Załącznik nr 1 do Regulaminu Aplikacji Spotkio
Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa ") zostaje zawarta w formie elektronicznej, z chwilą akceptacji Regulaminu Aplikacji Spotkio oraz założenia Konta, pomiędzy:
Użytkownikiem - podmiotem, który założył Konto w Aplikacji Spotkio, którego dane identyfikacyjne wynikają z formularza rejestracyjnego oraz ustawień Konta, działającym jako Administrator danych (dalej: „Administrator”), a
Business Consulting Kuba Wójcik z siedzibą przy ul. Zygmunta Augusta 9/1, 20-283 Lublin, NIP: 9462762938 prowadzącym Aplikację Spotkio, działającym jako Podmiot przetwarzający (dalej: „Podmiot przetwarzający” lub „Procesor”).
- wspólnie zwanych „Stronami", a każda z osobna „Stroną",
w związku z korzystaniem przez Administratora z Aplikacji Spotkio, w ramach której Administrator przechowuje i przetwarza dane osobowe swoich klientów i kontrahentów (dalej: „Baza Kontrahentów"), na warunkach określonych poniżej.
Niniejsza Umowa zawierana jest elektronicznie przez zaznaczenie odpowiedniego pola wyboru (checkbox) podczas rejestracji Konta. Zaznaczenie tego pola jest równoznaczne z akceptacją Umowy i wywołuje skutki prawne analogiczne do podpisu własnoręcznego (art. 60 Kodeksu cywilnego). Data zawarcia Umowy jest tożsama z datą rejestracji Konta.
§ 1. Przedmiot Umowy
1. Na podstawie niniejszej Umowy Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych zawartych w Bazie Kontrahentów, a Podmiot przetwarzający zobowiązuje się do ich przetwarzania wyłącznie w zakresie i celu niezbędnym do należytego wykonania usług Aplikacji Spotkio na rzecz Administratora, zgodnie z art. 28 RODO.
2. Szczegółowy opis czynności przetwarzania, kategorie osób i danych zawiera Załącznik nr 1 do Umowy.
3. Umowa nie narusza żadnych praw ani obowiązków wynikających z odrębnych umów zawartych między Stronami, w tym warunków korzystania z Aplikacji Spotkio.
§ 2. Obowiązki Podmiotu przetwarzającego
1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się korzystanie przez Administratora z funkcjonalności Aplikacji Spotkio w zakresie przewidzianym Umową i warunkami Aplikacji.
2. Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi poufności.
3. Podmiot przetwarzający wdraża i utrzymuje techniczne i organizacyjne środki ochrony danych zgodnie z art. 32 RODO. Opis środków zawiera Załącznik nr 2.
4. Podmiot przetwarzający, w miarę możliwości, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (prawa z rozdziału III RODO).
5. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków z art. 32-36 RODO.
6. Po zakończeniu świadczenia usług Podmiot przetwarzający usuwa dane osobowe oraz ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują ich przechowywanie. Administrator ma możliwość samodzielnego pobrania (eksportu) powierzonych danych przed usunięciem Konta, korzystając z funkcji Aplikacji.
7. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty, w tym inspekcje. Prawo do audytu realizowane jest w pierwszej kolejności poprzez udostępnienie Administratorowi stosownych certyfikatów bezpieczeństwa, wyników niezależnych audytów (np. dostawców chmurowych) lub poprzez udzielanie odpowiedzi na pisemne zapytania Administratora.
§ 3. Dalsze powierzenie przetwarzania
1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (podwykonawców). Aktualny wykaz dalszych podmiotów przetwarzających stanowi Załącznik nr 3.
2. Podmiot przetwarzający informuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających, dając możliwość wyrażenia sprzeciwu. Informacja przekazywana jest za pośrednictwem e-mail na adres Konta lub komunikatu w Aplikacji, co najmniej 14 dni przed zmianą.
3. Jeżeli Administrator nie zgłosi sprzeciwu w terminie 14 dni od informacji, zmiana uważa się za zaakceptowaną.
4. W przypadku sprzeciwu Strony podejmą negocjacje. Jeżeli nie osiągną porozumienia w ciągu 30 dni, Administrator jest uprawniony do rozwiązania Umowy (oraz warunków Aplikacji) z miesięcznym wypowiedzeniem.
5. Podmiot przetwarzający nakłada na dalszych podmiotów przetwarzających te same obowiązki co wynikające z niniejszej Umowy i ponosi wobec Administratora pełną odpowiedzialność za ich wykonanie.
§ 4. Przekazywanie danych do państw trzecich
1. Dane osobowe przechowywane są na serwerach zlokalizowanych w (EOG). Podmiot przetwarzający korzysta z podwykonawców posiadających siedziby w USA - wskazanych w Załączniku nr 3.
2. Przekazywanie danych do USA odbywa się wyłącznie na podstawie standardowych klauzul umownych (SCC, decyzja KE 2021/914) lub innych mechanizmów zapewniających odpowiedni poziom ochrony (art. 46 RODO).
3. Podmiot przetwarzający informuje Administratora o każdej istotnej zmianie dotyczącej kraju lub mechanizmu przekazywania danych.
§ 5. Naruszenia ochrony danych osobowych
1. Po stwierdzeniu naruszenia ochrony danych Podmiot przetwarzający informuje Administratora bez zbędnej zwłoki - nie później niż w ciągu 48 godzin - wysyłając wiadomość na adres e-mail Konta Administratora.
2. Zgłoszenie zawiera co najmniej:
a) opis charakteru naruszenia, kategorii i przybliżonej liczby dotkniętych osób;
b) dane kontaktowe osoby odpowiedzialnej za kontakty w sprawie naruszenia po stronie Podmiotu przetwarzającego;
c) opis możliwych konsekwencji naruszenia;
d) opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu.
3. Podmiot przetwarzający wspiera Administratora w wykonaniu obowiązku zgłoszenia naruszenia do UODO (art. 33 RODO) i poinformowania osób poszkodowanych (art. 34 RODO).
§ 6. Realizacja praw osób, których dane dotyczą
1. Jeżeli Kontrahent skieruje żądanie realizacji praw RODO bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje je Administratorowi niezwłocznie, nie później niż w ciągu 5 dni roboczych.
2. Podmiot przetwarzający nie odpowiada na takie żądania we własnym imieniu bez zgody Administratora, chyba że przepisy prawa tego wymagają.
§ 7. Poufność
1. Podmiot przetwarzający zachowuje poufność danych osobowych przetwarzanych na podstawie Umowy przez cały czas jej trwania i bezterminowo po jej zakończeniu.
§ 8. Czas trwania Umowy i skutki zakończenia
1. Umowa obowiązuje przez czas trwania umowy o korzystanie z Aplikacji Spotkio, w tym przez czas aktywnego Konta.
2. Umowa wygasa w chwili usunięcia Konta przez Administratora lub wygaśnięcia umowy o korzystanie z Aplikacji.
3. Po wygaśnięciu Umowy Podmiot przetwarzający usuwa dane Bazy Kontrahentów; kopie zapasowe kasowane są automatycznie przez dostawcę infrastruktury (Supabase) w ciągu 7-30 dni.
§ 9. Odpowiedzialność
1. Podmiot przetwarzający odpowiada za szkody wynikłe z naruszenia Umowy lub RODO, z zastrzeżeniem wyjątków z art. 82 ust. 3 RODO.
2. Administrator odpowiada za zgodność przetwarzanych przez siebie danych z prawem oraz za legalność podstawy przetwarzania danych Kontrahentów.
3. Odpowiedzialność Podmiotu przetwarzającego ograniczona jest do szkód bezpośrednich w zakresie dopuszczalnym przez prawo.
§ 10. Postanowienia końcowe
1. W sprawach nieuregulowanych stosuje się przepisy RODO, Kodeksu cywilnego oraz inne właściwe przepisy prawa polskiego.
2. Podmiot przetwarzający może zmieniać Umowę z 14-dniowym wyprzedzeniem, informując Administratora przez e-mail lub komunikat w Aplikacji. Dalsze korzystanie z Aplikacji po tym terminie oznacza akceptację zmian.
3. Spory Strony rozstrzygają polubownie; w razie braku porozumienia - sąd właściwy dla siedziby Podmiotu przetwarzającego.
4. Umowa sporządzona w języku polskim; wersja polska jest rozstrzygająca.
Umowa zawierana elektronicznie przez zaznaczenie checkboxa przy rejestracji. Data zawarcia = data rejestracji Konta w Aplikacji Spotkio.
Załącznik nr 1 do Umowy powierzenia
Opis czynności przetwarzania danych osobowych
Element
Opis
Cel przetwarzania
Przetwarzanie danych osobowych klientów i kontrahentów Administratora wyłącznie w celu umożliwienia Administratorowi korzystania z funkcjonalności Aplikacji Spotkio: przechowywania i zarządzania Bazą Kontrahentów, prowadzenia kalendarza spotkań, wysyłki wiadomości SMS i e-mail do Kontrahentów, generowania i eksportu raportów oraz - po wdrożeniu - synchronizacji kalendarza.
Charakter przetwarzania
Przetwarzanie elektroniczne (chmura obliczeniowa). Obejmuje: zbieranie, przechowywanie, organizowanie, przeglądanie, przesyłanie (SMS, e-mail), udostępnianie (eksport), usuwanie na żądanie lub po zakończeniu Umowy.
Czas przetwarzania
Przez czas obowiązywania Umowy (czas posiadania aktywnego Konta). Po usunięciu Konta - dane usuwane natychmiast; kopie zapasowe: automatycznie przez Supabase w ciągu max. 30 dni.
Kategorie osób, których dane dotyczą
klienci i kontrahenci Administratora (osoby fizyczne, osoby fizyczne prowadzące działalność, osoby kontaktowe po stronie podmiotów niebędących osobami fizycznymi).
Rodzaje przetwarzanych danych osobowych
dane identyfikacyjne: imię i nazwisko lub nazwa firmy;
dane kontaktowe: adres e-mail, numer telefonu;
dane adresowe: adres siedziby lub zamieszkania, lokalizacja;
dane rejestrowe: NIP;
dane relacyjne: branża, liczba spotkań, data ostatniego kontaktu, notatki ze spotkań;
dane osoby kontaktowej: imię, nazwisko, stanowisko, dane kontaktowe;
dane zdarzeń kalendarza (po wdrożeniu synchronizacji): tytuł spotkania, data, czas, opis, lokalizacja, lista uczestników;
inne dane w polach własnych Administratora.
Szczególne kategorie danych (art. 9 RODO)
Podmiot przetwarzający nie przetwarza szczególnych kategorii danych osobowych. Administrator jest zobowiązany nie powierzać takich danych bez uprzedniego pisemnego uzgodnienia z Podmiotem przetwarzającym.
Załącznik nr 2 do Umowy powierzenia
Techniczne i organizacyjne środki ochrony danych
1. Środki techniczne
Szyfrowanie w tranzycie: komunikacja HTTPS/TLS między Aplikacją a serwerem;
Szyfrowanie w spoczynku: dane szyfrowane na poziomie warstwy przechowywania;
Row Level Security (RLS): wymuszony na poziomie bazy danych - uniemożliwia dostęp jednego Użytkownika do danych innego;
Uwierzytelnianie: hasła hashowane (salt+hash) przez Supabase Auth; opcjonalna 2FA (TOTP);
Kopie zapasowe: automatyczne kopie;
Logi systemowe: monitoring zdarzeń umożliwiający wykrycie anomalii i nieautoryzowanego dostępu;
Tokeny OAuth (synchronizacja kalendarza): przechowywane w formie zaszyfrowanej; dostęp z minimalnym zakresem uprawnień;
Eksport danych: pliki CSV/JSON generowane lokalnie w przeglądarce Użytkownika bez transmisji do zewnętrznych serwisów.
2. Środki organizacyjne
Minimalizacja dostępu: dostęp do danych Kontrahentów ograniczony do przypadków niezbędnych do utrzymania Aplikacji; zasada minimalnych uprawnień;
Zobowiązania do poufności: osoby z dostępem do danych zobowiązane do zachowania poufności;
Procedura naruszenia: Podmiot przetwarzający posiada pisemną Procedurę postępowania w przypadku naruszenia ochrony danych, obejmującą powiadomienie Administratora w ciągu 48 godzin;
Zarządzanie podatnościami: regularne aktualizacje bibliotek i zależności; monitoring bezpieczeństwa;
Załącznik nr 3 do Umowy powierzenia
Wykaz dalszych podmiotów przetwarzających (podwykonawców)
Aktualizacje wykazu przekazywane są Administratorowi zgodnie z §3 Umowy (co najmniej 14 dni przed zmianą).
Podmiot
Siedziba
Zakres / funkcja
Lokalizacja serwerów i transfer danych
Supabase, Inc.
USA
Infrastruktura bazodanowa, przechowywanie danych, uwierzytelnianie (Supabase Auth), kopie zapasowe (PITR)
Serwery: Irlandia (EOG). Transfer USA na podstawie SCC (decyzja KE 2021/914)
SerwerSMS.pl
Polska
Wysyłka wiadomości SMS do Kontrahentów Administratora
EOG (Polska)
Google LLC
USA
Firebase Cloud Messaging (FCM) - powiadomienia push do aplikacji mobilnej Android; Google Calendar API - synchronizacja kalendarza
USA. Transfer na podstawie SCC (decyzja KE 2021/914) i/lub Data Privacy Framework
Microsoft Corporation
USA
Microsoft Graph API - synchronizacja Outlook Calendar
USA. Transfer na podstawie SCC i/lub Data Privacy Framework
Apple Inc.
USA
CalDAV - synchronizacja Kalendarza Apple
USA. Transfer na podstawie SCC
Podmiot przetwarzający zastrzega prawo aktualizacji wykazu zgodnie z §3 Umowy.