Podstawa prawna: art. 28 RODO, w szczególności ust. 3 (treść powierzenia) oraz ust. 9 (forma elektroniczna)

Niniejszy załącznik stanowi integralną część Regulaminu świadczenia usług. Ilekroć mowa w nim o RODO, rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. o ochronie danych osobowych; ilekroć o EOG, rozumie się przez to Europejski Obszar Gospodarczy, czyli państwa Unii Europejskiej oraz Islandię, Liechtenstein i Norwegię.

1. Po co jest ten dokument

Korzystając z usług hostingu, Klient umieszcza w wykupionych zasobach dane osobowe innych osób: swoich klientów, użytkowników serwisu, subskrybentów, kontrahentów, pracowników albo osób, z którymi prowadzi korespondencję. Dane te pozostają danymi Klienta, ale fizycznie znajdują się na sprzęcie Usługodawcy.

RODO nazywa taką sytuację powierzeniem przetwarzania i wymaga, aby jej warunki zostały określone w umowie albo w innym dokumencie wiążącym obie strony. Niniejszy załącznik jest takim dokumentem. Określa, co Usługodawca może zrobić z danymi Klienta, czego zrobić nie może i czego Klient ma prawo od niego wymagać.

Dokument nie wymaga podpisu ani odsyłania. Przyjęcie Regulaminu przy zawarciu umowy o świadczenie usług jest równoznaczne z zawarciem umowy powierzenia w formie elektronicznej, którą art. 28 ust. 9 RODO wprost dopuszcza.

2. Kogo dotyczy i kto jest kim

1. Załącznik dotyczy każdego Klienta, który w ramach usług hostingu stron internetowych, poczty elektronicznej, serwera wirtualnego albo serwera dedykowanego przechowuje dane osobowe osób trzecich.

1. W zakresie tych danych Klient jest administratorem, czyli decyduje, po co i w jaki sposób są przetwarzane. Usługodawca jest podmiotem przetwarzającym. Przetwarza je wyłącznie na polecenie Klienta i wyłącznie po to, aby wykonać usługę.

1. Załącznik nie dotyczy Klienta, który prowadzi serwis wyłącznie w celach osobistych lub domowych. RODO takiego przetwarzania nie obejmuje (art. 2 ust. 2 lit. c RODO). Rozstrzyga charakter serwisu, a nie forma prawna Klienta.

1. Załącznik nie dotyczy też danych samego Klienta: jego imienia i nazwiska albo nazwy firmy, adresu, numeru NIP, danych kontaktowych i rozliczeniowych. Wobec nich Usługodawca występuje jako administrator, a zasady ich przetwarzania opisuje Polityka Prywatności.

1. Klient, który zawarł z Usługodawcą odrębną umowę powierzenia, podlega tej umowie, patrz pkt 17 ust. 3.

3. Co, po co, w jaki sposób i jak długo

1. Przedmiot powierzenia: dane osobowe umieszczone przez Klienta w zasobach udostępnionych mu w ramach usługi, w bazach danych, plikach, skrzynkach pocztowych i systemach uruchomionych na wykupionej powierzchni serwerowej.

1. Cel: wyłącznie świadczenie wykupionej usługi, to jest udostępnienie i utrzymanie infrastruktury, na której Klient prowadzi własne przetwarzanie. Usługodawca nie wykorzystuje powierzonych danych do żadnych własnych celów, w tym do analiz, statystyk, marketingu, rozwoju własnych usług, testów ani trenowania modeli uczenia maszynowego.

1. Charakter przetwarzania: czynności techniczne niezbędne do świadczenia usługi, to jest przechowywanie, utrwalanie, porządkowanie, przesyłanie, kopiowanie, odtwarzanie z kopii, udostępnianie Klientowi oraz usuwanie danych, wykonywane wyłącznie w formie elektronicznej. Obejmuje to w szczególności: utrzymywanie plików i baz danych, obsługę poczty elektronicznej, wykonywanie i przechowywanie kopii zapasowych, przywracanie danych na żądanie Klienta, obsługę zgłoszeń technicznych, udostępnianie panelu zarządzania kontem, utrzymywanie rekordów strefy domenowej, rejestrowanie zdarzeń, ochronę przed zagrożeniami oraz usuwanie danych po zakończeniu usługi.

1. Czas trwania: powierzenie obowiązuje przez czas świadczenia usługi i kończy się z chwilą wykonania obowiązków opisanych w punkcie 13.

4. Jakie dane i czyje

1. O tym, jakie dane osobowe znajdą się w powierzonych zasobach, decyduje wyłącznie Klient. Usługodawca nie przegląda zawartości baz danych, plików ani skrzynek pocztowych i nie prowadzi ich inwentaryzacji; wgląd w powierzone dane następuje wyłącznie przy obsłudze zgłoszenia technicznego i wyłącznie w zakresie niezbędnym do usunięcia zgłoszonej usterki.

1. Kategorie osób, których dane są powierzane, obejmują w szczególności: klientów i kontrahentów Klienta, użytkowników jego serwisów i sklepów internetowych, subskrybentów prowadzonych przez niego list wysyłkowych, jego pracowników i współpracowników oraz nadawców i adresatów korespondencji prowadzonej w skrzynkach pocztowych.

1. Rodzaj danych wynika z działalności Klienta i obejmuje w szczególności: imiona i nazwiska, nazwy firm, adresy, adresy e-mail, numery telefonów, numery identyfikacji podatkowej, dane rozliczeniowe i historię zamówień, treść korespondencji, dane kont użytkowników wraz z danymi uwierzytelniającymi oraz adresy IP.

1. Powierzenie obejmuje również dane szczególnych kategorii (art. 9 RODO, dotyczące między innymi zdrowia, przekonań i przynależności związkowej) oraz dane dotyczące wyroków skazujących i czynów zabronionych (art. 10 RODO), jeżeli Klient umieści takie dane w powierzonych zasobach. Objęcie ich niniejszymi warunkami nie oznacza, że Usługodawca zachęca do ich umieszczania ani że ocenia dopuszczalność ich przetwarzania. Oznacza, że przetwarzanie takich danych mieści się w zakresie powierzenia i objęte jest tymi samymi zabezpieczeniami co pozostałe dane. Ocena podstawy prawnej należy do Klienta.

5. Na czyje polecenie działa Usługodawca

1. Usługodawca przetwarza powierzone dane wyłącznie na udokumentowane polecenie Klienta (art. 28 ust. 3 lit. a RODO). Za takie polecenie uznaje się: treść Regulaminu wraz z niniejszym załącznikiem, operacje wykonywane przez Klienta samodzielnie w panelu zarządzania kontem oraz dyspozycje przekazywane pocztą elektroniczną na adres biuro@ehost.pl.

1. Usługodawca nie udostępnia powierzonych danych podmiotom trzecim poza dalszymi podmiotami przetwarzającymi wskazanymi w punkcie 8 oraz poza przypadkami, w których obowiązek udostępnienia wynika z przepisu prawa. O takim obowiązku Usługodawca informuje Klienta przed jego wykonaniem, chyba że przepis prawa tego zakazuje.

1. Jeżeli zdaniem Usługodawcy polecenie Klienta narusza przepisy o ochronie danych, niezwłocznie go o tym informuje i wstrzymuje się z wykonaniem polecenia do czasu wyjaśnienia sprawy (art. 28 ust. 3 akapit drugi RODO).

6. Kto po stronie Usługodawcy ma dostęp do danych

Do powierzonych danych dopuszczane są wyłącznie osoby, którym jest to niezbędne do wykonania usługi. Każda z nich działa na pisemne upoważnienie Usługodawcy i zobowiązała się do zachowania tajemnicy danych oraz sposobów ich zabezpieczenia; zobowiązanie obowiązuje bezterminowo, również po zakończeniu zatrudnienia lub współpracy (art. 28 ust. 3 lit. b RODO). Usługodawca prowadzi ewidencję osób upoważnionych.

7. Jak dane są zabezpieczone

1. Usługodawca stosuje środki techniczne i organizacyjne odpowiadające ryzyku naruszenia praw osób, których dane dotyczą (art. 32 RODO w związku z art. 28 ust. 3 lit. c RODO), w szczególności:

• kontrolę dostępu, konta imienne w systemach zarządzania infrastrukturą, uwierzytelnianie dwuskładnikowe, dostęp administracyjny wyłącznie z wyznaczonych adresów sieciowych i przez wydzielony punkt wejścia;

• szyfrowanie, transmisji stron i poczty, połączeń administracyjnych, całych dysków stacji roboczych i komputerów przenośnych oraz nośników, na których przechowywane są kopie zapasowe;

• kopie zapasowe przechowywane w odrębnej lokalizacji geograficznej, wraz z praktyczną weryfikacją możliwości ich odtworzenia;

• ochronę przed złośliwym oprogramowaniem i bieżącą aktualizację oprogramowania systemowego i serwerowego, z wgrywaniem poprawek krytycznych niezwłocznie po ich opublikowaniu;

• rozliczalność, rejestrowanie zdarzeń w systemach, ewidencję osób upoważnionych i rejestr naruszeń ochrony danych;

• środki organizacyjne, upoważnienia i zobowiązania do zachowania poufności, szkolenia oraz wdrożone procedury: zgłaszania naruszeń, realizacji praw osób, retencji danych, nadawania i odbierania uprawnień, niszczenia nośników i pracy poza siedzibą;

• trwałe usuwanie danych z nośników wycofywanych z użycia, przed opuszczeniem przez nośnik infrastruktury Usługodawcy.

1. Usługodawca nie obniża poziomu zabezpieczeń w trakcie świadczenia usługi. Na żądanie Klienta przedstawia aktualny opis stosowanych środków, w postaci wyciągu obejmującego wszystkie zabezpieczenia, z pominięciem informacji, których ujawnienie samo osłabiłoby ochronę, w szczególności szczegółowego opisu architektury dostępu administracyjnego. Informacje szersze Usługodawca udostępnia na uzasadnione żądanie, po podpisaniu zobowiązania do zachowania poufności.

8. Podwykonawcy Usługodawcy

1. Klient wyraża ogólną zgodę na korzystanie przez Usługodawcę z dalszych podmiotów przetwarzających (art. 28 ust. 2 RODO), na warunkach określonych w niniejszym punkcie.

1. Aktualny wykaz tych podmiotów, wraz ze wskazaniem zakresu powierzonych im czynności i miejsca przetwarzania danych, stanowi odrębny dokument, „Wykaz dalszych podmiotów przetwarzających (podprocesorów)", udostępniany w serwisie ehost.pl oraz przesyłany Klientowi na każde żądanie w wersji opatrzonej numerem i datą.

1. O każdej zamierzonej zmianie wykazu Usługodawca zawiadamia Klienta co najmniej 14 dni przed jej wprowadzeniem, wiadomością wysłaną na adres kontaktowy przypisany do konta. Zawiadomienie wskazuje nazwę podmiotu, zakres powierzanych mu czynności, miejsce przetwarzania oraz datę zmiany. Samo opublikowanie zmienionego wykazu nie zastępuje zawiadomienia i nie rozpoczyna biegu terminu na sprzeciw.

1. Klient może wnieść sprzeciw w terminie 14 dni od otrzymania zawiadomienia, wskazując przyczyny dotyczące ochrony danych. Strony niezwłocznie podejmują wtedy rozmowy w celu uzgodnienia rozwiązania. Jeżeli w terminie 30 dni od wniesienia sprzeciwu rozwiązanie nie zostanie uzgodnione, a Usługodawca nie odstąpi od zmiany, Klientowi przysługuje prawo wypowiedzenia usługi w zakresie objętym powierzeniem, ze skutkiem na koniec opłaconego okresu rozliczeniowego, wraz ze zwrotem opłaty za okres niewykorzystany.

1. Usługodawca nie powierza dalej całości ani istotnej części przetwarzania. Dalsze podmioty przetwarzające uczestniczą wyłącznie w zapewnieniu infrastruktury, a bieżące przetwarzanie powierzonych danych wykonuje Usługodawca samodzielnie.

1. Na każdy dalszy podmiot przetwarzający Usługodawca nakłada te same obowiązki ochrony danych, które wynikają z niniejszego załącznika, a wobec Klienta odpowiada za ich wypełnienie jak za działania własne (art. 28 ust. 4 RODO).

9. Gdzie znajdują się dane

Powierzone dane przetwarzane są wyłącznie na terytorium Rzeczypospolitej Polskiej. Serwery stanowią własność Usługodawcy i umieszczone są w dwóch odrębnych profesjonalnych centrach danych na terenie Polski: podstawowym oraz zapasowym, w którym utrzymywane są serwery kopii zapasowych. Podmiot zapewniający powierzchnię w tych obiektach zobowiązał się umownie do przetwarzania danych wyłącznie na terenie Unii Europejskiej i EOG.

Usługodawca nie przekazuje powierzonych danych poza EOG. Za przekazanie uznaje się również udostępnienie danych do wglądu z terytorium państwa trzeciego, w tym w ramach zdalnego wsparcia technicznego; czynności administracyjne wykonywane są wyłącznie z terytorium EOG. Przekazanie poza EOG wymagałoby uprzedniej zgody Klienta oraz zastosowania jednego z mechanizmów przewidzianych w rozdziale V RODO.

10. Pomoc przy żądaniach osób, których dane dotyczą

1. Usługodawca pomaga Klientowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie praw z rozdziału III RODO: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 28 ust. 3 lit. e RODO).

1. Jeżeli żądanie takiej osoby wpłynie bezpośrednio do Usługodawcy, nie realizuje go on samodzielnie. Przekazuje je Klientowi niezwłocznie, nie później niż w ciągu 2 dni roboczych od ustalenia, że dotyczy ono danych powierzonych przez tego Klienta. Osobie zgłaszającej Usługodawca wskazuje, że administratorem jej danych jest Klient.

1. Czynności techniczne niezbędne do realizacji żądania, czyli wyszukanie, przekazanie, poprawienie albo usunięcie wskazanych danych, Usługodawca wykonuje w terminie umożliwiającym Klientowi dotrzymanie miesięcznego terminu z art. 12 ust. 3 RODO. Pomoc ta mieści się w wynagrodzeniu za usługę.

11. Naruszenia ochrony danych

1. O każdym naruszeniu ochrony powierzonych danych Usługodawca zawiadamia Klienta bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia (art. 33 ust. 2 RODO), wiadomością wysłaną na adres kontaktowy przypisany do konta. Jeżeli Klient wskazał dane kontaktowe swojego inspektora ochrony danych, wiadomość kierowana jest równolegle do niego.

1. Zawiadomienie zawiera co najmniej: datę i godzinę stwierdzenia naruszenia oraz okres, w którym trwało, wskazanie usług i zasobów Klienta, których dotyczyło, opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych, w zakresie znanym Usługodawcy, opis możliwych konsekwencji, opis zastosowanych i proponowanych środków oraz punkt kontaktowy. Informacje, których nie da się podać od razu, przekazywane są sukcesywnie; zawiadomienie nie jest wstrzymywane do czasu ustalenia pełnego przebiegu zdarzenia.

1. Decyzję o zgłoszeniu naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz o zawiadomieniu osób, których dane dotyczą, podejmuje Klient. Termin 72 godzin z art. 33 ust. 1 RODO biegnie dla Klienta od chwili otrzymania zawiadomienia, o którym mowa w ustępie 1.

1. Jeżeli zdarzenie obejmuje zasoby wielu Klientów jednocześnie, zawiadomienia kierowane są indywidualnie do każdego z nich; komunikat opublikowany w serwisie może im wyłącznie towarzyszyć. Usługodawca zabezpiecza zapisy systemowe dotyczące zdarzenia i udostępnia je Klientowi na żądanie.

12. Pomoc przy pozostałych obowiązkach Klienta

Usługodawca, uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Klientowi wywiązać się z obowiązków określonych w art. 32–36 RODO, dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń organowi nadzorczemu, zawiadamiania osób, których dane dotyczą, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym (art. 28 ust. 3 lit. f RODO).

13. Co dzieje się z danymi po zakończeniu usługi

1. Po zakończeniu świadczenia usługi Usługodawca, zależnie od decyzji Klienta, zwraca mu wszystkie powierzone dane albo je usuwa, a także usuwa istniejące kopie (art. 28 ust. 3 lit. g RODO). Klient wskazuje wybrany sposób postępowania najpóźniej w dniu zakończenia usługi; przez cały okres jej trwania może samodzielnie pobrać zawartość konta.

1. Brak wskazania nie oznacza natychmiastowego usunięcia danych. Zawartość konta usuwana jest z systemów produkcyjnych po zakończeniu usługi, natomiast kopia zapasowa konta przechowywana jest jeszcze przez 6 miesięcy, po czym jest trwale usuwana. W tym okresie Klient może wystąpić o odtworzenie danych; po jego upływie odtworzenie nie jest możliwe.

1. Dane utrwalone w bieżących kopiach zapasowych usuwane są wraz z upływem cyklu ich nadpisywania, nie później niż w ciągu 7 dni dla kopii dobowych oraz z chwilą wykonania kolejnej kopii miesięcznej. W okresie tym dane nie podlegają żadnemu aktywnemu przetwarzaniu.

1. Obowiązek usunięcia nie obejmuje zapisów systemowych prowadzonych przez Usługodawcę we własnym celu, dla zapewnienia bezpieczeństwa i utrzymania własnej infrastruktury oraz dla wykazania należytego wykonania umowy. Wobec tych zapisów Usługodawca występuje jako odrębny administrator; nie stanowią one danych powierzonych. Zapisy dostępowe przechowywane są przez 12 miesięcy (logi www), a zapisy operacji na koncie przez 3 lata; zapisy objęte toczącym się postępowaniem przechowywane są do jego prawomocnego zakończenia.

1. Ustępy 1–3 nie mają zastosowania w zakresie, w jakim prawo Unii lub prawo polskie nakazuje przechowywanie danych. W takim przypadku Usługodawca wskazuje Klientowi podstawę prawną oraz okres dalszego przechowywania, przetwarza dane wyłącznie w celu wynikającym z tego obowiązku i zapewnia im ochronę zgodną z punktem 7.

1. Wykonanie obowiązku Usługodawca potwierdza Klientowi pocztą elektroniczną na jego żądanie.

14. Informacje, kontrola i audyt

1. Usługodawca udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia mu, albo upoważnionemu przez niego audytorowi, przeprowadzenie audytu, w tym inspekcji (art. 28 ust. 3 lit. h RODO).

1. Na żądanie Usługodawca udostępnia, nie później niż w terminie 30 dni, a w sprawach związanych z naruszeniem ochrony danych niezwłocznie: rejestr kategorii czynności przetwarzania prowadzony w imieniu Klienta, opis stosowanych zabezpieczeń w postaci wyciągu, o którym mowa w punkcie 7 ust. 2, wykaz dalszych podmiotów przetwarzających wraz z miejscem przetwarzania oraz odpowiedź na ankietę bezpieczeństwa.

1. Audyt na miejscu odbywa się po zawiadomieniu z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku kalendarzowym, w godzinach pracy Usługodawcy i w sposób nieutrudniający jego bieżącej działalności. Ograniczenia te nie obowiązują, jeżeli doszło do naruszenia ochrony danych powierzonych przez Klienta albo istnieje uzasadnione podejrzenie naruszenia niniejszych warunków. Audyt nie obejmuje danych innych Klientów korzystających z tej samej infrastruktury ani informacji stanowiących tajemnicę przedsiębiorstwa Usługodawcy niezwiązanych z powierzeniem; osoby przeprowadzające audyt zobowiązane są do zachowania poufności.

1. Inspekcja centrum danych odbywa się na zasadach określonych przez podmiot prowadzący ten obiekt. Usługodawca występuje do niego z wnioskiem Klienta i przekazuje Klientowi stanowisko obiektu; nie może natomiast samodzielnie udzielić wstępu do cudzych pomieszczeń.

1. Koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie niniejszych warunków lub przepisów o ochronie danych. Wówczas ponosi je Usługodawca. Stwierdzone uchybienia Usługodawca usuwa w terminie uzgodnionym przez strony, nie dłuższym niż 30 dni.

1. Zamiast audytu na miejscu strony mogą uzgodnić przedstawienie wypełnionej ankiety bezpieczeństwa albo aktualnego raportu z audytu przeprowadzonego przez niezależny podmiot. Nie wyłącza to obowiązku udostępnienia informacji, o którym mowa w ustępie 2.

1. Postanowienia niniejszego punktu porządkują sposób wykonywania uprawnienia z art. 28 ust. 3 lit. h RODO i nie ograniczają jego zakresu; w razie wątpliwości co do ich wykładni pierwszeństwo ma treść przepisu.

15. Obowiązki i prawa Klienta

1. Klient oświadcza, że jest administratorem powierzonych danych i że dysponuje podstawą prawną ich przetwarzania, w tym, jeżeli umieszcza w zasobach dane wskazane w punkcie 4 ust. 4, podstawą wynikającą odpowiednio z art. 9 ust. 2 albo art. 10 RODO.

1. Klient odpowiada za zgodność z prawem przetwarzania, które sam prowadzi na powierzonej infrastrukturze, w tym za zakres i prawidłowość umieszczanych tam danych, oraz wykonuje obowiązek informacyjny wobec osób, których dane umieszcza (art. 13 i art. 14 RODO).

1. Klient samodzielnie zarządza uprawnieniami w obrębie własnego konta (zakłada, zmienia i usuwa konta dostępowe, skrzynki pocztowe i bazy danych) oraz odpowiada za nadanie dostępu wyłącznie osobom uprawnionym i za bezpieczeństwo własnych danych uwierzytelniających.

1. Klient odpowiada za bezpieczeństwo oprogramowania, które sam instaluje i utrzymuje na powierzonej infrastrukturze, w tym za jego aktualizowanie. Usługodawca odpowiada za bezpieczeństwo warstwy, którą sam utrzymuje.

1. Klientowi przysługuje: prawo wydawania Usługodawcy wiążących poleceń w sposób umożliwiający ich udokumentowanie, prawo do informacji i audytu na zasadach z punktu 14, prawo do informacji o dalszych podmiotach przetwarzających i sprzeciwu na zasadach z punktu 8 oraz prawo decyzji o zwrocie albo usunięciu danych na zasadach z punktu 13.

1. Klient utrzymuje aktualny adres kontaktowy przypisany do konta. To na ten adres kierowane są zawiadomienia o naruszeniach ochrony danych oraz informacje o zmianach wykazu dalszych podmiotów przetwarzających. Jeżeli Klient wyznaczył inspektora ochrony danych, wskazuje jego dane kontaktowe.

16. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone drugiej stronie oraz osobom, których dane dotyczą, wskutek niewykonania lub nienależytego wykonania niniejszych warunków oraz naruszenia przepisów RODO.

1. Usługodawca nie odpowiada za skutki przetwarzania prowadzonego przez Klienta na powierzonej infrastrukturze, w tym za zgodność z prawem umieszczanych tam danych, ani za następstwa działań osób, którym Klient udostępnił dostęp do własnego konta.

1. Jeżeli Usługodawca naruszy niniejsze warunki przy określaniu celów i sposobów przetwarzania, uznaje się go, zgodnie z art. 28 ust. 10 RODO, za administratora w odniesieniu do tego przetwarzania, ze wszystkimi wynikającymi z tego obowiązkami i odpowiedzialnością.

1. Postanowienia niniejszego punktu nie ograniczają odpowiedzialności stron wobec osób, których dane dotyczą, wynikającej z art. 82 RODO.

17. Postanowienia końcowe

1. Forma. Przyjęcie Regulaminu wraz z niniejszym załącznikiem stanowi zawarcie umowy powierzenia w formie elektronicznej (art. 28 ust. 9 RODO). Usługodawca odnotowuje, którą wersję załącznika i w jakiej dacie Klient przyjął.

1. Zmiana załącznika następuje w trybie zmiany Regulaminu, z powiadomieniem Klienta z wyprzedzeniem i z możliwością rezygnacji z usługi. Każda zmiana treści oznacza nowy numer wersji i nową datę.

1. Pierwszeństwo odrębnej umowy. Jeżeli Klient zawarł z Usługodawcą odrębną umowę powierzenia przetwarzania danych osobowych, w sprawach objętych tą umową stosuje się jej postanowienia, a niniejszy załącznik wyłącznie w zakresie w niej nieuregulowanym. Klient, który chce zawrzeć taką umowę, występuje o nią na adres biuro@ehost.pl.

1. Pierwszeństwo przed regulaminem. W razie sprzeczności między niniejszym załącznikiem a pozostałą treścią Regulaminu, w sprawach ochrony danych osobowych rozstrzyga niniejszy załącznik.

1. Poufność. Usługodawca zachowuje w tajemnicy powierzone dane oraz informacje o sposobach ich zabezpieczenia, również po zakończeniu świadczenia usługi. Klient zachowuje w tajemnicy informacje o zabezpieczeniach udostępnione mu na podstawie punktów 7 i 14 i nie przekazuje ich osobom trzecim poza audytorem działającym na jego zlecenie i zobowiązanym do zachowania poufności.

1. Rozwiązanie. Zakończenie świadczenia usługi kończy powierzenie, z zastrzeżeniem obowiązków opisanych w punkcie 13; zobowiązanie do zachowania poufności obowiązuje bezterminowo.

1. Kontakt w sprawach ochrony danych: biuro@ehost.pl, tel. 503 801 800. Na ten adres kieruje się żądania osób, których dane dotyczą, zgłoszenia dotyczące bezpieczeństwa oraz wystąpienia o dokumenty wskazane w punkcie 14 ust. 2.

1. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.