Umowa powierzenia przetwarzania danych osobowych

Strony

Administrator:   (firma), z siedzibą:  , NIP:  , reprezentowany przez:   („Administrator”, „Klient”),

Podmiot przetwarzający: Konrad Bejger, prowadzący jednoosobową działalność gospodarczą pod firmą „Konrad Bejger”, wpisaną do CEIDG, ul. Magellana 6/64, 80-288 Gdańsk, Polska, NIP 8781795948, REGON 367501781, e-mail: [DO UZUPEŁNIENIA: e-mail kontaktowy] („Podmiot przetwarzający”, „Footler”).

§ 1. Definicje i przedmiot umowy

1. Pojęcia „dane osobowe”, „przetwarzanie”, „naruszenie ochrony danych osobowych” i inne mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 („RODO”). „Umowa główna” to umowa o świadczenie usług Footler zawarta na podstawie Regulaminu, a „Usługa” – usługi świadczone na jej podstawie.
2. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w Umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami o ochronie danych.

§ 2. Charakter, cel i zakres przetwarzania

1. Cel: świadczenie Usługi – tworzenie, przechowywanie i hostowanie stopek e-mail (obrazków PNG i animowanych GIF-ów) oraz wizytówek online osób wskazanych przez Administratora, nagrywanie animacji, wysyłka wiadomości e-mail związanych z Usługą, licznik otwarć wizytówek i pomoc przy instalacji stopek.
2. Charakter: zbieranie (wprowadzanie danych przez Administratora), przechowywanie, porządkowanie, adaptowanie (generowanie obrazków i animacji), udostępnianie (publiczne udostępnianie stopek i wizytówek pod linkami, które Administrator umieszcza w swoich wiadomościach) i usuwanie, a w funkcjach opartych na AI – analiza.
3. Kategorie osób: pracownicy, współpracownicy, zleceniobiorcy i inne osoby, których stopki Administrator tworzy w Panelu, oraz osoby kontaktowe Administratora.
4. Kategorie danych: imię i nazwisko, stanowisko, numery telefonów, adres e-mail, profile w mediach społecznościowych (np. LinkedIn), zdjęcie, slogan i inne teksty stopki, dane firmy (nazwa, adres, strona, logo) oraz liczba otwarć wizytówki.
5. Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO).
6. Czas: przez czas trwania Umowy głównej, a po jej zakończeniu – do usunięcia albo zwrotu danych zgodnie z § 9.

§ 3. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w sprawie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania wynika z przepisów prawa – wtedy przed rozpoczęciem przetwarzania informuje o nim Administratora, jeśli prawo tego nie zabrania. Poleceniem są Umowa, Regulamin i działania Administratora w Panelu (np. dodanie osoby, zmiana danych, wybór wzoru).
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy.
4. Podmiot przetwarzający stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w Załączniku 2.
5. Podmiot przetwarzający pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą (rozdział III RODO): przez funkcje Panelu (edycja i usuwanie osób) oraz odpowiadając na prośby Administratora w ciągu 7 dni. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki.
6. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje.
7. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania, jeśli wymaga tego art. 30 ust. 2 RODO.

§ 4. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku 1.
2. O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeśli strony się nie porozumieją, Administrator może wypowiedzieć Umowę główną bez dodatkowych kosztów.
3. Podmiot przetwarzający nakłada na dalszych podmiotów przetwarzających w drodze umowy te same obowiązki ochrony danych co w Umowie i odpowiada za ich działania jak za własne.

§ 5. Przekazywanie danych poza EOG

Dane mogą być przekazywane do państw spoza Europejskiego Obszaru Gospodarczego tylko z zabezpieczeniami z rozdziału V RODO, wskazanymi w Załączniku 1.

§ 6. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera co najmniej informacje z art. 33 ust. 3 RODO, w miarę ich dostępności; brakujące informacje Podmiot przetwarzający przekazuje niezwłocznie, gdy je uzyska.
3. Podmiot przetwarzający współpracuje z Administratorem przy wyjaśnianiu naruszenia i ograniczaniu jego skutków.

§ 7. Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator albo upoważniony przez niego audytor zobowiązany do zachowania tajemnicy może przeprowadzić audyt lub inspekcję po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, nie częściej niż raz na 12 miesięcy (chyba że doszło do naruszenia albo żąda tego organ nadzorczy), w dni robocze i bez dostępu do danych innych klientów. W pierwszej kolejności audyt odbywa się przez pisemne pytania i dokumenty.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Podmiot przetwarzający.

§ 8. Obowiązki Administratora

Administrator zapewnia, że ma podstawę prawną do przetwarzania powierzonych danych i do ich publicznego udostępnienia w stopkach i wizytówkach, że poinformował o tym osoby, których dane dotyczą (art. 13 i 14 RODO), i że dane są prawidłowe.

§ 9. Usunięcie lub zwrot danych

1. Po zakończeniu Umowy głównej Podmiot przetwarzający – według wyboru Administratora – usuwa powierzone dane albo zwraca je w formie elektronicznej (np. CSV albo JSON) i usuwa ich kopie, w ciągu 30 dni, chyba że przepisy prawa nakazują dalsze przechowywanie.
2. Dane w kopiach zapasowych, jeśli są tworzone, są usuwane w ramach ich rotacji, najpóźniej w ciągu 90 dni.
3. Po usunięciu danych stopki i wizytówki przestają być dostępne pod dotychczasowymi linkami.

§ 10. Odpowiedzialność

Strony odpowiadają zgodnie z art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Regulaminu o odpowiedzialności, w granicach dopuszczalnych przez RODO.

§ 11. Postanowienia końcowe

1. Umowa obowiązuje przez czas trwania Umowy głównej i do wykonania obowiązków z § 9.
2. W sprawach ochrony danych osobowych Umowa ma pierwszeństwo przed Regulaminem.
3. Zmiany Umowy wymagają formy dokumentowej albo trybu zmiany Regulaminu.
4. Do Umowy stosuje się prawo polskie. Spory rozstrzyga sąd wskazany w Regulaminie. W razie rozbieżności między wersją polską a angielską rozstrzyga wersja polska.

Załącznik 1. Dalsze podmioty przetwarzające

Załącznik 2. Środki techniczne i organizacyjne

• szyfrowanie połączeń (HTTPS/TLS);
• hasła przechowywane wyłącznie jako skróty scrypt z solą; identyfikatory sesji przechowywane jako skróty; cookie sesji HttpOnly, SameSite i Secure;
• losowe, długie i trudne do odgadnięcia linki do paneli, wizytówek i stron z propozycjami;
• kontrola dostępu do Panelu: konto z hasłem ustawionym po potwierdzeniu adresu e-mail albo prywatny klucz;
• limity zapytań i ochrona przed nadużyciami; weryfikacja nadawców poczty przychodzącej (DKIM, DMARC);
• ochrona przed odczytem adresów sieci prywatnych przy pobieraniu stron internetowych, z limitami rozmiaru i czasu;
• treść odebranych wiadomości e-mail traktowana jako niezaufana – nigdy nie jest wyświetlana jako HTML na stronach Usługi;
• minimalizacja danych: do modelu AI trafiają tylko dane potrzebne do danego zadania; Usługa nie zapisuje, kto i kiedy wyświetlił stopkę;
• dostęp do danych produkcyjnych tylko dla Podmiotu przetwarzającego i upoważnionych osób zobowiązanych do zachowania tajemnicy;
• infrastruktura u dostawcy hostingu z zabezpieczeniami fizycznymi i sieciowymi centrów danych;
• regularne aktualizacje oprogramowania i procedura obsługi naruszeń (§ 6).