Umowa powierzenia danych.

1.1. Na warunkach określonych w niniejszym DPA, Administrator powierza Procesorowi przetwarzanie danych osobowych, a Procesor zobowiązuje się przetwarzać je zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

1.2. Powierzenie obejmuje przetwarzanie danych w celu świadczenia usługi oprogramowania w chmurze (SaaS) salanaczas – w zakresie organizacji wydarzeń, obsługi gości, planowania stołów i menu oraz koordynacji zespołu.

1.3. Czas trwania powierzenia odpowiada okresowi korzystania z Serwisu salanaczas przez Administratora, powiększonemu o okres karencji i usuwania kopii zapasowych.

2.1. Kategorie osób, których dane dotyczą:

• Goście wydarzeń organizowanych w obiektach Administratora,
• Klienci Administratora (organizatorzy wydarzeń, pary młode),
• Pracownicy i współpracownicy Administratora upoważnieni do obsługi systemu.

2.2. Rodzaje powierzonych danych osobowych:

• Dane identyfikacyjne i kontaktowe (imię, nazwisko, adres e-mail, numer telefonu),
• Dane organizacyjne (status RSVP, przypisanie do stołu, rola na wydarzeniu),
• Preferencje żywieniowe (w tym informacje o alergiach i dietach podlegające szczególnej ochronie na zasadach określonych w Polityce Prywatności).

• Udokumentowane polecenia: Procesor przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora, za które uznaje się bieżące korzystanie z funkcji i konfigurację parametrów w aplikacji SaaS.

• Poufność: Procesor zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

• Środki techniczne i organizacyjne (art. 32 RODO): Procesor wdraża i utrzymuje odpowiednie zabezpieczenia, w tym logiczną izolację danych najemców (PostgreSQL Row-Level Security), szyfrowanie transmisji danych (TLS 1.3), szyfrowanie w spoczynku bazy danych oraz regularne tworzenie kopii zapasowych.

• Wsparcie w prawach osób: Biorąc pod uwagę charakter przetwarzania, Procesor pomaga Administratorowi poprzez odpowiednie środki techniczne wywiązać się z obowiązku odpowiadania na żądania osób wykonujących swoje prawa z rozdziału III RODO.

• Zgłaszanie naruszeń: Procesor zawiadamia Administratora o stwierdzonym naruszeniu ochrony powierzonych danych osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 48–72 godzin od powzięcia wiedzy o incydencie.

• Wsparcie przy DPIA: Procesor wspiera Administratora w realizacji obowiązków z art. 35 i 36 RODO (ocena skutków dla ochrony danych i ewentualne uprzednie konsultacje z UODO).

• Usunięcie lub zwrot danych: Po zakończeniu świadczenia usług, na wybór Administratora, Procesor trwale usuwa lub zwraca wszelkie powierzone dane osobowe oraz usuwa istniejące kopie, z zastrzeżeniem obowiązków wynikających z przepisów prawa.

• Audyty i inspekcje: Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów (po uprzedzeniu z minimum 14-dniowym wyprzedzeniem i zawarciu umowy o poufności).

4.1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z usług wyspecjalizowanych podprocesorów:

4.2. Procesor informuje Administratora o wszelkich planowanych zmianach na liście podprocesorów z wyprzedzeniem co najmniej 14 dni. Administrator ma prawo zgłosić uzasadniony sprzeciw wobec zamierzonej zmiany w terminie 14 dni.