Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zawierana pomiędzy Klientem - Właścicielem Organizacji w serwisie HeyQuiz, którego dane wskazano na stronie tytułowej - jako Administratorem, a AHYEON Tomasz Sawko, ul. Skarbka z Gór 122c/13, 03-287 Warszawa, Polska, NIP 7181665800, operatorem serwisu HeyQuiz - jako Podmiotem przetwarzającym (dalej „HeyQuiz”).

1. Stosunek do Regulaminu

1. Niniejsza umowa określa prawa i obowiązki Klienta oraz HeyQuiz w związku z przetwarzaniem przez HeyQuiz danych osobowych w imieniu Klienta w ramach korzystania z serwisu HeyQuiz. Pojęcia użyte w umowie należy rozumieć zgodnie z ich definicjami w RODO oraz w Regulaminie serwisu HeyQuiz.
2. Umowa stanowi uzupełnienie Regulaminu. Zastępuje wszelkie wcześniejsze umowy powierzenia zawarte między stronami w odniesieniu do serwisu HeyQuiz. W razie sprzeczności między niniejszą umową a Regulaminem w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza umowa.
3. Przedmiot i czas trwania przetwarzania wynikają z zakresu usług, z których Klient korzysta w ramach swojego Planu, i są opisane w pkt 2 oraz w Załączniku.
4. Nieważność części postanowień umowy nie wpływa na ważność jej pozostałej części.
5. Klient oświadcza, że jako administrator dysponuje podstawą prawną, upoważnieniami i zgodami wymaganymi do zbierania i przetwarzania danych, które powierza HeyQuiz, oraz że według jego najlepszej wiedzy nie istnieją przeszkody ustawowe ani umowne uniemożliwiające powierzenie przetwarzania HeyQuiz.

2. Role, zakres i czas trwania

1. Klient występuje jako administrator, a HeyQuiz jako podmiot przetwarzający dane Klienta. HeyQuiz przetwarza dane wyłącznie na udokumentowane polecenie Klienta; to Klient decyduje o celach i sposobach przetwarzania. Poleceniem Klienta jest korzystanie z funkcji serwisu i ich konfiguracja w panelu (w szczególności: utworzenie i uruchomienie sesji, włączenie zbierania danych uczestników, ustawienie okresu retencji, zlecenie eksportu, usunięcie danych lub Konta).
2. Przetwarzanie obejmuje w szczególności: zbieranie, zapisywanie, porządkowanie, przechowywanie, odczytywanie, wyświetlanie Klientowi, agregowanie, eksportowanie na żądanie Klienta, anonimizowanie i usuwanie danych.
3. Rodzaje danych i kategorie osób, których dane dotyczą, określa Załącznik. Dane powierzone obejmują przede wszystkim dane Uczestników sesji prowadzonych przez Klienta (pseudonim, ewentualne dane z formularza przed dołączeniem, odpowiedzi, wyniki, czasy, dane nagród i leadów) oraz dane członków Organizacji Klienta w zakresie zarządzanym przez Klienta.
4. Przetwarzanie rozpoczyna się z chwilą akceptacji niniejszej umowy przez Klienta w panelu i trwa przez czas nieokreślony - do czasu zakończenia świadczenia usług na rzecz Klienta i usunięcia Organizacji zgodnie z pkt 8.
5. Poza zakresem powierzenia pozostają dane, które HeyQuiz przetwarza jako samodzielny administrator zgodnie z Polityką prywatności (dane konta Klienta, rozliczenia, dane techniczne połączeń, bezpieczeństwo, analityka).

3. Podpowierzenie

1. Klient udziela HeyQuiz ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (podprocesorów). Aktualna lista podprocesorów znajduje się w Polityce prywatności serwisu HeyQuiz (sekcja „Podmioty przetwarzające dane”) i na dzień wejścia w życie niniejszej wersji obejmuje: Hetzner Online GmbH (Niemcy, Frankfurt - infrastruktura aplikacji, baza danych, serwer sesji w czasie rzeczywistym, samodzielnie hostowane Umami, MailWizz i Bugsink), Backblaze Inc. (magazyn plików B2, region UE), Amazon Web Services EMEA SARL (Amazon SES, region UE - wysyłka e-maili, w tym zaproszeń do przydziałów i wiadomości do uczestników zlecanych przez Klienta), Cloudflare, Inc. (proxy, DNS, ochrona przed atakami, Turnstile - przejściowe przetwarzanie danych połączenia), OpenRouter, Inc. (modele językowe dla Asyst AI - wyłącznie treść przekazana na żądanie Klienta, bez retencji), Lunaweb GmbH / CloudConvert (Niemcy - konwersja przesłanych prezentacji na obrazy slajdów).
2. HeyQuiz zapewnia z zachowaniem należytej staranności, że każdy podprocesor daje gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych oraz jest związany obowiązkami ochrony danych co najmniej równoważnymi obowiązkom wynikającym z niniejszej umowy. Za działania i zaniechania podprocesorów HeyQuiz odpowiada jak za własne.
3. O zamiarze dodania lub zastąpienia podprocesora HeyQuiz informuje Klienta e-mailem (adres Właściciela Organizacji) oraz komunikatem w panelu co najmniej 14 dni przed zmianą. Klient może w tym terminie zgłosić pisemny sprzeciw oparty na udokumentowanych podstawach związanych z ochroną danych. W razie sprzeciwu strony w dobrej wierze poszukują rozwiązania; jeżeli nie jest ono możliwe, Klient może zakończyć korzystanie z usługi i usunąć Organizację przed wejściem zmiany w życie. Brak sprzeciwu w terminie oznacza akceptację zmiany.
4. Podprocesorzy zlokalizowani poza Europejskim Obszarem Gospodarczym (Cloudflare, OpenRouter) przetwarzają dane na podstawie standardowych klauzul umownych UE lub decyzji o adekwatności; HeyQuiz utrzymuje infrastrukturę aplikacji, bazę danych i pliki w Unii Europejskiej.

4. Obowiązki HeyQuiz

1. HeyQuiz przetwarza dane osobowe wyłącznie zgodnie z umową i poleceniami Klienta, chyba że obowiązek przetwarzania nakłada na HeyQuiz prawo Unii lub państwa członkowskiego; w takim przypadku HeyQuiz informuje Klienta przed przetwarzaniem, o ile prawo tego nie zabrania.
2. HeyQuiz zapewnia, że dostęp do danych mają wyłącznie osoby upoważnione, zobowiązane do zachowania poufności i zaznajomione z przepisami o ochronie danych oraz z niniejszą umową; dostęp ograniczony jest do zakresu niezbędnego do świadczenia usługi i pomocy technicznej.
3. HeyQuiz wdraża i utrzymuje środki techniczne i organizacyjne opisane w pkt 9, zapewniające stopień bezpieczeństwa odpowiadający ryzyku (art. 32 RODO), i może je aktualizować, o ile nie prowadzi to do obniżenia ogólnego poziomu bezpieczeństwa usługi.
4. HeyQuiz, uwzględniając charakter przetwarzania i dostępne informacje, wspiera Klienta w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje).
5. HeyQuiz wspiera Klienta - przez funkcje serwisu (podgląd i eksport danych uczestników, usuwanie danych, ustawienia retencji) oraz inne odpowiednie środki - w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, z tytułu praw określonych w rozdziale III RODO. Żądanie osoby skierowane bezpośrednio do HeyQuiz, a dotyczące danych powierzonych, HeyQuiz niezwłocznie przekazuje Klientowi.
6. HeyQuiz udostępnia Klientowi na żądanie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszej umowie i w art. 28 RODO oraz umożliwia audyt zgodnie z pkt 5 ust. 3.
7. HeyQuiz informuje Klienta niezwłocznie o kontrolach, żądaniach organów ścigania lub organów nadzorczych oraz innych działaniach osób trzecich dotyczących powierzonego przetwarzania, o ile prawo nie zabrania takiej informacji.
8. HeyQuiz prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Klienta i udostępnia Klientowi dane do jego rejestru czynności.

5. Prawa i obowiązki Klienta

1. Klient samodzielnie ocenia i zapewnia dopuszczalność przetwarzania, które zleca, w tym istnienie podstawy prawnej zbierania danych uczestników, treść klauzul informacyjnych i zgód prezentowanych uczestnikom (np. w formularzu przed dołączeniem, przy zbieraniu leadów lub w konkursach z nagrodami) oraz legalność organizowanych konkursów.
2. Klient niezwłocznie informuje HeyQuiz o stwierdzonych nieprawidłowościach lub błędach w przetwarzaniu.
3. Klient może, nie częściej niż raz w roku kalendarzowym (a także po stwierdzonym naruszeniu), przeprowadzić audyt zgodności przetwarzania z niniejszą umową - samodzielnie lub przez audytora o wymaganych kwalifikacjach, zobowiązanego do poufności - po uprzednim uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy i bez zbędnego zakłócania działania usługi. W pierwszej kolejności audyt realizowany jest przez udostępnienie dokumentacji i odpowiedzi na pytania; koszty audytu ponosi Klient.
4. Klient zarządza dostępem członków swojej Organizacji, odpowiada za bezpieczne korzystanie z usługi po swojej stronie (w tym za dane logowania i włączenie 2FA) oraz za konfigurację okresu retencji danych uczestników odpowiednią do swoich celów.

6. Naruszenia ochrony danych

1. HeyQuiz wdraża i utrzymuje środki mające na celu zapewnienie poufności, integralności, dostępności i odporności systemów oraz ochronę danych przed naruszeniami (przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją, nieuprawnionym ujawnieniem lub dostępem).
2. HeyQuiz powiadamia Klienta o naruszeniu ochrony danych osobowych dotyczącym danych powierzonych bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, podając - w miarę dostępnych informacji - charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje i podjęte lub proponowane środki zaradcze, a następnie uzupełnia informacje w miarę ich pozyskiwania. HeyQuiz współpracuje z Klientem przy zgłoszeniu do organu nadzorczego i zawiadamianiu osób, których dane dotyczą.

7. Polecenia

1. Klient ma prawo wydawać polecenia dotyczące przetwarzania danych w jego imieniu. Poleceniami są w szczególności konfiguracja usługi w panelu oraz żądania przekazane na adres support@heyquiz.pro. HeyQuiz przetwarza dane wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada prawo Unii lub państwa członkowskiego.
2. Jeżeli w ocenie HeyQuiz polecenie Klienta narusza RODO lub inne przepisy o ochronie danych, HeyQuiz niezwłocznie informuje o tym Klienta i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany przez Klienta.
3. Jeżeli Klient skonfiguruje w panelu webhooki, HeyQuiz na polecenie Klienta przesyła wybrane przez niego zdarzenia na adresy podane przez Klienta - razem z danymi uczestników, które te zdarzenia zawierają (pseudonim, wyniki, dane z formularza przed dołączeniem i z formularza nagrody, informacje o zgodach). Odbiorcę wybiera wyłącznie Klient. Podmiot odbierający dane pod takim adresem nie jest podmiotem, któremu HeyQuiz podpowierza przetwarzanie (pkt 3); za podstawę prawną przekazania i za przetwarzanie danych po stronie odbiorcy odpowiada Klient. HeyQuiz przesyła zdarzenia wyłącznie szyfrowanym połączeniem, podpisuje każde z nich i nie wysyła danych osób z sesji testowych.

8. Zakończenie umowy i usunięcie danych

1. Dane uczestników sesji są anonimizowane automatycznie po upływie okresu retencji ustawionego przez Klienta w panelu (7-90 dni od sesji, domyślnie 30 dni); wyniki sesji testowych po 24 godzinach. Klient może w każdej chwili usunąć dane uczestników konkretnej sesji lub wyeksportować je z panelu. Treść zdarzeń wysłanych przez webhooki HeyQuiz przechowuje w dzienniku dostaw do 30 dni, aby Klient mógł sprawdzić, co i z jakim skutkiem zostało wysłane; treść zawierająca dane osób jest usuwana wcześniej - z chwilą usunięcia osoby z rejestru leadów oraz z chwilą anonimizacji lub usunięcia sesji. Dla osób z rejestru leadów HeyQuiz zapamiętuje, na które adresy przekazano ich dane (bez treści zdarzeń), dopóki osoba jest w rejestrze i adres istnieje - aby powiadomić te adresy o wycofaniu zgody lub usunięciu osoby.
2. Po zakończeniu świadczenia usług - przez usunięcie Organizacji na żądanie Klienta lub przez HeyQuiz zgodnie z Regulaminem - HeyQuiz, zależnie od wyboru Klienta dokonanego przed usunięciem, umożliwia pobranie kompletnej paczki danych Organizacji (eksport samoobsługowy) i usuwa wszystkie powierzone dane: anonimizacja i usunięcie plików następuje po upływie okresu karencji, a pozostałe zapisy techniczne są kasowane w ciągu kolejnych 30 dni, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie danych.
3. Dane mogą pozostawać przez ograniczony czas w zaszyfrowanych kopiach zapasowych zgodnie z harmonogramem ich rotacji; w tym okresie HeyQuiz chroni je przed dalszym przetwarzaniem i usuwa wraz z rotacją kopii.
4. Postanowienia niniejszej umowy obowiązują tak długo, jak długo HeyQuiz przechowuje jakiekolwiek powierzone dane. Usunięcie Organizacji Klienta powoduje jednoczesne rozwiązanie niniejszej umowy.

9. Środki techniczne i organizacyjne

Środki organizacyjne: dostęp do danych wyłącznie dla osób upoważnionych (operator i osoby wspierające usługę) w zakresie niezbędnym do obsługi i usuwania błędów; obowiązek zachowania poufności; weryfikacja podprocesorów pod kątem zgodności z RODO; cała infrastruktura aplikacji, baza danych i pliki utrzymywane w Unii Europejskiej; zasada minimalizacji (uczestnik dołącza domyślnie wyłącznie z pseudonimem; zbieranie danych włącza Klient); retencja danych uczestników ustawiana przez Klienta z automatyczną anonimizacją; procedura zgłaszania naruszeń; rejestrowanie eksportów danych i akceptacji dokumentów w dziennikach, których nie da się zmienić z poziomu aplikacji.

Środki techniczne: szyfrowanie transmisji (HTTPS/TLS) oraz połączeń między składnikami infrastruktury; izolacja danych poszczególnych Organizacji na poziomie aplikacji, role i uprawnienia; hasła przechowywane jako hash, sekrety (2FA, tokeny logowania, webhooki) szyfrowane w bazie; uwierzytelnianie dwuskładnikowe i powiadomienia o logowaniu z nowego urządzenia; ochrona formularzy przed botami; ochrona przed atakami na poziomie sieci (Cloudflare); regularne aktualizacje bezpieczeństwa systemów i zależności, monitoring błędów i dostępności; regularne, szyfrowane kopie zapasowe; codzienne uzgadnianie rejestru plików z magazynem i ścieżki usuwania gwarantujące, że usunięcie zasobu usuwa także jego pliki; rozdzielenie środowisk produkcyjnego i testowego.

10. Postanowienia końcowe

1. Umowa podlega prawu polskiemu. W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego. Spory rozstrzyga sąd właściwy dla siedziby HeyQuiz.
2. Umowa jest zawierana w formie elektronicznej: Klient akceptuje ją w panelu Organizacji (rola Właściciela), składając oświadczenie o umocowaniu do zawarcia umowy w imieniu Administratora. HeyQuiz zapisuje datę, godzinę, osobę akceptującą, adres IP, wersję umowy oraz migawkę danych Administratora i udostępnia Klientowi egzemplarz w formacie PDF ze znacznikiem akceptacji elektronicznej oraz wysyła go e-mailem. Strony uznają tak zawartą umowę za wiążącą bez podpisów własnoręcznych.
3. Zmiana umowy wymaga opublikowania nowej wersji w serwisie. O nowej wersji HeyQuiz informuje Właściciela e-mailem i komunikatem w panelu; nowa wersja obowiązuje Klienta po jej akceptacji w panelu, a do tego czasu stosuje się wersję ostatnio zaakceptowaną. Historia akceptacji wraz z PDF każdej wersji jest dostępna w panelu.
4. Umowę sporządzono w wersji polskiej i angielskiej; w razie rozbieżności rozstrzygająca jest wersja polska.

Załącznik - opis przetwarzania

• Przedmiot przetwarzania: świadczenie usługi HeyQuiz - prowadzenie interaktywnych sesji quizowych (na żywo, we własnym tempie, asynchronicznych i w trybie Expo) oraz pokazów prezentacji z udziałem uczestników, raportowanie ich wyników, zbieranie danych uczestników i obsługa nagród w zakresie skonfigurowanym przez Klienta.
• Czas trwania: od akceptacji umowy do usunięcia Organizacji Klienta i usunięcia danych zgodnie z pkt 8; dane uczestników - przez okres retencji ustawiony przez Klienta.
• Charakter i cel: przetwarzanie niezbędne do udostępnienia uczestnikom sesji, zapisania ich odpowiedzi i wyników, wyświetlenia rankingów i raportów Klientowi, obsługi nagród i leadów, eksportu danych na żądanie Klienta oraz przesyłania zdarzeń sesji na adresy wskazane przez Klienta (webhooki).
• Rodzaje danych osobowych: pseudonim uczestnika; dane podane w formularzu przed dołączeniem lub przy zgłoszeniu nagrody/leada (np. imię i nazwisko, adres e-mail, firma, zgody organizatora); odpowiedzi, wyniki, czasy odpowiedzi, przypisanie do drużyny, reakcje; kody odbioru nagród; w linkach imiennych - imię, nazwisko i e-mail osób zaproszonych przez Klienta; skróty identyfikatorów urządzeń używane do ograniczania podejść; dane zawarte w treściach Klienta (quizy, prezentacje, pliki) w zakresie, w jakim zawierają dane osobowe; dane członków Organizacji (imię i nazwisko, e-mail, rola) w zakresie zarządzanym przez Klienta.
• Kategorie osób, których dane dotyczą: uczestnicy sesji, wydarzeń i przydziałów prowadzonych przez Klienta (pracownicy, kursanci, goście, odwiedzający stoisko); osoby zaproszone przez Klienta linkami imiennymi; członkowie Organizacji Klienta; osoby, których dane Klient umieścił w swoich treściach.