Umowa o przetwarzaniu danych między CONTRIMA a fotografem

Pomiędzy

podmiotem przetwarzającym dane

Contrima GmbH, reprezentowaną przez dyrektora zarządzającego pana Marka Reinhardta, Enzianweg 29, 71384 Weinstadt
(zwaną dalej „CONTRIMA”)

a

administratorem danych

{photographer_name}
{photographer_address}
{photographer_email}
(zwanym dalej „Ty”)

Preambuła

CONTRIMA świadczy na Twoją rzecz usługi polegające na udostępnianiu infrastruktury służącej do przekazywania zdjęć osobom widocznym na tych zdjęciach, a także na zarządzaniu umowami licencyjnymi dotyczącymi zdjęć (zwane dalej „umową główną”). Częścią realizacji Umowy głównej jest przetwarzanie danych osobowych osób widocznych na zdjęciach, które przekazujesz firmie CONTRIMA. W celu spełnienia wymogów RODO dotyczących takich sytuacji, Ty, jako administrator danych w rozumieniu przepisów o ochronie danych, zawierasz z firmą CONTRIMA poniższą umowę o przetwarzaniu danych na zlecenie.

1. Przedmiot/zakres zlecenia

1.1 Współpraca stron na podstawie umowy głównej wiąże się z tym, że CONTRIMA uzyskuje dostęp do przekazanych przez Ciebie danych osobowych (zwane dalej „danymi zlecenia”) i przetwarza je wyłącznie na Twoje zlecenie oraz zgodnie z Twoimi instrukcjami w rozumieniu art. 4 pkt 8 i art. 28 RODO.

1.2 Przetwarzanie może dotyczyć następujących danych zlecenia:

Osoby, których dane dotyczą (kategorie)	Rodzaj danych
Osoby przedstawione na zdjęciach	Adresy e-mail Informacje o wieku Role i uprawnienia dostępu Zdjęcia Protokoły użytkowania Informacje dotyczące zamówień i umów Adres IP oraz informacje o przeglądarce/urządzeniu (User-Agent), gromadzone w momencie akceptacji umów lub licencji Czas dostępu i aktywności (np. ostatni dostęp, zapoznanie się z informacją o ochronie danych, moment akceptacji umowy) Protokoły dotyczące pobranych i wyeksportowanych zdjęć (czas i zakres) Korespondencja Informacje dotyczące płatności
Osoby sprawujące władzę rodzicielską nad osobami widocznymi na zdjęciach	Adresy e-mail Role i uprawnienia dostępu Informacje dotyczące uprawnień do reprezentowania przedstawionej osoby niepełnoletniej (wyłączna opieka, uprawnienie do reprezentowania również drugiego opiekuna lub konieczność udziału drugiego opiekuna) Decyzja dotycząca wyrażenia zgody jako osoba sprawująca opiekę (udzielanie zgody, odmowa lub oświadczenie o braku uprawnień do reprezentacji) Adres IP oraz informacje o przeglądarce/urządzeniu (User-Agent), gromadzone podczas akceptacji umów lub licencji Czas dostępu i aktywności (np. ostatni dostęp, zapoznanie się z informacją o ochronie danych, moment akceptacji umowy) Protokoły dotyczące pobranych i wyeksportowanych obrazów (czas i zakres) Korespondencja Informacje dotyczące zamówień i umów Informacje dotyczące płatności
Osoby kontaktowe z organów administracji (np. organów podatkowych)	Adresy e-mail Korespondencja Informacje dotyczące zamówień i umów

1.3 Rodzaj i zakres przetwarzania danych dotyczących zlecenia zależą od celów umowy głównej i są do nich ograniczone. Okres przetwarzania odpowiada okresowi obowiązywania umowy głównej.

1.4 CONTRIMA nie może przetwarzać danych zlecenia w sposób odbiegający od postanowień zawartych w załączniku 1 oraz w pkt 1.2 ani wykraczający poza ich zakres. Dotyczy to również wykorzystywania danych zanonimizowanych.

1.5 Przetwarzanie danych zlecenia odbywa się wyłącznie na terytorium Republiki Federalnej Niemiec, w państwie członkowskim Unii Europejskiej lub w innym państwie będącym stroną Porozumienia o Europejskim Obszarze Gospodarczym. Każde przeniesienie do państwa trzeciego wymaga uprzedniej pisemnej zgody zleceniodawcy i może nastąpić wyłącznie wtedy, gdy spełnione są szczególne warunki określone w art. 44–49 RODO.

1.6 Postanowienia niniejszej umowy mają zastosowanie do wszystkich czynności związanych z umową główną, w ramach których firma CONTRIMA i jej pracownicy lub osoby upoważnione przez CONTRIMA mają kontakt z danymi osobowymi pochodzącymi od Ciebie lub zebranymi w Twoim imieniu.

2. Twoje uprawnienia do wydawania poleceń

2.1 CONTRIMA przetwarza dane zlecenia wyłącznie w ramach zlecenia oraz wyłącznie w Twoim imieniu i zgodnie z Twoimi instrukcjami w rozumieniu art. 28 RODO (przetwarzanie na zlecenie); dotyczy to w szczególności przekazywania danych osobowych do państwa trzeciego. Masz wyłączne prawo do wydawania instrukcji dotyczących rodzaju, zakresu i metod przetwarzania danych (zwane dalej również „prawem do wydawania instrukcji”). Jeżeli CONTRIMA jest zobowiązana do dalszego przetwarzania na mocy prawa Unii Europejskiej lub państw członkowskich, któremu podlega, CONTRIMA poinformuje Cię o tych wymogach prawnych przed rozpoczęciem przetwarzania.

2.2 Wytyczne dla CONTRIMA należy zasadniczo przekazywać na piśmie (adres e-mail: info@contrima.com).

2.3 Jeżeli firma CONTRIMA uzna, że któreś z Państwa poleceń narusza przepisy dotyczące ochrony danych, ma obowiązek niezwłocznie Państwa o tym poinformować. Firma CONTRIMA ma prawo wstrzymać realizację danego polecenia do czasu jego potwierdzenia lub zmiany przez zleceniodawcę.

3. Środki ochronne stosowane przez CONTRIMA

3.1 CONTRIMA jest zobowiązana do przestrzegania przepisów prawa dotyczących ochrony danych oraz do nieudostępniania osobom trzecim informacji uzyskanych od Ciebie lub do uniemożliwienia im dostępu do tych informacji. Dane należy zabezpieczyć przed dostępem osób nieuprawnionych, z uwzględnieniem aktualnego stanu techniki.

3.2 Ponadto CONTRIMA zobowiąże na piśmie wszystkie osoby, którym powierzyła przetwarzanie i realizację niniejszej umowy (zwane dalej „pracownikami”), do zachowania poufności (obowiązek zachowania poufności, art. 28 ust. 3 lit. b RODO) oraz zapewni przestrzeganie tego obowiązku z należytą starannością. Na Państwa żądanie firma CONTRIMA przedstawi Państwu dowody potwierdzające to zobowiązanie.

3.3 CONTRIMA zorganizuje swoją strukturę wewnętrzną w taki sposób, aby spełniała ona szczególne wymagania w zakresie ochrony danych. CONTRIMA zobowiązuje się do podjęcia wszelkich odpowiednich środków technicznych i organizacyjnych w celu zapewnienia odpowiedniej ochrony danych zlecenia zgodnie z art. 32 RODO, w szczególności środków wymienionych w załączniku 1 do niniejszej umowy, oraz do ich utrzymania przez cały okres przetwarzania danych zlecenia.

3.4 CONTRIMA zastrzega sobie prawo do zmiany podjętych środków technicznych i organizacyjnych, przy czym CONTRIMA zapewni, że poziom ochrony nie będzie niższy niż uzgodniony w umowie. CONTRIMA ma obowiązek niezwłocznie poinformować Cię na piśmie, jeżeli istnieją podstawy, by sądzić, że środki określone w załączniku 1 przestały być wystarczające, oraz uzgodni z Tobą dalsze środki techniczne i organizacyjne.

3.5 Na Państwa żądanie firma CONTRIMA wykaże zgodność z środkami technicznymi i organizacyjnymi określonymi w załączniku 1, przedstawiając odpowiednie dowody.

4. Obowiązki w zakresie informowania i udzielania wsparcia

4.1 W przypadku awarii, podejrzeń o naruszenie ochrony danych lub naruszenie zobowiązań umownych przez CONTRIMA, podejrzenia o zdarzeniach związanych z bezpieczeństwem lub inne nieprawidłowości w przetwarzaniu danych zlecenia, popełnione w ramach zlecenia przez osoby zatrudnione w CONTRIMA lub przez osoby trzecie, CONTRIMA niezwłocznie, najpóźniej jednak w ciągu 24 godzin, poinformuje Cię o tym na piśmie lub w formie elektronicznej. To samo dotyczy kontroli CONTRIMY przeprowadzanych przez organ nadzorczy ds. ochrony danych. Zgłoszenia zgodnie z § 4 ust. 1 zdanie 1 zawierają w każdym przypadku co najmniej informacje wymienione w art. 33 ust. 3 RODO.

4.2 W przypadku określonym w § 4.1 firma CONTRIMA będzie wspierać Państwa w zakresie wypełniania związanych z tym obowiązków informacyjnych, naprawczych i wyjaśniających w granicach tego, co jest racjonalnie możliwe. W szczególności CONTRIMA niezwłocznie podejmie niezbędne działania w celu zabezpieczenia danych oraz ograniczenia ewentualnych negatywnych skutków dla osób, których dane dotyczą, a także poinformuje Cię o tym.

4.3 CONTRIMA zobowiązuje się do udostępnienia Państwu, na Państwa ustne lub pisemne żądanie, w odpowiednim terminie wszystkich informacji i dowodów niezbędnych do przeprowadzenia kontroli zgodnie z § 7.1 niniejszej umowy. Ponadto CONTRIMA udostępni Państwu, na Państwa życzenie, kompleksową i aktualną koncepcję ochrony danych i bezpieczeństwa w zakresie przetwarzania zleceń, a także informacje o osobach uprawnionych do dostępu.

5. Pozostałe zobowiązania CONTRIMA

5.1 CONTRIMA jest zobowiązana do prowadzenia rejestru wszystkich kategorii czynności przetwarzania danych wykonywanych na Twoje zlecenie zgodnie z art. 30 ust. 2 RODO. Rejestr ten należy udostępnić Ci na żądanie.

5.2 Jeżeli dane zlecenia przechowywane przez CONTRIMA będą zagrożone w wyniku zajęcia lub konfiskaty, postępowania upadłościowego lub ugodowego lub innych zdarzeń lub działań osób trzecich, CONTRIMA ma obowiązek niezwłocznie poinformować Cię o tym, o ile nie jest to zabronione na mocy nakazu sądowego lub administracyjnego. W tym kontekście firma CONTRIMA niezwłocznie poinformuje wszystkie właściwe organy, że wyłączną władzę decyzyjną w odniesieniu do danych posiada zleceniodawca jako „administrator” w rozumieniu RODO.

6. Stosunki z podwykonawcami

6.1 Usługi uzgodnione w umowie są realizowane z udziałem podwykonawców wymienionych w załączniku 2. W ramach swoich zobowiązań umownych firma CONTRIMA jest uprawniona do nawiązywania stosunków podwykonawczych z podwykonawcami („stosunek podwykonawczy”). Przed nawiązaniem kolejnych stosunków podwykonawczych CONTRIMA poinformuje Cię o tym na piśmie lub w formie elektronicznej zgodnie z art. 28 ust. 2 RODO, z zachowaniem czterotygodniowego terminu. Możesz zgłosić sprzeciw wobec tej zmiany w ciągu dwóch tygodni od otrzymania powyższego powiadomienia.

6.2 Stosunek podwykonawczy w rozumieniu niniejszych postanowień nie ma miejsca, jeżeli firma CONTRIMA zleca osobom trzecim świadczenie usług, które należy uznać za czysto pomocnicze. Obejmują one np. usługi pocztowe lub telekomunikacyjne bez konkretnego związku z usługami świadczonymi przez CONTRIMA na Twoją rzecz, a także inne działania mające na celu zapewnienie poufności, dostępności, integralności i odporności sprzętu oraz oprogramowania systemów przetwarzania danych.

7. Prawa kontrolne

7.1 Masz prawo do regularnego sprawdzania, czy przestrzegane są postanowienia niniejszej umowy, w szczególności w zakresie wdrażania i przestrzegania środków technicznych i organizacyjnych zgodnie z § 3.3 niniejszej umowy. W tym celu możesz np. uzyskać informacje, poprosić o przedstawienie certyfikatów lub wyników wewnętrznych audytów albo osobiście lub za pośrednictwem kompetentnej osoby trzeciej, o ile nie pozostaje ona w stosunku konkurencji z firmą CONTRIMA, sprawdzić środki techniczne i organizacyjne firmy CONTRIMA w zwykłych godzinach pracy.

7.2 Kontrole będziesz przeprowadzać wyłącznie w niezbędnym zakresie, z należytym uwzględnieniem przebiegu działalności operacyjnej CONTRIMA. Strony uzgodnią z odpowiednim wyprzedzeniem termin oraz sposób przeprowadzenia kontroli.

7.3 Użytkownik dokumentuje wynik kontroli i przekazuje go firmie CONTRIMA. W przypadku stwierdzenia błędów lub nieprawidłowości, w szczególności podczas kontroli wyników zleceń, Użytkownik niezwłocznie informuje o tym firmę CONTRIMA.

8. Prawa osób, których dane dotyczą

8.1 CONTRIMA wspiera Państwa w miarę możliwości poprzez odpowiednie środki techniczne i organizacyjne w wypełnianiu Państwa obowiązków wynikających z art. 12–22 oraz art. 32–36 RODO. CONTRIMA niezwłocznie, najpóźniej jednak w ciągu 7 dni roboczych, udzieli Ci żądanych informacji dotyczących danych zlecenia, o ile sam nie dysponujesz odpowiednimi informacjami.

8.2 Jeżeli osoba, której dane dotyczą, dochodzi swoich praw zgodnie z art. 16–18 RODO, CONTRIMA jest zobowiązana, zgodnie z Państwa poleceniem, do niezwłocznego, najpóźniej w terminie 7 dni roboczych, sprostowania, usunięcia lub ograniczenia przetwarzania danych zlecenia. Na żądanie CONTRIMA przedstawi Ci pisemne potwierdzenie usunięcia, sprostowania lub ograniczenia danych.

8.3 Jeżeli osoba, której dane dotyczą, dochodzi swoich praw, np. prawa do uzyskania informacji, sprostowania lub usunięcia swoich danych, bezpośrednio wobec CONTRIMA, CONTRIMA niezwłocznie przekaże ten wniosek do Ciebie i będzie oczekiwać na Twoje instrukcje. Bez odpowiednich szczegółowych instrukcji CONTRIMA nie będzie kontaktować się z osobą, której dane dotyczą.

9. Okres obowiązywania i wypowiedzenie

9.1 Okres obowiązywania niniejszej umowy odpowiada okresowi obowiązywania umowy głównej. W razie wątpliwości wypowiedzenie umowy głównej uznaje się również za wypowiedzenie niniejszej umowy, a wypowiedzenie niniejszej umowy – za wypowiedzenie umowy głównej.

9.2 Masz prawo w każdej chwili do nadzwyczajnego wypowiedzenia niniejszej umowy z ważnej przyczyny. Ważna przyczyna ma miejsce, gdy CONTRIMA nie wywiązuje się ze swoich obowiązków wynikających z niniejszej umowy, umyślnie lub w wyniku rażącego niedbalstwa narusza przepisy RODO lub nie może lub nie chce wykonać polecenia. W przypadku zwykłych naruszeń – czyli takich, które nie wynikają z umyślnego działania ani rażącego niedbalstwa – należy najpierw wyznaczyć firmie CONTRIMA odpowiedni termin, w którym może ona usunąć naruszenie. Po bezskutecznym upływie tego terminu przysługuje Państwu prawo do nadzwyczajnego wypowiedzenia umowy.

10. Usunięcie i zwrot danych po wygaśnięciu umowy

10.1 Po wygaśnięciu umowy głównej lub w dowolnym momencie na żądanie CONTRIMA zwróci Ci wszystkie dane przekazane CONTRIMA lub, na życzenie, o ile nie obowiązuje ustawowy termin przechowywania, całkowicie i nieodwołalnie je usunie. Dotyczy to również kopii danych zlecenia przechowywanych przez CONTRIMA, takich jak kopie zapasowe danych, ale nie dotyczy dokumentacji służącej jako dowód prawidłowego i zgodnego z zleceniem przetwarzania danych zlecenia. Taka dokumentacja musi być przechowywana przez CONTRIMA przez okres obowiązywania ustawowych terminów przechowywania.

10.2 Masz prawo w odpowiedni sposób sprawdzić, czy dane zostały w całości i zgodnie z umową zwrócone lub usunięte przez firmę CONTRIMA.

10.3 CONTRIMA jest zobowiązana do zachowania poufności danych, które stały się jej znane w związku z umową główną, również po wygaśnięciu tej umowy.

11. Odpowiedzialność

11.1 Odpowiedzialność stron reguluje art. 82 RODO. Nie ma to wpływu na odpowiedzialność firmy CONTRIMA wobec Ciebie z tytułu naruszenia obowiązków wynikających z niniejszej umowy lub umowy głównej.

11.2 Strony zwalniają się wzajemnie z odpowiedzialności, jeżeli jedna ze stron wykaże, że w żadnym zakresie nie ponosi odpowiedzialności za okoliczność, która spowodowała szkodę u osoby, której dane dotyczą. § 11 ust. 2 zdanie 1 stosuje się odpowiednio w przypadku nałożenia grzywny na jedną ze stron, przy czym zwolnienie z odpowiedzialności następuje w zakresie, w jakim druga strona ponosi współodpowiedzialność za naruszenie, za które nałożono grzywnę.

12. Postanowienia końcowe

12.1 Zmiany i uzupełnienia niniejszej umowy wymagają formy pisemnej w rozumieniu art. 28 ust. 9 RODO. Dotyczy to również zrzeczenia się tego wymogu formalnego.

12.2 W razie wątpliwości postanowienia niniejszej umowy mają pierwszeństwo przed postanowieniami umowy głównej. Jeżeli poszczególne postanowienia niniejszej umowy okażą się w całości lub w części nieważne lub niewykonalne lub staną się nieważne lub niewykonalne w wyniku zmian w przepisach prawnych po zawarciu umowy, nie ma to wpływu na ważność pozostałych postanowień. W miejsce postanowienia nieważnego lub niewykonalnego wchodzi postanowienie ważne i wykonalne, które w jak największym stopniu odpowiada sensowi i celowi postanowienia nieważnego.

12.3 Niniejsza umowa podlega prawu Republiki Federalnej Niemiec. CONTRIMA udostępnia niniejsze warunki w wielu wersjach językowych w celu zapewnienia lepszej zrozumiałości. W przypadku rozbieżności miarodajna jest angielska wersja językowa niniejszej umowy o przetwarzaniu danych na zlecenie.

Załącznik 1: Środki techniczne i organizacyjne

1. Techniczne i organizacyjne środki bezpieczeństwa

CONTRIMA jest zobowiązana do wdrożenia odpowiednich środków technicznych i organizacyjnych w taki sposób, aby przetwarzanie danych zlecenia odbywało się zgodnie z wymogami prawnymi oraz aby w odpowiedni sposób zapewniona była ochrona praw osoby, której dane dotyczą.

2. Organizacja wewnętrzna

CONTRIMA zorganizuje swoją strukturę wewnętrzną w taki sposób, aby spełniała szczególne wymagania w zakresie ochrony danych. W tym celu należy w szczególności podjąć środki odpowiednie do rodzaju danych lub kategorii danych, które mają być chronione.

3. Określenie poszczególnych środków

W szczególności określono następujące środki służące wdrożeniu wymogów art. 32 RODO:

Nr	Środek	Realizacja środka
1	Kontrola dostępu	Przetwarzanie danych produkcyjnych odbywa się wyłącznie w chmurze AWS; fizyczne urządzenia do przetwarzania danych są tam zabezpieczane przez AWS (por. AVV i certyfikaty AWS). Zarządzanie odbywa się z chronionego dostępem stanowiska pracy, znajdującego się w zamykanych, niedostępnych dla osób postronnych pomieszczeniach, za zaporą sieciową. Nie ma ruchu osób postronnych ani własnych serwerowni.
2	Kontrola dostępu	Dostęp do systemu możliwy jest wyłącznie poprzez osobiste logowanie przy użyciu nazwy użytkownika i hasła. Dostępy administracyjne oraz do AWS są chronione silnymi hasłami i uwierzytelnianiem dwuskładnikowym. Urządzenia końcowe są zabezpieczone logowaniem do systemu operacyjnego, zaporą sieciową oraz szyfrowaniem dysków twardych.
3	Kontrola dostępu	Koncepcja ról i uprawnień w aplikacji z centralną weryfikacją uprawnień, sprawdzaniem po stronie serwera na wszystkich punktach końcowych modyfikujących dane, ochroną przed atakami CSRF oraz wyłącznie sparametryzowanym dostępem do baz danych. Na poziomie infrastruktury minimalna liczba administratorów (obsługa jednoosobowa) oraz przyznawanie uprawnień zgodnie z zasadą minimalnych uprawnień.
4	Kontrola separacji	Logiczne rozdzielenie wszystkich danych dla poszczególnych fotografów z uwzględnieniem obsługi wielu klientów poprzez jednoznaczne przypisanie właściciela; oddzielne środowisko produkcyjne. Wystarczające jest rozdzielenie logiczne.
5	Pseudonimizacja / minimalizacja danych	Dostęp osób zewnętrznych za pomocą losowych, niemożliwych do odgadnięcia tokenów (link stały). Gromadzone są wyłącznie dane niezbędne do danego celu (głównie adres e-mail); notatki umożliwiające identyfikację są celowo krótkie i neutralne.
6	Kontrola przekazywania danych	Przesyłanie danych wyłącznie za pośrednictwem szyfrowanych połączeń (TLS/HTTPS). Przechowywanie danych obrazowych i umownych w zaszyfrowanej pamięci obiektowej (szyfrowanie po stronie serwera S3). Przekazywanie danych podwykonawcom wyłącznie w niezbędnym zakresie na podstawie umowy o zleceniu lub standardowych klauzul umownych UE.
7	Kontrola wprowadzania danych	Rejestrowanie operacji istotnych dla celów dowodowych na poziomie aplikacji, w szczególności akceptacji umów i zgód wraz z sygnaturą czasową, adresem IP, informacjami o urządzeniu i skrótem wersji, a także zdarzeń płatniczych. Ze względu na obsługę przez jedną osobę każde wprowadzenie, zmiana i usunięcie danych można przypisać do jednej konkretnej osoby.
8	Dostępność i odporność	Redundancja bazy danych w kilku strefach lub regionach AWS w obrębie UE lub EOG; automatyczne migawki bazy danych jako kopie zapasowe; kopie zapasowe kodu i serwerów oraz gotowy obraz serwera (AMI) do szybkiego przywracania; dodatkowy lokalny system kopii zapasowych; udokumentowany plan awaryjny i plan przywrócenia działania.
9	Zarządzanie ochroną danych	Odpowiedzialność spoczywa na dyrektorze zarządzającym CONTRIMA GmbH. Nie wyznaczono inspektora ochrony danych, ponieważ nie istnieje prawny obowiązek jego wyznaczenia. Wypełnienie obowiązków informacyjnych zgodnie z art. 13 RODO w ramach procesu aktywacji, istniejący proces rozpatrywania wniosków osób, których dane dotyczą, oraz prowadzony rejestr czynności przetwarzania zgodnie z art. 30 RODO.
10	Zarządzanie reagowaniem na incydenty	Zapora sieciowa regularnie aktualizowana; udokumentowana procedura wykrywania i zgłaszania naruszeń ochrony danych zgodnie z art. 33 i 34 RODO, obejmująca niezwłoczne poinformowanie zleceniodawcy.
11	Ustawienia domyślne sprzyjające ochronie danych	Ochrona prywatności domyślnie: nie gromadzimy danych wykraczających poza to, co jest niezbędne; podglądy zdjęć zawierają wyłącznie znaki wodne, a udostępnienie oryginałów następuje dopiero po udzieleniu zgody; ponadto interfejs umożliwia łatwe skorzystanie z prawa do wycofania zgody.
12	Kontrola zleceń (podwykonawcy przetwarzający dane)	Staranny dobór; zawarcie umów o przetwarzaniu danych lub standardowych klauzul umownych UE (moduł 3) ze wszystkimi podwykonawcami przetwarzającymi dane, w przypadku podmiotów z państw trzecich – z odpowiednimi gwarancjami; poinformowanie zleceniodawcy przed zaangażowaniem lub zmianą podwykonawcy; zapewnienie usunięcia danych po zakończeniu zlecenia. Obecnie wykorzystywane: Stripe (przetwarzanie płatności), Amazon Web Services (hosting/przechowywanie), DeepL (tłumaczenie tekstów reklamowych).

Załącznik 2: Wyznaczeni podwykonawcy

Podwykonawcy uwzględnieni zgodnie z punktem 6.1 umowy, na których wykorzystanie wyrażasz zgodę:

Podwykonawca (nazwa, adres lub siedziba)	Przedmiot świadczenia w ramach przetwarzania danych
Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock Dublin, D02 H210, Irlandia („Stripe”)	Obsługa płatności; w przypadku sprzedaży – dane dotyczące płatności, tożsamości i transakcji kupującego (zob. również pkt 6. z Polityka prywatności)
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luksemburg („AWS”)	Hosting stron internetowych i baz danych; przechowywanie i przetwarzanie danych obrazowych (oryginały, warianty, archiwum, eksporty), w tym metadanych EXIF. Usługi poczty elektronicznej (patrz również pkt 6 z Polityka prywatności)
DeepL SE , Maarweg 165 , 50825 Kolonia („DeepL”)	W razie potrzeby tłumaczenie informacji o rozpoznaniu oraz, w razie potrzeby, nazwy kolekcji na język, w którym sformułowany jest link stały (zob. również pkt 6 z Polityka prywatności)

Data Processing Agreement between CONTRIMA and the Photographer

Between

the data processor

Contrima GmbH, represented by its managing director Mr Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(hereinafter ‘CONTRIMA’)

and

the Data Controller

{photographer_name}
{photographer_address}
{photographer_email}
(hereinafter “you”)

Preamble

CONTRIMA provides services to you for the provision of an infrastructure for the transmission of photographs to the persons depicted therein, as well as for the management of image licence agreements (hereinafter: “Main Contract”). Part of the performance of the Main Contract involves the processing of personal data relating to the persons depicted, which you transmit to CONTRIMA. In order to comply with the requirements of the GDPR in such circumstances, you, as the data controller within the meaning of data protection law, enter into the following data processing agreement with CONTRIMA.

1. Subject matter/scope of the engagement

1.1 The cooperation between the parties in accordance with the Main Contract entails that CONTRIMA will have access to personal data provided by you (hereinafter ‘Processed Data’) and that it processes this data exclusively on your behalf and in accordance with your instructions within the meaning of Article 4(8) and Article 28 of the GDPR.

1.2 The following data subject categories may be affected by the processing:

Data subjects (categories)	Type of data
Persons depicted	Email addresses Age details Roles and access rights Photographs Usage logs Order and contract information IP address and browser/device information (user agent), collected upon acceptance of agreements or licences Times of access and activity (e.g. last access, acknowledgement of the privacy notice, time of acceptance of the agreement) Logs of downloaded and exported images (time and scope) Correspondence Payment information
Legal guardians of the persons depicted	Email addresses Roles and access rights Details of the legal right to act on behalf of the minor pictured (sole custody, authorisation to act on behalf of the other custodial parent, or the requirement for a second custodial parent) Decision regarding consent as a legal guardian (granting, refusal or declaration of lack of legal authority to act on behalf of the minor) IP address and browser/device information (user agent), collected upon acceptance of agreements or licences Times of access and activity (e.g. last access, acknowledgement of the privacy notice, time of acceptance of the agreement) Logs of downloaded and exported images (time and scope) Correspondence Order and contract information Payment information
Contact persons at public authorities (e.g. tax authorities)	Email addresses Correspondence Order and contract information

1.3 The nature and scope of the processing of order data are determined by the purposes of the main contract and are limited to these. The duration of the processing corresponds to the term of the main contract.

1.4 CONTRIMA is prohibited from processing contract data in any manner that deviates from or goes beyond the provisions set out in Annex 1 and clause 1.2. This also applies to the use of anonymised data.

1.5 The processing of order data shall take place exclusively within the territory of the Federal Republic of Germany, in a Member State of the European Union or in another State party to the Agreement on the European Economic Area. Any transfer to a third country requires the prior written consent of the client and may only take place if the specific conditions set out in Articles 44 to 49 of the GDPR are met.

1.6 The provisions of this contract apply to all activities related to the main contract in which CONTRIMA and its employees or persons commissioned by CONTRIMA come into contact with personal data originating from you or collected on your behalf.

2. Your authority to issue instructions

2.1 CONTRIMA shall process the contract data only within the scope of the contract and exclusively on your behalf and in accordance with your instructions within the meaning of Article 28 of the GDPR (processing on behalf of a controller); this applies in particular to the transfer of personal data to a third country. You have the sole right to issue instructions regarding the nature, scope and method of the processing activities (hereinafter also referred to as the ‘right to issue instructions’). If CONTRIMA is obliged to carry out further processing under the law of the European Union or the Member States to which it is subject, CONTRIMA shall inform you of these legal requirements prior to processing.

2.2 Instructions to CONTRIMA must, as a general rule, be given by you in writing (email address: info@contrima.com).

2.3 If CONTRIMA considers that one of your instructions contravenes data protection regulations, CONTRIMA must inform you of this without delay. CONTRIMA is entitled to suspend the implementation of the instruction in question until it is confirmed or amended by the client.

3. CONTRIMA’s protective measures

3.1 CONTRIMA is obliged to comply with the statutory provisions on data protection and not to disclose the information obtained from you to third parties or to prevent them from accessing it. Data must be secured against unauthorised access, taking into account the state of the art.

3.2 Furthermore, CONTRIMA shall require all persons entrusted by CONTRIMA with the processing and performance of this contract (hereinafter referred to as ‘employees’) to undertake in writing to maintain confidentiality (Obligation of confidentiality, Article 28(3)(b) of the GDPR) and shall ensure compliance with this obligation with due care. CONTRIMA shall provide you with evidence of this upon request.

3.3 CONTRIMA shall organise its internal operations in such a way as to meet the specific requirements of data protection. CONTRIMA undertakes to implement all appropriate technical and organisational measures to ensure the adequate protection of the commissioned data in accordance with Article 32 of the GDPR, in particular the measures set out in Annex 1 to this contract, and to maintain these for the duration of the processing of the commissioned data.

3.4 CONTRIMA reserves the right to amend the technical and organisational measures put in place, whilst ensuring that the level of protection agreed in the contract is not compromised. CONTRIMA must inform you in writing without delay if there is reason to believe that the measures set out in Annex 1 are no longer sufficient, and will consult with you regarding further technical and organisational measures.

3.5 At your request, CONTRIMA shall demonstrate compliance with the technical and organisational measures set out in Annex 1 by providing appropriate evidence.

4. Obligations to provide information and support

4.1 In the event of disruptions, suspected data breaches or breaches of CONTRIMA’s contractual obligations, suspected security incidents or other irregularities in the processing of the contract data, whether by persons employed by CONTRIMA in the context of the contract or by third parties, CONTRIMA shall inform you without delay, but at the latest within 24 hours, in writing or by electronic means. The same applies to inspections of CONTRIMA by the data protection supervisory authority. Notifications pursuant to Section 4(1), first sentence, shall in each case contain at least the information specified in Article 33(3) of the GDPR.

4.2 In the event referred to in Section 4.1, CONTRIMA shall assist you, to the extent reasonably practicable, in fulfilling its relevant obligations to provide information, take remedial action and keep you informed. In particular, CONTRIMA shall immediately implement the necessary measures to secure the data and to mitigate any potential adverse consequences for the data subjects, and shall inform you accordingly.

4.3 CONTRIMA undertakes to provide you, upon your verbal or written request and within a reasonable period, with all information and evidence necessary to carry out an audit in accordance with § 7.1 of this contract. Furthermore, at your request, CONTRIMA will provide you with a comprehensive and up-to-date data protection and security policy for the processing of personal data, as well as a list of authorised access holders.

5. Other obligations of CONTRIMA

5.1 CONTRIMA is obliged to maintain a record of all categories of processing activities carried out on your behalf in accordance with Article 30(2) of the GDPR. This record must be made available to you upon request.

5.2 Should the data processed on your behalf at CONTRIMA be at risk due to attachment or seizure, insolvency or composition proceedings, or other events or measures taken by third parties, CONTRIMA must inform you of this without delay, provided this is not prohibited by a court or official order. In this context, CONTRIMA shall immediately inform all relevant authorities that decision-making authority over the data lies exclusively with the client as the ‘controller’ within the meaning of the GDPR.

6. Subcontracting

6.1 The contractually agreed services shall be performed with the involvement of the subcontractors listed in Annex 2. CONTRIMA is authorised, within the scope of its contractual obligations, to enter into subcontracting relationships with subcontractors (‘subcontracting relationship’). Before entering into any further subcontracting relationships, CONTRIMA shall inform you in writing or by electronic means in accordance with Article 28(2) of the GDPR, giving four weeks’ notice. You may object to the change within two weeks of receiving the aforementioned notification.

6.2 A subcontracting relationship within the meaning of these provisions does not exist if CONTRIMA commissions third parties to provide services that are to be regarded as purely ancillary services. These include, for example, postal or telecommunications services with no specific connection to the services CONTRIMA provides for you, as well as other measures to ensure the confidentiality, availability, integrity and resilience of the hardware and software of data processing systems.

7. Rights of inspection

7.1 You are entitled to verify, on a regular basis, compliance with the provisions of this contract, in particular the implementation of and compliance with the technical and organisational measures set out in clause 3.3 of this agreement. To this end, you may, for example, request information, ask to be provided with certifications or internal audit reports, or have CONTRIMA’s technical and organisational measures inspected yourself during normal business hours or by a competent third party, provided that such third party is not in competition with CONTRIMA.

7.2 You shall carry out inspections only to the extent necessary and shall take due account of CONTRIMA’s operational processes. The parties shall agree in good time on the timing and nature of the inspection.

7.3 You shall document the results of the audit and notify CONTRIMA thereof. In the event of errors or irregularities which you identify, in particular when auditing the results of orders, you shall inform CONTRIMA without delay.

8. Rights of data subjects

8.1 CONTRIMA shall, where possible, support you with appropriate technical and organisational measures in fulfilling your obligations under Articles 12 to 22 and Articles 32 to 36 of the GDPR. CONTRIMA shall provide you with the requested information regarding processing data without delay, but no later than within 7 working days, unless you already have the relevant information yourself.

8.2 If a data subject exercises their rights under Articles 16 to 18 of the GDPR, CONTRIMA is obliged, on your instructions, to rectify, erase or restrict the processing of the data without undue delay, and at the latest within 7 working days. CONTRIMA will provide you with written confirmation of the erasure, rectification or restriction of the data upon request.

8.3 If a data subject exercises rights – such as the right to access, rectification or erasure of their data – directly against CONTRIMA, CONTRIMA shall forward this request to you without delay and await your instructions. CONTRIMA shall not contact the data subject without specific instructions to do so.

9. Term and Termination

9.1 The term of this contract corresponds to the term of the main contract. In case of doubt, termination of the main contract shall also be deemed to be termination of this contract, and termination of this contract shall be deemed to be termination of the main contract.

9.2 You are entitled at any time to terminate this contract extraordinarily for good cause. Good cause shall be deemed to exist if CONTRIMA fails to fulfil its obligations under this contract, breaches provisions of the GDPR intentionally or through gross negligence, or is unable or unwilling to carry out an instruction. In the case of minor breaches – i.e. those that are neither intentional nor due to gross negligence – you shall first set CONTRIMA a reasonable period within which CONTRIMA may remedy the breach. Once this period has expired without result, you shall then be entitled to terminate this contract without notice.

10. Deletion and Return upon Termination of the Contract

10.1 Upon termination of the main contract or at any time upon request, CONTRIMA shall return to you all data provided to CONTRIMA or, upon request, delete it completely and irrevocably, provided that no statutory retention period applies. This also applies to copies of the order data held by CONTRIMA, such as data backups, but not to documentation serving as evidence of the proper and compliant processing of the order data. Such documentation must be retained by CONTRIMA for the duration of the statutory retention periods.

10.2 You have the right to verify, in an appropriate manner, that the data has been returned or deleted by CONTRIMA in full and in accordance with the contract.

10.3 CONTRIMA is obliged to treat as confidential any data that has come to its knowledge in connection with the main contract, even after the main contract has ended.

11. Liability

11.1 The liability of the parties is governed by Article 82 of the GDPR. This does not affect CONTRIMA’s liability towards you for any breach of obligations arising from this contract or the main contract.

11.2 Each party shall be exempt from liability if it proves that it is in no way responsible for the circumstance that caused the damage to a data subject. Section 11(2), first sentence, shall apply mutatis mutandis in the event of a fine being imposed on a party, whereby the indemnification shall apply to the extent that the other party bears a share of the responsibility for the infringement sanctioned by the fine.

12. Final Provisions

12.1 Any amendments or additions to this agreement must be made in writing in accordance with Article 28(9) of the GDPR. This also applies to any waiver of this formal requirement.

12.2 In the event of any doubt, the provisions of this Agreement shall take precedence over those of the main contract. Should any individual provisions of this Agreement prove to be wholly or partially invalid or unenforceable, or should they become invalid or unenforceable as a result of legislative changes following the conclusion of the Agreement, this shall not affect the validity of the remaining provisions. The invalid or unenforceable provision shall be replaced by a valid and enforceable provision that comes as close as possible to the meaning and purpose of the invalid provision.

12.3 This contract is governed by the law of the Federal Republic of Germany. CONTRIMA provides these terms and conditions in a variety of language versions for the sake of clarity. In the event of any discrepancies, the English version of this Data Processing Agreement shall prevail.

Appendix 1: Technical and organisational measures

1. Technical and Organisational Security Measures

CONTRIMA is obliged to implement appropriate technical and organisational measures to ensure that the processing of the commissioned data is carried out in accordance with the statutory requirements and that the rights of the data subject are adequately safeguarded.

2. Internal Organisation

CONTRIMA shall structure its internal organisation in such a way as to meet the specific requirements of data protection. In particular, measures must be taken that are appropriate to the nature of the data or categories of data to be protected.

3. Specification of individual measures

Specifically, the following measures are set out to implement the requirements of Article 32 of the GDPR:

No.	Measure	Implementation of the measure
1	Access control	Productive data processing takes place exclusively in the AWS cloud; the physical data processing facilities there are secured by AWS (see AWS Terms of Service and certifications). Administration is carried out from an access-controlled workstation in lockable, non-publicly accessible rooms behind a firewall. There is no public access and no dedicated server rooms.
2	Access Control	System access is granted only via personal login with a username and password. Administrative and AWS accesses are protected by strong passwords and two-factor authentication. End devices are secured by operating system login, a firewall and disk encryption.
3	Access control	Role- and authorisation-based concept within the application, featuring centralised authorisation checks, server-side validation on all endpoints that modify data, protection against CSRF, and exclusively parameterised database access. At the infrastructure level, a minimum number of administrators (single-person operation) and the granting of rights in accordance with the principle of least privilege.
4	Segregation of duties	Multi-tenant logical separation of all data for each photographer via a unique owner assignment; separate production environment. Logical separation is sufficient.
5	Pseudonymisation / Data minimisation	Access for external parties via random, non-guessable tokens (permanent link). Only the data necessary for the respective purpose is collected (essentially the email address); identifying notes are deliberately kept brief and neutral.
6	Control of data disclosure	Transmission takes place exclusively via encrypted connections (TLS/HTTPS). Image and contract data are stored on encrypted object storage (S3 Server-Side Encryption). Data is transferred to subcontractors only to the extent necessary, on the basis of the Data Processing Agreement (DPA) or EU Standard Contractual Clauses.
7	Input control	Logging of audit-relevant operations at application level, in particular the acceptance of agreements and consents, including timestamps, IP addresses, device information and version hashes, as well as payment events. As the service is operated by a single person, every entry, modification and deletion can be traced back to a single individual.
8	Availability and Resilience	Database redundancy across multiple AWS zones or regions within the EU or the EEA; automated database snapshots as backups; code and server backups, as well as a pre-configured server image (AMI) for rapid recovery; additional local backup system; documented emergency and recovery plan.
9	Data Protection Management	The Managing Director of CONTRIMA GmbH is responsible. No data protection officer has been appointed, as there is no legal obligation to do so. Compliance with the information obligations under Article 13 of the GDPR during the activation process; an existing process for handling data subjects’ enquiries; and a register of processing activities maintained in accordance with Article 30 of the GDPR.
10	Incident Response Management	Firewall updated regularly; documented process for detecting and reporting data breaches in accordance with Articles 33 and 34 of the GDPR, including the immediate notification of the client.
11	Privacy-friendly default settings	Privacy by default: no data collected beyond what is necessary; image previews only with watermarks; original files provided only after authorisation has been granted; and the right to withdraw consent can be exercised easily via the user interface.
12	Contract management (sub-processors)	Careful selection; conclusion of data processing agreements or EU Standard Contractual Clauses (Module 3) with all sub-processors, with appropriate safeguards where third countries are involved; notification of the client prior to engaging or replacing sub-processors; ensuring data erasure upon termination of the contract. Currently used: Stripe (payment processing), Amazon Web Services (hosting/storage), DeepL (translation of advert copy).

Appendix 2: Appointed Sub-processors

Sub-processors included under clause 6.1 of the agreement, to the use of whom you consent:

Subcontractor (name, address or registered office)	Scope of services within the framework of data processing
Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock , Dublin, D02 H210, Ireland (“Stripe”)	Payment processing; in the event of a sale, the purchaser’s payment, identity and transaction data (see also clause 6 of Privacy Policy)
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (“AWS”)	Web and database hosting ; storage and processing of image data (originals, variants, archive, exports), including EXIF metadata. Email services (see also section 6 of Privacy Policy)
DeepL SE , Maarweg 165 , 50825 Cologne (“DeepL”)	Where applicable, translation of the recognition note and, where applicable, the collection name into the language of the permanent link (see also 6. from Privacy Policy)