MuchBetter Biznes
ANEKS DOTYCZĄCY OCHRONY DANYCH

1. Definicje

Wszystkie terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszym Dodatku dotyczącym ochrony danych („DPA”), mają znaczenie określone w Umowie.

1. Przyłączać oznacza jakąkolwiek osobę lub podmiot bezpośrednio lub pośrednio kontrolujący, kontrolowany przez lub pod wspólną kontrolą ze Stroną. Na potrzeby niniejszej definicji „kontrola” (w tym, z odpowiednimi znaczeniami, terminy „kontrolujący”, „kontrolowany przez” i „pod wspólną kontrolą z”) oznacza uprawnienie do zarządzania lub kierowania sprawami danej osoby lub podmiotu, czy to poprzez posiadanie papierów wartościowych z prawem głosu, na podstawie umowy lub w inny sposób.
2. Porozumienie oznacza Umowę o Usługi Konta Firmowego MuchBetter pomiędzy MIR a Posiadaczem Konta, która obejmuje dostęp do Danych Osobowych lub ich Przetwarzanie;
3. Zatwierdzona jurysdykcja oznacza państwo członkowskie EOG lub inną jurysdykcję, która może zostać uznana za zapewniającą odpowiednią ochronę prawną danych przez Komisję Europejską lub na mocy przepisów Wielkiej Brytanii dotyczących odpowiedniej ochrony wydanych na podstawie sekcji 17A ustawy o ochronie danych z 2018 r. lub paragrafów 4 i 5 załącznika 21 ustawy o ochronie danych z 2018 r., w stosownych przypadkach;
4. Incydent naruszenia oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieautoryzowanego ujawnienia lub dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
5. Prawo ochrony danych oznacza wszelkie i/lub wszystkie obowiązujące krajowe i zagraniczne prawa, zasady, dyrektywy i rozporządzenia dotyczące prywatności danych, bezpieczeństwa danych i/lub ochrony danych osobowych, w tym dyrektywę o prywatności i łączności elektronicznej 2002/58/WE (oraz odpowiednie lokalne przepisy wykonawcze) dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze komunikacji elektronicznej (dyrektywa o prywatności i łączności elektronicznej), w tym wszelkie ich zmiany lub zamienniki, w tym rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”), w tym ustawę o ochronie danych z 2018 r. i RODO, ponieważ stanowi część prawa Anglii i Walii, Szkocji i Irlandii Północnej na mocy sekcji 3 ustawy o wystąpieniu z Unii Europejskiej z 2018 r. („RODO w Wielkiej Brytanii”).
6. EOG oznacza kraje będące członkami Europejskiego Obszaru Gospodarczego.
7. MIR oznacza MIR Limited UK Ltd, dostawcę usług konta biznesowego MuchBetter
8. Dane osobowe lub „Dane osobowe” oznaczają wszelkie informacje, które dotyczą lub mogą być powiązane z możliwą do zidentyfikowania osobą. Obejmuje to wszelkie informacje, które mogą być powiązane z osobą lub wykorzystane do bezpośredniej lub pośredniej identyfikacji osoby fizycznej. Dane osobowe będą uważane za Informacje poufne niezależnie od źródła.
9. Proces oznacza jakąkolwiek operację lub zestaw operacji wykonywanych na Danych Osobowych, niezależnie od tego, czy za pomocą środków automatycznych, takich jak gromadzenie, rejestrowanie, organizacja, przechowywanie, adaptacja lub zmiana, dostęp do, pobieranie, konsultacja, używanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, dopasowanie lub łączenie, blokowanie, usuwanie lub niszczenie. „Procesy” lub „Przetwarzanie” należy interpretować odpowiednio.
10. Standardowe klauzule umowne lub „SCC” – obowiązujący moduł standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 4 czerwca 2021 r., które może być okresowo zmieniane, zastępowane lub zastępowane.
11. Dodatek dla Wielkiej Brytanii oznacza Międzynarodowy Aneks do Standardowych Klauzul Umownych dotyczący Transferu Danych, który wszedł w życie 21 marca 2022 r.

2. Stosowanie niniejszej umowy DPA

1. Niniejsza umowa DPA będzie miała zastosowanie wyłącznie w przypadku spełnienia wszystkich następujących warunków:
   
   1. Każda ze Stron przetwarza Dane Osobowe udostępnione przez drugą Stronę w związku z Umową;
   2. Przepisy o ochronie danych mają zastosowanie do przetwarzania danych osobowych.
2. Niniejsza Umowa o partnerstwie gospodarczym będzie miała zastosowanie wyłącznie do usług, na które Strony wyraziły zgodę w Umowie i które włączają Umowę o partnerstwie gospodarczym poprzez odniesienie.

3. Ochrona danych i prywatność

1. W zakresie, w jakim Strona ma dostęp do Danych Osobowych udostępnionych drugiej Stronie lub w inny sposób Przetwarza Dane Osobowe udostępnione drugiej Stronie, Strona ta jest zobowiązana:
   
   1. Być niezależnym Administratorem Danych Osobowych i ustalać cele i sposoby przetwarzania zgodnie z Umową i przepisami o ochronie danych.
   2. Przetwarzaj Dane Osobowe wyłącznie zgodnie z wymogami Prawa o Ochronie Danych oraz zgodnie z wymogami Prawa o Ochronie Danych, prowadź dokładne pisemne zapisy wszystkich działań Przetwarzania Danych Osobowych podejmowanych na podstawie Umowy.
   3. Bez uszczerbku dla powyższego, odpowiadać za dostarczenie osobie, której dane dotyczą, wszelkich informacji wymaganych na mocy przepisów o ochronie danych oraz za umożliwienie osobie, której dane dotyczą, korzystania z praw przysługujących jej na mocy przepisów o ochronie danych, a także zapewnić drugiej Stronie uzasadnioną współpracę i pomoc w celu wypełnienia powyższych postanowień oraz wszelkich zobowiązań prawnych lub regulacyjnych;
   4. Wdrożyć i utrzymywać komercyjnie uzasadnione i odpowiednie środki bezpieczeństwa fizycznego, technicznego i organizacyjnego w celu ochrony Danych Osobowych przed przypadkowym lub bezprawnym zniszczeniem; przypadkową utratą, zmianą, nieautoryzowanym ujawnieniem lub dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych oraz wszelkimi innymi bezprawnymi formami Przetwarzania;
   5. Przestrzegać wszelkich obowiązków związanych z powiadomieniem organu nadzorczego o naruszeniu ochrony danych osobowych oraz obowiązków związanych z komunikacją z osobami, których dane dotyczą, zgodnie z wymogami przepisów o ochronie danych;
   6. Powiadomić drugą Stronę bez zbędnej zwłoki i nie później niż dwadzieścia cztery (24) godziny po uzyskaniu informacji o naruszeniu.
2. Strona, która pierwotnie uzyskuje Dane Osobowe od podmiotu danych, jest odpowiedzialna za uzyskanie wszelkich zgód, które mogą być wymagane od podmiotu danych (w każdym przypadku w zakresie niezbędnym do przestrzegania przepisów o ochronie danych) oraz za przekazanie informacji podmiotowi danych przed zebraniem Danych Osobowych (np. „Polityka Prywatności” lub „Polityka Prywatności”), w zakresie niezbędnym do przestrzegania przepisów o ochronie danych. Powyższe nie narusza obowiązków drugiej Strony wynikających z przepisów o ochronie danych (takich jak wymóg przekazania informacji podmiotowi danych, gdy Dane Osobowe są związane z przetwarzaniem Danych Osobowych).
3. Każda ze Stron może wyznaczyć podwykonawców, w tym Podmioty Powiązane, do przetwarzania Danych Osobowych w jej imieniu („Podwykonawcy Podprocesujący”) w celu realizacji swoich zobowiązań i usług wynikających z Umowy, pod warunkiem, że: (i) wyznaczenie będzie podlegać pisemnej umowie z wyznaczonym Podwykonawcą Podprocesującym, zawierającej, w stosownych przypadkach, postanowienia zapewniające równoważną ochronę Danych Osobowych, jak przewidziano w niniejszym Dodatku o Ochronie Danych; oraz (ii) każda ze Stron ponosi odpowiedzialność za działania lub zaniechania swoich własnych Podwykonawców Podprocesujących w takim samym zakresie, w jakim ponosi odpowiedzialność za swoje własne działania lub zaniechania na mocy niniejszego Dodatku o Ochronie Danych, Umowy i Przepisów o Ochronie Danych.

4. Przekazywanie danych osobowych

Strony nie będą przetwarzać ani przekazywać Danych Osobowych poza Zatwierdzoną Jurysdykcję;

1. jeśli Strona pragnie przetwarzać dane osobowe w jurysdykcji innej niż zatwierdzona jurysdykcja lub przekazywać dane osobowe do niej, uznaje się, że zawarła ona umowę ze SKU, w stosownych przypadkach wraz z aneksem brytyjskim, w którym to przypadku: (i) aneks brytyjski i SKU zostają niniejszym włączone przez odniesienie; oraz (ii) Strona ujawniająca dane osobowe jest uznawana za eksportera, a Strona otrzymująca dane osobowe jest uznawana za importera (zgodnie z definicjami tych terminów zawartymi w niniejszym dokumencie).

5. Ogólne

1. Jeżeli którekolwiek z Przepisów o Ochronie Danych zostaną zastąpione nowymi lub zmodyfikowanymi Przepisami o Ochronie Danych (w tym wszelkimi decyzjami lub interpretacjami właściwego sądu lub organu rządowego w tym zakresie), nowe lub zmodyfikowane Przepisy o Ochronie Danych zostaną uznane za włączone do niniejszego Aneksu o Ochronie Danych, a obie Strony niezwłocznie zaczną przestrzegać takich Przepisów o Ochronie Danych.
2. W przypadku jakichkolwiek sprzeczności lub niespójności pomiędzy postanowieniami niniejszej Umowy o partnerstwie gospodarczym a Standardowymi klauzulami umownymi lub Aneksem brytyjskim (w stosownych przypadkach), rozstrzygające znaczenie mają postanowienia Standardowych klauzul umownych lub Aneksu brytyjskiego (w stosownych przypadkach).

Załącznik I do SCC

1. Załącznik 1 stanowi część Umowy DPA i przedstawia uzgodnioną przez Strony interpretację ich wzajemnych zobowiązań wynikających z Aneksu brytyjskiego i/lub standardowych klauzul umownych.
2. Strony uzgadniają, że w celu przesyłania Danych Osobowych pomiędzy MIR a Posiadaczem Konta, zastosowanie będą miały następujące zasady:
   
   1. Artykuł 7 Kodeksu SKU nie będzie miał zastosowania
   2. Organem nadzorczym będzie brytyjskie Biuro Komisarza ds. Informacji, jeżeli włączono brytyjski Aneks, lub irlandzki Komisarz ds. Ochrony Danych, jeżeli włączono jedynie SCC.
   3. W przypadku zastosowania Aneksu brytyjskiego zastosowanie mają przepisy prawa Anglii i Walii, a w przypadku braku takiego zastosowania – prawa Irlandii.
   4. Strony wybierają sądy angielskie jako swój wybór forum i jurysdykcji, gdy ma zastosowanie Aneks brytyjski, lub sądy irlandzkie, gdy tak nie jest.
   5. Zgodnie z Tabelą 4 Aneksu dla Wielkiej Brytanii, każda ze stron może rozwiązać umowę zgodnie z sekcją 19 Aneksu dla Wielkiej Brytanii.

Identyfikacja Stron

„Eksporter danych”:nadawca Danych Osobowych;

„Importer danych”:odbiorca danych osobowych

Opis transferu

Podmioty danych

Przetwarzane Dane Osobowe dotyczą następujących kategorii Podmiotów Danych (proszę podać):

• ☐ Pracownicy MIR
• ☐ Klienci MIR
• ☐ Użytkownicy końcowi posiadacza konta
• ☐ Pracownicy Posiadacza Konta
• ☐ Klienci posiadacza konta
• ☐ Inne: ________

Kategorie danych osobowych

Przekazywane Dane Osobowe dotyczą następujących kategorii danych (proszę określić):

• ☐ Dane kontaktowe (imię, wiek, płeć, adres, numer telefonu, adres e-mail itp.)
• ☐ Dane finansowe i płatnicze (np. numer karty kredytowej, rachunek bankowy, transakcje)
• ☐ Dowody tożsamości wydane przez rząd (paszport, prawo jazdy)
• ☐ Identyfikatory urządzeń i aktywność w Internecie lub sieci elektronicznej (adresy IP, GAID/IDFA, historia przeglądania, znaczniki czasu)
• ☐ Informacje geolokalizacyjne
• ☐ Dane biometryczne
• ☐ Inne: ________

Szczególne kategorie danych (jeśli dotyczy)

Przekazywane Dane Osobowe dotyczą następujących szczególnych kategorii danych (proszę określić):

• ☐ Brak
• ☐ Dane genetyczne lub biometryczne
• ☐ Dane dotyczące zdrowia
• ☐ Pochodzenie rasowe lub etniczne
• ☐ Poglądy polityczne, przekonania religijne lub filozoficzne
• ☐ Inne: ________

Częstotliwość transferu:

• ☐ Jednorazowy
• ☐ Ciągły
• ☐ Inne: ________

Charakter przetwarzania

• ☐ Kolekcja
• ☐ Nagrywanie
• ☐ Organizacja lub strukturyzacja
• ☐ Przechowywanie
• ☐ Adaptacja lub zmiana
• ☐ Odzyskiwanie
• ☐ Konsultacja
• ☐ Ujawnianie, rozpowszechnianie lub inne udostępnianie
• ☐ Analiza
• ☐ Wymazanie lub zniszczenie
• ☐ Inne: ________
•  

Cel przekazania i dalszego przetwarzania

• ☐ Aby świadczyć, zarządzać i obsługiwać usługi konta MBB
• ☐ Inne: ________

Okres przechowywania

Dane osobowe będą przechowywane przez okres obowiązywania Umowy lub zgodnie z obowiązującymi przepisami prawa.

Załącznik II do SCC – Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne zapewniające bezpieczeństwo danych

Niniejszy Załącznik stanowi część Umowy o ochronie danych i opisuje techniczne i organizacyjne środki bezpieczeństwa wdrożone przez importera danych.

Biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, Importer Danych wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa odpowiadający ryzyku, w tym między innymi, w stosownych przypadkach:

• pseudonimizacja i szyfrowanie danych osobowych;
• zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
• możliwość przywrócenia dostępności i dostępu do danych osobowych w odpowiednim czasie w razie incydentu fizycznego lub technicznego;
• proces regularnego testowania, oceniania i analizy skuteczności środków technicznych i organizacyjnych służących zapewnieniu bezpieczeństwa przetwarzania; oraz
• utrzymanie Polityki Bezpieczeństwa Informacji i Prywatności Danych