Warunki powierzenia przetwarzania danych
Warunki mają zastosowanie, gdy klient przekazuje w ramach usługi GrantAsystent Weryfikacja dane osobowe innych osób i występuje wobec nich jako administrator.
§ 1. Strony i zastosowanie
- Administratorem danych powierzonych jest klient, który składa zamówienie i określa cele wykorzystania danych zawartych w przekazanych dokumentach.
- Podmiotem przetwarzającym jest SAVVIQ sp. z o.o. z siedzibą w Puławach, ul. Ignacego Mościckiego 1, 24-110 Puławy, KRS 0001223246, NIP 7162851275.
- Warunki nie zmieniają roli SAVVIQ jako administratora danych kontaktowych, zamówienia, płatności, rozliczeń, bezpieczeństwa i własnych roszczeń.
- Warunki zostają przyjęte wraz z zamówieniem, jeżeli klient zaznacza oświadczenie obejmujące powierzenie i następnie przekazuje dane osób trzecich do analizy.
§ 2. Przedmiot, czas, charakter i cel
- Przedmiotem powierzenia jest przetwarzanie danych niezbędnych do przyjęcia dokumentów, ich bezpiecznego przechowania, odczytu, uporządkowania, analizy, identyfikacji ryzyk, przygotowania raportu, jego dostarczenia, obsługi reklamacji oraz usunięcia danych.
- Przetwarzanie trwa od przekazania danych do ich usunięcia zgodnie z niniejszymi warunkami, poleceniem klienta, regulaminem i obowiązującym prawem.
- Operacje mogą obejmować zbieranie, utrwalanie, organizowanie, przechowywanie, odczytywanie, dopasowanie, analizowanie, ograniczanie, udostępnianie upoważnionym podprocesorom oraz usuwanie.
§ 3. Rodzaje danych i kategorie osób
- Dane mogą obejmować imię i nazwisko, stanowisko lub rolę, dane kontaktowe, kwalifikacje, doświadczenie, zakres obowiązków, udział w projekcie oraz inne informacje umieszczone przez klienta w dokumentacji.
- Osobami, których dane dotyczą, mogą być przedstawiciele, członkowie organów, pracownicy, współpracownicy, trenerzy, edukatorzy, wolontariusze, partnerzy, wykonawcy, uczestnicy i beneficjenci projektu.
- Klient nie powinien przekazywać danych szczególnych kategorii, danych o wyrokach i czynach zabronionych, numerów dokumentów tożsamości ani danych nadmiarowych, chyba że jest to zgodne z prawem, konieczne i wcześniej uzgodnione z SAVVIQ.
§ 4. Polecenia i obowiązki klienta
- Udostępnienie danych przez formularz lub inną uzgodnioną metodę stanowi udokumentowane polecenie ich przetwarzania w celu wykonania usługi.
- Klient zapewnia legalność pozyskania i przekazania danych, podstawę prawną, minimalizację zakresu oraz realizację obowiązków informacyjnych wobec osób, których dane dotyczą.
- Klient nie wydaje poleceń sprzecznych z prawem. SAVVIQ poinformuje klienta, jeżeli w jego ocenie polecenie narusza RODO lub inne przepisy o ochronie danych.
§ 5. Obowiązki SAVVIQ
- SAVVIQ przetwarza dane wyłącznie na udokumentowane polecenie klienta, chyba że obowiązek przetwarzania wynika z prawa.
- Do danych dostęp mają wyłącznie osoby zobowiązane do poufności i posiadające odpowiednie upoważnienia.
- SAVVIQ stosuje środki wymagane przez art. 32 RODO, odpowiednie do ryzyka i rodzaju danych.
- W miarę możliwości SAVVIQ pomaga klientowi w obsłudze praw osób, ocenie skutków, konsultacjach z organem, zapewnieniu bezpieczeństwa oraz realizacji obowiązków związanych z naruszeniem ochrony danych.
- SAVVIQ udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO.
§ 6. Dalsze powierzenie
- Klient udziela ogólnego zezwolenia na korzystanie z podprocesorów niezbędnych do hostingu, infrastruktury, analizy treści, poczty, tworzenia dokumentów, bezpieczeństwa i utrzymania usługi.
- Aktualne kategorie i przykładowi dostawcy są wskazani w Polityce prywatności.
- SAVVIQ nakłada na podprocesora obowiązki ochrony danych odpowiadające niniejszym warunkom i pozostaje odpowiedzialny wobec klienta za wykonanie obowiązków podprocesora w zakresie wynikającym z prawa.
- Informację o istotnej zmianie podprocesora SAVVIQ udostępni klientowi w sposób umożliwiający zgłoszenie uzasadnionego sprzeciwu przed rozpoczęciem nowego przetwarzania, o ile jest to praktycznie możliwe.
§ 7. Transfery poza EOG
- SAVVIQ zapewnia, aby transfer danych poza EOG odbywał się zgodnie z rozdziałem V RODO, w szczególności na podstawie decyzji o adekwatności lub standardowych klauzul umownych wraz z dodatkowymi zabezpieczeniami, gdy są potrzebne.
- Informacje o mechanizmie transferowym i kopii zabezpieczeń można uzyskać pod adresem kontakt@grantasystent.pl.
§ 8. Naruszenia i bezpieczeństwo
- Po stwierdzeniu naruszenia ochrony danych powierzonych SAVVIQ informuje klienta bez zbędnej zwłoki i przekazuje dostępne informacje potrzebne do oceny ryzyka oraz wykonania obowiązków z art. 33 i 34 RODO.
- Informacje mogą być przekazywane etapami, jeżeli nie są dostępne jednocześnie.
- Klient pozostaje odpowiedzialny za ocenę, czy naruszenie wymaga zgłoszenia organowi lub zawiadomienia osób.
§ 9. Zwrot, usunięcie i retencja
- Po zakończeniu usług SAVVIQ usuwa albo — jeżeli klient tego zażąda i jest to technicznie możliwe — zwraca dane, chyba że prawo wymaga dalszego przechowywania.
- Standardowo pliki źródłowe i robocze kopie treści są usuwane najpóźniej 90 dni po dostarczeniu raportu, a raport końcowy — po okresie obsługi ponownego udostępnienia i reklamacji, zasadniczo do 180 dni.
- Dane mogą być zachowane w ograniczonym zakresie, gdy jest to konieczne do wykonania obowiązku prawnego albo obrony roszczeń. W takim przypadku SAVVIQ działa w tym zakresie jako odrębny administrator.
§ 10. Audyt i postanowienia końcowe
- Klient może żądać informacji lub dokumentów potrzebnych do wykazania zgodności. Audyt na miejscu wymaga uzasadnienia, rozsądnego wyprzedzenia i uzgodnienia zakresu tak, aby nie naruszać bezpieczeństwa innych klientów ani tajemnic przedsiębiorstwa.
- Koszty audytu ponosi klient, chyba że audyt wykaże istotne naruszenie obowiązków SAVVIQ albo przepisy stanowią inaczej.
- W sprawach przetwarzania danych niniejsze warunki mają pierwszeństwo przed sprzecznym postanowieniem regulaminu.
- Do warunków stosuje się RODO i prawo polskie.