Umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych osobowych (dalej: "Umowa powierzenia") zostaje zawarta między Klientem jako administratorem danych (dalej: "Administrator") a Michał Fox, prowadzącym działalność pod marką Reelelle, w Krakowie, e-mail: hello@reelelle.com, jako podmiotem przetwarzającym (dalej: "Reelelle", "my").

Umowa powierzenia jest zawierana razem z Umową, przez akceptację Regulaminu przy zakładaniu konta w Panelu, i spełnia wymogi art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO). Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

Umowa powierzenia dotyczy tylko danych, których administratorem jest Klient. Dane Klienta, Użytkowników i osób kontaktowych, które przetwarzamy jako administrator, opisuje Polityka prywatności.

Na prośbę Administratora przesyłamy Umowę powierzenia jako PDF albo zawieramy ją w formie pisemnej lub elektronicznej z kwalifikowanymi podpisami, bez zmiany treści.

Powierzamy sobie do przetwarzania wyłącznie dane potrzebne do wykonania Umowy, w szczególności do przygotowania Materiałów, ich publikacji na Kontach Klienta i przygotowania raportu.

Zakres powierzonych danych:

Przetwarzanie polega na przechowywaniu, przeglądaniu, wykorzystaniu w montażu i animacji, kadrowaniu, dodawaniu napisów, publikacji na Kontach Klienta i odczycie statystyk, w sposób zautomatyzowany i ręczny.

Nie przetwarzamy powierzonych danych w innym celu niż wykonanie Umowy, w szczególności nie wykorzystujemy ich do własnego marketingu, nie łączymy z danymi innych klientów i nie trenujemy na nich modeli sztucznej inteligencji.

Administrator nie przekazuje nam danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że uzgodnimy to wcześniej w Zgłoszeniu, z dodatkowymi zabezpieczeniami.

Umowa powierzenia obowiązuje przez czas trwania Umowy i do usunięcia albo zwrotu danych zgodnie z § 11.

Jako podmiot przetwarzający:

1. 1)przetwarzamy dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest Umowa, zaakceptowany Plan publikacji, akceptacja Materiału w Panelu i Zgłoszenie;
2. 2)niezwłocznie informujemy Administratora, jeżeli polecenie naszym zdaniem narusza prawo;
3. 3)zapewniamy, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
4. 4)stosujemy środki bezpieczeństwa z § 8;
5. 5)korzystamy z dalszych podmiotów przetwarzających na zasadach § 6;
6. 6)pomagamy Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą (§ 9);
7. 7)pomagamy Administratorowi w wywiązaniu się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne nam informacje;
8. 8)po zakończeniu Umowy usuwamy albo zwracamy dane zgodnie z § 11;
9. 9)udostępniamy informacje potrzebne do wykazania spełnienia obowiązków i umożliwiamy audyty (§ 10).

Jeżeli prawo nakłada na nas obowiązek przetwarzania danych w inny sposób, informujemy o tym Administratora przed rozpoczęciem takiego przetwarzania, chyba że prawo tego zabrania.

Z dostępu do Kont Klienta korzystamy wyłącznie w zakresie z pkt 7.3 Regulaminu. Dostęp przyjmujemy w miarę możliwości przez narzędzia platform do nadawania dostępu partnerom, z najmniejszymi uprawnieniami, które pozwalają publikować i odczytywać statystyki.

Nie odpisujemy na wiadomości i komentarze, nie pobieramy list obserwujących ani treści wiadomości i nie przenosimy danych z Kont Klienta poza konto, z wyjątkiem statystyk zbiorczych do raportu, chyba że Administrator poleci to w Zgłoszeniu.

Jeżeli Administrator przekaże nam hasło do Konta Klienta, przechowujemy je wyłącznie w zabezpieczonym menedżerze haseł, nie przesyłamy go dalej i usuwamy po zakończeniu Umowy. Prosimy o włączenie dwuetapowego logowania.

Swoje dostępy do Kont Klienta usuwamy w ciągu 7 dni od zakończenia Umowy, a na prośbę Administratora wcześniej.

Administrator udziela nam ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających z kategorii z tabeli:

Każdy dalszy podmiot przetwarzający zobowiązujemy umową do takich samych obowiązków ochrony danych jak w Umowie powierzenia. Odpowiadamy za niego wobec Administratora jak za siebie.

O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego informujemy e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw, a jeżeli nie dojdziemy do porozumienia, wypowiedzieć Umowę ze skutkiem na dzień zmiany, także w minimalnym okresie i bez dodatkowych kosztów.

Na prośbę Administratora podajemy nazwy dalszych podmiotów przetwarzających.

Platformy społecznościowe, na których działają Konta Klienta, nie są naszymi dalszymi podmiotami przetwarzającymi. Administrator korzysta z nich na podstawie własnych umów z ich operatorami.

Nie przekazujemy powierzonych danych do państw spoza Europejskiego Obszaru Gospodarczego. Jeżeli w przyszłości będzie to potrzebne, nastąpi to wyłącznie na zasadach rozdziału V RODO i po informacji z pkt 6.3.

Publikacja Materiałów na Kontach Klienta jest przekazaniem danych operatorowi platformy na polecenie Administratora, na zasadach umowy Administratora z tym operatorem.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

1. 1)szyfrowane połączenie z Serwisem i Panelem (HTTPS);
2. 2)hasła do Panelu przechowywane wyłącznie jako skrót z solą (scrypt), sesje w podpisanym ciasteczku z flagą HttpOnly;
3. 3)dostęp do plików konta tylko po zalogowaniu i tylko dla tego konta;
4. 4)role Użytkowników w Panelu nadawane przez Klienta;
5. 5)dostęp naszych osób tylko do kont, przy których pracują, i zasada najmniejszych uprawnień;
6. 6)usuwanie danych po zakończeniu Umowy (§ 11).

Środki bezpieczeństwa przeglądamy przy każdej istotnej zmianie Panelu albo sposobu pracy.

Zgłaszamy Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres właściciela konta. Zgłoszenie zawiera opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki i podjęte środki, a informacje, których jeszcze nie mamy, przekazujemy, gdy je ustalimy.

Żądanie osoby, której dane dotyczą, skierowane do nas w sprawie powierzonych danych przekazujemy Administratorowi w ciągu 3 Dni roboczych i nie odpowiadamy na nie samodzielnie, chyba że Administrator nas o to poprosi.

Na polecenie Administratora usuwamy z Materiałów i z Kont Klienta wizerunek albo dane osoby, która wycofała zgodę albo zgłosiła sprzeciw, w terminie uzgodnionym w Zgłoszeniu.

Na prośbę Administratora w ciągu 14 dni przekazujemy informacje o przetwarzaniu i stosowanych środkach bezpieczeństwa.

Administrator może przeprowadzić audyt raz w roku, a także po naruszeniu ochrony danych, zawiadamiając o nim co najmniej 14 dni wcześniej. Audyt odbywa się w Godzinach pracy z SLA, bez dostępu do danych innych klientów, a jego koszty ponosi Administrator, chyba że audyt wykaże naruszenie Umowy powierzenia.

Po zakończeniu Umowy dane są dostępne dla Administratora w Panelu przez 30 dni w trybie tylko do odczytu. Na prośbę złożoną w tym czasie zwracamy je w uzgodnionym formacie.

Po tym okresie usuwamy powierzone dane w ciągu 30 dni, także z kopii roboczych, i na prośbę potwierdzamy usunięcie e-mailem. Materiały opublikowane na Kontach Klienta zostają na nich, bo Konta Klienta są pod kontrolą Administratora.

Odpowiedzialność Stron za naruszenie Umowy powierzenia określa § 19 Regulaminu, z zastrzeżeniem art. 82 RODO.

Umowa powierzenia ma pierwszeństwo przed Regulaminem w sprawach powierzonych danych. W sprawach nieuregulowanych stosuje się Regulamin i RODO.

Umowę powierzenia zmieniamy na zasadach § 26 Regulaminu.

Umowa powierzenia obowiązuje od 24 października 2026.