Umowa powierzenia danych (DPA)

1. Strony i zakres

1. Administratorem jest Organizacja wskazana w zamówieniu lub rejestracji testowej: [FIRMA, ADRES, NIP / IDENTYFIKATOR], reprezentowana przez [OSOBA / UMOCOWANIE].
2. Podmiotem przetwarzającym jest KERNAL Katarzyna Pawluczyk-Bryła, ul. 1 Maja 70/3, 95-100 Zgierz, NIP 7322104602; kontakt: support@kernal.pl.
3. Administrator powierza przetwarzanie danych zawartych w jego Projektach, plikach, komentarzach, udostępnieniach i danych współpracy zespołu, w celu wykonania usługi BUILD.
4. DPA nie obejmuje danych, dla których KERNAL jest odrębnym administratorem, np. rozliczeń własnej umowy, bezpieczeństwa własnej usługi lub przyjęcia publicznego Zapytania. Cele te opisuje polityka prywatności. Rozdzielenie ról nie uprawnia KERNAL do wykorzystywania treści Projektów we własnych celach.
5. Gdy Organizacja jako partner otrzyma Zapytanie do własnej obsługi i zachowa je w BUILD, KERNAL obsługuje tę kopię na jej zlecenie na podstawie tego DPA.

2. Opis przetwarzania

Usługa nie jest projektowana jako system do danych szczególnych kategorii lub danych o wyrokach. [PROPOZYCJA DO UZGODNIENIA: ich wprowadzanie tylko po odrębnym ustaleniu zakresu i odpowiednich zabezpieczeń.]

3. Polecenia i obowiązki Administratora

1. Udokumentowane polecenia stanowią umowa, DPA, zamówienie oraz czynności uprawnionych osób w aplikacji, w tym wybór odbiorcy linku lub uruchomienie integracji. Dodatkowe polecenia przekazuje uprawniona osoba przez support@kernal.pl.
2. Administrator określa cele, podstawę prawną, zakres i retencję własnych danych, zapewnia ich prawidłowość w zakresie swoich obowiązków, wykonuje obowiązki informacyjne i zarządza uprawnieniami.
3. KERNAL niezwłocznie informuje, jeżeli polecenie jego zdaniem narusza przepisy ochrony danych. Strony wyjaśniają wątpliwość przed wykonaniem zakwestionowanej operacji, bez bezpodstawnego blokowania pozostałej usługi.
4. Obowiązek przetwarzania wynikający z prawa KERNAL komunikuje Administratorowi przed rozpoczęciem, chyba że prawo zakazuje takiej informacji.

4. Obowiązki KERNAL

1. KERNAL przetwarza dane wyłącznie w celu wykonania udokumentowanych poleceń, bez sprzedaży danych ani samodzielnego marketingu do klientów Organizacji.
2. Dostęp otrzymują tylko osoby upoważnione i zobowiązane do poufności. Dostęp administracyjny lub wsparcia jest ograniczony do potrzeb wykonania umowy i działań bezpieczeństwa.
3. KERNAL stosuje środki adekwatne do ryzyka, utrzymuje poufność, integralność, dostępność i możliwość odtworzenia, ocenia skuteczność zabezpieczeń i usuwa stwierdzone słabości.
4. KERNAL pomaga Administratorowi w realizacji praw osób, ocenie naruszeń, ocenie skutków i konsultacji z organem nadzorczym, z uwzględnieniem charakteru przetwarzania i posiadanych informacji.
5. Wniosek osoby dotyczący danych powierzonych KERNAL przekazuje Administratorowi bez zbędnej zwłoki; nie rozstrzyga go samodzielnie, chyba że wynika to z polecenia lub prawa.
6. KERNAL udostępnia informacje potrzebne do wykazania wykonania DPA i umożliwia audyty, w tym inspekcje Administratora lub jego upoważnionego audytora. Strony uzgadniają bezpieczny przebieg chroniący dane innych klientów; uzgodnienia nie ograniczają skutecznego prawa kontroli ani pilnych działań po naruszeniu.
7. Odpowiedzialność stron pozostaje na zasadach ogólnych. DPA nie zawiera limitu kwotowego i nie ogranicza praw osób, których dane dotyczą.

5. Naruszenia ochrony danych

1. KERNAL zawiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia dotyczącego powierzonych danych, przez zweryfikowany kontakt administracyjny oraz kanał uzgodniony w zamówieniu.
2. Zawiadomienie zawiera dostępne informacje o zdarzeniu, jego zakresie, osobach i danych, prawdopodobnych skutkach, podjętych środkach i kontakcie do dalszych wyjaśnień. Brak wszystkich informacji nie opóźnia pierwszego zawiadomienia; informacje są uzupełniane.
3. KERNAL zabezpiecza dowody, ogranicza skutki i współpracuje przy wykonaniu obowiązków Administratora. O zgłoszeniu organowi lub osobom decyduje właściwy administrator, z uwzględnieniem odrębnych obowiązków KERNAL wynikających z prawa.
4. Termin zwykłej odpowiedzi wsparcia do 2 dni roboczych nie stanowi terminu zawiadomienia o naruszeniu.

6. Dalsze powierzenie i transfery

1. Administrator udziela ogólnego upoważnienia do używania podmiotów z uzupełnionego załącznika A w opisanych czynnościach. Nazwy marek nie zastępują wskazania rzeczywistych podmiotów umownych.
2. [PROPOZYCJA] O dodaniu lub zmianie podmiotu KERNAL zawiadamia minimum 30 dni wcześniej, podając tożsamość, czynności i lokalizacje. Administrator może zgłosić uzasadniony sprzeciw dotyczący ochrony danych przed zmianą.
3. Strony uzgadniają rozwiązanie sprzeciwu; jeżeli nie można zapewnić zgodnego przetwarzania, uzgadniają zaprzestanie dotkniętej części usługi i zwrot lub usunięcie danych. Nie traktuje się milczenia jako zrzeczenia obowiązkowych praw.
4. KERNAL nakłada na podmiot dalszy odpowiednie obowiązki ochrony i pozostaje odpowiedzialny za ich wykonanie wobec Administratora w zakresie wymaganym prawem.
5. Potwierdzone miejsca przechowywania: serwer OVH w UE i kopie Cloudflare R2 w UE. Transfer lub zdalny dostęp spoza EOG wymaga właściwej podstawy, zabezpieczeń i udokumentowanego polecenia lub upoważnienia. Region UE sam nie stanowi dowodu braku takich transferów.
6. KERNAL ID jest aplikacją obsługującą tożsamość. Jeżeli prowadzi ją ten sam usługodawca, nie wpisuje się jej jako osobnej osoby prawnej będącej podprzetwarzającym. [DO POTWIERDZENIA: podmiot i infrastruktura KERNAL ID.]

7. Zwrot i usunięcie

1. Administrator wybiera zwrot albo usunięcie danych po zakończeniu usługi. Standardowy okres odebrania danych wynosi 90 dni po płatnej umowie i 30 dni po demo bez zakupu. Administrator może zlecić wcześniejsze usunięcie.
2. Eksport wykonuje się bezpiecznie po weryfikacji uprawnienia; zakres i formaty opisuje dokument procedury odejścia. Administrator otrzymuje przypomnienie 14 dni przed standardowym usunięciem.
3. Po upływie okresu lub wykonaniu polecenia usunięcia dane z aktywnej bazy usuwa się bez dalszego wykorzystywania. Dane zachowywane z obowiązku prawnego wymagają osobnej podstawy, minimalizacji i ograniczenia dostępu.
4. Kopie są rotowane: 7 dziennych, 5 tygodniowych i 12 miesięcznych. Dane usunięte z aktywnej bazy mogą pozostać w uprzednich kopiach do ich wygaśnięcia, maksymalnie 12 miesięcy od utworzenia kopii. Kopie są wyłączone z bieżącej obsługi i udostępniania.
5. Przy odtworzeniu awaryjnym KERNAL ponawia uprzednie usunięcia przed powrotem danych do zwykłego użycia. Po zakończeniu cyklu potwierdza wykonanie usunięcia na wniosek Administratora.
6. [DO PRZEGLĄDU PRAWNEGO I TECHNICZNEGO] Niezbędność 12-miesięcznego cyklu, zabezpieczenia kopii i sposób skutecznego usuwania muszą być ocenione z uwzględnieniem żądania Administratora, RODO i ewentualnie aktu w sprawie danych; zapis nie tworzy dowolnego wyjątku od obowiązku usunięcia.
7. DPA obowiązuje przez okres faktycznego przechowywania danych powierzonych, także po zakończeniu dostępu do aplikacji.

Załącznik A — dostawcy

Nie dodawać automatycznie producentów modeli, usług DNS ani każdej biblioteki programistycznej: wykaz zależy od rzeczywistego dostępu do powierzonych danych.

Załącznik B — opis wymaganych środków ochrony

To wymagania do potwierdzenia, nie poświadczenie audytu infrastruktury.

• Rozdzielenie Organizacji oraz kontrola uprawnień po stronie serwera; ograniczony dostęp administracyjny.
• Szyfrowanie komunikacji; sposób szyfrowania danych na dyskach i kopii: [POTWIERDZIĆ KONFIGURACJĘ I ZARZĄDZANIE KLUCZAMI].
• Logowanie przez KERNAL ID, dostępne uwierzytelnianie wieloskładnikowe; [POTWIERDZIĆ WYMUSZANIE DLA ADMINISTRACJI].
• Ograniczenie prób logowania i kodów, bezpieczne sesje, unieważnianie dostępów.
• Kopie codzienne poza hostem, rotacja i testy odtworzenia; [POTWIERDZIĆ AKTUALNE WYNIKI I ODPOWIEDZIALNE OSOBY].
• Rejestrowanie istotnych czynności i ograniczenie danych w logach; [UZUPEŁNIĆ RETENCJĘ].
• Aktualizacje, reagowanie na podatności i incydenty; poufność personelu.
• Zweryfikowany eksport, usuwanie wszystkich zależnych danych i rejestr usunięć stosowany po odtworzeniu.