Umowa powierzenia przetwarzania danych (DPA)

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: Umowa lub DPA) stanowi integralną część Regulaminu Nexurio (https://nexurio.pl/terms) i wchodzi w życie automatycznie wraz z akceptacją Regulaminu przez Użytkownika będącego przedsiębiorcą - bez konieczności odrębnej, dodatkowej akceptacji, chyba że Usługodawca wyraźnie zażąda odrębnej akceptacji w konkretnym przypadku.

Stronami Umowy są:

• Administrator - Użytkownik Nexurio będący przedsiębiorcą, w zakresie danych osobowych swoich klientów
• Podmiot przetwarzający - Sebastian Piskadło, ul. Kornela Makuszyńskiego 6, 88-100 Inowrocław, NIP 5562342961, e-mail: kontakt@nexurio.pl

Przedmiotem Umowy jest powierzenie Podmiotowi przetwarzającemu przetwarzania danych osobowych w zakresie niezbędnym do świadczenia usługi Nexurio na rzecz Administratora.

Umowa obowiązuje przez czas trwania subskrypcji Administratora i wygasa z chwilą zakończenia umowy głównej (Regulaminu), z zastrzeżeniem obowiązków posprzedażowych opisanych w punkcie 12.

Przetwarzanie obejmuje przechowywanie i przetwarzanie danych klientów Administratora w ramach funkcji CRM (Centrum Leadów, przypomnienia, historia kontaktu), wysyłkę wiadomości SMS z urządzenia i numeru Administratora oraz generowanie treści marketingowych z wykorzystaniem AI na podstawie danych wprowadzonych przez Administratora.

Klienci i potencjalni klienci Administratora (ubezpieczający, ubezpieczeni).

Dane identyfikacyjne i kontaktowe (imię, nazwisko, telefon, e-mail) oraz dane dotyczące polis (rocznice, notatki biznesowe). Umowa nie obejmuje przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO) w zakresie funkcji obecnie oferowanych w Platformie.

Administrator odpowiada za legalność pozyskania danych swoich klientów, spełnienie względem nich obowiązków informacyjnych, posiadanie odpowiednich podstaw prawnych oraz wydawanie Podmiotowi przetwarzającemu wyłącznie poleceń zgodnych z prawem. Administrator ma prawo do uzyskania informacji niezbędnych do wykazania zgodności Podmiotu przetwarzającego z niniejszą Umową, w zakresie opisanym w punkcie 13.

Podmiot przetwarzający przetwarza dane wyłącznie w zakresie i w celu realizacji funkcjonalności Platformy skonfigurowanej i obsługiwanej przez Administratora oraz na jego udokumentowane polecenie, w tym polecenia wynikające z samej specyfikacji usługi określonej w Regulaminie. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli uzna, że wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności - z mocy umowy lub ustawowego obowiązku poufności.

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne odpowiadające ryzyku, w szczególności: odseparowane przechowywanie tokenów integracji w prywatnym, niepublicznym schemacie bazy danych, kontrolę dostępu opartą o role, oraz szyfrowane połączenia (HTTPS/TLS).

Podmiot przetwarzający nie deklaruje posiadania formalnych certyfikacji bezpieczeństwa (np. ISO 27001, SOC 2) - żadne takie certyfikaty nie są obecnie posiadane.

Administrator wyraża ogólną, pisemną zgodę (w rozumieniu art. 28 ust. 2 RODO) na korzystanie przez Podmiot przetwarzający z podwykonawców przetwarzania wskazanych w Rejestrze podwykonawców przetwarzania, dostępnym pod adresem https://nexurio.pl/subprocesorzy i stanowiącym integralną część niniejszej Umowy.

Dlaczego lista podwykonawców jest prowadzona w odrębnym rejestrze

Kategorie przetwarzania realizowanego przez podwykonawców obejmują: infrastrukturę hostingową, bazodanową i techniczną; obsługę płatności i subskrypcji; przetwarzanie AI wykorzystywane do generowania i przekształcania treści w ramach funkcji Platformy. Konkretna tożsamość podwykonawców w ramach każdej kategorii jest prowadzona w Rejestrze, a nie w treści niniejszej Umowy, aby móc być aktualizowana wraz ze zmianami dostawców technologii bez konieczności każdorazowej zmiany treści samej Umowy - zgodnie z zasadą wyrażoną w punkcie 16 poniżej. Rejestr nie zawiera informacji o konkretnych modelach AI, wersjach modeli, mechanizmach routingu ani innych szczegółach technicznej realizacji usługi wykraczających poza to, co niezbędne do identyfikacji podwykonawcy jako odbiorcy danych osobowych.

Powiadomienie o zmianie podwykonawcy i prawo sprzeciwu

O dodaniu nowego podwykonawcy lub zastąpieniu istniejącego podwykonawcy innym Administrator jest informowany poprzez aktualizację Rejestru wraz z widoczną datą ostatniej zmiany; przy zmianie dotyczącej podwykonawcy faktycznie przetwarzającego dane klientów Administratora, aktualizacja Rejestru następuje z wyprzedzeniem co najmniej 14 dni przed rozpoczęciem przetwarzania przez nowego podwykonawcę. W tym terminie Administrator może zgłosić uzasadniony sprzeciw na adres kontakt@nexurio.pl. W przypadku zasadnego sprzeciwu, którego nie da się pogodzić z dalszym świadczeniem usługi, strony ustalają dalsze postępowanie, z zastrzeżeniem prawa Administratora do wypowiedzenia umowy głównej (Regulaminu) zgodnie z jego postanowieniami.

Integracje z platformami społecznościowymi (Facebook, Instagram, LinkedIn)

Facebook, Instagram i LinkedIn nie są automatycznie klasyfikowane jako podwykonawcy przetwarzania na potrzeby niniejszej Umowy. Ich dokładna rola (podwykonawca / współadministrator / niezależny administrator) zależy od interpretacji rzeczywistego przepływu danych i warunków tych platform i pozostaje przedmiotem odrębnej analizy prawnej. Zasady przekazywania danych w ramach tych integracji opisano w Polityce Prywatności.

Podmiot przetwarzający pomaga Administratorowi, w rozsądnym zakresie technicznie możliwym w ramach funkcjonalności Platformy, w wywiązywaniu się z obowiązku odpowiadania na żądania realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw).

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki po jego stwierdzeniu oraz udostępnia informacje rozsądnie niezbędne Administratorowi do wywiązania się z własnych obowiązków wynikających z art. 33-34 RODO.

Po zakończeniu świadczenia usług Podmiot przetwarzający umożliwia Administratorowi eksport danych klientów. Dane klientów Administratora są usuwane po usunięciu konta Administratora, zgodnie z Polityką Prywatności, z zastrzeżeniem danych wymaganych przez przepisy prawa oraz kopii zapasowych i zapisów bezpieczeństwa o odrębnym, opisanym w Polityce Prywatności cyklu życia (kopie zapasowe: 30 dni; dzienniki bezpieczeństwa: 12 miesięcy).

Administrator ma prawo do uzyskania informacji rozsądnie niezbędnych do wykazania zgodności Podmiotu przetwarzającego z art. 28 RODO, w zakresie odpowiadającym charakterowi usługi SaaS świadczonej przez podmiot jednoosobowy. Nie przewiduje się prawa do pełnego audytu on-site ani dostępu do wewnętrznej infrastruktury.

W zakresie nieuregulowanym niniejszą Umową zastosowanie mają odpowiednie postanowienia Regulaminu Nexurio oraz obowiązujące przepisy prawa polskiego, w tym RODO.

Podmiot przetwarzający może dokonywać zmian niniejszej Umowy, w szczególności w przypadku zmiany przepisów prawa lub wdrożenia nowych funkcjonalności. Zmiana podwykonawców przetwarzania w ramach kategorii już opisanych w punkcie 10 nie wymaga zmiany treści niniejszej Umowy - podlega wyłącznie procedurze aktualizacji Rejestru podwykonawców przetwarzania opisanej w punkcie 10. Aktualna wersja Umowy publikowana jest pod adresem https://nexurio.pl/dpa. Zmiana wersji nie unieważnia historycznych dowodów akceptacji wcześniejszych wersji.