ZAŁĄCZNIK I: Umowa o przetwarzaniu danych

Niniejsza umowa o przetwarzaniu danych („Umowa o Przetwarzaniu Danych”) stanowi umowę o przetwarzaniu dotyczącą przetwarzania danych osobowych, które ILOVEPDF (zwane „ILOVEPDF”) o numerze CIF B66921552 i siedzibą przy Calle Sabino de Arana, 60, 08028 Barcelona, realizuje w Twoim imieniu w odniesieniu do danych osobowych, które przetwarza zgodnie z poniższymi postanowieniami.

W związku z tym ILOVEPDF będzie zapewniać Ci określone usługi świadczone za pośrednictwem oprogramowania lub programów komputerowych będących własnością ILOVEPDF. Korzystanie z tych usług wymaga dostępu do danych osobowych i ich przetwarzania przez ILOVEPDF jako podmiot przetwarzający (zwany dalej „podmiotem przetwarzającym”) niektórych danych osobowych, w odniesieniu do których pełnisz funkcję administratora (dalej zwanego „administratorem”).

Niniejsza Umowa o Przetwarzaniu danych jest częścią Regulaminu ILOVEPDF i będzie obowiązywać po zaakceptowaniu Regulaminu. W przypadku jakiegokolwiek konfliktu, sprzeciwu lub niezgodności pomiędzy Regulaminem a Umową o Przetwarzaniu, Umowa o Przetwarzaniu ma pierwszeństwo przed Regulaminem.

W celu spełnienia postanowień Rozporządzenia (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (zwanego dalej „RODO”) administrator i podmiot przetwarzający podpisują tę Umowę o Przetwarzaniu zgodnie z poniższym:

KLAUZULE

Klauzula 1

Cel i zakres

1. Celem Umowy o Przetwarzaniu jest zapewnienie zgodności z art. 28 ust. 3 i ust. 4 RODO.
2. Administrator i podmiot przetwarzający zgodzili się być związani niniejszą Umową w celu zapewnienia zgodności z art. 28 ust. 3 i ust. 4 RODO.
3. Niniejsza Umowa o Przetwarzaniu dotyczy przetwarzania danych osobowych określonych w Załączniku I.
4. Załączniki I i II stanowią część Umowy o Przetwarzaniu.
5. Niniejsze warunki pozostają bez uszczerbku dla innych obowiązków, którym administrator podlega na mocy RODO.
6. Niniejsze warunki same w sobie nie zapewniają zgodności z obowiązkami związanymi z międzynarodowym przekazywaniem danych zgodnie z rozdziałem V RODO.

Klauzula 2

Interpretacja

1. Gdy terminy zdefiniowane w RODO są używane w niniejszej Umowie o Przetwarzaniu, są one rozumiane w ten sam sposób jak w RODO.
2. Niniejszą Umowę o Przetwarzaniu odczytywać i interpretować w świetle przepisów RODO.
3. Niniejsza Umowa o Przetwarzaniu nie powinna być interpretowana w sposób sprzeczny z prawami i obowiązkami określonymi w RODO i/lub nie powinna naruszać podstawowych praw lub wolności osób, których dane dotyczą.

Klauzula 3

Hierarchia

W przypadku rozbieżności pomiędzy niniejszą Umową o Przetwarzaniu a postanowieniami powiązanych umów między Stronami obowiązujących w momencie uzgodnienia niniejszych warunków lub zawartych później pierwszeństwo ma Umowa o Przetwarzaniu.

Klauzula 4

Opis przetwarzania

Załącznik I określa szczegóły operacji przetwarzania, w szczególności kategorie danych osobowych oraz cele przetwarzania, dla których dane osobowe są przetwarzane w imieniu administratora.

Klauzula 5

Obowiązki Stron

5.1. Instrukcje

1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane instrukcje administratora, chyba że przepisy prawa Unii Europejskiej lub państwa członkowskiego, którym podlega podmiot przetwarzający, wymagają inaczej. W takim przypadku podmiot przetwarzający informuje administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile przepisy prawa nie zakazują tego ze względu na ważny interes publiczny. Administrator może udzielać również uzupełniających instrukcji w toku przetwarzania danych osobowych. Instrukcje te zawsze są dokumentowane.
2. Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli według oceny podmiotu przetwarzającego instrukcje wydane przez administratora naruszają RODO lub obowiązujące przepisy prawa Unii Europejskiej lub państwa członkowskiego dotyczące ochrony danych.

5.2. Ograniczenie celu

Podmiot przetwarzający przetwarza dane osobowe wyłącznie dla określonych celów przetwarzania wskazanych w Załączniku I, chyba że otrzyma od administratora dalsze instrukcje.

5.3. Czas trwania przetwarzania danych osobowych

Przetwarzanie przez podmiot przetwarzający odbywa się wyłącznie przez określony czas wskazany w Załączniku I.

5.4. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający wdraża co najmniej te środki techniczne i organizacyjne, które określono w Załączniku II, aby zapewnić bezpieczeństwo danych osobowych. Obejmuje to ochronę danych przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z przepisami prawa zniszczenia, utraty, zmiany, nieautoryzowanego ujawnienia lub dostępu do danych (naruszenie ochrony danych osobowych). Przy ocenie odpowiedniego poziomu bezpieczeństwa Strony biorą pod uwagę stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko w odniesieniu do osób, których dane dotyczą.
2. Podmiot przetwarzający zapewnia dostęp do danych osobowych członkom swojego personelu tylko wtedy, gdy jest to niezbędne do realizacji i monitorowania umowy oraz zarządzania nią. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały do zachowania poufności lub podlegały stosownemu obowiązkowi ustawowemu w tej kwestii.

5.5. Dane wrażliwe

Jeżeli przetwarzanie obejmuje dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne albo przynależność do związków zawodowych, dane genetyczne lub biometryczne mające na celu jednoznaczną identyfikację osoby fizycznej, dane dotyczące zdrowia, życia seksualnego lub orientacji seksualnej, czy dane dotyczące wyroków skazujących i czynów zabronionych („dane wrażliwe”), podmiot przetwarzający stosuje szczególne ograniczenia i/lub dodatkowe zabezpieczenia.

5.6. Dokumentacja i zgodność

1. Strony są w stanie wykazać, że przestrzegają ciążących na nich obowiązków wynikających z niniejszej Umowy o Przetwarzaniu Danych.
2. Podmiot przetwarzający szybko i odpowiednio odpowiada na zapytania administratora dotyczące przetwarzania danych zgodnie z niniejszą Umową o Przetwarzaniu Danych.
3. Podmiot przetwarzający udostępnia administratorowi lub niezależnej osobie trzeciej wszystkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszej Umowie o Przetwarzaniu, a także wynikającymi bezpośrednio z RODO. Na żądanie administratora podmiot przetwarzający zezwala na audyty działań przetwarzania objętych niniejszą Umową o Przetwarzaniu Danych i współpracuje przy realizacji tychże audytów. Audyty będą ograniczone materialnie i czasowo do tego, co jest niezbędne, aby administrator mógł przeprowadzić niezbędne kontrole w przypadku podejrzenia – należycie uzasadnionego na piśmie – niezgodności z jakimkolwiek punktem niniejszej Umowy o Przetwarzaniu Danych przez podmiot przetwarzający dane. W każdym przypadku audyty będą miały na celu wyłącznie sprawdzenie okoliczności związanych z niezgodnościami i będą ograniczone do maksymalnie jednego (1) audytu rocznie; muszą zostać zgłoszone przynajmniej jeden (1) miesiąc wcześniej. W każdym przypadku audyty będą przeprowadzane na koszt administratora danych.
4. Na żądanie właściwych organów nadzorczych strony udostępniają informacje, o których mowa w niniejszej klauzuli, w szczególności wyniki audytów.

5.7. Korzystanie z usług podwykonawców przetwarzania

1. Podmiot przetwarzający ma ogólne upoważnienie administratora do angażowania podwykonawców przetwarzania. Podmiot przetwarzający dostarcza administratorowi informacji niezbędnych do skorzystania z prawa do sprzeciwu.
2. Gdy podmiot przetwarzający angażuje podwykonawcę przetwarzania do przeprowadzania określonych działań przetwarzania (w imieniu administratora), czyni to na mocy umowy, która nakłada na podwykonawcę przetwarzania zasadniczo te same obowiązki w zakresie ochrony danych jak te, które obowiązują podmiot przetwarzający dane zgodnie z niniejszymi klauzulami. Podmiot przetwarzający zapewnia, by podwykonawca przestrzegał do obowiązków, które obowiązują podmiot przetwarzający na mocy niniejszej Umowy o Przetwarzaniu oraz RODO.
3. Podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec administratora za wykonanie obowiązków podwykonawcy przetwarzania zgodnie z jego umową z podmiotem przetwarzającym. Podmiot przetwarzający powiadamia administratora o każdym przypadku niespełnienia obowiązków umownych przez podwykonawcę przetwarzania.

5.8. Międzynarodowe przekazywanie

1. Przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej przez podmiot przetwarzający odbywa się zgodnie z rozdziałem V RODO.
2. Administrator zgadza się, że tam, gdzie procesor angażuje podwykonawcę przetwarzania zgodnie z klauzulą 5.7 do wykonywania określonych działań przetwarzania (w imieniu administratora) i działania te obejmują przekazywanie danych osobowych w rozumieniu rozdziału V RODO, podmiot przetwarzający i podwykonawca przetwarzania mogą zapewnić zgodność z rozdziałem V RODO poprzez: (i) przekazywanie danych osobowych do krajów, w odniesieniu do których Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony zgodnie z art. 45 RODO; lub (ii) korzystanie ze standardowych klauzul umownych przyjętych przez Komisję zgodnie z art. 46 ust. 2 RODO, pod warunkiem, że zostają spełnione warunki korzystania z tych standardowych klauzul umownych. Zasadniczo, z wyjątkiem przypadku, kiedy administrator wybrał inne opcje, podmiot przetwarzający przetwarza Twoje dane osobowe na terenie Europejskiego Obszaru Gospodarczego. Niezależnie od powyższego, w przypadku administratorów spoza Europejskiego Obszaru Gospodarczego podmiot przetwarzający może przetwarzać Twoje dane osobowe na obszarach geograficznych bliższych Twojej lokalizacji, aby zoptymalizować wydajność i efektywność naszych usług, pod warunkiem wdrożenia odpowiednich zabezpieczeń.
3. Dodatkowo w przypadku przekazywania danych osobowych przez podmiot przetwarzający do administratora, które obejmuje przekazywanie danych osobowych w rozumieniu rozdziału V RODO, podmiot przetwarzający i administrator zawierają standardowe klauzule umowne (moduł 4) załączone jako Załącznik II.

Klauzula 6

Pomoc udzielana administratorowi

1. Podmiot przetwarzający natychmiastowo powiadamia administratora o każdym wniosku, który otrzymał od osoby, której dane dotyczą. Nie odpowiada na ten wniosek samodzielnie, chyba że zostanie do tego upoważniony przez administratora.
2. Podmiot przetwarzający przekaże administratorowi wszelkie otrzymane przez siebie wnioski dotyczące wykonywania praw osób, których dane dotyczą, na które to wnioski administrator powinien odpowiedzieć, ponieważ odnoszą się do danych osobowych, w przypadku których administrator pełni rolę administratora danych.
3. Oprócz obowiązku ciążącego na podmiocie przetwarzającym obowiązku udzielania pomocy administratorowi zgodnie z klauzulą 6 lit. b) podmiot przetwarzający dodatkowo pomaga administratorowi w zapewnieniu zgodności z poniższymi obowiązkami, uwzględniając charakter przetwarzania danych i informacje dostępne dla podmiotu przetwarzającego:
   1. Pamiętaj o przeprowadzeniu oceny wpływu zamierzonych operacji przetwarzania na ochronę danych osobowych (jak 'ocena skutków dla ochrony danych'), gdy dany rodzaj przetwarzania może prowadzić do wysokiego ryzyka naruszenia praw i wolności osób fizycznych.
   2. Pamiętaj o obowiązku skonsultowania się z właściwymi organami nadzorczymi przed rozpoczęciem przetwarzania, jeśli ocena skutków ochrony danych wskazuje na wysokie ryzyko, a administrator nie podjął działań łagodzących.
   3. Zadanie zapewnia, że dane osobowe są dokładne i aktualne przez natychmiastowe poinformowanie administratora, gdy podmiot przetwarzający zauważy, że dane osobowe są niedokładne lub nieaktualne.
   4. obowiązki określone w art. 32 RODO.
4. Strony określają w Załączniku II odpowiednie środki techniczne i organizacyjne, za pomocą których podmiot przetwarzający jest zobowiązany pomagać administratorowi w stosowaniu niniejszej klauzuli, jak również zakres i rodzaj wymaganej pomocy.

Klauzula 7

Zawiadomienie o naruszeniu ochrony danych osobowych

1. W przypadku naruszenia ochrony danych osobowych podmiot przetwarzający współpracuje z administratorem i udziela mu pomocy w spełnieniu jego obowiązków wynikających z art. 33 i art. 34 RODO, uwzględniając charakter przetwarzania i informacje dostępne dla podmiotu przetwarzającego.
2. W przypadku naruszenia bezpieczeństwa danych osobowych przetwarzanych przez podmiot przetwarzający w imieniu administratora podmiot przetwarzający zgłasza to administratorowi bez zbędnej zwłoki, gdy podmiot przetwarzający tylko się o tym dowie. Takie zawiadomienie zawiera co najmniej:
   1. opis charakteru naruszenia (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz liczbę wpisów danych osobowych, których dotyczy naruszenie);
   2. szczegóły dotyczące punktu kontaktowego, gdzie można uzyskać więcej informacji na temat naruszenia danych osobowych;
   3. prawdopodobne skutki naruszenia oraz środki podjęte lub zaproponowane w celu zaradzenia naruszeniu, w tym w celu złagodzenia jego możliwych negatywnych skutków.
3. Jeśli nie wszystkie informacje mogą zostać dostarczone jednocześnie, informacje dostępne w danej chwili powinny być dostarczone w początkowym zgłoszeniu, a dodatkowe informacje — w miarę ich gromadzenia, bez zbędnej zwłoki.

ZAŁĄCZNIK I: OPIS PRZETWARZANIA

Kategorie osób, których dane dotyczą, których dane osobowe są przetwarzane
Te kategorie osób, których dane dotyczą, których dane są zawarte w plikach, które administrator przesyła podczas korzystania z usług świadczonych przez ILOVEPDF (np. pracownicy, klienci, dostawcy itp.).

Kategorie przetwarzanych danych osobowych
Te kategorie danych osobowych, które są zawarte w plikach przesyłanych przez administratora podczas korzystania z usług świadczonych przez ILOVEPDF.

Przetwarzane dane wrażliwe (jeśli istnieją) oraz zastosowane ograniczenia lub zabezpieczenia, które w pełni uwzględniają charakter danych i ryzyka z nimi związane, takie jak na przykład ścisłe ograniczenie celu, ograniczenia dostępu (w tym tylko dla pracowników po specjalistycznym szkoleniu), prowadzenie rejestru dostępu do danych, ograniczenia dotyczące dalszego przekazywania lub dodatkowe środki bezpieczeństwa.
Szczególne kategorie danych osobowych będą przetwarzane w zakresie, w jakim pliki, które administrator przesyła podczas korzystania z usług świadczonych przez ILOVEPDF, zawierają takie szczególne kategorie danych osobowych.

Charakter przetwarzania
Podmiot przetwarzający wykona wszystkie czynności niezbędne do świadczenia usług (np. konwersja, edycja i kompresja dokumentów zawierających dane osobowe).

Cel(e) przetwarzania danych osobowych w imieniu administratora
Świadczenie usług na rzecz ILOVEPDF.

Czas trwania przetwarzania
W zakresie niezbędnym do świadczenia usług.

Podwykonawcy przetwarzania i rodzaj świadczonych usług

W kontekście świadczenia swoich usług ILOVEPDF korzysta z usług zewnętrznych usługodawców prowadzących działalność jako podwykonawcy przetwarzania danych osobowych. Spośród nich ILOVEPDF współpracuje z Cloudscale, Digital Ocean, Hetzner, OVHcloud i Vultr jako dostawcami hostingu i rozwiązań do przetwarzania danych w chmurze, zapewniającymi usługi związane z infrastrukturą technologiczną w celu zapewnienia bezpiecznego przetwarzania i tymczasowego przechowywania danych oraz operacyjnej ciągłości platformy.

Podwykonawcy przetwarzania działają zgodnie z instrukcjami ILOVEPDF, stosując odpowiednie środki techniczne i organizacyjne w celu zapewnienia ochrony danych osobowych zgodnie z rozporządzeniem (UE) 2016/679 (RODO) oraz innymi obowiązującymi przepisami dotyczącymi ochrony danych.

Aby uzyskać więcej informacji na temat pod-procesorów ILOVEPDF, możesz uzyskać dostęp klikając tutaj.

ZAŁĄCZNIK II: ŚRODKI TECHNICZNE I ORGANIZACYJNE, W TYM ŚRODKI TECHNICZNE I ORGANIZACYJNE MAJĄCE NA CELU ZAPEWNIENIE BEZPIECZEŃSTWA DANYCH

Podmiot przetwarzający stosuje następujące techniczne i organizacyjne środki bezpieczeństwa w odniesieniu do działań przetwarzania realizowanych w ramach niniejszej Umowy o Przetwarzaniu:

• Środki techniczne w celu ochrony przed przechwytywaniem, kopiowaniem, modyfikacją, błędami w przekazywaniu i niszczeniem przekazywanych informacji.
• Procedury techniczne i polityki wewnętrzne w celu wykrywania i minimalizowania zagrożeń wynikających z aplikacji złośliwych (malware), które mogą być przesyłane w ramach komunikacji elektronicznej, oraz ochrony przed nimi.
• Ochrona techniczna informacji wrażliwych podczas przesyłania ich jako załączników.
• Polityka wewnętrzna dotycząca akceptowalnego korzystania z zasobów komunikacyjnych.
• Środki organizacyjne zapewniające odpowiedzialność wszystkich użytkowników (pracowników i osób trzecich) z prawem do uprawnionego dostępu do zasobów podmiotu przetwarzającego w odniesieniu do informacji własnych.
• Wykorzystanie technik kryptograficznych w celu ochrony poufności, integralności i autentyczności informacji.
• Wytyczne organizacyjne dotyczące przechowywania i usuwania całej korespondencji biznesowej, w tym wiadomości, zgodnie z odpowiednimi przepisami krajowymi i lokalnymi.
• Regularne przekazywanie informacji oraz ustanowienie polityk wewnętrznych dla pracowników dotyczących nieujawniania informacji poufnych, w celach takich jak: niepozostawianie wiadomości zawierających informacje wrażliwe na automatycznych sekretarkach, unikanie rozmów poufnych w miejscach publicznych, niekorzystanie z niezabezpieczonych kanałów komunikacji, unikanie rozmów poufnych w otwartych biurach itp.

Kontrola wersji: czwartek, 19 lutego 2026