Umowa powierzenia przetwarzania danych osobowych dla kościołów za granicą

Kościół korzystający z usługi poza Republiką Korei („Kościół”) oraz Wesleysoft („Firma”) uzgadniają, co następuje, w sprawie przetwarzania przez Firmę, w imieniu Kościoła, danych osobowych, które Kościół wprowadza do Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) i Wesley Simbang Plus (웨슬리 심방플러스) („Usługa”). Niniejsza Umowa ma zastosowanie łącznie z Regulaminem Firmy, jej Polityką prywatności oraz „Załącznikiem do Polityki prywatności dla kościołów za granicą” („Załącznik”). W razie rozbieżności między nimi w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza Umowa.

Artykuł 1 (Role)

1. W odniesieniu do danych osobowych, które Kościół wprowadza do Usługi, Kościół ustala cele i sposoby przetwarzania (administrator), a Firma przetwarza te dane w imieniu Kościoła (podmiot przetwarzający).
2. Kościół odpowiada za zapewnienie, aby zbieranie danych osobowych i ich wprowadzanie do Usługi było zgodne z prawem państwa Kościoła, a także informuje członków o przetwarzaniu i uzyskuje ich zgodę, jeżeli jest to wymagane.

Artykuł 2 (Szczegóły przetwarzania)

Przedmiot i czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, określa Wykaz 1.

Artykuł 3 (Przetwarzanie na polecenie Kościoła)

1. Firma przetwarza dane osobowe wyłącznie na udokumentowane polecenie Kościoła. Korzystanie przez Kościół z funkcji oraz wybór ustawień na ekranach Usługi uważa się za polecenia Kościoła.
2. Firma nie przetwarza danych osobowych w żadnym innym celu niż świadczenie Usługi, chyba że obowiązek taki nakłada na nią prawo. Jeżeli prawo wymaga przetwarzania, Firma informuje o tym Kościół przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
3. Jeżeli Firma uzna, że polecenie Kościoła narusza przepisy o ochronie danych, niezwłocznie informuje o tym Kościół.

Artykuł 4 (Poufność)

Firma ogranicza krąg osób uprawnionych do przetwarzania danych osobowych do niezbędnego minimum i zapewnia, aby osoby te były zobowiązane do zachowania poufności. Obowiązek ten trwa również po zakończeniu ich pracy.

Artykuł 5 (Środki bezpieczeństwa)

Firma stosuje środki techniczne i organizacyjne odpowiednie do ryzyka dla danych osobowych, określone w Wykazie 2. Firma może zmieniać te środki wraz z rozwojem technologii, nie obniży jednak poziomu ochrony.

Artykuł 6 (Oddzielenie danych poszczególnych kościołów)

Firma przechowuje dane Kościoła oddzielnie od danych innych kościołów i zapewnia, aby użytkownicy innych kościołów nie mogli zobaczyć danych Kościoła.

Artykuł 7 (Dalsze powierzenie przetwarzania)

1. Kościół upoważnia Firmę do korzystania z usług dalszych podmiotów przetwarzających wymienionych w Wykazie 3.
2. Jeżeli Firma zamierza dodać lub zastąpić dalszy podmiot przetwarzający, informuje o tym Kościół z co najmniej 30-dniowym wyprzedzeniem, a Kościół może w tym terminie wnieść sprzeciw z uzasadnionych powodów. Jeżeli Firma nie uwzględni sprzeciwu, Kościół może rozwiązać umowę o świadczenie usługi bez ponoszenia kar umownych.
3. Firma nakłada w drodze umowy na każdy dalszy podmiot przetwarzający obowiązki w zakresie ochrony danych na tym samym poziomie co w niniejszej Umowie i pozostaje odpowiedzialna wobec Kościoła, jeżeli dalszy podmiot przetwarzający nie wywiąże się z tych obowiązków.

Artykuł 8 (Pomoc w zakresie praw osób, których dane dotyczą)

1. Gdy członkowie lub inne osoby, których dane dotyczą, wykonują prawa takie jak prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania lub przenoszenia danych, Firma zapewnia funkcje Usługi oraz współpracę niezbędne, aby Kościół mógł na nie odpowiedzieć.
2. Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do Firmy, Firma niezwłocznie przekazuje je Kościołowi i nie odpowiada na nie bezpośrednio bez polecenia Kościoła.

Artykuł 9 (Naruszenia ochrony danych osobowych)

1. Jeżeli Firma dowie się o incydencie, w wyniku którego dane osobowe Kościoła wyciekły lub mogły wyciec, powiadamia o tym Kościół niezwłocznie, a w każdym razie w ciągu 48 godzin od chwili, w której się o nim dowiedziała.
2. Powiadomienie zawiera opis charakteru i okoliczności incydentu, kategorii i przybliżonej liczby osób, których dane dotyczą, oraz wpisów danych osobowych, których incydent dotyczy, prawdopodobnych konsekwencji, środków podjętych lub planowanych przez Firmę, a także wskazanie osoby kontaktowej. Informacje, których nie można przekazać od razu, są przekazywane etapami, w miarę ich uzyskiwania.
3. Firma zapewnia informacje i współpracę niezbędne, aby Kościół mógł powiadomić organ nadzorczy i osoby, których dane dotyczą, zgodnie z prawem swojego państwa.

Artykuł 10 (Inna pomoc)

Uwzględniając charakter przetwarzania oraz informacje dostępne Firmie, Firma przekazuje informacje potrzebne Kościołowi do wypełnienia jego obowiązków wynikających z prawa jego państwa, takich jak zapewnienie bezpieczeństwa, przeprowadzanie ocen skutków dla ochrony danych oraz uprzednie konsultacje z organem nadzorczym.

Artykuł 11 (Miejsce przechowywania i międzynarodowe przekazywanie danych)

1. Firma przechowuje dane Kościoła na serwerach znajdujących się w Republice Korei i nie przekazuje ich poza Republikę Korei, z wyjątkiem przypadku opisanego w art. 6 Załącznika (wskazówki dojazdu).
2. Przekazywanie danych z państwa Kościoła do Republiki Korei odbywa się zgodnie z art. 4 Załącznika. Jeżeli prawo tego państwa wymaga odrębnego mechanizmu, takiego jak standardowe klauzule umowne, Kościół i Firma wdrażają go wraz z niniejszą Umową.

Artykuł 12 (Zwrot i zniszczenie danych po zakończeniu umowy o świadczenie usługi)

1. Kościół może pobrać swoje dane za pomocą funkcji eksportu Usługi przed zakończeniem umowy o świadczenie usługi oraz przez 90 dni po jej zakończeniu.
2. Po upływie tego okresu Firma niszczy dane Kościoła w sposób uniemożliwiający ich odzyskanie. Jeżeli Kościół zażąda natychmiastowego zniszczenia, Firma niezwłocznie niszczy dane. Dane, których przechowywania wymaga prawo, są przechowywane przez wymagany okres.
3. Dane pozostające w kopiach zapasowych są niszczone po upływie 90 dni w przypadku kopii zapasowych na serwerach Firmy oraz po upływie 1 roku w przypadku kopii zapasowych na odrębnym urządzeniu pamięci masowej zarządzanym przez Firmę. Do tego czasu nie są one wykorzystywane w żadnym innym celu niż przywrócenie danych.
4. Na żądanie Kościoła Firma potwierdza zniszczenie na piśmie.

Artykuł 13 (Informacje i audyty)

1. Firma udostępnia Kościołowi informacje niezbędne do wykazania przestrzegania obowiązków wynikających z niniejszej Umowy.
2. Kościół może raz w roku przedstawić pytania na piśmie, na które Firma odpowiada nieodpłatnie. Jeżeli Kościół lub wyznaczony przez niego audytor zamierza przeprowadzić audyt na miejscu, wniosek należy złożyć z 30-dniowym wyprzedzeniem, a koszty ponosi Kościół. Audytor jest zobowiązany do zachowania poufności.

Artykuł 14 (Odpowiedzialność)

Każda ze stron — Kościół i Firma — odpowiada wobec drugiej strony za szkodę wyrządzoną naruszeniem przez nią niniejszej Umowy lub przepisów prawa. Odpowiedzialność Firmy jest ograniczona do łącznej kwoty opłat uiszczonych przez Kościół w ciągu 12 miesięcy poprzedzających dzień powstania szkody. Ograniczenie to nie ma zastosowania do szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa Firmy ani w przypadkach, w których prawo nie dopuszcza ograniczenia odpowiedzialności.

Artykuł 15 (Okres obowiązywania)

Niniejsza Umowa obowiązuje od dnia, w którym Kościół, po zatwierdzeniu przez Firmę, zawrze umowę o świadczenie usługi, do czasu wykonania obowiązków określonych w art. 12 po zakończeniu umowy o świadczenie usługi.

Artykuł 16 (Prawo właściwe i jurysdykcja)

Niniejsza Umowa podlega prawu Republiki Korei. Nadal jednak mają zastosowanie te przepisy prawa o ochronie danych państwa Kościoła, których strony nie mogą zmienić w drodze umowy, a także uprawnienia organu nadzorczego tego państwa. Spory związane z niniejszą Umową rozstrzyga sąd właściwy dla adresu Firmy.

Artykuł 17 (Język i zawarcie Umowy)

1. Wersja koreańska niniejszej Umowy jest oryginałem wiążącym. W razie rozbieżności między tłumaczeniem a tą wersją pierwszeństwo ma oryginał koreański, chyba że prawo państwa Kościoła stanowi inaczej.
2. Niniejsza Umowa zostaje zawarta z chwilą wybrania przez Kościół na ekranie opcji „Akceptuję” (동의) w odniesieniu do niniejszej Umowy. Firma przechowuje zapis tego faktu i na żądanie Kościoła udostępnia podpisany egzemplarz.

Wykaz 1 — Szczegóły przetwarzania

Przedmiot	Dane członków i dokumentacja finansowa, które Kościół wprowadza do Usługi
Kategorie osób, których dane dotyczą	Członkowie i ich rodziny, nowi członkowie i goście, darczyńcy, pracownicy kościoła oraz użytkownicy Usługi
Rodzaje danych osobowych	Elementy wymienione w art. 2 Polityki prywatności i art. 3 Załącznika — imię i nazwisko (nazwisko i imię zapisane alfabetem łacińskim), płeć, data urodzenia (opcjonalnie), dane kontaktowe, adres, zdjęcie, funkcja kościelna, okręg (część wspólnoty) i spotkanie klasowe, kategoria członkostwa, informacje o chrzcie i konfirmacji, posługi i zawód, relacje rodzinne, obecność, zapisy wizyt i intencje modlitewne, uwagi dotyczące opieki, ewidencja ofiar, zapisy zgód dotyczących danych osobowych oraz dane darczyńców do potwierdzeń darowizn w danym kraju
Szczególne kategorie danych	Fakt członkostwa w kościele i zapisy dotyczące życia religijnego (dane ujawniające przekonania religijne); dane dotyczące zdrowia, które Kościół wprowadza w uwagach dotyczących opieki
Charakter i cel	Świadczenie Usługi — przechowywanie, przeglądanie, edycja, drukowanie, eksport, tworzenie kopii zapasowych, wysyłanie wiadomości e-mail oraz przygotowywanie wstępnych wersji tekstów na wizyty (nie są przesyłane żadne informacje pozwalające zidentyfikować członka)
Czas trwania	Okres obowiązywania umowy o świadczenie usługi oraz 90 dni po jej zakończeniu (kopie zapasowe: art. 12 ust. 3 — 90 dni na serwerach, 1 rok na odrębnym urządzeniu pamięci masowej)

Wykaz 2 — Środki bezpieczeństwa

• Szyfrowanie danych podczas przesyłania (HTTPS)
• Przechowywanie haseł wyłącznie z użyciem metody nieodwracalnej
• Oddzielenie danych poszczególnych kościołów — bariera dla każdego kościoła w bazie danych, uniemożliwiająca odczytanie danych innych kościołów
• Uprawnienia oparte na rolach i przechowywanie dzienników dostępu
• Zapora sieciowa — otwarte są wyłącznie porty niezbędne do dostępu przez WWW i dostępu administracyjnego; baza danych nie jest dostępna spoza serwera
• Oprogramowanie chroniące przed złośliwym oprogramowaniem — automatyczna aktualizacja sygnatur i codzienne skanowanie
• Regularne kopie zapasowe — codziennie na serwerze, kopiowane na odrębne urządzenie pamięci masowej zarządzane przez Firmę (serwery 90 dni, odrębne urządzenie pamięci masowej 1 rok)

Wykaz 3 — Dalsze podmioty przetwarzające (wszystkie z siedzibą i przetwarzaniem danych w Republice Korei)

Dalszy podmiot przetwarzający	Czynności
YourIT Co., Ltd.	Udostępnianie serwerów i przestrzeni dyskowej; przechowywanie danych
NHN Cloud Corp.	Wysyłanie wiadomości e-mail (na numery telefonów komórkowych spoza Korei nie są wysyłane wiadomości SMS)
Upstage Co., Ltd.	Przygotowywanie wstępnych wersji tekstów kazań w Wesley Simbang Plus (nie są przekazywane żadne informacje pozwalające zidentyfikować członka)
Toss Payments Co., Ltd.	Obsługa płatności opłat (Kościoły Zagraniczne płacą obecnie przelewem bankowym)