Wersja angielska tego dokumentu jest wersją autorytatywną. Niniejsze tłumaczenie ma charakter pomocniczy.

Umowa Powierzenia Przetwarzania Danych FaveCard

Kontekst

Niniejsza Umowa Powierzenia Przetwarzania Danych (zwana dalej "Umową" lub "UPP") stanowi integralną część Regulaminu Świadczenia Usług FaveCard (zwanego dalej "Regulaminem") zawartego pomiędzy Qualityc Łukasz Fryc (NIP 7372138804, EU VAT PL7372138804, Kasinka Mała 472, 34-734 Kasinka Mała, Polska), operatorem usługi FaveCard (zwanym dalej "FaveCard"), a klientem biznesowym, który zaakceptował Regulamin (zwanym dalej "Klientem Biznesowym").

Akceptując Regulamin, Klient Biznesowy akceptuje również niniejszą Umowę. Nie jest wymagany odrębny podpis. Taki sposób zawarcia umowy jest uznawany przez art. 28 ust. 9 Rozporządzenia (UE) 2016/679 (Ogólne Rozporządzenie o Ochronie Danych, "RODO"), który dopuszcza zawieranie umów z art. 28 w formie elektronicznej.

Niniejsza Umowa odzwierciedla porozumienie stron w zakresie warunków regulujących przetwarzanie przez FaveCard danych osobowych w imieniu Klienta Biznesowego w trakcie świadczenia Usługi. W przypadku gdy Usługa jest wykorzystywana w jurysdykcjach poza Europejskim Obszarem Gospodarczym (dalej "EOG"), niniejsza Umowa ma również na celu spełnienie porównywalnych wymogów prawa brytyjskiego o ochronie danych, szwajcarskiej Federalnej Ustawy o Ochronie Danych (FADP) oraz innych obowiązujących systemów ochrony danych, z zastosowaniem niezbędnych modyfikacji w sposób dorozumiany.

1. Definicje

W niniejszej Umowie poniższe terminy mają następujące znaczenie. Terminy pisane wielką literą, które nie zostały tu zdefiniowane, mają znaczenie nadane im w RODO lub w Regulaminie.

• "Obowiązujące Prawo Ochrony Danych" oznacza wszystkie przepisy o ochronie danych i prywatności mające zastosowanie do przetwarzania Danych Osobowych przez stronę na mocy niniejszej Umowy, w tym (w zależności od przypadku) RODO, brytyjskie RODO, brytyjską Ustawę o Ochronie Danych z 2018 r., szwajcarską FADP oraz wszelkie przepisy następcze lub uzupełniające.
• "Administrator" ma znaczenie nadane w art. 4 ust. 7 RODO.
• "Dane Osobowe Klienta Biznesowego" oznaczają Dane Osobowe przekazane przez Klienta Biznesowego lub zebrane w jego imieniu za pośrednictwem Usługi, w przypadku których Klient Biznesowy (lub jego Klienci Końcowi, na jego polecenie) jest Administratorem.
• "Podmiot Danych" ma znaczenie nadane w art. 4 ust. 1 RODO.
• "Klient Końcowy" ma znaczenie nadane w Regulaminie.
• "Transfer Międzynarodowy" oznacza przekazanie Danych Osobowych do państwa, terytorium lub organizacji międzynarodowej poza EOG (lub, w przypadku danych brytyjskich, poza Zjednoczonym Królestwem; lub, w przypadku danych szwajcarskich, poza Szwajcarią), które nie jest przedmiotem decyzji stwierdzającej odpowiedni stopień ochrony, mającej zastosowanie do danego transferu.
• "Dane Osobowe" mają znaczenie nadane w art. 4 ust. 1 RODO.
• "Naruszenie Ochrony Danych Osobowych" ma znaczenie nadane w art. 4 ust. 12 RODO.
• "Podmiot Przetwarzający" ma znaczenie nadane w art. 4 ust. 8 RODO.
• "Załącznik" oznacza załącznik do niniejszej Umowy, który stanowi jej integralną część.
• "Dalszy Podmiot Przetwarzający" oznacza każdą osobę trzecią zaangażowaną przez FaveCard do przetwarzania Danych Osobowych Klienta Biznesowego w imieniu FaveCard w związku ze świadczeniem Usługi.
• "Standardowe Klauzule Umowne" lub "SKU" oznaczają standardowe klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich, przyjęte przez Komisję Europejską w Decyzji Wykonawczej (UE) 2021/914 z dnia 4 czerwca 2021 r., z późniejszymi zmianami.
• "UK Addendum" oznacza brytyjski aneks dotyczący międzynarodowego transferu danych (UK International Data Transfer Addendum) do SKU Komisji Europejskiej, wydany przez brytyjskiego Komisarza ds. Informacji na podstawie sekcji 119A brytyjskiej Ustawy o Ochronie Danych z 2018 r.

2. Role i zakres

2.1 Klient Biznesowy jest Administratorem

W odniesieniu do Danych Osobowych Klienta Biznesowego, Klient Biznesowy jest Administratorem, a FaveCard jest Podmiotem Przetwarzającym. Klient Biznesowy określa cele i sposoby przetwarzania zgodnie z Obowiązującym Prawem Ochrony Danych i jest odpowiedzialny za zapewnienie, że posiada podstawę prawną do przetwarzania, które zleca FaveCard.

2.2 FaveCard jest Podmiotem Przetwarzającym

FaveCard przetwarza Dane Osobowe Klienta Biznesowego wyłącznie na udokumentowane polecenia Klienta Biznesowego oraz w ograniczonych celach określonych w niniejszej Umowie i w Załączniku 1. FaveCard nie określa celów ani sposobów przetwarzania Danych Osobowych Klienta Biznesowego, z wyjątkiem zakresu dozwolonego na mocy klauzuli 2.3 (reklasyfikacja) lub klauzuli 2.4 (niezależni administratorzy).

2.3 Reklasyfikacja — kiedy FaveCard staje się Administratorem

Strony przyjmują do wiadomości, że w ramach świadczenia Usługi, FaveCard może od czasu do czasu podejmować decyzje dotyczące określonych czynności przetwarzania, które wykraczają poza samo działanie na polecenie Klienta Biznesowego — na przykład w kontekście zapobiegania oszustwom, wykrywania nadużyć, monitorowania bezpieczeństwa, zagregowanej i zanonimizowanej analityki produktu, zgodności z obowiązkami prawnymi nałożonymi bezpośrednio na FaveCard, utrzymywania minimalnego ujednoliconego rekordu klienta opisanego w klauzuli 2.7, lub świadczenia przyszłych usług dla klienta końcowego opisanych w klauzuli 2.8.

W zakresie, w jakim FaveCard określa cele i sposoby jakiejkolwiek takiej określonej czynności przetwarzania, FaveCard będzie, wyłącznie w odniesieniu do tej czynności, uznawany za niezależnego Administratora Danych Osobowych przetwarzanych w związku z tą czynnością, a pozostała część niniejszej Umowy będzie w dalszym ciągu regulować wszelkie inne przetwarzanie Danych Osobowych Klienta Biznesowego na polecenie Klienta Biznesowego.

Niniejsza klauzula ma na celu zapewnienie jasnego podziału ról w przypadkach brzegowych bez przekształcania ogólnych relacji stron w relację współadministratorów w rozumieniu art. 26 RODO. Żadne z postanowień niniejszej klauzuli nie zezwala FaveCard na wykorzystywanie Danych Osobowych Klienta Biznesowego do celów marketingowych skierowanych do Klientów Końcowych z własnej inicjatywy FaveCard, ani w żadnym celu niezwiązanym z działaniem, bezpieczeństwem lub ulepszaniem Usługi.

2.4 Niezależni Administratorzy

Niektóre podmioty trzecie wchodzące w interakcję z Usługą (w szczególności podmiot przetwarzający płatności Klienta Biznesowego, Stripe Payments Europe, Limited, w celach zapobiegania oszustwom i zapewnienia zgodności z przepisami) działają jako niezależni Administratorzy przetwarzanych przez siebie Danych Osobowych. Ich przetwarzanie jest regulowane przez ich własne warunki umowy z Klientem Biznesowym i wykracza poza zakres niniejszej Umowy.

2.5 Wyłączone dane

Klient Biznesowy zobowiązuje się nie przekazywać do Usługi żadnych Danych Osobowych stanowiących "szczególne kategorie danych" w rozumieniu art. 9 RODO (w tym danych dotyczących zdrowia, danych biometrycznych, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych, orientacji seksualnej lub przynależności do związków zawodowych), ani żadnych Danych Osobowych dzieci poniżej szesnastego (16) roku życia, ani żadnych danych kart płatniczych wykraczających poza te przetwarzane bezpośrednio przez Stripe. Usługa nie jest przeznaczona do przetwarzania takich danych, a Klient Biznesowy ponosi odpowiedzialność za wszelkie konsekwencje, jeśli przekaże takie dane z naruszeniem niniejszej klauzuli.

2.6 Usługi Wsparcia w Zakresie Zgodności (zarządzana zgodność)

Strony przyjmują do wiadomości, że Klient Biznesowy może potrzebować wsparcia operacyjnego w celu wypełnienia obowiązków, które zgodnie z Obowiązującym Prawem Ochrony Danych spoczywają na Kliencie Biznesowym w jego roli Administratora — w tym w zakresie odpowiadania na żądania dotyczące praw Podmiotów Danych, dostarczania Klientom Końcowym przejrzystych informacji o ochronie prywatności, prowadzenia rejestrów zgód marketingowych oraz zgłaszania Naruszeń Ochrony Danych Osobowych organom nadzorczym i Podmiotom Danych.

Akceptując niniejszą Umowę, Klient Biznesowy wydaje FaveCard stałe polecenie, w rozumieniu art. 28 ust. 3 lit. a RODO, do wykonywania w imieniu Klienta Biznesowego Usług Wsparcia w Zakresie Zgodności opisanych w Załączniku 4. Usługi Wsparcia w Zakresie Zgodności stanowią realizację obowiązków FaveCard w zakresie pomocy, o których mowa w art. 28 ust. 3 lit. e oraz art. 28 ust. 3 lit. f RODO, rozszerzonych do maksymalnego poziomu pomocy, jaki jest technicznie i organizacyjnie możliwy na poziomie małego sprzedawcy.

Wykonując Usługi Wsparcia w Zakresie Zgodności, FaveCard działa w charakterze Podmiotu Przetwarzającego i na udokumentowane polecenie Klienta Biznesowego. Klient Biznesowy pozostaje jedynym Administratorem Danych Osobowych Klienta Biznesowego, a odpowiedzialność prawna za zgodność z Obowiązującym Prawem Ochrony Danych spoczywa nadal na Kliencie Biznesowym. Klient Biznesowy może w każdej chwili wycofać stałe polecenie na piśmie; w takim przypadku Klient Biznesowy będzie od dnia wycofania samodzielnie wykonywał odpowiednie czynności związane ze zgodnością, a zobowiązania FaveCard wynikające z klauzul 7 i 8 powrócą do standardowego modelu wsparcia dla podmiotu przetwarzającego opisanego w tych klauzulach.

2.7 Międzysprzedawcowa warstwa tożsamości — FaveCard jako niezależny administrator minimalnego ujednoliconego rekordu klienta

Niezależnie od swojej roli jako Podmiot Przetwarzający zgodnie z klauzulami 2.1 i 2.2, Usługa utrzymuje minimalny ujednolicony rekord klienta dla każdego Klienta Końcowego, który zapisuje się do Programu Lojalnościowego za pośrednictwem dowolnego Klienta Biznesowego w ramach Usługi. Ujednolicony rekord klienta jest indeksowany jednokierunkowym kryptograficznym skrótem (hashem) adresu e-mail i (jeśli został podany) numeru telefonu Klienta Końcowego i zawiera wyłącznie następujące pola: imię, nazwisko (jeśli zostało podane), adres e-mail, numer telefonu (jeśli został podany) oraz dzień/miesiąc urodzin (jeśli został podany).

Cele ujednoliconego rekordu klienta ograniczają się do:

• (a) rozpoznawania Klienta Końcowego, który wcześniej zapisał się u innego Klienta Biznesowego w ramach Usługi, tak aby Klient Końcowy nie musiał ponownie wprowadzać podstawowych danych identyfikacyjnych przy kolejnym zapisie;
• (b) utrzymywania integralności Usługi przed zduplikowanymi lub oszukańczymi zapisami przy użyciu tego samego adresu e-mail lub numeru telefonu u różnych Klientów Biznesowych;
• (c) zapewnienia podstawy technicznej dla przyszłych usług dla klienta końcowego opisanych w klauzuli 2.8.

Ujednolicony rekord klienta nie zawiera stanu zgód marketingowych, historii transakcji, liczby pieczątek, nagród, notatek, profili behawioralnych ani żadnych pól danych wykraczających poza te wymienione w pierwszym akapicie niniejszej klauzuli. Ścieżka audytu zgód marketingowych każdego Klienta Biznesowego (Załącznik 4(d)) jest przechowywana wyłącznie w środowisku (tenant) danego Klienta Biznesowego w ramach Usługi i nie jest replikowana do ujednoliconego rekordu klienta.

Ujednolicony rekord klienta nie jest udostępniany pomiędzy Klientami Biznesowymi. Klient Biznesowy A nie może przeglądać Danych Osobowych Klienta Końcowego przekazanych Klientowi Biznesowemu B, a FaveCard nie ujawni Danych Osobowych Klienta Końcowego żadnego z Klientów Biznesowych innemu Klientowi Biznesowemu poprzez odniesienie do ujednoliconego rekordu klienta, ani nie użyje ujednoliconego rekordu klienta do korelowania aktywności pomiędzy Klientami Biznesowymi w sposób inny niż w celu realizacji ograniczonych celów wymienionych w punktach (a), (b) i (c) powyżej.

W odniesieniu do przetwarzania ujednoliconego rekordu klienta, FaveCard działa jako niezależny administrator w rozumieniu art. 4 pkt 7 RODO, w ramach struktury reklasyfikacji z klauzuli 2.3, na podstawie prawnej uzasadnionego interesu zgodnie z art. 6 ust. 1 lit. f RODO. FaveCard udokumentował i utrzymuje test równowagi ważący korzyści dla Klienta Końcowego (ciągłość u różnych sprzedawców, ochrona przed oszustwami, dostęp do przyszłych usług dla klienta końcowego) z wpływem na prywatność rekordu, który przechowuje jedynie minimalne dane identyfikacyjne, nie zawiera danych marketingowych ani profilowania i jest technicznie odseparowany od danych lojalnościowych poszczególnych sprzedawców.

Istnienie ujednoliconego rekordu klienta jest ujawniane Klientom Końcowym w Informacji o Ochronie Prywatności Klienta udostępnianej przez FaveCard na mocy klauzuli 2.6 i Załącznika 4(c), zgodnie z wymogiem przejrzystości określonym w art. 13 RODO. Klienci Końcowi mają prawo do sprzeciwu wobec przetwarzania ujednoliconego rekordu klienta w dowolnym momencie na mocy art. 21 RODO, pisząc na adres privacy@favecard.co; FaveCard usunie ujednolicony rekord klienta w terminie trzydziestu (30) dni od otrzymania takiego sprzeciwu. Sprzeciw wobec ujednoliconego rekordu klienta nie wpływa na dane lojalnościowe Klienta Końcowego u poszczególnych Klientów Biznesowych, które pozostają pod kontrolą odpowiedniego Klienta Biznesowego zgodnie z opisem w Załączniku 1 i nadal podlegają niniejszej Umowie.

W celu uniknięcia wątpliwości, istnienie ujednoliconego rekordu klienta nie czyni ze stron współadministratorów w rozumieniu art. 26 RODO. FaveCard jest niezależnym administratorem ujednoliconego rekordu klienta, a Klient Biznesowy pozostaje wyłącznym Administratorem wszystkich Danych Osobowych Klienta Biznesowego przechowywanych w jego środowisku (tenant) w ramach Usługi.

2.8 Przyszłe usługi dla klienta końcowego

FaveCard opracowuje i może w przyszłości oferować usługi skierowane bezpośrednio do Klientów Końcowych — w tym (bez ograniczeń) portal klienta, aplikację mobilną FaveCard oraz funkcje odkrywania, które sugerują programy lojalnościowe oferowane przez innych Klientów Biznesowych Klientom Końcowym, którzy wyraźnie wyrażą na to zgodę (łącznie „Usługi dla Klienta Końcowego”).

Gdy jakakolwiek Usługa dla Klienta Końcowego zostanie uruchomiona:

• (a) będzie ona oferowana Klientom Końcowym na odrębnej, wyraźnej zasadzie dobrowolnego przystąpienia (opt-in), na odrębnej podstawie prawnej — zazwyczaj zgody zgodnie z art. 6 ust. 1 lit. a RODO lub bezpośredniej umowy o świadczenie usług zgodnie z art. 6 ust. 1 lit. b RODO pomiędzy FaveCard a Klientem Końcowym;
• (b) FaveCard będzie działać jako niezależny administrator w odniesieniu do Danych Osobowych przetwarzanych w związku z Usługą dla Klienta Końcowego, a status Klienta Biznesowego jako Administratora Danych Osobowych Klienta Biznesowego na mocy niniejszej Umowy pozostanie nienaruszony;
• (c) żadne Dane Osobowe Klienta Biznesowego przechowywane przez FaveCard jako Podmiot Przetwarzający na mocy niniejszej Umowy nie zostaną wykorzystane do świadczenia Usługi dla Klienta Końcowego bez (i) wyraźnej zgody (opt-in) Klienta Końcowego oraz (ii) jasnej podstawy prawnej niezależnej od poleceń Klienta Biznesowego;
• (d) FaveCard zaktualizuje niniejszą Umowę oraz Informację o Ochronie Prywatności Klienta, o której mowa w klauzuli 2.6, aby odzwierciedlić zakres, podstawę prawną oraz implikacje dla przepływu danych każdej nowej Usługi dla Klienta Końcowego przed jej uruchomieniem;
• (e) żadne z postanowień niniejszej klauzuli nie upoważnia FaveCard do prowadzenia działań marketingowych skierowanych do Klientów Końcowych z własnej inicjatywy, przy użyciu danych, które FaveCard przechowuje jako Podmiot Przetwarzający na mocy niniejszej Umowy.

Zarówno ujawnienie w niniejszej klauzuli 2.8, jak i istnienie ujednoliconego rekordu klienta na mocy klauzuli 2.7, nie stanowi zgody na marketing (opt-in), zgody na przetwarzanie, ani podstawy prawnej dla jakiejkolwiek Usługi dla Klienta Końcowego, która nie została jeszcze uruchomiona. Każda Usługa dla Klienta Końcowego ustanowi swoją własną podstawę prawną w momencie jej zaoferowania.

3. Polecenia przetwarzania

3.1 Udokumentowane polecenia

FaveCard przetwarza Dane Osobowe Klienta Biznesowego wyłącznie na udokumentowane polecenia Klienta Biznesowego, w tym w odniesieniu do Transferów Międzynarodowych. Udokumentowane polecenia Klienta Biznesowego obejmują:

• (a) Regulamin;
• (b) niniejszą Umowę;
• (c) wybory konfiguracyjne dokonywane przez Klienta Biznesowego w panelu administracyjnym i ustawieniach Usługi;
• (d) działania podejmowane przez Klienta Biznesowego za pośrednictwem Usługi (takie jak tworzenie Programu Lojalnościowego, konfigurowanie kampanii e-mail, eksportowanie danych); oraz
• (e) wszelkie dalsze pisemne polecenia przekazane FaveCard przez Klienta Biznesowego na piśmie (w tym pocztą elektroniczną na adres privacy@favecard.co), w zakresie, w jakim są one uzasadnione i zgodne z funkcjonalnością Usługi.

Jeśli FaveCard nie może zastosować się do polecenia z przyczyn prawnych, technicznych lub handlowych, poinformuje o tym Klienta Biznesowego bez zbędnej zwłoki, a strony podejmą rozmowy w dobrej wierze.

3.2 Zakaz dalszego wykorzystania

FaveCard nie będzie przetwarzać Danych Osobowych Klienta Biznesowego w żadnym celu innym niż (i) świadczenie i obsługa Usługi dla Klienta Biznesowego, (ii) wypełnianie obowiązków prawnych FaveCard oraz (iii) ograniczone działania jako Administrator, o których mowa w klauzuli 2.3.

3.3 Powiadomienie w przypadku, gdy polecenie narusza prawo

Jeśli FaveCard uzna, że polecenie Klienta Biznesowego narusza Obowiązujące Prawo Ochrony Danych, FaveCard niezwłocznie poinformuje Klienta Biznesowego o tym stanowisku. Klient Biznesowy pozostaje odpowiedzialny za zgodność z prawem swoich poleceń.

3.4 Obowiązki Klienta Biznesowego jako Administratora

Klient Biznesowy gwarantuje, że:

• (a) uzyskał i będzie utrzymywał ważną podstawę prawną zgodnie z art. 6 RODO (oraz, w stosownych przypadkach, art. 9) dla wszystkich Danych Osobowych Klienta Biznesowego przekazanych do Usługi;
• (b) dostarczył i będzie utrzymywał przejrzyste klauzule informacyjne dla Klientów Końcowych, które spełniają wymogi art. 13 i 14 RODO, w tym, w stosownych przypadkach, wskazując FaveCard jako Podmiot Przetwarzający;
• (c) będzie w pierwszej kolejności odpowiadał na żądania Klientów Końcowych dotyczące ich praw i będzie eskalował je do FaveCard tylko wtedy, gdy pomoc będzie potrzebna zgodnie z klauzulą 7;
• (d) nie będzie polecał FaveCard podejmowania działań, które wymagałyby od FaveCard naruszenia Obowiązującego Prawa Ochrony Danych lub jakiegokolwiek innego prawa mającego zastosowanie do FaveCard.

4. Personel

FaveCard zapewni, że każdy personel (w tym pracownicy, wykonawcy, założyciele działający w charakterze operacyjnym i agenci) upoważniony do przetwarzania Danych Osobowych Klienta Biznesowego:

• (a) jest związany odpowiednimi pisemnymi zobowiązaniami do zachowania poufności lub podlega równoważnemu ustawowemu obowiązkowi zachowania poufności;
• (b) przechodzi odpowiednie szkolenia dotyczące obowiązków ochrony danych oraz środków bezpieczeństwa Usługi, adekwatne do jego roli i wrażliwości danych, do których ma dostęp;
• (c) ma dostęp do Danych Osobowych Klienta Biznesowego wyłącznie na zasadzie "wiedzy koniecznej" i tylko w zakresie niezbędnym do wykonywania powierzonych mu zadań.

5. Bezpieczeństwo

5.1 Środki zgodne z art. 32 RODO

FaveCard wdroży odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa odpowiedni do ryzyka, uwzględniając stan wiedzy technicznej, koszty wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności Podmiotów Danych, zgodnie z art. 32 RODO.

Opis aktualnych środków technicznych i organizacyjnych znajduje się w Załączniku 2.

5.2 Aktualizacje środków bezpieczeństwa

FaveCard może od czasu do czasu aktualizować swoje środki bezpieczeństwa, pod warunkiem że żadna aktualizacja nie obniży w istotny sposób ogólnego poziomu ochrony. FaveCard będzie utrzymywać aktualność Załącznika 2 i powiadamiać Klientów Biznesowych o istotnych zmianach za pośrednictwem panelu administracyjnego lub poczty elektronicznej.

5.3 Własne środki kontroli Klienta Biznesowego

Klient Biznesowy jest odpowiedzialny za bezpieczne korzystanie z Usługi po swojej stronie, w tym za bezpieczne przechowywanie poświadczeń, zarządzanie upoważnionymi użytkownikami w ramach swojego konta oraz konfigurowanie funkcji bezpieczeństwa Usługi (takich jak uwierzytelnianie wieloskładnikowe, dostęp oparty na rolach i listy dozwolonych adresów IP, jeśli są dostępne).

6. Dalsi Podmioty Przetwarzający

6.1 Ogólne upoważnienie

Klient Biznesowy udziela FaveCard ogólnego upoważnienia do angażowania Dalszych Podmiotów Przetwarzających w celu przetwarzania Danych Osobowych Klienta Biznesowego, z zastrzeżeniem warunków określonych w niniejszej klauzuli 6 i zgodnie z art. 28 ust. 2 RODO.

6.2 Lista zatwierdzonych Dalszych Podmiotów Przetwarzających

Aktualna lista zatwierdzonych Dalszych Podmiotów Przetwarzających jest publikowana pod adresem favecard.co/legal/subprocessors (dalej "Lista Dalszych Podmiotów Przetwarzających") i jest również odzwierciedlona w Załączniku 3 do niniejszej Umowy. Klient Biznesowy przyjmuje do wiadomości i upoważnia do zaangażowania wszystkich Dalszych Podmiotów Przetwarzających wymienionych w Załączniku 3 na dzień akceptacji niniejszej Umowy przez Klienta Biznesowego.

6.3 Powiadomienie o zmianach

FaveCard poinformuje Klienta Biznesowego z co najmniej trzydziestodniowym (30) wyprzedzeniem kalendarzowym o każdym zamierzonym dodaniu lub zastąpieniu Dalszego Podmiotu Przetwarzającego, poprzez aktualizację Listy Dalszych Podmiotów Przetwarzających oraz (jeśli Klient Biznesowy subskrybował powiadomienia zgodnie z procedurą opisaną na tej stronie) pocztą elektroniczną.

6.4 Prawo do sprzeciwu

Klient Biznesowy może wnieść sprzeciw wobec powołania nowego Dalszego Podmiotu Przetwarzającego z uzasadnionych względów związanych z ochroną danych w ciągu dziesięciu (10) dni kalendarzowych od powiadomienia FaveCard. W przypadku sprzeciwu Klienta Biznesowego, strony będą prowadzić rozmowy w dobrej wierze przez okres do czternastu (14) dni kalendarzowych w celu znalezienia rozwiązania. Jeśli rozwiązanie nie zostanie osiągnięte, Klient Biznesowy może wypowiedzieć umowę w odniesieniu do tej części Usługi, której dotyczy zmiana, ze skutkiem od dnia, w którym nowy Dalszy Podmiot Przetwarzający rozpocznie przetwarzanie, a FaveCard zwróci wszelkie przedpłacone Opłaty obejmujące okres po wypowiedzeniu. Wypowiedzenie jest jedynym i wyłącznym środkiem zaradczym przysługującym Klientowi Biznesowemu na mocy niniejszej klauzuli.

6.5 Zastąpienie w trybie pilnym

W przypadku, gdy Dalszy Podmiot Przetwarzający musi zostać pilnie zastąpiony (na przykład z powodu zaprzestania działalności, incydentu bezpieczeństwa lub rozwiązania umowy o świadczenie usług), FaveCard może natychmiast zaangażować zastępczego Dalszego Podmiotu Przetwarzającego i powiadomić o tym tak szybko, jak to możliwe, z odpowiednim skróceniem okresu na wniesienie sprzeciwu, jeśli jest to uzasadnione.

6.6 Przeniesienie obowiązków

FaveCard zapewni, że każdy Dalszy Podmiot Przetwarzający będzie związany pisemną umową, która nakłada na niego obowiązki w zakresie ochrony danych, które nie są mniej ochronne niż te nałożone na FaveCard przez niniejszą Umowę, zgodnie z art. 28 ust. 4 RODO. FaveCard pozostaje w pełni odpowiedzialny wobec Klienta Biznesowego za wykonanie obowiązków każdego Dalszego Podmiotu Przetwarzającego.

7. Pomoc w zakresie praw Podmiotów Danych

7.1 Bezpośrednie żądania — obsługa zarządzana

Na mocy stałego polecenia zawartego w klauzuli 2.6 i Załączniku 4, Klient Biznesowy poleca FaveCard przyjmowanie żądań dotyczących praw Podmiotów Danych na mocy art. 15-22 RODO (i równoważnych praw wynikających z Obowiązującego Prawa Ochrony Danych) bezpośrednio pod adresem privacy@favecard.co oraz udzielanie merytorycznych odpowiedzi na te żądania w imieniu Klienta Biznesowego, w ustawowych terminach określonych w art. 12 ust. 3 RODO.

Działając na podstawie stałego polecenia, FaveCard:

• (a) potwierdzi otrzymanie żądania Podmiotowi Danych bez zbędnej zwłoki, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od jego otrzymania;
• (b) zweryfikuje tożsamość Podmiotu Danych w oparciu o informacje już posiadane w Usłudze;
• (c) zbierze, zredaguje i przekaże odpowiednie Dane Osobowe Klienta Biznesowego lub dokona sprostowania, ograniczenia, sprzeciwu lub usunięcia danych, o które wniesiono, w zakresie, w jakim jest to technicznie i prawnie możliwe;
• (d) poinformuje Klienta Biznesowego o każdym żądaniu, które w istotny sposób wpływa na relacje Klienta Biznesowego z Podmiotem Danych (na przykład żądanie usunięcia danych, które zakończyłoby aktywne członkostwo w Programie Lojalnościowym) oraz, jeśli czas na to pozwoli, da Klientowi Biznesowemu rozsądną możliwość wypowiedzenia się przed udzieleniem odpowiedzi;
• (e) będzie prowadzić rejestr żądania i odpowiedzi FaveCard na koncie Klienta Biznesowego.

Jeżeli żądanie nie może zostać rozpatrzone w standardowym, jednomiesięcznym terminie ustawowym, FaveCard może przedłużyć termin odpowiedzi o maksymalnie dwa kolejne miesiące zgodnie z art. 12 ust. 3 RODO i powiadomi Podmiot Danych o przedłużeniu oraz jego przyczynach.

Klient Biznesowy może w każdej chwili pisemnie polecić FaveCard zaprzestanie obsługi żądań dotyczących praw Podmiotów Danych na mocy niniejszej klauzuli i przekazywanie ich zamiast tego do wskazanego przez Klienta Biznesowego kontaktu, w którym to przypadku zastosowanie ma standardowy model wsparcia dla podmiotu przetwarzającego opisany w klauzuli 7.2.

7.2 Pomoc dla Klienta Biznesowego

Biorąc pod uwagę charakter przetwarzania, FaveCard zapewni Klientowi Biznesowemu rozsądną pomoc (poprzez odpowiednie środki techniczne i organizacyjne, o ile jest to możliwe) w wypełnianiu obowiązków Klienta Biznesowego w zakresie odpowiadania na żądania Podmiotów Danych, w tym poprzez udostępnienie odpowiednich narzędzi do eksportu danych w panelu administracyjnym, umożliwienie Klientowi Biznesowemu usuwania lub poprawiania Danych Osobowych Klienta Biznesowego oraz udzielanie rozsądnego dodatkowego wsparcia na żądanie. Niniejsza klauzula ma zastosowanie w szczególności w przypadku, gdy Klient Biznesowy wycofał stałe polecenie zgodnie z klauzulą 7.1 lub gdy żądanie dotyczy danych przechowywanych poza Usługą, których FaveCard nie jest w stanie samodzielnie rozpatrzyć.

7.3 Koszt wsparcia

Standardowe narzędzia samoobsługowe udostępniane w panelu oraz merytoryczna obsługa żądań dotyczących praw Podmiotów Danych na mocy klauzuli 7.1 w ramach zwykłej liczby zapytań są wliczone w Usługę bez dodatkowych opłat. W przypadku gdy liczba żądań otrzymanych w odniesieniu do jednego Klienta Biznesowego znacznie przekracza liczbę rozsądnie przewidywaną dla Klienta Biznesowego o jego wielkości i profilu użytkowania (na przykład w następstwie publicznego incydentu lub skoordynowanej kampanii), lub gdy Klient Biznesowy zażąda indywidualnego wsparcia, które znacznie wykracza poza standardowe narzędzia i standardową obsługę żądań, FaveCard może pobrać rozsądną opłatę w oparciu o poświęcony czas, zakomunikowaną z góry.

7.4 Odniesienie do Załącznika 4

Szczegółowy zakres, poziomy usług i mechanizmy operacyjne merytorycznej obsługi przez FaveCard żądań dotyczących praw Podmiotów Danych w imieniu Klienta Biznesowego są określone w Załączniku 4 (Usługi Wsparcia w Zakresie Zgodności).

8. Naruszenia Ochrony Danych Osobowych, Oceny Skutków i Uprzednie Konsultacje

8.1 Zgłaszanie naruszeń

FaveCard powiadomi Klienta Biznesowego o Naruszeniu Ochrony Danych Osobowych dotyczącym Danych Osobowych Klienta Biznesowego bez zbędnej zwłoki, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od stwierdzenia naruszenia. Powiadomienie zostanie wysłane pocztą elektroniczną na adres powiązany z Kontem Klienta Biznesowego i będzie zawierać, w zakresie znanym w tym czasie FaveCard:

• (a) opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę Podmiotów Danych i rekordów, których dotyczy naruszenie;
• (b) imię i nazwisko oraz dane kontaktowe punktu kontaktowego FaveCard;
• (c) prawdopodobne konsekwencje naruszenia;
• (d) środki, które FaveCard podjął lub proponuje podjąć w celu zaradzenia naruszeniu i złagodzenia jego ewentualnych negatywnych skutków.

W przypadku gdy FaveCard nie może dostarczyć wszystkich informacji w momencie pierwotnego powiadomienia, dostarczy je etapami bez zbędnej zwłoki. FaveCard dołoży uzasadnionych starań, aby powiadomić tak szybko, jak to możliwe w ciągu 72-godzinnego okna czasowego, aby wesprzeć Klienta Biznesowego w jego własnym 72-godzinnym obowiązku powiadomienia organu nadzorczego zgodnie z art. 33 RODO.

8.2 Zgłaszanie organom i Podmiotom Danych — obsługa zarządzana

Na mocy stałego polecenia zawartego w klauzuli 2.6 i Załączniku 4, Klient Biznesowy poleca FaveCard przygotowanie i wysłanie w imieniu Klienta Biznesowego:

• (a) zgłoszeń do właściwego organu nadzorczego Klienta Biznesowego na mocy art. 33 RODO w ustawowym terminie siedemdziesięciu dwóch (72) godzin od momentu, w którym FaveCard dowie się o naruszeniu; oraz
• (b) zawiadomień do dotkniętych naruszeniem Podmiotów Danych na mocy art. 34 RODO, w przypadku gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw i wolności, bez zbędnej zwłoki.

FaveCard dołoży wszelkich starań, aby skonsultować się z Klientem Biznesowym co do treści każdego zgłoszenia przed jego wysłaniem, jeśli czas na to pozwoli, a w każdym przypadku przekaże Klientowi Biznesowemu kopię zgłoszenia niezwłocznie po jego wysłaniu. Klient Biznesowy pozostaje prawnie odpowiedzialny jako Administrator za treść i terminowość zgłoszeń, a FaveCard działa wyłącznie na podstawie stałego polecenia wydanego na mocy niniejszej Umowy.

Klient Biznesowy może w każdej chwili wycofać stałe polecenie na piśmie; w takim przypadku, od dnia wycofania, Klient Biznesowy będzie samodzielnie wypełniał zobowiązania wynikające z art. 33 i art. 34. Zobowiązania FaveCard powrócą wówczas do standardowego modelu wsparcia dla podmiotu przetwarzającego opisanego w klauzuli 8.1, a Klient Biznesowy będzie wyłącznie odpowiedzialny za zgłaszanie naruszeń swojemu organowi nadzorczemu i dotkniętym naruszeniem Podmiotom Danych.

8.3 Oceny skutków dla ochrony danych (DPIA) i uprzednie konsultacje

FaveCard zapewni Klientowi Biznesowemu rozsądną pomoc przy każdej ocenie skutków dla ochrony danych (art. 35 RODO) oraz, w stosownych przypadkach, przy uprzednich konsultacjach z organami nadzorczymi (art. 36 RODO), w zakresie, w jakim pomoc ta jest w sposób uzasadniony związana z przetwarzaniem prowadzonym przez FaveCard na mocy niniejszej Umowy i w zakresie, w jakim odpowiednie informacje są dostępne dla FaveCard.

9. Transfery Międzynarodowe

9.1 Pozycja domyślna

FaveCard przetwarza Dane Osobowe Klienta Biznesowego głównie w EOG, korzystając z regionów infrastruktury chmurowej zlokalizowanych w Unii Europejskiej (obecnie Google Cloud europe-west4 dla Cloud Functions i wieloregionalny eur3 dla Firestore). W przypadku gdy przetwarzanie pozostaje w granicach EOG, nie jest wymagany żaden mechanizm Transferu Międzynarodowego.

9.2 Transfery do Dalszych Podmiotów Przetwarzających poza EOG

Niektóre Dalsze Podmioty Przetwarzające wymienione w Załączniku 3 mają siedzibę w krajach poza EOG lub mogą przetwarzać Dane Osobowe Klienta Biznesowego w takich krajach — w szczególności w Stanach Zjednoczonych. W przypadku takich transferów FaveCard opiera się na jednym z poniższych zabezpieczeń, w podanej kolejności, stosując pierwsze dostępne zabezpieczenie:

• (a) Decyzja stwierdzająca odpowiedni stopień ochrony wydana przez Komisję Europejską, jeśli ma zastosowanie do kraju lub sektora docelowego. W szczególności FaveCard opiera się na decyzji stwierdzającej odpowiedni stopień ochrony w ramach Programu Ramowego Ochrony Danych UE-USA (DPF) z dnia 10 lipca 2023 r. w przypadku transferów do odbiorców w USA, którzy ważnie samocertyfikowali się w ramach DPF.
• (b) Standardowe Klauzule Umowne (SKU) przyjęte Decyzją Wykonawczą (UE) 2021/914, jak opisano dalej w klauzuli 9.3 poniżej.
• (c) W przypadku gdy SKU z jakiegokolwiek powodu nie mają zastosowania, inny mechanizm transferu dozwolony na mocy art. 46 RODO.

9.3 Standardowe Klauzule Umowne — włączenie przez odniesienie

W zakresie, w jakim FaveCard przekazuje Dane Osobowe Klienta Biznesowego do Dalszego Podmiotu Przetwarzającego poza EOG w oparciu o SKU, strony zgadzają się, że SKU są włączone do niniejszej Umowy przez odniesienie i stanowią jej część, z następującymi specyfikacjami:

• Zastosowany Moduł SKU to ten Moduł, który odzwierciedla rzeczywistą sytuację faktyczną. W typowym przypadku, gdy FaveCard działa jako Podmiot Przetwarzający w imieniu Klienta Biznesowego i angażuje Dalszego Podmiotu Przetwarzającego poza EOG, będzie to Moduł 3 (Podmiot Przetwarzający do Podmiotu Przetwarzającego). W przypadku gdy sam Klient Biznesowy ma siedzibę poza EOG i zleca FaveCard (w EOG) przetwarzanie Danych Osobowych Klienta Biznesowego, odpowiednim Modułem może być Moduł 4 (Podmiot Przetwarzający do Administratora w państwie trzecim).
• SKU uważa się za podpisane przez obie strony w dniu akceptacji niniejszej Umowy przez Klienta Biznesowego. Obie strony niniejszym udzielają sobie wzajemnie upoważnienia do uznania SKU za podpisane w ich imieniu dla wszystkich odpowiednich Modułów.
• Załączniki 1, 2 i 3 do niniejszej Umowy służą, z niezbędnymi adaptacjami, jako odpowiednio Załączniki I, II i III do SKU.
• Klauzule opcjonalne SKU mają następujące zastosowanie:
  • Klauzula 7 (Klauzula o przystąpieniu): nie stosuje się.
  • Klauzula 9 (Korzystanie z dalszych podmiotów przetwarzających): Opcja 2 — Ogólne pisemne upoważnienie, z okresem wypowiedzenia określonym w klauzuli 6.3 niniejszej Umowy.
  • Klauzula 11 (Dochodzenie roszczeń): opcjonalny niezależny organ rozstrzygania sporów nie jest wybrany.
  • Klauzula 17 (Prawo właściwe): prawo polskie.
  • Klauzula 18 (Wybór forum i jurysdykcji): sądy polskie (w Krakowie).
• W przypadku gdy Dalszy Podmiot Przetwarzający i FaveCard zawarły już SKU bezpośrednio między sobą, bezpośrednio zawarte SKU mają pierwszeństwo przed niniejszym włączeniem przez odniesienie.

9.4 Wielka Brytania i Szwajcaria

W przypadku gdy Dane Osobowe Klienta Biznesowego są przekazywane ze Zjednoczonego Królestwa do państwa trzeciego, UK International Data Transfer Addendum (UK Addendum) zostaje włączony przez odniesienie do niniejszej Umowy, przy czym SKU UE służą jako bazowe Zatwierdzone SKU UE, a Załączniki 1-3 niniejszej Umowy służą jako odpowiednie Załączniki.

W przypadku gdy Dane Osobowe Klienta Biznesowego są przekazywane ze Szwajcarii do państwa trzeciego, SKU mają zastosowanie z modyfikacjami wymaganymi przez szwajcarską Federalną Ustawę o Ochronie Danych (FADP), a odniesienia do "RODO" odczytuje się jako odniesienia do FADP, a "organ nadzorczy" jako odniesienia do Szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji.

9.5 Aktualizacja mechanizmów transferu

Jeżeli Komisja Europejska, Europejska Rada Ochrony Danych lub właściwy sąd unieważni mechanizm transferu, na którym opiera się FaveCard (na przykład unieważniając DPF), FaveCard w rozsądnym terminie przejdzie na alternatywny, ważny mechanizm i odpowiednio zaktualizuje niniejszą klauzulę oraz Listę Dalszych Podmiotów Przetwarzających.

10. Usunięcie i zwrot

10.1 Według wyboru Klienta Biznesowego

Po rozwiązaniu lub wygaśnięciu Regulaminu, FaveCard, według wyboru Klienta Biznesowego, usunie lub zwróci Klientowi Biznesowemu wszystkie Dane Osobowe Klienta Biznesowego.

10.2 Postępowanie domyślne

O ile Klient Biznesowy nie powiadomi FaveCard inaczej w ciągu piętnastu (15) dni od rozwiązania lub wygaśnięcia umowy, FaveCard usunie Dane Osobowe Klienta Biznesowego w ciągu sześćdziesięciu (60) dni od rozwiązania umowy, z zastrzeżeniem ograniczonego wyjątku dotyczącego retencji, o którym mowa w klauzuli 10.4 poniżej. W ciągu 60-dniowego okna Klient Biznesowy może eksportować Dane Osobowe Klienta Biznesowego za pomocą narzędzi eksportu dostępnych w panelu administracyjnym.

10.3 Kopie zapasowe

Dane Osobowe Klienta Biznesowego znajdujące się na rutynowych nośnikach kopii zapasowych mogą być przechowywane przez dodatkowy okres nieprzekraczający standardowego cyklu retencji kopii zapasowych (obecnie do 35 dni po usunięciu danych na żywo), po którym są nadpisywane w normalnym toku działania. W tym okresie dane są odizolowane od systemów aktywnych i nie są dostępne ani wykorzystywane w żadnym celu innym niż odzyskiwanie po awarii.

10.4 Wyjątek dotyczący retencji prawnej

FaveCard może przechowywać Dane Osobowe Klienta Biznesowego po upływie 60-dniowego okresu usuwania w zakresie i tak długo, jak jest to wymagane przez Obowiązujące przepisy o ochronie danych lub inne obowiązujące prawo, w tym (w szczególności) obowiązek wynikający z polskiego prawa podatkowego (Ordynacja podatkowa art. 70 § 1 oraz Ustawa o rachunkowości art. 74) do przechowywania dokumentacji rozliczeniowej i księgowej przez co najmniej pięć (5) lat od końca danego roku podatkowego. Przechowywane dane podlegają tym samym obowiązkom poufności i bezpieczeństwa, co w okresie obowiązywania Regulaminu, i nie będą przetwarzane w żadnym innym celu niż obowiązek prawny uzasadniający ich przechowywanie.

10.5 Certyfikat usunięcia danych

Na żądanie, FaveCard dostarczy Klientowi pisemne zaświadczenie potwierdzające usunięcie Danych Osobowych Klienta Biznesowego zgodnie z niniejszą klauzulą.

11. Audyty

11.1 Prawo do informacji

FaveCard udostępni Klientowi wszystkie informacje racjonalnie niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszej Umowie powierzenia oraz w art. 28 RODO. Takie informacje mogą obejmować niezależne raporty z audytów przeprowadzonych przez strony trzecie, kwestionariusze bezpieczeństwa oraz opis środków technicznych i organizacyjnych zawarty w Załączniku 2.

11.2 Audyty w miejsce inspekcji na miejscu

Prawa Klienta do audytu wynikające z art. 28 ust. 3 lit. h) RODO są zaspokajane w pierwszej kolejności poprzez dostarczenie przez FaveCard kopii odpowiednich raportów z audytów stron trzecich (takich jak certyfikaty ISO 27001, raporty SOC 2 lub równoważne atesty), jeśli są dostępne, wraz z dokumentacją, o której mowa w Załączniku 2. W przypadku braku takich atestów, FaveCard dostarczy odpowiedzi na uzasadnione kwestionariusze due diligence w oparciu o posiadaną dokumentację.

11.3 Audyty na miejscu

Jeżeli dokumentacja dostarczona na mocy klauzuli 11.2 jest niewystarczająca do wykazania zgodności z niniejszą Umową powierzenia w związku z konkretnym problemem, Klient (lub niezależny audytor zewnętrzny upoważniony przez Klienta i akceptowalny dla FaveCard) może przeprowadzić audyt w siedzibie FaveCard, z zastrzeżeniem następujących warunków:

• (a) Klient powiadomi FaveCard na piśmie z co najmniej trzydziestodniowym (30) wyprzedzeniem;
• (b) audyt będzie przeprowadzany w normalnych godzinach pracy i w sposób, który nie zakłóca w sposób nieuzasadniony działalności FaveCard;
• (c) audytor podpisze umowę o zachowaniu poufności na warunkach racjonalnie akceptowalnych dla FaveCard przed uzyskaniem dostępu;
• (d) zakres audytu będzie ograniczony do konkretnego problemu i do przetwarzania danych Klienta zlecającego audyt;
• (e) audyt będzie przeprowadzany nie częściej niż raz na dwanaście miesięcy, z wyjątkiem przypadków, gdy jest to wymagane przez organ nadzorczy lub w związku z badaniem Naruszenia ochrony danych osobowych dotyczącego Klienta.

11.4 Koszty

Każda ze stron ponosi własne koszty w związku z audytami na mocy niniejszej klauzuli, z tym zastrzeżeniem, że Klient zwróci FaveCard uzasadnione wewnętrzne koszty wsparcia audytu na miejscu, chyba że audyt ujawni istotne naruszenie niniejszej Umowy powierzenia przez FaveCard (w takim przypadku FaveCard ponosi własne koszty).

11.5 Poufność wyników audytu

Raporty z audytu i wszelkie informacje ujawnione podczas audytu stanowią Informacje Poufne FaveCard w rozumieniu klauzuli 9 Regulaminu.

12. Odpowiedzialność

12.1 Odpowiedzialność z tytułu niniejszej Umowy powierzenia

Odpowiedzialność każdej ze stron wynikająca z niniejszej Umowy powierzenia lub w związku z nią, czy to na podstawie umowy, deliktu, czy w inny sposób, podlega ograniczeniom i wyłączeniom określonym w Sekcji 12 Regulaminu, w tym limitowi odpowiedzialności i wyłączeniom spraw, które nie mogą być ograniczone lub wyłączone na mocy obowiązującego prawa.

12.2 Odpowiedzialność solidarna na podstawie SKU

W zakresie, w jakim jakikolwiek Podmiot danych wniesie bezpośrednie roszczenie przeciwko FaveCard na podstawie SKU, odpowiedzialność FaveCard wobec tego Podmiotu danych jest regulowana przez same SKU i nie jest ograniczona przez niniejszą klauzulę 12 ani przez Sekcję 12 Regulaminu. Jednakże, w relacjach między Klientem a FaveCard, ograniczenia zawarte w Sekcji 12 Regulaminu nadal mają zastosowanie.

13. Okres obowiązywania

Niniejsza Umowa powierzenia wchodzi w życie w dniu zaakceptowania przez Klienta Regulaminu i obowiązuje tak długo, jak długo Regulamin jest w mocy, a następnie przez okres, w którym FaveCard przetwarza Dane Osobowe Klienta Biznesowego w związku z usunięciem, zwrotem lub wymaganym prawnie przechowywaniem. Rozwiązanie Regulaminu automatycznie powoduje rozwiązanie niniejszej Umowy powierzenia, z wyjątkiem klauzul, które ze swojej natury powinny pozostać w mocy po rozwiązaniu (w tym klauzule 1, 2.1, 2.3, 2.7, 2.8, 9, 10, 11.5 i 12).

14. Postanowienia różne

14.1 Kolejność pierwszeństwa

W przypadku jakiegokolwiek konfliktu między dokumentami regulującymi relacje między FaveCard a Klientem, kolejność pierwszeństwa jest następująca: (1) niniejsza Umowa powierzenia (wyłącznie w sprawach ochrony danych), (2) SKU (w przypadku, gdy są włączone przez odniesienie), (3) Regulamin, (4) Polityka Prywatności, (5) Lista Dalszych Podmiotów Przetwarzających.

14.2 Klauzula salwatoryjna

Jeżeli którekolwiek postanowienie niniejszej Umowy powierzenia zostanie uznane za nieważne lub niewykonalne na mocy Obowiązujących przepisów o ochronie danych, postanowienie to zostanie zmodyfikowane w minimalnym zakresie niezbędnym do uczynienia go ważnym i wykonalnym, a pozostałe postanowienia pozostaną w pełnej mocy.

14.3 Prawo właściwe

Niniejsza Umowa powierzenia podlega prawu Rzeczypospolitej Polskiej, z wyjątkiem przypadków, gdy SKU (włączone przez odniesienie na mocy klauzuli 9) wymagają innego prawa właściwego dla spraw związanych z transferem danych, w którym to przypadku SKU mają pierwszeństwo w tych konkretnych sprawach.

14.4 Powiadomienia

Powiadomienia na mocy niniejszej Umowy powierzenia będą dokonywane pocztą elektroniczną zgodnie z Sekcją 16 Regulaminu. Powiadomienia do FaveCard dotyczące w szczególności spraw ochrony danych należy kierować na adres privacy@favecard.co.

14.5 Język

Niniejsza Umowa powierzenia została sporządzona w języku angielskim, który jest wersją autorytatywną. Tłumaczenia mogą być udostępniane dla wygody; w przypadku rozbieżności, wersja angielska ma pierwszeństwo, chyba że bezwzględnie obowiązujące przepisy prawa stanowią inaczej.

14.6 Aktualizacje niniejszej Umowy powierzenia

FaveCard może od czasu do czasu aktualizować niniejszą Umowę powierzenia w celu odzwierciedlenia zmian w Obowiązujących przepisach o ochronie danych, w strukturze Usługi lub w praktyce branżowej. Aktualizacje, które istotnie obniżają poziom zobowiązań w zakresie ochrony danych wobec Klienta, wymagają tej samej procedury powiadamiania, co istotne zmiany w Regulaminie (Sekcja 14 Regulaminu). Aktualizacje, które utrzymują lub podnoszą poziom zobowiązań, wchodzą w życie z chwilą opublikowania.

Załącznik 1 — Przedmiot, Charakter, Cel, Czas trwania, Kategorie danych

Niniejszy Załącznik stanowi Załącznik I do Standardowych Klauzul Umownych, w przypadku gdy SKU są włączone przez odniesienie na mocy klauzuli 9.3, z niezbędnymi dostosowaniami.

1.1 Strony

• Eksporter danych: Klient (działający jako Administrator Danych Osobowych Klienta Biznesowego).
• Importer danych: Qualityc Łukasz Fryc (FaveCard), działający jako Podmiot przetwarzający Dane Osobowe Klienta Biznesowego w imieniu Klienta, z zarejestrowanym adresem: Kasinka Mała 472, 34-734 Kasinka Mała, Polska; NIP 7372138804; EU VAT PL7372138804; kontakt privacy@favecard.co.

1.2 Przedmiot

Przetwarzanie przez FaveCard Danych Osobowych Klienta Biznesowego w trakcie świadczenia Klientowi platformy cyfrowych kart lojalnościowych FaveCard.

1.3 Charakter przetwarzania

Hosting, przechowywanie, strukturyzacja, pobieranie, przesyłanie, wyświetlanie, usuwanie i inne operacje niezbędne do działania Usługi, w tym:

• tworzenie i zarządzanie kontami;
• generowanie, dystrybucja i aktualizacja kart w portfelach cyfrowych za pośrednictwem Apple Wallet, Google Wallet i porównywalnych platform;
• dostarczanie transakcyjnych i (w przypadku wyrażenia zgody) marketingowych wiadomości e-mail w imieniu Klienta;
• rejestrowanie liczby pieczątek, nagród i aktywności w programie lojalnościowym;
• analityka i raportowanie dotyczące wyników Programu Lojalnościowego na użytek własny Klienta;
• świadczenie wsparcia klienta i reagowanie na incydenty.

1.4 Cel przetwarzania

Umożliwienie Klientowi prowadzenia cyfrowych programów lojalnościowych oraz świadczenie Usługi zgodnie z Regulaminem.

1.5 Czas trwania przetwarzania

Na czas obowiązywania Regulaminu, plus okresy usuwania lub przechowywania określone w klauzuli 10 niniejszej Umowy powierzenia.

1.6 Kategorie Podmiotów danych

• Klienci Końcowi (posiadacze kart) Programów Lojalnościowych Klienta.
• Autoryzowani użytkownicy Klienta (pracownicy, kontrahenci, agenci), którzy uzyskują dostęp do panelu lub w inny sposób korzystają z Usługi.

1.7 Kategorie Danych Osobowych

• Dane Klienta Końcowego (Klient Biznesowy jest Administratorem, FaveCard jest Podmiotem Przetwarzającym): imię, adres e-mail, opcjonalny numer telefonu, opcjonalna data urodzin (tylko dzień i miesiąc), identyfikatory kart w portfelu cyfrowym, liczba pieczątek, zdobyte nagrody, historia transakcji w Programie Lojalnościowym, stan zgód marketingowych, informacje o urządzeniu i przeglądarce zebrane podczas zapisu, adres IP.
• Dane autoryzowanego użytkownika: imię, nazwisko, adres e-mail, rola w organizacji Klienta Biznesowego, logi aktywności w panelu (dashboard).

Dla kompletności oraz niezależnie od Danych Osobowych Klienta Biznesowego wymienionych powyżej, Usługa utrzymuje również minimalny ujednolicony rekord klienta opisany w klauzuli 2.7 niniejszej Umowy, w odniesieniu do którego FaveCard działa jako niezależny administrator, a nie jako Podmiot Przetwarzający. Rekord ten wykracza poza zakres niniejszego Załącznika 1, ponieważ nie stanowi Danych Osobowych Klienta Biznesowego w rozumieniu niniejszej Umowy.

1.8 Wrażliwe Dane Osobowe

Brak — zobacz klauzulę 2.5 niniejszej Umowy powierzenia. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO.

1.9 Częstotliwość transferu

Ciągła, na podstawie poszczególnych zdarzeń (za każdym razem, gdy Klient lub Klient Końcowy wchodzi w interakcję z Usługą).

1.10 Okres przechowywania

Jak określono w klauzuli 10 niniejszej Umowy powierzenia. Domyślne usunięcie w ciągu 60 dni od rozwiązania Regulaminu, z zastrzeżeniem wyjątków dotyczących cyklu tworzenia kopii zapasowych i retencji prawnej.

1.11 Przetwarzanie przez Dalszych Podmiotów Przetwarzających

Te same kategorie Danych Osobowych, ten sam charakter, ten sam cel i ten sam czas trwania co powyżej, przekazywane Dalszym Podmiotom Przetwarzającym tylko w zakresie niezbędnym do wykonania określonej funkcji przez każdego Dalszego Podmiotu Przetwarzającego, zgodnie z opisem w Załączniku 3.

Załącznik 2 — Środki techniczne i organizacyjne

Niniejszy Załącznik stanowi Załącznik II do Standardowych Klauzul Umownych, w przypadku gdy SKU są włączone przez odniesienie na mocy klauzuli 9.3, z niezbędnymi dostosowaniami.

Niniejszy Załącznik opisuje środki techniczne i organizacyjne, które FaveCard wdrożył w celu ochrony Danych Osobowych Klienta Biznesowego, zgodnie z art. 32 RODO. FaveCard może od czasu do czasu aktualizować te środki, pod warunkiem że żadna aktualizacja nie obniży istotnie ogólnego poziomu ochrony.

2.1 Szyfrowanie

• W tranzycie: cała komunikacja między urządzeniami Klienta, panelem FaveCard, publicznymi stronami biznesowymi a backendem FaveCard jest chroniona przy użyciu protokołu TLS 1.2 lub nowszego z szyframi o standardzie branżowym. HTTPS jest wymuszany dla wszystkich publicznych punktów końcowych.
• W spoczynku: Dane Osobowe Klienta Biznesowego są szyfrowane w spoczynku przez bazową infrastrukturę Google Cloud przy użyciu kluczy zarządzanych przez Google w standardzie AES-256 (lub równoważnym) dla Firestore i Cloud Storage.

2.2 Kontrola dostępu

• Uwierzytelnianie: dostęp do systemów produkcyjnych FaveCard jest chroniony przez Firebase Authentication i Google Cloud Identity. Uwierzytelnianie wieloskładnikowe jest wymuszane dla całego dostępu administracyjnego do środowiska produkcyjnego.
• Autoryzacja: dostęp jest przyznawany na zasadzie "wiedzy koniecznej" i "najmniejszych uprawnień". Role są zdefiniowane dla założyciela i (w stosownych przypadkach) przyszłego personelu operacyjnego. Role po stronie Klienta w panelu są konfigurowalne przez Klienta.
• Logowanie audytowe: uprzywilejowane działania na infrastrukturze produkcyjnej są centralnie logowane w logach audytowych Google Cloud i przechowywane przez co najmniej dwanaście miesięcy.

2.3 Bezpieczeństwo sieci i infrastruktury

• Infrastruktura chmurowa: Usługa jest hostowana na Google Cloud Platform z kontrolami sieciowymi, w tym prywatnym routingiem VPC tam, gdzie ma to zastosowanie, proxy dostępu opartymi na tożsamości dla punktów końcowych administracyjnych oraz izolacją między projektami/środowiskami (produkcyjnym a sandbox).
• Firewall i ochrona przed DDoS: ruch przychodzący do publicznych punktów końcowych jest chroniony przez zabezpieczenia brzegowe Google Cloud (w tym łagodzenie skutków DDoS) oraz warstwę brzegową Vercel dla publicznej strony biznesowej.
• Zarządzanie podatnościami: wdrożono zautomatyzowane skanowanie zależności dla baz kodu aplikacji. Krytyczne podatności są usuwane bez zbędnej zwłoki.

2.4 Bezpieczeństwo aplikacji

• Zarządzanie sekretami: sekrety (klucze API, klucze do podpisywania, poświadczenia OAuth) są przechowywane za pomocą Google Cloud Secret Manager i dostępne dla Cloud Functions tylko w czasie wykonywania za pośrednictwem mechanizmu Firebase Secrets.
• Walidacja danych wejściowych: punkty końcowe API walidują dane wejściowe w oparciu o typowane schematy zdefiniowane we współdzielonych kontraktach.
• Logowanie bezpieczeństwa: błędy aplikacji i zdarzenia związane z bezpieczeństwem są przechwytywane przez Sentry (region UE, Frankfurt) w celu klasyfikacji i reagowania.

2.5 Kopie zapasowe i odzyskiwanie danych

• Kopie zapasowe: dane Firestore są automatycznie archiwizowane przez zarządzane systemy kopii zapasowych Google Cloud. Kopie zapasowe są przechowywane przez standardowy cykl archiwizacji (obecnie do 35 dni).
• Testowanie odzyskiwania: procedury odzyskiwania po awarii są okresowo przeglądane i aktualizowane w miarę ewolucji infrastruktury.

2.6 Reagowanie na incydenty

• Wykrywanie: błędy i anomalie są sygnalizowane za pomocą alertów Sentry i monitoringu Google Cloud.
• Reagowanie: założyciel pełni rolę głównego kontaktu ds. reagowania na incydenty. Naruszenia ochrony danych osobowych są zgłaszane dotkniętym Klientom zgodnie z klauzulą 8.1 niniejszej Umowy powierzenia.
• Dokumentacja: naruszenia i incydenty są rejestrowane w wewnętrznym rejestrze, w tym ich charakter, zakres, podjęte działania i wynik.

2.7 Środki personalne

• Zobowiązania do zachowania poufności: cały personel mający dostęp do Danych Osobowych Klienta Biznesowego jest związany pisemnymi lub ustawowymi zobowiązaniami do zachowania poufności.
• Szkolenia: personel przechodzi szkolenia z zakresu ochrony danych i bezpieczeństwa, adekwatne do swojej roli.
• Weryfikacja przeszłości: przy obecnej skali (jednoosobowa działalność gospodarcza), formalna weryfikacja przeszłości nie jest przeprowadzana. W przypadku zatrudnienia przyszłego personelu, FaveCard ponownie oceni ten środek.

2.8 Zarządzanie Dalszymi Podmiotami Przetwarzającymi

• Nowe Dalsze Podmioty Przetwarzające podlegają udokumentowanemu przeglądowi ich postawy w zakresie bezpieczeństwa i zobowiązań dotyczących ochrony danych przed zaangażowaniem.
• Dalsze Podmioty Przetwarzające są wymienione w Załączniku 3 oraz na publicznej Liście Dalszych Podmiotów Przetwarzających.

2.9 Minimalizacja danych i ograniczenie celu

Usługa jest zaprojektowana tak, aby zbierać tylko te pola danych, które są niezbędne do funkcjonowania Programu Lojalnościowego. Pola opcjonalne (takie jak data urodzenia Klienta Końcowego) są wyraźnie oznaczone jako opcjonalne w procesie rejestracji.

2.10 Dokumentacja i przegląd

Niniejszy Załącznik jest przeglądany co najmniej raz w roku oraz po każdej istotnej zmianie w Usłudze lub w bazowej infrastrukturze. Aktualizacje są odzwierciedlane w wersji niniejszej Umowy powierzenia opublikowanej na stronie favecard.co/legal/dpa.

Załącznik 3 — Zatwierdzone Dalsze Podmioty Przetwarzające

Niniejszy Załącznik stanowi Załącznik III do Standardowych Klauzul Umownych, w przypadku gdy SKU są włączone przez odniesienie na mocy klauzuli 9.3, z niezbędnymi dostosowaniami.

Aktualna, autorytatywna lista zatwierdzonych Dalszych Podmiotów Przetwarzających jest utrzymywana pod adresem:

favecard.co/legal/subprocessors

Lista Dalszych Podmiotów Przetwarzających jest włączona do niniejszej Umowy powierzenia przez odniesienie i stanowi integralną część Załącznika 3. Na dzień, w którym Klient akceptuje wersję niniejszej Umowy powierzenia, zatwierdzonymi Dalszymi Podmiotami Przetwarzającymi są te wymienione na Liście Dalszych Podmiotów Przetwarzających na ten dzień. Późniejsze dodania i zastąpienia podlegają klauzuli 6 niniejszej Umowy powierzenia.

Dla uniknięcia wątpliwości, Dalsze Podmioty Przetwarzające na dzień wejścia w życie niniejszej Umowy powierzenia obejmują (każdy z nich jest szczegółowo opisany na Liście Dalszych Podmiotów Przetwarzających):

1. Google Cloud Platform (Google Ireland Limited / Google LLC) — hosting aplikacji, baza danych, przechowywanie danych
2. Apple Push Notification Service (Apple Inc. / Apple Distribution International Ltd.) — aktualizacje kart Apple Wallet
3. Google Wallet API (Google LLC) — generowanie kart Google Wallet
4. Stripe Payments Europe, Limited oraz Stripe, Inc. — przetwarzanie płatności
5. Resend (Plus Five Five, Inc., d/b/a Resend) — dostarczanie transakcyjnych wiadomości e-mail
6. Loops (Astrodon Corporation, d/b/a Loops) — marketingowe wiadomości e-mail FaveCard do klientów biznesowych
7. Sentry (Functional Software, Inc., d/b/a Sentry) — monitorowanie błędów (region UE)
8. PostHog (PostHog, Inc. / Hiberly Ltd.) — analityka produktu (instancja UE)
9. Vercel Inc. — hosting publicznej strony biznesowej

Załącznik 4 — Usługi Wsparcia w Zakresie Zgodności

Niniejszy Załącznik określa Usługi Wsparcia w Zakresie Zgodności, które FaveCard wykonuje w imieniu Klienta Biznesowego na podstawie stałego polecenia zgodnie z klauzulą 2.6 niniejszej Umowy. Usługi Wsparcia w Zakresie Zgodności stanowią realizację obowiązków FaveCard w zakresie pomocy, o których mowa w art. 28 ust. 3 lit. e oraz art. 28 ust. 3 lit. f RODO, rozszerzonych do maksymalnego poziomu pomocy, jaki jest technicznie i organizacyjnie możliwy na poziomie małego sprzedawcy.

W przypadku wszystkich Usług Wsparcia w Zakresie Zgodności FaveCard działa jako Podmiot Przetwarzający na udokumentowane polecenie Klienta Biznesowego. Klient Biznesowy pozostaje jedynym Administratorem Danych Osobowych Klienta Biznesowego i ponosi ostateczną odpowiedzialność prawną wynikającą z Obowiązującego Prawa Ochrony Danych.

4.1 Zakres usług

Usługi Wsparcia w Zakresie Zgodności składają się z następujących pięciu czynności.

(a) Odbieranie i rozpatrywanie żądań dotyczących praw Podmiotów Danych

FaveCard:

• będzie utrzymywać opublikowany adres kontaktowy do obsługi żądań dotyczących praw Podmiotów Danych pod adresem privacy@favecard.co;
• będzie przyjmować i potwierdzać żądania otrzymane pod tym adresem, dotyczące Danych Osobowych Klientów Końcowych przechowywanych w ramach instancji Usługi Klienta Biznesowego;
• będzie weryfikować tożsamość Podmiotu Danych w oparciu o informacje już posiadane w Usłudze;
• będzie rozpatrywać żądania na podstawie art. 15 (dostęp), 16 (sprostowanie), 17 (usunięcie), 18 (ograniczenie), 20 (przenoszenie) i 21 (sprzeciw) RODO w ustawowym terminie jednego (1) miesiąca od otrzymania, z możliwością przedłużenia o maksymalnie dwa (2) kolejne miesiące w skomplikowanych przypadkach, zgodnie z art. 12 ust. 3 RODO;
• będzie informować Klienta Biznesowego o każdym żądaniu, które w istotny sposób wpływa na relacje Klienta Biznesowego z Podmiotem Danych oraz, jeśli czas na to pozwoli, da Klientowi Biznesowemu rozsądną możliwość wypowiedzenia się przed udzieleniem odpowiedzi;
• będzie prowadzić dla każdego Klienta Biznesowego rejestr otrzymanych żądań, podjętych decyzji i wysłanych odpowiedzi, dostępny dla Klienta Biznesowego na żądanie.

(b) Wykrywanie i zgłaszanie Naruszeń Ochrony Danych Osobowych

FaveCard:

• będzie monitorować Usługę pod kątem wskaźników Naruszeń Ochrony Danych Osobowych dotyczących Danych Osobowych Klienta Biznesowego;
• po wykryciu naruszenia, powiadomi dotkniętego naruszeniem Klienta Biznesowego zgodnie z klauzulą 8.1 niniejszej Umowy;
• przygotuje zgłoszenie do właściwego organu nadzorczego, które spełnia wymogi co do treści określone w art. 33 ust. 3 RODO;
• w przypadku gdy naruszenie może powodować wysokie ryzyko naruszenia praw i wolności Podmiotów Danych, przygotuje zawiadomienie dla dotkniętych naruszeniem Podmiotów Danych, które spełnia wymogi co do treści określone w art. 34 ust. 2 RODO;
• wyśle powyższe zgłoszenia i zawiadomienia w imieniu Klienta Biznesowego w ustawowych terminach (siedemdziesiąt dwie (72) godziny do organu nadzorczego zgodnie z art. 33 RODO; „bez zbędnej zwłoki” do Podmiotów Danych zgodnie z art. 34 RODO);
• w miarę możliwości czasowych, skonsultuje się z Klientem Biznesowym co do treści zgłoszenia przed jego wysłaniem i w każdym przypadku przekaże Klientowi Biznesowemu jego kopię niezwłocznie po wysłaniu.

(c) Hostowanie i utrzymywanie informacji o ochronie prywatności dla poszczególnych firm

FaveCard:

• będzie publikować i utrzymywać Informację o Ochronie Prywatności Klienta, sporządzoną w celu spełnienia wymogów art. 13 i 14 RODO dla typowego przetwarzania danych realizowanego przez Klientów Biznesowych korzystających z Usługi;
• będzie wstawiać do Informacji o Ochronie Prywatności Klienta dane identyfikacyjne Klienta Biznesowego (nazwa, numer rejestrowy / NIP, kontaktowy adres e-mail, adres siedziby), aby Klienci Końcowi każdego Klienta Biznesowego widzieli informację, która poprawnie identyfikuje ich sprzedawcę;
• będzie synchronizować wstawione dane identyfikacyjne z danymi, które Klient Biznesowy wprowadził w swoim profilu w panelu, aktualizując opublikowaną informację bez zbędnej zwłoki po zmianie profilu;
• udostępni Informację o Ochronie Prywatności Klienta pod stałym adresem URL dostępnym z formularza rejestracyjnego Klienta Końcowego (obecnie /legal/customer-privacy?company={slug});
• będzie przeglądać podstawowy szablon informacji co najmniej raz w roku oraz po każdej istotnej zmianie w Usłudze lub w Obowiązującym Prawie Ochrony Danych.

Klient Biznesowy może, zamiast polegać na Informacji o Ochronie Prywatności Klienta dostarczonej przez FaveCard, opublikować własną informację o ochronie prywatności i linkować do niej ze swoich własnych zasobów; w takim przypadku Klient Biznesowy pozostaje odpowiedzialny za treść i dokładność własnej informacji.

(d) Utrzymywanie ścieżki audytowej zgód marketingowych

FaveCard:

• będzie rejestrować dla każdego Klienta Końcowego, który wchodzi w interakcję z formularzem rejestracyjnym Klienta Biznesowego, stan zgody marketingowej zarejestrowany w momencie rejestracji (zgoda, brak zgody lub odmowa, jeśli była prezentowana);
• będzie rejestrować znacznik czasu, adres IP, user agent, język wyświetlanego formularza oraz dokładną wersję tekstu etykiety zgody marketingowej i informacji o ochronie prywatności, które były wyświetlane w momencie zbierania zgody;
• będzie przechowywać tę ścieżkę audytową tak długo, jak długo rekord Klienta Końcowego istnieje w instancji Klienta Biznesowego, oraz przez rozsądny okres po tym czasie, aby umożliwić udowodnienie zgody w przypadku dochodzenia organu regulacyjnego lub skargi Podmiotu Danych;
• udostępni ścieżkę audytową Klientowi Biznesowemu na żądanie oraz organowi nadzorczemu, jeśli będzie to prawnie wymagane.

(e) Egzekwowanie Polityki Dopuszczalnego Użytkowania w komunikacji wychodzącej

FaveCard:

• będzie utrzymywać Politykę Dopuszczalnego Użytkowania („PDU”) opublikowaną pod adresem favecard.co/legal/acceptable-use, która zabrania między innymi wysyłania komunikacji marketingowej do odbiorców bez dowodu zgody, importowania list e-mailowych osób trzecich bez udokumentowanego pochodzenia zgody oraz używania Usługi do komunikacji z zabronionymi kategoriami Podmiotów Danych;
• będzie monitorować komunikację wychodzącą wysyłaną za pośrednictwem Usługi pod kątem naruszeń PDU przy użyciu rozsądnych środków technicznych (w tym progi współczynnika odrzuceń, współczynnika skarg i współczynnika rezygnacji z subskrypcji);
• po wykryciu pozornego naruszenia PDU, powiadomi Klienta Biznesowego i zawiesi dla niego dany kanał komunikacji wychodzącej do czasu rozwiązania problemu;
• w przypadkach powtarzających się lub rażących naruszeń PDU, zakończy świadczenie dotkniętej części Usługi zgodnie z Warunkami.

4.2 Poziomy usług

4.3 Ograniczenia

Usługi Wsparcia w Zakresie Zgodności są ograniczone przez to, co jest technicznie i organizacyjnie możliwe w ramach Usługi. W szczególności:

• (a) FaveCard może rozpatrywać żądania tylko w odniesieniu do Danych Osobowych Klienta Biznesowego, które są przechowywane w ramach Usługi. Żądania dotyczące danych przechowywanych poza Usługą (na przykład w systemie kasowym Klienta Biznesowego, w papierowym rejestrze lub we własnych systemach marketingowych Klienta Biznesowego) nie mogą być rozpatrywane przez FaveCard i zostaną przekazane Klientowi Biznesowemu.
• (b) FaveCard nie może spełniać żądań, które wymagałyby od niego przekroczenia możliwości technicznych Usługi lub naruszenia Obowiązującego Prawa Ochrony Danych lub jakiegokolwiek innego obowiązującego prawa.
• (c) FaveCard nie może dokonywać ustaleń prawnych, które są zarezerwowane dla Klienta Biznesowego jako Administratora (na przykład, czy dane żądanie jest „w sposób oczywisty nieuzasadnione lub nadmierne” w rozumieniu art. 12 ust. 5 RODO). W przypadku, gdy takie ustalenie jest wymagane, FaveCard skonsultuje się z Klientem Biznesowym.

4.4 Koszt

Usługi Wsparcia w Zakresie Zgodności są świadczone bez dodatkowych opłat jako część Usługi, w ramach liczby zapytań rozsądnie przewidywanej dla Klienta Biznesowego o jego wielkości i profilu użytkowania. W przypadku gdy liczba zapytań znacznie przekracza te oczekiwania (na przykład w następstwie publicznego incydentu lub skoordynowanej kampanii), zastosowanie ma klauzula 7.3 niniejszej Umowy.

4.5 Wycofanie stałego polecenia

Klient Biznesowy może w każdej chwili wycofać stałe polecenie wydane na mocy klauzuli 2.6 i niniejszego Załącznika, w całości lub w części, poprzez pisemne zawiadomienie FaveCard. Wycofanie staje się skuteczne z chwilą otrzymania go przez FaveCard. Od dnia wycofania, Klient Biznesowy będzie samodzielnie wykonywał odpowiednie czynności związane ze zgodnością, a zobowiązania FaveCard powrócą do standardowego modelu wsparcia dla podmiotu przetwarzającego opisanego w klauzulach 7 i 8 niniejszej Umowy.

Wycofanie stałego polecenia nie zwalnia Klienta Biznesowego z żadnej odpowiedzialności wynikającej z Obowiązującego Prawa Ochrony Danych i nie uprawnia Klienta Biznesowego do zwrotu pieniędzy.

Historia wersji