Umowa powierzenia przetwarzania danych

Niniejsze tłumaczenie ma charakter informacyjny. W razie rozbieżności wiążąca jest angielska wersja dokumentu.

1. Strony i ich relacja

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi integralną część Regulaminu świadczenia usług zawartego pomiędzy Slawomirem Kuprowskim, prowadzącym działalność pod nazwą ARRAC.IO („Podmiot przetwarzający”, „ARRAC”, „my”), a Klientem wskazanym w odpowiednim zamówieniu („Administrator”, „Klient”, „Ty”). W odniesieniu do danych osobowych opisanych w niniejszej DPA Klient jest administratorem danych, a ARRAC podmiotem przetwarzającym — każde w rozumieniu UK GDPR oraz Data Protection Act 2018.

2. Przedmiot i czas trwania

ARRAC przetwarza dane osobowe w imieniu Klienta wyłącznie w celu świadczenia usług Platformy — zautomatyzowanego monitorowania bezpieczeństwa, badania zagrożeń oraz powstrzymywania zagrożeń w środowisku Microsoft 365 Klienta. Przetwarzanie trwa przez okres obowiązywania Subskrypcji oraz przez każdy późniejszy okres niezbędny do wypełnienia przez ARRAC obowiązków usunięcia lub zwrotu danych wynikających z pkt 11.

3. Charakter i cel przetwarzania

Platforma ARRAC łączy się z tenantem Microsoft 365 Klienta za pośrednictwem uprawnień wyraźnie nadanych przez Klienta w trakcie wdrożenia. Platforma pozyskuje sygnały istotne dla bezpieczeństwa (aktywność logowania, zdarzenia ryzyka tożsamości, wykrycia zagrożeń w poczcie e-mail, alerty zgodności i podobne), analizuje je — w tym przy wsparciu AI — w celu identyfikacji rzeczywistych zagrożeń, a następnie, w zależności od poziomu autonomii skonfigurowanego przez Klienta, rekomenduje lub automatycznie wykonuje działania powstrzymujące (na przykład unieważnienie sesji lub uprawnień aplikacji). Przetwarzanie ogranicza się do zakresu racjonalnie niezbędnego do realizacji tych celów bezpieczeństwa.

4. Kategorie danych i osób, których dane dotyczą

Kategorie przetwarzanych danych osobowych obejmują zazwyczaj: główne nazwy użytkowników (UPN) i adresy e-mail, adresy IP oraz metadane logowania, informacje o urządzeniu i lokalizacji powiązane ze zdarzeniami logowania, a także treść alertów bezpieczeństwa generowanych przez usługi bezpieczeństwa Microsoftu (które mogą ubocznie odwoływać się do metadanych wiadomości lub nazw plików, lecz — w normalnym toku działania — nie do właściwej treści wiadomości e-mail ani dokumentów).

Kategorie osób, których dane dotyczą, to pracownicy i współpracownicy Klienta oraz inne osoby posiadające konta w tenancie Microsoft 365 Klienta.

5. Obowiązki podmiotu przetwarzającego

ARRAC zobowiązuje się: przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Klienta (w tym w zakresie określonym w niniejszej DPA), chyba że prawo stanowi inaczej; zapewnić, że każda osoba upoważniona do przetwarzania danych osobowych (w tym sam ARRAC, działający jako jednoosobowy przedsiębiorca) jest związana obowiązkiem zachowania poufności; wdrożyć odpowiednie techniczne i organizacyjne środki bezpieczeństwa opisane w pkt 8; nie korzystać z usług dalszego podwykonawcy przetwarzania bez uprzedniego powiadomienia Klienta w sposób opisany w pkt 6; wspierać Klienta w sposób opisany w pkt 10; a także — według wyboru Klienta — usunąć lub zwrócić wszystkie dane osobowe po zakończeniu okresu Subskrypcji, zgodnie z pkt 11.

6. Podwykonawcy przetwarzania

Klient udziela ogólnej zgody na korzystanie przez ARRAC z wymienionych poniżej podwykonawców przetwarzania, z których każdy jest angażowany wyłącznie do wskazanej funkcji. ARRAC powiadomi Klienta o każdej planowanej zmianie tej listy (dodaniu lub zastąpieniu podwykonawcy) z co najmniej 14-dniowym wyprzedzeniem, w trakcie którego Klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych.

Lista odzwierciedla podwykonawców przetwarzania ARRAC na dzień wskazany na górze tej strony i będzie na bieżąco aktualizowana w tym miejscu.

7. Przekazywanie danych poza granice kraju

Niektórzy z wymienionych wyżej podwykonawców przetwarzania mają siedziby poza Zjednoczonym Królestwem, w tym w Stanach Zjednoczonych. W przypadku przekazywania danych osobowych takiemu podwykonawcy ARRAC opiera się na odpowiednim mechanizmie transferu uznawanym w brytyjskim prawie ochrony danych — takim jak UK International Data Transfer Agreement lub UK Addendum do standardowych klauzul umownych UE — zawartym z danym podwykonawcą.

8. Środki bezpieczeństwa

ARRAC utrzymuje środki techniczne i organizacyjne odpowiednie do poziomu ryzyka, w tym: szyfrowanie danych w tranzycie oraz, tam gdzie ma to zastosowanie, w spoczynku; model dostępu oparty na zasadzie minimalnych uprawnień i podwójnych poświadczeniach, oddzielający monitorowanie wyłącznie do odczytu od działań powstrzymujących wymagających zapisu, przy czym uprawnienia zapisu są utrzymywane wyłącznie na czas niezbędny do wykonania konkretnego zatwierdzonego działania; niezmienialny dziennik audytowy wszystkich działań podejmowanych przez Platformę w środowisku Klienta; a także kontrole dostępu ograniczające dostęp personelu ARRAC do Danych Klienta do zakresu niezbędnego do świadczenia i wsparcia Platformy. Więcej szczegółów znajdziesz na stronie Bezpieczeństwo.

9. Zgłaszanie naruszeń

ARRAC powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od powzięcia wiadomości, o każdym naruszeniu ochrony danych osobowych dotyczącym danych Klienta, przekazując dostępne informacje umożliwiające Klientowi wypełnienie jego własnych obowiązków notyfikacyjnych wynikających z obowiązującego prawa.

10. Wsparcie administratora danych

ARRAC zapewni Klientowi racjonalne wsparcie w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie i podobne), a także w przeprowadzanych przez Klienta ocenach skutków dla ochrony danych oraz w konsultacjach z organami nadzorczymi — w zakresie, w jakim dotyczą one przetwarzania realizowanego przez ARRAC na podstawie niniejszej DPA.

11. Usunięcie i zwrot danych

Po zakończeniu okresu Subskrypcji ARRAC — zgodnie z pisemnym wyborem Klienta — usunie lub zwróci wszystkie dane osobowe przetwarzane na podstawie niniejszej DPA w terminie 30 dni, z wyjątkiem zakresu, w jakim ich przechowywanie jest wymagane przez prawo; w takim przypadku ARRAC będzie nadal chronić te dane i przetwarzać je wyłącznie w celu wynikającym z tego obowiązku.

12. Prawo do audytu

ARRAC udostępni Klientowi informacje racjonalnie niezbędne do wykazania zgodności z niniejszą DPA oraz umożliwi przeprowadzanie audytów, w tym inspekcji, przez Klienta lub audytora przez niego upoważnionego, i będzie się do nich przyczyniać — po uprzednim racjonalnym powiadomieniu i nie częściej niż raz w roku, o ile nie wystąpią szczególne okoliczności uzasadniające obawy.