Umowa powierzenia przetwarzania danych

Role

Pojęcia takie jak "dane osobowe", "przetwarzanie", "administrator", "podmiot przetwarzający", "osoba, której dane dotyczą" i "naruszenie ochrony danych osobowych" mają znaczenie nadane im przez RODO. "Dane osobowe klienta" oznaczają dane osobowe w Twoich formularzach, odpowiedziach, przesłanych plikach i odpowiedziach w trakcie wypełniania, które przetwarzamy dla Ciebie.

W odniesieniu do danych osobowych klienta Ty jesteś administratorem, a my Twoim podmiotem przetwarzającym. Jeśli działasz na rzecz własnego klienta, Ty jesteś jego podmiotem przetwarzającym, a my Twoim dalszym podmiotem przetwarzającym. W odniesieniu do Twojego konta, rozliczeń i korzystania z fillio.so to my jesteśmy administratorem, jak wyjaśnia nasza Polityka prywatności.

Szczegóły przetwarzania

• Przedmiot: hostowanie Twoich formularzy, zbieranie i przechowywanie ich odpowiedzi i plików oraz pokazywanie, wysyłanie i eksportowanie ich dla Ciebie.
• Czas trwania: tak długo, jak korzystasz z Usługi, do czasu usunięcia danych w sposób opisany poniżej.
• Charakter i cel: przechowywanie, porządkowanie, pokazywanie, wysyłanie, eksportowanie i usuwanie danych osobowych klienta, wyłącznie w celu świadczenia Ci Usługi.
• Osoby, których dane dotyczą: osoby, które otwierają lub wypełniają Twoje formularze, osoby wymienione w ich odpowiedziach oraz członkowie zespołu, których zapraszasz.
• Rodzaje danych osobowych: wszystko, o co pytają Twoje formularze, na przykład imiona i nazwiska, adresy e-mail, numery telefonów, odpowiedzi i przesłane pliki; czas wysłania odpowiedzi, strona, z której pochodzi, i tagi kampanii; potwierdzony adres e-mail, jeśli Twój formularz o niego prosi; a także strony, do których dotarł respondent, oraz, dopóki Twój plan obejmuje częściowe odpowiedzi, niewysłane odpowiedzi.
• Dane szczególnie wrażliwe: tylko jeśli Twój formularz o nie prosi. To Ty decydujesz, czy je zbierać, i odpowiadasz za posiadanie podstawy prawnej do ich przetwarzania.

Twoje polecenia

Przetwarzamy dane osobowe klienta wyłącznie na Twoje udokumentowane polecenie. Twoimi poleceniami są ten regulamin, ta Umowa powierzenia oraz działania, które wykonujesz w Usłudze, takie jak opublikowanie formularza, ustawienie okresu przechowywania, podłączenie webhooka, eksport lub usunięcie odpowiedzi. Informujemy Cię, jeśli uważamy, że polecenie narusza przepisy o ochronie danych.

Jeśli prawo wymaga od nas przetwarzania danych osobowych klienta w inny sposób, informujemy Cię o tym przed rozpoczęciem takiego przetwarzania, chyba że prawo tego zabrania.

Twoje obowiązki

Odpowiadasz za posiadanie podstawy prawnej dla zbieranych danych, za poinformowanie osób wypełniających Twoje formularze, jak wykorzystujesz ich odpowiedzi, oraz za zgodność swoich poleceń z prawem. Odpowiadasz również za usługi, które łączysz ze swoimi formularzami, takie jak webhooki lub piksele śledzące, oraz za dane, które do nich wysyłasz.

Poufność

Każda osoba, którą dopuszczamy do przetwarzania danych osobowych klienta, jest zobowiązana do zachowania ich w poufności. Uzyskujemy do nich dostęp tylko wtedy, gdy jest to potrzebne do świadczenia Usługi, odpowiedzi na Twoje zgłoszenia do wsparcia, rozpatrzenia zgłoszenia naruszenia lub wypełnienia obowiązku prawnego.

Nie sprzedajemy danych osobowych klienta, nie wykorzystujemy ich do reklamy ani do własnych celów i nie używamy ich do trenowania modeli AI.

Środki bezpieczeństwa

Chronimy dane osobowe klienta za pomocą następujących środków:

• Fillio działa wyłącznie przez HTTPS, a nasz dostawca hostingu szyfruje bazę danych i przechowywane pliki.
• Reguły dostępu do bazy danych i magazynu plików pozwalają odczytywać odpowiedzi formularza tylko jego właścicielowi i zaproszonym przez niego członkom zespołu.
• Hasła formularzy, linki przejęcia formularza i kody logowania są przechowywane w rekordach, które mogą odczytywać tylko nasze serwery. Kody logowania i weryfikacyjne są przechowywane wyłącznie jako skróty (hashe) i wygasają po 10 minutach.
• Zawartości folderu z plikami przesłanymi do formularza nie można wylistować, więc znajomość formularza nigdy nie ujawnia wysłanych do niego plików. Pojedynczy plik może otworzyć każdy, kto ma link do niego.
• Przesyłanie plików przyjmuje tylko określone typy plików, do rozmiaru, na jaki pozwala plan właściciela formularza.
• Limity liczby żądań i kontrole antyspamowe chronią formularze i logowanie przed nadużyciami.
• Nasze narzędzia analityczne nie widzą treści formularzy ani tego, co wpisują respondenci.

Z czasem możemy zmieniać te środki, ale nigdy w sposób, który obniża ogólny poziom ochrony danych osobowych klienta.

Dalsze podmioty przetwarzające

Upoważniasz nas do korzystania z dalszych podmiotów przetwarzających wymienionych poniżej. Każdy z nich jest związany warunkami ochrony danych, które chronią dane osobowe klienta co najmniej tak dobrze, jak wymaga tego ta Umowa powierzenia, a my odpowiadamy przed Tobą za nie w zakresie wymaganym przez prawo.

Zanim dodamy nową kategorię dalszych podmiotów przetwarzających lub przeniesiemy dane osobowe klienta do nowego regionu, aktualizujemy poniższą listę i informujemy posiadaczy kont e-mailem lub w aplikacji, aby mieli czas wnieść sprzeciw. Jeśli wniesiesz sprzeciw z uzasadnionych powodów związanych z ochroną danych, a my nie zdołamy rozwiać Twoich obaw, możesz rozwiązać umowę, usuwając swoje konto, a my zwrócimy niewykorzystaną część każdej opłaty uiszczonej z góry.

Obecne dalsze podmioty przetwarzające

• Dostawca hostingu w chmurze i bazy danych: hosting, baza danych, przechowywanie plików i logowanie. Wszystkie dane osobowe klienta. Stany Zjednoczone.
• Dostawca wysyłki e-maili: powiadomienia o odpowiedziach i kody weryfikacji adresu e-mail, wraz z odpowiedziami z formularza i adresami e-mail. Stany Zjednoczone.
• Narzędzie do nagrywania sesji: dane o interakcjach, takich jak kliknięcia i przewijanie na stronach formularzy, przy czym treść formularza i to, co wpisują respondenci, są ukryte. Stany Zjednoczone.
• Dostawca analityki: dane o korzystaniu ze stron formularzy, takie jak wyświetlone strony, typ urządzenia i przybliżony kraj. Stany Zjednoczone.
• Usługa lokalizacji: ustalanie kraju respondenta na podstawie jego adresu IP, na potrzeby pola numeru telefonu. Stany Zjednoczone.
• Dostawcy modeli AI: tylko gdy korzystasz z kreatora formularzy AI, z Twoim opisem oraz pytaniami i opcjami formularza, nigdy z odpowiedziami. Nie przechowują tych danych i nie trenują na nich modeli. Stany Zjednoczone.

Paddle nie jest dalszym podmiotem przetwarzającym. Obsługuje Twoje płatności jako sprzedawca prowadzący rozliczenia (merchant of record) i nie otrzymuje żadnych odpowiedzi. Usługi, które łączysz z formularzem, oraz treści z innych serwisów, które wyświetlasz w formularzu, są Twoim własnym wyborem i nie są naszymi dalszymi podmiotami przetwarzającymi. Aktualną listę dostawców w każdej kategorii możesz otrzymać, pisząc na support@fillio.so.

Przekazywanie danych za granicę

Dane osobowe klienta są przechowywane u naszego dostawcy hostingu w chmurze w Stanach Zjednoczonych, a nasze dalsze podmioty przetwarzające przetwarzają je w Stanach Zjednoczonych.

Jeśli RODO ma do Ciebie zastosowanie, a przekazanie danych osobowych klienta nam lub naszym dalszym podmiotom przetwarzającym wymaga zabezpieczenia, między Tobą a nami obowiązują standardowe klauzule umowne przyjęte przez Komisję Europejską w decyzji wykonawczej Komisji (UE) 2021/914, które stanowią część tej Umowy powierzenia: Moduł drugi, gdy jesteś administratorem, i Moduł trzeci, gdy jesteś podmiotem przetwarzającym. W tych klauzulach fakultatywna klauzula 7 nie ma zastosowania, klauzula 9 opcja 2 ma zastosowanie z powiadomieniem opisanym powyżej, fakultatywne sformułowanie w klauzuli 11 nie ma zastosowania, a klauzule 17 i 18 wskazują prawo i sądy Irlandii. Sekcje tej Umowy powierzenia zawierają informacje z załączników I, II i III, a właściwym organem nadzorczym jest organ wskazany zgodnie z klauzulą 13.

W przypadku danych chronionych przez UK GDPR wraz z tymi klauzulami obowiązuje Addendum dotyczące międzynarodowego przekazywania danych wydane przez brytyjskiego Komisarza ds. Informacji. W przypadku danych chronionych przez prawo szwajcarskie klauzule obowiązują z tym, że odniesienia do RODO należy rozumieć jako odniesienia do szwajcarskiej federalnej ustawy o ochronie danych, a właściwym organem jest Federalny Inspektor Ochrony Danych i Informacji Szwajcarii.

Gdy nasze dalsze podmioty przetwarzające przekazują dane, opierają się na standardowych klauzulach umownych lub na decyzji stwierdzającej odpowiedni stopień ochrony, takiej jak Ramy ochrony danych UE-USA.

Żądania osób, których dane dotyczą

Odpowiedzi możesz samodzielnie wyszukiwać, eksportować i usuwać w Fillio, co obejmuje większość żądań osób wypełniających Twoje formularze. Jeśli ktoś zwraca się bezpośrednio do nas w sprawie swoich danych w Twoim formularzu, prosimy go o kontakt z Tobą i sami nie odpowiadamy na żądanie, chyba że wymaga tego prawo. Jeśli potrzebujesz dodatkowej pomocy w odpowiedzi na żądanie, napisz do nas, a pomożemy w rozsądnym zakresie.

Pomoc w wypełnianiu Twoich obowiązków

Uwzględniając charakter przetwarzania i posiadane przez nas informacje, udzielamy Ci rozsądnej pomocy w wypełnianiu Twoich obowiązków w zakresie bezpieczeństwa, ocen skutków dla ochrony danych oraz konsultacji z organem nadzorczym, które dotyczą Usługi.

Naruszenia ochrony danych osobowych

Jeśli dowiemy się o naruszeniu ochrony danych osobowych, które dotyczy danych osobowych klienta, bez zbędnej zwłoki informujemy Cię o tym e-mailem na adres Twojego konta. Opisujemy, co się stało, jakie dane i osoby są prawdopodobnie objęte naruszeniem, jakie są jego prawdopodobne konsekwencje i jakie kroki podejmujemy, a w miarę uzyskiwania nowych informacji przekazujemy dalsze szczegóły. Podejmujemy rozsądne kroki, aby opanować naruszenie i ograniczyć jego skutki. Poinformowanie Cię o naruszeniu nie oznacza przyznania się do winy.

Odpowiadasz za zawiadomienie organów nadzorczych i osób, których naruszenie dotyczy, jeśli wymaga tego prawo, a my pomagamy Ci, przekazując posiadane informacje.

Usuwanie

Dane osobowe klienta są usuwane, gdy je usuwasz: pojedynczą odpowiedź, formularz wraz z jego odpowiedziami, plikami i zapisami albo całe swoje konto. W planie Business możesz też ustawić, aby odpowiedzi usuwały się same po określonym czasie. Odpowiedzi w trakcie wypełniania i statystyki odwiedzin są usuwane po 91 dniach.

Przed usunięciem wyeksportuj to, co chcesz zachować. Po usunięciu nasi dostawcy mogą przez ograniczony czas przechowywać dane w swoich systemach, zanim zostaną całkowicie usunięte. Przechowujemy dane dłużej tylko wtedy, gdy wymaga tego prawo.

Informacje i audyty

Przekazujemy Ci informacje, których rozsądnie potrzebujesz, aby wykazać przestrzeganie tej Umowy powierzenia, za pośrednictwem tej strony, listy dalszych podmiotów przetwarzających i pisemnych odpowiedzi na Twoje pytania. Nasz dostawca hostingu publikuje certyfikaty i raporty z audytów infrastruktury, na której działa Fillio.

Jeśli te informacje nie wystarczą lub wymaga tego organ nadzorczy, możesz przeprowadzić audyt przestrzegania przez nas tej Umowy powierzenia, nie częściej niż raz w roku, chyba że organ nadzorczy wymaga częstszych audytów. Powiadom nas co najmniej 30 dni wcześniej, skorzystaj z audytora zobowiązanego do zachowania poufności i pokryj koszty audytu. Audyt nie może dawać dostępu do danych innych klientów.

Odpowiedzialność

Ograniczenia odpowiedzialności zawarte w regulaminie mają zastosowanie do tej Umowy powierzenia w zakresie dozwolonym przez prawo. Nie ograniczają one praw, które prawo przyznaje osobom, których dotyczą Twoje dane.

Czas obowiązywania i zmiany

Ta Umowa powierzenia obowiązuje tak długo, jak przetwarzamy dla Ciebie dane osobowe klienta. Możemy ją aktualizować, na przykład gdy zmieniają się nasze dalsze podmioty przetwarzające. Data na górze strony pokazuje, kiedy została ostatnio zmieniona. Jeśli zmiana jest istotna, informujemy o niej posiadaczy kont e-mailem lub w aplikacji, zanim wejdzie w życie.

Kontakt

Pytania dotyczące tej Umowy powierzenia lub danych osobowych klienta: support@fillio.so.