Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa Powierzenia" lub „DPA") stanowi integralną część Regulaminu Aplikacji Claimo (dalej: „Regulamin") i jest zawierana pomiędzy:

ORCHESTRA spółką z ograniczoną odpowiedzialnością z siedzibą w Warszawie (00-131), przy ulicy Grzybowskiej 2/31, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0001239012, posiadającą NIP: 5253088306, REGON: 544631802, dalej zwaną „Podmiotem Przetwarzającym" lub „Procesorem",

a

Usługobiorcą, który zaakceptował Regulamin Aplikacji Claimo, w rozumieniu § 2 pkt 16 Regulaminu, dalej zwanym „Administratorem" lub „Klientem",

dalej łącznie zwanymi „Stronami", a osobno „Stroną".

Strony, mając na uwadze: a) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – dalej „RODO",

b) ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych,

c) zawartą pomiędzy Stronami umowę o świadczenie Usługi korzystania z Aplikacji Claimo (dalej: „Umowa Główna"),

zawierają niniejszą Umowę Powierzenia o następującej treści:

§ 1. Definicje

Wszelkie pojęcia pisane w Umowie Powierzenia wielką literą mają znaczenie nadane im w Regulaminie Aplikacji Claimo, chyba że Umowa Powierzenia stanowi inaczej. Dodatkowo, w Umowie Powierzenia stosuje się następujące definicje: 1. Aplikacja – aplikacja Claimo, w rozumieniu § 2 pkt 1 Regulaminu;

2. Dane Osobowe – dane osobowe w rozumieniu art. 4 pkt 1 RODO, przekazywane Procesorowi przez Administratora w ramach świadczenia Usługi, których kategorie i zakres określa Załącznik nr 1 do Umowy Powierzenia;

3. Naruszenie Ochrony Danych Osobowych – naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO;

4. Osoba, której dane dotyczą – osoba fizyczna, której Dane Osobowe są przetwarzane na podstawie Umowy Powierzenia, w szczególności klient końcowy Administratora;

5. Państwo Trzecie – państwo nienależące do Europejskiego Obszaru Gospodarczego (EOG);

6. Podprocesor – inny podmiot przetwarzający dane osobowe, któremu Procesor powierza dalsze przetwarzanie Danych Osobowych w celu wykonania Umowy Głównej, zgodnie z art. 28 ust. 2 i 4 RODO;

7. RODO – Rozporządzenie, o którym mowa w preambule Umowy Powierzenia;

8. SCC – standardowe klauzule umowne (Standard Contractual Clauses) zatwierdzone decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r., stosowane do transferów Danych Osobowych do Państw Trzecich;

9. Umowa Główna – umowa o świadczenie Usługi korzystania z Aplikacji Claimo, w rozumieniu § 2 pkt 14 Regulaminu;

10. Umowa Powierzenia – niniejsza umowa powierzenia przetwarzania danych osobowych.

§ 2. Przedmiot, charakter i cel przetwarzania

11. Administrator powierza Procesorowi przetwarzanie Danych Osobowych w zakresie i w celu określonym w niniejszej Umowie Powierzenia oraz w Załączniku nr 1, a Procesor zobowiązuje się przetwarzać te Dane Osobowe wyłącznie w zakresie i w celu wskazanym w Umowie Powierzenia, w sposób zgodny z RODO oraz innymi przepisami prawa powszechnie obowiązującego.
12. Przedmiotem przetwarzania są Dane Osobowe przekazywane Procesorowi przez Administratora za pośrednictwem Aplikacji w celu wykonania Usługi, w szczególności w celu wykonania Weryfikacji autentyczności plików graficznych w procesach obsługi reklamacji, zwrotów i roszczeń gwarancyjnych Administratora.
13. Charakter przetwarzania obejmuje w szczególności: zbieranie, utrwalanie, przechowywanie, przeglądanie, analizowanie, przekazywanie do Podprocesorów wskazanych w Załączniku nr 2, a także usuwanie Danych Osobowych.
14. Cel przetwarzania, kategorie Osób, których dane dotyczą, oraz rodzaje Danych Osobowych zostały szczegółowo określone w Załączniku nr 1 do Umowy Powierzenia.
15. Czas trwania przetwarzania jest tożsamy z czasem trwania Umowy Głównej, z uwzględnieniem postanowień § 9 Umowy Powierzenia dotyczących okresu retencji po jej zakończeniu.

§ 3. Obowiązki Procesora

16. Procesor zobowiązuje się przetwarzać Dane Osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do przekazywania Danych Osobowych do Państwa Trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii Europejskiej lub prawo państwa członkowskiego, któremu podlega Procesor; w takim przypadku przed rozpoczęciem przetwarzania Procesor poinformuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji ze względu na ważny interes publiczny.
17. Procesor zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych zobowiązały się do zachowania ich w tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
18. Procesor zobowiązuje się wdrożyć i utrzymywać odpowiednie środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w celu zapewnienia stopnia bezpieczeństwa odpowiedniego do ryzyka. Wykaz aktualnych środków technicznych i organizacyjnych stanowi Załącznik nr 3 do Umowy Powierzenia.
19. Procesor – uwzględniając charakter przetwarzania – pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania Osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu, niepodlegania profilowaniu).
20. Procesor pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania oraz dostępne mu informacje.
21. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów na zasadach określonych w § 7 Umowy Powierzenia.
22. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii Europejskiej lub państwa członkowskiego o ochronie danych.
23. Procesor wyznacza osobę kontaktową w sprawach ochrony danych osobowych dostępną pod adresem: privacy@claimo.one. Osoba kontaktowa nie pełni funkcji formalnego inspektora ochrony danych w rozumieniu art. 37 RODO.

§ 4. Obowiązki Administratora

24. Administrator oświadcza, że jest uprawniony do przekazywania Procesorowi Danych Osobowych przekazywanych w ramach korzystania z Aplikacji oraz że dysponuje ważną podstawą prawną przetwarzania tych Danych Osobowych w rozumieniu art. 6 ust. 1 lub art. 9 ust. 2 RODO.
25. Administrator zobowiązuje się wypełniać obowiązki informacyjne wobec Osób, których dane dotyczą, zgodnie z art. 13 i 14 RODO, w tym informować je o powierzeniu przetwarzania ich danych Procesorowi w związku z korzystaniem z Aplikacji.
26. Administrator zobowiązuje się nie przekazywać Procesorowi Danych Osobowych:

a) szczególnych kategorii w rozumieniu art. 9 ust. 1 RODO (dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej), chyba że strony uzgodnią to odrębnie i wdrożą dodatkowe środki bezpieczeństwa,

b) dotyczących wyroków skazujących oraz czynów zabronionych w rozumieniu art. 10 RODO,

c) dotyczących osób małoletnich poniżej 16 roku życia bez uprzedniego uzyskania zgody przedstawiciela ustawowego, jeżeli taka zgoda jest wymagana,

d) przekraczających zakres niezbędny do wykonania Usługi określonej w Umowie Głównej.

27. Administrator ponosi pełną odpowiedzialność za:

a) legalność źródła pochodzenia Danych Osobowych przekazywanych Procesorowi,

b) treść poleceń wydawanych Procesorowi w zakresie przetwarzania Danych Osobowych,

c) zapewnienie podstawy prawnej przetwarzania Danych Osobowych klientów końcowych Administratora,

d) zgodność z prawem decyzji podejmowanych wobec klientów końcowych na podstawie werdyktów Weryfikacji.

§ 5. Podprocesorzy

28. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z Podprocesorów, w rozumieniu art. 28 ust. 2 RODO. Aktualną listę Podprocesorów określa Załącznik nr 2 do Umowy Powierzenia.
29. Procesor zobowiązuje się zawrzeć z każdym Podprocesorem umowę na piśmie lub w innej formie elektronicznej, nakładającą na Podprocesora te same obowiązki ochrony danych osobowych jak określone w niniejszej Umowie Powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych zgodnych z art. 28 ust. 4 RODO.
30. Procesor pozostaje w pełni odpowiedzialny wobec Administratora za wykonanie obowiązków przez Podprocesora. Jeżeli Podprocesor nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego Podprocesora spoczywa na Procesorze.
31. Procesor poinformuje Administratora o wszelkich planowanych zmianach dotyczących dodania lub zastąpienia innych Podprocesorów, dając tym samym Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian. Informacja o zmianie zostanie przesłana na adres e-mail Administratora wskazany w Aplikacji oraz opublikowana w Aplikacji nie później niż na 30 (trzydzieści) dni przed planowaną zmianą.
32. Administrator może w terminie 14 (czternastu) dni od dnia otrzymania informacji o planowanej zmianie zgłosić uzasadniony sprzeciw. W przypadku zgłoszenia sprzeciwu Strony podejmą próbę uzgodnienia rozwiązania uwzględniającego interesy obu Stron. W razie braku porozumienia, Administrator ma prawo wypowiedzieć Umowę Główną z 30-dniowym okresem wypowiedzenia, bez ponoszenia jakichkolwiek opłat z tego tytułu, a Opłata Subskrypcyjna zostanie zwrócona proporcjonalnie.

§ 6. Transfer danych poza Europejski Obszar Gospodarczy

33. Administrator przyjmuje do wiadomości i wyraża zgodę, że w ramach świadczenia Usługi część Danych Osobowych może być przekazywana do Państw Trzecich, w szczególności do Stanów Zjednoczonych, w związku z korzystaniem z Podprocesorów wskazanych w Załączniku nr 2.
34. Każdy transfer Danych Osobowych do Państwa Trzeciego odbywa się na podstawie:

a) decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, jeżeli taka decyzja istnieje w odniesieniu do danego kraju (np. ramy ochrony prywatności UE-USA – Data Privacy Framework, dla certyfikowanych podmiotów), albo

b) standardowych klauzul umownych (SCC) zatwierdzonych decyzją wykonawczą Komisji Europejskiej (UE) 2021/914, zawieranych przez Procesora bezpośrednio z Podprocesorem, albo

c) innych odpowiednich zabezpieczeń przewidzianych w art. 46 RODO.

35. Procesor zobowiązuje się do przeprowadzenia oceny skutków transferu danych (Transfer Impact Assessment, TIA) w odniesieniu do każdego transferu do Państwa Trzeciego oraz do wdrożenia dodatkowych środków technicznych i organizacyjnych, jeżeli ocena ta wykaże ich konieczność.
36. Procesor udostępni Administratorowi na jego pisemne żądanie informacje dotyczące podstawy prawnej każdego transferu oraz wdrożonych zabezpieczeń, w terminie 30 (trzydziestu) dni od dnia otrzymania żądania.

§ 7. Prawo audytu

37. Administrator ma prawo do przeprowadzenia audytu Procesora w zakresie zgodności przetwarzania Danych Osobowych z Umową Powierzenia oraz przepisami RODO, na zasadach określonych w niniejszym paragrafie.
38. Audyt może być przeprowadzony nie częściej niż jeden raz w roku kalendarzowym, na koszt Administratora, z co najmniej 30-dniowym wyprzedzeniem przesłanym Procesorowi pisemnie lub za pośrednictwem poczty elektronicznej.
39. Audyt przeprowadza Administrator osobiście lub upoważniony przez niego niezależny audytor zewnętrzny, który nie jest podmiotem konkurującym z Procesorem ani powiązanym z takim podmiotem. Audytor zobowiązany jest do podpisania umowy o zachowaniu poufności (NDA) z Procesorem przed rozpoczęciem audytu.
40. Audyt odbywa się w godzinach pracy Procesora, w sposób minimalizujący zakłócenia w jego bieżącej działalności, oraz nie może obejmować dostępu do danych osobowych innych klientów Procesora ani do tajemnic handlowych Procesora.
41. Procesor może spełnić obowiązek audytowy wynikający z niniejszej Umowy Powierzenia poprzez przedstawienie Administratorowi:

a) aktualnych certyfikatów zgodności wydanych przez akredytowane jednostki certyfikujące (w szczególności ISO/IEC 27001, ISO/IEC 27701, SOC 2 Type II), jeżeli takie posiada,

b) raportów z niezależnych audytów przeprowadzonych nie wcześniej niż 12 miesięcy przed datą żądania audytu,

c) kompletnej dokumentacji wdrożonych środków technicznych i organizacyjnych.

42. Administrator może zażądać przeprowadzenia dodatkowego audytu poza terminem określonym w ust. 2 wyłącznie w przypadku stwierdzenia Naruszenia Ochrony Danych Osobowych mającego istotny wpływ na Dane Osobowe Administratora. W takim przypadku audyt może zostać przeprowadzony niezwłocznie, na koszt Procesora, jeżeli stwierdzone zostanie zawinienie po stronie Procesora.

§ 8. Naruszenie ochrony danych osobowych

43. Procesor zobowiązuje się niezwłocznie, nie później niż w terminie 48 (czterdziestu ośmiu) godzin od wykrycia Naruszenia Ochrony Danych Osobowych, powiadomić o tym fakcie Administratora za pomocą poczty elektronicznej, na adres wskazany w Aplikacji.
44. Powiadomienie, o którym mowa w ust. 1 powyżej, powinno zawierać co najmniej:

a) opis charakteru Naruszenia Ochrony Danych Osobowych, w tym w miarę możliwości wskazanie kategorii i przybliżonej liczby Osób, których dane dotyczą, oraz kategorii i przybliżonej liczby wpisów Danych Osobowych, których dotyczy naruszenie,

b) imię i nazwisko oraz dane kontaktowe osoby kontaktowej Procesora ds. ochrony danych, od której można uzyskać więcej informacji,

c) opis możliwych konsekwencji Naruszenia Ochrony Danych Osobowych,

d) opis zastosowanych lub proponowanych przez Procesora środków w celu zaradzenia Naruszeniu, w tym w stosownych przypadkach środków w celu zminimalizowania jego ewentualnych negatywnych skutków.

45. Jeżeli – i w zakresie, w jakim – nie wszystkie informacje wskazane w ust. 2 powyżej można podać równocześnie z powiadomieniem, Procesor uzupełni je sukcesywnie, w miarę dostępności, bez zbędnej zwłoki.
46. Procesor zobowiązuje się współpracować z Administratorem w zakresie wszelkich działań niezbędnych do wypełnienia przez Administratora obowiązków wynikających z art. 33 i 34 RODO, w tym w zakresie ewentualnego powiadomienia organu nadzorczego oraz Osób, których dane dotyczą.
47. Procesor prowadzi wewnętrzny rejestr Naruszeń Ochrony Danych Osobowych, który udostępnia Administratorowi na jego żądanie.

§ 9. Zakończenie przetwarzania i zwrot lub usunięcie danych

48. Po zakończeniu Umowy Głównej, niezależnie od przyczyny jej zakończenia, Procesor – zgodnie z decyzją Administratora – usunie wszystkie Dane Osobowe lub zwróci je Administratorowi w formacie elektronicznym (JSON lub CSV) oraz usunie wszelkie istniejące kopie, chyba że prawo Unii Europejskiej lub prawo państwa członkowskiego nakazuje przechowywanie tych Danych Osobowych.
49. Procesor zapewnia Administratorowi dostęp do Danych Osobowych w celu ich eksportu przez okres 90 (dziewięćdziesięciu) dni od dnia zakończenia Umowy Głównej. Po upływie tego okresu Procesor trwale usuwa Dane Osobowe ze swoich systemów oraz systemów Podprocesorów, z zastrzeżeniem ust. 3 poniżej.
50. Procesor jest uprawniony do dalszego przechowywania Danych Osobowych po zakończeniu Umowy Głównej wyłącznie w zakresie i przez okres, w jakim: e) nakazują to bezwzględnie obowiązujące przepisy prawa (w szczególności przepisy podatkowe, rachunkowe, archiwizacyjne), f) jest to niezbędne do dochodzenia lub obrony roszczeń wynikających z Umowy Głównej, do upływu okresu przedawnienia tych roszczeń. W zakresie, w jakim dotyczy to Danych Osobowych przechowywanych na podstawie niniejszego ustępu, Procesor zachowuje obowiązek zapewnienia ich bezpieczeństwa zgodnie z postanowieniami Umowy Powierzenia.
51. Procesor potwierdza Administratorowi w formie pisemnej lub elektronicznej fakt usunięcia Danych Osobowych w terminie 14 (czternastu) dni od dnia faktycznego usunięcia.

§ 10. Odpowiedzialność i ubezpieczenie

52. Każda ze Stron ponosi odpowiedzialność za szkody wyrządzone drugiej Stronie w wyniku naruszenia Umowy Powierzenia lub przepisów RODO, na zasadach ogólnych wynikających z Kodeksu cywilnego oraz art. 82 RODO.
53. Łączna odpowiedzialność Procesora wobec Administratora z tytułu naruszenia Umowy Powierzenia ograniczona jest zgodnie z postanowieniami § 12 ust. 5 Regulaminu, z wyjątkiem szkód wyrządzonych umyślnie oraz odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów prawa.
54. Procesor zobowiązuje się do dochowania należytej staranności w zakresie ochrony Danych Osobowych oraz do utrzymywania środków technicznych i organizacyjnych adekwatnych do charakteru, zakresu i celu przetwarzania Danych Osobowych, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz ryzyka naruszenia praw lub wolności Osób, których dane dotyczą.
55. W przypadku skierowania przeciwko Administratorowi roszczeń wynikających z naruszenia Umowy Powierzenia spowodowanego wyłącznie z winy Procesora, Procesor zobowiązuje się do współpracy z Administratorem w zakresie obrony przed takimi roszczeniami oraz do pokrycia uzasadnionych kosztów obsługi prawnej Administratora w zakresie, w jakim te koszty wynikają z zawinionego naruszenia po stronie Procesora.

§ 11. Postanowienia końcowe

56. Umowa Powierzenia stanowi integralną część Umowy Głównej. Akceptacja Regulaminu przez Usługobiorcę jest równoznaczna z zawarciem Umowy Powierzenia.
57. W przypadku rozbieżności pomiędzy postanowieniami Regulaminu a Umowy Powierzenia, w zakresie spraw związanych z przetwarzaniem Danych Osobowych pierwszeństwo mają postanowienia Umowy Powierzenia.
58. Umowa Powierzenia podlega prawu polskiemu. Wszelkie spory wynikające z Umowy Powierzenia podlegają jurysdykcji sądu właściwego dla siedziby Procesora, z zastrzeżeniem bezwzględnie obowiązujących przepisów dotyczących właściwości sądu.
59. Zmiana Umowy Powierzenia wymaga zachowania formy elektronicznej (publikacja zmienionej wersji w Aplikacji oraz przesłanie informacji na adres e-mail Administratora) i obowiązuje na zasadach analogicznych do zmiany Regulaminu, opisanych w § 17 Regulaminu.
60. Załączniki do Umowy Powierzenia stanowią jej integralną część:

a) Załącznik nr 1 – Kategorie danych osobowych, kategorie osób, których dane dotyczą, oraz cele przetwarzania,

b) Załącznik nr 2 – Wykaz Podprocesorów,

c) Załącznik nr 3 – Środki techniczne i organizacyjne (TOMs).

61. Niniejsza Umowa Powierzenia obowiązuje od dnia akceptacji Regulaminu przez Usługobiorcę. Wersja Umowy Powierzenia obowiązuje od dnia [23.04.2026].

ZAŁĄCZNIK NR 1

Kategorie danych osobowych, osób oraz cele przetwarzania

I. Kategorie Osób, których dane dotyczą

62. Klienci końcowi Administratora (osoby fizyczne) zgłaszający reklamacje, zwroty lub roszczenia gwarancyjne do Administratora,
63. Pracownicy lub współpracownicy Administratora obsługujący proces weryfikacji reklamacji,
64. Inne osoby fizyczne, których dane mogą zostać przekazane Procesorowi za pośrednictwem Treści Usługobiorcy (np. osoby uwidocznione na zdjęciach, osoby trzecie wskazane w opisach reklamacji).

II. Kategorie Danych Osobowych

65. Dane identyfikacyjne i kontaktowe pracowników/współpracowników Administratora: imię, nazwisko, adres e-mail służbowy, login, identyfikator użytkownika w Aplikacji, rola w organizacji,
66. Dane proceduralne klientów końcowych Administratora: numer reklamacji/RMA, opis reklamacji (mogący zawierać dane osobowe klienta wprowadzone przez Administratora), data zgłoszenia,
67. Dane wizualne i metadane plików graficznych: pliki graficzne (obrazy) przekazywane do Weryfikacji, mogące zawierać wizerunek osób fizycznych, dane geolokalizacyjne (EXIF), znaczniki czasu, dane techniczne urządzenia rejestrującego,
68. Skróty kryptograficzne (hash SHA-256) plików graficznych oraz werdykty Weryfikacji wraz z poziomem pewności (confidence score).

III. Cele przetwarzania

69. Wykonanie Usługi korzystania z Aplikacji, w tym wykonanie Weryfikacji autentyczności plików graficznych,
70. Generowanie uzasadnień (komentarzy) do werdyktów Weryfikacji,
71. Zapewnienie funkcjonalności panelu webowego, publicznego API oraz Desktop Agent,
72. Rozliczenia związane ze świadczeniem Usługi, w tym wystawianie faktur,
73. Realizacja obowiązków wynikających z RODO, w tym obsługa żądań Osób, których dane dotyczą.

IV. Czas przechowywania Danych Osobowych

74. Pliki graficzne przekazywane do Weryfikacji: nieprzechowywane w postaci plików; w infrastrukturze Procesora zachowywany jest wyłącznie skrót kryptograficzny pliku (hash SHA-256), metadane oraz werdykt Weryfikacji,
75. Dane proceduralne i werdykty Weryfikacji: przez czas trwania Umowy Głównej oraz 90 (dziewięćdziesiąt) dni po jej zakończeniu w celu umożliwienia eksportu, z zastrzeżeniem § 9 ust. 3 Umowy Powierzenia,
76. Dane rozliczeniowe i fakturowe: przez okres wymagany przepisami podatkowymi i rachunkowymi (co do zasady 5 lat licząc od końca roku, w którym nastąpiło zdarzenie podatkowe),
77. Logi systemowe i audytowe: przez okres do 12 miesięcy, z zastrzeżeniem przedłużenia w przypadku trwającego postępowania.

ZAŁĄCZNIK NR 2

Wykaz Podprocesorów

Procesor korzysta z następujących Podprocesorów w celu wykonania Umowy Głównej:

• TruthScan, Inc. USA Detekcja AI obrazów (główna analiza autentyczności pliku graficznego) SCC + ocena DPF
• Anthropic, PBC USA Generowanie uzasadnień werdyktów (Claude Haiku) SCC + EU-US Data Privacy Framework
• Stripe Payments Europe, Ltd. Irlandia Operator płatności – obsługa Opłat Subskrypcyjnych EOG – brak transferu poza EOG
• Hitme.pl Polska Hosting infrastruktury serwerowej (VPS), bazy PostgreSQL, backupów EOG – brak transferu poza EOG Functional Software, Inc. (Sentry) USA Monitoring błędów aplikacji SCC
• Fakturownia Sp. z o.o. Polska Wystawianie faktur VAT i rozliczenia księgowe EOG – brak transferu poza EOG
• Google Ireland Ltd. / Google LLC (Google Analytics) Irlandia / USA Analityka strony marketingowej claimo.one SCC + EU-US Data Privacy Framework

Aktualna lista Podprocesorów dostępna jest również pod adresem: https://claimo.one/dpa/podprocesorzy. Procesor zobowiązuje się aktualizować listę zgodnie z § 5 Umowy Powierzenia oraz informować Administratora o planowanych zmianach na zasadach tam określonych.

ZAŁĄCZNIK NR 3

Środki techniczne i organizacyjne (TOMs)

Procesor wdrożył i utrzymuje następujące środki techniczne i organizacyjne mające na celu zapewnienie bezpieczeństwa Danych Osobowych zgodnie z art. 32 RODO:

I. Środki kontroli dostępu fizycznego

78. Infrastruktura serwerowa zlokalizowana w certyfikowanym centrum danych dostawcy hostingu (HITme.pl) z całodobową kontrolą dostępu fizycznego,
79. Brak fizycznego przechowywania Danych Osobowych w siedzibie Procesora poza zaszyfrowanymi kopiami zapasowymi.

II. Środki kontroli dostępu logicznego

80. Uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich kont administracyjnych,
81. Polityka silnych haseł (minimum 12 znaków, wymagane różne typy znaków, rotacja co 90 dni),
82. Zasada minimalnego dostępu (least privilege) – pracownicy mają dostęp wyłącznie do danych niezbędnych do wykonywania powierzonych zadań,
83. Logowanie i monitoring wszystkich operacji wykonywanych w bazie danych oraz w panelu administracyjnym,
84. Niezwłoczne odbieranie dostępu byłym pracownikom i współpracownikom.

III. Środki kontroli przekazywania danych

85. Szyfrowanie transmisji danych protokołem TLS 1.2 lub nowszym (HTTPS) dla wszystkich połączeń z Aplikacją,
86. Szyfrowanie połączeń z Podprocesorami protokołami zgodnymi z aktualnym stanem wiedzy technicznej,
87. Brak przechowywania plików graficznych przekazywanych do Weryfikacji – przetwarzanie wyłącznie w trybie passthrough do dostawców AI,
88. Stosowanie kryptograficznych skrótów (hash SHA-256) zamiast oryginalnych plików w bazie danych.

IV. Środki kontroli zlecania przetwarzania

89. Pisemne lub elektroniczne umowy powierzenia przetwarzania ze wszystkimi Podprocesorami,
90. Weryfikacja Podprocesorów pod kątem zgodności z RODO przed nawiązaniem współpracy,
91. Okresowy przegląd realizacji obowiązków przez Podprocesorów.

V. Środki zapewnienia integralności

92. Walidacja danych wejściowych i wyjściowych w Aplikacji,
93. Stosowanie podpisów cyfrowych i sum kontrolnych (hash SHA-256) dla weryfikacji integralności plików,
94. Wersjonowanie kodu źródłowego i kontrola zmian (CI/CD).

VI. Środki zapewnienia dostępności i odporności systemów

95. Tworzenie kopii zapasowych bazy danych co 6 godzin oraz logów transakcyjnych w trybie ciągłym,
96. Tworzenie kopii zapasowych Redis co 1 godzinę oraz w trybie AOF (Append Only File),
97. Procedura odtwarzania po awarii (disaster recovery) z czasem odtworzenia do 5 minut,
98. Monitoring dostępności i wydajności systemu w trybie 24/7,
99. Zapewnienie dostępności na poziomie SLA 99,5% w skali miesiąca kalendarzowego.

VII. Środki regularnego testowania i oceny

100. Okresowe testy bezpieczeństwa (przegląd zależności, podatności, konfiguracji),
101. Aktualizacja oprogramowania i zależności w cyklu nie dłuższym niż 30 dni dla łatek bezpieczeństwa,
102. Logi audytowe wszystkich operacji o znaczeniu dla bezpieczeństwa, przechowywane przez okres do 12 miesięcy.

VIII. Środki organizacyjne

103. Polityka ochrony danych osobowych i bezpieczeństwa informacji,
104. Zobowiązania do zachowania tajemnicy zawierane z osobami upoważnionymi do przetwarzania,
105. Wewnętrzne procedury reagowania na Naruszenia Ochrony Danych Osobowych,
106. Punkt kontaktowy ds. ochrony danych: privacy@claimo.one.

IX. Pseudonimizacja i minimalizacja danych

107. Pseudonimizacja Danych Osobowych w logach systemowych (zastępowanie identyfikatorami technicznymi),
108. Zasada minimalizacji – zbieranie wyłącznie Danych Osobowych niezbędnych do świadczenia Usługi,
109. Brak przechowywania oryginalnych plików graficznych po wykonaniu Weryfikacji.

Procesor zobowiązuje się do przeglądu i aktualizacji powyższych środków technicznych i organizacyjnych nie rzadziej niż raz w roku oraz po każdej istotnej zmianie w infrastrukturze technicznej Aplikacji.