Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony umowy

1. Administrator: klient usługi Leadomat, przedsiębiorca, który zaakceptował regulamin i zakupił plan (dalej: Administrator).
2. Podmiot przetwarzający: Marketcode Sp. z o.o. z siedzibą w Krakowie, ul. Mogilska 43, 31-545 Kraków, wpisana do rejestru przedsiębiorców KRS pod numerem 0001004108 (Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie, XI Wydział Gospodarczy KRS), NIP 675-177-40-99, REGON 523741450, operator serwisu leadomat.pl, adres e-mail: kontakt@leadomat.pl (dalej: Podmiot przetwarzający).
3. Umowa jest zawierana na podstawie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie potrzebnym do świadczenia usługi Leadomat opisanej w regulaminie.
2. Charakter przetwarzania: zbieranie danych firmowych z legalnych źródeł, uzupełnianie i weryfikacja kontaktów służbowych, zapisywanie źródła danych, scoring, przygotowanie i wysyłka wiadomości z domen i skrzynek Administratora, kwalifikacja odpowiedzi, prowadzenie listy wypisanych, umawianie spotkań, synchronizacja z CRM Administratora, przechowywanie, eksport i usuwanie danych.
3. Cel przetwarzania: prowadzenie kampanii outbound B2B Administratora, obsługa odpowiedzi i spotkań oraz obsługa konta Administratora w usłudze.

§ 3. Kategorie osób i danych

1. Kategorie osób, których dane dotyczą: pracownicy i reprezentanci firm pasujących do ICP Administratora oraz użytkownicy konta Administratora (jego pracownicy i współpracownicy).
2. Kategorie danych: imię, nazwisko, stanowisko, służbowy adres e-mail, służbowy numer telefonu (jeśli został podany), nazwa firmy, publiczne informacje o firmie, treść korespondencji, źródło i data pozyskania danych, informacja o wypisie lub sprzeciwie.
3. Przedmiotem powierzenia nie są dane szczególnych kategorii, o których mowa w art. 9 RODO, ani dane dotyczące wyroków skazujących. Administrator nie przekazuje takich danych do usługi.

§ 4. Czas trwania

1. Umowa obowiązuje przez czas świadczenia usługi na rzecz Administratora.
2. Po zakończeniu usługi Podmiot przetwarzający przetwarza dane wyłącznie w zakresie potrzebnym do ich zwrotu lub usunięcia zgodnie z § 10.

§ 5. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są w szczególności regulamin, ta umowa oraz ustawienia i działania Administratora w panelu usługi.
2. Jeśli prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
4. Podmiot przetwarzający dopuszcza do danych wyłącznie osoby, które zobowiązały się do zachowania poufności albo podlegają ustawowemu obowiązkowi poufności, i tylko w zakresie potrzebnym do wykonania usługi.
5. Podmiot przetwarzający stosuje środki techniczne i organizacyjne z art. 32 RODO, w szczególności szyfrowanie połączeń, szyfrowanie danych w spoczynku, kontrolę dostępu, role i uprawnienia, kopie zapasowe oraz regularne testowanie skuteczności zabezpieczeń.

§ 6. Pomoc w realizacji praw i obowiązków

1. Podmiot przetwarzający pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, w szczególności przez narzędzia w panelu: eksport danych kontaktu, usunięcie kontaktu, informację o źródle danych i listę wypisanych.
2. Żądanie osoby, które trafi bezpośrednio do Podmiotu przetwarzającego, jest niezwłocznie przekazywane Administratorowi. Żądanie wypisu lub sprzeciw Podmiot przetwarzający od razu wykonuje przez zablokowanie adresu na liście wypisanych konta Administratora.
3. Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32 do 36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji.

§ 7. Naruszenie ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje oraz podjęte lub proponowane środki zaradcze. Informacje, których nie da się podać od razu, są przekazywane niezwłocznie w kolejnych etapach.
3. Zgłoszenie jest wysyłane na adres e-mail konta Administratora.

§ 8. Audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt lub inspekcję samodzielnie albo przez upoważnionego audytora zobowiązanego do poufności, po zawiadomieniu Podmiotu przetwarzającego z wyprzedzeniem co najmniej 14 dni, w godzinach pracy i w sposób, który nie zakłóca działania usługi dla innych klientów.
3. Audyt dotyczy wyłącznie danych Administratora i środków ich ochrony. Koszty audytu ponosi Administrator.

§ 9. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania danych podmiotom z następujących kategorii: dostawcy hostingu i infrastruktury serwerowej w Europejskim Obszarze Gospodarczym, dostawcy modelu językowego, który przygotowuje treści wiadomości i klasyfikuje odpowiedzi, oraz dostawcy integracji wybranych przez Administratora, w szczególności jego skrzynek pocztowych, kalendarzy i CRM.
2. Dostawcy integracji wybrani przez Administratora (na przykład Google Workspace, Microsoft 365, Pipedrive, HubSpot, Salesforce, Livespace) działają na podstawie umów zawartych przez Administratora, a Podmiot przetwarzający przekazuje im dane wyłącznie w zakresie połączenia skonfigurowanego przez Administratora.
3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, które wynikają z tej umowy, i odpowiada wobec Administratora za ich wykonanie.
4. Podmiot przetwarzający informuje Administratora mailem o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego co najmniej 14 dni przed zmianą. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeśli strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę o świadczenie usługi ze skutkiem na dzień zmiany.
5. Jeśli dalsze powierzenie wiąże się z przekazaniem danych poza Europejski Obszar Gospodarczy, odbywa się ono na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo innego mechanizmu z rozdziału V RODO.

§ 10. Usunięcie lub zwrot danych

1. Po zakończeniu świadczenia usługi Administrator może pobrać eksport swoich danych przez 30 dni.
2. Po upływie tego terminu Podmiot przetwarzający usuwa dane Administratora, w tym ich kopie, chyba że prawo Unii lub państwa członkowskiego nakazuje ich dalsze przechowywanie. Kopie zapasowe są usuwane w ramach ich zwykłego cyklu.
3. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych mailem.

§ 11. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone naruszeniem RODO na zasadach określonych w art. 82 RODO.
2. W pozostałym zakresie odpowiedzialność stron ustala regulamin, w tym postanowienia o ograniczeniu odpowiedzialności, w zakresie dopuszczalnym przez prawo.
3. Administrator odpowiada za posiadanie podstawy prawnej przetwarzania danych osób kontaktowych, za treść kampanii i za zgodność poleceń z prawem.

§ 12. Postanowienia końcowe

1. W sprawach nieuregulowanych w umowie stosuje się regulamin i przepisy RODO. W razie sprzeczności w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.
2. Zmiany umowy wymagają formy dokumentowej. O zmianie wzoru Podmiot przetwarzający informuje Administratora mailem z wyprzedzeniem co najmniej 14 dni.
3. Prawem właściwym dla umowy jest prawo polskie.
4. Umowę w formie dokumentowej lub pisemnej, z danymi Administratora, przygotowujemy na żądanie wysłane na kontakt@leadomat.pl.

Napisz na kontakt@leadomat.pl