Podprocesorzy i odbiorcy danych

Po co jest ta strona

Spotykają się tu dwa obowiązki. Art. 13 ust. 1 lit. e RODO nakazuje nam wskazać, kto otrzymuje dane osobowe. Art. 28 ust. 2 nakazuje poinformować naszych klientów, zanim dopuścimy nowego podprocesora do danych, które nam powierzyli. Jeden opublikowany wykaz spełnia oba obowiązki i oznacza, że ani Ty, ani dział zakupów nie musicie prosić nas o listę.

Ta strona jest załącznikiem 3 do umowy powierzenia. To ten sam wykaz, generowany z tego samego źródła.

Jak czytać obie role

Podmiot przetwarzający — działa wyłącznie na nasze udokumentowane polecenie, na podstawie umowy pisemnej przenoszącej wszystkie obowiązki, które mamy wobec Ciebie, w tym środki bezpieczeństwa i zabezpieczenia przekazywania. Pozostajemy w pełni odpowiedzialni za jego działania. To podprocesorzy w rozumieniu art. 28 ust. 4.

Odrębny administrator — otrzymuje dane osobowe, ale samodzielnie decyduje o celach co najmniej części tego, co robi, więc nie jest naszym podprocesorem i nie możemy wydawać mu poleceń. Przypadkiem, który ma znaczenie, jest Tpay: aby zrealizować i rozliczyć płatność oraz wykonać własne obowiązki z prawa usług płatniczych, przepisów o przeciwdziałaniu praniu pieniędzy, prawa rachunkowego i regulaminów organizacji kartowych, Tpay decyduje samodzielnie. Publikuje własną informację o przetwarzaniu danych, a Tobie przysługuje wobec niego pełny katalog praw z RODO, niezależnie od praw wobec nas. Opisanie Tpay jako naszego podmiotu przetwarzającego byłoby wygodne i nieprawdziwe.

Zasady, którymi się wiążemy

• Utrzymujemy krótką listę. Każdy dostawca to kolejne miejsce, w którym coś może pójść nie tak, więc nowy musi zasłużyć na swoje miejsce. Cały wykaz da się przeczytać w minutę; to celowe.
• 30 dni wyprzedzenia przed zmianą. Przed dodaniem albo zmianą podprocesora informujemy klientów z co najmniej 30-dniowym wyprzedzeniem, e-mailem albo w produkcie.
• Możesz wnieść sprzeciw. Z uzasadnionych przyczyn dotyczących ochrony danych, w tym 30-dniowym terminie. Jeśli nie znajdziemy działającej alternatywy, możesz wypowiedzieć objętą sprawą subskrypcję bez kar i odzyskać niewykorzystany opłacony okres. Sprzeciw nie jest naruszeniem umowy i nie będziemy go tak traktować.
• Te same obowiązki w dół łańcucha. Każda umowa nakłada obowiązki z umowy powierzenia, w tym środki bezpieczeństwa z załącznika 2 oraz standardowe klauzule umowne tam, gdzie przekazanie tego wymaga.
• Żadnego trenowania na Twoich danych. Dostawca AI ma umowny zakaz wykorzystywania Twoich danych wejściowych i wyjściowych do trenowania swoich modeli.
• Publikujemy to, co jest w użyciu, nie to, czego moglibyśmy użyć. Dostawca skonfigurowany, ale wyłączony, nie pojawia się tutaj; gdy go włączymy, pojawi się — po uprzednim powiadomieniu.

Przekazywanie poza EOG

Pozycje oznaczone gwiazdką wiążą się z przekazaniem do państwa trzeciego albo dostępem z takiego państwa. Instrumentem przekazania są standardowe klauzule umowne Komisji Europejskiej — art. 46 ust. 2 lit. c RODO, zawarte z każdym dostawcą w ramach jego umowy powierzenia, wsparte oceną skutków przekazania oraz szyfrowaniem, kontrolą dostępu i minimalizacją z załącznika 2. Jeżeli dostawca posiada dodatkowo certyfikację w ramach EU–US Data Privacy Framework, stosuje się ona uzupełniająco; nie opieramy się na niej samodzielnie.

Poproś nas o klauzule dotyczące konkretnego dostawcy i prześlemy je: [email protected].

Kto jeszcze może zobaczyć dane osobowe, poza tym wykazem

Nie każdy odbiorca jest dostawcą technologii, więc dla kompletności: nasze biuro rachunkowe i doradca podatkowy, nasz bank oraz — gdy musimy ustalić lub obronić roszczenie — prawnicy, audytorzy albo ubezpieczyciele. Organy publiczne otrzymują dane wyłącznie wtedy, gdy przepis prawa zobowiązuje nas do ich przekazania; weryfikujemy podstawę przed udzieleniem odpowiedzi, a nie traktujemy nieformalnego zapytania jako polecenia. Wszystko to opisuje polityka prywatności.

Wykaz

Stan na dzień wskazany na początku tej strony.