Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od: 29 września 2026

Załącznik nr 1 do Regulaminu serwisu Monituj, zawierany na podstawie art. 28 rozporządzenia (UE) 2016/679 („RODO”).

§ 1. Strony i zawarcie umowy

1. Stronami umowy są: Użytkownik Serwisu jako administrator danych (dalej: „Administrator”) oraz Zakode Władysław Zakrzewski, ul. Michała Bobrzyńskiego 41/8, Kraków, 30-348, NIP: 9462668949, jako podmiot przetwarzający (dalej: „Procesor”).
2. Umowa zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje przez czas korzystania z Serwisu przez Administratora.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w celu i zakresie niezbędnym do świadczenia usług Serwisu opisanych w Regulaminie: przechowywania danych Odbiorców, wysyłania do nich próśb i przypomnień e-mail, przyjmowania i przechowywania Dokumentów oraz ich usuwania po upływie Okresu przechowywania.
2. Przetwarzanie obejmuje operacje: zbieranie, utrwalanie, przechowywanie, udostępnianie Administratorowi, przesyłanie wiadomości e-mail oraz usuwanie.
3. Administrator poleca również udostępnianie Odbiorcy, stałym linkiem wysyłanym na jego adres e-mail, listy próśb wysłanych na ten adres - razem z prośbami innych Użytkowników Serwisu - a Odbiorcy mającemu Konto z potwierdzonym adresem także w jego Koncie.
4. Wiadomości do Odbiorców zawierają informację, że zostały wysłane za pośrednictwem Serwisu, oraz odnośniki do jego strony i Polityki prywatności. Procesor nie wykorzystuje powierzonych danych do własnych celów, w szczególności marketingowych.
5. Administrator może udostępnić Konto Członkom zespołu w sposób opisany w Regulaminie. Członków zespołu upoważnia do przetwarzania danych Administrator (art. 29 i art. 32 ust. 4 RODO) i odpowiada za ich działania; Procesor zapewnia narzędzia do nadawania, wstrzymywania i odbierania im dostępu oraz zapisuje w historii Prośby, kto wykonał daną czynność.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób: klienci i kontrahenci Administratora, ich pracownicy i reprezentanci oraz inne osoby, których dane znajdują się w Dokumentach.
2. Rodzaje danych: imię i nazwisko lub nazwa, adres e-mail, numer telefonu, NIP, a także wszelkie dane zawarte w Dokumentach przesłanych przez Odbiorców (np. dane identyfikacyjne, finansowe, dotyczące zatrudnienia).
3. Administrator zobowiązuje się nie żądać za pośrednictwem Serwisu danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że posiada do tego odrębną podstawę prawną i zapewnił jej zgodność z przepisami.

§ 4. Czas przetwarzania i usunięcie danych

1. Dokumenty są przetwarzane przez Okres przechowywania wybrany przez Administratora dla danej prośby (nie dłużej niż 365 dni od przesłania pliku), po czym Procesor trwale je usuwa.
2. Po rozwiązaniu umowy Procesor usuwa powierzone dane w terminie do 30 dni. Dane w kopiach zapasowych są usuwane w cyklu ich rotacji, nie dłuższym niż 7 dni. Przed rozwiązaniem umowy Administrator może pobrać Dokumenty z Serwisu.
3. Jeżeli Administrator usunie Konto samodzielnie w ustawieniach Konta, Procesor usuwa powierzone dane niezwłocznie po potwierdzeniu usunięcia, bez oczekiwania na termin, o którym mowa w ust. 2.
4. Administrator może w każdej chwili usunąć w Serwisie wybrane prośby albo wybranych Odbiorców wraz ze wszystkimi ich prośbami, Dokumentami i historią zdarzeń - w szczególności, aby spełnić żądanie Odbiorcy usunięcia danych (art. 17 RODO). Procesor usuwa te dane niezwłocznie, a z kopii zapasowych w cyklu ich rotacji, o którym mowa w ust. 2. Usuniętych danych nie można przywrócić.

§ 5. Obowiązki Procesora

Procesor zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są Regulamin, niniejsza umowa oraz ustawienia wybrane przez Administratora w Serwisie. Procesor niezwłocznie poinformuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych;
2. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy;
3. stosować środki bezpieczeństwa, o których mowa w art. 32 RODO, w tym: szyfrowanie połączeń, szyfrowanie przechowywanych Dokumentów (AES-256), kontrolę dostępu, rejestrowanie pobrań Dokumentów, przechowywanie plików w niepublicznym magazynie, rejestrowanie zdarzeń oraz automatyczne usuwanie danych po Okresie przechowywania;
4. pomagać Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, w realizacji żądań osób, których dane dotyczą (art. 12-23 RODO), oraz w wywiązywaniu się z obowiązków określonych w art. 32-36 RODO;
5. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwić przeprowadzenie audytu, zgodnie z § 7.

§ 6. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualni podprocesorzy to: dostawca hostingu - Euronodes Ltd.; dostawca wysyłki poczty e-mail - cyber_Folks S.A.; dostawca sieci dostarczania treści i ochrony przed atakami (CDN) - Cloudflare, Inc., przez którego serwery przechodzi cały ruch do Serwisu, w tym przesyłane Dokumenty (połączenia są szyfrowane, ale dostawca odszyfrowuje je na swoich serwerach, żeby filtrować ataki i przekazać ruch dalej).
2. O zamiarze dodania lub zmiany podprocesora Procesor poinformuje Administratora drogą e-mail co najmniej 14 dni wcześniej. Administrator może w tym terminie wyrazić sprzeciw, a w razie jego nieuwzględnienia rozwiązać umowę ze skutkiem natychmiastowym.
3. Procesor nakłada na podprocesorów te same obowiązki w zakresie ochrony danych, które wynikają z niniejszej umowy, i odpowiada wobec Administratora za ich wykonanie.
4. Powierzone dane są przechowywane w Europejskim Obszarze Gospodarczym (Czechy). Administrator poleca korzystanie z podprocesora Cloudflare, Inc., którego serwery mogą znajdować się także poza EOG, w tym w USA - przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. w sprawie ram ochrony danych UE-USA (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych (art. 45-46 RODO). Poza tym Procesor nie przekazuje powierzonych danych poza EOG bez polecenia Administratora.

§ 7. Audyt

1. Administrator może sprawdzić, czy Procesor przestrzega umowy, w pierwszej kolejności poprzez pisemne zapytania. Audyt w siedzibie Procesora jest możliwy nie częściej niż raz w roku, po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy i w sposób niezakłócający działalności Procesora.
2. Audytor zobowiązany jest do zachowania poufności. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Procesora.

§ 8. Naruszenia ochrony danych

Procesor zawiadamia Administratora o stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zawiadomienie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są one znane Procesorowi.

§ 9. Obowiązki Administratora

Administrator oświadcza, że jest uprawniony do przetwarzania powierzonych danych, posiada podstawę prawną ich przetwarzania oraz wykonał wobec osób, których dane dotyczą, obowiązki informacyjne z art. 13 i 14 RODO.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron za szkody wyrządzone naruszeniem przepisów o ochronie danych określa art. 82 RODO.
2. W sprawach nieuregulowanych stosuje się Regulamin, RODO oraz przepisy prawa polskiego. W razie sprzeczności między Regulaminem a niniejszą umową w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.