Umowa o przetwarzanie danych

Niniejsza Umowa powierzenia (DPA) stanowi część Warunków Usługi zawartych między BINARY BRAIN TECHNOLOGIES SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ („Podmiot przetwarzający”, „my”), której dane podano poniżej, a klientem korzystającym z Convertly („Administrator”, „Ty”).

"Dane osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. "Przetwarzanie" oznacza każdą operację wykonywaną na danych osobowych. "Podwykonawca przetwarzania" oznacza każdą stronę trzecią zaangażowaną przez nas do przetwarzania danych osobowych. "Osoba, której dane dotyczą" oznacza osobę, której dane osobowe dotyczą. "RODO" oznacza Rozporządzenie (UE) 2016/679.

Przetwarzamy Dane osobowe w Twoim imieniu, aby świadczyć usługę Convertly. Kategorie danych: imiona i nazwiska oraz adresy e-mail respondentów quizów (w tym leady częściowe zapisane przed ukończeniem quizu), ich odpowiedzi, wyniki i rezultaty; imiona i nazwiska oraz adresy e-mail członków Twojego zespołu. Osoby, których dane dotyczą: respondenci Twoich quizów (leady) i członkowie Twojego zespołu. Czynności przetwarzania: przechowywanie, wyświetlanie quizów, obliczanie wyników, zarządzanie leadami, analityka, wysyłka e-maili (powiadomienia o leadach do Ciebie, wyniki do respondentów) oraz przekazywanie leadów do podłączonych przez Ciebie integracji.

Zobowiązujemy się: przetwarzać dane osobowe wyłącznie na podstawie Twoich udokumentowanych instrukcji; zapewnić, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności; wdrożyć odpowiednie techniczne i organizacyjne środki bezpieczeństwa; pomagać Ci w realizacji praw osób, których dane dotyczą; usunąć lub zwrócić dane osobowe po zakończeniu usługi; udostępnić wszelkie informacje niezbędne do wykazania zgodności; umożliwić i uczestniczyć w audytach przeprowadzanych przez Ciebie lub Twojego audytora.

Wdrażamy następujące środki bezpieczeństwa: szyfrowanie w spoczynku (AES-256 przez Supabase); szyfrowanie w tranzycie (TLS 1.2+); bezpieczeństwo na poziomie wierszy dla izolacji danych przestrzeni roboczej; regularne przeglądy dostępu i aktualizacje bezpieczeństwa; procedury wykrywania i reagowania na incydenty; automatyczne kopie zapasowe z odzyskiwaniem do punktu w czasie.

Aktualnie korzystamy z podmiotów przetwarzających wymienionych w tabeli poniżej. Powiadomimy Cię przed dodaniem lub zmianą podmiotu przetwarzającego; możesz zgłosić sprzeciw w ciągu 30 dni. Narzędzia, które podłączasz samodzielnie (np. integracje e-mail marketingu lub CRM, Zapier, webhooki), otrzymują dane leadów na Twoje polecenie i nie są naszymi podmiotami przetwarzającymi.

Dane osobowe są przetwarzane głównie w UE (Supabase i Upstash we Frankfurcie, funkcje aplikacji w Vercel we Frankfurcie, Resend w Irlandii, Sentry w Niemczech, chmura EU PostHog). Transfery poza UE/EOG (sieć brzegowa i dodatkowy region funkcji Vercel, Anthropic do generowania AI, logowanie przez Google) opierają się na programie EU-US Data Privacy Framework, jeśli dostawca jest certyfikowany, albo na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską.

Pomożemy Ci w odpowiadaniu na żądania osób, których dane dotyczą, w tym: prawo dostępu (Art. 15 RODO); prawo do sprostowania (Art. 16); prawo do usunięcia (Art. 17); prawo do ograniczenia (Art. 18); prawo do przenoszenia danych (Art. 20); prawo do sprzeciwu (Art. 21). Czas odpowiedzi: w ciągu 72 godzin od otrzymania Twojego żądania.

Powiadomimy Cię o każdym naruszeniu danych osobowych bez zbędnej zwłoki, nie później niż 48 godzin po uzyskaniu informacji. Powiadomienie będzie zawierać: charakter naruszenia, kategorie danych, których dotyczy, przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje, podjęte środki.

Przechowujemy Dane osobowe przez czas trwania umowy o świadczenie usługi. Gdy usuwasz leady, quizy lub konto, dane są natychmiast usuwane z produkcyjnej bazy danych; kopie zapasowe przechowujemy przez 7 dni, więc dane znikają z nich w ciągu 8 dni. Analityka sesji i odpowiedzi w quizach jest usuwana po 180 dniach. Po zakończeniu umowy dane są usuwane w opisany sposób, chyba że prawo wymaga ich przechowywania.

Możesz przeprowadzić audyt naszej zgodności z niniejszą DPA raz w roku. Audyty wymagają 30-dniowego pisemnego powiadomienia. Zapewnimy rozsądną współpracę i dostęp do odpowiedniej dokumentacji.

Nasza odpowiedzialność w ramach niniejszej DPA podlega ograniczeniom określonym w Warunkach Usługi. Każda ze stron ponosi odpowiedzialność za szkody spowodowane przetwarzaniem naruszającym RODO.

Niniejsza DPA obowiązuje przez okres korzystania z Convertly. Zobowiązania dotyczące usunięcia danych obowiązują po rozwiązaniu umowy.