Umowa powierzenia przetwarzania danych

1. Postanowienia ogólne

1.1. Niniejsza umowa powierzenia przetwarzania danych (dalej: „Umowa Powierzenia”) zostaje zawarta między Usługobiorcą jako administratorem danych a Usługodawcą Majevski, MB (kod osoby prawnej 304720404, adres siedziby Smalinės g. 21-3, LT-06225, Vilnius, Lietuva) jako podmiotem przetwarzającym. Umowa Powierzenia stanowi integralną część Umowy (pkt 1.2 i 21.1 Regulaminu) i określa warunki, o których mowa w art. 28 ust. 3 rozporządzenia (UE) 2016/679 (dalej: „Rozporządzenie”).

1.2. Umowa Powierzenia jest zawierana drogą elektroniczną: Usługobiorca akceptuje ją wraz z Regulaminem świadczenia usług w trybie określonym w pkt 1.4 i 1.7 Regulaminu. Forma elektroniczna spełnia wymóg określony w art. 28 ust. 9 Rozporządzenia, dlatego odrębne podpisanie Umowy Powierzenia nie jest wymagane. Od chwili opublikowania niniejszej wersji Umowy Powierzenia Usługodawca wraz z akceptacją Regulaminu rejestruje, którą wersję Umowy Powierzenia zaakceptował Usługobiorca; wersję Umowy Powierzenia mającą zastosowanie do Usługobiorcy, który zaakceptował Regulamin wcześniej, ustala się według daty akceptacji Regulaminu (pkt 1.5 Regulaminu).

1.3. Pojęcia zdefiniowane w rozdziale 2 Regulaminu (na przykład Usługa, Konto, Użytkownik, Właściciel, Członek Zespołu, Klient, Dane Klientów, Treści Usługobiorcy, Strona Rezerwacji, Plan, Bramka SMS, Link do Kalendarza, Tożsamość DEK, Wskaźnik Wiarygodności, Dzień Roboczy, Dane Eksportowalne i Podprzetwarzający) mają w niniejszej Umowie Powierzenia takie samo znaczenie. Pojęcia „dane osobowe”, „przetwarzanie”, „osoba, której dane dotyczą” i „naruszenie ochrony danych osobowych” mają znaczenie określone w art. 4 Rozporządzenia. Odesłania do Regulaminu oznaczają wersję Regulaminu mającą zastosowanie do Usługobiorcy.

1.4. „Dane Powierzone” oznaczają Dane Klientów, przetwarzane w Usłudze dane Członków Zespołu oraz inne dane osobowe, które Usługobiorca lub Użytkownicy wraz z takimi danymi wprowadzają, importują, synchronizują lub otrzymują za pośrednictwem Usługi (na przykład wiadomości SMS osób, które nie są Klientami, pkt 14.7 Regulaminu), gdy Usługodawca przetwarza je w imieniu Usługobiorcy, a także dane konta asms.lt Usługobiorcy, o których mowa w rozdziale 18 niniejszej Umowy Powierzenia. Za Dane Powierzone nie uważa się danych, które Usługodawca przetwarza jako samodzielny administrator danych (rozdział 3 niniejszej Umowy Powierzenia). Na potrzeby niniejszej Umowy Powierzenia za Podprzetwarzającego uważa się również inny podmiot przetwarzający, któremu Usługodawca powierza przetwarzanie Danych Powierzonych innych niż Dane Klientów (pkt 2.23 Regulaminu).

1.5. W sprawach przetwarzania Danych Klientów na podstawie art. 28 Rozporządzenia Umowa Powierzenia ma pierwszeństwo przed Regulaminem w zakresie określonym w pkt 33.6 ppkt 3 Regulaminu. Umowa Powierzenia, w tym jej wcześniejsze wersje, nie zmienia limitów odpowiedzialności określonych w rozdziałach 25 i 26 Regulaminu ani określonych w rozdziałach 24 i 30 Regulaminu zobowiązań i terminów dotyczących dostępności Usługi, kopii zapasowych, udostępniania i usuwania danych. Gdy Umowa Powierzenia w tych sprawach powtarza postanowienia Regulaminu lub do nich odsyła, stosuje się Regulamin.

1.6. Usługobiorca jako administrator danych decyduje, jakie Dane Powierzone i w jakich celach przetwarzać w Usłudze, jest obowiązany posiadać podstawę prawną ich przetwarzania i przekazania Usługodawcy, informować osoby, których dane dotyczą (pkt 11.3 i 11.4 Regulaminu), zapewnić zgodność swoich poleceń z przepisami prawa oraz rozpatrywać wnioski osób, których dane dotyczą. Usługobiorca ma prawo wydawać polecenia (rozdział 2 niniejszej Umowy Powierzenia), otrzymywać informacje i przeprowadzać audyt (rozdział 10 niniejszej Umowy Powierzenia) oraz wybrać zwrot lub usunięcie danych (rozdział 12 niniejszej Umowy Powierzenia), a także odpowiada za działania Użytkowników na Koncie (pkt 5.2 i 5.3 Regulaminu).

2. Polecenia i granice przetwarzania

2.1. Usługodawca przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Usługobiorcy, w tym w odniesieniu do przekazywania danych do państw trzecich (rozdział 7 niniejszej Umowy Powierzenia), i wyłącznie w celach opisanych w rozdziałach 15 i 18 niniejszej Umowy Powierzenia, z wyjątkiem przypadków, o których mowa w pkt 2.5 i 12.6 niniejszej Umowy Powierzenia.

2.2. Na udokumentowane polecenia Usługobiorcy składają się: 1) polecenie, o którym mowa w pkt 21.3 Regulaminu, wydawane przez Usługobiorcę przy akceptacji Regulaminu; 2) niniejsza Umowa Powierzenia; 3) ustawienia wybrane na Koncie Usługobiorcy i funkcje Usługi wykorzystywane przez Użytkowników (na przykład reguły powiadomień, ustawienia Strony Rezerwacji, podłączenie konta asms.lt i synchronizacja kontaktów, Linki do Kalendarza, import, kampanie i usuwanie wpisów); 4) wnioski Właściciela złożone zgodnie z Regulaminem i niniejszą Umową Powierzenia (na przykład na podstawie pkt 30.4, 30.7 i 30.9 Regulaminu); 5) polecenia indywidualne, na których wykonanie Usługodawca wyraził zgodę zgodnie z pkt 2.3 niniejszej Umowy Powierzenia.

2.3. Polecenie wykraczające poza standardowe działanie Usługi opisane w pkt 21.3 Regulaminu (polecenie indywidualne) Właściciel przekazuje pocztą elektroniczną na adres pagalba@majevski.com z adresu e-mail Właściciela (pkt 32.3 Regulaminu). Usługodawca w rozsądnym terminie odpowiada, czy wykona polecenie. Usługodawca nie jest obowiązany wykonać polecenia indywidualnego, którego wykonanie wymagałoby zmiany działania Usługi lub którego nie da się zrealizować za pomocą środków Usługi. Do poleceń indywidualnych stosuje się pkt 26.1 ppkt 6 Regulaminu.

2.4. Jeżeli zdaniem Usługodawcy polecenie Usługobiorcy narusza Rozporządzenie lub inne przepisy Unii Europejskiej lub państwa członkowskiego o ochronie danych, Usługodawca niezwłocznie informuje o tym Usługobiorcę i może wstrzymać się z wykonaniem tego polecenia, dopóki Usługobiorca go nie zmieni lub nie odwoła albo dopóki strony nie uzgodnią na piśmie, że polecenie jest zgodne z prawem. Jeżeli Usługobiorca żąda wykonania polecenia, które Usługodawca zasadnie uważa za niezgodne z prawem, Usługodawca nie jest obowiązany go wykonać i może rozwiązać Umowę w trybie określonym w pkt 29.3 Regulaminu, a gdy takie żądanie stanowi istotne naruszenie Umowy, w trybie określonym w pkt 29.4 Regulaminu. Niniejszy punkt nie oznacza, że Usługodawca weryfikuje zgodność poleceń Usługobiorcy z prawem, i nie przenosi na Usługodawcę obowiązków Usługobiorcy jako administratora danych.

2.5. Jeżeli przetwarzania Danych Powierzonych wymaga prawo Unii Europejskiej lub państwa członkowskiego, któremu podlega Usługodawca, Usługodawca przed rozpoczęciem przetwarzania informuje Usługobiorcę o tym obowiązku prawnym, o ile prawo to nie zakazuje udzielania takiej informacji z uwagi na ważny interes publiczny. Na żądanie organu Usługodawca ujawnia wyłącznie te Dane Powierzone, które jest obowiązany ujawnić, i, o ile jest to dozwolone, z wyprzedzeniem informuje o tym Usługobiorcę (pkt 20.7 i 23.3 Regulaminu).

2.6. Usługodawca nie wykorzystuje Danych Powierzonych do własnego marketingu, nie sprzedaje ich i nie przekazuje ich osobom trzecim do ich własnych celów, z wyjątkiem przypadków, gdy wymagają tego przepisy prawa (pkt 21.6 Regulaminu), ani nie wykorzystuje ich do trenowania modeli sztucznej inteligencji bez polecenia Usługobiorcy (pkt 6.5 Regulaminu). We własnych celach Usługodawca może przetwarzać Dane Klientów wyłącznie w przypadkach, o których mowa w rozdziale 3 i pkt 12.6 niniejszej Umowy Powierzenia (pkt 22.3 Regulaminu).

2.7. Wiadomości e-mail wszystkich Usługobiorców są wysyłane za pośrednictwem wspólnej infrastruktury nadawczej Usługi, dlatego powtarzające się wysyłanie na nieistniejące adresy szkodzi doręczaniu powiadomień wszystkich Usługobiorców (pkt 15.3 Regulaminu). Gdy na adres nadawczy Usługodawcy wróci komunikat serwera poczty elektronicznej odbiorcy o niedoręczeniu, wskazujący, że adres nie istnieje, Usługa rejestruje ten komunikat i wyłącza wysyłanie wiadomości e-mail na ten adres na wszystkich Kontach, na których znajduje się nieusunięty Klient z tym samym adresem e-mail, niezależnie od tego, którego Usługobiorcy wiadomość została odrzucona, a status adresu e-mail każdego takiego Klienta zostaje oznaczony jako niedziałający. Komunikaty o tymczasowym niedoręczeniu są również rejestrowane na wszystkich takich Kontach, jednak wysyłka nie jest wyłączana. Jeżeli serwer poczty elektronicznej odbiorcy odrzuci wiadomość już w trakcie wysyłki, wysyłka jest wyłączana tylko na tym Koncie, którego wiadomość została odrzucona. Akceptując Regulamin i niniejszą Umowę Powierzenia, Usługobiorca poleca Usługodawcy przetwarzanie w ten sposób adresów e-mail swoich Klientów i wyraża zgodę na to, aby komunikaty o niedoręczeniu wiadomości wysłanych do jego Klientów były wykorzystywane również do wyłączania wysyłki na adresy e-mail Klientów innych Usługobiorców (pkt 15.3 i 21.3 Regulaminu).

3. Przetwarzanie przez Usługodawcę jako samodzielnego administratora danych

3.1. Usługodawca jako samodzielny administrator danych przetwarza dane kont i dane rozliczeniowe Usługobiorcy, Użytkowników i płatników, dane Tożsamości DEK, dane dotyczące ochrony przed nadużyciami i dane z dzienników technicznych, a także dane osób odwiedzających stronę internetową i Strony Rezerwacji, zebrane za ich zgodą (pliki cookie i analityka) (pkt 21.2 Regulaminu). Do takiego przetwarzania niniejsza Umowa Powierzenia nie ma zastosowania: opisują je Polityka prywatności i Polityka plików cookie, a za zgodność tego przetwarzania z przepisami prawa odpowiada Usługodawca.

3.2. Dane Klientów Usługodawca jako samodzielny administrator danych przetwarza wyłącznie w celach wskazanych w pkt 17.4, 17.5 i 21.4 Regulaminu, opisanych w pkt 3.3, 3.4, 3.5 i 3.6 niniejszej Umowy Powierzenia, co obejmuje wykorzystanie imienia, nazwiska i języka Klienta z karty klienta Usługobiorcy do utworzenia Tożsamości DEK. Usługobiorca wyraża zgodę na ujawnianie Usługodawcy Danych Klientów w tych celach, z wyjątkiem liczb, o których mowa w pkt 17.4 Regulaminu, jeżeli Usługobiorca wybrał opcję ich nieprzekazywania (pkt 21.3 Regulaminu). Ponadto Usługodawca otrzymuje bezpośrednio z urządzeń osób odwiedzających stronę internetową Usługi i Strony Rezerwacji (w tym Klientów) dane z dzienników technicznych (na przykład adres IP zapisywany w dzienniku audytu przy dokonywaniu rezerwacji online, zmianie języka powiadomień lub rezygnacji z wiadomości e-mail) oraz, za zgodą odwiedzających, dane analityczne (pkt 3.7 niniejszej Umowy Powierzenia); dane te nie są Danymi Klientów i Usługodawca przetwarza je jako samodzielny administrator danych (pkt 2.9 i 21.2 Regulaminu).

3.3. Wspólny dla wielu przedsiębiorców Wskaźnik Wiarygodności (pkt 17.4 Regulaminu). W tym celu wykorzystuje się wyłącznie liczby odbytych wizyt, nieobecności i późnych zmian Klientów Usługobiorcy powiązanych z Tożsamością DEK, bez dat wizyt, usług, notatek i nazwy Usługobiorcy. Zgodnie z ustawieniami domyślnymi liczby te są przekazywane; Usługobiorca może w ustawieniach Usługi ich nie przekazywać i w takim przypadku nie wyświetla mu się również wspólny wskaźnik. Liczby z usuniętych Kont i usuniętych kart Klientów nie są uwzględniane we wspólnym wskaźniku.

3.4. Ochrona przed nadużyciami (pkt 17.5, 17.7 i 21.6 Regulaminu). Informacje o podejrzanych działaniach, w tym adresy IP i wartości skrótu (hash) adresów e-mail, mogą być przekazywane do zarządzanej przez Usługodawcę bazy danych zagrożeń M Blacklist (pkt 7.8 Regulaminu), której dane są wykorzystywane również do ochrony przed nadużyciami innych usług powiązanych z Usługodawcą. Przy weryfikacji żądań adres IP, wartość skrótu adresu e-mail i domena e-mail mogą być porównywane z tą bazą danych lub jej kopią w Usłudze. Listę potwierdzonych zagrożeń (adresy IP i ich zakresy, wartości skrótu adresów e-mail i domeny e-mail, bez imion, nazwisk i adresów e-mail) M Blacklist udostępnia publicznie, aby do ochrony swoich usług mogły z niej korzystać również inne strony internetowe; szczegółowo opisano to w Polityce prywatności. W przypadku potwierdzonego zagrożenia Usługa może automatycznie odrzucić logowanie, utworzenie Konta, wysłanie linku do resetowania hasła lub kodu jednorazowego albo rezerwację. Usługobiorca lub Klient może zgłosić blokadę, którą uważa za nieuzasadnioną, w trybie określonym w pkt 17.7 Regulaminu. Dane te Usługodawca przetwarza na podstawie prawnie uzasadnionego interesu polegającego na zapewnieniu bezpieczeństwa Usługi i jej użytkowników.

3.5. Statystyki (pkt 21.4 Regulaminu). Usługodawca może sporządzać i wykorzystywać zagregowane, zanonimizowane statystyki, na podstawie których nie można zidentyfikować Usługobiorcy, Klienta ani innej osoby, a także wskaźniki korzystania z Usługi przez Usługobiorcę.

3.6. Tożsamość DEK (pkt 3.7, 17.3 i 17.4 Regulaminu). Dane Tożsamości DEK, w tym kody jednorazowe, które Usługodawca wysyła Klientom we własnym imieniu (pkt 15.1 Regulaminu), Usługodawca przetwarza jako samodzielny administrator danych. Aktualizacja adresu e-mail i numeru telefonu powiązanego Klienta na karcie klienta Usługobiorcy oraz wyświetlanie wizyt Klienta w jego Tożsamości DEK stanowią przetwarzanie Danych Powierzonych na polecenie Usługobiorcy (pkt 15.4 i 15.5 niniejszej Umowy Powierzenia). Po trwałym usunięciu wpisów Usługobiorcy dane Tożsamości DEK nie są usuwane, jednak ich powiązanie z trwale usuniętymi wpisami zostaje zniesione (pkt 30.9 Regulaminu).

3.7. Analityka na Stronach Rezerwacji (pkt 21.6 Regulaminu). Na Stronach Rezerwacji Usługodawca jako samodzielny administrator danych może korzystać z narzędzi analitycznych (na przykład Google Analytics lub nda.lt) w celu oceny korzystania z Usługi i doskonalenia Usługi, jednak wyłącznie wtedy, gdy odwiedzający zgodził się na analityczne pliki cookie i podobne technologie w wyświetlanym przez Usługę oknie zgody na pliki cookie. Na Stronie Rezerwacji Usługobiorcy narzędzia te są wykorzystywane wyłącznie wtedy, gdy Właściciel sam wyraźnie zaakceptował wersję 2.1 Regulaminu lub wersję późniejszą przy tworzeniu Konta lub w Usłudze; samo zawiadomienie o zmianie Regulaminu do tego nie wystarcza. Na stronach zarządzania wizytami i innych stronach, których adres zawiera klucz dostępu, Usługodawca nie korzysta z tych narzędzi, a tam, gdzie z nich korzysta, konfiguruje je tak, aby nie otrzymywały linków do zarządzania wizytami, innych kluczy dostępu ani Danych Klientów wprowadzanych lub wybieranych przez odwiedzającego w formularzach. Usługodawca nie instaluje na Stronach Rezerwacji własnych narzędzi reklamowych ani remarketingowych (na przykład Meta Pixel lub Google Ads), chyba że Usługobiorca zwróci się o to na piśmie; w takim przypadku role i odpowiedzialność stron określa się w odrębnym porozumieniu zawartym w formie, o której mowa w pkt 2.21 Regulaminu. Oprócz Google Analytics Usługodawca może korzystać na Stronach Rezerwacji wyłącznie z takiego narzędzia analitycznego, które oznaczył jako dopuszczone do wykorzystania na tych stronach, a takie oznaczenie nadaje wyłącznie narzędziu skonfigurowanemu tak, aby nie rejestrowało miejsca kliknięć, tekstu klikniętych elementów ani klikniętych linków (ich adresów i napisów), nie nagrywało sesji i nie tworzyło map cieplnych; jeżeli Usługodawca korzysta z nda.lt na Stronach Rezerwacji, nda.lt może otrzymywać wskazane w Polityce prywatności dane o wyświetleniach stron i inne dane analityczne, w tym adres strony, który nie zawiera linków do zarządzania wizytami ani innych kluczy dostępu, jednak nie otrzymuje miejsca kliknięć, tekstu klikniętych elementów ani adresów lub napisów klikniętych linków. Dane analityczne nie są Danymi Klientów i Usługobiorca ich nie otrzymuje.

3.8. Za zgodność przetwarzania, o którym mowa w niniejszym rozdziale, z przepisami prawa odpowiada Usługodawca jako administrator danych; do wzajemnej odpowiedzialności stron stosuje się rozdziały 25 i 26 Regulaminu. Usługobiorca informuje Klientów o tym przetwarzaniu w swojej informacji o prywatności (pkt 11.4 Regulaminu) i może w tym celu wykorzystać udostępniony przez Usługodawcę wzór informacji dla klientów.

4. Poufność

4.1. Usługodawca zapewnia, aby osoby, które upoważnia do przetwarzania Danych Powierzonych, zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności oraz aby przetwarzały Dane Powierzone wyłącznie zgodnie z niniejszą Umową Powierzenia i wyłącznie w zakresie niezbędnym do świadczenia Usługi, wykonania Umowy i w celach wskazanych w pkt 21.5 Regulaminu (art. 29 i art. 32 ust. 4 Rozporządzenia).

4.2. Obowiązek zachowania poufności nakłada się na Podprzetwarzających w umowach, o których mowa w pkt 6.2 niniejszej Umowy Powierzenia.

4.3. Obowiązek zachowania poufności Danych Powierzonych obowiązuje bezterminowo, w tym po usunięciu danych, i nie wygasa z upływem terminu, o którym mowa w pkt 23.4 Regulaminu.

5. Bezpieczeństwo przetwarzania

5.1. Uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko dla praw i wolności osób, których dane dotyczą, Usługodawca stosuje środki techniczne i organizacyjne wskazane w rozdziale 16 niniejszej Umowy Powierzenia (art. 32 Rozporządzenia). Notatki i wartości pól dodatkowych są przechowywane z zastosowaniem tych środków, jednak bez dodatkowego szyfrowania poszczególnych pól (pkt 12.4 Regulaminu).

5.2. Środki opisane w rozdziale 16 niniejszej Umowy Powierzenia odpowiadają stanowi z dnia opublikowania niniejszej wersji Umowy Powierzenia. Usługodawca może je zmieniać i aktualizować, o ile ogólny poziom ochrony Danych Powierzonych nie ulegnie obniżeniu. Zmianę polegającą na zniesieniu wskazanego środka bez zastąpienia go środkiem równoważnym uważa się za zmianę Umowy Powierzenia, do której stosuje się rozdział 31 Regulaminu. Usługodawca dokonuje przeglądu środków w razie istotnej zmiany działania Usługi lub Podprzetwarzających, po naruszeniu ochrony danych osobowych oraz nie rzadziej niż raz na 12 miesięcy.

5.3. Usługobiorca odpowiada za bezpieczeństwo swoich urządzeń, dostępów Użytkowników, Linków do Kalendarza i innych kontrolowanych przez siebie środków (pkt 16.14 niniejszej Umowy Powierzenia; pkt 5.3, 5.5 i 18.1 Regulaminu). Przed rozpoczęciem przetwarzania w Usłudze szczególnych kategorii danych osobowych lub innych danych wrażliwych Usługobiorca ocenia, czy środki wskazane w rozdziale 16 niniejszej Umowy Powierzenia, w tym ich ograniczenia wskazane w pkt 16.13, są odpowiednie do ryzyka takiego przetwarzania (pkt 12.2 i 12.4 Regulaminu). Akceptując Umowę Powierzenia, Usługobiorca potwierdza, że zapoznał się ze środkami wskazanymi w rozdziale 16 niniejszej Umowy Powierzenia i ich ograniczeniami oraz, uwzględniając ryzyko związane z prowadzonym przez siebie przetwarzaniem, uznaje je za odpowiednie lub stosuje dodatkowe własne środki.

6. Podprzetwarzający

6.1. Akceptując Regulamin i niniejszą Umowę Powierzenia, Usługobiorca udziela Usługodawcy ogólnej pisemnej zgody na korzystanie z usług Podprzetwarzających (art. 28 ust. 2 Rozporządzenia; pkt 33.1 Regulaminu). Podprzetwarzający, z których usług Usługodawca korzysta w dniu opublikowania niniejszej wersji Umowy Powierzenia, ich lokalizacja, świadczone usługi i przetwarzane dane są wskazani w rozdziale 17 niniejszej Umowy Powierzenia (pkt 7.7 Regulaminu).

6.2. Usługodawca korzysta wyłącznie z usług takich Podprzetwarzających, którzy zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, i wyłącznie na podstawie pisemnej, w tym elektronicznej, umowy powierzenia przetwarzania danych (art. 28 ust. 4 Rozporządzenia). Dostawcy usług hostingowych Usługodawcy zawierają takie umowy na swoich standardowych warunkach, które różnią się od niniejszej Umowy Powierzenia: mogą one przewidywać krótszy termin zawiadomienia o zmianie ich dostawców usług, audyt bez dostępu do ich systemów lub odpłatną pomoc i mogą nie zawierać postanowień dotyczących usunięcia danych po zakończeniu umowy ani przekazywania danych do państw trzecich. Usługobiorca potwierdza, że został o tym poinformowany. Takie różnice nie zmieniają obowiązków Usługodawcy wobec Usługobiorcy wynikających z niniejszej Umowy Powierzenia; na przykład Dane Powierzone z serwerów Podprzetwarzających Usługodawca usuwa samodzielnie (rozdział 12 niniejszej Umowy Powierzenia).

6.3. Usługodawca pozostaje odpowiedzialny wobec Usługobiorcy za wykonanie przez Podprzetwarzającego jego obowiązków w zakresie ochrony danych i zawiadamia Usługobiorcę o znanym mu istotnym niewykonaniu takich obowiązków przez Podprzetwarzającego, mającym wpływ na Dane Powierzone; odpowiedzialność ustala się zgodnie z rozdziałem 13 niniejszej Umowy Powierzenia.

6.4. O zamiarze skorzystania z nowego Podprzetwarzającego lub zmiany Podprzetwarzającego Usługodawca zawiadamia Usługobiorcę co najmniej 30 dni wcześniej, z wyjątkiem przypadków, gdy zmiana jest niezbędna niezwłocznie ze względów bezpieczeństwa lub z powodu zaprzestania działalności przez dostawcę; wówczas Usługodawca zawiadamia o tym możliwie najszybciej (pkt 21.7 Regulaminu). Zawiadomienie jest wysyłane na adres e-mail Właściciela i, gdy jest to możliwe, udostępniane w Usłudze (pkt 32.1 i 32.2 Regulaminu); wskazuje się w nim nazwę Podprzetwarzającego, państwo jego lokalizacji, świadczoną usługę, przetwarzane dane i planowaną datę zmiany.

6.5. Usługobiorca w ciągu 14 dni od otrzymania zawiadomienia (pkt 32.2 Regulaminu) może zgłosić uzasadniony sprzeciw pocztą elektroniczną na adres pagalba@majevski.com z adresu e-mail Właściciela (pkt 32.3 Regulaminu). Strony dążą do uzgodnienia rozwiązania; jeżeli w ciągu 14 dni od otrzymania sprzeciwu strony nie dojdą do porozumienia, Usługobiorca może rozwiązać Umowę i otrzymać proporcjonalną część opłaty za niewykorzystany opłacony okres (pkt 21.7 i 10.4 Regulaminu). Ponieważ z usług Podprzetwarzających korzysta się na potrzeby wszystkich Usługobiorców wspólnie, Usługodawca może wprowadzić zmianę w dniu wskazanym w zawiadomieniu również wtedy, gdy sprzeciw został zgłoszony. Jeżeli w ciągu 14 dni od otrzymania zawiadomienia sprzeciw nie zostanie zgłoszony, uważa się, że Usługobiorca nie sprzeciwia się zmianie.

6.6. Podprzetwarzający mogą zgodnie ze swoimi warunkami przetwarzania danych korzystać z usług własnych dostawców. Terminy, o których mowa w pkt 6.4 i 6.5 niniejszej Umowy Powierzenia, mają zastosowanie wyłącznie do Podprzetwarzających, z których usług korzysta Usługodawca (pkt 2.23 Regulaminu), a nie do ich dostawców usług, ponieważ o zmianach takich dostawców Usługodawca dowiaduje się od Podprzetwarzających. Usługodawca przechowuje odnośniki do list dostawców usług, z których korzystają Podprzetwarzający, i na wniosek Usługobiorcy w rozsądnym terminie przekazuje posiadane informacje o takich dostawcach, państwach ich lokalizacji i podstawach przekazania. Po otrzymaniu od Podprzetwarzającego zawiadomienia o nowym dostawcy usług w państwie trzecim, który może przetwarzać Dane Powierzone, Usługodawca bez zbędnej zwłoki zawiadamia o tym Usługobiorcę w sposób określony w pkt 6.4 niniejszej Umowy Powierzenia, a Usługobiorca może zgłosić sprzeciw i skorzystać z praw określonych w pkt 6.5 niniejszej Umowy Powierzenia.

7. Przekazywanie danych do państw trzecich

7.1. Baza danych Usługi, pliki przesłane przez Usługobiorcę, ich kopie zapasowe, a także dane systemów 1e.lt i asms.lt są przechowywane na serwerach w Unii Europejskiej (pkt 7.7 Regulaminu; rozdział 17 niniejszej Umowy Powierzenia). Usługodawca sam nie przekazuje Danych Powierzonych do państw znajdujących się poza Europejskim Obszarem Gospodarczym (państw trzecich) i nie wydał Podprzetwarzającym takiego polecenia, z wyjątkiem doręczania wiadomości SMS za pośrednictwem Podprzetwarzającego wskazanego w pkt 17.7 niniejszej Umowy Powierzenia (pkt 7.5 niniejszej Umowy Powierzenia).

7.2. Podprzetwarzający mogą do świadczenia swoich usług korzystać z dostawców usług znajdujących się również w państwach trzecich, a żądania przesyłane za pośrednictwem sieci dostarczania treści Podprzetwarzającego mogą być obsługiwane również w innych państwach (pkt 17.3 niniejszej Umowy Powierzenia). Akceptując niniejszą Umowę Powierzenia, Usługobiorca zezwala na takie przekazanie danych wyłącznie w zakresie, w jakim ma do niego zastosowanie podstawa przekazania przewidziana w rozdziale V Rozporządzenia (na przykład decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule ochrony danych). Nie wszystkie warunki przetwarzania danych Podprzetwarzających zawierają odrębne postanowienia dotyczące takiego przekazania (pkt 6.2 niniejszej Umowy Powierzenia). Informacje o takich dostawcach i podstawach przekazania Usługodawca przekazuje w trybie określonym w pkt 6.6 niniejszej Umowy Powierzenia.

7.3. Jeżeli Usługodawca zamierza skorzystać z usług Podprzetwarzającego, który przetwarzałby Dane Powierzone w państwie trzecim, czyni to wyłącznie po zapewnieniu podstawy przekazania przewidzianej w rozdziale V Rozporządzenia (na przykład decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul ochrony danych) i zawiadamia o tym w trybie określonym w pkt 6.4 niniejszej Umowy Powierzenia, wskazując państwo i podstawę przekazania.

7.4. Ujawnienie danych usługom wybranym przez Usługobiorcę (usługom kalendarzowym Google, Apple, Microsoft lub innym subskrybującym Linki do Kalendarza, operatorowi telefonii komórkowej Usługobiorcy, platformom do spotkań i usługom zbierania opinii), a także dostawcom poczty elektronicznej odbiorców stanowi ujawnienie danych na polecenie Usługobiorcy. Dostawcy tych usług nie są Podprzetwarzającymi Usługodawcy i mogą przetwarzać dane również poza Europejskim Obszarem Gospodarczym; za zgodność z prawem takiego ujawnienia i przekazania odpowiada Usługobiorca (pkt 7.4, 18.2 i 18.5 Regulaminu). Do świadczonej przez Usługodawcę usługi bramki SMS asms.lt stosuje się rozdział 18 niniejszej Umowy Powierzenia.

7.5. Doręczanie wiadomości SMS. Jednorazowe kody weryfikacji numeru telefonu (pkt 15.12 niniejszej Umowy Powierzenia) Usługodawca wysyła za pośrednictwem Podprzetwarzającego wskazanego w pkt 17.7 niniejszej Umowy Powierzenia, mającego siedzibę na Łotwie (Unia Europejska). Aby wiadomość dotarła do odbiorcy, Podprzetwarzający ten przekazuje numer telefonu i treść wiadomości swoim partnerom telekomunikacyjnym, którzy, jak sam Podprzetwarzający wskazuje w swojej polityce prywatności, mogą znajdować się również poza Europejskim Obszarem Gospodarczym; do takiego przekazania Podprzetwarzający stosuje, jak sam wskazuje, zabezpieczenia przewidziane w rozdziale V Rozporządzenia. Usługodawca nie polecił żadnego innego przekazania Danych Powierzonych do państw trzecich. Włączając funkcję weryfikacji numeru telefonu na Stronie Rezerwacji lub wnioskując o weryfikację numeru na Koncie, Usługobiorca ma tego świadomość i zezwala na takie przekazanie na warunkach określonych w pkt 7.2 niniejszej Umowy Powierzenia.

8. Pomoc w realizacji wniosków osób, których dane dotyczą

8.1. Wnioski Klientów i innych osób, których dane dotyczą, dotyczące Danych Powierzonych rozpatruje Usługobiorca (pkt 3.3 Regulaminu). Uwzględniając charakter przetwarzania, Usługodawca pomaga Usługobiorcy wywiązywać się z obowiązków określonych w rozdziale III Rozporządzenia za pomocą środków wskazanych w niniejszym rozdziale.

8.2. W Usłudze Usługobiorca może samodzielnie: 1) przeglądać karty Klientów, ich wizyty, przechowywaną na Koncie historię powiadomień oraz, gdy jest to dostępne w jego Planie, korespondencję SMS; 2) poprawiać dane na kartach Klientów, z uwzględnieniem tego, że adres e-mail i numer telefonu powiązanego Klienta są aktualizowane na podstawie Tożsamości DEK (pkt 17.3 Regulaminu), oraz zmieniać termin wizyt, ich czas trwania, usługi, status, notatki wewnętrzne i link do spotkania; 3) zmieniać oznaczenia zgód Klientów; 4) usuwać karty Klientów i niektóre inne wpisy (pkt 12.7 niniejszej Umowy Powierzenia); usunięta karta Klienta nie jest już wyświetlana na liście Klientów, w wynikach wyszukiwania ani w eksporcie, a jej dane (imię, nazwisko, numer telefonu, adres e-mail, notatki na karcie i wartości pól dodatkowych) nie są już wyświetlane Użytkownikom tam, gdzie wyświetlane są wizyty: w kalendarzu, w informacjach o wizycie, na liście dzisiejszych wizyt na stronie startowej, w Linkach do Kalendarza, zestawieniach i powiadomieniach o nowych rezerwacjach; jednak wizyt, reguł wizyt cyklicznych i wiadomości SMS nie można usunąć w Usłudze, dlatego wizyty usuniętego Klienta pozostają i są wyświetlane z oznaczeniem „Usunięty klient”, korespondencja SMS pozostaje i jest wyświetlana pod numerem telefonu, a w raportach takie wizyty są uwzględniane bez danych Klienta (pkt 16.13 ppkt 8 niniejszej Umowy Powierzenia); 5) eksportować Dane Klientów za pomocą funkcji samodzielnego eksportu, jeżeli jest ona dostępna w Planie Usługobiorcy (pkt 30.4 Regulaminu). Z marketingowych wiadomości e-mail Klienci mogą zrezygnować za pomocą linku zamieszczonego w każdej takiej wiadomości (pkt 16.3 Regulaminu).

8.3. Na wniosek Właściciela Usługodawca: 1) udostępnia Dane Eksportowalne w trybie i terminach określonych w pkt 30.4 Regulaminu; 2) wcześniej trwale usuwa dane usuniętych wpisów Klientów w trybie określonym w pkt 30.9 Regulaminu i w sposób wskazany w pkt 12.7 niniejszej Umowy Powierzenia; 3) w rozsądnym terminie, uwzględniając termin określony w art. 12 ust. 3 Rozporządzenia, przekazuje posiadane informacje, których Usługobiorca potrzebuje, aby odpowiedzieć na wniosek osoby, której dane dotyczą, i których Usługobiorca nie może uzyskać w Usłudze; 4) pomaga Usługobiorcy zrealizować wniosek osoby, której dane dotyczą, o usunięcie danych: jeżeli jest to technicznie możliwe, usuwa wskazane przez Właściciela konkretne wizyty, reguły wizyt cyklicznych lub wiadomości SMS, których Usługobiorca nie może usunąć w Usłudze, a także kontakty lub wiadomości na koncie asms.lt Usługobiorcy; niniejszy podpunkt nie zmienia zobowiązań i terminów dotyczących usuwania danych określonych w rozdziale 30 Regulaminu.

8.4. Jeżeli Usługodawca otrzyma bezpośrednio wniosek osoby, której dane dotyczą, dotyczący Danych Powierzonych i można z niego ustalić, do którego Usługobiorcy jest skierowany, Usługodawca bez zbędnej zwłoki przekazuje wniosek Usługobiorcy na adres e-mail Właściciela i wskazuje osobie, aby zwróciła się do Usługobiorcy (pkt 3.3 Regulaminu). Usługodawca sam nie odpowiada na wniosek co do jego istoty, chyba że Usługobiorca mu to poleci. Wnioski dotyczące danych, które Usługodawca przetwarza jako samodzielny administrator danych, Usługodawca rozpatruje sam zgodnie z Polityką prywatności.

8.5. Za udzielenie odpowiedzi osobie, której dane dotyczą, i dotrzymanie terminów określonych w art. 12 Rozporządzenia odpowiada Usługobiorca; pomoc Usługodawcy nie wydłuża tych terminów.

9. Naruszenia, ocena skutków i inna pomoc

9.1. Uwzględniając charakter przetwarzania oraz dostępne mu informacje, Usługodawca pomaga Usługobiorcy wywiązać się z obowiązków określonych w art. 32–36 Rozporządzenia: stosuje środki wskazane w rozdziale 16 niniejszej Umowy Powierzenia i na wniosek Usługobiorcy przekazuje informacje o tych środkach i o Podprzetwarzających.

9.2. Po powzięciu wiadomości, w tym od Podprzetwarzającego, o naruszeniu ochrony danych osobowych dotyczącym lub mogącym dotyczyć Danych Powierzonych Usługobiorcy, Usługodawca bez zbędnej zwłoki zawiadamia o nim Usługobiorcę pocztą elektroniczną na adres e-mail Właściciela oraz, gdy jest to możliwe, komunikatem w Usłudze. Pilne zawiadomienia dotyczące bezpieczeństwa Usługodawca może wysyłać również innym Użytkownikom (pkt 32.1 Regulaminu).

9.3. W zawiadomieniu, w zakresie, w jakim informacje te są w danym momencie znane, wskazuje się: 1) charakter naruszenia, w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie; 2) punkt kontaktowy, od którego można uzyskać więcej informacji: adres e-mail pagalba@majevski.com; 3) możliwe konsekwencje naruszenia; 4) środki zastosowane lub proponowane przez Usługodawcę w celu zaradzenia naruszeniu i zminimalizowania jego ewentualnych negatywnych skutków. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, są one przekazywane etapami, nadal bez zbędnej zwłoki.

9.4. Usługodawca dokumentuje każde naruszenie, o którym mowa w pkt 9.2 niniejszej Umowy Powierzenia (okoliczności naruszenia, jego skutki i podjęte działania zaradcze), i na wniosek Usługobiorcy przekazuje te informacje. Usługodawca podejmuje rozsądne działania w celu opanowania naruszenia i ograniczenia jego skutków, na przykład wstrzymuje wysyłanie powiadomień, ogranicza dostęp lub odłącza integrację (pkt 14.3, 15.4 i 28.1 Regulaminu).

9.5. Obowiązki Usługobiorcy jako administratora danych w zakresie zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu i zawiadamiania o nim osób, których dane dotyczą (art. 33 i 34 Rozporządzenia), pozostają obowiązkami Usługobiorcy. Usługodawca pomaga je wykonywać, przekazując posiadane informacje, jednak nie dokonuje w imieniu Usługobiorcy zgłoszeń organowi ani zawiadomień osób, których dane dotyczą, chyba że strony tak uzgodnią. Zawiadomienie Usługodawcy samo w sobie nie oznacza przyznania się przez Usługodawcę do winy. Usługobiorca niezwłocznie zawiadamia Usługodawcę o podejrzeniu nieuprawnionego dostępu do Konta (pkt 5.5 Regulaminu).

9.6. Jeżeli Usługobiorca przetwarza szczególne kategorie danych osobowych na dużą skalę, zawiadamia o tym Usługodawcę z wyprzedzeniem (pkt 12.2 Regulaminu). Na wniosek Usługobiorcy Usługodawca przekazuje posiadane informacje niezbędne do przeprowadzenia oceny skutków dla ochrony danych oraz, w razie potrzeby, uprzednich konsultacji z organem nadzorczym (art. 35 i 36 Rozporządzenia), w tym informacje wskazane w rozdziałach 15, 16 i 17 niniejszej Umowy Powierzenia oraz odpowiedzi na uzasadnione pytania dotyczące działania Usługi. Ocenę skutków dla ochrony danych przeprowadza Usługobiorca.

10. Informacje i audyt

10.1. Usługodawca przekazuje Usługobiorcy informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 Rozporządzenia i w niniejszej Umowie Powierzenia: niniejszą Umowę Powierzenia (w tym jej rozdziały 15, 16, 17 i 18), zapisy logowania do Konta, o których mowa w pkt 21.5 Regulaminu, oraz w rozsądnym terminie pisemne odpowiedzi na uzasadnione pytania lub kwestionariusze Usługobiorcy (pkt 10.6 niniejszej Umowy Powierzenia). Wnioski składa się pocztą elektroniczną na adres pagalba@majevski.com.

10.2. Jeżeli Usługobiorca uważa, że informacje, o których mowa w pkt 10.1 niniejszej Umowy Powierzenia, są niewystarczające, i wskaże na piśmie, jakich informacji brakuje, albo jeżeli wymaga tego organ nadzorczy, Usługobiorca może przeprowadzić audyt, w tym inspekcję, samodzielnie lub za pośrednictwem niezależnego audytora, który zobowiązał się do zachowania poufności i nie jest konkurentem Usługodawcy.

10.3. Audyt przeprowadza się nie częściej niż raz na 12 miesięcy, z wyjątkiem przypadków, gdy jest on przeprowadzany po naruszeniu ochrony danych osobowych dotyczącym Danych Powierzonych Usługobiorcy lub na żądanie organu nadzorczego. O audycie Usługobiorca zawiadamia pocztą elektroniczną na adres pagalba@majevski.com co najmniej 30 dni wcześniej, a w przypadkach objętych wyjątkami, o których mowa w zdaniu poprzednim, co najmniej 10 Dni Roboczych wcześniej lub w krótszym terminie wyznaczonym przez organ nadzorczy, wskazując zakres audytu, jego termin i audytora. Audyt przeprowadza się w Dni Robocze w godzinach pracy, w trybie zdalnym lub w miejscu uzgodnionym przez strony, w sposób niezakłócający świadczenia Usługi, i trwa on nie dłużej niż 2 Dni Robocze, chyba że strony uzgodnią inaczej. Usługobiorca pokrywa własne koszty i koszty audytora, a Usługodawca nie obciąża Usługobiorcy kosztami swojego czasu pracy w zakresie nieprzekraczającym czasu trwania audytu określonego w niniejszym punkcie. Audytor zapoznaje się z działaniem Usługi, ustawieniami i zapisami dotyczącymi Danych Powierzonych Usługobiorcy, które okazuje mu Usługodawca, jednak nie uzyskuje bezpośredniego dostępu do serwerów i bazy danych Usługi, do danych innych Usługobiorców, do tajemnic przedsiębiorstwa Usługodawcy w zakresie szerszym, niż jest to niezbędne do celu audytu, ani do pomieszczeń lub systemów dostawców usług hostingowych Usługodawcy: prawa ich klientów do audytu są ograniczone ich warunkami, dlatego w odniesieniu do nich Usługodawca przekazuje informacje otrzymane od nich.

10.4. Sprawozdanie z audytu lub jego wnioski przekazuje się również Usługodawcy, który może zgłosić swoje uwagi. Informacje uzyskane w trakcie audytu są poufne, jednak mogą zostać przekazane organowi nadzorczemu. Jeżeli audyt wykaże, że Usługodawca nie wykonuje niniejszej Umowy Powierzenia, Usługodawca w rozsądnym terminie usuwa nieprawidłowości; jeżeli naruszenie jest istotne i nie zostanie usunięte w terminie, o którym mowa w pkt 29.5 Regulaminu, Usługobiorcy przysługuje określone w tym punkcie prawo do rozwiązania Umowy.

10.5. Usługodawca współpracuje z organem nadzorczym, gdy wymagają tego przepisy prawa (art. 31 Rozporządzenia).

10.6. Pomocy, o której mowa w rozdziałach 8, 9 i 10 niniejszej Umowy Powierzenia, Usługodawca udziela nieodpłatnie w zakresie, w jakim jest ona udzielana za pomocą funkcji Usługi, poprzez działania, o których mowa w pkt 8.3 niniejszej Umowy Powierzenia, poprzez przekazanie już posiadanych informacji lub odpowiedź na nie więcej niż jeden kwestionariusz Usługobiorcy w ciągu 12 miesięcy, a także we wszystkich przypadkach, gdy pomoc jest potrzebna z powodu naruszenia niniejszej Umowy Powierzenia przez Usługodawcę lub naruszenia ochrony danych osobowych u Usługodawcy lub Podprzetwarzającego. Innej pomocy, wymagającej większych nakładów Usługodawcy (na przykład dodatkowe kwestionariusze, spotkania lub część audytu przekraczającą czas trwania określony w pkt 10.3 niniejszej Umowy Powierzenia), Usługodawca udziela za rozsądnym wynagrodzeniem, które strony uzgadniają z góry pocztą elektroniczną. Za udostępnianie i usuwanie danych określone w rozdziale 30 Regulaminu nie pobiera się wynagrodzenia.

11. Dostęp Usługodawcy do Konta

11.1. Do logowania się osób upoważnionych przez Usługodawcę do Konta stosuje się pkt 21.5 Regulaminu. Logowanie z uprawnieniami Użytkownika jest dopuszczalne wyłącznie w zakresie niezbędnym do udzielenia pomocy na wniosek Usługobiorcy, zbadania i usunięcia błędu, obsługi incydentu bezpieczeństwa lub nadużycia albo wykonania wymogów przepisów prawa. Każde takie logowanie jest rejestrowane (które konto administratora Usługodawcy, kiedy, w jakim celu i z uprawnieniami którego Użytkownika), zapisy są przechowywane przez 13 miesięcy od ich utworzenia i na wniosek Usługobiorcy są mu udostępniane (pkt 21.5 i 30.8 Regulaminu). O logowaniu Właściciel jest informowany w trybie określonym w pkt 21.5 Regulaminu.

11.2. W celach wskazanych w pkt 21.5 Regulaminu oraz w celu wykonania Umowy osoby upoważnione przez Usługodawcę mogą przetwarzać dane Konta za pomocą narzędzi administracyjnych Usługi lub bezpośrednio w bazie danych, bez logowania się do Konta; do takich działań nie mają zastosowania wymogi dotyczące rejestrowania, przechowywania i informowania, o których mowa w pkt 11.1 niniejszej Umowy Powierzenia (pkt 21.5 Regulaminu). Gdy jest to niezbędne do zbadania błędu, konserwacji technicznej lub udostępnienia danych, o których mowa w pkt 30.4 Regulaminu, osoby te mogą wykonać kopię bazy danych Usługi lub jej części, w tym Danych Powierzonych, na urządzeniu Usługodawcy; taka kopia jest wykorzystywana wyłącznie w tym celu i usuwana, gdy nie jest już potrzebna, jednak nie później niż w ciągu 14 dni od jej wykonania. Do takich osób i kopii stosuje się rozdział 4 niniejszej Umowy Powierzenia.

12. Zwrot i usunięcie danych

12.1. Do zwrotu i usunięcia Danych Powierzonych stosuje się rozdział 30 Regulaminu. Niniejszy rozdział go streszcza i wskazuje, w jaki sposób ma on zastosowanie do Danych Powierzonych; w razie niezgodności stosuje się Regulamin (pkt 33.6 ppkt 3 Regulaminu).

12.2. Usługobiorca wybiera zwrot danych, składając wniosek o udostępnienie Danych Eksportowalnych na podstawie pkt 30.4 Regulaminu w okresie obowiązywania Umowy, w okresie przejściowym, o którym mowa w pkt 30.5 Regulaminu, lub w 30-dniowym okresie odbioru danych, o którym mowa w pkt 30.6 Regulaminu. Dane są udostępniane nieodpłatnie (pkt 30.1 Regulaminu), a dane, o których mowa w pkt 30.3 Regulaminu, nie są wydawane. Określony w pkt 30.2 Regulaminu wykaz Danych Eksportowalnych jest zamknięty, dlatego Usługodawca nie jest obowiązany zwracać innych Danych Powierzonych (na przykład wartości pól dodatkowych wizyt, metody płatności, zdarzeń dotyczących doręczenia i kliknięć); są one usuwane w trybie określonym w pkt 12.3, 12.4 i 12.5 niniejszej Umowy Powierzenia.

12.3. Po upływie okresu odbioru danych Usługodawca najpóźniej w ciągu 60 dni usuwa Dane Eksportowalne, pozostałe Dane Klientów i Treści Usługobiorcy z aktywnych systemów Usługi i informuje o tym Właściciela pocztą elektroniczną. Jeżeli wniosek na podstawie pkt 30.4 Regulaminu wpłynie w okresie odbioru danych, dane nie są usuwane, dopóki Usługodawca go nie zrealizuje. Na wniosek Usługobiorcy dane są usuwane bez oczekiwania na upływ okresu odbioru danych (pkt 30.6 i 30.7 Regulaminu).

12.4. Aktywne systemy Usługi (pkt 7.8 i 30.7 Regulaminu) obejmują również zarządzane przez Usługodawcę dane na serwerach Podprzetwarzających: bazę danych Usługi, przesłane pliki, skrzynkę pocztową Usługodawcy, do której wpływają komunikaty o niedoręczeniu i odpowiedzi na zaproszenia kalendarzowe, oraz system 1e.lt. W związku z tym Dane Powierzone przechowywane w tych systemach, w tym przechowywane w systemie 1e.lt listy Usługobiorcy i listy kampanii, treść kampanii i statystyki, są usuwane wraz z pozostałymi Danymi Powierzonymi w trybie określonym w pkt 12.3 niniejszej Umowy Powierzenia. Dzienniki techniczne przechowywane przez Podprzetwarzających zgodnie z ich własnymi zasadami (na przykład dzienniki wysyłki serwerów poczty elektronicznej) Podprzetwarzający usuwają w ustalonych przez siebie terminach; do kopii zapasowych stosuje się pkt 12.5 niniejszej Umowy Powierzenia.

12.5. W kopiach zapasowych dane pozostają do czasu zwykłego nadpisania tych kopii, jednak nie dłużej niż 90 dni od usunięcia z aktywnych systemów, i w tym czasie są wykorzystywane wyłącznie do odtworzenia po incydencie; jeżeli kopia zostanie odtworzona, dane już usunięte są usuwane ponownie. Usunięte dane nie są odtwarzane (pkt 30.7 Regulaminu).

12.6. Usługodawca może przechowywać Dane Powierzone dłużej wyłącznie w przypadkach, o których mowa w pkt 30.8 Regulaminu, to jest w zakresie, w jakim wymagają tego przepisy prawa, lub w zakresie niezbędnym do dochodzenia roszczeń lub obrony przed nimi. Na wniosek Usługobiorcy Usługodawca wskazuje przepis prawa lub roszczenie, z uwagi na które dane są przechowywane dłużej. Takie dane są przetwarzane wyłącznie w tym celu i nadal stosuje się do nich rozdział 4 niniejszej Umowy Powierzenia. Zagregowane, zanonimizowane statystyki mogą być przechowywane nadal (pkt 21.4 i 30.8 Regulaminu).

12.7. Do wpisów usuniętych w okresie obowiązywania Umowy stosuje się pkt 30.9 Regulaminu: usunięte wpisy Klientów, usług, kategorii usług i Członków Zespołu są przechowywane w bazie danych jako usunięte do zakończenia Umowy, a na pisemny wniosek Właściciela są trwale usuwane wcześniej, najpóźniej w ciągu 30 dni od otrzymania wniosku; pozostałe usunięte wpisy są trwale usuwane z bazy danych Usługi natychmiast. Usuniętego Klienta Usługa usuwa z listy Usługobiorcy w systemie 1e.lt, jednak jego dane na listach wcześniejszych kampanii, a także treść, statystyki i lista odbiorców usuniętej kampanii w systemie 1e.lt są usuwane wraz z pozostałymi danymi w trybie określonym w pkt 12.3 i 12.4 niniejszej Umowy Powierzenia, również wtedy, gdy dane wpisu Klienta zostają na wniosek Właściciela trwale usunięte wcześniej. Dane z wpisu usuniętego Klienta Usługodawca trwale usuwa na pisemny wniosek Właściciela za pomocą narzędzia administracyjnego, bez logowania się do Konta (pkt 21.5 Regulaminu; pkt 11.2 niniejszej Umowy Powierzenia): usuwa z karty imię, nazwisko, numer telefonu, adres e-mail, datę urodzenia, płeć, notatki, wartości pól dodatkowych, oznaczenia zgód i powiązanie z Tożsamością DEK, usuwa zdarzenia kliknięć i niedoręczenia wiadomości e-mail tego Klienta oraz adres odbiorcy we wpisach jego powiadomień, w tym w treściach błędów, w których ten adres jest podany, a także zapewnia, aby adresu e-mail Klienta nie było już na liście Usługobiorcy w systemie 1e.lt. W bazie danych pozostaje pusty wpis karty (identyfikator, daty utworzenia, ostatniej zmiany i usunięcia, źródło wpisu, język, data ostatniej wizyty, liczby odbytych wizyt, nieobecności i późnych zmian oraz identyfikator kontaktu na koncie asms.lt Usługobiorcy, jeżeli karta była z nim powiązana lub taki kontakt został odnaleziony po numerze telefonu), aby wizyty były nadal wyświetlane z oznaczeniem „Usunięty klient”, a synchronizacja kontaktów nie utworzyła Klienta ponownie; we wpisach powiadomień pozostają ich rodzaj, kanał, czas i status. W ramach takiego trwałego usunięcia danych nie są usuwane wizyty tego Klienta wraz z ich notatkami i wartościami pól dodatkowych wizyty, reguły wizyt cyklicznych, wiadomości SMS ani kontakty i wiadomości na koncie asms.lt Usługobiorcy: Usługodawca usuwa je wyłącznie wtedy, gdy wskaże je Właściciel (pkt 8.3 ppkt 4 niniejszej Umowy Powierzenia). Wpisy dziennika audytu nie są zmieniane i są usuwane w terminie wskazanym w pkt 16.7 niniejszej Umowy Powierzenia.

12.8. Usługodawca nie usuwa danych, które Usługobiorca ujawnił usługom, o których mowa w pkt 7.4 niniejszej Umowy Powierzenia. Do danych konta asms.lt Usługobiorcy stosuje się pkt 18.4 niniejszej Umowy Powierzenia.

13. Odpowiedzialność

13.1. Do odpowiedzialności stron na podstawie niniejszej Umowy Powierzenia stosuje się rozdziały 25 i 26 oraz pkt 7.5 i 33.1 Regulaminu. Usługodawca pozostaje odpowiedzialny wobec Usługobiorcy za wykonanie przez Podprzetwarzających ich obowiązków w zakresie ochrony danych (art. 28 ust. 4 Rozporządzenia) w granicach określonych w tych postanowieniach Regulaminu; do utraty danych stosuje się pkt 24.3 Regulaminu.

13.2. Żadne postanowienie niniejszej Umowy Powierzenia nie ogranicza ustawowej odpowiedzialności stron wobec osób, których dane dotyczą, ani wobec organów nadzorczych na podstawie Rozporządzenia (art. 82 i 83 Rozporządzenia). Do wzajemnych roszczeń regresowych stron stosuje się pkt 25.5 Regulaminu.

13.3. Do poleceń indywidualnych Usługobiorcy i dokonanego przez Usługobiorcę naruszenia niniejszej Umowy Powierzenia stosuje się pkt 26.1 ppkt 6 Regulaminu. Pkt 26.1 Regulaminu nie ma zastosowania w zakresie, w jakim roszczenie zostało spowodowane naruszeniem niniejszej Umowy Powierzenia przez Usługodawcę lub przetwarzaniem danych przez Usługodawcę jako samodzielnego administratora danych w celach wskazanych w pkt 17.4, 17.5, 21.4 i 21.6 Regulaminu (pkt 26.2 Regulaminu).

14. Postanowienia końcowe

14.1. Umowa Powierzenia obowiązuje przez cały okres obowiązywania Umowy, a po zakończeniu Umowy tak długo, jak długo Usługodawca lub Podprzetwarzający przetwarzają Dane Powierzone, w tym przechowują je w kopiach zapasowych (rozdział 12 niniejszej Umowy Powierzenia; pkt 29.8 Regulaminu).

14.2. Niniejsza wersja Umowy Powierzenia ma zastosowanie do Usługobiorcy od dnia, od którego zgodnie z pkt 1.7 Regulaminu ma do niego zastosowanie Regulamin w wersji 2.1: do Usługobiorców zawierających Umowę od 2026-09-21 oraz do Usługobiorców, którzy zaakceptowali Regulamin w wersji 2.1 przy tworzeniu Konta, ma ona zastosowanie od chwili utworzenia Konta, a do pozostałych Usługobiorców od chwili, gdy Właściciel wyraźnie potwierdzi w Usłudze, że akceptuje Regulamin w wersji 2.1. Jeżeli Właściciel nie potwierdzi akceptacji do 2026-10-21, stosuje się pkt 31.6 Regulaminu. Do tego czasu do Usługobiorcy ma zastosowanie zaakceptowana przez niego wcześniejsza wersja Umowy Powierzenia.

14.3. Usługodawca przechowuje wcześniejsze wersje Umowy Powierzenia wraz z datami ich publikacji oraz rejestruje lub ustala według daty akceptacji Regulaminu, którą wersję Umowy Powierzenia zaakceptował Usługobiorca (pkt 1.2 niniejszej Umowy Powierzenia). Wcześniejsza wersja Umowy Powierzenia Beta 1.0 pozostaje dostępna na stronie internetowej Usługi. Na wniosek Usługobiorcy Usługodawca nieodpłatnie udostępnia wersję Umowy Powierzenia, która obowiązywała go we wskazanym czasie (pkt 1.5 i 1.6 Regulaminu).

14.4. Umowa Powierzenia jest zmieniana w trybie określonym w rozdziale 31 Regulaminu; o każdej zmianie Umowy Powierzenia, z wyjątkiem zmian o charakterze redakcyjnym, Usługodawca zawiadamia Właściciela pocztą elektroniczną, nawet jeżeli zmiana zgodnie z pkt 31.3 Regulaminu wchodzi w życie wcześniej. Indywidualne porozumienia zmieniające lub uzupełniające Umowę Powierzenia są ważne wyłącznie wtedy, gdy zostały zawarte w formie określonej w pkt 2.21 Regulaminu. Lista Podprzetwarzających jest zmieniana w trybie określonym w pkt 6.4 i 6.5 niniejszej Umowy Powierzenia, a środki bezpieczeństwa w trybie określonym w pkt 5.2 niniejszej Umowy Powierzenia.

14.5. Do zawiadomień na podstawie niniejszej Umowy Powierzenia stosuje się rozdział 32 Regulaminu. We wszystkich sprawach związanych z niniejszą Umową Powierzenia Usługobiorca kontaktuje się pocztą elektroniczną na adres pagalba@majevski.com. Usługodawca nie wyznaczył inspektora ochrony danych.

14.6. Umowa Powierzenia została sporządzona w języku litewskim i jest publikowana w językach litewskim, angielskim, polskim i rosyjskim. Tekst w języku litewskim jest oryginałem, a wersje w pozostałych językach są jego tłumaczeniami. W razie rozbieżności między wersjami rozstrzyga wersja w języku litewskim, z wyjątkiem przypadków, gdy niezgodność powstała wskutek błędu w tłumaczeniu, a Usługobiorca, który zawarł Umowę w innym języku, w dobrej wierze polegał na wersji w tym języku; w takim przypadku wobec Usługobiorcy stosuje się wersję, w której zawarł on Umowę.

14.7. Do Umowy Powierzenia ma zastosowanie prawo Republiki Litewskiej i Rozporządzenie. Spory rozstrzyga się w trybie określonym w rozdziale 34 Regulaminu. Jeżeli którekolwiek postanowienie Umowy Powierzenia zostanie uznane za nieważne lub niemożliwe do zastosowania, stosuje się pkt 33.7 Regulaminu.

15. Opis przetwarzania danych

15.1. Przedmiot przetwarzania. Przetwarzanie Danych Powierzonych w ramach świadczenia Usługi na rzecz Usługobiorcy, to jest funkcji rezerwacji wizyt, kalendarza, kart Klientów, powiadomień i funkcji z nimi związanych, z których Usługobiorca korzysta w swojej działalności gospodarczej lub zawodowej.

15.2. Czas trwania. Przetwarzanie odbywa się w okresie obowiązywania Umowy, w okresie przejściowym, o którym mowa w pkt 30.5 Regulaminu, w okresie odbioru danych, o którym mowa w pkt 30.6 Regulaminu, oraz do usunięcia danych zgodnie z pkt 30.7 Regulaminu, w tym w czasie ich przechowywania w kopiach zapasowych. W okresie obowiązywania Umowy wpisy są przechowywane, dopóki Usługobiorca ich nie usunie; wizyty, reguły wizyt cyklicznych i wiadomości SMS, których nie można usunąć w Usłudze, są przechowywane do zakończenia Umowy, chyba że Usługodawca usunie je zgodnie z pkt 8.3 niniejszej Umowy Powierzenia. Do usuniętych wpisów stosuje się pkt 30.9 Regulaminu i pkt 12.7 niniejszej Umowy Powierzenia, a niektóre wpisy techniczne są usuwane automatycznie (pkt 16.11 niniejszej Umowy Powierzenia). Czas trwania przetwarzania danych konta asms.lt Usługobiorcy wskazano w pkt 18.2 niniejszej Umowy Powierzenia.

15.3. Częstotliwość. Przetwarzanie odbywa się w sposób ciągły; procesy automatyczne (przypomnienia, synchronizacja, odbieranie wiadomości i aktualizacja statusów wizyt) są wykonywane okresowo (pkt 7.2 Regulaminu).

15.4. Karty Klientów. Tworzenie, przeglądanie, wyszukiwanie, zmiana i usuwanie kart Klientów; import list Klientów (pkt 13.5 Regulaminu); wybór Klientów do kampanii według kryteriów wybranych przez Usługobiorcę; eksport Danych Klientów, jeżeli ta funkcja jest dostępna w Planie Usługobiorcy; aktualizacja adresu e-mail i numeru telefonu powiązanego Klienta na podstawie danych Tożsamości DEK (pkt 17.3 Regulaminu).

15.5. Rezerwacje i wizyty. Przyjmowanie rezerwacji na Stronie Rezerwacji, na której Klient podaje imię, kontakt, na który są wysyłane do niego powiadomienia, oraz, jeżeli chce, notatkę, a nowy Klient może zaznaczyć zgodę na otrzymywanie powiadomień marketingowych; powiązanie rezerwacji z istniejącą kartą Klienta na podstawie numeru telefonu lub adresu e-mail, z uzupełnieniem wyłącznie pustych pól karty; kalendarz wizyt, tworzenie, przenoszenie i odwoływanie wizyt, oznaczanie statusów i reguły wizyt cyklicznych; automatyczne oznaczanie jako odbytych wizyt, których status nie został zmieniony (pkt 17.1 Regulaminu); strony zarządzania wizytami, na których Klient może potwierdzić, odwołać lub przenieść wizytę i wybrać język powiadomień; wyświetlanie wizyt Klienta w jego Tożsamości DEK (pkt 2.17 Regulaminu).

15.6. Wiadomości e-mail. Wysyłanie Klientom pocztą elektroniczną powiadomień o wizytach, przypomnień i innych powiadomień automatycznych z adresu w domenie Usługodawcy w imieniu Usługobiorcy, w stosownych przypadkach z dołączeniem pliku wpisu do kalendarza i z podaniem adresu e-mail Właściciela jako adresu do odpowiedzi (pkt 15.1 Regulaminu); stosowanie limitów wysyłki (pkt 15.3 Regulaminu); odbieranie i automatyczne przetwarzanie komunikatów o niedoręczeniu oraz, gdy ta funkcja jest włączona, odpowiedzi na zaproszenia kalendarzowe (pkt 15.6 Regulaminu; pkt 2.7 niniejszej Umowy Powierzenia); rejestrowanie historii powiadomień i kliknięć w linki Usługi zamieszczone w wiadomościach.

15.7. Wiadomości SMS. Wysyłanie Klientom powiadomień wiadomościami SMS za pośrednictwem Bramki SMS Usługobiorcy (pkt 14.1 Regulaminu) i przechowywanie treści tych wiadomości na Koncie; po podłączeniu konta asms.lt w płatnym Planie okresowe pobieranie i przechowywanie na Koncie wszystkich wiadomości otrzymanych na numer Bramki SMS i wysłanych z tego konta, w tym wysłanych poza Usługą i do osób, które nie są Klientami (pkt 14.7 Regulaminu); automatyczne przetwarzanie odpowiedzi Klientów wysłanych wiadomością SMS i zmiana statusu wizyty (pkt 15.6 Regulaminu), z wyjątkiem odpowiedzi, które Usługa otrzymuje po upływie ponad 24 godzin od ich napisania, oraz wizyt utworzonych po napisaniu odpowiedzi; synchronizacja kontaktów z kontem asms.lt, gdy Usługobiorca ją włączy i wybierze kierunek (pkt 14.8 Regulaminu). Wiadomości z konta asms.lt są pobierane, a odpowiedzi Klientów przetwarzane wyłącznie dla nieusuniętych i niezawieszonych Kont, których Plan obejmuje funkcję SMS; po odłączeniu konta asms.lt w Usłudze wysyłanie i odbieranie wiadomości oraz synchronizacja kontaktów ustają. Do przetwarzania na koncie asms.lt Usługobiorcy stosuje się rozdział 18 niniejszej Umowy Powierzenia.

15.8. Powiadomienia marketingowe i kampanie. Wysyłanie pocztą elektroniczną życzeń urodzinowych i imieninowych oraz zaproszeń do ponownej rezerwacji wizyty Klientom, na których karcie oznaczono zgodę na otrzymywanie powiadomień marketingowych (pkt 16.1 Regulaminu); wysyłanie kampanii za pośrednictwem systemu wysyłki e-maili Usługodawcy 1e.lt, to jest przekazywanie adresów e-mail, imion, nazwisk i identyfikatorów takich Klientów na listę Usługobiorcy, a przy wysyłaniu kampanii do wybranej grupy Klientów również na odrębną listę tej kampanii; wysyłanie treści kampanii, śledzenie doręczeń, otwarć i kliknięć zgodnie z ustawieniami domyślnymi określonymi przez Usługodawcę oraz wyświetlanie statystyk na Koncie (pkt 16.2 i 16.5 Regulaminu); odbieranie rezygnacji i przenoszenie ich na kartę Klienta (pkt 16.3 Regulaminu); wysyłanie próśb o opinie z linkiem wskazanym przez Usługobiorcę (pkt 16.6 Regulaminu). Odpowiedzi otrzymane na adres do odpowiedzi w kampaniach nie są przekazywane Usługobiorcy i nie są przetwarzane w Usłudze (pkt 15.1 Regulaminu).

15.9. Linki do Kalendarza. Udostępnianie danych wizyt Członka Zespołu, w tym imion i nazwisk Klientów, numerów telefonów, usług, notatek, adresów i linków do spotkań, w Linkach do Kalendarza subskrybowanych przez usługi kalendarzowe wybrane przez Usługobiorcę lub Członków Zespołu (pkt 18.1 i 18.2 Regulaminu).

15.10. Wskaźnik Wiarygodności. Obliczanie liczby odbytych wizyt, nieobecności i późnych zmian Klienta oraz wyświetlanie Wskaźnika Wiarygodności na Koncie Usługobiorcy (pkt 17.1 Regulaminu).

15.11. Członkowie Zespołu i Użytkownicy. Przetwarzanie imion, danych kontaktowych, stanowisk, zdjęć, grafików pracy i czasu wolnego Członków Zespołu, w tym wskazanej przyczyny czasu wolnego; wyświetlanie imion i zdjęć Członków Zespołu na Stronie Rezerwacji; wysyłanie Użytkownikom zestawień wizyt i powiadomień o nowych rezerwacjach, w których wskazuje się imiona i nazwiska Klientów, usługi i godziny wizyt.

15.12. Środki ochrony. Ograniczanie liczby żądań i inne środki ochrony na Koncie i na Stronie Rezerwacji, w tym weryfikacja adresu IP, wartości skrótu adresu e-mail i domeny e-mail osoby dokonującej rezerwacji w bazie danych M Blacklist (pkt 17.5 i 21.3 Regulaminu; pkt 3.4 niniejszej Umowy Powierzenia). Jeżeli Usługobiorca włączył tę funkcję, Usługa weryfikuje numer telefonu komórkowego wpisany na Stronie Rezerwacji, a na wniosek Usługobiorcy weryfikuje również numer Klienta, Członka Zespołu lub samego Usługobiorcy. Numer jest weryfikowany kodem jednorazowym wysyłanym wiadomością SMS z nazwy nadawcy Usługodawcy „DEK” (pkt 15.1 Regulaminu) za pośrednictwem Podprzetwarzającego wskazanego w pkt 17.7 niniejszej Umowy Powierzenia albo, dopóki Usługodawca nie korzysta z usługi tego Podprzetwarzającego, za pośrednictwem własnego konta asms.lt Usługodawcy, którego serwery hostuje Podprzetwarzający wskazany w pkt 17.3 niniejszej Umowy Powierzenia. Na Stronie Rezerwacji z tą funkcją numery telefonii stacjonarnej nie są przyjmowane, a numer zweryfikowany na Stronie Rezerwacji jest uznawany za zweryfikowany w sesji przeglądarki odwiedzającego przez 24 godziny. Usługa zapisuje dowód weryfikacji (numer, czas, sposób weryfikacji, adres IP, przeglądarkę i wpis, do którego dowód należy) i oznacza wpis jako zweryfikowany. Za pomocą narzędzi administracyjnych Usługi (pkt 11.2 niniejszej Umowy Powierzenia), na przykład gdy wysyłanie wiadomości SMS jest zakłócone, Usługodawca może oznaczyć numer wpisu jako zweryfikowany albo poręczyć za numer na nie dłużej niż 7 dni, tak aby rezerwacja z tym numerem została przyjęta bez kodu; taki dowód wprowadzony ręcznie wskazuje konto administratora Usługodawcy, który go wprowadził.

15.13. Przetwarzanie techniczne i pomoc. Przechowywanie Danych Powierzonych w bazie danych i na serwerach Usługi; zmniejszanie i przekodowywanie przesyłanych obrazów (pkt 13.6 Regulaminu); kopie zapasowe wykonywane przez dostawcę usług hostingowych (pkt 24.3 Regulaminu); pomoc techniczna, badanie i usuwanie błędów, w tym logowanie się osób upoważnionych przez Usługodawcę do Konta (pkt 21.5 Regulaminu; rozdział 11 niniejszej Umowy Powierzenia).

15.14. Udostępnianie i usuwanie danych. Udostępnianie Danych Eksportowalnych, zmiana dostawcy usług i usuwanie danych (rozdział 30 Regulaminu; rozdział 12 niniejszej Umowy Powierzenia).

15.15. Kategorie osób, których dane dotyczą: 1) Klienci, w tym małoletni, jeżeli Usługobiorca przetwarza ich dane (pkt 12.6 Regulaminu); 2) Członkowie Zespołu, niezależnie od tego, czy posiadają dostęp do Konta; 3) osoby, które nie są Klientami, ale wysyłają wiadomości SMS na numer Bramki SMS lub otrzymują z niego wiadomości (pkt 14.7 Regulaminu); 4) Użytkownicy, w zakresie, w jakim ich dane są związane z Danymi Powierzonymi (na przykład kto utworzył wizytę lub wysłał wiadomość); 5) inne osoby, których dane Usługobiorca lub Użytkownicy zapisują w notatkach lub innych polach tekstu swobodnego (na przykład przedstawiciele Klienta).

15.16. Kategorie danych osobowych: 1) dane kart Klientów: imię, nazwisko, adres e-mail, numer telefonu, data urodzenia, płeć, język, notatki, wartości pól dodatkowych, oznaczenia zgód i rezygnacji z powiadomień marketingowych, status adresu e-mail, źródło wpisu, liczby odbytych wizyt, nieobecności i późnych zmian, data ostatniej wizyty, powiązanie z Tożsamością DEK, oznaczenie weryfikacji numeru telefonu oraz identyfikatory w systemach 1e.lt i asms.lt; 2) dane wizyt: data, godzina, czas trwania, usługi, cena, metoda płatności, Członek Zespołu, oddział, status, dane dotyczące odwołania, notatki i notatki wewnętrzne, wartości pól dodatkowych wizyty, link do spotkania, link do zarządzania wizytą i krótki kod, reguły wizyt cyklicznych; 3) dane powiadomień: adres e-mail lub numer telefonu odbiorcy, kanał, rodzaj, czas, status i błędy, treść wiadomości SMS, komunikaty o niedoręczeniu, kliknięcia w linki Usługi i odpowiedzi na zaproszenia kalendarzowe; 4) dane kampanii: członkowie list, treść kampanii, dane dotyczące doręczeń, otwarć, kliknięć i rezygnacji; 5) dane Członków Zespołu: imię, adres e-mail, numer telefonu i oznaczenie jego weryfikacji, stanowisko, zdjęcie, grafik pracy, czas wolny i jego przyczyna, identyfikator Linku do Kalendarza; 6) dane weryfikacji bezpieczeństwa: adres IP, wartość skrótu adresu e-mail i domena e-mail osoby dokonującej rezerwacji, dowody weryfikacji numerów telefonów (numer, czas, sposób weryfikacji, adres IP, przeglądarka i wpis, do którego dowód należy) oraz wpisy wiadomości SMS z kodami weryfikacyjnymi wysłanych w imieniu Usługodawcy (pkt 15.12 i 16.11 niniejszej Umowy Powierzenia).

15.17. Szczególne kategorie danych. Usługobiorca może z własnej decyzji przetwarzać w Usłudze szczególne kategorie danych osobowych, w szczególności dane dotyczące zdrowia: w notatkach, polach dodatkowych (na przykład alergie, przeciwwskazania, uwagi dotyczące zdrowia, ostrzeżenia medyczne, urazy lub dane aparatu słuchowego), nazwach usług, wiadomościach SMS i przyczynie czasu wolnego Członków Zespołu. Usługa nie wymaga takich danych, a Usługobiorca może je przetwarzać wyłącznie z przestrzeganiem rozdziału 12 Regulaminu. Takie dane są przetwarzane wyłącznie w celach wskazanych w niniejszym rozdziale, z zastosowaniem środków wskazanych w rozdziale 16 niniejszej Umowy Powierzenia i z uwzględnieniem ich ograniczeń; Usługobiorca może w ustawieniach ukryć niepotrzebne proponowane pola dla całego Konta.

15.18. Dane zabronione i nieprzetwarzane. Zabronione jest przechowywanie w notatkach, polach dodatkowych i innych polach tekstu swobodnego danych kart płatniczych, haseł, osobistych numerów identyfikacyjnych lub numerów dokumentów tożsamości, z wyjątkiem przypadków, o których mowa w pkt 12.5 Regulaminu. Usługa nie przetwarza danych instrumentów płatniczych Klientów, ponieważ Usługodawca nie przyjmuje płatności od Klientów na rzecz Usługobiorcy (pkt 3.4 Regulaminu).

16. Środki techniczne i organizacyjne bezpieczeństwa

16.1. Ochrona połączeń. Usługa jest dostępna za pośrednictwem szyfrowanego połączenia HTTPS (TLS): żądania HTTP są przekierowywane na HTTPS, a w odpowiedziach generowanych przez aplikację wysyłany jest nagłówek HSTS. Połączenia Usługi z systemami 1e.lt, asms.lt, M Blacklist, Stripe i VertexSMS są realizowane przez HTTPS, z weryfikacją certyfikatu serwera.

16.2. Logowanie i uwierzytelnianie. Dostępy Użytkowników są osobiste: Właściciel tworzy je i wyłącza w Usłudze, a udostępnianie danych logowania jest zabronione (pkt 5.4 Regulaminu). Hasła muszą składać się z co najmniej 8 znaków i są przechowywane wyłącznie jako wartości skrótu bcrypt. Liczba prób logowania jest ograniczana według adresu IP i według konta, a komunikat o nieudanym logowaniu nie ujawnia, czy nieprawidłowy jest adres e-mail, czy hasło. Link do resetowania hasła jest ważny przez 60 minut, może zostać użyty jeden raz i jest przechowywany jako wartość skrótu, a po zresetowaniu hasła tokeny zapamiętania logowania tego Użytkownika są usuwane. Pliki cookie sesji są przesyłane wyłącznie przez szyfrowane połączenie, są niedostępne dla skryptów strony i chronione ustawieniem SameSite; po zalogowaniu identyfikator sesji jest zmieniany. Wyłączony lub usunięty dostęp przestaje działać przy następnym żądaniu. Żądania zmieniające Dane Powierzone są chronione przed fałszowaniem żądań między witrynami (CSRF) tokenem lub podpisem.

16.3. Uprawnienia dostępu. Rolę Właściciela ma Użytkownik, który utworzył Konto, lub Użytkownik, któremu Usługodawca nada ją na wniosek Usługobiorcy albo w przypadku, o którym mowa w pkt 5.8 Regulaminu, a pozostałym Użytkownikom Usługobiorca przyznaje rolę Menedżera, Recepcji lub Pracownika; role mają różne uprawnienia. Użytkownik z rolą Pracownika widzi i zmienia w kalendarzu wyłącznie swoje wizyty, jednak widzi wszystkich Klientów Konta i wyświetlaną na ich kartach historię wizyt Klienta u wszystkich Członków Zespołu, w tym ceny wizyt i notatki (pkt 16.13 niniejszej Umowy Powierzenia). Dane Klientów mogą eksportować wyłącznie Użytkownicy z rolą Właściciela, Menedżera i Recepcji, jeżeli funkcja eksportu jest dostępna w Planie Usługobiorcy, a eksport jest rejestrowany w dzienniku audytu.

16.4. Oddzielenie danych Usługobiorców. Dane wszystkich Usługobiorców są przechowywane we wspólnej bazie danych i oddzielane środkami programowymi: każdy wpis jest powiązany z Kontem, a Usługa wybiera dane według Konta zalogowanego Użytkownika. Nazwy przesłanych obrazów są generowane losowo, a pliki importu Klientów są przechowywane w katalogu niedostępnym z internetu, powiązane z Kontem i usuwane po wykonaniu importu.

16.5. Bezpieczeństwo aplikacji. Zapytania do bazy danych są wykonywane jako zapytania parametryzowane (prepared statements), a dane wyświetlane na stronach są zabezpieczane przez kodowanie znaków specjalnych (escaping). W odpowiedziach generowanych przez aplikację wysyłane są nagłówki bezpieczeństwa (polityka bezpieczeństwa treści CSP, X-Frame-Options, X-Content-Type-Options i Referrer-Policy). Wewnętrzne katalogi Usługi i pliki konfiguracyjne są niedostępne z internetu. Przesyłane obrazy są weryfikowane na podstawie ich zawartości, przekodowywane i zapisywane pod losowymi nazwami, a w katalogu przesłanych plików kod programu nie jest wykonywany. Na stronach, których adres zawiera osobisty link lub klucz dostępu, narzędzia analityczne nie są ładowane, a przeglądarka otrzymuje polecenie, aby nie przekazywać takiego adresu innym stronom internetowym. Instalowana aplikacja Usługi nie zapisuje w swojej pamięci podręcznej stron dostępnych po zalogowaniu.

16.6. Szyfrowanie i wartości skrótu. Klucz API asms.lt Usługobiorcy jest przechowywany w postaci zaszyfrowanej algorytmem AES-256-GCM (pkt 14.3 Regulaminu). Hasła Użytkowników, linki do resetowania hasła, tokeny zapamiętania logowania i kody jednorazowe są przechowywane wyłącznie jako wartości skrótu, a w informacjach o podejrzanych działaniach adresy e-mail są przekazywane wyłącznie jako wartości skrótu. Pozostałe Dane Powierzone, w tym notatki, wartości pól dodatkowych i treść wiadomości SMS, nie są dodatkowo szyfrowane na poziomie aplikacji (pkt 12.4 Regulaminu).

16.7. Dzienniki działań. W dzienniku audytu rejestrowane są logowania i nieudane próby logowania, tworzenie, zmiana, usuwanie, import i eksport kart Klientów, dokonywane przez Użytkowników tworzenie i przenoszenie wizyt oraz zmiany ich usług i statusu, rezerwacje dokonane online, odpowiedzi Klientów wysłane wiadomością SMS lub na zaproszenia kalendarzowe, zmiany ustawień, Członków Zespołu i dostępów, kampanie, wiadomości SMS wysyłane przez Użytkowników, weryfikacje numerów telefonów dokonywane przez Użytkowników i wprowadzane ręcznie przez Usługodawcę (te ostatnie z kontem administratora Usługodawcy, który je wprowadził; pkt 15.12 niniejszej Umowy Powierzenia) oraz logowania Usługodawcy do Konta; we wpisie wskazuje się działanie i czas, a we wpisie dotyczącym działania wykonanego za pośrednictwem przeglądarki również adres IP oraz, jeżeli działanie wykonał Użytkownik, tego Użytkownika. Najważniejsze działania, które nie są rejestrowane, wskazano w pkt 16.13 niniejszej Umowy Powierzenia. Wpisy dziennika audytu są przechowywane przez 90 dni, a pliki dziennika serwera Usługi (błędy, ostrzeżenia i inne zdarzenia techniczne) przez 30 dni.

16.8. Dostęp Usługodawcy. Obszar administracyjny Usługodawcy jest oddzielony od Kont i niedostępny dla osób niezalogowanych, a próby logowania do niego są ograniczane i rejestrowane. Osoby upoważnione przez Usługodawcę mogą zalogować się do Konta wyłącznie po wskazaniu celu i podaniu wyjaśnienia; każde takie logowanie jest rejestrowane, o logowaniu, które nie nastąpiło na wniosek Usługobiorcy, Właściciel jest informowany w trybie określonym w pkt 21.5 Regulaminu i z przewidzianymi w nim wyjątkami, a zapisy są przechowywane przez 13 miesięcy (pkt 21.5 i 30.8 Regulaminu; rozdział 11 niniejszej Umowy Powierzenia).

16.9. Kontrola wysyłki i nadużyć. Do wiadomości e-mail stosuje się limity wysyłki na jednego odbiorcę, na jednego Usługobiorcę i dla całej Usługi, a Usługodawca może wstrzymać wysyłanie wiadomości e-mail lub SMS (pkt 15.3 i 15.4 Regulaminu). Jeżeli nie jest jasne, czy Bramka SMS przyjęła wiadomość, wiadomość nie jest automatycznie wysyłana ponownie (pkt 14.5 Regulaminu). Wiadomości SMS nie są wysyłane na numery telefonii stacjonarnej. Liczba żądań logowania, tworzenia Konta, rezerwacji i kodów jednorazowych jest ograniczana, w formularzu tworzenia Konta stosowane jest narzędzie wykrywania zautomatyzowanych żądań (botów), a do rozpoznawania zagrożeń wykorzystywana jest baza danych M Blacklist (pkt 3.4 niniejszej Umowy Powierzenia).

16.10. Kopie zapasowe i odtwarzanie. Kopie zapasowe bazy danych Usługi i plików przesłanych przez Usługobiorcę wykonuje automatycznie dostawca usług hostingowych Usługodawcy z ustaloną przez siebie częstotliwością i przechowuje je przez ustalony przez siebie czas; Usługodawca korzysta wyłącznie z takiej usługi hostingu, w ramach której takie kopie są wykonywane. Po awarii spowodowanej przez Usługodawcę lub jego dostawcę usług hostingowych Usługodawca, dokładając rozsądnych starań, odtwarza dane z ostatniej dostępnej kopii zapasowej. Nie gwarantuje się częstotliwości wykonywania kopii zapasowych, okresu ich przechowywania ani odtworzenia wszystkich danych (pkt 11.10 i 24.3 Regulaminu).

16.11. Minimalizacja danych i okresy przechowywania. W formularzu Strony Rezerwacji obowiązkowe są wyłącznie imię i kontakt, na który są wysyłane powiadomienia do Klienta. Usługobiorca może ukryć pola dodatkowe proponowane dla danej kategorii działalności. Treść wiadomości e-mail z powiadomieniami automatycznymi nie jest przechowywana w bazie danych Usługi; wpisy powiadomień (odbiorca, kanał, rodzaj, czas i status) są automatycznie usuwane po 12 miesiącach, wpisy wiadomości SMS z kodami weryfikacyjnymi wysłanych w imieniu Usługodawcy (numer odbiorcy, wpis, do którego wiadomość należy, cel, dostawca, nazwa nadawcy, liczba części wiadomości, status doręczenia z kodem sieci komórkowej, cena, czas i adres IP żądania; treść wiadomości nie jest przechowywana) oraz dowody weryfikacji numerów telefonów (pkt 15.12 niniejszej Umowy Powierzenia) po 12 miesiącach, wpisy kodów jednorazowych (wartość skrótu kodu, kontakt, adres IP i czas) po 90 dniach, zapisane w bazie danych Usługi zdarzenia niedoręczenia i kliknięcia w linki Usługi po 90 dniach, a nieudane zadania w tle po 90 dniach od niepowodzenia. Otrzymane wiadomości e-mail z komunikatami o niedoręczeniu i odpowiedziami na zaproszenia kalendarzowe, które mogą zawierać również treść zwróconej wiadomości, są przechowywane w przeznaczonym do tego folderze skrzynki pocztowej Usługodawcy na serwerze Podprzetwarzającego wskazanego w pkt 17.2 niniejszej Umowy Powierzenia. Wykonywane co godzinę zadanie Usługi automatycznie usuwa z tego folderu wiadomości, od których otrzymania upłynęło ponad 90 dni, jednak konkretny moment usunięcia nie jest gwarantowany; usuwanie to nie obejmuje kopii zapasowych Podprzetwarzającego (pkt 16.10 niniejszej Umowy Powierzenia) ani dzienników serwerów poczty elektronicznej prowadzonych przez niego zgodnie z własnymi zasadami, a po zakończeniu Umowy do tych wiadomości stosuje się również pkt 12.3 i 12.4 niniejszej Umowy Powierzenia. W dzienniku wysyłki Usługodawcy adresy i numery odbiorców są wyświetlane częściowo zamaskowane i przechowywane przez 14 dni. Wpisy usuniętych Klientów nie są wykorzystywane do powiadomień, a na podstawie ich reguł wizyt cyklicznych nie są już tworzone nowe wizyty (pkt 30.9 Regulaminu).

16.12. Infrastruktura i osoby. Serwery Usługi oraz systemów 1e.lt i asms.lt znajdują się w Unii Europejskiej, w infrastrukturze Podprzetwarzających wskazanych w rozdziale 17 niniejszej Umowy Powierzenia; fizyczną ochronę serwerów i utrzymanie środowiska zapewniają dostawcy usług hostingowych zgodnie ze swoimi warunkami. Do osób upoważnionych przez Usługodawcę stosuje się rozdziały 4 i 11 niniejszej Umowy Powierzenia.

16.13. Ograniczenia środków. W dniu opublikowania niniejszej wersji Umowy Powierzenia: 1) w Usłudze nie ma uwierzytelniania dwuskładnikowego, a zmiana hasła nie wylogowuje urządzeń, na których Użytkownik jest już zalogowany, dlatego gdy Użytkownik przestaje pracować lub jego dane logowania stały się znane innym osobom, Usługobiorca wyłącza jego dostęp; 2) Użytkownicy z rolą Pracownika widzą wszystkie karty Klientów Konta, w tym notatki, pola dodatkowe i historię wizyt Klienta u wszystkich Członków Zespołu z cenami wizyt i notatkami, a ukrycie tych danych dla poszczególnych ról nie jest możliwe; 3) w dzienniku audytu nie jest rejestrowane, kto przeglądał Dane Klientów, nie są też rejestrowane zmiany notatek wewnętrznych, czasu trwania i linku do spotkania wizyty, automatyczne zmiany statusów wizyt, dokonywane przez Klienta na stronie zarządzania wizytą potwierdzenia, odwołania i przeniesienia wizyty, utworzenie karty Klienta w oknie wizyty lub przy rezerwacji online (rejestrowana jest tylko wizyta lub rezerwacja), uzupełnianie kart Klientów przy rezerwacji online, tworzenie i zmiany kart Klientów przy synchronizacji kontaktów z asms.lt, przy aktualizacji kontaktów na podstawie Tożsamości DEK i po otrzymaniu rezygnacji w systemie 1e.lt, dodawanie i usuwanie czasu wolnego Członków Zespołu i dni wolnych oddziałów ani usuwanie kategorii usług; 4) dane Usługobiorców są oddzielane środkami programowymi, a nie na poziomie bazy danych; 5) notatki i wartości pól dodatkowych nie są odrębnie szyfrowane; 6) Linki do Kalendarza i linki do zarządzania wizytą działają bez logowania i nie mają terminu ważności, a link do zarządzania wizytą działa również po usunięciu karty Klienta, dlatego każdy, kto ma link, może zobaczyć odpowiednie dane lub nimi zarządzać (pkt 18.1 Regulaminu); 7) wiadomości SMS są przesyłane w sieci komórkowej bez dodatkowego szyfrowania stosowanego przez Usługę, a ochrona wiadomości e-mail podczas przesyłania zależy również od serwera poczty elektronicznej odbiorcy; 8) wizyt, reguł wizyt cyklicznych i wiadomości SMS Usługobiorca nie może usunąć na Koncie, dlatego po usunięciu karty Klienta jego wizyty pozostają i są wyświetlane z oznaczeniem „Usunięty klient” wraz z terminem, usługami, Członkiem Zespołu, statusem, ceną, notatkami wewnętrznymi, notatkami wizyty (w tym notatką napisaną przez Klienta podczas rezerwacji), wartościami pól dodatkowych wizyty, linkiem do spotkania i historią powiadomień (bez treści błędów doręczenia), korespondencja SMS pozostaje i jest wyświetlana pod numerem telefonu, w raportach takie wizyty są uwzględniane bez danych Klienta, a dane z Linków do Kalendarza już otrzymane przez usługi kalendarzowe zmieniają się dopiero wtedy, gdy te usługi odświeżą subskrybowany kalendarz (pkt 30.9 Regulaminu); 9) działania osób upoważnionych przez Usługodawcę wykonywane za pomocą narzędzi administracyjnych Usługi lub bezpośrednio w bazie danych bez logowania się do Konta (pkt 11.2 niniejszej Umowy Powierzenia) nie są rejestrowane w zapisach logowania, o których mowa w pkt 21.5 Regulaminu.

16.14. Środki po stronie Usługobiorcy. Usługobiorca: 1) przyznaje Użytkownikom wyłącznie role niezbędne do ich pracy i niezwłocznie wyłącza niepotrzebne dostępy (pkt 5.3 Regulaminu); 2) zapewnia, aby Użytkownicy stosowali silne hasła, chronili dane logowania i zabezpieczali swoje urządzenia (pkt 5.5 Regulaminu); 3) traktuje Linki do Kalendarza jak hasła i odnawia je w razie utraty urządzenia lub zmian w składzie Członków Zespołu (pkt 18.1 Regulaminu); 4) chroni klucz API asms.lt i do Bramki SMS używa wyłącznie służbowego numeru telefonu (pkt 14.3 i 14.7 Regulaminu); 5) nie przechowuje w notatkach, polach dodatkowych i innych polach tekstu swobodnego danych kart płatniczych, haseł, osobistych numerów identyfikacyjnych ani numerów dokumentów tożsamości, z wyjątkiem przypadków, o których mowa w pkt 12.5 Regulaminu; 6) ukrywa niepotrzebne proponowane pola i przetwarza wyłącznie dane dotyczące zdrowia niezbędne do planowania wizyt i świadczenia usług (pkt 12.1 i 12.2 Regulaminu); 7) w zakresie, w jakim pozwalają na to funkcje Usługi dostępne w jego Planie lub tryb udostępniania danych określony w pkt 30.4 Regulaminu, regularnie zapisuje kopię danych wizyt i Klientów (pkt 11.10 Regulaminu); 8) niezwłocznie zawiadamia Usługodawcę o podejrzeniu nieuprawnionego dostępu (pkt 5.5 Regulaminu).

17. Lista Podprzetwarzających

17.1. W dniu opublikowania niniejszej wersji Umowy Powierzenia Usługodawca korzysta z usług Podprzetwarzających wskazanych w niniejszym rozdziale. Lista jest zmieniana w trybie określonym w pkt 6.4 i 6.5 niniejszej Umowy Powierzenia.

17.2. UAB „Interneto vizija”, kod osoby prawnej 126350731, J. Kubiliaus g. 6, 08234 Vilnius, Litwa. Zakres usług: hosting serwerów Usługi (baza danych i przesłane pliki), kopie zapasowe wykonywane przez dostawcę usług hostingowych oraz serwery poczty elektronicznej, za pośrednictwem których wysyłane są wiadomości e-mail i odbierane są komunikaty o niedoręczeniu oraz odpowiedzi na zaproszenia kalendarzowe. Przetwarzane dane: wszystkie Dane Powierzone przechowywane w Usłudze oraz wiadomości e-mail wysyłane Klientom. Lokalizacja danych: Litwa (Unia Europejska).

17.3. Hostinger International Limited, 61 Lordou Vironos str., 6023 Larnaca, Cypr. Zakres usług: hosting serwerów systemu wysyłki e-maili Usługodawcy 1e.lt i sieć dostarczania treści (CDN), za pośrednictwem której system 1e.lt jest dostępny, a także hosting serwerów usługi bramki SMS Usługodawcy asms.lt. Przetwarzane dane: w systemie 1e.lt członkowie list Usługobiorcy i list kampanii (adresy e-mail, imiona, nazwiska i identyfikatory Klientów), treść kampanii, dane dotyczące doręczeń, otwarć, kliknięć i rezygnacji, a także wskazane w ustawieniach list nazwa Usługobiorcy, adres oddziału i adres e-mail Właściciela; w systemie asms.lt kontakty, numery telefonów i treść wiadomości SMS z konta asms.lt Usługobiorcy (rozdział 18 niniejszej Umowy Powierzenia), a dopóki Usługodawca wysyła kody weryfikacyjne przez własne konto asms.lt (pkt 15.12 niniejszej Umowy Powierzenia), także numery telefonów odbiorców i treść wiadomości z tymi kodami. Miejsce przechowywania danych: Unia Europejska; żądania przesyłane za pośrednictwem sieci dostarczania treści mogą być obsługiwane również w węzłach Hostinger znajdujących się w innych państwach (pkt 7.2 niniejszej Umowy Powierzenia).

17.4. System wysyłki e-maili 1e.lt i baza danych zagrożeń M Blacklist są systemami zarządzanymi przez Usługodawcę i są uważane za część Usługi (pkt 7.8 Regulaminu), dlatego nie są odrębnymi Podprzetwarzającymi; dostawców usług hostingowych ich serwerów wskazano w niniejszym rozdziale. Dane M Blacklist Usługodawca przetwarza jako samodzielny administrator danych (pkt 3.4 niniejszej Umowy Powierzenia). Usługa bramki SMS asms.lt również jest systemem zarządzanym przez Usługodawcę, jednak nie stanowi części Usługi; stosuje się do niej rozdział 18 niniejszej Umowy Powierzenia.

17.5. Za Podprzetwarzających nie uważa się: 1) Stripe, który przetwarza dane rozliczeniowe Usługobiorcy i nie otrzymuje Danych Klientów (pkt 2.23 i 9.2 Regulaminu); 2) narzędzi analitycznych Google Analytics i nda.lt, które Usługodawca wykorzystuje jako samodzielny administrator danych (pkt 3.7 niniejszej Umowy Powierzenia); 3) wybranych przez Usługobiorcę usług, o których mowa w pkt 7.4 niniejszej Umowy Powierzenia, ani dostawców poczty elektronicznej odbiorców; 4) dostawcy danych o świętach i imieninach, któremu Usługa nie przekazuje danych osobowych (pkt 18.6 Regulaminu).

17.6. Listy dostawców usług, z których korzystają Podprzetwarzający, są publikowane w warunkach przetwarzania danych tych Podprzetwarzających; informacje o tych dostawcach i ich zmianach Usługodawca przekazuje w trybie określonym w pkt 6.6 niniejszej Umowy Powierzenia.

17.7. SIA VERTEX LV, numer rejestracyjny 50003866501, Mihoelsa iela 66-10, Daugavpils, LV-5401, Łotwa (usługa VertexSMS). Zakres usług: wysyłanie wiadomości SMS z nazwy nadawcy Usługodawcy: kody jednorazowe do weryfikacji numerów telefonów na Stronie Rezerwacji i na Koncie (numery Klientów, Członków Zespołu i Usługobiorcy), jeżeli Usługobiorca korzysta z tych funkcji (pkt 15.12 niniejszej Umowy Powierzenia). Przetwarzane dane: numer telefonu, treść wiadomości zawierająca kod, nazwa nadawcy, czas oraz raport doręczenia z kodem sieci komórkowej. Lokalizacja danych: Podprzetwarzający ma siedzibę na Łotwie (Unia Europejska); przy doręczaniu wiadomości partnerzy telekomunikacyjni Podprzetwarzającego mogą przetwarzać numer i treść wiadomości również poza Europejskim Obszarem Gospodarczym, z zastosowaniem zabezpieczeń wskazanych w polityce prywatności Podprzetwarzającego (https://vertexsms.com/en/privacy) (pkt 7.5 niniejszej Umowy Powierzenia). Przechowywanie u Podprzetwarzającego: zgodnie z jego polityką prywatności dane komunikacyjne są domyślnie przechowywane przez dwa miesiące.

18. Usługa bramki SMS asms.lt

18.1. Usługę bramki SMS asms.lt świadczy Usługobiorcy sam Usługodawca na podstawie odrębnej umowy (pkt 7.8 i 14.2 Regulaminu). Dane osobowe, które Usługodawca jako dostawca usługi asms.lt przetwarza na koncie asms.lt Usługobiorcy, przetwarza w imieniu Usługobiorcy jako podmiot przetwarzający. Dopóki do usługi asms.lt nie ma zastosowania odrębna umowa powierzenia przetwarzania danych, dane te uważa się w niniejszej Umowie Powierzenia za Dane Powierzone i stosuje się do nich niniejszy rozdział oraz rozdziały 1, 2, 4, 6, 7, 8, 9, 10, 13, 14 i 17 niniejszej Umowy Powierzenia. Rozdziały 3, 5, 11, 12, 15 i 16 niniejszej Umowy Powierzenia opisują Usługę i nie mają zastosowania do danych konta asms.lt, z wyjątkiem wskazanych w niniejszym rozdziale odesłań do nich.

18.2. Opis przetwarzania. Przedmiot i charakter: wysyłanie i odbieranie wiadomości SMS za pośrednictwem urządzenia Android i karty SIM Usługobiorcy, przechowywanie wiadomości i kontaktów na koncie asms.lt Usługobiorcy oraz ich udostępnianie za pośrednictwem interfejsów usługi asms.lt, w tym Usłudze (pkt 15.7 niniejszej Umowy Powierzenia). Cel: umożliwienie Usługobiorcy wysyłania i odbierania wiadomości SMS przy użyciu jego służbowego numeru telefonu. Osoby, których dane dotyczą: Klienci i inne osoby, które wysyłają wiadomości na numer Bramki SMS, otrzymują z niego wiadomości lub są zapisane w kontaktach konta asms.lt. Dane: numery telefonów, nazwy kontaktów i oznaczenia rezygnacji z wiadomości SMS, treść wiadomości SMS, czas ich wysłania i odebrania oraz status; treść wiadomości SMS może zawierać również szczególne kategorie danych (pkt 15.17 niniejszej Umowy Powierzenia). Czas trwania: dopóki działa konto asms.lt Usługobiorcy, oraz do zwrotu lub usunięcia danych zgodnie z pkt 18.4 niniejszej Umowy Powierzenia. Na polecenia składają się wykorzystywane przez Usługobiorcę funkcje i ustawienia usługi asms.lt, a także włączone przez Usługobiorcę funkcje Usługi (pkt 14.7, 14.8 i 21.3 Regulaminu).

18.3. Bezpieczeństwo. W odniesieniu do danych konta asms.lt Usługobiorcy Usługodawca stosuje środki techniczne i organizacyjne, o których mowa w art. 32 Rozporządzenia, uwzględniając kryteria wskazane w pkt 5.1 niniejszej Umowy Powierzenia. Rozdział 16 niniejszej Umowy Powierzenia opisuje wyłącznie środki stosowane w Usłudze; informacje o środkach stosowanych w usłudze asms.lt Usługodawca przekazuje na wniosek Usługobiorcy (pkt 10.1 niniejszej Umowy Powierzenia). Usługobiorca chroni klucz API asms.lt i swoje urządzenie oraz do Bramki SMS używa wyłącznie służbowego numeru telefonu (pkt 14.3 i 14.7 Regulaminu).

18.4. Zwrot, usunięcie i odpowiedzialność. Dane konta asms.lt Usługobiorcy nie są usuwane wraz z danymi Usługi zgodnie z rozdziałem 30 Regulaminu, ponieważ z konta asms.lt można korzystać również po zakończeniu Umowy, a usunięcia nie są przenoszone między Usługą a kontem asms.lt (pkt 14.8 Regulaminu). Po zakończeniu świadczenia usługi asms.lt Usługodawca, według wyboru Właściciela, zwraca lub usuwa dane konta asms.lt, a jeżeli Właściciel nie dokona wyboru w rozsądnym terminie, usuwa je, z wyjątkiem danych, których przechowywanie jest wymagane przepisami prawa. Niniejszy rozdział nie ogranicza odpowiedzialności wynikającej z umowy o świadczenie usługi asms.lt (pkt 7.8 Regulaminu).