Dokumentacja

Proces zmiany dostawcy, dane do eksportu - Data Act

Autor: Łukasz Strumiński

Utworzono: 1 sierpień. Aktualizacja: 27 sierpień.

Data Act - informacje prawne oraz techniczne

Niniejsza strona zawiera kompleksowe informacje prawne oraz techniczne, które, jako Usługodawca, jesteśmy zobowiązani do przekazania naszym Abonentom, w związku z wejściem w życie oraz stosowaniem Rozporządzenia Data Act. Opisane w dokumencie informacje są integralną częścią Umowy zawartej z Abonentem, stanowiąc jej uzupełnienie.

Proces zmiany dostawcy oraz eksportu danych oraz wynikające z niego dla Abonenta prawa i obowiązki zostały określone szczegółowo w Załączniku nr 5 do Regulaminu.

Z tego dokumentu uzyskasz informacje o:

1. jurysdykcji jakiej podlega infrastruktura ICT używana do przetwarzania danych w ramach świadczonych Usług;
2. szczegółowej specyfikacji wszystkich kategorii danych i aktywów cyfrowych, które Abonent może przenieść w procesie zmiany dostawcy, w tym co najmniej o danych eksportowalnych;
3. szczegółowej specyfikacji kategorii danych specyficznych dla wewnętrznego funkcjonowania dostawcy usługi przetwarzania danych, które są wyłączone spośród danych eksportowalnych;
4. istniejących procedurach zmiany dostawcy i przeniesienia usługi przetwarzania danych, w tym informacje o dostępnych metodach i formatach zmiany dostawcy i przeniesienia oraz o limitach i ograniczeniach technicznych znanych dostawcy usług przetwarzania danych;
5. aktualnym rejestrze internetowym prowadzonym przez dostawcę ze szczegółowymi informacjami o wszelkich strukturach danych i formatach danych oraz o stosownych normach i otwartych specyfikacjach w zakresie interoperacyjności, w których dostępne są dane eksportowalne;
6. wybranych środkach technicznych, organizacyjnych i umownych przyjętych przez dostawcę usług przetwarzania danych w celu zapobieżenia międzynarodowemu dostępowi do danych nieosobowych przechowywanych na terenie Unii lub ich przekazania administracji rządowej, w przypadku gdy taki dostęp lub takie przekazanie skutkowałyby naruszeniem prawa Unii lub prawa krajowego danego państwa członkowskiego;
7. usługach przetwarzania danych, które wiążą się z wysoce złożoną lub kosztowną zmianą dostawcy lub z niemożnością zmiany dostawcy bez znacznej ingerencji w dane, aktywa cyfrowe lub architekturę usługi.

Data Act - szczegółowe informacje prawne oraz techniczne:

1) Informacja o jurysdykcji, której podlega infrastruktura ICT używana do przetwarzania danych w ramach świadczonych Usług.

Infrastruktura ICT oznaczająca technologie informacyjno-komunikacyjne, o których mowa w Data Act, używana do przetwarzania danych w ramach Usług świadczonych przez Thulium podlega co do zasady jurysdykcji sądów powszechnych w Rzeczypospolitej Polskiej.

W zakresie, w jakim infrastruktura ICT używana do przetwarzania danych w ramach Usług świadczonych przy wsparciu innych poddostawców, podlega następującej jurysdykcji:

• Microsoft Ireland Operations Limited - jurysdykcja Irlandii;
• Amazon Web Services EMEA SARL spółka z ograniczoną odpowiedzialnością Oddział w Polsce - jurysdykcja Luksemburga;
• Google Ireland Limited - jurysdykcja Irlandii;
• ElevenLabs Inc. - jurysdykcja stanu Nowy Jork (USA), a w zakresie w jakim zastosowanie ma prawo federalne - jurysdykcja USA z sądem właściwym w Nowym Jorku;
• AssemblyAI Inc. - jurysdykcja stanu Delawere (USA), a w zakresie w jakim zastosowanie ma prawo federalne - jurysdykcja USA;
• DeepL SE - jurysdykcja Niemiec.

2) Szczegółowa specyfikacja wszystkich kategorii danych i aktywów cyfrowych, które można przenieść w trakcie procesu zmiany dostawcy, w tym co najmniej wszystkich danych eksportowalnych.

3) Szczegółowa specyfikacja kategorii danych specyficznych dla wewnętrznego funkcjonowania dostawcy usługi przetwarzania danych, które są wyłączone spośród danych eksportowalnych przewidzianych w tabeli przedstawionej powyżej w pkt 2), w przypadku gdy istnieje ryzyko naruszenia tajemnicy przedsiębiorstwa dostawcy, o ile wyłączenia te nie utrudniają ani nie opóźniają procesu zmiany dostawcy.

4) Informacje o istniejących procedurach zmiany dostawcy i przeniesienia usługi przetwarzania danych, w tym informacje o dostępnych metodach i formatach zmiany dostawcy i przeniesienia oraz o limitach i ograniczeniach technicznych znanych dostawcy usług przetwarzania danych.

5) Aktualny rejestr internetowy prowadzony przez dostawcę ze szczegółowymi informacjami o wszelkich strukturach danych i formatach danych oraz o stosownych normach i otwartych specyfikacjach w zakresie interoperacyjności, w których dostępne są dane eksportowalne, o których mowa w tabeli wskazanej w pkt 2) powyżej.

6) Ogólny opis środków technicznych, organizacyjnych i umownych przyjętych przez dostawcę usług przetwarzania danych w celu zapobieżenia międzynarodowemu dostępowi do danych nieosobowych przechowywanych na terenie Unii lub ich przekazania administracji rządowej, w przypadku gdy taki dostęp lub takie przekazanie skutkowałyby naruszeniem prawa Unii lub prawa krajowego danego państwa członkowskiego.

1. Polityka ochrony danych osobowych.
2. Procedura wykrywania i zgłaszania naruszeń ochrony danych.
3. Stosowanie polityk, procedur i instrukcji wynikających z certyfikacji normy ISO 27001.
4. Zarządzanie dostępami zgodnie z polityką “need to know”.
5. Wyznaczenie inspektora ochrony danych osobowych.
6. Wydawanie upoważnień do przetwarzania danych osobowych.
7. Prowadzenie działań szkoleniowych i edukacyjnych.
8. Odbieranie od pracowników i współpracowników oświadczeń o zachowaniu danych osobowych w poufności.
9. Realizacja kopii zapasowych przetwarzanych danych.
10. Ograniczenie dostępu do obszaru przetwarzania danych osobowych przy stosowaniu środków fizycznych i technicznych.
11. Ograniczenie dostępu do systemów informatycznych, w których przetwarzane są dane osobowe oraz sieci (stosowanie loginu i haseł, mfa, wyodrębnienie sieci dla osób trzecich, stosowanie automatycznego wygaszania i blokowania ekranu).
12. Polityka haseł.
13. Stosowanie bezpiecznych połączeń typu VPN.
14. Cykliczne prowadzenie przez zewnętrznych audytorów testów penetracyjnych systemów informatycznych.
15. Oprogramowanie antywirusowe.
16. Umowa powierzenia przetwarzania danych osobowych.
17. Umowna klauzula poufności.
18. Procedura weryfikacji dalszych dostawców w zakresie zgodności z przepisami oraz stosowania adekwatnych środków bezpieczeństwa.
19. Korzystanie z usług renomowanych dalszych dostawców.
20. Prowadzenie analizy ryzyka naruszenia praw i wolności osób, których dane przetwarzane są w procesie przetwarzania.
21. Procedura dot. stosowania zasady ochrony prywatności w fazie projektowania oprogramowania.
22. Stosowanie kryptograficznych środków ochrony danych osobowych.

7) Informacje o usługach przetwarzania danych, które wiążą się z wysoce złożoną lub kosztowną zmianą dostawcy lub z niemożnością zmiany dostawcy bez znacznej ingerencji w dane, aktywa cyfrowe lub architekturę usługi.