Umowa o przetwarzaniu danych

Niniejsza Umowa powierzenia przetwarzania danych osobowych (zwana dalej „Umową powierzenia”) podlega, zarazem stanowiąc ich część, postanowieniom Warunków SumUp dotyczących Usług, z których możesz korzystać („Warunki dodatkowe”) oraz wszelkim innym obowiązującym warunkom SumUp, takim jak m.in. Ogólne warunki SumUp, (w niniejszym dokumencie określanym jako „Warunki”) zawartym i uzgodnionym pomiędzy Tobą jako użytkownikiem SumUp („Ty”, „Administrator danych”) a zawierającym umowę podmiotem SumUp wskazanym w obowiązujących Warunkach dodatkowych („SumUp”, „My”, „Podmiot przetwarzający dane”), należącym do Grupy SumUp S.A.R.L. — Grupy SumUp.

W celu świadczenia Usług zgodnie z Warunkami dodatkowymi SumUp przetwarza dane osobowe Klientów, pracowników lub osób odwiedzających Twój sklep, witrynę lub korzystających z usług („Twoi Klienci”, „Klienci”, „Klienci końcowi”). Przetwarzanie takich danych przez SumUp jest w dalszej części zwane „przetwarzaniem” (zgodnie z definicją tego terminu zawartą w Obowiązującym prawodawstwie w zakresie ochrony danych). Następująca Umowa powierzenia określa warunki takiego przetwarzania przez SumUp.

Strony zobowiązują się, że warunki niniejszej Umowy powierzenia będą przestrzegane przez podmioty powiązane, które mogą uczestniczyć w operacjach przetwarzania danych osobowych w celach określonych w Warunkach dodatkowych. W szczególności SumUp zapewnia, że wszystkie podmioty podprzetwarzające przetwarzają Dane Twoich Klientów w zakresie określonym przez treść niniejszej Umowy powierzenia.

1. Definicje

1.1. „Obowiązujące prawodawstwo w zakresie ochrony danych” oznacza wszystkie przepisy dotyczące przetwarzania danych osobowych zgodnie z Warunkami dodatkowymi, Warunkami i niniejszą Umową powierzenia, w tym między innymi brytyjską Ustawę o ochronie danych z 2018 r., Ogólne rozporządzenie UE o ochronie danych 2016/679 („RODO”, „Rozporządzenie”), dyrektywę UE w sprawie prywatności i łączności elektronicznej 2002/58/WE, zgodnie z tym, jak zostały wdrożone w poszczególnych obszarach prawnych, a także wszystkie poprawki lub wszelkie inne obowiązujące lub zastępujące międzynarodowe, regionalne lub krajowe przepisy ustawodawcze i wykonawcze oraz wytyczne regulacyjne.

1.2. Terminy „administrator danych”, „osoba, której dane dotyczą”, „dane osobowe”, „przetwarzanie”, i „podmiot przetwarzający dane” należy interpretować zgodnie z ich definicjami zawartymi w Obowiązującym prawodawstwie w zakresie ochrony danych.

1.3. 1.3. „Treść” oznacza Twoją Treść i wszelkie treści przekazywane SumUp przez Twoich Klientów, w tym, między innymi, tekst, zdjęcia, obrazy, audio, wideo, kod, informacje z plików cookie bądź podobnych technologii do śledzenia oraz wszelkie inne materiały.

1.4. „Twoje dane”, „Dane Twoich Klientów” oznaczają dane osobowe zawarte w Treści przetwarzanej przez SumUp w Twoim imieniu w ramach Usług i/lub dane Twoich pracowników, księgowych i/lub Klientów przetwarzane w Twoim imieniu w celu świadczenia Usług. Dane Twoich Klientów nie obejmują danych osobowych, jeżeli administratorem takich danych jest SumUp zgodnie z niniejszą Umową powierzenia i Polityką prywatności SumUp.

1.5. Wszystkie terminy, które są stosowane w bieżącej Umowie powierzenia, ale nie mają jednoznacznej definicji w niniejszej sekcji, mają takie samo znaczenie, jak nadano im w Warunkach dodatkowych. Jeśli nie ma jednoznacznej definicji terminów w Warunkach dodatkowych lub Warunkach, ich znaczenie będzie takie, jakie podano w Obowiązującym prawodawstwie w zakresie ochrony danych.

2. Stosowalność. Niniejsza Umowa powierzenia obowiązuje wyłącznie w odniesieniu do Danych Twoich Klientów przetwarzanych przez SumUp w Twoim imieniu do celów świadczenia Usług. Zgadzasz się, że SumUp nie ponosi odpowiedzialności za dane osobowe, które na skutek Twojej decyzji są przetwarzane za pośrednictwem usług osób trzecich lub poza zakresem Usług, między innymi za pośrednictwem systemów usług chmurowych osób trzecich, przechowywania w trybie offline lub na miejscu.

3. Szczegółowe informacje o przetwarzaniu danych. SumUp będzie przetwarzać dane osobowe zgodnie z Załącznikiem 1 do niniejszej Umowy powierzenia.

4. Prawa i obowiązki

4.1. W zakresie, w jakim Dane Twoich Klientów są przetwarzane przez SumUp w Twoim imieniu, a przetwarzanie to podlega Obowiązującemu prawodawstwu w zakresie ochrony danych, potwierdzasz i akceptujesz to, że dla celów świadczenia Usług SumUp działasz w charakterze Administratora takich danych osobowych, a korzystanie z usług SumUp oznacza, że SumUp przetwarza Dane Twoich Klientów w Twoim imieniu, na Twoje polecenie, na mocy niniejszej Umowy powierzenia.

4.2. Akceptację niniejszej Umowy powierzenia możesz wycofać na dowolnym etapie. Oznacza to jednak, że SumUp zaprzestanie świadczenia Ci Usługi.

4.3. SumUp jako podmiot przetwarzający dane osobowe:

a. przetwarza Dane Twoich Klientów wyłącznie do celów określonych w niniejszej Umowie powierzenia i zgodnie z obowiązującym prawem oraz Umową powierzenia;

b. może działać i przetwarzać Dane Twoich Klientów wyłącznie na Twoje udokumentowane polecenie, chyba że przepisy prawa, orzeczenie sądowe lub środki legislacyjne wymagają od SumUp podjęcia działania bez takiego polecenia. Z chwilą zawarcia niniejszej Umowy powierzenia, na Twoje polecenie SumUp może przetwarzać Dane Twoich Klientów wyłącznie do celów świadczenia Usług, jak opisano to w Umowie powierzenia oraz Warunkach dodatkowych. Z zastrzeżeniem postanowień niniejszej Umowy powierzenia i za obopólną zgodą obu stron możesz wydawać dodatkowe pisemne instrukcje zgodne z warunkami niniejszej Umowy powierzenia;

c. gwarantuje, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub są do niego prawnie zobowiązane;

d. gwarantuje, że dostęp do danych osobowych jest przyznawany wyłącznie osobom, które go potrzebują do wykonywania obowiązków służbowych w kontekście Usług na mocy Warunków dodatkowych;

e. ponosi odpowiedzialność za zapewnienie, że pracownicy/podwykonawcy i/lub inni przedstawiciele przetwarzający Dane Twoich Klientów przetwarzają dane osobowe wyłącznie na Twoje polecenie;

f. niezwłocznie powiadomi Cię, jeżeli uzna, że niektóre z Twoich poleceń są sprzeczne z Obowiązującym prawodawstwem w zakresie ochrony danych;

g. jest zobowiązany do ochrony Danych Twoich Klientów na mocy niniejszej Umowy powierzenia przed zniszczeniem, zmianą, utratą lub inną nieuprawnioną formą przetwarzania. W tym celu SumUp podejmuje wszelkie stosowne środki bezpieczeństwa zgodnie z obowiązującym prawem. Możliwe jest, że SumUp wdroży alternatywne odpowiednie środki. Przy wprowadzaniu takich rozwiązań alternatywnych nie jest możliwe zmniejszenie poziomu określonych środków bezpieczeństwa. SumUp udzieli Ci pomocy w zakresie odpowiednich środków technicznych i organizacyjnych zgodnie z wymogami, a także, uwzględniając charakter przetwarzania i kategorię informacji dostępnych dla SumUp, umożliwi przestrzeganie zobowiązań wynikających z Obowiązującego prawodawstwa w zakresie ochrony danych.

h. na uzasadnione żądanie udostępnia certyfikaty potwierdzające, że SumUp przestrzega swoich zobowiązań wynikających z niniejszej Umowy powierzenia i Obowiązującego prawodawstwa w zakresie ochrony danych, i/lub udostępnia informacje niezbędne do wykazania zgodności z obowiązkami wynikającymi z niniejszej Umowy powierzenia oraz Obowiązującego prawodawstwa dotyczącego ochrony danych. Informacje, które zostaną udostępnione przez SumUp, ograniczają się wyłącznie do niezbędnych informacji, przy uwzględnieniu charakteru Usług i informacji dostępnych dla SumUp, aby zapewnić wsparcie w wypełnianiu Twoich obowiązków, szczególnie w odniesieniu do obowiązków w zakresie oceny skutków dla ochrony danych, uprzednich konsultacji i zapewnienia bezpieczeństwa danych osobowych;

i. zapewnia pomoc, w stosownych ramach czasowych, za pomocą odpowiednich środków oraz, w uzasadnionych przypadkach (biorąc pod uwagę charakter przetwarzania), w przestrzeganiu praw osób, których dane dotyczą, oraz wszelkich dalszych zobowiązań wynikających z Obowiązującego prawodawstwa w zakresie ochrony danych;

j. powiadamia Cię, jeżeli jest to dozwolone przez obowiązujące przepisy, o otrzymaniu zapytania lub zażalenia od osoby, której dane osobowe są przetwarzane na mocy Umowy o powierzeniu, lub ważnego żądania ze strony władz, organów ścigania, regulacyjnych bądź innych w odniesieniu do Danych Twoich Klientów, które przetwarzamy w Twoim imieniu i na Twoje polecenie.

4.4. Jako administrator danych osobowych:

a. gromadzisz, wykorzystujesz i przetwarzasz dane osobowe zgodnie z wszelkim Obowiązującym prawodawstwem w zakresie ochrony danych;

b. ponosisz wyłączną odpowiedzialność za dokładność, jakość i zgodność z prawem czynności przetwarzania Danych Twoich Klientów oraz środki, za pomocą których dane te są uzyskiwane;

c. zapewnisz odpowiedni poziom bezpieczeństwa podczas korzystania z Usług, uwzględniając wszelkie ryzyko związane z Danymi Twoich Klientów;

d. potwierdzasz, że wszelkie czynności mające na celu przechowywanie i/lub przekazywanie Danych Twoich Klientów do podmiotów zewnętrznych lub na platformy inne niż SumUp odbywają się na Twoje wyłączne ryzyko i odpowiedzialność;

e. zapewniasz, że przetwarzanie danych osobowych na Twoje polecenie odbywa się zgodnie ze wszystkimi przepisami ustawowymi i wykonawczymi oraz zasadami mającymi zastosowanie do Danych Twoich Klientów. Zapewniasz również, że czynności przetwarzania danych Twoich Klientów na Twoje polecenie nie powodują ani nie prowadzą do naruszenia jakichkolwiek przepisów ustawodawczych ani wykonawczych oraz innych regulacji;

f. udostępniasz swoim Klientom niezbędne informacje o tym, jak i dlaczego są przetwarzane ich dane, zgodnie z Obowiązującym prawodawstwem w zakresie ochrony danych.

5. Zawiadomienia o naruszeniu. Strona powiadomi niezwłocznie (lecz nie później niż w ciągu 48 godzin) drugą stronę o uzyskaniu informacji o naruszeniu bezpieczeństwa danych osobowych w odniesieniu do danych osobowych przetwarzanych na mocy niniejszej Umowy powierzenia. SumUp pomoże w wypełnieniu obowiązków w zakresie powiadamiania o naruszeniu bezpieczeństwa danych, przekazując informacje o naruszeniu, które można w zasadny sposób ujawnić, uwzględniając charakter Usług, informacje nam dostępne oraz wszelkie ograniczenia dotyczące ujawniania informacji takie jak wymóg zachowania poufności. Pomimo powyższego, zobowiązania SumUp wynikające z niniejszej sekcji nie mają zastosowania do incydentów spowodowanych przez Ciebie, jakichkolwiek działań na Twoim koncie ani usług osób trzecich. SumUp jest zobowiązany do współpracy i wsparcia w zakresie dochodzenia, minimalizacji negatywnych skutków i naprawienia naruszenia danych osobowych, a także zapobiegania podobnym przypadkom naruszenia danych w przyszłości. Powiadomienie przez SumUp o naruszeniu bezpieczeństwa danych osobowych nie zostanie uznane za przyznanie się SumUp do jakiejkolwiek winy ani wzięcie odpowiedzialności za taki incydent. W razie naruszenia bezpieczeństwa danych osobowych Twoim obowiązkiem jest podjęcie środków wymaganych przez obowiązujące przepisy w odniesieniu do Danych Twoich Klientów.

6. Podmioty podprzetwarzające. Niniejszym przyznajesz SumUp ogólne upoważnienie do angażowania podmiotów podprzetwarzających w celu świadczenia Usług bez potrzeby uzyskania dalszych pisemnych, konkretnych pozwoleń. SumUp podpisze umowę z każdym podmiotem podprzetwarzającym w celu zapewnienia zgodności działań takiego podmiotu podprzetwarzającego z obowiązującymi warunkami zapewniającymi co najmniej taki sam poziom ochrony i bezpieczeństwa, jak ten określony w niniejszej Umowie powierzenia. Jeżeli wysuniesz zastrzeżenia wobec jakiegokolwiek podmiotu podprzetwarzającego, a zastrzeżenie to będzie uzasadnione i związane z obawami o bezpieczeństwo danych, podejmiemy uzasadnione ekonomicznie działania w celu umożliwienia Ci uniknięcia przetwarzania Danych Twoich Klientów przez podmiot podprzetwarzający, którego dotyczy zastrzeżenie. Jeżeli nie uda nam się udostępnić takich proponowanych zmian w uzasadnionym okresie, powiadomimy Cię o tym, a jeżeli nadal będziesz mieć zastrzeżenia wobec takiego podmiotu podprzetwarzającego, możesz anulować lub zamknąć swoje konto bądź, w miarę możliwości, części Usług, które wiążą się z korzystaniem z takiego podmiotu podprzetwarzającego.

7. Przekazywanie danych osobowych. Przetwarzanie Danych Twoich Klientów odbywa się na terytorium Europejskiego Obszaru Gospodarczego („EOG”) oraz Wielkiej Brytanii. Wszelkie przekazywanie danych do kraju innego niż państwa UE/EOG i Wielka Brytania, który nie zapewnia odpowiedniego poziomu ochrony zgodnie z Obowiązującym prawodawstwem w zakresie ochrony danych lub przyjętymi w Wielkiej Brytanii przepisami o adekwatności, i przetwarzanie ich tam będzie się odbywać zgodnie ze Standardowymi klauzulami umownymi lub innym stosownym mechanizmem gwarantującym odpowiedni poziom ochrony danych osobowych zgodnie z wymaganiami Obowiązującego prawodawstwa w zakresie ochrony danych.

8. Audyty. Przysługuje Ci prawo do zainicjowania raz do roku przeglądu zobowiązań SumUp wynikających z niniejszej Umowy powierzenia. Strony wspólnie decydują, czy audyt powinna przeprowadzić osoba trzecia. Możesz jednak zezwolić nam na przeprowadzenie kontroli bezpieczeństwa przez neutralną, wybraną przez nas osobę trzecią. Jeśli proponowany zakres audytu będzie zgodny z raportem certyfikacyjnym ISO lub podobnym przeglądem przeprowadzonym przez wykwalifikowanego audytora zewnętrznego w ciągu ostatnich dwunastu miesięcy, a SumUp potwierdzi, że nie nastąpiły żadne istotne zmiany w ocenianych środkach, zaspokoi to wszelkie żądania otrzymane w tych ramach czasowych. Audyty nie mogą w nieuzasadniony sposób zakłócać normalnej działalności SumUp. Ponosisz odpowiedzialność za wszystkie koszty związane ze złożeniem wniosku o czynności audytowe. Raz do roku, na uprzednią pisemną prośbę Administratora danych i w zakresie wymaganym przez Obowiązujące prawodawstwo w zakresie ochrony danych, SumUp zgadza się współpracować i w rozsądnym czasie dostarczyć Administratorowi Danych:

(a) podsumowanie raportów z audytów wykazujących skuteczność środków technicznych i organizacyjnych podjętych przez SumUp w celu zapobieżenia przetwarzaniu danych osobowych bez upoważnienia lub niezgodnie z prawem oraz dostępowi bez upoważnienia, przypadkowej utracie, zniszczeniu lub uszkodzeniu danych osobowych, a także

(b) potwierdzenie, że audyt nie ujawnił żadnej istotnej luki w systemach SumUp lub, jeżeli taka luka została wykryta, że SumUp całkowicie usunął taką lukę.

Jeśli powyższe środki okażą się niewystarczające do potwierdzenia zgodności z Obowiązującym prawodawstwem w zakresie ochrony danych lub ujawnią jakieś istotne problemy, Administrator danych może zażądać pisemnie, z co najmniej trzydziestodniowym (30-dniowym) wyprzedzeniem, audytu programu zgodności SumUp w zakresie ochrony danych przez zewnętrznych niezależnych audytorów. Obie strony powinny wspólnie wybrać audytorów i uzgodnić zakres, termin oraz czas trwania audytu. Administrator danych podejmie wszelkie uzasadnione środki w celu ograniczenia negatywnego wpływu tych działań na SumUp i jest odpowiedzialny za wszelkie koszty związane z jego wnioskiem o przeprowadzenie audytu, jak również koszty wynikające z ewentualnych negatywnych skutków. Administrator danych udostępni firmie SumUp wyniki audytu jej programu zgodności w zakresie ochrony danych.

9. Odpowiedzialność. Odpowiedzialność każdej ze stron w ramach niniejszej Umowy powierzenia podlega wyłączeniom i ograniczeniom odpowiedzialności określonym w Warunkach dodatkowych i/lub Warunkach. Zgadzasz się przejąć od SumUp na swój koszt odpowiedzialność z tytułu wszelkich kosztów, roszczeń, szkód lub wydatków poniesionych przez SumUp lub za które firma SumUp może zostać pociągnięta do odpowiedzialności z powodu niewywiązania się przez Ciebie, Twoich pracowników lub przedstawicieli z obowiązków wynikających z niniejszej Umowy powierzenia.

10. Wypowiedzenie. Niniejsza Umowa powierzenia obowiązuje przez okres korzystania z jakiejkolwiek Usługi SumUp. Po wypowiedzeniu umowy świadczenia Usług i o ile firma SumUp nie jest zobowiązana do przechowywania danych Twoich Klientów zgodnie z Warunkami dodatkowymi i/lub Warunkami SumUp, jakąkolwiek umową lub obowiązującym prawem, SumUp usunie, w tym na Twój pisemny wniosek, Dane Twoich Klientów w możliwie najkrótszym terminie i zgodnie z Warunkami SumUp oraz obowiązującymi przepisami prawa.

11. Zagregowane dane anonimowe. Przyjmujesz do wiadomości i akceptujesz to, że SumUp może przetwarzać wszelkiego rodzaju zagregowane dane dotyczące Ciebie i Twoich Klientów, w tym dane dotyczące korzystania z Usług. Klient przyjmuje do wiadomości, akceptuje i niniejszym zgadza się z tym, że SumUp może wykorzystywać te zagregowane anonimowe dane (przy czym ich lista nie jest wyczerpująca) do analizowania, ulepszania i świadczenia swoich Usług oraz ogólnie do wszelkich działań handlowych przez cały okres obowiązywania Umowy powierzenia, ale także po jej rozwiązaniu, w celu ich uwzględnienia w analizach rynkowych, tworzenia statystyk, ulepszania swoich Produktów i Usług oraz ich bezpieczeństwa, zgodnie z dobrymi praktykami lub zaleceniami branżowymi.

12. Postanowienia różne

12.1. W przypadku konfliktu pomiędzy niniejszą Umową powierzenia a jakimikolwiek Warunkami dodatkowymi i/lub Warunkami SumUp, postanowienia tej Umowy powierzenia będą nadrzędne.

12.2. Ponosisz odpowiedzialność za wszelkie koszty i wydatki wynikające ze stosowania się SumUp do Twoich poleceń lub żądań na mocy Warunków dodatkowych (w tym niniejszej Umowy powierzenia), które wykraczają poza standardowe funkcje zazwyczaj udostępniane przez SumUp w ramach świadczenia Usług.

12.3. SumUp ma prawo do okresowej zmiany i/lub dostosowania dowolnych warunków niniejszej Umowy powierzenia stosownie do potrzeb. Informacje o zmianach w Umowie powierzenia będą odpowiednio przekazywane, a zmiany takie będą dokonywane przez SumUp w odrębnym Załączniku lub w inny widoczny sposób, w tym przez opublikowanie w naszej witrynie internetowej zaktualizowanej wersji Umowy powierzenia. Data „Ostatnia zmiana” u góry niniejszej Umowy powierzenia wskazuje, kiedy ta umowa została ostatnio zmieniona.

12.4. Wszelkie pytania dotyczące niniejszej Umowy powierzenia lub jakiekolwiek inne wnioski związane z przetwarzaniem danych osobowych należy kierować na adres [email protected]. SumUp podejmie starania w celu zaspokojenia wszelkich skarg dotyczących wykorzystania danych osobowych Twoich Klientów zgodnie z niniejszą Umową powierzenia, Warunkami i wewnętrznymi przepisami SumUp.

12.5. Jeżeli którekolwiek z postanowień Umowy zostanie uznane za nieważne, nie wpłynie to na pozostałe postanowienia. Strony zastąpią nieważne postanowienia postanowieniem zgodnym z prawem, które odzwierciedla cel nieważnego postanowienia.

12.6. Niniejsza Umowa powierzenia podlega prawu regulującemu obowiązujące Warunki dodatkowe i jest zgodnie z nim interpretowana.