Informacje prawne

Umowa powierzenia przetwarzania danych

Ostatnia aktualizacja: 1 listopada 2026

To tłumaczenie jest udostępnione dla Twojej wygody. Prawnie wiążąca jest wersja angielska i to ona ma pierwszeństwo, jeśli obie wersje się różnią. Przeczytaj wersję angielską.

Niniejsza Umowa powierzenia przetwarzania danych („Umowa DPA”) stanowi część Regulaminu zawartego między Klientem a Astrizon Technology Solutions Private Limited (spółka zarejestrowana w Indiach) („Podmiot przetwarzający”). Ma zastosowanie, ilekroć Podmiot przetwarzający przetwarza dane osobowe w imieniu Klienta za pośrednictwem Zolensa. Jeśli Klient działa jako podmiot przetwarzający dla własnego klienta, Podmiot przetwarzający jest jego podmiotem podprzetwarzającym, a warunki stosuje się odpowiednio.

1. Definicje

„Prawo ochrony danych” oznacza przepisy mające zastosowanie do przetwarzania, w tym ogólne rozporządzenie Unii Europejskiej o ochronie danych (RODO), brytyjskie RODO (UK GDPR) i brytyjską ustawę o ochronie danych z 2018 r. (Data Protection Act 2018), szwajcarską federalną ustawę o ochronie danych, indyjską ustawę o ochronie danych osobowych w formie cyfrowej z 2023 r. (Digital Personal Data Protection Act, DPDP) oraz przepisy stanowe USA, takie jak kalifornijska ustawa o prywatności konsumentów (California Consumer Privacy Act, CCPA). „Dane osobowe”, „Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą”, „Naruszenie ochrony danych osobowych” i „Przetwarzanie” mają znaczenie nadane w RODO. „Dane osobowe Klienta” oznaczają Dane osobowe przetwarzane przez Podmiot przetwarzający dla Klienta za pośrednictwem Usługi.

2. Role i polecenia

Klient jest Administratorem (lub Podmiotem przetwarzającym działającym na rzecz swojego klienta), a Podmiot przetwarzający przetwarza Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta. Poleceniami tymi są Regulamin, niniejsza Umowa DPA oraz sposób, w jaki Klient korzysta z Usługi, i jej ustawienia. Podmiot przetwarzający informuje Klienta, jeśli uważa, że polecenie narusza Prawo ochrony danych. Szczegóły przetwarzania znajdują się w Załączniku I.

3. Poufność

Podmiot przetwarzający zapewnia, że każda osoba upoważniona do przetwarzania Danych osobowych Klienta jest związana obowiązkiem poufności i ma dostęp wyłącznie w zakresie, jakiego wymaga jej rola.

4. Bezpieczeństwo

Podmiot przetwarzający wdraża środki techniczne i organizacyjne opisane w Załączniku II, odpowiednie do ryzyka, i może je aktualizować, o ile ogólny poziom ochrony nie ulegnie obniżeniu.

5. Podmioty podprzetwarzające

Klient udziela ogólnej zgody na korzystanie z podmiotów podprzetwarzających wymienionych na stronie Podmioty podprzetwarzające. Podmiot przetwarzający informuje o nowym podmiocie podprzetwarzającym z co najmniej 30-dniowym wyprzedzeniem, aktualizując tę stronę i wysyłając e-mail do właścicieli przestrzeni roboczych. Klient może w tym terminie zgłosić sprzeciw z uzasadnionych powodów związanych z ochroną danych; jeśli strony nie uzgodnią rozwiązania, Klient może zakończyć korzystanie z danej usługi i otrzymać zwrot z góry opłaconych opłat za pozostały okres. Podmiot przetwarzający nakłada na każdy podmiot podprzetwarzający obowiązki w zakresie ochrony danych nie mniej rygorystyczne niż niniejsza Umowa DPA i pozostaje za nie odpowiedzialny.

6. Przekazywanie danych za granicę

Podmiot przetwarzający hostuje Usługę w Indiach, a niektóre podmioty podprzetwarzające znajdują się w innych krajach. W przypadku przekazywania Danych osobowych z Europejskiego Obszaru Gospodarczego strony przyjmują standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, Moduł drugi (administrator do podmiotu przetwarzającego) i, gdy Klient jest podmiotem przetwarzającym, Moduł trzeci (podmiot przetwarzający do podmiotu przetwarzającego), które są włączone przez odesłanie z następującymi wyborami: klauzula 7 nie ma zastosowania; w klauzuli 9 stosuje się opcję 2 (ogólne upoważnienie) z 30-dniowym terminem zawiadomienia; opcjonalne sformułowanie w klauzuli 11 nie ma zastosowania; klauzula 13 podąża za miejscem siedziby Klienta; w klauzulach 17 i 18 stosuje się prawo i sądy Irlandii; Załączniki I i II do niniejszej Umowy DPA uzupełniają załączniki do klauzul. W przypadku przekazywania ze Zjednoczonego Królestwa stosuje się Aneks dotyczący międzynarodowego transferu danych (International Data Transfer Addendum) wydany przez Information Commissioner, a w przypadku Szwajcarii klauzule stosuje się, a odniesienia do nich odczytuje się jako odniesienia do prawa szwajcarskiego. W razie sprzeczności tych klauzul z niniejszą Umową DPA pierwszeństwo mają klauzule.

7. Pomoc dla Klienta

Z uwzględnieniem charakteru przetwarzania Podmiot przetwarzający pomaga Klientowi, głównie za pomocą funkcji Usługi, w odpowiadaniu na żądania Osób, których dane dotyczą, a także w zakresie bezpieczeństwa, powiadamiania o naruszeniach, ocen skutków dla ochrony danych i konsultacji z organami. Jeśli Osoba, której dane dotyczą, skontaktuje się bezpośrednio z Podmiotem przetwarzającym, przekazuje on to żądanie Klientowi, nie odpowiadając na nie, chyba że prawo wymaga inaczej.

8. Naruszenia ochrony danych osobowych

Podmiot przetwarzający zawiadamia Klienta bez zbędnej zwłoki, w każdym razie w ciągu 48 godzin od stwierdzenia Naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta, przekazując informacje potrzebne Klientowi do wykonania jego własnych obowiązków, i na bieżąco informuje Klienta w miarę ujawniania się nowych faktów. Podmiot przetwarzający podejmuje rozsądne kroki w celu ograniczenia naruszenia i zmniejszenia jego skutków.

9. Usunięcie i zwrot

Klient może w każdej chwili eksportować i usuwać Dane osobowe Klienta za pośrednictwem Usługi oraz ustala okres przechowywania dla każdego badania. Po zakończeniu umowy Podmiot przetwarzający usuwa wszystkie Dane osobowe Klienta, w tym pliki w magazynie, w ciągu 30 dni po okresie eksportu określonym w Regulaminie, chyba że prawo wymaga od niego zachowania części z nich; wtedy zachowuje te dane w poufności i przetwarza je wyłącznie w tym celu.

10. Audyty

Podmiot przetwarzający udostępnia informacje racjonalnie potrzebne do wykazania zgodności z niniejszą Umową DPA. Klient może przeprowadzić audyt lub zlecić go niezależnemu audytorowi związanemu obowiązkiem poufności raz w roku, z 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania Usługi i danych innych klientów, na własny koszt; albo częściej, jeśli wymaga tego Naruszenie ochrony danych osobowych lub organ.

11. Stanowe przepisy USA o prywatności

Tam, gdzie ma zastosowanie kalifornijska ustawa o prywatności konsumentów (CCPA) lub podobne przepisy, Podmiot przetwarzający jest dostawcą usług (service provider) i nie będzie sprzedawać ani udostępniać Danych osobowych Klienta, zachowywać, wykorzystywać ani ujawniać ich poza bezpośrednią relacją biznesową ani w celu innym niż Usługa, ani łączyć ich z innymi danymi osobowymi, z wyjątkiem przypadków dozwolonych przez te przepisy. Podmiot przetwarzający poinformuje Klienta, jeśli nie będzie już w stanie wypełniać tych obowiązków.

12. Odpowiedzialność i kolejność pierwszeństwa

Odpowiedzialność każdej ze stron na podstawie niniejszej Umowy DPA podlega ograniczeniom określonym w Regulaminie, z wyjątkiem sytuacji, gdy Prawo ochrony danych na to nie pozwala. W razie sprzeczności niniejszej Umowy DPA z Regulaminem w kwestii ochrony danych pierwszeństwo ma niniejsza Umowa DPA.

13. Załącznik I: Szczegóły przetwarzania

14. Załącznik II: Środki techniczne i organizacyjne

• Szyfrowanie w transmisji za pomocą TLS dla wszystkich połączeń; nagrania przechowywane prywatnie i udostępniane przez podpisane linki, które wygasają.
• Hasła hashowane algorytmem Argon2id; uwierzytelnianie dwuskładnikowe wymagane dla właścicieli przestrzeni roboczych i pracowników platformy; klucze dostawców i sekrety uwierzytelniania dwuskładnikowego szyfrowane w spoczynku.
• Dostęp oparty na rolach w każdej przestrzeni roboczej; klienci widzą uczestników wyłącznie pod kodem; dane kontaktowe ograniczone do zespołu badawczego.
• Rozdzielenie danych klientów w aplikacji według przestrzeni roboczych; każde żądanie jest sprawdzane pod kątem przestrzeni roboczej i roli użytkownika.
• Limity żądań dla logowania, zaproszeń i przesyłania plików; ochrona przed fałszowaniem żądań między witrynami (CSRF); nagłówki bezpieczeństwa.
• Dziennik audytu logowań, zaproszeń, zgód, eksportów, pobrań i usunięć.
• Minimalizacja danych: dane o lokalizacji usuwane ze zdjęć; przesyłane pliki sprawdzane pod kątem typu i rozmiaru; pobierane pliki wygasają po siedmiu dniach.
• Okres przechowywania ustalany przez Klienta dla każdego badania; usuwanie uczestników, badań i całych przestrzeni roboczych wraz z plikami.
• Utwardzanie serwerów, regularne aktualizacje bezpieczeństwa, zapora sieciowa i kopie zapasowe przechowywane przez dostawcę hostingu.
• Pracownicy z dostępem związani obowiązkiem poufności, z dostępem ograniczonym do tego, czego wymaga ich praca.
• Proces wykrywania i oceny Naruszeń ochrony danych osobowych oraz zawiadamiania o nich w ciągu 48 godzin.