Umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) spełnia wymogi art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO). Określa zasady, na jakich MADD przetwarza dane osobowe zawarte w zapytaniach do MaddLabs w imieniu Klienta.

Strony i zawarcie

1. Stronami są: Klient będący przedsiębiorcą lub inną organizacją, który zaakceptował Regulamin (dalej: Klient), oraz MADD Marcin Kisielinski, ul. Kajki 10-12, 10-547 Olsztyn, NIP PL7422297084 (dalej: MADD).
2. Umowa powierzenia zostaje zawarta automatycznie z chwilą akceptacji Regulaminu przez Klienta i obowiązuje bez odrębnego podpisu. Nie dotyczy Konsumentów korzystających z usług do celów prywatnych.
3. Jeżeli Klient jest administratorem danych, MADD jest podmiotem przetwarzającym. Jeżeli Klient sam jest podmiotem przetwarzającym, MADD jest dalszym podmiotem przetwarzającym, a Klient zapewnia, że administrator wyraził na to zgodę.
4. Jeżeli MADD zawarł z Klientem (w szczególności z Marketplace) odrębną umowę o przetwarzaniu danych, ma ona pierwszeństwo przed niniejszą Umową powierzenia.

Definicje

Pojęcia zdefiniowane w RODO (w szczególności: dane osobowe, przetwarzanie, administrator, podmiot przetwarzający, naruszenie ochrony danych osobowych) mają znaczenie nadane im w RODO. Dane Powierzone to dane osobowe zawarte w Treściach Klienta, czyli w zapytaniach przesyłanych do API i w odpowiedziach Modeli. Pozostałe pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Przedmiot, charakter, cel i czas przetwarzania

1. Przedmiotem przetwarzania są Dane Powierzone. Ich rodzaj i kategorie osób, których dotyczą, określa Klient przez treść zapytań. Opis przetwarzania zawiera załącznik na końcu Umowy powierzenia.
2. Charakter przetwarzania: odbiór zapytania, przekazanie go do Modelu działającego na serwerze GPU, wygenerowanie odpowiedzi i przesłanie jej Klientowi, wyłącznie w pamięci operacyjnej.
3. Cel przetwarzania: wyłącznie świadczenie usługi API na rzecz Klienta. MADD nie przetwarza Danych Powierzonych w żadnym innym celu, w szczególności nie używa ich do trenowania modeli.
4. Czas przetwarzania: każde zapytanie jest przetwarzane przez czas potrzebny do wygenerowania i dostarczenia odpowiedzi. Umowa powierzenia obowiązuje przez czas obowiązywania umowy zawartej na podstawie Regulaminu.

Udokumentowane polecenia

1. MADD przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Klienta. Poleceniami są: Regulamin z Umową powierzenia oraz parametry zapytań wysyłanych przez Klienta do API.
2. Jeżeli przepisy prawa Unii Europejskiej lub państwa członkowskiego nakładają na MADD obowiązek innego przetwarzania, MADD informuje o tym Klienta przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji z uwagi na ważny interes publiczny.
3. MADD niezwłocznie informuje Klienta, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
4. Klient odpowiada za zgodność przetwarzania z prawem, w szczególności za posiadanie podstawy prawnej do przesłania danych do API i za poinformowanie osób, których dane dotyczą. Klient przesyła szczególne kategorie danych (art. 9 RODO) oraz dane dotyczące wyroków skazujących (art. 10 RODO) wyłącznie wtedy, gdy ma do tego podstawę prawną, i na własną odpowiedzialność.

Poufność

Dostęp do systemów, w których przetwarzane są Dane Powierzone, ma wyłącznie właściciel firmy MADD, który jest zobowiązany do zachowania ich w tajemnicy. Jeżeli MADD dopuści do przetwarzania inne osoby, zobowiąże je do zachowania poufności. Obowiązek poufności trwa także po zakończeniu Umowy powierzenia.

Środki bezpieczeństwa

MADD stosuje środki techniczne i organizacyjne z art. 32 RODO odpowiednie do ryzyka, w szczególności:

1. zero retencji: Dane Powierzone są przetwarzane wyłącznie w pamięci operacyjnej i nie są zapisywane w dziennikach, bazach danych ani kopiach zapasowych;
2. szyfrowanie całej komunikacji: TLS między Klientem a bramą API oraz między bramą API a serwerami GPU Runpod, tunel SSH między bramą API a serwerem MADD w Polsce;
3. uwierzytelnianie każdego zapytania Kluczem API; przechowywanie wyłącznie skrótów Kluczy API i kodów logowania;
4. dostęp administracyjny do serwerów ograniczony do właściciela firmy;
5. przetwarzanie treści na serwerach w Europejskim Obszarze Gospodarczym;
6. Limity i budżety ograniczające skutki przejęcia Klucza API;
7. bieżące aktualizacje oprogramowania i monitorowanie dostępności usług na podstawie metadanych.

MADD może zmieniać środki bezpieczeństwa, jeżeli nie obniża to poziomu ochrony.

Dalsze podmioty przetwarzające

1. Klient udziela MADD ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista znajduje się na stronie Podprocesorzy, z wyróżnieniem podmiotów, które mają styczność z Danymi Powierzonymi.
2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego, który ma styczność z Danymi Powierzonymi, MADD informuje Klientów e-mailem i przez aktualizację strony Podprocesorzy co najmniej 30 dni przed zmianą. Krótszy termin jest możliwy, gdy zmiana jest konieczna do zapewnienia ciągłości lub bezpieczeństwa usługi; wtedy MADD informuje niezwłocznie.
3. Klient może zgłosić uzasadniony sprzeciw wobec zmiany w terminie, o którym mowa w pkt 7.2, e-mailem na adres prywatnosc@madd.im. Strony podejmą próbę rozwiązania sprawy. Jeżeli to się nie uda, Klient może rozwiązać umowę ze skutkiem natychmiastowym i odzyskać niewykorzystane środki z Salda bez potrąceń.
4. MADD nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające co do istoty obowiązkom z Umowy powierzenia, w szczególności przez umowy powierzenia oferowane przez tych dostawców, i odpowiada wobec Klienta za ich wykonanie.

Przekazywanie danych poza EOG

Dane Powierzone są przetwarzane w Europejskim Obszarze Gospodarczym: brama API na serwerze OVH w Unii Europejskiej, własny serwer GPU MADD w Polsce oraz serwery GPU Runpod w Szwecji i Islandii. Lokalizacja dla każdego modelu jest publikowana w /v1/models. Jeżeli przetwarzanie miałoby obejmować państwo trzecie, MADD poinformuje o tym w trybie pkt 7.2 i zapewni zabezpieczenia z rozdziału V RODO, w szczególności standardowe klauzule umowne.

Pomoc dla Klienta

1. Uwzględniając charakter przetwarzania, MADD pomaga Klientowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą. Ponieważ Dane Powierzone nie są przechowywane, MADD zwykle nie posiada danych, których żądanie mogłoby dotyczyć. Żądanie skierowane bezpośrednio do MADD przekazuje on Klientowi niezwłocznie, jeżeli może ustalić, którego Klienta dotyczy.
2. MADD udostępnia Klientowi informacje potrzebne do oceny skutków dla ochrony danych i konsultacji z organem nadzorczym (art. 35 i 36 RODO) oraz do realizacji obowiązków z art. 32 do 34 RODO, w zakresie, w jakim dotyczą usługi API.

Naruszenia ochrony danych

1. MADD zawiadamia Klienta o naruszeniu ochrony Danych Powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Konta.
2. Zawiadomienie zawiera, w miarę dostępności, informacje z art. 33 ust. 3 RODO: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Informacje, których nie da się podać od razu, MADD przekazuje sukcesywnie.
3. MADD dokumentuje naruszenia i współpracuje z Klientem w ograniczaniu ich skutków.

Usunięcie danych

Dane Powierzone są usuwane z pamięci po dostarczeniu każdej odpowiedzi, więc po zakończeniu Umowy powierzenia nie ma danych do zwrotu ani usunięcia. Metadane zapytań, które nie zawierają treści, MADD przetwarza jako administrator na zasadach Polityki prywatności.

Audyty i informacje

1. MADD udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności Umowę powierzenia, Politykę danych, listę Podprocesorów i pisemne odpowiedzi na uzasadnione pytania Klienta, w terminie 30 dni od otrzymania pytań.
2. Audyt lub inspekcja na miejscu u MADD jest możliwa, gdy wymaga tego organ nadzorczy albo gdy informacje z pkt 12.1 nie wystarczą do wykazania zgodności, w szczególności po naruszeniu ochrony danych. Audyt odbywa się po uprzedzeniu z co najmniej 30-dniowym wyprzedzeniem, w dni robocze, w sposób nieutrudniający działalności MADD, na koszt Klienta, przez Klienta lub audytora związanego obowiązkiem poufności, nie częściej niż raz w roku, chyba że przyczyną jest naruszenie.
3. W odniesieniu do infrastruktury dalszych podmiotów przetwarzających MADD przekazuje dokumentację i informacje udostępniane przez tych dostawców.

Odpowiedzialność

Odpowiedzialność stron za szkody wynikłe z naruszenia Umowy powierzenia podlega ograniczeniom określonym w Regulaminie, z wyjątkiem odpowiedzialności wobec osób, których dane dotyczą, i organów nadzorczych, której przepisy RODO nie pozwalają ograniczyć.

Czas trwania i pierwszeństwo

1. Umowa powierzenia obowiązuje przez czas obowiązywania umowy zawartej na podstawie Regulaminu, a w zakresie poufności także po jej zakończeniu.
2. W sprawach ochrony danych osobowych Umowa powierzenia ma pierwszeństwo przed Regulaminem. W pozostałym zakresie stosuje się Regulamin.
3. Zmiany Umowy powierzenia są wprowadzane w trybie zmiany Regulaminu. Wersja polska jest wiążąca.

Załącznik: opis przetwarzania