Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

Ta umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) jest Załącznikiem nr 1 do Regulaminu świadczonych usług Gamehost (dalej: Regulamin) i wykonuje art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO).

Stronami Umowy powierzenia są:

• Klient korzystający z Serwera VPS lub Serwera VDS, jako administrator danych (dalej: Administrator), oraz
• GMH SYSTEMS Sp. z o.o. z siedzibą w Warszawie, ul. Marcina Kasprzaka 31/119, 01-234 Warszawa, KRS 0001222046, NIP 5273203762, REGON 543929340, działająca pod marką Gamehost, jako podmiot przetwarzający (dalej: Przetwarzający).

Umowa powierzenia zostaje zawarta z chwilą zawarcia Umowy o świadczenie Usługi Serwera VPS lub Serwera VDS, czyli z chwilą akceptacji Regulaminu przy składaniu zamówienia, i obowiązuje przez czas świadczenia tej Usługi oraz do chwili usunięcia danych zgodnie z § 12. Zawarcie Umowy powierzenia nie wymaga odrębnego podpisu. Na wniosek Administratora Przetwarzający wydaje potwierdzenie zawarcia Umowy powierzenia ze wskazaniem jej daty, czyli daty złożenia zamówienia na daną Usługę.

Jeżeli Administrator sam przetwarza dane jako podmiot przetwarzający w imieniu innego administratora, Przetwarzający działa wobec niego jako dalszy podmiot przetwarzający, a Klient oświadcza, że posiada zgodę swojego administratora na powierzenie danych Przetwarzającemu na zasadach tej Umowy powierzenia.

Umowa powierzenia nie dotyczy danych samego Klienta jako klienta Gamehost (dane konta, płatności, zgłoszeń). Te dane przetwarzamy jako administrator na zasadach § 11 Regulaminu i Polityki prywatności.

§ 2. Przedmiot, charakter i cel przetwarzania

Administrator powierza Przetwarzającemu przetwarzanie danych osobowych, które sam umieszcza na Serwerze VPS lub Serwerze VDS albo które trafiają na ten serwer w wyniku działania zainstalowanego przez niego oprogramowania.

• Charakter przetwarzania: przechowywanie danych na infrastrukturze Przetwarzającego (hosting) oraz udostępnianie zasobów obliczeniowych, pamięci, dysku i łącza, z których Administrator korzysta samodzielnie.
• Cel przetwarzania: wyłącznie świadczenie Usługi Serwera VPS lub Serwera VDS opisanej w Regulaminie.
• Rodzaj danych i kategorie osób: określa wyłącznie Administrator. Przetwarzający nie wie, jakie dane znajdują się na serwerze, nie weryfikuje ich i nie ma obowiązku ich monitorowania.
• Czas przetwarzania: czas świadczenia Usługi, a po jej zakończeniu czas potrzebny do usunięcia danych.

Jeżeli Administrator przechowuje na serwerze szczególne kategorie danych (art. 9 RODO) albo dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO), robi to na własną odpowiedzialność i sam zapewnia dodatkowe zabezpieczenia odpowiednie do ryzyka, w szczególności szyfrowanie tych danych.

§ 3. Polecenia Administratora

Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Udokumentowanym poleceniem są Regulamin, ta Umowa powierzenia oraz czynności wykonywane przez Administratora w Panelu Klienta i na samym serwerze (np. instalacja systemu, zapis i usuwanie plików, konfiguracja usług). Inne polecenia Administrator przekazuje przez system zgłoszeń w Panelu Klienta albo e-mailem na adres [email protected].

Przetwarzający może odmówić wykonania polecenia wykraczającego poza zakres Usługi albo uzależnić jego wykonanie od uzgodnienia wynagrodzenia. Jeżeli zdaniem Przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie informuje o tym Administratora i może wstrzymać się z jego wykonaniem.

Przetwarzający może przetwarzać dane w inny sposób tylko wtedy, gdy nakazuje mu to prawo Unii lub prawo polskie. W takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, chyba że prawo zabrania takiego poinformowania.

§ 4. Dostęp do danych na serwerze

Serwer VPS i Serwer VDS są usługami niezarządzanymi: Administrator ma pełny dostęp do systemu (konto root) i sam nim zarządza. Przetwarzający nie loguje się do systemu serwera i nie przegląda jego zawartości, z wyjątkiem sytuacji, gdy:

• Administrator o to poprosi (np. w zgłoszeniu z prośbą o pomoc) - w zakresie potrzebnym do wykonania prośby;
• jest to konieczne do usunięcia awarii albo zagrożenia dla bezpieczeństwa infrastruktury lub innych klientów (np. atak prowadzony z serwera, złośliwe oprogramowanie) - w najmniejszym potrzebnym zakresie;
• wymaga tego przepis prawa lub uprawniony organ.

Czynności techniczne wykonywane bez wglądu w treść danych, takie jak włączenie, wyłączenie lub restart maszyny, jej przeniesienie na inny serwer fizyczny, zmiana zasobów czy zawieszenie Usługi zgodnie z Regulaminem, nie stanowią dostępu do treści danych.

§ 5. Poufność

Do danych mają dostęp wyłącznie osoby upoważnione przez Przetwarzającego, które zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy. Obowiązek zachowania poufności trwa także po zakończeniu Umowy powierzenia.

§ 6. Bezpieczeństwo i podział obowiązków

Przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w zakresie infrastruktury, za którą odpowiada:

• serwery fizyczne w centrum danych w Polsce, z kontrolą dostępu fizycznego, zasilaniem awaryjnym i monitoringiem;
• izolacja maszyn wirtualnych różnych klientów w ramach wirtualizacji sprzętowej;
• zabezpieczenie warstwy wirtualizacji, sieci i Panelu Klienta, w tym ochrona przed atakami DDoS;
• dostęp administracyjny do infrastruktury wyłącznie dla upoważnionego personelu, z użyciem indywidualnych danych logowania;
• bieżąca aktualizacja oprogramowania infrastruktury i monitorowanie jej działania.

Za bezpieczeństwo wszystkiego, co działa wewnątrz serwera, odpowiada Administrator, w szczególności za: wybór, konfigurację i aktualizowanie systemu operacyjnego i aplikacji, zaporę sieciową, hasła i klucze SSH, nadawanie uprawnień, szyfrowanie danych, rejestrowanie zdarzeń oraz wykonywanie kopii zapasowych. Przetwarzający nie wykonuje kopii zapasowych danych znajdujących się na Serwerze VPS lub Serwerze VDS, chyba że Administrator zamówił taką usługę.

Administrator oświadcza, że zapoznał się ze środkami opisanymi w tym paragrafie, uznaje je za wystarczające gwarancje w rozumieniu art. 28 ust. 1 RODO i że uzupełni je własnymi środkami odpowiednimi do rodzaju przetwarzanych danych i ryzyka.

§ 7. Podwykonawcy

Administrator udziela Przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (podwykonawców). Aktualna lista podwykonawców:

• MEVSPACE sp. z o.o. z siedzibą w Warszawie - centrum danych, w którym znajdują się serwery fizyczne, oraz łączność sieciowa. Miejsce przetwarzania: Polska.

O zamiarze dodania lub zmiany podwykonawcy Przetwarzający informuje Administratora przez aktualizację listy na tej stronie oraz wiadomość e-mail lub komunikat w Panelu Klienta, co najmniej 14 dni przed zmianą. W tym terminie Administrator może zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może zrezygnować z Usługi ze skutkiem na dzień zmiany, a niewykorzystana część opłaty zostanie zwrócona do jego Portfela. Nie przysługują mu z tego tytułu inne roszczenia.

Przetwarzający nakłada na podwykonawców obowiązki ochrony danych odpowiadające obowiązkom z tej Umowy powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.

§ 8. Miejsce przetwarzania

Dane na Serwerach VPS i Serwerach VDS są przechowywane i przetwarzane w Polsce, na terenie Europejskiego Obszaru Gospodarczego. Przetwarzający nie przekazuje tych danych do państw trzecich ani organizacji międzynarodowych.

Jeżeli w przyszłości przekazanie danych poza EOG okazałoby się konieczne, nastąpi ono wyłącznie przy zastosowaniu zabezpieczeń z rozdziału V RODO (np. decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych) i po uprzednim poinformowaniu Administratora w trybie przewidzianym dla zmiany podwykonawcy w § 7.

Administrator, który sam łączy się z serwerem albo kieruje do niego ruch z państw spoza EOG lub instaluje na nim oprogramowanie przesyłające dane poza EOG, odpowiada za ten przepływ danych samodzielnie.

§ 9. Prawa osób i pomoc Administratorowi

Administrator ma pełną kontrolę nad danymi na serwerze, dlatego sam realizuje żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw). Jeżeli takie żądanie trafi do Przetwarzającego, przekazuje je Administratorowi bez zbędnej zwłoki i nie odpowiada na nie samodzielnie.

Uwzględniając charakter przetwarzania i dostępne mu informacje, Przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), przede wszystkim przez udostępnienie informacji z tej Umowy powierzenia. Pomoc wykraczająca poza udostępnienie tych informacji jest odpłatna według stawki uzgodnionej przed jej wykonaniem.

§ 10. Naruszenia ochrony danych

Po stwierdzeniu naruszenia ochrony danych osobowych w infrastrukturze, za którą odpowiada, Przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail przypisany do Konta. Zgłoszenie zawiera informacje z art. 33 ust. 3 RODO w zakresie, w jakim są dostępne, a pozostałe przekazywane są sukcesywnie.

Zgłoszenie naruszenia do organu nadzorczego oraz zawiadomienie osób, których dane dotyczą, należy do Administratora. Przetwarzający nie monitoruje zawartości serwera i nie odpowiada za wykrywanie naruszeń powstałych wewnątrz systemu zarządzanego przez Administratora, w szczególności wskutek jego konfiguracji, luk w zainstalowanym oprogramowaniu albo ujawnienia danych dostępowych.

§ 11. Informacje i audyt

Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. W pierwszej kolejności służy temu ta Umowa powierzenia oraz odpowiedzi na pytania przesłane przez system zgłoszeń.

Jeżeli te informacje nie wystarczą, Administrator może przeprowadzić audyt lub inspekcję, na następujących zasadach:

• zawiadomienie z co najmniej 14-dniowym wyprzedzeniem, ze wskazaniem zakresu i osoby audytora;
• nie częściej niż raz na 12 miesięcy, chyba że audyt jest następstwem naruszenia ochrony danych albo żąda go organ nadzorczy;
• w dni robocze, w godzinach 9:00-16:00, bez zakłócania świadczenia usług innym klientom;
• audytor zobowiązuje się na piśmie do zachowania poufności i nie może być podmiotem prowadzącym działalność konkurencyjną wobec Przetwarzającego;
• audyt nie obejmuje danych innych klientów ani pomieszczeń podwykonawców, w których obowiązują ich własne zasady dostępu;
• koszty audytu, w tym czas pracy personelu Przetwarzającego, ponosi Administrator.

§ 12. Koniec współpracy

Przez cały czas świadczenia Usługi Administrator może samodzielnie pobrać wszystkie dane z serwera. To jest sposób zwrotu danych przewidziany w tej Umowie powierzenia.

Po zakończeniu Usługi Przetwarzający usuwa serwer wraz z danymi w terminie określonym w § 12 Regulaminu, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Przetwarzający nie ma obowiązku przechowywania danych po tym terminie ani wydawania ich kopii. Administrator powinien pobrać potrzebne dane przed końcem Usługi.

§ 13. Obowiązki Administratora

Administrator oświadcza i zapewnia, że:

• jest administratorem danych umieszczanych na serwerze albo jest upoważniony do ich powierzenia;
• przetwarza dane zgodnie z prawem, w szczególności ma do tego podstawę prawną i wykonuje obowiązki informacyjne wobec osób, których dane dotyczą;
• nie wyda Przetwarzającemu poleceń niezgodnych z prawem;
• samodzielnie ocenia, czy Usługa jest odpowiednia do rodzaju danych, które zamierza przetwarzać.

§ 14. Odpowiedzialność

Przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające albo gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew nim (art. 82 ust. 2 RODO).

Wobec Administratora niebędącego Konsumentem:

• odpowiedzialność Przetwarzającego obejmuje wyłącznie szkodę rzeczywistą, z wyłączeniem utraconych korzyści, i jest ograniczona do wysokości opłaty miesięcznej za Usługę, której dotyczy roszczenie, zgodnie z § 9 ust. 2 Regulaminu;
• Przetwarzający nie odpowiada za utratę lub uszkodzenie danych, których kopię zapasową miał wykonać Administrator, ani za skutki działań i zaniechań Administratora, osób, którym udostępnił on dostęp do serwera, oraz osób trzecich, za które Przetwarzający nie ponosi odpowiedzialności;
• ograniczenia te nie dotyczą szkody wyrządzonej umyślnie.

Administrator odpowiada za zgodność z prawem przetwarzania danych, które umieszcza na serwerze. Jeżeli osoba trzecia lub organ wystąpi przeciwko Przetwarzającemu z roszczeniem albo nałoży na niego karę w związku z przetwarzaniem, za które odpowiada Administrator, Administrator zwalnia Przetwarzającego z tej odpowiedzialności i pokrywa poniesione przez niego koszty, w tym zasądzone odszkodowania, kary i uzasadnione koszty obsługi prawnej. Jeżeli Przetwarzający zapłaci osobie, której dane dotyczą, odszkodowanie przekraczające jego udział w odpowiedzialności, może żądać od Administratora zwrotu nadwyżki (art. 82 ust. 5 RODO).

Postanowienia tego paragrafu nie ograniczają praw osób, których dane dotyczą, wynikających z bezwzględnie obowiązujących przepisów, ani praw Konsumentów w zakresie, w jakim przepisy prawa zabraniają ich ograniczania.

§ 15. Postanowienia końcowe

W sprawach ochrony danych na Serwerach VPS i Serwerach VDS ta Umowa powierzenia ma pierwszeństwo przed Regulaminem. W pozostałym zakresie stosuje się Regulamin, w szczególności zasady jego zmiany (§ 13), prawo właściwe i właściwość sądu.

Zawarcie przez strony odrębnej umowy powierzenia na wzorze Administratora wymaga akceptacji Przetwarzającego wyrażonej w formie dokumentowej. Do czasu takiej akceptacji, a także w zakresie, w jakim odrębna umowa nie reguluje danej kwestii, obowiązuje ta Umowa powierzenia.