Umowa powierzenia przetwarzania danych
1. Strony, zakres i status
Ta umowa określa warunki przetwarzania danych pomiędzy klientem biznesowym wskazanym w umowie usługowej OrsunPay („Klient”) a Orsun Tech OÜ, numer rejestrowy 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia („OrsunPay”). Staje się wiążąca dopiero po włączeniu do umowy zaakceptowanej przez obie strony, z uzupełnionymi załącznikami dotyczącymi przetwarzania i bezpieczeństwa.
W zakresie opisanego przetwarzania Klient określa cele i zasadnicze sposoby, a OrsunPay przetwarza dane osobowe w jego imieniu. Gdy Klient sam jest podmiotem przetwarzającym, musi mieć upoważnienie swojego administratora do powołania OrsunPay. Przetwarzanie dla własnych celów OrsunPay dotyczących strony, kontaktów biznesowych i administrowania kontami opisuje informacja o prywatności.
„Dane osobowe”, „administrator”, „podmiot przetwarzający” i powiązane terminy mają znaczenie nadane przez właściwe przepisy o ochronie danych, w tym RODO, gdy ma zastosowanie. Ta umowa ma pierwszeństwo przed sprzecznymi warunkami usług w odniesieniu do objętego nią przetwarzania; obowiązkowe klauzule transferowe mają pierwszeństwo, gdy mają zastosowanie.
2. Opis przetwarzania
| Element | Zakres przetwarzania |
|---|---|
| Przedmiot | Dane osobowe obsługiwane w ramach uzgodnionych usług orkiestracji płatności Klienta i powiązanego wsparcia. |
| Charakter operacji | Odbieranie, rejestrowanie, porządkowanie, pobieranie, przesyłanie i wyświetlanie rekordów; wykonywanie instrukcji kierowania i operacyjnych; rozwiązywanie problemów; zwrot lub usuwanie danych. |
| Cele | Obsługa skonfigurowanych procesów płatności, wymiana informacji z wybranymi dostawcami, utrzymywanie rejestrów transakcji i webhooków, zapewnianie uprawnionego dostępu oraz badanie problemów usługi. |
| Osoby | Kupujący Klienta i inni uczestnicy płatności oraz upoważnieni użytkownicy lub przedstawiciele Klienta, gdy ich dane są przetwarzane na jego polecenie. |
| Kategorie danych | Referencje klientów i transakcji, przekazane dane kontaktowe, kwoty i waluty, statusy płatności i zwrotów, referencje dostawców, tokenizowane lub maskowane informacje o metodach płatności, techniczne dane połączenia i odpowiednie materiały wsparcia. Końcowy załącznik musi odzwierciedlać faktyczną integrację. |
| Czas trwania i częstotliwość | Podczas korzystania z usługi oraz uzgodnionego okresu zwrotu lub usunięcia; przetwarzanie ciągłe lub wywoływane zdarzeniami zależnie od używanych funkcji. |
| Dane wrażliwe | Szczególne kategorie danych, dane dotyczące czynów zabronionych i pełne dane uwierzytelniające płatności nie są objęte tym ogólnym opisem, chyba że wyraźnie obejmuje je odrębny zakres pisemny i odpowiednie zabezpieczenia. |
3. Instrukcje i obowiązki Klienta
Umowa usługowa, uzupełnione załączniki, uprawnione ustawienia i udokumentowane żądania API stanowią instrukcje Klienta. OrsunPay przetwarza objęte dane wyłącznie zgodnie z nimi, w tym instrukcjami dotyczącymi transferów, chyba że właściwe prawo wymaga inaczej. Poinformuje Klienta o obowiązku prawnym przed przetwarzaniem, chyba że prawo zakazuje takiego powiadomienia.
Klient musi zapewnić zgodne z prawem instrukcje, wymagane informacje o prywatności i ważną podstawę żądanego zbierania oraz przetwarzania. Musi ograniczać przekazywane dane do potrzeb usługi i utrzymywać odpowiednie uprawnienia kont. OrsunPay poinformuje Klienta, jeśli uzna instrukcję za naruszającą właściwe przepisy ochrony danych, i może wstrzymać odnośne przetwarzanie do wyjaśnienia sprawy.
4. Poufność i bezpieczeństwo
OrsunPay ograniczy dostęp do upoważnionych osób, które potrzebują go do realizacji usługi, i zapewni objęcie ich obowiązkiem poufności. Będzie utrzymywać środki techniczne i organizacyjne odpowiednie do charakteru danych i ryzyk przetwarzania.
Załącznik bezpieczeństwa musi dokumentować kontrolę dostępu, uwierzytelnianie, zasady szyfrowania, separację środowisk klientów, rejestrowanie zdarzeń, obsługę incydentów, kopie zapasowe i odtwarzanie, usuwanie oraz proces oceny tych środków. Musi odróżniać zabezpieczenia wdrożone od planowanych i wskazywać właściwy zakres usługi. Sama publikacja tej umowy nie włącza do niej żadnej certyfikacji audytowej ani poświadczenia bezpieczeństwa.
5. Dalsze podmioty przetwarzające
OrsunPay może powoływać dalsze podmioty przetwarzające wyłącznie za uprzednią szczegółową lub ogólną pisemną zgodą Klienta. Końcowy zatwierdzony załącznik wskaże podmiot prawny, funkcję i właściwe miejsca przetwarzania. Nasz rejestr dostawców jest informacją pomocniczą i obejmuje dostawców strony oraz ustalenia w trakcie oceny; samo ujęcie w nim nie oznacza zgody klienta.
Przy zgodzie ogólnej OrsunPay wcześniej powiadomi pisemnie o planowanych dodatkach lub zastępstwach i zapewni Klientowi rzeczywistą możliwość sprzeciwu ze względów ochrony danych przed rozpoczęciem nowego przetwarzania. Podpisany załącznik musi określać okres powiadomienia, kanał doręczenia i procedurę rozstrzygania. Jeśli sprzeciw nie może zostać rozwiązany, strony uzgodnią zgodną z prawem alternatywę lub zakończą odnośną usługę zgodnie z umową.
OrsunPay nałoży umownie na każdy dalszy podmiot przetwarzający właściwe obowiązki ochrony danych i pozostanie odpowiedzialny za ich wykonanie przez ten podmiot w zakresie wymaganym prawem.
6. Pomoc i naruszenia ochrony danych osobowych
Uwzględniając przetwarzanie i dostępne informacje, OrsunPay pomoże Klientowi w realizacji żądań dotyczących praw osób, obowiązków bezpieczeństwa, ocen skutków oraz konsultacji z właściwymi organami. Jeśli otrzyma żądanie dotyczące danych Klienta, powiadomi go i nie odpowie merytorycznie, chyba że na instrukcję lub z obowiązku prawnego.
OrsunPay powiadomi Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony objętych danych osobowych. Dostępne informacje opiszą incydent, dane i osoby, których dotyczy, prawdopodobne skutki, środki zaradcze i kontakt do dalszych ustaleń. Informacje mogą być przekazywane etapami wraz z postępem dochodzenia. OrsunPay będzie współpracować przy reakcji Klienta; Klient pozostaje odpowiedzialny za powiadomienia, które prawnie go obciążają.
7. Transfery międzynarodowe
Zanim przetwarzanie obejmie transfer objęty ograniczeniami, strony muszą określić eksportera, importera, miejsca docelowe i właściwy mechanizm transferu. W odpowiednich przypadkach obejmuje to właściwą decyzję stwierdzającą odpowiedni stopień ochrony lub uzupełnione standardowe klauzule umowne z właściwym modułem, załącznikami i środkami uzupełniającymi. Należy uwzględnić wymogi brytyjskie lub szwajcarskie, gdy mają zastosowanie.
Link do umowy powierzenia dostawcy sam w sobie nie uzupełnia dokumentacji transferowej Klienta. Podpisany załącznik musi obejmować faktyczne ustalenia, w tym dostęp zdalny i dalsze transfery.
8. Zwrot, usunięcie i przechowywanie
Po zakończeniu przetwarzania OrsunPay, według wyboru Klienta, zwróci lub usunie objęte dane osobowe i usunie pozostałe kopie, chyba że właściwe prawo wymaga przechowywania. Strony muszą uzgodnić format eksportu, procedurę żądania, termin wykonania i wygaśnięcie kopii zapasowych w załączniku dotyczącym przetwarzania.
Gdy przechowywanie jest wymagane prawem, OrsunPay wskaże wymóg, jeśli jest to dozwolone, ograniczy zachowane dane do tego celu i usunie je po ustaniu obowiązku. Kopie zapasowe oczekujące na planowe wygaśnięcie muszą pozostać chronione i niedostępne do zwykłego użytku. Na żądanie OrsunPay potwierdzi wykonanie.
9. Informacje i audyty
OrsunPay udostępni informacje potrzebne do wykazania przestrzegania obowiązków podmiotu przetwarzającego oraz umożliwi i wesprze audyty, w tym inspekcje Klienta lub upoważnionego audytora. Strony uzgodnią rozsądne wyprzedzenie, poufność i środki ochrony informacji innych klientów. Ustalenia praktyczne nie mogą uniemożliwiać audytu wymaganego prawem lub przez właściwy organ.
10. Uzupełnienie umowy
Przed podpisaniem strony muszą uzupełnić właściwe dla usługi kategorie danych, miejsca przetwarzania, zatwierdzone dalsze podmioty przetwarzające, dokumenty transferowe, środki bezpieczeństwa, zasady przechowywania i zwrotu, kontakty powiadomień oraz procedurę zmiany dostawców. Zasady odpowiedzialności i prawa właściwego wynikają z podpisanej umowy usługowej w granicach prawa; nic tutaj nie uchyla ustawowych praw osób. Zapytania dotyczące umowy i powierzenia można przesyłać przez Kontakt.