Umowa powierzenia przetwarzania danych

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH Umowa zawierana pomiędzy spółką, w imieniu której niniejsza umowa jest akceptowana w panelu serwisu Emiteo Walne Zgromadzenie („Spółka”), a Emiteo sp. z o.o. z siedzibą w Koszalinie, ul. Wojska Polskiego 24-26, 75-712 Koszalin, KRS 0000820021 („Emiteo”). Umowa jest zawierana przez jej akceptację w panelu serwisu dostępnego pod adresem wza.online („Serwis”) przez właściciela konta Spółki, działającego w jej imieniu. Serwis zapisuje wersję umowy, datę i godzinę akceptacji, oznaczenie osoby akceptującej oraz skrót SHA-256 zaakceptowanej treści. Każda zmiana treści umowy stanowi jej nową wersję, która wymaga ponownej akceptacji; wcześniejsze akceptacje pozostają w rejestrze wraz ze skrótem treści, której dotyczyły. W sprawach nieuregulowanych w umowie stosuje się Regulamin Serwisu; w razie rozbieżności w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa. W sprawach dotyczących umowy Spółka kontaktuje się z Emiteo pod adresem napiszdonas@emiteo.pl. 1. Przedmiot umowy, role stron i polecenia Spółki 1.1. Administratorem danych osobowych akcjonariuszy oraz innych osób, których dane Spółka wprowadza do Serwisu, jest Spółka. Emiteo jest podmiotem przetwarzającym i przetwarza te dane wyłącznie w imieniu Spółki i na jej udokumentowane polecenie (art. 28 ust. 3 RODO). 1.2. Celem przetwarzania jest przygotowanie, zwołanie i przeprowadzenie walnego zgromadzenia Spółki przy wykorzystaniu Serwisu („Zgromadzenie”) oraz utrwalenie jego przebiegu, w tym: przyjęcie rejestru akcjonariuszy, wysyłka zawiadomień i przypomnień, udostępnienie dokumentów i treści uchwał, identyfikacja uczestnika na poziomie wybranym przez Spółkę, przyjęcie pełnomocnictw, zebranie głosów i sprzeciwów, obliczenie wyników, sporządzenie raportu ze Zgromadzenia i zapisu czynności w Serwisie oraz przechowywanie tej dokumentacji przez okres wskazany w punkcie 5. 1.3. Przetwarzanie obejmuje zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, wykorzystywanie do celów wskazanych w punkcie 1.2, przesyłanie wiadomości na adresy e-mail wskazane przez Spółkę oraz usuwanie. Przetwarzanie odbywa się w sposób zautomatyzowany, w infrastrukturze opisanej w punkcie 4. 1.4. Udokumentowanym poleceniem Spółki są czynności wykonywane w Serwisie przez osoby działające w imieniu Spółki, w szczególności: wgranie rejestru akcjonariuszy, zwołanie Zgromadzenia, wysyłka i ponowna wysyłka zawiadomień, przyjęcie pełnomocnictwa, otwarcie i zamknięcie głosowania, zamknięcie i zapieczętowanie Zgromadzenia, korekta danych, przedłużenie okresu przechowywania oraz polecenie usunięcia danych. Każda z tych czynności jest zapisywana w rejestrze zdarzeń Zgromadzenia wraz z oznaczeniem osoby i czasu. Polecenia wykraczające poza funkcje Serwisu Spółka przekazuje na piśmie lub pocztą elektroniczną na adres napiszdonas@emiteo.pl. 1.5. Emiteo nie przetwarza powierzonych danych w celach własnych; w szczególności nie wykorzystuje ich do marketingu, analityki ani do tworzenia własnych baz kontaktów. Jedynym wyjątkiem jest zgoda na otrzymywanie informacji handlowych od Emiteo, którą akcjonariusz może dobrowolnie i odrębnie wyrazić na stronie Zgromadzenia i w każdej chwili wycofać; zapis takiej zgody oraz wynikające z niej przetwarzanie adresu e-mail odbywa się w imieniu własnym Emiteo jako administratora, poza niniejszą umową, na zasadach opisanych w Polityce prywatności Serwisu. Wyrażenie ani wycofanie tej zgody nie ma wpływu na udział akcjonariusza w Zgromadzeniu. 1.6. Jeżeli w ocenie Emiteo polecenie Spółki narusza RODO lub inne przepisy o ochronie danych osobowych, Emiteo niezwłocznie informuje o tym Spółkę. Emiteo nie ocenia, czy Spółka ma podstawę prawną do przetwarzania danych akcjonariuszy, ani czy Zgromadzenie zostało zwołane i przeprowadzone zgodnie z prawem i umową spółki; są to obowiązki Spółki. 1.7. Umowa obowiązuje od jej akceptacji przez czas, w którym Emiteo przechowuje powierzone dane, i wygasa z chwilą usunięcia wszystkich powierzonych danych zgodnie z punktem 6. 2. Zakres powierzonych danych 2.1. Osoby, których dane dotyczą: akcjonariusze Spółki będący osobami fizycznymi, osoby reprezentujące akcjonariuszy niebędących osobami fizycznymi, pełnomocnicy akcjonariuszy, osoba wskazana przez Spółkę jako przewodniczący Zgromadzenia oraz inne osoby, których dane znajdują się w dokumentach wgranych przez Spółkę. 2.2. Dane wynikające z rejestru akcjonariuszy: imię i nazwisko albo nazwa; identyfikator z rejestru akcjonariuszy, jeżeli Spółka go poda; liczba akcji i liczba głosów; adres e-mail; numer telefonu, jeżeli Spółka go poda; podstawa wysyłki zawiadomienia drogą elektroniczną i odniesienie do zgody akcjonariusza na tę formę, jeżeli Spółka je poda; a także plik rejestru w postaci wgranej przez Spółkę. 2.3. Dane wynikające z przebiegu Zgromadzenia: fakt, czas i status doręczenia zawiadomień, przypomnień i potwierdzeń oraz ich ponownej wysyłki lub cofnięcia; skrót indywidualnego linku uczestnika oraz czas jego wydania, użycia i wygaśnięcia; czas rozpoczęcia i zakończenia sesji uczestnika, adres IP i oznaczenie przeglądarki; poziom identyfikacji uczestnika wybrany dla Zgromadzenia i odniesienie do jego dowodu; treść oddanego głosu, jego waga i czas oraz wystawione potwierdzenie oddania głosu; treść i czas sprzeciwu; imię i nazwisko oraz adres e-mail pełnomocnika, dokument pełnomocnictwa i jego skrót, fakt i czas jego przyjęcia lub odwołania; fakt, czas i adres IP wyświetlenia dokumentu Zgromadzenia przez uczestnika; korekty danych wprowadzone przez Spółkę wraz z wartością pierwotną, poprawioną i uzasadnieniem; zapis czynności w Serwisie powiązany łańcuchem skrótów; raport ze Zgromadzenia oraz eksporty rejestru, głosowań, wyników i zdarzeń sporządzone przy zapieczętowaniu Zgromadzenia. 2.4. Dokumenty wgrane przez Spółkę (projekty uchwał, załączniki, pełnomocnictwa, regulamin Zgromadzenia) są przechowywane w postaci, w jakiej Spółka je wgrała, i mogą zawierać dane osobowe w zakresie, o którym decyduje Spółka. 2.5. Serwis nie jest przeznaczony do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Spółka nie wprowadza takich danych do Serwisu. 3. Obowiązki Emiteo i środki bezpieczeństwa 3.1. Emiteo przetwarza dane wyłącznie na udokumentowane polecenie Spółki, w tym w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na Emiteo prawo Unii Europejskiej lub prawo polskie; w takim przypadku Emiteo informuje Spółkę o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania (art. 28 ust. 3 lit. a RODO). 3.2. Do przetwarzania danych Emiteo dopuszcza wyłącznie osoby upoważnione, zobowiązane do zachowania poufności na podstawie umowy albo ustawowego obowiązku (art. 28 ust. 3 lit. b RODO). Dostęp jest ograniczony do zakresu niezbędnego do utrzymania Serwisu i obsługi Spółki, a czynności administracyjne są rejestrowane. 3.3. Emiteo stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności: szyfrowanie danych w spoczynku (baza danych, magazyn plików i kopie zapasowe) oraz w tranzycie (połączenia między przeglądarką a Serwisem i między składnikami Serwisu); przechowywanie danych w centrach danych na terenie Unii Europejskiej (region Frankfurt); zapis czynności Zgromadzenia w rejestrze zdarzeń o łańcuchu skrótów, w którym zmiana wcześniejszego wpisu jest wykrywalna; zabezpieczenie zapieczętowanej dokumentacji Zgromadzenia blokadą przed usunięciem i zmianą do końca okresu przechowywania wskazanego w punkcie 5; indywidualne, ograniczone czasowo linki uczestników oraz ochronę formularzy dostępnych bez logowania przed automatycznym nadużyciem; oddzielenie danych Zgromadzeń od pozostałych systemów Emiteo; kopie zapasowe; kontrolę dostępu. Dokumenty wgrane przez Spółkę nie są skanowane pod kątem złośliwego oprogramowania; za ich treść i bezpieczeństwo odpowiada Spółka. 3.4. Biorąc pod uwagę charakter przetwarzania, Emiteo w miarę możliwości pomaga Spółce wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 28 ust. 3 lit. e RODO). Żądanie skierowane bezpośrednio do Emiteo jest przekazywane Spółce bez zbędnej zwłoki; Emiteo nie rozstrzyga go samodzielnie. Sprostowanie danych Spółka wykonuje w Serwisie jako korektę, która zachowuje wartość pierwotną i poprawioną wraz z uzasadnieniem. Dane potrzebne do udzielenia odpowiedzi na żądanie dostępu Spółka pobiera z panelu i raportu ze Zgromadzenia, a w zakresie w nich nieujętym Emiteo udostępnia je na żądanie Spółki. 3.5. Emiteo pomaga Spółce wywiązać się z obowiązków wynikających z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje (art. 28 ust. 3 lit. f RODO). O naruszeniu ochrony powierzonych danych Emiteo informuje Spółkę bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail właściciela konta Spółki, przekazując znane okoliczności naruszenia, kategorie i przybliżoną liczbę osób oraz podjęte środki, a następnie uzupełnia te informacje w miarę ich ustalania. Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, należy do Spółki. 3.6. Emiteo udostępnia Spółce informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO na zasadach opisanych w punkcie 6.5. 4. Podprocesorzy i miejsce przetwarzania 4.1. Spółka wyraża ogólną zgodę na korzystanie przez Emiteo z podprocesorów wymienionych w punkcie 4.2 (art. 28 ust. 2 RODO). Emiteo nakłada na każdego podprocesora, w drodze umowy, obowiązki ochrony danych co najmniej takie, jak wynikające z niniejszej umowy, i odpowiada wobec Spółki za wypełnienie przez podprocesora jego obowiązków (art. 28 ust. 4 RODO). 4.2. Podprocesorzy: a) Amazon Web Services — hosting aplikacji, bazy danych, plików i kopii zapasowych w regionie eu-central-1 (Frankfurt); po wyrażeniu zgody na analitykę przez odwiedzającego strony publiczne Serwisu także narzędzie Amazon CloudWatch RUM; b) Amazon Simple Email Service — wysyłka zawiadomień, przypomnień, potwierdzeń i wiadomości systemowych na adresy e-mail z rejestru akcjonariuszy; c) Cloudflare Turnstile — ochrona formularzy dostępnych bez logowania, w tym strony Zgromadzenia, przed automatycznym nadużyciem; d) CookieYes — obsługa zapytania o zgodę na pliki cookie i zapis odpowiedzi odwiedzającego, wyłącznie na stronach publicznych Serwisu; e) Google Tag Manager i Google Analytics — wyłącznie po wyrażeniu zgody na analitykę i wyłącznie na stronach publicznych Serwisu. Narzędzia wymienione w lit. d) i e) działają wyłącznie na stronach publicznych Serwisu i wyłącznie po wyrażeniu zgody przez odwiedzającego; nie działają na stronie Zgromadzenia i nie mają dostępu do powierzonych danych akcjonariuszy. To samo dotyczy narzędzia Amazon CloudWatch RUM. Zostały wymienione, aby lista podprocesorów w umowie była tożsama z listą odbiorców w Polityce prywatności Serwisu. 4.3. Powierzone dane są przechowywane na terenie Unii Europejskiej. Korzystanie z usług wymienionych w punkcie 4.2 lit. c)–e) oraz wsparcie techniczne dostawców może wiązać się z przekazaniem danych do państwa trzeciego; w takim przypadku Emiteo zapewnia, że przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych przyjętych przez Komisję Europejską (rozdział V RODO). 4.4. O zamiarze dodania lub zastąpienia podprocesora Emiteo informuje Spółkę z co najmniej 14-dniowym wyprzedzeniem pocztą elektroniczną na adres właściciela konta Spółki. Spółka może w tym terminie zgłosić sprzeciw. W razie sprzeciwu Emiteo może zaproponować sposób świadczenia usługi bez udziału danego podprocesora, a jeżeli nie jest to możliwe, Spółka może zakończyć korzystanie z Serwisu i polecić usunięcie danych zgodnie z punktem 6. Zmiana listy podprocesorów stanowi nową wersję niniejszej umowy. 5. Okres przechowywania 5.1. Emiteo przechowuje dokumentację Zgromadzenia przez 2 lata od zamknięcia Zgromadzenia, z możliwością przedłużenia przez Spółkę. Okres ten jest polityką Serwisu przyjętą przez Emiteo; ocena, czy jest on wystarczający ze względu na obowiązki Spółki i terminy dochodzenia roszczeń, należy do Spółki, która może go przedłużyć. 5.2. Datę końca okresu przechowywania Serwis wyznacza przy zapieczętowaniu Zgromadzenia i pokazuje ją Spółce w panelu. Spółka może przedłużyć okres przechowywania w panelu, wskazując nową datę i uzasadnienie; przedłużenie jest zapisywane w rejestrze zdarzeń Zgromadzenia. Skrócenie raz wyznaczonego okresu nie jest możliwe. 5.3. Do końca okresu przechowywania zapieczętowana dokumentacja Zgromadzenia (raport, eksporty i dokumenty wymienione w manifeście pieczęci) jest objęta blokadą techniczną, której nie może uchylić ani Emiteo, ani Spółka. Pozostałe dane Zgromadzenia mogą zostać usunięte na polecenie Spółki także przed tą datą, na zasadach opisanych w punkcie 6.2. 5.4. Zgromadzenie, które nie zostało zapieczętowane (odwołane lub niedokończone), nie ma wyznaczonej daty końca okresu przechowywania; jego dane są przechowywane do czasu polecenia usunięcia wydanego przez Spółkę. 5.5. Serwis nie usuwa danych samoczynnie. Po upływie okresu przechowywania Spółka wydaje polecenie usunięcia w panelu, a Emiteo wykonuje je zgodnie z punktem 6. 6. Usunięcie i zwrot danych, audyt, odpowiedzialność, postanowienia końcowe 6.1. Zwrot danych. Spółka może w każdym czasie pobrać z panelu raport ze Zgromadzenia, wyniki głosowań, wgrane dokumenty oraz plik rejestru akcjonariuszy. Eksporty sporządzone przy zapieczętowaniu Zgromadzenia Emiteo udostępnia na żądanie Spółki. Emiteo zaleca pobranie dokumentacji przed wydaniem polecenia usunięcia. 6.2. Usunięcie. Na polecenie usunięcia wydane w panelu przez właściciela konta Spółki Emiteo usuwa dane Zgromadzenia ze wszystkich tabel bazy danych oraz wszystkie przechowywane pliki Zgromadzenia wraz ze wszystkimi ich wersjami. Zapieczętowana dokumentacja objęta blokadą, o której mowa w punkcie 5.3, jest wyłączona z usunięcia do końca okresu przechowywania; Serwis zapisuje, które pliki pozostały i do kiedy, a po tej dacie Emiteo usuwa je ponownym przebiegiem usuwania. Polecenie usunięcia wydane przed końcem okresu przechowywania wymaga dodatkowego potwierdzenia przez Spółkę. 6.3. Rejestr usunięć. Po usunięciu Emiteo zachowuje wpis w rejestrze usunięć: identyfikator Zgromadzenia i Spółki, oznaczenie osoby, która wydała polecenie, datę, kod przyczyny, liczbę usuniętych rekordów i plików oraz wykaz plików pozostawionych z powodu blokady wraz z datą jej wygaśnięcia. Wpis nie zawiera danych akcjonariuszy i służy wykazaniu wykonania polecenia. Notatka opisowa sporządzona przez Emiteo przy usunięciu może zostać usunięta na żądanie Spółki. Zapis akceptacji niniejszej umowy Emiteo przechowuje jako administrator w celu wykazania jej zawarcia. 6.4. Kopie zapasowe. Usunięte dane pozostają w kopiach zapasowych bazy danych przez okres ich rotacji, nie dłuższy niż 14 dni, i nie są w tym czasie wykorzystywane do innego celu niż przywrócenie Serwisu po awarii. Jeżeli przywrócenie kopii zapasowej odtworzy dane objęte wcześniejszym poleceniem usunięcia, Emiteo ponownie wykonuje to polecenie bez zbędnej zwłoki. 6.5. Audyt. Emiteo udostępnia Spółce na jej żądanie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Spółce lub upoważnionemu przez nią audytorowi przeprowadzenie audytu, w tym inspekcji (art. 28 ust. 3 lit. h RODO). Audyt jest realizowany w pierwszej kolejności przez udostępnienie dokumentacji, raportu ze Zgromadzenia, rejestru zdarzeń i rejestru usunięć. Inspekcja jest zapowiadana z co najmniej 14-dniowym wyprzedzeniem, odbywa się w dni robocze w godzinach pracy Emiteo, nie częściej niż raz w roku, chyba że jest następstwem naruszenia ochrony danych albo żądania organu nadzorczego, i nie obejmuje danych innych klientów Emiteo. Koszty audytu ponosi Spółka. 6.6. Obowiązki Spółki. Spółka zapewnia podstawę prawną przetwarzania danych akcjonariuszy, wypełnia wobec nich obowiązek informacyjny (art. 13 i 14 RODO), odpowiada za prawidłowość i aktualność rejestru akcjonariuszy oraz adresów e-mail, za treść wgrywanych dokumentów, za to, aby osoby działające w jej imieniu w Serwisie były do tego umocowane, oraz za wprowadzanie do Serwisu wyłącznie danych niezbędnych do celu wskazanego w punkcie 1.2. 6.7. Dostępność i odpowiedzialność. Serwis jest udostępniany bezpłatnie. Emiteo nie gwarantuje dostępności Serwisu, w szczególności w terminie Zgromadzenia, i nie zobowiązuje się do określonego poziomu dostępności; Spółka powinna przewidzieć w regulaminie Zgromadzenia możliwość ogłoszenia przerwy. Odpowiedzialność stron za naruszenie przepisów o ochronie danych osobowych określa art. 82 RODO, przy czym każda ze stron odpowiada za szkodę spowodowaną przetwarzaniem naruszającym jej własne obowiązki. W pozostałym zakresie stosuje się punkty 11 i 12 Regulaminu Serwisu. 6.8. Zmiany umowy i prawo właściwe. Emiteo może wydać nową wersję umowy; jej akceptacja jest wymagana przed utworzeniem lub zwołaniem kolejnego Zgromadzenia. Do Zgromadzenia zwołanego pod rządami wcześniejszej wersji stosuje się tę wersję, chyba że Spółka zaakceptuje nową, z zastrzeżeniem punktu 4.4. Umowa podlega prawu polskiemu. Nieważność lub bezskuteczność części umowy nie wpływa na jej pozostałe postanowienia.