Umowa powierzenia przetwarzania danych (DPA)

SZKIC — przed publikacją do przejrzenia przez prawnika. Ostatnia aktualizacja: 2026-11-07 · Niniejsza umowa i włączona do niej lista dalszych podmiotów przetwarzających są publikowane w językach interfejsu wymienionych w pkt 1a regulaminu; dla klientów będących przedsiębiorcami rozstrzygająca jest wersja angielska, a do konsumentów ma zastosowanie pkt 12 regulaminu. Oba są w każdej chwili dostępne po francusku; klienci, którzy korzystają z usługi po francusku, akceptują wersję francuską.

Niniejsza umowa stanowi część regulaminu obowiązującego między klientem (nauczycielem lub szkołą — „Administrator”) a TutorHabitat LLC („Podmiot przetwarzający”). Ma zastosowanie, gdy prawo mające zastosowanie do danych Administratora wymaga zawarcia umowy z podmiotem, który przetwarza je w jego imieniu — art. 28 RODO, umowa z usługodawcą (service provider) lub podmiotem przetwarzającym na podstawie California Consumer Privacy Act albo porównywalnej ustawy stanowej w USA, art. 18.3 quebeckiej ustawy o ochronie danych osobowych w sektorze prywatnym albo przepisy o umowach z podmiotem przetwarzającym obowiązujące w Szwajcarii (art. 9 szwajcarskiej federalnej ustawy o ochronie danych, FADP), Meksyku, Kolumbii, Chile lub Tajwanu (art. 8 przepisów wykonawczych do tajwańskiej ustawy o ochronie danych osobowych), albo inne prawo, które ma zastosowanie do danych Administratora i wymaga takiej umowy — i jest wtedy akceptowana razem z regulaminem w zakresie, w jakim wymaga tego to prawo. Pkt 3 ppkt 7 (zgłaszanie naruszeń), pkt 3 ppkt 8 (zwrot lub usunięcie danych) i pkt 4 (dalsze podmioty przetwarzające) mają zastosowanie wszędzie tam, gdzie ma zastosowanie niniejsza umowa, w tym na gruncie prawa Meksyku, Kolumbii, Chile, Tajwanu i Quebecu. Pkt 3 ppkt 6 i pkt 3 ppkt 9 oraz załącznik 3 są zobowiązaniami umownymi tylko wtedy, gdy ma zastosowanie RODO lub szwajcarska FADP; każda część załącznika 2 ma zastosowanie tylko wtedy, gdy ma zastosowanie prawo w niej wskazane. Jeżeli takie prawo nie ma zastosowania, przetwarzanie przez nas danych Administratora reguluje regulamin i Polityka prywatności; obecnie stosujemy te same praktyki, nie przyjmując zobowiązań umownych z pkt 3 ppkt 6–9 i pkt 4. Załącznik 2 zawiera postanowienia dotyczące poszczególnych jurysdykcji i ma pierwszeństwo w odniesieniu do danych, do których mają zastosowanie te przepisy. Postanowień dotyczących UK GDPR nie zawarto, ponieważ usługa nie jest kierowana do Zjednoczonego Królestwa.

1. Przedmiot, czas trwania, charakter i cel

• Przedmiot: hosting i przetwarzanie danych, które Administrator wprowadza do usługi.
• Czas trwania: przez okres istnienia konta klienta i do czasu zwrotu lub usunięcia danych zgodnie z pkt 3 ppkt 8.
• Charakter i cel: przechowywanie, wyświetlanie i udostępnianie na lekcjach; rozmowy głosowe i wideo na żywo przekazywane przez nasze serwery; planowanie zajęć, przypomnienia, ewidencja rozliczeń i strona płatnika (pokazująca płatnikom należności i własne dane do płatności Administratora; Podmiot przetwarzający nie przyjmuje, nie przechowuje ani nie przekazuje pieniędzy). Nagrywanie, transkrypcja, asystent AI ucznia, odczyt pisma odręcznego na tablicy przez AI i pozostałe funkcje AI, które korzystają z danych uczniów, działają wyłącznie za zgodami zbieranymi w usłudze, jak opisano w Zasadach AI, tabela „Funkcje AI i zgody”; Podmiot przetwarzający wdraża opisane tam zasady (w tym wyłączenie nagrywania po sprzeciwie ucznia, automatyczne usunięcie transkrypcji ucznia niepełnoletniego po cofnięciu zgody przez rodzica albo sprzeciwie zgłoszonym przez ucznia lub w jego imieniu, wyłączenie transkrypcji ucznia pełnoletniego z użycia przez AI po cofnięciu zgody, odrzucanie żądań niespełniających tych zasad oraz komunikat wyświetlany Administratorowi po cofnięciu zgody). Transkrypcje są przechowywane jako dokumentacja lekcji Administratora, na podstawie własnej podstawy prawnej Administratora, przez okres ustawiony przez Administratora (domyślnie 300 dni od lekcji, najwyżej 730 dni), a potem usuwane automatycznie. Podmiot przetwarzający nie używa danych do trenowania modeli AI, a jego umowy z dalszymi podmiotami przetwarzającymi dostarczającymi AI tego im zabraniają. Asystenci AI, których Podmiot przetwarzający używa do rozwoju, utrzymania i wsparcia usługi (pkt 3 ppkt 2), nie są funkcją AI usługi i nie zależą od zgód na funkcje AI.

2. Kategorie osób, których dane dotyczą, i kategorie danych

• Osoby, których dane dotyczą: uczniowie (w tym niepełnoletni), rodzice/opiekunowie prawni, płatnicy, personel Administratora.
• Dane: strumienie audio/wideo na żywo przekazywane w czasie rzeczywistym (nieprzechowywane, chyba że włączone jest nagrywanie); imiona i nazwiska, dane kontaktowe, klasa i przedmioty, plan zajęć i historia lekcji, kwoty i płatności odnotowane przez Administratora, dane do płatności Administratora pokazywane płatnikom, treść lekcji (tablice wraz z dziennikiem zmian tablicy, czyli zapisem, kto i kiedy utworzył każdy wpis, czat, notatki, materiały, zadania domowe), zapisy zgód; rejestr zużycia AI (czas, funkcja, pokój, identyfikatory ucznia i użytkownika, liczba tokenów, kredyty; bez treści pytań i odpowiedzi), przechowywany przez 12 miesięcy (okres kroczący), a potem sprowadzany do miesięcznych sum bez identyfikatorów ucznia, pokoju i użytkownika; za zgodą — nagrania głosu (usuwane po transkrypcji) i rozmowy z AI; transkrypcje nagranych lekcji, przechowywane przez okres ustawiony przez Administratora (domyślnie 300 dni od lekcji, najwyżej 730 dni; po jego upływie usuwane automatycznie); historia tablicy służąca do odtwarzania lekcji, przechowywana przez ten sam okres; rozmowy ucznia z AI są usuwane po cofnięciu zgody na asystenta AI, jeżeli opcja ich usunięcia pozostanie zaznaczona, albo na polecenie Administratora.
• COPPA (uczniowie mieszkający w USA, którzy nie ukończyli 13 lat): informacja wymagana przez COPPA, e-mail rodzica użyty do jej przekazania, dokumentacja sprawy i podpisany formularz zgody nie są przetwarzane w imieniu Administratora: Podmiot przetwarzający przetwarza je jako operator w rozumieniu COPPA i jako administrator. Odmowę na gruncie COPPA lub żądanie usunięcia danych wykonuje Podmiot przetwarzający jako operator, łącznie z usunięciem danych osobowych zebranych od dziecka, nawet jeżeli Administrator jest administratorem dziennika lekcji; usunięcie jest odnotowywane w historii zmian Administratora.
• Szczególne kategorie danych (art. 9 ust. 1 RODO) i dane dotyczące wyroków skazujących oraz czynów zabronionych (art. 10 RODO): nie są przewidziane. Usługa jest przeznaczona wyłącznie do nauczania; nie ma pól ani funkcji przeznaczonych na takie dane i nic w niej nie skłania użytkowników do ich wprowadzania; Administrator poleca, aby takich danych nie wprowadzano (Zasady korzystania, „Dane wrażliwe”). Podmiot przetwarzający nie monitoruje treści wprowadzanych przez użytkowników, ponieważ samo to stanowiłoby zbędne przetwarzanie. Nagrania głosu nie są wykorzystywane do identyfikacji osób (brak przetwarzania biometrycznego). Przelotna wzmianka podczas lekcji nie jest przetwarzana dla niej samej i może być przetwarzana wyłącznie jako część transkrypcji lekcji lub notatki AI na podstawie wyraźnej zgody, o której mowa w następnym zdaniu. Jeżeli takie dane mimo to się pojawią (na przykład w transkrypcji lub notatce AI z lekcji), zgody zbierane w usłudze wyraźnie to obejmują (art. 9 ust. 2 lit. a RODO), a po cofnięciu zgody Administrator bez zbędnej zwłoki przegląda i usuwa te dane (Zasady AI, tabela „Funkcje AI i zgody”); art. 6 ust. 1 lit. f RODO ich nie obejmuje.

3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora (poleceniami są ustawienia usługi i regulamin), chyba że prawo stanowi inaczej — w takim przypadku informuje o tym Administratora, o ile prawo tego nie zakazuje; jeżeli uzna, że polecenie narusza przepisy o ochronie danych, informuje o tym Administratora i może wstrzymać wykonanie tego polecenia do czasu jego potwierdzenia lub zmiany;
2. zapewnia, by osoby mające dostęp do danych zobowiązały się do zachowania poufności; personel Podmiotu przetwarzającego otwiera przestrzeń Administratora wyłącznie w celu udzielenia pomocy, o którą Administrator poprosił, zapewnienia bezpieczeństwa usługi albo gdy wymaga tego prawo, a każdy taki dostęp jest zapisywany w historii zmian Administratora (czas oraz informacja o dostępie operatora usługi; bez przeglądanej treści), chyba że prawo zakazuje informowania o tym Administratora; asystenci AI, których Podmiot przetwarzający używa do rozwoju, utrzymania i wsparcia usługi, mają dostęp do danych osobowych tylko wtedy, gdy jest to potrzebne do utrzymania, wsparcia (w tym zgłoszenia użytkownika do wsparcia) albo obsługi incydentu; dostęp personelu jest ograniczony do niezbędnego zakresu, odbywa się przez szyfrowane połączenia i jest rejestrowany; miejsca, z których personel uzyskuje dostęp do danych, są opisane w ocenie skutków przekazania (udostępnianej Administratorowi na żądanie), którą Podmiot przetwarzający aktualizuje, gdy się one zmieniają;
3. stosuje środki bezpieczeństwa określone w załączniku 1;
4. korzysta z usług dalszych podmiotów przetwarzających wyłącznie na zasadach określonych w pkt 4;
5. pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą (narzędzia do eksportu, poprawiania i usuwania danych w usłudze; na żądanie — usunięcie lub eksport, których Administrator nie może wykonać sam);
6. pomaga Administratorowi w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych i uprzednich konsultacji, uwzględniając informacje dostępne Podmiotowi przetwarzającemu;
7. zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje, których Administrator potrzebuje do wykonania własnych obowiązków w zakresie zgłaszania;
8. po zakończeniu świadczenia usługi, zależnie od wyboru Administratora, zwraca dane (eksport na żądanie przed zamknięciem konta) albo usuwa je bez zbędnej zwłoki po zamknięciu konta, chyba że prawo nakazuje ich przechowywanie; kopie w zaszyfrowanych kopiach zapasowych wygasają w ciągu około 30 dni;
9. udostępnia informacje niezbędne do wykazania przestrzegania obowiązków i umożliwia przeprowadzanie audytów przez Administratora lub upoważnionego przez niego audytora. Podmiot przetwarzający w pierwszej kolejności przekazuje dokumentację i raporty; Administrator może przeprowadzić audyt raz w roku, z zachowaniem 30-dniowego wyprzedzenia, a dodatkowo po naruszeniu ochrony danych osobowych lub gdy wymaga tego organ nadzorczy. Audytorzy są zobowiązani do zachowania poufności; audyty nie mogą w nieuzasadniony sposób zakłócać działania usługi. Audyty przeprowadza się na koszt Administratora, chyba że ujawnią istotne naruszenie ze strony Podmiotu przetwarzającego, i przeprowadza się je w drodze przeglądu dokumentacji, jeżeli jest to wystarczające.

4. Dalsze podmioty przetwarzające

Administrator udziela ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających wymienionych na liście Podmioty przetwarzające. Podmiot przetwarzający ogłasza nowe lub zastępowane dalsze podmioty przetwarzające z co najmniej 14-dniowym wyprzedzeniem na stronie z listą dalszych podmiotów przetwarzających i w usłudze; w tym terminie Administrator może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; jeżeli nie uda się znaleźć rozwiązania, Administrator może wypowiedzieć umowę w zakresie usługi, której to dotyczy, a Podmiot przetwarzający zwróci się do sprzedawcy (Paddle.com Market Limited, działającego jako Merchant of Record, czyli sprzedawca, który sprzedaje we własnym imieniu i rozlicza podatki) o proporcjonalny zwrot opłat wniesionych z góry za tę usługę na podstawie warunków dla kupujących sprzedawcy. Podmiot przetwarzający nakłada na każdy dalszy podmiot przetwarzający, w drodze pisemnej umowy, te same obowiązki w zakresie ochrony danych i pozostaje za niego odpowiedzialny.

Własny klucz AI Administratora. Jeżeli Administrator podłączy klucz API własnego dostawcy AI, zapytania AI z jego przestrzeni są wysyłane do tego dostawcy na podstawie własnej umowy Administratora z nim; dostawca działa na podstawie tej umowy i nie jest dalszym podmiotem przetwarzającym Podmiotu przetwarzającego. Podłączając klucz, Administrator wskazuje dostawcę; Podmiot przetwarzający przesyła dane wyłącznie na polecenie Administratora, wysyła tylko pola dozwolone przez zasady dotyczące zgody na asystenta AI i nie ustala celów przetwarzania. Zanim klucz zostanie użyty do danych lekcji, Administrator musi potwierdzić w usłudze, że warunki lub ustawienia dostawcy zabraniają trenowania na jego treściach; w przeciwnym razie Podmiot przetwarzający nie wysyła danych lekcji z użyciem tego klucza. Warunki dostawcy dotyczące trenowania, przechowywania i przekazywania danych są sprawą między Administratorem a dostawcą i nie leżą w zakresie odpowiedzialności Podmiotu przetwarzającego. Podmiot przetwarzający przechowuje klucz w postaci zaszyfrowanej i usuwa go, gdy Administrator go odłączy.

Inne integracje wybrane przez Administratora (na przykład jego własny dostawca SMS lub webhook) również działają na podstawie własnej umowy Administratora i nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego; Podmiot przetwarzający przekazuje tylko to, czego wymaga funkcja, na polecenie Administratora.

5. Przekazywanie danych do państw trzecich

Dane są przechowywane na serwerach w UE. Podmiot przetwarzający ma siedzibę w USA. Przekazanie danych Podmiotowi przetwarzającemu przez Administratora jest objęte standardowymi klauzulami umownymi (decyzja wykonawcza Komisji (UE) 2021/914) określonymi w załączniku 3; ocena skutków przekazania jest udostępniana Administratorowi na żądanie. Dalsze przekazywanie danych dalszym podmiotom przetwarzającym spoza EOG (zob. Podmioty przetwarzające) odbywa się zgodnie z klauzulą 8.8 tych klauzul: każdy taki dalszy podmiot przetwarzający (w tym dostawcy AI) jest związany standardowymi klauzulami umownymi (moduł 3) w podpisanej umowie, a Podmiot przetwarzający przed jego zaangażowaniem ocenia przekazanie danych do tego podmiotu zgodnie z klauzulą 14. Asystent AI ucznia działa ponadto wyłącznie po wyrażeniu zgody opisanej w pkt 6; zgoda ta jest zabezpieczeniem produktowym, a nie podstawą przekazania. Dane, których administratorem jest sam Podmiot przetwarzający, nie są objęte niniejszą umową: dostawca hostingu w UE (jego podmiot przetwarzający) udostępnia mu je na podstawie modułu 4 (podmiot przetwarzający – administrator), a dostawcy AI otrzymują je na podstawie modułu 2 (administrator – podmiot przetwarzający), na przykład na potrzeby asystenta pomocy i asystentów AI, z których Podmiot przetwarzający korzysta przy rozwoju i wsparciu usługi.

6. Zgody zbierane za pośrednictwem usługi

Usługa udostępnia strony zgód (nagrywanie, asystent AI ucznia) w języku użytkownika i przechowuje zapis tego, kto wyraził zgodę, kiedy, na którą wersję tekstu i w jakim języku. Administrator decyduje, czy korzystać z tych funkcji, i pozostaje odpowiedzialny za podstawę prawną, w tym za swoją podstawę w postaci prawnie uzasadnionego interesu w przechowywaniu transkrypcji i za rozpatrywanie sprzeciwów wobec przechowywania transkrypcji (art. 21 RODO); zgody, na których opiera się korzystanie z AI, są opisane w Zasadach AI, tabela „Funkcje AI i zgody”. Podmiot przetwarzający zapewnia narzędzia (ustawienie okresu przechowywania w granicach okresu domyślnego i maksymalnego, usuwanie nagrań i transkrypcji w usłudze oraz zasady opisane w pkt 1).

7. Odpowiedzialność i pierwszeństwo

Odpowiedzialność określa regulamin, z tym że w przypadku roszczeń z tytułu niniejszej umowy górną granicą jest wyższa z dwóch kwot: opłaty wniesione w ciągu 12 miesięcy przed zgłoszeniem roszczenia albo EUR 1,000 (dotyczy to również bezpłatnej wersji beta lub okresu próbnego). Jeżeli niniejsza umowa jest sprzeczna z regulaminem w zakresie ochrony danych, pierwszeństwo ma niniejsza umowa; załącznik 3 ma pierwszeństwo przed oboma tymi dokumentami.

Załącznik 1 — Techniczne i organizacyjne środki bezpieczeństwa

• Szyfrowanie danych przesyłanych: szyfrowane połączenia (HTTPS/TLS) dla całego ruchu; rozmowy głosowe i wideo na żywo przekazywane przez nasze własne serwery w UE, a nie przez zewnętrzne usługi wideokonferencji.
• Interfejs w przeglądarce: ścisła polityka bezpieczeństwa treści (Content Security Policy); żadnych skryptów, czcionek ani innych zasobów podmiotów trzecich.
• Uwierzytelnianie: hasła przechowywane z użyciem nowoczesnej funkcji skrótu haseł z solą; weryfikacja dwuetapowa dostępna dla każdego konta i dla panelu administracyjnego operatora; bezpieczne pliki cookie sesji; zmiana hasła albo „Wyloguj na wszystkich innych urządzeniach” unieważnia pozostałe sesje; ochrona przed atakami siłowymi przy logowaniu i dostępie do serwera; panel administracyjny operatora oddzielony od usługi dla klientów.
• Serwer i sieć: zapora sieciowa z otwartymi tylko niezbędnymi portami; automatyczne aktualizacje zabezpieczeń; monitoring.
• Kontrola dostępu i izolacja: role sprawdzane na serwerze; uczniowie wchodzą do pokoju lekcyjnego wyłącznie przez prywatny link, który nauczyciel może odnowić lub unieważnić; logiczna izolacja przestrzeni każdego klienta; tryb testowy administratora służy wyłącznie do odczytu, jest rejestrowany i ograniczony w czasie.
• Przesyłane pliki: kontrola rozmiaru i typu pliku; dokumenty konwertowane w odizolowanym środowisku bez dostępu do sieci; treści użytkowników nie są wyświetlane jako HTML.
• Minimalizacja i usuwanie: nagrania usuwane zaraz po transkrypcji; transkrypcja na naszym własnym hostingu (albo, jeżeli zostanie to włączone, na maszynach w UE używanych wyłącznie do tego zadania); zapytania AI zawierają tylko niezbędne pola; rejestr zużycia AI bez treści pytań i odpowiedzi.
• Rejestrowanie zdarzeń: dzienniki serwera przechowywane do 30 dni, z adresami IP w dziennikach dostępu skracanymi; wpisy dotyczące bezpieczeństwa w historii zmian aplikacji przechowywane przez ograniczony czas; dostęp operatora do przestrzeni klienta zapisywany w historii zmian tego klienta.
• Kopie zapasowe: zaszyfrowane kopie zapasowe w UE, szyfrowane przed wysłaniem, tak że dostawca przechowywania nie może ich odczytać; usunięte dane znikają z nich w ciągu około 30 dni.
• Klucze i dane uwierzytelniające: klucze API dostawców z minimalnymi uprawnieniami; dane uwierzytelniające przechowywane poza repozytorium kodu; własne klucze AI klientów przechowywane w postaci zaszyfrowanej, nigdy nie zwracane do przeglądarki, usuwane po odłączeniu.
• Organizacja: zobowiązanie personelu do zachowania poufności i minimalny dostęp przez szyfrowane połączenia; pisemna procedura postępowania w razie incydentów (ocena naruszenia, powiadamianie klientów i organów).
• Dostęp operatora: dostęp operatora, także za pośrednictwem używanych przez niego asystentów AI, jest ograniczony do tego, co jest potrzebne do utrzymania, wsparcia (w tym zgłoszenia użytkownika do wsparcia) albo obsługi incydentu, lub do tego, czego wymaga prawo, i jest rejestrowany; ci dostawcy AI działają na warunkach zerowej retencji danych i zakazu trenowania.

Możemy aktualizować te środki, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.

Załącznik 2 — Postanowienia dotyczące poszczególnych jurysdykcji

• Stany Zjednoczone — stanowe ustawy o ochronie prywatności (jeżeli mają zastosowanie). Jeżeli do danych Administratora ma zastosowanie California Consumer Privacy Act albo porównywalna ustawa stanowa w USA, Podmiot przetwarzający działa jako usługodawca (service provider) lub podmiot przetwarzający Administratora: przetwarza dane wyłącznie w celach biznesowych określonych w pkt 1; nie sprzedaje ich ani nie udostępnia (share) i nie wykorzystuje ich do reklamy behawioralnej opartej na aktywności w różnych serwisach (cross-context behavioural advertising); nie przechowuje, nie wykorzystuje ani nie ujawnia ich poza bezpośrednią relacją biznesową z Administratorem i nie łączy ich z innymi danymi, chyba że pozwala na to ta ustawa; przestrzega tej ustawy i zapewnia ten sam poziom ochrony prywatności; powiadamia Administratora, jeżeli nie jest już w stanie wykonywać swoich obowiązków; oraz pozwala Administratorowi podejmować rozsądne kroki w celu powstrzymania nieuprawnionego wykorzystywania danych.
• Kanada — Quebec. Jeżeli ma zastosowanie quebecka ustawa o ochronie danych osobowych w sektorze prywatnym, Podmiot przetwarzający wykorzystuje dane wyłącznie do wykonania niniejszej umowy, stosuje środki określone w załączniku 1, niezwłocznie informuje Administratora o każdym incydencie dotyczącym poufności, usuwa dane po zakończeniu świadczenia usługi zgodnie z pkt 3 ppkt 8 i pozwala Administratorowi przeprowadzać rozsądne kontrole dotyczące poufności (w pierwszej kolejności dokumentacja i raporty, jak w pkt 3 ppkt 9); ma to zastosowanie, mimo że pkt 3 ppkt 9 poza tym ogranicza się do RODO.
• Meksyk. Jeżeli ma zastosowanie federalna ustawa o ochronie danych osobowych będących w posiadaniu podmiotów prywatnych (2025), Administrator jest podmiotem odpowiedzialnym, a Podmiot przetwarzający — jego „persona encargada”. Podmiot przetwarzający przetwarza dane wyłącznie na polecenie Administratora i w celach określonych w pkt 1, nie wykorzystuje ich do własnych celów, stosuje środki określone w załączniku 1, zachowuje poufność danych również po zakończeniu świadczenia usługi, nie przekazuje ich nikomu poza dalszymi podmiotami przetwarzającymi zgodnie z pkt 4 lub gdy wymaga tego prawo, a także zwraca je lub usuwa zgodnie z pkt 3 ppkt 8. Administrator przekazuje osobom, których dane dotyczą, własną informację o ochronie prywatności.
• Kolumbia. Jeżeli ma zastosowanie ustawa nr 1581 z 2012 r., niniejsza umowa jest umową o przekazanie danych osobowych („contrato de transmisión”) w rozumieniu dekretu nr 1074 z 2015 r., art. 2.2.2.25.5.2; zakres przetwarzania i czynności, które Podmiot przetwarzający wykonuje w imieniu Administratora, określają pkt 1 i 2. Podmiot przetwarzający przetwarza dane w imieniu Administratora zgodnie z zasadami tej ustawy, wyłącznie w celach, na które zezwoliły osoby, których dane dotyczą, i zgodnie z polityką przetwarzania danych osobowych Administratora w postaci odzwierciedlonej w jego poleceniach; dba o bezpieczeństwo baz danych (załącznik 1); zachowuje poufność przetwarzania; a także pomaga Administratorowi odpowiadać na zapytania i skargi osób, których dane dotyczą (pkt 3 ppkt 5).
• Szwajcaria. Jeżeli ma zastosowanie szwajcarska federalna ustawa o ochronie danych (FADP), standardowe klauzule umowne z załącznika 3 obejmują także przekazania jej podlegające, z dostosowaniami uznanymi przez Federalnego Komisarza ds. Ochrony Danych i Informacji (FDPIC): odesłania do RODO odczytuje się jako odesłania do FADP w zakresie, w jakim przekazanie jej podlega; FDPIC jest właściwym organem nadzorczym (klauzula 13, załącznik I.C) w zakresie, w jakim ma zastosowanie FADP; a określenie „państwo członkowskie” w klauzuli 18 lit. c odczytuje się tak, by osoby, których dane dotyczą, przebywające w Szwajcarii mogły również dochodzić roszczeń w miejscu swojego zwykłego pobytu.
• Chile. Jeżeli ma zastosowanie ustawa nr 21.719 i wymaga ona klauzul modelowych dla przekazywania danych za granicę, klauzule modelowe obowiązujące na podstawie tej ustawy włącza się przez odesłanie — obecnie klauzule przejściowe, które zostaną zastąpione klauzulami zatwierdzonymi przez Agencję Ochrony Danych Osobowych (Agencia de Protección de Datos Personales) po ich wydaniu.

Załącznik 3 — Standardowe klauzule umowne

Standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 są włączone przez odesłanie: moduł 2 (administrator – podmiot przetwarzający), a jeżeli Administrator sam jest podmiotem przetwarzającym dla własnego klienta — moduł 3 (podmiot przetwarzający – podmiot przetwarzający), z następującymi wyborami:

• Klauzula 7 (klauzula przystąpienia): ma zastosowanie.
• Klauzula 9 lit. a: wariant 2 — ogólna pisemna zgoda, z 14-dniowym wyprzedzeniem określonym w pkt 4.
• Klauzula 11 lit. a: postanowienie oznaczone jako „WARIANT” nie ma zastosowania.
• Klauzula 13: (a) jeżeli Administrator (podmiot przekazujący dane) posiada jednostkę organizacyjną w państwie członkowskim UE/EOG — organ nadzorczy odpowiedzialny za zapewnienie przestrzegania RODO przez Administratora; (b) jeżeli Administrator nie posiada jednostki organizacyjnej w UE/EOG, ale podlega art. 3 ust. 2 RODO i wyznaczył przedstawiciela zgodnie z art. 27 ust. 1 RODO — organ nadzorczy państwa członkowskiego, w którym ma siedzibę ten przedstawiciel; (c) jeżeli Administrator podlega art. 3 ust. 2 RODO, ale nie ma obowiązku wyznaczenia przedstawiciela — organ nadzorczy państwa członkowskiego, w którym znajdują się osoby, których dane są przekazywane.
• Klauzula 17: prawo Poland. Klauzula 18: sądy Poland.
• Załącznik I.A — strony: podmiot przekazujący dane: Administrator (dane na jego koncie), rola: administrator (moduł 2) lub podmiot przetwarzający (moduł 3); podmiot odbierający dane: TutorHabitat LLC, 1000 Example Street, Wilmington, DE 19801, USA, kontakt: privacy@tutorhabitat.com, rola: podmiot przetwarzający. Podpis i data: akceptacja regulaminu.
• Załącznik I.B — opis przekazania: pkt 1 i 2 niniejszej umowy; częstotliwość: ciągła; okres przechowywania: Polityka prywatności, § 6.
• Załącznik I.C — właściwy organ nadzorczy: ustalany jak w klauzuli 13 powyżej, zależnie od tego, gdzie Administrator posiada jednostkę organizacyjną.
• Załącznik II — techniczne i organizacyjne środki: załącznik 1.
• Załącznik III — dalsze podmioty przetwarzające: Podmioty przetwarzające.