MuchBetter Biznes
DODATEK DOTYCZĄCY OCHRONY DANYCH

1. Definicje

Wszystkie terminy pisane wielką literą, które nie zostały zdefiniowane w niniejszym Dodatku o ochronie danych („DPA”), mają znaczenie określone w Umowie.

1. Przyłączać oznacza jakąkolwiek osobę lub podmiot bezpośrednio lub pośrednio kontrolujący, kontrolowany przez lub pozostający pod wspólną kontrolą ze Stroną. Na potrzeby niniejszej definicji „kontrola” (w tym, w powiązanych znaczeniach, terminy „kontrolujący”, „kontrolowany przez” i „pod wspólną kontrolą z”) oznacza uprawnienie do zarządzania lub kierowania sprawami danej osoby lub podmiotu, czy to poprzez posiadanie papierów wartościowych z prawem głosu, na podstawie umowy, czy w inny sposób.
2. Porozumienie oznacza Umowę o Usługi Konta Firmowego MuchBetter pomiędzy MIR a Posiadaczem Konta, która obejmuje dostęp do Danych Osobowych lub ich Przetwarzanie;
3. Zatwierdzona jurysdykcja oznacza państwo członkowskie EOG lub inną jurysdykcję, która może zostać uznana za zapewniającą odpowiednią ochronę prawną danych przez Komisję Europejską lub na mocy brytyjskich przepisów o odpowiedniej ochronie wydanych na podstawie sekcji 17A ustawy o ochronie danych z 2018 r. lub ust. 4 i 5 załącznika 21 ustawy o ochronie danych z 2018 r., w stosownych przypadkach;
4. Incydent naruszenia oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
5. Przepisy o ochronie danych oznacza wszelkie i/lub wszystkie obowiązujące krajowe i zagraniczne prawa, zasady, dyrektywy i regulacje dotyczące prywatności danych, bezpieczeństwa danych i/lub ochrony danych osobowych, w tym dyrektywę o prywatności i łączności elektronicznej 2002/58/WE (oraz odpowiednie lokalne przepisy wykonawcze) dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze komunikacji elektronicznej (dyrektywa o prywatności i łączności elektronicznej), w tym wszelkie zmiany lub zamienniki, w tym rozporządzenie (UE) 2016/679 Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. („RODO”), w tym ustawę o ochronie danych z 2018 r. i RODO, ponieważ stanowi część prawa Anglii i Walii, Szkocji i Irlandii Północnej na mocy sekcji 3 ustawy o wystąpieniu z Unii Europejskiej z 2018 r. („RODO w Wielkiej Brytanii”).
6. EOG oznacza państwa będące członkami Europejskiego Obszaru Gospodarczego.
7. MIR oznacza MIR Limited UK Ltd, dostawcę usług dla kont firmowych MuchBetter
8. Dane osobowe lub „Dane Osobowe” oznaczają wszelkie informacje dotyczące lub mogące być powiązane z możliwą do zidentyfikowania osobą. Obejmuje to wszelkie informacje, które można powiązać z daną osobą lub wykorzystać do bezpośredniej lub pośredniej identyfikacji danej osoby fizycznej. Dane Osobowe są uważane za Informacje Poufne niezależnie od źródła.
9. Proces oznacza jakąkolwiek operację lub zestaw operacji wykonywanych na Danych Osobowych, niezależnie od tego, czy odbywa się to w sposób zautomatyzowany, czy nie, takich jak gromadzenie, rejestrowanie, organizowanie, przechowywanie, adaptacja lub modyfikacja, dostęp do, wyszukiwanie, konsultacja, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, dopasowywanie lub łączenie, blokowanie, usuwanie lub niszczenie. Terminy „Procesy” lub „Przetwarzanie” należy interpretować odpowiednio.
10. Standardowe klauzule umowne lub „SCC” – obowiązujący moduł standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 4 czerwca 2021 r., które może być okresowo zmieniane, zastępowane lub zastępowane.
11. Dodatek dla Wielkiej Brytanii oznacza Międzynarodowy Dodatek do Standardowych Klauzul Umownych dotyczący Transferu Danych, który wszedł w życie 21 marca 2022 r.

2. Stosowanie niniejszej umowy DPA

1. Niniejsza umowa DPA będzie obowiązywać wyłącznie w przypadku spełnienia wszystkich następujących warunków:
   
   1. Każda ze Stron przetwarza Dane Osobowe udostępnione przez drugą Stronę w związku z Umową;
   2. Przepisy o ochronie danych osobowych mają zastosowanie do przetwarzania danych osobowych.
2. Niniejsza Umowa o partnerstwie gospodarczym będzie miała zastosowanie wyłącznie do usług, na które Strony wyraziły zgodę w Umowie i do której Umowa o partnerstwie gospodarczym zostanie włączona poprzez odniesienie.

3. Ochrona danych i prywatność

1. W zakresie, w jakim Strona ma dostęp do Danych Osobowych udostępnionych drugiej Stronie lub w inny sposób Przetwarza Dane Osobowe udostępnione drugiej Stronie, Strona ta jest zobowiązana do:
   
   1. Być niezależnym Administratorem Danych Osobowych i ustalać cele i sposoby przetwarzania zgodnie z Umową i przepisami o ochronie danych.
   2. Przetwarzaj Dane Osobowe wyłącznie zgodnie z wymogami Przepisów o Ochronie Danych Osobowych oraz zgodnie z wymogami Przepisów o Ochronie Danych Osobowych, prowadź dokładne pisemne zapisy wszystkich czynności Przetwarzania Danych Osobowych podejmowanych na podstawie Umowy.
   3. Bez uszczerbku dla powyższego, ponosisz odpowiedzialność za dostarczenie osobie, której dane dotyczą, wszelkich informacji wymaganych na mocy przepisów o ochronie danych oraz za umożliwienie osobie, której dane dotyczą, korzystania z jej praw wynikających z przepisów o ochronie danych, a także zapewniasz drugiej Stronie uzasadnioną współpracę i pomoc w wypełnianiu powyższych postanowień oraz wszelkich obowiązków prawnych lub regulacyjnych;
   4. Wdrożyć i utrzymywać komercyjnie uzasadnione i odpowiednie środki bezpieczeństwa fizycznego, technicznego i organizacyjnego w celu ochrony Danych Osobowych przed przypadkowym lub bezprawnym zniszczeniem; przypadkową utratą, zmianą, nieautoryzowanym ujawnieniem lub dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych oraz wszelkimi innymi bezprawnymi formami Przetwarzania;
   5. Wypełniać wszelkie obowiązki związane z powiadamianiem organu nadzorczego o naruszeniu ochrony danych osobowych oraz obowiązki związane z komunikacją z osobami, których dane dotyczą, zgodnie z wymogami przepisów o ochronie danych;
   6. Powiadomić drugą Stronę bez zbędnej zwłoki i nie później niż dwadzieścia cztery (24) godziny po uzyskaniu wiedzy o Incydencie Naruszenia.
2. Strona, która pierwotnie uzyskuje Dane Osobowe od osoby, której dane dotyczą, jest odpowiedzialna za uzyskanie wszelkich zgód, jakie mogą być wymagane od osoby, której dane dotyczą (w każdym przypadku w zakresie niezbędnym do przestrzegania przepisów o ochronie danych) oraz za przekazanie osobie, której dane dotyczą, informacji przed zebraniem Danych Osobowych (np. „Polityki Prywatności” lub „Polityki Prywatności”), w zakresie niezbędnym do przestrzegania przepisów o ochronie danych. Powyższe nie narusza obowiązków drugiej Strony wynikających z przepisów o ochronie danych (takich jak wymóg przekazania osobie, której dane dotyczą, informacji dotyczących przetwarzania Danych Osobowych).
3. Każda ze Stron może wyznaczyć podwykonawców, w tym Podmioty stowarzyszone, do przetwarzania Danych osobowych w jej imieniu („Podwykonawcy”) w celu realizacji swoich obowiązków i usług wynikających z Umowy, pod warunkiem, że: (i) wyznaczenie będzie podlegać pisemnej umowie z wyznaczonym Podwykonawcą, zawierającej, w stosownych przypadkach, warunki zapewniające równoważną ochronę Danych osobowych, jak przewidziano w niniejszym Dodatku dotyczącym ochrony danych; oraz (ii) każda ze Stron ponosi odpowiedzialność za działania lub zaniechania swoich własnych Podwykonawców w takim samym zakresie, w jakim ponosi odpowiedzialność za swoje własne działania lub zaniechania na mocy niniejszego Dodatku dotyczącego ochrony danych, Umowy i przepisów o ochronie danych.

4. Przekazywanie danych osobowych

Strony nie będą przetwarzać ani przekazywać Danych Osobowych poza Zatwierdzoną Jurysdykcję;

1. jeśli Strona pragnie przetwarzać dane osobowe w jurysdykcji innej niż zatwierdzona jurysdykcja lub przekazywać dane osobowe do niej, uznaje się, że zawarła ona Standardowe klauzule umowne, w stosownych przypadkach wraz z dodatkiem dla Wielkiej Brytanii, w którym to przypadku: (i) dodatek dla Wielkiej Brytanii i Standardowe klauzule umowne zostają włączone do niniejszego dokumentu przez odniesienie; oraz (ii) Strona ujawniająca dane osobowe jest uznawana za eksportera, a Strona otrzymująca dane osobowe jest uznawana za importera (zgodnie z definicjami tych terminów zawartymi w tym dokumencie).

5. Ogólne

1. Jeżeli którekolwiek z Przepisów o Ochronie Danych zostaną zastąpione nowymi lub zmodyfikowanymi Przepisami o Ochronie Danych (w tym wszelkimi decyzjami lub interpretacjami właściwego sądu lub organu rządowego w tym zakresie), nowe lub zmodyfikowane Przepisy o Ochronie Danych zostaną uznane za włączone do niniejszego Aneksu o Ochronie Danych, a obie Strony niezwłocznie zaczną przestrzegać takich Przepisów o Ochronie Danych.
2. W przypadku jakichkolwiek konfliktów lub niespójności pomiędzy postanowieniami niniejszej Umowy o partnerstwie gospodarczym a Standardowymi Klauzulami Umownymi lub Aneksem brytyjskim (w stosownych przypadkach), wiążące będą postanowienia Standardowych Klauzul Umownych lub Aneksu brytyjskiego (w stosownych przypadkach).

Załącznik I do Standardów Handlowych

1. Załącznik 1 stanowi część Umowy o partnerstwie gospodarczym i określa uzgodnioną przez Strony interpretację ich wzajemnych zobowiązań wynikających z Aneksu brytyjskiego i/lub standardowych klauzul umownych.
2. Strony uzgadniają, że w celu przesyłania Danych Osobowych pomiędzy MIR a Posiadaczem Konta, zastosowanie mają następujące zasady:
   
   1. Klauzula 7 SCC nie będzie miała zastosowania
   2. Organem nadzorującym będzie brytyjski Komisarz ds. Informacji, jeżeli włączono brytyjski Aneks, lub irlandzki Komisarz ds. Ochrony Danych, jeżeli włączono jedynie Standardy Ubezpieczeń Społecznych.
   3. W przypadku zastosowania Dodatku brytyjskiego stosuje się przepisy prawa Anglii i Walii, a w przypadku braku takiego zastosowania – prawa Irlandii.
   4. Strony wybierają sądy angielskie jako swój wybór forum i jurysdykcji, gdy ma zastosowanie Aneks brytyjski, lub sądy irlandzkie, gdy tak nie jest.
   5. Zgodnie z Tabelą 4 Aneksu dla Wielkiej Brytanii, każda ze stron może rozwiązać umowę zgodnie z sekcją 19 Aneksu dla Wielkiej Brytanii.

Identyfikacja Stron

„Eksporter danych”:nadawca Danych Osobowych;

„Importer danych”:odbiorca danych osobowych

Opis transferu

Podmioty danych

Przetwarzane dane osobowe dotyczą następujących kategorii osób, których dane dotyczą (proszę określić):

• ☐ Pracownicy MIR
• ☐ Klienci MIR
• ☐ Użytkownicy końcowi posiadacza konta
• ☐ Pracownicy Właściciela Konta
• ☐ Klienci posiadacza konta
• ☐ Inne: ________

Kategorie danych osobowych

Przekazane dane osobowe dotyczą następujących kategorii danych (proszę określić):

• ☐ Dane kontaktowe (imię i nazwisko, wiek, płeć, adres, numer telefonu, adres e-mail itp.)
• ☐ Dane finansowe i płatnicze (np. numer karty kredytowej, konto bankowe, transakcje)
• ☐ Dokumenty tożsamości wydane przez organy rządowe (paszport, prawo jazdy)
• ☐ Identyfikatory urządzeń i aktywność w Internecie lub sieci elektronicznej (adresy IP, GAID/IDFA, historia przeglądania, znaczniki czasu)
• ☐ Informacje o geolokalizacji
• ☐ Dane biometryczne
• ☐ Inne: ________

Szczególne kategorie danych (jeśli dotyczy)

Przekazane dane osobowe dotyczą następujących szczególnych kategorii danych (proszę określić):

• ☐ Brak
• ☐ Dane genetyczne lub biometryczne
• ☐ Dane dotyczące zdrowia
• ☐ Pochodzenie rasowe lub etniczne
• ☐ Poglądy polityczne, przekonania religijne lub filozoficzne
• ☐ Inne: ________

Częstotliwość transferu:

• ☐ Jednorazowe
• ☐ Ciągły
• ☐ Inne: ________

Charakter przetwarzania

• ☐ Kolekcja
• ☐ Nagrywanie
• ☐ Organizacja lub strukturyzacja
• ☐ Przechowywanie
• ☐ Adaptacja lub zmiana
• ☐ Odzyskiwanie
• ☐ Konsultacja
• ☐ Ujawnianie, rozpowszechnianie lub inne udostępnianie
• ☐ Analiza
• ☐ Wymazanie lub zniszczenie
• ☐ Inne: ________
•  

Cel przekazania i dalszego przetwarzania

• ☐ Aby zapewnić, zarządzać i obsługiwać usługi konta MBB
• ☐ Inne: ________

Okres przechowywania

Dane osobowe będą przechowywane przez okres obowiązywania Umowy lub zgodnie z obowiązującymi przepisami prawa.

Załącznik II do SCC – Środki techniczne i organizacyjne, w tym środki techniczne i organizacyjne zapewniające bezpieczeństwo danych

Niniejszy Załącznik stanowi część Umowy o ochronie danych i opisuje środki bezpieczeństwa techniczne i organizacyjne wdrożone przez importera danych.

Biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, Importer Danych wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa odpowiadający ryzyku, w tym między innymi, w stosownych przypadkach:

• pseudonimizacja i szyfrowanie danych osobowych;
• zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
• możliwość przywrócenia dostępności i dostępu do danych osobowych w odpowiednim czasie w przypadku incydentu fizycznego lub technicznego;
• proces regularnego testowania, oceniania i ewaluacji skuteczności środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania; oraz
• utrzymanie Polityki Bezpieczeństwa Informacji i Prywatności Danych