Umowa powierzenia przetwarzania danych osobowych

§ 1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Graczy w zakresie i celu niezbędnym do świadczenia usługi StillShop.
2. Umowa obowiązuje przez czas świadczenia usługi oraz okres potrzebny do usunięcia lub zwrotu danych.

§ 2. Charakter, cel, kategorie danych i osób

• Kategorie osób: Gracze kupujący w Sklepie i osoby odwiedzające Sklep.
• Kategorie danych: nick Minecraft, adres e-mail (jeśli podany), adres IP, dane zamówienia (produkty, kwoty, status, identyfikatory płatności), kody rabatowe, treść ewentualnych zgłoszeń. Dane szczególnych kategorii (art. 9 RODO) nie są przetwarzane.
• Charakter i cel: zbieranie, przechowywanie, udostępnianie Administratorowi w panelu, przekazywanie operatorowi płatności wybranemu przez Administratora i pluginowi na serwerze Administratora – w celu przyjęcia zamówienia, płatności, wydania produktu, wyświetlenia widżetów sklepu (np. ostatnie zakupy) i przeciwdziałania nadużyciom.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora – poleceniem jest konfiguracja Sklepu w panelu oraz niniejsza umowa;
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
3. stosuje środki z art. 32 RODO: szyfrowanie transmisji (TLS), szyfrowanie kluczy płatności, kontrolę dostępu i role w zespole, dziennik zdarzeń, kopie zapasowe, aktualizacje bezpieczeństwa;
4. pomaga Administratorowi w realizacji praw osób, których dane dotyczą, m.in. przez udostępnienie w panelu danych zamówień;
5. pomaga Administratorowi w wypełnianiu obowiązków z art. 32–36 RODO;
6. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia;
7. udostępnia informacje potrzebne do wykazania zgodności z art. 28 RODO i umożliwia audyt, zapowiedziany z 14-dniowym wyprzedzeniem, na koszt Administratora;
8. informuje Administratora, jeśli jego polecenie narusza w jego opinii przepisy o ochronie danych.

§ 4. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela ogólnej zgody na korzystanie z następujących podmiotów:

2. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje w panelu lub e-mailem co najmniej 14 dni wcześniej. Administrator może zgłosić sprzeciw; jeśli nie da się go uwzględnić, może rozwiązać umowę.
3. Operatorzy płatności (np. Przelewy24, Stripe, PayPal, operatorzy SMS) są wybierani i konfigurowani przez Administratora i działają na podstawie umów zawartych bezpośrednio z Administratorem – nie są podprzetwarzającymi StillShop. Dotyczy to także StillDream Pay, jeśli Administrator ją włączy – płatność i saldo hostingu obsługuje wtedy StillDream na podstawie umowy z Administratorem.

§ 5. Obowiązki Administratora

1. Administrator odpowiada za podstawę prawną przetwarzania i za poinformowanie Graczy o przetwarzaniu (art. 13 RODO), np. w polityce prywatności sklepu.
2. Administrator nie poleca zbierania danych ponad potrzebę i nie umieszcza danych osobowych w polach do tego nieprzeznaczonych.

§ 6. Zakończenie

1. Po zakończeniu świadczenia usługi Podmiot przetwarzający usuwa dane w ciągu 30 dni, chyba że prawo nakazuje ich dalsze przechowywanie. Przed usunięciem Administrator może pobrać dane zamówień z panelu.
2. Odpowiedzialność stron określają art. 82 RODO i Regulamin. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.