Niniejsza umowa powierzenia przetwarzania danych („Umowa”) zostaje zawarta między Klientem (administratorem — nazwa firmy i duński numer CVR uzupełniane są przy rejestracji) a WEAKESTLINK ApS (CVR 46614011), prowadzącym serwis weakestlink („Dostawca”, podmiot przetwarzający). Umowa jest akceptowana elektronicznie przy zakładaniu konta i reguluje przetwarzanie danych osobowych przez Dostawcę w imieniu Klienta w związku ze szkoleniami z zakresu bezpieczeństwa i symulacjami phishingu. W kwestiach dotyczących przetwarzania danych niniejsza Umowa ma pierwszeństwo przed warunkami handlowymi; we wszystkich pozostałych kwestiach obowiązują warunki handlowe.

1. Przedmiot i instrukcje

Dostawca przetwarza dane osobowe wyłącznie na udokumentowane instrukcje Klienta — niniejsza Umowa wraz z załącznikami oraz bieżące korzystanie z usługi (Załącznik A) — chyba że prawo UE lub prawo duńskie stanowi inaczej; w takim przypadku Dostawca informuje Klienta o takim wymogu przed przetwarzaniem, chyba że przepisy tego zabraniają. Instrukcje obejmują również upoważnienie Dostawcy do opracowywania statystyk w formie zanonimizowanej i zagregowanej, zgodnie z opisem w warunkach handlowych; po anonimizacji dane przestają być danymi osobowymi. Dostawca informuje Klienta, jeśli w jego ocenie dana instrukcja narusza przepisy o ochronie danych, i nie przekazuje danych do państw trzecich poza wskazanymi w Załączniku B bez ważnej podstawy przekazania.

2. Poufność

Dostawca zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3. Bezpieczeństwo (art. 32)

Dostawca wdraża odpowiednie środki techniczne i organizacyjne (Załącznik C). Kluczową zasadą jest minimalizacja danych: w symulacjach phishingu rejestrowany jest wyłącznie fakt wystąpienia zdarzenia (otwarcie/kliknięcie/wprowadzenie danych) oraz nazwy pól — nigdy wartości wpisywane przez pracownika.

4. Dalsze podmioty przetwarzające

Klient udziela ogólnej uprzedniej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku B. Dostawca nakłada na każdy dalszy podmiot przetwarzający te same obowiązki dotyczące ochrony danych, jakie wynikają z niniejszej Umowy, oraz informuje o planowanych zmianach pocztą elektroniczną z co najmniej 30-dniowym wyprzedzeniem, umożliwiając Klientowi zgłoszenie sprzeciwu. Jeśli sprzeciwu nie da się rozwiązać w rozsądny sposób, Klient może rozwiązać umowę ze skutkiem od dnia wejścia zmiany w życie. Dostawca ponosi pełną odpowiedzialność za przestrzeganie przepisów przez dalsze podmioty przetwarzające.

5. Pomoc dla Klienta

Dostawca, uwzględniając charakter przetwarzania oraz stosując odpowiednie środki techniczne i organizacyjne, pomaga Klientowi w odpowiadaniu na wnioski dotyczące praw osób, których dane dotyczą (art. 12–23), oraz w wypełnianiu obowiązków Klienta wynikających z art. 32–36 (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków i uprzednie konsultacje). Usługa zawiera gotową analizę równowagi interesów oraz tekst informacyjny dla pracowników, z których Klient może korzystać bezpośrednio. Pomoc wykraczająca istotnie poza zakres standardowo zapewniany przez usługę może być rozliczana według faktycznie poświęconego czasu, w rozsądnej stawce.

6. Naruszenie ochrony danych osobowych

Dostawca informuje Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od powzięcia wiadomości o naruszeniu dotyczącym danych Klienta — wraz z opisem charakteru naruszenia, kategorii i przybliżonej liczby osób, których dane dotyczą, prawdopodobnych konsekwencji oraz podjętych lub proponowanych środków zaradczych. Ocena, czy naruszenie wymaga zgłoszenia do Datatilsynet (duńskiego organu nadzorczego, w terminie 72 godzin), należy do Klienta jako administratora.

7. Usunięcie i zwrot danych

Z chwilą rozwiązania Umowy Dostawca, według wyboru Klienta, usuwa lub zwraca wszystkie dane osobowe. Zwrot następuje w formie eksportu w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (np. CSV). Jeżeli Klient nie wskaże swojego wyboru najpóźniej w dniu rozwiązania Umowy, dane zostają usunięte. W przypadku wypowiedzenia Umowy przez Klienta dane osobowe są usuwane po upływie 30 dni od wypowiedzenia lub niezwłocznie na żądanie Klienta; do tego czasu Klient może cofnąć wypowiedzenie i pobrać eksport. Usunięcie następuje w każdym przypadku najpóźniej 90 dni po rozwiązaniu Umowy i jest nieodwracalne; jeżeli współpraca ustaje z powodu pozostawania konta w trybie ograniczonym (zob. sekcja 4 warunków handlowych), Klient jest powiadamiany o usunięciu pocztą e-mail z co najmniej 30-dniowym wyprzedzeniem i do chwili usunięcia może wybrać zwrot danych. Dane osobowe w kopiach zapasowych są usuwane w ramach ich bieżącej rotacji, najpóźniej 90 dni po usunięciu ze środowiska produkcyjnego. Dane, których przechowywanie jest wymagane przepisami prawa (np. dokumentacja księgowa), są przechowywane wyłącznie przez czas trwania tego obowiązku.

8. Audyt i nadzór

Dostawca udostępnia Klientowi wszelkie informacje niezbędne do wykazania zgodności z art. 28 oraz umożliwia i wspiera przeprowadzanie audytów, w tym inspekcji, przez Klienta lub upoważnionego przez niego audytora. Aktualne opisy i raporty dotyczące bezpieczeństwa mogą zastąpić fizyczną inspekcję, gdy jest to zasadne. Fizyczny audyt przeprowadzany jest z odpowiednim wyprzedzeniem, nie częściej niż raz w roku — chyba że naruszenie lub wymóg organu nadzorczego uzasadnia inny tryb — i na koszt Klienta.

9. Okres obowiązywania i zakończenie

Umowa obowiązuje tak długo, jak Dostawca przetwarza dane osobowe w imieniu Klienta, i wygasa automatycznie wraz z zakończeniem współpracy z klientem — w tym w przypadku, gdy współpraca uznawana jest za zakończoną po długotrwałym stanie ograniczonym konta, zgodnie z warunkami handlowymi — po czym zastosowanie ma rozdział 7.

10. Odpowiedzialność i prawo właściwe

Wobec osób, których dane dotyczą, odpowiedzialność stron kształtowana jest zgodnie z art. 82 RODO. We wzajemnych relacjach między stronami obowiązuje regulacja odpowiedzialności zawarta w warunkach handlowych, w zakresie dopuszczalnym przez obowiązujące prawo. Umowa podlega prawu duńskiemu, a właściwość sądów określają warunki handlowe.

Załącznik A — Charakter przetwarzania

Załącznik B — Dalsi podprzetwarzający

Hosting odbywa się na własnej infrastrukturze Dostawcy w Danii. Wiadomości symulacyjne są wysyłane z własnych systemów Dostawcy, bez udziału dodatkowych dalszych podmiotów przetwarzających.

Dla jasności: treści szkoleniowe i symulacyjne generowane przez AI są tworzone bez wykorzystania danych osobowych — dostawca AI nie jest zatem dalszym podmiotem przetwarzającym. Obsługę płatności zapewniają QuickPay i Clearhaus jako samodzielni administratorzy danych (bramka płatnicza i agent rozliczeniowy), co opisano w polityce prywatności.

Załącznik C — Środki techniczne i organizacyjne (art. 32)

• Rozdzielenie danych klientów (multi-tenancy): ścisła izolacja najemców na poziomie aplikacji; dane jednego klienta są niedostępne dla innych klientów.
• Zarządzanie dostępem: kontrola dostępu oparta na rolach (RBAC) zgodnie z zasadą najmniejszych uprawnień; indywidualne konta; brak współdzielonych loginów.
• Szyfrowanie: TLS podczas transmisji; szyfrowanie kopii zapasowych.
• Minimalizacja danych: symulacje zapisują tylko zdarzenie i nazwy pól, nigdy wprowadzone wartości; raporty są zbiorcze (minimalna wielkość grupy, k ≥ 5), a wyniki indywidualne są ograniczone według ról (tylko administrator; kierownicy wyłącznie z wyboru Klienta).
• Rejestrowanie i audyt: dziennik zdarzeń istotnych dla bezpieczeństwa; ścieżka audytu w trybie tylko do zapisu (append-only).
• Nagłówki bezpieczeństwa/CSP: restrykcyjna Content-Security-Policy oraz inne nagłówki bezpieczeństwa na wszystkich stronach.
• Reagowanie na incydenty: procedura zgłaszania naruszeń z powiadomieniem Klienta w ciągu 48 godzin (punkt 6).
• Usuwanie: zautomatyzowany proces po rozwiązaniu Umowy — w przypadku wypowiedzenia przez Klienta usunięcie po upływie 30 dni od wypowiedzenia (lub niezwłocznie na żądanie); po okresie w trybie ograniczonym powiadomienie po 60 dniach i usunięcie po 90 dniach, nigdy bez co najmniej 30-dniowego uprzedzenia; w pozostałych przypadkach usunięcie/zwrot najpóźniej 90 dni po rozwiązaniu Umowy (sekcja 7).

Jeśli potrzebujecie Państwo podpisanej wersji do własnego archiwum, prosimy o kontakt: info@weakestlink.io.