Umowa powierzenia przetwarzania danych (art. 28 RODO)

„RODO” oznacza rozporządzenie (UE) 2016/679. „Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą”, „Dane osobowe”, „Naruszenie ochrony danych osobowych” i „przetwarzanie” mają znaczenie nadane w RODO. „Dane osobowe klienta” oznaczają dane osobowe przetwarzane przez Kerna w imieniu Administratora na podstawie Umowy. „Umowa” oznacza regulamin świadczenia usług lub umowę dotyczącą usługi Kerna, której część stanowi niniejsza DPA. „Formularz zamówienia” oznacza dokument podpisany przez obie strony, zawierający indywidualne warunki konta niestandardowego; większość subskrypcji jest kupowana przez witrynę i nie ma Formularza zamówienia. „Podprocesor” oznacza inny podmiot przetwarzający, o którym mowa w art. 28 ust. 2 i 4 RODO, zaangażowany przez Kerna. Zawiadomienia, potwierdzenia i uzgodnienia „na piśmie” lub „pisemne” na podstawie niniejszej DPA mogą być dokonywane pocztą elektroniczną.

Pierwszeństwo. W sprawach ochrony danych niniejsza DPA ma pierwszeństwo przed Umową. Jeżeli podpisano Formularz zamówienia, ma on pierwszeństwo przed DPA w zakresie, w jakim wyraźnie ją zmienia; postanowienie Formularza, które nie odnosi się wyraźnie do sprawy uregulowanej tutaj, pozostawia tę sprawę pod rządami DPA.

Niniejsza DPA stanowi część Umowy i wchodzi w życie z chwilą akceptacji Umowy przez Administratora: dla planu bezpłatnego - przy instalacji Usług lub założeniu konta; dla subskrypcji zakupionej przez witrynę - przy zakończeniu zakupu; dla konta niestandardowego - przy podpisaniu Formularza zamówienia.

Dla konta lub subskrypcji uzyskanych bez Formularza zamówienia nie jest wymagany odrębny podpis: art. 28 ust. 9 RODO wymaga formy pisemnej umowy, w tym elektronicznej, a akceptacja Umowy spełnia ten wymóg. Kerna zapisuje konto i datę akceptacji oraz przechowuje każdą opublikowaną wersję DPA, tak aby zawsze można było ustalić zaakceptowaną wersję; przy zakupie przez witrynę zapisuje także zaakceptowaną wersję.

Osoba akceptująca Umowę oświadcza, że jest upoważniona do związania podmiotu wskazanego jako posiadacz konta - przedsiębiorcy, organizacji lub osoby prowadzącej działalność zawodową - a podmiot ten jest Administratorem dla celów DPA.

Wersje. Kerna publikuje aktualną wersję niniejszej DPA pod adresem kerna.io/dpa i powiadamia kontakt administracyjny o istotnej zmianie z co najmniej 30-dniowym wyprzedzeniem. Zmiana wymagana prawem lub przez organ nadzorczy albo zmiana, która nie obniża ochrony ani praw Administratora wynikających z niniejszej DPA i nie zmienia charakteru ani celów przetwarzania ani kategorii danych osobowych, może wejść w życie po upływie tego terminu; Administrator może przed datą jej wejścia w życie bez kary wypowiedzieć Umowę w zakresie Usług, których dotyczy zmiana, i otrzymać proporcjonalny zwrot przedpłaconych opłat za niewykorzystany okres. Każda inna istotna zmiana wymaga wyraźnej akceptacji elektronicznej Administratora; do czasu jej akceptacji wobec Administratora stosuje się wersję DPA ostatnio przez niego zaakceptowaną. Korekty nieistotne obowiązują od publikacji.

Jeżeli podpisano Formularz zamówienia, wersja DPA obowiązująca przy podpisaniu stosuje się przez okres obowiązywania tego Formularza i może zostać zmieniona tylko za zgodą stron.

Podpisanie na żądanie. Administrator bez Formularza zamówienia może zażądać dwustronnie podpisanej kopii DPA, a Kerna dostarczy ją na opublikowanych warunkach. Wobec takich Administratorów opublikowana wersja stosuje się jednakowo i nie podlega negocjacji. Indywidualne postanowienia ochrony danych są dostępne wyłącznie dla konta niestandardowego w Formularzu zamówienia.

Administrator jest administratorem Danych osobowych klienta, a Kerna - podmiotem przetwarzającym te dane. Kerna przetwarza je wyłącznie w celu świadczenia Usług i wyłącznie na udokumentowane polecenie Administratora. Umowa, subskrypcja Administratora, Formularz zamówienia, jeżeli został podpisany, oraz dokonana przez Administratora konfiguracja Usług i korzystanie z nich stanowią udokumentowane polecenia Administratora; dalsze polecenia wymagają pisemnego uzgodnienia. Kerna niezwłocznie informuje Administratora, jeżeli jej zdaniem wydane jej polecenie stanowi naruszenie RODO lub innych przepisów Unii lub państwa członkowskiego o ochronie danych (bez obowiązku udzielania porady prawnej). Przedmiot, czas, charakter, cel, rodzaje danych i kategorie osób określa Załącznik I.

• a) przetwarzać Dane osobowe klienta wyłącznie na udokumentowane polecenia Administratora, w tym w odniesieniu do przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że wymaga tego prawo UE lub państwa członkowskiego - wówczas Kerna informuje Administratora przed przetwarzaniem, chyba że prawo tego zabrania;
• b) zapewnić, że osoby upoważnione do przetwarzania są związane poufnością;
• c) stosować wszystkie środki bezpieczeństwa wymagane art. 32 (Załącznik II);
• d) angażować Podprocesorów wyłącznie na warunkach klauzuli 5;
• e) z uwzględnieniem charakteru przetwarzania pomagać Administratorowi odpowiednimi środkami technicznymi i organizacyjnymi w odpowiadaniu na żądania Osób, których dane dotyczą (rozdział III);
• f) pomagać Administratorowi zapewniać zgodność z art. 32-36 (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);
• g) według wyboru Administratora usunąć lub zwrócić wszystkie Dane osobowe klienta po zakończeniu Usług oraz usunąć istniejące kopie, chyba że prawo wymaga przechowywania;
• h) udostępniać wszystkie informacje potrzebne do wykazania zgodności z niniejszą klauzulą oraz umożliwiać audyty i współuczestniczyć w nich (klauzula 11).

Kerna wdraża odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku, opisane w Załączniku II. Kluczowe środki obejmują szyfrowanie podczas transmisji i przechowywania, przejściowe przetwarzanie treści wiadomości w pamięci bez utrwalania na serwerach Kerna, ograniczenie długości danych wejściowych i maskowanie numerów kart płatniczych i rachunków bankowych oraz niektórych krajowych numerów identyfikacyjnych przed transmisją do podprocesora AI, zerową retencję i umowny zakaz trenowania u tego podprocesora, skanowanie wyników, kontrolę dostępu i pseudonimizowaną analitykę. Załącznik II określa także, gdzie dane pochodzące z wiadomości są przechowywane tymczasowo, w tym na urządzeniu użytkownika.

Administrator udziela ogólnej pisemnej zgody na angażowanie przez Kerna Podprocesorów wymienionych w Załączniku III, który Kerna aktualizuje w miejscu publikacji niniejszej DPA. Kerna umownie nakłada na każdego Podprocesora takie same obowiązki ochrony danych jak w niniejszej DPA, zgodnie z art. 28 ust. 4 RODO, w szczególności dotyczące wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeżeli standardowe warunki Podprocesora nie powtarzają obowiązku w tej samej formie, Kerna zapisuje sposób jego materialnego spełnienia. Kerna zawiadomi Administratora co najmniej 30 dni wcześniej na piśmie o planowanym dodaniu lub zastąpieniu Podprocesora. Administrator może wnieść sprzeciw z uzasadnionych przyczyn ochrony danych w ciągu 15 dni od otrzymania tego zawiadomienia. Jeżeli strony nie rozstrzygną sprzeciwu w ciągu kolejnych 30 dni, Administrator może bez kary wypowiedzieć Umowę w zakresie Usług, których dotyczy zmiana, i otrzymać proporcjonalny zwrot przedpłaconych opłat za niewykorzystany okres. Do czasu rozstrzygnięcia sprzeciwu Kerna nie używa nowego Podprocesora do przetwarzania Danych osobowych klienta tego Administratora; jeżeli nie jest to technicznie możliwe, Kerna informuje o tym przed wejściem zmiany w życie, a Administrator może przed tą datą wypowiedzieć Umowę w zakresie Usług, których dotyczy zmiana, na tych samych warunkach. Kerna pozostaje w pełni odpowiedzialna wobec Administratora za wykonanie obowiązków przez każdego Podprocesora.

Jeżeli Podprocesor zawiadamia Kerna o naruszeniu ochrony danych osobowych, o otrzymanym przez niego żądaniu osoby, której dane dotyczą, dodaniu lub zastąpieniu własnych podprocesorów albo sprawie dotyczącej standardowych klauzul umownych, Kerna przekazuje zawiadomienie zainteresowanemu Administratorowi niezwłocznie i bez zbędnej zwłoki po otrzymaniu.

Przekazanie nie zależy od wniosku Kerna, że sprawa dotyczy danych Administratora lub powoduje ryzyko: ocena należy do Administratora. Zawiadomienia są przekazywane po otrzymaniu, a nie po ocenie, aby Administrator zachował pełny czas na zgłoszenie zastrzeżeń i pełny termin przysługujący mu na podstawie art. 33 i 34. Jeżeli Podprocesor pozwala sprzeciwić się własnym podprocesorom tylko na warunkach przewidujących rozwiązanie umowy jako jedyny środek, Kerna wskazuje to przy przekazaniu.

Z uwzględnieniem charakteru przetwarzania Kerna pomaga Administratorowi odpowiednimi środkami technicznymi i organizacyjnymi, o ile to możliwe, w realizacji obowiązku odpowiedzi na żądania Osób. Jeżeli Kerna otrzyma bezpośrednio od Osoby, której dane dotyczą, żądanie dotyczące Danych osobowych klienta, nie odpowiada na nie bez udokumentowanego polecenia Administratora i niezwłocznie przekazuje je Administratorowi.

Funkcja usunięcia konta z klauzuli 10 nie jest wyjątkiem. Gdy użytkownik usuwa własne konto przez Usługi, Kerna działa na udokumentowane polecenie Administratora w rozumieniu klauzuli 2, ponieważ Administrator upoważnił tę funkcję przez konfigurację i używanie Usług. Kerna nie realizuje żądania Osoby, której dane dotyczą, otrzymanego poza Usługami bez polecenia Administratora.

Kerna bez zbędnej zwłoki zawiadamia Administratora po stwierdzeniu Naruszenia ochrony danych osobowych dotyczącego Danych osobowych klienta i przekazuje informacje, którymi rozsądnie dysponuje, aby pomóc Administratorowi w wykonaniu obowiązków wynikających z art. 33 i 34 RODO. Naruszenie zgłoszone Kerna przez Podprocesora jest dodatkowo przekazywane na podstawie klauzuli 5a po otrzymaniu, bez oczekiwania na własną ocenę Kerna.

Z uwzględnieniem charakteru przetwarzania i dostępnych informacji Kerna udziela rozsądnej pomocy Administratorowi w ocenach skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym na podstawie art. 35 i 36.

Bezpośrednie ujawnienia Kerna na podstawie niniejszej DPA są dokonywane na rzecz wymienionych w Załączniku III podmiotów zawierających umowę z siedzibą w EOG, z jednym wyjątkiem, którym są dane o błędach i wydajności przekazywane do Sentry, którego podmiot zawierający umowę, Functional Software, Inc., ma siedzibę w Stanach Zjednoczonych. Łańcuch przetwarzania obejmuje ponadto dalsze transfery międzynarodowe dokonywane przez niektórych Podprocesorów, w tym przetwarzanie treści AI w Stanach Zjednoczonych przez OpenAI po ujawnieniu na rzecz OpenAI Ireland Limited.

Jeżeli Podprocesor dokonuje dalszego transferu, musi zastosować ważny mechanizm z rozdziału V. Kerna dokumentuje strukturę transferu, weryfikuje mechanizm umowny i środki uzupełniające w ramach należytej staranności z art. 28 oraz udostępnia Administratorowi właściwe informacje. Taki podział ról nie ogranicza obowiązków Kerna jako Podmiotu przetwarzającego na podstawie niniejszej DPA.

Treść wiadomości przesłana do działania AI jest w ramach tego rozwiązania przetwarzana w Stanach Zjednoczonych przez podprocesora AI, z zerową retencją i umownym zakazem trenowania: nie jest przechowywana ani wykorzystywana do trenowania modeli. Analizę tego przetwarzania, w tym ocenę państwa docelowego i stosowanych środków uzupełniających, zawiera Ocena skutków transferu Kerna, udostępniana Administratorowi na żądanie.

Przekazywanie danych przez Kerna do Sentry opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony zapewniany przez ramy ochrony danych UE-USA (EU-U.S. Data Privacy Framework), w ramach których Sentry posiada certyfikację, a mechanizmem alternatywnym są standardowe klauzule umowne zawarte w umowie powierzenia Sentry. Sentry przechowuje te dane w swoim regionie danych Unii Europejskiej (Frankfurt), ale może uzyskiwać do nich dostęp ze Stanów Zjednoczonych. Dalsze transfery innych Podprocesorów opierają się na mechanizmie stosowanym przez danego Podprocesora, opisanym w Ocenie skutków transferu.

Hosting i pamięć znajdują się w UE: obliczenia w Google Cloud Run w europe-west1 (Belgia), pamięć Firestore w europe-central2 (Warszawa).

Stanowisko przedstawione w klauzuli 9 opiera się na siedzibie podmiotu zawierającego umowę każdego Podprocesora, zapisanej w Załączniku III i przeglądanej przy każdej zmianie. Jeżeli podmiot zawierający umowę Podprocesora się zmieni albo Kerna zaangażuje innego Podprocesora z siedzibą poza EOG, przed wejściem zmiany w życie zostanie zastosowany odpowiedni mechanizm rozdziału V, a Administrator zawiadomiony zgodnie z klauzulą 5.

Moduł użyty w takim przypadku odpowiada roli Kerna: Moduł Drugi (przekazywanie danych od administratora do podmiotu przetwarzającego), gdy Kerna przekazuje dane jako administrator własnych danych; Moduł Trzeci (przekazywanie danych od podmiotu przetwarzającego do podmiotu przetwarzającego), gdy przekazuje je jako podmiot przetwarzający w imieniu Administratora. Moduł, wersja i data stosowanych klauzul są zapisywane w Ocenie skutków transferu.

Niniejsza DPA reguluje wyłącznie przetwarzanie danych, którego Kerna dokonuje jako podmiot przetwarzający w imieniu Administratora. Kerna przetwarza również dane osobowe jako samodzielny administrator w zakresie: administrowania kontami (tożsamość logowania, status subskrypcji i komunikacja Kerna z posiadaczami kont), rozliczeń, monitorowania bezpieczeństwa, analityki produktu i prowadzenia witryny. Czynności te są wyłączone z zakresu DPA, podlegają polityce prywatności Kerna, a Administrator nie jest ich administratorem. Żadne postanowienie DPA nie czyni Kerna podmiotem przetwarzającym w odniesieniu do tego przetwarzania ani Administratora odpowiedzialnym za nie.

Prawa Administratora do zmiany dostawcy i odpowiadające im obowiązki Kerna - okres wypowiedzenia, okres przejściowy, okres pobierania danych, kategorie i formaty danych eksportowalnych, pomoc oraz opłaty z tytułu zmiany dostawcy - określa Załącznik IV, który ma zastosowanie na zasadach w nim określonych i stanowi część Umowy. Treść wiadomości nie jest przechowywana na serwerach Kerna, dlatego nie wymaga migracji; przez cały czas pozostaje w środowisku poczty Administratora.

Po wygaśnięciu lub rozwiązaniu Usług Kerna usuwa lub zwraca Dane osobowe klienta według wyboru Administratora i usuwa istniejące kopie, chyba że prawo wymaga przechowywania. Treść wiadomości i tak nie jest przechowywana na serwerach Kerna w okresie świadczenia Usług (przetwarzanie przejściowe), więc obowiązek dotyczy danych ustawień, konfiguracji i zespołu opisanych w Załączniku I. Dane pochodzące z wiadomości, które dodatek do Outlooka przechowuje w pamięci przeglądarki na urządzeniu użytkownika, wygasają zgodnie z terminami w Załączniku II; usunięcie danych przez użytkownika czyści je na urządzeniu, na którym zostało wykonane.

Dwie ścieżki

Art. 28 ust. 3 lit. g wymaga usunięcia lub zwrotu według wyboru Administratora. Nie określa mechanizmu, a Kerna usuwa zespół na żądanie zamiast przez funkcję samoobsługową.

Co pozostaje i dlaczego

Faktury i dokumentacja księgowa. Kerna przechowuje faktury i dokumentację księgową związaną z subskrypcją przez okres wymagany polskim prawem rachunkowym i podatkowym niezależnie od usunięcia. Jest to obowiązek prawny Kerna jako administratora własnych danych rozliczeniowych i pozostaje poza DPA; wskazano go, ponieważ jest najczęstszym pytaniem przy usuwaniu.

Kopie zapasowe. Kopie w odtwarzaniu Firestore do punktu w czasie (7 dni) i dziennych kopiach (90 dni) nie są selektywnie usuwane i wygasają według harmonogramu. Kopia może zostać odtworzona awaryjnie. Proces uzgadniania wymagany przez Politykę przechowywania i usuwania danych jest stosowany po każdym odtworzeniu i przed przywróceniem bazy do eksploatacji, tak aby wykonane usunięcia mieszczące się w przywróconym oknie kopii zostały zastosowane ponownie.

Kerna udostępnia Administratorowi informacje potrzebne do wykazania zgodności, w tym odpowiednie certyfikacje i walidacje (np. CASA Tier 2 dla dodatku do Gmaila), DPA wraz z wykazem podprocesorów (Załącznik III), Ocenę skutków transferu i wyciąg z rejestrów przetwarzania. Kerna umożliwia audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego audytora i współuczestniczy w nich, po rozsądnym uprzedzeniu co najmniej 30 dni i nie częściej niż raz w roku, w godzinach pracy i z zachowaniem poufności. Jeżeli wymaga tego organ nadzorczy, po Naruszeniu dotyczącym danych Administratora albo gdy Administrator dysponuje wiarygodnymi dowodami, że Kerna nie przestrzega niniejszej DPA, Administrator może przeprowadzić dodatkowy audyt, z krótszym wyprzedzeniem, rozsądnym w danych okolicznościach.

Kerna może odmówić dostępu, gdy jest to konieczne do ochrony: bezpieczeństwa lub danych innych klientów; informacji objętych tajemnicą zawodową lub obowiązkiem poufności wobec osoby trzeciej; albo tajemnic przedsiębiorstwa Kerna, z tym że tajemnica nie może uniemożliwiać Administratorowi weryfikacji zgodności. Przy odmowie Kerna przekazuje informacje potrzebne do weryfikacji innym sposobem. Audytor Administratora nie może być konkurentem Kerna i musi podpisać zobowiązanie poufności. Administrator ponosi koszty każdego zainicjowanego przez siebie audytu, z wyjątkiem audytu następującego po Naruszeniu spowodowanym przez Kerna.

DPA wchodzi w życie wraz z Umową i trwa tak długo, jak Kerna przetwarza Dane osobowe klienta. Odpowiedzialność każdej strony na podstawie niniejszej DPA podlega ograniczeniom i wyłączeniom odpowiedzialności przewidzianym w Umowie, z zastrzeżeniem, że żadne postanowienie Umowy ani niniejszej DPA nie ogranicza ani nie wyłącza: odpowiedzialności, której nie można ograniczyć ani wyłączyć na mocy prawa; odpowiedzialności wobec osób, których dane dotyczą, na podstawie art. 82 RODO; odpowiedzialności za oszustwo, winę umyślną lub rażące niedbalstwo; ani obowiązków którejkolwiek ze stron wynikających z mających zastosowanie przepisów o ochronie danych.

DPA podlega prawu polskiemu i, gdy ma zastosowanie, RODO. Spory podlegają sądom właściwym dla siedziby Kerna, chyba że Umowa stanowi inaczej.

Język. DPA zostaje zawarta w języku polskim i angielskim. Obie wersje językowe stanowią część zawartej umowy i mogą zostać podpisane łącznie; strony nie muszą podpisywać wyłącznie tekstu polskiego, a Administrator podpisujący tekst angielski podpisuje umowę.

Jeżeli pozostanie niemożliwa do usunięcia rozbieżność, wersja polska ma pierwszeństwo wobec Administratora mającego siedzibę lub miejsce prowadzenia działalności w Polsce, a wersja angielska - wobec pozostałych Administratorów. Formularz zamówienia może wyraźnie wskazać wersję polską albo angielską jako rozstrzygającą. Zasada ta służy wyłącznie rozstrzyganiu rozbieżności i nie wyłącza żadnej wersji z Umowy.

Jest to reguła wykładni przypadku resztkowego, a nie stwierdzenie, że jeden tekst znajduje się poza umową. Kerna utrzymuje obie wersje z jednego źródła i zmienia je łącznie, więc rozbieżność powinna być rzadka; gdy wystąpi, jest błędem do poprawienia, a nie wyborem między dwiema umowami. Tłumaczenia niniejszej DPA na inne języki mają charakter wyłącznie informacyjny; nie stanowią części Umowy i nie mają pierwszeństwa przed żadną z wersji.

• Szyfrowanie TLS w całej transmisji (TLS 1.3 od klienta do backendu; dalej TLS 1.2 lub nowszy). HSTS wymuszony.
• Szyfrowanie AES-256 wszystkich przechowywanych danych, z kluczami zarządzanymi przez Google i automatyczną rotacją.
• Treść wiadomości jest przetwarzana w pamięci i nigdy nie jest zapisywana w bazach danych, dziennikach ani kopiach zapasowych Kerna.
• Gdzie przechowywane są dane pochodzące z wiadomości: w pamięci trwałej na serwerach Kerna - wyłącznie opisane niżej rekordy procesów, które nie zawierają treści wiadomości; w pamięci serwera - kopie robocze, aby użytkownik mógł wrócić do wyniku, przez około 30 minut w dodatku do Gmaila i kilka minut w przypadku skrzynek współdzielonych, a następnie usuwane, albo wcześniej przy ponownym uruchomieniu serwera; na urządzeniu użytkownika, w pamięci przeglądarki dodatku do Outlooka - wyniki dla wiadomości przez godzinę, szkice odpowiedzi i nowych wiadomości oraz wyniki kategoryzacji przez 24 godziny, a przez 30 dni - nieodpowiedziane pozycje kategoryzacji (temat, nadawca, data i krótkie podsumowanie Kerna) oraz identyfikatory wiadomości oznaczonych jako zakończone; każda pozycja jest usuwana po wygaśnięciu, przy następnym otwarciu Kerna na tym urządzeniu, a usunięcie danych przez użytkownika czyści ją na tym urządzeniu; w przechowywanych rekordach procesów, takich jak rekordy statusu skrzynek współdzielonych i dziennik funkcji Wyślij do… - wyłącznie identyfikatory, statusy i czasy, nigdy temat ani treść; w kopiach zapasowych - tylko to, co zawiera baza danych, a więc bez treści wiadomości.
• Ograniczenie długości danych wejściowych: każde działanie przesyła tylko potrzebny mu tekst, do stałej długości. Maskowanie przed transmisją: numery kart płatniczych, numery IBAN i polskie numery rachunków bankowych, numery PESEL i amerykańskie numery ubezpieczenia społecznego (SSN), w rozpoznawanych przez Kerna formatach, są zastępowane znacznikami zastępczymi w treści wiadomości przesyłanej przez działanie, w tym w tematach i podglądach odczytywanych przez Sortowanie skrzynki oraz w załącznikach używanych przez funkcje Wyślij do… i Odpowiedz z załącznikami. Pozostałe dane osobowe, takie jak imiona i nazwiska, adresy e-mail, numery telefonów i adresy pocztowe, są przesyłane w niezmienionej postaci. Pliki odczytywane funkcją Załączniki, aby można było wyodrębnić z nich np. numery rachunków, oraz tekst pisany przez użytkownika, taki jak polecenia i szkice, nie są poddawane maskowaniu.
• Zerowa retencja i umowny zakaz trenowania u podprocesora AI: treść przesyłana w ramach działania AI nie jest przechowywana ani wykorzystywana do trenowania. Zweryfikowano na platformie podprocesora, która wskazuje, że dzienników nie można zapisać w projekcie z zerową retencją.
• Skanowanie wyników pod kątem ujawnionych sekretów.
• Uwierzytelnianie zweryfikowanymi tokenami Google i Microsoft z wymuszaniem odbiorcy, wystawcy, wygaśnięcia i algorytmu oraz izolacją ścieżki dokumentu użytkownika według zweryfikowanego identyfikatora konta.
• Ograniczenie częstotliwości działań AI na użytkownika. Nagłówki bezpieczeństwa Helmet; restrykcyjne CSP i CORS; skanowanie wstrzyknięć wejściowych.
• Pseudonimizowana analityka (HMAC-SHA256 z pepperem po stronie serwera); retencja analityki 90 dni.
• Punkty administracyjne za listą dozwoloną i kluczem API sprawdzanym w stałym czasie, oprócz ważnego tokenu użytkownika, a w środowisku produkcyjnym w razie błędu lub braku konfiguracji odmawiają dostępu (fail closed). Dostęp najmniejszych uprawnień dla kont usług jest w przeglądzie; stan zapisuje Polityka bezpieczeństwa informacji Kerna, dostępna Administratorowi na żądanie.
• Cloud Audit Logs dla wszystkich działań administracyjnych; niezmienne, możliwe do przypisania rewizje Cloud Run.
• Hosting i pamięć w regionach UE: Cloud Run europe-west1 (Belgia); Firestore europe-central2 (Warszawa).
• Odtwarzanie Firestore do punktu w czasie (7 dni) i dzienne kopie (retencja 90 dni).
• Walidacja CASA Tier 2 dla dodatku do Gmaila.

Działanie kontroli. Sekrety podlegające ponownemu wydaniu są rotowane zgodnie z harmonogramem Polityki bezpieczeństwa informacji, z natychmiastową rotacją przy podejrzeniu naruszenia. Ograniczenie częstotliwości działań AI na użytkownika jest egzekwowane przez współdzielony magazyn we wszystkich instancjach usługi. Dowody działania kontroli są przechowywane zgodnie z Rejestrem dokumentacji.

Wykaz jest aktualizowany w miejscu publikacji niniejszej DPA, pod adresem kerna.io/dpa, a o zmianach Kerna zawiadamia zgodnie z klauzulą 5. Na dzień niniejszej wersji:

Google Analytics, Brevo i Stripe, wymienione także w polityce prywatności Kerna, obsługują witrynę Kerna, wiadomości e-mail wysyłane przez Kerna do jej użytkowników oraz własne rozliczenia Kerna, które Kerna realizuje jako administrator (klauzula 9b). Nie są Podprocesorami w rozumieniu niniejszej DPA.

Niniejszy Załącznik ma zastosowanie do Usług niezależnie od tego, czy ma do nich zastosowanie rozporządzenie (UE) 2023/2854 (akt w sprawie danych). Kerna stosuje rozdział VI aktu w sprawie danych do Usług jako minimalny standard umowny: jeżeli właściwy organ uzna, że Usługi nie są nim objęte, Administrator zachowuje prawa z niniejszego Załącznika, chyba że strony wyraźnie uzgodnią inaczej.

Rozpoczęcie zmiany dostawcy. Administrator może w każdej chwili zażądać zmiany dostawcy na innego dostawcę lub na własną infrastrukturę albo usunięcia swoich danych eksportowalnych, pisząc na privacy@kerna.io. Zmiana dostawcy albo usunięcie danych rozpoczyna się w dniu otrzymania żądania przez Kerna albo w późniejszym dniu wskazanym przez Administratora, przypadającym nie później niż dwa miesiące od otrzymania żądania (w każdym z tych przypadków „dzień rozpoczęcia”). Termin realizacji żądania wyłącznie usunięcia danych określa ustęp „Usunięcie danych”.

Okres przejściowy. Kerna zapewnia zakończenie zmiany dostawcy w okresie przejściowym wynoszącym 30 dni kalendarzowych od dnia rozpoczęcia. W tym okresie Umowa pozostaje w mocy: Kerna nadal świadczy Usługi, udziela uzasadnionej pomocy Administratorowi i wybranemu przez niego dostawcy, informuje o znanych zagrożeniach dla ciągłości świadczenia Usług oraz zapewnia wysoki poziom bezpieczeństwa przez cały proces zmiany dostawcy, w tym podczas przekazywania danych i w okresie pobierania danych. Jeżeli dotrzymanie 30-dniowego okresu przejściowego jest technicznie niewykonalne, Kerna informuje o tym Administratora w ciągu 14 dni roboczych od żądania, podaje uzasadnienie i wyznacza alternatywny okres nieprzekraczający siedmiu miesięcy, w którym obowiązują te same zobowiązania. Administrator może jednokrotnie przedłużyć okres przejściowy o okres, który uzna za bardziej odpowiedni.

Okres pobierania danych. Administrator ma co najmniej 30 dni kalendarzowych od zakończenia okresu przejściowego na pobranie swoich danych eksportowalnych.

Dane eksportowalne i aktywa cyfrowe. Poniższa tabela stanowi wyczerpujący wykaz danych i aktywów cyfrowych, które można wyeksportować. Kerna przekazuje eksport na żądanie, za pomocą bezpiecznego linku do pobrania, w podanych formatach; Usługi nie zawierają funkcji samodzielnego eksportu. Kerna aktualizuje wykaz, zanim Usługi zaczną przechowywać nową kategorię danych Administratora. Kerna nie powołuje się na tajemnicę przedsiębiorstwa w odniesieniu do żadnej kategorii.

Usunięcie danych. Pod warunkiem zakończenia zmiany dostawcy Kerna usuwa dane eksportowalne w ciągu 30 dni od upływu okresu pobierania danych albo od późniejszego dnia uzgodnionego z Administratorem, z zastrzeżeniem jedynie przechowywania wymaganego prawem (klauzula 10). Jeżeli Administrator zażądał wyłącznie usunięcia danych, Kerna usuwa dane eksportowalne w ciągu 30 dni od dnia rozpoczęcia, czyli w tym samym terminie co przy usunięciu konta zespołowego zgodnie z klauzulą 10, i potwierdza usunięcie na piśmie. Umowa zostaje uznana za rozwiązaną, a Kerna informuje o tym Administratora, z chwilą pomyślnego zakończenia zmiany dostawcy albo, w przypadku żądania wyłącznie usunięcia danych, w dniu rozpoczęcia. Rozwiązanie Umowy z chwilą zakończenia zmiany dostawcy nie kończy okresu pobierania danych: Administrator może pobierać swoje dane eksportowalne do końca tego okresu, do tego czasu nadal obowiązują zobowiązania w zakresie bezpieczeństwa określone w ustępie „Okres przejściowy”, a 30-dniowy termin usunięcia danych biegnie dopiero od końca tego okresu albo od późniejszego dnia uzgodnionego z Administratorem. Dane zawarte w kopiach zapasowych wygasają zgodnie z klauzulą 10.

Opłaty. Kerna nie pobiera opłat z tytułu zmiany dostawcy ani opłat za eksport danych.

Brak przeszkód. Kerna nie stwarza żadnych przeszkód przedkomercyjnych, handlowych, technicznych, umownych ani organizacyjnych dla zmiany dostawcy.

Infrastruktura i międzynarodowy dostęp administracji rządowej. Infrastruktura hostingowa i pamięć masowa Kerna znajdują się w Unii Europejskiej; przetwarzanie AI przez OpenAI oraz dostęp Sentry następują w Stanach Zjednoczonych (klauzula 9 i Załącznik III). Środki z Załącznika II chronią dane nieosobowe w Usługach przed niezgodnym z prawem dostępem, w tym przed międzynarodowym dostępem administracji rządowej sprzecznym z prawem Unii lub prawem państwa członkowskiego, w taki sam sposób jak dane osobowe.