Definicje

Umowa – kontrakt w przedmiocie świadczenia Usług zawierany pomiędzy Operatorem a Kontrahentem na zasadach i w trybie określonym w Regulaminie.
Regulamin – niniejszy dokument wraz z załącznikami.
Strona – Operator lub Kontrahent.
Operator – Glasson International Spółka z Ograniczoną Odpowiedzialnością z siedzibą: ul. 3-go Maja 17 lok. 3, 40-095 Katowice, NIP: 5771983931, REGON: 368530968.
Usługi – narzędzia wspierające prowadzenie działalności optycznej przez Kontrahenta, udostępnione w Serwisie przez Operatora na warunkach niniejszego Regulaminu.
Serwis – narzędzie SaaS (software as a service / oprogramowanie jako usługa) udostępniane przez Operatora pod adresami: www.glasson.pl.
Kontrahent – osoba fizyczna prowadząca działalność gospodarczą, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, której ustawa przyznaje zdolność prawną, będąca optykiem lub prowadząca działalność optyczną, zlecająca Operatorowi świadczenie Usług.
Konto Kontrahenta (dalej także jako „Konto”) – wyodrębniona część Serwisu zawierająca zbiór informacji dotyczących Kontrahenta, umożliwiająca korzystanie przez Kontrahenta z Usług.
Klient – podmiot korzystający z usług Kontrahenta.
Rejestracja – wypełnienie przez Kontrahenta elektronicznego formularza znajdującego się w Serwisie poprzez podanie wskazanych w formularzu danych, złożenie oświadczeń dotyczących prowadzonej działalności oraz przesłanie ich Operatorowi za pomocą dostępnej w formularzu opcji. Rejestracja wymaga uruchomienia linku aktywacyjnego przesłanego na adres poczty elektronicznej podany w formularzu rejestracyjnym. Dokonanie Rejestracji skutkuje utworzeniem Konta Kontrahenta oraz rozpoczęciem Okresu Próbnego.
Opłata – wynagrodzenie z tytułu korzystania z danego Planu Abonamentowego oraz dodatkowych funkcjonalności włączonych przez Kontrahenta, dostępnych za pośrednictwem Serwisu. Opłata uiszczana jest przelewem bankowym lub poprzez system płatności elektronicznych, po wystawieniu przez Operatora dokumentu księgowego. Opłata płatna jest z góry, chyba że Tabela Opłat stanowi inaczej.
Okres Rozliczeniowy – przedział czasu od pierwszego do ostatniego dnia miesiąca kalendarzowego.
Niepełny Okres Rozliczeniowy – przedział czasu od innego dnia niż pierwszy dzień miesiąca kalendarzowego do ostatniego dnia miesiąca kalendarzowego.
Okres Próbny – siedem dni kalendarzowych licząc od dnia uzyskania pełnej funkcjonalności Konta Kontrahenta, w których Kontrahent może korzystać z Usług bez konieczności wnoszenia Opłat.
Plan Abonamentowy (dalej także jako „Plan”) – zakres Usług świadczony przez Operatora (w zależności od wybranego przez Kontrahenta rodzaju Planu, zgodnie z Tabelą Opłat).
Tabela Opłat – integralna część Regulaminu stanowiąca Załącznik nr I, zawierająca informacje o wysokości Opłat oraz terminie ich realizacji.
Warunki Przetwarzania Danych Osobowych / Warunki Przetwarzania – integralna część Regulaminu stanowiąca Załącznik nr II, będąca umową powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO.
Zablokowanie Konta (dalej także jako „Blokada Konta”) – uniemożliwienie Kontrahentowi korzystania z Konta z przyczyn wskazanych w Regulaminie.
RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
Pomoc Techniczna – wsparcie Kontrahenta w zakresie obsługi Konta Kontrahenta.
Siła wyższa – zdarzenia spowodowane przyczynami, których nie można było przewidzieć i na które Operator nie miał wpływu, w szczególności: klęski żywiołowe, wojny, zamieszki.
Dzień roboczy – dni od poniedziałku do piątku z wyłączeniem sobót i niedziel oraz dni ustawowo wolnych od pracy.

§ 1. Postanowienia ogólne

Zawarcie Umowy następuje poprzez dokonanie Rejestracji oraz akceptację niniejszego Regulaminu.
Regulamin określa zasady korzystania przez Kontrahentów z Serwisu.
Pełna funkcjonalność Konta Kontrahenta zostaje uruchomiona po weryfikacji poprawności danych wskazanych przez Kontrahenta w trakcie Rejestracji, co nastąpi w terminie do 2 Dni roboczych od dokonania Rejestracji.

§ 2. Prawa i obowiązki Kontrahenta

Kontrahent jest dysponentem danych, jakie wprowadził w zakresie Konta.
Kontrahent ma prawo do bezpłatnej Pomocy Technicznej telefonicznie pod numerem telefonu podanym w zakresie Serwisu oraz w godzinach tam wskazanych.
Kontrahent zobowiązany jest do:
a) podania prawdziwych i kompletnych danych w trakcie Rejestracji oraz zamawiania Usług,
b) terminowego regulowania Opłat,
c) niezwłocznej aktualizacji danych Kontrahenta w przypadku ich zmiany.
Kontrahent oświadcza, że dane zamieszczane w zakresie Konta są zgodne ze stanem faktycznym.
Kontrahent nie może dostarczać w zakresie Serwisu oraz Konta Kontrahenta treści o charakterze bezprawnym.

§ 3. Blokada Konta Kontrahenta

Operator zastrzega sobie prawo do Zablokowania Konta Kontrahenta w przypadku:
a) naruszenia przez Kontrahenta niniejszego Regulaminu,
b) używania Konta w sposób niezgodny z obowiązującym prawem lub w sposób naruszający dobre obyczaje,
c) powzięcia przez Operatora uzasadnionych wątpliwości co do prawdziwości danych wskazanych podczas Rejestracji,
d) wystąpienia innych okoliczności wskazanych wprost w Regulaminie.
Kontrahent jest informowany o Blokadzie Konta bezpośrednio po jej dokonaniu:
– za pomocą komunikatu w Koncie Kontrahenta oraz
– poprzez wiadomość e-mail na adres podany podczas Rejestracji.

§ 4. Zamawianie i świadczenie Usług

Podczas procesu Rejestracji wymagane jest zapoznanie się i akceptacja Regulaminu przez Kontrahenta.
W Okresie Próbnym oraz po jego zakończeniu Kontrahent może złożyć zamówienie na świadczenie Usług. Celem złożenia zamówienia należy wypełnić formularz zamówienia dostępny w Koncie.
Po Okresie Próbnym Konto Kontrahenta zostanie Zablokowane do czasu złożenia zamówienia na świadczenie Usług.
W przypadku, gdy Kontrahent nie opłaci złożonego zamówienia lub nie ureguluje Opłat w terminie wskazanym w dokumencie księgowym, pomimo wezwania przez Operatora (mailowo oraz komunikatem w Koncie) do realizacji płatności w dodatkowym 7-dniowym terminie, Konto Kontrahenta zostanie Zablokowane do czasu opłacenia zamówienia lub uregulowania Opłat.
Opłata winna być uiszczona w terminie 7 (siedmiu) dni od dnia wystawienia dokumentu księgowego.
Kontrahent wyraża zgodę na wystawianie i przesyłanie faktur drogą elektroniczną na adres e-mail podany podczas Rejestracji.
W czasie trwania Umowy Kontrahent może zmienić Plan Abonamentowy z zastrzeżeniem, iż wybór Planu o niższej cenie nie skutkuje obowiązkiem zwrotu przez Operatora już uiszczonych Opłat. Zmiana Planu zostaje wprowadzona z chwilą dokonania jej przez Kontrahenta w Koncie.
Rozliczenie należności z tytułu zmiany Planu w przypadku wybrania Planu o wyższej cenie zostanie dokonane zgodnie z Tabelą Opłat, proporcjonalnie do okresu, w jakim Kontrahent korzystał z poszczególnych Planów.
Operator zastrzega, iż czas aktualizacji Serwisu (w szczególności w zakresie zmian w ofercie producentów i dystrybutorów soczewek okularowych) wynosi 7 dni roboczych od dnia publikacji przez nich nowej oferty.

§ 5. Wypowiedzenie Umowy

Kontrahent jest uprawniony do wypowiedzenia Umowy w każdym czasie. Wypowiedzenie może być dokonane:
a) pisemnie na adres Operatora,
b) pocztą elektroniczną,
c) za pomocą funkcjonalności dostępnej w Koncie Kontrahenta.
Wypowiedzenie Umowy nie skutkuje koniecznością zwrotu przez Operatora uiszczonych już Opłat.
W przypadku wypowiedzenia Umowy przez Kontrahenta, na jego wniosek złożony e-mailowo lub poprzez formularz kontaktowy dostępny w Koncie, Konto Kontrahenta zostaje zamienione na Konto w wersji demonstracyjnej na okres 24 miesięcy. Po tym czasie, w przypadku braku ponownego aktywowania Konta, Konto zostaje usunięte. Do czasu usunięcia Konta dane związane z Kontem podlegają retencji u Operatora. Usunięcie Konta może również zostać zrealizowane na wyraźny wniosek Kontrahenta (złożony wraz z wypowiedzeniem, w trakcie okresu wypowiedzenia lub po jego zakończeniu).
Brak wypowiedzenia Umowy skutkuje automatycznym przedłużeniem ważności Konta (zawarciem nowej Umowy) zgodnie z Planem Abonamentowym. W razie braku dostępności dotychczasowego Planu, Kontrahentowi zostanie przypisany Plan najbardziej zbliżony (wg kryterium kosztu), na co Kontrahent wyraża zgodę.
Operator może rozwiązać Umowę bez podania przyczyny z zachowaniem 30-dniowego okresu wypowiedzenia na koniec miesiąca kalendarzowego.
Operator może rozwiązać Umowę bez zachowania okresu wypowiedzenia, jeżeli przyczyny Blokady, o których mowa w § 4 ust. 1, nie ustaną w terminie 30 dni od jej dokonania.
W przypadku braku akceptacji zmian Regulaminu, Umowa wygasa wraz z upływem 14 dni przewidzianych na dokonanie akceptacji.

§ 6. Dane Kontrahenta

Administratorem danych osobowych Kontrahentów jest Operator: Glasson International Sp. z o.o., ul. 3-go Maja 17 lok. 3, 40-095 Katowice, NIP: 5771983931, REGON: 368530968. Operator może przetwarzać następujące dane osobowe Kontrahenta: imię i nazwisko, adres, numer telefonu, adres e-mail.
Dane osobowe są przetwarzane w celu wykonania Umowy oraz marketingu bezpośredniego własnych produktów lub usług Operatora, zgodnie z przepisami prawa.
Kontrahent ma prawo dostępu do treści swoich danych osobowych oraz ich poprawiania.
Podanie danych osobowych jest dobrowolne, jednak może się okazać niezbędne do świadczenia Usług.
Operator nie jest administratorem danych osobowych wprowadzonych przez Kontrahenta w zakresie Konta Kontrahenta.
Kontrahent jest administratorem danych Klientów wprowadzonych w Koncie Kontrahenta i oświadcza, że przetwarza je zgodnie z przepisami prawa (w tym posiada zgody Klientów lub inną podstawę prawną). Szczegółowe zasady przetwarzania danych reguluje Załącznik nr II.

§ 7. Prawa na dobrach niematerialnych

Wszelkie materiały udostępniane w Serwisie oraz sposób ich przedstawienia (układ) korzystają z ochrony prawa autorskiego i praw pokrewnych (t.j. Dz. U. z 2025 r. poz. 24) lub prawa własności przemysłowej (t.j. Dz.U. z 2023 r. poz. 1170) i przysługują Operatorowi, chyba że co innego wyraźnie wynika z ich treści.
Kontrahent jest uprawniony do korzystania z Usług przez czas trwania Umowy wyłącznie w zakresie funkcjonalności udostępnionych przez Operatora, zgodnie ze złożonym zamówieniem. Kontrahent nie uzyskuje praw (w tym własności intelektualnej) ponad te wyraźnie określone Umową; w szczególności nie jest uprawniony do uzyskania plików źródłowych.
Operator ma prawo opublikować adres strony internetowej oraz logo/znak towarowy Kontrahenta na liście referencyjnej w Serwisie. Kontrahent udziela nieodpłatnego zezwolenia na korzystanie z tych oznaczeń w tym zakresie przez czas nieokreślony i oświadcza, że jest uprawniony do udzielenia takiego upoważnienia. Kontrahent może odwołać zgodę oświadczeniem e-mail wysłanym z adresu podanego podczas Rejestracji.

§ 8. Odpowiedzialność

Operator ponosi odpowiedzialność za szkody wyłącznie z jego winy umyślnej oraz rażącego niedbalstwa. Odpowiedzialność Operatora jest ograniczona do wysokości trzykrotności miesięcznej Opłaty Abonamentowej.
Odpowiedzialność Operatora za przerwy lub utrudnienia w korzystaniu z Usługi jest wyłączona, jeżeli wystąpi:
a) potrzeba naprawy/modyfikacji/konserwacji sprzętu lub oprogramowania, o ile łączna przerwa nie przekracza 48 godzin w Okresie Rozliczeniowym,
b) okoliczność niezależna od Operatora (np. Siła wyższa, działanie osoby trzeciej, działanie Kontrahenta),
c) błąd lub opóźnienie w transmisji, chyba że do nich doszło z winy Operatora.
Kontrahent zobowiązuje się pokryć wszelkie szkody wynikłe z niezgodnego z prawem, Regulaminem lub zwyczajem działania lub zaniechania Kontrahenta (straty oraz utracone korzyści).
Odpowiedzialność związana z przetwarzaniem danych osobowych została uregulowana w Załączniku nr II.

§ 9. Warunki techniczne

W celu prawidłowego korzystania z Serwisu oraz Usług niezbędny jest:
a) komputer z dostępem do Internetu, wyposażony w aktualną przeglądarkę internetową, lub
b) urządzenie mobilne (smartphone/tablet lub inne) z dostępem do Internetu, wyposażone w aktualną przeglądarkę internetową.
Operator zastrzega sobie prawo do prowadzenia prac konserwacyjnych i aktualizacyjnych w Serwisie. Operator dołoży starań, aby prace były realizowane w możliwie najkrótszym terminie.

§ 10. Reklamacje

Kontrahent ma prawo w każdym czasie złożyć reklamację dotyczącą korzystania z Serwisu.
Reklamacje należy składać:
a) e-mail: biuro@glasson.pl, lub
b) poprzez formularz kontaktowy dostępny w Koncie.
Reklamacja powinna zawierać: nazwę Kontrahenta, adres e-mail do odpowiedzi oraz opis przedmiotu reklamacji.
Operator rozpatruje reklamację w terminie 10 dni roboczych, chyba że Kontrahent nie opisał reklamacji w sposób umożliwiający jej rozpatrzenie lub nie podał danych identyfikacyjnych. W takim przypadku termin biegnie od dnia dostarczenia brakujących informacji.
Odpowiedź na reklamację Operator kieruje na adres e-mail wskazany przez Kontrahenta.

§ 11. Postanowienia końcowe

Operator zastrzega sobie prawo do dokonywania zmian w Regulaminie. Operator informuje Kontrahenta e-mailowo oraz w Koncie co najmniej 14 dni przed wejściem zmian w życie. Korzystanie z Serwisu po dacie wejścia zmian wymaga akceptacji nowych warunków.
Zmiana Tabeli Opłat nie wpływa na ceny Usług już opłaconych.
Nieważność lub nieskuteczność poszczególnych postanowień nie wpływa na ważność pozostałych postanowień Umowy.
Informacje dotyczące Umowy stanowią tajemnicę przedsiębiorstwa Operatora w rozumieniu ustawy o zwalczaniu nieuczciwej konkurencji (t.j. Dz. U. z 2022 r. poz. 1233).
Spory wynikające z Regulaminu będą rozstrzygane przez sąd powszechny właściwy dla siedziby Operatora.
Umowa podlega prawu polskiemu.
Załączniki stanowią integralną część Umowy.

ZAŁĄCZNIK NR I — TABELA OPŁAT

Link do Tabeli Opłat:
Tabela Opłat
Opłaty stanowią kwoty netto, do których należy doliczyć podatek VAT w aktualnie obowiązującej stawce.
W zależności od wybranego Planu Abonamentowego Kontrahent jest uprawniony do korzystania z urządzeń uprzednio autoryzowanych przez Operatora w liczbie:
– gabinet – 1 urządzenie,
– salon+ – 2 urządzenia,
– sieć – 2 urządzenia na salon.

ZAŁĄCZNIK NR II — WARUNKI POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

I. Postanowienia ogólne i role stron

Niniejsze Warunki powierzenia przetwarzania danych osobowych (Warunki) stanowią umowę powierzenia w rozumieniu art. 28 RODO, zawartą pomiędzy:
a) Kontrahentem – jako administratorem danych (Administrator), oraz
b) Glasson International sp. z o.o. – jako podmiotem przetwarzającym (Procesor).
Strony potwierdzają, że:
a) Administrator samodzielnie określa cele i sposoby przetwarzania danych osobowych i odpowiada za zgodność przetwarzania z RODO i przepisami krajowymi,
b) Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, na warunkach określonych w niniejszych Warunkach.

II. Przedmiot, charakter, cel, zakres i czas trwania przetwarzania

Przedmiotem powierzenia jest przetwarzanie danych osobowych w związku ze świadczeniem przez Procesora usług SaaS opisanych w Regulaminie (Usługi).
Charakter przetwarzania obejmuje w szczególności: zbieranie, utrwalanie, organizowanie, przechowywanie, przeglądanie, wykorzystywanie, udostępnianie na żądanie Administratora, ograniczanie, usuwanie i niszczenie – w niezbędnym zakresie do świadczenia Usług.
Celem przetwarzania jest umożliwienie Administratorowi korzystania z Usług, w tym zarządzania relacjami z klientami Administratora, umawiania wizyt, obsługi zleceń, rozliczeń oraz funkcji analitycznych i archiwizacyjnych, o ile są dostępne w ramach Usług.
Kategorie osób, których dane dotyczą: klienci Administratora (w tym pacjenci/klienci salonów optycznych), pracownicy i współpracownicy Administratora, inne osoby, których dane Administrator wprowadza do Systemu.
Rodzaje danych: dane identyfikacyjne i kontaktowe (np. imię, nazwisko, adres, e-mail, telefon, data urodzenia), dane dot. wizyt (termin, rodzaj wizyty, opis wizyty), informacje o modelach oprawek, mocy oraz typie szkieł, dane pracownicze niezbędne do obsługi kont i uprawnień w Systemie; w zakresie zależnym od instrukcji Administratora i wykorzystywanych funkcji. Dane szczególnej kategorii (art. 9 RODO), w szczególności dotyczące zdrowia, mogą być przetwarzane, jeżeli Administrator tak zdecyduje oraz zapewni podstawę z art. 9 ust. 2 RODO.
Czas trwania przetwarzania: przez okres obowiązywania Umowy oraz dodatkowo przez okres niezbędny do realizacji obowiązków wynikających z prawa lub uzgodnionych czynności zakończeniowych (zwrot/usunięcie danych).

III. Instrukcje Administratora i zgodność z prawem

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państw trzecich lub organizacji międzynarodowych, chyba że obowiązek taki nakłada prawo Unii lub prawa państwa członkowskiego – w takim przypadku Procesor informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania takiego poinformowania.
Jeżeli polecenie Administratora narusza RODO lub inne przepisy o ochronie danych, Procesor niezwłocznie poinformuje o tym Administratora przed wykonaniem instrukcji, wskazując zakres i istotę zastrzeżeń.

IV. Poufność i upoważnienia personelu

Do przetwarzania danych po stronie Procesora dopuszczone będą wyłącznie osoby posiadające stosowne upoważnienia i zobowiązane do zachowania poufności (umownie lub na mocy przepisów prawa), przeszkolone w zakresie ochrony danych i zobowiązane do przestrzegania wewnętrznych polityk bezpieczeństwa.
Zobowiązanie do zachowania poufności obowiązuje także po ustaniu niniejszych Warunków.

V. Środki techniczne i organizacyjne (TOM)

Uwzględniając stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, Procesor wdrożył i utrzymuje odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku, o którym mowa w art. 32 RODO.
Minimalny katalog TOM obejmuje: szyfrowanie danych w tranzycie i – o ile to możliwe – w spoczynku; kontrolę dostępu opartą o role (RBAC) i zasadę niezbędnej wiedzy (need-to-know); uwierzytelnianie wieloskładnikowe dla dostępu administracyjnego; segmentację i logiczną separację danych; rejestrowanie i monitorowanie zdarzeń; zarządzanie podatnościami i aktualizacje; SSDLC, w tym testy statyczne i dynamiczne; kopie zapasowe i odtwarzanie po awarii (backup/DR) wraz z testami; procedury retencji i bezpiecznego usuwania; zarządzanie incydentami; regularne szkolenia personelu. Dla danych szczególnych kategorii Procesor stosuje wzmocnione środki, w szczególności granularne uprawnienia dostępu i rozszerzone logowanie.
Opis TOM stanowi Załącznik bezpieczeństwa do niniejszych Warunków i może być aktualizowany przez Procesora w celu utrzymania co najmniej równoważnego poziomu ochrony.

VI. Dalsi podprzetwarzający

Administrator udziela ogólnego upoważnienia do korzystania przez Procesora z podprzetwarzających w zakresie niezbędnym do świadczenia Usług. Aktualna lista podprzetwarzających oraz ich funkcji udostępniana jest Administratorowi w Panelu/na stronie informacyjnej wskazanej w Regulaminie.
Procesor poinformuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia podprzetwarzających, umożliwiając wniesienie sprzeciwu w rozsądnym terminie. Brak sprzeciwu w terminie oznacza zgodę. W razie sprzeciwu Strony podejmą w dobrej wierze działania w celu wypracowania rozwiązania; jeżeli nie będzie to możliwe, Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym w całości lub części dotyczącej przetwarzania danych, bez dodatkowych opłat.

VII. Wsparcie, prawa osób, naruszenia

Uwzględniając charakter przetwarzania, Procesor – w miarę możliwości – pomoże Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw na mocy rozdziału III RODO.
Procesor pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych (DPIA) i ewentualnych konsultacjach uprzednich z organem nadzorczym, dostarczając informacje o środkach bezpieczeństwa i ryzykach znanych Procesorowi.
Procesor bez zbędnej zwłoki, niezwłocznie po stwierdzeniu naruszenia ochrony danych osobowych, powiadomi Administratora o naruszeniu, przekazując – w zakresie dostępnych informacji – co najmniej: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów danych, możliwe konsekwencje, środki zastosowane lub proponowane do zaradzenia naruszeniu i minimalizacji skutków oraz dane kontaktowe punktu kontaktowego. Informacje mogą być przekazywane etapowo.

VIII. Zakończenie przetwarzania: zwrot i usunięcie danych

Po zakończeniu świadczenia Usług związanych z przetwarzaniem danych Procesor, zgodnie z udokumentowaną decyzją Administratora:
a) zwróci Administratorowi komplet danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz następnie usunie dane, lub
b) usunie dane bez ich zwracania.
O ile przepisy prawa nie nakazują przechowywania danych, Procesor usunie wszystkie istniejące kopie, w tym kopie zapasowe, w rozsądnym terminie technicznym nie dłuższym niż 30 dni od zwrotu/usunięcia danych. Na żądanie Administratora Procesor potwierdzi (pisemnie lub elektronicznie) wykonanie usunięcia.
Jeżeli prawo nakazuje dłuższe przechowywanie, Procesor zapewni poufność i integralność danych oraz ograniczy przetwarzanie wyłącznie do celu i okresu wymaganego przepisami.

IX. Audyty i informacje o zgodności

Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z niniejszych Warunków i art. 28 RODO, w tym aktualne raporty z niezależnych audytów/atestacji (o ile dostępne).
Administrator jest uprawniony do przeprowadzenia audytu nie częściej niż raz w roku kalendarzowym lub częściej w uzasadnionych przypadkach (np. poważny incydent). Strony uzgodnią z wyprzedzeniem rozsądną datę, zakres i czas trwania audytu. Audyt będzie przeprowadzony w sposób nienaruszający bezpieczeństwa informacji i praw osób trzecich, w godzinach pracy, na koszt Administratora, z zachowaniem poufności.

X. Rejestry, Inspektor Ochrony Danych, kontakt

Procesor prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO, w zakresie powierzonych operacji.
Jeżeli po stronie Procesora wyznaczono Inspektora Ochrony Danych, jego dane kontaktowe zostaną udostępnione Administratorowi; w przeciwnym razie Procesor wyznaczy punkt kontaktowy ds. ochrony danych do komunikacji operacyjnej.

XI. Transfery do państw trzecich i środki transferowe

Procesor przetwarza dane wyłącznie w EOG, chyba że Administrator udzieli odrębnej zgody lub przetwarzanie poza EOG jest niezbędne do świadczenia Usług przez zatwierdzonych podprzetwarzających.
Każdy transfer danych do państwa trzeciego odbywa się wyłącznie, gdy: (a) państwo to jest objęte decyzją adekwatności, lub (b) zastosowano odpowiednie zabezpieczenia zgodnie z rozdziałem V RODO, w szczególności SCC, uzupełnione – w razie potrzeby – środkami dodatkowymi. Informacje o mechanizmie transferu są udostępniane Administratorowi.

XII. Szczególne kategorie danych

Jeżeli Administrator powierza do przetwarzania dane szczególnych kategorii (w tym dane dotyczące zdrowia), oświadcza, że zapewnia podstawę z art. 9 ust. 2 RODO oraz przekazuje odpowiednie instrukcje. Na żądanie Procesora Administrator przedstawi informacje potwierdzające podstawę prawną.
Procesor stosuje wzmocnione środki ochrony adekwatne do ryzyka dla danych szczególnych kategorii, w tym ograniczenie i kontrolę dostępu, rozszerzone logowanie i szyfrowanie.

XIII. Odpowiedzialność i minimalizacja szkody

Administrator ponosi odpowiedzialność za przestrzeganie przepisów prawa w zakresie przetwarzania i ochrony danych osobowych według RODO.
Z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa, łączna odpowiedzialność odszkodowawcza Procesora wobec Administratora jest ograniczona do kwoty równej 100% łącznych opłat netto zapłaconych i należnych Procesorowi na podstawie Umowy w okresie 12 miesięcy bezpośrednio poprzedzających zdarzenie powodujące odpowiedzialność.
Procesor nie ponosi odpowiedzialności za szkody pośrednie (utracone korzyści, przychody, utrata renomy, kary umowne), chyba że stanowią normalne, bezpośrednie następstwo naruszenia podstawowych obowiązków.
Ograniczenia nie mają zastosowania do odpowiedzialności Procesora za:
a) szkodę wyrządzoną umyślnie,
b) umyślne naruszenie poufności poprzez ujawnienie danych osobowych osobom nieuprawnionym,
c) szkody na osobie (o ile mają zastosowanie).
Procesor odpowiada wobec Administratora wyłącznie w zakresie, w jakim szkoda powstała w związku z niewykonaniem lub nienależytym wykonaniem obowiązków wynikających z RODO lub Warunków. Procesor nie odpowiada za szkody wynikłe z:
a) nieprawidłowych instrukcji Administratora lub przetwarzania zgodnego z udokumentowanymi instrukcjami,
b) naruszeń obowiązków RODO przez Administratora (w tym informacyjnych, legalności podstaw, retencji),
c) siły wyższej.
W zakresie, w jakim administracyjna kara pieniężna lub odszkodowanie zostaną nałożone/zapłacone przez Administratora na skutek wyłącznego naruszenia przez Procesora, Procesor zwróci Administratorowi uzasadnione i udokumentowane koszty w tym zakresie, z zastrzeżeniem limitu z ust. 2.
Procesor zobowiązuje się do niezwłocznego (nie później niż w terminie 7 dni) powiadomienia Administratora o roszczeniu osoby trzeciej lub okolicznościach mogących prowadzić do szkody oraz do współpracy w celu ograniczenia szkody. Brak niezwłocznego powiadomienia nie pozbawia Administratora uprawnień, jednak odpowiedzialność Procesora ulega odpowiedniemu zmniejszeniu w zakresie, w jakim opóźnienie zwiększyło szkodę lub utrudniło obronę.
Roszczenia wynikające z tego samego zdarzenia lub serii powiązanych zdarzeń traktuje się jako jedno zdarzenie.
W zakresie dalszych podmiotów przetwarzających Procesor odpowiada jak za własne działania lub zaniechania, z zastrzeżeniem limitów i wyłączeń odpowiedzialności.
Postanowienia niniejszego paragrafu nie ograniczają praw osób, których dane dotyczą, do dochodzenia odszkodowania na podstawie art. 82 RODO ani uprawnień organu nadzorczego do nakładania kar. Ograniczenia dotyczą wyłącznie rozliczeń pomiędzy Stronami.
Każda ze Stron zobowiązana jest do podejmowania rozsądnych działań w celu ograniczenia i zapobiegania szkodzie (obowiązek minimalizacji szkody).
Każda ze Stron ponosi odpowiedzialność w zakresie, w jakim naruszy swoje obowiązki wynikające z RODO lub Warunków; ograniczenia umowne nie naruszają praw osób z art. 82 RODO ani uprawnień organu nadzorczego.

XIV. Postanowienia końcowe

Warunki zastępują wszelkie wcześniejsze uzgodnienia Stron dotyczące powierzenia przetwarzania danych osobowych związane z Usługami.
W przypadku sprzeczności pomiędzy Warunkami a innymi postanowieniami Regulaminu, pierwszeństwo mają niniejsze Warunki w zakresie przetwarzania danych osobowych.

ZAŁĄCZNIK BEZPIECZEŃSTWA DO WARUNKÓW PRZETWARZANIA

ŚRODKI TECHNICZNE I ORGANIZACYJNE (TOM)

Niniejszy Załącznik stanowi opis środków technicznych i organizacyjnych stosowanych przez Procesora w rozumieniu art. 28 i art. 32 RODO. Środki zostały zaprojektowane adekwatnie do ryzyka, uwzględniając stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania, a także potencjalne skutki naruszenia praw i wolności osób fizycznych.

W zakresie danych szczególnych kategorii (w tym danych dotyczących zdrowia) Procesor stosuje środki wzmocnione wskazane poniżej. Procesor może aktualizować Załącznik w zakresie szczegółów technicznych, o ile nie prowadzi to do obniżenia ogólnego poziomu ochrony.

1. Ład bezpieczeństwa informacji i zarządzanie ryzykiem

Procesor utrzymuje system zarządzania bezpieczeństwem informacji oparty o uznane standardy.
Zdefiniowano role i odpowiedzialności, w tym właścicieli systemów i danych, oraz punkt kontaktowy ds. ochrony danych.
Regularnie przeprowadzane są oceny ryzyka dla aktywów informacyjnych, z planami postępowania z ryzykiem.
Stosowana jest zasada minimalizacji uprawnień i zasada „need-to-know”.
Dla zmian obowiązuje formalny proces Change Management z oceną wpływu na bezpieczeństwo i prywatność.

2. Organizacyjne środki bezpieczeństwa i szkolenia

Personel jest objęty zobowiązaniami poufności.
Realizowane są szkolenia wstępne i okresowe z ochrony danych i bezpieczeństwa informacji.
Obowiązują polityki i procedury, m.in.: klasyfikacja informacji, czyste biurko/ekran, bezpieczna praca zdalna, akceptowalne użycie, reagowanie na incydenty, zarządzanie podwykonawcami.

3. Kontrola dostępu i tożsamości (IAM)

Dostęp oparty jest o scentralizowane IAM i RBAC.
Stosowane są m.in.:
a) MFA dla administracji i kont uprzywilejowanych,
b) silne polityki haseł i rotacji sekretów,
c) cykliczny przegląd uprawnień i ich niezwłoczne wycofywanie,
d) automatyczne wygaszanie sesji po bezczynności.
Dla danych szczególnych kategorii: granularne role, MFA dla użytkowników z dostępem do danych zdrowotnych, model „four-eyes” tam, gdzie uzasadnione.

4. Segmentacja i separacja danych (multi-tenancy)

Dane Kontrahentów są logicznie separowane w warstwie aplikacyjnej i/lub bazodanowej.
Stosuje się konteneryzację i segmentację sieciową ograniczającą propagację naruszeń.
Dane szczególnych kategorii są dodatkowo oznaczane i chronione (np. odrębne przestrzenie przechowywania, osobne profile dostępu).

5. Szyfrowanie i zarządzanie kluczami

Szyfrowanie:
a) w tranzycie – TLS w aktualnych, bezpiecznych wersjach, bez słabych szyfrów,
b) w spoczynku – szyfrowanie danych produkcyjnych i kopii zapasowych silnymi algorytmami.
Klucze zarządzane są w usługach KMS/HSM, z ograniczonym dostępem i rotacją.
Dla danych szczególnych kategorii mogą być stosowane odrębne klucze/przestrzenie kluczy oraz rozszerzone logowanie operacji.

6. Bezpieczeństwo sieci i perymetru

Stosowane są zapory, ACL, grupy zabezpieczeń.
Ruch filtrowany jest wg zasady „default deny”.
Stosuje się m.in.: WAF, ochronę DDoS, bezpieczną łączność administracyjną (VPN/PAM).
Środowiska dev/test/prod są odseparowane.

7. Bezpieczeństwo aplikacji i SSDLC

SSDLC obejmuje m.in.: przeglądy kodu („four-eyes”), SAST/DAST, SCA, testy bezpieczeństwa (w tym pentesty dla istotnych wydań), kontrolę wydań i rollback.
Sekrety przechowywane są w managerach sekretów; zakaz umieszczania sekretów w repozytoriach.

8. Rejestrowanie, monitorowanie i rozliczalność

Systemy generują logi: logowania, modyfikacje danych, operacje uprzywilejowane, błędy i anomalie.
Logi są centralizowane, chronione przed modyfikacją, retencjonowane i monitorowane (SIEM).
Dla danych szczególnych kategorii – rozszerzone logowanie i audyt ścieżki dostępu.

9. Zarządzanie podatnościami i łatkami

Proces obejmuje: skanowanie, ocenę ryzyka (np. CVSS + kontekst), wdrażanie łatek, monitoring biuletynów.
Dla podatności krytycznych – przyspieszona remediacja.

10. Reagowanie na incydenty i zgłaszanie naruszeń

Istnieje plan reagowania na incydenty: detekcja, klasyfikacja, powiadamianie, triage, RCA, działania naprawcze.
Procesor zgłasza naruszenia zgodnie z umową powierzenia.
Prowadzony jest rejestr incydentów i działania doskonalące.

11. Kopie zapasowe, DR i BCM

Polityka backup obejmuje: regularne kopie, szyfrowanie, separację lokalizacji, testy odtwarzania, cele RPO/RTO.
Utrzymywane są plany DR/BCM i procedury przełączeń.
Dla danych szczególnych kategorii – co najmniej równoważne lub wyższe standardy.

12. Retencja i bezpieczne usuwanie danych

Retencja i minimalizacja danych realizowane są zgodnie z instrukcjami Administratora.
Usuwanie uniemożliwia odtworzenie danych, obejmuje nośniki wtórne i kopie zapasowe w rozsądnym terminie technicznym.
Na żądanie – potwierdzenie usunięcia.

13. Bezpieczeństwo fizyczne i środowiskowe

Przetwarzanie realizowane jest w centrach danych spełniających standardy bezpieczeństwa fizycznego i ciągłości działania.
Zapewnione są m.in.: kontrola dostępu, monitoring, zabezpieczenia wielostrefowe, redundancja zasilania i chłodzenia, systemy ppoż., wykrywanie zalania.
Dostawcy posiadają adekwatne atestacje (np. ISO 27001 / PCI-DSS, gdzie właściwe).

14. Zarządzanie dostawcami i podprzetwarzającymi

Przed wyborem podprzetwarzającego Procesor ocenia bezpieczeństwo i zgodność z RODO.
Umowy zawierają zobowiązania równoważne TOM (poufność, audyty, incydenty, retencja, usuwanie).
Prowadzony jest inwentarz podprzetwarzających i monitoring.

15. Transfery danych i środki uzupełniające

Przy transferach poza EOG stosowane są mechanizmy (np. SCC) oraz środki uzupełniające wynikające z TIA (szyfrowanie, kontrola kluczy, ograniczenia dostępu, minimalizacja danych).
Informacje o mechanizmach są dostępne dla Administratora.

16. Privacy by design i privacy by default

Stosowane są zasady privacy by design/default: minimalizacja danych, ograniczanie domyślnej widoczności, pseudonimizacja/anonimizacja gdy możliwe.
Tam, gdzie ryzyko jest wysokie, uwzględnia się DPIA.

17. Obsługa praw osób, których dane dotyczą

System wspiera realizację praw: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw.
Zapewniono wyszukiwanie danych po atrybutach oraz eksport w ustrukturyzowanych formatach.

18. Kontrola zmian i separacja środowisk

Odseparowanie środowisk dev/test/prod.
Brak użycia danych produkcyjnych w testach (chyba że anonimizacja/maskowanie).
CI/CD z kontrolą integralności artefaktów i podpisywaniem obrazów.

19. Konfiguracja i twardnienie systemów

Baseline hardening dla OS, baz danych, kontenerów i sieci.
Konfiguracje wersjonowane i zatwierdzane.
Usunięcie domyślnych kont/portów/usług nieużywanych.
Weryfikacje zgodności (compliance as code).

20. Zarządzanie kluczami, sekretami i certyfikatami

Sekrety w dedykowanych magazynach (kontrola dostępu, rotacja, logowanie użycia).
Certyfikaty zarządzane centralnie (automatyczne odnowienia, monitoring wygasania).
Dostęp do operacji kryptograficznych ograniczony do upoważnionych ról.

21. Mechanizmy anty-malware i integralność

EDR/anty-malware, monitoring integralności i ochrona przed exploitami adekwatnie do ryzyka.
Obrazy kontenerowe z zaufanych rejestrów, skanowane pod kątem podatności.

22. Dostęp do danych zdrowotnych – logowanie i maskowanie

Dostęp do danych zdrowotnych jest dodatkowo monitorowany i znakowany.
UI może stosować maskowanie pól, gdy pełny wgląd nie jest wymagany.

23. Testy bezpieczeństwa i audyty zewnętrzne

Cykliczne testy penetracyjne krytycznych komponentów realizowane przez podmioty zewnętrzne.
Harmonogram audytów/atestacji dostawców infrastruktury.
Wnioski kategoryzowane i zamykane wg polityki remediacji.

24. Metryki i ciągłe doskonalenie

Metryki bezpieczeństwa: np. czas detekcji/reakcji, zgodność konfiguracji, tempo remediacji.
Przeglądy bezpieczeństwa co najmniej rocznie lub po istotnych zmianach.
Wyniki wpływają na plan doskonalenia.

25. Dokumentacja i zgodność

Utrzymywana jest aktualna dokumentacja techniczna i proceduralna.
Na żądanie Administratora udostępniane są informacje/raporty potwierdzające stosowanie TOM – w zakresie nienaruszającym tajemnicy przedsiębiorstwa lub informacji wrażliwych bezpieczeństwa.
Załącznik stosuje się łącznie z Warunkami; w razie rozbieżności pierwszeństwo mają wymagania RODO i umowy powierzenia.

Regulamin świadczenia usług przez Glasson International Sp. z o. o.