Umowa powierzenia przetwarzania danych

1. Umowa określa zasady, na jakich Procesor przetwarza w imieniu Administratora dane osobowe w związku z korzystaniem przez Administratora z platformy FIXER w szczególności prowadzenia projektu/projektów utworzonych przez Administratora („Projekt”) zgodnie z Regulaminem korzystania z Serwisu FIXER.
2. Umowa stanowi umowę powierzenia w rozumieniu art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).
3. Szczegóły przetwarzania, w tym jego przedmiot, czas trwania, charakter, cel, kategorie osób i rodzaje danych, określa Załącznik nr 1.
4. Procesor przetwarza dane wyłącznie w zakresie niezbędnym do udostępnienia funkcji FIXER, w szczególności do zapisywania, przechowywania, wyświetlania i synchronizowania danych Projektu pomiędzy osobami upoważnionymi przez Administratora oraz do generowania raportów i kopii danych.
5. Umowa nie przenosi na Procesora obowiązków Administratora dotyczących ustalenia podstawy prawnej, celów przetwarzania ani obowiązku informowania osób, których dane dotyczą, w zakresie, w jakim Administrator jest administratorem tych danych.

1. Umowa obowiązuje od chwili jej zaakceptowania w formie elektronicznej do zakończenia przetwarzania danych w imieniu Administratora.
2. Umowa obejmuje okres korzystania z FIXER oraz okres niezbędny do zwrotu lub usunięcia danych po zakończeniu świadczenia usługi, zgodnie z art. 10.
3. Zakończenie testu albo przejście konta w tryb tylko do pobrania raportu nie oznacza samo przez się usunięcia danych. Administrator może pobrać dane zgodnie z funkcjami FIXER i złożyć polecenie usunięcia Projektu lub konta przez zamknięcie Projektu w usłudze albo w formie dokumentowej na adres [email protected].

1. Administrator poleca Procesorowi przetwarzać dane zgodnie z Umową, jej załącznikami oraz poleceniami przekazywanymi za pośrednictwem funkcji FIXER lub w formie dokumentowej przez osoby upoważnione przez Administratora.
2. Do udokumentowanych poleceń należą w szczególności: utworzenie i konfiguracja Projektu, dodanie lub usunięcie uczestnika, nadanie i odebranie uprawnień, zapis i udostępnianie treści Projektu, eksport danych, korekta lub usunięcie danych oraz zamknięcie Projektu.
3. Procesor nie będzie przetwarzać danych w innym celu niż wskazany w Umowie, chyba że obowiązek taki wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego. W takim przypadku, o ile prawo tego nie zabrania, Procesor poinformuje Administratora o obowiązku prawnym przed rozpoczęciem przetwarzania.
4. Jeżeli Procesor uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie poinformuje o tym Administratora. Do czasu wyjaśnienia wątpliwości Procesor może wstrzymać wykonanie zakwestionowanego polecenia w zakresie dopuszczalnym prawem.
5. Administrator odpowiada za to, aby polecenia były zgodne z prawem, dostatecznie jasne i wydawane przez osoby uprawnione.

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo. Procesor informuje Administratora o takim obowiązku, o ile prawo nie zakazuje przekazania tej informacji z uwagi na ważny interes publiczny.
2. Procesor zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi poufności.
3. Procesor stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, odpowiednie do ryzyka, charakteru, zakresu i celów przetwarzania. Uzgodnione środki opisuje Załącznik nr 2.
4. Procesor przestrzega zasad dotyczących dalszego powierzania określonych w art. 7 i Załączniku nr 3.
5. Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi — za pomocą odpowiednich środków technicznych i organizacyjnych — w realizacji żądań osób, których dane dotyczą, dotyczących praw określonych w rozdziale III RODO.
6. Procesor pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i informacji dostępnych Procesorowi, w szczególności w zakresie bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji z organem nadzorczym.
7. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty i inspekcje zgodnie z art. 9.
8. Procesor niezwłocznie informuje Administratora, jeśli nie jest w stanie spełnić obowiązków wynikających z Umowy lub RODO.

1. Administrator zapewnia zgodność z prawem przetwarzania danych powierzonych Procesorowi, w tym istnienie podstawy prawnej dla danych Projektu i spełnienie obowiązków informacyjnych wobec osób, których dane dotyczą.
2. Administrator określa, jakie dane są niezbędne dla Projektu, ogranicza ich zakres do niezbędnego minimum oraz zapewnia, że dane są prawidłowe i adekwatne do celu.
3. Administrator informuje uczestników Projektu o tym, jakie dane będą w nim zapisywane, kto uzyska do nich dostęp, w jakim celu są używane oraz jak długo będą przechowywane. Administrator informuje również osoby, których dane wprowadza do Projektu, jeżeli wymagają tego przepisy, w tym osoby, które same nie korzystają z FIXER.
4. Administrator upoważnia wyłącznie takie osoby, które potrzebują dostępu do Projektu, i odpowiada za prawidłowe nadawanie oraz odbieranie im uprawnień.
5. Administrator nie umieszcza w Projekcie danych szczególnych kategorii ani danych dotyczących wyroków skazujących i naruszeń prawa, chyba że Strony odrębnie uzgodnią warunki takiego przetwarzania na piśmie, a Administrator zapewni właściwą podstawę prawną i zabezpieczenia.
6. Administrator nie wydaje Procesorowi poleceń sprzecznych z RODO lub innymi przepisami o ochronie danych.

1. Procesor zapewnia, że dostęp do danych mają wyłącznie osoby, dla których jest on niezbędny do świadczenia lub utrzymania FIXER, i że osoby te są zobowiązane do poufności.
2. Procesor prowadzi kontrolę uprawnień personelu, niezwłocznie odbiera dostęp, gdy przestaje być potrzebny oraz zapewnia instruktaż odpowiedni do zakresu obowiązków tych osób.
3. Obowiązek poufności trwa także po zakończeniu współpracy lub odebraniu uprawnień.

1. Administrator udziela Procesorowi ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających („Podwykonawców”) w zakresie niezbędnym do świadczenia FIXER, pod warunkiem ujawnienia ich w Załączniku nr 3 i przestrzegania niniejszego paragrafu.
2. Procesor informuje Administratora o planowanym dodaniu Podwykonawcy lub zastąpieniu go innym podmiotem z co najmniej 14-dniowym wyprzedzeniem, przekazując nazwę podmiotu, zakres powierzanych czynności i miejsce przetwarzania. Jeżeli z przyczyn technicznych lub prawnych 14-dniowe uprzedzenie nie jest możliwe, Procesor informuje Administratora bez zbędnej zwłoki i wskazuje przyczynę.
3. Administrator może wnieść uzasadniony sprzeciw w ciągu 5 dni od otrzymania informacji. Strony podejmą próbę uzgodnienia alternatywnego rozwiązania. Jeżeli nie będzie ono dostępne, Administrator może zakończyć korzystanie z funkcji, której dotyczy zmiana, lub rozwiązać Umowę w zakresie danego Projektu bez kary umownej.
4. Procesor nakłada na Podwykonawcę — na podstawie umowy — obowiązki ochrony danych co najmniej równoważne obowiązkom Procesora wynikającym z Umowy, w szczególności w zakresie bezpieczeństwa, poufności, pomocy Administratorowi, audytów i usunięcia danych.
5. Procesor odpowiada wobec Administratora za wykonanie obowiązków ochrony danych przez Podwykonawcę w zakresie wymaganym przez art. 28 ust. 4 RODO.
6. Aktualna lista Podwykonawców, ich funkcje, lokalizacje przetwarzania i informacje o transferach poza EOG znajdują się w Załączniku nr 3. Zgoda ogólna nie upoważnia do niewskazanego transferu danych poza EOG.

1. Procesor informuje Administratora o naruszeniu ochrony danych osobowych dotyczącym powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia. Termin 48 godzin jest uzgodnionym terminem umownym i nie zastępuje obowiązków Administratora wynikających z art. 33 i 34 RODO.
2. Zgłoszenie zawiera informacje dostępne Procesorowi, w szczególności opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, podjęte lub proponowane środki zaradcze i dane kontaktowe osoby do dalszych ustaleń.
3. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, Procesor przekazuje je etapami bez zbędnej zwłoki.
4. Procesor współpracuje z Administratorem przy analizie, ograniczaniu skutków i dokumentowaniu naruszenia. Procesor nie zawiadamia osób, których dane dotyczą, ani organu nadzorczego w imieniu Administratora, chyba że otrzyma odrębne polecenie lub obowiązek taki wynika z prawa.

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z Umowy i art. 28 RODO.
2. Administrator może przeprowadzić audyt albo inspekcję, osobiście lub przez niezależnego audytora zobowiązanego do poufności, po co najmniej 10 dniach roboczych uprzedzenia i w zwykłych godzinach pracy Procesora. Audyt nie może nieproporcjonalnie zakłócać działania usługi ani naruszać bezpieczeństwa lub poufności danych innych klientów.
3. Ograniczenie z ust. 2 nie dotyczy audytu koniecznego w związku z podejrzeniem naruszenia, incydentem bezpieczeństwa lub żądaniem organu nadzorczego. W miarę możliwości Strony uzgodnią termin i zakres audytu.
4. W pierwszej kolejności Procesor może wykazać zgodność aktualnym raportem z niezależnego audytu, certyfikatem lub inną dokumentacją bezpieczeństwa, jeżeli jest dostępna i adekwatna do zakresu przetwarzania. Nie wyłącza to prawa Administratora do audytu, jeżeli przedstawione informacje są niewystarczające.
5. Administrator i audytor zachowują poufność informacji uzyskanych podczas audytu. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Procesora.

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem, według wyboru Administratora, Procesor usuwa albo zwraca Administratorowi wszystkie dane osobowe oraz usuwa ich kopie, chyba że prawo Unii Europejskiej lub państwa członkowskiego nakazuje dalsze przechowywanie.
2. Administrator może pobrać dostępny eksport Projektu za pomocą funkcji FIXER. Jeżeli funkcja ta nie pozwala na zwrot określonych danych, Administrator może złożyć żądanie na adres [email protected]; Procesor odpowie, czy i w jaki sposób może wykonać żądanie.
3. Procesor usuwa dane z aktywnych systemów w terminie 90 dni od zakończenia Umowy lub otrzymania polecenia usunięcia, chyba że Administrator zażąda zwrotu danych przed usunięciem.
4. Kopie zapasowe są usuwane w ramach cyklu nadpisywania, przy czym kopie przechowywane przez Procesora wygasają po upływie 30 dni od ich wykonania, a kopie wykonywane przez dostawców chmurowych wygasają zgodnie z okresami retencji tych dostawców. Do czasu nadpisania kopie są zabezpieczone, nie są używane do innych celów i mogą być odtworzone wyłącznie w razie awarii lub obowiązku prawnego.
5. Na żądanie Administratora Procesor potwierdzi wykonanie usunięcia, z zastrzeżeniem danych, które musi zachować na podstawie prawa

1. Procesor nie przekazuje danych poza Europejski Obszar Gospodarczy ani nie umożliwia do nich dostępu z państwa trzeciego, chyba że transfer jest objęty udokumentowaną instrukcją Administratora, a warunki rozdziału V RODO są spełnione. Akceptacja Załącznika nr 3 stanowi udokumentowaną instrukcję Administratora w zakresie wskazanych w nim transferów.
2. Przed rozpoczęciem transferu Procesor informuje Administratora o państwie, odbiorcy, celu i stosowanym mechanizmie transferowym, w tym — odpowiednio — decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzulach umownych i dodatkowych zabezpieczeniach.
3. Aktualne informacje o Podwykonawcach i transferach wskazane są w Załączniku nr 3. Jeżeli dane są przechowywane w EOG, ale dostawca albo jego personel może uzyskać do nich dostęp spoza EOG, taka możliwość również zostanie ujawniona w Załączniku nr 3.

1. Umowa nie obejmuje przetwarzania, dla którego Procesor samodzielnie ustala cele i sposoby jako odrębny administrator. Przetwarzanie takie może obejmować, zależnie od faktycznej konfiguracji usługi, prowadzenie własnej relacji z użytkownikiem, administrację kontem, komunikację o usłudze, obsługę zgłoszeń, bezpieczeństwo lub obowiązki prawne.
2. W odniesieniu do takich celów Procesor działa na własną odpowiedzialność, sam określa podstawę prawną i spełnia obowiązki informacyjne. Nie może wykorzystywać w tym celu treści Projektu, chyba że jest to niezbędne do wykonania obowiązku prawnego, obsługi konkretnego zgłoszenia lub zabezpieczenia usługi, zgodnie z prawem i właściwą informacją dla użytkownika.
3. Każde użycie danych Projektu do analityki, rozwoju produktu, trenowania modeli, reklamy albo innego celu własnego wymaga odrębnej oceny roli Procesora i podstawy prawnej. Nie jest dozwolone na mocy samego niniejszego powierzenia.

1. Każda ze Stron odpowiada za wykonanie obowiązków, które RODO nakłada na nią w związku z jej rolą i przetwarzaniem.
2. Umowa nie ogranicza praw osób, których dane dotyczą, ani uprawnień organu nadzorczego.
3. W sprawach nieuregulowanych Umową zastosowanie ma RODO oraz prawo polskie.
4. W razie sprzeczności Umowa ma pierwszeństwo przed ogólnymi postanowieniami Regulaminu w zakresie powierzenia danych osobowych. Pozostałe warunki korzystania z FIXER określa Regulamin, o ile nie są sprzeczne z Umową.
5. Zmiany Umowy wymagają formy dokumentowej, w tym formy elektronicznej pozwalającej utrwalić treść i identyfikować Strony. Aktualizacja Załącznika nr 3 może być dokonana zgodnie z procedurą z art. 7.
6. Umowa może zostać zawarta w formie pisemnej albo elektronicznej. W przypadku akceptacji w aplikacji Procesor zachowuje wersję Umowy, datę akceptacji, identyfikator konta i Projektu oraz informację pozwalającą wykazać, kto zaakceptował Umowę w imieniu Administratora.

A. przedmiot, charakter i cel

Przedmiot: dane osobowe zawarte w Projektach prowadzonym w FIXER przez Administratora.

Charakter operacji: zbieranie, rejestrowanie, porządkowanie, przechowywanie, przeglądanie, udostępnianie wyłącznie upoważnionym uczestnikom tego Projektu, synchronizowanie, wyszukiwanie, eksportowanie, tworzenie raportów i kopii zapasowych, ograniczanie, usuwanie.

Cel: umożliwienie Administratorowi i upoważnionym uczestnikom prowadzenia zapisu dodatkowych prac, wycen, decyzji, zatwierdzeń, wiadomości i zadań związanych z remontem lub wykończeniem, a także przygotowanie raportu lub kopii danych.

Czas: przez okres korzystania z Projektu oraz okres zwrotu/usunięcia danych określony w Umowie i cykl kopii zapasowych.

B. kategorie osób, których dane dotyczą

Administrator/Właściciel Projektu oraz osoby działające w jego imieniu;

wykonawcy, zleceniodawcy/inwestorzy, projektanci i inni uczestnicy zaproszeni do Projektu;

pracownicy, współpracownicy, podwykonawcy i przedstawiciele tych osób lub podmiotów, jeżeli ich dane zostaną wprowadzone do Projektu;

inne osoby, których dane zostaną umieszczone w treści Projektu lub załącznikach.

C. rodzaje danych

W zależności od tego, co Administrator i uczestnicy zapiszą w Projekcie, mogą być przetwarzane:

dane konta i identyfikacyjne uczestników, w tym adres e-mail, nazwa wyświetlana i rola w Projekcie;

dane kontaktowe podane w treści Projektu;

treści wpisów o pracach, zmianach, wycenach, kosztach, decyzjach, zatwierdzeniach, zadaniach i statusach;

treści wiadomości, komentarzy, zgłoszeń i notatek;

zdjęcia, pliki i inne załączniki umieszczone przez uczestników;

techniczne identyfikatory i metadane przypisane do treści, np. autor wpisu, data i czas utworzenia lub modyfikacji.

Administrator nie poleca przetwarzania szczególnych kategorii danych z art. 9 RODO ani danych z art. 10 RODO. Jeżeli takie dane okażą się niezbędne, Strony przed ich wprowadzeniem uzgodnią na piśmie podstawę prawną, instrukcje i dodatkowe zabezpieczenia.

D. udokumentowane instrukcje domyślne

Dane Projektu mogą być przetwarzane wyłącznie w celu udostępnienia Projektu Administratorowi i osobom przez niego upoważnionym oraz do technicznej obsługi tej funkcji.

Procesor nie wykorzystuje danych Projektu do reklamy, sprzedaży danych, profilowania na własny użytek ani trenowania systemów sztucznej inteligencji.

Dostęp do treści Projektu ma być ograniczony do Administratora, uczestników dodanych lub zaproszonych przez Administratora, upoważnionego personelu Procesora w zakresie koniecznym do utrzymania lub wsparcia usługi oraz wskazanych Podwykonawców.

Polecenia dotyczące eksportu, korekty, usunięcia lub ograniczenia dostępu mogą być składane przez funkcje FIXER lub w formie dokumentowej przez osobę upoważnioną przez Administratora.

Jako dostawca oprogramowania oraz podmiot przetwarzający dane osobowe w rozumieniu art. 28 RODO, wdrażamy zaawansowane środki techniczne i organizacyjne spełniające wymogi art. 32 RODO oraz standardy Privacy by Design. Nasza architektura opiera się na zasadach minimalizacji uprawnień, separacji danych i wielowarstwowej kryptografii.

1. Kontrola tożsamości i uwierzytelnianie (Identity & Access Management)

Konta dedykowane: Dostęp do systemu opiera się wyłącznie na unikalnych, imiennych identyfikatorach użytkowników.

Nowoczesne uwierzytelnianie: Wspieramy logowanie bezhasłowe (Magic Links) oraz politykę haseł o podwyższonej entropii (hasła są haszowane kryptograficznie z soleniem przy użyciu wiodących algorytmów jednokierunkowych; system nie przetwarza haseł w postaci jawnej).

Prewencja rejestracji: W celu eliminacji nieautoryzowanego dostępu wyłączono możliwość publicznej, swobodnej rejestracji – dostęp do projektów i zasobów bazuje na zaproszeniach kontrolowanych przez uprawnionych administratorów organizacji.

Konta administracyjne: Dostęp do panelu administracyjnego Serwisu jest zabezpieczony obligatoryjnym uwierzytelnianiem wieloskładnikowym (MFA), wymuszonym po stronie bazy danych.

2. Poufność i separacja danych (Data Confidentiality & Tenancy)

Zasada niezbędnej wiedzy (Need-to-Know): Użytkownik posiada wgląd wyłącznie w zasoby projektów, do których został bezpośrednio i formalnie przypisany.

Wielopoziomowa kontrola ról (RBAC): Mechanizmy uprawnień różnicują role użytkowników w projekcie, w tym widoczność danych wrażliwych biznesowo, kwot oraz wpisów w komentarzach.

Izolacja na poziomie silnika bazy danych (RLS): Separacja danych pomiędzy klientami i projektami jest gwarantowana mechanizmem Row-Level Security. Każde zapytanie do bazy danych jest ściśle powiązane z tożsamością zalogowanego użytkownika, co wyklucza ominięcie reguł bezpieczeństwa na poziomie aplikacji.

3. Bezpieczeństwo sieciowe i transmisja (Network & Edge Security)

Szyfrowanie w tranzycie: Całość komunikacji sieciowej (zarówno pomiędzy użytkownikiem a usługą, jak i komunikacja wewnętrzna API z bazą danych) jest szyfrowana przy użyciu protokołu TLS w nowoczesnych, bezpiecznych wersjach.

Polityka HSTS i ochrona nagłówkowa: Wymuszamy stosowanie protokołu HTTPS poprzez nagłówki HSTS oraz stosujemy reguły uniemożliwiające osadzenie serwisu w obcych ramkach (ochrona przed atakami typu Clickjacking).

Ochrona brzegowa (DDoS & WAF): Ruch aplikacyjny jest chroniony przez globalną sieć brzegową Cloudflare, filtrującą ruch pod kątem ataków wolumetrycznych i prób nadużyć.

4. Kryptografia i przechowywanie danych (Encryption at Rest)

Szyfrowanie bazy danych: Wszystkie rekordy bazy danych (w tym dane kont oraz wpisy dyskusyjne) podlegają szyfrowaniu dyskowemu w spoczynku (Encryption at Rest) z wykorzystaniem standardu AES-256 w certyfikowanych centrach danych dostawcy chmurowego.

Zasoby plikowe: Pliki i załączniki techniczne przechowywane są w wydzielonym magazynie obiektowym z zachowaniem kontroli dostępu powiązanej z uprawnieniami w projekcie.

5. Ciągłość działania i kopie zapasowe (Business Continuity & DR)

Zautomatyzowane zrzuty zapasowe: Wykonywane są regularne, zautomatyzowane kopie zapasowe struktury i danych systemu w cyklu cotygodniowym.

Asymetryczne szyfrowanie kopii: Wszystkie archiwa kopii zapasowych są przed opuszczeniem środowiska produkcyjnego szyfrowane silnym kluczem asymetrycznym. Klucz prywatny niezbędny do odszyfrowania danych jest odseparowany od środowiska chmurowego i utrzymywany offline.

Okres przechowywania kopii: Zgodnie z polityką retencji, archiwa kopii zapasowych są automatycznie usuwane po 30 dniach.

6. Bezpieczeństwo cyklu wytwórczego i podatności (AppSec & SDLC)

Potoki CI/CD: Wszelkie aktualizacje oprogramowania przechodzą przez zautomatyzowane procedury testowe weryfikujące poprawność kodu i stabilność aplikacji przed wdrożeniem produkcyjnym.

Zarządzanie podatnościami: Komponenty i biblioteki zewnętrzne są aktualizowane w ramach prac nad Serwisem, a znane podatności są oceniane w ramach przeglądów bezpieczeństwa (ostatni: 15 października 2026 r.).

Monitorowanie i telemetria (Audit & Logging)

Rejestrowanie zdarzeń: System utrzymuje zagregowane dzienniki zdarzeń technicznych i telemetrii w celu wczesnego wykrywania anomalii oraz zapewnienia integralności środowiska.

Ochrona prywatności w logach: W logach operacyjnych nie są utrwalane hasła, poufne tokeny ani nadmiarowe dane osobowe. Dostęp do logów jest ograniczony do upoważnionego personelu inżynieryjnego.

8. Lokalizacja przetwarzania i podprocesorzy

Suwerenność danych (EOG): Główna baza danych oraz silnik autoryzacji zlokalizowane są w regionie Unii Europejskiej (Irlandia / eu-west-1).

Dystrybucja ruchu: Warstwa frontendowa jest serwowana przez globalną sieć brzegową Cloudflare, więc dane techniczne ruchu (np. adres IP) mogą być przetwarzane w różnych krajach (patrz Załącznik nr 3).

Transparentność łańcucha dostawców: Korzystamy wyłącznie z renomowanych dostawców usług chmurowych i komunikacyjnych, weryfikowanych pod kątem zgodności z RODO oraz posiadających odpowiednie gwarancje prawne (np. Standardowe Klauzule Umowne lub Data Privacy Framework).

9. Usuwanie i prawo do bycia zapomnianym (Data Deletion)

Usuwanie danych operacyjnych: Administrator (Właściciel Projektu) może zakończyć współpracę z uczestnikiem, zamknąć Projekt (z możliwością przywrócenia w okresie karencji) oraz zażądać trwałego usunięcia Projektu i danych na adres [email protected]; trwałe, kaskadowe usunięcie z aktywnej bazy danych wykonuje Procesor.

Cykl życia w archiwach: Ze względów integralności kryptograficznej kopii całościowych, usunięcie danych z archiwów zapasowych następuje samoczynnie wraz z upływem 30-dniowego okna retencji danego zrzutu.

Zgodnie z art. 28 ust. 2 i 4 RODO, Podmiot Przetwarzający korzysta z usług następujących podmiotów trzecich w celu realizacji usługi: