Ostatnia aktualizacja: 10 lipca 2025
1.1 Zakres zastosowania. Niniejszy dokument określa ogólne warunki korzystania (dalej: „Warunki”) z platformy internetowej o nazwie „Tuduu” (dalej: „Platforma”), rozwijanej i dostarczanej przez Drilldown S.r.l., z siedzibą prawną przy Viale Isonzo 8, 20135 Mediolan (MI), Włochy, NIP/PESEL 12392590969 (dalej: „Drilldown”). Niniejsze Warunki mają zastosowanie do wszystkich Użytkowników Profesjonalnych, którzy rejestrują się na Platformie i korzystają z jej usług. Przez Użytkowników Profesjonalnych rozumie się, przykładowo: specjalistów ds. żywienia (np. dietetyków, dietologów, dietetyków klinicznych), którzy korzystają z sekcji „Ricette” i „Nutrition”; twórców treści i content providerów (którzy korzystają głównie z sekcji „Ricette”); oraz operatorów e-commerce (którzy korzystają z sekcji „Shop” i „Ricette”).
1.2 Akceptacja. Dostęp, rejestracja oraz jakiekolwiek korzystanie z Platformy przez Użytkownika zakładają pełne zapoznanie się i wyraźną akceptację niniejszych Warunków, a także wszelkich dokumentów z nimi powiązanych (takich jak Polityka Prywatności i Umowa o przetwarzaniu danych, jeśli ma zastosowanie). W przypadku braku akceptacji korzystanie z Platformy nie jest dozwolone. Użytkownik oświadcza, że zapoznał się z Warunkami i zobowiązuje się ich przestrzegać przez cały czas.
1.3 Wymagania wobec Użytkownika. Platforma jest przeznaczona dla pełnoletnich Użytkowników Profesjonalnych posiadających zdolność prawną. Rejestrując się, Użytkownik gwarantuje, że ma co najmniej 18 lat (lub osiągnął wiek pełnoletności obowiązujący w jego kraju) oraz, jeśli działa w imieniu spółki lub podmiotu, że posiada niezbędne uprawnienia do reprezentacji. Drilldown zastrzega sobie prawo do żądania dodatkowych informacji lub dokumentów w celu weryfikacji statusu zawodowego Użytkownika (na przykład wpisu do odpowiedniego rejestru zawodowego dla dietetyków, jeśli wymaga tego obowiązujące prawo).
2.1 Procedura rejestracji. Rejestracja na Platformie może nastąpić (i) za pośrednictwem odpowiedniego formularza rejestracyjnego dostępnego na stronie internetowej Platformy, w którym Użytkownik poda wymagane dane, albo (ii) poprzez bezpośrednie zaproszenie wysłane przez Drilldown (na przykład w ramach współpracy, programów pilotażowych lub afiliacji). W obu przypadkach po zakończeniu rejestracji Użytkownikowi zostanie utworzone osobiste konto (dalej: „Konto”).
2.2 Podane dane i dane dostępowe. Użytkownik zobowiązuje się podczas rejestracji podać informacje dokładne, kompletne i prawdziwe (na przykład: imię, nazwisko, adres e-mail, dane zawodowe itp.) oraz aktualizować je na bieżąco. Dane dostępowe do Konta (nazwa użytkownika i hasło) są osobiste i niepodlegające przeniesieniu. Użytkownik ma obowiązek przechowywać swoje dane dostępowe z najwyższą poufnością i nie udostępniać ich osobom trzecim. W przypadku utraty, kradzieży lub podejrzenia nieuprawnionego użycia Konta Użytkownik powinien niezwłocznie poinformować Drilldown, która może podjąć niezbędne środki (np. czasowe zawieszenie Konta).
2.3 Pojedyncze Konto. Każdy Użytkownik może utworzyć tylko jedno Konto, chyba że Drilldown udzieli pisemnej zgody na specjalne potrzeby (na przykład osobne konta dla różnych współpracowników tej samej organizacji). Drilldown zastrzega sobie prawo do usunięcia lub połączenia zduplikowanych kont należących do tego samego Użytkownika.
2.4 Zarządzanie i zawieszenie Konta. Użytkownik odpowiada za wszystkie działania wykonywane za pośrednictwem swojego Konta. Drilldown zastrzega sobie prawo do odmowy, zawieszenia lub usunięcia rejestracji lub Konta w dowolnym momencie i bez uprzedzenia, jeśli uzna, że dochodzi do naruszenia niniejszych Warunków, niewłaściwego korzystania z Platformy lub ze względów bezpieczeństwa. W przypadku usunięcia Konta przez Drilldown z powodu naruszenia Warunków Użytkownik nie będzie miał prawa do zwrotu jakichkolwiek opłat uiszczonych za niewykorzystane okresy usług, z zastrzeżeniem odmiennych przepisów obowiązującego prawa.
3.1 Sekcja „Ricette”. Platforma udostępnia sekcję „Ricette”, w której Użytkownicy mogą tworzyć, przesyłać i zarządzać przepisami kulinarnymi. Sekcja ta jest dostępna dla wszystkich zarejestrowanych Użytkowników Profesjonalnych, w szczególności: (i) specjalistów ds. żywienia, którzy mogą tworzyć przepisy dołączane do planów żywieniowych dla swoich klientów lub udostępniane innym użytkownikom; (ii) twórców i content providerów, którzy mogą publikować oryginalne przepisy z tekstami, składnikami, instrukcjami i obrazami, udostępniając je na Platformie; (iii) operatorów e-commerce, którzy mogą powiązać produkty ze swojego sklepu internetowego ze składnikami przepisów, czyniąc te przepisy narzędziem promocji i sprzedaży produktów spożywczych. Sekcja Ricette umożliwia stosowanie filtrów żywieniowych i preferencji żywieniowych (np. przepisy wegetariańskie, wegańskie, bezglutenowe itp.), aby ułatwić wyszukiwanie dań odpowiednich do konkretnych potrzeb. Przesłane przepisy są przetwarzane przez Platformę za pomocą algorytmów analizujących składniki i automatycznie obliczających wartości odżywcze (np. kalorie, makroskładniki itp.) na porcję, a także zgodność z określonymi dietami na podstawie wskazanych składników.
3.2 Sekcja „Shop”. Sekcja „Shop” jest przeznaczona dla Użytkowników Profesjonalnych będących operatorami e-commerce i/lub retail, a także działających w branży spożywczej lub żywieniowej. W tej sekcji Użytkownik może zintegrować swój katalog produktów spożywczych lub składników z Platformą Tuduu. W szczególności operator e-commerce może połączyć produkty ze swojego sklepu online z przepisami znajdującymi się na Tuduu: pozwala to na przykład na to, aby składnik wymieniony w przepisie odpowiadał produktowi możliwemu do zakupu w sklepie operatora. Użytkownicy końcowi Platformy (np. odwiedzający lub klienci operatora) będą mogli w ten sposób dodać takie składniki/produkty bezpośrednio do koszyka jednym kliknięciem, tworząc doświadczenie „przepisu do kupienia”. Platforma oferuje również automatyczne funkcje SEO (Search Engine Optimization) dla przepisów zintegrowanych ze sklepem, aby zwiększyć ich widoczność online. Także dla produktów powiązanych ze sklepem Platforma może stosować algorytmy analizy żywieniowej i kategoryzacji: na przykład identyfikując właściwości odżywcze lub obecność/brak alergenów i automatycznie tworząc filtry (np. „bez laktozy”, „organiczne” itp.), które pomagają użytkownikom znaleźć produkty zgodne z ich potrzebami dietetycznymi.
3.3 Sekcja „Nutrition”. Sekcja „Nutrition” jest skierowana przede wszystkim do specjalistów ds. żywienia (dietetyków, dietologów, dietetyków klinicznych lub innych uprawnionych osób). W tej części Platformy specjalista może zarządzać informacjami i planami żywieniowymi swoich klientów/pacjentów. Funkcje sekcji Nutrition obejmują narzędzia do tworzenia i personalizowania planów żywieniowych, diet lub raportów żywieniowych. Specjalista może wykorzystywać przepisy (własne lub dostępne na Platformie) w ramach planów żywieniowych, z możliwością modyfikowania porcji i obserwowania wpływu na wartości odżywcze w czasie rzeczywistym dzięki zintegrowanym algorytmom obliczeń żywieniowych. Ponadto sekcja Nutrition umożliwia generowanie dokumentów PDF (na przykład kart diety lub raportów do przekazania klientowi) oraz korzystanie z dedykowanej aplikacji mobilnej: aplikacja ta pozwala klientowi końcowemu przeglądać swój plan żywieniowy, rekomendowane przepisy i inne informacje udostępnione przez specjalistę bezpośrednio na swoim smartfonie. Sprzyja to stałemu monitorowaniu i bardziej bezpośredniej interakcji między specjalistą a klientem za pośrednictwem Platformy.
3.4 Algorytmy analizy żywieniowej. We wszystkich opisanych powyżej sekcjach Platforma Tuduu wykorzystuje zaawansowane algorytmy do analizy żywieniowej przepisów i produktów. Algorytmy te przetwarzają dane dostarczone przez Użytkowników (składniki przepisów, informacje żywieniowe produktów, porcje itp.) i automatycznie generują wyniki takie jak: obliczanie wartości odżywczych (np. energia, makroskładniki, mikroskładniki), wskazania dotyczące alergenów lub konkretnych substancji, a także sugestie dotyczące zgodności przepisów/produktów ze specjalnymi dietami (na przykład, czy przepis nadaje się do diety wegańskiej lub bezglutenowej). Algorytmy mają na celu dostarczanie użytecznych i dokładnych informacji; jednak działają one na podstawie dostępnych danych i ogólnych reguł, bez bezpośredniej ingerencji człowieka. W związku z tym generowane wyniki mogą nie zawsze być w pełni dokładne lub odpowiednie w każdej sytuacji. Obowiązkiem Użytkownika (zwłaszcza specjalisty ds. żywienia) jest przeanalizowanie i zweryfikowanie poprawności informacji żywieniowych oraz sugestii generowanych algorytmicznie przed ich użyciem lub przekazaniem klientom. Sposób postępowania Użytkowników w przypadku błędów lub niespójności został opisany w kolejnych częściach niniejszych Warunków.
4.1 Korzystanie zgodne z prawem. Użytkownik zobowiązuje się korzystać z Platformy i powiązanych usług w sposób zgodny z niniejszymi Warunkami, ewentualnymi instrukcjami przekazanymi przez Drilldown oraz obowiązującymi przepisami prawa i regulacjami. Użytkownikowi zabrania się korzystania z Platformy do celów nielegalnych lub nieautoryzowanych. W szczególności Użytkownik nie może: (i) korzystać z Platformy w sposób naruszający prawa osób trzecich lub przepisy prawa (na przykład przepisy dotyczące własności intelektualnej, ochrony danych osobowych, uczciwej konkurencji itp.); (ii) wprowadzać treści lub materiałów szkodliwych, obraźliwych, zniesławiających, obscenicznych lub w inny sposób nieodpowiednich; (iii) próbować uzyskać nieautoryzowany dostęp do funkcji Platformy, cudzych kont lub systemów informatycznych Drilldown, ani naruszać bezpieczeństwa lub integralności Platformy (na przykład poprzez wprowadzanie wirusów, malware lub inne działania zakłócające).
4.2 Weryfikacja wyników algorytmicznych. Jak opisano w paragrafie 3.4, Platforma automatycznie generuje informacje żywieniowe i sugestie za pomocą algorytmów. Użytkownik przyjmuje do wiadomości, że informacje te mają charakter orientacyjny i zawsze powinny być oceniane krytycznie. Obowiązkiem Użytkownika, w szczególności jeśli jest specjalistą ds. żywienia, jest sprawdzenie dokładności i spójności wyników algorytmicznych (na przykład obliczonych wartości odżywczych dla przepisu, etykiet żywieniowych lub dietetycznych przypisanych do produktu) przed wykorzystaniem ich zawodowo lub udostępnieniem klientom bądź publicznie. Jeśli Użytkownik zauważy błędy, niespójności lub anomalie w danych generowanych przez Platformę, zobowiązuje się niezwłocznie zgłosić je Drilldown za pośrednictwem udostępnionych narzędzi pomocy lub kontaktu. Użytkownik jest świadomy, że niewykonanie tego obowiązku weryfikacji może prowadzić do rozpowszechniania nieprawidłowych informacji, za które sam będzie uznawany za odpowiedzialnego.
4.3 Treści Użytkownika – licencje i gwarancje. Wszystkie treści przesyłane, publikowane lub w inny sposób wprowadzane przez Użytkownika na Platformę (w tym, przykładowo: teksty, przepisy, składniki, zdjęcia, filmy, marki, logotypy, opisy produktów) muszą pozostawać w legalnej dyspozycji Użytkownika. Użytkownik gwarantuje, że posiada niezbędne prawa (własności intelektualnej i/lub użytkowania) do tych treści lub że uzyskał odpowiednie zgody od podmiotów uprawnionych, tak aby korzystanie z treści na Platformie i przez Drilldown zgodnie z niniejszymi Warunkami nie naruszało praw osób trzecich. Ponadto, przesyłając treści na Platformę, Użytkownik udziela Drilldown niewyłącznego, podlegającego sublicencjonowaniu i bezpłatnego prawa oraz licencji do wykorzystywania, reprodukowania, modyfikowania, publikowania, tłumaczenia, rozpowszechniania, wyświetlania i wykonywania takich treści wyłącznie w związku ze świadczeniem usług Platformy i jej działaniami promocyjnymi. Licencja ta wygasa w momencie usunięcia przez Użytkownika treści z Konta lub Platformy, z wyjątkiem przypadków, gdy ich przechowywanie jest wymagane przez prawo lub dla ochrony praw. Użytkownik gwarantuje również, że dostarczone treści są dokładne, prawdziwe (na przykład informacje żywieniowe lub składniki przepisu odpowiadają rzeczywistości) i nie naruszają przepisów ani regulacji (na przykład nie zawierają twierdzeń wprowadzających w błąd lub niedozwolonych w obszarze żywności). Użytkownik ponosi pełną odpowiedzialność za treści wprowadzane na Platformę, zwalniając z odpowiedzialności Drilldown i chroniąc ją przed wszelkimi roszczeniami osób trzecich wynikającymi z tych treści (zob. także klauzulę o zwolnieniu z odpowiedzialności w par. 9.4). Drilldown zastrzega sobie prawo do usunięcia lub ukrycia dowolnych treści Użytkownika, które uzna, według własnej niepodważalnej oceny, za naruszające niniejsze Warunki lub prawa osób trzecich, bądź za nieodpowiednie.
4.4 Szczególne obowiązki dla operatorów e-commerce. Użytkownik korzystający z sekcji Shop jako operator e-commerce ponosi wyłączną odpowiedzialność za produkty, które udostępnia, oraz za transakcje handlowe ewentualnie zawarte za pośrednictwem Platformy. Obejmuje to, przykładowo, ale nie wyłącznie: zgodność produktów spożywczych z obowiązującymi przepisami (na przykład w zakresie bezpieczeństwa żywności, etykietowania, dozwolonych oświadczeń żywieniowych i zdrowotnych); prawdziwość i kompletność opisów produktów (składniki, alergeny, właściwości odżywcze, cena itp.); obsługę zamówień złożonych przez użytkowników końcowych, ich wysyłkę, dostawę, fakturowanie, a także obsługę posprzedażową, zwroty i refundacje zgodnie z obowiązującym prawem (na przykład Kodeksem Konsumenta, jeśli ma zastosowanie do klienta końcowego). Drilldown zapewnia wyłącznie infrastrukturę technologiczną Platformy, aby ułatwić kontakt między operatorem e-commerce a końcowymi kupującymi: Drilldown, z wyjątkiem udziału partnerów zewnętrznych, nie jest stroną umów sprzedaży produktów pomiędzy Użytkownikiem prowadzącym e-commerce a klientami końcowymi ani nie przejmuje obowiązków gwarancyjnych dotyczących produktów sprzedawanych przez takich Użytkowników. Operator e-commerce całkowicie zwalnia Drilldown z wszelkiej odpowiedzialności lub kosztów wynikających ze skarg, sporów, szkód lub naruszeń związanych z oferowanymi przez niego produktami lub transakcjami handlowymi realizowanymi za pośrednictwem Platformy.
4.5 Przestrzeganie zasad zawodowych. Jeśli Użytkownik jest specjalistą podlegającym kodeksom etycznym lub szczególnym wymaganiom prawnym (na przykład dietetykiem wpisanym do izby zawodowej), jest on zobowiązany korzystać z Platformy w sposób zgodny z obowiązkami wynikającymi z jego statusu zawodowego. Na przykład specjalista ds. żywienia powinien dopilnować, aby korzystanie z narzędzi Platformy (takich jak opracowywanie diet lub zaleceń żywieniowych) odbywało się z poszanowaniem wytycznych i przepisów mających zastosowanie do jego zawodu. Nic w niniejszych Warunkach nie zwalnia Użytkownika z przestrzegania tych obowiązków zawodowych.
5.1 Usługi płatne i plany SaaS. Dostęp do niektórych funkcji lub sekcji Platformy (na przykład zaawansowane korzystanie z sekcji Ricette dla e-commerce lub zaawansowane narzędzia sekcji Nutrition) może być uzależniony od wykupienia płatnego planu abonamentowego SaaS (Software-as-a-Service). Drilldown może oferować różne plany o różnych poziomach usług (na przykład: plany z maksymalną liczbą możliwych do zarządzania przepisów, dodatkowe funkcje, takie jak przepisy „do kupienia”, usunięcie znaków wodnych Tuduu, priorytetowe wsparcie itp.), zgodnie z opisem na Platformie lub w dokumentacji handlowej Drilldown. Niektóre plany mogą przewidywać początkowy bezpłatny okres próbny, po którym abonament stanie się płatny, chyba że Użytkownik zostanie terminowo anulowany.
5.2 Wynagrodzenie i sposób płatności. Ceny poszczególnych pakietów abonamentowych (dalej: „Opłaty”) są wskazane na Platformie lub przekazywane Użytkownikowi przez Drilldown w momencie zawarcia subskrypcji. Opłaty są zazwyczaj podawane bez VAT i ewentualnych podatków, które zostaną doliczone, jeśli są należne zgodnie z obowiązującymi przepisami podatkowymi. Płatność Opłat odbywa się za pośrednictwem zewnętrznych elektronicznych systemów płatności, takich jak na przykład Stripe. W momencie subskrypcji Użytkownik może zostać poproszony o podanie danych karty kredytowej lub innej obsługiwanej metody płatności, a Użytkownik upoważnia Drilldown (lub zewnętrznego dostawcę Stripe) do automatycznego obciążania należną Opłatą z częstotliwością przewidzianą przez wybrany plan (np. miesięcznie lub rocznie). Wszystkie transakcje podlegają warunkom i zasadom dostawcy płatności Stripe; Drilldown nie przechowuje pełnych danych kart kredytowych Użytkownika, które są bezpiecznie zarządzane przez Stripe.
5.3 Zmiany cen. Drilldown zastrzega sobie prawo do zmiany ceny planów abonamentowych w dowolnym momencie. Ewentualne zmiany cen wejdą w życie nie wcześniej niż w następnym okresie rozliczeniowym po powiadomieniu Użytkownika. Drilldown poinformuje Użytkownika w odpowiedni sposób (na przykład e-mailem lub powiadomieniem w Platformie) o zmianach cen z odpowiednim wyprzedzeniem. Jeśli Użytkownik nie zaakceptuje nowej ceny, może wypowiedzieć abonament przed wejściem zmiany w życie; dalsze korzystanie z usługi po wejściu zmiany w życie będzie stanowiło akceptację nowej ceny.
5.4 Czas trwania abonamentu i anulowanie. O ile nie wskazano inaczej, abonamenty są automatycznie odnawiane: po upływie każdego okresu (miesięcznego, rocznego itp.) abonament odnawia się automatycznie na kolejny okres o tej samej długości, chyba że zostanie anulowany przez Użytkownika lub wypowiedziany przez Drilldown w terminach wskazanych poniżej. Użytkownik może wypowiedzieć abonament w dowolnym momencie za pomocą odpowiedniej funkcji na Platformie (na przykład w ustawieniach Konta) lub kontaktując się z pomocą techniczną Drilldown w celu zażądania anulowania. Anulowanie zacznie obowiązywać z końcem opłaconego już okresu abonamentowego: do tego czasu Użytkownik zachowa dostęp do płatnych funkcji, a zwroty za niewykorzystane okresy nie są przewidziane. W przypadku braku zapłaty Opłaty (na przykład z powodu nieważnej karty kredytowej lub braku środków) lub naruszenia niniejszych Warunków przez Użytkownika, Drilldown może zawiesić lub rozwiązać abonament; w takim przypadku Użytkownik pozostaje zobowiązany do zapłaty kwot należnych do daty zakończenia, z zastrzeżeniem prawa Drilldown do dochodzenia odszkodowania za dodatkowe szkody, jeśli rozwiązanie nastąpiło z powodu niewykonania zobowiązania przez Użytkownika.
Jeżeli Drilldown i Użytkownik zawarli pisemną, szczegółową umowę przewidującą szczególne warunki korzystania z Platformy (na przykład spersonalizowaną umowę o świadczenie usług, umowę firmową lub partnerską) albo publikację treści (przepisów i produktów) w zewnętrznych kanałach, takich jak marketplace Tuduu.it lub inne współdzielone kanały, postanowienia takiej umowy będą miały zastosowanie dodatkowo do niniejszych Warunków. W przypadku sprzeczności między postanowieniami umowy indywidualnej a niniejszymi Ogólnymi Warunkami pierwszeństwo mają postanowienia umowy indywidualnej, ale tylko w zakresie sprzeczności. Bez zmian pozostaje to, że w sprawach nieuregulowanych wyraźnie w umowie indywidualnej stosuje się niniejsze Ogólne Warunki.
7.1 Platforma i treści Drilldown. Platforma (w tym oprogramowanie, kod źródłowy, projekt, interfejs użytkownika, bazy danych, znaki towarowe „Tuduu” i „Drilldown”, logotypy, nazwy domen oraz wszelkie inne treści i materiały dostępne na stronie i w aplikacji, z wyjątkiem Treści Użytkownika zdefiniowanych powyżej) stanowi wyłączną własność Drilldown lub jej ewentualnych licencjodawców. Elementy te są chronione przepisami prawa autorskiego, znaków towarowych, patentów, wzornictwa przemysłowego i/lub innymi przepisami chroniącymi własność intelektualną. Użytkownik zobowiązuje się nie kopiować, nie modyfikować, nie rozpowszechniać, nie sprzedawać ani nie tworzyć dzieł zależnych z jakiejkolwiek części Platformy lub jej zastrzeżonych treści, chyba że wyraźnie zezwala na to Drilldown lub prawo. Dostęp do Platformy nie powoduje w żaden sposób przeniesienia na Użytkownika praw własności intelektualnej do oprogramowania lub innych elementów należących do Drilldown, lecz jedynie udzielenie ograniczonej, odwołalnej i niewyłącznej licencji na korzystanie z Platformy zgodnie z niniejszymi Warunkami.
7.2 Treści Użytkownika. Użytkownik zachowuje pełne prawa do własnych treści, które przesyła na Platformę (zgodnie z definicją w par. 4.3). Jednak zgodnie z postanowieniami klauzuli 4.3 Użytkownik udziela Drilldown licencji na korzystanie z tych treści do celów i z ograniczeniami tam opisanymi. Użytkownik przyjmuje do wiadomości, że treści opublikowane na Platformie mogą być widoczne dla innych użytkowników, a w przypadku przepisów lub informacji upublicznionych także dla niezarejestrowanych odwiedzających, i upoważnia Drilldown do wykonywania wszelkich czynności publikowania, udostępniania lub indeksowania niezbędnych do nadania tym treściom widoczności w ramach funkcji Platformy.
7.3 Opinie i sugestie. Jeśli Użytkownik przekazuje Drilldown uwagi, sugestie lub pomysły dotyczące Platformy lub usług (na przykład zgłoszenia nowych funkcji lub ulepszeń), takie wkłady nie będą uznawane za poufne. Drilldown będzie mogła swobodnie wykorzystywać te opinie do dowolnego celu, bez prawa Użytkownika do jakiegokolwiek wynagrodzenia lub uznania, i bez przenoszenia na Użytkownika praw do ewentualnych wdrożonych zmian lub ulepszeń.
8.1 Przetwarzanie danych osobowych. Drilldown przetwarza dane osobowe przekazane przez Użytkownika lub w inny sposób zebrane podczas korzystania z Platformy zgodnie z Rozporządzeniem UE 2016/679 („RODO”) oraz obowiązującymi włoskimi przepisami o ochronie prywatności. Informacje o sposobach i celach przetwarzania danych osobowych są szczegółowo opisane w Polityce Prywatności udostępnionej Użytkownikowi i dostępnej na stronie Platformy. Akceptując niniejsze Warunki, Użytkownik oświadcza, że zapoznał się z tą informacją.
8.2 Dane osób trzecich wprowadzane przez Użytkownika. Jeżeli Użytkownik (na przykład specjalista ds. żywienia) wprowadza na Platformę dane osobowe osób trzecich, takie jak informacje o swoich klientach lub pacjentach (np. imię, dane kontaktowe, dane dotyczące zdrowia lub diety), gwarantuje, że uzyskał te dane w sposób zgodny z prawem oraz, w razie potrzeby, że uzyskał świadomą zgodę osób, których dane dotyczą, na wykorzystanie tych danych w Platformie. W odniesieniu do takich operacji Użytkownik występuje jako Administrator danych, a Drilldown działa jako Podmiot przetwarzający zgodnie z art. 28 RODO, ograniczając się do czynności przechowywania i przetwarzania niezbędnych do świadczenia usług Platformy. W tym zakresie może zostać sporządzona odrębna Umowa powierzenia przetwarzania danych (Data Processing Agreement), która szczegółowo ureguluje wzajemne obowiązki w zakresie ochrony danych osobowych; taka umowa, jeśli ma zastosowanie, stanowi integralną część niniejszych Warunków.
8.3 Dane o korzystaniu i dane zagregowane. Drilldown jest upoważniona do zbierania i przetwarzania danych dotyczących korzystania z Platformy przez Użytkowników (na przykład wykorzystywane funkcje, liczba utworzonych przepisów, parametry wyszukiwania, statystyki przeglądania, przekazane opinie itp.) w celu ulepszania usługi i zapewnienia prawidłowego funkcjonowania Platformy. Takie dane o korzystaniu, po zebraniu, mogą zostać poddane procesom anonimizacji i agregacji, tak aby nie umożliwiały już bezpośredniej ani pośredniej identyfikacji Użytkowników lub osób fizycznych. Użytkownik przyjmuje do wiadomości i wyraźnie akceptuje, że Drilldown, zgodnie z obowiązującymi przepisami, może wykorzystywać te dane anonimowe i zagregowane do celów analizy statystycznej, badań i rozwoju, a także w celach handlowych i monetyzacyjnych. Może to obejmować na przykład publikację raportów lub wniosków dotyczących trendów żywieniowych wyprowadzonych z łącznych danych użytkowników lub udostępnianie danych statystycznych zainteresowanym stronom trzecim (na przykład partnerom handlowym) w ściśle anonimowej formie. W żadnym przypadku takie działania nie będą oznaczały przekazania osobom trzecim danych osobowych identyfikujących Użytkownika bez jego zgody lub bez innej ważnej podstawy prawnej przewidzianej ustawą.
9.1 Funkcje Platformy – „w stanie, w jakim są”. Platforma Tuduu oraz wszystkie jej usługi i funkcje są udostępniane Użytkownikowi na zasadzie „tak jak są” i „tak jak dostępne” („as is” i „as available”). Oznacza to, że mimo że Drilldown zobowiązuje się utrzymywać Platformę sprawną i aktualną, nie udziela się żadnej szczególnej gwarancji co do braku błędów lub przerw w działaniu. W szczególności Drilldown nie gwarantuje, że: (i) Platforma w pełni odpowiada szczególnym potrzebom Użytkownika; (ii) wyniki uzyskane przy korzystaniu z Platformy (w tym algorytmiczne analizy żywieniowe) będą zawsze dokładne, precyzyjne lub wiarygodne; (iii) działanie Platformy będzie wolne od przerw, opóźnień, usterek lub błędów; (iv) ewentualne wady lub błędy oprogramowania zostaną natychmiast usunięte. Użytkownik akceptuje, że korzysta z Platformy na własne ryzyko.
9.2 Ograniczenie odpowiedzialności Drilldown. W maksymalnym zakresie dozwolonym przez obowiązujące prawo Drilldown nie ponosi odpowiedzialności za szkody pośrednie, incydentalne, następcze, szczególne lub karne poniesione przez Użytkownika lub osoby trzecie w związku z korzystaniem z Platformy lub niemożnością korzystania z niej. Z odszkodowania wyłączone są w każdym przypadku, w granicach wskazanych powyżej, szkody takie jak: utrata zysku, utracone korzyści lub oszczędności, utrata możliwości biznesowych, utrata danych, przerwa w działalności lub roszczenia osób trzecich wobec Użytkownika. Jeżeli Drilldown zostałaby uznana za odpowiedzialną z jakiegokolwiek powodu w ramach stosunku umownego z Użytkownikiem, łączna odpowiedzialność Drilldown nie może przekroczyć kwoty opłat uiszczonych przez Użytkownika na rzecz Drilldown w ciągu 12 miesięcy poprzedzających zdarzenie powodujące odpowiedzialność (albo, jeśli korzystanie z Platformy jest bezpłatne, kwoty 100 euro jako limitu). To ograniczenie odpowiedzialności obowiązuje w maksymalnym zakresie dozwolonym przez prawo i nic w niniejszych Warunkach nie ma na celu ograniczenia odpowiedzialności Drilldown za umyślne działanie lub rażące niedbalstwo ani innych przypadków, w których ograniczenie odpowiedzialności jest prawnie niedopuszczalne.
9.3 Brak porady medycznej lub diagnostycznej. Użytkownik przyjmuje do wiadomości, że Platforma i udostępniane funkcje nie mają charakteru wyrobu medycznego i w żaden sposób nie stanowią oferty porady medycznej, diagnozy ani spersonalizowanego leczenia zdrowotnego. Informacje żywieniowe, dane i sugestie generowane za pośrednictwem Tuduu służą wyłącznie celom informacyjnym i wsparciu zawodowemu i w żadnym przypadku nie zastępują opinii lekarskiej ani oceny uprawnionego specjalisty ochrony zdrowia. Wszelkie decyzje dotyczące zdrowia, diety lub leczenia danej osoby powinny być podejmowane przez kompetentnego specjalistę na podstawie bezpośredniej oceny konkretnego przypadku. Jeśli Użytkownik jest specjalistą ds. żywienia, pozostaje w pełni odpowiedzialny za porady udzielane swoim klientom/pacjentom: korzystanie z Platformy nie zwalnia go z obowiązku osobistej oceny i przestrzegania najlepszych praktyk zawodowych. Jeśli Użytkownik nie jest pracownikiem ochrony zdrowia, powinien zawsze konsultować się z lekarzami lub wykwalifikowanymi specjalistami w sprawie diagnoz lub zaleceń terapeutycznych. Drilldown nie gwarantuje żadnych rezultatów zdrowotnych ani fizycznych wynikających z korzystania z Platformy i nie ponosi odpowiedzialności za skutki wynikające z wyłącznego polegania na informacjach uzyskanych za pośrednictwem Platformy.
9.4 Zwolnienie z odpowiedzialności przez Użytkownika. Użytkownik zobowiązuje się zwolnić z odpowiedzialności i chronić Drilldown, a także jej przedstawicieli, pracowników i współpracowników, przed wszelką utratą, szkodą, odpowiedzialnością, kosztem lub wydatkiem (w tym uzasadnionymi kosztami prawnymi) wynikającymi z jakichkolwiek roszczeń osób trzecich spowodowanych przez lub związanych z: (i) treściami dostarczonymi przez Użytkownika na Platformie, które naruszają prawa osób trzecich lub przepisy prawa; (ii) naruszeniem przez Użytkownika niniejszych Warunków lub obowiązków prawnych przy korzystaniu z Platformy; (iii) zaniedbaniem, nieostrożnością lub umyślnym działaniem Użytkownika przy korzystaniu z Platformy; (iv) produktami sprzedawanymi lub wprowadzanymi do obrotu przez Użytkownika za pośrednictwem Platformy (w przypadku operatora e-commerce), w tym wszelkimi sporami dotyczącymi jakości, zgodności lub bezpieczeństwa takich produktów. Drilldown niezwłocznie powiadomi Użytkownika o ewentualnym powstaniu takich roszczeń i będzie rozsądnie współpracować przy obronie, przy czym pozostaje zastrzeżone, że Drilldown będzie mogła samodzielnie decydować o własnej obronie prawnej.
10.1 Czas trwania umowy. Niniejsza umowa między Użytkownikiem a Drilldown wchodzi w życie z chwilą akceptacji Warunków przez Użytkownika (rejestracja i/lub pierwsze użycie Platformy) i pozostaje ważna przez cały okres korzystania z Platformy przez Użytkownika. Konto i ewentualny abonament Użytkownika są bezterminowe, z automatycznym okresowym odnawianiem, jak opisano powyżej, chyba że wygasną zgodnie z poniższymi postanowieniami.
10.2 Rezygnacja Użytkownika. Użytkownik może w dowolnym momencie odstąpić od niniejszego stosunku umownego, żądając usunięcia swojego Konta i zaprzestając korzystania z Platformy. Usunięcie Konta może zostać dokonane za pomocą odpowiedniej funkcji na Platformie (jeśli jest dostępna) lub poprzez kontakt pisemny z Drilldown. W przypadku dobrowolnego odstąpienia Użytkownik nie będzie miał prawa do zwrotu opłat już zapłaconych za usługi nie w pełni wykorzystane, z zastrzeżeniem postanowień poprzedniego par. 5.4 dotyczących trwających abonamentów. Zamknięcie Konta skutkuje brakiem przyszłego dostępu do danych i treści wprowadzonych przez Użytkownika do Platformy, z zastrzeżeniem obowiązków przechowywania danych wynikających z przepisów prawa lub ochrony praw, jak wskazano w Polityce Prywatności.
10.3 Zawieszenie lub rozwiązanie przez Drilldown. Drilldown zastrzega sobie prawo do czasowego zawieszenia dostępu Użytkownika do Platformy lub rozwiązania niniejszej umowy ze skutkiem natychmiastowym (dezaktywując Konto) w następujących przypadkach: (i) gdy jest to konieczne dla zapewnienia bezpieczeństwa Platformy lub danych (na przykład w przypadku naruszenia lub zagrożenia bezpieczeństwa informatycznego); (ii) w razie poważnego lub powtarzającego się naruszenia niniejszych Warunków przez Użytkownika (na przykład nielegalnego korzystania z Platformy, braku zapłaty należnych opłat, nieuprawnionego ujawnienia poufnych danych itp.); (iii) jeśli wymaga tego postanowienie organu lub przepis prawa; (iv) w przypadku zaprzestania działalności Drilldown związanej z Platformą lub zaistnienia niemożności świadczenia usług. O ile nie jest to zakazane przez prawo lub decyzje organów (np. nakaz natychmiastowego zablokowania), Drilldown przekaże Użytkownikowi pisemną informację o zawieszeniu lub rozwiązaniu, wskazując odpowiednie przyczyny, z rozsądnym wyprzedzeniem, gdy będzie to możliwe. W przypadku rozwiązania nieprzypisanego Użytkownikowi (na przykład w przypadku (iv) powyżej), Drilldown, jeśli ma to zastosowanie, zwróci Użytkownikowi część już zapłaconej opłaty odpowiadającą niewykorzystanemu okresowi abonamentu po dacie wejścia w życie rozwiązania.
10.4 Skutki zakończenia. Po zakończeniu stosunku umownego, z jakiejkolwiek przyczyny, Użytkownik musi niezwłocznie zaprzestać korzystania z Platformy. Wszystkie postanowienia niniejszych Warunków, które ze swej natury mają obowiązywać po zakończeniu (takie jak, przykładowo: obowiązki płatnicze, wyłączenia gwarancji, ograniczenia odpowiedzialności, zwolnienia z odpowiedzialności, postanowienia dotyczące własności intelektualnej i przetwarzania danych) pozostaną w pełni skuteczne. Zakończenie obowiązywania Warunków nie wpływa na ewentualne prawa lub środki prawne nabyte przez strony do tego momentu.
Drilldown zastrzega sobie prawo do aktualizowania lub zmieniania niniejszych Warunków w dowolnym momencie, na przykład w celu dostosowania ich do zmian prawnych, wprowadzenia nowych funkcji lub usług albo z innych potrzeb organizacyjnych. W przypadku istotnej zmiany Warunków Drilldown poinformuje o tym Użytkownika z odpowiednim wyprzedzeniem, publikując ogłoszenie na stronie Platformy i/lub wysyłając komunikat na zarejestrowany adres e-mail Użytkownika. Zmiany będą obowiązywać od daty wskazanej w komunikacie (lub, jeśli jej nie wskazano, po upływie 15 dni od powiadomienia). Jeżeli Użytkownik nie zaakceptuje zmian, może odstąpić od umowy do dnia wejścia ich w życie, usuwając swoje Konto. W braku odstąpienia w tym terminie nowe Warunki uznaje się za zaakceptowane i będą miały zastosowanie wobec Użytkownika od wskazanej daty wejścia w życie.
Niniejsze Warunki oraz wszystkie wynikające z nich stosunki umowne podlegają prawu włoskiemu. Wszelkie spory, które mogą powstać między Drilldown a Użytkownikiem w związku z interpretacją, ważnością, wykonaniem lub rozwiązaniem niniejszych Warunków, bądź ogólnie związane z korzystaniem z Platformy, będą podlegały wyłącznej właściwości Sądu w Mediolanie, z zastrzeżeniem ewentualnych bezwzględnie obowiązujących właściwości sądów przewidzianych przez obowiązujące prawo.
13.1 Całość umowy. Niniejsze Warunki (wraz z dokumentami, do których się odwołują lub które są załączone, takimi jak Polityka Prywatności oraz, jeśli ma zastosowanie, Umowa o przetwarzaniu danych) stanowią całość porozumienia między Użytkownikiem a Drilldown w odniesieniu do korzystania z Platformy przez Użytkownika i zastępują wszelkie wcześniejsze ustalenia lub umowy, ustne lub pisemne, zawarte między stronami w tym samym zakresie. Zastrzega się możliwość zawierania umów ad hoc zgodnie z art. 6 powyżej.
13.2 Częściowa nieważność. Jeżeli jakiekolwiek postanowienie niniejszych Warunków zostanie uznane przez właściwy organ (na przykład sąd) za nieważne, bezskuteczne lub niewykonalne, będzie ono stosowane w maksymalnym dopuszczalnym zakresie, a nie wpłynie to na ważność i skuteczność pozostałych postanowień, które pozostaną w pełni ważne i wiążące.
13.3 Brak zrzeczenia się. Ewentualny brak lub opóźnienie w wykonaniu prawa lub uprawnienia przysługującego Drilldown na mocy niniejszych Warunków w żaden sposób nie stanowi zrzeczenia się tego prawa lub uprawnienia, które może zostać wykonane również w późniejszym terminie, w granicach dozwolonych przez prawo.
13.4 Cesja umowy. Użytkownik nie może przenieść ani cedować niniejszej umowy na osoby trzecie (tj. swojego Konta oraz praw/obowiązków wynikających z Warunków) bez uprzedniej pisemnej zgody Drilldown. Drilldown, po powiadomieniu Użytkownika, może przenieść niniejszą umowę w ramach transferów przedsiębiorstwa, nadzwyczajnych operacji korporacyjnych lub na spółki dominujące, zależne lub powiązane, z zastrzeżeniem, że nie naruszy to praw Użytkownika wynikających z niniejszych Warunków.
13.5 Język i wersje. Niniejsze Ogólne Warunki Korzystania zostały sporządzone w języku włoskim. Ewentualne tłumaczenia na inne języki lub wersje lokalne są dostarczane wyłącznie dla wygody konsultacji; w przypadku rozbieżności lub wątpliwości interpretacyjnych pierwszeństwo ma tekst w języku włoskim.
13.6 Kontakt. W przypadku jakiejkolwiek komunikacji dotyczącej niniejszych Warunków lub korzystania z Platformy Użytkownik może skontaktować się z Drilldown za pomocą danych kontaktowych wskazanych na stronie (na przykład pod adresem e-mail wsparcia). Drilldown może kontaktować się z Użytkownikiem za pomocą danych kontaktowych (e-mail, adres) podanych podczas rejestracji.
Strony: Niniejsza Umowa o przetwarzaniu danych zostaje zawarta między:
Administratorem danych (dalej: „Administrator”): specjalistą (osobą fizyczną lub prawną), który korzysta z modułu nutrition i określa cele oraz sposoby przetwarzania danych osobowych pacjentów;
Podmiotem przetwarzającym (dalej: „Podmiot przetwarzający”): spółką dostarczającą moduł nutrition (np. platformę software/CRM), która przetwarza dane osobowe w imieniu Administratora.
1.1 Przedmiot
Na podstawie art. 28 Rozporządzenia (UE) 2016/679 (RODO) niniejsza umowa reguluje przetwarzanie danych osobowych, które Podmiot przetwarzający wykonuje w imieniu Administratora w ramach modułu nutrition usługi świadczonej Administratorowi. W szczególności Podmiot przetwarzający będzie przetwarzał dane wprowadzone przez Administratora do CRM (imię, nazwisko, dane kontaktowe, dane żywieniowe pacjentów itp.) wyłącznie w celu zapewnienia funkcji modułu nutrition i zgodnie z instrukcjami Administratora (zob. sekcja 6). Przetwarzanie danych osobowych będzie odbywać się zgodnie z operacjami dozwolonymi przez art. 4 ust. 2 RODO, takimi jak zbieranie, rejestrowanie, organizowanie, przechowywanie, przeglądanie, używanie, modyfikowanie, usuwanie itp., niezbędnymi do świadczenia usługi.
1.2 Czas trwania
Czas trwania niniejszej umowy odpowiada czasowi trwania stosunku umownego między Administratorem a Podmiotem przetwarzającym dotyczącego korzystania z modułu nutrition. Umowa pozostaje w mocy, dopóki Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora. W przypadku zakończenia głównej usługi (np. usunięcia konta lub zakończenia umowy o świadczenie usług) zastosowanie mają postanowienia dotyczące zwrotu/usunięcia danych, o których mowa w sekcji 10. Administrator ma prawo rozwiązać niniejszą umowę ze skutkiem natychmiastowym w razie poważnego naruszenia przez Podmiot przetwarzający przepisów o ochronie danych lub obowiązków przewidzianych w niniejszej umowie. Pozostaje zastrzeżone prawo każdej ze stron do dochodzenia odszkodowania za ewentualne szkody wynikające z naruszenia umowy.
Podmiot przetwarzający udostępnia Administratorowi platformę software (moduł nutrition) w modelu Software as a Service do zarządzania działalnością żywieniową pacjentów. Celem przetwarzania jest umożliwienie Administratorowi archiwizowania i analizowania informacji o swoich pacjentach w celu oferowania spersonalizowanych konsultacji żywieniowych, opracowywania planów żywieniowych, monitorowania zmian masy ciała i innych parametrów zdrowotnych, a także zarządzania komunikacją z pacjentami i powiązanymi wizytami. Funkcje te mieszczą się w zakresie praktyk medycznych/żywieniowych obsługiwanych przez oprogramowanie, analogicznie do cyfrowych usług medycznych do zarządzania dokumentacją kliniczną i planami opieki.
W praktyce charakter przetwarzania obejmuje wszystkie operacje niezbędne do świadczenia usługi modułu nutrition, w tym zbieranie, organizację, przeglądanie, modyfikowanie, zapisywanie, eksport, przekazywanie Administratorowi, usuwanie lub niszczenie danych wprowadzonych do systemu, zgodnie z instrukcjami Administratora. Podmiot przetwarzający nie będzie wykorzystywał danych do własnych celów wykraczających poza uzgodnione, ani nie będzie przekazywał ich osobom trzecim, chyba że na instrukcję Administratora lub na podstawie obowiązku prawnego (jak opisano niżej).
W ramach modułu nutrition Podmiot przetwarzający będzie przetwarzał w imieniu Administratora następujące rodzaje danych osobowych dotyczących pacjentów Administratora:
Dane identyfikacyjne i kontaktowe: imię, nazwisko, adres e-mail, data i miejsce urodzenia, numery telefonów oraz ewentualne adresy (np. do kontaktu z pacjentem).
Dane żywieniowe/zdrowotne: informacje o stanie zdrowia i nawykach żywieniowych pacjenta, na przykład preferencje lub ograniczenia żywieniowe (specjalne diety, alergie pokarmowe, wybory wegetariańskie/wegańskie itp.), dane dotyczące monitorowania masy ciała i podobne parametry antropometryczne lub zdrowotne, a także ewentualne uwagi dotyczące stylu życia istotne dla żywienia. Informacje te stanowią dane osobowe dotyczące zdrowia w rozumieniu art. 4 ust. 15 RODO i/lub mogą pośrednio ujawniać przekonania religijne lub filozoficzne (np. wybory żywieniowe), stanowiąc szczególne kategorie danych w rozumieniu art. 9 RODO. W konsekwencji zarówno Administrator, jak i Podmiot przetwarzający zobowiązują się stosować niezbędne środki ostrożności i zabezpieczenia przewidziane przepisami w celu ochrony tych danych wrażliwych.
Kategorie osób, których dane są przetwarzane w wykonaniu niniejszej umowy, to: pacjenci (klienci) Administratora, czyli osoby fizyczne korzystające z konsultacji żywieniowych lub innych usług Administratora i których dane osobowe są wprowadzane do modułu nutrition.
Administrator zobowiązuje się do:
Zgodność z prawem i przejrzystość: Zapewnić, że dane osobowe pacjentów powierzone Podmiotowi przetwarzającemu są zbierane i przetwarzane zgodnie z prawem (na przykład poprzez uzyskanie, jeśli to konieczne, świadomej zgody pacjenta lub innej ważnej podstawy prawnej na mocy art. 6 RODO) oraz że osoby, których dane dotyczą, zostały odpowiednio poinformowane o celach i sposobach przetwarzania zgodnie z art. 13 i 14 RODO. Administrator pozostaje odpowiedzialny wobec osób, których dane dotyczą, za przestrzeganie obowiązków prawnych w odniesieniu do tych danych.
Udokumentowane instrukcje: Przekazywać Podmiotowi przetwarzającemu udokumentowane, jasne i aktualne instrukcje dotyczące przetwarzania danych (np. za pośrednictwem niniejszej umowy oraz ewentualnych polityk lub wskazówek operacyjnych). Ewentualne dodatkowe instrukcje lub zmiany instrukcji początkowych muszą być przekazywane na piśmie (także za pośrednictwem poczty elektronicznej PEC lub systemu ticketowego) i zachowane jako punkt odniesienia. Podmiot przetwarzający będzie przetwarzał dane wyłącznie zgodnie z otrzymanymi instrukcjami. Jeśli zdaniem Podmiotu przetwarzającego instrukcja Administratora narusza przepisy o ochronie prywatności, Podmiot przetwarzający niezwłocznie poinformuje o tym Administratora (zob. także sekcja 6).
Nadzór i audyt: Sprawdzić przed rozpoczęciem, a następnie regularnie, czy Podmiot przetwarzający zapewnia wystarczające gwarancje w zakresie odpowiednich środków technicznych i organizacyjnych chroniących powierzone dane oraz czy przestrzega postanowień niniejszej umowy. Administrator ma prawo przeprowadzać lub zlecać okresowe audyty (np. roczne) i inspekcje, po uprzednim rozsądnym powiadomieniu, dotyczące działań Podmiotu przetwarzającego w odniesieniu do powierzonych danych, w celu kontroli przestrzegania przepisów o ochronie danych i uzgodnionych instrukcji. Podmiot przetwarzający zobowiązuje się współpracować, dostarczając informacje lub rozsądny dostęp do infrastruktury, w uzgodnionych granicach (zob. sekcja 6 i 8 w celu uzyskania szczegółów dotyczących audytu i podwykonawców).
Zgłaszanie nieprawidłowości: Niezwłocznie poinformować Podmiot przetwarzający, jeśli wykryje błędy, niespójności lub naruszenia w sposobie przetwarzania wykonywanym przez Podmiot przetwarzający, które mogą prowadzić do niezgodności z niniejszą umową lub obowiązującymi przepisami o ochronie prywatności. Strony będą współpracować, aby niezwłocznie naprawić wszelkie wykryte nieprawidłowości.
Poufność informacji: Traktować jako ściśle poufne wszystkie informacje dotyczące środków bezpieczeństwa, systemów i tajemnic handlowych Podmiotu przetwarzającego, o których Administrator dowie się w związku z relacją umowną. Obowiązek poufności pozostaje ważny również po zakończeniu niniejszej umowy.
Obsługa żądań osób, których dane dotyczą: Administrator pozostaje odpowiedzialny za odpowiadanie na żądania wykonywania praw zgłaszane przez swoich pacjentów (dostęp, sprostowanie, usunięcie, sprzeciw, przenoszenie itd. – Rozdział III RODO). Jeżeli Podmiot przetwarzający otrzyma bezpośrednio wiadomości lub żądania od osoby, której dane dotyczą, odnoszące się do danych objętych niniejszą umową, musi niezwłocznie przekazać je Administratorowi bez samodzielnego podejmowania działań, chyba że otrzymał szczególne upoważnienie. Administrator przekaże Podmiotowi przetwarzającemu niezbędne instrukcje do spełnienia takich żądań, przy czym Podmiot przetwarzający będzie wspierał Administratora w zakresie przewidzianym prawem (zob. sekcja 6).
Podmiot przetwarzający zobowiązuje się do wypełnienia wszystkich obowiązków przewidzianych w art. 28 RODO. W szczególności, niezależnie od obowiązków bardziej szczegółowo opisanych w innych miejscach niniejszej umowy, Podmiot przetwarzający musi:
Przetwarzać wyłącznie na podstawie instrukcji: przetwarzać dane osobowe wyłącznie na podstawie udokumentowanej instrukcji Administratora. Dotyczy to również ewentualnych transferów danych do państw trzecich lub organizacji międzynarodowych: takie operacje nie są dozwolone dla Podmiotu przetwarzającego bez uprzedniej instrukcji/zgody Administratora (zob. także sekcja 9), chyba że prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający określone przetwarzanie; w takim przypadku Podmiot przetwarzający poinformuje Administratora o tym obowiązku prawnym przed przetwarzaniem, chyba że prawo zabrania takiego poinformowania ze względu na ważny interes publiczny.
Poufność personelu: zapewnić, że osoby upoważnione przez niego do przetwarzania danych osobowych (własni pracownicy lub ewentualni współpracownicy) otrzymały odpowiednie instrukcje dotyczące przestrzegania przepisów o ochronie prywatności i zobowiązały się umownie do zachowania poufności (lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności). Podmiot przetwarzający będzie nadzorował, aby każdy działający pod jego władzą i mający dostęp do danych osobowych Administratora nie przetwarzał ich inaczej niż na instrukcję Administratora. Obowiązek poufności pozostaje również po zakończeniu niniejszej umowy.
Bezpieczeństwo danych: stosować i utrzymywać odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, aby zapewnić poziom bezpieczeństwa odpowiedni do ryzyka powierzonego przetwarzania. Środki te obejmują między innymi pseudonimizację i szyfrowanie danych osobowych (w razie potrzeby), systemy kontroli dostępu i uwierzytelniania, zdolność zapewnienia poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania, a także zdolność do szybkiego przywrócenia dostępu do danych w przypadku incydentów fizycznych lub technicznych. Podmiot przetwarzający stosuje procedury regularnego testowania, weryfikacji i oceny skuteczności wdrożonych środków technicznych i organizacyjnych (zob. także sekcja 7 poniżej dla większej liczby szczegółów dotyczących środków bezpieczeństwa).
Ograniczenia użycia: nie wykorzystywać danych osobowych przekazanych przez Administratora do własnych celów oraz nie wykonywać kopii lub duplikatów danych, chyba że są one niezbędne do świadczenia usługi i zawsze po uzyskaniu zgody/instrukcji Administratora. Podmiot przetwarzający gwarantuje, że dane przetwarzane dla Administratora są logicznie lub fizycznie oddzielone od danych innych klientów lub własnych baz danych, aby uniknąć ich mieszania.
Subprocesorzy: nie powierzać podwykonawcom (sub-processors) wykonywania konkretnych czynności przetwarzania w imieniu Administratora bez uprzedniej (pisemnej) zgody tego ostatniegohttps://www.privacy-regulation.eu/it/28.htm. W przypadku zgody na korzystanie z podwykonawców (zob. sekcja 8 dla szczegółów) Podmiot przetwarzający musi nałożyć na te podmioty te same obowiązki w zakresie ochrony danych osobowych przewidziane w niniejszej umowie i pozostaje w pełni odpowiedzialny wobec Administratora za wykonanie przez podwykonawcę jego obowiązków.
Wsparcie dla Administratora: biorąc pod uwagę charakter przetwarzania i dostępne informacje, wspierać Administratora w wykonywaniu jego obowiązków w zakresie ochrony danych. W szczególności Podmiot przetwarzający zapewni odpowiednie wsparcie Administratorowi, aby ten mógł realizować żądania dotyczące wykonywania praw osób, których dane dotyczą (prawo dostępu, sprostowania, usunięcia, sprzeciwu, przenoszenia itd.), na przykład poprzez udostępnienie funkcji oprogramowania umożliwiających Administratorowi eksport, poprawianie lub usuwanie danych pacjentów na żądanie. Ponadto Podmiot przetwarzający będzie wspierał Administratora w zapewnieniu przestrzegania obowiązków w zakresie bezpieczeństwa danych oraz, jeśli ma zastosowanie, zgłaszania ewentualnych naruszeń danych osobowych organowi nadzorczemu lub osobom, których dane dotyczą, zgodnie z art. 32–34 RODO (np. poprzez niezwłoczne przekazanie Administratorowi informacji dotyczących naruszenia danych, aby umożliwić mu dokonanie zgłoszenia w ciągu 72 godzin, zob. także punkt poniżej). Podobnie Podmiot przetwarzający będzie współpracował z Administratorem, jeśli konieczna okaże się ocena skutków dla ochrony danych (DPIA) lub konsultacje uprzednie z organem nadzorczym zgodnie z art. 35–36 RODO, przekazując stosowne informacje.
Zgłaszanie naruszeń: niezwłocznie informować Administratora w przypadku naruszeń bezpieczeństwa lub incydentów (np. nieuprawnionego dostępu, utraty, zniszczenia lub przypadkowego ujawnienia danych osobowych) dotyczących danych przetwarzanych w imieniu Administratora. Komunikat powinien zawierać wszystkie informacje, o których Podmiot przetwarzający się dowie i które będą przydatne Administratorowi do oceny powagi zdarzenia oraz do wypełnienia ewentualnych obowiązków zgłoszenia wobec organu ochrony danych i/lub zawiadomienia osób, których dane dotyczą, zgodnie z art. 33 i 34 RODO. Podmiot przetwarzający zobowiązuje się wspierać Administratora w analizie i obsłudze incydentu oraz w opracowaniu odpowiednich zgłoszeń lub komunikatów, zgodnie z instrukcjami Administratora.
Dowód zgodności i audyt: udostępnić Administratorowi wszystkie informacje niezbędne do wykazania przestrzegania obowiązków przewidzianych w niniejszej umowie. Na żądanie Administratora Podmiot przetwarzający przedstawi dokumentację potwierdzającą wdrożone środki bezpieczeństwa (np. certyfikaty, raporty z audytów wewnętrznych/zewnętrznych, potwierdzenia zgodności) oraz ułatwi przeprowadzenie inspekcji lub kontroli przez Administratora lub wskazaną przez niego osobę. Sposób audytu (terminy, zakres, środki bezpieczeństwa chroniące dane innych klientów itd.) będzie uzgadniany między stronami z poszanowaniem wzajemnych potrzeb.
Zgłaszanie instrukcji sprzecznych: jeśli Podmiot przetwarzający uzna, że instrukcja wydana przez Administratora narusza RODO lub inne przepisy prawa dotyczące ochrony danych, musi niezwłocznie poinformować o tym Administratora przed wykonaniem takiej instrukcji i może zawiesić jej stosowanie do czasu potwierdzenia lub zmiany przez Administratora (zgodnie z art. 28 ust. 3 RODO).
Podmiot przetwarzający oświadcza, że wdrożył odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka związanego z wykonywanym przetwarzaniem, zgodnie z art. 32 RODO. Dobór tych środków został dokonany z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia, charakteru, zakresu, kontekstu i celów przetwarzania, a także ryzyka dla praw i wolności osób fizycznych. W szczególności Podmiot przetwarzający stosuje takie środki jak:
Kontrola dostępu: dostęp do danych osobowych przyznawany wyłącznie upoważnionemu personelowi do ściśle niezbędnych celów; wdrożenie bezpiecznych systemów uwierzytelniania dla użytkowników i administratorów (np. silne hasła, uwierzytelnianie dwuskładnikowe).
Szyfrowanie i pseudonimizacja: stosowanie protokołów szyfrowania w celu ochrony danych osobowych podczas transmisji (np. HTTPS/TLS) oraz, w miarę możliwości, szyfrowanie danych spoczywających na serwerach lub w kopiach zapasowych. Ewentualna pseudonimizacja danych identyfikacyjnych pacjentów w analizach zbiorczych, tak aby nie można ich było przypisać do konkretnych osób fizycznych bez dodatkowych informacji.
Integralność i dostępność: regularne kopie zapasowe danych oraz procedury odzyskiwania, aby zapewnić dostępność i szybkie przywrócenie dostępu do danych osobowych w przypadku incydentów fizycznych lub technicznych. Stosowanie środków antymalware, zapór ogniowych i monitoringu w celu zapobiegania nieautoryzowanemu dostępowi lub utracie danych.
Testowanie i monitorowanie: okresowa weryfikacja skuteczności wdrożonych środków bezpieczeństwa poprzez audyty wewnętrzne, testy podatności, monitorowanie logów bezpieczeństwa i, w razie potrzeby, szybkie usuwanie wykrytych słabych punktów.
Środki bezpieczeństwa stosowane przez Podmiot przetwarzający są bardziej szczegółowo opisane w odrębnej dokumentacji technicznej (np. załącznik dotyczący środków technicznych i organizacyjnych), która może zostać przekazana Administratorowi na żądanie i stanowi integralną część niniejszej umowy. Podmiot przetwarzający gwarantuje utrzymywanie tych środków w aktualności, aby dostosowywać je do zmian ryzyka i najlepszych praktyk bezpieczeństwa, informując Administratora o wszelkich istotnych zmianach, które mogą wpływać na ochronę powierzonych danych.
Podmiot przetwarzający może angażować inne podmioty jako podwykonawców przetwarzania (dostawców) wyłącznie po uprzedniej zgodzie Administratora. Zgoda może być szczegółowa dla jednego podwykonawcy albo ogólna dla kategorii podwykonawców (na przykład dostawców hostingu, usług e-mail itp.) znanych w momencie zawarcia umowy: w tym drugim przypadku Podmiot przetwarzający i tak poinformuje Administratora o każdym planowanym dodaniu lub zastąpieniu takich podwykonawców, umożliwiając mu sprzeciwienie się takim zmianom przed rozpoczęciem przetwarzania przez podwykonawcę.
Ewentualni zatwierdzeni podwykonawcy zostaną związani z Podmiotem przetwarzającym na piśmie umową nakładającą co najmniej takie same obowiązki w zakresie ochrony danych osobowych, jakie przewidziano w niniejszej umowie, w tym w szczególności odpowiednie gwarancje bezpieczeństwa i poufności. Podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec Administratora za wykonanie obowiązków przez ewentualnych podwykonawców, których powoła; jeśli podwykonawca naruszy swoje obowiązki, Podmiot przetwarzający odpowiada bezpośrednio wobec Administratora za każde niewykonanie zobowiązania.
Przetwarzanie danych osobowych będących przedmiotem niniejszej umowy będzie odbywać się wyłącznie w infrastrukturze (serwery, centra danych) znajdującej się na terytorium Unii Europejskiej lub Europejskiego Obszaru Gospodarczego. Nie przewiduje się żadnego transferu danych osobowych do państw trzecich (poza EOG) przez Podmiot przetwarzający, z wyjątkiem ewentualnej konieczności korzystania z podwykonawców zatwierdzonych przez Administratora zgodnie z sekcją 8. W każdym przypadku jakikolwiek transfer danych do państwa trzeciego lub organizacji międzynarodowej przez Podmiot przetwarzający (lub jego podwykonawców) może nastąpić wyłącznie zgodnie z przepisami Rozdziału V RODO. W szczególności musi zostać uzyskana uprzednia zgoda Administratora i muszą być spełnione warunki przewidziane w art. 44 i nast. RODO, na przykład na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony albo poprzez zastosowanie standardowych klauzul umownych zatwierdzonych przez Komisję, wiążących reguł korporacyjnych lub innych odpowiednich zabezpieczeń. Podmiot przetwarzający poinformuje Administratora o sposobie i podstawach prawnych proponowanego transferu, tak aby Administrator mógł ocenić i udzielić (lub odmówić) zgody.
Po zakończeniu, z jakiejkolwiek przyczyny, stosunku usługowego między stronami dotyczącego modułu nutrition (na przykład w przypadku odstąpienia lub wygaśnięcia głównej umowy albo trwałego zawieszenia usługi przez Podmiot przetwarzający) Podmiot przetwarzający zaprzestanie dalszego przetwarzania danych osobowych wykonywanego w imieniu Administratora. Według wyboru Administratora, przekazanego na piśmie w momencie zakończenia umowy lub w uzgodnionym terminie, Podmiot przetwarzający zwróci wszystkie dane osobowe przetwarzane w imieniu Administratora (na przykład poprzez eksport w formacie interoperacyjnym) albo trwale usunie wszystkie takie dane ze swoich systemów. W każdym przypadku Podmiot przetwarzający usunie wszelkie istniejące kopie danych (w tym kopie zapasowe), chyba że przechowywanie danych jest wymagane przez prawo Unii lub państwa członkowskiego mające zastosowanie do Podmiotu przetwarzającego (w takim przypadku Podmiot przetwarzający poinformuje Administratora o danych i przepisach nakazujących przechowywanie, przetwarzając je wyłącznie w tym celu zgodności z obowiązkiem prawnym). Usunięcie dokonane na żądanie zostanie potwierdzone na piśmie przez Podmiot przetwarzający na prośbę.
Pozostają w mocy także po zakończeniu umowy obowiązki poufności przyjęte przez Podmiot przetwarzający i upoważniony personel w okresie jej obowiązywania. Podmiot przetwarzający gwarantuje ponadto, że w przypadku zakończenia umowy ewentualni wyznaczeni podwykonawcy będą związani tymi samymi obowiązkami zwrotu/usunięcia danych osobowych Administratora.
