Zaloguj się

Umowa powierzenia przetwarzania danych osobowych

Wersja z dnia

Stronami umowy powierzenia przetwarzania danych osobowych (dalej „Umowa powierzenia”) są: Klient jako administrator danych (dalej „Administrator”) oraz Marcin Baszewski, osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy z dnia 6 marca 2018 r. Prawo przedsiębiorców, adres: ul. Konstytucji 3 Maja 8/12, 75-821 Koszalin jako podmiot przetwarzający (dalej „Podmiot przetwarzający”), łącznie „Strony”.

Umowa powierzenia jest załącznikiem do dokumentu Regulamin i jest zawierana razem z Umową o świadczenie Usługi, w sposób określony w § 5 Regulaminu.

§ 1.Definicje

  1. Pojęcia użyte w Umowie powierzenia oznaczają:
    1. RODO: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.
    2. Dane: dane osobowe przetwarzane w Instancji w imieniu Administratora, opisane w § 4.
    3. Klient końcowy: osoba, która kupuje albo zamierza kupić towary lub usługi Administratora, w tym odbiorca przesyłki i nabywca na fakturze.
    4. Dalszy podmiot przetwarzający: podmiot, któremu Podmiot przetwarzający powierza przetwarzanie Danych w imieniu Administratora.
    5. Naruszenie: naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych.
    6. Pozostałe pojęcia pisane wielką literą (np. Usługa, Umowa, Instancja, Panel, Użytkownik, Klucz API, Integracja, Dostawca zewnętrzny, Dzień roboczy) mają znaczenie nadane im w Regulaminie.

§ 2.Powierzenie

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w zakresie i celu określonych w Umowie powierzenia, a Podmiot przetwarzający przetwarza je zgodnie z Umową powierzenia, RODO i innymi przepisami o ochronie danych osobowych.
  2. Administrator oświadcza, że jest administratorem Danych albo działa z upoważnienia administratora i ma podstawę prawną do przetwarzania i powierzenia Danych.
  3. Wynagrodzeniem za wykonywanie Umowy powierzenia są opłaty z Cennika. Umowa powierzenia nie przewiduje odrębnego wynagrodzenia.
  4. W sprawach przetwarzania Danych, w tym poleceń, pytań o środki bezpieczeństwa, żądań osób, których dane dotyczą, i podejrzenia Naruszenia, Administrator kontaktuje się z Podmiotem przetwarzającym e-mailem na adres [email protected].

§ 3.Przedmiot, charakter, cel i czas przetwarzania

  1. Przedmiotem przetwarzania są Dane wprowadzone do Instancji przez Administratora i Użytkowników, pobrane do niej przez Integracje i API albo wytworzone w Instancji, np. w fakturach, etykietach i wydrukach.
  2. Przetwarzanie obejmuje:
    1. przechowywanie Danych w bazie danych i magazynie plików Instancji,
    2. pobieranie Danych od Dostawców zewnętrznych i przekazywanie im Danych w ramach Integracji uruchomionych przez Administratora,
    3. porządkowanie, wyszukiwanie, przeglądanie, zmienianie i łączenie Danych w funkcjach Instancji,
    4. tworzenie dokumentów: faktur, etykiet, wydruków i plików eksportu,
    5. wykonywanie reguł automatów skonfigurowanych przez Administratora,
    6. udostępnianie Danych przez API osobom i programom korzystającym z Kluczy API wydanych przez Administratora,
    7. tworzenie kopii zapasowych i odtwarzanie z nich Danych,
    8. usuwanie Danych.
  3. Celem przetwarzania jest wyłącznie świadczenie Usługi na rzecz Administratora zgodnie z Regulaminem, w tym pomoc techniczna oraz zapewnienie bezpieczeństwa i ciągłości działania Usługi.
  4. Dane są przetwarzane przez czas trwania Umowy, a po jej rozwiązaniu przez czas potrzebny do eksportu i usunięcia Danych zgodnie z § 12.

§ 4.Kategorie osób i Danych

  1. Powierzenie obejmuje dane następujących kategorii osób:
    1. Klienci końcowi Administratora: kupujący, odbiorcy przesyłek, nabywcy na fakturach, osoby zgłaszające zwroty i osoby, które korespondują z Administratorem przez Integracje,
    2. Użytkownicy: pracownicy i współpracownicy Administratora,
    3. kontrahenci Administratora i ich pracownicy, jeżeli Administrator wprowadzi ich dane do Instancji.
  2. Powierzenie obejmuje następujące kategorie Danych:
    1. dane identyfikacyjne i kontaktowe: imię i nazwisko, nazwa firmy, login w serwisie sprzedażowym, adres e-mail (także adres pośredniczący nadany przez serwis sprzedażowy), numer telefonu,
    2. adresy: dostawy, do faktury, wybrany punkt odbioru,
    3. NIP i inne dane potrzebne do faktury,
    4. dane zamówień: produkty, ilości, ceny i kwoty, sposób dostawy i płatności, stan płatności i realizacji, uwagi kupującego, notatki Użytkowników,
    5. dane przesyłek: numery nadania, statusy, dane na etykietach,
    6. dane faktur i korekt, w tym numery nadane w KSeF,
    7. dane zwrotów: zwracane produkty, powody zwrotu, stan zwrotu pieniędzy,
    8. treść wiadomości wymienianych z Klientami końcowymi przez Integracje i ich załączniki,
    9. dane Użytkowników: imię, adres e-mail, rola i uprawnienia, skrót hasła, dane logowania dwuetapowego, sesje (adres IP, przeglądarka, czas), historia działań w Instancji.
  3. Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO) i nie wprowadza ich do Instancji. Usługa nie jest przeznaczona do ich przetwarzania.
  4. Zakres Danych w Instancji zależy od konfiguracji i Integracji wybranych przez Administratora.

§ 5.Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający:
    1. przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania ich do państwa trzeciego, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego; wtedy przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania tego z uwagi na ważny interes publiczny,
    2. zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy,
    3. stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w § 6,
    4. korzysta z Dalszych podmiotów przetwarzających wyłącznie na zasadach z § 7,
    5. pomaga Administratorowi, za pomocą odpowiednich środków technicznych i organizacyjnych, wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (§ 9),
    6. pomaga Administratorowi wywiązywać się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje,
    7. po zakończeniu świadczenia Usługi usuwa albo zwraca Dane zgodnie z § 12,
    8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach § 11.
  2. Udokumentowanym poleceniem Administratora są Regulamin, Umowa powierzenia, konfiguracja Instancji i działania wykonane przez Użytkowników i za pomocą Kluczy API (np. uruchomienie Integracji, reguła automatu, eksport, usunięcie), a także polecenia wysłane e-mailem przez osobę uprawnioną do reprezentowania Administratora.
  3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
  4. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO, jeżeli ma taki obowiązek.
  5. Podmiot przetwarzający nie wykorzystuje Danych do własnych celów, w szczególności do trenowania modeli sztucznej inteligencji, analiz marketingowych ani sprzedaży danych.

§ 6.Bezpieczeństwo Danych

  1. Uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób, Podmiot przetwarzający stosuje co najmniej następujące środki:
    1. odrębna Instancja dla każdego klienta, z własną bazą danych i własnym użytkownikiem bazy danych bez dostępu do baz innych klientów, oraz odrębny magazyn plików,
    2. serwery w Niemczech, w centrum danych z certyfikatem ISO/IEC 27001,
    3. szyfrowanie transmisji (TLS) między przeglądarką a Instancją oraz między Instancją a Dostawcami zewnętrznymi,
    4. hasła przechowywane wyłącznie jako skrót algorytmem argon2id, logowanie dwuetapowe (TOTP) z możliwością wymuszenia dla wszystkich Użytkowników, limity prób logowania i kodów, lista sesji z możliwością wylogowania ze wszystkich urządzeń,
    5. role i uprawnienia Użytkowników do modułów oraz Klucze API z zakresem uprawnień, terminem ważności i dziennikiem wywołań,
    6. dane uwierzytelniające Integracji (tokeny) szyfrowane algorytmem AES-256-GCM,
    7. kopie zapasowe bazy danych Instancji wykonywane co godzinę, szyfrowane przed wysłaniem i przechowywane do 30 dni u innego dostawcy niż serwer Instancji,
    8. dodatkowa kopia techniczna baz danych na dysku serwera Instancji, nadpisywana i przechowywana do 2 dni,
    9. kopie plików Instancji wykonywane co noc do innej lokalizacji (Warszawa), z wersjonowaniem i blokadą usunięcia przez 90 dni; pliki usunięte w Instancji w trakcie Umowy pozostają w kopii plików do zakończenia Umowy, a po nim są usuwane w terminie z § 12 ust. 3,
    10. próby odtworzenia danych z kopii zapasowych,
    11. całodobowy monitoring dostępności Instancji i serwerów z osobnego serwera u innego dostawcy, z powiadomieniami o awariach,
    12. zapora sieciowa przyjmująca ruch HTTP i HTTPS wyłącznie z sieci Cloudflare, logowanie administracyjne do serwerów wyłącznie kluczem SSH, automatyczne aktualizacje bezpieczeństwa systemu i blokowanie powtarzanych nieudanych prób logowania,
    13. dostęp administracyjny do serwerów i kopii zapasowych tylko dla Podmiotu przetwarzającego, z danymi dostępowymi i kluczem szyfrowania kopii w menedżerze haseł i w kopii offline,
    14. przeglądy bezpieczeństwa kodu Usługi, niezwłoczne usuwanie wykrytych podatności i testy automatyczne kontroli dostępu do każdej operacji API.
  2. Podmiot przetwarzający regularnie testuje, mierzy i ocenia skuteczność środków i może je zmieniać, jeżeli nie obniża to ogólnego poziomu bezpieczeństwa Danych.
  3. Administrator odpowiada za środki bezpieczeństwa po swojej stronie: nadawanie uprawnień Użytkownikom, włączenie logowania dwuetapowego, ochronę haseł i Kluczy API oraz bezpieczeństwo urządzeń Użytkowników.

§ 7.Dalsze podmioty przetwarzające

  1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z Dalszych podmiotów przetwarzających. Ich lista w dniu zawarcia Umowy powierzenia stanowi Załącznik nr 1, część A.
  2. O zamiarze dodania lub zastąpienia Dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę ze skutkiem na dzień przed wprowadzeniem zmiany.
  3. Gdy zmiana jest pilnie potrzebna dla ciągłości lub bezpieczeństwa Usługi, np. po awarii dostawcy, Podmiot przetwarzający może ją wprowadzić wcześniej, informując Administratora niezwłocznie. Uprawnienia z ust. 2 przysługują wtedy Administratorowi od otrzymania informacji.
  4. Podmiot przetwarzający nakłada na Dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych odpowiadające Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeżeli Dalszy podmiot przetwarzający nie wywiąże się ze swoich obowiązków, pełna odpowiedzialność wobec Administratora spoczywa na Podmiocie przetwarzającym (art. 28 ust. 4 RODO).
  5. Dostawcy zewnętrzni, z którymi Administrator łączy Instancję w Integracjach (np. Allegro, KSeF, PrintNode), oraz odbiorcy, do których Instancja wysyła Dane z woli Administratora (np. adresy wywoływane w regułach automatów albo programy korzystające z Kluczy API), nie są Dalszymi podmiotami przetwarzającymi. Dane trafiają do nich na polecenie Administratora, a relacje z nimi należą do Administratora. Przykłady wymienia Załącznik nr 1, część B.

§ 8.Przekazywanie Danych poza EOG

  1. Instancja, jej baza danych, pliki i kopie zapasowe znajdują się na serwerach w Unii Europejskiej (Niemcy i Polska).
  2. Podmiot przetwarzający może przekazać Dane do państwa spoza Europejskiego Obszaru Gospodarczego wyłącznie przez Dalszy podmiot przetwarzający wymieniony w Załączniku nr 1 i tylko gdy spełniony jest jeden z warunków z rozdziału V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych.
  3. Ruch do Instancji przechodzi przez sieć Cloudflare, Inc., której serwery mogą znajdować się poza Europejskim Obszarem Gospodarczym. Cloudflare przetwarza Dane w tranzycie, aby je dostarczyć i chronić Instancję przed atakami.

§ 9.Prawa osób, których dane dotyczą

  1. Panel daje Administratorowi funkcje, którymi może sam realizować żądania osób, w szczególności wyszukiwanie, wgląd i eksport Danych oraz ich poprawianie i usuwanie w zakresie funkcji Panelu. Dane zamówień, wiadomości i zwrotów pobrane z Integracji Podmiot przetwarzający usuwa albo anonimizuje w trybie ust. 3, na polecenie Administratora wysłane e-mailem (§ 5 ust. 2), w terminie 14 dni od jego otrzymania. Faktury i inne Dane, których przechowywania wymagają przepisy prawa, nie są usuwane ani anonimizowane.
  2. Jeżeli osoba zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 3 Dni roboczych, i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
  3. Na prośbę Administratora Podmiot przetwarzający pomaga zrealizować żądanie, którego Administrator nie może zrealizować funkcjami Panelu.

§ 10.Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres właściciela Instancji i adres podany przy zawarciu Umowy.
  2. Nie później niż w ciągu 48 godzin od stwierdzenia Naruszenia Podmiot przetwarzający przekazuje Administratorowi, w zakresie, w jakim są dostępne:
    1. opis charakteru Naruszenia, w tym kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy,
    2. imię, nazwisko i dane kontaktowe osoby, od której można uzyskać więcej informacji,
    3. opis możliwych konsekwencji Naruszenia,
    4. opis środków zastosowanych lub proponowanych w celu zaradzenia Naruszeniu i zmniejszenia jego skutków.
  3. Informacje, których nie da się przekazać w terminie z ust. 2, Podmiot przetwarzający przekazuje sukcesywnie, bez zbędnej zwłoki.
  4. Podmiot przetwarzający niezwłocznie podejmuje działania ograniczające skutki Naruszenia, dokumentuje Naruszenia i współpracuje z Administratorem przy zgłoszeniu Naruszenia organowi nadzorczemu i zawiadomieniu osób (art. 33 i 34 RODO). Zgłoszenia organowi nadzorczemu dokonuje Administrator.
  5. Informacje i pytania dotyczące Naruszenia Administrator kieruje do Podmiotu przetwarzającego na adres [email protected].

§ 11.Informacje i audyt

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, przede wszystkim w formie pisemnych wyjaśnień, opisu zabezpieczeń i odpowiedzi na pytania, w terminie 14 dni od prośby.
  2. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez niezależnego audytora zobowiązanego do zachowania poufności, nie częściej niż raz w roku, a ponadto po Naruszeniu. Administrator zawiadamia o audycie co najmniej 14 dni wcześniej, a termin i zakres Strony uzgadniają.
  3. Audyt odbywa się w Dni robocze, nie zakłóca działania Usługi i nie obejmuje dostępu do danych innych klientów ani informacji, których ujawnienie zagroziłoby bezpieczeństwu Usługi. W odniesieniu do infrastruktury Dalszych podmiotów przetwarzających audyt zastępują ich certyfikaty i raporty, np. ISO/IEC 27001.
  4. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy powierzenia przez Podmiot przetwarzający.
  5. Podmiot przetwarzający usuwa uchybienia stwierdzone w audycie w uzgodnionym terminie.

§ 12.Usunięcie i zwrot Danych

  1. Po rozwiązaniu Umowy Administrator ma przez 30 dni dostęp do Instancji w celu eksportu Danych i może w tym czasie zażądać przekazania pełnej kopii bazy danych i plików Instancji, zgodnie z § 14 ust. 2 Regulaminu. Od rozwiązania Umowy Podmiot przetwarzający odłącza Integracje i wyłącza automaty, więc Instancja nie pobiera ani nie przekazuje Danych Dostawcom zewnętrznym.
  2. Po upływie tego okresu Podmiot przetwarzający usuwa Dane z Instancji, jej bazy danych i magazynu plików, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich dalsze przechowywanie.
  3. Dane w kopiach zapasowych są usuwane w ramach ich rotacji: w kopiach bazy danych najpóźniej po 30 dniach, a w kopiach plików najpóźniej w ciągu 120 dni od usunięcia Instancji, po upływie blokady usunięcia. Do tego czasu kopie są chronione tak jak Dane i nie są używane, chyba że do odtworzenia Danych na żądanie Administratora.
  4. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie Danych e-mailem.

§ 13.Odpowiedzialność

  1. Za szkody wyrządzone osobom, których dane dotyczą, Strony odpowiadają zgodnie z art. 82 RODO.
  2. Podmiot przetwarzający odpowiada wobec Administratora za szkody wynikające z przetwarzania Danych niezgodnie z Umową powierzenia lub RODO. W stosunkach między Stronami stosuje się ograniczenia odpowiedzialności z § 16 Regulaminu w zakresie dopuszczalnym przez przepisy.
  3. Podmiot przetwarzający nie odpowiada za przetwarzanie zgodne z poleceniami Administratora, w tym za przekazanie Danych Dostawcom zewnętrznym i odbiorcom wskazanym przez Administratora.

§ 14.Czas trwania i postanowienia końcowe

  1. Umowa powierzenia obowiązuje przez czas trwania Umowy, a po jej rozwiązaniu do usunięcia Danych zgodnie z § 12.
  2. W sprawach ochrony danych osobowych postanowienia Umowy powierzenia mają pierwszeństwo przed Regulaminem.
  3. Lista Dalszych podmiotów przetwarzających zmienia się w trybie § 7, a pozostałe postanowienia Umowy powierzenia w trybie zmiany Regulaminu (§ 21 Regulaminu).
  4. Przeniesienie Umowy przez Usługodawcę na zasadach § 22 ust. 4 i 5 Regulaminu obejmuje Umowę powierzenia. Nowy usługodawca wstępuje w prawa i obowiązki Podmiotu przetwarzającego bez zmiany jej warunków.
  5. Umowa powierzenia jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO). Na żądanie Administratora Strony podpiszą jej egzemplarz.
  6. Umowa powierzenia podlega prawu polskiemu. W sprawach nieuregulowanych stosuje się Regulamin, RODO i ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych.

Załącznik nr 1Dalsze podmioty przetwarzające i odbiorcy

  1. Część A. Dalsze podmioty przetwarzające:

    • OVH Sp. z o.o., ul. Powstańców Śląskich 9, 53-332 Wrocław (OVHcloud)

      Zakres: serwer, na którym działają Instancje i ich bazy danych; magazyn obiektów z kopiami plików Instancji.

      Miejsce: Limburg (Niemcy), kopie plików Warszawa (Polska).

      Przekazywanie poza EOG: nie.

    • Hetzner Online GmbH, Gunzenhausen (Niemcy)

      Zakres: magazyn plików Instancji (zdjęcia produktów, faktury, etykiety, wydruki), zaszyfrowane kopie zapasowe baz danych, serwer monitoringu sprawdzający dostępność Instancji bez dostępu do Danych.

      Miejsce: Norymberga i Falkenstein (Niemcy).

      Przekazywanie poza EOG: nie.

    • Cloudflare, Inc., San Francisco (USA)

      Zakres: DNS i pośredniczenie w ruchu do Instancji (proxy) z szyfrowaniem i ochroną przed atakami; Dane przechodzą przez sieć Cloudflare w tranzycie.

      Miejsce: globalna sieć Cloudflare, także poza EOG.

      Podstawa przekazania: EU-US Data Privacy Framework albo standardowe klauzule umowne.

    • Google (usługa Gmail)

      Zakres: skrzynka obsługująca adresy [email protected], [email protected] i [email protected]; Dane tylko wtedy, gdy Administrator lub Użytkownicy prześlą je w korespondencji, np. w zgłoszeniu błędu.

      Miejsce: infrastruktura Google, także poza EOG.

      Podstawa przekazania: EU-US Data Privacy Framework albo standardowe klauzule umowne.

    • Discord

      Zakres: prywatny kanał Administratora w społeczności Programu beta; Dane tylko wtedy, gdy Administrator lub Użytkownicy przekażą je w zgłoszeniu.

      Miejsce: infrastruktura Discord, także poza EOG.

      Podstawa przekazania: EU-US Data Privacy Framework albo standardowe klauzule umowne.

  2. Część B. Odbiorcy wskazywani przez Administratora, którzy nie są Dalszymi podmiotami przetwarzającymi (§ 7 ust. 5):

    • Allegro.pl sp. z o.o., Poznań

      Integracja z kontem Administratora w Allegro: pobieranie zamówień, zwrotów i wiadomości, przekazywanie numerów przesyłek, stanów i cen, nadawanie przesyłek.

    • Krajowy System e-Faktur (Ministerstwo Finansów)

      Przesyłanie faktur wystawionych w Instancji, z użyciem tokenu Administratora.

    • PrintNode

      Druk etykiet i dokumentów na drukarkach Administratora przez jego konto PrintNode.

    • Inni odbiorcy z konfiguracji Instancji

      Adresy wywoływane w regułach automatów, programy korzystające z Kluczy API, odbiorcy plików i adresów eksportu produktów.