Umowa powierzenia przetwarzania danych
Zasady powierzenia danych klientów praktyki, obejmujące role, instrukcje, zabezpieczenia, dalszych przetwarzających i zakończenie współpracy.
Pełna treść: poniżej znajduje się dokładna wersja wyświetlana przed potwierdzeniem w aplikacji. Merdilo zapisuje numer wersji i skrót SHA-256, aby można było jednoznacznie odtworzyć zaakceptowany dokument.
1. Role stron i pierwszeństwo umowy
Administratorem jest praktyka wskazana przy obszarze roboczym, a podmiotem przetwarzającym Software Damian Wiliński, ul. Władysława Łokietka 5, 87-100 Toruń, NIP 9562270904, REGON 341538899. W zakresie dokumentacji opiekunów i spraw praktyka jest administratorem, a Merdilo procesorem. Dla konta, relacji B2B, rozliczeń, bezpieczeństwa, audytu i wsparcia Merdilo jest odrębnym administratorem zgodnie z polityką prywatności Pro. Umowa powierzenia zostaje zawarta wraz z regulaminem i ma pierwszeństwo w sprawach przetwarzania powierzonego.
2. Przedmiot i czas przetwarzania
Merdilo przetwarza dane w celu wykonania skonfigurowanych funkcji Pro przez czas obowiązywania umowy oraz późniejszy okres niezbędny do zwrotu lub usunięcia danych, wygaśnięcia izolowanych kopii zapasowych, zapewnienia bezpieczeństwa albo wykonania obowiązku prawnego. Merdilo nie nabywa własnego celu dla treści praktyki. Ustawienia retencji dostępne w usłudze stanowią udokumentowane polecenie praktyki, z zastrzeżeniem obowiązków prawnych i uzasadnionego zabezpieczenia roszczeń.
3. Charakter i cel
Operacje obejmują zapisywanie, porządkowanie, odczyt, udostępnianie uprawnionym osobom, wysyłkę komunikacji, przygotowanie dokumentów, eksport, ograniczenie, anonimizację i usuwanie na polecenie praktyki. Celem jest obsługa praktyki, prowadzonych spraw, terminów, zaleceń i uzgodnionej komunikacji.
4. Osoby i rodzaje danych
Osobami, których dane dotyczą, mogą być opiekunowie psów, domownicy, osoby kontaktowe, uczestnicy zajęć, potencjalni klienci i członkowie zespołu praktyki. Dane mogą obejmować identyfikację i kontakt, terminy, płatności, treść formularzy i wiadomości, informacje o gospodarstwie domowym, obserwacje sprawy, pliki oraz techniczne dane bezpieczeństwa. Praktyka nie powinna przekazywać danych nadmiarowych ani szczególnych kategorii bez udokumentowanej potrzeby i podstawy.
5. Udokumentowane polecenia
Merdilo przetwarza dane wyłącznie na udokumentowane polecenia praktyki wynikające z konfiguracji i użycia usługi, chyba że prawo nakazuje inne działanie. W takim przypadku Merdilo informuje praktykę przed przetwarzaniem, o ile prawo tego nie zabrania. Merdilo informuje także, gdy w jego ocenie polecenie narusza przepisy o ochronie danych.
6. Poufność i bezpieczeństwo
Osoby upoważnione do danych są związane poufnością. Merdilo utrzymuje środki adekwatne do ryzyka, obejmujące kontrolę dostępu i najmniejsze potrzebne uprawnienia, rozdzielenie obszarów praktyk, szyfrowanie transmisji i usług przechowywania, logowanie operacji wrażliwych, kopie zapasowe, zarządzanie podatnościami, ograniczanie nadużyć, testy reguł dostępu i procedury reagowania na incydenty. Środki te stanowią Załącznik B i mogą być aktualizowane zgodnie z ryzykiem bez obniżania ogólnego poziomu ochrony.
7. Dalsi przetwarzający
Praktyka udziela ogólnej pisemnej zgody na dalszych przetwarzających z wersjonowanej listy Merdilo. Merdilo nakłada zasadniczo równoważne obowiązki i odpowiada za ich wykonanie w zakresie prawa. Planowana zmiana jest komunikowana właścicielowi co najmniej 30 dni wcześniej, chyba że pilne bezpieczeństwo wymaga krótszego terminu. Nowy podmiot jest wpisywany na listę z datą, od której może otrzymać dane; przed tą datą funkcja, która z niego korzysta, pozostaje wyłączona. Uzasadniony sprzeciw jest rozpatrywany w dobrej wierze; brak rozwiązania może prowadzić do zakończenia objętego zakresu.
8. Transfery międzynarodowe
Transfer poza Europejski Obszar Gospodarczy następuje tylko z ważnym mechanizmem, np. decyzją stwierdzającą odpowiedni stopień ochrony albo standardowymi klauzulami umownymi, oraz odpowiednimi środkami uzupełniającymi. Regionalna konfiguracja usługi nie oznacza, że każda globalna warstwa dostawcy lub wsparcie pozostaje w jednym kraju. Warunki, transfery i konfiguracja są weryfikowane okresowo oraz przy istotnej zmianie dostawcy.
9. Prawa osób i obowiązki administratora
Merdilo, z uwzględnieniem charakteru przetwarzania, wspiera praktykę w obsłudze dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu. Praktyka odpowiada za weryfikację tożsamości, zakres, podstawę prawną i ostateczną odpowiedź. Merdilo nie odpowiada bezpośrednio osobie zamiast praktyki, chyba że wymaga tego prawo.
10. Incydenty, oceny skutków i konsultacje
Merdilo informuje praktykę o naruszeniu bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego potwierdzenia, i przekazuje dostępne informacje o charakterze, kategoriach, przybliżonej skali, skutkach, środkach i kontakcie, uzupełniając je etapami. Merdilo wspiera praktykę w obowiązkach dotyczących bezpieczeństwa, oceny skutków i konsultacji w zakresie posiadanych informacji i charakteru usługi. Zgłoszenia kieruje się na kontakt@merdilo.com; właściciel obszaru otrzymuje komunikację dostępnymi kanałami operacyjnymi.
11. Informacje i audyt
Merdilo udostępnia informacje potrzebne do wykazania zgodności i umożliwia rozsądny audyt, zaczynając od dokumentacji, raportów i odpowiedzi zdalnych. Inspekcja na miejscu wymaga uzasadnienia, ochrony innych klientów, poufności i uzgodnienia kosztów. Tryb nie może ograniczać uprawnień organu nadzorczego.
12. Zwrot, usunięcie i ciągłość
Po zakończeniu usługi Merdilo, według wyboru praktyki, zwraca lub usuwa dane i kopie, chyba że prawo wymaga dalszego ograniczonego przechowania. Kopie zapasowe są izolowane, nie są używane operacyjnie i wygasają w zwykłym cyklu retencji. Praktyka przed zamknięciem eksportuje potrzebne materiały. Dane objęte obowiązkiem prawnym lub zabezpieczeniem roszczeń pozostają ograniczone do tego celu, a informacja o wykonaniu usunięcia jest udostępniana na uzasadniony wniosek.
13. Obowiązki praktyki i wyniki Czuwania
Praktyka zapewnia legalne polecenia, podstawy, obowiązki informacyjne, minimalizację, prawidłowe role i retencję oraz bezpieczne urządzenia. Nie przekazuje nadmiarowych danych szczególnej kategorii człowieka. Źródłowe wyniki Czuwania powstają w aplikacji Merdilo na koncie opiekuna i ich administratorem jest Merdilo. Samo połączenie z praktyką ich nie udostępnia. O udostępnieniu praktyce decyduje opiekun (zgoda, art. 6 ust. 1 lit. a RODO), osobno dla konkretnego psa i praktyki. Udostępnienie obejmuje profil psa oraz podsumowania i szczegóły sesji, także sesji zakończonych przed udostępnieniem, bez podglądu na żywo, nagrań audio i wideo, prywatnych notatek, wiadomości i innych psów. Wyniki widzą uprawnione osoby z praktyki. Udostępnienie trwa, dopóki opiekun go nie wyłączy albo nie zakończy współpracy z praktyką. Kończy się też przy zamknięciu obszaru praktyki oraz przy usunięciu psa albo konta opiekuna. Gdy praktyka wyłączy moduł wyników Czuwania, nie widzi wyników, a nowe dane nie trafiają do jej dokumentacji; po ponownym włączeniu modułu dostęp wraca na podstawie tej samej, nadal obowiązującej zgody. Praktyka, która otrzymuje wyniki do prowadzenia sprawy psa, jest administratorem tego, co trafi do jej dokumentacji: materiałów zapisanych przez zespół, na przykład raportu PDF, komentarza albo oceny, oraz kopii zapisywanych automatycznie, czyli sygnału zmiany (regresji) i miar Czuwania w postępach i check-inach. Automatyczne kopie są funkcją usługi wykonywaną na polecenie praktyki, a praktyka jest ich administratorem od chwili zapisu. Dostęp do nich mają uprawnione osoby z praktyki. W panelu Merdilo Pro Merdilo przetwarza te informacje na zlecenie praktyki jako podmiot przetwarzający. Po wyłączeniu albo zakończeniu udostępnienia praktyka od razu traci dostęp do wyników Czuwania w panelu i nie otrzymuje nowych danych, a pies w Pro traci aktywne połączenie z Merdilo. Materiały i kopie zapisane wcześniej w dokumentacji praktyki zostają u praktyki, na jej odpowiedzialność i według jej zasad retencji; zakończenie udostępnienia nie usuwa ich automatycznie.
14. Załączniki i kontakt
Załącznik A obejmuje opiekunów, domowników, kontakty, uczestników, potencjalnych klientów oraz dane identyfikacyjne i kontaktowe, profile psów, terminy, formularze, wiadomości, pliki, notatki, rozliczenia i historię sprawy, a także wyniki Czuwania udostępnione przez opiekuna (profil psa, podsumowania i szczegóły sesji, także sprzed udostępnienia) oraz ich kopie w dokumentacji praktyki: materiały zapisane przez zespół, sygnał zmiany (regresji) i miary Czuwania w postępach i check-inach, zapisywane automatycznie na polecenie praktyki. Załącznik B obejmuje separację obszarów roboczych, role, ponowną autoryzację, szyfrowanie dostawców, audyt, kopie zapasowe, kontrolę integralności, testy i procedurę incydentów. Załącznikiem C jest wersjonowana lista dalszych przetwarzających pod adresem /subprocessors.html. Data Bridge działa na podstawie osobnej, wyraźnej decyzji opiekuna określającej psa, praktykę, zakres i okres. Kontakt w sprawach umowy: kontakt@merdilo.com.