Jak RessursAgent przetwarza i chroni dane osobowe w imieniu Twojej organizacji. Przeczytaj pełną umowę i jej załączniki w wybranym języku.
Opublikowana umowaWersja 1.0 · 14 października 2026
Wszystkie wersje językowe odnoszą się do wersji umowy 1.0. Językiem obowiązującym w umowie jest język angielski i ma pierwszeństwo w przypadku, gdy tłumaczenie różni się znaczeniem. Przeczytaj wersję angielską ↗
To jest opublikowana standardowa umowa o przetwarzaniu danych RessursAgent. Staje się wiążąca dla klienta, gdy ta wersja zostanie włączona do umowy o świadczenie usług lub w inny sposób zaakceptowana na piśmie, w tym elektronicznie. Sama publikacja nie zmienia istniejącej umowy z klientem. Szczegóły dotyczące klienta i usług są dostarczane przez zaakceptowane zamówienie oraz ustalenia w Załączniku D.
Niniejsze warunki obejmują przetwarzanie danych osobowych w RessursAgent. Załączniki określają zakres przetwarzania, środki bezpieczeństwa, dostawców oraz ustalenia specyficzne dla klienta.
Podmiotem przetwarzającym jest RessursAgent AS, norweski numer organizacyjny 935 854 067, Gydas vei 22, 0363 Oslo, Norwegia. Osoba kontaktowa ds. prywatności: privacy@ressursagent.no. Administratorem danych jest klient wskazany w umowie o świadczenie usług. Załącznik D może wskazywać klienta i uzgodnioną usługę poprzez odniesienie do tego zamówienia; nie wymaga to drugiej kopii informacji już wyraźnie zapisanych w nim.
Niniejsza umowa wraz z jej załącznikami zostanie zawarta na piśmie, w tym w formie elektronicznej, przed rozpoczęciem przetwarzania w imieniu klienta. Strony mogą włączyć tę wskazaną wersję do przyjętego zlecenia usług, bez osobnego podpisu odręcznego. Sama wizyta na tej stronie nie stanowi akceptacji. Osobno zawarta umowa o przetwarzaniu danych klienta pozostaje w mocy, chyba że strony zgodzą się ją zastąpić. W przypadku konfliktu z umową o świadczenie usług, niniejsza umowa o przetwarzaniu danych ma pierwszeństwo w zakresie przetwarzania danych osobowych.
Niniejsza DPA, w tym jej załączniki oraz wszelkie uzgodnione instrukcje specyficzne dla klienta, stanowi część Umowy Serwisowej RessursAgent określonej w Załączniku D. Uzgodniona subskrypcja/zamówienie oraz obowiązujące warunki RessursAgent regulują kwestie handlowe. Zaakceptowaną wersję należy przechowywać wraz z umową z klientem.
Niniejsza umowa reguluje przetwarzanie w celu zapewnienia i wsparcia RessursAgent: Mój plan, planowanie projektów, planowanie zasobów, planowanie strategiczne oraz uzgodnione funkcje AI, komunikacji i połączeń. Załącznik A określa przedmiot, charakter, cele, czas trwania, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą. Umowa ma zastosowanie tak długo, jak RessursAgent lub dalszy podmiot przetwarzający przetwarza dane osobowe w imieniu klienta, w tym w czasie zwrotu i usuwania danych.
Klient określa cele i istotne środki. RessursAgent określa praktyczne techniczne ustalenia w ramach tych instrukcji. Konta użytkowników, uprawnienia dostępu i dzienniki aktywności są uwzględniane, gdy są przetwarzane w celu świadczenia usługi w imieniu klienta. Dane przetwarzane przez RessursAgent dla własnych odrębnych celów, takich jak fakturowanie i kontakty z klientami, muszą być opisane oddzielnie w polityce prywatności. Dane nie wypadają poza zakres niniejszej umowy jedynie dlatego, że są danymi operacyjnymi.
Obowiązujące prawo ochrony danych oznacza rozporządzenie (UE) 2016/679 (Ogólne rozporządzenie o ochronie danych lub RODO), w zakresie obowiązującym w EOG i włączone do prawa norweskiego na mocy norweskiej ustawy o danych osobowych z dnia 15 czerwca 2018 r. nr 38, wraz z obowiązującymi uzupełniającymi przepisami o ochronie danych. Umowa ma na celu określenie warunków przetwarzania wymaganych przez artykuł 28 RODO. Obowiązkowe zabezpieczenia wynikające z obowiązującego prawa pozostają bez zmian.
Dane osobowe, przetwarzanie, administrator, podmiot przetwarzający, naruszenie ochrony danych osobowych i organ nadzorczy mają znaczenie określone w RODO. Użytkownik to osoba fizyczna upoważniona przez klienta do korzystania z usługi. Dalszy podmiot przetwarzający to inny podmiot przetwarzający, z którego usług RessursAgent korzysta w celu przetwarzania danych osobowych w imieniu klienta.
Dane klienta oznaczają informacje przekazane do usługi lub wygenerowane w niej zgodnie z instrukcjami klienta. Niniejsza umowa reguluje przetwarzanie danych osobowych zawartych w tych informacjach, w tym danych dotyczących planowania, komunikacji, dokumentów i wyników analiz. To, czy RessursAgent działa jako podmiot przetwarzający czy administrator w odniesieniu do konkretnej czynności, zależy od jej rzeczywistego celu i zakresu odpowiedzialności, zgodnie z punktem 2.
Usługa oznacza aplikację RessursAgent jako oprogramowanie jako usługa w app.ressursagent.no oraz funkcje uzgodnione z klientem. Dane klienta obejmują informacje wprowadzone lub zaimportowane przez uprawnionych użytkowników oraz wynikowe rekordy planowania. Klient zachowuje swoje prawa do zgłoszonych treści; niniejsza DPA umożliwia przetwarzanie wyłącznie w celu świadczenia uzgodnionej usługi i realizacji prawnie obowiązujących instrukcji. Czas trwania subskrypcji, ceny, zobowiązania dotyczące wsparcia i okres wypowiedzenia określono w Umowie o Świadczenie Usług, a nie wynikają one z warunków innego usługodawcy.
RessursAgent będzie przetwarzać dane osobowe wyłącznie zgodnie z udokumentowanymi instrukcjami klienta, w tym instrukcjami dotyczącymi ujawniania i transferów poza EOG. Instrukcje obejmują niniejszą umowę, jej wypełnione załączniki oraz żądania od upoważnionych użytkowników w ramach uzgodnionej funkcjonalności usługi, w tym API i MCP. Strony będą dokumentować późniejsze instrukcje i zmiany zakresu przetwarzania na piśmie.
RessursAgent nie będzie wykorzystywać danych osobowych przetwarzanych na mocy niniejszej umowy do własnych niepowiązanych celów, reklam, sprzedaży danych ani tworzenia profili między klientami. Jeżeli RessursAgent określi odrębny cel i istotne środki przetwarzania, jego odpowiedzialność prawna będzie wynikać z faktycznej roli zgodnie z obowiązującym prawem; niniejsza umowa nie upoważnia do takiej zmiany celu.
Jeżeli prawo UE/EOG lub norweskie, wiążące dla RessursAgent, wymaga przetwarzania danych w sposób odbiegający od instrukcji klienta, RessursAgent poinformuje klienta o tym wymogu prawnym przed przetwarzaniem, chyba że prawo zabrania tego z ważnych powodów interesu publicznego. RessursAgent niezwłocznie poinformuje klienta, jeżeli instrukcja wydaje się naruszać obowiązujące przepisy o ochronie danych, i wstrzyma realizację danej instrukcji do czasu ustalenia zgodnego z prawem sposobu działania.
Klient powinien ustalić i udokumentować prawnie uzasadnioną podstawę przetwarzania zgodnie z artykułem 6 RODO, dostarczyć informacje wymagane przez artykuły 13 i 14 oraz przestrzegać zasad zawartych w artykule 5. Klient powinien zapewnić, że dane osobowe są odpowiednie, istotne, ograniczone do niezbędnego zakresu, dokładne i przechowywane nie dłużej niż jest to konieczne dla określonych celów. Uprawnienia użytkowników, instrukcje dotyczące przechowywania danych oraz dane ujawniane poprzez integracje powinny odzwierciedlać te cele.
Klient powinien ocenić ryzyka związane z prywatnością i, jeśli jest to wymagane przez artykuł 35, przeprowadzić ocenę skutków dla ochrony danych przed rozpoczęciem odpowiedniego przetwarzania. Wszelkie wymagane wcześniejsze konsultacje zgodnie z artykułem 36 powinny być zakończone przed przetwarzaniem. RessursAgent będzie wspierać w ramach klauzuli 11. Klient powinien również uwzględnić obowiązujące przepisy dotyczące zatrudnienia i monitorowania miejsca pracy.
Usługa obsługuje kategorie nieobecności i daty w planowaniu zasobów, takie jak urlop czy choroba. Klient powinien określić, które kategorie każdy uprawniony odbiorca musi widzieć oraz udokumentować cel i podstawę prawną. Szczegółowe powody medyczne i diagnozy wykraczają poza standardowy zakres planowania. Każde ograniczenie dostępu tylko do określonych kategorii musi być zweryfikowane, zanim zostanie na nim polegane. Powiadomienia załogi mogą być przekazywane poprzez umowy o pracę i powiązane informacje, ale te dokumenty nie zastępują ocen klienta dotyczących podstawy prawnej i konieczności.
Kategoria urlopowa sama w sobie nie wskazuje stanu zdrowia, ale kategoria chorobowa powiązana z osobą ujawnia informacje o zdrowiu, nawet bez diagnozy czy szczegółowego wyjaśnienia. Do takiego przetwarzania klient powinien wskazać odpowiedni warunek z artykułu 9 ust. 2 oraz podstawę z artykułu 6. Potwierdzenie umowy o pracę samo w sobie nie stanowi ważnej zgody ani nie czyni wszystkich ujawnień koniecznymi. Tam, gdzie opiera się na zgodzie, jej ważność musi być oceniana osobno, w tym swoboda wyboru w stosunku pracy, szczegółowość, informacje oraz możliwość wycofania zgody bez szkody; artykuł 9 ust. 2 lit. a wymaga wyraźnej zgody. Gdy kategoria nie może być legalnie udostępniona określonej grupie odbiorców, zamiast tego należy wyświetlić ogólny status niedostępny. Klient powinien udokumentować odpowiednią podstawę, konieczność, środki dostępu i zabezpieczenia dotyczące przechowywania.
Diagnozy, raporty medyczne, zbędne szczegóły narracyjne, dane dotyczące przestępstw oraz numery identyfikacji narodowej znajdują się poza standardowym zakresem planowania, chyba że zostanie to osobno uzgodnione z niezbędnymi prawnie warunkami i zabezpieczeniami. Numery kart HMS są identyfikatorami zawodowymi, a nie uprawnieniem do zbierania numerów identyfikacji narodowej. RessursAgent będzie przestrzegać prawnych instrukcji w celu ograniczenia, zwrócenia lub usunięcia danych znajdujących się poza uzgodnionym zakresem; jego obowiązki trwają dla danych faktycznie otrzymanych.
RessursAgent zapewni, że osoby mające dostęp będą podlegać umownym lub ustawowym obowiązkom zachowania poufności. Dostęp będzie ograniczony do tego, co jest niezbędne do wykonania zadania i zostanie cofnięty, gdy nie będzie już potrzebny. Poufność będzie obowiązywać również po zakończeniu zatrudnienia i umowy. Dane klienta nie będą ujawniane innym klientom ani wykorzystywane w celach niezwiązanych z osobami trzecimi.
Obie strony będą chronić informacje poufne wymieniane w celu realizacji niniejszej umowy, w tym dokumentację bezpieczeństwa i niepubliczne informacje o klientach. Dozwolone jest ujawnienie, które jest niezbędne do wypełnienia obowiązków prawnych, udzielenia pomocy osobom, uzyskania porad zawodowych na zasadzie poufności lub współpracy z organem nadzorczym.
RessursAgent będzie wdrażać, utrzymywać i dokumentować odpowiednie środki techniczne i organizacyjne odpowiednie do ryzyka zgodnie z artykułem 32 RODO, uwzględniając stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyka dla osób fizycznych. Środki te będą obejmować bieżącą poufność, integralność, dostępność i odporność przetwarzania, terminowe przywracanie dostępu do danych po incydencie oraz regularne testowanie i ocenę ich skuteczności.
Załącznik B powinien odnotowywać konkretne środki, w tym kontrolę dostępu, separację klientów, ochronę danych w tranzycie i w stanie spoczynku, tworzenie kopii zapasowych i odzyskiwanie, bezpieczny rozwój oraz obsługę incydentów. Szyfrowanie i pseudonimizacja powinny być oceniane i stosowane tam, gdzie jest to odpowiednie w stosunku do ryzyk. Personel powinien przetwarzać dane tylko w ramach swoich uprawnień i zgodnie z instrukcjami klienta. Środki powinny być wdrożone przed rozpoczęciem przetwarzania, do którego się odnoszą.
RessursAgent będzie wspierać klienta w zakresie ochrony danych już na etapie projektowania i domyślnie w ramach świadczonych usług. Środki bezpieczeństwa mogą być rozwijane bez obniżania uzgodnionego poziomu ochrony lub zgodności z obowiązującym prawem. Istotne zmiany powinny być dokumentowane i komunikowane klientowi.
Każda ze stron będzie prowadzić rejestry przetwarzania wymagane na mocy Artykułu 30, wyznaczać inspektora ochrony danych tam, gdzie wymaga go Artykuł 37, oraz współpracować z właściwymi organami nadzorczymi. RessursAgent będzie przechowywać dokumentację wspierającą bezpieczeństwo, regularnie oceniać skuteczność swoich środków oraz usuwać stwierdzone braki. Publikacja niniejszej umowy nie stanowi certyfikacji ani niezależnego audytu bezpieczeństwa.
RessursAgent nie może angażować dalszego podmiotu przetwarzającego bez uprzedniej, szczegółowej lub ogólnej, pisemnej zgody klienta. Zawierając niniejszą umowę, klient wyraża zgodę na dalszych podmiotów przetwarzających wymienionych w Załączniku C dla funkcji objętych uzgodnioną usługą oraz udziela ogólnej pisemnej zgody na późniejsze dodatki lub zamiany zgodnie z niniejszym postanowieniem. Wymienienie usługi opcjonalnej nie uprawnia do jej używania ani nie zezwala na niezwiązane przetwarzanie.
RessursAgent poinformuje klienta bezpośrednio na piśmie o planowanych dodatkach lub zastąpieniach dalszych podmiotów przetwarzających z odpowiednim wyprzedzeniem, aby umożliwić sensowny sprzeciw przed rozpoczęciem przetwarzania. Powiadomienie powinno wskazywać podmiot, działalność, odpowiednie dane, miejsca przetwarzania oraz środki ochrony przy transferze. Wszelki dodatkowy uzgodniony minimalny okres powiadomienia zostanie odnotowany w Załączniku D. Strony będą dążyć do prawnie zgodnego rozwiązania udowodnionych zastrzeżeń dotyczących ochrony danych. Sporne przetwarzanie nie rozpocznie się dla tego klienta, dopóki sprzeciw nie zostanie rozwiązany; jeśli nie jest możliwe prawnie zgodne rozwiązanie, dotknięta usługa zostanie zawieszona lub zakończona z zwrotem i usunięciem zgodnie z klauzulą 14.
Zanim dalszy podmiot przetwarzający otrzyma dane osobowe, RessursAgent oceni jego wystarczające gwarancje i zawrze wiążącą umowę nakładającą, w istocie, te same obowiązki w zakresie ochrony danych co niniejsza umowa dotycząca powierzonego przetwarzania, w tym odpowiednie zabezpieczenia i wsparcie. RessursAgent pozostaje w pełni odpowiedzialny wobec klienta za wypełnianie tych obowiązków przez dalszy podmiot przetwarzający zgodnie z Artykułem 28(4).
RessursAgent będzie utrzymywać aktualny zatwierdzony rejestr i dostarczać informacji w rozsądnej mierze niezbędnych do weryfikacji ustaleń dotyczących dalszych podmiotów przetwarzających. Odpowiednie umowy mogą być redagowane wyłącznie w zakresie koniecznym do ochrony informacji poufnych, bez uniemożliwiania klientowi oceny zgodności. RessursAgent powiadomi klienta o niezgodności dalszego podmiotu przetwarzającego mającej wpływ na przetwarzanie i podejmie odpowiednie działania korygujące.
Wykonywanie funkcji aplikacji, główna baza danych aplikacji oraz zarządzane kopie zapasowe i przywracanie bazy danych są skonfigurowane we Frankfurcie w Niemczech. RessursAgent będzie utrzymywać to regionalne ograniczenie dla tej infrastruktury. Dostarczanie treści, logi operacyjne, dostęp do wsparcia oraz oddzielnie zaangażowane usługi AI, email, SMS i inne mają swoje własne miejsca przetwarzania. Załącznik C identyfikuje te usługi; klauzule 8 i 9 regulują ich użycie oraz wszelkie międzynarodowe transfery.
Załącznik C powinien określać uzgodnione miejsca przetwarzania i przechowywania, obsługiwać dostęp z innych krajów oraz odpowiednie dalsze przetwarzanie. Umieszczenie bazy danych w EOG nie oznacza samo w sobie, że całe przetwarzanie odbywa się tam. Zmiany lokalizacji powinny być oceniane przed ich wdrożeniem i podlegają udokumentowanym instrukcjom klienta oraz klauzuli 8 w przypadku zmiany dalszego podmiotu przetwarzającego.
Z wyjątkiem sytuacji, gdy obowiązek prawny opisany w klauzuli 4 ma zastosowanie, transfery poza EOG mogą odbywać się wyłącznie na podstawie udokumentowanych instrukcji klienta. Każdy taki transfer, w tym odpowiedni zdalny dostęp i dalsze transfery, musi spełniać wymagania Rozdziału V RODO. Przed transferem danych RessursAgent musi udokumentować odbiorcę, kraj oraz stosowny mechanizm, taki jak decyzja o adekwatności w jej zakresie lub odpowiednie zabezpieczenia zgodnie z artykułem 46.
Tam, gdzie stosowane są standardowe klauzule umowne, RessursAgent oceni ich skuteczną ochronę w okolicznościach transferu, udokumentuje odpowiednie prawo i praktyki kraju odbiorcy oraz wdroży środki dodatkowe, gdy będzie to konieczne. Transfery nie mogą się rozpocząć ani powinny zostać zawieszone, jeśli nie można zapewnić wymaganej ochrony. Niniejsza umowa sama w sobie nie jest mechanizmem transferu w ramach Rozdziału V.
Po włączeniu i skonfigurowaniu, asystent korzysta z komercyjnego API Claude Anthropic do interpretacji żądań, przygotowywania proponowanych działań, tworzenia odpowiedzi i zapewniania wsparcia językowego. Kontekst zadania może obejmować wybrane osoby, sprzęt, projekty, daty, przydziały i dostępne informacje planistyczne; mogą być również uwzględnione szczegóły profilu użytkownika, zapisane preferencje lub wspomnienia, ostatnie pytania oraz istotna historia rozmów. Załączniki są przetwarzane po ich przesłaniu. Dozwolony zakres musi być sprawdzony w odniesieniu do faktycznej konstrukcji polecenia i uprawnień użytkownika, w tym opcjonalnych pól. RessursAgent ujawnia tylko to, co jest niezbędne do autoryzowanego zadania.
RessursAgent korzysta z Anthropic na standardowych warunkach handlowych, które obejmują aneks dotyczący przetwarzania danych i zabraniają trenowania na Treściach Klienta. Standardowe dane wejściowe i wyjściowe API są zwykle usuwane w ciągu 30 dni; usługi plików kontrolowane przez dostawcę, specyficzne wymagania bezpieczeństwa modeli, dochodzenia w zakresie polityki użytkowania i zobowiązania prawne mogą podlegać innym okresom przechowywania. Nie uwzględniono indywidualnego porozumienia o zerowym przechowywaniu danych. RessursAgent udokumentuje obowiązujący model, narzędzie, zasady przechowywania i transferu oraz ograniczy ujawniane dane do autoryzowanego zadania.
Jako ograniczenie wynikające z umowy dla tej usługi, RessursAgent nie będzie używać ani pozwalać swoim dalszym podmiotom przetwarzającym na używanie danych osobowych przetwarzanych na mocy tej umowy do szkolenia lub ulepszania modeli ogólnego przeznaczenia, tworzenia profili międzyklienckich ani rozwijania niezwiązanych produktów. Umowy z dostawcami i ustawienia powinny wspierać to ograniczenie przed rozpoczęciem odpowiedniego przetwarzania. Wszelkie przetwarzanie związane z bezpieczeństwem lub monitorowaniem nadużyć musi być udokumentowane, ograniczone do legalnego celu i ocenione pod kątem rzeczywistej roli dostawcy.
Wynik AI stanowi wsparcie w podejmowaniu decyzji i może zawierać błędy. Klient powinien zapewnić sensowną kontrolę przez człowieka, posiadającą uprawnienia do odrzucenia lub zmiany propozycji, przed poleganiem na wyniku przy podejmowaniu decyzji dotyczących osób. Zmiany planowane przez asystenta RessursAgent wymagają zatwierdzenia przez użytkownika i pozostają pod kontrolą uprawnień i walidacji usług. Samo kliknięcie potwierdzenia nie stanowi sensownej kontroli. Każda decyzja w pełni zautomatyzowana, mająca na celu wywołanie skutków prawnych lub podobnie istotnych, wymaga osobnej oceny zgodnie z art. 22, uwzględnienia odpowiednich wyjątków i wymaganych zabezpieczeń; nie jest ona uprawniona przez standardowe instrukcje przetwarzania.
Załączniki i historia rozmów mogą być przetwarzane w celu realizacji upoważnionego żądania. Wyodrębniony tekst dokumentu lub przesłane pliki mogą być wysyłane do dostawcy AI w zależności od rodzaju pliku. Historia aplikacji i pliki przechowywane przez dostawcę mają osobne zasady przechowywania. W przypadku tymczasowych przesyłek Files API aplikacja żąda wygaśnięcia nie dłuższego niż jedna godzina, weryfikuje zwrócony termin ważności przed użyciem i żąda usunięcia po przetworzeniu. Te kontrole aplikacji nie gwarantują natychmiastowego fizycznego usunięcia każdej kopii u dostawcy. RessursAgent będzie monitorować nieudane żądania wygaśnięcia/usunięcia, stosować zgodne z prawem instrukcje usunięcia do odpowiednich kopii i dokumentować wszelkie ograniczone pozostałości przechowywania zgodnie z klauzulą 14.
SMS korzysta z Strex/Target365. E-mail produktowy i e-mail uwierzytelniający, w tym zaproszenia i odzyskiwanie hasła, korzystają z Resend. Usługi te przetwarzają dane odbiorców, odpowiednie treści, zdarzenia związane z dostarczaniem oraz linki. Zatwierdzony zakres, lokalizacje i okres przechowywania będą odnotowane w Załączniku C. Wrażliwe informacje o nieobecnościach oraz numery kart HMS nie powinny być uwzględniane w wiadomościach ani w podpowiedziach AI, chyba że zostaną oddzielnie ocenione i specjalnie autoryzowane z odpowiednią ochroną dostawcy.
Systemy połączone z klientem oraz zewnętrzni klienci AI korzystający z API lub MCP będą oceniani w zależności od tego, kto je angażuje, ich rzeczywistej roli, danych, do których mają dostęp, oraz uprawnionych działań. Nie są automatycznie dalszymi podmiotami przetwarzającymi RessursAgent. Klient zapewni wymagane instrukcje, legalne ujawnienie i umowy dla usług, które angażuje; RessursAgent pozostaje odpowiedzialny za zobowiązania związane z własną usługą i dalszymi podmiotami przetwarzającymi.
Opcjonalny widok mapy korzysta z Google Maps. Geokodowanie adresów wykorzystuje usługę Geonorge Kartverket, w tym adresy projektów i adresy baz pracy zasobów, tam gdzie są skonfigurowane. Linki kierowane przez klienta mogą ujawnić numer telefonu w Gule Sider lub numer karty BHP w Jobbkort po kliknięciu przez użytkownika. Te ujawnienia i zewnętrzni dostawcy tożsamości są rejestrowani oddzielnie w Załączniku C; ich role i legalne użycie muszą być ocenione, zamiast traktować każdą zewnętrzną usługę jako dalszy podmiot przetwarzający. Ani ta umowa, ani katalog połączeń nie upoważniają do niepotrzebnego ujawniania informacji.
Klient ponosi odpowiedzialność za odpowiadanie osobom wykonującym prawa wynikające z Rozdziału III RODO. RessursAgent niezwłocznie przekaże otrzymane żądania i nie będzie odpowiadać w imieniu klienta bez instrukcji, chyba że wymagają tego przepisy prawa. Żądania kierowane do privacy@ressursagent.no powinny określać sprawę, zakres i obowiązujący termin, bez uwzględniania niepotrzebnych danych osobowych.
Biorąc pod uwagę charakter przetwarzania, RessursAgent będzie wspierać klienta poprzez odpowiednie środki techniczne i organizacyjne, w miarę możliwości, aby klient mógł realizować żądania dotyczące dostępu, sprostowania, usunięcia, ograniczenia, przenoszalności oraz sprzeciwu, a także innych przysługujących praw z Rozdziału III. Strony ustalą bezpieczną wymianę informacji i wystarczająco szybką pomoc w celu dotrzymania ustawowych terminów; procedury wewnętrzne nie mogą wydłużać tych terminów.
Biorąc pod uwagę charakter przetwarzania i informacje dostępne dla RessursAgent, RessursAgent będzie wspierać klienta w wypełnianiu obowiązków wynikających z Artykułów 32–36, w tym w zakresie bezpieczeństwa, oceny naruszeń i powiadamiania, ocen skutków oraz wcześniejszych konsultacji. Uzgodnione szczegóły operacyjne zostaną zapisane w Załącznikach B i D. Wszelkie opłaty za wsparcie muszą być uzgodnione z wyprzedzeniem i nie mogą uniemożliwiać prawnie wymaganego wsparcia.
RessursAgent niezwłocznie powiadomi wyznaczoną przez klienta osobę kontaktową ds. incydentów po uzyskaniu wiedzy o naruszeniu ochrony danych osobowych mającym wpływ na przetwarzanie w ramach niniejszej umowy, zgodnie z wymogami artykułu 33 ust. 2. Nie będzie czekać na zakończenie pełnego śledztwa ani na własną ocenę, czy naruszenie musi być zgłoszone organowi. W przypadku niepełnych informacji, zawiadomienie wstępne będzie uzupełniane aktualizacjami bez zbędnej zwłoki.
W zakresie dostępnych informacji, powiadomienie powinno określać charakter naruszenia, dotknięte kategorie oraz przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, środki powstrzymujące i naprawcze oraz kontakt do uzyskania dalszych informacji. RessursAgent udokumentuje fakty i reakcję, zachowa odpowiednie dowody, podejmie proporcjonalne środki powstrzymujące i łagodzące skutki oraz będzie wspierać klienta.
Klient będzie oceniać i wypełniać swoje obowiązki wynikające z Artykułów 33 i 34. W przypadku, gdy wymagane jest powiadomienie organu, Artykuł 33(1) wymaga powiadomienia bez zbędnej zwłoki, a jeśli to możliwe, w ciągu 72 godzin od momentu, gdy klient dowiedział się o zdarzeniu; opóźnione powiadomienie musi zawierać wyjaśnienie przyczyn. Powiadomienie nie jest wymagane, jeśli naruszenie prawdopodobnie nie doprowadzi do ryzyka dla praw i wolności osób fizycznych. Komunikacja z osobami fizycznymi powinna odbywać się zgodnie z Artykułem 34, w tym z uwzględnieniem progu wysokiego ryzyka i stosownych wyjątków. Zasady te nie przyznają RessursAgent 72-godzinnego okresu oczekiwania na powiadomienie klienta.
Klient niezwłocznie poinformuje RessursAgent o naruszonych kontach lub innych incydentach wpływających na usługę oraz będzie współpracować w ich ograniczaniu. Kontakty w sprawie incydentów, kanały eskalacyjne oraz wszelkie surowsze odpowiedzi kontraktowe zostaną zawarte w Załączniku D i nie będą wstrzymywać obowiązków ustawowych.
RessursAgent udostępni wszelkie informacje niezbędne do wykazania zgodności z artykułem 28 i niniejszą umową, odpowie odpowiednio na zapytania klienta oraz umożliwi i przyczyni się do audytów, w tym inspekcji, przeprowadzanych przez klienta lub audytora wyznaczonego przez niego. Istotne niezależne raporty mogą wspierać tę ocenę, ale nie będą automatycznie zastępować koniecznego audytu lub inspekcji.
Rutynowe audyty powinny być zwykle umawiane z czterotygodniowym wyprzedzeniem. To oczekiwanie dotyczące harmonogramu nie ogranicza audytów wymaganych pilnie po zdarzeniu, podejrzeniu niezgodności lub wymogu organu. Strony powinny uzgodnić proporcjonalne ustalenia, które chronią dane innych klientów i informacje poufne, nie uniemożliwiając skutecznej weryfikacji. Opłaty powinny być uzgodnione z wyprzedzeniem i nie mogą sprawić, że prawo do audytu stanie się nieskuteczne. Odpowiednia dokumentacja i ustalenia powinny być dostępne dla właściwego organu nadzoru, w razie potrzeby.
RessursAgent będzie przestrzegać zasady ograniczenia przechowywania zgodnie z artykułem 5 ust. 1 lit. e RODO oraz obowiązującym norweskim prawem ochrony danych. Dane osobowe przetwarzane w imieniu klienta będą przechowywane wyłącznie tak długo, jak jest to konieczne do realizacji uzgodnionych celów oraz zgodnie z prawnie udokumentowanymi instrukcjami, lub zgodnie z wymaganiami obowiązującego prawa. Klient określi odpowiednie okresy przechowywania lub obiektywne kryteria, a RessursAgent wdroży uzgodnione procedury przeglądu i usuwania. Nie istnieje jeden ustawowy okres przechowywania obowiązujący dla wszystkich danych w ramach usługi.
Podczas świadczenia usług, RessursAgent będzie wdrażać zgodne z prawem instrukcje dotyczące przechowywania i usuwania danych w uzgodnionym zakresie. Po zakończeniu odpowiednich usług przetwarzania, klient wybierze zwrot lub usunięcie danych osobowych. RessursAgent wykona ten wybór i usunie pozostałe kopie, chyba że prawo UE/EEA lub Norwegii wymaga dalszego przechowywania. Dane nie będą przechowywane ani wykorzystywane do celów niezwiązanych po zakończeniu świadczenia usług.
Zwrot lub usunięcie należy zakończyć bez zbędnej zwłoki, nie później niż w ciągu 30 dni kalendarzowych od wyjaśnienia instrukcji klienta i niezbędnego zakresu. RessursAgent ma obowiązek niezwłocznie zwrócić się o potrzebne wyjaśnienia i nie może wykorzystywać tego procesu do niepotrzebnego przedłużania przechowywania. Zwrot następuje w ustrukturyzowanym, powszechnie używanym formacie oraz przez uwierzytelniony lub szyfrowany kanał przekazania. Pozostałe aktywne kopie należy usunąć po zakończeniu zwrotu, chyba że zgodna z prawem instrukcja lub obowiązek przechowywania wymaga inaczej. Procedura obejmuje aktywne systemy, załączniki, odpowiednie dzienniki i kopie u dalszych podmiotów przetwarzających, z zastrzeżeniem opisanych poniżej udokumentowanych zasad dotyczących kopii zapasowych oraz zgodnych z prawem wyjątków po stronie dostawców. Ten termin operacyjny nie przedłuża ustawowych terminów realizacji praw osób, których dane dotyczą.
Kopie zapasowe oczekujące na skasowanie w ramach udokumentowanego cyklu przechowywania powinny być chronione i niedostępne do zwykłego użytku. Zarządzane kopie zapasowe baz danych RessursAgent obracają się w przybliżeniu co siedem dni. Specyficzne dla dostawcy kopie pozostające w systemie podlegają odpowiednim ograniczonym zasadom przechowywania określonym w Załączniku C. W przypadku zwrotu lub usunięcia RessursAgent powinien zarejestrować i poinformować klienta o ostatecznej dacie wygaśnięcia lub obowiązującym kryterium prawnym przechowywania dla pozostałych kopii. Polityka dostawcy sama w sobie nie zezwala na przechowywanie wbrew obowiązującemu prawu lub tej umowie. Niezałatwione instrukcje dotyczące usunięcia powinny zostać ponownie zastosowane, zanim normalny dostęp zostanie przywrócony po przywróceniu danych. RessursAgent powinien uzyskać odpowiednie dowody usunięcia danych przez dalszy podmiot przetwarzający i na piśmie potwierdzić klientowi zakończenie oraz wszelkie ograniczone przechowywanie pozostałych kopii.
Jeżeli prawo wymaga dalszego przechowywania, RessursAgent, chyba że jest to zabronione, poinformuje klienta o podstawie prawnej, danych objętych obowiązkiem oraz wymaganym okresie. Dostęp i przetwarzanie będą ograniczone do wymogów prawa, a dane pozostaną chronione aż do usunięcia.
Każda ze stron odpowiada za swoje zobowiązania wynikające z obowiązującego prawa ochrony danych oraz niniejszej umowy. Odpowiedzialność między stronami podlega obowiązującemu prawu oraz wszelkim ważnym ograniczeniom wyraźnie uzgodnionym w umowie usługowej. Żadne ograniczenie nie zwalnia z obowiązków narzuconych przepisami ani nie tworzy dodatkowego limitu w ramach tej umowy.
Żadne postanowienia niniejszej umowy nie ograniczają praw osób, których dane dotyczą, do odszkodowania na mocy art. 82 RODO ani uprawnień organów nadzorczych. Gdy jedna strona wypłaciła odszkodowanie za szkodę, za którą odpowiedzialna jest druga strona, rozliczenie między stronami następuje zgodnie z podziałem odpowiedzialności na podstawie art. 82 ust. 5 i obowiązujących przepisów prawa.
Zmiany wymagane przez prawo, rozwój usług lub ustalenia dotyczące przetwarzania danych muszą być udokumentowane. Proponowane istotne zmiany powinny być zwykle zgłaszane co najmniej 30 dni przed planowaną datą wejścia w życie i wymagać pisemnej zgody, w tym zgody elektronicznej. Opublikowanie zmienionego dokumentu samo w sobie nie zmienia zawartej umowy z klientem. Zmiany dostawcy podlegają klauzuli 8; obowiązkowe przepisy prawa stosuje się, gdy jest to wymagane prawnie.
W przypadku braku zgodności, strony powinny dążyć do terminowego naprawienia sytuacji. Przetwarzanie, którego nie można przeprowadzić zgodnie z prawem, zostanie zawieszone lub zakończone w sposób chroniący dane, z ich zwrotem i usunięciem zgodnie z klauzulą 14. Obowiązkowe zobowiązania prawne mają pierwszeństwo przed sprzecznymi instrukcjami lub warunkami.
Niniejsza umowa podlega prawu norweskiemu. Z zastrzeżeniem obowiązkowych przepisów o jurysdykcji, spory wynikające z niniejszej umowy między stronami będą rozstrzygane przed Sądem Okręgowym w Oslo (Oslo tingrett). Nie ogranicza to ustawowych środków ochrony przysługujących osobom, których dane dotyczą, ich prawa do składania skarg do organu nadzorczego ani uprawnień właściwych organów.
Językiem umownym tej umowy i wszystkich załączników jest angielski. Tłumaczenia są udostępniane, aby umowa była dostępna w językach na stronie internetowej. Jeśli tłumaczenie różni się pod względem znaczenia, obowiązuje wersja angielska. Wszelkie wypełnione załączniki, pisemne poprawki i uzgodniona wersja przechowywane są w języku angielskim.
Ten załącznik określa standardowy zakres przetwarzania. Specyficzne dla klienta zamówienie i Załącznik D wskazują funkcje faktycznie używane oraz dodatkowe zgodne z prawem instrukcje. Funkcje opcjonalne i połączenia nie uprawniają do nieograniczonego ujawniania informacji.
Następujące środki techniczne i organizacyjne są częścią zobowiązań RessursAgent według klauzuli 7. Dokumentacja pomocnicza, zapisy testów i oceny bezpieczeństwa są przechowywane osobno i udostępniane zgodnie z klauzulą 13. Nie jest zapewniona żadna certyfikacja, nieprzerwana dostępność ani gwarancja numerycznego odzyskania danych.
Poniższy rejestr identyfikuje dalszych podmiotów przetwarzających RessursAgent i innych odbiorców dla standardowej usługi. Usługi opcjonalne mają zastosowanie tylko wtedy, gdy są uwzględnione w uzgodnionej usłudze. RessursAgent będzie aktualizować rejestr oraz wspierające rekordy odbiorców, krajów, okresów przechowywania i transferów, udostępniać je zgodnie z klauzulą 13 i postępować według klauzuli 8 w przypadku zmian dalszych podmiotów przetwarzających.
Ograniczenie dotyczące Frankfurtu dotyczy infrastruktury określonej w klauzuli 9. Nie dotyczy ono wszystkich odbiorców wymienionych poniżej. Transfery międzynarodowe i odpowiedni zdalny dostęp wymagają środków ochronnych określonych w klauzuli 9. Linki do dostawców zawierają dodatkowe informacje; zmiany na stronie internetowej dostawcy nie zmieniają automatycznie uzgodnionych warunków klienta.
Poniższe informacje specyficzne dla klienta są dostarczane przez zaakceptowane zamówienie serwisowe, rejestr administracji konta oraz wszelkie uzgodnione pisemne instrukcje. Nie muszą być powtarzane w osobnym podpisanym harmonogramie. Standardowe postanowienia w Załącznikach A–C mają zastosowanie, chyba że strony pisemnie zgody na zgodną z prawem zmianę.
Opublikowana umowa · Wersja 1.0 · 14 października 2026