Umowa powierzenia przetwarzania danych

Załącznik 1
UMOWA POWIERZENIA PRZETWARZANIA DANYCH GIRAFFE360 (DPA)

1. Postanowienia wstępne

1. 1.1 Niniejsza Umowa powierzenia przetwarzania danych wraz z załącznikami („DPA”) ma zastosowanie do Klientów prowadzących działalność w państwach Europejskiego Obszaru Gospodarczego (EOG) oraz w Zjednoczonym Królestwie (UK) i odzwierciedla porozumienie spółki Giraffe360 i Klienta w zakresie przetwarzania Danych Klienta przez Giraffe360 jako podmiot przetwarzający w imieniu Klienta, który będzie działać jako administrator danych.
2. 1.2 Niniejsza DPA zostaje włączona do Warunków korzystania z usług Giraffe360 obowiązujących między Klientem a spółką Giraffe360 („Umowa”) i stanowi ich część. W przypadku sprzeczności między którymkolwiek z postanowień niniejszej DPA a postanowieniami Umowy pierwszeństwo mają postanowienia niniejszej DPA.

2. Definicje

O ile poniżej nie określono inaczej, każdy termin pisany wielką literą w niniejszej DPA ma znaczenie określone w Umowie, a poniższe terminy pisane wielką literą stosowane w niniejszej DPA mają następujące znaczenie:

„Dane Klienta” oznaczają wszelkie Dane osobowe zawarte w Treściach Giraffe360 oraz wszelkie inne treści lub dane, które Klient udostępnia spółce Giraffe360 i które są hostowane przez Giraffe360 w związku ze świadczeniem Usługi Giraffe360, w tym Dane nieruchomości, Dane profilu Klienta oraz Dane klientów Klienta, zgodnie z dalszym opisem w punkcie 3.1 niniejszej DPA.

„Administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby Przetwarzania Danych osobowych. Na potrzeby niniejszej DPA Administratorem jest Klient.

„Przepisy o ochronie danych” oznaczają RODO, wszelkie krajowe przepisy wykonawcze lub uzupełniające oraz wszelkie inne obowiązujące przepisy chroniące podstawowe prawa i wolności osób oraz ich prawo do prywatności w odniesieniu do przetwarzania Danych Klienta.

„Osoba, której dane dotyczą” oznacza osobę fizyczną, której dotyczą Dane osobowe.

„Europejski Obszar Gospodarczy” lub „EOG” oznacza państwa członkowskie Unii Europejskiej wraz z Islandią, Norwegią i Liechtensteinem.

„RODO” oznacza ogólne rozporządzenie o ochronie danych Parlamentu Europejskiego i Rady (UE) 2016/679 oraz, w stosownych przypadkach, „UK GDPR” zgodnie z definicją zawartą w The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

„Polecenia” oznaczają pisemne, udokumentowane polecenia wydawane przez Klienta spółce Giraffe360, nakazujące spółce Giraffe360 wykonanie określonej lub ogólnej czynności w odniesieniu do Danych Klienta.

„Dalszy podmiot przetwarzający” oznacza każdy Podmiot przetwarzający zaangażowany przez Giraffe360, który Przetwarza Dane Klienta Giraffe360.

„Dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, zgodnie z definicją zawartą w odpowiednich Przepisach o ochronie danych.

„Naruszenie ochrony danych osobowych” oznacza przypadkowe lub niezgodne z prawem zniszczenie, utratę, zmodyfikowanie, uszkodzenie, nieuprawnione ujawnienie Danych Klienta lub nieuprawniony dostęp do nich, zgodnie z definicją zawartą w odpowiednich Przepisach o ochronie danych.

„Przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na Danych osobowych, obejmujących zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie Danych osobowych. Terminy „Przetwarzać”, „Przetwarza” i „Przetwarzany” należy interpretować odpowiednio.

„Podmiot przetwarzający” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który Przetwarza Dane osobowe w imieniu Administratora. Na potrzeby niniejszej DPA Podmiotem przetwarzającym jest Giraffe360.

3. Przetwarzanie danych

1. 3.1 Giraffe360 przetwarza następujące kategorie Danych osobowych następujących Osób, których dane dotyczą, w celach określonych poniżej:
1. 1. Dane nieruchomości: Obejmują one zdjęcia, filmy, chmury punktów, wirtualne spacery, rzuty pięter, dane o lokalizacji GPS, informacje podane na stronie docelowej prezentującej nieruchomość oraz inne powiązane informacje o nieruchomości zarejestrowane przez Klienta, pozyskane z kamery Giraffe360 lub przekazane przez Klienta w wyniku korzystania przez Klienta z Usługi Giraffe360. Chociaż informacje te zazwyczaj nie pozwalają na identyfikację żadnej osoby fizycznej, w rzadkich przypadkach mogą one umożliwiać identyfikację właścicieli nieruchomości, osób, których dane zostały zarejestrowane podczas Skanu, lub Klienta. Obowiązkiem Klienta jest zapewnienie, aby Materiały źródłowe nie zawierały żadnych Zakazanych danych osobowych zdefiniowanych w Warunkach korzystania z usług. Dane nieruchomości są przetwarzane w celu tworzenia Treści Giraffe360.
   2. Dane profilu Klienta: Obejmują one Dane osobowe dotyczące Klienta, jego przedstawicieli lub pracowników, takie jak imiona, nazwiska, adresy e-mail, numery telefonów, zdjęcia, hasła reklamowe oraz hiperłącza do kont w mediach społecznościowych, przekazane przez Klienta za pośrednictwem Panelu podczas korzystania z Usługi Giraffe360. Dane te są Przetwarzane w celu umożliwienia: tworzenia profili w Panelu dla Klienta, jego przedstawicieli lub pracowników; dostępu do Treści Giraffe360 w Panelu; udostępniania Treści Giraffe360, a także przekazywania informacji o Kliencie, jego przedstawicielach lub pracownikach za pośrednictwem Usługi Giraffe360.
   3. Dane klientów Klienta: Obejmują one dane osobowe klientów Klienta, takie jak imiona, nazwiska, adresy e-mail, numery telefonów i wiadomości potencjalnych nabywców lub najemców nieruchomości. Dane te są udostępniane Klientowi za pośrednictwem Panelu. Są one gromadzone, gdy Klient włączy funkcję Leads, która umożliwia klientom Klienta pozostawienie danych kontaktowych, aby Klient mógł się z nimi skontaktować. Klient może wyłączyć tę funkcję w Panelu.
2. 3.2 Dane Klienta są przekazywane w sposób ciągły w związku ze świadczeniem usług określonych w Umowie i niniejszej DPA do czasu rozwiązania Umowy.

4. Obowiązki Klienta

1. 4.1 Klient odpowiada za przestrzeganie wszystkich wymogów, które mają do niego zastosowanie na mocy Przepisów o ochronie danych w odniesieniu do Przetwarzania Danych osobowych przez Klienta.
2. 4.2 W szczególności, lecz bez uszczerbku dla ogólnego charakteru powyższego postanowienia, Klient przyjmuje do wiadomości i zgadza się, że ponosi wyłączną odpowiedzialność za:
2. 1. prawidłowość, jakość i legalność Danych Klienta oraz sposobów, w jakie Klient pozyskał te dane;
   2. przestrzeganie wszystkich niezbędnych wymogów w zakresie przejrzystości i zgodności z prawem wynikających z Przepisów o ochronie danych w odniesieniu do gromadzenia i wykorzystywania Danych Klienta, w tym przekazywanie odpowiednich informacji, uzyskiwanie wszelkich niezbędnych zgód i upoważnień oraz respektowanie preferencji dotyczących rezygnacji (w szczególności w przypadku wykorzystywania danych przez Klienta do celów marketingowych); oraz
   3. zapewnienie, że przysługuje mu prawo do przekazania Danych Klienta spółce Giraffe360 lub zapewnienia jej dostępu do nich w celu Przetwarzania zgodnie z postanowieniami Umowy (w tym niniejszej DPA).
3. 4.3 Klient poinformuje spółkę Giraffe360 bez zbędnej zwłoki, jeżeli nie jest w stanie wywiązać się ze swoich obowiązków wynikających z niniejszego punktu lub z Przepisów o ochronie danych.
4. 4.4 Klient odpowiada za zapewnienie, aby jego Polecenia wydawane spółce Giraffe360 w zakresie Przetwarzania Danych Klienta były zgodne z obowiązującymi przepisami prawa, w tym z Przepisami o ochronie danych.
5. 4.5 Strony uzgadniają, że Umowa (w tym niniejsza DPA) wraz z korzystaniem przez Klienta z Usługi Giraffe360 zgodnie z Umową stanowią kompletne Polecenia Klienta dla Giraffe360 w odniesieniu do Przetwarzania Danych Klienta przez Giraffe360, przy czym Klient może w okresie obowiązywania Umowy wydawać dodatkowe Polecenia, które są zgodne z Umową oraz z charakterem Usługi Giraffe360 i zgodnym z prawem korzystaniem z niej.
6. 4.6 Klient odpowiada za samodzielne ustalenie, czy bezpieczeństwo danych zapewniane w ramach Usługi Giraffe360 w odpowiedni sposób spełnia jego obowiązki wynikające z Przepisów o ochronie danych. Klient odpowiada również za bezpieczne korzystanie z Usługi Giraffe360.

5. Obowiązki spółki Giraffe360

1. 5.1 Jako Podmiot przetwarzający dane osobowe Giraffe360 będzie Przetwarzać Dane Klienta wyłącznie w celach opisanych w niniejszej DPA lub w inny sposób uzgodniony w zakresie zgodnych z prawem Poleceń Klienta, z wyjątkiem przypadków i zakresu, w jakim obowiązujące przepisy prawa stanowią inaczej; w takim przypadku Giraffe360, w zakresie dozwolonym przez obowiązujące przepisy prawa, poinformuje Klienta o tym wymogu prawnym przed rozpoczęciem Przetwarzania tych Danych Klienta. Giraffe360 nie odpowiada za przestrzeganie jakichkolwiek Przepisów o ochronie danych mających zastosowanie do Klienta lub branży Klienta, które nie mają ogólnego zastosowania do Giraffe360.
2. 5.2 Giraffe360 wdroży i będzie utrzymywać odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Klienta zgodnie z wymogami Przepisów o ochronie danych („Środki bezpieczeństwa”). Niezależnie od jakichkolwiek przeciwnych postanowień Giraffe360 może według własnego uznania modyfikować lub aktualizować Środki bezpieczeństwa, pod warunkiem że taka modyfikacja lub aktualizacja nie spowoduje istotnego obniżenia poziomu ochrony zapewnianej przez Środki bezpieczeństwa.
3. 5.3 Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają Środki bezpieczeństwa, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku:
3. 1. pseudonimizację i szyfrowanie danych osobowych;
   2. odpowiednie Środki bezpieczeństwa pozwalające zachować zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
   3. odpowiednie Środki bezpieczeństwa pozwalające zachować zdolność do szybkiego przywrócenia dostępności Danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
   4. proces regularnego testowania, mierzenia i oceniania skuteczności Środków bezpieczeństwa mających zapewnić bezpieczeństwo Przetwarzania.
4. 5.4 Giraffe360 zapewni, aby wszelki personel upoważniony do Przetwarzania Danych Klienta w imieniu Giraffe360 podlegał odpowiednim obowiązkom zachowania poufności w odniesieniu do Danych Klienta.
5. 5.5 W terminie 30 dni od rozwiązania Umowy Giraffe360 usunie lub, według wyboru Klienta, zwróci wszystkie kopie Danych Klienta przetwarzanych przez Giraffe360 na podstawie niniejszej DPA. Klient powiadomi spółkę Giraffe360 o swoim wyborze w terminie 14 dni roboczych od rozwiązania Umowy. Ten 30-dniowy termin ma zastosowanie, chyba że obowiązujące przepisy prawa wymagają od nas zatrzymania części lub całości Danych Klienta.
6. 5.6 Giraffe360 może zatrzymywać i wykorzystywać Dane nieruchomości, zarówno w trakcie obowiązywania, jak i po rozwiązaniu Umowy, do celów uczenia maszynowego i trenowania sztucznej inteligencji oraz ulepszania usług. Takie Przetwarzanie będzie prowadzone przez Giraffe360 jako Administratora danych i zgodnie z Polityką prywatności Giraffe360.
7. 5.7 Giraffe360 może zatrzymywać Dane Klienta w zakresie, w jakim Giraffe360 uzna to za niezbędne do dochodzenia jakichkolwiek roszczeń prawnych lub obrony przed nimi, pod warunkiem że takie Dane Klienta są zatrzymywane wyłącznie w zakresie i przez okres wymagany przez obowiązujące przepisy prawa lub do czasu rozstrzygnięcia danej kwestii, i zawsze pod warunkiem, że Giraffe360 zapewni poufność wszystkich takich Danych Klienta.

6. Dalsze podmioty przetwarzające

1. 6.1 Klient niniejszym udziela spółce Giraffe360 ogólnego pisemnego upoważnienia do korzystania z usług Dalszych podmiotów przetwarzających w celu wsparcia świadczenia Usługi Giraffe360. Giraffe360 zapewni, aby wszystkie Dalsze podmioty przetwarzające były związane zobowiązaniami umownymi zapewniającymi co najmniej taki sam poziom ochrony danych, jaki jest wymagany przez niniejszą DPA i obowiązujące Przepisy o ochronie danych. Aktualna lista Dalszych podmiotów przetwarzających, obejmująca ich nazwy, lokalizację i cel, jest prowadzona na stronie internetowej Giraffe360 („Lista dalszych podmiotów przetwarzających”).
2. 6.2 Giraffe360 zastrzega sobie prawo do aktualizowania Listy dalszych podmiotów przetwarzających w razie potrzeby. Wszelkie dodania lub zmiany na Liście dalszych podmiotów przetwarzających zostaną odzwierciedlone na stronie internetowej co najmniej 15 dni przed udzieleniem nowemu Dalszemu podmiotowi przetwarzającemu upoważnienia do przetwarzania Danych Klienta. Zachęca się Klientów do okresowego przeglądania Listy dalszych podmiotów przetwarzających.
3. 6.3 Jeżeli Klient w uzasadniony sposób sprzeciwia się nowemu Dalszemu podmiotowi przetwarzającemu z powodu uzasadnionych obaw związanych z ochroną danych, Klient musi powiadomić spółkę Giraffe360 na piśmie w terminie 15 dni od opublikowania aktualizacji. Po otrzymaniu sprzeciwu Giraffe360 omówi obawy Klienta i będzie działać w dobrej wierze w celu znalezienia rozwiązania akceptowalnego dla obu stron. Jeżeli w 15-dniowym okresie powiadomienia nie wpłynie żaden sprzeciw, uznaje się, że Klient zaakceptował zaktualizowanego Dalszego podmiotu przetwarzającego.
4. 6.4 Giraffe360 przez cały czas pozostaje odpowiedzialna za wypełnianie swoich zobowiązań wynikających z DPA i ponosi odpowiedzialność wobec Klienta za działania i zaniechania każdego Dalszego podmiotu przetwarzającego tak, jakby były to działania i zaniechania Giraffe360.

7. Międzynarodowe przekazywanie danych

1. 7.1 Giraffe360 nie będzie przekazywać Danych Klienta odbiorcy w państwie lub na terytorium poza EOG lub Zjednoczonym Królestwem, chyba że:
1. 1. odbiorca lub państwo bądź terytorium, w którym przetwarza on Dane Klienta lub uzyskuje do nich dostęp, zapewnia odpowiedni stopień ochrony praw i wolności osób, których dane dotyczą, w związku z przetwarzaniem Danych Klienta, zgodnie z ustaleniem Komisji Europejskiej; lub
   2. przekazanie odbywa się na podstawie standardowych klauzul umownych (dla podmiotów przetwarzających) zatwierdzonych decyzją wykonawczą Komisji (UE) 2021/914 lub jakiejkolwiek jej późniejszej wersji albo innego prawnie uznanego mechanizmu przekazywania.

8. Bezpieczeństwo danych, audyty i powiadomienia dotyczące bezpieczeństwa

1. 8.1 Klient może, po uprzednim powiadomieniu z rozsądnym wyprzedzeniem i w rozsądnych terminach, przeprowadzać audyt (samodzielnie lub za pośrednictwem niezależnych audytorów zewnętrznych) przestrzegania przez Giraffe360 Środków bezpieczeństwa, w tym poprzez przeprowadzanie audytów obiektów, w których Giraffe360 przetwarza dane. Giraffe360 będzie wspierać wszelkie audyty przeprowadzane zgodnie z niniejszą DPA i przyczyniać się do nich, pod warunkiem że audyty takie nie są przeprowadzane częściej niż raz w roku.
2. 8.2 Na żądanie Klienta Giraffe360 udostępni wszelkie informacje rozsądnie niezbędne do wykazania przestrzegania niniejszej DPA i Przepisów o ochronie danych.
3. 8.3 Jeżeli wymaga tego art. 28 ust. 3 lit. h) RODO, Giraffe360 niezwłocznie poinformuje Klienta, jeżeli Giraffe360 uzna, że Polecenia Klienta są sprzeczne z wymogami jakichkolwiek Przepisów o ochronie danych lub innych przepisów UE, Zjednoczonego Królestwa lub państwa członkowskiego EOG.
4. 8.4 Giraffe360 powiadomi Klienta na piśmie bez zbędnej zwłoki po uzyskaniu wiedzy o jakimkolwiek Naruszeniu ochrony danych osobowych dotyczącym Danych Klienta i Przetwarzania prowadzonego na podstawie niniejszej DPA. Giraffe360 zapewni Klientowi rozsądną pomoc w celu zapewnienia zgodności z obowiązującymi Przepisami o ochronie danych w związku z Naruszeniem ochrony danych osobowych, w tym wsparcie w zakresie wszelkich postępowań wyjaśniających prowadzonych przez organy regulacyjne oraz zgłoszeń do organów nadzorczych i/lub zawiadomień Osób, których dane dotyczą.
5. 8.5 Zgłaszając Naruszenie ochrony danych osobowych, Giraffe360 przekaże jasnym i prostym językiem, co najmniej i w zakresie, w jakim jest to możliwe przy dostępnych informacjach: wyjaśnienie charakteru naruszenia danych, imię i nazwisko oraz dane kontaktowe inspektora ochrony danych („IOD”) lub innego punktu kontaktowego, od którego można uzyskać więcej informacji, opis możliwych konsekwencji Naruszenia ochrony danych osobowych oraz opis środków zastosowanych lub proponowanych w celu zaradzenia Naruszeniu ochrony danych osobowych, w tym, w stosownych przypadkach, środków podjętych w celu zminimalizowania jego ewentualnych negatywnych skutków.

9. Żądania dostępu i prawa osób, których dane dotyczą

1. 9.1 Z wyjątkiem przypadków, w których obowiązujące przepisy prawa tego wymagają (lub tego zabraniają), Giraffe360 powiadomi Klienta o każdym żądaniu otrzymanym przez Giraffe360 od Osoby, której dane dotyczą, bezpośrednio lub za pośrednictwem Dalszego podmiotu przetwarzającego, w odniesieniu do jej Danych osobowych zawartych w Danych Klienta i nie będzie udzielać odpowiedzi Osobie, której dane dotyczą.
2. 9.2 Giraffe360 zapewni Klientowi możliwość poprawiania, usuwania i blokowania Danych Klienta, uzyskiwania do nich dostępu lub ich kopiowania zgodnie z funkcjonalnością Usługi Giraffe360 i w zakresie, w jakim pozwala na to ta funkcjonalność.
3. 9.3 Giraffe360 powiadomi Klienta o każdym żądaniu ujawnienia Danych Klienta przez organ państwowy lub regulacyjny lub organ ścigania (w tym każdy organ nadzorczy ds. ochrony danych), chyba że jest to zabronione przez prawo lub prawnie wiążący nakaz takiego organu lub instytucji.
4. 9.4 W stosownych przypadkach, uwzględniając charakter Przetwarzania, oraz w zakresie wymaganym przez obowiązujące Przepisy o ochronie danych Giraffe360:
4. 1. dołoży wszelkich rozsądnych starań, aby pomóc Klientowi poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych, w miarę możliwości, w wywiązaniu się z obowiązku Klienta odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w RODO; oraz
   2. zapewni Klientowi rozsądną pomoc w zakresie wszelkich ocen skutków dla ochrony danych oraz wszelkich uprzednich konsultacji z organem nadzorczym Klienta, w każdym przypadku wyłącznie w odniesieniu do Przetwarzania Danych Klienta i z uwzględnieniem informacji dostępnych dla Giraffe360.