Umowa powierzenia przetwarzania danych
Między drukarnią, która korzysta z serwisu, a operatorem serwisu. Zawierana z chwilą założenia konta.
Kto jest kim
Administratorem danych osobowych klientów składających zamówienia jest drukarnia — to ona zawiera z klientem umowę o wykonanie wydruku i to ona decyduje, po co te dane są jej potrzebne.
Podmiotem przetwarzającym jest operator serwisu, Lucjan Izworski. Przetwarza dane klientów wyłącznie w imieniu drukarni i wyłącznie po to, żeby serwis działał: żeby zamówienie dotarło, żeby pliki dało się pobrać, żeby dało się napisać do klienta i pokazać mu stan realizacji.
To rozróżnienie nie jest formalnością. Oznacza, że operator nie ma prawa użyć danych klientów drukarni do niczego własnego — ani do marketingu, ani do budowania listy adresów, ani do sprzedaży komukolwiek.
Czego dotyczy powierzenie
| Element | Treść |
|---|---|
| Przedmiot | Przechowywanie i udostępnianie danych zamówień złożonych przez kalkulator drukarni |
| Czas | Przez okres prowadzenia konta drukarni; po jego usunięciu dane są kasowane |
| Charakter i cel | Wyłącznie techniczna obsługa zamówień — bez profilowania i bez decyzji automatycznych wobec klientów |
| Rodzaj danych | Imię i nazwisko lub nazwa, e-mail, telefon, adres wysyłki, treść wiadomości, pliki modeli, adres IP przy składaniu oświadczeń |
| Kategorie osób | Klienci drukarni składający zamówienia |
| Dane szczególnych kategorii | Nie są przetwarzane. Serwis nie zbiera takich danych i nie ma na nie miejsca w formularzu |
Obowiązki operatora
- Przetwarza dane wyłącznie na udokumentowane polecenie drukarni. Poleceniem jest korzystanie z serwisu zgodnie z jego przeznaczeniem; każde inne wymaga odrębnego uzgodnienia na piśmie.
- Dopuszcza do danych wyłącznie osoby zobowiązane do zachowania poufności.
- Stosuje środki bezpieczeństwa odpowiadające ryzyku: szyfrowane połączenie, hasła przechowywane wyłącznie w postaci skrótu, dostęp do plików modeli tylko dla zalogowanej drukarni, do której trafiło zamówienie, oraz dostęp klienta wyłącznie przez losowy, jednorazowy odnośnik do jego własnego zamówienia.
- Pomaga drukarni odpowiadać na żądania klientów — dostęp, sprostowanie, usunięcie, przenoszenie — udostępniając w panelu narzędzia do wykonania tego bez kontaktu z operatorem.
- Pomaga drukarni wypełnić obowiązki z art. 32–36 RODO, w tym zgłoszenie naruszenia. O naruszeniu dotyczącym danych drukarni informuje ją bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
- Po usunięciu konta kasuje dane. Nie zostaje kopia „na wszelki wypadek”.
- Udostępnia drukarni informacje niezbędne do wykazania spełnienia tych obowiązków i umożliwia audyt — w praktyce: pełny eksport danych konta jest dostępny w panelu o każdej porze, bez pytania operatora o zgodę.
Podprzetwarzający
Operator korzysta z hostingu OVH Sp. z o.o., Polska (Warszawa). Drukarnia wyraża na to ogólną zgodę. O zamiarze zmiany albo dodania kolejnego podprzetwarzającego operator informuje z wyprzedzeniem 30 dni; drukarnia może w tym czasie wypowiedzieć umowę, usuwając konto.
Jeśli drukarnia korzysta z logowania przez Google albo Facebooka, dane jej własnego konta trafiają do tych firm — ale to jest przetwarzanie ich własne, jako odrębnych administratorów, i nie dotyczy danych klientów drukarni. Szczegóły w zasadach przetwarzania danych.
Okres przechowywania plików modeli
Pliki modeli są kasowane automatycznie 30 dni po zakończeniu zamówienia, a na wcześniejsze żądanie klienta — od razu. Zamówienie, którego drukarnia nigdy nie zamknęła, traci pliki po 90 dniach od złożenia; to zawór bezpieczeństwa, żeby model nie leżał w nieskończoność tylko dlatego, że nikt nie przestawił statusu.
Reszta danych zamówienia (kwoty, daty, wymiary) zostaje, bo drukarnia potrzebuje jej do rozliczeń i to ona odpowiada za okres ich przechowywania — pięcioletni obowiązek z ustawy o rachunkowości dotyczy właśnie tych danych, nigdy pliku modelu.
Okres 30 dni jest ustawieniem serwisu. Drukarnia, która potrzebuje innego, ustala go z operatorem — ale każde wydłużenie musi mieć powód dający się nazwać, bo dłuższe przechowywanie bez powodu jest naruszeniem zasady ograniczenia przechowywania.
Odpowiedzialność
Operator odpowiada za szkodę wyrządzoną przetwarzaniem tylko wtedy, gdy nie dopełnił obowiązków nałożonych na podmioty przetwarzające albo działał wbrew poleceniom drukarni. Za zgodność z prawem samego zbierania danych od klientów odpowiada drukarnia — to ona jest ich administratorem.
Zawarcie i wypowiedzenie
Umowa zostaje zawarta z chwilą założenia konta drukarni i akceptacji tego dokumentu. Obowiązuje tak długo, jak konto istnieje. Usunięcie konta w panelu jest jednocześnie jej wypowiedzeniem i poleceniem usunięcia danych.
O zmianach tego dokumentu operator informuje drukarnie z co najmniej 30-dniowym wyprzedzeniem. Data akceptacji przez konkretną drukarnię jest zapisana w bazie i widoczna w eksporcie jej danych.