Zgodnie z Warunkami świadczenia usług („Warunki”), Smartsupp świadczy Usługę określoną w Warunkach dla Ciebie jako użytkownika Usługi. Relacja między Smartsupp a użytkownikiem opiera się więc na procesie rejestracji online użytkownika lub na pisemnej albo elektronicznej umowie, do której dołączone są Warunki i które zbiorczo stanowią umowę między Tobą a Smartsupp („Umowa”). Niniejszy aneks dotyczący przetwarzania danych („DPA”) stanowi integralną część Umowy.

Słowa zaczynające się wielką literą mają takie samo znaczenie, jak określono w Warunkach lub innych załącznikach odwołujących się do Warunków, chyba że w niniejszym DPA wskazano inaczej.

Smartsupp zawiera niniejszy DPA zgodnie z obowiązującymi przepisami o ochronie danych, takimi jak Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnym przepływem takich danych („RODO”),, Ustawa o ochronie danych osobowych z 2018 r. lub CCPA/CPRA, a także zgodnie z innymi przepisami dotyczącymi prywatności mającymi zastosowanie podczas świadczenia Usługi w ramach Umowy („obowiązujące przepisy o ochronie prywatności”).

Kiedy niniejszy DPA stanowi, że Smartsupp działa jako podmiot przetwarzający dane osobowe, oznacza to „procesora” wg RODO oraz inne równoważne określenia stosowane w innych obowiązujących przepisach o ochronie danych (np. „Service Provider”, jak zdefiniowano w CCPA). Kiedy niniejszy DPA stanowi, że Ty działasz jako administrator danych osobowych, oznacza to „administrator” wg RODO oraz inne równoważne terminy stosowane w obowiązujących przepisach o ochronie prywatności (np. „Business”, jak zdefiniowano w CCPA).

Podzieliliśmy artykuł na kilka sekcji:

1.1 Przetwarzanie danych osobowych jako procesor. Smartsupp może przetwarzać dane osobowe w imieniu użytkownika, gdy Usługa jest świadczona użytkownikowi i wtedy Smartsupp działa jako procesor danych osobowych (lub podprocesor) względem użytkownika.

Czynności przetwarzania wykonywane przez Smartsupp wynikają z rejestracji, Umowy lub z udokumentowanych żądań składanych przez użytkownika podczas korzystania z Usługi za pośrednictwem platformy dostępnej pod adresem https://www.smartsupp.com („Platforma”).

1.2 Upoważnienie do przetwarzania danych osobowych. Użytkownik niniejszym upoważnia Smartsupp do przetwarzania danych osobowych osób, których dane dotyczą, dostarczanych przez użytkownika zgodnie z Usługą, jak określono w niniejszym DPA. Smartsupp będzie przetwarzać dane osobowe użytkownika zgodnie z udokumentowanymi instrukcjami użytkownika i tylko w zakresie niezbędnym do należytego wykonania zobowiązań Smartsupp wynikających z Umowy.

1.3 Odpowiedzialność użytkownika. Ponieważ Smartsupp działa jako procesor danych osobowych, użytkownik działa jako administrator i dlatego jest odpowiedzialny za spełnienie wszystkich obowiązków związanych z przetwarzaniem danych osobowych. Do tych obowiązków należy m.in. prawidłowe poinformowanie osób, których dane dotyczą o przetwarzaniu ich danych, uzyskanie zgody na przetwarzanie danych osobowych – jeśli jest wymagana – oraz obsługa żądań tych osób dotyczących realizacji ich praw (takich jak prawo do informacji, dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu itd.). Smartsupp pomoże użytkownikowi w wypełnianiu tych obowiązków za pośrednictwem Platformy lub na podstawie udokumentowanych żądań użytkownika. Jednakże Smartsupp nie ponosi odpowiedzialności w żadnym zakresie za prawidłowość i legalność działań użytkownika, w tym za wszelkie działania naruszające przepisy dotyczące prywatności lub inne obowiązujące regulacje kraju, z którego użytkownik korzysta z Usługi.

2.1 Przedmiot przetwarzania. Przedmiotem przetwarzania danych osobowych, które są zdefiniowane poniżej, przez Smartsupp jest świadczenie Usługi, jak określono w Umowie, w szczególności przetwarzanie danych osobowych przy korzystaniu z funkcji Usługi opisanych na stronie internetowej.

2.2 Rodzaje danych osobowych. W ramach wypełniania zobowiązań wynikających z Umowy i realizacji Usługi, poniższe typy danych osobowych mogą podlegać przetwarzaniu zgodnie z niniejszym DPA:

a) dane kontaktowe, takie jak imię, nazwisko, adres email, numer telefonu lub dane kontaktowe do konta w sieci społecznościowej,

b) informacje o odwiedzinach witryny użytkownika, takie jak adres URL odwiedzonej strony, data i godzina odwiedzin, informacje techniczne (rozdzielczość ekranu, typ urządzenia, typ przeglądarki, system operacyjny itd.), adres IP, dane geolokalizacyjne (kraj i miasto, z których użytkownik odwiedził Twoją witrynę),

c) informacje zawarte w rozmowach pomiędzy użytkownikami a klientami lub innymi użytkownikami, gdy korzystają z funkcji Usługi,

d) logi techniczne oraz inne informacje o użytkownikach korzystających z Usługi (Smartsupp używa narzędzi firm trzecich do rejestrowania takich informacji),

e) inne dane osobowe przesłane lub używane w jakikolwiek sposób przez użytkownika, lub

f) dane osobowe, których typ, zakres i szczegóły określa i kontroluje użytkownik według własnego uznania podczas korzystania z Usługi.

Zakres danych osobowych zależy od rodzaju funkcji Usługi wykorzystywanych przez użytkownika. Usługa nie jest przeznaczona do przechowywania szczególnych kategorii danych osobowych. Użytkownik nie powinien wykorzystywać Usługi do przechowywania lub przetwarzania szczególnych kategorii danych osobowych. Jeżeli użytkownik przetwarza je w ramach Usługi, Smartsupp nie ponosi odpowiedzialności za takie przetwarzanie.

2.3 Kategorie osób, których dane dotyczą. Smartsupp będzie przetwarzać dane osobowe dotyczące następujących kategorii osób:

a) pracowników (oraz innych współpracowników i osób działających w imieniu użytkownika) użytkownika;

b) osób, dla których użytkownik założył konto w ramach Usługi;

c) klientów i innych użytkowników użytkownika, którym świadczona jest Usługa;

d) odwiedzających witrynę internetową użytkownika;

e) innych osób, których dane osobowe zostały przekazane Smartsupp przez użytkownika w trakcie świadczenia Usługi, a których dane zostały zapisane lub w inny sposób przetworzone zgodnie ze świadczeniem Usługi użytkownikowi.

3.1 Charakter przetwarzania danych osobowych. Smartsupp będzie przetwarzać dane osobowe w sposób zautomatyzowany, elektroniczny, a przetwarzanie polegać będzie na uzyskiwaniu dostępu do danych osobowych jako część świadczenia Usługi, przeglądaniu danych osobowych, przechowywaniu danych osobowych oraz innych czynnościach, które mogą odpowiadać świadczeniu Usługi użytkownikowi. Charakter przetwarzania danych osobowych wynika z:

a) Umowy zawartej przez Strony;

b) żądań użytkownika lub innych autoryzowanych użytkowników korzystających z Platformy w imieniu użytkownika;

c) charakteru Usługi i Platformy;

d) wszelkich innych udokumentowanych instrukcji przekazanych przez użytkownika.

3.2 Cel przetwarzania. Celem przetwarzania jest świadczenie Usługi na rzecz użytkownika, zgodnie z definicją w Warunkach, oraz inne cele mogące wynikać ze świadczenia Usługi.

4.1 Okres przetwarzania danych osobowych. Przetwarzanie danych osobowych będzie przeprowadzane przez okres obowiązywania Umowy lub tak długo, jak długo Smartsupp wykonuje instrukcje użytkownika w związku z realizacją Umowy. Smartsupp zobowiązuje się do przestrzegania obowiązków wynikających z przepisów o ochronie danych przez cały okres trwania Umowy, chyba że z Umowy wynika, że mają być one kontynuowane po jej zakończeniu.

4.2 Zwrot i usunięcie danych osobowych. W przypadku rozwiązania Umowy, w zakresie dozwolonym przez obowiązujące przepisy o ochronie prywatności, Smartsupp usunie wszystkie dane osobowe przechowywane w celu świadczenia Usługi w ciągu 3 miesięcy od zakończenia. Jeśli użytkownik w powyższym okresie zażąda od Smartsupp zwrotu danych, Smartsupp ma prawo pobrać uzasadnioną opłatę w wysokości podanej z wyprzedzeniem.

5.1 Obowiązki Smartsupp. Podczas przetwarzania danych osobowych Smartsupp zobowiązuje się do:

a) przetwarzania danych osobowych wyłącznie na podstawie udokumentowanych instrukcji użytkownika; dla jasności, przetwarzanie danych osobowych zgodnie z obowiązkami wynikającymi z Umowy będzie traktowane jako przetwarzane zgodnie z instrukcjami użytkownika;

b) stosowania się do instrukcji użytkownika dotyczących transferu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że przetwarzanie już jest wymagane przez prawo Unii Europejskiej lub państwa członkowskiego, któremu podlega Smartsupp;

c) zapewnienia, że osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania poufności;

d) uwzględniając charakter przetwarzania, wsparcia użytkownika za pomocą odpowiednich środków technicznych i organizacyjnych, o ile to możliwe, aby umożliwić użytkownikowi wywiązanie się z obowiązków związanych z odpowiedzią na żądania realizacji praw osób, których dane dotyczą; zasady obsługi żądań osób, których dane dotyczą określone są w Art. 5.2 niniejszego DPA;

e) wspierania użytkownika w spełnianiu jego obowiązków: (i) zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzania, (ii) zgłaszania naruszeń ochrony danych osobowych do Urzędu Ochrony Danych Osobowych oraz – gdy ma to zastosowanie – osobom, których dane dotyczą, (iii) przeprowadzania oceny skutków dla ochrony danych oraz (iv) wcześniejszych konsultacji z Urzędem Ochrony Danych Osobowych, wszystko z uwzględnieniem charakteru przetwarzania oraz przetwarzanych danych osobowych;

f) umożliwienia użytkownikowi lub osobie przez niego upoważnionej kontroli (w tym audytu lub inspekcji) zgodności z niniejszym DPA, w szczególności w zakresie wywiązywania się z obowiązków związanych z przetwarzaniem danych osobowych oraz współpracy przy tych kontrolach zgodnie z uzasadnionymi instrukcjami użytkownika lub upoważnionej osoby; zasady audytów określone są w art. 5.3 i 5.4 niniejszego DPA;

g) dostarczenia użytkownikowi wszelkich informacji, których można racjonalnie oczekiwać od Smartsupp, by potwierdzić, że zobowiązania wynikające z odpowiednich przepisów o ochronie danych zostały spełnione.

5.2 Żądania osób, których dane dotyczą. Jeżeli osoba, której dane dotyczą, skontaktuje się bezpośrednio ze Smartsupp, Smartsupp powiadomi tę osobę, by zgłosiła żądanie bezpośrednio użytkownikowi. Smartsupp podejmie uzasadnione komercyjnie działania, by pomóc użytkownikowi w odpowiedzi na takie żądanie, w zakresie dozwolonym przez prawo. Użytkownik ponosi odpowiedzialność za wszelkie koszty wynikające z takiej pomocy ze strony Smartsupp oraz za prawidłowe rozpatrzenie tego żądania.

5.3 Zasady audytu. Użytkownik powinien kierować wszelkie żądania audytu (kontroli) wyłącznie na adres email Smartsupp dpo@smartsupp.com, nie częściej niż w rozsądnych odstępach czasu. Po otrzymaniu żądania audytu strony ustalą z wyprzedzeniem (i) potencjalną datę audytu, (ii) środki bezpieczeństwa i sposób zapewnienia poufności podczas audytu oraz (iii) przewidywany początek, zakres i czas trwania audytu. Jeśli w ciągu 30 dni od dnia żądania nie zostanie osiągnięte porozumienie, warunki audytu ustala Smartsupp.

5.4 Audytor. Smartsupp może zgłosić pisemny sprzeciw wobec wyznaczonego przez użytkownika audytora (osoby upoważnionej) jeśli – zdaniem Smartsupp – audytor nie jest wystarczająco wykwalifikowany, nie jest niezależny, znajduje się w konkurencyjnej pozycji względem Smartsupp lub jest w inny sposób ewidentnie nieodpowiedni. W przypadku złożenia sprzeciwu użytkownik ma obowiązek wyznaczyć innego audytora lub przeprowadzić audyt samodzielnie. Użytkownik powinien niezwłocznie powiadomić Smartsupp o wszelkich niezgodnościach – względem obowiązujących przepisów lub niniejszego DPA – ujawnionych podczas audytu.

5.5 Zakres audytu. Zakres audytu przeprowadzanego przez użytkownika obejmuje wyłącznie dokumentację oraz procesy bezpośrednio związane z korzystaniem z Usługi przez konkretnego użytkownika.

5.6 Podprocesorzy. Użytkownik wyraża zgodę na zaangażowanie innych podprocesorów do przetwarzania danych osobowych. W zależności od rodzaju Usługi świadczonej lub zamówionej przez użytkownika, Smartsupp może korzystać z usług innych podprocesorów lub udostępniać dane osobowe innym odbiorcom danych osobowych. Użytkownik akceptuje, że Smartsupp będzie angażować podprocesorów wymienionych pod adresem: https://help.smartsupp.com/pl/articles/12647685

5.7 Sprzeciw wobec innych podprocesorów. Smartsupp poinformuje użytkownika w formie pisemnej lub aktualizując listę podprocesorów o zaangażowaniu dodatkowego podprocesora przed jego zaangażowaniem. Użytkownik może wnieść sprzeciw wobec tego faktu w terminie 10 dni roboczych od powiadomienia. Jeżeli użytkownik nie zgłosi sprzeciwu w wyznaczonym terminie, Smartsupp zaangażuje dodatkowego podprocesora. W przypadku wniesienia sprzeciwu przez użytkownika, Smartsupp rozpatrzy sprzeciw i jeśli uzna go za uzasadniony, nie zaangażuje dodatkowego podprocesora lub wprowadzi uzasadnione zmiany w konfiguracji lub korzystaniu przez użytkownika z Usługi, by uniknąć przetwarzania przez takiego podprocesora. Jeżeli zmiana nie jest możliwa, Smartsupp może wypowiedzieć Umowę z użytkownikiem (lub jej część) lub nie świadczyć części Usługi związanej z tym podprocesorem, nie popadając przy tym w zwłokę lub naruszenie jakiegokolwiek zobowiązania. Smartsupp zwróci użytkownikowi wszelkie uprzednio opłacone środki obejmujące pozostałą część okresu obowiązywania takiej Umowy licząc od daty obowiązywania rozwiązania umowy względem takiej usługi, bez nakładania na użytkownika kary za takie rozwiązanie.

5.8 Obowiązki względem innych podprocesorów.Jeżeli Smartsupp angażuje innego podprocesora, ten podprocesor musi być umownie zobowiązany do takich samych zobowiązań ochrony danych osobowych, jakie zostały uzgodnione między użytkownikiem a Smartsupp oraz do wdrożenia odpowiednich środków technicznych i organizacyjnych.

5.9 Odpowiedzialność za podprocesora.Smartsupp ponosi odpowiedzialność za działania i zaniechania swoich podprocesorów w takim samym zakresie, w jakim ponosiłby odpowiedzialność, gdyby świadczenie Usługi przez każdego podprocesora odbywało się bezpośrednio na mocy postanowień niniejszego DPA, chyba że w Umowie określono inaczej.

5.10 Koszty realizacji DPA. O ile nie uzgodniono inaczej na piśmie, użytkownik ponosi własne koszty związane z realizacją DPA. Smartsupp ma prawo pobrać od użytkownika uzasadnione koszty poniesione na realizację żądań i obowiązków wynikających z niniejszego DPA.

6.1 Obowiązek zabezpieczenia danych osobowych. Smartsupp przyjął i utrzymuje techniczne oraz organizacyjne środki zabezpieczające przed nieautoryzowanym lub przypadkowym dostępem, modyfikacją, zniszczeniem lub utratą danych osobowych, nieuprawnionym przesyłaniem, innym nieautoryzowanym przetwarzaniem lub innym niewłaściwym wykorzystaniem danych osobowych. Smartsupp regularnie monitoruje zgodność tych środków.

6.2 Szczególne środki bezpieczeństwa. Smartsupp wdrożył i utrzymuje następujące środki w celu zapewnienia odpowiedniego poziomu bezpieczeństwa:

Środki techniczne:

a) Pseudonimizacja i szyfrowanie danych osobowych:

Platforma, na której przetwarzane są dane osobowe, obsługuje wyłącznie bezpieczne kanały lub protokoły dla przychodzących połączeń sieciowych; Smartsupp szyfruje dane przy użyciu SSL/TLS dla całej transmisji danych

systemy IT przetwarzające dane osobowe obsługują wyłącznie bezpieczne kanały lub protokoły;

klucze kryptograficzne są odpowiednio zarządzane.

b) Zdolność zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania:

dostęp fizyczny do personelu Smartsupp mają jedynie osoby upoważnione;

Smartsupp wdrożył mechanizmy ograniczające fizyczny lub online dostęp do serwerów przechowujących dane osobowe;

zapobieganie uzyskiwaniu dostępu do danych osobowych przez osoby nieupoważnione oraz zapewnienie, że dane osobowe nie będą wykorzystywane bez upoważnienia;

osoby upoważnione do przetwarzania danych osobowych mają dostęp tylko do tych danych, które są im potrzebne i do których są uprawnione, a dane osobowe nie mogą być czytane, kopiowane, zmieniane ani usuwane bez upoważnienia w trakcie przetwarzania;

dostęp jest silnie uwierzytelniany (np. za pomocą silnych haseł);

prawa dostępu są okresowo sprawdzane;

próby uzyskania dostępu (zarówno udane, jak i nieudane) są rejestrowane i monitorowane;

personel Smartsupp ma zakaz pobierania i przetwarzania danych osobowych lokalnie na swoich komputerach roboczych lub w innych lokalizacjach sieciowych;

wszystkie możliwe awarie Platformy i anomalie są rejestrowane.

c) Zdolność do przywrócenia dostępności i dostępu do danych osobowych w odpowiednim czasie w przypadku incydentów fizycznych lub technicznych:

Smartsupp wdrożył procesy, mechanizmy i narzędzia do tworzenia kopii zapasowych;

procedura przywracania oraz czytelność i integralność kopii zapasowych są okresowo testowane.

d) Smartsupp wdrożył proces regularnego testowania, oceniania i ewaluacji skuteczności środków technicznych i organizacyjnych, aby zapewnić bezpieczeństwo przetwarzania.

e) Dane osobowe nie mogą być modyfikowane lub usuwane bez upoważnienia podczas elektronicznej transmisji, transportu lub przechowywania, a podmioty odbierające dane podczas transferu mogą być ustalone i zweryfikowane.

Środki organizacyjne:

f) Cały personel zaangażowany w przetwarzanie danych osobowych został poinformowany o poufnym charakterze danych, odbył odpowiednie szkolenia z zakresu swoich obowiązków oraz podpisał pisemne zobowiązania do zachowania poufności.

g) Smartsupp wdrożył wewnętrzne wytyczne i procesy zapewniające bezpieczeństwo przetwarzania danych osobowych zgodnie z obowiązującymi przepisami o ochronie prywatności.

h) W przypadku pytań dotyczących tego DPA, zgodności z przepisami o ochronie danych, prywatności danych lub innych zagadnień związanych z prywatnością, Klient może wysłać email na adres dpo@smartsupp.com.

6.3 Incydenty bezpieczeństwa. Jeśli Smartsupp wykryje naruszenie ochrony danych osobowych, zgłosi je użytkownikowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od uzyskania informacji o incydencie i dołoży należytej staranności, by przekazać użytkownikowi wszelkie posiadane informacje dotyczące incydentu, ograniczając się do:

Smartsupp odpowie na każde żądanie pomocy użytkownika w przypadku naruszenia bezpieczeństwa bez zbędnej zwłoki.

6.4 Nielegalne instrukcje. Jeśli użytkownik wyda Smartsupp instrukcje skutkujące naruszeniem obowiązków wynikających z prawa ochrony danych osobowych i Smartsupp zostanie za to ukarany przez organ nadzorczy lub inny organ regulacyjny bądź będzie musiał wypłacić odszkodowanie osobom, których dane dotyczą, użytkownik zobowiązuje się zwrócić Smartsupp wszelkie szkody po pisemnym wezwaniu od Smartsupp.

6.5 Ograniczenie odpowiedzialności. Takie samo ograniczenie odpowiedzialności jak określone w Warunkach ma zastosowanie do niniejszego DPA.

6.6 Zmiany. Te same zasady zmian, które są określone w Warunkach, mają zastosowanie.

6.7 Skuteczność. Niniejszy DPA staje się prawnie wiążący między użytkownikiem a Smartsupp z chwilą zawarcia Umowy.