Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 2 do Regulaminu serwisu i sprzedaży prostrona.pl

Data wejścia w życie: 13 października 2026 r.

§1. Strony i zawarcie umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia") zostaje zawarta pomiędzy Klientem, któremu Usługodawca wykonuje i utrzymuje Stronę (dalej: „Administrator"), a Janem Czerwińskim, prowadzącym jednoosobową działalność gospodarczą pod adresem 09-400 Ludwikowo, ul. Rubinowa 2, NIP 5842816986, REGON 521841905 (dalej: „Podmiot przetwarzający").
2. Umowa powierzenia jest zawierana wraz z Umową dotyczącą Strony, z chwilą akceptacji Regulaminu przez Klienta, i stanowi umowę, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO").
3. Pojęcia pisane wielką literą, niezdefiniowane w Umowie powierzenia, mają znaczenie nadane im w Regulaminie. Pojęcia „dane osobowe", „przetwarzanie", „naruszenie ochrony danych osobowych" i „podmiot przetwarzający" mają znaczenie nadane im w art. 4 RODO.

§2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do wykonania Umowy dotyczącej Strony, a Podmiot przetwarzający zobowiązuje się przetwarzać je wyłącznie w tym celu, na zasadach określonych w Umowie powierzenia.
2. Przetwarzanie obejmuje w szczególności:
   • hosting Strony, w tym przechowywanie jej treści, plików i kopii zapasowych,
   • obsługę formularza kontaktowego Strony — przyjęcie zgłoszenia i doręczenie go wiadomością e-mail na adresy wskazane przez Administratora,
   • prowadzenie statystyk odwiedzin Strony narzędziem analitycznym, które nie zapisuje plików cookies na urządzeniu odwiedzającego,
   • przetwarzanie danych technicznych ruchu (logi serwera, ochrona przed atakami i nadużyciami, dostarczanie treści przez sieć CDN),
   • wprowadzanie zmian w treści Strony na polecenie Administratora, również z wykorzystaniem Edycji AI,
   • obsługę domeny i certyfikatu SSL Strony.
3. Charakter przetwarzania: przechowywanie, organizowanie, porządkowanie, przesyłanie, udostępnianie Administratorowi i usuwanie danych, wykonywane w sposób zautomatyzowany w systemach informatycznych.
4. Statystyki odwiedzin Strony są zbierane we wspólnej instancji narzędzia analitycznego, której Podmiot przetwarzający używa dla wszystkich obsługiwanych przez siebie stron, i są w niej rozróżniane według adresu Strony. Podmiot przetwarzający wykorzystuje statystyki Strony wyłącznie po to, żeby udostępniać je Administratorowi (w szczególności w raportach), utrzymywać Stronę i dbać o jej bezpieczeństwo. Nie wykorzystuje ich do własnych celów i nie udostępnia ich innym podmiotom.

§3. Rodzaj danych i kategorie osób

1. Przetwarzanie dotyczy następujących kategorii osób i danych:
   • osoby odwiedzające Stronę — adres IP, data i godzina wizyty, adres odwiedzanej podstrony, adres strony odsyłającej oraz dane techniczne przeglądarki i urządzenia,
   • osoby korzystające z formularza kontaktowego Strony — dane wpisane w formularzu, w szczególności imię i nazwisko, adres e-mail, numer telefonu i treść wiadomości, a także inne pola określone przez Administratora,
   • osoby, których dane Administrator zamieszcza w treści Strony (np. pracownicy, współpracownicy, klienci w opiniach) — w szczególności imię i nazwisko, wizerunek, stanowisko, dane kontaktowe i treść opinii.
2. Przetwarzanie nie obejmuje szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator nie zbiera takich danych za pomocą formularza Strony ani nie zamieszcza ich w treści Strony bez uprzedniego uzgodnienia z Podmiotem przetwarzającym.

§4. Czas przetwarzania

Podmiot przetwarzający przetwarza dane przez czas obowiązywania Umowy dotyczącej Strony, a po jej rozwiązaniu — przez czas niezbędny do usunięcia danych zgodnie z §12.

§5. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający:
   • przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, również w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie — w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania takiego poinformowania,
   • zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy albo podlegają ustawowemu obowiązkowi zachowania tajemnicy,
   • stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO i w §9,
   • korzysta z usług innych podmiotów przetwarzających wyłącznie na zasadach określonych w §7,
   • pomaga Administratorowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (§10),
   • pomaga Administratorowi wywiązywać się z obowiązków określonych w art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji,
   • po zakończeniu świadczenia usług usuwa albo zwraca dane osobowe na zasadach określonych w §12,
   • udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów na zasadach określonych w §13.
2. Za udokumentowane polecenia Administratora uważa się Umowę dotyczącą Strony, Regulamin, Umowę powierzenia oraz polecenia przekazane przez Administratora w Panelu (w tym w Edycji AI) lub wiadomością e-mail.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§6. Obowiązki Administratora

1. Administrator oświadcza, że przetwarza dane osobowe zgodnie z prawem, w szczególności posiada podstawę prawną przetwarzania danych powierzonych Podmiotowi przetwarzającemu.
2. Administrator odpowiada za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą, w szczególności za treść polityki prywatności Strony. Podmiot przetwarzający może udostępnić wzór takiej polityki, który Administrator powinien zweryfikować i w razie potrzeby uzupełnić.
3. Administrator utrzymuje aktualne adresy e-mail odbiorców zgłoszeń z formularza Strony i odpowiada za dalsze przetwarzanie zgłoszeń, które do niego trafiły.
4. Administrator nie wydaje Podmiotowi przetwarzającemu poleceń niezgodnych z prawem.

§7. Dalsze powierzenie przetwarzania

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (dalej: „Podprocesorzy"). W dniu wejścia w życie Umowy powierzenia są to:

2. Dostawcy modeli sztucznej inteligencji (Anthropic, OpenAI) otrzymują wyłącznie treść i kod Strony, polecenia Administratora oraz zrzuty ekranu Strony. Nie otrzymują danych osób odwiedzających Stronę — w szczególności zgłoszeń z formularza ani danych ze statystyk odwiedzin.
3. Podmiot przetwarzający informuje Administratora e-mailem o zamiarze dodania lub zastąpienia Podprocesora co najmniej 14 dni przed zmianą. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę dotyczącą Strony ze skutkiem przed dniem zmiany.
4. Podmiot przetwarzający nakłada na każdego Podprocesora, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom z Umowy powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający odpowiada wobec Administratora za wykonanie obowiązków przez Podprocesora.

§8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część Podprocesorów ma siedzibę w Stanach Zjednoczonych lub przetwarza dane poza Europejskim Obszarem Gospodarczym. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (Ramy ochrony danych UE–USA) — w odniesieniu do podmiotów nimi objętych — albo na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

§9. Bezpieczeństwo przetwarzania

Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• szyfrowanie transmisji danych protokołem TLS (HTTPS) na Stronie, w Panelu i w komunikacji z Podprocesorami,
• dostęp do systemów i danych wyłącznie dla osób upoważnionych, chroniony uwierzytelnianiem, w zakresie niezbędnym do wykonania zadań,
• minimalizację danych: zgłoszenia z formularza Strony są doręczane e-mailem — nie są zapisywane w bazie danych Podmiotu przetwarzającego ani przekazywane do jego systemu obsługi klientów (CRM) lub komunikatorów (zapisywane są wyłącznie dane techniczne wysyłki, bez treści zgłoszenia), a statystyki odwiedzin są prowadzone bez plików cookies i bez zapisywania adresów IP,
• ochronę formularza przed spamem i nadużyciami (pole-pułapka, kontrola czasu wypełnienia, limity liczby zgłoszeń),
• regularne kopie zapasowe bazy danych i bieżące aktualizacje oprogramowania,
• logiczne oddzielenie danych poszczególnych Stron.

§10. Prawa osób, których dane dotyczą

1. Jeżeli Podmiot przetwarzający otrzyma bezpośrednio od osoby, której dane dotyczą, żądanie dotyczące danych przetwarzanych w imieniu Administratora, niezwłocznie, nie później niż w terminie 5 dni roboczych, przekazuje je Administratorowi i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
2. Na prośbę Administratora Podmiot przetwarzający udziela informacji i wykonuje czynności techniczne potrzebne do realizacji żądania (np. usunięcie lub sprostowanie danych w treści Strony).

§11. Naruszenie ochrony danych osobowych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych dotyczące danych przetwarzanych w imieniu Administratora bez zbędnej zwłoki, nie później niż w terminie 48 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera, w miarę możliwości, informacje, o których mowa w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze. Informacje, których nie można przekazać od razu, Podmiot przetwarzający przekazuje sukcesywnie bez zbędnej zwłoki.
3. Podmiot przetwarzający współpracuje z Administratorem przy wyjaśnianiu naruszenia, ograniczaniu jego skutków oraz przy zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą.

§12. Usunięcie danych po zakończeniu umowy

1. Po rozwiązaniu Umowy dotyczącej Strony Podmiot przetwarzający, w terminie 30 dni, wyłącza Stronę i usuwa dane osobowe przetwarzane w imieniu Administratora z bazy danych, z przechowywanych plików oraz z bieżącej wersji kodu źródłowego Strony, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie.
2. Przed rozwiązaniem Umowy dotyczącej Strony Administrator może zażądać przekazania treści Strony (tekstów i plików). Zgłoszenia z formularza nie są przechowywane przez Podmiot przetwarzający — Administrator ma je w swojej skrzynce e-mail.
3. Dane zawarte w kopiach zapasowych są usuwane w zwykłym cyklu ich nadpisywania. Do czasu usunięcia kopie są chronione tak jak pozostałe dane i nie są wykorzystywane w żadnym innym celu.
4. Dane osobowe zawarte w treści Strony, które pozostają w historii wersji repozytorium kodu źródłowego, są przechowywane wyłącznie w zabezpieczonym, niepublicznym repozytorium i nie są wykorzystywane w żadnym innym celu. Na żądanie Administratora Podmiot przetwarzający usuwa je również z historii wersji.
5. Wiadomości ze zgłoszeniami z formularza przechowywane przez dostawcę wysyłki e-maili są usuwane zgodnie z okresem przechowywania stosowanym przez tego dostawcę.

§13. Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi, na jego wniosek, informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w szczególności opis stosowanych środków bezpieczeństwa i aktualną listę Podprocesorów.
2. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do zachowania poufności, po zawiadomieniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze i w sposób niezakłócający działalności Podmiotu przetwarzającego. Audyt odbywa się nie częściej niż raz na 12 miesięcy, chyba że jest związany z naruszeniem ochrony danych osobowych albo żądaniem organu nadzorczego. Koszty audytu ponosi Administrator.

§14. Odpowiedzialność

Odpowiedzialność stron za szkody wyrządzone w związku z przetwarzaniem danych osobowych określają przepisy RODO, w szczególności art. 82, oraz Kodeksu cywilnego.

§15. Postanowienia końcowe

1. Umowa powierzenia obowiązuje przez czas obowiązywania Umowy dotyczącej Strony i wygasa wraz z nią, z zastrzeżeniem obowiązków określonych w §12.
2. W sprawach ochrony danych osobowych postanowienia Umowy powierzenia mają pierwszeństwo przed postanowieniami Regulaminu i Umowy dotyczącej Strony.
3. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu (§18 Regulaminu), z wyjątkiem zmian listy Podprocesorów, do których stosuje się §7 ust. 3.
4. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego. Umowa powierzenia podlega prawu polskiemu.
5. Umowa powierzenia jest udostępniana w polskiej i angielskiej wersji językowej na zasadach określonych w §19 ust. 4 Regulaminu.