Zasady przetwarzania danych w imieniu Firmy.

§ 1. Strony i rola dokumentu

1. Administrator — Firma korzystająca z Asileo, której dane identyfikacyjne znajdują się na koncie lub w uzgodnieniu Pilotażu.
2. Procesor — Operator Asileo wskazany powyżej.
3. Umowa powierzenia zostaje zawarta wraz z umową o korzystanie z Asileo i obowiązuje przez cały okres przetwarzania danych Administratora.
4. W razie sprzeczności w sprawach ochrony danych pierwszeństwo ma niniejsza Umowa, a następnie Regulamin.

§ 2. Przedmiot, czas, charakter i cel

1. Administrator powierza Procesorowi przetwarzanie danych w zakresie koniecznym do świadczenia, zabezpieczenia i technicznego wsparcia Asileo.
2. Przetwarzanie trwa od aktywacji konta Firmy do zwrotu albo usunięcia danych po zakończeniu usługi, z uwzględnieniem kopii zapasowych i obowiązków prawnych.
3. Operacje mogą obejmować zbieranie, utrwalanie, organizowanie, przechowywanie, dopasowywanie, odczytywanie, przesyłanie na polecenie, ograniczanie, eksportowanie i usuwanie.
4. Celem jest obsługa komunikacji, klientów, projektów, rezerwacji, kalendarza, przypomnień, zadatków, opinii, plików, uprawnień i — po włączeniu — funkcji AI lub automatyzacji.

§ 3. Osoby i kategorie danych

Kategorie osób: klienci i potencjalni klienci Administratora, osoby kontaktowe, pracownicy, współpracownicy i użytkownicy panelu.

Kategorie danych:

• dane identyfikacyjne i kontaktowe;
• identyfikatory kont i kanałów komunikacji oraz nazwy użytkowników i zdjęcia profilowe udostępnione przez połączony kanał;
• treść rozmów, załączniki, reakcje i metadane dostarczenia;
• informacje o projekcie, preferencjach, rezerwacji, terminie i zadatku;
• notatki Administratora, tagi i historia obsługi;
• dane techniczne, logi bezpieczeństwa i dane uprawnień.

Usługa nie jest przeznaczona do systematycznego przechowywania dokumentacji medycznej ani danych szczególnych kategorii. Administrator nie powinien ich powierzać, chyba że jest to konieczne, ma właściwą podstawę z art. 9 RODO i wcześniej uzgodni z Procesorem odpowiednie zabezpieczenia.

§ 4. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, wynikające z konfiguracji panelu, działań uprawnionych Użytkowników, Regulaminu i tej Umowy.
2. Jeżeli prawo wymaga innego przetwarzania, Procesor poinformuje Administratora przed jego rozpoczęciem, chyba że prawo zabrania takiej informacji.
3. Procesor niezwłocznie poinformuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
4. Administrator odpowiada za legalność celu, podstawę prawną, przejrzystość wobec osób, minimalizację danych oraz poprawność wydawanych poleceń.

§ 5. Poufność i bezpieczeństwo

1. Do danych mają dostęp tylko osoby upoważnione, zobowiązane do poufności i przeszkolone odpowiednio do swojej roli.
2. Procesor stosuje środki odpowiednie do ryzyka, w tym kontrolę dostępu i ról, logiczną izolację Firm, szyfrowanie transmisji, szyfrowanie sekretów Integracji, rejestrowanie istotnych zdarzeń, kopie zapasowe, monitoring, aktualizacje i procedury reagowania na incydenty.
3. Procesor regularnie weryfikuje skuteczność zabezpieczeń oraz ogranicza dane w logach i środowiskach testowych.
4. Administrator chroni konta swojego zespołu, nadaje minimalne uprawnienia, usuwa nieaktualny dostęp i zgłasza podejrzenie incydentu bez zbędnej zwłoki.

§ 6. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających potrzebnych do działania Usługi.
2. Kategorie obejmują dostawców hostingu i infrastruktury chmurowej, bazy danych i uwierzytelniania, przechowywania plików, monitoringu, poczty transakcyjnej oraz — dla włączonych funkcji — dostawców modeli AI.
3. Procesor zapewnia, aby dalszy podmiot był związany obowiązkami ochrony danych nie mniej rygorystycznymi niż wynikające z tej Umowy.
4. O planowanej istotnej zmianie dalszego podmiotu Procesor poinformuje Administratora z wyprzedzeniem pozwalającym zgłosić uzasadniony sprzeciw dotyczący ochrony danych.
5. Operatorzy kanałów wybranych i połączonych bezpośrednio przez Administratora mogą działać jako odrębni administratorzy na podstawie własnych warunków; nie stają się przez to automatycznie dalszym procesorem Asileo.

§ 7. Transfery poza EOG

1. Procesor nie przekazuje danych poza EOG bez mechanizmu zgodnego z rozdziałem V RODO.
2. Podstawą może być decyzja Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowe klauzule umowne wraz z dodatkowymi zabezpieczeniami odpowiednimi do ryzyka.
3. Na wniosek Administratora Procesor udostępni informacje o właściwym mechanizmie i możliwość uzyskania kopii odpowiednich zabezpieczeń, z ochroną tajemnicy i bezpieczeństwa.

§ 8. Pomoc Administratorowi

1. Procesor, z uwzględnieniem charakteru przetwarzania, pomaga realizować prawa osób przez dostępne funkcje i uzasadnione działania techniczne.
2. Jeżeli Procesor otrzyma wniosek dotyczący danych kontrolowanych przez Administratora, przekaże go Administratorowi i nie odpowie merytorycznie bez jego polecenia, chyba że wymaga tego prawo.
3. Procesor pomaga w wykonaniu obowiązków związanych z bezpieczeństwem, zgłoszeniem naruszenia, oceną skutków i konsultacją z organem, w zakresie informacji dostępnych Procesorowi.

§ 9. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia dotyczącego danych Administratora Procesor powiadomi go bez zbędnej zwłoki.
2. Powiadomienie, w miarę dostępności informacji, opisze charakter zdarzenia, kategorie danych i osób, możliwe konsekwencje, zastosowane środki oraz punkt kontaktowy.
3. Informacje mogą być przekazywane etapami, jeżeli pełne ustalenia nie są od razu dostępne.
4. Administrator odpowiada za ocenę obowiązku zgłoszenia naruszenia organowi i osobom, których dane dotyczą; Procesor udziela mu rozsądnej pomocy.

§ 10. Zwrot i usunięcie danych

1. Po zakończeniu Usługi, według decyzji Administratora, Procesor usunie albo zwróci dane w dostępnym technicznie formacie, a istniejące kopie usunie, chyba że prawo wymaga ich dalszego przechowania.
2. Dane w kopiach zapasowych mogą pozostać do końca cyklu nadpisania; do tego czasu są izolowane od zwykłego użycia i objęte zabezpieczeniami tej Umowy.
3. Żądanie eksportu należy zgłosić przed zakończeniem dostępu. Szczegółową procedurę opisuje strona Usuwanie danych.

§ 11. Informacje i audyt

1. Procesor udostępni informacje konieczne do wykazania zgodności z art. 28 RODO.
2. Administrator może przeprowadzić audyt po uprzednim uzgodnieniu zakresu i terminu, nie częściej niż raz w roku, chyba że incydent lub organ nadzorczy uzasadnia dodatkowy audyt.
3. Audyt nie może naruszać bezpieczeństwa ani poufności danych innych Firm. W pierwszej kolejności wykorzystywane są dokumenty, wyniki testów i zdalne wyjaśnienia.
4. Każda strona ponosi własne zwykłe koszty; ponadstandardowe prace audytowe mogą wymagać osobnego uzgodnienia, o ile nie służą wyjaśnieniu naruszenia zawinionego przez Procesora.

§ 12. Kontakt i postanowienia końcowe

1. Kontakt w sprawach ochrony danych: kontakt@asileo.com.
2. Zmiana tej Umowy odbywa się zgodnie z trybem zmiany Regulaminu i nie może obniżyć poziomu ochrony wymaganego przez prawo.
3. Do Umowy stosuje się prawo polskie i bezpośrednio obowiązujące prawo Unii Europejskiej.