Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Niniejsza umowa (dalej: Umowa), zawarta na podstawie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: RODO), stanowi integralną część Regulaminu świadczenia usług wspieraj.org i zostaje zawarta pomiędzy:

   a) Administratorem — organizacją, która założyła konto w serwisie wspieraj.org i samodzielnie ustala cele oraz sposoby przetwarzania danych osobowych swoich darczyńców w rozumieniu art. 4 pkt 7 RODO;

   b) Podmiotem przetwarzającym (dalej: Procesor) — AMS SOFTWARE spółką z ograniczoną odpowiedzialnością z siedzibą w Zabrzu (41-808), ul. Józefa Wajzera 19/22, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Gliwicach, X Wydział Gospodarczy KRS, pod numerem KRS 0001242326, NIP 6482836354, REGON 544821193.

2. Umowa zostaje zawarta z chwilą akceptacji Regulaminu przy zakładaniu konta. Procesor utrwala moment akceptacji, adres IP oraz wersję dokumentu.

3. Strony zwane są dalej łącznie Stronami, a każda z osobna — Stroną.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi, o której mowa w Regulaminie.
2. Cel przetwarzania: a) umożliwienie Administratorowi przyjmowania darowizn za pośrednictwem widgetu osadzonego na jego stronie internetowej oraz strony zbiórki w domenie serwisu, b) rozliczenie tych darowizn, c) wysyłka do darczyńców, w imieniu Administratora, podziękowania i potwierdzenia wpłaty oraz udostępnianie zaświadczenia o wpłacie, d) prezentacja w widgecie listy wpłat i komentarzy — w zakresie, na jaki zgodził się darczyńca, e) jeżeli Administrator z tej możliwości skorzysta — umożliwienie wskazanej przez niego osobie uzupełnienia treści zbiórki za pomocą linku wystawionego przez Administratora, f) jeżeli Administrator włączy tę funkcję — poprawa pisowni i układu opisu zbiórki przez model językowy dostawcy wskazanego w Załączniku nr 2.
3. Charakter przetwarzania: przetwarzanie zautomatyzowane w systemie informatycznym, z elementami przetwarzania niezautomatyzowanego w ramach obsługi zgłoszeń.
4. Operacje przetwarzania: zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, pobieranie, wykorzystywanie, przesyłanie do operatora płatności, upublicznianie (podpis, kwota i wiadomość darczyńcy w widgecie — zgodnie z jego wyborem), generowanie dokumentów na żądanie (zaświadczenie o wpłacie, bez jego przechowywania), usuwanie oraz niszczenie.
5. Procesor nie przetwarza powierzonych danych w celach własnych, w szczególności nie wykorzystuje ich do marketingu, budowania profili ani trenowania modeli.

§ 3. Kategorie osób i rodzaje danych

1. Kategorie osób, których dane dotyczą: a) darczyńcy Administratora, b) osoby, na których rzecz Administrator prowadzi zbiórkę (dalej: podopieczni), oraz osoby uzupełniające treść zbiórki na podstawie linku wystawionego przez Administratora — jeżeli Administrator z tej możliwości skorzysta.

2. Rodzaje danych osobowych dotyczących darczyńców: a) imię lub nazwa podana przez darczyńcę, b) adres poczty elektronicznej, c) kwota, data i status darowizny, d) treść podpisu i wiadomości publikowanych przy darowiźnie, jeżeli darczyńca je poda, e) treść zgód i klauzul prezentowanych darczyńcy w chwili wpłaty, wraz z ich wersją, f) informacja, czy darczyńca ukrył swoje dane na liście wpłat, g) identyfikator transakcji u operatora płatności, h) adres strony, z której darczyńca rozpoczął wpłatę.

3. Rodzaje danych dotyczących podopiecznych: dane zawarte w tytule, celu, opisie i materiałach graficznych zbiórki oraz w adresie strony zbiórki, który tworzony jest z jej tytułu — w zakresie, w jakim Administrator lub upoważniona przez niego osoba je tam umieści. Procesor nie narzuca zakresu tych danych i nie wymaga podania jakiejkolwiek konkretnej informacji o podopiecznym.

4. Dane szczególnych kategorii. Treść zbiórki może zawierać dane dotyczące zdrowia w rozumieniu art. 9 ust. 1 RODO, jeżeli Administrator lub upoważniona przez niego osoba umieści je w opisie zbiórki. W takim przypadku:

   a) podstawę przetwarzania takich danych zapewnia Administrator, w szczególności wyraźną zgodę osoby, której dane dotyczą (art. 9 ust. 2 lit. a RODO) albo inną przesłankę z art. 9 ust. 2 RODO;

   b) Procesor nie ocenia ani nie weryfikuje treści zbiórki i nie ustala, czy taka podstawa istnieje — Serwis jest narzędziem technicznym, a nie redakcją;

   c) Administrator odpowiada za to, by w opisie zbiórki nie znalazły się dane szczególnych kategorii dotyczące osób innych niż podopieczny, którego zbiórka dotyczy;

   d) Administrator odpowiada za wystawienie i przekazanie linku umożliwiającego uzupełnienie zbiórki, a w szczególności za to, komu ten link przekazuje. Procesor nie weryfikuje tożsamości osoby, która z linku korzysta.

5. W polach przeznaczonych na dane darczyńcy Administrator nie umieszcza danych szczególnych kategorii.

6. Dane rozliczeniowe darczyńcy, w tym dane karty płatniczej, nie są przekazywane Procesorowi. Przetwarza je bezpośrednio operator płatności jako odrębny administrator.

7. Adres poczty elektronicznej, na który Administrator zleci wysłanie linku do uzupełnienia zbiórki, jest wykorzystywany wyłącznie do wysłania tej wiadomości i nie jest przez Procesora przechowywany.

8. Dobrowolne wsparcie dla platformy. Dane dotyczące dobrowolnego wsparcia (darowizny), które darczyńca przekazuje Procesorowi (kwota, data, identyfikator transakcji), Procesor przetwarza jako odrębny administrator — w celu przyjęcia darowizny i wykonania obowiązków księgowych — na zasadach opisanych w Polityce prywatności. Administrator nie otrzymuje informacji o wysokości dobrowolnego wsparcia.

§ 4. Czas trwania przetwarzania

1. Przetwarzanie trwa przez okres obowiązywania umowy o świadczenie usług.
2. Po zakończeniu umowy Procesor, zgodnie z wyborem Administratora, zwraca dane lub je usuwa, w terminie 30 dni. Brak dyspozycji w tym terminie oznacza polecenie usunięcia.
3. Procesor może zachować dane wyłącznie w zakresie i przez okres wymagany przepisami prawa, w szczególności dla celów rozliczeniowych, informując o tym Administratora.

§ 5. Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora; za takie polecenie uznaje się również korzystanie z funkcji Serwisu zgodnie z Regulaminem;
2. niezwłocznego poinformowania Administratora, jeżeli jego zdaniem polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych;
3. zapewnienia, aby osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
4. stosowania środków technicznych i organizacyjnych określonych w § 11 oraz w Załączniku nr 1;
5. przestrzegania warunków dalszego powierzenia określonych w § 7;
6. wspierania Administratora w realizacji żądań osób, których dane dotyczą, na zasadach z § 6;
7. wspierania Administratora w wypełnianiu obowiązków z art. 32–36 RODO, w tym w zgłaszaniu naruszeń i przeprowadzaniu oceny skutków;
8. udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia audytów na zasadach z § 9;
9. prowadzenia rejestru kategorii czynności przetwarzania zgodnie z art. 30 ust. 2 RODO.

§ 6. Prawa osób, których dane dotyczą

1. Procesor udostępnia Administratorowi w panelu wgląd w dane darczyńców oraz ich eksport, co pozwala samodzielnie zrealizować prawo dostępu. Sprostowanie albo usunięcie danych darczyńcy Procesor wykonuje na polecenie Administratora przesłane na adres z punktu kontaktowego, w terminie wskazanym w ust. 3; usunięcie polega na zanonimizowaniu danych darczyńcy z zachowaniem kwoty i daty darowizny jako dowodu księgowego.
2. Jeżeli żądanie darczyńcy wpłynie bezpośrednio do Procesora, Procesor nie realizuje go samodzielnie, lecz przekazuje je Administratorowi w terminie 3 dni roboczych.
3. W sprawach wymagających działania po stronie Procesora udziela on Administratorowi wsparcia w terminie 7 dni roboczych od otrzymania żądania, tak aby Administrator mógł dotrzymać terminu z art. 12 ust. 3 RODO.

§ 7. Dalsze powierzenie (subprocesorzy)

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających, wymienionych w Załączniku nr 2.
2. Procesor zapewnia, że na subprocesorów nakładane są obowiązki ochrony danych odpowiadające obowiązkom z niniejszej Umowy.
3. O zamiarze dodania lub zmiany subprocesora Procesor informuje Administratora pocztą elektroniczną z wyprzedzeniem co najmniej 30 dni.
4. Administrator może wnieść uzasadniony sprzeciw w terminie 14 dni od otrzymania informacji. W razie sprzeciwu Strony podejmują działania zmierzające do jego uwzględnienia; jeżeli okaże się to niemożliwe, Administrator ma prawo wypowiedzieć umowę o świadczenie usług ze skutkiem na dzień poprzedzający wprowadzenie zmiany, bez ponoszenia z tego tytułu kosztów.
5. Procesor odpowiada wobec Administratora za działania i zaniechania subprocesorów jak za własne.

§ 8. Naruszenie ochrony danych osobowych

1. Procesor zgłasza Administratorowi każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera co najmniej: a) opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy; b) dane punktu kontaktowego Procesora; c) opis możliwych konsekwencji naruszenia; d) opis zastosowanych lub proponowanych środków zaradczych.
3. Jeżeli uzyskanie wszystkich informacji jednocześnie nie jest możliwe, Procesor przekazuje je sukcesywnie, bez zbędnej zwłoki.
4. Zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osób, których dane dotyczą, dokonuje Administrator. Procesor udziela mu w tym zakresie wsparcia.
5. Procesor prowadzi wewnętrzną dokumentację naruszeń i udostępnia ją Administratorowi na żądanie.

§ 9. Prawo do audytu

1. Administrator ma prawo do przeprowadzenia audytu przetwarzania powierzonych danych, nie częściej niż raz na 12 miesięcy, z zastrzeżeniem ust. 4.
2. Zamiar audytu Administrator zgłasza pisemnie z wyprzedzeniem co najmniej 14 dni, wskazując zakres i termin.
3. Procesor może w pierwszej kolejności przedstawić aktualną dokumentację zabezpieczeń lub wynik audytu przeprowadzonego przez podmiot zewnętrzny. Jeżeli dokumentacja ta wyczerpuje zakres żądania, uznaje się obowiązek za spełniony.
4. Ograniczenia częstotliwości i terminu nie stosuje się, jeżeli audyt jest następstwem naruszenia ochrony danych albo żądania organu nadzorczego.
5. Audyt odbywa się w sposób nienaruszający poufności danych innych administratorów korzystających z Serwisu.

§ 10. Przekazywanie danych do państw trzecich

1. Procesor przetwarza powierzone dane na terenie Europejskiego Obszaru Gospodarczego, z wyjątkiem funkcji opisanej w § 2 ust. 2 lit. f — uruchamianej wyłącznie decyzją Administratora — w której zakresie przekazanie następuje na zasadach wskazanych w Załączniku nr 2.
2. Procesor nie przekazuje powierzonych danych do państwa trzeciego bez uprzedniej zgody Administratora, chyba że obowiązek taki wynika z prawa Unii lub prawa państwa członkowskiego; w takim wypadku informuje o tym Administratora przed przetwarzaniem, o ile prawo tego nie zakazuje.
3. Jeżeli subprocesor jest spółką z siedzibą poza EOG świadczącą usługi z ośrodków na terenie EOG, podstawą ewentualnego dostępu z państwa trzeciego są standardowe klauzule umowne przyjęte przez Komisję Europejską.

§ 11. Ocena skutków i bezpieczeństwo

1. Procesor udziela Administratorowi wsparcia w przeprowadzeniu oceny skutków dla ochrony danych (art. 35 RODO), udostępniając informacje o architekturze i zabezpieczeniach Serwisu.
2. Procesor stosuje środki techniczne i organizacyjne wymienione w Załączniku nr 1 i zobowiązuje się nie obniżać osiągniętego poziomu bezpieczeństwa w okresie obowiązywania Umowy.

§ 12. Odpowiedzialność

1. Strony odpowiadają na zasadach określonych w art. 82 RODO.
2. Procesor odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych na podmioty przetwarzające albo działał wbrew zgodnym z prawem poleceniom Administratora.
3. Administrator odpowiada za zgodność z prawem poleceń oraz za posiadanie podstawy prawnej przetwarzania danych darczyńców, w tym za treść klauzuli informacyjnej i zgód prezentowanych w widgecie.
4. Jeżeli jedna ze Stron zapłaci odszkodowanie w całości, przysługuje jej roszczenie regresowe wobec drugiej Strony w części odpowiadającej jej udziałowi w szkodzie.

§ 13. Postanowienia końcowe

1. Umowa wchodzi w życie z chwilą akceptacji Regulaminu i obowiązuje przez czas trwania umowy o świadczenie usług.
2. Zmiany Umowy następują w trybie przewidzianym dla zmian Regulaminu.
3. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych oraz Kodeks cywilny.
4. Prawem właściwym jest prawo polskie.

Punkt kontaktowy w sprawach ochrony danych

AMS SOFTWARE sp. z o.o. ul. Józefa Wajzera 19/22, 41-808 Zabrze kontakt@wspieraj.org

Załącznik nr 1 — Środki techniczne i organizacyjne (art. 32 RODO)

A. Szyfrowanie i pseudonimizacja

• Dane osobowe darczyńców (imię, adres e-mail) szyfrowane w spoczynku algorytmem AES-256-GCM, z odrębnym wektorem inicjującym dla każdego rekordu.
• Treść zbiórek (tytuł, cel, opis) szyfrowana w spoczynku tym samym algorytmem. Anonimizacja zbiórki usuwa jej treść, zdjęcia i adres utworzony z tytułu.
• Linki do zaświadczeń o wpłacie podpisane kryptograficznie (HMAC); zaświadczenie generowane jest w chwili pobrania i nie jest przechowywane.
• Wyszukiwanie po adresie e-mail realizowane przez indeks ślepy (skrót HMAC), dzięki czemu wartość jawna nie trafia do zapytań ani do dzienników bazy danych.
• Hasła przechowywane wyłącznie jako skróty (bcrypt, koszt 12).
• Tokeny aktywacyjne i resetujące hasło przechowywane jako skróty SHA-256; postać jawna istnieje wyłącznie w wiadomości wysłanej do użytkownika.
• Cała komunikacja wyłącznie przez TLS, z wymuszeniem HTTPS (HSTS).

B. Poufność, integralność, dostępność i odporność

• Techniczna separacja danych poszczególnych administratorów na poziomie warstwy dostępu do bazy danych; zapytanie bez kontekstu organizacji nie zwraca danych.
• Sesje oparte na ciasteczku HttpOnly, Secure, SameSite=Strict; zmiana hasła unieważnia wszystkie sesje wydane wcześniej.
• Logowanie dwuetapowe (TOTP) dostępne dla każdego konta; blokada konta po pięciu nieudanych próbach logowania, z powiadomieniem właściciela.
• Ograniczenie liczby prób logowania i wysyłki wiadomości z jednego adresu IP.
• Widget i strona zbiórki nie pobierają na urządzeniu darczyńcy zasobów od podmiotów spoza Załącznika nr 2 (czcionki i skrypty serwowane z domeny serwisu).
• Weryfikacja autentyczności powiadomień operatora płatności podpisem JWS.
• Kontrola pochodzenia żądań zmieniających stan (ochrona przed CSRF).
• Nagłówki bezpieczeństwa przeglądarki, w tym polityka bezpieczeństwa treści.
• Materiały graficzne przekodowywane przy wgrywaniu, co usuwa metadane EXIF, w tym dane lokalizacyjne.

C. Przywracanie dostępności

• Baza danych w usłudze zarządzanej z automatycznymi kopiami zapasowymi.
• Mechanizm rekoncyliacji płatności wykrywający i uzupełniający transakcje nieprzetworzone wskutek awarii.
• Kolejka ponowień dla powiadomień o płatnościach, z wykładniczym odstępem między próbami.

D. Testowanie i ocena

• Automatyczne testy uruchamiane przy każdej zmianie kodu, obejmujące ścieżki bezpieczeństwa i rozliczeń.
• Automatyczna kontrola podatności zależności przy każdej zmianie.
• Monitorowanie błędów aplikacji z filtrowaniem danych wrażliwych przed wysłaniem zgłoszenia.
• Dziennik czynności przetwarzania rejestrujący dostęp i zmiany, bez utrwalania treści danych osobowych; wpisy starsze niż 24 miesiące usuwane automatycznie.

E. Środki organizacyjne

• Dostęp do infrastruktury produkcyjnej ograniczony do osób, którym jest niezbędny.
• Zobowiązania do zachowania poufności dla osób upoważnionych do przetwarzania.
• Rejestr kategorii czynności przetwarzania prowadzony zgodnie z art. 30 ust. 2 RODO.

Załącznik nr 2 — Wykaz zatwierdzonych subprocesorów