Umowa powierzenia przetwarzania danych osobowych

Zakres i role

Klient jest administratorem danych, a Onur Öztürk, prowadzący działalność pod nazwą Ozan Soft („GenderAPI”), jest podmiotem przetwarzającym w odniesieniu do Danych osobowych Klienta przekazywanych za pośrednictwem API, narzędzi do przetwarzania plików lub połączonych funkcji arkuszy kalkulacyjnych. Każda ze stron pozostaje samodzielnie odpowiedzialna za dane osobowe, które przetwarza jako administrator danych, w tym za prowadzoną przez GenderAPI obsługę kont, rozliczeń i kontaktów biznesowych.

Klient określa, czy przekazywane dane są danymi osobowymi, i odpowiada za ich podstawę prawną, obowiązki informacyjne, zgody i uprawnienia oraz polecenia. Klient nie może przekazywać danych, do których przetwarzania Usługa nie jest przeznaczona, ani wykorzystywać wyników wnioskowania jako jedynej podstawy decyzji wywołującej wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływającej.

Polecenia przetwarzania

GenderAPI będzie przetwarzać Dane osobowe Klienta wyłącznie w celu świadczenia, zabezpieczania i wsparcia Usługi, zgodnie z umową, niniejszą DPA, udokumentowanym korzystaniem z Usługi przez Klienta oraz obowiązującym prawem. GenderAPI poinformuje Klienta, jeżeli jego zdaniem, opartym na rozsądnej ocenie, polecenie administratora narusza obowiązujące przepisy o ochronie danych, chyba że prawo zakazuje takiego poinformowania.

GenderAPI nie będzie sprzedawać Danych osobowych Klienta, wykorzystywać ich do reklamy behawioralnej opartej na aktywności w różnych kontekstach, wykorzystywać ich do trenowania prywatnego modelu wnioskowania ani przechowywać ich w logach AI. Zasady przechowywania określone w Polityce prywatności stanowią część tych udokumentowanych poleceń przetwarzania.

Poufność i bezpieczeństwo

GenderAPI zapewni, aby osoby upoważnione do przetwarzania Danych osobowych Klienta podlegały odpowiedniemu obowiązkowi zachowania poufności i miały dostęp do danych wyłącznie w zakresie niezbędnym do wykonywania powierzonych im zadań. GenderAPI będzie utrzymywać środki techniczne i organizacyjne odpowiednie do charakteru Usługi i ryzyka związanego z przetwarzaniem.

• Transmisja danych wymienianych z Usługą chroniona protokołem TLS.
• Ograniczenia dostępu do systemów produkcyjnych, danych klientów oraz kopii zapasowych o ograniczonym dostępie.
• Oddzielenie i ochrona danych uwierzytelniających kont oraz produkcyjnych kluczy API.
• Rejestrowanie zdarzeń bezpieczeństwa i logowanie techniczne zgodnie z opublikowanym harmonogramem przechowywania.
• Rotacyjne kopie zapasowe ze standardowym okresem nadpisywania wynoszącym do 15 dni.
• Prywatne przetwarzanie AI bez trenowania na danych klientów i bez logowania promptów ani wyników AI.
• Procedury minimalizacji i usuwania danych zgodne z harmonogramem przechowywania obowiązującym w Usłudze.

Dalsze podmioty przetwarzające

Klient udziela GenderAPI ogólnej pisemnej zgody na korzystanie z usług dostawców wskazanych jako dalsze podmioty przetwarzające w ramach DPA nastronie Dalsze podmioty przetwarzające. GenderAPI zobowiąże każdy taki dalszy podmiot przetwarzający do ochrony Danych osobowych Klienta na podstawie obowiązków zasadniczo zgodnych z niniejszą DPA, w zakresie mającym zastosowanie do usług wykonywanych przez ten dalszy podmiot przetwarzający. GenderAPI pozostaje odpowiedzialne za wykonanie swoich obowiązków wynikających z niniejszej DPA. Dostawcy wykorzystywani wyłącznie w ramach działań GenderAPI jako administratora danych, takich jak rozliczenia lub komunikacja dotycząca konta, są wskazani oddzielnie i nie są traktowani jako podmioty przetwarzające działające na rzecz Klienta tylko dlatego, że figurują w rejestrze dostawców.

GenderAPI powiadomi Klienta z wyprzedzeniem co najmniej 30 dni, za pośrednictwem strony Dalsze podmioty przetwarzające, Usługi lub adresu e-mail przypisanego do konta Klienta, przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego, który będzie przetwarzać Dane osobowe Klienta. W tym okresie Klient może zgłosić uzasadniony i udokumentowany sprzeciw dotyczący ochrony danych. Strony będą w dobrej wierze dążyć do rozwiązania uzasadnionego z handlowego punktu widzenia; jeżeli takie rozwiązanie nie będzie dostępne, Klient może zaprzestać korzystania z funkcji, której to dotyczy.

Pomoc i incydenty dotyczące danych osobowych

Uwzględniając charakter przetwarzania oraz dostępne mu informacje, GenderAPI zapewni rozsądną pomoc w zakresie żądań osób, których dane dotyczą, obowiązków w zakresie bezpieczeństwa, zgłoszeń naruszeń ochrony danych osobowych, ocen skutków dla ochrony danych oraz konsultacji wymaganych przez obowiązujące przepisy o ochronie danych. Jeżeli osoba, której dane dotyczą, skontaktuje się z GenderAPI w sprawie Danych osobowych Klienta, GenderAPI może przekazać żądanie Klientowi, chyba że obowiązujące prawo wymaga bezpośredniej odpowiedzi.

GenderAPI powiadomi Klienta bez zbędnej zwłoki, a w miarę rozsądnych możliwości w ciągu 48 godzin od stwierdzenia potwierdzonego naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta. Powiadomienie będzie zawierać dostępne informacje, które są w rozsądnym zakresie potrzebne Klientowi do dokonania oceny i wykonania obowiązków w zakresie zgłaszania. Powiadomienie nie stanowi przyznania się do winy ani odpowiedzialności.

Zwrot i usunięcie danych

W okresie świadczenia Usługi Klient może pobierać dostępne wyniki za pomocą obsługiwanych funkcji Usługi. W przypadku zamknięcia konta, zakończenia odpowiedniego przetwarzania lub skutecznego żądania usunięcia GenderAPI usunie lub nieodwracalnie zanonimizuje Dane osobowe Klienta pozostające w aktywnych systemach w ciągu 30 dni, chyba że obowiązujące prawo wymaga ich przechowywania. Dane usunięte z aktywnych systemów mogą pozostawać w rotacyjnych kopiach zapasowych o ograniczonym dostępie przez maksymalnie kolejne 15 dni, zanim zostaną automatycznie nadpisane.

Ustawowe przechowywanie dokumentacji rozliczeniowej, transakcyjnej, dotyczącej zapobiegania oszustwom lub sporów nie uprawnia do dalszego wykorzystywania treści zapytań Klienta ani treści przesłanych przez niego plików. Harmonogram dla poszczególnych kategorii określony wPolityce prywatności nadal ma zastosowanie, jeżeli przewiduje krótszy okres.

Informacje i audyty

GenderAPI udostępni Klientowi informacje w rozsądnym zakresie niezbędne do wykazania przestrzegania niniejszej DPA, w pierwszej kolejności w postaci aktualnych polityk, dokumentacji oraz odpowiedzi na rozsądny kwestionariusz bezpieczeństwa. Jeżeli informacje te są niewystarczające do wykonania obowiązku prawnego, Klient może zażądać proporcjonalnego audytu nie częściej niż raz w roku, z wyjątkiem sytuacji następujących po potwierdzonym naruszeniu lub wiążącym żądaniu organu nadzorczego.

Audyt musi zostać przeprowadzony po uprzednim powiadomieniu z rozsądnym wyprzedzeniem, w zwykłych godzinach pracy, bez ujawniania danych innych klientów i bez naruszania bezpieczeństwa. Klient ponosi koszty audytu, chyba że audyt wykaże istotne naruszenie po stronie GenderAPI. Strony najpierw uzgodnią odpowiednie warunki poufności i zakresu audytu.

Przekazywanie danych do państw trzecich

Dane osobowe Klienta mogą być przetwarzane w Turcji oraz, za pośrednictwem infrastruktury świadczonej na podstawie umowy, w Stanach Zjednoczonych. GenderAPI będzie w stosownych przypadkach stosować prawnie uznany mechanizm przekazywania danych. Jeżeli wymagane są standardowe klauzule umowne UE przyjęte decyzją wykonawczą Komisji (UE) 2021/914, właściwy moduł „administrator – podmiot przetwarzający” zostaje włączony do niniejszej DPA i ma pierwszeństwo przed sprzecznymi postanowieniami w odniesieniu do tego przekazania. Przy zawieraniu DPA strony uzupełnią wszelkie wybory lub informacje w załącznikach wymagane przez prawo dla ich konkretnego przekazania.

Szczegóły przetwarzania

Przedmiot i czas trwania

Przetwarzanie niezbędne do świadczenia GenderAPI w okresie korzystania z Usługi przez Klienta oraz przez ograniczone okresy usuwania, przechowywania kopii zapasowych, bezpieczeństwa i ustawowego przechowywania opisane w niniejszej DPA i w Polityce prywatności.

Charakter i cel

Odbieranie, przesyłanie, analizowanie i zwracanie wyników dla zapytań API, przesłanych plików Excel lub CSV oraz operacji w połączonych arkuszach kalkulacyjnych, a także związany z tym hosting, bezpieczeństwo, rozwiązywanie problemów i wsparcie.

Kategorie osób, których dane dotyczą

Osoby, których imiona i nazwiska, adresy e-mail, nazwy użytkowników lub powiązane rekordy przekazuje Klient; użytkownicy, personel, kontakty lub użytkownicy końcowi Klienta; oraz osoby ujęte w przesłanych lub połączonych danych z arkuszy kalkulacyjnych.

Rodzaje danych osobowych

Imiona i nazwiska, adresy e-mail, nazwy użytkowników, kraj lub kontekst lokalizacyjny, pola arkuszy kalkulacyjnych dostarczone przez Klienta, wywnioskowany wynik dotyczący płci i informacje o poziomie pewności, a także ograniczone metadane dotyczące żądań, urządzeń, uwierzytelniania i bezpieczeństwa, niezbędne do działania Usługi. Klient nie może przekazywać szczególnych kategorii danych osobowych, chyba że zostało to wyraźnie uzgodnione na piśmie i jest dozwolone przez prawo.