Aneks dotyczący powierzenia przetwarzania danych osobowych

1. Strony, akceptacja i zakres stosowania

Niniejszy aneks dotyczący powierzenia przetwarzania danych osobowych („DPA”) stanowi uzupełnienie Regulaminu świadczenia usług Codebase.run („Regulamin”) obowiązującego pomiędzy Klientem wskazanym na koncie lub w zaakceptowanym zamówieniu („Klient”) a 1xTeam sp. z o.o. z siedzibą pod adresem: ul. Jana Kazimierza 11B/29, 01-248 Warszawa, Polska; NIP: 5223035587; KRS: 0000571058; REGON: 362256087 („Codebase.run” lub „my”).

Kontakt w sprawach ochrony danych: hello@codebase.run. Telefon: +48 794 044 144. Zawiadomienia w formie pisemnej można również przesyłać na wskazany powyżej adres naszej siedziby.

DPA ma zastosowanie zawsze, gdy przetwarzamy Dane Osobowe Klienta w jego imieniu w celu świadczenia Usługi, również w ramach planu Free. Obowiązuje zarówno wtedy, gdy Klient działa jako administrator, jak i wtedy, gdy jest podmiotem przetwarzającym działającym na rzecz innego administratora. Jego stosowanie nie zależy od wykupienia określonego planu.

DPA staje się wiążący z chwilą jego wyraźnej akceptacji przez Klienta, w tym w ramach elektronicznej procedury akceptacji, która wskazuje DPA i włącza go do umowy wraz z Regulaminem, albo w drodze odrębnego porozumienia elektronicznego. Udostępniamy DPA jako część umowy, bez wymogu odrębnego podpisu na dokumencie papierowym. Osoba dokonująca akceptacji musi być uprawniona do zaciągania zobowiązań w imieniu Klienta. Zachowamy zapis akceptacji i udostępnimy zaakceptowaną wersję w formie umożliwiającej jej zapisanie.

DPA musi zostać zawarty przed rozpoczęciem przetwarzania, którego dotyczy. Samo opublikowanie go na stronie internetowej, bez akceptacji prowadzącej do zawarcia umowy, nie powoduje zawarcia umowy z Klientem.

2. Definicje i role stron

Dane Osobowe Klienta oznaczają dane osobowe, które przetwarzamy w imieniu Klienta w ramach Treści Klienta lub innych materiałów projektowych w celu świadczenia Usługi. Obejmują dane osobowe zawarte w danych wejściowych, kopiach roboczych, wynikach, metadanych związanych z projektem oraz przechowywanych zapisach dotyczących wykonywania zadań. Szczegółowy opis przetwarzania znajduje się w sekcji 15.

Przepisy o Ochronie Danych oznaczają przepisy dotyczące prywatności i ochrony danych mające zastosowanie do tego przetwarzania, w tym rozporządzenie (UE) 2016/679 („RODO”), właściwe krajowe przepisy wykonawcze oraz, w stosownych przypadkach, przepisy dotyczące prywatności obowiązujące w Zjednoczonym Królestwie, Szwajcarii i Stanach Zjednoczonych. Samo odwołanie do określonego aktu prawnego nie powoduje jego stosowania, jeżeli nie są spełnione prawne przesłanki jego zastosowania.

Dalszy Podmiot Przetwarzający oznacza inny podmiot przetwarzający, któremu powierzamy przetwarzanie Danych Osobowych Klienta w jego imieniu, w tym dostawcę usług AI lub infrastruktury wykorzystywanego w tym celu. Naruszenie Ochrony Danych Osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia Danych Osobowych Klienta lub nieuprawnionego dostępu do nich. Pozostałe pojęcia z zakresu ochrony danych mają znaczenie nadane im we właściwych Przepisach o Ochronie Danych. Pojęcia dotyczące Usługi zapisane wielką literą mają znaczenie określone w Regulaminie.

Klient określa cele przetwarzania albo działa na polecenie właściwego administratora. My działamy jako podmiot przetwarzający na rzecz Klienta, a jeżeli Klient jest podmiotem przetwarzającym — jako jego dalszy podmiot przetwarzający. Każda ze stron pozostaje odpowiedzialna za wykonanie własnych obowiązków prawnych.

DPA nie reguluje przetwarzania, którego cele określamy samodzielnie i w odniesieniu do którego działamy jako administrator, takiego jak zarządzanie kontami, rozliczenia, korespondencja z klientami oraz działania niezbędne do zapewnienia bezpieczeństwa całej platformy lub zgodności z prawem. Przetwarzanie to opisano w naszej Polityce prywatności. O roli strony decyduje faktyczny sposób wykorzystania danego zapisu: samo określenie treści projektowych jako „danych o użytkowaniu” lub „danych dotyczących bezpieczeństwa” nie wyłącza ich spod postanowień DPA.

3. Udokumentowane polecenia i dozwolone cele

Będziemy przetwarzać Dane Osobowe Klienta wyłącznie na jego udokumentowane polecenie, w celu świadczenia, obsługi i zabezpieczania Usługi na jego rzecz, wykonywania zatwierdzonych zadań programistycznych, zapewniania wsparcia dotyczącego tego Klienta oraz zwrotu lub usunięcia danych.

Na polecenia Klienta składają się: DPA, odpowiednie postanowienia Regulaminu i zaakceptowanego zamówienia, ustawienia projektu, zadania i przepływy pracy aktywowane przez Klienta lub jego Upoważnionych Użytkowników oraz dodatkowe, zgodne z prawem polecenia uzgodnione za pośrednictwem naszego kanału wsparcia. Polecenia obejmują upoważnienie do dostępu do repozytoriów, przetwarzania z wykorzystaniem zatwierdzonych dostawców oraz publikowania w miejscach docelowych wybranych przez Klienta.

Pliki repozytorium, zgłoszenia, wyniki działania narzędzi i treści zewnętrzne są materiałami podlegającymi przetwarzaniu. Sam fakt, że zawierają polecenia, nie upoważnia do przetwarzania w nowym celu, przekazania danych nowemu odbiorcy ani odstąpienia od postanowień DPA. Upoważnienie do automatyzacji dalszych prac pozostaje ograniczone uprawnieniami i zakresem ustalonymi przez Klienta i jego Upoważnionych Użytkowników.

Jeżeli uznamy, że polecenie narusza Przepisy o Ochronie Danych, niezwłocznie poinformujemy o tym Klienta i możemy zawiesić przetwarzanie, którego ono dotyczy, do czasu rozwiązania problemu. Poinformujemy również, jeżeli nie możemy wykonać polecenia w ramach Usługi. Nie będziemy bez wiedzy Klienta zastępować uzgodnionego celu przetwarzania innym celem ani kontynuować przetwarzania niezgodnego z prawem.

Jeżeli prawo, któremu podlegamy, wymaga przetwarzania wykraczającego poza polecenia Klienta, poinformujemy go o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiego powiadomienia. W przypadku danych objętych RODO skorzystanie z wyjątku wynikającego z obowiązku prawnego musi spełniać wymogi art. 28 ust. 3 lit. a RODO. Do żądań organów publicznych stosuje się również sekcję 10.

4. Obowiązki Klienta

Klient odpowiada za zapewnienie podstawy prawnej przetwarzania, spełnienie wymaganych obowiązków informacyjnych oraz uzyskanie wszelkich uprawnień lub zgód niezbędnych do przekazania Danych Osobowych Klienta i zlecenia ich przetwarzania. Jeżeli Klient działa jako podmiot przetwarzający, musi posiadać upoważnienie właściwego administratora do zaangażowania nas i dopuszczenia łańcucha przetwarzania opisanego w DPA.

Klient ma obowiązek ograniczać przekazywane dane osobowe do niezbędnego zakresu, zarządzać Upoważnionymi Użytkownikami i uprawnieniami do repozytoriów oraz wydawać zgodne z prawem polecenia. W miarę możliwości należy korzystać z syntetycznych danych testowych lub danych testowych ograniczonych do odpowiedniego minimum. Przed zatwierdzeniem publikacji należy sprawdzić informacje, zwłaszcza gdy mają trafić do publicznych repozytoriów.

Klient nie może świadomie przekazywać danych szczególnych kategorii w rozumieniu art. 9 RODO, danych dotyczących wyroków skazujących i czynów zabronionych, rzeczywistych zbiorów danych produkcyjnych, danych kart płatniczych ani innych informacji wymagających szczególnego postępowania na podstawie przepisów, chyba że wyraźnie uzgodniliśmy na piśmie ich obsługę z zastosowaniem odpowiednich zabezpieczeń. Usługa nie jest oferowana na podstawie umowy typu business associate agreement, stosowanej w sektorze ochrony zdrowia, ani innych szczególnych ustaleń dotyczących wymogów regulacyjnych, chyba że wyraźnie uzgodniono inaczej.

Przypadkowe przekazanie danych objętych powyższymi ograniczeniami nie pozbawia ich ochrony wynikającej z DPA. Będziemy współpracować przy odpowiednim ograniczeniu skutków takiego zdarzenia, usunięciu danych lub wykonaniu innych zgodnych z prawem poleceń. Możemy ograniczyć wykonywanie danego zadania, jeżeli jest to niezbędne do ochrony danych lub zapewnienia zgodności z prawem.

Obowiązki Klienta nie zwalniają nas z naszych zobowiązań ani nie czynią Klienta odpowiedzialnym za naruszenie spowodowane przez nas lub nasze Dalsze Podmioty Przetwarzające.

5. Poufność i ograniczenia wykorzystania danych

Ograniczymy dostęp do Danych Osobowych Klienta do osób z personelu, które potrzebują go do dozwolonego przetwarzania i podlegają umownemu lub ustawowemu obowiązkowi zachowania poufności. Upoważnieni administratorzy systemów mogą uzyskać dostęp do odpowiednich materiałów projektowych, gdy jest to niezbędne do obsługi Usługi, wsparcia Klienta lub zapewnienia bezpieczeństwa. Obowiązek zachowania poufności trwa również po zakończeniu dostępu lub współpracy.

Nie będziemy sprzedawać Danych Osobowych Klienta, udostępniać ich na potrzeby reklamy behawioralnej opartej na aktywności w różnych kontekstach ani wykorzystywać ich do tworzenia profili reklamowych. Nie będziemy również wykorzystywać treści projektowych Klienta do trenowania modeli, rozwoju platformy ani przeprowadzania testów porównawczych. Analizy dotyczące konkretnego Klienta są ograniczone do świadczenia Usługi na jego rzecz. Statystyki operacyjne niezawierające treści projektowych nie stanowią podstawy do ponownego wykorzystywania treści projektowych ani danych projektowych umożliwiających identyfikację w niezwiązanych z tym celach.

Nie upoważnimy Dalszego Podmiotu Przetwarzającego świadczącego usługi AI do wykorzystywania Danych Osobowych Klienta do ogólnego trenowania modeli ani do innych własnych celów rozwojowych niezgodnych z DPA. Mamy obowiązek dobierać warunki świadczenia usług i ustawienia, które umożliwiają przetwarzanie zgodne z wymogami DPA, w tym z ograniczeniami celów oraz wymogami dotyczącymi poufności, przechowywania, usuwania i przekazywania danych.

Sama nazwa produktu AI nie przesądza o umownej ochronie danych. W szczególności DPA nie zakłada, że do konta ChatGPT lub Codex mają zastosowanie warunki dotyczące API albo ustawienia wyłączające przechowywanie danych. Nie możemy kierować Danych Osobowych Klienta do usługi w konfiguracji, która nie pozwala spełnić mających zastosowanie wymogów DPA.

6. Bezpieczeństwo

Wdrożymy i będziemy utrzymywać środki techniczne i organizacyjne odpowiednie do ryzyka związanego z przetwarzaniem, z uwzględnieniem danych, charakteru przetwarzania, stanu wiedzy technicznej i kosztów wdrożenia. Obejmuje to środki wskazane w sekcji 16 oraz obowiązki wynikające z art. 32 RODO.

Będziemy dokonywać przeglądu tych środków, podejmować działania służące usunięciu zidentyfikowanych słabości i utrzymywać odpowiedni poziom poufności, integralności, dostępności i odporności. W ramach aktualizacji poszczególne środki mogą zostać zastąpione środkami zapewniającymi równoważną lub lepszą ochronę; zmiany nie mogą istotnie obniżać uzgodnionego ogólnego poziomu ochrony Danych Osobowych Klienta.

Opisy zabezpieczeń nie stanowią gwarancji zapobieżenia każdemu incydentowi. Nie ograniczają naszego obowiązku utrzymywania odpowiednich zabezpieczeń, reagowania na naruszenia ani przestrzegania DPA.

7. Dalsze Podmioty Przetwarzające

7.1. Upoważnienie i odpowiedzialność

Klient udziela nam ogólnego pisemnego upoważnienia do korzystania z Dalszych Podmiotów Przetwarzających wskazanych w sekcji 17, w określonych tam celach i na warunkach DPA. Zanim Dalszy Podmiot Przetwarzający otrzyma Dane Osobowe Klienta, musimy ocenić, czy spełnia odpowiednie wymagania, oraz zawrzeć z nim pisemną umowę nakładającą obowiązki w zakresie ochrony danych zgodne z art. 28 RODO i zapewniające co najmniej taki sam poziom ochrony jak odpowiednie obowiązki określone w DPA.

Pozostajemy odpowiedzialni wobec Klienta za wykonanie obowiązków w zakresie ochrony danych przez nasze Dalsze Podmioty Przetwarzające. Standardowe warunki dostawcy nie mają pierwszeństwa przed naszymi zobowiązaniami wobec Klienta. Wymogi te mają również zastosowanie do dalszego przetwarzania w łańcuchu dostawców.

7.2. Informacje i zmiany

Będziemy prowadzić dostępny dla Klienta wykaz Dalszych Podmiotów Przetwarzających, z których faktycznie korzystamy, obejmujący ich pełne dane identyfikacyjne, cele przetwarzania, państwa, których przetwarzanie dotyczy, oraz stosowane zabezpieczenia przekazywania danych. Przed rozpoczęciem danego przetwarzania przekażemy informacje dotyczące konkretnej usługi, niezbędne do oceny roli dostawcy AI i przetwarzania dokonywanego przez niego, a na żądanie udostępnimy informacje aktualne. Sama lokalizacja hostingu w danym regionie nie oznacza, że wszystkie czynności wsparcia, administrowania i dalszego przetwarzania odbywają się wyłącznie w tym regionie.

Poinformujemy osobę kontaktową wskazaną przez Klienta, a jeżeli jej nie wskazano — osobę kontaktową przypisaną do konta, z co najmniej 30-dniowym wyprzedzeniem, liczonym w dniach kalendarzowych, o dodaniu lub zastąpieniu Dalszego Podmiotu Przetwarzającego angażowanego bezpośrednio przez nas, zanim rozpocznie on przetwarzanie danych Klienta. Powiadomienie będzie wskazywać dostawcę, jego funkcję, odpowiednie lokalizacje i zabezpieczenia. Opublikowanie zmienionego wykazu bez bezpośredniego powiadomienia Klienta nie zastępuje takiego powiadomienia.

W tym terminie Klient może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych. Rozpatrzymy sprzeciw i podejmiemy próbę znalezienia praktycznego rozwiązania, takiego jak skorzystanie z innego dostawcy lub wyłączenie danej funkcji. Nie rozpoczniemy nowego przetwarzania objętego sporem, dopóki wniesiony w terminie i należycie uzasadniony sprzeciw pozostaje nierozstrzygnięty. Jeżeli nie będzie możliwe znalezienie wykonalnego rozwiązania, każda ze stron może zakończyć świadczenie lub korzystanie z części Usługi, której dotyczy sprzeciw, bez kary z tytułu rozwiązania umowy w tym zakresie.

Zgodnie z Regulaminem zwrócimy kwoty zapłacone z góry za objęte tą sytuacją usługi, których nie będziemy świadczyć, oraz wartość przypisanych do nich niewykorzystanych kredytów zakupionych oddzielnie.

W przypadku Dalszego Podmiotu Przetwarzającego angażowanego bezpośrednio przez nas krótszy termin powiadomienia wymaga wyraźnego pisemnego upoważnienia Klienta. Jeżeli Dalszy Podmiot Przetwarzający zmienia własny łańcuch przetwarzania, przekażemy otrzymane powiadomienie bez zbędnej zwłoki i przed rozpoczęciem przetwarzania objętego zmianą, zapewniając realną możliwość wniesienia sprzeciwu. Jeżeli nie będzie możliwe zachowanie takiej możliwości, wystąpimy o wyraźne upoważnienie Klienta albo zawiesimy przetwarzanie, którego dotyczy zmiana.

Pilna kwestia prawna lub zagrożenie bezpieczeństwa nie upoważniają do nieujawnionego Klientowi przetwarzania przez niezatwierdzonego dostawcę zastępczego.

8. Międzynarodowe przekazywanie danych

Główne lokalizacje infrastruktury opisano w sekcji 17. Usługa nie jest oferowana z bezwarunkową gwarancją, że Dane Osobowe Klienta pozostaną wyłącznie na terenie Europejskiego Obszaru Gospodarczego („EOG”). Hosting, przetwarzanie przez AI, wsparcie lub inne zatwierdzone działania dostawców mogą wiązać się z przekazywaniem danych poza EOG, w tym do Stanów Zjednoczonych.

Dokonamy przekazania danych podlegającego ograniczeniom na podstawie Przepisów o Ochronie Danych lub zezwolimy na nie dopiero po ustanowieniu właściwego, zgodnego z prawem mechanizmu przekazywania. W zależności od odbiorcy i właściwego prawa może to być obowiązująca decyzja stwierdzająca odpowiedni stopień ochrony, obejmująca danego odbiorcę i przetwarzanie, albo odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne Komisji Europejskiej dotyczące przekazywania danych („SCC”), z zastosowaniem właściwego modułu, uzupełnieniem wymaganych informacji, przeprowadzeniem wymaganych ocen i wdrożeniem środków uzupełniających.

Jeżeli przekazujemy dane jako podmiot przetwarzający innemu podmiotowi przetwarzającemu, zastosujemy rozwiązanie właściwe dla przekazywania danych pomiędzy podmiotami przetwarzającymi, o ile jest ono odpowiednie i prawnie dopuszczalne.

W przypadku danych objętych prawem Zjednoczonego Królestwa lub Szwajcarii zastosujemy, w razie potrzeby, dodatkowy instrument lub dostosowania wymagane przez właściwe prawo. Będziemy oceniać, czy zastosowane mechanizmy nadal pozostają ważne, i zawiesimy dane przekazywanie, jeżeli nie będzie możliwe utrzymanie wymaganego poziomu ochrony.

Przed rozpoczęciem danego przetwarzania wskażemy Klientowi rzeczywiste miejsca docelowe przekazywania danych i stosowane zabezpieczenia, a na żądanie przekażemy odpowiednie informacje i kopie dokumentów. Niezbędne wyłączenia fragmentów dokumentów mogą służyć ochronie niezwiązanych ze sprawą informacji poufnych, ale nie mogą uniemożliwiać Klientowi oceny zgodności z wymogami.

Akceptacja DPA nie stanowi zgody na nieograniczone międzynarodowe przekazywanie danych. Sama w sobie nie powoduje zawarcia SCC z dostawcą, który nie jest ich stroną, nie potwierdza spełniania przez któregokolwiek dostawcę warunków korzystania z danego mechanizmu ani nie zastępuje umów i ocen, które musimy zapewnić w odniesieniu do rzeczywistego przekazywania danych.

9. Pomoc i prawa osób, których dane dotyczą

Uwzględniając charakter przetwarzania i dostępne nam informacje, będziemy pomagać Klientowi w obsłudze żądań dotyczących wykonywania praw osób, których dane dotyczą, oraz w wypełnianiu obowiązków związanych z bezpieczeństwem, zgłaszaniem naruszeń i zawiadamianiem o nich, oceną skutków dla ochrony danych i uprzednimi konsultacjami z organami nadzorczymi na podstawie art. 32–36 RODO lub równoważnych przepisów właściwego prawa.

Jeżeli otrzymamy żądanie dotyczące Danych Osobowych Klienta, przekażemy je Klientowi bez zbędnej zwłoki. Nie będziemy rozstrzygać takiego żądania w imieniu Klienta, chyba że Klient nas do tego upoważni lub udzielenia odpowiedzi wymaga prawo. Możemy potwierdzić otrzymanie żądania, zweryfikować informacje potrzebne do skierowania go do właściwego adresata oraz skierować osobę składającą żądanie do Klienta. Żądania dotyczące przetwarzania, w ramach którego działamy jako odrębny administrator, są obsługiwane zgodnie z Polityką prywatności.

Pomoc może obejmować odnalezienie przechowywanych zapisów, udostępnienie eksportu danych, ograniczenie dostępu, sprostowanie lub usunięcie danych w naszych systemach oraz przekazanie odpowiednich informacji dotyczących przetwarzania i bezpieczeństwa. Będziemy działać w czasie umożliwiającym dotrzymanie właściwych terminów prawnych, z uwzględnieniem momentu otrzymania żądania. Jeżeli Klient jest podmiotem przetwarzającym, będziemy pomagać mu we wspieraniu właściwego administratora.

Standardowa pomoc niezbędna do wykonania obowiązków wynikających z DPA jest objęta Usługą. Wszelkie opcjonalne prace o znacznym zakresie, wykraczające poza te obowiązki, wymagają uprzedniego uzgodnienia zakresu i rozsądnych opłat. Nie będziemy opóźniać obowiązkowej pomocy, pobierać opłat za usunięcie własnych niezgodności ani uzależniać wykonania prawa ustawowego od wykupienia płatnego planu.

10. Naruszenia i ujawnianie danych wymagane prawem

10.1. Naruszenia Ochrony Danych Osobowych

Powiadomimy Klienta bez zbędnej zwłoki po stwierdzeniu Naruszenia Ochrony Danych Osobowych dotyczącego Danych Osobowych Klienta przetwarzanych przez nas lub nasze Dalsze Podmioty Przetwarzające. Z przekazaniem wstępnego powiadomienia nie będziemy czekać na zakończenie postępowania wyjaśniającego ani ustalenie winy.

Przekażemy dostępne informacje o charakterze naruszenia, danych i osobach objętych naruszeniem oraz ich przybliżonej liczbie, jeżeli jest znana, prawdopodobnych konsekwencjach, środkach ograniczających skutki naruszenia i działaniach naprawczych, a także dane kontaktowe do dalszych ustaleń. Brakujące informacje mogą być przekazywane etapami, bez dalszej zbędnej zwłoki.

Zbadamy naruszenie, ograniczymy jego skutki i podejmiemy działania naprawcze, odpowiednio zabezpieczymy istotne dowody oraz będziemy współpracować z Klientem przy ocenie naruszenia i dokonywaniu wymaganych prawem zgłoszeń oraz zawiadomień. Klient samodzielnie decyduje o własnych zgłoszeniach do organów i zawiadomieniach osób, których dane dotyczą, chyba że właściwe prawo wymaga od nas bezpośredniego powiadomienia tych podmiotów. Będziemy uzgadniać działania z Klientem w zakresie dozwolonym prawem.

Powiadomienia będą przesyłane do wskazanej przez Klienta osoby kontaktowej do spraw prywatności lub bezpieczeństwa, a jeżeli jej nie wskazano — do osoby kontaktowej przypisanej do konta. Klient powinien dbać o aktualność tych danych. Nieudane ataki, które nie prowadzą do Naruszenia Ochrony Danych Osobowych, nie podlegają niniejszemu postanowieniu o powiadamianiu o naruszeniach, co nie ogranicza innych mających zastosowanie obowiązków dotyczących bezpieczeństwa. Samo powiadomienie nie stanowi uznania odpowiedzialności.

10.2. Żądania organów publicznych i inne wiążące żądania

Jeżeli otrzymamy prawnie wiążące żądanie udostępnienia Danych Osobowych Klienta, w zakresie dozwolonym prawem powiadomimy Klienta przed ujawnieniem danych, ocenimy zgodność żądania z prawem i ograniczymy ujawnienie do zakresu wymaganego prawem. Zakwestionujemy żądanie niezgodne z prawem lub nieproporcjonalne, jeżeli wymagają tego właściwe przepisy lub odpowiednie zabezpieczenia przekazywania danych. Nie udzielimy dobrowolnie organowi publicznemu nieograniczonego dostępu do Danych Osobowych Klienta.

11. Przechowywanie, zwrot i usuwanie danych

11.1. W trakcie świadczenia Usługi

Będziemy przechowywać Dane Osobowe Klienta wyłącznie na potrzeby przetwarzania objętego jego poleceniami i zgodnie z mającymi zastosowanie ustaleniami dotyczącymi przechowywania. Zapisy dotyczące projektów i środowiska wielokrotnego użytku mogą być zachowywane na potrzeby świadczenia Usługi dla danego projektu. Logi przechowywane lokalnie na instancjach Droplet są zachowywane przez okres do siedmiu dni, z uwzględnieniem limitów rozmiaru; okres ten nie dotyczy każdej historii zadań ani wszystkich innych przechowywanych logów. Usunięcie instancji wykonawczej (workera) nie powoduje automatycznego usunięcia zachowanych obrazów środowisk projektów, migawek ani pamięci podręcznych.

Klient może przekazywać polecenia dotyczące zwrotu danych, ograniczenia przetwarzania lub usunięcia danych na adres hello@codebase.run. Możemy zweryfikować uprawnienia osoby składającej żądanie i doprecyzować jego zakres, gdy jest to uzasadnione i niezbędne. Żądania mogą być realizowane ręcznie. Samo usunięcie integracji lub odinstalowanie aplikacji GitHub App nie stanowi polecenia usunięcia wszystkich przechowywanych danych projektowych.

11.2. Po zakończeniu przetwarzania

Zgodnie z wyborem Klienta zwrócimy Dane Osobowe Klienta lub je usuniemy, a po zwrocie usuniemy pozostałe kopie, z zastrzeżeniem wyłącznie zgodnych z prawem wymogów przechowywania. Postanowienia sekcji 16 Regulaminu dotyczące eksportu i migracji pozostają w mocy, a DPA ich nie ogranicza.

O ile Klient nie zażąda wcześniejszego usunięcia danych, przechowywane dane projektowe nadające się do eksportu będą dostępne do pobrania przez co najmniej 30 dni kalendarzowych po zamknięciu konta lub zakończeniu okresu przejściowego związanego z migracją, zgodnie z Regulaminem. W tym okresie przetwarzanie ogranicza się do bezpiecznego przechowywania, udostępniania danych do pobrania, niezbędnej pomocy i czynności wymaganych prawem; nie upoważnia to do uruchamiania nowych zadań projektowych.

Po upływie okresu przeznaczonego na pobranie danych usuniemy odpowiednie dane projektowe bez zbędnej zwłoki, w tym przechowywane obrazy środowisk, migawki, pamięci podręczne i kopie zapasowe, oraz zobowiążemy nasze Dalsze Podmioty Przetwarzające do usunięcia danych przetwarzanych w naszym imieniu. Jeżeli Klient zażąda wcześniejszego usunięcia danych, zrealizujemy to żądanie bez zbędnej zwłoki, nie później niż w terminie 30 dni, chyba że obowiązuje krótszy termin wynikający z bezwzględnie obowiązujących przepisów. Terminy te nie ulegają wydłużeniu wyłącznie z tego powodu, że dane znajdują się w kopii zapasowej lub w systemie dostawcy.

Przekażemy przechowywane dane w powszechnie używanym formacie nadającym się do odczytu maszynowego, odpowiednim dla danego rodzaju materiałów. Standardowy eksport i zgodne z prawem żądania udostępnienia danych do pobrania nie są uzależnione od zakupu kredytów ani wyrównania ujemnego salda kredytów. Eksport nie może ujawniać danych innego klienta ani sekretów zarządzanych przez platformę; wszelkie niezbędne rozdzielenie tych informacji musi zachowywać przysługujący Klientowi zgodnie z prawem dostęp do jego danych.

11.3. Pozostałe kopie i zakończenie usuwania

Do czasu zakończenia usuwania pozostałe kopie muszą być chronione i nie mogą być wykorzystywane w nowych celach. Jeżeli kopia zapasowa zostanie odtworzona przed jej usunięciem zgodnie z prawem, należy ponownie zastosować obowiązujące polecenia dotyczące usunięcia danych i ograniczenia przetwarzania. Na żądanie przekażemy pisemne potwierdzenie zakończenia usuwania oraz wskażemy informacje, które muszą zostać zachowane zgodnie z prawem, wraz z uzasadnieniem.

W przypadku Danych Osobowych Klienta objętych art. 28 RODO dalsze przechowywanie po terminie, w którym powinny zostać usunięte, jest dopuszczalne wyłącznie wtedy, gdy wymaga tego prawo Unii lub państwa członkowskiego. Dokumentacja rozliczeniowa przechowywana przez nas niezależnie lub dokumentacja ściśle niezbędna do zapewnienia zgodności z prawem może być zachowana wyłącznie na odrębnej podstawie prawnej i zgodnie z Polityką prywatności. Nie upoważnia to do zachowywania całej zawartości projektów na potrzeby ewentualnego przyszłego wykorzystania ani do uznawania jej za naszą własną dokumentację wyłącznie poprzez zmianę jej oznaczenia.

Materiały już opublikowane w repozytorium GitHub kontrolowanym przez Klienta lub w innym miejscu docelowym wskazanym w jego poleceniu nie są automatycznie usuwane w wyniku usunięcia naszych kopii. Będziemy pomagać w wykonywaniu zgodnych z prawem poleceń w zakresie pozostającym pod naszą kontrolą, ale nie oznacza to przejęcia przez nas kontroli nad repozytoriami Klienta lub niezależnymi odbiorcami.

12. Informacje o zgodności i audyty

Udostępnimy informacje niezbędne do wykazania zgodności z DPA i mającymi zastosowanie obowiązkami podmiotu przetwarzającego oraz umożliwimy Klientowi lub wyznaczonemu przez niego niezależnemu audytorowi przeprowadzanie audytów, w tym inspekcji, i będziemy w nich współpracować.

Zwykle pierwszym krokiem jest proporcjonalny do potrzeb przegląd odpowiedniej dokumentacji, pisemnych odpowiedzi i dostępnych materiałów potwierdzających spełnianie wymagań przez dostawców. Jeżeli okażą się one niewystarczające, będziemy współpracować przy dalszym audycie o rozsądnie określonym zakresie. Nie oświadczamy, że Codebase.run posiada określony certyfikat lub raport z niezależnego audytu, chyba że wyraźnie to wskazano i udostępniono odpowiedni dokument.

W przypadku rutynowych audytów Klient powinien, o ile jest to wykonalne, powiadomić nas z co najmniej 30-dniowym wyprzedzeniem, przeprowadzać audyt w zwykłych godzinach pracy i unikać zbędnych zakłóceń. Rutynowe audyty są co do zasady ograniczone do jednego w okresie 12 miesięcy. Ustalenia te nie ograniczają dodatkowego lub pilnego audytu wymaganego prawem lub przez właściwy organ albo niezbędnego z uzasadnionych przyczyn w następstwie naruszenia dotyczącego danego przetwarzania lub uzyskania wiarygodnych dowodów niezgodności.

Audytor musi chronić informacje poufne i unikać dostępu do danych innych klientów. Zabezpieczenia te nie mogą uniemożliwiać zgodnego z prawem ujawnienia informacji organowi regulacyjnemu ani wykonywania uprawnień wynikających z bezwzględnie obowiązujących przepisów. Prawo do audytu nie upoważnia samo w sobie do przeprowadzania nieuzgodnionych testów penetracyjnych ani testów destrukcyjnych.

Klient ponosi koszty wybranego przez siebie audytora. Standardowa współpraca i informacje o zgodności są objęte Usługą. Dodatkowe opłaty za wsparcie, o ile są prawnie dopuszczalne, wymagają uprzedniego uzgodnienia i nie mogą służyć uniemożliwieniu wymaganego audytu. Ponosimy koszty usunięcia własnych niezgodności. Będziemy współpracować z właściwym organem nadzorczym zgodnie z wymogami prawa.

13. Postanowienia dotyczące prywatności w Stanach Zjednoczonych

Niniejsza sekcja ma zastosowanie w zakresie, w jakim Dane Osobowe Klienta podlegają właściwym stanowym przepisom dotyczącym prywatności w Stanach Zjednoczonych. Pojęcia takie jak „przedsiębiorstwo” (business), „usługodawca” (service provider), „wykonawca” (contractor), „sprzedaż” (sale) i „udostępnianie” (sharing) mają znaczenie nadane im we właściwych przepisach, w tym w kalifornijskiej ustawie o ochronie prywatności konsumentów z późniejszymi zmianami (California Consumer Privacy Act, „CCPA”).

W odniesieniu do przetwarzania w imieniu Klienta działamy jako podmiot przetwarzający, a w stosownych przypadkach jako usługodawca lub wykonawca, wyłącznie w celach określonych w sekcjach 3 i 15. Zapewnimy ochronę prywatności wymaganą właściwym prawem i będziemy wykonywać obowiązki przewidziane dla tej roli.

Nie będziemy sprzedawać ani udostępniać Danych Osobowych Klienta. Nie będziemy przechowywać, wykorzystywać ani ujawniać ich w celach innych niż określone cele biznesowe, z wyjątkiem przypadków dozwolonych przez właściwe prawo. Nie będziemy również przechowywać, wykorzystywać ani ujawniać ich poza naszą bezpośrednią relacją biznesową z Klientem. Nie będziemy łączyć tych danych z danymi osobowymi uzyskanymi od innych klientów lub w ramach naszych własnych kontaktów z osobami fizycznymi, chyba że jest to wyraźnie dozwolone właściwym prawem i zgodne z DPA.

Ustawowe dopuszczenie określonego przetwarzania nie upoważnia do trenowania modeli, reklamy ani innych sposobów wykorzystania zabronionych w sekcji 5.

Oświadczamy, że rozumiemy te ograniczenia i będziemy ich przestrzegać. Powiadomimy Klienta bez zbędnej zwłoki, jeżeli stwierdzimy, że nie możemy już wykonywać mających zastosowanie obowiązków. Klient może podejmować rozsądne i odpowiednie działania w celu weryfikacji naszego przetwarzania oraz — po powiadomieniu nas — powstrzymania niedozwolonego wykorzystania danych i usunięcia jego skutków, korzystając z przewidzianych w DPA zasad współpracy i audytu, bez ograniczania uprawnień ustawowych.

Będziemy pomagać Klientowi w realizacji mających zastosowanie żądań dotyczących praw osób, których dane dotyczą, i ocen dotyczących ochrony danych oraz wymagać od odpowiednich dostawców na dalszych etapach przetwarzania przestrzegania właściwych obowiązków podmiotu przetwarzającego, usługodawcy lub wykonawcy. Jeżeli Klient zleci przetwarzanie informacji pozbawionych cech identyfikujących, będziemy utrzymywać wymagane prawem zabezpieczenia przed ponowną identyfikacją i nałożymy odpowiednie zobowiązania na odbiorców. Nie przyznaje nam to odrębnego prawa do tworzenia lub komercjalizacji zbiorów danych na podstawie Danych Osobowych Klienta.

14. Okres obowiązywania, zmiany i pierwszeństwo postanowień

DPA obowiązuje przez cały czas, w którym my lub nasze Dalsze Podmioty Przetwarzające przechowujemy Dane Osobowe Klienta w jego imieniu. Zakończenie subskrypcji lub zamknięcie konta nie powoduje wygaśnięcia obowiązków niezbędnych do bezpiecznego zwrotu lub usunięcia danych, zachowania poufności ani rozwiązania spraw związanych z naruszeniem lub sporem dotyczącym DPA.

Jeżeli nie będziemy w stanie przestrzegać DPA, powiadomimy Klienta bez zbędnej zwłoki i, w razie potrzeby, zawiesimy przetwarzanie, którego dotyczy problem. Klient może zażądać zaprzestania takiego przetwarzania. Do rozwiązania umowy i wynikających z niego zwrotów stosuje się Regulamin, sekcję 7 oraz właściwe prawo. Nie będziemy zatrzymywać danych Klienta w celu wymuszenia dalszego korzystania z Usługi.

Zmiany podlegają wymogom dotyczącym powiadamiania i akceptacji określonym w Regulaminie. Do zmian Dalszych Podmiotów Przetwarzających stosuje się sekcję 7. Zmiany nie mogą z mocą wsteczną upoważniać do przetwarzania, które wcześniej nie było dozwolone, ani uchylać obowiązkowej ochrony. Zachowamy zaakceptowaną wersję i będziemy bezpośrednio informować o istotnych zmianach, zamiast polegać wyłącznie na aktualizacji strony internetowej.

W razie sprzeczności między dokumentami pierwszeństwo mają bezwzględnie obowiązujące przepisy prawa i wszelkie wiążące SCC dotyczące przekazywania danych, następnie DPA w zakresie spraw, które reguluje, a w dalszej kolejności Regulamin. Polityka prywatności opisuje przetwarzanie, ale nie może samodzielnie rozszerzać zakresu udzielonych nam poleceń ani ograniczać ochrony wynikającej z DPA.

Postanowienia Regulaminu dotyczące prawa właściwego, jurysdykcji i odpowiedzialności mają zastosowanie wyłącznie w zakresie zgodnym z Przepisami o Ochronie Danych i wszelkimi wiążącymi SCC. Żadne postanowienie DPA nie ogranicza praw do odszkodowania, których nie można się zrzec, uprawnień organów regulacyjnych, ochrony konsumentów ani odpowiedzialności za Dalsze Podmioty Przetwarzające wynikającej z bezwzględnie obowiązujących przepisów. DPA nie ustanawia dodatkowego ogólnego zobowiązania do naprawienia szkody lub zwolnienia z odpowiedzialności ani odrębnego limitu odpowiedzialności.

15. Szczegółowy opis przetwarzania

Niniejsza sekcja stanowi część DPA; nie jest odrębną umową.

16. Środki techniczne i organizacyjne

Poniższe środki mają zastosowanie do przetwarzania objętego DPA. Sposób ich wdrożenia może zmieniać się zgodnie z sekcją 6, bez obniżania uzgodnionego ogólnego poziomu ochrony.

Model bezpieczeństwa wyjaśnia architekturę wykonywania zadań i pozostające ryzyka. Jest to dokumentacja objaśniająca, a nie podstawa do ograniczenia obowiązków wynikających z DPA. Środki chroniące przed złośliwymi poleceniami, niebezpiecznymi zależnościami i niezamierzonym ujawnieniem danych ograniczają ryzyko, ale go nie eliminują.

17. Dostawcy i połączone usługi

17.1. Infrastruktura i przetwarzanie przez AI

Poniższa tabela wskazuje usługi infrastrukturalne i usługi AI oraz dozwolony zakres przetwarzania. Upoważnienie pozostaje uzależnione od zawarcia umów, przekazania informacji dotyczących konkretnej usługi oraz ustanowienia zabezpieczeń przekazywania danych wymaganych w sekcjach 5, 7 i 8. Wymienienie dostawcy nie oznacza, że każdy oferowany przez niego produkt lub wariant konta nadaje się do przetwarzania Danych Osobowych Klienta.

Pozycja dotycząca AI opisuje podmiot wskazany dla usług biznesowych w EOG spełniających odpowiednie warunki; nie przesądza, że konkretne centralnie zarządzane konto ChatGPT/Codex jest objęte ochroną przewidzianą dla takich usług. Jeżeli rzeczywisty podmiot będący stroną umowy jest inny, musi zostać wskazany i zatwierdzony zgodnie z sekcją 7 przed rozpoczęciem przetwarzania. Istnienie publicznie dostępnego DPA dostawcy nie zastępuje wiążącej umowy obejmującej usługę, z której faktycznie korzystamy.

17.2. GitHub i miejsca docelowe wybrane przez Klienta

GitHub jest wykorzystywany do uwierzytelniania, uzyskiwania dostępu do repozytoriów i publikowania w repozytorium wybranym przez Klienta. W zakresie, w jakim GitHub świadczy usługę repozytorium samodzielnie wybraną przez Klienta, stanowi źródło lub miejsce docelowe danych na podstawie własnych ustaleń Klienta z GitHub, a nie staje się automatycznie naszym Dalszym Podmiotem Przetwarzającym. Przetwarzanie na potrzeby uwierzytelniania kont, w odniesieniu do którego działamy jako administrator, opisano w Polityce prywatności.

To samo rozróżnienie dotyczy innych usług zewnętrznych konfigurowanych przez Klienta dla projektu. Nie pozwala nam ono uznać dostawcy przetwarzającego dane w naszym imieniu za niezależnego dostawcę Klienta wyłącznie poprzez zmianę jego oznaczenia. Każde takie powierzenie przetwarzania musi spełniać wskazane powyżej wymogi dotyczące Dalszych Podmiotów Przetwarzających. Publikacja w publicznym repozytorium powoduje udostępnienie opublikowanych materiałów zgodnie z ustawieniami widoczności tego repozytorium.

17.3. Analityka strony internetowej i powiadomienia techniczne

Google Analytics i Search Console są wykorzystywane do celów związanych ze stroną internetową, opisanych w Polityce prywatności. Nie są zatwierdzone na podstawie DPA do przetwarzania Danych Osobowych Klienta zawartych w treściach projektowych.

Telegram jest wykorzystywany do powiadomień technicznych, ale DPA nie upoważnia do przesyłania do Telegrama Danych Osobowych Klienta ani treści projektowych. Powiadomienia te nie mogą zawierać takich materiałów. Każde proponowane wykorzystanie obejmujące Dane Osobowe Klienta wymaga, przed jego rozpoczęciem, odpowiedniej umowy powierzenia przetwarzania, wskazania odbiorców i lokalizacji, zgodnego z prawem mechanizmu przekazywania danych, jeżeli jest wymagany, oraz upoważnienia zgodnie z sekcją 7.

Powyższe rozróżnienia nie ograniczają naszych obowiązków zachowania poufności ani odpowiedzialności prawnej za dokonane przez nas ujawnienie danych.

W sprawach poleceń dotyczących przetwarzania, eksportu danych, żądań usunięcia, informacji o Dalszych Podmiotach Przetwarzających i innych kwestii objętych DPA należy kontaktować się z nami pod adresem hello@codebase.run lub numerem telefonu +48 794 044 144.