Umowa powierzenia przetwarzania danych osobowych — wzór

Niniejszy dokument jest wzorem odrębnej Umowy Powierzenia Przetwarzania Danych Osobowych. Sama publikacja nie oznacza jej zawarcia z klientem ani zmiany istniejącej podpisanej umowy. Przed rozpoczęciem powierzonego przetwarzania właściwe strony muszą zapewnić wiążącą umowę i uzupełnione polecenia określające właściwe operacje, kategorie danych i osób, uprawnionych odbiorców, czas trwania oraz zasady zwrotu lub usunięcia. Klient działający jako podmiot przetwarzający musi zapewnić wymagane upoważnienie administratora i odpowiedni łańcuch umów. Polecenia mogą być wyrażane przez upoważnione działania na Platformie w uzgodnionym zakresie; ustawienie dostępu nie uchyla ograniczeń prawnych ani nie rozszerza tego zakresu.

1. Strony, odniesienia i definicje

1.1. Niniejsza Umowa powierzenia przetwarzania danych osobowych („DPA”) zostaje zawarta pomiędzy [pełna firma, adres siedziby, identyfikatory rejestrowe/podatkowe i uprawniony przedstawiciel] („Administrator”) a BidFinance spółka z ograniczoną odpowiedzialnością, ul. Kącik 4, 30-549 Kraków, Polska, KRS 0000975000, NIP 6793240675, REGON 522206447, reprezentowaną przez [osoba uprawniona do podpisania i jej umocowanie] („Podmiot Przetwarzający” lub „BidFinance”).

1.2. DPA dotyczy usług wskazanych w [tytuł umowy o świadczenie usług/zamówienia, strony, data, identyfikator, właściwa wersja Regulaminu oraz istniejąca DPA lub uzgodniona hierarchia] („Umowa o Świadczenie Usług”). Cztery załączniki stanowią część DPA. RODO oznacza rozporządzenie (UE) 2016/679. Stosuje się definicje RODO; „Dane Powierzone” oznaczają dane osobowe przetwarzane przez BidFinance w imieniu Administratora w zakresie Załącznika 1. „Dalszy Podmiot Przetwarzający” oznacza inny podmiot przetwarzający zaangażowany przez BidFinance do tych czynności.

1.3. Wzór zakłada, że klient jest administratorem wskazanych operacji. Jeżeli klient działa jako podmiot przetwarzający dla innego administratora, przed zastosowaniem odpowiednio dostosowanej umowy strony muszą ustalić tożsamość tego administratora, uprawnienie do zaangażowania BidFinance jako dalszego podmiotu przetwarzającego oraz właściwy łańcuch poleceń. Podpisanie formularza samo w sobie nie przesądza o faktycznych rolach.

1.4. Zatwierdzenie spółki zależnej do korzystania z Platformy nie czyni jej automatycznie stroną DPA ani nie upoważnia spółki dominującej do wydawania za nią poleceń. Każdy właściwy administrator musi zostać wskazany i związany odpowiednią umową lub wyraźnym przystąpieniem, osobiście albo przez należycie umocowanego przedstawiciela. Zakres każdej takiej relacji i upoważnienia określa Załącznik 4.

2. Przedmiot, cel i granice ról

2.1. Administrator poleca BidFinance świadczenie uzgodnionych usług aukcji portfeli wierzytelności i przestrzeni transakcyjnej, w tym przechowywanie, kontrolowane udostępnianie i obsługę konkretnych dokumentów oraz danych wskazanych w Załączniku 1. Przetwarzanie może obejmować odbiór, utrwalanie, porządkowanie, przechowywanie, wyszukiwanie, wyświetlanie, ujawnienie zgodnie z poleceniem, poprawianie, eksport, ograniczanie i usuwanie wyłącznie w zakresie potrzebnym do uzgodnionej usługi i udokumentowanych poleceń.

2.2. Administrator ustala cele, dozwolone dane, odbiorców i zasadnicze reguły dotyczące Danych Powierzonych. BidFinance może wybierać praktyczne środki techniczne w granicach poleceń i uzgodnionych zabezpieczeń. Nie może wykorzystywać Danych Powierzonych do własnego marketingu, sprzedaży danych, niezwiązanych analiz ani trenowania modeli ogólnego przeznaczenia. Nowy cel lub istotne rozszerzenie zakresu wymaga zgodnego z prawem, udokumentowanego uzgodnienia; zmiana polityki na stronie nie wystarcza.

2.3. Odrębne operacje, dla których BidFinance ustala własne cele, takie jak własne relacje z przedstawicielami klientów, administracja Kontami, bezpieczeństwo własnej usługi i dokumentacja wymagana prawem, opisuje Polityka Prywatności. Pozostają poza DPA wyłącznie w tym uzasadnionym zakresie. Dokument zawierający nazwisko przedstawiciela nie zostaje automatycznie wyłączony z powierzenia. Niniejszy punkt nie upoważnia do skopiowania całego powierzonego portfela do własnego archiwum BidFinance na potrzeby roszczeń.

2.4. Kupujący, sprzedający i doradcy otrzymujący dane do własnych celów nie stają się automatycznie Dalszymi Podmiotami Przetwarzającymi. Ujawnienie im danych wymaga odrębnego ustalenia ról, podstawy prawnej, poleceń i warunków dostępu. Znaczenie zachowują punkty 8.9 i 12.22 właściwego Regulaminu, wymogi anonimowości oraz tajemnica bankowa. DPA nie upoważnia do identyfikowania dłużników w materiałach, które mają być anonimowe, ani nie przyznaje każdemu użytkownikowi Platformy dostępu do danych poufnych.

3. Czas trwania

3.1. DPA wchodzi w życie w uzgodnionym dniu zawarcia wpisanym poniżej i obowiązuje tak długo, jak BidFinance przetwarza Dane Powierzone dla Administratora. Nowe przetwarzanie rozpoczyna się dopiero po uzgodnieniu niezbędnego zakresu, poleceń, zabezpieczeń i upoważnień. DPA obowiązuje także w ograniczonej fazie zwrotu/usuwania z punktu 12. Poufność, pomoc, rozliczalność i ograniczenia dotyczące zachowanych kopii obowiązują tak długo, jak istnieją odpowiednie dane.

3.2. Zdarzenie kończące retencję portfela lub przestrzeni roboczej może nastąpić przed zakończeniem Umowy o Świadczenie Usług. Załącznik 4 określa te zdarzenia oraz uprawnione polecenia zwrotu/usunięcia. Czas trwania usługi nie upoważnia do przechowywania każdego dokumentu do ostatniego możliwego dnia.

4. Obowiązki Administratora

4.1. Administrator odpowiada za zgodność z prawem, niezbędność i prawidłowość przekazywanych danych oraz poleceń, własne podstawy prawne i obowiązki informacyjne, decyzje o dostępie i odbiorcach oraz wymogi tajemnicy bankowej lub innej poufności. Przekazuje wyłącznie dane potrzebne do uzgodnionej operacji, stosuje uzgodnioną anonimizację lub pseudonimizację przed ujawnieniem, aktualizuje uprawnienia odbiorców oraz przekazuje sprostowania, ograniczenia i zgodne z prawem polecenia usunięcia.

4.2. Szczególne kategorie danych z art. 9 RODO i dane objęte art. 10 nie są domyślnie objęte powierzeniem. Przed ich celowym przekazaniem Administrator wskazuje właściwe kategorie i warunki prawne oraz uzgadnia dodatkowe zabezpieczenia w Załączniku 1. Nieoczekiwane ujawnienie takich danych wymaga niezwłocznej informacji, ograniczenia dostępu i udokumentowanej decyzji o zgodnym z prawem postępowaniu lub usunięciu; nie upoważnia do dalszego wykorzystywania.

4.3. Powyższe obowiązki nie zwalniają BidFinance z własnych obowiązków wynikających z RODO i DPA.

5. Udokumentowane polecenia

5.1. Polecenia obejmują zawartą DPA i uzupełnione załączniki, uprawnione ustawienia/działania w uzgodnionych procesach Platformy oraz późniejsze polecenia uprawnionych osób przez kanały określone w Załączniku 4. BidFinance zachowuje zapis polecenia, jego źródła, daty, zakresu i wykonania. Uprawnienie do przesyłania dokumentów nie oznacza automatycznie uprawnienia do zmiany DPA, zatwierdzenia nowej kategorii odbiorców ani zezwolenia na przekazanie do państwa trzeciego.

5.2. BidFinance przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie, także w zakresie przekazywania danych, chyba że inaczej wymaga prawo Unii lub państwa członkowskiego, któremu podlega. W takim przypadku przed przetwarzaniem informuje Administratora o obowiązku prawnym, chyba że prawo zabrania takiej informacji ze względu na ważny interes publiczny. Ogranicza przetwarzanie do tego obowiązku i dokumentuje jego podstawę oraz zakres.

5.3. BidFinance niezwłocznie informuje Administratora, jeżeli w jego ocenie polecenie narusza RODO lub inne właściwe przepisy Unii lub państwa członkowskiego dotyczące ochrony danych. Wstrzymuje sporną operację do wyjaśnienia sprawy, chroni dane i współpracuje przy ustaleniu zgodnego z prawem polecenia. Milczenie ani pilność biznesowa nie upoważniają do niezgodnego z prawem przetwarzania.

6. Personel i bezpieczeństwo

6.1. Dostęp otrzymuje wyłącznie upoważniony personel potrzebujący go do uzgodnionego zadania, związany poufnością przed uzyskaniem dostępu na podstawie zobowiązania lub odpowiedniego obowiązku ustawowego. Poufność trwa po zakończeniu zadania. BidFinance utrzymuje proces nadawania upoważnień, odbiera zbędny dostęp i zapewnia instruktaż odpowiedni do roli.

6.2. BidFinance wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka zgodnie z art. 32 RODO, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz charakteru, zakresu, kontekstu, celów i ryzyk przetwarzania. Środki uzgodnione w Załączniku 2 obejmują poufność, integralność, dostępność, odporność, odtwarzanie i regularną ocenę. Muszą działać przed przetwarzaniem odpowiednich Danych Powierzonych; sama obecność kodu nie potwierdza włączenia zabezpieczenia.

6.3. BidFinance może ulepszać środki bez obniżania uzgodnionego poziomu ochrony. Dokumentuje istotne zmiany, informuje Administratora, gdy wpływają na jego ocenę ryzyka lub polecenia, i uzgadnia niezbędne zmiany przed istotnym obniżeniem ochrony. Nowe zagrożenia, incydenty lub zmiana zakresu danych wymagają ponownej oceny. Niniejsza DPA nie potwierdza certyfikacji, wyników testów penetracyjnych, parametrów odtwarzania ani regionu hostingu bez dowodów wskazanych w Załączniku 2.

7. Dalsze powierzenie

7.1. Zawierając uzupełnioną DPA, Administrator udziela ogólnego pisemnego zezwolenia na dalsze powierzenie na zasadach niniejszego punktu, początkowo ograniczonego do rzeczywistych podmiotów prawnych i operacji wskazanych oraz zatwierdzonych w Załączniku 3. Puste wiersze i nazwy możliwych integracji nie stanowią zezwolenia. Przed dostępem BidFinance ocenia wystarczające gwarancje i zobowiązuje każdy Dalszy Podmiot Przetwarzający do obowiązków ochrony danych równoważnych obowiązkom dotyczącym jego zadania, w tym poleceń, bezpieczeństwa, poufności, pomocy i usuwania.

7.2. Przed dodaniem lub zastąpieniem Dalszego Podmiotu Przetwarzającego angażowanego bezpośrednio przez BidFinance BidFinance aktywnie zawiadamia wyznaczony kontakt email Administratora. Kompletna informacja obejmuje podmiot prawny, usługę, zakres danych, lokalizacje i istotny zdalny dostęp, zabezpieczenia transferu, planowany początek oraz informacje potrzebne do oceny ochrony. Administrator ma 14 dni kalendarzowych od dnia następującego po doręczeniu kompletnego zawiadomienia na sprzeciw z przyczyn ochrony danych. Jest to termin umowny dla bezpośredniego zaangażowania. W przypadku zamierzonego dodania lub zastąpienia podmiotu na dalszym poziomie łańcucha przetwarzania BidFinance przekazuje odpowiednie informacje bez zbędnej zwłoki po ich otrzymaniu i przed rozpoczęciem przetwarzania objętego zmianą, zachowując rzeczywistą możliwość oceny i sprzeciwu. Nie uzgadnia się jednolitego terminu 14 dni dla zmian na dalszym poziomie. Jeżeli nie można zapewnić tej możliwości przed przetwarzaniem objętym zmianą, BidFinance zapobiega temu przetwarzaniu, uzyskuje uprzednie szczególne pisemne zezwolenie albo uzgadnia inne zgodne z prawem rozwiązanie. Sprzeciw można zgłosić, odpowiadając na zawiadomienie lub pisząc na info@bidfinance.pl. Sama aktualizacja strony nie wystarcza. Zmiana struktury lub poziomu łańcucha nie może służyć obchodzeniu obowiązków dotyczących zawiadomienia, zezwolenia lub odpowiedzialności.

7.3. Nowy lub zastępujący podmiot angażowany bezpośrednio nie może otrzymać Danych Powierzonych przed bezskutecznym upływem terminu dla bezpośredniego zaangażowania z punktu 7.2 albo udzieleniem wcześniejszej, szczególnej pisemnej zgody Administratora. Zmiana na dalszym poziomie musi spełniać odrębne wymagania uprzedniej informacji i skutecznej możliwości sprzeciwu z punktu 7.2. Terminowy sprzeciw wstrzymuje sporne zaangażowanie do oceny zgodnej z prawem alternatywy. Jeżeli nie jest ona możliwa, odpowiednie przetwarzanie zostaje wstrzymane lub zakończone zgodnie z punktem 13, z bezpiecznym zwrotem/usunięciem. Pilność zmiany nie uchyla zezwolenia; BidFinance występuje o szczególną zgodę albo chroni dane przez wstrzymanie danej operacji.

7.4. BidFinance pozostaje odpowiedzialne wobec Administratora za wykonanie obowiązków ochrony danych przez Dalszy Podmiot Przetwarzający zgodnie z art. 28 ust. 4 RODO. Aktualizuje rejestr, udostępnia informacje o zgodności i zapewnia przekazanie właściwych poleceń zwrotu/usuwania w całym łańcuchu. Nowe warunki handlowe wymagają odrębnego uzgodnienia.

8. Lokalizacje, dostęp i transfery międzynarodowe

8.1. Zatwierdzone lokalizacje przetwarzania i przechowywania, dostęp wsparcia oraz rzeczywiste dalsze transfery zapisuje się w Załączniku 3. BidFinance nie rozpoczyna przekazania do państwa trzeciego lub organizacji międzynarodowej bez udokumentowanego polecenia lub zezwolenia Administratora i zgodności z rozdziałem V RODO, z zastrzeżeniem punktu 5.2. Zezwolenie na dalsze powierzenie samo w sobie nie stanowi mechanizmu transferowego.

8.2. Dla każdego rzeczywistego transferu strony identyfikują właściwą decyzję stwierdzającą odpowiedni stopień ochrony i jej zakres albo konkretne stosowane zabezpieczenia, np. właściwe standardowe klauzule umowne, wymaganą ocenę i środki uzupełniające. BidFinance dostarcza odpowiednie informacje i kopie z uzasadnionymi wyłączeniami oraz informuje, gdy nie można już zapewnić zabezpieczeń. Transfer zostaje wówczas wstrzymany do ustalenia zgodnego z prawem rozwiązania.

8.3. Niniejsza DPA nie jest standardowymi klauzulami umownymi Komisji i sam nie stanowi instrumentu transferowego z rozdziału V. Lokalizacja serwera w EOG nie przesądza o lokalizacji dostępu wsparcia. Załącznik 3 rozróżnia rzeczywiste transfery od innych sytuacji dostępu, zamiast zakładać, że każda zagraniczna marka lub podróżujący pracownik oznacza transfer.

9. Pomoc w wykonywaniu praw osób

9.1. Z uwzględnieniem charakteru przetwarzania BidFinance, w miarę możliwości przez odpowiednie środki techniczne i organizacyjne, pomaga Administratorowi przy żądaniach z rozdziału III RODO, w tym wyszukiwaniu i eksporcie właściwych danych oraz wykonaniu uprawnionego sprostowania, ograniczenia lub usunięcia. Niezwłocznie przekazuje żądania dotyczące Danych Powierzonych kontaktowi z Załącznika 4, zachowując datę i zakres otrzymania.

9.2. BidFinance nie decyduje o merytorycznej odpowiedzi Administratora ani nie ujawnia danych wnioskodawcy bez polecenia, z wyjątkiem wykonania wiążącego obowiązku prawnego. Może potwierdzić otrzymanie i skierować osobę do Administratora. Weryfikuje uprawnienie do wydania polecenia i stosuje bezpieczny kanał odpowiedzi. Pomoc musi umożliwiać Administratorowi dotrzymanie właściwych terminów; eskalację i uzgodnione cele czasowe określa Załącznik 4, bez przedłużania terminów ustawowych.

10. Incydenty i pomoc na podstawie art. 32–36

10.1. BidFinance zgłasza Administratorowi naruszenie dotyczące Danych Powierzonych bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych. Korzysta z kontaktów incydentowych z Załącznika 4 i uzgodnionego kanału zastępczego, jeżeli doręczenie lub potwierdzenie odbioru nie nastąpi. Nie czeka na zakończenie dochodzenia i nie traktuje 72-godzinnego terminu Administratora na zgłoszenie organowi jako własnego czasu na zawiadomienie.

10.2. Wstępna informacja zawiera dostępne w danej chwili dane: charakter i czas naruszenia; dotknięte systemy i dane; kategorie oraz przybliżoną liczbę osób i rekordów, o ile można je ustalić; prawdopodobne skutki; podjęte ograniczenie i środki zaradcze; kontakt do dalszych ustaleń. Wskazuje się brakujące informacje i spodziewaną aktualizację. BidFinance przekazuje kolejne informacje etapami bez zbędnej zwłoki, zabezpiecza istotne dowody, ogranicza incydent i współpracuje przy naprawie.

10.3. Z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji BidFinance pomaga Administratorowi w ocenie bezpieczeństwa, dokumentowaniu i zgłaszaniu naruszeń, ocenie skutków dla ochrony danych oraz uprzednich konsultacjach na podstawie art. 32–36 RODO. Udostępnia właściwe opisy, ryzyka, zabezpieczenia i ustalenia dochodzenia. Administrator decyduje o zawiadomieniach dotyczących własnego przetwarzania; BidFinance zachowuje odpowiedzialność za obowiązki nałożone na nie bezpośrednio. Punkt nie zakazuje żadnej stronie zgłoszenia wymaganego prawem ani współpracy z organem nadzorczym. O ile jest to zgodne z prawem, BidFinance koordynuje działania i informuje Administratora przed takim ujawnieniem.

11. Informacje, audyt i rozliczalność

11.1. BidFinance udostępnia wszelkie informacje niezbędne do wykazania zgodności z art. 28 i DPA oraz umożliwia i wspiera audyty, w tym inspekcje Administratora lub upoważnionego przez niego audytora. Informacje obejmują właściwe środki, ustalenia dotyczące dalszego powierzenia, zapisy poleceń/usuwania i dowody reagowania na incydenty. BidFinance prowadzi wymaganą od niego dokumentację z art. 30 ust. 2, jeżeli ma zastosowanie, oraz współpracuje z właściwymi organami nadzorczymi.

11.2. Strony ustalają proporcjonalny zakres audytu, bezpieczny dostęp, poufność i rozsądne wcześniejsze zawiadomienie, uwzględniając dane innych klientów i ciągłość usług. W pierwszej kolejności można wykorzystać wystarczające dowody dokumentowe. Ustalenia nie mogą czynić prawa audytu nieskutecznym ani blokować pilnego dochodzenia, inspekcji wymaganej prawem lub niezbędnej kontroli następczej. Żaden certyfikat nie zastępuje w całości prawa do uzyskania odpowiednich informacji.

11.3. Ustalenia dokumentuje się, a istotne braki usuwa niezwłocznie według planu opartego na ryzyku, z właścicielami działań i terminami. Niniejszy wzór nie wprowadza taryfy audytu, limitu odpowiedzialności ani automatycznego obowiązku zwrotu kosztów; dotychczas uzgodnione warunki handlowe stosuje się wyłącznie w zakresie zgodnym z obowiązkami bezwzględnymi i skutecznym wykonywaniem tych praw.

12. Zwrot, usunięcie i pozostałe kopie

12.1. Po wystąpieniu wskazanego w poleceniu zdarzenia kończącego retencję lub zakończeniu usługi przetwarzania Administrator wybiera usunięcie wszystkich odpowiednich Danych Powierzonych albo ich bezpieczny zwrot i późniejsze usunięcie pozostałych kopii. BidFinance zwraca się o wybór przed planowanym zakończeniem, zgodnie z Załącznikiem 4. Format zwrotu, bezpieczne przekazanie i dopuszczalny okres weryfikacji należy uzgodnić bez tworzenia bezterminowej retencji. Domyślne polecenie usunięcia może obowiązywać tylko po wyraźnym wyborze w zawartym Załączniku 4; nieuzupełnione pole wzoru nie stanowi takiego polecenia.

12.2. BidFinance wykonuje zlecony zwrot/usunięcie, w tym kopii u Dalszych Podmiotów Przetwarzających i kopii zapasowych, w terminach określonych dla odpowiednich kategorii danych i kopii w Załączniku 4, zgodnie z właściwymi obowiązkami z punktu 12.21 Regulaminu i wiążących umów. Strony określają czynności i końcowe daty przed rozpoczęciem odpowiedniego przetwarzania. Dłuższego cyklu kopii zapasowych nie można ukrywać za informacją o usunięciu danych bieżących; dopuszczone etapowe usuwanie wymaga wyraźnie uzgodnionego, zgodnego z prawem i ograniczonego harmonogramu. Załącznik 4 sam w sobie nie przedłuża istniejącego wiążącego terminu.

12.3. Do zaplanowanego usunięcia pozostałe kopie zapasowe muszą być odizolowane, niedostępne do zwykłego użytku i wykorzystywane wyłącznie do uzgodnionego odtwarzania z zachowaniem tych samych zabezpieczeń. Po odtworzeniu polecenia usunięcia/ograniczenia należy ponownie zastosować przed zwykłym użyciem. Uzgodniony ostateczny termin usunięcia pozostaje wiążący. Ograniczenie techniczne samo w sobie nie jest prawnym wyjątkiem od usunięcia.

12.4. Przechowywanie wbrew poleceniu usunięcia jest dopuszczalne wyłącznie, gdy wymaga tego prawo Unii lub państwa członkowskiego. BidFinance wskazuje przepis, zakres danych i okres, informuje Administratora, chyba że prawo tego zabrania, ogranicza dostęp i przetwarzanie do wymaganego przechowywania oraz usuwa dane po ustaniu obowiązku. Ogólna możliwość przyszłych roszczeń nie uzasadnia zachowania całego powierzonego zbioru. Odrębna, niezbędna dokumentacja BidFinance jako administratora wymaga własnej podstawy prawnej, minimalnego zakresu i reguły retencji; nie powstaje przez zmianę etykiety kopii zapasowej.

12.5. Na żądanie BidFinance pisemnie potwierdza wykonanie, w tym odpowiednie potwierdzenie dalszego podmiotu, kategorie danych, daty i konkretnie uzasadniony pozostający wyjątek prawny. Nie potwierdza ukończonego usunięcia przed rzeczywistym wykonaniem czynności dotyczących uzgodnionych kopii.

13. Brak możliwości wykonania i zakończenie

13.1. BidFinance niezwłocznie informuje Administratora, jeśli nie może wykonać DPA. Strony ograniczają dotknięte przetwarzanie i uzgadniają zgodny z prawem plan naprawczy. Administrator może żądać wstrzymania do przywrócenia zgodności i zakończyć dane przetwarzanie, gdy naruszenia nie można usunąć albo zgodne z prawem rozwiązanie nie zostanie osiągnięte w uzgodnionym terminie naprawczym. Natychmiastowe działanie pozostaje możliwe, gdy wymaga tego prawo lub powaga ryzyka.

13.2. Zakończenie lub wstrzymanie nie zwalnia stron z ochrony, pomocy i obowiązków zwrotu/usunięcia. Wpływ na pozostałą część Umowy o Świadczenie Usług i rozliczenia handlowe wynika z właściwej umowy oraz bezwzględnie obowiązującego prawa; DPA nie tworzy nowych opłat ani nie zmienia wyników aukcji.

14. Relacja z innymi umowami i zmiany

14.1. Po wyraźnym zawarciu DPA reguluje operacje powierzone z Załącznika 1 i ma pierwszeństwo przed sprzecznymi postanowieniami o tym przetwarzaniu w zakresie uzgodnionej hierarchii Umowy o Świadczenie Usług i punktu 3.3 Regulaminu Platformy. Bezwzględnie obowiązujące prawo oraz właściwe standardowe klauzule umowne zachowują wymagane pierwszeństwo. Wszelkie istniejące odrębnie podpisane umowy, DPA i wyraźne hierarchie należy wskazać w Załączniku 4. Ich zmiana lub zastąpienie wymaga wyraźnego uzgodnienia wskazującego odpowiednie postanowienia; publikacja lub akceptacja ogólnej aktualizacji strony nie zastępuje ich milcząco.

14.2. Zmiany DPA i jej zakresu strony utrwalają na piśmie, w tym w wiążącej formie elektronicznej. Uzgodniona procedura zmian dalszych podmiotów oraz zwykłe udokumentowane polecenia operacyjne pozostają dostępne w swoim zakresie. Polecenia nie mogą jednostronnie usuwać zabezpieczenia ani zmieniać uzgodnionej hierarchii umów.

14.3. Prawo właściwe, zasady rozstrzygania sporów i ewentualny język rozstrzygający wynikają ze wskazanej Umowy o Świadczenie Usług w zakresie właściwym i zgodnym z prawem. Uzgodnione rozstrzygnięcie kolizji z istniejącą umową lub pierwszeństwo języka zapisuje się w Załączniku 4 przed zawarciem. Nieważność postanowienia nie zwalnia z bezwzględnych obowiązków RODO.

15. Zawarcie

Data zawarcia i identyfikator umowy: [uzupełnić dla tej umowy]. Wersje załączników zatwierdzone z DPA: [zatwierdzone wersje załączników]. Strony potwierdzają, że przed podpisaniem uzupełniono wymagane pola.

Załącznik 1. Specyfikacja przetwarzania i mapa operacji/ról

Przed rozpoczęciem przetwarzania strony uzupełniają Załącznik dla uzgodnionej usługi, klienta i portfela. Należy określić przestrzenie/portfele, źródło, kategorie danych i osób, uprawnionych odbiorców oraz niezbędność. Poniższe przykłady wskazują możliwy uzgodniony zakres; nie upoważniają do każdej wymienionej kategorii. Do wzoru nie należy wpisywać rzeczywistych danych dłużników.

Częstotliwość: na bieżąco wyłącznie podczas zatwierdzonych operacji przestrzeni/usługi; jednorazowy eksport lub usunięcie według polecenia. Dane z art. 9/10: wyłączone, chyba że wyraźny załącznik wskazuje kategorie, warunki prawne i wzmocnione środki. Zasięg geograficzny, skala i ryzyka dotyczące osób podatnych na zagrożenia: [zakres uzgodniony dla klienta]. Początek/koniec i pośrednie zdarzenia retencyjne: Załącznik 4.

Załącznik 2. Środki techniczne i organizacyjne

Dla przetwarzania określonego w Załączniku 1 BidFinance wdroży i utrzyma poniższe środki zgodnie z punktem 6 i art. 32 RODO. Przed rozpoczęciem właściwego przetwarzania strony określą we wskazanej poniżej specyfikacji bezpieczeństwa dodatkowe środki i parametry operacyjne niezbędne dla tego przetwarzania. Środki będą proporcjonalne do danych, uprawnionych czynności i ryzyk. Niniejszy załącznik nie ustanawia certyfikacji, gwarantowanego czasu odtworzenia ani konkretnej konfiguracji szyfrowania danych przechowywanych, chyba że wyraźnie określono je w uzgodnionej specyfikacji bezpieczeństwa.

Uzgodniona specyfikacja bezpieczeństwa: [oznaczenie i wersja dokumentu]. Właściwe systemy i zakres przetwarzania: [wskazać]. Dodatkowe środki oraz uzgodnione parametry przeglądów i odtwarzania: [określić lub wskazać uzupełnioną specyfikację]. Osoby odpowiedzialne i data zatwierdzenia: [uzupełnić dla tej umowy]. Poufne dowody bezpieczeństwa mogą być przekazywane uzgodnionym bezpiecznym kanałem; załącznik nie może zawierać danych uwierzytelniających ani rzeczywistych danych klientów.

Załącznik 3. Rejestr zatwierdzonego dalszego powierzenia i transferów

Przed odpowiednim powierzonym przetwarzaniem strony uzupełniają i zatwierdzają rejestr rzeczywistych podmiotów prawnych, operacji, lokalizacji i zabezpieczeń dla danych danego klienta. Wyłącznie uzupełnione i zatwierdzone wpisy tworzą początkowy wykaz na podstawie punktu 7.1. Usługi wykorzystywane wyłącznie do odrębnych operacji BidFinance jako administratora nie należą do rejestru dalszych podmiotów tego klienta. Sama kategoria usługi lub marka nie oznacza zatwierdzenia niezidentyfikowanego podmiotu.

Wersja/data zatwierdzonego rejestru: [wersja i data]. Uprawnione strony i odniesienie do zatwierdzenia: [dane]. Zmiany podlegają punktowi 7 i wykorzystują kontakty z Załącznika 4. Puste pola nie upoważniają do dostępu. Samo przechowywanie w EOG nie określa lokalizacji każdego dostępu w ramach wsparcia lub obsługi.

Załącznik 4. Polecenia, kontakty i zasady zakończenia

Zatwierdzenie przez uprawnionych przedstawicieli: [data, osoby/role i podpis lub odniesienie do wiążącego zatwierdzenia elektronicznego]. Strony uzupełniają i zatwierdzają wymagane pola dla danego klienta i załączniki przed odpowiednim przetwarzaniem; publikacja lub pobranie wzoru nie oznacza takiego zatwierdzenia.