Umowa powierzenia przetwarzania danych osobowych

Zawarta na podstawie art. 28 ust. 3 rozporządzenia (UE) 2016/679 (ogólnego rozporządzenia o ochronie danych, „RODO”).

1. Strony

1. Administrator: organizacja, która korzysta z Juryline do prowadzenia programów, wskazana w ustawieniach swojej organizacji w Juryline („organizator”).
2. Podmiot przetwarzający: Everlong s.r.o., Zámocká 8, 811 01 Bratislava, Słowacja, numer identyfikacyjny firmy 55 271 987, wpisana do rejestru handlowego Sądu Miejskiego Bratysława III, dział Sro, wpis nr 167806/B, e-mail hello@juryline.com („my”).
3. Osoba, która akceptuje niniejszą umowę w imieniu organizatora, potwierdza, że jest uprawniona do działania w jego imieniu.

2. Przedmiot i czas trwania

1. Przetwarzamy dane osobowe na rzecz organizatora, gdy prowadzi on programy w Juryline: zbieranie i przechowywanie zgłoszeń, ocena formalna, ocena przez jurorów, wyniki, wiadomości i finał na żywo.
2. Cel: obsługa naboru i procedury wyboru prowadzonych przez organizatora.
3. Charakter przetwarzania: zbieranie za pomocą formularzy, przechowywanie, wyświetlanie upoważnionym osobom, przydzielanie jurorom, obliczanie rankingów, wysyłanie e-maili, eksporty, usuwanie oraz związane z tym zapisy bezpieczeństwa.
4. Osoby, których dane dotyczą: zgłaszający i osoby wymienione w zgłoszeniach (na przykład członkowie zespołu), jurorzy, personel organizatora oraz członkowie publiczności, którzy głosują podczas finału na żywo.
5. Kategorie danych: dane kontaktowe; odpowiedzi w polach określonych przez organizatora; przesłane pliki (do 25 MB każdy); imiona i nazwiska członków zespołu; status zgłoszenia, notatki, ocena formalna i decyzje; imiona i nazwiska, adresy e-mail, afiliacje, deklaracje konfliktu interesów, oceny i komentarze jurorów; dzienniki wiadomości; w przypadku głosów publiczności skróty z kluczem identyfikatora urządzenia i opcjonalnie adresu e-mail.
6. Juryline nie prosi o szczególne kategorie danych. Jeśli organizator prosi o nie w swoim formularzu, odpowiada za zapewnienie podstawy prawnej.
7. Niniejsza umowa obowiązuje tak długo, jak organizator korzysta z Juryline.

3. Polecenia

1. Przetwarzamy dane osobowe wyłącznie na udokumentowane polecenie organizatora, także w odniesieniu do przekazywania danych do państw trzecich, chyba że prawo UE lub prawo słowackie nakłada na nas inny obowiązek.
2. Poleceniami są niniejsza umowa oraz działania organizatora w Juryline, takie jak opublikowanie naboru, ustawienie pól i ich widoczności dla jurorów, zapraszanie jurorów, przydzielanie zgłoszeń, wysyłanie wiadomości, eksportowanie, ustawienie okresu przechowywania i usuwanie danych. Dalsze polecenia można wydawać e-mailem.
3. Organizator poleca nam:
   • pokazywać zgłaszającym nabór, politykę prywatności organizatora i formularz,
   • wysyłać potwierdzenia, przypomnienia i e-maile z wynikami, które uruchamia organizator,
   • ukrywać przed jurorami pola, które organizator oznaczy jako ukryte,
   • usuwać program wraz ze wszystkimi jego zgłoszeniami, plikami i ocenami po upływie ustawionej liczby miesięcy (domyślnie 24) od opublikowania wyników, a jeśli wyniki nigdy nie zostaną opublikowane, od zamknięcia naboru, po przypomnieniu o tym właścicielom miesiąc wcześniej.
4. Informujemy organizatora, jeżeli naszym zdaniem polecenie narusza przepisy o ochronie danych.

4. Nasze obowiązki

1. Wszystkie osoby w Everlong, które mają dostęp do danych osobowych, są zobowiązane do zachowania poufności. Dostęp mają wyłącznie osoby, które potrzebują go do prowadzenia Juryline i udzielania wsparcia. Nasz zespół wsparcia otwiera organizację wyłącznie w ramach zarejestrowanej sesji wsparcia na okres 2 godzin, w trybie tylko do odczytu, z podaniem powodu, który organizator widzi w swoich ustawieniach.
2. Stosujemy środki określone w załączniku 1 (art. 32 RODO) i regularnie je weryfikujemy.
3. Korzystamy z usług dalszych podmiotów przetwarzających wyłącznie zgodnie z art. 5 niniejszej umowy.
4. Pomagamy organizatorowi w odpowiadaniu na żądania osób, których dane dotyczą, i bez zbędnej zwłoki przekazujemy mu żądania, które trafią do nas.
5. Pomagamy organizatorowi w wywiązywaniu się z obowiązków określonych w art. 32 do 36 RODO, uwzględniając charakter przetwarzania.
6. Nie wykorzystujemy danych organizatora do własnych celów, nie sprzedajemy ich i nie przesyłamy zgłoszeń, ocen ani innych danych z programów do usług AI. Anonimowe dane zbiorcze (takie jak liczba zgłoszeń) mogą być wykorzystywane do prowadzenia i ulepszania Juryline.
7. Prowadzimy rejestr kategorii czynności przetwarzania dokonywanych w imieniu organizatorów (art. 30 ust. 2 RODO).

5. Dalsze podmioty przetwarzające

1. Organizator udziela ogólnej pisemnej zgody na korzystanie z usług dalszych podmiotów przetwarzających wymienionych w załączniku 2.
2. O zamierzonych zmianach informujemy właścicieli organizacji e-mailem z co najmniej 30-dniowym wyprzedzeniem. Organizator może wnieść sprzeciw; jeśli nie dojdziemy do porozumienia, może wypowiedzieć umowę przed wejściem zmiany w życie.
3. Nakładamy na każdy dalszy podmiot przetwarzający te same obowiązki w zakresie ochrony danych (art. 28 ust. 4 RODO).

6. Przekazywanie danych poza UE

1. Baza danych i pliki są przechowywane w UE (Frankfurt, Niemcy), a aplikacja działa w UE.
2. Jeżeli dalszy podmiot przetwarzający może uzyskiwać dostęp do danych spoza UE, przekazanie odbywa się na podstawie rozdziału V RODO, w szczególności ram ochrony danych UE-USA (EU-US Data Privacy Framework) lub standardowych klauzul umownych.

7. Naruszenia ochrony danych osobowych

1. Powiadamiamy organizatora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki i nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem do właścicieli organizacji, przekazując informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne.
2. Pomagamy organizatorowi w zgłoszeniu naruszenia organowi nadzorczemu i w zawiadomieniu osób, których dane dotyczą. O zgłoszeniach i zawiadomieniach decyduje organizator.

8. Informacje i audyty

1. Na żądanie udostępniamy informacje niezbędne do wykazania spełnienia wymogów art. 28 RODO.
2. Organizator lub audytor zobowiązany do zachowania poufności może przeprowadzić audyt zapowiedziany z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz w roku i na koszt organizatora, z wyjątkiem sytuacji, gdy doszło do naruszenia lub gdy wymaga tego organ nadzorczy.

9. Obowiązki organizatora

1. Organizator odpowiada za zgodność przetwarzania z prawem, za swoją politykę prywatności skierowaną do zgłaszających i jurorów oraz za ustawiony przez siebie okres przechowywania.
2. Organizator udziela dostępu do swojej organizacji wyłącznie osobom, które go potrzebują, i odbiera go, gdy przestają go potrzebować.
3. Organizator odpowiada za dane, które eksportuje, pobiera lub wysyła poza Juryline.

10. Zakończenie umowy

1. Umowa wygasa, gdy organizacja organizatora zostanie usunięta lub gdy świadczenie usługi zakończy się zgodnie z warunkami korzystania.
2. Przed zakończeniem umowy organizator może wyeksportować swoje dane. W ciągu 30 dni od zakończenia umowy usuwamy dane osobowe organizatora, chyba że prawo UE lub prawo słowackie nakazuje nam ich przechowywanie. Kopie zapasowe są nadpisywane w ramach ich zwykłego cyklu.

11. Postanowienia końcowe

1. Przetwarzanie na podstawie niniejszej umowy stanowi część usługi Juryline i nie podlega odrębnej opłacie.
2. Strony ponoszą odpowiedzialność zgodnie z art. 82 RODO i prawem słowackim.
3. Umowa zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO), gdy organizator publikuje program i potwierdza, że akceptuje warunki korzystania i niniejszą umowę. Rejestrujemy wersję, czas oraz konto, z którego dokonano potwierdzenia.
4. Jeżeli organizator jest podmiotem publicznym zobowiązanym do publikowania umów, sam publikuje niniejszą umowę.
5. W zakresie ochrony danych niniejsza umowa ma pierwszeństwo przed warunkami korzystania. Załączniki 1 i 2 stanowią jej integralną część.

Załącznik 1. Środki techniczne i organizacyjne

• Lokalizacja: baza danych, pliki i aplikacja w UE (Frankfurt, Niemcy).
• Szyfrowanie: podczas przesyłania za pomocą TLS i HSTS; w spoczynku przez naszych dostawców hostingu.
• Kontrola dostępu: zabezpieczenia na poziomie wierszy (row level security) w bazie danych decydują o tym, co każda osoba może odczytać i zmienić. Organizatorzy widzą własne programy; jurorzy widzą tylko przydzielone im zgłoszenia i nigdy nie widzą ukrytych pól; zgłaszający widzą tylko własne zgłoszenia. Reguły te są automatycznie testowane dla każdej roli.
• Logowanie: bez haseł; jednorazowe kody i osobiste linki wysyłane e-mailem; sesje wygasają po 30 dniach nieużywania.
• Pliki: prywatny magazyn, pobieranie przez linki ważne 5 minut po sprawdzeniu uprawnień, typ pliku weryfikowany na podstawie zawartości, limit rozmiaru 25 MB.
• Integralność: ocen, decyzji z oceny formalnej, deklaracji konfliktu interesów i decyzji dotyczących wyników nie można nadpisać; zmiany są dodawane jako nowe zapisy. Protokoły są pieczętowane skrótem SHA-256 i kodem weryfikacyjnym.
• Dostęp wsparcia: wyłącznie w zarejestrowanych, ograniczonych czasowo sesjach wsparcia w trybie tylko do odczytu, widocznych dla organizatora.
• Dziennik audytu: eksporty, pobrania protokołów, zmiany ról, sesje wsparcia i zdarzenia rozliczeniowe, przechowywane przez okres 24 miesięcy.
• Usuwanie: automatyczne, codzienne, zgodnie z okresem przechowywania każdego programu.
• Kopie zapasowe: codzienne kopie zapasowe bazy danych wykonywane przez naszego dostawcę hostingu, przechowywane przez 7 dni.
• Ochrona przed nadużyciami: limity żądań z pseudonimowymi kluczami przechowywanymi maksymalnie przez 2 dni.
• AI: dane z programów nigdy nie są przesyłane do usług AI.

Załącznik 2. Dalsze podmioty przetwarzające

Wersja z dnia 27 października 2026.