, e-paragonów) i ich synchronizacja z systemem wFirma,
generowanie etykiet przewozowych u przewoźników (m.in. InPost, DPD, Wysyłam z Allegro) oraz obsługa druku w chmurze (PrintNode),
wyświetlanie i obsługa korespondencji z kupującymi (integracja Gmail / wiadomości Allegro),
archiwizacja historii zamówień zgodnie z wybranym planem abonamentowym.
Kategorie osób, których dane dotyczą:
Klienci końcowi (kupujący) dokonujący zakupów u Administratora w zintegrowanych kanałach sprzedaży (osoby fizyczne oraz osoby prowadzące jednoosobową działalność gospodarczą).
Pracownicy i współpracownicy Administratora, którym nadano uprawnienia (konta użytkowników) w systemie IntegratorHub.
Rodzaj (zakres) powierzonych danych osobowych (dane zwykłe):
Imię i nazwisko, nazwa firmy,
Adres dostawy, adres siedziby / adres do faktury, kod punktu odbioru (np. Paczkomatu),
Adres poczty elektronicznej (e-mail),
Numer telefonu,
Numer identyfikacji podatkowej (NIP),
Login / identyfikator konta z platformy handlowej (np. login Allegro),
Historia zakupów, numery zamówień, numery listów przewozowych, kwoty transakcji, numery rachunków bankowych (w przypadku zwrotów), treść korespondencji e-mail związanej z zamówieniem.
Powierzenie nie obejmuje szczególnych kategorii danych osobowych (tzw. danych wrażliwych), o których mowa w art. 9 RODO.
§ 3. Obowiązki i oświadczenia Podmiotu przetwarzającego
Podmiot przetwarzający zobowiązuje się do:
Przetwarzania powierzonych danych osobowych wyłącznie na udokumentowane polecenie Administratora – za które uznaje się zawarcie Umowy Głównej oraz wydawanie poleceń systemowych za pośrednictwem panelu konfiguracyjnego aplikacji IntegratorHub.
Wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 RODO, w szczególności poprzez:
szyfrowanie transmisji danych za pomocą protokołu SSL/TLS,
szyfrowanie przechowywanych w bazie danych kluczy API i tokenów autoryzacyjnych,
kontrolę dostępu do systemu poprzez uwierzytelnianie i system ról pracowniczych,
regularne wykonywanie kopii zapasowych (backupów) zapewniających zdolność do szybkiego przywrócenia dostępności danych.
Zapewnienia, aby osoby upoważnione do przetwarzania danych osobowych po stronie Podmiotu przetwarzającego zobowiązały się do zachowania tajemnicy.
Pomocy Administratorowi – w miarę możliwości technicznych – w wywiązywaniu się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, oraz z obowiązków określonych w art. 32–36 RODO.
Niezwłocznego (nie później niż w ciągu 48 godzin od wykrycia) poinformowania Administratora drogą elektroniczną o każdym stwierdzonym naruszeniu ochrony powierzonych danych osobowych.
§ 4. Dalsze powierzenie przetwarzania (Podprocesorzy)
Administrator wyraża ogólną zgodę na dalsze powierzenie przetwarzania danych osobowych (tzw. podpowierzenie) przez Podmiot przetwarzający podmiotom trzecim (Podprocesorom), z których usług korzysta on w celu utrzymania, hostingu i prawidłowego działania infrastruktury systemu IntegratorHub, w szczególności Amazon Web Services (AWS), region Frankfurt, Niemcy – hosting aplikacji i baz danych na terenie Europejskiego Obszaru Gospodarczego.
Podmiot przetwarzający zapewnia, że korzysta wyłącznie z usług takich Podprocesorów, którzy gwarantują wdrożenie odpowiednich środków technicznych i organizacyjnych zgodnych z RODO.
Należy odróżnić Podprocesorów infrastrukturalnych IntegratorHub od zewnętrznych systemów integrowanych na polecenie Administratora (takich jak wFirma, Allegro, Magento, InPost, DPD, Google Gmail, PrintNode). Przekazywanie danych pomiędzy IntegratorHub a tymi systemami odbywa się na bezpośrednie zlecenie Administratora przy użyciu jego własnych kont i kluczy API – podmioty te działają na podstawie odrębnych umów zawartych bezpośrednio przez Administratora z tymi dostawcami.
§ 5. Prawo kontroli i audytu
Administrator ma prawo do weryfikacji przestrzegania przez Podmiot przetwarzający postanowień niniejszej Umowy.
Kontrola realizowana jest w pierwszej kolejności poprzez udzielenie przez Podmiot przetwarzający pisemnych lub elektronicznych wyjaśnień oraz udostępnienie informacji o stosowanych zabezpieczeniach w terminie 14 dni od otrzymania wniosku Administratora.
W przypadku gdy wyjaśnienia okażą się niewystarczające, Administrator ma prawo do przeprowadzenia audytu (w tym inspekcji) po uprzednim powiadomieniu Podmiotu przetwarzającego na co najmniej 14 dni roboczych przed planowanym terminem. Audyt nie może zakłócać bieżącej działalności Podmiotu przetwarzającego ani naruszać tajemnicy przedsiębiorstwa oraz bezpieczeństwa danych innych klientów. Koszty audytu ponosi Administrator.
§ 6. Usunięcie danych po zakończeniu Umowy
Po rozwiązaniu lub wygaśnięciu Umowy Głównej (usunięciu Konta w serwisie IntegratorHub), Podmiot przetwarzający w terminie do 30 dni trwale usuwa wszelkie powierzone dane osobowe ze swoich baz produkcyjnych oraz kopii zapasowych, chyba że prawo Unii lub prawo polskie nakazują dalsze przechowywanie danych.
Przed usunięciem Konta Administrator ma możliwość samodzielnego pobrania (wyeksportowania) swoich danych z poziomu panelu aplikacji.
§ 7. Postanowienia końcowe
Niniejsza Umowa wchodzi w życie z dniem akceptacji Regulaminu podczas zakładania Konta w serwisie IntegratorHub i nie wymaga składania odrębnych podpisów własnoręcznych.
W sprawach nieuregulowanych niniejszą Umową zastosowanie mają przepisy RODO oraz Kodeksu cywilnego.