Umowa powierzenia przetwarzania danych Cal.com

Wersja 2.3 — Data wejścia w życie: 1 listopada 2026 r.

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część umowy regulującej korzystanie przez Klienta z Usług („Umowa”), zawartej między klientem wskazanym w Umowie („Klient”) a Cal.com, Inc. („Cal.com”). Klient i Cal.com są każda z osobna „Stroną”, a łącznie „Stronami”. Z zastrzeżeniem §14.2 niniejsza DPA ma zastosowanie do każdego konta Klienta i planu objętego Umową oraz staje się wiążąca zgodnie z §16.4. Włączenie niniejszej DPA do ramowej umowy o świadczenie usług nie włącza Cal.com warunków świadczenia usług witryny internetowej do tej umowy.

1. Zakres i role

1.1 Niniejsza DPA ma zastosowanie, gdy Cal.com przetwarza Dane osobowe w imieniu Klienta podczas świadczenia Usług.

1.2 W odniesieniu do Danych osobowych Klienta Klient działa jako Administrator albo jako Podmiot przetwarzający w imieniu innego Administratora, zależnie od przypadku, a Cal.com działa odpowiednio jako Podmiot przetwarzający Klienta albo Dalszy podmiot przetwarzający. W odniesieniu do danych osobowych, które Cal.com przetwarza we własnych celach, w tym na potrzeby administrowania kontem, rozliczeń, marketingu, bezpieczeństwa i zgodności z przepisami, Cal.com działa jako niezależny Administrator, zgodnie z opisem w Polityce prywatności Cal.com.

1.3 Niniejsza DPA nie reguluje przetwarzania przez usługi stron trzecich, które Klient wybiera, łączy lub konfiguruje, a których Cal.com nie obsługuje jako części Usług, na przykład własnego kalendarza Klienta, dostawcy wideokonferencji, CRM, webhooków, SMTP lub automatyzacji. Nadal ma ona zastosowanie do przetwarzania przez Cal.com Danych osobowych Klienta przy zapewnianiu integracji z tymi usługami. Klient odpowiada za swoją relację z tymi stronami trzecimi, przekazywane im instrukcje oraz zgodne z prawem korzystanie z nich. Funkcje, które Cal.com zapewnia jako część Usług, w tym funkcje dostarczane przez Dalsze podmioty przetwarzające, takie jak wideo hostowane przez Cal.com i e-maile transakcyjne, pozostają objęte niniejszą DPA.

1.4 Klient nie może przesyłać, uploadować ani w inny sposób udostępniać za pośrednictwem Usług żadnych chronionych informacji zdrowotnych, chyba że Umowa o współpracy z podmiotem przetwarzającym dane medyczne („BAA”) obejmująca odpowiednie Usługi została zawarta między Klientem a Cal.com zawarli Business Associate Agreement („BAA”) obejmującą odpowiednie Usługi. Klient odpowiada za wszelkie Chronione informacje zdrowotne przekazane z naruszeniem niniejszej sekcji. Klient może przetwarzać Dane osobowe podlegające art. 9 GDPR lub równoważnej podwyższonej ochronie na podstawie Obowiązujących przepisów o ochronie danych za pomocą funkcjonalności udostępnionej na podstawie Umowy, pod warunkiem że Klient odpowiada za ustalenie, że ma ku temu podstawę prawną oraz spełnia wszelkie wymagane warunki, a także za odpowiednią konfigurację Usług dla takich danych.

1.5 Jeżeli Klient zawarł BAA, BAA rozstrzyga wszelkie sprzeczności między niniejszą DPA a BAA dotyczące wykorzystywania, ujawniania, prywatności lub bezpieczeństwa Chronionych informacji zdrowotnych (zgodnie z definicją w BAA). Niniejsza DPA nadal reguluje wszystkie pozostałe Dane osobowe Klienta i uzupełnia wszelkie kwestie, których BAA nie obejmuje.

2. Definicje i interpretacja

„Obowiązujące przepisy o ochronie danych” oznaczają przepisy o ochronie danych i prywatności mające zastosowanie do przetwarzania Danych osobowych Klienta, w tym, w stosownych przypadkach, GDPR, UK GDPR, szwajcarską federalną ustawę o ochronie danych, stanowe przepisy USA o prywatności oraz przepisy wykonawcze lub uzupełniające.

„Dane osobowe Klienta” oznaczają Dane osobowe przetwarzane przez Cal.com w imieniu Klienta w związku z Usługami.

„EOG” oznacza Europejski Obszar Gospodarczy.

„Podpisana DPA” oznacza umowę powierzenia przetwarzania danych, inną niż niniejsza DPA, którą podpisali zarówno Klient, jak i Cal.com.

„GDPR” oznacza rozporządzenie (UE) 2016/679.

„Naruszenie ochrony danych osobowych” ma znaczenie nadane w GDPR.

„SCCs” oznacza standardowe klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich, przyjęte decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r.

„Swiss Amendments” oznacza modyfikacje SCCs wymagane przez szwajcarskiego Federalnego Komisarza ds. Ochrony Danych i Informacji dla transferów podlegających szwajcarskiej federalnej ustawie o ochronie danych.

„UK Addendum” oznacza International Data Transfer Addendum do Standardowych Klauzul Umownych Komisji Europejskiej wydany przez brytyjskiego Komisarza ds. Informacji na podstawie sekcji 119A Data Protection Act 2018.

„Usługi” oznaczają Cal.com usługi hostowane związane z planowaniem, rezerwacjami, wideo, komunikacją, integracjami oraz usługi pokrewne świadczone na podstawie Umowy.

„Dalszy podmiot przetwarzający” oznacza stronę trzecią zaangażowaną przez Cal.com do przetwarzania Danych osobowych Klienta w imieniu Cal.com w związku z Usługami. Dostawcy, którzy przetwarzają dane osobowe wyłącznie we własnych celach Cal.com jako niezależnego Administratora, w tym narzędzia analityczne i reklamowe w witrynie marketingowej Cal.com, nie są Dalszymi podmiotami przetwarzającymi.

„Lista Dalszych podmiotów przetwarzających” oznacza aktualną listę Dalszych podmiotów przetwarzających Cal.com, dostępną pod adresem trust.cal.com.

„Stanowe przepisy USA o prywatności” oznaczają California Consumer Privacy Act, zmienioną przez California Privacy Rights Act, oraz inne stanowe przepisy USA o ogólnym zastosowaniu regulujące przetwarzanie danych osobowych, wraz z ich przepisami wykonawczymi, każdorazowo w zakresie, w jakim mają zastosowanie.

„BAA” oznacza Business Associate Agreement, jeżeli została zawarta między Klientem a Cal.com, regulującą wykorzystywanie i ujawnianie Chronionych informacji zdrowotnych na podstawie HIPAA. Jeżeli żadna BAA nie obowiązuje, odniesienia do BAA w niniejszej DPA nie mają zastosowania.

„Administrator”, „Podmiot przetwarzający”, „Osoba, której dane dotyczą”, „Dane osobowe”, „Przetwarzanie” oraz terminy pokrewne mają znaczenia nadane im w Obowiązujących przepisach o ochronie danych. Zgodnie ze stanowymi przepisami USA o prywatności „Administrator” obejmuje „business”, „Podmiot przetwarzający” obejmuje „service provider” i „contractor”, a „Dane osobowe” obejmują „personal information”.

3. Instrukcje dotyczące przetwarzania

3.1 Cal.com będzie przetwarzać Dane osobowe Klienta wyłącznie: (a) w celu świadczenia, zabezpieczania, wspierania, utrzymywania i ulepszania Usług zgodnie z Umową, niniejszą DPA, udokumentowaną konfiguracją i sposobem korzystania z Usług przez Klienta oraz obowiązującym prawem; (b) na podstawie dalszych udokumentowanych instrukcji Klienta zgodnych z Umową i niniejszą DPA; lub © gdy wymaga tego obowiązujące prawo, przy czym w takim przypadku Cal.com poinformuje Klienta o takim wymogu prawnym przed przetwarzaniem, chyba że obowiązujące prawo zabrania takiego powiadomienia.

3.2 Klient odpowiada za zapewnienie, że jego instrukcje oraz gromadzenie, wykorzystywanie, ujawnianie i inne przetwarzanie Danych osobowych Klienta za pośrednictwem Usług są zgodne z Obowiązującymi przepisami o ochronie danych.

3.3 Przedmiot, czas trwania, charakter, cele, kategorie Osób, których dane dotyczą, kategorie Danych osobowych oraz operacje przetwarzania określono w Załączniku 1.

3.4 Jeśli Cal.com uzna, że instrukcja Klienta narusza Obowiązujące przepisy o ochronie danych, Cal.com niezwłocznie poinformuje Klienta o tym stanowisku, a Cal.com może zawiesić wykonanie danej instrukcji do czasu, aż Klient ją potwierdzi, zmieni lub wycofa.

4. Poufność i personel

4.1 Cal.com dopilnuje, aby osoby upoważnione do przetwarzania Danych osobowych Klienta podlegały odpowiednim zobowiązaniom do zachowania poufności albo odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

4.2 Cal.com ograniczy dostęp do Danych osobowych Klienta do personelu i Podprocesorów, którzy potrzebują dostępu, aby świadczyć, zabezpieczać, wspierać lub utrzymywać Usługi.

5. Bezpieczeństwo

5.1 Biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyka dla Osób, których dane dotyczą, Cal.com wdroży i utrzyma odpowiednie środki techniczne i organizacyjne w celu ochrony Danych osobowych Klienta, zgodnie z wymogami art. 32 GDPR.

5.2 Cal.com stosuje, zależnie od potrzeb, następujące środki bezpieczeństwa: kontrolę dostępu i praktyki najmniejszych uprawnień; szyfrowanie danych podczas przesyłania i w spoczynku tam, gdzie to właściwe; mechanizmy uwierzytelniania, w tym SSO i uwierzytelnianie wieloskładnikowe dla odpowiednich systemów; bezpieczne wytwarzanie oprogramowania, zarządzanie podatnościami, logowanie, monitorowanie, reagowanie na incydenty, kopie zapasowe i praktyki odporności; oraz okresowe testy bezpieczeństwa i niezależne działania zapewniające odpowiednie do Usług.

5.3 Cal.com może od czasu do czasu aktualizować lub modyfikować swoje środki bezpieczeństwa, pod warunkiem że zmiany nie obniżą istotnie ogólnego poziomu bezpieczeństwa Usług.

6. Podprocesorzy

6.1 Ogólne upoważnienie. Klient udziela Cal.com ogólnego pisemnego upoważnienia do angażowania Podprocesorów do przetwarzania Danych osobowych Klienta w celu świadczenia, obsługi, zabezpieczania, wspierania, utrzymania i ulepszania Usług. Gdy Klient działa jako Podmiot przetwarzający, wszelką wymaganą zgodę Administratora należy uzyskać i przekazać zgodnie z mającymi zastosowanie SCC; upoważnienie Klienta jej nie zastępuje.

6.2 Aktualni Podprocesorzy. Klient upoważnia Cal.com do korzystania z Podprocesorów wymienionych na Liście Podprocesorów na dzień wejścia w życie niniejszego DPA.

6.3 Zmiany Podprocesorów. Zanim nowy lub zastępczy Podprocesor rozpocznie przetwarzanie Danych osobowych Klienta, Cal.com przekaże Klientowi wcześniejsze pisemne powiadomienie i podejmie uzasadnione komercyjnie starania, aby przekazać je na tyle wcześnie, by Klient mógł sprawdzić zmianę i zgłosić sprzeciw zgodnie z §6.4. Powiadomienie może zostać przekazane e-mailem do administratora konta Klienta lub kontaktu ds. prywatności/prawnych, przez powiadomienie w produkcie albo inną udokumentowaną metodą elektroniczną. Sama aktualizacja Listy Podprocesorów nie będzie dla Cal.com jedyną metodą powiadamiania.

6.4 Sprzeciwy. Klient może zgłosić sprzeciw na piśmie w rozsądnym terminie po otrzymaniu powiadomienia oraz, gdy to możliwe, zanim nowy Podprocesor rozpocznie przetwarzanie, z uzasadnionych i udokumentowanych powodów związanych z ochroną danych. Strony będą działać w dobrej wierze, aby rozwiązać zasadny sprzeciw. Jeśli nie będzie dostępnego rozsądnego rozwiązania, a Klient nie może rozsądnie nadal korzystać z objętej Usługi bez proponowanego Podprocesora, Klient może zaprzestać korzystania z objętej Usługi lub rozwiązać objętą część Umowy. Cal.com zwróci wszelkie opłacone z góry, niewykorzystane opłaty za zakończoną objętą Usługę.

6.5 Obowiązki Podprocesorów. Zanim Podprocesor rozpocznie przetwarzanie Danych osobowych Klienta, Cal.com zawrze pisemną umowę wymagającą od Podprocesora ochrony Danych osobowych Klienta na podstawie zobowiązań nie mniej ochronnych niż te, które obowiązują Cal.com na mocy niniejszego DPA, zgodnie z Obowiązującymi przepisami o ochronie danych.

6.6 Odpowiedzialność. Cal.com pozostaje odpowiedzialne za wykonywanie obowiązków swoich Podprocesorów w zakresie ochrony danych w zakresie wymaganym przez Obowiązujące przepisy o ochronie danych.

6.7 Dalsi podprocesorzy. Podprocesorzy Cal.com mogą angażować własnych dalszych podprocesorów, jeśli pozwala na to ich umowa z Cal.com oraz Obowiązujące przepisy o ochronie danych. Cal.com będzie utrzymywać odpowiedzialność umowną za pośrednictwem swojego bezpośredniego Podprocesora i nie musi wymieniać każdego dalszego podprocesora jako bezpośredniego Podprocesora Cal.com. W zakresie wymaganym przez Obowiązujące przepisy o ochronie danych, Cal.com będzie proaktywnie udostępniać Klientowi aktualne informacje identyfikujące Podprocesorów i dalszych podprocesorów przetwarzających Dane osobowe Klienta, w tym ich nazwy, adresy, osoby do kontaktu i dane kontaktowe oraz powierzone im przetwarzanie. Informacje te mogą być przekazywane przez dostępne listy dostawców lub inne udokumentowane zasoby i będą aktualizowane.

6.8 Podprocesorzy obsługujący PHI. Jeśli Klient podpisał BAA, Cal.com nie zezwoli Podprocesorowi na tworzenie, otrzymywanie, utrzymywanie ani przekazywanie Chronionych informacji zdrowotnych, chyba że Podprocesor jest związany pisemną umową zawierającą zabezpieczenia zgodne z BAA, w tym ograniczenie wykorzystywania Chronionych informacji zdrowotnych do trenowania, dostrajania lub ulepszania jakiegokolwiek modelu sztucznej inteligencji lub uczenia maszynowego.

7. Pomoc przy żądaniach osób, których dane dotyczą

7.1 Biorąc pod uwagę charakter przetwarzania, Cal.com udzieli Klientowi rozsądnej pomocy, za pomocą odpowiednich środków technicznych i organizacyjnych, aby umożliwić Klientowi odpowiadanie na żądania Osób, których dane dotyczą.

7.2 Jeśli Cal.com otrzyma żądanie Osoby, której dane dotyczą, dotyczące Danych osobowych Klienta, Cal.com niezwłocznie powiadomi Klienta, o ile prawo tego nie zabrania, i nie odpowie na żądanie inaczej niż na udokumentowane instrukcje Klienta lub zgodnie z wymogami obowiązującego prawa.

7.3 Klient pozostaje odpowiedzialny za obsługę żądań Osób, których dane dotyczą, zgodnie ze swoją rolą Administratora lub Podmiotu przetwarzającego oraz swoimi obowiązkami wynikającymi z Obowiązujących przepisów o ochronie danych. Pomoc Cal.com podlega niniejszemu DPA oraz mającym zastosowanie SCC.

8. Naruszenia ochrony danych osobowych

8.1 Cal.com powiadomi Klienta bez zbędnej zwłoki po uzyskaniu wiedzy o Naruszeniu ochrony danych osobowych dotyczącym Danych osobowych Klienta.

8.2 Cal.com przekaże informacje, którymi rozsądnie dysponuje, aby pomóc Klientowi w spełnieniu obowiązków powiadomienia i innych obowiązków prawnych, w tym, gdy są dostępne: charakter naruszenia; kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów objętych naruszeniem; prawdopodobne konsekwencje; środki podjęte lub proponowane w celu ograniczenia skutków naruszenia; oraz punkt kontaktowy do uzyskania dalszych informacji.

8.3 Informacje mogą być przekazywane etapami, w miarę jak stają się dostępne. Cal.com będzie w rozsądnym zakresie współpracować z Klientem przy badaniu, ograniczaniu skutków i usuwaniu Naruszenia ochrony Danych osobowych.

8.4 Cal.com — powiadomienie o Naruszeniu ochrony Danych osobowych lub reakcja na nie — nie stanowi uznania przez Cal.com winy ani odpowiedzialności.

9. Oceny skutków dla ochrony danych i konsultacje z organem nadzorczym

Biorąc pod uwagę charakter przetwarzania i informacje dostępne dla Cal.com, Cal.com zapewni Klientowi rozsądną pomoc przy ocenach skutków dla ochrony danych i konsultacjach z organami nadzorczymi wymaganych na mocy art. 35 i 36 GDPR lub równoważnych Obowiązujących przepisów o ochronie danych, wyłącznie w zakresie, w jakim żądanie dotyczy przetwarzania przez Cal.com Danych osobowych Klienta.

10. Zwrot i usuwanie

10.1 W okresie obowiązywania umowy Klient może uzyskiwać dostęp do Danych osobowych Klienta i eksportować je za pośrednictwem Usług, jeśli odpowiednia funkcjonalność jest dostępna. Po zakończeniu usług przetwarzania Klient może wybrać zwrot Danych osobowych Klienta, a następnie usunięcie istniejących kopii, albo samo usunięcie, zgodnie z wymogami Obowiązujących przepisów o ochronie danych i właściwych SCC.

10.2 Po rozwiązaniu lub wygaśnięciu Usług Klient będzie mieć co najmniej 30 dni na eksport Danych osobowych Klienta, chyba że Klient poleci wcześniejsze usunięcie albo Umowa lub konfiguracja Klienta przewiduje dłuższy okres.

10.3 Po upływie właściwego okresu eksportu, Cal.com usunie Dane osobowe Klienta zgodnie ze swoim standardowym harmonogramem usuwania, zwykle w ciągu 90 dni, chyba że ich przechowywanie jest wymagane przez obowiązujące prawo. Na pisemne żądanie Klienta Cal.com potwierdzi na piśmie zakończenie usuwania na podstawie niniejszej sekcji, jeśli wymagają tego Obowiązujące przepisy o ochronie danych lub gdy takie potwierdzenie jest rozsądnie dostępne.

10.4 Dane osobowe Klienta pozostające w kopiach zapasowych po rozwiązaniu umowy pozostaną chronione i zostaną wyłączone ze zwykłego użycia do czasu usunięcia zgodnie z właściwym harmonogramem przechowywania kopii zapasowych. Każde przechowywanie, przywrócenie lub inne przetwarzanie musi być dozwolone przez Obowiązujące przepisy o ochronie danych i właściwe SCC.

10.5 Niniejsza sekcja nie wymaga od Cal.com usunięcia danych, które przetwarza jako niezależny Administrator, gdy Cal.com ma odrębną podstawę prawną i cel, taki jak rozliczenia, podatki, zapobieganie oszustwom, bezpieczeństwo lub dokumentacja zgodności z prawem.

10.6 Gdy ma zastosowanie BAA, zwrot lub zniszczenie Chronionych Informacji Zdrowotnych, w tym kopii w kopiach zapasowych, podlega temu BAA i obowiązującemu prawu. Jakiekolwiek dalsze przechowywanie oparte na niewykonalności musi spełniać te wymagania, a zabezpieczenia BAA nadal mają zastosowanie do przechowywanych Chronionych Informacji Zdrowotnych.

11. Audyty i informacje o zgodności

11.1 Cal.com udostępni informacje rozsądnie niezbędne do wykazania zgodności z niniejszym DPA.

11.2 Przed wystąpieniem o audyt Klient wykorzysta aktualną dokumentację zgodności Cal.com, w tym odpowiednie raporty bezpieczeństwa, certyfikaty, podsumowania audytów, kwestionariusze i pisemne odpowiedzi, jeśli takie materiały rozsądnie wykazują zgodność.

11.3 Jeśli te materiały nie są rozsądnie wystarczające, Klient może przeprowadzić audyt odpowiednich czynności przetwarzania Cal.com nie częściej niż raz na 12 miesięcy, pod warunkiem: pisemnego powiadomienia z co najmniej 30-dniowym wyprzedzeniem; zakresu rozsądnie związanego z Danymi osobowymi Klienta i niniejszym DPA; prowadzenia w normalnych godzinach pracy; zastosowania rozsądnych środków, aby uniknąć zakłóceń w działalności Cal.com; niezależnego, wykwalifikowanego audytora związanego obowiązkami poufności i niebędącego konkurentem Cal.com; oraz poniesienia przez Klienta własnych kosztów, chyba że zostanie stwierdzona istotna niezgodność po stronie Cal.com.

11.4 Cal.com może sprzeciwić się audytorowi lub planowi audytu z uzasadnionych powodów bezpieczeństwa, poufności lub operacyjnych i będzie działać w dobrej wierze, aby uzgodnić odpowiednią alternatywę. Procedury i ograniczenia określone w niniejszej sekcji mają zastosowanie wyłącznie w zakresie zgodnym z Obowiązującymi przepisami o ochronie danych i właściwymi SCC. Nie ograniczają one audytu ani inspekcji wymaganych przez właściwy organ nadzorczy ani w inny sposób wymaganych na mocy tych postanowień.

12. Przekazywanie międzynarodowe

12.1 Cal.com może przekazywać Dane osobowe Klienta poza EOG, Zjednoczone Królestwo lub Szwajcarię wyłącznie wtedy, gdy ma zgodny z prawem mechanizm przekazywania na mocy Obowiązujących przepisów o ochronie danych.

12.2 Odpowiednie mechanizmy obejmują: decyzję stwierdzającą odpowiedni stopień ochrony; SCC wraz z UK Addendum i Swiss Amendments, jeśli mają zastosowanie, jak określono w §12.4; jeśli i tak długo, jak Cal.com posiada certyfikację w ramach EU-U.S. Data Privacy Framework lub UK Extension do tego Framework, ten Framework; albo inny ważny mechanizm przekazywania uznawany przez Obowiązujące przepisy o ochronie danych.

12.3 Gdy jest to wymagane, Cal.com wdroży środki uzupełniające i udostępni odpowiednie informacje o przekazywaniu za pośrednictwem Listy Podprocesorów lub na rozsądne żądanie.

12.4 Standardowe Klauzule Umowne. SCC mają zastosowanie do przekazywania Danych osobowych Klienta, które mieści się w ich dozwolonym zakresie i wymaga tych zabezpieczeń, ponieważ żaden inny ważny mechanizm przekazywania na mocy §12.2 nie obejmuje tego przekazania. Zostają one włączone do niniejszego DPA i uzupełnione przez harmonogram Standardowych Klauzul Umownych Cal.com pod adresem cal.com/dpa-scc („Harmonogram SCC”). Strony przystępują do nich poprzez ważne podpisanie, zgodnie z Harmonogramem SCC. Zmiana mechanizmu przekazywania nie powoduje automatycznego wygaśnięcia istniejących obowiązków wynikających z SCC; wypowiedzenie lub odwołanie musi być zgodne z właściwymi instrumentami przekazywania, a nabyte prawa pozostają nienaruszone. Obowiązują następujące wybory:

(a) Moduł Drugi (administrator do podmiotu przetwarzającego) ma zastosowanie, gdy Klient jest Administratorem Danych osobowych Klienta, a Moduł Trzeci (podmiot przetwarzający do podmiotu przetwarzającego) ma zastosowanie, gdy Klient sam jest Podmiotem przetwarzającym działającym w imieniu zewnętrznego Administratora. Klient jest „eksporterem danych”, a Cal.com jest „importerem danych”. Gdy Klient działa jako Podmiot przetwarzający, Klient zapewnia, że posiada uprawnienie i instrukcje od każdego właściwego Administratora, niezbędne do wyznaczenia Cal.com na podstawie Modułu Trzeciego oraz do przekazania tych instrukcji Cal.com, a Klient zwolni Cal.com z odpowiedzialności z tytułu roszczeń tych Administratorów wynikających z braku takiego uprawnienia po stronie Klienta lub z instrukcji, które Cal.com otrzymuje za pośrednictwem Klienta. To zwolnienie z odpowiedzialności nie ogranicza obowiązków ani odpowiedzialności Cal.com wynikających z SCC.

(b) Klauzula 7 (klauzula przystąpienia) ma zastosowanie.

© W klauzuli 9(a) zastosowanie ma Opcja 2 (ogólne pisemne upoważnienie). Okres wcześniejszego powiadomienia to okres wskazany w §6.3 oraz w Harmonogramie SCC. Powiadomienie i upoważnienie muszą być zgodne z właściwym Modułem.

(d) W klauzuli 11(a) opcjonalne postanowienie dotyczące niezależnego rozstrzygania sporów nie ma zastosowania.

(e) W klauzuli 13 oraz załączniku I.C właściwy organ nadzorczy ustala się zgodnie z klauzulą 13(a) i wskazuje w informacjach właściwych dla Klienta włączonych do załącznika I.C Harmonogramu SCC.

(f) W klauzuli 17 zastosowanie ma Opcja 1, a SCC podlegają prawu Irlandii. W klauzuli 18(b) spory rozstrzygają sądy Irlandii.

(g) Dane Stron i dokumentacja zawarcia są wskazane w załączniku I.A Harmonogramu SCC; przekazy danych opisano w załączniku I.B; środki bezpieczeństwa określono w załączniku II; a informacje o podprocesorach i upoważnieniach ujęto w załączniku III oraz klauzuli 9 tego Harmonogramu.

(h) W przypadku przekazywania danych podlegającego UK GDPR, które wymaga tego zabezpieczenia, zastosowanie ma UK Addendum, które zmienia SCC zgodnie z jego treścią. Tabele 1–3 wypełnia się informacjami z części 6 Harmonogramu SCC. W Tabeli 4 tylko Cal.com, jako Importer, może zakończyć UK Addendum zgodnie z jego sekcją 19.

(i) W przypadku przekazywania danych podlegającego szwajcarskiej federalnej ustawie o ochronie danych zastosowanie mają Szwajcarskie Zmiany z części 7 Harmonogramu SCC. Jeżeli przekazywanie danych podlega zarówno GDPR, jak i tej ustawie, SCC stosuje się równolegle w obu reżimach.

(j) Jeżeli SCC zostaną zmienione, zastąpione lub unieważnione, Strony będą współpracować w dobrej wierze, aby przyjąć ich następcę albo inny ważny mechanizm. W razie konfliktu między SCC a niniejszą DPA lub Umową pierwszeństwo mają SCC.

13. Wnioski organów rządowych i organów ścigania

13.1 W przypadku Danych Osobowych Klienta przekazywanych na podstawie SCC, Cal.com będzie przestrzegać klauzul 15.1 i 15.2 SCC. Żadne postanowienie tej sekcji nie ogranicza obowiązków wynikających z Obowiązujących Przepisów o Ochronie Danych ani właściwych SCC, UK Addendum lub Szwajcarskich Zmian.

14. Kolejność pierwszeństwa

14.1 W razie konfliktu między niniejszą DPA a Umową dotyczącego przetwarzania Danych Osobowych Klienta, niniejsza DPA ma pierwszeństwo w zakresie tego konfliktu. Podpisany Formularz Zamówienia zmienia postanowienie niniejszej DPA tylko wtedy, gdy wyraźnie wskazuje to postanowienie.

14.2 Jeżeli Klient i Cal.com mają obowiązującą Podpisaną DPA obejmującą konkretne przetwarzanie Danych Osobowych Klienta, ta Podpisana DPA ma zastosowanie do tego przetwarzania zamiast niniejszej DPA tak długo, jak pozostaje w mocy.

15. Odpowiedzialność

Odpowiedzialność każdej ze Stron wynikająca z niniejszej DPA lub z nią związana podlega wyłączeniom i ograniczeniom odpowiedzialności przewidzianym w Umowie, z wyjątkiem zakresu, w jakim te postanowienia byłyby sprzeczne z postanowieniami dotyczącymi odpowiedzialności we właściwych SCC, UK Addendum lub Szwajcarskich Zmianach, podważałyby je albo w inny sposób naruszały obowiązujące prawo. Ten wyjątek dotyczy odpowiedzialności między Stronami oraz odpowiedzialności wobec Osób, których dane dotyczą. Niniejsza DPA nie tworzy dodatkowego umownego odszkodowania za utratę danych ze strony Cal.com ani gwarancji tworzenia kopii zapasowych lub odzyskiwania danych wykraczającej poza wyraźne środki opisane w §5 oraz załączniku II Harmonogramu SCC. Nie ogranicza to tych wyraźnych obowiązków, odpowiedzialności obowiązkowej ani dodatkowej ochrony przed utratą danych wyraźnie uzgodnionej w Podpisanej DPA lub podpisanym Formularzu Zamówienia.

16. Postanowienia ogólne

16.1 Powiadomienia. Powiadomienia na podstawie niniejszej DPA muszą mieć formę pisemną i mogą być wysyłane e-mailem do właściwego kontaktu danej Strony ds. prawnych, prywatności lub administracji kontem. Powiadomienia umowne do Cal.com można wysyłać na adres [email protected] albo doręczać na adres Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, Attn: Legal. Wnioski dotyczące prywatności można wysyłać na adres [email protected].

16.2 Zmiany. Cal.com może aktualizować niniejszą DPA, gdy wymagają tego przepisy prawa, aby odzwierciedlić zmiany w Usługach lub zaspokoić potrzeby operacyjne. Każda wersja ma numer wersji i datę wejścia w życie, a wcześniejsze wersje pozostają dostępne w historii wersji poniżej. Aktualizacje muszą być dokonywane zgodnie z Umową i obowiązującym prawem. Cal.com przekaże z odpowiednim wyprzedzeniem pisemne powiadomienie, kanałami opisanymi w §6.3, o każdej aktualizacji, która istotnie ogranicza prawa Klienta lub obowiązki Cal.com. Taka aktualizacja wchodzi w życie dopiero po upływie właściwego okresu powiadomienia i uzyskaniu wymaganej akceptacji. Klient może wypowiedzieć objęte nią Usługi w drodze pisemnego powiadomienia przed datą wejścia w życie, jeżeli nie akceptuje takiej istotnie niekorzystnej aktualizacji. Ewentualny zwrot jest ograniczony do kwot wymaganych przez obowiązujące prawo lub Umowę. Inne aktualizacje wchodzą w życie z chwilą publikacji wyłącznie w zakresie dozwolonym przez Umowę i obowiązujące prawo. Niniejsza sekcja nie zmienia Podpisanej DPA; zmiany tego dokumentu podlegają jego własnym warunkom.

16.3 Prawo właściwe i jurysdykcja. Do niniejszej DPA mają zastosowanie postanowienia Umowy dotyczące prawa właściwego i jurysdykcji. Nie wpływa to na prawo właściwe i forum właściwych SCC, UK Addendum lub Szwajcarskich Zmian, określone w Harmonogramie SCC, ani na prawa i obowiązki, których zgodnie z prawem nie można zmienić umową.

16.4 Akceptacja. Niniejsza DPA staje się wiążąca, gdy zostanie prawidłowo włączona do Umowy wiążącej obie Strony. Akceptacja elektroniczna może być stosowana w zakresie dozwolonym przez obowiązujące prawo. Zmiany istniejącej relacji umownej podlegają §16.2 oraz Umowie. Podpisanie SCC i UK Addendum reguluje Harmonogram SCC. Na żądanie Cal.com może, według własnego uznania, dostarczyć kopię niniejszej DPA podpisaną przez Cal.com do dokumentacji Klienta. Kopia podpisana przez obie strony ma te same warunki i skutek co wersja wiążąca Strony i nie stanowi Podpisanej DPA do celów §14.2. Nie ogranicza to żadnego wymaganego podpisania ani prawa do otrzymania kopii wiążącej DPA lub właściwych SCC.

16.5 Negocjowane warunki. Klienci, którzy kupują na podstawie Formularza Zamówienia lub ramowej umowy o świadczenie usług z Cal.com mogą poprosić o Podpisaną DPA. Cal.com nie negocjuje ani nie modyfikuje niniejszej DPA w inny sposób.

Załącznik 1: Szczegóły przetwarzania

Załącznik 2: Podprocesorzy

Cal.com udostępnia aktualną listę bezpośrednich Podprocesorów pod adresem trust.cal.com. Dostawcy, którzy przetwarzają dane osobowe wyłącznie na własne potrzeby Cal.com, jako niezależnego Administratora, nie są Podprocesorami do celów niniejszej DPA.

Załącznik 3: Przepisy stanowe USA dotyczące prywatności

Niniejszy Załącznik ma zastosowanie w zakresie, w jakim przepisy o ochronie prywatności stanów USA mają zastosowanie do Danych Osobowych Klienta. Terminy mają znaczenie nadane im w tych przepisach.

1. Cal.com działa jako dostawca usług lub podmiot przetwarzający wobec Klienta w odniesieniu do Danych Osobowych Klienta. Klient ujawnia te dane firmie Cal.com wyłącznie w ograniczonych i określonych celach biznesowych polegających na zapewnianiu planowania, rezerwacji, zarządzania kontem, komunikacji, wideo, integracji, obsługi klienta, utrzymania i bezpieczeństwa Usług używanych przez Klienta, zgodnie z dokładniejszym opisem w Załączniku 1.
2. Cal.com nie będzie: (a) sprzedawać ani udostępniać Danych Osobowych Klienta; (b) przechowywać, wykorzystywać ani ujawniać Danych Osobowych Klienta w żadnym celu, w tym w celu komercyjnym, innym niż cele biznesowe określone w Umowie i niniejszej DPA lub w inny sposób dozwolone przez przepisy o ochronie prywatności stanów USA; © przechowywać, wykorzystywać ani ujawniać Danych Osobowych Klienta poza bezpośrednią relacją biznesową między Klientem a Cal.com, z wyjątkiem przypadków dozwolonych przez przepisy o ochronie prywatności stanów USA; ani (d) łączyć Danych Osobowych Klienta z danymi osobowymi, które Cal.com otrzymuje od innej osoby lub w jej imieniu albo zbiera w ramach własnych interakcji z konsumentami, z wyjątkiem przypadków dozwolonych przez przepisy o ochronie prywatności stanów USA.
3. Cal.com będzie przestrzegać obowiązujących zobowiązań wynikających z przepisów o ochronie prywatności stanów USA oraz zapewniać taki sam poziom ochrony prywatności, jakiego te przepisy wymagają od Klienta. Cal.com powiadomi Klienta, jeśli ustali, że nie jest już w stanie spełniać swoich obowiązków wynikających z przepisów o ochronie prywatności stanów USA. Klient może podjąć rozsądne i odpowiednie kroki, aby pomóc zapewnić, że Cal.com wykorzystuje Dane Osobowe Klienta zgodnie z obowiązkami Klienta wynikającymi z obowiązujących przepisów o ochronie prywatności stanów USA, a po powiadomieniu — doprowadzić do zaprzestania i naprawienia nieuprawnionego wykorzystania. Prawa te są wykonywane zgodnie z §11 w zakresie, w jakim jego procedury i ograniczenia są zgodne z obowiązującymi przepisami o ochronie prywatności stanów USA.
4. Cal.com przeniesie obowiązki z niniejszego Załącznika na swoje podmioty podprzetwarzające zgodnie z §6.5 oraz pomoże Klientowi w odpowiadaniu na żądania konsumentów zgodnie z §7.
5. W przypadkach wymaganych przez obowiązujące przepisy o ochronie prywatności stanów USA Cal.com poświadcza, że rozumie ograniczenia określone w niniejszym Załączniku i będzie ich przestrzegać.