Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 2 do Regulaminu serwisu i sprzedaży prostrona.pl

Data wejścia w życie: 3 listopada 2026 r.

§1. Strony i zawarcie umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia") zostaje zawarta pomiędzy Klientem, któremu Usługodawca świadczy usługę wykonania i utrzymania Strony lub udostępnienia CRM (dalej: „Administrator"), a Janem Czerwińskim, prowadzącym jednoosobową działalność gospodarczą pod adresem 09-400 Ludwikowo, ul. Rubinowa 2, NIP 5842816986, REGON 521841905 (dalej: „Podmiot przetwarzający"). Umowa obejmująca te usługi jest dalej nazywana „Umową usługową". CRM oznacza prywatny obszar do zarządzania kontaktami, zgłoszeniami i sprawami Administratora; może działać niezależnie od Strony.
2. Umowa powierzenia zostaje zawarta wraz z Umową usługową przez akceptację Regulaminu albo przez odrębne, udokumentowane uzgodnienie jej treści. Stanowi umowę, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO"). Uruchomienie CRM dla Klienta z wcześniejszą umową wymaga objęcia tej usługi uzgodnioną z nim Umową powierzenia.
3. Pojęcia pisane wielką literą, niezdefiniowane w Umowie powierzenia, mają znaczenie nadane im w Regulaminie. Pojęcia „dane osobowe", „przetwarzanie", „naruszenie ochrony danych osobowych" i „podmiot przetwarzający" mają znaczenie nadane im w art. 4 RODO.
4. Niniejsza wersja jest stosowana do nowych Umów usługowych zawieranych od wskazanej daty wejścia w życie. Do wcześniejszych umów stosuje się zasady zmiany określone w §18 Regulaminu. Samo opublikowanie nowej wersji ani techniczne utworzenie CRM nie zmienia treści wcześniejszej akceptacji Administratora.

§2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do wykonania Umowy usługowej. Celem jest utrzymanie Strony oraz, w uzgodnionym zakresie, umożliwienie Administratorowi obsługi jego kontaktów, zgłoszeń i spraw w CRM. Podmiot przetwarzający przetwarza dane wyłącznie w tych celach, zgodnie z poleceniami Administratora.
2. Przetwarzanie obejmuje, zależnie od zamówionych i włączonych funkcji:
   • hosting Strony, w tym przechowywanie jej treści, plików i kopii zapasowych,
   • obsługę formularza kontaktowego Strony — przyjęcie zgłoszenia i doręczenie go na wskazane adresy e-mail, zapisanie w wybranym CRM Administratora albo wykonanie obu tych czynności, zgodnie z konfiguracją formularza,
   • prowadzenie CRM: przechowywanie i aktualizowanie kontaktów, spraw, ich etapów i pól, notatek oraz zadań i terminów; udostępnianie danych upoważnionym członkom zespołu oraz ich eksport i usuwanie,
   • prowadzenie statystyk odwiedzin Strony narzędziem analitycznym, które nie zapisuje plików cookies na urządzeniu odwiedzającego,
   • przetwarzanie danych technicznych ruchu i działania usług (logi serwera, ochrona przed atakami i nadużyciami, dostarczanie treści przez sieć CDN),
   • wprowadzanie zmian w treści Strony na polecenie Administratora, również z wykorzystaniem Edycji AI,
   • obsługę domeny i certyfikatu SSL Strony.
3. Charakter przetwarzania: zbieranie, utrwalanie, przechowywanie, organizowanie, porządkowanie, przeglądanie, aktualizowanie, przesyłanie, udostępnianie upoważnionym osobom, eksportowanie i usuwanie danych, wykonywane w systemach informatycznych.
4. Statystyki odwiedzin Strony są zbierane we wspólnej instancji narzędzia analitycznego i rozróżniane według adresu Strony. Podmiot przetwarzający wykorzystuje je wyłącznie do udostępniania Administratorowi, utrzymania Strony i zapewnienia jej bezpieczeństwa. Prywatny obszar CRM nie jest objęty statystykami odwiedzin ani nagrywaniem sesji użytkowników.
5. Dane prywatnego CRM nie są wykorzystywane do własnego marketingu Podmiotu przetwarzającego ani przekazywane do jego sprzedażowego CRM lub komunikatorów. Wtyczki działają wyłącznie w zakresie włączonym na polecenie Administratora. Niniejsza Umowa powierzenia nie obejmuje integracji z Outlookiem, analizy dokumentów przez AI ani przechowywania załączników do spraw — udostępnienie takich funkcji wymaga odrębnego określenia zakresu przetwarzania i odbiorców danych.

§3. Rodzaj danych i kategorie osób

1. Przetwarzanie dotyczy następujących kategorii osób i danych, w zakresie faktycznie przekazanym przez Administratora lub zebranym na jego polecenie:
   • osoby odwiedzające Stronę — adres IP, data i godzina wizyty, adres odwiedzanej podstrony, adres strony odsyłającej oraz dane techniczne przeglądarki i urządzenia,
   • osoby korzystające z formularza kontaktowego Strony — dane wpisane w formularzu, w szczególności imię i nazwisko, adres e-mail, numer telefonu, treść wiadomości i inne pola określone przez Administratora,
   • klienci, potencjalni klienci i inne osoby, których dotyczą kontakty lub sprawy w CRM, w tym ich przedstawiciele, kontrahenci i uczestnicy spraw — dane identyfikacyjne i kontaktowe, nazwa firmy i funkcja, treść zgłoszeń, opis i kategoria sprawy, jej etap, wartości skonfigurowanych pól, notatki, zadania i terminy,
   • osoby upoważnione przez Administratora do pracy w CRM — identyfikator konta, imię i nazwisko, adres e-mail, rola, przypisania zadań oraz informacje o autorstwie i czasie wpisów; dane konta przetwarzane przez Usługodawcę we własnym imieniu opisuje odrębna polityka prywatności Serwisu,
   • osoby, których dane Administrator zamieszcza w treści Strony (np. pracownicy, współpracownicy, klienci w opiniach) — w szczególności imię i nazwisko, wizerunek, stanowisko, dane kontaktowe i treść opinii.
2. Standardowy zakres usługi nie obejmuje szczególnych kategorii danych osobowych (art. 9 RODO), w tym danych o zdrowiu, ani danych dotyczących wyroków skazujących, czynów zabronionych lub powiązanych środków bezpieczeństwa (art. 10 RODO). Przed ich zbieraniem w formularzu, wprowadzaniem do CRM lub zamieszczaniem na Stronie strony muszą odrębnie i w sposób udokumentowany uzgodnić kategorie danych i osób, cel, zakres, czas przetwarzania oraz odpowiednie środki ochrony. Administrator wskazuje właściwą podstawę przetwarzania, w tym przesłankę z art. 9 ust. 2 albo warunki z art. 10 RODO, jeżeli mają zastosowanie.
3. Wybranie szablonu CRM dla kancelarii lub kategorii sprawy medycznej nie jest takim uzgodnieniem ani podstawą prawną przetwarzania. Administrator ogranicza treść formularzy, pól i notatek do informacji potrzebnych do ustalonego celu oraz uwzględnia obowiązującą go tajemnicę zawodową.

§4. Czas przetwarzania

1. Podmiot przetwarzający przetwarza dane przez czas świadczenia odpowiedniej usługi na podstawie Umowy usługowej, a po jej zakończeniu — przez czas niezbędny do zwrotu lub usunięcia danych zgodnie z §12. Gdy CRM działa niezależnie od Strony, zakończenie utrzymania Strony samo w sobie nie kończy uzgodnionej usługi CRM.
2. Administrator określa okresy przechowywania danych w CRM stosownie do celów i podstaw przetwarzania oraz zleca ich usunięcie lub usuwa je za pomocą dostępnych funkcji. Zamknięcie lub archiwizacja sprawy, odłączenie formularza i wyłączenie wtyczki nie usuwają już zapisanych danych ani nie uruchamiają automatycznego terminu ich usunięcia.

§5. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający:
   • przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, również w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie — w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania takiego poinformowania,
   • zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy albo podlegają ustawowemu obowiązkowi zachowania tajemnicy,
   • stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO i w §9,
   • korzysta z usług innych podmiotów przetwarzających wyłącznie na zasadach określonych w §7,
   • pomaga Administratorowi, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (§10),
   • pomaga Administratorowi wywiązywać się z obowiązków określonych w art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji,
   • po zakończeniu świadczenia usług usuwa albo zwraca dane osobowe na zasadach określonych w §12,
   • udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów na zasadach określonych w §13.
2. Za udokumentowane polecenia Administratora uważa się Umowę usługową, Regulamin, Umowę powierzenia oraz polecenia przekazane przez Administratora w Panelu lub CRM (w tym konfigurację formularza, wtyczek i uprawnień), w Edycji AI dotyczącej Strony lub wiadomością e-mail.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§6. Obowiązki Administratora

1. Administrator oświadcza, że przetwarza dane osobowe zgodnie z prawem, w szczególności posiada podstawę prawną przetwarzania danych powierzonych Podmiotowi przetwarzającemu.
2. Administrator odpowiada za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą, w szczególności za treść polityki prywatności Strony. Podmiot przetwarzający może udostępnić wzór takiej polityki, który Administrator powinien zweryfikować i w razie potrzeby uzupełnić.
3. Administrator utrzymuje aktualne adresy e-mail odbiorców zgłoszeń, wskazuje właściwy CRM docelowy i zarządza uprawnieniami jego członków. Odpowiada za zakres zbieranych danych, okresy ich przechowywania oraz dalsze przetwarzanie kopii otrzymanych e-mailem lub wyeksportowanych z CRM.
4. Administrator nie wydaje Podmiotowi przetwarzającemu poleceń niezgodnych z prawem.

§7. Dalsze powierzenie przetwarzania

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług innych podmiotów przetwarzających (dalej: „Podprocesorzy"). W dniu wejścia w życie Umowy powierzenia są to:

2. Dostawcy modeli sztucznej inteligencji (Anthropic, OpenAI) otrzymują wyłącznie treść i kod Strony, polecenia Administratora oraz zrzuty ekranu Strony. Nie otrzymują zgłoszeń z formularza, danych ze statystyk odwiedzin ani danych z prywatnego CRM. Dane prywatnego CRM nie są zapisywane w repozytorium kodu Strony. Przy wysyłce zgłoszenia wyłącznie do CRM jego treść nie jest przekazywana Resend. Administrator nie umieszcza danych prywatnego CRM w poleceniach Edycji AI dotyczącej Strony.
3. Podmiot przetwarzający informuje Administratora e-mailem o zamiarze dodania lub zastąpienia Podprocesora co najmniej 14 dni przed zmianą. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę usługową ze skutkiem przed dniem zmiany.
4. Podmiot przetwarzający nakłada na każdego Podprocesora, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom z Umowy powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający odpowiada wobec Administratora za wykonanie obowiązków przez Podprocesora.

§8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część Podprocesorów ma siedzibę w Stanach Zjednoczonych lub przetwarza dane poza Europejskim Obszarem Gospodarczym. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (Ramy ochrony danych UE–USA) — w odniesieniu do podmiotów nimi objętych — albo na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

§9. Bezpieczeństwo przetwarzania

Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• szyfrowanie transmisji danych protokołem TLS (HTTPS) na Stronie, w Panelu, w CRM i w komunikacji z Podprocesorami,
• dostęp do systemów i danych wyłącznie dla osób upoważnionych, chroniony uwierzytelnianiem, w zakresie niezbędnym do wykonania zadań; w CRM stosowane są role i sprawdzanie uprawnień po stronie serwera, a dostęp administracyjny Podmiotu przetwarzającego służy utrzymaniu i obsłudze usługi,
• minimalizację danych: przy formularzu skonfigurowanym wyłącznie do wysyłki e-mail treść zgłoszenia nie jest zapisywana w bazie danych Podmiotu przetwarzającego; po włączeniu kierowania do CRM jest zapisywana w wybranym, prywatnym CRM Administratora. Techniczne dane obsługi zgłoszeń, w tym identyfikatory zapobiegające duplikatom, nie wymagają przechowywania dodatkowej kopii treści formularza,
• ochronę formularza przed spamem i nadużyciami (pole-pułapka, kontrola czasu wypełnienia, limity liczby zgłoszeń),
• regularne kopie zapasowe bazy danych i bieżące aktualizacje oprogramowania,
• logiczne oddzielenie danych poszczególnych Stron i obszarów CRM oraz ograniczenie dostępu do danych CRM zgodnie z przypisanymi uprawnieniami,
• wyłączenie analityki odwiedzin i nagrywania sesji w prywatnym obszarze CRM; statystyki publicznej Strony są prowadzone bez plików cookies i bez zapisywania adresów IP.

§10. Prawa osób, których dane dotyczą

1. Jeżeli Podmiot przetwarzający otrzyma bezpośrednio od osoby, której dane dotyczą, żądanie dotyczące danych przetwarzanych w imieniu Administratora, niezwłocznie, nie później niż w terminie 5 dni roboczych, przekazuje je Administratorowi i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
2. Na prośbę Administratora Podmiot przetwarzający udziela informacji i wykonuje czynności techniczne potrzebne do realizacji żądania (np. wyszukanie, przekazanie, usunięcie lub sprostowanie danych w treści Strony albo w CRM, także w powiązanych notatkach i zadaniach).

§11. Naruszenie ochrony danych osobowych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych dotyczące danych przetwarzanych w imieniu Administratora bez zbędnej zwłoki, nie później niż w terminie 48 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera, w miarę możliwości, informacje, o których mowa w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze. Informacje, których nie można przekazać od razu, Podmiot przetwarzający przekazuje sukcesywnie bez zbędnej zwłoki.
3. Podmiot przetwarzający współpracuje z Administratorem przy wyjaśnianiu naruszenia, ograniczaniu jego skutków oraz przy zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą.

§12. Zwrot i usunięcie danych po zakończeniu usługi

1. Po zakończeniu świadczenia danej usługi Podmiot przetwarzający, zgodnie z wyborem Administratora, usuwa dane osobowe przetwarzane w jej ramach albo zwraca je Administratorowi, a następnie usuwa swoje kopie, nie później niż w terminie 30 dni od zakończenia usługi, z zastrzeżeniem zasad dotyczących kopii zapasowych z ust. 3, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Zakończenie usługi Strony obejmuje jej wyłączenie oraz usunięcie danych z bazy, przechowywanych plików i bieżącej wersji kodu źródłowego. Zakończenie usługi CRM obejmuje dane kontaktów i spraw, pól, notatek, zadań oraz powiązań i technicznych identyfikatorów zgłoszeń. Dane nadal potrzebne do innej uzgodnionej, trwającej usługi są przetwarzane wyłącznie w jej zakresie.
2. Administrator może wskazać sposób zwrotu przed zakończeniem usługi lub niezwłocznie po jej zakończeniu. Zwrot obejmuje dane przetwarzane na jego rzecz, w tym treści Strony oraz dane CRM wraz z notatkami i zadaniami, w uzgodnionym, powszechnie używanym formacie elektronicznym. Dostępny w CRM eksport CSV może obejmować tylko część tych danych; pełny zwrot można zlecić Podmiotowi przetwarzającemu i nie jest on uzależniony od włączenia wtyczki eksportu. Zgłoszenia skierowane wyłącznie na e-mail nie mają kopii treści w bazie Podmiotu przetwarzającego; kopie doręczone do skrzynek Administratora i pobrane eksporty pozostają pod jego kontrolą.
3. Dane zawarte w kopiach zapasowych są usuwane w zwykłym cyklu ich nadpisywania. Do czasu usunięcia kopie są chronione tak jak pozostałe dane i nie są wykorzystywane w innych celach niż niezbędne odtworzenie po awarii. Przy odtworzeniu ponownie wykonuje się wcześniejsze polecenia usunięcia danych.
4. Dane osobowe zawarte w treści Strony, które pozostają w historii wersji repozytorium kodu źródłowego, są przechowywane wyłącznie w zabezpieczonym, niepublicznym repozytorium i nie są wykorzystywane w żadnym innym celu. Po zakończeniu odpowiedniej usługi obowiązek usunięcia z ust. 1 obejmuje również te dane w historii wersji. Nie dotyczy to prywatnych danych CRM, które nie są zapisywane w tym repozytorium.
5. Jeżeli wybrano doręczanie e-mailem, wiadomości ze zgłoszeniami przechowywane przez dostawcę wysyłki są usuwane zgodnie z okresem przechowywania stosowanym przez tego dostawcę. Podmiot przetwarzający wykonuje obowiązki usunięcia lub zwrotu również wobec Podprocesorów w zakresie powierzonych im danych.

§13. Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi, na jego wniosek, informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w szczególności opis stosowanych środków bezpieczeństwa i aktualną listę Podprocesorów.
2. Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do zachowania poufności, po zawiadomieniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze i w sposób niezakłócający działalności Podmiotu przetwarzającego. Audyt odbywa się nie częściej niż raz na 12 miesięcy, chyba że jest związany z naruszeniem ochrony danych osobowych albo żądaniem organu nadzorczego. Koszty audytu ponosi Administrator.

§14. Odpowiedzialność

Odpowiedzialność stron za szkody wyrządzone w związku z przetwarzaniem danych osobowych określają przepisy RODO, w szczególności art. 82, oraz Kodeksu cywilnego.

§15. Postanowienia końcowe

1. Umowa powierzenia obowiązuje przez czas przetwarzania danych w ramach Umowy usługowej, z zastrzeżeniem obowiązków określonych w §12.
2. W sprawach ochrony danych osobowych postanowienia Umowy powierzenia mają pierwszeństwo przed postanowieniami Regulaminu i Umowy usługowej.
3. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu (§18 Regulaminu), z wyjątkiem zmian listy Podprocesorów, do których stosuje się §7 ust. 3.
4. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego. Umowa powierzenia podlega prawu polskiemu.
5. Umowa powierzenia jest udostępniana w polskiej i angielskiej wersji językowej na zasadach określonych w §19 ust. 4 Regulaminu.