Informacje prawne
Umowa powierzenia przetwarzania (DPA)
Ostatnia aktualizacja: 31 października 2026 r.
Dokument do zatwierdzenia przez prawnika. Zapisy oznaczone [À VALIDER] należy uzupełnić, a całość przed uruchomieniem sprzedaży powinien sprawdzić specjalista w dziedzinie prawa. Wyłącznie francuska wersja niniejszego dokumentu jest wiążąca.
Niniejsza umowa, zawarta na podstawie artykułu 28 RODO, stanowi integralną część OWS. Reguluje przetwarzania, które Tarek BELHADJ EI, działający pod nazwą handlową KAYZEN („Podmiot przetwarzający”), wykonuje w imieniu klienta biznesowego („Administratora”) za pośrednictwem platformy Kayzen Security.
W skrócie
- KAYZEN przetwarza dane wyłącznie na udokumentowane polecenie klienta.
- Dane klientów przeznaczone do hostingu w UE, szyfrowane, izolowane według klienta.
- Naruszenie ochrony danych jest zgłaszane bez nieuzasadnionej zwłoki.
- Zwrot, a następnie usunięcie danych po zakończeniu umowy.
1. Przedmiot, charakter i cel
Świadczenie platformy cyberbezpieczeństwa: ochrona, inwentaryzacja, aktualizacja i nadzór nad urządzeniami Administratora, wykrywanie incydentów i reagowanie na nie, raporty zgodności oraz, zależnie od opcji, bezpieczeństwo poczty e-mail.
2. Kategorie danych i osób
- Osoby, których dane dotyczą: pracownicy, kadra kierownicza i użytkownicy urządzeń Administratora; korespondenci poczty elektronicznej w przypadku K-Mail.
- Dane: identyfikatory i nazwy użytkowników, nazwy i cechy urządzeń, inwentarz oprogramowania, dzienniki DNS, zdarzenia bezpieczeństwa, skróty oraz, za wyraźną zgodą, próbki plików, metadane i treści analizowanych wiadomości e-mail (K-Mail).
- Nie poszukuje się żadnych szczególnych kategorii danych; ich przypadkowa obecność w analizowanej treści jest traktowana z takimi samymi gwarancjami.
3. Czas trwania
Umowa obowiązuje przez cały okres trwania abonamentu i do usunięcia danych po jego zakończeniu.
4. Obowiązki Podmiotu przetwarzającego
- przetwarzać dane wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do transferów, chyba że obowiązek taki nakłada prawo Unii lub państwa członkowskiego, o czym Podmiot przetwarzający uprzednio informuje Administratora;
- zapewnić zobowiązanie do zachowania poufności przez osoby upoważnione do przetwarzania danych;
- stosować środki bezpieczeństwa opisane w artykule 5;
- pomagać Administratorowi w odpowiadaniu na żądania realizacji praw oraz w wypełnianiu jego obowiązków wynikających z artykułów 32–36 RODO, w tym ocen skutków i uprzednich konsultacji z organem nadzorczym;
- pozostawać w pełni odpowiedzialnym wobec Administratora za wykonywanie obowiązków przez swoich dalszych podmiotów przetwarzających;
- niezwłocznie informować Administratora, jeśli jego zdaniem polecenie narusza przepisy.
5. Środki bezpieczeństwa
- hosting danych klientów w Unii Europejskiej [À VALIDER : nazwa dostawcy hostingu];
- szyfrowanie w tranzycie (TLS 1.3) i w spoczynku, z kluczami właściwymi dla każdego klienta;
- izolacja klientów przez systematyczne filtrowanie i reguły bezpieczeństwa na poziomie wierszy bazy danych;
- wzajemne uwierzytelnianie agentów, podpisane polecenia i aktualizacje, ochrona przed atakami typu replay;
- silne uwierzytelnianie, zasada najmniejszych uprawnień i dziennik audytu dostępów wewnętrznych;
- okresy przechowywania stosowane automatycznie; szyfrowane kopie zapasowe.
6. Dalsze podmioty przetwarzające
Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych na stronie Podmioty przetwarzające. Podmiot przetwarzający informuje Administratora o każdym dodaniu lub zastąpieniu co najmniej 30 dni wcześniej; Administrator może wnieść sprzeciw z uzasadnionej przyczyny, a w razie braku porozumienia rozwiązać umowę bez kar. Każdy dalszy podmiot przetwarzający podlega równoważnym obowiązkom.
7. Naruszenia ochrony danych
Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony danych osobowych możliwie najszybciej, najpóźniej w ciągu 48 godzin od stwierdzenia naruszenia, wraz z informacjami przydatnymi do jego własnego zgłoszenia organowi nadzorczemu. [À VALIDER : termin]
8. Audyty
Podmiot przetwarzający udostępnia informacje niezbędne do wykazania przestrzegania niniejszej umowy i umożliwia audyty, co najwyżej raz w roku, chyba że wystąpi incydent, z rozsądnym wyprzedzeniem i z poszanowaniem poufności pozostałych klientów.
9. Zakończenie umowy
Po zakończeniu abonamentu Podmiot przetwarzający umożliwia eksport danych przez 30 dni, a następnie, według wyboru Administratora, zwraca mu je lub usuwa wraz z ich kopiami, chyba że istnieje ustawowy obowiązek ich przechowywania.
10. Transfery
Dane klientów są przeznaczone do hostingu w Unii Europejskiej. Dane mogą otrzymywać wyłącznie dalsze podmioty przetwarzające wskazane na stronie Podmioty przetwarzające jako mające siedzibę poza UE (wysyłka e-maili transakcyjnych oraz, jeśli są włączone, usługi opcjonalne, takie jak Kayzen Copilot), z zastosowaniem zabezpieczeń z artykułów 45 lub 46 RODO (decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne).