Umowa o powierzeniu przetwarzania danych dla STRYK.

1. Przedmiot i role

Klient jest administratorem w rozumieniu art. 4 pkt 7 RODO w odniesieniu do danych osobowych, które on lub jego użytkownicy przetwarzają w STRYK („Dane powierzone”). Nextpulse przetwarza Dane powierzone jako podmiot przetwarzający.

Przedmiotem przetwarzania jest udostępnianie, eksploatacja, konserwacja, zabezpieczanie i wsparcie STRYK zgodnie z umową główną, łącznie z umowami testowymi.

Do własnych celów – zarządzania umową, rozliczeń, kont tożsamości w Nextpulse ID, bezpieczeństwa platformy, zapobiegania nadużyciom i dochodzenia roszczeń – Nextpulse działa jako samodzielny administrator; te przetwarzania opisuje Polityka prywatności.

2. Czas trwania

Umowa obowiązuje przez czas trwania umowy głównej, łącznie z okresem przejściowym i okresem odbioru po zakończeniu umowy, a także dalej, dopóki Nextpulse przetwarza Dane powierzone, aż do ich usunięcia zgodnie z pkt 14.

3. Rodzaj i cel przetwarzania

Rodzaj przetwarzania: zbieranie, rejestrowanie, przechowywanie, porządkowanie, dostosowywanie, wyszukiwanie, używanie, przekazywanie wybranym przez klienta odbiorcom, dopasowywanie, ograniczanie, zabezpieczanie, odtwarzanie i usuwanie. Celem jest świadczenie funkcji używanych przez klienta, w szczególności:

• zarządzanie hotelem: rezerwacje, pokoje, obłożenie, housekeeping, profile gości, faktury, status płatności, zapisy finansowe, zestawienia oraz organizacja pracy zespołu;
• Booking Engine, strona gości, online check-in, portal gości i kiosk, łącznie z rejestracją danych meldunkowych i danych dokumentów tożsamości, o ile klient aktywuje te funkcje;
• komunikacja z gośćmi e-mailem i w innych kanałach, w tym analiza wspomagana AI, propozycje odpowiedzi oraz odpowiedzi automatyczne, o ile są aktywowane;
• dystrybucja dostępności, cen i rezerwacji przez Channel Manager, o ile jest aktywny;
• połączenie z systemami płatności, kas, banków i innymi systemami, o ile klient je aktywuje;
• przejęcie danych z systemów poprzednich, analiza błędów, wsparcie i środki bezpieczeństwa, o ile są niezbędne do świadczenia usługi.

4. Osoby, których dane dotyczą, i kategorie danych

• Goście, osoby towarzyszące, rezerwujący i osoby zainteresowane: dane identyfikacyjne i kontaktowe, dane dotyczące pobytu i rezerwacji, preferencje, treści komunikacji, dane o rozliczeniach i statusie płatności, dane meldunkowe oraz ewidencja gości.
• Dane dokumentów tożsamości: informacje z dokumentów podróży oraz wizerunki dokumentów tożsamości, o ile klient korzysta z odpowiedniej funkcji.
• Pracownicy i użytkownicy klienta: imię i nazwisko, dane kontaktowe, rola, przydział służbowy i zadań, dzienniki aktywności i dostępu.
• Klienci biznesowi, klienci korporacyjni, dostawcy i partnerzy: dane podstawowe, kontaktowe, umowne i rozliczeniowe.
• Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO, np. dane o zdrowiu zawarte w życzeniach gości, wyłącznie gdy klient zdecyduje się je zbierać i ma do tego podstawę prawną.
• Nie są przetwarzane pełne numery kart, kody weryfikacyjne kart ani dane dostępowe do bankowości internetowej; środki płatnicze przetwarza dostawca usług płatniczych klienta.

5. Polecenia

Nextpulse przetwarza Dane powierzone wyłącznie na udokumentowane polecenie klienta, także w odniesieniu do przekazywania do państw trzecich, chyba że Nextpulse jest zobowiązana do przetwarzania przez prawo Unii lub prawo państwa członkowskiego; w takim przypadku Nextpulse informuje klienta o tych wymogach prawnych przed przetwarzaniem, o ile prawo tego nie zabrania.

Umowa główna, niniejsza umowa oraz konfiguracja i korzystanie z funkcji przez klienta stanowią polecenia. Polecenia jednostkowe wydawane są w formie tekstowej.

Jeżeli Nextpulse uzna, że polecenie narusza przepisy o ochronie danych, niezwłocznie informuje o tym klienta i może wstrzymać wykonanie do czasu potwierdzenia lub zmiany polecenia.

6. Poufność

Nextpulse zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Dostęp do Danych powierzonych następuje wyłącznie w zakresie niezbędnym do eksploatacji, bezpieczeństwa lub wsparcia. Zmieniające działania wsparcia w zarządzaniu platformą są rejestrowane wraz z uzasadnieniem.

7. Bezpieczeństwo przetwarzania

Nextpulse wdraża techniczne i organizacyjne środki wymagane zgodnie z art. 32 RODO. Są one opisane w pkt 17. Nextpulse może dostosowywać środki do postępu technicznego, o ile nie obniża to poziomu ochrony.

8. Podprzetwarzający

Klient udziela ogólnej zgody na zlecanie przetwarzania przedsiębiorstwom wymienionym w liście podprzetwarzających. Nextpulse informuje klienta w formie tekstowej co najmniej 30 dni przed zleceniem nowego podprzetwarzającego lub zamianą istniejącego.

Klient może sprzeciwić się zmianie w formie tekstowej w ciągu 14 dni od doręczenia informacji, z ważnej przyczyny dotyczącej ochrony danych. Strony dążą do polubownego rozwiązania. Jeżeli to się nie uda, klient może wypowiedzieć dotknięta umowę lub jej część na moment rozpoczęcia wykorzystania; opłaty opłacone z góry za okres po tym momencie zostaną proporcjonalnie zwrócone.

Jeżeli zamiana jest konieczna w krótkim terminie w celu odparcia pilnego zagrożenia bezpieczeństwa lub dostępności, Nextpulse informuje niezwłocznie post factum; prawo sprzeciwu i wypowiedzenia obowiązuje odpowiednio.

Nextpulse nakłada na każdego podprzetwarzającego umownie w istotnej mierze te same obowiązki ochrony danych, które określa niniejsza umowa, i odpowiada wobec klienta za ich przestrzeganie.

9. Prawa osób, których dane dotyczą

Nextpulse wspiera Klienta odpowiednimi środkami technicznymi i organizacyjnymi przy odpowiadaniu na żądania osób, których dane dotyczą, przede wszystkim za pomocą funkcji dostępnych w STRYK, w szczególności w zakresie sprostowania, eksportu danych oraz usunięcia lub anonimizacji profili gości. Jeżeli funkcje te nie wystarczają do realizacji żądania, Nextpulse na wniosek Klienta w terminie dziesięciu dni roboczych udostępnia dane osoby, której dane dotyczą, przetwarzane w imieniu Klienta, w powszechnie używanym formacie nadającym się do odczytu maszynowego, albo je usuwa. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Nextpulse, Nextpulse przekazuje żądanie Klientowi w terminie pięciu dni roboczych i nie odpowiada na nie samodzielnie, chyba że wymagają tego przepisy prawa.

10. Wsparcie w zakresie bezpieczeństwa, oceny skutków i konsultacji

Nextpulse wspiera klienta, uwzględniając rodzaj przetwarzania i dostępne informacje, w wypełnianiu obowiązków wynikających z art. 32–36 RODO, w szczególności przez dostarczanie informacji do oceny skutków dla ochrony danych oraz w przypadku uprzednich konsultacji z organem nadzorczym.

Świadczenia wsparcia wykraczające poza udostępnienie istniejących informacji i funkcji, które nie są spowodowane naruszeniem przez Nextpulse, Nextpulse może po uprzednim poinformowaniu rozliczyć według odpowiednich stawek.

11. Naruszenia ochrony danych osobowych

Nextpulse zgłasza klientowi naruszenie ochrony Danych powierzonych niezwłocznie, nie później jednak niż w ciągu 48 godzin od momentu, w którym dowiedziała się o nim. Zgłoszenie kierowane jest na adres kontaktowy podany przez klienta.

Zgłoszenie zawiera, o ile są dostępne: opis rodzaju naruszenia, kategorie i przybliżoną liczbę osób, których dotyczy, oraz rekordów danych, prawdopodobne skutki, podjęte lub proponowane środki oraz punkt kontaktowy. Informacje jeszcze niedostępne zostaną niezwłocznie uzupełnione.

Decyzję o zgłoszeniach do organu nadzorczego oraz o zawiadomieniach osób, których dane dotyczą, podejmuje klient. Zgłoszenie nie stanowi uznania naruszenia obowiązku.

12. Miejsca przetwarzania i transfery do państw trzecich

Dane powierzone są przetwarzane przede wszystkim w Unii Europejskiej lub Europejskim Obszarze Gospodarczym. Poszczególni podprzetwarzający przetwarzają dane także w państwach trzecich, w szczególności w Stanach Zjednoczonych; lista podprzetwarzających wskazuje miejsce i podstawę transferu dla każdego dostawcy.

Transfery do państw trzecich odbywają się wyłącznie na warunkach art. 44 i nast. RODO, w szczególności na podstawie decyzji stwierdzającej odpowiedni stopień ochrony, takiej jak EU-US Data Privacy Framework, w przypadku certyfikowanych odbiorców, albo standardowych klauzul umownych Komisji Europejskiej wraz z wymaganymi dodatkowymi środkami. Jeżeli wykorzystywana jest decyzja stwierdzająca odpowiedni stopień ochrony, Nextpulse – o ile jest to możliwe – uzgadnia standardowe klauzule umowne jako uzupełniającą podstawę.

13. Dowody i kontrole

Nextpulse udostępnia klientowi wszystkie niezbędne informacje dotyczące dowodu przestrzegania niniejszej umowy, w szczególności aktualny opis środków technicznych i organizacyjnych oraz dostępne dowody od podprzetwarzających.

Klient lub zlecony przez niego audytor, zobowiązany do zachowania tajemnicy i niebędący konkurentem Nextpulse, może przeprowadzać przeglądy, w tym inspekcje. Regularne przeglądy odbywają się najwyżej raz w roku, z co najmniej 30-dniowym wyprzedzeniem. W przypadku naruszenia ochrony Danych powierzonych, nakazu organu nadzorczego lub konkretnych przesłanek naruszenia dopuszczalne są dodatkowe przeglądy z odpowiednim wyprzedzeniem.

Przeglądy odbywają się w godzinach pracy, bez nieproporcjonalnego zakłócania działalności i z zachowaniem poufności danych innych klientów. Koszty ponosi klient; jeżeli przegląd wykaże istotne naruszenie po stronie Nextpulse, Nextpulse pokrywa uzasadnione koszty.

14. Zwrot i usunięcie

W trakcie trwania umowy klient może pobierać Dane powierzone za pomocą dostępnych funkcji eksportu. Po zakończeniu umowy Nextpulse przechowuje Dane powierzone przez okres przejściowy i okres odbioru zgodnie z OWU B2B-SaaS, udostępniając je do zwrotu; jeżeli dostęp do STRYK nie jest już możliwy, Nextpulse na żądanie udostępnia eksport.

Po upływie okresu odbioru Nextpulse usuwa Dane powierzone niezwłocznie, najpóźniej w ciągu 90 dni, o ile prawo Unii lub prawo państwa członkowskiego nie nakłada na Nextpulse obowiązku ich przechowywania. Jeżeli taki obowiązek istnieje, Nextpulse blokuje dotknięte dane i przetwarza je wyłącznie w tym celu. Kopie zapasowe są nadpisywane w regularnym cyklu tworzenia kopii, najpóźniej po 90 dniach, i do tego czasu nie są już wykorzystywane do bieżącej działalności. Na żądanie Nextpulse potwierdza usunięcie w formie tekstowej.

Ustawowe obowiązki przechowywania klienta, np. wynikające z BAO, UGB lub Meldegesetz (ustawy o meldunkach), spoczywają na kliencie; wykonuje je on na podstawie zwrotu lub eksportów. Nextpulse nie przechowuje Danych powierzonych dla klienta po zakończeniu umowy, chyba że klient wyraźnie zleci to osobno jako odrębne świadczenie o określonym czasie trwania. Własne dane umowne, rozliczeniowe i dowodowe Nextpulse nie są Danymi powierzonymi.

15. Dane zanonimizowane

Nextpulse może anonimizować Dane powierzone, o ile jest to konieczne do świadczenia, zabezpieczenia i ulepszania STRYK, i wykorzystywać zanonimizowane dane bez możliwości wywnioskowania o osobach fizycznych lub o konkretnym kliencie. Dane powierzone nie są wykorzystywane do trenowania modeli AI.

16. Pierwszeństwo i odpowiedzialność

W kwestiach ochrony danych niniejsza umowa ma pierwszeństwo przed pozostałymi dokumentami umownymi, z wyjątkiem indywidualnych uregulowań, które wyraźnie odwołują się do określonego postanowienia niniejszej umowy; odstępstwo od art. 28 RODO na niekorzyść klienta nie jest uzgadniane.

Bezwzględna odpowiedzialność wynikająca z RODO nie jest wykluczona ani ograniczona. W stosunkach między stronami wyrównanie następuje zgodnie z art. 82 ust. 5 RODO; w tym zakresie i w pozostałym obowiązują postanowienia o odpowiedzialności OWU B2B-SaaS, łącznie z ich ograniczeniami przy lekkim niedbalstwie.

17. Załącznik: środki techniczne i organizacyjne

Poniższe środki opisują aktualny stan. Są regularnie weryfikowane i rozwijane.

• Rozdzielenie klientów: dane każdego klienta są oznaczone w ramach danego klienta (tenant); baza danych wymusza rozdzielenie dodatkowo do logiki aplikacji za pomocą zasad bezpieczeństwa na poziomie wierszy (Row Level Security), których rola aplikacyjna nie może obejść.
• Kontrola dostępu: logowanie użytkowników przez Nextpulse ID z OpenID Connect; obsługa drugiego składnika uwierzytelniania; w przypadku wrażliwych działań administracyjnych w zarządzaniu platformą wymagane jest ponowne logowanie z drugim składnikiem. Konta urządzeń dla funkcji kiosku są ograniczone do danego zakładu.
• Kontrola uprawnień: uprawnienia oparte na rolach zgodnie z zasadą minimalnych uprawnień, z weryfikacją każdego żądania po stronie serwera; nieprzypisane dostępy są odrzucane. Działania wsparcia odbywają się przez zarządzanie platformą; działania zmieniające wymagają uzasadnienia i są rejestrowane.
• Kontrola transmisji: dostęp do STRYK przez internet odbywa się wyłącznie w formie zaszyfrowanej z użyciem TLS. E-maile są przesyłane z szyfrowaniem transportowym, o ile serwer odbiorcy to obsługuje. Tajemnice dostępowe do podłączonych systemów zewnętrznych są przechowywane w formie zaszyfrowanej.
• Szyfrowanie danych w spoczynku: kopie zapasowe są przechowywane w formie zaszyfrowanej. W przypadku szczególnie wrażliwych treści, takich jak wizerunki dokumentów tożsamości, Nextpulse zaleca ograniczenie rejestracji do prawnie niezbędnego zakresu i ustalenie terminów usunięcia.
• Terminy usunięcia: dla danych z online check-in, w tym zarejestrowanych danych dokumentów tożsamości, klient może ustawić w STRYK termin usunięcia. Domyślnie nie jest on aktywowany; ustalanie terminów usuwania należy do klienta jako administratora.
• Przesyłanie plików: przesłane pliki są sprawdzane pod kątem złośliwego oprogramowania przed przetworzeniem.
• Kontrola wprowadzania i rejestrowanie: rejestrowanie działań istotnych dla bezpieczeństwa i merytorycznych; dzienniki nie zawierają haseł, tokenów ani tajemnic dostępowych.
• Kontrola dostępności: codzienne kopie zapasowe, szyfrowane i przechowywane w lokalizacji oddzielonej od środowiska produkcyjnego; udokumentowane procedury odtwarzania; ograniczenie anonimowych zapytań w celu ochrony przed przeciążeniem i nadużyciem.
• Kontrola rozdzielenia: rozdział środowisk deweloperskiego, testowego i produkcyjnego; brak produkcyjnych danych dostępowych w kodzie źródłowym.
• Środki organizacyjne: zobowiązanie do zachowania poufności, ograniczenie dostępu administracyjnego do osób uprawnionych, procedury aktualizacji bezpieczeństwa oraz postępowanie w przypadku incydentów bezpieczeństwa.