Kreedl – Umowa powierzenia przetwarzania danych osobowych

„Dane osobowe”, „administrator”, „podmiot przetwarzający”, „przetwarzanie”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” oraz „organ nadzorczy” mają znaczenie nadane im w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”). „Dane osobowe Klienta” oznaczają dane osobowe, które Klient przekazuje Kreedlowi lub mu udostępnia albo które Kreedl zbiera w imieniu Klienta w związku ze świadczeniem usług, w tym treść komunikacji, nagrania i transkrypcje, niezależnie od tego, czy dane te identyfikują Klienta, czy osobę trzecią nawiązującą z Klientem stosunek umowny. „Dalszy podmiot przetwarzający” oznacza każdy podmiot trzeci, któremu Kreedl dalej powierza przetwarzanie Danych osobowych Klienta. „UK GDPR” oznacza RODO w brzmieniu włączonym do prawa Zjednoczonego Królestwa.

Klient jest administratorem Danych osobowych Klienta. Kreedl jest podmiotem przetwarzającym te dane. Kreedl jest samodzielnym administratorem wyłącznie w odniesieniu do własnych danych Klienta dotyczących konta, rozliczeń, korzystania z usług i marketingu albo w przypadku, gdy osoba trzecia korzysta z usług Kreedla bez nawiązania stosunku umownego z Klientem. Szczegółowy opis tych czynności zawiera dokument Kreedla zatytułowany Polityka prywatności, dostępny pod adresem kreedl.com/pl/privacy („Polityka prywatności”).

Przedmiot i cel. Zapewnianie działania asystenta AI, który w imieniu Klienta komunikuje się telefonicznie, przez WhatsApp, SMS i e-mail z najemcami, mieszkańcami, użytkownikami obiektów, kandydatami, wykonawcami i innymi osobami oraz wykonuje czynności, do których upoważnił go Klient.

Charakter przetwarzania. Odbieranie, nagrywanie, transkrypcja, przechowywanie, analiza i podsumowywanie komunikacji; odczytywanie lub przechowywanie ewidencji Klienta zgodnie z wybranym trybem (pkt 4); umawianie terminów; kierowanie wykonawców do zleceń; a także, na polecenie Klienta, szeregowanie kandydatów lub podsumowywanie publicznie dostępnych informacji o potencjalnych najemcach.

Kategorie osób, których dane dotyczą. Najemcy, mieszkańcy, potencjalni najemcy lub nabywcy, kierownicy sklepów i użytkownicy obiektów, wykonawcy i technicy, pracownicy i przedstawiciele Klienta oraz każda inna osoba kontaktująca się z budynkiem obsługiwanym przez Kreedl.

Rodzaje danych osobowych. Imię i nazwisko, dane kontaktowe, budynek i lokal, okres i warunki najmu, wysokość czynszu i stan płatności, dokumenty dotyczące najmu, zgłoszenia usterek, zdjęcia, wiadomości głosowe, nagrania rozmów, transkrypcje, treść wiadomości i metadane. W przypadku potencjalnych najemców lub nabywców dodatkowo przewidywana data wprowadzenia się, liczba osób w gospodarstwie domowym, zatrudnienie, dochód, sposób finansowania i referencje, jeżeli Klient wymaga ich do oceny zgłoszenia. Jeżeli Klient poleci weryfikację tożsamości, ostatnie cztery cyfry czeskiego krajowego numeru identyfikacyjnego mogą zostać porównane z ewidencją Klienta; pełny numer nie jest przechowywany. Kreedl nie przetwarza kodów do drzwi ani innych danych umożliwiających fizyczny dostęp do obiektów.

Czas trwania. Dane osobowe są przetwarzane przez okres świadczenia zamówionej usługi, a następnie do chwili zakończenia ich zwrotu i usunięcia zgodnie z pkt 12. Strony ustalają okresy przechowywania danych w taki sposób, aby odzwierciedlały one charakter właściwy świadczonej usłudze. W szczególności, lecz nie wyłącznie, okresy przechowywania uwzględniają zakończenie stosunków najmu między Klientem a osobami trzecimi, ochronę prawnie uzasadnionych interesów Administratora w odniesieniu do jego mienia oraz obowiązkowe okresy przechowywania określone w powszechnie obowiązujących przepisach prawa.

4.1 Klient wybiera jeden z trzech trybów opisanych w Polityce prywatności. Tryb A - brak dostępu do ewidencji Klienta. Tryb B - dostęp do systemów Klienta w trybie odczytu, bez przechowywania danych z ewidencji. Tryb C - ewidencja Klienta przechowywana przez Kreedl. W każdym trybie Kreedl przechowuje treść komunikacji, nagrania, transkrypcje oraz dane kontaktowe osób, które się z nim komunikują.

4.2 Udokumentowane polecenia Klienta obejmują wybrany tryb, konfigurację uzgodnioną przy wdrożeniu, ustawienia dokonane przez Klienta w aplikacji Kreedl, dane, które Klient przesyła lub udostępnia, oraz każde pisemne polecenie przesłane na adres [email protected]. Przesłanie danych, aktywacja subskrypcji, utworzenie profilu lub inne przekazanie danych Kreedlowi stanowi polecenie Klienta przetwarzania tych danych w celach określonych w pkt 3.

4.3 Klient może w każdym czasie zmienić tryb lub swoje polecenia drogą e-mailową, w aplikacji lub przez zachowanie, z którego zmiana jednoznacznie wynika. Kreedl wprowadza zmiany w terminie 14 dni.

4.4 Kreedl może odmówić wykonania polecenia, które w jego uzasadnionej ocenie narusza RODO lub inne przepisy prawa, i informuje o tym Klienta. Kreedl może również przetwarzać Dane osobowe Klienta, jeżeli wymaga tego prawo Unii lub prawo państwa członkowskiego; w takim przypadku informuje o tym Klienta, o ile prawo to nie zabrania udzielania takiej informacji.

Klient oświadcza i zobowiązuje się, że -

• posiada i prawidłowo określa ważną podstawę prawną w odniesieniu do wszystkich Danych osobowych Klienta, które pozyskuje i przekazuje Kreedlowi, oraz do każdej komunikacji, której zainicjowanie zleca Kreedlowi. Wyłączną odpowiedzialność za brak podstawy prawnej udostępnienia lub przekazania danych ponosi Klient;
• wykonuje wobec osób, których dane dotyczą, obowiązek informacyjny wynikający z art. 12, 13 i 14 RODO, w tym publikuje informacje dla osób dzwoniących zawarte w części A dokumentu Kreedla Compliance Terms, a obowiązek ten spoczywa wyłącznie na nim, niezależnie od tego, czy Kreedl publikuje informacje o danej czynności w swojej Polityce prywatności. Pozostaje to bez uszczerbku dla obowiązku informacyjnego, który spoczywa na Kreedlu jako samodzielnym administratorze;
• jeżeli poleca Kreedlowi zbieranie publicznie dostępnych informacji o potencjalnych najemcach, informuje te osoby o źródle danych najpóźniej przy pierwszym kontakcie;
• jeżeli przekazuje czeskie krajowe numery identyfikacyjne, przestrzega § 13c ustawy nr 133/2000 Sb.;
• odpowiada za ustalone przez siebie limity autonomii oraz za obsługę eskalacji;
• stosuje środki techniczne i wdrożeniowe zapewniające możliwie najwyższy poziom ochrony danych osobowych osób, których dane dotyczą, i ponosi za nie wyłączną odpowiedzialność, chyba że dane te są przechowywane na urządzeniu lub w bazie danych pozostających w wyłącznym posiadaniu Kreedla lub obsługiwanych wyłącznie przez Kreedl;
• wydawane przez niego polecenia są zgodne z prawem. Klient ponosi wyłączną odpowiedzialność za zgodność swoich poleceń z prawem oraz za wszelkie sankcje związane z jej brakiem. Jeżeli którakolwiek ze stron uzna, że wykonanie polecenia Klienta może być uzależnione od przeprowadzenia oceny skutków dla ochrony danych („DPIA”), wykonanie polecenia zostaje odroczone do czasu zatwierdzenia jego zgodności z prawem na podstawie DPIA, której koszt ponosi Klient. Kreedl nie jest jednak zobowiązany do aktywnego badania ani innego weryfikowania zgodności poleceń Klienta z prawem.

Kreedl -

• przetwarza Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta i wyłącznie w celach określonych w pkt 3;
• zapewnia, aby osoby upoważnione do przetwarzania Danych osobowych Klienta były związane umowami o zachowaniu tajemnicy i poufności, o ile upoważnienia do przetwarzania udzielił im Kreedl;
• wdraża środki techniczne i organizacyjne określone w Załączniku nr 1;
• nie wykorzystuje Danych osobowych Klienta do trenowania ani dostrajania jakiegokolwiek modelu AI;
• uwzględniając charakter przetwarzania, pomaga Klientowi w obsłudze żądań osób, których dane dotyczą (pkt 9), a także w zakresie bezpieczeństwa, zgłaszania naruszeń i ocen skutków dla ochrony danych (pkt 10);
• usuwa lub zwraca Dane osobowe Klienta zgodnie z pkt 12;
• udostępnia informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów zgodnie z pkt 11;
• przechowuje dane udostępnione przez Klienta oddzielnie od danych, które przetwarza jako samodzielny administrator;
• stosuje środki techniczne i wdrożeniowe zapewniające możliwie najwyższy poziom ochrony danych osobowych osób, których dane dotyczą, jeżeli dane te są przechowywane na urządzeniu lub w bazie danych pozostających w wyłącznym posiadaniu Kreedla lub obsługiwanych wyłącznie przez Kreedl.

7.1 Klient udziela Kreedlowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualny wykaz znajduje się w pkt 7 Polityki prywatności dostępnej pod adresem kreedl.com/pl/privacy.

7.2 Kreedl informuje Klienta drogą e-mailową o dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego co najmniej 14 dni przed wejściem zmiany w życie.

7.3 Jeżeli Klient w terminie 14 dni od otrzymania informacji wyrazi sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, Kreedl może zaproponować rozwiązanie alternatywne. W razie nieosiągnięcia porozumienia jedynym środkiem przysługującym Klientowi jest wypowiedzenie usług, których dotyczy zmiana, w drodze pisemnego oświadczenia, bez żadnych sankcji w odniesieniu do wypowiedzianej części, ze skutkiem na dzień wejścia w życie zmiany dalszego podmiotu przetwarzającego. Kreedl nie jest zobowiązany do zmiany dalszego podmiotu przetwarzającego.

7.4 Kreedl nakłada na każdy dalszy podmiot przetwarzający obowiązki w zakresie ochrony danych nie mniej rygorystyczne niż określone w niniejszej Umowie powierzenia i pozostaje odpowiedzialny za ich wykonanie.

7.5 W przypadku skorzystania z usług nowego dalszego podmiotu przetwarzającego Kreedl odpowiada za wskazanie jego tożsamości w Polityce prywatności oraz za poinformowanie Klienta zgodnie z pkt 7.2, tak aby Klient mógł wykonać obowiązek informacyjny, o którym mowa w pkt 5.

Kreedl przechowuje Dane osobowe Klienta w Unii Europejskiej. Przetwarzanie z wykorzystaniem AI oraz usługi telefoniczne mogą wiązać się z udziałem dostawców spoza EOG lub Zjednoczonego Królestwa. Przy każdym takim przekazaniu Kreedl opiera się na standardowych klauzulach umownych UE, na decyzji stwierdzającej odpowiedni stopień ochrony (w tym na EU-US Data Privacy Framework, jeżeli dostawca posiada certyfikację) albo, w przypadku danych ze Zjednoczonego Królestwa, na UK International Data Transfer Addendum. Na pisemne żądanie Kreedl oferuje konfigurację, w której przetwarzanie odbywa się wyłącznie w UE; wystąpienie z takim żądaniem należy do Klienta. Klient upoważnia Kreedl do zawarcia w jego imieniu standardowych klauzul umownych z dalszymi podmiotami przetwarzającymi. UK Addendum jest dostępne na żądanie.

Jeżeli Kreedl otrzyma żądanie osoby, której dane dotyczą, odnoszące się do Danych osobowych Klienta, przekazuje je Klientowi w terminie 3 dni roboczych i bez polecenia nie udziela na nie odpowiedzi co do istoty. Kreedl udziela pomocy w rozsądnym zakresie, tak aby Klient mógł udzielić odpowiedzi w terminach przewidzianych przepisami prawa. Pomoc w odniesieniu do więcej niż pięciu żądań miesięcznie lub wymagająca nakładu pracy wykraczającego poza rozsądny zakres jest odpłatna według aktualnej stawki godzinowej Kreedla.

10.1 Kreedl zgłasza Klientowi naruszenie ochrony Danych osobowych Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Pierwsze zgłoszenie zawiera informacje znane w chwili jego dokonania. Strony udzielają sobie wzajemnie pomocy niezbędnej na gruncie art. 33 i 34 RODO w celu wyeliminowania ryzyka, skutków naruszenia oraz administracyjnych kar pieniężnych nakładanych przez organ nadzorczy, a także skutecznego wyjaśnienia okoliczności naruszenia.

10.2 Za zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, odpowiada ta strona, która zarządza bazą danych lub urządzeniem, w których doszło do naruszenia ochrony danych osobowych.

10.3 Jeżeli Klient jest zobowiązany do przeprowadzenia DPIA, Kreedl przekazuje mu opis przetwarzania, środki określone w Załączniku nr 1 oraz, w rozsądnym zakresie, dalsze informacje ściśle niezbędne do przygotowania DPIA. Ocenę finalizuje i zatwierdza Klient, który pozostaje jej właścicielem. Koszty przygotowania DPIA ponosi Klient.

10.4 Niezależnie od zatwierdzenia przez Klienta, o którym mowa w pkt 10.3, Kreedl nie jest zobowiązany do wykonania polecenia Klienta, jeżeli pomimo istnienia DPIA ma uzasadnione podstawy, aby podejrzewać, że polecenie jest niezgodne z prawem, że przy przygotowaniu DPIA w niewystarczającym stopniu uwzględniono zasadę minimalizacji danych lub że ocena jest wadliwa pod względem jakości i prawidłowości.

Raz w roku kalendarzowym, po uprzednim pisemnym zawiadomieniu dokonanym z 30-dniowym wyprzedzeniem, Klient może zażądać wypełnionego przez Kreedl kwestionariusza bezpieczeństwa, kopii Załącznika nr 1 oraz dostępnej dokumentacji potwierdzającej przestrzeganie niniejszej Umowy powierzenia. Inspekcja na miejscu odbywa się wyłącznie w miejscu i czasie, w których wymaga tego organ nadzorczy lub przepis prawa, z zachowaniem poufności, bez dostępu do danych innych Klientów i na koszt Klienta. Kreedl nie posiada certyfikacji ISO 27001 ani SOC 2 i nie gwarantuje, że wewnętrzne postępowania wyjaśniające są prowadzone zgodnie z wymogami takiej certyfikacji, co Klient przyjmuje do wiadomości.

12.1 Po zakończeniu umowy z Klientem, a także w każdym czasie na pisemne żądanie, Kreedl eksportuje Dane osobowe Klienta w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (JSON; w przypadku nagrań pliki audio) i usuwa Dane osobowe Klienta w terminie 30 dni od zakończenia umowy. Zaszyfrowane kopie zapasowe są usuwane w terminie 90 dni. Na żądanie Kreedl potwierdza usunięcie danych na piśmie. Kreedl może przechowywać dane, jeżeli wymagają tego przepisy prawa, i wyłącznie w tym celu.

12.2 Jeżeli ustanie podstawa prawna, na której opiera się przechowywanie przez Klienta danych osoby trzeciej w relacji z tą osobą, Klient informuje o tym Kreedl i ponosi wyłączną odpowiedzialność za przekazanie tej informacji. Kreedl usuwa dane zgodnie z okresami przechowywania danych osobowych, chyba że Klient domaga się zachowania danego zapisu ze względu na któryś ze swoich prawnie uzasadnionych interesów; w takim przypadku Klient wykazuje ten prawnie uzasadniony interes. Klient ponosi odpowiedzialność za wszelkie sankcje administracyjne lub inne wynikające z niepoinformowania Kreedla o ustaniu podstawy prawnej albo z tego, że jego interes nie jest prawnie uzasadniony, jeżeli interes ten stanowi podstawę wydłużenia okresu przechowywania danych.

13.1 W najszerszym zakresie dopuszczalnym przez prawo łączna odpowiedzialność Kreedla wynikająca z niniejszej Umowy powierzenia lub pozostająca w związku z nią, w tym z tytułu jakiejkolwiek administracyjnej kary pieniężnej lub roszczenia osoby, której dane dotyczą, jest ograniczona do kwoty zapłaconej przez Klienta w okresie dwunastu miesięcy poprzedzających zdarzenie stanowiące podstawę roszczenia, a Kreedl nie ponosi odpowiedzialności za szkody pośrednie lub następcze, utracone korzyści, utratę danych ani uszczerbek na reputacji.

13.2 Kreedl nie jest zobowiązany do zwolnienia Klienta z odpowiedzialności (indemnifikacji).

13.3 Klient zobowiązuje się zwolnić Kreedl z odpowiedzialności oraz pokryć wszelkie roszczenia, kary, szkody lub koszty (w tym uzasadnione koszty zastępstwa prawnego, a także w przypadku, gdy wskutek zachowania, którego w żaden sposób nie można przypisać Kreedlowi, Kreedl poniesie szkodę lub zostanie zobowiązany do zaspokojenia roszczenia lub zapłaty kary, o których mowa w pkt 13.1, ponad limit odpowiedzialności określony w pkt 13.1) wynikające z naruszenia przez Klienta niniejszej Umowy powierzenia lub RODO, z polecenia Klienta, z danych przekazanych bez podstawy prawnej lub bez wymaganego poinformowania osób, których dane dotyczą, jeżeli niniejsza Umowa powierzenia wyraźnie tak stanowi, albo z ustawień autonomii wybranych przez Klienta.

Niniejsza Umowa powierzenia obowiązuje również po zakończeniu umowy z Klientem, aż do przedawnienia, zgodnie z prawem czeskim, ostatniego potencjalnego roszczenia związanego bezpośrednio lub pośrednio z prawami i obowiązkami wynikającymi z niniejszej Umowy powierzenia. Umowa powierzenia podlega prawu Republiki Czeskiej, a spory wynikające wyłącznie z niniejszej Umowy powierzenia rozstrzygają właściwe sądy w Pradze. Umowa powierzenia jest publikowana w języku angielskim i czeskim; niniejsza wersja polska stanowi tłumaczenie informacyjne. Pierwszeństwo ma wersja angielska, chyba że umowa z Klientem stanowi inaczej. Kreedl może jednostronnie zmienić niniejszą Umowę powierzenia, informując Klientów drogą e-mailową z 14-dniowym wyprzedzeniem; dalsze korzystanie z usług po dacie wejścia zmian w życie oznacza ich akceptację.

Szyfrowanie. Dane osobowe Klienta są szyfrowane w spoczynku (AES-256 lub równoważny standard) oraz podczas przesyłania (TLS 1.2 lub wyższy). Nagrania rozmów i pliki są przechowywane w zaszyfrowanym magazynie obiektowym.

Kontrola dostępu. Dostęp oparty na rolach. Dostęp ma wyłącznie ten personel Kreedla, któremu jest on niezbędny do świadczenia usługi. Uwierzytelnianie wieloskładnikowe jest obowiązkowe dla całego personelu Kreedla oraz dla każdego dostępu administracyjnego do infrastruktury. Uprawnienia dostępu podlegają przeglądowi przy zmianach kadrowych, a ponadto co najmniej raz na kwartał.

Rejestrowanie zdarzeń i możliwość audytu. Każde działanie asystenta AI i każdy dostęp personelu do Danych osobowych Klienta jest rejestrowany wraz z czasem i tożsamością. Logi są przechowywane przez 12 miesięcy, a Klient ma do nich dostęp w zakresie własnych danych.

Zarządzanie sekretami. Dane uwierzytelniające do usług dostawców oraz klucze API są przechowywane w menedżerze sekretów, nigdy w kodzie ani w sposób dostępny dla użytkowników, i podlegają rotacji w przypadku odejścia członka personelu lub podejrzenia naruszenia ich bezpieczeństwa.

Separacja danych Klientów. Dane każdego Klienta są logicznie odseparowane. Żaden Klient nie ma dostępu do danych innego Klienta.

Kopie zapasowe. Zaszyfrowane kopie zapasowe wykonywane co najmniej raz dziennie, przechowywane przez 90 dni, z testem odtwarzania przeprowadzanym co najmniej raz w roku.

Dostawcy modeli AI. Dostawcom modeli umownie zakazano wykorzystywania Danych osobowych Klienta do trenowania. Kreedl nie trenuje ani nie dostraja modeli na Danych osobowych Klienta.

Personel. Wszyscy pracownicy i współpracownicy przed uzyskaniem dostępu podpisują umowy o zachowaniu tajemnicy i poufności oraz przechodzą szkolenie z zakresu ochrony danych osobowych. Dostęp jest cofany w dniu odejścia.

Reagowanie na incydenty. Udokumentowana procedura z wyznaczoną osobą odpowiedzialną, powiadomieniem Klienta w ciągu 48 godzin i analizą po incydencie.

Bezpieczeństwo fizyczne. Infrastruktura jest hostowana u dostawców wymienionych w Polityce prywatności, którzy prowadzą certyfikowane centra danych (ISO 27001 / SOC 2 na poziomie dostawcy). Kreedl nie prowadzi własnych centrów danych.

Usuwanie danych. Automatyczne reguły retencji usuwają dane dotyczące komunikacji po 12 miesiącach lub w innym terminie ustalonym przez Klienta zgodnie z pkt 3 i pkt 12.2. Usunięcie danych po zakończeniu umowy następuje w terminie 30 dni, a kopii zapasowych w terminie 90 dni.