Ładowanie strony...
Ładowanie strony...
Charakter dokumentu: Niniejsza umowa powierzenia przetwarzania danych osobowych (DPA) stanowi załącznik do Regulaminu DealGram. Jest zawierana elektronicznie przez akceptację Regulaminu albo rozpoczęcie korzystania z funkcji, w których DealGram przetwarza dane klientów, leadów, odbiorców kampanii, osób z formularzy lub innych osób trzecich na polecenie Użytkownika.
1. Administratorem danych powierzanych do przetwarzania jest Użytkownik albo organizacja, w imieniu której Użytkownik korzysta z Serwisu, o ile decyduje o celach i sposobach przetwarzania danych klientów, leadów, odbiorców kampanii, osób z formularzy lub innych osób trzecich.
2. Podmiotem przetwarzającym jest Usługodawca prowadzący Serwis Dealgram.pl, wskazany w Regulaminie. W zakresie opisanym w niniejszej DPA Usługodawca przetwarza dane osobowe wyłącznie w imieniu Administratora i na jego udokumentowane polecenie.
3. Dla danych konta Użytkownika, rozliczeń, bezpieczeństwa, własnego kontaktu, analityki Serwisu i działań wymaganych prawem Usługodawca może działać jako odrębny administrator zgodnie z Polityką Prywatności.
1. Przedmiotem powierzenia jest przetwarzanie danych osobowych wprowadzanych do Serwisu przez Użytkownika albo pozyskiwanych, porządkowanych, wzbogacanych, analizowanych lub przechowywanych przez Serwis na polecenie Użytkownika.
2. Przetwarzanie trwa przez okres korzystania z Serwisu, a po jego zakończeniu przez okres potrzebny do eksportu, usunięcia, anonimizacji, rozliczeń, bezpieczeństwa, obsługi roszczeń, realizacji sprzeciwów lub obowiązków prawnych.
3. Celem przetwarzania jest świadczenie Usługi SaaS DealGram, w szczególności prowadzenie bazy klientów i leadów, prospecting B2B, analiza publicznych sygnałów zakupowych i hipotez potrzeby, wzbogacanie danych, deduplikacja, scoring, obsługa formularzy, mailing, workflow, zadania, eksport/import, statystyki i wsparcie techniczne.
1. Powierzenie może obejmować dane następujących kategorii osób:
2. Powierzenie może obejmować w szczególności: imię, nazwisko, służbowy e-mail, numer telefonu, firmę, stanowisko lub rolę, adres, NIP, REGON, KRS, PKD, stronę WWW, źródło danych, status leadu, notatki, tagi, historię działań, treści formularzy, treści kampanii, dane wypisu, dane trackingowe mailingu, dane techniczne oraz dane wzbogacenia z publicznych źródeł i zewnętrznych API.
3. Użytkownik nie powinien wprowadzać do Serwisu danych szczególnych kategorii, danych dzieci, danych o wyrokach, danych dotyczących zdrowia, poglądów, związków zawodowych, biometrii lub podobnych danych podwyższonego ryzyka, chyba że strony wyraźnie uzgodnią to na piśmie i zostaną wdrożone odpowiednie zabezpieczenia.
1. Poleceniami Administratora są w szczególności działania wykonane w panelu Serwisu, konfiguracja konta, importy, eksporty, zapytania wyszukiwarki, wzbogacenia kontaktów, ustawienia formularzy, ustawienia mailingu, workflow, zlecenia supportowe oraz postanowienia Regulaminu, Polityki Prywatności i niniejszej DPA.
2. Usługodawca może odmówić wykonania polecenia albo zablokować funkcję, jeżeli polecenie może naruszać prawo, prawa osób trzecich, bezpieczeństwo Serwisu, zasady dostawców zewnętrznych albo dobre praktyki antyspamowe.
3. Administrator odpowiada za legalność danych, źródła danych, podstawy prawne przetwarzania, obowiązki informacyjne wobec osób, realizację praw osób oraz podstawę kontaktu marketingowego lub handlowego.
1. Usługodawca zobowiązuje się przetwarzać dane osobowe wyłącznie w zakresie niezbędnym do świadczenia, zabezpieczenia, utrzymania, rozliczenia i rozwoju Usługi oraz zgodnie z udokumentowanymi poleceniami Administratora.
2. Usługodawca zapewnia, aby osoby upoważnione do przetwarzania danych były zobowiązane do poufności albo podlegały ustawowemu obowiązkowi poufności.
3. Usługodawca stosuje środki techniczne i organizacyjne adekwatne do ryzyka, opisane w §7, oraz pomaga Administratorowi w zakresie realizacji praw osób, incydentów bezpieczeństwa, oceny skutków dla ochrony danych i konsultacji z organem nadzorczym, o ile jest to możliwe z uwzględnieniem charakteru przetwarzania i informacji dostępnych Usługodawcy.
1. Administrator oświadcza, że ma podstawę prawną do przetwarzania danych powierzanych w Serwisie oraz prawo do powierzenia ich Usługodawcy.
2. Administrator odpowiada za wykonanie obowiązków informacyjnych z art. 13 lub art. 14 RODO, obsługę żądań osób, obsługę sprzeciwów wobec marketingu bezpośredniego, ocenę legalności źródeł leadów i zgodność komunikacji z przepisami o komunikacji elektronicznej.
3. Administrator powinien korzystać z funkcji Serwisu zgodnie z ich przeznaczeniem, dbać o bezpieczeństwo haseł, uprawnień pracowników, kluczy API, konfiguracji SMTP i eksportowanych plików.
1. Usługodawca stosuje w szczególności: szyfrowanie transmisji, hashowanie haseł, kontrolę dostępu, role i uprawnienia, zabezpieczenia sesji, ochronę CSRF, logi aktywności, kopie zapasowe, ograniczenia eksportu/importu, walidację danych wejściowych oraz monitoring podstawowych błędów i nadużyć.
2. Zakres zabezpieczeń może zmieniać się wraz z rozwojem Serwisu, poziomem ryzyka, dostępnymi funkcjami, integracjami i etapem Early Access. Usługodawca może wprowadzać dodatkowe środki bezpieczeństwa bez konieczności zmiany niniejszej DPA.
3. Administrator powinien samodzielnie wdrożyć środki po swojej stronie, w szczególności kontrolę dostępu pracowników, MFA tam, gdzie jest dostępne, aktualne przeglądarki, bezpieczne urządzenia, ograniczenie eksportów i procedury obsługi sprzeciwów.
1. Usługodawca informuje Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych powierzonych, w zakresie w jakim naruszenie dotyczy Serwisu i danych Administratora. W miarę możliwości informacja zostanie przekazana w ciągu 48 godzin od potwierdzenia, że dane zdarzenie stanowi naruszenie ochrony danych osobowych w rozumieniu RODO.
2. Informacja może obejmować charakter naruszenia, kategorie i przybliżoną liczbę osób, możliwe konsekwencje, zastosowane lub proponowane środki zaradcze oraz punkt kontaktowy, o ile informacje te są dostępne. Jeżeli pełnych informacji nie da się przekazać jednocześnie, Usługodawca może przekazywać je sukcesywnie bez zbędnej zwłoki.
3. Administrator pozostaje odpowiedzialny za ocenę, czy naruszenie wymaga zgłoszenia do organu nadzorczego albo zawiadomienia osób, których dane dotyczą, chyba że przepisy bezwzględnie obowiązujące stanowią inaczej.
1. Administrator udziela Usługodawcy ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających, dostawców infrastruktury, dostawców API i narzędzi niezbędnych do świadczenia Usługi.
2. Aktualne kategorie podprocesorów i dostawców obejmują w szczególności:
3. Usługodawca może aktualizować listę podprocesorów w Serwisie, Regulaminie, Polityce Prywatności, DPA albo przez wiadomość e-mail. Administrator może zgłosić uzasadniony sprzeciw wobec nowego podprocesora w terminie 14 dni od otrzymania informacji, jeżeli wykaże, że zmiana istotnie zwiększa ryzyko dla powierzonych danych.
4. Jeżeli sprzeciwu nie da się rozwiązać w rozsądny sposób, Administrator może zaprzestać korzystania z funkcji wymagającej danego podprocesora, wyeksportować dane albo zakończyć korzystanie z Serwisu w zakresie przewidzianym Regulaminem. Jeżeli dany podprocesor jest niezbędny do działania Serwisu, brak akceptacji zmiany może uniemożliwić dalsze świadczenie całości lub części Usługi.
5. Usługodawca odpowiada za zobowiązanie podprocesora do ochrony danych w zakresie wymaganym przez art. 28 RODO, z uwzględnieniem charakteru danej usługi i roli dostawcy. Jeżeli dostawca działa jako odrębny administrator albo samodzielny usługodawca wybrany lub skonfigurowany przez Administratora, jego odpowiedzialność i obowiązki mogą wynikać z odrębnych warunków tego dostawcy.
1. Niektórzy dostawcy, w szczególności Google, OpenAI, Stripe, dostawcy wyszukiwania internetowego lub inni dostawcy infrastruktury i API, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym.
2. Transfery poza EOG odbywają się na podstawie mechanizmów przewidzianych w RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych, Data Privacy Framework lub innych właściwych zabezpieczeń stosowanych przez danego dostawcę.
3. Zakres transferu zależy od aktywnych funkcji, konfiguracji konta, wybranych integracji i poleceń Administratora.
1. Jeżeli Administrator korzysta z funkcji wyszukiwania lub wzbogacania danych, Serwis może odpytywać publiczne rejestry, publiczne strony WWW, oferty pracy, komunikaty i źródła branżowe, Google Maps/Places API, Google Search, dostawców wyszukiwania internetowego, modele AI oraz inne publicznie dostępne źródła. Research Agent może analizować opis oferty Administratora oraz zapisywać publiczne sygnały, ich źródła, daty, fragmenty dowodów, scoring, poziom pewności, hipotezy potrzeby i rekomendowany sposób kontaktu.
2. Dane z Google Maps/Places i innych źródeł mogą podlegać odrębnym warunkom dostawców, w tym ograniczeniom dotyczącym cache, przechowywania, atrybucji i dalszego wykorzystania. Administrator powinien weryfikować dane przed ich użyciem w działaniach sprzedażowych lub marketingowych.
3. Wyniki AI, scoring, klasyfikacje publicznych sygnałów, hipotezy potrzeby, opisy dopasowania i rekomendacje są wsparciem użytkownika i nie powinny stanowić wyłącznej podstawy decyzji wywołujących skutki prawne albo podobnie istotne skutki wobec osób.
1. Administrator może usuwać lub eksportować dane zgodnie z funkcjami Serwisu. Jeżeli dana funkcja nie jest dostępna w panelu, Administrator może zgłosić żądanie na adres kontakt@dealgram.pl.
2. Po zakończeniu korzystania z Serwisu Usługodawca usuwa, anonimizuje albo zwraca dane zgodnie z możliwościami technicznymi i poleceniem Administratora, z zastrzeżeniem danych wymaganych do rozliczeń, bezpieczeństwa, obsługi roszczeń, sprzeciwów, wypisów, list wykluczeń, audytu lub obowiązków prawnych.
3. Kopie zapasowe są przechowywane rotacyjnie i mogą zawierać dane do czasu nadpisania zgodnie z konfiguracją techniczną. Dostęp do kopii zapasowych jest ograniczony do celów bezpieczeństwa, odtworzenia działania Serwisu i obsługi incydentów.
4. Eksport danych obejmuje dane dostępne technicznie w Serwisie i nie rozszerza praw Administratora do treści lub danych zewnętrznych dostawców ponad zakres dozwolny przez ich warunki, w szczególności zasady Google Maps Platform dotyczące Google Maps/Places.
1. Usługodawca udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO w zakresie możliwym do pogodzenia z bezpieczeństwem Serwisu, tajemnicą przedsiębiorstwa, ochroną innych klientów i etapem Early Access.
2. Audyt może odbywać się w formie odpowiedzi pisemnej, ankiety bezpieczeństwa, udostępnienia opisu środków bezpieczeństwa, zdalnego spotkania lub innej proporcjonalnej formy uzgodnionej przez strony.
3. Audyt jest prowadzony zdalnie jako domyślna forma, z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz na 12 miesięcy, chyba że doszło do istotnego naruszenia ochrony danych dotyczącego Administratora albo audytu wymaga organ nadzorczy lub bezwzględnie obowiązujące przepisy.
4. Audyt nie może naruszać bezpieczeństwa Serwisu, dostępności Usługi, poufności danych innych klientów ani praw dostawców zewnętrznych. Administrator ponosi własne koszty audytu. Jeżeli audyt wymaga ponadstandardowego zaangażowania Usługodawcy, strony mogą uzgodnić odpłatność i termin wykonania.
1. Odpowiedzialność stron w zakresie nieuregulowanym niniejszą DPA określają Regulamin, bezwzględnie obowiązujące przepisy prawa oraz indywidualne ustalenia stron, jeżeli zostały zawarte.
2. Każda strona odpowiada za naruszenie obowiązków, które ciążą na niej zgodnie z RODO i niniejszą DPA. Usługodawca jako podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem danych osobowych w zakresie przewidzianym art. 82 RODO, w szczególności gdy nie dopełni obowiązków nałożonych bezpośrednio na podmiot przetwarzający albo działa poza zgodnymi z prawem instrukcjami Administratora lub wbrew takim instrukcjom.
3. Administrator odpowiada za legalność poleceń, danych, źródeł, kampanii, podstaw prawnych kontaktu, obowiązków informacyjnych, zgód marketingowych i dalszego wykorzystania danych poza Serwisem. W relacjach B2B Administrator zobowiązuje się pokryć uzasadnione koszty, kary, roszczenia i koszty obsługi prawnej wynikające z niezgodnych z prawem poleceń Administratora, danych Administratora, kampanii Administratora lub naruszenia obowiązków Administratora.
4. Ograniczenia odpowiedzialności z Regulaminu stosuje się w zakresie dopuszczalnym przez prawo. Nie ograniczają one odpowiedzialności, której nie można wyłączyć lub ograniczyć na podstawie bezwzględnie obowiązujących przepisów, w szczególności RODO.
5. W razie sprzeczności pomiędzy niniejszą DPA a Regulaminem w zakresie powierzenia danych osobowych pierwszeństwo ma DPA. W pozostałym zakresie zastosowanie ma Regulamin.
6. Jeżeli Administrator nie akceptuje niniejszej DPA, nie powinien wprowadzać do Serwisu danych osobowych osób trzecich ani korzystać z funkcji, które przetwarzają takie dane na jego polecenie.
1. DPA może być zmieniana z ważnych przyczyn, w szczególności w związku ze zmianą prawa, zmianą funkcji Serwisu, zmianą dostawców, zmianą środków bezpieczeństwa, rozwojem Early Access lub potrzebą doprecyzowania zasad przetwarzania.
2. O istotnych zmianach Usługodawca informuje w Serwisie lub e-mailowo. Aplikacja może wymagać ponownej akceptacji Regulaminu, Polityki Prywatności i DPA przed dalszym korzystaniem z konta.