Umowa powierzenia danych

Niniejsza umowa powierzenia przetwarzania danych osobowych („umowa powierzenia”) jest częścią regulaminu zawartego między , () („my”, podmiot przetwarzający) a klientem korzystającym ze Scanteo („Ty”, administrator). Ma zastosowanie, gdy przetwarzamy dane osobowe w Twoim imieniu zgodnie z art. 28 RODO. Wchodzi w życie z chwilą akceptacji regulaminu i nie wymaga podpisu. Kontakt: .

1. Przedmiot, czas trwania i charakter przetwarzania

Przechowujemy Twoje kody QR, strony i ustawienia, obsługujemy skany kodów i je liczymy, odbieramy formularze z Twoich stron i uruchamiamy włączone przez Ciebie integracje. Przetwarzanie trwa przez czas istnienia konta i kończy się jego usunięciem zgodnie z punktem 8.

2. Kategorie osób i danych

• Osoby skanujące Twoje kody: czas, kod, typ urządzenia, system, przeglądarka, strona odsyłająca, język, kraj i miasto (jeśli dostępne), skrót adresu IP z kluczem zmienianym codziennie (sam adres nigdy nie jest zapisywany) oraz, w testach A/B, pokazany wariant.
• Odwiedzający Twoje strony: dane wpisane w formularze (np. imię, adres e-mail, numer telefonu, wiadomość, odpowiedzi), przechowywane w postaci zaszyfrowanej.
• Osoby w Twoich treściach: dane umieszczone przez Ciebie w wizytówkach, na stronach i w plikach.
• Twój zespół: imiona, nazwiska i adresy e-mail zaproszonych członków oraz log aktywności ich zmian.

Nie powierzasz nam szczególnych kategorii danych (art. 9 RODO) i zobowiązujesz się nie zbierać ich przez nasze formularze.

3. Nasze obowiązki

• Przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie: zgodnie z regulaminem, tą umową i Twoimi ustawieniami w produkcie (np. włączonymi integracjami). Jeśli polecenie wydaje się naruszać przepisy o ochronie danych, poinformujemy Cię o tym.
• Każda osoba w naszej firmie z dostępem do danych jest zobowiązana do zachowania poufności.
• Stosujemy środki bezpieczeństwa opisane w punkcie 5.
• W rozsądnym zakresie pomagamy Ci odpowiadać na żądania osób, których dane dotyczą, i wywiązywać się z obowiązków z art. 32–36 RODO.
• Informujemy Cię bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin, o stwierdzonym naruszeniu ochrony Twoich danych.
• Udostępniamy informacje potrzebne do wykazania zgodności z tą umową i umożliwiamy audyty zgodnie z punktem 7.

4. Dalsze podmioty przetwarzające

Zgadzasz się na korzystanie z wymienionych niżej podmiotów. Każdego z nich wiążemy pisemną umową z obowiązkami ochrony danych nie słabszymi niż w tej umowie. O nowych podmiotach informujemy właściciela konta e-mailem co najmniej 30 dni przed rozpoczęciem przetwarzania; możesz zgłosić uzasadniony sprzeciw, a jeśli nie zdołamy go uwzględnić, możesz rozwiązać umowę.

• [Dostawca hostingu], hosting aplikacji i bazy danych, [region];
• [Dostawca poczty e-mail], wiadomości z powiadomieniami;
• [Sieć dostarczania treści], obsługa przekierowań i stron;
• Google Ireland Ltd, Web Risk: adresy docelowe kodów i linki na stronach (bez danych osób skanujących);
• Cloudflare, Inc., Turnstile: ochrona formularzy przed spamem, tylko po włączeniu.

Usługi, które łączysz samodzielnie (np. Google Analytics albo własny serwer webhooków), otrzymują dane na Twoje polecenie; odbiorcę wybierasz Ty, a nie my.

5. Środki bezpieczeństwa

• Szyfrowanie transmisji (TLS) i szyfrowanie w bazie odpowiedzi z formularzy, danych wizytówek oraz sekretów integracji.
• Brak zapisu adresów IP osób skanujących kody; dzienne klucze unikalnych odwiedzających usuwane po dwóch dniach.
• Dostęp do panelu chroniony hasłami przechowywanymi jako jednokierunkowe skróty, opcjonalnym logowaniem dwuetapowym (obowiązkowym dla naszych administratorów) i rolami w przestrzeniach roboczych.
• Oddzielenie danych klientów według przestrzeni roboczych w każdym zapytaniu, sprawdzane automatycznymi testami.
• Regularne kopie zapasowe, rejestrowanie działań administracyjnych i automatyczne testy bezpieczeństwa przed każdym wydaniem.

6. Przekazywanie danych poza EOG

Twoje dane przechowujemy w [region]. Jeśli dalszy podmiot przetwarza dane poza Europejskim Obszarem Gospodarczym, przekazanie odbywa się na podstawie decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych Komisji Europejskiej.

7. Audyty

Odpowiadamy na uzasadnione pisemne pytania o nasze środki ochrony danych. Jeśli odpowiedzi nie wystarczą do wykazania zgodności, możesz raz w roku przeprowadzić u nas audyt, na swój koszt, z 30-dniowym wyprzedzeniem, w godzinach pracy i bez dostępu do danych innych klientów.

8. Usunięcie i zwrot danych

W każdej chwili możesz wyeksportować kody, mapę przekierowań, statystyki skanów i odpowiedzi z formularzy. Po usunięciu konta usuwamy Twoje dane w ciągu [30] dni, chyba że prawo wymaga ich przechowywania, a kopie zapasowe są nadpisywane w ciągu [35] dni.

9. Odpowiedzialność i pierwszeństwo

Odpowiedzialność z tytułu tej umowy określa regulamin. W razie sprzeczności między tą umową a regulaminem w zakresie ochrony danych pierwszeństwo ma ta umowa.