Umowa powierzenia przetwarzania danych

UMOWA POWIERZENIA PRZETWARZANIA DANYCH

zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)

JAAN BV – wszystkie usługi (hosting, VPS i serwery dedykowane, Smsbox, 2mail, oprogramowanie na zamówienie)

Wersja: 2.6 – 27 października 2026 r.

Podmiot przetwarzający: JAAN BV (Jaan Internet Solutions), siedziba statutowa Zelzatestraat 61, 9960 Assenede, Belgia – KBO 0894.248.245 – privacy@jaan.be – 09 328 03 83

Administrator: Klient, zidentyfikowany w Umowie Głównej, w zamówieniu lub na koncie klienta.

Artykuł 1 – Zakres stosowania i hierarchia postanowień

1.1 Niniejsza Umowa powierzenia przetwarzania danych stanowi integralną część każdej umowy zawartej między JAAN BV a Klientem w sprawie świadczenia Usług („Umowa Główna”), w tym ogólnych warunków, zamówień i opisów usług JAAN BV.

1.2 Ma ona zastosowanie do każdego przetwarzania Danych Osobowych Klienta przez JAAN BV jako podmiot przetwarzający w ramach Usług, niezależnie od tego, z której Usługi Klient korzysta. Załącznik A opisuje przetwarzanie w podziale na Usługi.

1.3 W razie sprzeczności między niniejszą Umową powierzenia przetwarzania danych a Umową Główną pierwszeństwo w zakresie przetwarzania Danych Osobowych ma niniejsza Umowa powierzenia przetwarzania danych. Jeżeli strony podpisały standardowe klauzule umowne określone w decyzji wykonawczej Komisji (UE) 2021/915, pierwszeństwo mają te klauzule, a Załączniki do niniejszego dokumentu stanowią uzupełnienie ich załączników II–IV.

Artykuł 2 – Definicje

2.1 „Usługi”: usługi świadczone przez JAAN BV na rzecz Klienta, w tym hosting, serwery wirtualne (VPS) i serwery dedykowane, usługi komunikacyjne Smsbox (SMS, WhatsApp Business i wiadomości głosowe z syntezą mowy, text-to-speech), usługi e-mail 2mail (e-mail marketing i przekaźnik SMTP) oraz tworzenie oprogramowania na zamówienie.

2.2 „Dane Osobowe Klienta”: wszelkie dane osobowe, które JAAN BV przetwarza w imieniu Klienta w celu świadczenia Usług.

2.3 „Dalszy Podmiot Przetwarzający”: każdy podmiot trzeci, z którego usług korzysta JAAN BV w celu przetwarzania Danych Osobowych Klienta przy świadczeniu Usług.

2.4 „Usługa Transmisji”: każda usługa operatora telekomunikacyjnego, agregatora SMS, zewnętrznej platformy komunikacyjnej lub odbierającego serwera pocztowego, która służy wyłącznie do przekazywania wiadomości do odbiorcy lub od niego. Dostawcy Usług Transmisji nie są Dalszymi Podmiotami Przetwarzającymi ani JAAN BV, ani Klienta (zob. artykuł 7.6 i Załącznik D).

2.5 „Naruszenie Ochrony Danych”: naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

2.6 Pojęcia takie jak „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą”, „przetwarzanie” i „organ nadzorczy” mają znaczenie nadane im w RODO.

Artykuł 3 – Role stron

3.1 Klient jest administratorem Danych Osobowych Klienta; JAAN BV jest podmiotem przetwarzającym. Jeżeli Klient sam działa jako podmiot przetwarzający na rzecz podmiotu trzeciego, JAAN BV jest dalszym podmiotem przetwarzającym, a Klient gwarantuje, że jego własna umowa powierzenia przetwarzania danych zezwala na korzystanie z usług JAAN BV.

3.2 JAAN BV jest samodzielnym administratorem danych, które przetwarza w celu zarządzania relacją z klientem: danych konta, osób kontaktowych, fakturowania, wsparcia, bezpieczeństwa i zapobiegania oszustwom w odniesieniu do własnej infrastruktury oraz wypełniania obowiązków prawnych. Przetwarzanie to podlega polityce prywatności JAAN BV.

3.3 Klient gwarantuje, że dysponuje podstawą prawną przetwarzania, że prawidłowo informuje osoby, których dane dotyczą, oraz że nie powierza JAAN BV przetwarzania danych w sposób sprzeczny z prawem, polityką fair use lub warunkami szczegółowymi JAAN BV. W przypadku wiadomości handlowych wysyłanych za pośrednictwem Smsbox lub 2mail Klient dysponuje wymaganą zgodą odbiorców i na żądanie JAAN BV przedstawia jej dowód.

Artykuł 4 – Polecenia

4.1 JAAN BV przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta i w celu świadczenia Usług. Za polecenia uważa się Umowę Główną, niniejszą Umowę powierzenia przetwarzania danych, konfigurację Usług dokonaną przez Klienta (panel sterowania, API, ustawienia) oraz pisemne zgłoszenia do działu wsparcia.

4.2 Jeżeli JAAN BV uzna, że polecenie narusza RODO lub inne obowiązujące przepisy, niezwłocznie informuje o tym Klienta i może wstrzymać jego wykonanie do czasu zmiany polecenia.

4.3 Jeżeli JAAN BV jest prawnie zobowiązana do przetwarzania, informuje Klienta o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

Artykuł 5 – Poufność

5.1 Zastosowanie ma obowiązek zachowania poufności określony w artykule 14 ogólnych warunków JAAN BV. JAAN BV zapewnia, aby dostęp do Danych Osobowych Klienta mieli wyłącznie upoważnieni pracownicy, w zakresie niezbędnym do świadczenia Usług, oraz aby byli oni związani umownym lub ustawowym obowiązkiem zachowania tajemnicy.

Artykuł 6 – Bezpieczeństwo

6.1 JAAN BV stosuje odpowiednie środki techniczne i organizacyjne w rozumieniu art. 32 RODO, opisane w Załączniku B. JAAN BV może zmieniać te środki pod warunkiem, że poziom bezpieczeństwa nie ulegnie obniżeniu.

6.2 Klient pozostaje odpowiedzialny za bezpieczeństwo po swojej stronie: zarządzanie swoimi hasłami, kluczami API i użytkownikami, zabezpieczenie oprogramowania i danych, które umieszcza na koncie hostingowym, VPS lub serwerze dedykowanym (w przypadku administracji zarządzanej: aplikacji i danych powyżej systemu operacyjnego), a także decyzję, czy przesyłać dane wrażliwe za pośrednictwem Usług.

Artykuł 7 – Dalsze Podmioty Przetwarzające

7.1 Klient udziela JAAN BV ogólnej pisemnej zgody na korzystanie z usług Dalszych Podmiotów Przetwarzających. Dalsze Podmioty Przetwarzające, z których usług JAAN BV korzysta w chwili zawarcia niniejszej Umowy powierzenia przetwarzania danych, wymieniono w Załączniku C w podziale na Usługi.

7.2 JAAN BV informuje Klienta co najmniej trzydzieści (30) dni wcześniej, pocztą elektroniczną na adres kontaktowy zarejestrowany w JAAN BV, o dodaniu lub zastąpieniu Dalszego Podmiotu Przetwarzającego. Aktualna lista znajduje się zawsze w Załączniku C do niniejszej Umowy powierzenia przetwarzania danych.

7.3 Klient może w ciągu dziesięciu (10) dni roboczych od takiego powiadomienia wnieść sprzeciw z uzasadnionych, umotywowanych przyczyn. Strony poszukują wówczas w dobrej wierze rozwiązania. Jeżeli nie jest to możliwe, Klient może wypowiedzieć daną część Usług bez odszkodowania z tytułu wypowiedzenia.

7.4 JAAN BV nakłada na każdy Dalszy Podmiot Przetwarzający na piśmie obowiązki co najmniej równoważne obowiązkom wynikającym z niniejszej Umowy powierzenia przetwarzania danych i ponosi wobec Klienta pełną odpowiedzialność za ich wykonanie przez swoje Dalsze Podmioty Przetwarzające.

7.5 Dostawcy oprogramowania, których licencje JAAN BV odsprzedaje lub wykorzystuje (np. Microsoft SPLA), nie przetwarzają Danych Osobowych Klienta i nie są Dalszymi Podmiotami Przetwarzającymi.

7.6 Dostawcy Usług Transmisji nie są Dalszymi Podmiotami Przetwarzającymi. Przekazują oni treść wiadomości wyłącznie do sieci lub skrzynki pocztowej odbiorcy, bez merytorycznego jej przetwarzania, i są związani tajemnicą telekomunikacyjną lub działają jako samodzielni administratorzy w odniesieniu do własnej sieci. JAAN BV swobodnie wybiera i zmienia tych dostawców w zależności od miejsca przeznaczenia, dostępności i jakości doręczenia; wykorzystywane trasy stanowią tajemnicę przedsiębiorstwa JAAN BV i nie są ujawniane. Wyjaśnienie zawiera Załącznik D.

Artykuł 8 – Przekazywanie danych poza EOG

8.1 JAAN BV przetwarza Dane Osobowe Klienta w Belgii. Nie przekazuje Danych Osobowych Klienta do państw spoza Europejskiego Obszaru Gospodarczego, z wyjątkiem przypadków, w których Załącznik C przewiduje to dla określonej Usługi, i z zastosowaniem wskazanych tam odpowiednich zabezpieczeń (decyzja stwierdzająca odpowiedni stopień ochrony, EU-U.S. Data Privacy Framework lub standardowe klauzule umowne).

8.2 Klient przyjmuje do wiadomości, że odbiorca wiadomości może znajdować się poza EOG i że doręczenie tej wiadomości stanowi w takim przypadku przekazanie danych, dla którego podstawę prawną określa Klient jako administrator.

Artykuł 9 – Pomoc w realizacji praw osób, których dane dotyczą

9.1 JAAN BV, uwzględniając charakter przetwarzania, pomaga Klientowi w realizacji żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Większość żądań Klient może obsłużyć samodzielnie za pomocą panelu sterowania lub API danej Usługi; w pozostałym zakresie JAAN BV udziela pomocy w ciągu dziesięciu (10) dni roboczych od zgłoszenia.

9.2 Jeżeli JAAN BV otrzyma bezpośrednio od osoby, której dane dotyczą, żądanie dotyczące Danych Osobowych Klienta, bez zbędnej zwłoki przekazuje je Klientowi i nie odpowiada na nie samodzielnie, chyba że Klient o to poprosi.

Artykuł 10 – Naruszenia Ochrony Danych

10.1 JAAN BV zgłasza Naruszenie Ochrony Danych dotyczące Danych Osobowych Klienta bez zbędnej zwłoki, nie później niż w ciągu dwudziestu czterech (24) godzin od chwili, gdy się o nim dowiedziała, pocztą elektroniczną na adres kontaktowy Klienta zarejestrowany w JAAN BV.

10.2 Zgłoszenie zawiera, w zakresie, w jakim są one znane: charakter Naruszenia Ochrony Danych, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów danych, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz punkt kontaktowy. Informacje, które nie są jeszcze dostępne, są przekazywane etapami.

10.3 JAAN BV nie zgłasza samodzielnie Naruszenia Ochrony Danych organowi nadzorczemu ani osobom, których dane dotyczą, w imieniu Klienta, chyba że Klient zwróci się o to na piśmie lub JAAN BV jest do tego zobowiązana przez prawo.

Artykuł 11 – Ocena skutków dla ochrony danych

11.1 Na żądanie Klienta JAAN BV udziela mu rozsądnej pomocy przy przeprowadzaniu oceny skutków dla ochrony danych (DPIA) oraz ewentualnych uprzednich konsultacji z organem nadzorczym, w zakresie, w jakim dotyczą one Usług, i na podstawie informacji, którymi JAAN BV dysponuje.

Artykuł 12 – Informacje i audyt

12.1 Na żądanie Klienta JAAN BV udostępnia mu wszelkie informacje racjonalnie niezbędne do wykazania przestrzegania art. 28 RODO oraz niniejszej Umowy powierzenia przetwarzania danych, w tym opis środków zawarty w Załączniku B oraz, jeżeli są dostępne, certyfikaty lub raporty z audytów przeprowadzonych przez podmioty trzecie.

12.2 Jeżeli informacje te nie są racjonalnie wystarczające, Klient lub wyznaczony przez niego niezależny audytor związany obowiązkiem zachowania poufności może przeprowadzić audyt nie częściej niż raz w roku, po uprzednim pisemnym powiadomieniu z co najmniej trzydziestodniowym (30) wyprzedzeniem, w godzinach pracy, bez zakłócania świadczenia usług na rzecz innych klientów i bez uzyskiwania dostępu do ich danych. W przypadku podejrzenia Naruszenia Ochrony Danych lub na polecenie organu nadzorczego obowiązuje krótszy termin.

12.3 Każda ze stron ponosi własne koszty. Jeżeli audyt wymaga od JAAN BV nakładu pracy przekraczającego jeden dzień roboczy, JAAN BV może obciążyć Klienta za dodatkowy czas według swojej zwykłej stawki godzinowej, chyba że audyt wykaże naruszenie po stronie JAAN BV.

Artykuł 13 – Zwrot i usunięcie danych

13.1 W okresie obowiązywania umowy Klient może w każdej chwili samodzielnie eksportować swoje dane za pośrednictwem Usługi (kopie zapasowe, zrzuty baz danych, eksport list kontaktów i logów wiadomości) lub zamówić eksport według obowiązującej stawki.

13.2 Po zakończeniu Umowy Głównej lub danej Usługi JAAN BV usuwa wszystkie Dane Osobowe Klienta, łącznie z kopiami zapasowymi zgodnie z ich normalną rotacją, w ciągu dziewięćdziesięciu (90) dni, chyba że Klient przed tą datą zwróci się na piśmie o ich zwrot lub obowiązuje ustawowy obowiązek przechowywania. Na żądanie JAAN BV potwierdza usunięcie na piśmie.

Artykuł 14 – Odpowiedzialność

14.1 Do niniejszej Umowy powierzenia przetwarzania danych stosuje się zasady odpowiedzialności określone w Umowie Głównej, bez uszczerbku dla art. 82 RODO oraz bezwzględnie obowiązujących przepisów RODO, od których nie można odstąpić w drodze umowy.

Artykuł 15 – Okres obowiązywania

15.1 Niniejsza Umowa powierzenia przetwarzania danych obowiązuje tak długo, jak JAAN BV przetwarza Dane Osobowe Klienta, i wygasa automatycznie po usunięciu lub zwrocie danych, o których mowa w artykule 13.

Artykuł 16 – Prawo właściwe i sąd właściwy

16.1 Niniejsza Umowa powierzenia przetwarzania danych podlega prawu belgijskiemu. Wyłącznie właściwe są sądy okręgu sądowego Flandrii Wschodniej, wydział w Gandawie, bez uszczerbku dla prawa Klienta i osób, których dane dotyczą, do wniesienia skargi do belgijskiego organu ochrony danych (Gegevensbeschermingsautoriteit, GBA/APD).

Załącznik A – Opis przetwarzania w podziale na Usługi

Wspólne dla wszystkich Usług: czas trwania przetwarzania odpowiada okresowi obowiązywania Umowy Głównej powiększonemu o termin usunięcia danych określony w artykule 13; przetwarzanie obejmuje przechowywanie, transmisję, tworzenie kopii zapasowych i administrację techniczną; nie przewiduje się przetwarzania szczególnych kategorii danych osobowych, chyba że Klient sam przetwarza je za pośrednictwem Usługi i sam za to odpowiada.

Załącznik B – Środki techniczne i organizacyjne

B.1 Postanowienia ogólne (wszystkie Usługi)

• Lokalizacje: wszystkie systemy znajdują się w Belgii, w LCL Datacenter w Diegem oraz w centrum danych JAAN BV w Zelzate. Centrum danych JAAN BV w Zelzate jest zabezpieczone kontrolą dostępu ograniczoną do upoważnionego personelu, monitoringiem wizyjnym i systemem alarmowym. LCL Datacenter w Diegem to profesjonalne centrum kolokacyjne z całodobowym nadzorem (24/7), kontrolą dostępu, ochroną przeciwpożarową oraz redundantnym zasilaniem i chłodzeniem.
• Sieć: zapory sieciowe (firewalle) na poziomie infrastruktury i hiperwizora; izolacja sieciowa między środowiskami klientów (Proxmox VE); ruch administracyjny oddzielony od ruchu klientów; ruch do i z Usług szyfrowany za pomocą TLS.
• Zarządzanie dostępem: osobiste konta z minimalnymi uprawnieniami; dostęp administracyjny wyłącznie przez VPN i klucze SSH; okresowy przegląd uprawnień dostępu; natychmiastowe cofnięcie uprawnień w przypadku odejścia pracownika; ciągły monitoring nadużyć i oszustw na bramce Smsbox z blokowaniem podejrzanego dostępu.
• Ciągłość działania: bazy danych w replikacji master-master w dwóch lokalizacjach; codzienne kopie zapasowe przechowywane przez czternaście (14) dni na oddzielnym serwerze kopii zapasowych.
• Zarządzanie poprawkami: aktualizacje bezpieczeństwa systemów operacyjnych i oprogramowania platformowego są instalowane co tydzień; krytyczne podatności – niezwłocznie po udostępnieniu poprawki.
• Logowanie i monitoring: logi systemowe, dostępowe i aplikacyjne są w zależności od aplikacji ograniczone do tego, co niezbędne dla bezpieczeństwa, diagnozowania błędów i obowiązków prawnych (zob. Załącznik E); monitoring dostępności i nietypowych zachowań.
• Złośliwe oprogramowanie i spam: filtrowanie wirusów i spamu w infrastrukturze pocztowej; zautomatyzowane zapobieganie włamaniom za pomocą zapory sieciowej, fail2ban i wykrywania oszustw; JAAN BV stosuje wszelkie rozsądne środki w celu zapewnienia maksymalnego bezpieczeństwa swojej infrastruktury i ze względów bezpieczeństwa nie ujawnia konkretnych narzędzi wykrywania.
• Personel: obowiązek zachowania poufności w umowach o pracę i umowach o świadczenie usług; zasada wiedzy koniecznej (need-to-know).
• Zarządzanie incydentami: udokumentowana procedura stwierdzania, ograniczania i zgłaszania incydentów bezpieczeństwa (zob. artykuł 10); istotne incydenty są zgłaszane do Centrum Cyberbezpieczeństwa Belgii (Centrum voor Cybersecurity België) zgodnie z ustawą NIS2 z 26 kwietnia 2024 r.; mechanizm zgłaszania nielegalnych treści zgodnie z aktem o usługach cyfrowych (Digital Services Act).
• Usuwanie: bezpieczne wymazywanie nośników danych przy ich wycofaniu z eksploatacji; usuwanie danych klientów zgodnie z artykułem 13.

B.2 Hosting

• Separacja kont klientów na poziomie systemu operacyjnego i serwera WWW (konta SiteWorx z własnym użytkownikiem).
• Ruch pocztowy zabezpieczony za pomocą TLS, obsługa SPF/DKIM/DMARC; zautomatyzowane wykrywanie złośliwego oprogramowania i szkodliwych skryptów na kontach klientów, z powiadomieniem Klienta w przypadku ich wykrycia.

B.3 VPS i serwery dedykowane

• VPS: pełna izolacja maszyn wirtualnych na hiperwizorze. Serwer dedykowany: serwer fizyczny przeznaczony wyłącznie dla Klienta, w centrum danych JAAN BV.
• Niezarządzany (unmanaged): Klient samodzielnie administruje systemem operacyjnym i danymi oraz odpowiada za bezpieczeństwo wewnątrz VPS.
• Zarządzany (managed): JAAN BV administruje systemem operacyjnym zgodnie ze środkami opisanymi w B.1 (cotygodniowe aktualizacje bezpieczeństwa, zapora sieciowa, fail2ban, monitoring, dostęp administracyjny przez VPN i klucze SSH). Dostęp administracyjny jest wykorzystywany wyłącznie do konserwacji, zapewnienia bezpieczeństwa i wsparcia na żądanie Klienta; Klient pozostaje odpowiedzialny za swoje aplikacje i dane.
• Kopie zapasowe całego serwera (codziennie lub co tydzień, na oddzielnym serwerze kopii zapasowych) oraz, w przypadku VPS, snapshoty dysku (1× lub 2× dziennie, na hiperwizorze) są odrębnymi opcjami dla serwerów zarządzanych i niezarządzanych; przechowywane są zawsze cztery (4) ostatnie. Bez tych opcji Klient sam odpowiada za swoje kopie zapasowe.

B.4 Smsbox

• Logowanie za pomocą osobistych kont; obsługa passkeys/WebAuthn; zabezpieczone sesje; dostęp do API za pomocą kluczy przypisanych do konta.
• Content Security Policy z wartościami nonce; wszystkie połączenia przez HTTPS.
• Wiadomości głosowe: wyłącznie wychodzące, generowane z tekstu w momencie wysyłki; nie są sporządzane nagrania audio odbiorcy ani przechowywane pliki audio; przechowywane są wyłącznie tekst, numer i status połączenia, przez ten sam okres co w przypadku SMS.
• Rezygnacja poprzez STOP jest możliwa wyłącznie wtedy, gdy Klient aktywował możliwość odpowiedzi; wysyłka odbywa się wówczas za pośrednictwem dzierżawionego przez JAAN BV shortcode 8676 (Belgia), a odpowiedzi STOP są automatycznie umieszczane na liście blokad prowadzonej dla każdego konta. We wszystkich pozostałych przypadkach żądania STOP, o ile operator sieci komórkowej odbiorcy to umożliwia, są przetwarzane i zarządzane bezpośrednio przez tego operatora; listy te nie są dostępne dla JAAN BV. Ponadto Klient sam zapewnia w swoich wiadomościach możliwość rezygnacji. Minimalizacja danych: przechowywane są wyłącznie numer, treść, status i znacznik czasu.
• Treść wiadomości, raporty doręczenia i powiązane logi są przechowywane przez trzynaście (13) miesięcy, a następnie automatycznie usuwane lub anonimizowane (zob. Załącznik E); okres przechowywania u dostawców Usług Transmisji jest ustawiany na możliwie najkrótszy.

B.5 2mail

• Wysyłka za pośrednictwem własnej infrastruktury Postfix JAAN BV z użyciem TLS; ograniczanie liczby wysyłek dla poszczególnych domen (rate limiting) i rozgrzewanie adresów IP (IP warm-up); SPF, DKIM i DMARC.
• Automatyczne przetwarzanie odbić i skarg; rezygnacje są natychmiast umieszczane na liście blokad (blocklist), która jest synchronizowana z serwerami pocztowymi.
• Dane śledzenia (otwarcia, kliknięcia) są przechowywane zgodnie z Załącznikiem E; listy kontaktów są usuwane, gdy tylko Klient je usunie, lub zgodnie z artykułem 13.

Załącznik C – Dalsze Podmioty Przetwarzające

Niniejsza lista obejmuje Dalsze Podmioty Przetwarzające w rozumieniu artykułu 2.3. Nie obejmuje ona dostawców Usług Transmisji (artykuły 2.4 i 7.6) ani licencjodawców oprogramowania (artykuł 7.5). Niniejsza lista stanowi poufną informację handlową i może być wykorzystywana wyłącznie w celu przestrzegania RODO przez Klienta.

Dostawcy łączności centrów danych (Destiny, Telenet) zapewniają wyłącznie transport internetowy i nie są Dalszymi Podmiotami Przetwarzającymi. Google Analytics jest wykorzystywane wyłącznie na publicznych stronach internetowych JAAN BV, dla których JAAN BV sama jest administratorem, a nie w portalach klienta. Ostatnia aktualizacja: 24 października 2026 r.

Załącznik D – Wyjaśnienie dotyczące Usług Transmisji

Dlaczego operatorzy telekomunikacyjni, agregatorzy SMS i odbierające serwery pocztowe nie znajdują się na liście Dalszych Podmiotów Przetwarzających?

Wiadomość wysłana przez Klienta za pośrednictwem Smsbox lub 2mail musi zostać fizycznie doręczona do sieci komórkowej lub skrzynki pocztowej odbiorcy. W tym celu wiadomość przechodzi przez sieci podmiotów trzecich: operatorów telekomunikacyjnych i ich agregatorów w przypadku SMS, platformę Meta w przypadku WhatsApp oraz serwer pocztowy odbiorcy (na przykład Microsoft, Google lub własny serwer pocztowy firmy) w przypadku poczty e-mail.

Podmioty te nie przetwarzają merytorycznie treści wiadomości na rzecz Klienta. Jedynie ją przekazują, tak jak poczta doręcza list. Operatorzy telekomunikacyjni są ponadto związani tajemnicą telekomunikacyjną i nie mogą zapoznawać się z treścią. Odbierające serwery pocztowe są zarządzane przez odbiorcę lub jego własnego dostawcę, poza jakimikolwiek poleceniami Klienta lub JAAN BV. Działają one zatem wyłącznie jako pośrednik w przekazywaniu lub jako samodzielni administratorzy w odniesieniu do własnej sieci, a nie jako podmioty przetwarzające lub dalsze podmioty przetwarzające w rozumieniu art. 28 RODO. Podejście to jest powszechnie przyjęte w sektorze usług komunikacyjnych.

Wyjątek stanowi Meta (WhatsApp Business Platform): Meta przechowuje i przetwarza wiadomości na swojej platformie na zlecenie użytkownika biznesowego i dlatego jest wymieniona jako Dalszy Podmiot Przetwarzający w Załączniku C.

Wybór tras transmisji dla poszczególnych miejsc przeznaczenia stanowi tajemnicę przedsiębiorstwa JAAN BV i nie wchodzi w zakres informacji przekazywanych na podstawie niniejszej Umowy powierzenia przetwarzania danych. JAAN BV gwarantuje, że każdy wykorzystywany dostawca jest związany tajemnicą telekomunikacyjną lub umownymi zobowiązaniami do zachowania poufności oraz że wiadomości do odbiorców w EOG są doręczane za pośrednictwem dostawców z siedzibą w EOG.

Załącznik E – Okresy przechowywania

Poniższe okresy dotyczą Danych Osobowych Klienta w okresie obowiązywania umowy. Po zakończeniu Usługi zastosowanie ma artykuł 13 (usunięcie w ciągu 90 dni). Te same okresy podano na stronie jaan.be/data-retentie.