Umowa powierzenia przetwarzania danych osobowych

01Strony, zakres i pierwszeństwo

1. Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) zostaje zawarta między Klientem („Administrator”) a [●] („Podmiot przetwarzający”) i stanowi integralną część Regulaminu („Umowa główna”). Obowiązuje od chwili zawarcia Umowy głównej, bez odrębnego podpisu; podpisany egzemplarz przekażemy na żądanie.
2. Dotyczy danych osobowych, które Administrator lub jego Użytkownicy wprowadzają, przesyłają lub w inny sposób udostępniają w Usłudze („Dane osobowe Administratora”).
3. Jeżeli Klient przetwarza te dane w imieniu własnego klienta (jako podmiot przetwarzający), a Podmiot przetwarzający jest jego dalszym podmiotem przetwarzającym, Klient zapewnia, że jego polecenia są zgodne z poleceniami jego administratora.
4. W razie sprzeczności w zakresie danych osobowych Umowa powierzenia ma pierwszeństwo przed Regulaminem; standardowe klauzule umowne, jeśli mają zastosowanie, mają pierwszeństwo przed oboma.

02Przedmiot, charakter, cel i czas trwania

Przedmiotem jest powierzenie przetwarzania Danych osobowych Administratora w celu świadczenia Usługi: hostowania, przechowywania, porządkowania, wyświetlania, wyszukiwania, przesyłania (e-mail, SMS, webhooki), tworzenia kopii zapasowych i usuwania danych oraz świadczenia wsparcia i zapewnienia bezpieczeństwa. Przetwarzanie trwa przez okres obowiązywania Umowy głównej oraz okres niezbędny do zwrotu lub usunięcia danych (sekcja 10). Szczegóły: załącznik nr 1.

03Polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są: Umowa główna i Umowa powierzenia, korzystanie przez Administratora z funkcji Usługi (konfiguracja, wprowadzanie danych, automatyzacje, integracje) oraz uzasadnione polecenia pisemne zgodne z Usługą.
2. Jeżeli prawo UE lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania w innym zakresie, poinformuje on o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych (art. 28 ust. 3 lit. h RODO).
4. Podmiot przetwarzający nie przetwarza Danych osobowych Administratora do własnych celów, z wyjątkiem: świadczenia, utrzymania i zabezpieczenia Usługi; sporządzania statystyk eksploatacyjnych niezawierających treści danych Administratora; wypełniania obowiązków prawnych.

04Poufność i personel

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania są zobowiązane do zachowania poufności (także po ustaniu współpracy), mają dostęp do danych tylko w zakresie niezbędnym do wykonywania obowiązków i są przeszkolone w zakresie ochrony danych.

05Bezpieczeństwo

Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w załączniku nr 2, odpowiednie do ryzyka (art. 32 RODO). Może je aktualizować, o ile nie obniży ogólnego poziomu ochrony.

06Dalsze powierzenie

1. Administrator wyraża ogólną pisemną zgodę na korzystanie z dalszych podmiotów przetwarzających wymienionych w załączniku nr 3.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora z co najmniej 30-dniowym wyprzedzeniem (e-mailem na adres właściciela przestrzeni roboczej albo aktualizując załącznik nr 3). Administrator może w ciągu 14 dni zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych.
3. Jeżeli strony nie rozstrzygną sprzeciwu, Administrator może wypowiedzieć dotknięty nim element Usługi, a Podmiot przetwarzający zwróci opłaty za okres po wypowiedzeniu.
4. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki co najmniej równoważne obowiązkom z Umowy powierzenia i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).

07Pomoc Administratorowi

1. Żądania osób, których dane dotyczą: Podmiot przetwarzający w ciągu 5 dni roboczych przekazuje Administratorowi otrzymane żądanie, nie odpowiadając co do meritum, oraz udostępnia funkcje umożliwiające realizację żądań (wyszukiwanie, eksport, edycja, usuwanie).
2. Ocena skutków i konsultacje: na wniosek udostępnia informacje potrzebne do oceny skutków dla ochrony danych i konsultacji z organem nadzorczym (art. 35–36 RODO).
3. Naruszenia: informuje Administratora o stwierdzeniu naruszenia ochrony Danych osobowych Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, podając dostępne informacje (charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki, podjęte środki), oraz współpracuje przy jego wyjaśnieniu.
4. Pomoc jest częścią Usługi i nie wiąże się z odrębną opłatą; jeżeli wymaga nieproporcjonalnego nakładu pracy, strony uzgodnią z góry rozsądne wynagrodzenie.

08Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania wykonania obowiązków z art. 28 RODO.
2. Administrator (lub niezależny audytor związany tajemnicą) może przeprowadzić audyt nie częściej niż raz na 12 miesięcy (oraz po naruszeniu ochrony danych), po powiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania działalności i bez dostępu do danych innych klientów. Koszty audytu ponosi Administrator.
3. Podmiot przetwarzający może spełnić obowiązek, przedstawiając aktualne niezależne raporty lub certyfikaty albo wypełniając kwestionariusz. Uprawnienia organu nadzorczego pozostają bez zmian.

09Przekazywanie danych do państw trzecich

Podmiot przetwarzający dąży do przetwarzania danych w Europejskim Obszarze Gospodarczym; miejsca przetwarzania każdego dalszego podmiotu wskazuje załącznik nr 3. Przekazanie poza EOG następuje tylko na udokumentowane polecenie i z zachowaniem zabezpieczeń z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne lub inne podstawy).

10Zwrot i usunięcie danych

Po zakończeniu Umowy głównej Administrator może przez 30 dni wyeksportować dane przy użyciu funkcji Usługi. Następnie Podmiot przetwarzający nieodwracalnie usuwa Dane osobowe Administratora z systemów produkcyjnych; kopie zapasowe są nadpisywane w cyklu nieprzekraczającym 35 dni. Na żądanie potwierdza usunięcie. Wyjątek stanowią dane, które Podmiot przetwarzający musi przechowywać na podstawie przepisów prawa.

11Odpowiedzialność

Odpowiedzialność stron regulują postanowienia Umowy głównej, bez uszczerbku dla praw osób, których dane dotyczą, wynikających z art. 82 RODO.

12Czas trwania i postanowienia końcowe

Umowa powierzenia obowiązuje, dopóki Podmiot przetwarzający przetwarza Dane osobowe Administratora. Podlega prawu polskiemu, a spory rozstrzygają sądy zgodnie z Umową główną. Zmiany następują w trybie zmiany Regulaminu (sekcja 14 Regulaminu) lub na piśmie.

Załącznik nr 1 — Opis przetwarzania

Załącznik nr 2 — Środki techniczne i organizacyjne

• Kontrola dostępu i uwierzytelnianie: hasła przechowywane jako skróty Argon2id; uwierzytelnianie wieloskładnikowe (aplikacja TOTP, kod SMS, passkeys, kody zapasowe) z możliwością wymuszenia go dla całego zespołu; polityka sesji z limitem bezwzględnym i limitem bezczynności, powiadomienia o logowaniu z nowego urządzenia, zdalne unieważnianie sesji, opcjonalna lista dozwolonych adresów IP; role i uprawnienia użytkowników (właściciel, administrator, menedżer, wykonawca, obserwator).
• Szyfrowanie: transmisja szyfrowana (TLS); sekrety w bazie (klucze API, hasła skrzynek pocztowych, sekrety webhooków i TOTP) szyfrowane algorytmem AES-256-GCM z kluczem przechowywanym poza bazą danych.
• Separacja danych: każdy rekord jest przypisany do identyfikatora firmy klienta, a dostęp jest egzekwowany po stronie serwera.
• Rejestrowanie i rozliczalność: dziennik zmian, którego nie można edytować ani usuwać przez interfejs (kto, co, kiedy, adres IP), oraz dziennik logowań; możliwość przywracania usuniętych rekordów (miękkie usuwanie).
• Ochrona przed nadużyciami: ograniczanie liczby prób (rate limiting); blokada połączeń wychodzących (webhooki, skrzynki pocztowe) do sieci prywatnych i wewnętrznych; klucze API przechowywane wyłącznie jako skróty i pokazywane jednorazowo.
• Ciągłość działania: regularne kopie zapasowe bazy danych i plików; rozdzielenie procesów interfejsu i zadań w tle.
• Organizacja: zobowiązania do poufności, zasada minimalnych uprawnień, procedura obsługi incydentów i zgłaszania naruszeń, ocena dostawców, procedura usuwania danych.

Załącznik nr 3 — Dalsze podmioty przetwarzające

Podmiot przetwarzający korzysta z następujących dalszych podmiotów przetwarzających:

Usługi, które Administrator sam podłącza do Usługi — m.in. własne konto Stripe (płatności za rezerwacje), własna skrzynka pocztowa (IMAP/SMTP), HubSpot lub Pipedrive (migracja), punkty końcowe webhooków — nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego; Administrator odpowiada za umowy z nimi.