Warunki użytkowania AI Trust Audit

Umowa o powierzeniu przetwarzania danych pomiędzy Trusted Shops SE a użytkownikiem

O ile użytkownik podczas przeprowadzania AI Trust Audit na badanej stronie internetowej przetwarza dane osobowe za pomocą narzędzia udostępnionego przez Trusted Shops SE, Trusted Shops SE działa jako podmiot przetwarzający. Obowiązują poniższe postanowienia dotyczące powierzenia przetwarzania danych. Standardowe klauzule umowne Sekcja 1 Klauzula 1 – Cel i zakres a) Niniejsze standardowe klauzule umowne (zwane dalej „klauzulami”) mają na celu zapewnienie zgodności z art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). b) Administratorzy i podmioty przetwarzające wymienieni w załączniku I przystąpili do niniejszych klauzul w celu zapewnienia zgodności z art. 28 ust. 3 i 4 rozporządzenia (UE) 2016/679 i/lub art. 29 ust. 3 i 4 rozporządzenia (UE) 2018/1725. c) Niniejsze klauzule mają zastosowanie do przetwarzania danych osobowych określonego w załączniku II. d) Załączniki I–IV stanowią integralną część niniejszych klauzul. e) Niniejsze klauzule pozostają bez uszczerbku dla obowiązków, którym administrator podlega na mocy rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725. f) Niniejsze klauzule same w sobie nie zapewniają wypełnienia obowiązków związanych z międzynarodowym przekazywaniem danych zgodnie z rozdziałem V rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725. Klauzula 2 – Niezmienność klauzul a) Strony zobowiązują się nie zmieniać klauzul, z wyjątkiem uzupełnienia lub aktualizacji informacji w załącznikach. b) Nie uniemożliwia to stronom włączenia standardowych klauzul umownych określonych w niniejszych klauzulach do szerszej umowy i dodania innych klauzul lub dodatkowych zabezpieczeń, pod warunkiem że nie są one bezpośrednio ani pośrednio sprzeczne z niniejszymi klauzulami ani nie naruszają podstawowych praw i wolności osób, których dane dotyczą. Klauzula 3 – Wykładnia a) Jeżeli w niniejszych klauzulach stosowane są terminy zdefiniowane w rozporządzeniu (UE) 2016/679 lub w rozporządzeniu (UE) 2018/1725, terminy te mają takie samo znaczenie jak w odpowiednim rozporządzeniu. b) Niniejsze klauzule należy interpretować w świetle postanowień rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725. c) Niniejszych klauzul nie można interpretować w sposób, który jest sprzeczny z prawami i obowiązkami przewidzianymi w rozporządzeniu (UE) 2016/679 lub w rozporządzeniu (UE) 2018/1725, lub który narusza podstawowe prawa lub wolności osób, których dane dotyczą. Klauzula 4 – Pierwszeństwo W przypadku sprzeczności między niniejszymi klauzulami a postanowieniami powiązanych umów istniejących między stronami lub zawartych lub podpisanych w późniejszym terminie, pierwszeństwo mają niniejsze klauzule. Klauzula 5 – Klauzula o przystąpieniu a) Podmiot, który nie jest stroną niniejszych klauzul, może w dowolnym momencie przystąpić do niniejszych klauzul jako administrator lub podmiot przetwarzający za zgodą wszystkich stron, wypełniając załączniki i podpisując załącznik I. b) Po wypełnieniu i podpisaniu załączników, o których mowa w lit. a), podmiot przystępujący jest traktowany jako strona niniejszych klauzul i ma prawa i obowiązki administratora lub podmiotu przetwarzającego, zgodnie z jego oznaczeniem w załączniku I. c) Podmiot przystępujący nie ma żadnych praw ani obowiązków wynikających z niniejszych klauzul w okresie poprzedzającym jego przystąpienie jako strona. Sekcja 2 – Obowiązki stron Klauzula 6 – Opis przetwarzania Szczegóły operacji przetwarzania, w szczególności kategorie danych osobowych i cele, w których dane osobowe są przetwarzane w imieniu administratora, są określone w załączniku II. Klauzula 7 – Obowiązki stron 7.1 Polecenia a) Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora, chyba że jest zobowiązany do przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega. W takim przypadku podmiot przetwarzający informuje administratora o tych wymogach prawnych przed rozpoczęciem przetwarzania, chyba że dane prawo zabrania takiej informacji ze względu na ważny interes publiczny. Administrator może wydawać dalsze polecenia przez cały okres przetwarzania danych osobowych. Polecenia te muszą być zawsze udokumentowane. b) Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem polecenie wydane przez administratora narusza rozporządzenie (UE) 2016/679, rozporządzenie (UE) 2018/1725 lub obowiązujące przepisy Unii lub państwa członkowskiego o ochronie danych. 7.2 Ograniczenie celu Podmiot przetwarzający przetwarza dane osobowe wyłącznie w konkretnym celu (celach) określonym(-ych) w załączniku II, chyba że otrzyma dalsze polecenia od administratora. 7.3 Okres przetwarzania danych osobowych Dane są przetwarzane przez podmiot przetwarzający wyłącznie przez okres wskazany w załączniku II. 7.4 Bezpieczeństwo przetwarzania a) Podmiot przetwarzający wdraża co najmniej środki techniczne i organizacyjne określone w załączniku III w celu zapewnienia bezpieczeństwa danych osobowych. Obejmuje to ochronę danych przed naruszeniem bezpieczeństwa, które, czy to niezamierzone, czy niezgodne z prawem, prowadzi do zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (dalej „naruszenie ochrony danych osobowych”). Oceniając odpowiedni poziom bezpieczeństwa, strony należycie uwzględniają stan wiedzy technicznej, koszty wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko dla osób, których dane dotyczą. b) Podmiot przetwarzający udziela swojemu personelowi dostępu do danych osobowych będących przedmiotem przetwarzania tylko w zakresie, w jakim jest to bezwzględnie konieczne do wykonania, zarządzania i monitorowania umowy. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania otrzymanych danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. 7.5 Dane wrażliwe Jeżeli przetwarzanie dotyczy danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, lub danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia, życia seksualnego lub orientacji seksualnej osoby, lub danych dotyczących wyroków skazujących i czynów zabronionych (dalej „dane wrażliwe”), podmiot przetwarzający stosuje szczególne ograniczenia i/lub dodatkowe zabezpieczenia. 7.6 Dokumentacja i przestrzeganie klauzul a) Strony muszą być w stanie wykazać przestrzeganie niniejszych klauzul. b) Podmiot przetwarzający niezwłocznie i w odpowiedni sposób rozpatruje zapytania administratora dotyczące przetwarzania danych zgodnie z niniejszymi klauzulami. c) Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszych klauzulach i wynikających bezpośrednio z rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725. Na żądanie administratora podmiot przetwarzający zezwala również na przeprowadzanie w rozsądnych odstępach czasu lub w przypadku oznak nieprzestrzegania przepisów audytów czynności przetwarzania objętych niniejszymi klauzulami i przyczynia się do takich audytów. Decydując o przeglądzie lub audycie, administrator może uwzględnić odpowiednie certyfikaty podmiotu przetwarzającego. d) Administrator może przeprowadzić audyt samodzielnie lub zlecić go niezależnemu audytorowi. Audyty mogą również obejmować inspekcje w lokalach lub obiektach fizycznych podmiotu przetwarzającego i, w stosownych przypadkach, są przeprowadzane z odpowiednim wyprzedzeniem. e) Strony udostępniają właściwemu organowi (organom) nadzorczemu(-ym) informacje, o których mowa w niniejszej klauzuli, w tym wyniki audytów, na jego żądanie. 7.7 Korzystanie z dalszych podmiotów przetwarzających a) Podmiot przetwarzający posiada ogólną zgodę administratora na angażowanie dalszych podmiotów przetwarzających wymienionych na uzgodnionej liście. Podmiot przetwarzający informuje administratora co najmniej 1 miesiąc wcześniej w formie pisemnej o wszelkich zamierzonych zmianach na tej liście poprzez dodanie lub zastąpienie dalszych podmiotów przetwarzających, dając w ten sposób administratorowi wystarczająco dużo czasu na zgłoszenie sprzeciwu wobec tych zmian przed zaangażowaniem danego dalszego podmiotu przetwarzającego/danych dalszych podmiotów przetwarzających. Podmiot przetwarzający udostępnia administratorowi niezbędne informacje, aby mógł on skorzystać z prawa do sprzeciwu. b) Jeżeli podmiot przetwarzający angażuje dalszy podmiot przetwarzający do wykonania określonych czynności przetwarzania (w imieniu administratora), musi to nastąpić na podstawie umowy, która nakłada na dalszy podmiot przetwarzający zasadniczo te same obowiązki w zakresie ochrony danych, które obowiązują podmiot przetwarzający na mocy niniejszych klauzul. Podmiot przetwarzający zapewnia, że dalszy podmiot przetwarzający wypełnia obowiązki, którym podlega podmiot przetwarzający zgodnie z niniejszymi klauzulami oraz rozporządzeniem (UE) 2016/679 i/lub rozporządzeniem (UE) 2018/1725. c) Podmiot przetwarzający udostępnia administratorowi na jego żądanie kopię takiej umowy z dalszym podmiotem przetwarzającym oraz wszelkich późniejszych zmian. W zakresie niezbędnym do ochrony tajemnic handlowych lub innych informacji poufnych, w tym danych osobowych, podmiot przetwarzający może przed udostępnieniem kopii zredagować tekst umowy. d) Podmiot przetwarzający ponosi pełną odpowiedzialność wobec administratora za to, że dalszy podmiot przetwarzający wypełnia swoje obowiązki zgodnie z umową zawartą z podmiotem przetwarzającym. Podmiot przetwarzający powiadamia administratora, jeżeli dalszy podmiot przetwarzający nie wypełnia swoich zobowiązań umownych. e) Podmiot przetwarzający uzgadnia z dalszym podmiotem przetwarzającym klauzulę o świadczeniu na rzecz osoby trzeciej, zgodnie z którą – w przypadku, gdy podmiot przetwarzający faktycznie lub prawnie przestaje istnieć lub staje się niewypłacalny – administrator ma prawo do wypowiedzenia umowy z dalszym podmiotem przetwarzającym i nakazania dalszemu podmiotowi przetwarzającemu usunięcia lub zwrotu danych osobowych. 7.8 Międzynarodowe przekazywanie danych a) Każde przekazanie danych przez podmiot przetwarzający do państwa trzeciego lub organizacji międzynarodowej odbywa się wyłącznie na podstawie udokumentowanych poleceń administratora lub w celu spełnienia szczególnego przepisu prawa Unii lub prawa państwa członkowskiego, któremu podlega podmiot przetwarzający, i musi być zgodne z rozdziałem V rozporządzenia (UE) 2016/679 lub rozporządzenia (UE) 2018/1725. b) Administrator wyraża zgodę, że w przypadkach, w których podmiot przetwarzający korzysta z dalszego podmiotu przetwarzającego zgodnie z klauzulą 7.7 w celu wykonania określonych czynności przetwarzania (w imieniu administratora), a te czynności przetwarzania obejmują przekazywanie danych osobowych w rozumieniu rozdziału V rozporządzenia (UE) 2016/679, podmiot przetwarzający i dalszy podmiot przetwarzający mogą zapewnić zgodność z rozdziałem V rozporządzenia (UE) 2016/679 poprzez stosowanie standardowych klauzul umownych przyjętych przez Komisję zgodnie z art. 46 ust. 2 rozporządzenia (UE) 2016/679, pod warunkiem spełnienia warunków stosowania tych standardowych klauzul umownych. Klauzula 8 – Wsparcie dla administratora a) Podmiot przetwarzający niezwłocznie informuje administratora o każdym żądaniu otrzymanym od osoby, której dane dotyczą. Nie odpowiada on na żądanie samodzielnie, chyba że został do tego upoważniony przez administratora. b) Uwzględniając charakter przetwarzania, podmiot przetwarzający pomaga administratorowi w wypełnieniu obowiązku odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw. Wypełniając swoje obowiązki zgodnie z lit. a i b, podmiot przetwarzający postępuje zgodnie z poleceniami administratora. c) Oprócz obowiązku podmiotu przetwarzającego do wspierania administratora zgodnie z klauzulą 8 lit. b, podmiot przetwarzający, uwzględniając charakter przetwarzania danych i dostępne mu informacje, wspiera również administratora w przestrzeganiu następujących obowiązków: 1) obowiązek przeprowadzenia oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych (dalej „ocena skutków dla ochrony danych”), jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych; 2) obowiązek konsultacji z właściwym organem (organami) nadzorczym(-ymi) przed rozpoczęciem przetwarzania, jeżeli z oceny skutków dla ochrony danych wynika, że przetwarzanie powodowałoby wysokie ryzyko, o ile administrator nie podejmie środków w celu ograniczenia tego ryzyka; 3) obowiązek zapewnienia, że dane osobowe są prawidłowe i aktualne, poprzez niezwłoczne informowanie administratora przez podmiot przetwarzający, gdy stwierdzi on, że przetwarzane przez niego dane osobowe są nieprawidłowe lub nieaktualne; 4) obowiązki wynikające z art. 32 rozporządzenia (UE) 2016/679. d) Strony określają w załączniku III odpowiednie środki techniczne i organizacyjne mające na celu wsparcie administratora przez podmiot przetwarzający w stosowaniu niniejszej klauzuli, a także zakres i rozmiar wymaganego wsparcia. Klauzula 9 – Zgłaszanie naruszeń ochrony danych osobowych W przypadku naruszenia ochrony danych osobowych podmiot przetwarzający współpracuje z administratorem i odpowiednio go wspiera, aby administrator mógł wywiązać się ze swoich obowiązków wynikających z art. 33 i 34 rozporządzenia (UE) 2016/679 lub, w stosownych przypadkach, z art. 34 i 35 rozporządzenia (UE) 2018/1725, uwzględniając charakter przetwarzania i dostępne mu informacje. 9.1 Naruszenie ochrony danych przetwarzanych przez administratora W przypadku naruszenia ochrony danych osobowych w związku z danymi przetwarzanymi przez administratora, podmiot przetwarzający wspiera administratora w następujący sposób: a) przy niezwłocznym zgłaszaniu naruszenia ochrony danych osobowych właściwemu organowi (organom) nadzorczemu(-ym), po tym jak administrator dowiedział się o naruszeniu, o ile jest to istotne (chyba że jest mało prawdopodobne, by naruszenie ochrony danych osobowych skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych); b) przy uzyskiwaniu następujących informacji, które zgodnie z art. 33 ust. 3 rozporządzenia (UE) 2016/679 muszą być zawarte w zgłoszeniu administratora, przy czym informacje te muszą obejmować co najmniej: 1) charakter danych osobowych, w miarę możliwości ze wskazaniem kategorii i przybliżonej liczby osób, których dane dotyczą, oraz kategorii i przybliżonej liczby wpisów danych osobowych, których dotyczy naruszenie; 2) prawdopodobne konsekwencje naruszenia ochrony danych osobowych; 3) środki podjęte lub zaproponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych oraz, w stosownych przypadkach, środki w celu zminimalizowania jego ewentualnych negatywnych skutków. Jeżeli i o ile nie wszystkie te informacje mogą zostać dostarczone w tym samym czasie, pierwotne zgłoszenie zawiera informacje dostępne w danym momencie, a dalsze informacje są dostarczane bez zbędnej zwłoki, gdy tylko staną się dostępne; c) przy przestrzeganiu obowiązku wynikającego z art. 34 rozporządzenia (UE) 2016/679, polegającego na niezwłocznym poinformowaniu osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli naruszenie to może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. 9.2 Naruszenie ochrony danych przetwarzanych przez podmiot przetwarzający W przypadku naruszenia ochrony danych osobowych w związku z danymi przetwarzanymi przez podmiot przetwarzający, podmiot przetwarzający zgłasza to administratorowi niezwłocznie po stwierdzeniu naruszenia. Zgłoszenie to musi zawierać co najmniej następujące informacje: a) opis charakteru naruszenia (w miarę możliwości ze wskazaniem kategorii i przybliżonej liczby osób, których dane dotyczą, oraz przybliżonej liczby wpisów danych, których dotyczy naruszenie); b) dane kontaktowe punktu kontaktowego, w którym można uzyskać więcej informacji na temat naruszenia ochrony danych osobowych; c) przewidywane konsekwencje oraz podjęte lub proponowane środki w celu zaradzenia naruszeniu ochrony danych osobowych, w tym środki w celu zminimalizowania jego ewentualnych negatywnych skutków. Jeżeli i o ile nie wszystkie te informacje mogą zostać dostarczone w tym samym czasie, pierwotne zgłoszenie zawiera informacje dostępne w danym momencie, a dalsze informacje są dostarczane bez zbędnej zwłoki, gdy tylko staną się dostępne. Strony określają w załączniku III wszelkie inne informacje, które podmiot przetwarzający ma obowiązek dostarczyć, aby pomóc administratorowi w wypełnieniu jego obowiązków wynikających z art. 33 i 34 rozporządzenia (UE) 2016/679. Klauzula 10 – Naruszenie klauzul i rozwiązanie umowy a) Jeżeli podmiot przetwarzający nie wypełnia swoich obowiązków wynikających z niniejszych klauzul, administrator może – bez uszczerbku dla postanowień rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725 – nakazać podmiotowi przetwarzającemu zawieszenie przetwarzania danych osobowych do czasu, aż będzie on przestrzegał niniejszych klauzul lub umowa zostanie rozwiązana. Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli z jakichkolwiek powodów nie jest w stanie przestrzegać niniejszych klauzul. b) Administrator jest uprawniony do wypowiedzenia umowy w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli 1) administrator zawiesił przetwarzanie danych osobowych przez podmiot przetwarzający zgodnie z lit. a), a zgodność z niniejszymi klauzulami nie została przywrócona w rozsądnym terminie, a w każdym razie w ciągu jednego miesiąca od zawieszenia; 2) podmiot przetwarzający w istotny sposób lub w sposób ciągły narusza niniejsze klauzule lub nie wypełnia swoich obowiązków wynikających z rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725; 3) podmiot przetwarzający nie zastosuje się do wiążącej decyzji właściwego sądu lub właściwego organu (organów) nadzorczego(-ych) dotyczącej jego obowiązków wynikających z niniejszych klauzul, rozporządzenia (UE) 2016/679 i/lub rozporządzenia (UE) 2018/1725. c) Podmiot przetwarzający jest uprawniony do wypowiedzenia umowy w zakresie, w jakim dotyczy ona przetwarzania danych osobowych zgodnie z niniejszymi klauzulami, jeżeli administrator nalega na wykonanie swoich poleceń po tym, jak został poinformowany przez podmiot przetwarzający, że jego polecenia naruszają obowiązujące wymogi prawne zgodnie z klauzulą 7.1 lit. b). d) Po rozwiązaniu umowy podmiot przetwarzający, według wyboru administratora, usuwa wszystkie dane osobowe przetwarzane w imieniu administratora i poświadcza administratorowi, że zostało to dokonane, lub zwraca wszystkie dane osobowe administratorowi i usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakłada obowiązek przechowywania danych osobowych. Do czasu usunięcia lub zwrotu danych podmiot przetwarzający nadal zapewnia zgodność z niniejszymi klauzulami. Załącznik I – Lista stron A. Administrator Administratorem jest użytkownik usługi zgodnie z warunkami użytkowania. B. Podmiot przetwarzający Nazwa: Trusted Shops SE Adres: Subbelrather Str. 15C, 50823 Kolonia, Niemcy E-mail: privacy@trustedshops.com Załącznik II – Opis przetwarzania A. Kategorie osób, których dane dotyczą Osoby opublikowane na stronie internetowej (dyrektorzy zarządzający, IOD, osoby odpowiedzialne redakcyjnie); pracownicy administratora. B. Kategorie przetwarzanych danych osobowych Imię i nazwisko; adres; adres e-mail; numer telefonu. C. Rodzaj przetwarzania Gdy dla AI Trust Audit zostanie podany adres URL strony internetowej, podmiot przetwarzający automatycznie pobiera publicznie dostępne strony badanej domeny i analizuje ich zawartość. W tym procesie mogą być również przetwarzane dane osobowe, które operator strony sam tam opublikował. D. Cele przetwarzania Tworzenie i wyświetlanie wyników audytu, przeprowadzanie zleconego audytu strony internetowej. E. Okres przetwarzania Odpowiada okresowi korzystania z usługi. Załącznik III – Środki techniczne i organizacyjne Obowiązują środki techniczne i organizacyjne Trusted Shops SE. Trusted Shops zawsze publikuje aktualne ŚTO pod adresem https://help.etrusted.com/hc/de/articles/360021040178. Załącznik IV – Dalsze podmioty przetwarzające Lovable Labs Incorporate — dostawca SaaS jako platforma techniczna do przeprowadzania skanowania — Czas trwania przetwarzania: Odpowiada okresowi korzystania z usługi.