Umowa powierzenia przetwarzania danych osobowych

§1. Definicje

Pojęcia użyte w niniejszej Umowie mają następujące znaczenia:

Harmony - platforma umożliwiająca użytkownikom nagrywanie, transkrypcję (z formatów audio i wideo), ujednolicanie i analizę rozmów prowadzonych na różnych platformach komunikacyjnych, dostępna pod adresem heyharmony.com.

Grupa Harmony - Harmony Global Inc., spółka utworzona zgodnie z prawem stanu Delaware, z siedzibą pod adresem 8 The Green, Ste R, Dover, Delaware 19901, Stany Zjednoczone („Harmony Global”); Harmony Labs Limited, spółka kapitałowa z ograniczoną odpowiedzialnością (private company limited by shares) utworzona zgodnie z prawem Irlandii, z siedzibą pod adresem 22 Northumberland Road, Ballsbridge, Dublin 4, D04 ED73, Irlandia, wpisana do rejestru prowadzonego przez Companies Registration Office pod numerem 811689 („Harmony Labs”); oraz Harmony Brasil Ltda., spółka z ograniczoną odpowiedzialnością utworzona zgodnie z prawem Brazylii, z siedzibą pod adresem Rua Iapó nº 62, Alphaville Graciosa, Pinhais/PR, CEP 83327-075, Brazylia, wpisana do rejestru CNPJ pod numerem 64.767.289/0001-51 („Harmony Brasil”), wraz z ich odpowiednimi podmiotami powiązanymi.

Podmiot Kontraktujący Harmony - członek Grupy Harmony wskazany w Formularzu Zamówienia jako podmiot zawierający umowę, będący Podmiotem przetwarzającym na podstawie niniejszej Umowy.

Standardowe Klauzule Umowne UE - standardowe klauzule umowne przyjęte przez Komisję Europejską w decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.

LGPD - brazylijska ustawa federalna nr 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), z późniejszymi zmianami.

Standardowe Klauzule Umowne ANPD - standardowe klauzule umowne (cláusulas-padrão contratuais) zatwierdzone przez brazylijski Krajowy Organ Ochrony Danych (ANPD) w uchwale CD/ANPD nr 19 z dnia 23 sierpnia 2024 r.

Transfer Wewnątrzgrupowy - przekazanie danych osobowych pomiędzy członkami Grupy Harmony, w tym przekazanie z Harmony Labs lub Harmony Brasil do Harmony Global w celu hostingu i utrzymania infrastruktury, na której działa Harmony.

RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych), uzupełnione obowiązującymi krajowymi przepisami wykonawczymi, w tym irlandzką ustawą o ochronie danych z 2018 r. (Data Protection Act 2018).

Obowiązujące Przepisy o Ochronie Danych - RODO oraz wszelkie inne przepisy dotyczące ochrony danych lub prywatności mające zastosowanie do działań Stron w ramach niniejszej Umowy, w tym, w stosownych przypadkach, kalifornijska ustawa o ochronie prywatności konsumentów (California Consumer Privacy Act) zmieniona ustawą California Privacy Rights Act („CCPA”) oraz LGPD.

Administrator, Podmiot przetwarzający, Dalszy podmiot przetwarzający, Osoba, której dane dotyczą, Dane osobowe, Przetwarzanie, Naruszenie ochrony danych osobowych oraz Organ nadzorczy - mają znaczenie nadane tym pojęciom w RODO.

Umowa - niniejsza Umowa powierzenia przetwarzania danych osobowych wraz z jej Załącznikami i Dodatkami.

Formularz Zamówienia - każdy formularz zamówienia zawarty przez Strony, który włącza Regulamin i niniejszą Umowę oraz wskazuje Podmiot Kontraktujący Harmony będący Podmiotem przetwarzającym na podstawie niniejszej Umowy.

Regulamin - Regulamin Harmony dostępny pod adresem heyharmony.com/terms, który reguluje stosunek pomiędzy Administratorem a Podmiotem przetwarzającym.

Szczególne Kategorie Danych Osobowych - dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe lub przynależność do związków zawodowych, a także dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia oraz dane dotyczące seksualności lub orientacji seksualnej osoby fizycznej, zgodnie z definicją w art. 9 ust. 1 RODO.

Dodatek dotyczący Transferów Międzynarodowych - dodatek określający zabezpieczenia przyjęte w odniesieniu do przekazywania danych osobowych do państw trzecich, w tym przekazywania na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony zgodnie z art. 45 RODO, na podstawie Standardowych Klauzul Umownych UE zgodnie z art. 46 RODO oraz na podstawie Standardowych Klauzul Umownych ANPD, a także określający zabezpieczenia mające zastosowanie do Transferów Wewnątrzgrupowych, stanowiący Dodatek 1 do niniejszej Umowy.

§2. Przedmiot Umowy

Na podstawie niniejszej Umowy Administrator, zgodnie z art. 28 RODO, powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w imieniu Administratora w zakresie określonym w §3.

§3. Zakres przetwarzania

3.1. Przedmiotem przetwarzania na podstawie niniejszej Umowy są wszelkie dane osobowe, które Podmiot przetwarzający przetwarza w imieniu Administratora w związku z wykonywaniem Regulaminu, przy czym Administrator jest ich administratorem (lub, w stosownych przypadkach, podmiotem przetwarzającym działającym w imieniu administratora będącego osobą trzecią) w rozumieniu RODO.

3.2. Dane, o których mowa w §3.1, obejmują w szczególności dane osobowe pracowników i współpracowników Administratora, osób upoważnionych przez Administratora do korzystania z Harmony oraz klientów końcowych, tj. wszelkich osób, które kontaktują się z Administratorem lub z którymi Administrator kontaktuje się za pomocą usług, lub których dane osobowe są w inny sposób przetwarzane przez Administratora za pośrednictwem usług na podstawie Regulaminu, takie jak:

(a) Dane identyfikacyjne: imię, nazwisko, drugie imię lub imię odojcowskie, forma grzecznościowa;

(b) Dane kontaktowe: adres e-mail, numer telefonu;

(c) Dane finansowe: informacje o transakcjach finansowych, takie jak dane rachunku bankowego, informacje o karcie kredytowej i historia płatności;

(d) Nagrania głosowe (pliki audio z rozmów oraz treści z nich wygenerowane, w tym transkrypcje);

(e) Dane techniczne: informacje zbierane w sposób zautomatyzowany, takie jak adresy IP, informacje o urządzeniu, historia przeglądania i pliki cookie;

(f) Dane dotyczące zatrudnienia: stanowisko i informacje o pracodawcy;

(g) Preferencje osobiste: preferencje, zainteresowania i cechy, takie jak preferencje językowe i marketingowe; oraz

(h) inne dane wynikające ze specyfiki usług świadczonych przez Podmiot przetwarzający, z których Administrator korzysta na podstawie Regulaminu.

3.3. Podmiot przetwarzający będzie przetwarzał wszystkie kategorie danych osobowych, które Administrator wprowadzi do Harmony. Ponieważ gromadzenie danych osobowych na serwerach Podmiotu przetwarzającego następuje automatycznie w trakcie korzystania z usługi, Podmiot przetwarzający nie ma bieżącej kontroli nad tym, w jaki sposób Administrator kategoryzuje takie dane osobowe.

3.4. Administrator nie przekazuje Podmiotowi przetwarzającemu Szczególnych Kategorii Danych Osobowych, w tym danych dotyczących zdrowia, chyba że Formularz Zamówienia wyraźnie dopuszcza przekazywanie takich danych lub Strony postanowią inaczej na piśmie. Jeżeli Formularz Zamówienia nie reguluje tej kwestii, nie można przekazywać żadnych Szczególnych Kategorii Danych Osobowych, a kategorie wymienione w §3.2 należy interpretować odpowiednio. Jeżeli przekazywanie Szczególnych Kategorii Danych Osobowych jest wyraźnie dopuszczone, Formularz Zamówienia określa kategorie, których to dotyczy, Administrator pozostaje odpowiedzialny za ustalenie podstawy prawnej na podstawie art. 9 ust. 2 RODO (lub, w stosownych przypadkach, art. 11 LGPD), a Podmiot przetwarzający stosuje dodatkowe zabezpieczenia opisane w Załączniku II.

3.5. Dane biometryczne i wnioskowanie o emocjach. Usługi przetwarzają nagrania głosowe jako dane audio w celu transkrypcji, podsumowywania i analitycznego przetwarzania treści rozmów.

(a) Usługi nie przetwarzają nagrań głosowych w celu wyodrębnienia identyfikatorów biometrycznych służących jednoznacznej identyfikacji osób fizycznych w rozumieniu art. 4 pkt 14 i art. 9 RODO.

(b) Usługi nie wnioskują o emocjach ani zamiarach osób fizycznych na podstawie danych biometrycznych w rozumieniu rozporządzenia (UE) 2024/1689. W przypadku gdy Usługi generują wskaźniki nastroju, oceny lub podobne wskaźniki, czynią to na podstawie tekstu transkrypcji, a nie na podstawie cech głosowych, akustycznych, prozodycznych lub innych cech biometrycznych.

(c) Jeżeli Klient wymaga przetwarzania, które stanowiłoby identyfikację biometryczną lub rozpoznawanie emocji, takie przetwarzanie wykracza poza zakres Usług i wymaga odrębnej pisemnej umowy pomiędzy Stronami.

(d) Podmiot przetwarzający nie pogorszy w istotny sposób stanu opisanego w lit. (a) i (b) w okresie obowiązywania Umowy. Każda istotna zmiana zostanie zakomunikowana Administratorowi zgodnie z §7, a zastosowanie mają prawo sprzeciwu i prawo rozwiązania określone w §7.4 i §7.5.

§4. Cel, charakter i czas trwania przetwarzania

4.1. Przetwarzanie danych osobowych na podstawie niniejszej Umowy odbywa się zgodnie z udokumentowanymi poleceniami Administratora, zgodnie z art. 28 RODO, w celu korzystania przez Administratora z usług Podmiotu przetwarzającego na podstawie Regulaminu, w szczególności: korzystania z Harmony oraz obsługi zapytań i reklamacji związanych z korzystaniem z Harmony.

4.2. Strony uznają zawarcie Regulaminu i niniejszej Umowy, wraz z wyborem przez Administratora usług Podmiotu przetwarzającego na podstawie Regulaminu, za udokumentowane polecenie, o którym mowa w §4.1.

4.3. Dane przetwarzane przez Podmiot przetwarzający będą przetwarzane w okresie obowiązywania Regulaminu w sposób stały lub okazjonalny, w zależności od charakteru danej czynności lub usługi wykonywanej na podstawie Regulaminu. Po rozwiązaniu lub wygaśnięciu Umowy Harmony udostępni Dane Klienta do eksportu przez 30 dni i trwale usunie wszystkie Dane Klienta nie później niż 90 dni po rozwiązaniu lub wygaśnięciu Umowy, chyba że ich przechowywanie jest wymagane przez obowiązujące przepisy prawa. Eksport odbywa się zgodnie z Regulaminem.

4.4. W terminie 90 dni od dnia rozwiązania niniejszej Umowy lub otrzymania od Administratora udokumentowanego żądania usunięcia danych osobowych Podmiot przetwarzający: (a) usunie dane osobowe ze wszystkich nośników danych, programów i aplikacji, w tym wszelkie ich kopie; lub (b) nieodwracalnie zanonimizuje dane objęte żądaniem usunięcia, chyba że dalsze przetwarzanie jest wymagane przez prawo Unii lub prawo państwa członkowskiego.

4.5. Na pisemne żądanie Administratora Podmiot przetwarzający potwierdzi na piśmie, że wszystkie dane osobowe zostały usunięte lub zwrócone, z wyjątkiem przypadków, w których ich przechowywanie jest wymagane przez obowiązujące przepisy prawa.

4.6. Podmiot przetwarzający udostępnia Administratorowi w ramach Usług opcje konfiguracyjne, w tym ustawienia okresu przechowywania danych oraz wybór dostawców modeli AI, za pomocą których Administrator może dostosować przetwarzanie Danych Klienta w zakresie standardowego działania Usług. Korzystanie z takich opcji konfiguracyjnych przez Administratora lub jego upoważnionych Użytkowników stanowi udokumentowane polecenie w rozumieniu niniejszej Umowy. Indywidualne polecenia wykraczające poza powyższe, wymagające dostosowania standardowej usługi Podmiotu przetwarzającego, są wiążące wyłącznie w zakresie uzgodnionym na piśmie w Formularzu Zamówienia lub w odrębnym pisemnym aneksie.

4.7. W okresie obowiązywania Regulaminu i do czasu usunięcia danych zgodnie z §4.4 Administrator może w każdej chwili eksportować Dane Klienta za pomocą funkcji eksportu udostępnionych w ramach Usług.

§5. Prawa i obowiązki Stron

5.1. Administrator zobowiązuje się, że wszelkie dane osobowe przetwarzane przez Podmiot przetwarzający na podstawie niniejszej Umowy będą przetwarzane przez Administratora: (a) na jednej z podstaw prawnych określonych w art. 6 (a w przypadku szczególnych kategorii danych osobowych - w art. 9) RODO; lub (b) w imieniu innego administratora, w którym to przypadku Administrator oświadcza Podmiotowi przetwarzającemu, że dane będą przetwarzane przez takiego administratora na jednej z właściwych podstaw prawnych określonych w art. 6 (oraz, w stosownych przypadkach, art. 9) RODO oraz że Administrator jest uprawniony do powierzenia Podmiotowi przetwarzającemu przetwarzania takich danych osobowych.

5.2. Podmiot przetwarzający zobowiązuje się do:

(a) współpracy z Administratorem, w miarę rozsądnych możliwości, poprzez odpowiednie środki techniczne i organizacyjne, przy udzielaniu odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania praw określonych w rozdziale III (art. 12-23) RODO, w tym potwierdzenia, czy dane osobowe są przetwarzane, dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz prawa do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu;

(b) pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO, w szczególności obowiązku zapewnienia bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych osobowych właściwemu organowi nadzorczemu i zawiadamiania o nich osób, których dane dotyczą, a także przeprowadzania ocen skutków dla ochrony danych i uprzednich konsultacji, gdy jest to wymagane;

(c) po zakończeniu świadczenia usług przetwarzania, w zależności od decyzji Administratora, usunięcia lub zwrócenia Administratorowi wszelkich danych osobowych oraz usunięcia wszelkich ich istniejących kopii, chyba że bezwzględnie obowiązujące przepisy prawa nakazują przechowywanie danych osobowych, w którym to przypadku zastosowanie ma §4.4 niniejszej Umowy;

(d) udostępniania Administratorowi wszelkich informacji rozsądnie niezbędnych do wykazania spełnienia obowiązków Podmiotu przetwarzającego wynikających z RODO oraz umożliwiania Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzania audytów, w tym inspekcji, i przyczyniania się do nich, z zastrzeżeniem §5.3 i §5.4 poniżej;

(e) niezwłocznego informowania Administratora, jeżeli jego zdaniem wydane przez Administratora polecenie narusza RODO lub inne obowiązujące przepisy prawa;

(f) zapewnienia, aby wszystkie dalsze podmioty przetwarzające, z których korzysta Podmiot przetwarzający, były związane takimi samymi obowiązkami w zakresie ochrony danych, jakie spoczywają na Podmiocie przetwarzającym na podstawie niniejszej Umowy;

(g) przetwarzania danych z wykorzystaniem dalszych podmiotów przetwarzających ujętych w wykazie prowadzonym pod adresem security.heyharmony.com („Wykaz Dalszych Podmiotów Przetwarzających”) oraz informowania Administratora o wszelkich zmianach zgodnie z §7; oraz

(h) niewykorzystywania danych osobowych przetwarzanych na podstawie niniejszej Umowy do trenowania modeli sztucznej inteligencji lub uczenia maszynowego, zarówno własnych modeli Podmiotu przetwarzającego, jak i modeli jakichkolwiek osób trzecich, a także utrzymywania z dalszymi podmiotami przetwarzającymi świadczącymi usługi sztucznej inteligencji zobowiązań umownych zakazujących takiego wykorzystania i wymagających braku przechowywania danych (zero data retention) poza czasem trwania żądania przetwarzania.

5.3. Prawo do audytu, o którym mowa w §5.2 lit. (d), może być wykonywane w godzinach pracy Podmiotu przetwarzającego (od poniedziałku do piątku, w godz. 9:00-17:00 czasu lokalnego, z wyłączeniem dni ustawowo wolnych od pracy), z co najmniej tygodniowym wyprzedzeniem i bez nieuzasadnionego zakłócania działalności Podmiotu przetwarzającego. W trakcie audytu Podmiot przetwarzający przekazuje Administratorowi informacje niezbędne do wykazania zgodności z RODO. Audyty nie mogą być przeprowadzane częściej niż raz w roku kalendarzowym i nie mogą trwać dłużej niż 3 dni robocze. Wszelkie koszty związane z audytami ponosi Administrator.

5.4. Ograniczenia dotyczące częstotliwości, czasu trwania i kosztów określone w §5.3 nie mają zastosowania, jeżeli: (a) audyt następuje po Naruszeniu ochrony danych osobowych dotyczącym danych osobowych Administratora; (b) audytu wymaga Organ nadzorczy lub Obowiązujące Przepisy o Ochronie Danych, w tym gdy Administrator jest podmiotem finansowym podlegającym rozporządzeniu (UE) 2022/2554, a prawo do audytu musi obejmować właściwy organ Administratora; lub (c) Podmiot przetwarzający w istotny sposób narusza niniejszą Umowę. W takich przypadkach audyt może zostać przeprowadzony po zawiadomieniu z rozsądnym wyprzedzeniem i na koszt Podmiotu przetwarzającego, a właściwy Organ nadzorczy lub właściwy organ może uczestniczyć w audycie lub go przeprowadzić.

5.5. W przypadku stwierdzenia nieprawidłowości w trakcie audytu Podmiot przetwarzający usuwa je w terminie uzgodnionym przez Strony, z uwzględnieniem wagi danej nieprawidłowości.

5.6. Podmiot przetwarzający jest uprawniony do korzystania z usług dalszych podmiotów przetwarzających w celu przetwarzania danych osobowych objętych niniejszą Umową, w tym dalszych podmiotów przetwarzających mających siedzibę poza Europejskim Obszarem Gospodarczym, z zastrzeżeniem §7 (dalsze podmioty przetwarzające) oraz zabezpieczeń dotyczących transferów międzynarodowych określonych w §5.7. W przypadku gdy Podmiotem przetwarzającym jest Harmony Labs lub Harmony Brasil, Harmony Global działa jako dalszy podmiot przetwarzający i zapewnia infrastrukturę hostingową i platformową, na której działa Harmony.

5.7. Transfery międzynarodowe. Dane Klienta są przechowywane w Stanach Zjednoczonych i, z zastrzeżeniem §5.10, tam przetwarzane; mogą być również przetwarzane przez dalsze podmioty przetwarzające w innych jurysdykcjach w celu świadczenia określonych usług, w tym przetwarzania przez modele AI. Państwa, w których przechowywane są Dane Klienta, oraz zaangażowane dalsze podmioty przetwarzające są wskazane w Wykazie Dalszych Podmiotów Przetwarzających prowadzonym pod adresem security.heyharmony.com. Przekazywanie danych osobowych do państwa trzeciego nieobjętego decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony odbywa się na podstawie zabezpieczeń dotyczących transferów międzynarodowych określonych w Dodatku dotyczącym Transferów Międzynarodowych, stanowiącym Dodatek 1 do niniejszej Umowy, który stanowi integralną część niniejszej Umowy i ma zastosowanie do takich transferów bez konieczności podejmowania przez Strony dalszych działań. W przypadku przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, wobec których Komisja Europejska stwierdziła zgodnie z art. 45 RODO, że zapewniają odpowiedni stopień ochrony, takie przekazanie odbywa się na podstawie tej decyzji, bez konieczności stosowania jakiegokolwiek dodatkowego mechanizmu transferu.

5.8. Przypisanie transferu podlegającego ograniczeniom. Niezależnie od §5.7, w przypadku gdy Podmiotem przetwarzającym jest Harmony Labs, a Administrator ma siedzibę w Europejskim Obszarze Gospodarczym, stosunek pomiędzy Stronami jest stosunkiem w ramach EOG: świadczenie Usług przez Podmiot przetwarzający na rzecz Administratora samo w sobie nie stanowi przekazania danych osobowych do państwa trzeciego, a na tym etapie nie są wymagane żadne standardowe klauzule umowne ani przedstawiciel, o którym mowa w art. 27 RODO. Transfer podlegający ograniczeniom następuje natomiast na etapie wewnątrzgrupowym pomiędzy Harmony Labs, jako podmiotem eksportującym dane, a Harmony Global, jako podmiotem importującym dane, który utrzymuje infrastrukturę, na której przechowywane są Dane Klienta, i podlega Standardowym Klauzulom Umownym UE zgodnie z pkt A1.6. W przypadku gdy Podmiotem przetwarzającym jest Harmony Brasil, odpowiedni Transfer Wewnątrzgrupowy do Harmony Global podlega Standardowym Klauzulom Umownym ANPD zgodnie z pkt A1.7. W przypadku gdy Podmiotem przetwarzającym jest Harmony Global, a Administrator ma siedzibę w Europejskim Obszarze Gospodarczym, przekazanie danych od Administratora do Podmiotu przetwarzającego samo w sobie stanowi transfer podlegający ograniczeniom, który podlega Standardowym Klauzulom Umownym UE zawartym bezpośrednio pomiędzy Stronami, i zastosowanie ma pkt A1.8.

5.9. Administrator zobowiązuje się, zgodnie z art. 13 i 14 RODO, informować osoby, których dane dotyczą i których dane Administrator będzie przetwarzał za pośrednictwem Harmony, o transferach międzynarodowych dokonywanych na podstawie niniejszej Umowy.

5.10. Lokalizacja danych. Dane Klienta są przechowywane w infrastrukturze utrzymywanej przez Harmony Global w Stanach Zjednoczonych, niezależnie od tego, który Podmiot Kontraktujący Harmony jest Podmiotem przetwarzającym. Podmiot przetwarzający nie oferuje obecnie możliwości wyboru regionu infrastruktury ani przechowywania Danych Klienta na terytorium Unii Europejskiej lub Europejskiego Obszaru Gospodarczego. Niektóre operacje przetwarzania odbywają się na terytorium Unii Europejskiej: transkrypcja mowy na tekst jest wykonywana przez dalszy podmiot przetwarzający mający siedzibę we Francji, a warstwa konwersacyjnego asystenta AI działa w infrastrukturze zlokalizowanej na terytorium Unii Europejskiej. Inne dalsze podmioty przetwarzające mogą przetwarzać Dane Klienta w kolejnych jurysdykcjach w celu świadczenia określonych usług, w tym przetwarzania przez modele AI. Aktualny wykaz dalszych podmiotów przetwarzających, państw, w których przetwarzają one Dane Klienta, oraz mechanizmów transferu międzynarodowego mających zastosowanie do każdego z nich jest prowadzony pod adresem security.heyharmony.com.

5.11. Rejestr czynności przetwarzania. Podmiot przetwarzający prowadzi rejestr wszystkich czynności przetwarzania dokonywanych w imieniu Administratora, zgodnie z art. 30 RODO. Rejestr ten zawiera: (i) imię i nazwisko lub nazwę oraz dane kontaktowe Podmiotu przetwarzającego i Administratora; (ii) kategorie przetwarzania dokonywanego w imieniu Administratora; (iii) w stosownych przypadkach, przekazania danych osobowych do państwa trzeciego, w tym nazwę państwa odbiorcy oraz przyjęte zabezpieczenia; oraz (iv) ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 RODO.

5.12. W przypadku gdy Administrator lub jego upoważnieni Użytkownicy wybiorą model AI lub dostawcę modelu, którego przetwarzanie odbywa się poza Europejskim Obszarem Gospodarczym, wybór ten stanowi udokumentowane polecenie Administratora w zakresie związanego z tym przetwarzania oraz wszelkich powiązanych transferów międzynarodowych. Podmiot przetwarzający zapewnia, aby dla każdego takiego transferu istniał odpowiedni mechanizm transferu w rozumieniu rozdziału V RODO, wskazany w wykazie dalszych podmiotów przetwarzających pod adresem security.heyharmony.com.

5.13. Administrator niniejszym poleca Podmiotowi przetwarzającemu realizację żądań osób, których dane dotyczą, w zakresie (a) sprostowania danych konta lub profilu oraz (b) dezaktywacji lub usunięcia konta użytkownika i danych powiązanych wyłącznie z tym kontem, samodzielnie i bez uprzedniej konsultacji z Administratorem, jeżeli żądanie zostało złożone bezpośrednio Podmiotowi przetwarzającemu, a tożsamość osoby, której dane dotyczą, została zweryfikowana za pomocą odpowiednich środków, takich jak adres e-mail powiązany z kontem użytkownika. Wszystkie pozostałe żądania osób, których dane dotyczą, są obsługiwane zgodnie z §5.2 lit. (a).

5.14. Wywiązywanie się z obowiązków wynikających z niniejszej Umowy oraz art. 28 RODO wykazuje się co do zasady poprzez przedstawienie odpowiedniego i aktualnego zaświadczenia lub raportu wydanego przez niezależny podmiot w związku z certyfikacją lub audytem w zakresie bezpieczeństwa IT lub ochrony danych. Prawa do audytu określone w §5.2 lit. (d), §5.3 i §5.4 pozostają nienaruszone; inspekcje przeprowadza się jednak z należytym uwzględnieniem prawnie uzasadnionych interesów Podmiotu przetwarzającego, w miarę możliwości przede wszystkim w formie informacji pisemnych lub przeglądu zdalnego, w zwykłych godzinach pracy i bez nieuzasadnionego zakłócania działalności Podmiotu przetwarzającego, a osoba trzecia wyznaczona przez Administratora do przeprowadzenia inspekcji nie może być konkurentem Podmiotu przetwarzającego i musi uprzednio zobowiązać się na piśmie do zachowania poufności.

5.15. W przypadku gdy pomoc udzielana przez Podmiot przetwarzający na podstawie §5.2 wykracza poza pomoc należną w rozsądnym zakresie na podstawie niniejszej Umowy, w szczególności w związku z ocenami skutków dla ochrony danych, uprzednimi konsultacjami lub obszernymi sprawami regulacyjnymi bądź sprawami dotyczącymi osób, których dane dotyczą, wynikającymi ze szczególnej sytuacji Administratora, Strony uzgodnią z wyprzedzeniem odpowiednie dodatkowe wynagrodzenie. Pomoc udzielana po naruszeniu ochrony danych osobowych, za które odpowiada Podmiot przetwarzający, nigdy nie podlega odpłatności.

§6. Zgłaszanie naruszeń ochrony danych osobowych

6.1. Podmiot przetwarzający zobowiązuje się, po stwierdzeniu naruszenia ochrony danych osobowych, zgłosić je Administratorowi bez zbędnej zwłoki, a w każdym przypadku nie później niż w ciągu 72 godzin, zgodnie z art. 33 i 34 RODO. Termin ten ma charakter domyślny i może zostać zmieniony w Formularzu Zamówienia.

6.2. Zgłoszenie przekazywane Administratorowi zawiera co najmniej: (a) opis charakteru naruszenia, w tym, w miarę możliwości, wskazanie kategorii i przybliżonej liczby osób, których dane dotyczą, a także kategorii i przybliżonej liczby wpisów danych osobowych, których dotyczy naruszenie; (b) opis możliwych konsekwencji naruszenia; oraz (c) opis środków zastosowanych lub proponowanych przez Podmiot przetwarzający w celu zaradzenia naruszeniu, w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

6.3. Zgłoszenie naruszenia właściwemu organowi nadzorczemu oraz zawiadomienie osób, których dane dotyczą, zgodnie z art. 33 i 34 RODO pozostają obowiązkiem Administratora, chyba że uzgodniono inaczej na piśmie. Podmiot przetwarzający udziela rozsądnej pomocy, aby umożliwić Administratorowi wywiązanie się z tego obowiązku w terminach określonych w RODO oraz, w przypadku gdy zastosowanie ma LGPD, w terminach określonych w art. 48 LGPD.

§7. Korzystanie z dalszych podmiotów przetwarzających

7.1. Administrator niniejszym udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających zgodnie z niniejszym §7. Wykaz dalszych podmiotów przetwarzających jest prowadzony pod adresem security.heyharmony.com („Wykaz Dalszych Podmiotów Przetwarzających”). W przypadku gdy Podmiotem przetwarzającym jest Harmony Labs lub Harmony Brasil, Harmony Global Inc. jest wskazany w Wykazie Dalszych Podmiotów Przetwarzających jako dalszy podmiot przetwarzający, wraz z lokalizacjami przetwarzania oraz mechanizmem transferu międzynarodowego mającym zastosowanie do tego etapu. Każda zmiana podmiotu z Grupy Harmony świadczącego usługi hostingu lub infrastruktury podlega procedurze zawiadomienia i sprzeciwu określonej w §7.2 i §7.4 na takich samych zasadach jak w przypadku każdego innego dalszego podmiotu przetwarzającego.

7.2. Podmiot przetwarzający informuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia dalszego podmiotu przetwarzającego, dając Administratorowi możliwość wyrażenia sprzeciwu. Zawiadomienie przesyła się pocztą elektroniczną co najmniej 30 dni przed skorzystaniem z usług nowego dalszego podmiotu przetwarzającego.

7.3. Podmiot przetwarzający może skorzystać z usług zastępczego dalszego podmiotu przetwarzającego bez uprzedniego zawiadomienia wymaganego na podstawie §7.2 wyłącznie wtedy, gdy jest to niezbędne do zapewnienia ciągłości Usług w następstwie awarii, niewypłacalności lub zakończenia współpracy z dotychczasowym dalszym podmiotem przetwarzającym. W takim przypadku Podmiot przetwarzający zawiadamia Administratora tak szybko, jak to rozsądnie możliwe, a w każdym przypadku w terminie pięciu dni roboczych od skorzystania z jego usług, zapewnia, aby zastępczy podmiot oferował równoważne lub lepsze warunki bezpieczeństwa, a prawa sprzeciwu określone w §7.4 i §7.5 przysługują od dnia tego zawiadomienia.

7.4. Administrator zgłasza ewentualny sprzeciw w formie pisemnej lub dokumentowej w terminie 30 dni od otrzymania zawiadomienia, podając jego uzasadnienie. Niezgłoszenie sprzeciwu w tym terminie uważa się za zgodę na zmianę. Administrator zobowiązuje się nie zgłaszać sprzeciwu bez uzasadnionych powodów.

7.5. Jeżeli Administrator zgłosi sprzeciw wobec nowego dalszego podmiotu przetwarzającego, Strony będą współpracować w dobrej wierze w celu rozstrzygnięcia sprzeciwu przez okres 30 dni od jego otrzymania. Jeżeli w tym okresie nie zostanie osiągnięte porozumienie, Administrator może rozwiązać umowę w zakresie Usług, których dotyczy sprzeciw, bez ponoszenia kar, na podstawie pisemnego zawiadomienia skierowanego do Podmiotu przetwarzającego, a Podmiot przetwarzający zwróci proporcjonalną część opłat uiszczonych z góry za niewykorzystaną część Okresu Subskrypcji.

7.6. Na uzasadnione żądanie Podmiot przetwarzający przekazuje Administratorowi potwierdzenie, że jego umowy z dalszymi podmiotami przetwarzającymi zawierają postanowienia dotyczące ochrony danych zasadniczo równoważne postanowieniom niniejszej Umowy.

§8. Środki techniczne i organizacyjne

8.1. Podmiot przetwarzający zapewnia, aby każda osoba działająca z jego upoważnienia, która ma dostęp do danych osobowych, była zobowiązana do zachowania poufności i nie przekazywała, nie ujawniała ani nie udostępniała takich danych osobom nieuprawnionym.

8.2. Podmiot przetwarzający wdraża techniczne i organizacyjne środki bezpieczeństwa wymagane na podstawie art. 32 RODO, odpowiednie do ryzyka związanego z przetwarzaniem, w szczególności określone w Załączniku II (Środki techniczne i organizacyjne), który stanowi integralną część niniejszej Umowy.

8.3. Podmiot przetwarzający prowadzi dokumentację środków technicznych i organizacyjnych wdrożonych w celu spełnienia wymogów niniejszej Umowy oraz Obowiązujących Przepisów o Ochronie Danych.

8.4. Podmiot przetwarzający może w okresie obowiązywania niniejszej Umowy zmieniać lub dostosowywać środki techniczne i organizacyjne określone w Załączniku II, pod warunkiem że środki te nadal spełniają wymogi ustawowe, a ogólny poziom ochrony nie ulegnie obniżeniu.

§9. Wzajemna wymiana informacji

9.1. Strony zobowiązują się do wzajemnego informowania się bez zbędnej zwłoki o każdym podejrzeniu naruszenia ochrony danych osobowych oraz do współpracy w dobrej wierze zgodnie z RODO.

9.2. Strony konsultują się w sprawie konieczności i treści wszelkich komunikatów kierowanych do właściwego organu nadzorczego lub osób, których dane dotyczą, w związku z naruszeniami ochrony danych osobowych.

9.3. Wszelkie informacje lub zawiadomienia przekazywane pomiędzy Stronami na podstawie niniejszej Umowy przesyła się: (a) w przypadku Administratora: na adres e-mail powiązany z kontem Klienta, zgodnie z Regulaminem; oraz (b) w przypadku Podmiotu przetwarzającego: na adres [email protected].

§10. Odpowiedzialność

10.1. Odpowiedzialność Podmiotu przetwarzającego na podstawie niniejszej Umowy podlega ograniczeniom odpowiedzialności określonym w punkcie 14 Regulaminu, z ewentualnymi zmianami wprowadzonymi w Formularzu Zamówienia.

10.2. Niezależnie od §10.1, roszczenia związane z naruszeniem Obowiązujących Przepisów o Ochronie Danych, nieuprawnionym ujawnieniem lub utratą danych osobowych albo naruszeniem praw osób, których dane dotyczą, podlegają podwyższonemu limitowi odpowiedzialności określonemu w punkcie 14.2 Regulaminu, z ewentualnymi zmianami wprowadzonymi w Formularzu Zamówienia.

10.3. Z zastrzeżeniem §10.1 i §10.2 Podmiot przetwarzający ponosi pełną odpowiedzialność za działania lub zaniechania swoich dalszych podmiotów przetwarzających w zakresie przetwarzania danych osobowych w imieniu Administratora, jak za własne działania lub zaniechania.

10.4. Żadne z postanowień niniejszej Umowy nie ogranicza odpowiedzialności którejkolwiek ze Stron wobec osoby, której dane dotyczą, lub wobec Organu nadzorczego, ani żadnej odpowiedzialności, której nie można ograniczyć na podstawie Obowiązujących Przepisów o Ochronie Danych.

§11. Postanowienia końcowe i rozwiązanie Umowy

11.1. Niniejsza Umowa zostaje zawarta na czas obowiązywania Regulaminu i ulega automatycznemu rozwiązaniu, bez konieczności składania dodatkowych oświadczeń, z chwilą rozwiązania lub wygaśnięcia Regulaminu.

11.2. Niniejsza Umowa wchodzi w życie z chwilą jej zawarcia przez obie Strony lub z chwilą akceptacji Regulaminu przez Administratora, w zależności od tego, co nastąpi wcześniej.

11.3. Wszelkie zmiany, uzupełnienia lub rozwiązanie niniejszej Umowy wymagają, pod rygorem nieważności, formy pisemnej lub dokumentowej. Strony zobowiązują się do renegocjowania niniejszej Umowy w dobrej wierze w ramach każdej renegocjacji Regulaminu.

11.4. Administrator może rozwiązać niniejszą Umowę ze skutkiem natychmiastowym, bez zachowania okresu wypowiedzenia, jeżeli Podmiot przetwarzający nie usunie, w rozsądnym terminie na naprawę wynoszącym nie mniej niż 14 dni od pisemnego zawiadomienia, nieprawidłowości stwierdzonych w trakcie audytu, o którym mowa w §5.3, lub jakiegokolwiek przetwarzania danych osobowych z naruszeniem niniejszej Umowy lub Obowiązujących Przepisów o Ochronie Danych.

11.5. W przypadku gdy Podmiot przetwarzający, w oparciu o obiektywne przesłanki, zasadnie uważa, że Administrator przetwarza powierzone Podmiotowi przetwarzającemu dane osobowe z naruszeniem §5.1, w szczególności przetwarzając takie dane bez podstawy prawnej wymaganej na podstawie art. 6 (lub, w przypadku szczególnych kategorii danych, art. 9) RODO, Podmiot przetwarzający zawiadamia o tym Administratora na piśmie, wskazując te przesłanki, a Strony podejmują w dobrej wierze działania w celu rozwiązania sprawy w terminie 15 dni od tego zawiadomienia. W tym okresie Podmiot przetwarzający może wstrzymać przetwarzanie, którego sprawa dotyczy, wyłącznie w zakresie niezbędnym do uniknięcia nieuchronnego naruszenia Obowiązujących Przepisów o Ochronie Danych. Podmiot przetwarzający może rozwiązać niniejszą Umowę wyłącznie wtedy, gdy sprawa pozostanie nierozwiązana po upływie tego okresu lub gdy natychmiastowe zaprzestanie przetwarzania jest wymagane przez prawo lub przez Organ nadzorczy.

11.6. Dodatek 1 (Dodatek dotyczący Transferów Międzynarodowych) oraz Załącznik II (Środki techniczne i organizacyjne) stanowią integralną część niniejszej Umowy.

11.7. W przypadku jakiejkolwiek sprzeczności pomiędzy niniejszą Umową a Regulaminem w zakresie ochrony danych pierwszeństwo ma niniejsza Umowa. W przypadku jakiejkolwiek sprzeczności pomiędzy niniejszą Umową a Formularzem Zamówienia zawartym przez Strony pierwszeństwo ma Formularz Zamówienia w zakresie, w jakim wyraźnie reguluje kwestię, której dotyczy sprzeczność.

11.8. Niniejsza Umowa podlega prawu wskazanemu w Formularzu Zamówienia dla Podmiotu Kontraktującego Harmony będącego Podmiotem przetwarzającym. W braku takiego wskazania niniejsza Umowa podlega prawu Irlandii, w tym RODO w zakresie, w jakim ma ono zastosowanie w Irlandii, oraz irlandzkiej ustawie o ochronie danych z 2018 r. (Data Protection Act 2018). Strony poddają się wyłącznej jurysdykcji sądów wskazanych w Formularzu Zamówienia lub, w braku takiego wskazania, sądów Irlandii w celu rozstrzygania wszelkich sporów wynikających z niniejszej Umowy lub z nią związanych. Prawo właściwe i sąd właściwy dla niniejszej Umowy nie wpływają na prawo wybrane na podstawie klauzuli 17 Standardowych Klauzul Umownych UE ani na sąd wybrany na podstawie klauzuli 18 lit. b), którymi w każdym przypadku są prawo i sądy Irlandii, zgodnie z pkt A1.6.

11.9. Niniejsza Umowa może zostać zawarta i przechowywana w formie elektronicznej na serwerach Podmiotu przetwarzającego oraz przesłana na adres e-mail podany przez Administratora w formacie PDF lub podpisana w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze Stron.

11.10. Niniejszej Umowy nie można rozwiązać odrębnie od Regulaminu. Rozwiązanie lub wygaśnięcie Regulaminu skutkuje rozwiązaniem niniejszej Umowy, która jednak pozostaje w mocy do czasu zakończenia usuwania Danych Klienta zgodnie z §4.4.

Dodatek 1 - Dodatek dotyczący Transferów Międzynarodowych

A1.1. Zakres. Niniejszy Dodatek określa zabezpieczenia przyjęte w odniesieniu do przekazywania danych osobowych do państw trzecich na podstawie §5.7 niniejszej Umowy, niezależnie od tego, czy przekazanie następuje pomiędzy Administratorem a Podmiotem przetwarzającym, pomiędzy członkami Grupy Harmony, czy pomiędzy członkiem Grupy Harmony a dalszym podmiotem przetwarzającym.

A1.2. Decyzja stwierdzająca odpowiedni stopień ochrony. W przypadku przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, wobec których Komisja Europejska stwierdziła zgodnie z art. 45 RODO, że zapewniają odpowiedni stopień ochrony, takie przekazanie odbywa się na podstawie tej decyzji, bez konieczności stosowania jakiegokolwiek dodatkowego mechanizmu transferu.

A1.3. Standardowe klauzule umowne. Przekazywanie danych osobowych do państwa trzeciego nieobjętego decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony, w tym do Stanów Zjednoczonych, podlega: (a) Standardowym Klauzulom Umownym UE zawartym pomiędzy eksportującym członkiem Grupy Harmony a otrzymującym dane dalszym podmiotem przetwarzającym; (b) w przypadku przekazywania danych do organizacji w Stanach Zjednoczonych certyfikowanych w ramach EU-U.S. Data Privacy Framework - temu mechanizmowi; lub (c) w przypadku gdy dalszy podmiot przetwarzający nie oferuje Standardowych Klauzul Umownych UE - najbardziej równoważnym zabezpieczeniom umownym oferowanym przez taki dalszy podmiot przetwarzający, przy czym Podmiot przetwarzający potwierdza, że takie zabezpieczenia zapewniają stopień ochrony zasadniczo równoważny stopniowi wymaganemu na podstawie RODO, wraz z wszelkimi środkami uzupełniającymi uznanymi za niezbędne w wyniku oceny skutków transferu.

A1.4. Przejrzystość w zakresie dalszych podmiotów przetwarzających. Aktualny wykaz dalszych podmiotów przetwarzających, lokalizacji przetwarzania oraz mechanizmów transferu międzynarodowego mających zastosowanie do każdego z nich jest prowadzony pod adresem security.heyharmony.com.

A1.5. Potwierdzenie na żądanie. Na uzasadnione pisemne żądanie Administratora Podmiot przetwarzający potwierdza mechanizm transferu międzynarodowego stosowany w odniesieniu do każdego konkretnego dalszego podmiotu przetwarzającego, który przetwarza dane osobowe Administratora.

A1.6. Transfery wewnątrzgrupowe na podstawie Standardowych Klauzul Umownych UE. Harmony Labs, jako podmiot eksportujący dane, oraz Harmony Global, jako podmiot importujący dane, zawarły Standardowe Klauzule Umowne UE, Moduł trzeci (przekazywanie danych przez podmiot przetwarzający innemu podmiotowi przetwarzającemu), w odniesieniu do danych osobowych przetwarzanych na podstawie niniejszej Umowy, które są przekazywane do Stanów Zjednoczonych, tam przechowywane lub z nich dostępne. Zastosowanie mają następujące wybory: (a) ma zastosowanie fakultatywna klauzula dokująca zawarta w klauzuli 7; (b) do celów klauzuli 9 zastosowanie ma Opcja 2 (ogólna pisemna zgoda), z terminem zawiadomienia określonym w §7.2 niniejszej Umowy; (c) fakultatywne postanowienie zawarte w klauzuli 11 lit. a) dotyczące niezależnego organu rozstrzygania sporów nie ma zastosowania; (d) do celów klauzuli 17 klauzule podlegają prawu Irlandii; (e) do celów klauzuli 18 lit. b) wszelkie spory wynikające z klauzul rozstrzygają sądy Irlandii; oraz (f) Załącznik I uzupełniają §3 i §4 niniejszej Umowy, Załącznik II - Załącznik II do niniejszej Umowy, a Załącznik III - Wykaz Dalszych Podmiotów Przetwarzających, przy czym w Załączniku I.C jako właściwy organ nadzorczy wskazana jest irlandzka Komisja Ochrony Danych (Data Protection Commission). Administrator jest osobą trzecią będącą beneficjentem tych klauzul zgodnie z klauzulą 3. Na uzasadnione pisemne żądanie Administratora Podmiot przetwarzający udostępni Administratorowi kopię zawartych klauzul.

A1.7. Transfery wewnątrzgrupowe z Brazylii. Harmony Brasil, jako podmiot eksportujący dane, oraz Harmony Global, jako podmiot importujący dane, zawarły Standardowe Klauzule Umowne ANPD w odniesieniu do danych osobowych podlegających LGPD, które są przekazywane do Stanów Zjednoczonych, tam przechowywane lub z nich dostępne. Harmony Global jest wskazany w Wykazie Dalszych Podmiotów Przetwarzających jako odbiorca takich transferów, wraz z mającym zastosowanie mechanizmem transferu, a obowiązki w zakresie ujawniania informacji i zawiadamiania określone w §7 i pkt A1.4 mają zastosowanie do tego etapu na takich samych zasadach jak do każdego innego dalszego podmiotu przetwarzającego.

A1.8. Przedstawiciel w Unii. W przypadku gdy Podmiotem przetwarzającym jest Harmony Labs, Podmiot przetwarzający ma siedzibę w Unii i nie jest wymagany przedstawiciel, o którym mowa w art. 27 RODO. W przypadku gdy Harmony Global zawiera umowę bezpośrednio z Administratorem mającym siedzibę w Europejskim Obszarze Gospodarczym, a przetwarzanie podlega art. 3 ust. 2 RODO, Harmony Global wyznacza przedstawiciela w Unii zgodnie z art. 27 RODO i wskazuje tego przedstawiciela w Formularzu Zamówienia oraz pod adresem security.heyharmony.com.

A1.9. Zjednoczone Królestwo. W przypadku przekazywania danych osobowych podlegających brytyjskiemu RODO (UK GDPR) do Standardowych Klauzul Umownych UE, o których mowa w pkt A1.3 i A1.6, zastosowanie ma Międzynarodowy Aneks dotyczący Przekazywania Danych (International Data Transfer Addendum) do Standardowych Klauzul Umownych UE wydany przez Information Commissioner na podstawie sekcji 119A Data Protection Act 2018. Tabele 1-3 tego Aneksu wypełnia się poprzez odesłanie do §3, §4 i Załącznika II niniejszej Umowy oraz do Wykazu Dalszych Podmiotów Przetwarzających, a do celów Tabeli 4 żadna ze Stron nie może zakończyć obowiązywania Aneksu w sposób określony w sekcji 19 Aneksu. Odesłania w Klauzulach do RODO należy rozumieć jako odesłania do brytyjskiego RODO, właściwym organem nadzorczym jest Information Commissioner, a prawem właściwym i sądami właściwymi są prawo i sądy Anglii i Walii.

A1.10. Szwajcaria. W przypadku przekazywania danych osobowych podlegających szwajcarskiej federalnej ustawie o ochronie danych Standardowe Klauzule Umowne UE, o których mowa w pkt A1.3 i A1.6, mają zastosowanie z następującymi zmianami: odesłania do RODO należy rozumieć jako odesłania do szwajcarskiej federalnej ustawy o ochronie danych; właściwym organem nadzorczym jest Federalny Komisarz ds. Ochrony Danych i Informacji (Federal Data Protection and Information Commissioner); pojęcia „państwo członkowskie” nie interpretuje się w sposób wyłączający możliwość dochodzenia przez osoby, których dane dotyczą, przebywające w Szwajcarii swoich praw w miejscu ich zwykłego pobytu; a do czasu, gdy znowelizowana ustawa zacznie mieć zastosowanie do osób prawnych, Klauzule chronią również dane osobowe osób prawnych.

Załącznik II - Środki techniczne i organizacyjne

AII.1. Podmiot przetwarzający wdraża techniczne i organizacyjne środki bezpieczeństwa wymagane na podstawie art. 32 RODO, odpowiednie do ryzyka związanego z przetwarzaniem.

AII.2. Aktualny opis środków technicznych i organizacyjnych Podmiotu przetwarzającego, w tym środków dotyczących: (a) pseudonimizacji i szyfrowania danych osobowych; (b) zapewnienia poufności, integralności, dostępności i odporności systemów przetwarzania; (c) zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu; (d) regularnego testowania, mierzenia i oceniania skuteczności tych środków; (e) kontroli dostępu, rejestrowania zdarzeń i monitorowania; oraz (f) szkolenia personelu i zobowiązań do zachowania poufności, jest prowadzony pod adresem security.heyharmony.com i stanowi integralną część niniejszego Załącznika II.

AII.3. Podmiot przetwarzający nie obniży w istotny sposób poziomu środków bezpieczeństwa opisanych pod adresem security.heyharmony.com w okresie obowiązywania niniejszej Umowy. Istotne zmiany będą komunikowane Administratorowi zgodnie z §7.

AII.4. W przypadku gdy Formularz Zamówienia wyraźnie dopuszcza przekazywanie Szczególnych Kategorii Danych Osobowych zgodnie z §3.4, Podmiot przetwarzający stosuje następujące dodatkowe zabezpieczenia: ograniczenie dostępu do tych kategorii do imiennie wskazanych członków personelu na podstawie udokumentowanej zasady wiedzy koniecznej (need-to-know); rejestrowanie wszelkiego dostępu do takich danych i ich eksportu; oraz szyfrowanie danych w spoczynku przy użyciu kluczy odrębnych od kluczy stosowanych do innych Danych Klienta.

Załącznik E - Brazylia (LGPD)

E.1. Niniejszy Załącznik ma zastosowanie, gdy przetwarzanie podlega LGPD, w tym gdy Podmiotem Kontraktującym Harmony jest Harmony Brasil. Uzupełnia on, a nie zastępuje, zasadniczą treść niniejszej Umowy.

E.2. Role. Harmony działa jako operador, a Administrator działa jako controlador w rozumieniu art. 5 LGPD. Odesłania w niniejszej Umowie do Podmiotu przetwarzającego i Administratora należy rozumieć odpowiednio.

E.3. Transfery międzynarodowe. Przekazywanie danych osobowych poza Brazylię odbywa się na podstawie art. 33 LGPD, w oparciu o Standardowe Klauzule Umowne ANPD zgodnie z pkt A1.7 lub inny mechanizm dopuszczony przez art. 33. Na żądanie Podmiot przetwarzający informuje Administratora, który mechanizm ma zastosowanie do danego transferu.

E.4. Prawa osób, których dane dotyczą. Podmiot przetwarzający pomaga Administratorowi w udzielaniu odpowiedzi na żądania składane na podstawie art. 18 LGPD, w tym żądania potwierdzenia przetwarzania, dostępu, sprostowania, anonimizacji, zablokowania lub usunięcia danych zbędnych lub nadmiarowych bądź danych przetwarzanych z naruszeniem LGPD, przenoszenia danych, udzielenia informacji o podmiotach publicznych i prywatnych, którym dane zostały udostępnione, udzielenia informacji o możliwości odmowy wyrażenia zgody i konsekwencjach takiej odmowy, a także ponownego rozpatrzenia decyzji podjętych wyłącznie na podstawie zautomatyzowanego przetwarzania.

E.5. Terminy odpowiedzi. Podmiot przetwarzający udziela pomocy, o której mowa w pkt E.4, w terminie umożliwiającym Administratorowi udzielenie odpowiedzi w terminach określonych w LGPD. O ile Formularz Zamówienia nie stanowi inaczej, Podmiot przetwarzający odpowiada na prośbę Administratora o pomoc w terminie pięciu (5) dni roboczych od jej otrzymania, a w każdym przypadku w terminie umożliwiającym Administratorowi przekazanie potwierdzenia przetwarzania i zapewnienie dostępu, o których mowa w art. 19 LGPD, w terminie piętnastu (15) dni od złożenia żądania przez osobę, której dane dotyczą.

E.6. Incydenty bezpieczeństwa. Zastosowanie ma termin zgłoszenia określony w §6.1 niniejszej Umowy, który jest krótszy niż termin przewidziany w art. 48 LGPD, tak aby Administrator mógł wywiązać się ze swoich obowiązków wobec ANPD i osób, których dane dotyczą, wynikających z art. 48 oraz Resolução CD/ANPD nº 15/2024.

E.7. Rejestry i raportowanie. Rejestr prowadzony zgodnie z §5.11 spełnia wymóg prowadzenia rejestru operacji przetwarzania określony w art. 37 LGPD, a Podmiot przetwarzający udostępnia go Administratorowi na potrzeby wszelkich raportów składanych do ANPD.

E.8. Aneks krajowy. W przypadku gdy Administrator zawiera umowę z Harmony Brasil, zastosowanie ma Aneks krajowy dla Brazylii do Regulaminu, a §11.8 niniejszej Umowy należy rozumieć odpowiednio.

E.9. Encarregado. Podmiot przetwarzający wyznaczył osobę odpowiedzialną za przetwarzanie danych osobowych (encarregado pelo tratamento de dados pessoais) w rozumieniu art. 41 LGPD. Tożsamość encarregado oraz kanał kontaktu z tą osobą są opublikowane pod adresem security.heyharmony.com oraz na stronie Podmiotu przetwarzającego poświęconej prywatności. Wiadomości od osób, których dane dotyczą, oraz od ANPD dotyczące danych osobowych przetwarzanych na podstawie niniejszej Umowy mogą być kierowane za pośrednictwem tego kanału. Wyznaczenie encarregado przez Podmiot przetwarzający nie zwalnia Administratora z obowiązku wyznaczenia własnego encarregado.

E.10. Współpraca z ANPD. Podmiot przetwarzający współpracuje z ANPD w zakresie wykonywania przez ten organ jego uprawnień wynikających z LGPD. Podmiot przetwarzający niezwłocznie informuje Administratora o każdym wniosku, nakazie lub komunikacie otrzymanym od ANPD, który dotyczy danych osobowych przetwarzanych w imieniu Administratora, chyba że obowiązujące przepisy prawa tego zabraniają, oraz udziela Administratorowi rozsądnej pomocy w udzieleniu na nie odpowiedzi.

Podpisy

Podmiot przetwarzający (Podmiot Kontraktujący Harmony wskazany w Formularzu Zamówienia)

Podmiot (zgodnie ze wskazaniem w Formularzu Zamówienia):

☐ Harmony Global Inc. ☐ Harmony Labs Limited ☐ Harmony Brasil Ltda.

Podpis: ______________________________

Imię i nazwisko: ____________________________

Stanowisko: ____________________________

Data: ____________________________

Administrator (Klient)

Podpis: ______________________________

Imię i nazwisko: ____________________________

Stanowisko: ____________________________

Data: ____________________________