Umowa powierzenia przetwarzania danych osobowych (Data Processing Agreement)

1. Strony i zawarcie umowy

Administratorem danych jest Sprzedawca — właściciel sklepu Shopify, w którym zainstalowano aplikację Akademia (zwaną dalej „Aplikacją”).

Podmiotem przetwarzającym jest Rafał Konieczny, ul. Krzycka 6c/6, 53-020 Wrocław, Polska, NIP 8992557720, numer VAT UE PL8992557720, adres e-mail: support@akademia.studio (zwany dalej „Operatorem”).

Umowa jest zawierana na podstawie art. 28 ust. 3 RODO z chwilą instalacji Aplikacji i akceptacji Regulaminu, na czas korzystania z Aplikacji, i stanowi jego część. Pojęcia w niej użyte mają znaczenie nadane im w RODO.

2. Przedmiot, charakter i cel przetwarzania

Operator przetwarza dane osobowe w imieniu Sprzedawcy wyłącznie w celu świadczenia usługi opisanej w Regulaminie: nadawania i utrzymywania dostępu do kupionych kursów, prowadzenia postępów nauki, obsługi zwrotów i żądań dotyczących danych oraz kontroli limitów usługi. Przetwarzanie polega na zbieraniu danych z Shopify, przechowywaniu ich, wykorzystywaniu do tych celów oraz usuwaniu.

• Kategorie osób: klienci sklepu, którzy kupili kurs albo otrzymali do niego dostęp (Kursanci).
• Kategorie danych: identyfikator klienta w Shopify, imię, nazwisko, adres e-mail, dane zamówień i zwrotów dotyczących kursów, dostępy do kursów, postęp nauki, telemetria odtworzeń wideo.
• Dane szczególnych kategorii (art. 9 RODO) nie są przetwarzane; Sprzedawca nie powinien ich umieszczać w materiałach ani polach Aplikacji.

3. Obowiązki Operatora

Operator:

• przetwarza dane wyłącznie na udokumentowane polecenie Sprzedawcy; poleceniem są Regulamin, ta umowa oraz ustawienia i działania Sprzedawcy w Aplikacji. Jeżeli polecenie narusza w ocenie Operatora prawo, Operator niezwłocznie o tym informuje;
• dopuszcza do danych wyłącznie osoby zobowiązane do zachowania poufności;
• stosuje środki bezpieczeństwa opisane w punkcie 5;
• pomaga Sprzedawcy w realizacji praw osób, których dane dotyczą (punkt 6), oraz w wypełnianiu obowiązków z art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji;
• udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO (punkt 9).

4. Dalsze podmioty przetwarzające

Sprzedawca udziela ogólnej zgody na korzystanie z następujących dalszych podmiotów przetwarzających:

• Fly.io, Inc. (USA) — serwery Aplikacji i baza danych w centrum danych we Frankfurcie (Niemcy);
• BunnyWay d.o.o. (bunny.net, Słowenia) — przechowywanie materiałów wideo w centrum danych w Europie i ich dostarczanie przez globalną sieć CDN.

Shopify, z którego Sprzedawca sam korzysta, przekazuje dane do Aplikacji na podstawie umów Sprzedawcy z Shopify i nie jest dalszym podmiotem przetwarzającym Operatora.

Operator nakłada na dalsze podmioty obowiązki ochrony danych nie mniejsze niż w tej umowie. O zamiarze dodania lub zmiany dalszego podmiotu Operator informuje na tej stronie oraz wiadomością e-mail na adres właściciela sklepu z co najmniej 14-dniowym wyprzedzeniem. Sprzedawca, który się nie zgadza, może w tym czasie zgłosić sprzeciw lub odinstalować Aplikację bez dalszych opłat.

Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie mechanizmów z rozdziału V RODO, w szczególności standardowych klauzul umownych zawartych z dostawcą.

5. Środki bezpieczeństwa

• szyfrowanie połączeń (HTTPS / TLS) między Shopify, przeglądarką i serwerami Aplikacji;
• weryfikacja podpisu HMAC SHA256 każdego webhooka Shopify;
• baza danych na dyskach szyfrowanych przez dostawcę infrastruktury;
• oddzielenie danych każdego sklepu — każde zapytanie jest ograniczone do sklepu, z którego pochodzi, a materiały wideo sklepu są w jego osobnej kolekcji;
• adresy odtwarzania wideo podpisane kryptograficznie i wygasające;
• dostęp administracyjny do infrastruktury wyłącznie dla Operatora;
• codzienne kopie zapasowe bazy danych z rotacją nie dłuższą niż 30 dni.

6. Prawa osób, których dane dotyczą

Aplikacja obsługuje webhooki ochrony danych Shopify. Żądanie dostępu (customers/data_request) skutkuje eksportem danych Kursanta w panelu Sprzedawcy; żądanie usunięcia (customers/redact) — usunięciem jego danych. Jeżeli Kursant zwróci się bezpośrednio do Operatora, Operator przekazuje żądanie Sprzedawcy i nie odpowiada na nie samodzielnie, chyba że Sprzedawca tak poleci.

7. Naruszenie ochrony danych

Operator zawiadamia Sprzedawcę o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, wiadomością e-mail na adres właściciela sklepu. Zawiadomienie zawiera informacje wymagane przez art. 33 ust. 3 RODO w zakresie, w jakim są dostępne; brakujące informacje Operator przekazuje niezwłocznie po ich uzyskaniu.

8. Usunięcie danych po zakończeniu usługi

Po odinstalowaniu Aplikacji Operator usuwa dane sklepu i Kursantów wraz z materiałami wideo po 48 godzinach, a po zawieszeniu usługi z powodu wygaśnięcia subskrypcji — po 30 dniach przeznaczonych na wznowienie lub eksport. Kopie zapasowe wygasają w ramach rotacji do 30 dni. Przed usunięciem Sprzedawca może pobrać eksport danych z panelu Aplikacji. Operator zachowuje dłużej wyłącznie minimalny dowód wykonania usunięcia (bez treści i adresów e-mail) oraz dane, których przechowywania wymaga prawo.

9. Informacje i audyty

Na żądanie Sprzedawcy Operator udostępnia informacje niezbędne do wykazania spełnienia obowiązków z tej umowy. Audyt lub inspekcja są możliwe po uprzednim uzgodnieniu terminu i zakresu, nie częściej niż raz w roku (chyba że wymaga tego organ nadzorczy albo doszło do naruszenia), na koszt Sprzedawcy i z zachowaniem poufności danych innych sklepów.

10. Postanowienia końcowe

Umowa obowiązuje przez czas korzystania z Aplikacji i do zakończenia usuwania danych opisanego w punkcie 8. W sprawach nieuregulowanych stosuje się przepisy RODO i prawo polskie. O zmianach umowy Operator informuje na tej stronie, podając nową datę i wersję.

Informacje o przetwarzaniu danych przez Operatora jako administratora zawiera Polityka Prywatności.