Załącznik Cal.com dotyczący standardowych klauzul umownych
Załącznik do Umowy powierzenia przetwarzania danych Cal.com v2.3 — Wersja 1.0 — Data wejścia w życie: 1 listopada 2026 r.
Część 1. Jak stosuje się klauzule
1.1 Niniejszy Załącznik uzupełnia standardowe klauzule umowne dotyczące przekazywania danych osobowych do państw trzecich przyjęte decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. („SCCs”), brytyjski dodatek dotyczący międzynarodowego przekazywania danych do standardowych klauzul umownych Komisji UE, wersja B1.0, obowiązujący od 21 marca 2022 r. („dodatek brytyjski”), oraz zmiany wymagane przez szwajcarskiego Federalnego Inspektora Ochrony Danych i Informacji w przypadku przekazań podlegających szwajcarskiej federalnej ustawie o ochronie danych („zmiany szwajcarskie”), wszystkie włączone na mocy §12.4 Umowy powierzenia przetwarzania danych Cal.com („DPA”).
1.2 Tekst SCCs zostaje włączony przez odniesienie dokładnie w brzmieniu opublikowanym w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L 199, 7.6.2021, s. 31), dostępnym pod adresem https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Część 2: Obowiązkowe klauzule zatwierdzonego dodatku, będące wzorem Dodatku B.1.0 wydanym przez ICO i przedłożonym Parlamentowi zgodnie z s119A Data Protection Act 2018 w dniu 2 lutego 2022 r., w brzmieniu zmienianym na podstawie sekcji 18 tych Obowiązkowych klauzul. Żaden z tych tekstów nie jest zmieniany, z wyjątkiem opcji, wyborów i załączników, na które same SCCs i dodatek brytyjski zezwalają, zgodnie z niniejszym Załącznikiem.
1.3 SCCs mają zastosowanie do przekazań opisanych w Załączniku I.B, które mieszczą się w ich dozwolonym zakresie i wymagają tych zabezpieczeń, ponieważ żaden inny ważny mechanizm przekazywania na podstawie DPA §12.2 nie obejmuje danego przekazania. Można polegać na ważnej i mającej zastosowanie decyzji stwierdzającej odpowiedni stopień ochrony, w tym takiej, która obejmuje udział Cal.com w odpowiednich Data Privacy Framework. Istniejące obowiązki wynikające z SCCs nie wygasają automatycznie; wypowiedzenie lub odwołanie musi być zgodne z właściwymi SCCs i dodatkiem brytyjskim. Nabyte prawa pozostają bez zmian.
1.4 Strony przystępują do SCCs przez ważne podpisanie wypełnionego Załącznika I.A, w tym przez prawnie ważny podpis elektroniczny włączony do Umowy lub DPA. Zapis podpisania musi wskazywać Strony, właściwą wersję Załącznika i datę wejścia w życie. Na żądanie Cal.com przekaże kopię wersji wiążącej Strony.
1.5 Terminy zdefiniowane w DPA mają tutaj takie samo znaczenie. „Klient” jest eksporterem danych, a „Cal.com” jest importerem danych. W razie sprzeczności między niniejszym Załącznikiem a SCCs pierwszeństwo mają SCCs (DPA §12.4(j)); w razie sprzeczności między niniejszym Załącznikiem a DPA w kwestii pozostawionej przez SCCs Stronom pierwszeństwo ma niniejszy Załącznik.
Część 2. Moduły, opcje i wybory
| Klauzula | Wybór | Podstawa w DPA |
|---|---|---|
| Moduł | Moduł drugi (administrator do podmiotu przetwarzającego), gdy Klient jest Administratorem Danych osobowych Klienta. Moduł trzeci (podmiot przetwarzający do podmiotu przetwarzającego), gdy Klient sam jest Podmiotem przetwarzającym działającym na rzecz zewnętrznego Administratora. Zastosowanie mają wyłącznie klauzule właściwego Modułu. | §12.4(a) |
| Klauzula 7 — Klauzula przystąpienia | Ma zastosowanie. Podmiot może przystąpić jako eksporter danych lub importer danych za zgodą Stron przez wypełnienie Dodatku i podpisanie Załącznika I.A. | §12.4(b) |
| Klauzula 8.1 (Moduł trzeci) — Instrukcje | Klient oświadcza, że posiada upoważnienie i instrukcje każdego Administratora potrzebne do wyznaczenia Cal.com zgodnie z Modułem trzecim oraz do przekazania tych instrukcji dalej. Instrukcje są obsługiwane zgodnie z Klauzulą 8.1 Modułu trzeciego, w tym instrukcje Administratora przekazane przez Klienta oraz wszelkie dalsze udokumentowane instrukcje dozwolone przez tę Klauzulę. | §12.4(a), §3 |
| Klauzula 8.5 — Czas trwania przetwarzania i usunięcie | Przetwarzanie trwa przez okres wskazany w Załączniku I.B. Po zakończeniu usług przetwarzania Klient może wybrać zwrot danych osobowych, po którym nastąpi usunięcie istniejących kopii, albo usunięcie z zaświadczeniem dla Klienta, zgodnie z wymogami Klauzuli 8.5. DPA §10 ma zastosowanie tylko w zakresie zgodnym z tą Klauzulą. Ochrona trwa do czasu zakończenia zwrotu lub usunięcia; prawnie wymagane przechowywanie regulowane jest Klauzulą 8.5. | §10 |
| Klauzula 8.6 — Bezpieczeństwo | Środki techniczne i organizacyjne są określone w Załączniku II. Powiadomienie o naruszeniu ochrony danych osobowych odbywa się zgodnie z DPA §8. | §5, §8 |
| Klauzula 8.9 — Dokumentacja i zgodność (audyty) | Prawa audytu wykonuje się w sposób opisany w DPA §11 (najpierw informacje i raporty dotyczące zgodności, a audyt na miejscu lub zdalny, gdy są one niewystarczające albo wymaga tego organ nadzorczy). Opisuje to sposób wykonywania prawa audytu na podstawie Klauzuli 8.9 i go nie ogranicza. | §11 |
| Klauzula 9(a) — Korzystanie z podmiotów podprzetwarzających | Opcja 2: ogólne pisemne upoważnienie. Okres powiadomienia: wcześniejsze pisemne powiadomienie przed rozpoczęciem przetwarzania przez nowy lub zastępujący podmiot podprzetwarzający, przekazane tak wcześnie, jak jest to rozsądnie wykonalne, aby eksporter danych miał wystarczająco dużo czasu na sprzeciw (DPA §6.3). Strony uzgadniają, że jest to okres na potrzeby Klauzuli 9(a). Lista podmiotów podprzetwarzających to aktualna Lista podmiotów podprzetwarzających pod adresem trust.cal.com, wskazana w Załączniku III. Prawo Klienta do sprzeciwu określa DPA §6.4. | §12.4©, §6.3–6.4 |
| Klauzula 11(a) — Środki ochrony prawnej | Postanowienie dotyczące opcjonalnego niezależnego organu rozstrzygania sporów nie ma zastosowania. Osoby, których dane dotyczą, mogą wnosić skargi do Cal.com pod adresem [email protected], do właściwego organu nadzorczego oraz do sądów na podstawie Klauzuli 18. | §12.4(d) |
| Klauzula 13 — Nadzór | Właściwy organ nadzorczy ustala się zgodnie z Klauzulą 13(a), jak wskazano w Załączniku I.C. | §12.4(e) |
| Klauzula 15 — Dostęp organów publicznych | Klauzule 15.1 i 15.2 regulują dostęp organów publicznych do danych osobowych przekazywanych na podstawie SCCs. DPA §13.1 potwierdza zgodność Cal.com z tymi Klauzulami i ich nie ogranicza. | §13.1 |
| Klauzula 17 — Prawo właściwe | Opcja 1. SCCs podlegają prawu prawu Irlandii. | §12.4(f) |
| Klauzula 18(b) — sąd właściwy | Sądy Irlandii. Klauzula 18© (prawo osoby, której dane dotyczą, do pozwania w państwie członkowskim zwykłego pobytu) pozostaje bez zmian. | §12.4(f) |
| Odpowiedzialność (Klauzula 12) | Żadne postanowienie DPA ani Umowy nie ogranicza odpowiedzialności żadnej ze Stron wobec osób, których dane dotyczą, wynikającej z SCCs (DPA §15). Ograniczenia odpowiedzialności w Umowie nie wyłączają ani nie ograniczają odpowiedzialności regulowanej Klauzulą 12 SCCs. Odpowiedzialność za inne roszczenia pozostaje regulowana Umową, z zastrzeżeniem obowiązującego prawa bezwzględnie obowiązującego. | §15 |
Część 3. Załącznik I
A. Lista stron
Eksporter danych
| Pozycja | Szczegóły |
|---|---|
| Nazwa | Klient wskazany w Umowie (podmiot lub osoba posiadająca konto Cal.com) |
| Adres | Zgodnie z zapisem na koncie Cal.com Klienta lub w Formularzu Zamówienia |
| Kontakt | Imię i nazwisko osoby kontaktowej, jej stanowisko oraz dane kontaktowe zapisane w Umowie, Formularzu Zamówienia lub koncie Klienta i włączone do tego Załącznika. |
| Działania związane z przekazaniem | Korzystanie z Usług Cal.com w celu oferowania, planowania, zarządzania i prowadzenia spotkań oraz powiązanej komunikacji z użytkownikami Klienta, uczestnikami spotkań i innymi Podmiotami danych opisanymi w Załączniku I.B |
| Rola | Moduł drugi: administrator. Moduł trzeci: podmiot przetwarzający (działający w imieniu Administratorów, którzy wydają instrukcje Klientowi) |
| Podpis i data | Zgodnie z zapisem wykonania obejmującym wypełniony Załącznik I.A na podstawie Części 1.4 |
Importer danych
| Pozycja | Szczegóły |
|---|---|
| Nazwa | Cal.com, Inc. |
| Adres | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Kontakt | Felix Kolodziej, Information Security Officer (ISO), [email protected] (Do wiadomości: Prywatność) |
| Działania związane z przekazaniem | Świadczenie, obsługa, wsparcie, utrzymanie, bezpieczeństwo i ulepszanie Usług Cal.com zgodnie z opisem w Załączniku I.B |
| Rola | Podmiot przetwarzający (Moduł drugi); dalszy podmiot przetwarzający wobec Klienta jako podmiotu przetwarzającego (Moduł trzeci) |
| Podpis i data | Zgodnie z zapisem wykonania obejmującym wypełniony Załącznik I.A na podstawie Części 1.4 |
B. Opis przekazania
| Pozycja | Szczegóły |
|---|---|
| Kategorie osób, których dane dotyczą | Użytkownicy, administratorzy, pracownicy i kontraktorzy Klienta; potencjalni klienci, klienci i inne kontakty Klienta; uczestnicy spotkań, osoby dokonujące rezerwacji i goście; oraz inne osoby, których dane osobowe Klient lub jego Upoważnieni Użytkownicy przekazują do Usług (DPA Załącznik 1) |
| Kategorie danych osobowych | Dane konta i profilu; dane dostępności; imiona i nazwiska, adresy e-mail, numery telefonów; dane rezerwacji, w tym tytuły spotkań, opisy, godziny, lokalizacje, notatki, listy gości, odpowiedzi na pytania rezerwacyjne oraz powody przełożenia lub anulowania; dane wsparcia; dane techniczne, takie jak adres IP, dane urządzenia i przeglądarki oraz dzienniki użytkowania; a także inne dane osobowe, które Klient zdecyduje się przekazać za pośrednictwem Usług |
| Dane wrażliwe | Do korzystania z Usług nie są wymagane szczególne kategorie danych osobowych. Klient może je przekazywać wyłącznie przez pola, które sam konfiguruje (na przykład pytania rezerwacyjne); jeśli to zrobi, zastosowanie mają środki z Załącznika II. Klient odpowiada za ustalenie wymaganej podstawy prawnej oraz wszelkich mających zastosowanie warunków przetwarzania szczególnych kategorii danych osobowych. Chronione Informacje Zdrowotne wymagające Business Associate Agreement mogą być przekazywane wyłącznie na podstawie zawartego BAA obejmującego odpowiednie Usługi. Zezwolenie w innym miejscu Umowy nie zastępuje wymaganego BAA |
| Częstotliwość przekazywania | Ciągła, przez okres obowiązywania Umowy |
| Charakter przetwarzania | Gromadzenie, przechowywanie, organizowanie, wyszukiwanie, wgląd, użycie, przekazywanie na polecenie Klienta, wsparcie, monitorowanie bezpieczeństwa, tworzenie kopii zapasowych, przywracanie, usuwanie oraz inne przetwarzanie niezbędne do świadczenia Usług |
| Cel przekazania i dalszego przetwarzania | Zapewnienie Klientowi funkcji planowania, rezerwacji, konta, komunikacji, wideo, integracji, wsparcia oraz powiązanych funkcji produktu zgodnie z Umową i udokumentowanymi instrukcjami Klienta |
| Okres przechowywania | Przez czas świadczenia usług przetwarzania, a następnie tylko w zakresie niezbędnym do dokonania zwrotu lub usunięcia wymaganego Klauzulą 8.5 albo do przechowywania wymaganego przez prawo, zgodnie z tą Klauzulą. Informacje o przechowywaniu: co najmniej 30 dni na eksport po rozwiązaniu (DPA §10.2); usunięcie zwykle w ciągu 90 dni po tym okresie (DPA §10.3); kopie zapasowe usuwane zgodnie ze standardowym harmonogramem przechowywania kopii zapasowych Cal.com i do tego czasu chronione (DPA §10.4) |
| Przekazania do (dalszych) podmiotów przetwarzających | Przedmiot, charakter i czas trwania: Dalsze podmioty przetwarzające z Listy Dalszych podmiotów przetwarzających pod adresem trust.cal.com (Załącznik III) przetwarzają Dane Osobowe Klienta w celach tam wskazanych (hosting i przechowywanie, dostarczanie treści, dostarczanie wiadomości e-mail i SMS, wideo, płatności, narzędzia wsparcia, analityka produktu, funkcje AI i operacje wewnętrzne), przez czas trwania Cal.com korzysta z usług każdego Podprocesora w okresie obowiązywania Umowy |
C. Właściwy organ nadzorczy
| Sytuacja | Właściwy organ nadzorczy |
|---|---|
| Klient ma siedzibę w państwie członkowskim EOG | Organ nadzorczy tego państwa członkowskiego (Klauzula 13(a), akapit pierwszy) |
| Klient nie ma siedziby w EOG, ale ma przedstawiciela zgodnie z art. 27 ust. 1 GDPR | Organ nadzorczy państwa członkowskiego, w którym ustanowiono przedstawiciela |
| Klient nie ma siedziby w EOG, podlega art. 3 ust. 2 GDPR i jest zwolniony z obowiązku wyznaczenia przedstawiciela zgodnie z art. 27 ust. 2 GDPR | Organ nadzorczy państwa członkowskiego, w którym znajdują się osoby, których dane są przekazywane, ustalony zgodnie z Klauzulą 13(a), akapit trzeci |
| Przekazywanie danych podlegające UK GDPR | Brytyjski Komisarz ds. Informacji (zob. Część 6) |
| Przekazywanie danych podlegające szwajcarskiej FADP | Szwajcarski Federalny Pełnomocnik ds. Ochrony Danych i Informacji (zob. Część 7) |
Konkretny właściwy organ nadzorczy ustalony zgodnie z Klauzulą 13(a) jest wskazany w informacjach właściwych dla Klienta włączonych do tego Załącznika.
Część 4. Załącznik II — Środki techniczne i organizacyjne
Ten Załącznik opisuje środki, które Cal.com wdraża zgodnie z DPA §5 i Klauzulą 8.6. Jego struktura odpowiada nagłówkom z Załącznika II do SCC. Cal.com może aktualizować te środki zgodnie z DPA §5.3, pod warunkiem że ogólne bezpieczeństwo Usług nie zostanie istotnie obniżone. Cal.com udostępnia swój rejestr kontroli i niezależne raporty audytowe na trust.cal.com; opisane poniżej środki, a nie rejestr kontroli, stanowią umowny opis na potrzeby Klauzuli 8.6.
| Obszar | Środki |
|---|---|
| Pseudonimizacja i szyfrowanie | Szyfrowanie podczas przesyłania z użyciem TLS dla połączeń z Usługami. Szyfrowanie w spoczynku dla produkcyjnej bazy danych (Amazon RDS, klucze zarządzane w AWS KMS), jej kopii zapasowych oraz magazynu obiektowego, z użyciem zarządzanego szyfrowania dostawcy hostingu (AES-256). Własne kontrole szyfrowania Podprocesorów są oceniane w ramach opisanej niżej oceny ryzyka dostawcy |
| Poufność, integralność, dostępność i odporność | Kontrola dostępu oparta na rolach i zasada najmniejszych uprawnień dla systemów produkcyjnych; SSO i uwierzytelnianie wieloskładnikowe dla dostępu personelu do systemów produkcyjnych i administracyjnych; oddzielenie środowisk produkcyjnych, stagingowych i deweloperskich; ochrona przed DDoS i zapora aplikacji webowych na brzegu sieci |
| Możliwość przywrócenia dostępności i dostępu po incydencie | Automatyczne codzienne kopie zapasowe produkcyjnych baz danych z możliwością odtworzenia do punktu w czasie, szyfrowane i z ograniczonym dostępem; udokumentowane procedury przywracania, okresowo testowane; plan reagowania na incydenty z określonymi rolami, poziomami ważności i krokami komunikacji, w tym powiadomieniem Klienta zgodnie z DPA §8 |
| Regularne testowanie, ocena i ewaluacja | Niezależne testy penetracyjne środowiska produkcyjnego wykonywane okresowo przez stronę trzecią; automatyczne skanowanie podatności; monitorowanie zgodności z zestawami kontroli ISO 27001 i SOC 2 przez platformę zgodności Cal.com; niezależne raporty audytowe dostępne dla Klientów na podstawie NDA przez trust.cal.com; przegląd zmian w kodzie przed wdrożeniem |
| Identyfikacja i autoryzacja użytkowników | Unikalne konta dla całego personelu; MFA wymagane przy dostępie do środowiska produkcyjnego, konsoli chmurowej i repozytoriów kodu; dostęp przyznawany zgodnie z zasadą potrzeby wiedzy i weryfikowany co najmniej kwartalnie; dostęp odbierany przy zmianie roli lub odejściu w ramach procesu offboardingu |
| Ochrona danych podczas transmisji | Szyfrowanie podczas przesyłania danych do i z Usług; klucze API dla integracji Klienta; payloady webhooków podpisywane, gdy Klient skonfiguruje sekret webhooka; integracje z kalendarzem, wideo i innymi usługami zewnętrznymi używają OAuth lub poświadczeń wydanych przez dostawcę |
| Ochrona danych podczas przechowywania | Szyfrowanie w spoczynku jak wyżej; dostęp do bazy danych ograniczony do usług aplikacyjnych i imiennie wskazanych inżynierów przez audytowane kanały; brak danych produkcyjnych w środowiskach deweloperskich lub testowych, z wyjątkiem danych pseudonimizowanych lub syntetycznych |
| Bezpieczeństwo fizyczne miejsc przetwarzania | Cal.com nie prowadzi własnych centrów danych. Bezpieczeństwo fizyczne zapewniają Podprocesorzy hostingowi (AWS i Vercel), których odpowiednie usługi są objęte raportami SOC 2 Type II i certyfikatami ISO 27001 w ramach ich odpowiednich zakresów poświadczenia |
| Rejestrowanie zdarzeń | Scentralizowane rejestrowanie zdarzeń aplikacyjnych, infrastrukturalnych i administracyjnych; logi serwerów infrastruktury przechowywane przez 365 dni na potrzeby dochodzeń bezpieczeństwa; rejestrowanie audytu rezerwacji na poziomie aplikacji dla organizacji, w których audyt rezerwacji jest włączony |
| Konfiguracja systemu, w tym konfiguracja domyślna | Zarządzanie zmianami w ramach kontroli Cal.com zgodnych z ISO 27001 i SOC 2: zmiany w środowisku produkcyjnym są przeglądane i przechodzą automatyczne kontrole przed wdrożeniem |
| Ład i zarządzanie wewnętrznym IT oraz bezpieczeństwem IT | Polityki bezpieczeństwa informacji zatwierdzane przez kierownictwo i przeglądane co roku; wyznaczony właściciel ds. bezpieczeństwa i zgodności; szkolenie z zakresu świadomości bezpieczeństwa dla całego personelu przy zatrudnieniu i co roku; zobowiązania do zachowania poufności dla całego personelu z dostępem do Danych Osobowych Klienta (DPA §4); ocena ryzyka dostawcy przed zaangażowaniem Podprocesora |
| Certyfikacja i poświadczanie procesów oraz produktów | Certyfikat ISO/IEC 27001:2022 (certyfikat nr 122217, Prescient Security LLC, ważny do 30 października 2028 r., pod warunkiem corocznych audytów nadzorczych; zakres: system zarządzania bezpieczeństwem informacji wspierający platformę Cal.com do planowania, w tym infrastrukturę hostowaną w AWS); raport SOC 2 Type II dotyczący kryteriów bezpieczeństwa (najnowszy okres od 21 listopada 2024 r. do 30 kwietnia 2026 r., Prescient Assurance LLC); oba dostępne dla Klientów na podstawie NDA przez trust.cal.com; mapowanie kontroli HIPAA utrzymywane dla Klientów z BAA |
| Minimalizacja danych | Klient może konfigurować pytania i pola rezerwacji za pomocą dostępnej funkcjonalności Usług. Zbierane dane zależą od wybranych pól, włączonych funkcji i integracji. |
| Jakość danych | Użytkownicy mogą wyświetlać i poprawiać dane za pomocą funkcjonalności dostępnej dla ich roli. Cal.com pomaga Klientowi przy innych mających zastosowanie żądaniach sprostowania zgodnie z DPA §7. |
| Ograniczone przechowywanie danych | Usuwanie i zwrot zgodnie z DPA §10; usuwanie rezerwacji i danych uczestników inicjowane przez Klienta za pomocą Usług; nagrania i transkrypcje Cal Video przechowywane w kontrolowanym przez Cal.com magazynie obiektowym i usuwane, gdy Klient usunie je lub rezerwację, albo na żądanie; nagrania z samodzielnych pokoi cal.video usuwane automatycznie zgodnie z harmonogramem przechowywania danych Cal.com; kopie zapasowe usuwane zgodnie ze zwykłym harmonogramem przechowywania kopii zapasowych |
| Rozliczalność | Rejestry czynności przetwarzania i zaangażowań Podprocesorów; udokumentowany rejestr incydentów i naruszeń; certyfikat usunięcia oraz informacje o zgodności dostarczane zgodnie z wymaganiami Klauzul 8.5 i 8.9 |
| Przenoszenie i usuwanie danych | Eksport przez dostępne Usługi lub funkcjonalność API; inny wymagany zwrot danych osobowych jest obsługiwany zgodnie z Klauzulą 8.5 i DPA §10 w zakresie zgodnym z tą Klauzulą; usunięcie konta i danych na żądanie Klienta; certyfikat usunięcia dla Klienta zgodnie z wymaganiami Klauzuli 8.5 |
| Środki wspierające administratora | Narzędzia i procesy pomagające Klientowi odpowiadać na żądania osób, których dane dotyczą (DPA §7), przeprowadzać DPIA (DPA §9) oraz uzyskiwać informacje o zgodności i raporty audytowe (DPA §11) |
| Środki nakładane na Podprocesorów | Każdy dalszy podmiot przetwarzający jest związany pisemną umową nakładającą obowiązki ochrony danych nie mniej rygorystyczne niż DPA i SCCs, w tym zabezpieczenia dotyczące dalszego przekazywania (DPA §6.5); dalsze podmioty przetwarzające są oceniane przed zaangażowaniem i monitorowane; Klient otrzymuje wcześniejsze pisemne powiadomienie o nowych lub zastępczych dalszych podmiotach przetwarzających i może wnieść sprzeciw (DPA §6.3–6.4) |
Część 5. Załącznik III — Lista dalszych podmiotów przetwarzających
Wiążąca, aktualna lista dalszych podmiotów przetwarzających, obejmująca nazwy podmiotów, lokalizacje i cele, jest opublikowana pod adresem trust.cal.com i jest aktualizowana zgodnie z DPA §6.3. Cal.com przekazuje pisemne powiadomienie wymagane przez Klauzulę 9(a), z użyciem udokumentowanej metody elektronicznej zgodnie z DPA §6.3, przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego na potrzeby odpowiedniego przetwarzania. Na potrzeby Klauzuli 9(a), w ramach Modułu drugiego, Klient udziela Cal.com ogólnego pisemnego upoważnienia do angażowania dalszych podmiotów przetwarzających z uzgodnionej listy pod adresem trust.cal.com obowiązującej w dniu wejścia SCCs w życie między Stronami. W ramach Modułu trzeciego zaangażowanie tych dalszych podmiotów przetwarzających wymaga ogólnego pisemnego upoważnienia odpowiedniego Administratora. Dodania lub zastąpienia podlegają Klauzuli 9(a) oraz DPA §6.3–6.4 w zakresie zgodnym z tą Klauzulą.
Ponieważ ma zastosowanie Opcja 2 z Klauzuli 9(a), niniejszy Załącznik nie powiela listy.
Lista dalszych podmiotów przetwarzających wskazuje odpowiednie lokalizacje przetwarzania Danych osobowych Klienta. Kraj rejestracji dalszego podmiotu przetwarzającego nie stanowi oświadczenia o tym, gdzie przetwarza on dane. Zmiany nadal podlegają właściwym wymogom dotyczącym powiadomienia i upoważnienia. Dostawcy wykorzystywani wyłącznie do własnych celów Cal.com nie są dalszymi podmiotami przetwarzającymi i nie są wymienieni: analityka oraz reklama w witrynie marketingowej (Google Analytics/GTM, X Ads), Cal.com — własny CRM (HubSpot), oraz aplikacje, które Klient łączy z własnym kontem u zewnętrznego dostawcy (Zapier, Dub, Close.com, aplikacje GA4/GTM), w przypadku których Klient jest administratorem bezpośrednio wydającym polecenia temu dostawcy.
Część 6. UK Addendum — wypełnione tabele
Tabela 1: Strony. Data rozpoczęcia: data wejścia SCCs w życie między Stronami zgodnie z Częścią 1.4. Eksporter i Importer: jak wskazano w Załączniku I.A, uzupełnione o nazwę handlową każdej ze Stron, jeśli jest inna, adres rejestrowy lub właściwy adres główny oraz oficjalny numer rejestracyjny, jeśli istnieje. Kluczowe kontakty: stanowisko i dane kontaktowe zapisane dla każdej ze Stron. Podpisanie: zgodnie z sekcją 2 UK Addendum oraz właściwym rejestrem podpisania.
Tabela 2: Wybrane SCCs, Moduły i wybrane Klauzule. Zatwierdzone unijne SCCs, w tym informacje z Dodatku, wypełnione zgodnie z niniejszym Harmonogramem: Moduł drugi lub Moduł trzeci, stosownie do Części 2; Klauzula 7 ma zastosowanie; opcjonalne brzmienie Klauzuli 11 nie ma zastosowania; Klauzula 9(a) Opcja 2 z okresem powiadomienia wskazanym w Części 2 (DPA §6.3); Klauzule 17 i 18 jak w Części 2, z zastrzeżeniem sekcji 15 UK Addendum (która zastępuje prawo i sądy Anglii i Walii w sprawach regulowanych przez UK Addendum). Klauzula przystąpienia: ma zastosowanie. Czy dane osobowe otrzymane od importera są łączone z danymi osobowymi zebranymi przez eksportera? Nie.
Tabela 3: Informacje z Dodatku. Załącznik 1A: jak w Części 3.A. Załącznik 1B: jak w Części 3.B. Załącznik II: jak w Części 4. Załącznik III: jak w Części 5.
Tabela 4: Zakończenie niniejszego Addendum, gdy zmieni się Zatwierdzone Addendum. Importer może zakończyć UK Addendum w sposób określony w jego sekcji 19.
W przypadku transferów do UK odniesienia w SCCs do GDPR, prawa państwa członkowskiego i organu nadzorczego odczytuje się zgodnie z UK Addendum; właściwym organem nadzorczym jest UK Information Commissioner.
Część 7. Zmiany szwajcarskie
W przypadku transferów podlegających szwajcarskiej federalnej ustawie o ochronie danych („FADP”):
(a) odniesienia do GDPR odczytuje się jako odniesienia do FADP, a odniesienia do unijnego lub państwowego prawa ochrony danych jako odniesienia do odpowiedniego szwajcarskiego prawa ochrony danych, bez zmiany wyboru prawa właściwego i forum w ustępie (d), w zakresie, w jakim transfer podlega wyłącznie FADP; gdy transfer podlega zarówno GDPR, jak i FADP, SCCs stosuje się równolegle na podstawie obu tych aktów;
(b) Swiss Federal Data Protection and Information Commissioner jest właściwy dla transferów regulowanych przez FADP; gdy zastosowanie ma również GDPR, właściwy pozostaje organ wskazany zgodnie z Klauzulą 13 w sprawach dotyczących GDPR;
© terminu „państwo członkowskie” nie interpretuje się w sposób wykluczający osoby, których dane dotyczą, w Szwajcarii z dochodzenia swoich praw w miejscu zwykłego pobytu w Szwajcarii na podstawie Klauzuli 18©;
(d) prawo właściwe i forum zgodnie z Klauzulami 17 i 18 pozostają takie jak w Części 2, chyba że bezwzględnie obowiązujące prawo szwajcarskie wymaga inaczej.
Część 8. Szczegóły Modułu trzeciego
Gdy Klient działa jako Podmiot przetwarzający dla zewnętrznego Administratora:
(a) Klient potwierdza, że Administrator upoważnił do zaangażowania Cal.com jako dalszego podmiotu przetwarzającego oraz do transferu na podstawie SCCs, a także że Klient przekaże instrukcje Administratora, w tym instrukcje dotyczące wniosków osób, których dane dotyczą, usunięcia danych i audytów, kanałami określonymi w DPA;
(b) Powiadomienia muszą dotrzeć do odbiorców wymaganych przez każde mające zastosowanie postanowienie SCCs. Klient przekaże powiadomienia dalej, gdy SCCs przypisują mu tę odpowiedzialność. Cal.com powiadomi Administratora bezpośrednio, gdy wymagają tego SCCs, w tym zgodnie z Klauzulą 8.6©, gdy jest to odpowiednie i wykonalne. Każde upoważnione uzgodnienie dotyczące powiadomień za pośrednictwem Klienta musi zachować prawa Administratora oraz terminy wymagane przez SCCs.
© Klient zabezpiecza Cal.com przed roszczeniami Administratora wynikającymi z braku umocowania Klienta lub z instrukcji, które Cal.com otrzymuje za pośrednictwem Klienta (DPA §12.4(a)). To zabezpieczenie nie ogranicza obowiązków ani odpowiedzialności Cal.com na podstawie SCCs.