Umowa Powierzenia Przetwarzania Danych (DPA)

Niniejszy dokument jest częścią zbioru dokumentów:

1. Regulamin Usług (TOS)
2. Polityka Prywatności (PP)
3. Umowa o Gwarantowanym Poziomie Świadczenia Usług (SLA)
4. Polityka Uczciwego Korzystania (FUP)
5. Umowa Powierzenia Przetwarzania Danych (DPA)

Niniejsza Umowa Powierzenia Przetwarzania Danych („DPA”) ma zastosowanie wyłącznie do Klientów B2B, gdy VoxiHost przetwarza dane osobowe w imieniu klienta w związku ze świadczeniem usług. Uzupełnia ona Regulamin Usług i realizuje art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

DPA nie ma zastosowania do Konsumentów; ich prawa i obowiązki w zakresie danych osobowych określa Polityka Prywatności. Klient B2B akceptuje DPA przez zawarcie Umowy B2B lub podpisanie odrębnego egzemplarza. Podpisana kopia jest dostępna na życzenie.

§ 1. Strony i zakres

Procesorem jest VoxiHost Daniel Marszałkowski, NIP 6653080651, REGON 542936383, z siedzibą przy ul. 3 Maja 29, 62-500 Konin („VoxiHost”, „procesor”).

Administratorem jest klient B2B wskazany w koncie lub zamówieniu („klient”, „administrator”). Klientem B2B jest podmiot, do którego przypisany jest Workspace w rozumieniu Regulaminu Usług.

Niniejsza DPA obejmuje przetwarzanie danych osobowych niezbędnych do świadczenia hostingu VPS, powiązanych usług infrastrukturalnych, ochrony DDoS, wsparcia i rozliczeń. DPA nie obejmuje przetwarzania, w którym VoxiHost działa jako odrębny administrator (np. dane konta, KYC, płatności).

Czas przetwarzania odpowiada okresowi świadczenia usług, a następnie okresowi usuwania danych opisanemu w punkcie 11.

§ 2. Definicje

Pojęcia „dane osobowe”, „przetwarzanie”, „administrator”, „procesor”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” i „podprocesor” mają znaczenie nadane im w RODO.

„Usługi” oznaczają usługi świadczone przez VoxiHost na podstawie Regulaminu Usług, w tym panel klienta i wsparcie.

§ 3. Role i polecenia

Klient jest administratorem danych osobowych przetwarzanych w ramach usług. VoxiHost działa jako procesor.

VoxiHost przetwarza dane osobowe wyłącznie na udokumentowane polecenie klienta, w tym na podstawie niniejszej DPA, Regulaminu Usług, zamówienia i ustawień wybranych w panelu klienta.

Klient odpowiada za posiadanie podstawy prawnej przetwarzania, przekazanie wymaganych informacji osobom, których dane dotyczą, oraz zapewnienie, że przekazywane dane są dokładne i zgodne z prawem.

VoxiHost niezwłocznie poinformuje klienta, jeśli polecenie będzie naruszać RODO lub inne właściwe przepisy o ochronie danych.

§ 4. Obowiązki procesora

VoxiHost zobowiązuje się do:

Przetwarzanie nie obejmuje sprzedaży danych osobowych, wykorzystywania ich do reklamy ani ujawniania podmiotom trzecim, z wyjątkiem przypadków opisanych w niniejszej DPA lub wymaganych prawem.

1. przetwarzania danych osobowych wyłącznie w celach opisanych w niniejszej DPA i zgodnie z poleceniami klienta;
2. zapewnienia, że osoby upoważnione do przetwarzania danych są zobowiązane do poufności;
3. wdrożenia odpowiednich środków technicznych i organizacyjnych zgodnie z art. 32 RODO;
4. pomocy klientowi w realizacji wniosków osób, których dane dotyczą, oraz obowiązków z art. 32-36 RODO, z uwzględnieniem charakteru przetwarzania;
5. prowadzenia rejestru czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;
6. poinformowania klienta, jeśli VoxiHost uzna, że polecenie narusza obowiązujące prawo;
7. udostępnienia informacji niezbędnych do wykazania zgodności i umożliwienia audytu zgodnie z punktem 12.

§ 5. Poufność

Dostęp do danych osobowych mają wyłącznie osoby, które potrzebują go do obsługi, zabezpieczenia lub wsparcia usług. Osoby te są zobowiązane do poufności również po zakończeniu współpracy.

VoxiHost nie uzyskuje dostępu do treści klienta, chyba że jest to konieczne do rozwiązania zgłoszenia upoważnionego przez klienta, zapobiegania nadużyciom lub incydentom bezpieczeństwa bądź wymagane prawem. W zakresie zapobiegania nadużyciom i bezpieczeństwa VoxiHost może działać jako odrębny administrator na podstawie art. 6 ust. 1 lit. f RODO; informuje o tym Klienta.

§ 6. Środki bezpieczeństwa

VoxiHost wdraża środki techniczne i organizacyjne opisane w Załączniku II, w tym kontrolę dostępu, ochronę sieci, izolację instancji wirtualnych, kopie zapasowe, rejestrowanie zdarzeń i reagowanie na incydenty.

Klient odpowiada za własną konfigurację, dane dostępowe, zarządzanie dostępem, bezpieczeństwo aplikacji oraz wszelkie treści i dane użytkowników końcowych przechowywane w usługach.

VoxiHost może aktualizować środki, pod warunkiem że ogólny poziom ochrony nie zostanie obniżony.

§ 7. Podprocesorzy

Klient udziela ogólnego upoważnienia VoxiHost do korzystania z podprocesorów w zakresie przetwarzania opisanego w niniejszej DPA. Aktualna lista znajduje się w Załączniku III.

VoxiHost powiadomi klienta z co najmniej 30-dniowym wyprzedzeniem o dodaniu lub zmianie podprocesora przetwarzającego dane osobowe. Klient może wnieść uzasadniony sprzeciw dotyczący ochrony danych. Jeśli sprzeciwu nie uda się rozwiązać, klient może zakończyć świadczenie objętych usług.

VoxiHost nakłada na podprocesorów obowiązki ochrony danych nie mniej ochronne niż wynikające z niniejszej DPA i pozostaje odpowiedzialny za ich wykonanie.

§ 8. Prawa osób, których dane dotyczą

Uwzględniając charakter przetwarzania, VoxiHost pomaga klientowi w realizacji wniosków osób, których dane dotyczą, dotyczących ich praw wynikających z RODO.

Klient odpowiada za odpowiedzi na wnioski osób, których dane dotyczą. Jeśli VoxiHost otrzyma wniosek bezpośrednio, przekaże go klientowi niezwłocznie, chyba że klient upoważnił VoxiHost do odpowiedzi.

VoxiHost może udostępnić w panelu klienta narzędzia samoobsługowe do eksportu lub usunięcia danych konta.

§ 9. Przekazywanie danych poza EOG

Główne przetwarzanie odbywa się w Europejskim Obszarze Gospodarczym. Niektórzy podprocesorzy (np. Cloudflare) oraz odrębni administratorzy (np. dostawcy płatności) mogą przetwarzać ograniczone dane poza EOG.

W przypadku przekazywania danych osobowych poza EOG VoxiHost zapewnia zastosowanie decyzji stwierdzającej odpowiedni poziom ochrony lub odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne Komisji Europejskiej.

§ 10. Naruszenie ochrony danych osobowych

VoxiHost powiadomi klienta niezwłocznie, a w każdym razie w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych klienta, przekazując dostępne informacje i aktualizując je w miarę ustalania okoliczności. Postanowienie to nie zwalnia klienta z obowiązków wynikających z art. 33 i 34 RODO; VoxiHost udzieli klientowi uzasadnionej pomocy przy zgłoszeniu.

Powiadomienie opisze, w zakresie, w jakim jest to znane, charakter naruszenia, kategorie i przybliżoną liczbę danych, prawdopodobne konsekwencje oraz podjęte lub planowane środki. Powiadomienie zawiera dane kontaktowe osoby odpowiedzialnej za zgłoszenie (support [at] voxihost.pl).

VoxiHost będzie współpracować przy dochodzeniu klienta oraz ewentualnych zgłoszeniach do organów nadzorczych lub osób, których dane dotyczą. Powiadomienie nie stanowi przyznania winy ani odpowiedzialności.

§ 11. Usuwanie i zwrot danych

Po zakończeniu świadczenia usług Klient wybiera zwrot albo usunięcie danych. Jeżeli Klient nie wskaże, VoxiHost usunie dane w ciągu 30 dni, chyba że dłuższy okres przechowywania jest wymagany prawem. Zwrot następuje w ustrukturyzowanym formacie w ciągu 30 dni.

Pozostałe kopie w kopiach zapasowych zostaną usunięte w ciągu 90 dni w ramach normalnego cyklu rotacji kopii.

Klient może wyeksportować swoje dane w trakcie obowiązywania umowy za pomocą narzędzi dostępnych w panelu klienta. VoxiHost zapewni uzasadnioną pomoc przy wnioskach o eksport złożonych przed zakończeniem usług. Na żądanie Klienta VoxiHost zwróci dane w ustrukturyzowanym formacie przed usunięciem.

§ 12. Audyty i zgodność

VoxiHost udostępni klientowi informacje niezbędne do wykazania zgodności z niniejszą DPA, w tym dokumenty, o których mowa w DPA.

Klient może przeprowadzić audyt raz w roku lub częściej, jeśli wymaga tego organ nadzorczy, po pisemnym powiadomieniu z co najmniej 30-dniowym wyprzedzeniem. Audyty domyślnie odbywają się zdalnie i nie mogą naruszać bezpieczeństwa ani poufności innych klientów.

Koszty audytu ponosi klient. VoxiHost może wymagać podpisania umowy o zachowaniu poufności przed udostępnieniem materiałów audytowych.

§ 13. Odpowiedzialność

Odpowiedzialność wynikająca z niniejszej DPA podlega ograniczeniom i wyłączeniom określonym w Regulaminie Usług, z zastrzeżeniem że żadne postanowienie niniejszej DPA nie ogranicza odpowiedzialności, której nie można ograniczyć na podstawie obowiązującego prawa. W szczególności nic w niniejszej DPA nie ogranicza odpowiedzialności VoxiHost wobec osób, których dane dotyczą, na podstawie art. 82 RODO ani kar administracyjnych na podstawie art. 83 RODO; ewentualne ograniczenie dotyczy wyłącznie relacji między klientem a VoxiHost w zakresie dozwolonym przez prawo.

§ 14. Okres obowiązywania i zmiany

Niniejsza DPA wchodzi w życie z chwilą jej akceptacji przez klienta lub rozpoczęcia korzystania z usług i obowiązuje przez cały okres, w którym VoxiHost przetwarza dane osobowe w imieniu klienta.

VoxiHost może zaproponować zmiany DPA. Zmiany wymagają pisemnej akceptacji Klienta; do czasu akceptacji obowiązuje dotychczasowa wersja. Zmiany wymagane prawem wchodzą w życie z mocy prawa.

§ 15. Prawo właściwe

Niniejsza DPA podlega prawu polskiemu. Spory podlegają jurysdykcji właściwych sądów dla siedziby procesora, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.

Załącznik I - Szczegóły przetwarzania

Niniejszy Załącznik opisuje przetwarzanie realizowane przez VoxiHost w imieniu klienta.

1. Osoby, których dane dotyczą - użytkownicy końcowi usług klienta oraz odwiedzający, których dane są przetwarzane w ramach usług.
2. Kategorie danych osobowych - logi techniczne, adresy IP, komunikacja ze wsparciem oraz treści i dane użytkowników końcowych przechowywane przez klienta w usługach. Dane konta, KYC i rozliczeniowe Operator przetwarza jako odrębny administrator i nie są objęte niniejszą DPA.
3. Szczególne kategorie danych - Usługi nie są przeznaczone do przetwarzania szczególnych kategorii danych osobowych. Klient nie może przekazywać takich danych, chyba że posiada podstawę prawną i odpowiednie zabezpieczenia.
4. Cel - Świadczenie i obsługa usług, wsparcie, rozliczenia, bezpieczeństwo, zapobieganie nadużyciom i zgodność z prawem.
5. Czas trwania - Okres świadczenia usług, a następnie okresy usuwania opisane w punkcie 11.
6. Częstotliwość - Ciągłe przez okres świadczenia usług.

Załącznik II - Środki techniczne i organizacyjne

1. Kontrola dostępu: indywidualne konta, dostęp według zasady minimalnych uprawnień i uwierzytelnianie systemów administracyjnych.
2. Ochrona sieci: firewalle, filtrowanie DDoS i monitoring sieci VoxiHost.
3. Izolacja: instancje wirtualne są oddzielone od siebie i od systemów zarządzania.
4. Szyfrowanie: TLS 1.2/1.3 dla danych przesyłanych między klientami a usługami; szyfrowanie w spoczynku (AES-256) dla systemów zarządzanych przez VoxiHost (bazy danych kont, panel klienta, kopie zapasowe infrastruktury). Dane wewnątrz instancji VPS klienta nie są szyfrowane przez VoxiHost, chyba że klient włączy szyfrowanie we własnym zakresie.
5. Kopie zapasowe: codzienne kopie disaster recovery infrastruktury oraz opcjonalne snapshoty klienta.
6. Rejestrowanie i monitoring: zdarzenia istotne dla bezpieczeństwa są rejestrowane i analizowane na potrzeby dochodzeń i reagowania na incydenty.
7. Zarządzanie podatnościami: oprogramowanie i infrastruktura są aktualizowane i sprawdzane pod kątem problemów bezpieczeństwa.
8. Reagowanie na incydenty: udokumentowany proces obsługi incydentów bezpieczeństwa i naruszeń ochrony danych osobowych.
9. Poufność: osoby mające dostęp do danych klienta są zobowiązane do poufności.
10. Minimalizacja danych: zbierane są wyłącznie dane niezbędne do świadczenia i zabezpieczenia usług.

Załącznik III - Podprocesorzy i odrębni administratorzy

PODPROCESORZY (przetwarzają dane klienta na polecenie VoxiHost):

1. Cloudflare, Inc. - Turnstile, ochrona przed botami i CDN. - USA (DPF lub SCC); procesor dla bot detection, odrębny administrator dla własnych celów.
2. Rotorfly Europa GmbH & Co. KG (iNTERWERK) - kolokacja serwerów i infrastruktura Data Center w Frankfurt am Main. - EOG (Niemcy); siedziba: Pezolddamm 156, 22159 Hamburg, HRA 99509, Amtsgericht Hamburg.

ODRĘBNI ADMINISTRATORZY / PROCESORZY DANYCH WŁASNYCH OPERATORA:

1. didit.me - Weryfikacja tożsamości (KYC) - dane własne Operatora; procesor weryfikacji zlecanej przez VoxiHost, odrębny administrator dla własnych celów. Nie przetwarza danych klienta w rozumieniu DPA §1.
2. Stripe Payments Europe, Ltd. - Obsługa płatności kartą, portfelami i Link. - Irlandia / EOG i Stany Zjednoczone (DPF lub SCC).
3. PayPal (Europe) S.à r.l. et Cie, S.C.A. - Obsługa płatności PayPal. - Luksemburg / EOG.
4. NOWPayments (FD Transfers LLC) - Obsługa płatności kryptowalutami. - Saint Vincent i Grenadyny; SCC + TIA.
5. Biuro rachunkowe / dostawca systemów księgowych - obsługa księgowa. - EOG.
6. Kancelaria prawna / firma windykacyjna - dochodzenie roszczeń. - EOG (wyłącznie w razie potrzeby).