Umowa powierzenia przetwarzania danych

1. Strony i zawarcie umowy

Niniejsza umowa powierzenia przetwarzania danych („Klauzule”) została zawarta między

Administratorem: firmą lub organizacją, która założyła konto w GoalCube i zaakceptowała regulamin GoalCube („Klient”),

a

Podmiotem przetwarzającym: Goalcube ApS, numer CVR 44709805 (duński numer rejestrowy przedsiębiorstw), Ahlmannsvej 19, st., 6400 Sønderborg, Danmark („GoalCube”).

Klauzule są częścią regulaminu GoalCube i zostają zawarte automatycznie, gdy Klient zakłada konto lub zaczyna korzystać z GoalCube. Podpis nie jest wymagany. Klauzule opierają się na wzorcowej umowie duńskiego organu nadzorczego (Datatilsynet) dla umów powierzenia przetwarzania danych (standardowe klauzule umowne na podstawie art. 28 ust. 8 rozporządzenia (UE) 2016/679, „RODO”). Tam, gdzie wzorzec daje wybór, wybory zostały uzupełnione w załącznikach.

2. Preambuła

1. Klauzule określają prawa i obowiązki podmiotu przetwarzającego, gdy przetwarza on dane osobowe w imieniu administratora.
2. Klauzule zostały opracowane tak, aby strony mogły przestrzegać art. 28 ust. 3 RODO.
3. Przetwarzanie odbywa się w związku ze świadczeniem GoalCube (GoalCube AI Map, GoalCube Data Vault i GoalCube Human Decision) na podstawie regulaminu.
4. Klauzule mają pierwszeństwo przed analogicznymi postanowieniami innych umów między stronami.
5. Do Klauzul należą cztery załączniki, które stanowią ich integralną część:
   • Załącznik A zawiera szczegółowe informacje o przetwarzaniu, w tym cel i charakter przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz czas trwania.
   • Załącznik B zawiera warunki administratora dotyczące korzystania przez podmiot przetwarzający z dalszych podmiotów przetwarzających oraz listę zatwierdzonych dalszych podmiotów przetwarzających.
   • Załącznik C zawiera polecenia administratora dotyczące przetwarzania, minimalne wymogi bezpieczeństwa oraz sposób nadzoru nad podmiotem przetwarzającym i dalszymi podmiotami przetwarzającymi.
   • Załącznik D zawiera postanowienia stron w innych sprawach.
6. Klauzule i załączniki są przechowywane elektronicznie na goalcube.eu przez obie strony.
7. Klauzule nie zwalniają podmiotu przetwarzającego z obowiązków nałożonych na niego przez RODO lub inne przepisy.

3. Prawa i obowiązki administratora

1. Administrator odpowiada za zapewnienie, że przetwarzanie danych osobowych odbywa się zgodnie z RODO (zob. art. 24), przepisami o ochronie danych w innym prawie Unii lub prawie krajowym państw członkowskich oraz Klauzulami.
2. Administrator ma prawo i obowiązek decydować o celach i środkach, z użyciem których dane osobowe mogą być przetwarzane.
3. Administrator odpowiada za to, aby istniała podstawa prawna dla przetwarzania, które zleca podmiotowi przetwarzającemu – w tym dla danych, które Klient przesyła, i dla korzystania przez Klienta z usług AI.
4. Administrator sam wybiera usługę AI, którą Klient łączy z GoalCube (np. ChatGPT, Claude, Microsoft 365 Copilot lub Mistral), i sam zawiera z nią umowę. Usługa AI nie jest dalszym podmiotem przetwarzającym GoalCube, a przetwarzanie w niej podlega własnej umowie Klienta z dostawcą AI.

4. Podmiot przetwarzający działa na polecenie

1. Podmiot przetwarzający może przetwarzać dane osobowe wyłącznie na udokumentowane polecenie administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo krajowe państwa członkowskiego, któremu podlega. Polecenie opisują załączniki A i C. Korzystanie przez Klienta z funkcji GoalCube – np. przesyłanie danych, wybór ochrony dla kolumny, poufne słowa, potwierdzenia i decyzje – także stanowi udokumentowane polecenie.
2. Podmiot przetwarzający niezwłocznie informuje administratora, jeśli jego zdaniem polecenie narusza RODO lub przepisy o ochronie danych w innym prawie Unii lub prawie krajowym państw członkowskich.

5. Poufność

1. Podmiot przetwarzający może zapewniać dostęp do danych osobowych tylko osobom działającym pod jego kierownictwem, które zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, i tylko w niezbędnym zakresie. Lista osób z dostępem jest na bieżąco weryfikowana, a dostęp jest zamykany, gdy nie jest już potrzebny.
2. Na wniosek administratora podmiot przetwarzający musi być w stanie wykazać, że osoby te podlegają wyżej wymienionemu obowiązkowi zachowania tajemnicy.

6. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych.
2. Podmiot przetwarzający samodzielnie ocenia ryzyko i wdraża środki, które mu przeciwdziałają. Środki opisuje załącznik C.2.
3. Podmiot przetwarzający pomaga administratorowi wywiązać się z obowiązku wynikającego z art. 32 RODO, m.in. przekazując informacje potrzebne administratorowi do własnej oceny ryzyka.

7. Korzystanie z dalszych podmiotów przetwarzających

1. Podmiot przetwarzający musi spełniać warunki z art. 28 ust. 2 i 4 RODO, aby korzystać z usług innego podmiotu przetwarzającego (dalszego podmiotu przetwarzającego).
2. Podmiot przetwarzający ma ogólną zgodę administratora na korzystanie z dalszych podmiotów przetwarzających. Podmiot przetwarzający informuje administratora na piśmie o planowanych zmianach polegających na dodaniu lub zastąpieniu dalszych podmiotów przetwarzających z wyprzedzeniem co najmniej 14 dni. Informacja jest przekazywana e-mailem do osoby kontaktowej konta oraz na goalcube.eu/da/databehandleraftale/ (wiążąca jest wersja duńska; także tutaj: goalcube.eu/pl/umowa-powierzenia/). W tym terminie administrator może wnieść sprzeciw. Jeśli administrator wniesie sprzeciw, a strony nie znajdą rozwiązania, administrator może wypowiedzieć umowę ze skutkiem przed wejściem zmiany w życie. Lista zatwierdzonych dalszych podmiotów przetwarzających znajduje się w załączniku B.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki w zakresie ochrony danych, które wynikają z Klauzul, na podstawie umowy, w szczególności odpowiednie zapewnienia dotyczące środków technicznych i organizacyjnych.
4. Podmiot przetwarzający zapewnia, że umowa z dalszym podmiotem przetwarzającym daje administratorowi, jako osobie trzeciej uprawnionej, prawo dochodzenia swoich praw wobec dalszego podmiotu przetwarzającego na wypadek upadłości podmiotu przetwarzającego, w zakresie, w jakim pozwalają na to standardowe warunki dalszego podmiotu przetwarzającego.
5. Jeśli dalszy podmiot przetwarzający nie wywiąże się ze swoich obowiązków w zakresie ochrony danych, podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec administratora za wykonanie obowiązków dalszego podmiotu przetwarzającego, z zastrzeżeniem ograniczenia odpowiedzialności w załączniku D.

8. Przekazywanie do państw trzecich lub organizacji międzynarodowych

1. Podmiot przetwarzający może przekazywać dane osobowe do państw trzecich (państw spoza UE/EOG) lub organizacji międzynarodowych wyłącznie na udokumentowane polecenie administratora i zgodnie z rozdziałem V RODO.
2. Polecenie dotyczące przekazywania zawiera załącznik C.6. W ramach Klauzul administrator nie może zlecić podmiotowi przetwarzającemu innych przekazań.
3. Gdy Klient sam łączy usługę AI z GoalCube i prosi ją o pobranie danych, GoalCube udostępnia usłudze AI wyłącznie spseudonimizowane dane, na polecenie Klienta. Ewentualne przekazanie do państwa trzeciego w usłudze AI odbywa się na podstawie własnej umowy Klienta z dostawcą AI, zob. pkt 3.4.

9. Pomoc dla administratora

1. Uwzględniając charakter przetwarzania, podmiot przetwarzający w miarę możliwości pomaga administratorowi, stosując odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw na podstawie rozdziału III RODO (obowiązek informacyjny, dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw i zautomatyzowane podejmowanie decyzji). Pomoc jest udzielana przede wszystkim za pomocą funkcji GoalCube, zob. załącznik C.3.
2. Podmiot przetwarzający pomaga też administratorowi:
   • zgłaszać naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki i, o ile to możliwe, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia przez administratora, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych,
   • zawiadamiać osoby, których dane dotyczą, o naruszeniu, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw,
   • przeprowadzać oceny skutków dla ochrony danych (DPIA) oraz ewentualne uprzednie konsultacje z organem nadzorczym.
3. Pomoc wykraczająca poza funkcje GoalCube i informacje publikowane przez GoalCube jest rozliczana według załącznika D.

10. Zawiadamianie o naruszeniu ochrony danych osobowych

1. Podmiot przetwarzający niezwłocznie zawiadamia administratora po stwierdzeniu naruszenia ochrony danych osobowych u podmiotu przetwarzającego lub u dalszego podmiotu przetwarzającego.
2. Zawiadomienie następuje, o ile to możliwe, nie później niż 48 godz. po stwierdzeniu naruszenia przez podmiot przetwarzający, aby administrator mógł dotrzymać swojego 72-godzinnego terminu.
3. Zawiadomienie zawiera, w zakresie, w jakim informacje są dostępne: opis charakteru naruszenia, w tym kategorii i przybliżonej liczby osób, których dane dotyczą, oraz rekordów danych, prawdopodobne konsekwencje oraz środki zastosowane lub proponowane. Jeśli informacji nie można podać jednocześnie, podaje się je etapami bez zbędnej zwłoki.

11. Usunięcie i zwrot danych

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem danych osobowych podmiot przetwarzający jest zobowiązany usunąć wszystkie dane osobowe przetwarzane w imieniu administratora i potwierdzić administratorowi, że dane zostały usunięte. Usunięcie następuje najpóźniej 30 dni po zakończeniu, zob. załącznik C.4.
2. Przed zakończeniem administrator może sam przeglądać, pobierać raporty i zachowywać dokumentację z GoalCube (np. raport dla organu nadzoru i audytora), dopóki konto jest aktywne.
3. Podmiot przetwarzający nie może przechowywać danych osobowych dłużej, chyba że wymaga tego prawo Unii lub prawo krajowe.

12. Audyt, w tym inspekcje

1. Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania przestrzegania art. 28 RODO i Klauzul oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.
2. Procedury nadzoru administratora nad podmiotem przetwarzającym i dalszymi podmiotami przetwarzającymi określają załączniki C.7 i C.8.
3. Podmiot przetwarzający zapewnia organom nadzorczym, które na podstawie obowiązujących przepisów mają dostęp do obiektów administratora i podmiotu przetwarzającego, dostęp po okazaniu stosownej legitymacji.

13. Porozumienie stron w innych sprawach

1. Strony mogą uzgodnić inne postanowienia dotyczące usługi, np. o odpowiedzialności, o ile nie są one bezpośrednio ani pośrednio sprzeczne z Klauzulami ani nie ograniczają podstawowych praw osoby, której dane dotyczą. Znajdują się one w załączniku D i w regulaminie.

14. Wejście w życie i zakończenie

1. Klauzule wchodzą w życie, gdy Klient zakłada konto lub zaczyna korzystać z GoalCube.
2. Każda ze stron może żądać renegocjacji Klauzul, jeśli uzasadniają to zmiany przepisów lub okaże się, że Klauzule są niepraktyczne. GoalCube może zmienić Klauzule z wyprzedzeniem co najmniej 14 dni, jeśli zmiana nie obniża ochrony danych osobowych; w przeciwnym razie wymagana jest akceptacja Klienta.
3. Klauzule obowiązują tak długo, jak trwa usługa związana z przetwarzaniem danych osobowych, i nie mogą zostać wypowiedziane bez jednoczesnego zakończenia umowy głównej (regulaminu).
4. Jeśli świadczenie usług ustanie, a dane osobowe zostaną usunięte zgodnie z pkt 11, każda ze stron może wypowiedzieć Klauzule.

15. Osoby kontaktowe

1. Kontakt podmiotu przetwarzającego: contact@goalcube.eu.
2. Kontakt administratora: osoba kontaktowa konta. Klient dba o aktualność danych kontaktowych w GoalCube.

Załącznik A – Informacje o przetwarzaniu

A.1. Cel przetwarzania danych osobowych przez podmiot przetwarzający w imieniu administratora: Świadczenie GoalCube: rejestr korzystania przez Klienta z AI z klasyfikacją według AI Act, polityka AI i kurs kompetencji w zakresie AI (AI Map); przechowywanie danych Klienta w UE i udostępnianie ich w formie spseudonimizowanej usłudze AI połączonej przez Klienta oraz pokazywanie odpowiedzi z prawdziwymi wartościami w GoalCube (Data Vault); a także umożliwienie człowiekowi rozstrzygania spraw dotyczących osób, z dziennikiem i znacznikami czasu (Human Decision).

A.2. Przetwarzanie danych osobowych przez podmiot przetwarzający w imieniu administratora dotyczy przede wszystkim (charakter przetwarzania): Przechowywania, porządkowania, pseudonimizacji (zastępowania identyfikatorów kodami), uogólniania (np. data urodzenia do grupy wiekowej), udostępniania spseudonimizowanych danych usłudze AI Klienta na polecenie Klienta, zamiany kodów z powrotem na prawdziwe wartości w GoalCube, rejestrowania działań i decyzji, wysyłania e-maili z systemu oraz usuwania.

A.3. Przetwarzanie obejmuje następujące rodzaje danych osobowych osób, których dane dotyczą: Dane, które Klient sam przesyła lub wpisuje w GoalCube, np. imię i nazwisko, dane kontaktowe, numery identyfikacyjne (w tym duńskie numery CPR), numery klientów i kont, adresy, informacje o zatrudnieniu, CV, zgłoszenia klientów, umowy i decyzje. W zależności od danych Klienta mogą to być szczególne kategorie danych (art. 9 RODO) oraz dane dotyczące wyroków skazujących i naruszeń prawa (art. 10 RODO). Ponadto dane użytkowników Klienta: imię i nazwisko, e-mail, rola, passkeys i działania w systemie.

A.4. Przetwarzanie obejmuje następujące kategorie osób, których dane dotyczą: Pracownicy Klienta, kandydaci, klienci, członkowie, dostawcy i ich osoby kontaktowe oraz inne osoby, których dotyczą dane Klienta, a także użytkownicy GoalCube po stronie Klienta.

A.5. Przetwarzanie danych osobowych przez podmiot przetwarzający w imieniu administratora może się rozpocząć po wejściu Klauzul w życie. Przetwarzanie trwa: Tak długo, jak Klient ma konto w GoalCube, i do czasu usunięcia danych zgodnie z pkt 11 i załącznikiem C.4.

Załącznik B – Dalsze podmioty przetwarzające

B.1. Zatwierdzone dalsze podmioty przetwarzające W dniu wejścia Klauzul w życie administrator zatwierdził korzystanie z następujących dalszych podmiotów przetwarzających:

B.2. Wyprzedzenie przy zatwierdzaniu dalszych podmiotów przetwarzających Podmiot przetwarzający zapowiada dodanie lub zastąpienie dalszych podmiotów przetwarzających z wyprzedzeniem co najmniej 14 dni, zob. pkt 7.2.

Usługi bez danych osobowych. System korzysta ponadto z tych usług, które nie otrzymują danych osobowych i dlatego nie są dalszymi podmiotami przetwarzającymi:

Załącznik C – Polecenie dotyczące przetwarzania danych osobowych

C.1. Przedmiot przetwarzania / polecenie Przetwarzanie przez podmiot przetwarzający polega na tym, że GoalCube przechowuje dane Klienta w UE, pseudonimizuje je zgodnie z wyborami Klienta (np. ochrona kolumny i poufne słowa), udostępnia je w formie spseudonimizowanej usłudze AI połączonej przez Klienta, gdy Klient lub użytkownik o to poprosi, pokazuje odpowiedzi AI z prawdziwymi wartościami w GoalCube oraz rejestruje potwierdzenia i decyzje. GoalCube nie używa danych Klienta do innych celów, nie sprzedaje ich i nie używa ich do trenowania modeli AI.

C.2. Bezpieczeństwo przetwarzania Poziom bezpieczeństwa odzwierciedla to, że przetwarzanie może obejmować szczególne kategorie danych i dane o stosunkach pracy. Podmiot przetwarzający wdrożył następujące środki:

• Dane są szyfrowane podczas przesyłania (HTTPS/TLS).
• Dane klientów są przechowywane w UE u Clever Cloud. W środowisku produkcyjnym system nie uruchomi się bez trwałego przechowywania w UE.
• Usługi AI podłączone przez klienta dostają tylko pseudonimy – nigdy imion i nazwisk, e-maili, numerów ID, telefonów ani kont, adresów ani poufnych słów klienta.
• Wgrane pliki nie są zapisywane; tylko odczytany tekst, który klient sam zdecydował się zapisać jako zestaw danych.
• Decyzje, potwierdzenia i zmiany trafiają do dziennika audytu z sumami kontrolnymi (łańcuch skrótów) i niezależnymi znacznikami czasu.
• Poufne słowa nigdy nie trafiają do dziennika audytu.
• Strony nie pobierają plików od innych podmiotów (np. czcionek z Google), a system nie ustawia cookies do śledzenia.
• Maile do GoalCube, na które musi odpowiedzieć człowiek, są czytane i obsługiwane w GoalCube. Pracownik dostaje w swojej poczcie tylko wiadomość bez treści.
• Passkeye nie są zapisywane w dzienniku serwera.
• Dostęp do działania systemu i danych mają tylko pracownicy GoalCube, którzy go potrzebują, i są oni zobowiązani do zachowania poufności.

Testy kontrolne GoalCube przy każdej zmianie systemu sprawdzają, czy kod stosuje środki i listy opisane w tej umowie.

C.3. Pomoc dla administratora Podmiot przetwarzający pomaga administratorowi zgodnie z pkt 9.1 i 9.2 w następujący sposób:

• Klient może sam przeglądać swoje dane i prawdziwe wartości kryjące się za każdym pseudonimem, usuwać przesłane zbiory danych, usuwać poufne słowa i pobierać w GoalCube raport dla organu nadzoru i audytora.
• Dziennika audytu i historii (np. decyzji, raportów i usuniętych poufnych słów) nie można zmieniać ani usuwać w pojedynczych wpisach, ponieważ muszą one umożliwiać udowodnienie, co się wydarzyło. Są usuwane po zakończeniu umowy. Jeśli coś trzeba usunąć wcześniej, np. na wniosek osoby, której dane dotyczą, następuje to w uzgodnieniu z GoalCube.
• Żądania, których Klient nie może sam załatwić w systemie, należy wysłać na contact@goalcube.eu, a GoalCube odpowie bez zbędnej zwłoki.
• W razie naruszenia ochrony danych osobowych GoalCube przekazuje informacje wymienione w pkt 10.3.

C.4. Okres przechowywania / procedura usuwania

• Dane Klienta są przechowywane do czasu, aż Klient sam je usunie lub umowa wygaśnie.
• Gdy Klient usuwa przesłany zbiór danych w GoalCube, zbiór jest usuwany natychmiast. Raporty sporządzone na podstawie zbioru zawierają wyłącznie pseudonimy i są przechowywane jako część historii do zakończenia umowy.
• Przesłane pliki (np. PDF i Word) nie są zapisywane; zapisywany jest tylko tekst, który Klient zdecyduje się zapisać jako zbiór danych.
• Historia i dziennik audytu są przechowywane, dopóki trwa umowa, zob. C.3.
• Po zakończeniu umowy wszystkie dane Klienta, w tym dziennik audytu, są usuwane najpóźniej 30 dni po zakończeniu, chyba że przepisy wymagają przechowywania. Kopie w kopiach zapasowych dostawcy hostingu są usuwane, gdy kopie zapasowe wygasają u dostawcy.
• E-maile, które Klient lub jego użytkownicy wysyłają do wsparcia GoalCube, nie są objęte powyższym terminem. Są usuwane automatycznie 24 mies. po otrzymaniu – lub wcześniej, jeśli Klient o to poprosi.

C.5. Miejsce przetwarzania Przetwarzanie danych osobowych objętych Klauzulami nie może odbywać się bez uprzedniej pisemnej zgody administratora w innych lokalizacjach niż: Clever Cloud SAS, Region paryski (strefa Clever Cloud „par”), Francja oraz u dalszych podmiotów przetwarzających z załącznika B w lokalizacjach tam wskazanych.

C.6. Polecenie dotyczące przekazywania danych osobowych do państw trzecich Podmiot przetwarzający nie przekazuje danych osobowych Klienta do państw trzecich, z jednym wyjątkiem: jeśli Klient lub jego użytkownik wyśle e-mail do GoalCube, e-mail może zawierać dane osobowe. Zanim asystent poczty GoalCube napisze wersję roboczą odpowiedzi, GoalCube automatycznie zastępuje w UE imiona i nazwiska, adresy e-mail, numery telefonów, dokumentów tożsamości i kont oraz nazwy firm kodami. Imiona i nazwiska w swobodnym tekście są rozpoznawane na podstawie list imion i wzorców, więc rzadkie nazwisko może wyjątkowo się prześlizgnąć. Wyłącznie spseudonimizowany tekst jest wysyłany do Anthropic w USA na podstawie unijnych standardowych klauzul umownych. Zapytania prawne, skargi, dotyczące płatności i praw obsługuje człowiek.

Przekazania, do których dochodzi, bo Klient sam prosi swoją usługę AI o pobranie danych z GoalCube, odbywają się na polecenie Klienta i na podstawie własnej umowy Klienta z dostawcą AI, zob. pkt 8.3.

Jeśli administrator nie wyda w Klauzulach ani później udokumentowanego polecenia dotyczącego przekazywania danych osobowych do państwa trzeciego, podmiot przetwarzający nie jest uprawniony do dokonywania takich przekazań w ramach Klauzul.

C.7. Procedury audytu administratora, w tym inspekcji, dotyczącego przetwarzania danych osobowych powierzonych podmiotowi przetwarzającemu Na wniosek administratora, nie częściej niż raz w roku, podmiot przetwarzający sporządza pisemne sprawozdanie z przestrzegania Klauzul (samokontrola). Ponadto administrator może na własny koszt przeprowadzić lub zlecić niezależnemu audytorowi inspekcję, jeśli istnieje konkretny powód, z wyprzedzeniem co najmniej 30 dni i nie częściej niż raz w roku. Inspekcja jest organizowana tak, aby nie dawała dostępu do danych innych klientów. Czas pracy podmiotu przetwarzającego jest rozliczany według załącznika D.

C.8. Procedury audytu, w tym inspekcji, dotyczącego przetwarzania danych osobowych powierzonych dalszym podmiotom przetwarzającym Podmiot przetwarzający co najmniej raz w roku przegląda własną dokumentację dalszych podmiotów przetwarzających dotyczącą bezpieczeństwa przetwarzania (np. certyfikaty, oświadczenia audytorów, umowy powierzenia przetwarzania danych i listy dalszych podmiotów przetwarzających) i ocenia, czy nadal wywiązują się one ze swoich obowiązków. Wynik jest częścią sprawozdania z C.7.

Załącznik D – Uregulowanie przez strony innych spraw

1. Odpowiedzialność. Odpowiedzialność stron na podstawie Klauzul podlega ograniczeniu odpowiedzialności z regulaminu, w zakresie zgodnym z art. 82 i 83 RODO.
2. Opłaty za pomoc. Pomoc, którą można zapewnić funkcjami GoalCube, oraz zawiadomienie o naruszeniu są bezpłatne. Inna pomoc według pkt 9 i audyt według pkt 12 są rozliczane według przepracowanego czasu, według aktualnej stawki godzinowej GoalCube, podawanej z góry.
3. Kolejność. W razie sprzeczności Klauzule mają pierwszeństwo przed regulaminem w zakresie przetwarzania danych osobowych.
4. Prawo właściwe i właściwość sądów są takie same jak w regulaminie.

Zobacz też: Polityka prywatności · Regulamin · Polityka cookies