Umowa powierzenia przetwarzania danych osobowych

1. Strony umowy

Przetwarzający (my): TODO_FOUNDER — pełna nazwa firmy zgodna z CEIDG/KRS, TODO_FOUNDER — ulica i numer, kod pocztowy, miejscowość, NIP TODO_FOUNDER — NIP (10 cyfr), TODO_FOUNDER — CEIDG albo KRS wraz z sądem rejestrowym, adres do kontaktu: TODO_FOUNDER — adres kontaktowy widoczny w stopce i w dokumentach.

Administrator (Ty): przedsiębiorca prowadzący sklep internetowy, który zlecił nam wdrożenie poprawek i nadał dostęp do panelu sklepu. Dane identyfikujące administratora uzupełniamy przy uzgodnieniu zakresu prac i potwierdzamy mailem.

Umowa obowiązuje w brzmieniu z wersji 2026-09-05, opublikowanej pod adresem /dpa. Potwierdzenie akceptacji opisuje ostatnia sekcja.

2. Przedmiot i cel powierzenia

Powierzasz nam przetwarzanie danych osobowych wyłącznie w zakresie potrzebnym do wykonania uzgodnionych poprawek w Twoim sklepie:

• pakiet S — 3 poprawki z listy uzgodnionej w rozmowie,
• pakiet M — 5 poprawek oraz uruchomienie monitoringu sklepu.

Cel przetwarzania jest jeden: zmiana ustawień i treści w panelu sklepu wskazana w uzgodnionym zakresie oraz pokazanie Ci stanu przed poprawką i po niej. Nie używamy powierzonych danych do własnych celów — w szczególności nie budujemy z nich list wysyłkowych i nie przenosimy ich do innych sklepów.

TODO_LAWYER — potwierdzić, czy przy pakiecie z monitoringiem potrzebna jest osobna podstawa dla cyklicznego odczytu danych zamówień po zakończeniu wdrożenia, czy wystarczy ta umowa z aneksem o czasie trwania.

3. Rodzaj danych i kategorie osób

Dostęp do panelu sklepu oznacza techniczną możliwość zobaczenia danych, których sami nie zbieramy. Ograniczamy ją do niezbędnego minimum, ale nie możemy jej wyłączyć całkowicie.

Kategorie osób, których dane możemy zobaczyć:

• klienci Twojego sklepu (osoby składające zamówienia i zakładające konta),
• osoby zapisane na Twój newsletter, jeśli lista jest w tym samym panelu,
• pracownicy i współpracownicy obsługujący sklep (konta w panelu).

Kategorie danych:

• dane identyfikacyjne i kontaktowe: imię i nazwisko, adres e-mail, numer telefonu,
• dane adresowe i dane do faktury, w tym NIP przedsiębiorcy,
• dane zamówień: pozycje, wartości, statusy, korespondencja z klientem,
• dane techniczne kont w panelu: loginy, role, historia zmian.

Nie powierzasz nam — i prosimy o nieudostępnianie nam — danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach skazujących (art. 10 RODO). Jeśli Twój sklep takie dane przetwarza, zgłoś to przed nadaniem dostępu; wtedy uzgadniamy osobny tryb pracy.

4. Czas trwania powierzenia

Powierzenie trwa od nadania nam dostępu do panelu sklepu do zakończenia wdrożenia, planowo 10 dni roboczych. Po zakończeniu prosimy Cię o odebranie dostępu; jeśli tego nie zrobisz, sami zgłaszamy zakończenie i przestajemy z dostępu korzystać.

W przypadku pakietu z monitoringiem powierzenie trwa przez okres świadczenia monitoringu i kończy się z ostatnim dniem opłaconego okresu.

5. Nasze obowiązki

Zobowiązujemy się do wykonania obowiązków przetwarzającego z art. 28 ust. 3 RODO:

1. Przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie — poleceniem jest uzgodniony zakres poprawek potwierdzony mailem. Jeśli prawo nakaże nam przetwarzanie poza tym poleceniem, poinformujemy Cię przed przetwarzaniem, chyba że prawo tego zakazuje.
2. Do danych dopuszczamy wyłącznie osoby z pisemnym upoważnieniem i zobowiązaniem do zachowania poufności; zobowiązanie obowiązuje także po zakończeniu współpracy.
3. Stosujemy środki bezpieczeństwa opisane w sekcji o środkach technicznych.
4. Korzystamy z podprocesorów na zasadach opisanej niżej sekcji.
5. Pomagamy Ci odpowiadać na żądania osób, których dane dotyczą.
6. Pomagamy Ci w obowiązkach z art. 32–36 RODO, w zakresie wynikającym z naszego dostępu.
7. Po zakończeniu powierzenia usuwamy dane na zasadach z sekcji o usunięciu danych.
8. Udostępniamy Ci informacje potrzebne do wykazania zgodności i poddajemy się czynnościom sprawdzającym opisanym niżej.

Jeśli uznamy, że Twoje polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie Cię o tym poinformujemy.

6. Podprocesorzy

Wyrażasz ogólną zgodę na korzystanie przez nas z dalszych podmiotów przetwarzających wymienionych niżej. O każdej planowanej zmianie tej listy — dodaniu albo zastąpieniu podmiotu — poinformujemy Cię mailem z wyprzedzeniem co najmniej 14 dni. W tym czasie możesz zgłosić uzasadniony sprzeciw; jeśli nie znajdziemy rozwiązania, możesz wypowiedzieć umowę w zakresie objętym sprzeciwem.

Na każdy z tych podmiotów nakładamy obowiązki nie mniejsze niż nasze własne z tej umowy. Lista pochodzi wprost z konfiguracji serwisu, więc jest zawsze zgodna z tym, czego naprawdę używamy:

Podmioty spoza Europejskiego Obszaru Gospodarczego przetwarzają dane na podstawie standardowych klauzul umownych. Zakres tych przekazań opisuje sekcja o przekazywaniu danych.

7. Środki techniczne i organizacyjne

Stosujemy środki adekwatne do ryzyka (art. 32 RODO):

• dostęp do panelu Twojego sklepu wyłącznie z kont imiennych, z uwierzytelnianiem dwuskładnikowym tam, gdzie panel to umożliwia,
• zasadę minimalnego uprawnienia: prosimy o rolę wystarczającą do uzgodnionych poprawek, nie o rolę właściciela, jeśli nie jest konieczna,
• szyfrowanie połączeń (HTTPS) i szyfrowanie dysków stacji roboczych,
• serwery aplikacji i baza danych w Unii Europejskiej,
• ślad dostępu: rejestrujemy, kto i kiedy wykonał operację po Twojej stronie,
• brak kopiowania danych klientów na nasze nośniki; pracujemy w panelu, a materiały „przed/po” zapisujemy jako zrzuty ekranu z zasłoniętymi danymi osobowymi,
• kopie zapasowe naszych własnych systemów szyfrowane i przechowywane w Unii Europejskiej.

TODO_LAWYER — czy dołączamy pełny wykaz środków jako załącznik nr 2, czy wystarczy odesłanie do polityki bezpieczeństwa udostępnianej na żądanie.

8. Zgłaszanie naruszeń ochrony danych

O naruszeniu ochrony danych osobowych dotyczącym powierzonych danych informujemy Cię bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia. Zgłoszenie zawiera opis naruszenia, kategorie i przybliżoną liczbę osób, prawdopodobne konsekwencje oraz środki zastosowane w celu ograniczenia skutków.

Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, należy do Ciebie jako administratora. My dostarczamy informacje potrzebne do tych zgłoszeń.

9. Pomoc w realizacji praw osób

Jeśli osoba, której dane dotyczą, zwróci się bezpośrednio do nas, przekażemy jej żądanie Tobie w ciągu 3 dni roboczych i nie odpowiemy na nie samodzielnie.

Na Twoją prośbę pomagamy w realizacji praw dostępu, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia danych — w zakresie, w jakim mamy do tych danych techniczny dostęp. Pomoc w tym zakresie jest bezpłatna.

10. Czynności sprawdzające

Masz prawo sprawdzić, czy wykonujemy obowiązki z tej umowy. Sprawdzenie może polegać na:

• pisemnym zapytaniu — odpowiadamy w ciągu 14 dni,
• kontroli w naszej siedzibie albo zdalnie, po uzgodnieniu terminu z wyprzedzeniem 14 dni, w godzinach pracy i bez zakłócania bieżącej działalności,
• kontroli przeprowadzonej przez upoważnionego przez Ciebie kontrolera zewnętrznego, który podpisze zobowiązanie do poufności.

Nie udostępniamy w trakcie takiej kontroli danych innych klientów ani informacji objętych tajemnicą przedsiębiorstwa osób trzecich.

TODO_LAWYER — ustalić, czy koszty kontroli zewnętrznej ponosi administrator także wtedy, gdy kontrola wykaże naruszenie po naszej stronie.

11. Usunięcie i zwrot danych

Po zakończeniu powierzenia — na Twój wybór zgłoszony mailem — usuwamy albo zwracamy Ci powierzone dane oraz usuwamy ich kopie, chyba że prawo nakazuje nam dalsze przechowywanie. Domyślnie usuwamy.

Usunięcie obejmuje: notatki robocze z wdrożenia, zrzuty ekranu z materiałów „przed/po” zawierające dane osobowe oraz wyeksportowane pliki, jeśli powstały. Wykonujemy je w ciągu 30 dni od zakończenia powierzenia i potwierdzamy mailem.

Nie usuwamy w tym trybie danych, które przetwarzamy jako administrator na własnej podstawie: Twojego adresu e-mail jako osoby kontaktowej, treści korespondencji oraz danych rozliczeniowych wymaganych przepisami podatkowymi. Zasady ich przechowywania opisuje polityka prywatności.

12. Przekazywanie danych poza EOG

Powierzone dane przetwarzamy w Unii Europejskiej. Wyjątki wynikają wyłącznie z listy podprocesorów powyżej i dotyczą narzędzi pomocniczych, nie bazy klientów Twojego sklepu.

Do modelu językowego, z którego korzystamy przy przygotowaniu raportu, trafia treść publicznych podstron sklepu po usunięciu danych osobowych, skrót struktury tych podstron (lista linków, przycisków, formularzy i ich pól z nazwami i adresami, czyszczony tak samo jak tekst) oraz zrzuty ekranu tych samych podstron w dwóch widokach: takim, jaki widać na telefonie, i takim, jaki widać na komputerze. Obrazu nie da się wyczyścić tak jak tekstu, więc dane kontaktowe widoczne publicznie na podstronie są widoczne także na zrzucie. Model nie dostaje dostępu do panelu, danych zamówień ani treści wypełnionych formularzy.

Terminy z sekcji „Usunięcie i zwrot danych” dotyczą kopii, które zostają u nas. Nie opisują tego, jak długo przekazaną treść i zrzuty przechowuje dostawca modelu — to wynika z umowy zawartej z nim i z jego własnych zasad.

Starsze narzędzie dostępne pod adresem /legacy korzysta dodatkowo z dostawcy pobierania stron spoza EOG; dotyczy ono wyłącznie publicznych stron i nie ma związku z powierzeniem opisanym w tej umowie.

TODO_LAWYER — potwierdzić brzmienie klauzuli o standardowych klauzulach umownych i o ocenie skutków przekazania (TIA) dla dostawców spoza EOG oraz to, ile czasu dostawca modelu przechowuje przekazaną treść i zrzuty.

13. Odpowiedzialność

Odpowiadamy za szkodę spowodowaną przetwarzaniem, jeśli nie dopełniliśmy obowiązków, które RODO nakłada bezpośrednio na przetwarzającego, albo działaliśmy poza Twoimi zgodnymi z prawem poleceniami (art. 82 RODO).

Nie odpowiadamy za skutki poleceń niezgodnych z prawem, o których Cię uprzedziliśmy na piśmie, ani za konfigurację i treści, których nie obejmował uzgodniony zakres prac.

TODO_LAWYER — ustalić limit odpowiedzialności kontraktowej i jego relację do ograniczenia z regulaminu (do wysokości uzgodnionej ceny wdrożenia).

14. Potwierdzenie akceptacji i zmiany dokumentu

Nie ma tutaj przycisku „Akceptuję” ani linku z tokenem. Akceptację potwierdzasz w jeden z dwóch sposobów, zanim nadasz nam dostęp do panelu sklepu:

1. mailem z adresu, którym posługujesz się w kontakcie z nami — wystarczy zdanie „akceptuję umowę powierzenia w wersji 2026-09-05”,
2. podpisem na wydruku dokumentu (plik PDF do pobrania jest na tej stronie).

Datę i sposób potwierdzenia zapisujemy przy Twoim wdrożeniu. Bez zapisanej akceptacji nasz system nie pozwala oznaczyć wdrożenia jako gotowego do pracy w panelu — to blokada w kodzie, nie tylko procedura.

Zmiany dokumentu publikujemy pod tym samym adresem, podnosząc numer wersji. O zmianie istotnej informujemy mailem z wyprzedzeniem 14 dni. Wersja obowiązująca dla Twojego wdrożenia to ta, którą zaakceptowałeś — starsze wersje udostępniamy na żądanie.

W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych oraz prawo polskie. Pytania do treści: TODO_FOUNDER — adres kontaktowy widoczny w stopce i w dokumentach.