UMOWA O PRZETWARZANIU DANYCH („UMOWA”)

Umowa załączona poniżej do Regulaminu stanowi instrukcje udzielone Heroify przez Klienta w zakresie przetwarzania Danych Osobowych, zgodnie z Artykułem 28. RODO. Akceptacja Umowy jest warunkiem zawieszającym dla akceptacji Regulaminu między Stronami i jego wejścia w życie.

Umowa o Przetwarzaniu Danych

KONTEKST

Niniejsza Umowa o Przetwarzaniu Danych („Umowa”) określa zobowiązania Stron w zakresie ochrony danych, które wynikają z przetwarzania przez Usługodawcę („Podmiot Przetwarzający”) danych osobowych w imieniu Klienta („Administrator Danych”) na podstawie umowy o świadczenie usług pomiędzy Stronami („Regulamin”).

Umowa o ochronie danych osobowych jest przyjęta jako załącznik do Regulaminu. W przypadku, gdy jakiekolwiek postanowienie niniejszej Umowy jest sprzeczne z jakimkolwiek postanowieniem lub postanowieniami Regulaminu, pierwszeństwo ma Umowa.

DEFINICJE

Dla celów niniejszej Umowy:

„Obowiązujące Prawo Ochrony Danych” oznacza wszelkie prawo dotyczące prywatności, które może mieć zastosowanie do warunków niniejszej Umowy i które może się zmieniać od czasu do czasu;

„Administrator danych” i „Podmiot Przetwarzający” mają znaczenia określone odpowiednio w art. 4 ust. 7 i 8 Ogólnego rozporządzenia UE o ochronie danych 2016/679 („GDPR”);

„Organ nadzorczy ds. ochrony danych” jest organem nadzorczym dla celów art. 51 RODO;

„Podmiot Danych” oznacza osobę fizyczną, której dotyczą Dane Osobowe;

„Dane Osobowe” mają znaczenie określone w art. 4 ust. 1 RODO;

„Niezwłoczne powiadomienie” oznacza 24 godziny, chyba że w niniejszej Umowie wyraźnie postanowiono inaczej;

„Dane Szczególnej Kategorii” mają znaczenie określone w art. 9 ust. 1 RODO;

„Państwo trzecie” oznacza miejsce poza Europejskim Obszarem Gospodarczym (EOG), przy czym EOG to: Austria, Belgia, Bułgaria, Czechy, Cypr, Dania, Estonia, Finlandia, Francja, Niemcy, Grecja, Węgry, Islandia, Irlandia, Włochy, Łotwa, Liechtenstein, Litwa, Luksemburg, Malta, Holandia, Norwegia, Polska, Portugalia, Rumunia, Słowacja, Słowenia, Hiszpania, Szwecja i Wielka Brytania.

Niniejsza Umowa, w tym niniejsze definicje oraz jej załączniki i harmonogramy, jest niezależnym dokumentem, który nie zawiera komercyjnych warunków handlowych ustalonych przez strony w ramach odrębnych umów handlowych oraz regulaminów.

Szczegóły dotyczące przetwarzania danych (jak również objęte nimi Dane Osobowe) są określone w Załączniku 1 do niniejszego dokumentu.

1. WARUNKI

Strony uzgadniają, że:

1.1 Administrator Danych i Podmiot Przetwarzający uznają, że dla celów obowiązującej ustawy o ochronie danych (z późniejszymi zmianami) Klient jest Administratorem Danych, a Heroify Sp. z o.o. jest Podmiotem Przetwarzającym w odniesieniu do wszelkich Danych Osobowych.

1.2 Podmiot Przetwarzający będzie przetwarzał Dane Osobowe wyłącznie w celu realizacji swoich zobowiązań wynikających z Regulaminu.

1.3 Administrator Danych poleci Podmiotowi Przetwarzającemu przetwarzanie Danych Osobowych w dowolny sposób, który może być racjonalnie wymagany, aby Podmiot Przetwarzający mógł przeprowadzić przetwarzanie zgodnie z niniejszą Umową oraz zgodnie z obowiązującym prawem o ochronie danych.

1.4 Administrator Danych powstrzyma się od przekazywania instrukcji, które nie są zgodne z obowiązującym prawem, w tym z Obowiązującym Prawem Ochrony Danych, a w przypadku przekazania takich instrukcji, Podmiot Przetwarzający ma prawo oprzeć się wykonaniu takich instrukcji.

1.5 Szczegóły dotyczące Danych Osobowych oraz ich przekazania są określone w Załączniku 1. Strony uzgadniają, że Załącznik 1 może zawierać poufne informacje biznesowe, których nie ujawnią osobom trzecim, z wyjątkiem sytuacji, gdy będzie to wymagane przepisami prawa lub w odpowiedzi na wezwanie właściwej agencji regulacyjnej lub rządowej, lub gdy będzie to wymagane przepisami prawa. Strony mogą zawrzeć dodatkowe załączniki/harmonogramy w celu objęcia dodatkowych transferów lub mogą zawrzeć wiele transferów w ramach Załącznika 1, który zostanie przedłożony Organowi nadzorczemu ds. ochrony danych, jeżeli będzie to wymagane.

1.6 Niniejsza Umowa obowiązuje przez okres nie krótszy niż okres obowiązywania Regulaminu.

1.7 Prawa i obowiązki stron w stosunku do siebie nawzajem na podstawie niniejszego punktu 1 pozostają w mocy po wygaśnięciu Regulaminu.

2. ZGODNOŚĆ Z PRZEPISAMI

2.1 W zakresie wymaganym przez prawo lub regulacje:

2.1.1 Podmiot Przetwarzający będzie współpracował z Organem nadzorczym ds. ochrony danych w związku z wszelkimi czynnościami wykonywanymi przez Podmiot Przetwarzający;

2.1.2 Administrator Danych, jego audytorzy i Organ nadzorczy ds. ochrony danych będą mieli skuteczny dostęp do danych związanych z takimi czynnościami, jak również dostęp do pomieszczeń służbowych Podmiotu Przetwarzającego;

2.1.3 Organ nadzorczy ds. ochrony danych ma prawo dostępu bez uprzedzenia do pomieszczeń służbowych Podmiotu Przetwarzającego dla celów niniejszego punktu 2. oraz

2.1.4 Podmiot Przetwarzający niezwłocznie powiadomi Administratora Danych o wszelkich zmianach, które mogą mieć istotny wpływ na zdolność Podmiotu Przetwarzającego do skutecznego świadczenia usług na mocy Regulaminu oraz w zgodności z obowiązującymi przepisami prawa i wymogami regulacyjnymi.

3. ZOBOWIĄZANIA ADMINISTRATORA DANYCH

Administrator Danych gwarantuje i zobowiązuje się, że:

3.1 Dane osobowe zostały zebrane, przetworzone i przekazane zgodnie z RODO i wszystkimi obowiązującymi przepisami o ochronie danych.

3.2 Dołożył rozsądnych starań, aby ustalić, że Podmiot Przetwarzający jest w stanie spełnić swoje zobowiązania prawne wynikające z niniejszej Umowy.

3.3 Będzie odpowiadać na zapytania Podmiotów Danych i Organu nadzorczego ds. ochrony danych dotyczące przetwarzania Danych Osobowych przez Administratora Danych, chyba że strony uzgodniły, że odpowiedzi udzieli Podmiot Przetwarzający, w którym to przypadku Administrator Danych i tak odpowie w rozsądnie możliwym zakresie i przy użyciu rozsądnie dostępnych informacji, jeżeli Podmiot Przetwarzający nie chce lub nie jest w stanie odpowiedzieć. Odpowiedzi będą udzielane w rozsądnym terminie i zgodnie z obowiązującym prawem o ochronie danych.

3.4 Udostępni Podmiotom Danych, czyli przedmiotowi tej Umowy, kopię niniejszej Umowy na żądanie, chyba że niniejsza Umowa zawiera informacje poufne, w którym to przypadku może usunąć takie informacje. Administrator Danych zastosuje się do decyzji Organu nadzorczego ds. ochrony danych w sprawie dostępu Podmiotu Danych do pełnego tekstu niniejszej Umowy, o ile Podmiot Danych zgodzi się przestrzegać poufności usuniętych informacji poufnych. Administrator Danych dostarczy również kopię niniejszej Ustawy do Organu nadzorczego ds. ochrony danych, jeżeli będzie to wymagane.

4. OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO

Podmiot Przetwarzający gwarantuje i zobowiązuje się, że:

4.1 Będzie przestrzegał wszystkich obowiązujących przepisów prawa, w tym obowiązującego prawa o ochronie danych, w ramach wykonywania niniejszej umowy o ochronie danych.

4.2 Będzie przetwarzać Dane Osobowe wyłącznie na polecenie Administratora Danych.

4.3 Nie będzie przekazywać Danych osobowych do państwa trzeciego, innego niż to, o którym Administrator Danych został poinformowany przez Heroify w momencie akceptacji niniejszej Umowy, bez uprzedniej pisemnej zgody Administratora Danych i tylko wtedy, gdy przekazanie do państwa trzeciego zostało zalegalizowane, a Administrator Danych i Podmiot Przetwarzający są przekonani, że w państwie trzecim istnieje odpowiedni system ochrony danych lub wdrożono odpowiednie środki bezpieczeństwa, takie jak Standardowe Klauzule Umowne UE.

4.4 Nie będzie wyznaczać podwykonawców do przetwarzania Danych Osobowych w swoim imieniu bez uprzedniej zgody Administratora Danych.

4.5 Zastosuje odpowiednie środki techniczne i organizacyjne oraz wszelkie środki zgodnie z art. 32 RODO, aby chronić poufność Danych Osobowych oraz zabezpieczyć Dane Osobowe przed przypadkowym lub bezprawnym zniszczeniem lub przypadkową utratą, zmianą, nieuprawnionym ujawnieniem lub dostępem, i które zapewniają poziom bezpieczeństwa odpowiedni do ryzyka związanego z przetwarzaniem i charakterem danych podlegających ochronie.

4.6 Uzyska gwarancje od wszystkich podwykonawców przetwarzających Dane Osobowe, że będą oni dysponować odpowiednimi środkami technicznymi i organizacyjnymi oraz wszystkimi środkami zgodnie z art. 32 RODO, aby chronić poufność Danych Osobowych oraz chronić Dane Osobowe przed przypadkowym lub bezprawnym zniszczeniem lub przypadkową utratą, zmianą, nieuprawnionym ujawnieniem lub dostępem, i które zapewniają poziom bezpieczeństwa odpowiedni do ryzyka związanego z przetwarzaniem i charakterem danych podlegających ochronie.

4.7 Będzie stosować procedury, aby każda osoba, którą upoważni do dostępu do Danych osobowych, w tym pracownicy Podmiotu Przetwarzającego, przestrzegała i utrzymywała poufność i bezpieczeństwo Danych Osobowych. Każda osoba działająca z upoważnienia Przetwarzającego dane jest zobowiązana do przetwarzania Danych Osobowych wyłącznie na polecenie Podmiotu Przetwarzającego. Niniejsze postanowienie nie ma zastosowania do osób upoważnionych lub zobowiązanych przez prawo lub przepisy do dostępu do Danych Osobowych.

4.8 Nie ujawni żadnych Danych Osobowych stronie trzeciej w żadnych okolicznościach innych niż na wyraźne pisemne żądanie Administratora Danych, chyba że takie ujawnienie jest konieczne w celu wypełnienia zobowiązań wynikających z Umowy lub jest wymagane przez obowiązujące prawo.

4.9 Powiadomi Administratora Danych o każdym żądaniu informacji ze strony Organu nadzorczego ds. ochrony danych i nie ujawni żadnych Danych Osobowych bez uprzedniej zgody Administratora Danych.

4.10 Powiadomi Administratora Danych o wszelkich otrzymanych skargach, zawiadomieniach lub komunikatach, które odnoszą się bezpośrednio lub pośrednio do przetwarzania Danych Osobowych lub innych związanych z tym działań, lub które odnoszą się bezpośrednio lub pośrednio do przestrzegania przez Podmiot Przetwarzający i/lub Administratora Danych odpowiedniego obowiązującego prawa, w tym obowiązującego prawa o ochronie danych.

4.11 Przekaże Administratorowi Danych niezwłoczne powiadomienie o naruszeniu Danych Osobowych lub potencjalnym naruszeniu danych, gdy tylko się o nim dowie. Podmiot Przetwarzający będzie współpracował z Administratorem Danych przy wdrażaniu wszelkich odpowiednich działań dotyczących naruszenia lub potencjalnego naruszenia, w zależności od przypadku, w tym działań naprawczych.

4.12 Po zakończeniu Umowy o świadczenie usług lub na żądanie Administratora Danych usunie ze swoich systemów wszystkie miękkie kopie wszelkich Danych Osobowych i zwróci całą dokumentację w formie cyfrowej i papierowej oraz zrobi to w odpowiednim czasie, wydając pisemne potwierdzenie, że zostało to zrobione. Jedynym wyjątkiem od niniejszego punktu 4.12 będzie sytuacja, w której Podmiot Przetwarzający będzie miał uzasadniony powód, potwierdzony przez Administratora Danych, do dalszego przetwarzania określonych danych lub gdy będzie prawnie zobowiązany do zachowania dokumentacji danych.

4.13 Wskaże Administratorowi Danych osobę kontaktową w ramach swojej organizacji upoważnioną do odpowiadania na zapytania dotyczące przetwarzania Danych Osobowych oraz będzie współpracował w dobrej wierze z Administratorem Danych, Podmiotem Danych i Organem nadzorczym ds. ochrony danych w zakresie wszystkich takich zapytań w rozsądnym terminie.

4.14 Będzie w stanie wykazać, że spełnia obowiązki wynikające z obowiązującego prawa o ochronie danych osobowych.

5. PRAWO DO AUDYTU

5.1 Na uzasadnione żądanie Administratora Danych, Podmiot Przetwarzający przedstawi, i/lub odpowiednio jego Podwykonawcy Przetwarzania Danych przedstawią, urządzenia do przetwarzania danych, pliki danych i dokumentację używaną do przetwarzania, do przeglądu, kontroli i/lub certyfikacji przez Administratora Danych (lub jakichkolwiek niezależnych lub bezstronnych agentów kontrolnych lub audytorów, wybranych przez Administratora Danych i którym Podmiot Przetwarzający nie sprzeciwił się w uzasadniony sposób) w celu sprawdzenia zgodności z gwarancjami i zobowiązaniami zawartymi w niniejszej Umowie, z uzasadnionym zawiadomieniem i w zwykłych godzinach pracy. Żądanie to będzie podlegało wszelkim niezbędnym zgodom lub zatwierdzeniom ze strony organu regulacyjnego lub nadzorczego w kraju Administratora Danych.

6. PRAWA PODMIOTÓW DANYCH

6.1 Podmiot Przetwarzający będzie pomagał Administratorowi Danych, gdy tylko będzie to zasadnie wymagane oraz o ile będzie to możliwe, w zakresie wypełnienia obowiązku Administratora Danych dotyczącego odpowiedzi na wnioski o egzekwowanie praw Podmiotu Danych, zgodnie z obowiązującym prawem o ochronie danych, a Podmiot Przetwarzający będzie dysponował odpowiednimi środkami organizacyjnymi i technicznymi, aby poradzić sobie z wnioskami Podmiotu Danych.

7. ODPOWIEDZIALNOŚĆ I ODSZKODOWANIE

7.1 Podmiot Przetwarzający nie będzie ponosił odpowiedzialności za żadne roszczenia wniesione przez Podmiot Danych wynikające z jakiegokolwiek działania Podmiotu Przetwarzającego, o ile takie działanie wynikało bezpośrednio z instrukcji Administratora Danych.

7.2 Z wyjątkiem postanowień punktu 7.1, Podmiot Przetwarzający zwolni Administratora Danych z odpowiedzialności za wszelkie grzywny pieniężne lub kary nałożone na Administratora Danych przez Organ nadzorczy ds. ochrony danych, które wynikają z naruszenia przez Podmiot Przetwarzający jego zobowiązań wynikających z niniejszej Umowy.

8. PRAWO WŁAŚCIWE DLA NINIEJSZEJ UMOWY

Niniejsza Umowa podlega pod każdym względem prawu polskiemu i zgodnie z nim będzie interpretowana. Strony niniejszej umowy niniejszym poddają się wyłącznej jurysdykcji sądów polskich dla wszystkich celów niniejszej umowy o zachowaniu poufności.

9. ROZSTRZYGANIE SPORÓW Z PODMIOTAMI DANYCH LUB Z ORGANEM NADZORCZYM DS. OCHRONY DANYCH

9.1 W przypadku sporu lub roszczenia wniesionego przez Podmiot Danych lub Organ nadzorczy ds. ochrony danych w związku z przetwarzaniem Danych Osobowych przeciwko jednej lub obu stronom, strony będą się wzajemnie informować o takich sporach lub roszczeniach i współpracować w celu ich polubownego rozstrzygnięcia w odpowiednim czasie.

9.2 Strony zgadzają się odpowiedzieć na każde ogólnie dostępne niewiążące postępowanie mediacyjne zainicjowane przez Podmiot Danych lub przez Organ nadzorczy ds. ochrony danych. Jeśli strony wezmą udział w postępowaniu, mogą zdecydować się na uczestnictwo na odległość (np. przez telefon lub inne środki elektroniczne). Strony zgadzają się również rozważyć udział we wszelkich innych postępowaniach arbitrażowych, mediacyjnych lub innych postępowaniach rozstrzygania sporów opracowanych dla sporów dotyczących ochrony danych.

9.3 Każda ze stron podporządkuje się decyzji Organu nadzorczego ds. ochrony danych, która jest ostateczna i od której nie ma możliwości dalszego odwołania.

10. ZAKOŃCZENIE UMOWY

10.1 W przypadku, gdy Podmiot Przetwarzający lub Administrator Danych naruszy swoje zobowiązania wynikające z niniejszej Umowy, wówczas Podmiot Przetwarzający lub Administrator Danych może tymczasowo zawiesić przekazywanie Danych Osobowych Podmiotowi Przetwarzającemu do czasu naprawy naruszenia lub rozwiązania Umowy.

10.2 Strony uzgadniają, że rozwiązanie niniejszej Umowy w dowolnym czasie, w dowolnych okolicznościach i z dowolnego powodu nie zwalnia ich ze zobowiązań i/lub warunków wynikających z niniejszej Umowy w odniesieniu do przetwarzania przekazanych Danych Osobowych.

Załącznik 1

OPIS PRZEKAZANIA DANYCH

Podmioty Danych

Przekazywane Dane Osobowe dotyczą następujących kategorii Podmiotów Danych:

• Kandydaci Klienta uczestniczący w procesach rekrutacyjnych, które obejmują korzystanie z oprogramowania Heroify
• Pracownicy Klienta korzystający z oprogramowania Heroify („Użytkownicy”)

Cele transferu(ów)

Przekazanie jest dokonywane w następujących celach:

– Przekazanie danych jest konieczne, aby Heroify mogła świadczyć Klientom usługi zawarte w Regulaminie.

Kategorie danych

Przekazywane Dane Osobowe dotyczą następujących kategorii danych:

Dane Osobowe, w tym bez ograniczeń:

• Imię i nazwisko każdego Kandydata i Użytkownika
• Adres e-mail każdego Kandydata i Użytkownika
• Numer telefonu każdego Kandydata
• Wynik testu Heroify każdego Kandydata
• Adres IP każdego Kandydata i Użytkownika

Odbiorcy

Przekazane Dane Osobowe mogą być ujawnione tylko następującym odbiorcom lub kategoriom odbiorców:

– Google (Google Inc. z siedzibą w USA), dostawca Google Cloud, usługi, w której hostowana jest aplikacja internetowa Heroify.

Dane wrażliwe (jeśli dotyczy)

Przekazywane Dane Osobowe dotyczą następujących kategorii Danych Wrażliwych:

– W ramach tego transferu nie są przekazywane żadne Dane Wrażliwe.

Osoby kontaktowe dla zapytań o ochronę danych:

Inspektor Ochrony Danych Heroify: gdpr@heroify.co.