1. Strony
- Podmiot przetwarzający: Alfabet Marki sp. z o.o., ul. Strzałowa 13K/1, 87-100 Toruń, NIP 956 239 91 18, KRS 0001147842, operator platformy SocialFox („SocialFox”, „my”).
- Administrator: przedsiębiorca, który założył przestrzeń roboczą w SocialFox i zaakceptował Regulamin („Agencja”). Jeśli Agencja sama przetwarza dane w imieniu swoich klientów, zapewnia, że ich umowy pozwalają na dalsze powierzenie nam.
2. Przedmiot i czas trwania
- Agencja powierza nam przetwarzanie danych osobowych w zakresie, w jakim przetwarzamy je w jej przestrzeni roboczej, świadcząc usługi opisane w Regulaminie (socialfox.pl/regulamin).
- Umowa obowiązuje przez czas istnienia przestrzeni Agencji, do jej trwałego usunięcia.
3. Rodzaj danych, kategorie osób, charakter i cel
- Kategorie osób: członkowie zespołu Agencji, osoby po stronie klientów Agencji (portal klienta), osoby łączące profile społecznościowe, osoby komentujące wpisy, reagujące na nie i piszące wiadomości do profili prowadzonych w SocialFox, osoby widoczne w materiałach (zdjęcia, filmy).
- Rodzaj danych: dane identyfikacyjne i kontaktowe (imię i nazwisko, adres e-mail, nazwa i identyfikator profilu, zdjęcie profilowe), treść wpisów, komentarzy i wiadomości wraz z załącznikami, statystyki wpisów, dane o aktywności w panelu, materiały przesłane do przestrzeni, dane klientów Agencji (nazwa, dane kontaktowe, brief marki).
- Charakter przetwarzania: przechowywanie, porządkowanie, wyświetlanie, publikowanie na platformach społecznościowych, pobieranie z nich, przekazywanie do modeli AI na prośbę użytkownika, usuwanie.
- Cel: prowadzenie przez Agencję mediów społecznościowych własnych lub jej klientów za pomocą SocialFox.
- Dane szczególnych kategorii nie są przedmiotem powierzenia; Agencja nie wprowadza ich do SocialFox, a jeśli pojawią się w treściach z platform (np. w komentarzach), traktujemy je jak pozostałe dane.
4. Obowiązki SocialFox
Przetwarzamy dane:
- wyłącznie na udokumentowane polecenie Agencji; za polecenie uznaje się działania użytkowników Agencji w SocialFox (np. publikację, odpowiedź, usunięcie) oraz ustawienia przestrzeni, a także zgłoszenia w Pomocy; o poleceniu, które w naszej ocenie narusza RODO, informujemy Agencję;
- zapewniając, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
- stosując środki techniczne i organizacyjne opisane w pkt 7;
- przestrzegając warunków dalszego powierzenia (pkt 6);
- pomagając Agencji, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w odpowiadaniu na żądania osób, których dane dotyczą; żądanie skierowane do nas przekazujemy Agencji bez zbędnej zwłoki;
- pomagając Agencji w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków), z uwzględnieniem dostępnych nam informacji;
- po zakończeniu umowy usuwając dane zgodnie z pkt 8;
- udostępniając Agencji informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiając audyty na zasadach z pkt 9.
5. Obowiązki Agencji
- Agencja odpowiada za legalność przetwarzania, w tym za podstawę prawną, obowiązki informacyjne wobec osób, których dane dotyczą, oraz za treść, którą jej użytkownicy wprowadzają do SocialFox i publikują.
- Agencja decyduje, komu udziela dostępu do przestrzeni, i odbiera dostęp osobom, które go nie potrzebują.
- Agencja korzysta z funkcji bezpieczeństwa SocialFox (drugi czynnik logowania, dziennik bezpieczeństwa, dostęp supportu na kod) odpowiednio do ryzyka.
6. Dalsze podmioty przetwarzające
- Agencja wyraża ogólną zgodę na korzystanie przez nas z dalszych podmiotów przetwarzających wymienionych w Polityce prywatności (socialfox.pl/polityka-prywatnosci, pkt 5): dostawcy bazy danych i magazynu plików, hostingu, poczty e-mail, płatności, modeli AI, banku zdjęć i narzędzi graficznych.
- O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego informujemy Agencję e-mailem lub w SocialFox co najmniej 14 dni wcześniej. Agencja może w tym czasie zgłosić sprzeciw; jeśli nie dojdziemy do porozumienia, Agencja może zakończyć umowę bez dodatkowych opłat przed wejściem zmiany w życie.
- Na dalsze podmioty przetwarzające nakładamy obowiązki ochrony danych co najmniej takie, jak w tej umowie. Za ich działania odpowiadamy jak za własne.
- Platformy społecznościowe (Meta, LinkedIn, TikTok, Google), na które Agencja publikuje treści i z których pobiera dane, oraz asystenci AI połączeni przez użytkownika Agencji z własnej inicjatywy (MCP) nie są naszymi dalszymi podmiotami przetwarzającymi; działają na podstawie własnych regulaminów.
7. Bezpieczeństwo
Stosujemy w szczególności:
- izolację przestrzeni regułami dostępu w bazie danych, kontrolowaną automatycznie;
- odrębny klucz szyfrujący każdej przestrzeni, którym szyfrujemy tokeny platform, klucze usług zewnętrznych i treść wiadomości Skrzynki; zniszczenie klucza przy usunięciu przestrzeni;
- szyfrowanie transmisji (HTTPS) i szyfrowanie danych w spoczynku u dostawcy bazy danych;
- logowanie z drugim czynnikiem, wymagane dla administratorów przestrzeni i zawsze dla naszego zespołu;
- brak dostępu naszego zespołu do treści przestrzeni bez zgody jej właściciela (dostęp na kod, ograniczony w czasie, w dzienniku bezpieczeństwa);
- dzienniki bezpieczeństwa i działań, kopie zapasowe bazy danych u dostawcy;
- zasadę minimalnych uprawnień dla funkcji serwerowych; tokeny platform nie trafiają do przeglądarki.
8. Zakończenie przetwarzania
- Po usunięciu przestrzeni (z 30-dniowym okresem karencji opisanym w Regulaminie) usuwamy wszystkie dane powierzone w jej ramach i niszczymy klucz szyfrujący przestrzeni, chyba że prawo Unii lub państwa członkowskiego nakazuje przechowywanie.
- Przed usunięciem Agencja może pobrać eksport danych przestrzeni.
- Kopie zapasowe nadpisują się automatycznie w cyklu dostawcy bazy danych.
9. Naruszenia ochrony danych i audyty
- O stwierdzonym naruszeniu ochrony danych osobowych powierzonych przez Agencję informujemy ją bez zbędnej zwłoki, nie później niż 48 godzin od stwierdzenia, podając dostępne informacje z art. 33 ust. 3 RODO, i uzupełniamy je w miarę ich pozyskiwania.
- Agencja może raz w roku, a po naruszeniu dodatkowo, zażądać informacji i dokumentów potwierdzających spełnienie obowiązków z tej umowy. Audyt na miejscu uzgadniamy z 30-dniowym wyprzedzeniem, w godzinach pracy, bez naruszania bezpieczeństwa innych przestrzeni; koszty audytu ponosi Agencja, chyba że audyt wykaże istotne naruszenie po naszej stronie.
10. Przekazywanie poza EOG
Dalsze podmioty przetwarzające z siedzibą poza Europejskim Obszarem Gospodarczym przetwarzają dane na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję, z uwzględnieniem środków uzupełniających, gdy są potrzebne.
11. Odpowiedzialność i postanowienia końcowe
- Każda ze stron odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO. Wobec Agencji stosuje się ograniczenie odpowiedzialności z Regulaminu, o ile prawo na to pozwala.
- Zmiany umowy ogłaszamy jak zmiany Regulaminu.
- W razie sprzeczności między tą umową a Regulaminem w sprawach ochrony danych pierwszeństwo ma ta umowa.
- Umowa jest dostępna pod adresem socialfox.pl/umowa-powierzenia i ma wersję angielską; w razie rozbieżności rozstrzyga wersja polska.