Umowa powierzenia danych

Umowa powierzenia przetwarzania danych osobowych (dalej: "Umowa powierzenia") zostaje zawarta między Klientem jako administratorem danych (dalej: "Administrator") a Michała Foxa, prowadzącym działalność pod marką Kouryer, w Krakowie, e-mail hello@kouryer.com, jako podmiotem przetwarzającym (dalej: "Kouryer").

Umowę powierzenia zawiera się przez akceptację Regulaminu przy zakładaniu konta w Panelu. Jest ona częścią Umowy i obowiązuje przez czas jej trwania, a po jej zakończeniu do usunięcia danych na zasadach pkt 10.

Umowa powierzenia wykonuje art. 28 rozporządzenia (UE) 2016/679 (RODO). Jeżeli do przetwarzania stosuje się także brytyjskie RODO (UK GDPR), postanowienia o RODO stosuje się do niego odpowiednio.

Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie albo w RODO. W sprawach danych osobowych Umowa powierzenia ma pierwszeństwo przed Regulaminem.

Kouryer przetwarza dane wyłącznie w celu wykonania Abonamentu, czyli doboru Firm docelowych i Osób kontaktowych, kontaktu z nimi w imieniu Administratora, obsługi odpowiedzi, umawiania rozmów oraz raportowania w Panelu.

Przetwarzanie obejmuje: zbieranie danych z publicznie dostępnych źródeł według Profilu idealnego klienta, sprawdzanie poprawności adresów, utrwalanie, przechowywanie, porządkowanie, wysyłanie Wiadomości, odbieranie i czytanie odpowiedzi, oznaczanie statusów, udostępnianie danych Administratorowi w Panelu i ich usuwanie.

Przetwarzanie trwa przez czas trwania Umowy i okres opisany w pkt 10.

Przetwarzanie dotyczy:

1. 1)Osób kontaktowych w Firmach docelowych: właścicieli, członków zarządu, pracowników i współpracowników;
2. 2)osób, które odpowiedziały na Wiadomość albo zostały w odpowiedzi wskazane do kontaktu;
3. 3)osób z Listy wykluczeń Administratora;
4. 4)uczestników rozmów umówionych w kalendarzu Administratora.

Przetwarzane dane to: imię i nazwisko, stanowisko albo rola, służbowy adres e-mail, nazwa i strona firmy, kraj i miasto, adres publicznego profilu zawodowego, jeżeli jest źródłem danych, treść korespondencji, status odpowiedzi, termin rozmowy, notatki Opiekuna i Użytkowników oraz dane techniczne Wiadomości, takie jak data wysłania i informacja o niedoręczeniu.

Nie przetwarzamy szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator nie przekazuje takich danych. Jeżeli pojawią się w treści odpowiedzi, przechowujemy je wyłącznie jako część wątku i nie przetwarzamy ich w inny sposób.

Kouryer przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Umowa, ustawienia Kampanii w Panelu (Profil idealnego klienta, rynki, grupa docelowa, Lista wykluczeń, oferta i ton) oraz Zgłoszenia.

Jeżeli polecenie naszym zdaniem narusza RODO albo inne przepisy o ochronie danych, niezwłocznie informujemy o tym Administratora i wstrzymujemy jego wykonanie do czasu wyjaśnienia.

Danych nie przetwarzamy we własnych celach, nie sprzedajemy ich, nie łączymy z danymi innych klientów i nie używamy w kampaniach innych klientów. Wyjątkiem jest Lista wypisów z pkt 10.3, prowadzona po to, by osoby, które zrezygnowały z kontaktu, nie otrzymały Wiadomości od żadnego klienta Kouryer.

Kouryer:

1. 1)dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności;
2. 2)stosuje środki bezpieczeństwa opisane w pkt 6;
3. 3)pomaga Administratorowi w realizacji praw osób, których dane dotyczą: żądanie dostępu, sprostowania, usunięcia albo ograniczenia przekazujemy Administratorowi w ciągu 3 Dni roboczych, a sprzeciw wobec kontaktu i wypis realizujemy od razu, zgodnie z Zasadami kontaktu z firmami;
4. 4)pomaga Administratorowi w wykonaniu obowiązków z art. 32 do 36 RODO, w szczególności przekazuje opis przetwarzania potrzebny do oceny uzasadnionego interesu i oceny skutków;
5. 5)zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, z opisem charakteru naruszenia, kategorii i przybliżonej liczby osób, prawdopodobnych skutków i podjętych środków;
6. 6)prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

Administrator może sprawdzić, czy przestrzegamy Umowy powierzenia, raz w roku, a także po naruszeniu ochrony danych. Audyt zapowiada z wyprzedzeniem co najmniej 14 dni i prowadzi przede wszystkim przez pytania i dokumenty, a na miejscu po uzgodnieniu terminu, w sposób, który nie ujawnia danych innych klientów. Koszty audytu ponosi Administrator.

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

1. 1)szyfrowanie połączeń z Serwisem i Panelem (HTTPS);
2. 2)hasła Użytkowników przechowywane wyłącznie jako skrót scrypt z losową solą;
3. 3)sesję w podpisanym ciasteczku niedostępnym dla skryptów strony, ważnym 14 dni;
4. 4)role w Panelu (właściciel, członek zespołu, tylko podgląd) i dostęp do danych oraz załączników wyłącznie z konta, którego dotyczą;
5. 5)oddzielenie danych poszczególnych klientów;
6. 6)przechowywanie danych na serwerach w Polsce, z dostępem administracyjnym ograniczonym do osób upoważnionych;
7. 7)rekordy SPF, DKIM i DMARC na każdej Domenie wysyłkowej;
8. 8)minimalizację: zbieramy tylko dane potrzebne do kontaktu, a na Liście wypisów zostaje tylko adres albo domena i data;
9. 9)kopie zapasowe i procedurę postępowania z naruszeniami ochrony danych.

Środki możemy zmieniać na równie skuteczne albo skuteczniejsze.

Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w następujących kategoriach:

O planowanej zmianie dalszego podmiotu albo dodaniu nowej kategorii informujemy e-mailem i w Panelu co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeżeli nie znajdziemy rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem na dzień zmiany, także w minimalnym okresie.

Dalszy podmiot przetwarzający ma obowiązki ochrony danych nie słabsze niż w Umowie powierzenia. Za jego działania odpowiadamy wobec Administratora jak za własne.

Kalendarz, który Administrator podłącza w Panelu (Google Calendar, Microsoft Outlook albo własny link do rezerwacji), działa u dostawcy wybranego przez Administratora, na jego koncie i warunkach. Nie jest on naszym dalszym podmiotem przetwarzającym.

Dane Kampanii przechowujemy w Polsce. Poza Europejski Obszar Gospodarczy dane trafiają tylko:

1. 1)do Osób kontaktowych w państwach trzecich, w treści Wiadomości, co jest istotą usługi zleconej przez Administratora;
2. 2)do usług powiadomień push z pkt 7.1, w postaci zaszyfrowanej;
3. 3)do Administratora i jego Użytkowników, którzy korzystają z Panelu z państwa trzeciego.

Jeżeli Administrator ma siedzibę poza EOG, a przepisy tego wymagają, na jego żądanie zawieramy standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914, w module dotyczącym przekazywania przez podmiot przetwarzający administratorowi, a dla przekazań podlegających prawu Zjednoczonego Królestwa właściwy dodatek brytyjski.

Administrator odpowiada za zgodność przetwarzania z prawem, w szczególności za:

1. 1)podstawę prawną kontaktu z Osobami kontaktowymi, w tym ocenę uzasadnionego interesu tam, gdzie jest ona podstawą;
2. 2)obowiązek informacyjny z art. 14 RODO; w każdej Wiadomości podajemy w imieniu Administratora tożsamość nadawcy, źródło danych i sposób zgłoszenia sprzeciwu oraz link do informacji o przetwarzaniu w Polityce prywatności;
3. 3)zgodność oferty i Kampanii z przepisami o komunikacji elektronicznej i ochronie konsumentów w krajach odbiorców, opisanymi w Zasadach kontaktu z firmami;
4. 4)aktualność Listy wykluczeń i zgodność z prawem danych, które sam przekazuje do Kampanii.

Administrator nie poleca nam kontaktu z osobami z Listy wypisów, z adresami prywatnymi ani z osobami spoza Profilu idealnego klienta.

Przez 30 dni od zakończenia Umowy Administrator może pobrać dane z Panelu na zasadach Regulaminu. Następnie, w ciągu 30 dni, usuwamy wszystkie dane Kampanii, w tym zawartość Skrzynek wysyłkowych, a z kopii zapasowych w zwykłym cyklu ich wymiany.

Na żądanie Administratora usuwamy dane wcześniej albo przekazujemy je w formacie CSV wraz z treścią korespondencji, a następnie usuwamy. Usunięcie potwierdzamy w Formie dokumentowej.

Nie usuwamy wpisów z Listy wypisów: adresu albo domeny i daty rezygnacji. Listę prowadzimy jako administrator na zasadach Polityki prywatności, żeby nikt, kto zrezygnował z kontaktu, nie otrzymał Wiadomości ponownie.

Przechowujemy dłużej tylko dane, których przechowywania wymaga prawo, i informujemy o tym Administratora.

Odpowiadamy za szkody wyrządzone przetwarzaniem niezgodnym z Umową powierzenia albo z obowiązkami nałożonymi przez RODO bezpośrednio na podmioty przetwarzające, na zasadach art. 82 RODO.

W stosunkach między Stronami stosuje się ograniczenia odpowiedzialności z Regulaminu w zakresie, w jakim pozwala na to prawo.

Do Umowy powierzenia stosuje się prawo polskie. Spory rozstrzyga sąd właściwy według Regulaminu.

Umowa powierzenia jest dostępna w języku polskim i angielskim. W razie rozbieżności rozstrzyga wersja polska.

Umowa powierzenia obowiązuje od 24 października 2026.