Umowa powierzenia przetwarzania danych (DPA) i podmioty podprzetwarzające

1. Przegląd umowy powierzenia

Korzystając z Platformy, Klient (działający jako administrator danych) powierza CyberLab.Team OÜ (działającemu jako podmiot przetwarzający) przetwarzanie danych osobowych wyłącznie w celu świadczenia Usługi (np. zarządzania kampaniami marketingowymi, analizy danych dotyczących wyników). Przetwarzamy dane osobowe wyłącznie na udokumentowane polecenie Klienta, w tym w celu zapewnienia podstawowych funkcji Platformy. Przetwarzamy dane w pełnej zgodności z RODO. Zapewniamy, że cały personel podlega ścisłym zobowiązaniom do zachowania poufności.

2. Obowiązki podmiotu przetwarzającego (art. 28 RODO)

2.1. Środki bezpieczeństwa. Wdrażamy odpowiednie środki techniczne i organizacyjne w celu zapewnienia poziomu bezpieczeństwa odpowiadającego ryzyku, w tym szyfrowanie tokenów OAuth w spoczynku oraz kontrolę dostępu.

2.2. Zgłaszanie naruszeń ochrony danych. W przypadku naruszenia ochrony danych osobowych dotyczącego danych Klienta, powiadomimy Klienta bez zbędnej zwłoki po powzięciu o nim wiadomości.

2.3. Wsparcie. Będziemy wspierać Klienta, w miarę możliwości, w wypełnianiu jego obowiązków związanych z odpowiadaniem na żądania dotyczące wykonywania praw osób, których dane dotyczą (np. jeżeli użytkownik końcowy zażąda usunięcia danych), oraz w przeprowadzaniu ocen skutków dla ochrony danych (DPIA), jeżeli będą wymagane.

2.4. Prawo do audytu. Zgodnie z wymogami art. 28 ust. 3 lit. h RODO, udostępnimy Klientowi informacje niezbędne do wykazania zgodności. Prawo to jest realizowane przede wszystkim poprzez udzielanie przez CyberLab.Team OÜ pisemnych odpowiedzi na zasadne kwestionariusze bezpieczeństwa. W celu ochrony bezpieczeństwa i poufności infrastruktury naszego bezpiecznego Panelu Klienta, fizyczny dostęp do naszych serwerów lub bezpośrednie testy penetracyjne przeprowadzane przez Klienta są surowo zabronione.

2.5. Usunięcie danych po zakończeniu umowy. Po zakończeniu świadczenia Usługi lub usunięciu konta, w zależności od wyboru Klienta, usuniemy lub zwrócimy wszystkie dane osobowe, chyba że prawo unijne lub estońskie wymaga ich dalszego przechowywania (art. 28 ust. 3 lit. g RODO).

2.6. Zgodność z prawem poleceń i zwolnienie z odpowiedzialności. Klient wyraźnie gwarantuje, że wszystkie dane osobowe przekazane podmiotowi przetwarzającemu zostały zgromadzone zgodnie z prawem oraz że Klient posiada prawo do polecenia podmiotowi przetwarzającemu ich przetwarzania. Klient w pełni zwolni z odpowiedzialności, obroni i zabezpieczy CyberLab.Team OÜ przed wszelkimi roszczeniami, karami, działaniami organów regulacyjnych lub szkodami wynikającymi z niezgodnych z prawem poleceń przetwarzania wydanych przez Klienta lub z niepozyskania przez niego prawnie ważnej zgody użytkownika końcowego.

2.7. Zawieszenia kont (naruszenia zasad Google). CyberLab.Team OÜ działa wyłącznie jako podmiot przetwarzający dane i interfejs zarządzania. Nie ponosimy żadnej odpowiedzialności finansowej ani prawnej za jakiekolwiek zawieszenia, blokady lub kary nałożone przez Google (lub inne platformy) na konta reklamowe lub profile firmowe Klienta, jeżeli takie działania wynikają z charakteru działalności Klienta, jakości jego strony internetowej, ręcznych interwencji Klienta lub bezpośrednich naruszeń przez Klienta zasad reklamowych Google.

2.8. Zgodność strony internetowej Klienta (np. Consent Mode). Klient ponosi wyłączną i całkowitą odpowiedzialność za zapewnienie, że jego własne strony internetowe i witryny są zgodne ze wszystkimi obowiązującymi przepisami o ochronie danych (w tym RODO i dyrektywą ePrivacy) oraz szczegółowymi wymogami technicznymi Google (w tym między innymi prawidłowym wdrożeniem Google Consent Mode v2 i ważnych banerów cookie). Obowiązki CyberLab.Team OÜ w zakresie przetwarzania danych są ściśle ograniczone do platformy Panelu Klienta (my.cyberlab.team). Nie ponosimy żadnej odpowiedzialności za zawieszenia kont Google Ads, utratę danych ani kary regulacyjne spowodowane niepozyskaniem przez Klienta zgodnej z prawem zgody użytkownika na jego własnych witrynach.

3. Zatwierdzone podmioty podprzetwarzające

Aby zapewnić niezawodną i bezpieczną Usługę, CyberLab.Team OÜ korzysta z następujących podmiotów podprzetwarzających będących stronami trzecimi. Akceptując nasze Warunki świadczenia usług, Klient upoważnia do korzystania z tych podmiotów podprzetwarzających:

1. Google Cloud / Google Ireland Ltd.: infrastruktura chmurowa, hosting bazy danych oraz integracje z API Google.
2. Cloudflare, Inc.: CDN, DNS, zapora aplikacji internetowej (WAF) oraz brzegowe trasowanie zabezpieczeń.
3. Stripe, Inc.: bezpieczne przetwarzanie płatności i zarządzanie subskrypcjami.
4. Resend, Inc.: dostarczanie wiadomości transakcyjnych i serwisowych (np. resetowanie haseł, powiadomienia).
5. Dostawcy CRM i wsparcia (np. HubSpot, Pipedrive): wykorzystywani wyłącznie do zarządzania relacjami z klientami, zgłoszeniami wsparcia i zapytaniami sprzedażowymi ze Strony.
6. Dostawcy usług AI (np. Google Cloud Gemini, OpenAI): modele AI są wykorzystywane wyłącznie do generowania treści od podstaw (np. pomysłów na treści reklamowe). Pod żadnym pozorem tokeny API Google, dane użytkownika Google, dane lokalizacyjne ani wskaźniki reklamowe nie są przekazywane do OpenAI lub Google Gemini. Generowanie treści przez AI działa całkowicie niezależnie od przepływu danych API Google. Stanowczo gwarantujemy, że dane użytkownika API Google nigdy nie są przekazywane do tych usług w celu trenowania uogólnionych modeli fundamentalnych AI/ML (w pełnej zgodności z polityką Limited Use API Google).
7. Dostawcy technicznego logowania i monitoringu (np. Sentry): wykorzystywani wyłącznie do śledzenia błędów aplikacji i stabilności. Wdrażamy ścisłe usuwanie danych (data scrubbing), aby zagwarantować, że żadne dane osobowe (PII) ani dane użytkownika API Google nie są nigdy przekazywane do tych usług logowania.

Uwaga: instytucje bankowe i dostawcy usług finansowych (np. Revolut, Wise) wykorzystywani do odbioru przelewów SEPA/SWIFT działają jako w pełni regulowani niezależni administratorzy danych na podstawie przepisów finansowych, a nie jako nasi podmioty podprzetwarzające.

3.1. Google jako niezależny administrator danych. Gdy nasza Platforma przekazuje dane (np. struktury lokalizacji, budżety lub ustawienia kampanii reklamowych) do sieci Google Ads lub Profilu Firmy w Google za pośrednictwem API, Google Ireland Ltd. / Google LLC przetwarza te dane w ramach swojego ekosystemu reklamowego jako niezależny administrator danych, zgodnie z własnymi warunkami świadczenia usług. CyberLab.Team OÜ działa wyłącznie jako podmiot przetwarzający (warstwa transportowa i interfejs zarządzania) i zrzeka się odpowiedzialności za sposób, w jaki Google wykorzystuje te dane w ramach swoich własnych zastrzeżonych systemów.

3.2. Ograniczenie odpowiedzialności podmiotów podprzetwarzających. Chociaż zawieramy ścisłe umowy z naszymi podmiotami podprzetwarzającymi, CyberLab.Team OÜ nie ponosi odpowiedzialności finansowej ani prawnej za naruszenia bezpieczeństwa, przerwy w świadczeniu usług ani utratę danych, które wystąpią wyłącznie w izolowanej infrastrukturze podmiotu podprzetwarzającego Tier-1 (np. Google Cloud, Cloudflare, Stripe), pod warunkiem że nie działaliśmy z rażącym niedbalstwem przy jego konfiguracji lub wyborze.

4. Dodawanie nowych podmiotów podprzetwarzających

Jeżeli planujemy dodać lub zastąpić jakiegokolwiek podmiotu podprzetwarzającego, powiadomimy Klienta co najmniej 14 dni wcześniej za pośrednictwem Platformy lub poczty elektronicznej. Klient ma prawo wnieść sprzeciw wobec nowego podmiotu podprzetwarzającego. Jeżeli sprzeciw zostanie wniesiony i nie uda się znaleźć rozsądnego rozwiązania, Klient ma prawo rozwiązać umowę i zaprzestać korzystania z Usługi bez ponoszenia kar.

5. Międzynarodowe przekazywanie danych

W przypadku gdy dane osobowe są przekazywane poza Europejski Obszar Gospodarczy (EOG) do naszych podmiotów podprzetwarzających (np. infrastruktura zlokalizowana w USA), zapewniamy, że takie przekazywanie podlega odpowiednim zabezpieczeniom prawnym wymaganym na mocy rozdziału V RODO. Obejmuje to poleganie na decyzji o adekwatności w ramach Ram ochrony danych UE-USA (DPF) lub wdrożenie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską.

6. Ograniczenie odpowiedzialności na podstawie niniejszej umowy powierzenia

Wszelkie roszczenia, szkody lub spory wynikające z niniejszej umowy powierzenia lub z nią związane podlegają ściśle ograniczeniom odpowiedzialności i klauzulom zwolnienia z odpowiedzialności określonym w głównych Warunkach świadczenia usług. Łączna, skumulowana odpowiedzialność CyberLab.Team OÜ za wszelkie naruszenia niniejszej umowy powierzenia nie może przekroczyć limitu finansowego ustalonego w Warunkach świadczenia usług.