Umowa powierzenia przetwarzania danych osobowych

1. Definicje

„Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą”, „Dane osobowe” i „Przetwarzanie” mają znaczenie nadane im w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”). „Klient” oznacza podmiot lub osobę, która zawarła z promptShield umowę na podstawie Regulaminu świadczenia usług. „Dane osobowe Klienta” oznaczają dane osobowe, które promptShield przetwarza na zlecenie Klienta na podstawie niniejszych postanowień.

2. Role stron

W odniesieniu do danych konta i licencji Klient jest administratorem, a promptShield podmiotem przetwarzającym. W odniesieniu do treści dokumentów przetwarzanych wewnątrz aplikacji żadne przetwarzanie przez promptShield nie występuje: całe wykrywanie i zaczernianie odbywa się lokalnie na urządzeniu Klienta, a Klient pozostaje wyłącznym administratorem tej treści i jedynym podmiotem ją przetwarzającym. promptShield nie otrzymuje ani nie przechowuje treści dokumentów i nie dysponuje żadnymi środkami technicznymi umożliwiającymi dostęp do niej.

3. Zakres i przedmiot przetwarzania

Jedyne dane osobowe, które promptShield przetwarza na zlecenie Klienta, to:

• Dane identyfikacyjne i kontaktowe — adres e-mail używany do konta.
• Dane rozliczeniowe — dane płatnicze przetwarzane przez Stripe; numery kart nigdy nie są przechowywane przez promptShield.
• Dane licencyjne — identyfikator urządzenia w postaci skrótu SHA-256 oraz stan subskrypcji, wykorzystywane do egzekwowania limitów urządzeń i uprawnień.

Treść dokumentów, wyniki wykrywania i wynik zaczerniania są wyraźnie wyłączone z zakresu: są przetwarzane wyłącznie na urządzeniu Klienta i nigdy nie są przekazywane do promptShield.

4. Czas trwania

Przetwarzanie trwa przez okres obowiązywania subskrypcji. Po jej zakończeniu dane konta są usuwane na żądanie, a identyfikatory urządzeń powiązane z wygasłymi licencjami są usuwane automatycznie po 90 dniach, zgodnie z opisem w Polityce prywatności.

5. Dalsze podmioty przetwarzające

Klient upoważnia promptShield do korzystania z dalszych podmiotów przetwarzających wskazanych w naszej Polityce prywatności (obecnie: Firebase Authentication, Stripe, Google Cloud, Sentry i Resend), z których każdy otrzymuje wyłącznie dane niezbędne do wykonania swojej funkcji. Dodanie lub zmianę odzwierciedlimy w dacie ostatniej aktualizacji Polityki prywatności i zapewnimy rozsądną możliwość wniesienia sprzeciwu.

6. Środki bezpieczeństwa

promptShield wdraża odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie TLS w trakcie przesyłania, dane uwierzytelniające hashowane algorytmem bcrypt, weryfikację licencji podpisanych kluczem Ed25519, podpisane pliki wykonywalne oraz usuwanie danych osobowych z raportów o awariach. Ponieważ treść dokumentów nigdy nie jest przesyłana, najbardziej wrażliwa kategoria danych nie jest z założenia narażona na ryzyko związane z przesyłaniem ani z przechowywaniem na serwerze. Szczegóły znajdują się na naszej stronie Bezpieczeństwo.

7. Transfery międzynarodowe

Dane konta i licencji są przetwarzane w infrastrukturze chmurowej zlokalizowanej w Stanach Zjednoczonych. W wymaganych przypadkach transfery są objęte odpowiednimi zabezpieczeniami, takimi jak standardowe klauzule umowne UE, udostępniane na żądanie.

8. Żądania osób, których dane dotyczą

promptShield będzie wspierać Klienta, uwzględniając charakter przetwarzania, w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie wykonania prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu. Ponieważ treść dokumentów nigdy do nas nie trafia, takie żądania dotyczą wyłącznie danych konta i licencji.

9. Naruszenie ochrony danych osobowych

promptShield powiadomi Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta i przekaże informacje w rozsądnym zakresie niezbędne do wypełnienia przez Klienta jego własnych obowiązków notyfikacyjnych.

10. Audyty

promptShield udostępni, na uzasadnione żądanie i z zachowaniem poufności, informacje niezbędne do wykazania zgodności z niniejszą Umową. Z uwagi na model przetwarzania wyłącznie lokalnego dokumenty podlegające anonimizacji nie znajdują się w systemach promptShield, a zatem nie są objęte zakresem takiego audytu.

11. Zwrot i usunięcie

Po zakończeniu obowiązywania umowy i na żądanie Klienta promptShield usunie dane konta i dane licencyjne Klienta, z wyjątkiem przypadków, w których przechowywanie jest wymagane przez prawo. Treść dokumentów nie wymaga zwrotu ani usunięcia, ponieważ nigdy nie znajdowała się w posiadaniu promptShield.

12. Kontakt

Aby otrzymać kontrasygnowaną kopię niniejszej Umowy lub standardowe klauzule umowne bądź zadać pytanie dotyczące ochrony danych, prosimy o kontakt pod adresem legal@promptshield.ca.