Umowa powierzenia przetwarzania danych Modash (DPA)

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Warunków świadczenia usług Modash („Umowy”) zawartej między Modash OÜ („Modash”, „Podmiot przetwarzający”) a podmiotem będącym klientem, który akceptuje Umowę („Klient”, „Administrator”).

Zawierając Umowę, Klient akceptuje niniejszą DPA.

Niniejsza DPA ma zastosowanie wyłącznie w zakresie, w jakim Modash przetwarza Dane osobowe w imieniu Klienta jako Podmiot przetwarzający zgodnie z obowiązującymi Przepisami o ochronie danych.

„Przepisy o ochronie danych” oznaczają RODO, brytyjskie RODO oraz wszelkie obowiązujące przepisy dotyczące ochrony danych.

„Dane osobowe”, „Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą” oraz „Naruszenie ochrony danych osobowych” mają znaczenie nadane im w RODO.

„Dalszy podmiot przetwarzający” oznacza każdą stronę trzecią zaangażowaną przez Modash do przetwarzania Danych osobowych w imieniu Klienta.

Klient działa jako Administrator.
Modash działa jako Podmiot przetwarzający.

Niniejsza DPA nie ma zastosowania do czynności przetwarzania, w przypadku których Modash działa jako niezależny Administrator, w tym między innymi do przetwarzania publicznie dostępnych danych twórców, opisanych w Polityce prywatności Modash.

Modash będzie przetwarzać Dane osobowe:
‍
● Wyłącznie na udokumentowane polecenie Klienta (w tym określone w Umowie);
● W celu świadczenia Usług;
● Zgodnie z Przepisami o ochronie danych.
● Jeżeli Modash ma uzasadnione podstawy sądzić, że polecenie Klienta narusza obowiązujące Przepisy o ochronie danych, Modash poinformuje o tym Klienta bez zbędnej zwłoki i może zawiesić realizację danego polecenia do czasu jego potwierdzenia, zmiany lub wycofania.

Charakter i cel
‍Modash zapewnia usługi wyszukiwania influencerów, zarządzania kampaniami, analityki, nawiązywania kontaktu oraz usługi powiązane.

Okres przetwarzania
‍Modash będzie przetwarzać Dane osobowe Klienta przez okres obowiązywania Umowy oraz przez dodatkowy okres niezbędny do realizacji udokumentowanych poleceń Klienta lub spełnienia wymogów obowiązującego prawa. Po zakończeniu świadczenia Usług Dane osobowe Klienta zostaną zwrócone lub usunięte zgodnie z punktem 10 niniejszej DPA.

‍Kategorie osób, których dane dotyczą
‍Mogą obejmować przedstawicieli Klienta, użytkowników końcowych, influencerów zaangażowanych przez Klienta oraz uczestników kampanii.

‍Kategorie Danych osobowych
‍Mogą obejmować imiona i nazwiska, służbowe dane kontaktowe, dane konta, dane kampanii, dane komunikacyjne oraz dane o korzystaniu z Usług, przekazane do Usług lub przetwarzane za ich pośrednictwem.

Modash nie przetwarza celowo szczególnych kategorii Danych osobowych w imieniu Klienta.
Klient zobowiązuje się nie przesyłać ani nie przekazywać danych szczególnych kategorii, chyba że wyraźnie uzgodniono to na piśmie.

Modash implements appropriate technical and organizational measures designed to ensure alevel of security appropriate to the risk, including:

● Encryption of Personal Data in transit and at rest;
● Access controls based on least privilege principles;
● Strong authentication and identity management controls;
● Secure software development lifecycle practices;
● Regular vulnerability scanning and security testing;
● Backup and disaster recovery procedures;
● Incident response procedures with designated security personnel;
● Ongoing monitoring of system confidentiality, integrity, and availability.

Modash maintains and periodically reviews documented technical and organisational measures designed to ensure a level of security appropriate to the risk, taking into account the state of the art, the costs of implementation, and the nature, scope, context and purposes of processing, as well as the risks to the rights and freedoms of natural persons.

Modash may update its technical and organisational measures from time to time, provided that such updates do not materially reduce the overall level of protection afforded to Customer Personal Data.

‍Personnel Confidentiality. Modash zapewni, że wszyscy członkowie personelu upoważnieni do przetwarzania Danych Osobowych Klienta będą związani odpowiednimi obowiązkami zachowania poufności, umownymi lub ustawowymi. Obowiązki te pozostają w mocy po ustaniu zatrudnienia, współpracy lub innego stosunku danej osoby z Modash.

5.1. Customer hereby provides Modash with a general authorization to engage Subprocessors to process Customer Personal Data on its behalf in connection with the provision of the Services.

5.2. Modash shall maintain an up-to-date list of its authorized Subprocessors at Customer authorizes Modash to engage Subprocessors listed at:
modash.io/legal/subprocessors.5.3. Modash will provide reasonable advance notice of any intended addition or replacement of a Subprocessor by updating the above list or by other reasonable means, thereby giving Customer the opportunity to raise reasonable data protection concerns before the new Subprocessor begins processing Customer Personal Data.

5.4. Modash shall ensure that each Subprocessor is bound by written contractual obligations providing a level of protection for Customer Personal Data that is substantially equivalent to those set out in this DPA, to the extent applicable to the services performed by the Subprocessor.

5.5. Modash pozostaje odpowiedzialny za wykonanie obowiązków przez swoich Podprocesorów w zakresie wymaganym przez właściwe przepisy o ochronie danych.

Where Customer Personal Data is transferred to a country outside the European Economic Area, the United Kingdom or any other jurisdiction requiring an appropriate transfer mechanism under applicable Data Protection Laws, Modash shall ensure that such transfer is subject to appropriate safeguards in accordance with applicable Data Protection Laws.

Such safeguards may include, where applicable, the European Commission's Standard Contractual Clauses, the UK International Data Transfer Addendum, adequacy decisions, or any other lawful transfer mechanism recognized under applicable Data Protection Laws, including any successor or replacement mechanism.

Taking into account the nature of processing, Modash shall provide reasonable assistance to Customer to enable compliance with Data Protection Laws, including:

● Assistance with responding to Data Subject rights requests;
● Assistance with taking into account the nature of the processing and the information available to Modash, in ensuring compliance with Customer's obligations relating to data protection impact assessments and prior consultation with competent supervisory authorities where required under applicable Data Protection Laws;
● Assistance with supervisory authority consultations where applicable.

Modash bez zbędnej zwłoki powiadomi Klienta o naruszeniu danych osobowych Klienta, gdy się o nim dowie. Takie powiadomienie będzie, w zakresie, w jakim jest to racjonalnie możliwe w danym czasie, obejmować charakter naruszenia, kategorie danych, których dotyczy, prawdopodobne skutki, środki podjęte lub proponowane w celu zaradzenia naruszeniu oraz informacje rozsądnie wymagane przez Klienta do spełnienia wymogów obowiązujących przepisów o ochronie danych. Jeżeli w chwili pierwszego powiadomienia nie są dostępne wszystkie istotne informacje, Modash może przekazywać je etapami, w miarę ich dostępności.

9.1. Na uzasadniony pisemny wniosek Modash udostępni Klientowi wszelkie informacje rozsądnie niezbędne do wykazania zgodności z niniejszą DPA i obowiązującymi przepisami o ochronie danych. Where available, Modash's current ISO 27001 certification, or other independent third-party audit reports or certifications may be used to satisfy such requests.

9.2. Where the information provided by Modash is reasonably insufficient to demonstrate compliance with this DPA or applicable Data Protection Laws, Customer may, itself or through an independent third-party auditor, conduct an audit of Modash's processing of Customer Personal Data under this DPA.

9.3. Any audit conducted under this Section shall:

● be conducted upon reasonable prior written notice;
● take place during normal business hours;
● not unreasonably interfere with Modash's business operations;
● be subject to appropriate confidentiality obligations; and
● be conducted by an independent auditor that is not a competitor of Modash.

9.4. Niniejszy punkt nie ogranicza uprawnień właściwego organu nadzorczego na mocy obowiązujących przepisów o ochronie danych.

Po zakończeniu lub wygaśnięciu Usług Klient może w ciągu trzydziestu (30) dni zażądać zwrotu Danych Osobowych Klienta. Following such period, or once Customer confirms that the data has been returned, Modash shall delete Customer Personal Data, unless applicable law requires continued retention.

Modash shall ensure that Customer Personal Data held by its authorized Subprocessors is also deleted or returned in accordance with this Section, unless applicable law requires continued retention.

Customer Personal Data contained in backup systems may be retained until overwritten in the ordinary course of business, provided that such data remains protected in accordance with this DPA and is not further processed except as required by applicable law.

Odpowiedzialność wynikająca z niniejszej DPA lub z nią związana podlega ograniczeniom i wyłączeniom odpowiedzialności określonym w Umowie.

Niniejsza DPA podlega prawu właściwemu wskazanemu w Umowie.