Czas, czynności i kategorie danych
Powierzenie trwa przez czas świadczenia usługi i uzgodniony okres zwrotu/usunięcia. Obejmuje przyjmowanie, porządkowanie, przechowywanie, wyświetlanie, eksport, przesyłanie zgodnie z konfiguracją oraz usuwanie danych. Kategorie osób to respondenci formularzy, klienci i potencjalni klienci administratora, osoby kontaktowe i uczestnicy rozmów. Dane obejmują zależnie od formularza imię, e-mail, telefon, treść zapytania, pola dodatkowe, parametry UTM i korespondencję. Nie obejmuje to uzgodnionego przetwarzania szczególnych kategorii danych ani danych o wyrokach.
Strony i zakres
Niniejsze postanowienia stanowią umowę powierzenia z art. 28 RODO: klient jest administratorem, a operator ZoraForms podmiotem przetwarzającym. Obejmują dane respondentów i inne dane osobowe przekazane w formularzach, wyłącznie w celu świadczenia, zabezpieczenia i wsparcia usługi zgodnie z udokumentowanymi instrukcjami klienta.
Instrukcje i poufność
Operator przetwarza dane wyłącznie na udokumentowane instrukcje klienta, w tym dotyczące dostępu, eksportu, usunięcia i retencji. Osoby upoważnione do danych są związane poufnością. Operator nie wykorzystuje treści formularzy do własnych, odrębnych celów. O przetwarzaniu wymaganym prawem informuje klienta, chyba że prawo tego zakazuje. Dane konta i rozliczeń Operator przetwarza w odrębnej roli opisanej w polityce.
Bezpieczeństwo
Operator stosuje środki odpowiednie do ryzyka: szyfrowanie sekretów CAPTCHA, SMTP i TOTP, kontrolę dostępu, bezpieczne sesje, pseudonimizację dziennego identyfikatora nadużyć oraz ograniczenie logów. Pełne adresy IP i tokeny CAPTCHA nie są przechowywane w bazie ani logach.
Podmioty podprzetwarzające
Ogólna zgoda obejmuje Atman/OVH oraz dostawców włączonych przez klienta: SMTP, Turnstile/Google, Stripe, webhooki i AI, gdy ich rola tego wymaga. Dostawcami infrastruktury są Atman/OVH; aktualne usługi wskazuje polityka prywatności i konfiguracja konta. O planowanym nowym podmiocie operator zawiadamia z 30-dniowym wyprzedzeniem; klient może zgłosić uzasadniony sprzeciw. Strony próbują go rozwiązać, a gdy to się nie uda, klient może zakończyć dotyczącą usługę zgodnie z umową; sprzeciw nie jest automatyczną zgodą.
Pomoc i naruszenia
Operator, uwzględniając charakter przetwarzania i dostępne informacje, pomaga w obsłudze żądań osób, bezpieczeństwie, ocenach skutków i konsultacjach. O naruszeniu danych osobowych dotyczącym danych klienta zawiadamia bez zbędnej zwłoki po jego stwierdzeniu, przekazując dostępne informacje. Termin 72 godzin dotyczy obowiązku administratora wobec organu, gdy ma zastosowanie; nie jest bezwarunkową gwarancją dla zgłoszenia operatora.
Audyt
Operator udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyt proporcjonalny do ryzyka, co do zasady raz w roku oraz dodatkowo po uzasadnionym incydencie lub wymogu prawa, z zachowaniem poufności i bezpieczeństwa innych klientów.
Zwrot i usunięcie
Po zakończeniu usługi operator, zgodnie z instrukcją klienta, zwraca lub usuwa dane w ciągu 30 dni, chyba że prawo wymaga dalszego przechowywania. Wcześniejsze wersje w kopiach zapasowych wygasają nie później niż 30 dni po usunięciu z aktywnej bazy; odtworzenie kopii nie przywraca usuniętych danych do bieżącej obsługi.
Obowiązki klienta
Klient odpowiada za podstawę prawną, treść formularza, informacje dla respondentów, instrukcje retencji i konfigurację integracji oraz za to, by nie umieszczać w formularzach danych szczególnych kategorii ani danych kart i haseł, chyba że ma ku temu właściwą podstawę i zabezpieczenia.