Zasady powierzenia danych

Strony, status i przedmiot

Multidoradztwo Jakub Głowiński — Jakub Głowiński prowadzący działalność gospodarczą wpisaną do CEIDG. Adres: ul. Herbu Oksza 14/112, 02-495 Warszawa. NIP: 5223268699, REGON: 526194050. Kontakt: jakub.glowinski@aktywnysenior.com.pl.

To adres operatora aplikacji i do korespondencji, nie adres gabinetów lub punktów usługowych przedstawianych w serwisie.

Administrator powierzający to konkretny dostawca wskazany w umowie konta, z jego pełnymi danymi i reprezentacją. Operator występuje jako podmiot przetwarzający wyłącznie dla danych powierzanych do obsługi współpracy. Dla własnych celów konta, bezpieczeństwa i rozliczeń pozostaje administratorem w zakresie opisanym w polityce prywatności.

To projekt warunków z art. 28 RODO, a nie oświadczenie o już zawartej umowie. Przed rozpoczęciem powierzenia strony muszą uzgodnić wersję, dane administratora, instrukcje, zakres, listę dalszych podmiotów, lokalizacje i retencję oraz utrwalić akceptację. Ogólna zgoda na kontakt nie jest umową powierzenia.

Charakter, cel, osoby i dane

Celem jest techniczne udostępnienie narzędzi dostawcy: rejestrowanie, porządkowanie, przechowywanie, odczyt, aktualizacja, przekazywanie uprawnionemu klientowi, eksport, zabezpieczanie, odtwarzanie i usuwanie danych. Czas wynika z umowy i uzgodnionego zakończenia przetwarzania.

Osoby: klienci i ich prawidłowo upoważnieni przedstawiciele oraz osoby zaangażowane we współpracę. Dane: identyfikacja i kontakt, przypisania, terminy, wiadomości, dokumenty, ustalenia, plany, notatki i rozliczenia w niezbędnym zakresie. Dane o zdrowiu są dopuszczalne wyłącznie, gdy administrator ma właściwą przesłankę z art. 9 RODO i dany moduł oraz dostawcy zostali dopuszczeni do takiego zakresu.

Operator nie wykorzystuje powierzonych danych do własnego marketingu, sprzedaży baz, niezależnego profilowania klientów ani trenowania własnych modeli. Przekazanie danych do zewnętrznego AI nie jest objęte dorozumianym poleceniem wynikającym z samego posiadania generatora.

Instrukcje i obowiązki administratora

Udokumentowanym poleceniem są zaakceptowane postanowienia umowy, uzgodniona konfiguracja oraz działania uprawnionego użytkownika w ich granicach. Polecenie nie może rozszerzać dostępu do danych innego specjalisty. Administrator odpowiada za podstawę pozyskania danych, obowiązek informacyjny, niezbędność zakresu, poprawność danych, upoważnienie personelu i zgodne z prawem terminy przechowywania.

Operator informuje, gdy polecenie jego zdaniem narusza RODO lub inne właściwe przepisy ochrony danych. Przetwarza dane także, gdy wymaga tego prawo, z uprzednią informacją dla administratora, chyba że prawo zakazuje jej udzielenia. Dane nie mogą być udostępnione koordynatorowi tylko z racji jego roli.

Poufność i zabezpieczenia

Operator zapewnia zobowiązanie upoważnionych osób do poufności oraz środki odpowiednie do ryzyka według art. 32 RODO. Obejmują one kontrolę dostępu i sesji, izolację współpracy, zabezpieczenia transmisji, ochronę danych uwierzytelniających, rejestr istotnych operacji, kopie i weryfikację odtworzenia. Dokładny opis konfiguracji, upoważnień, miejsc przechowywania i procedur stanowi część uzgodnień, nie domniemaną certyfikację.

Uprawnienia masteradmina mają charakter techniczny. Wgląd jest ograniczany zadaniem i instrukcją lub obowiązkiem prawnym, z poufnością i kontrolą. Dostęp klienta do oznaczonych materiałów nie oznacza udostępnienia wewnętrznych notatek ani cudzych dokumentów.

Dalsze powierzenie i transfery

Lista do potwierdzenia przed zawarciem obejmuje: hosting i kopie (obecnie Hetzner), faktycznego dostawcę poczty, utrzymanie i wsparcie oraz — tylko dla wybranej integracji — dostawcę AI i usług kalendarzowych. Dla każdego należy wskazać pełny podmiot, usługę, kategorie danych, kraj przetwarzania, umowę, ewentualny transfer i zabezpieczenie. Brak tych informacji nie oznacza zgody na powierzenie.

Po zatwierdzeniu listy dalsze podmioty mogą być dodawane na zasadzie odrębnej zgody albo uzgodnionego upoważnienia ogólnego. Przy upoważnieniu ogólnym operator informuje o zmianie co najmniej 30 dni wcześniej, dając czas na uzasadniony sprzeciw. Strony uzgadniają alternatywę lub zakończenie objętej zmiany usługi przed przekazaniem do zakwestionowanego podmiotu.

Na dalszy podmiot nakłada się obowiązki ochrony nie mniej rygorystyczne niż w tej umowie w odpowiednim zakresie. Operator pozostaje wobec administratora odpowiedzialny za wykonanie tych obowiązków. Transfer poza EOG wymaga udokumentowanej podstawy z rozdziału V RODO i odpowiedniej oceny ryzyka.

Prawa osób, incydenty i kontrola

Operator, uwzględniając charakter przetwarzania i dostępne informacje, pomaga w realizacji praw osób, zapewnieniu bezpieczeństwa, zgłoszeniach naruszeń, ocenie skutków dla ochrony danych i uprzednich konsultacjach. Żądania dotyczące powierzonych danych przekazuje administratorowi bez samodzielnego rozstrzygania ponad instrukcję lub obowiązek prawny.

O naruszeniu ochrony danych powierzonych operator zawiadamia administratora bez zbędnej zwłoki po stwierdzeniu. Przekazuje znane okoliczności, zakres i kategorie, możliwe skutki, środki zaradcze i kontakt. Informacje może uzupełniać etapami. Ustawowy 72-godzinny termin zgłoszenia organowi przez administratora nie jest terminem, przez który procesor może zwlekać.

Udostępnia informacje potrzebne do wykazania zgodności z art. 28 i umożliwia audyty, w tym inspekcje administratora lub upoważnionego audytora. Uzgodnienia organizacyjne chronią innych klientów i bezpieczeństwo, ale nie znoszą ustawowego prawa kontroli.

Zakończenie i zwrot lub usunięcie danych

Po zakończeniu usługi administrator wybiera zwrot danych i usunięcie kopii albo samo usunięcie, chyba że obowiązek prawa nakazuje zachowanie. Uzgodniony eksport powinien być przydatny i odpowiednio zabezpieczony. Operator potwierdza wykonanie uzgodnionej operacji; okresy ustawowego zachowania wyodrębnia od bieżącej obsługi.

Terminy wykonania, zakres eksportu, retencja logów oraz rotacja kopii zapasowych muszą znaleźć się w harmonogramie zaakceptowanym przed rozpoczęciem powierzenia. Kopie z danymi wyłączonymi z użycia pozostają chronione i są usuwane w uzgodnionej rotacji; przy odtworzeniu stosuje się ponownie skuteczne dyspozycje usunięcia. Nie wolno uznać samego wyłączenia konta za wykonanie obowiązku usunięcia.