Umowa powierzenia przetwarzania danych

1. Szczegóły przetwarzania

• Przedmiot i czas trwania: świadczenie Carreh for Business przez czas trwania umowy i do usunięcia zgodnie z sekcją 10.
• Charakter i cel: hostowanie, organizowanie, odczytywanie (w tym za pomocą AI), wyświetlanie, eksportowanie i usuwanie dokumentacji podróży i wydatków, zgodnie z konfiguracją i poleceniami Klienta.
• Osoby, których dane dotyczą: pracownicy Klienta, współpracownicy i inni użytkownicy oraz osoby wymienione w ich dokumentach podróży i wydatków.
• Dane osobowe: dane tożsamości i kontaktowe, rola i dział, wnioski o podróż, plany podróży, rezerwacje i dokumenty podróży, paragony, wydatki, zwroty, zatwierdzenia i komentarze, rejestry logowań.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instrukcje

Carreh przetwarza dane osobowe wyłącznie na udokumentowane polecenia Klienta, którymi są Warunki, niniejsza DPA oraz sposób korzystania i konfiguracji Usługi przez Klienta, chyba że prawo UE lub państwa członkowskiego stanowi inaczej; w takim przypadku Carreh najpierw informuje Klienta, chyba że prawo tego zabrania. Carreh informuje Klienta, jeśli uzna polecenie za niezgodne z prawem.

3. Poufność

Wszyscy w Carreh upoważnieni do przetwarzania danych osobowych są zobowiązani do zachowania poufności.

4. Bezpieczeństwo

Carreh wdraża środki techniczne i organizacyjne określone w Załączniku 1 i utrzymuje je na poziomie odpowiednim do ryzyka. Carreh może je aktualizować, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.

5. Podprocesorzy

Klient upoważnia Carreh do korzystania z podprocesorów wymienionych tutaj. Carreh informuje właścicieli przestrzeni roboczych z co najmniej 30-dniowym wyprzedzeniem e-mailem o nowym podprocesorze. Klient może wnieść sprzeciw z uzasadnionych powodów związanych z ochroną danych; jeśli nie zostanie znalezione rozwiązanie, Klient może zakończyć objętą tym Usługę i otrzymać zwrot opłat przedpłaconych za pozostały okres. Carreh nakłada na każdego podprocesora obowiązki w zakresie ochrony danych równoważne niniejszej DPA i pozostaje za nie odpowiedzialna.

6. Transfery międzynarodowe

Gdy dane osobowe są przekazywane poza Europejski Obszar Gospodarczy do kraju bez decyzji o adekwatności, Carreh opiera się na standardowych klauzulach umownych Komisji Europejskiej, stosując w razie potrzeby dodatkowe środki.

7. Pomoc

Uwzględniając charakter przetwarzania, Carreh pomaga Klientowi odpowiadać na żądania osób, których dane dotyczą (Usługa pozwala Właścicielom i Administratorom znajdować, eksportować, poprawiać i usuwać rekordy), a także w zakresie bezpieczeństwa, powiadomień o naruszeniach, ocen skutków i konsultacji z organami nadzorczymi.

8. Naruszenia danych osobowych

Carreh powiadamia Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od powzięcia informacji o naruszeniu ochrony danych osobowych dotyczącym danych osobowych Klienta, przekazując informacje dostępne w danym momencie, a następnie aktualizuje je w miarę postępów w dochodzeniu.

9. Zwrot i usunięcie

Klient może w każdej chwili wyeksportować swoje dane. Po zakończeniu umowy Klient ma 30 dni na eksport; następnie Carreh usuwa dane osobowe w ciągu 90 dni, z wyjątkiem przypadków, gdy prawo UE lub państwa członkowskiego nakazuje ich przechowywanie. Kopie zapasowe są nadpisywane zgodnie z ich normalnym harmonogramem.

10. Audyty

Carreh udostępnia informacje potrzebne do wykazania zgodności z niniejszą umową powierzenia przetwarzania danych. Klient może przeprowadzić audyt raz w roku, po pisemnym powiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy, z zachowaniem poufności i na własny koszt, albo oprzeć się na aktualnych niezależnych certyfikatach podprocesorów Carreh, jeśli obejmują one przetwarzanie.

11. Odpowiedzialność i pierwszeństwo

Ograniczenia odpowiedzialności zawarte w Warunkach mają zastosowanie do niniejszej DPA, w zakresie dopuszczalnym przez prawo. W zakresie przetwarzania danych osobowych niniejsza DPA ma pierwszeństwo przed Warunkami.

12. Załącznik 1: środki techniczne i organizacyjne

• Rozdzielenie: Carreh for Business ma własne konta, bazę danych, pamięć masową i klucze, oddzielne od aplikacji konsumenckich Carreh. Dane każdej firmy są przechowywane osobno, a każde żądanie jest sprawdzane względem członkostwa użytkownika w firmie i jego roli.
• Kontrola dostępu: jednorazowe kody logowania wysyłane e-mailem; sesje przechowywane wyłącznie jako hashe; pracownicy Carreh potrzebują kodu e-mail i klucza dostępu; upoważnieni pracownicy otwierają zawartość przestrzeni roboczej wyłącznie w celu zapewnienia wsparcia, utrzymania bezpieczeństwa Usługi, zapobiegania oszustwom i wypełnienia obowiązków prawnych, a każde otwarcie jest rejestrowane w dzienniku działań przestrzeni roboczej.
• Monitorowanie: logowania i działania są rejestrowane wraz z siecią i urządzeniem; automatyczne kontrole oznaczają nietypowe logowania, zduplikowane lub zmienione paragony i nadużycia oraz blokują sieci nadużywane.
• Szyfrowanie: TLS w tranzycie; szyfrowanie w spoczynku przez dostawcę hostingu; sekrety uwierzytelniające szyfrowane algorytmem AES-256-GCM; kody i tokeny hashowane algorytmem SHA-256 i kluczem tajnym.
• Rejestrowanie: tylko do dopisywania, odporny na manipulacje dziennik działań dotyczący logowań i czynności administracyjnych.
• Odporność: zarządzana baza danych z odtwarzaniem do punktu w czasie i kopiami zapasowymi; procedury przywracania przetestowane przed uruchomieniem.
• Rozwój: przegląd kodu, testy automatyczne, w tym testy sprawdzające, że jedna firma nie ma dostępu do danych innej; sekrety poza kodem źródłowym.
• Minimalizacja: brak trackerów reklamowych; dostawcy AI nie trenują na danych Klienta.