Umowa o powierzenie przetwarzania danych osobowych
Niniejsza umowa o powierzenie przetwarzania danych osobowych (dalej: „Umowa”) zostaje zawarta zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) pomiędzy:
Usługobiorcą — przedsiębiorcą, który zawarł niniejszą Umowę w formularzu rejestracji albo w panelu Stempel, oznaczonym danymi podanymi przy rejestracji konta (w egzemplarzu podpisywanym: [NAZWA FIRMY], [adres siedziby], NIP: [···], reprezentowanym przez: [imię i nazwisko, stanowisko]), zwanym dalej „Administratorem”,
a
Dream of Beauty Magdalena Więckowska, ul. Kaliny Jędrusik 7 lok. U4, 01-748 Warszawa, NIP 527-242-34-38, REGON 363970875 (wpis do CEIDG), reprezentowaną przez Magdalenę Więckowską, zwaną dalej „Podmiotem Przetwarzającym”,
zwanymi łącznie „Stronami”.
§ 1. Przedmiot i zakres powierzenia
1. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych (dalej: „Dane”) wyłącznie w celu i w zakresie niezbędnym do świadczenia usługi platformy SaaS „Stempel” opisanej w regulaminie: prowadzenia programu lojalnościowego, emisji i aktualizacji kart w portfelach cyfrowych (Google Wallet / Apple Wallet), wysyłki powiadomień i kampanii, raportów, obsługi kas, korekt i kont pracowników.
2. Kategorie osób, których dotyczą Dane: (a) uczestnicy programu lojalnościowego (klienci Administratora); (b) pracownicy i współpracownicy Administratora, którym Administrator założył konta w panelu lub kasie.
3. Rodzaje Danych: (a) uczestnicy — kod członka, imię, adres e-mail, dzień i miesiąc urodzenia (o ile podane), historia wizyt, punktów i realizacji nagród, treść zgód i sprzeciwów, potwierdzenie wieku, dane techniczne (adres IP, typ urządzenia) w zakresie niezbędnym dla bezpieczeństwa; (b) pracownicy — imię, adres e-mail, rola, przypisanie do lokalu, skrót PIN-u, dziennik wykonanych operacji. Dane nie obejmują szczególnych kategorii danych (art. 9 RODO).
4. Charakter przetwarzania: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, modyfikowanie, przeglądanie, wysyłanie, udostępnianie podprocesorom, ograniczanie, usuwanie — w systemie informatycznym Podmiotu Przetwarzającego, w sposób zautomatyzowany.
5. Czas trwania przetwarzania: okres obowiązywania umowy o świadczenie usług oraz okres niezbędny do usunięcia Danych zgodnie z § 2 ust. 8.
§ 2. Obowiązki Podmiotu Przetwarzającego (art. 28 ust. 3 RODO)
1. Podmiot Przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo UE lub prawo polskie — wtedy przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo tego nie zabrania. Udokumentowanymi poleceniami są: niniejsza Umowa, regulamin, ustawienia i operacje wykonywane przez Administratora i jego pracowników w panelu i kasie oraz polecenia przesłane e-mailem z adresu konta.
2. Podmiot Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych, i może wstrzymać jego wykonanie do czasu wyjaśnienia.
3. Podmiot Przetwarzający zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności.
4. Podmiot Przetwarzający stosuje środki techniczne i organizacyjne wymagane art. 32 RODO, co najmniej: szyfrowanie transmisji (TLS) i szyfrowanie poświadczeń w spoczynku (AES-256-GCM); izolację danych poszczególnych lokali na poziomie bazy danych (Row-Level Security); kontrolę dostępu opartą na rolach i dwuetapowe logowanie właścicieli; hashowanie haseł (scrypt); ograniczenie liczby żądań i ochronę antyspamową formularzy; dziennik operacji i audytu; automatyczne kopie zapasowe bazy danych; ograniczenie dostępu administracyjnego do niezbędnych osób.
5. Podmiot Przetwarzający przekazuje Dane poza Europejski Obszar Gospodarczy wyłącznie z zachowaniem rozdziału V RODO — na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework) albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.
6. Uwzględniając charakter przetwarzania, Podmiot Przetwarzający pomaga Administratorowi (a) poprzez narzędzia w panelu (eksport, korekta, usunięcie karty uczestnika, rejestr zgód) oraz na żądanie przesłane e-mailem — w realizacji praw osób, których dane dotyczą (art. 12–22 RODO); żądania skierowane bezpośrednio do Podmiotu Przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki; (b) w wywiązywaniu się z obowiązków z art. 32–36 RODO, w tym przekazując informacje potrzebne do oceny skutków dla ochrony danych.
7. Podmiot Przetwarzający zgłasza Administratorowi każde naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail konta, podając w miarę dostępności informacje wymienione w art. 33 ust. 3 RODO (charakter naruszenia, przybliżona liczba osób i rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki), a następnie uzupełnia je bez zbędnej zwłoki.
8. Po zakończeniu świadczenia usługi Podmiot Przetwarzający usuwa Dane w ciągu 30 dni, a przed usunięciem umożliwia Administratorowi pobranie kopii wszystkich Danych (Panel → Konto, plik JSON — w każdym planie, także po wygaśnięciu płatnego okresu); usunięcie konta przez Administratora w panelu oznacza polecenie natychmiastowego usunięcia Danych. Kopie zapasowe są nadpisywane w ramach cyklu ich rotacji. Obowiązek usunięcia nie dotyczy Danych, których dalsze przechowywanie nakazuje prawo.
9. Podmiot Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów, w tym inspekcji, przez Administratora lub upoważnionego audytora związanego obowiązkiem poufności. Audyt zapowiada się z co najmniej 14-dniowym wyprzedzeniem, przeprowadza w dni robocze i w sposób niezakłócający działania platformy, w pierwszej kolejności w formie pisemnych pytań i dokumentów. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Podmiot Przetwarzający.
§ 3. Podprocesorzy
1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot Przetwarzający z podprocesorów wymienionych w ust. 2 oraz na ich zmianę na zasadach ust. 3.
2. Aktualna lista podprocesorów: Vercel Inc. (hosting aplikacji); Neon Inc. (hosting bazy danych); Google LLC (emisja i aktualizacja kart Google Wallet, powiadomienia); Apple Inc. (emisja kart Apple Wallet i powiadomienia o ich aktualizacji); dostawca poczty elektronicznej — Resend, Inc. lub Microsoft Ireland Operations Ltd. (Microsoft 365), zależnie od konfiguracji wysyłki.
3. Podmiot Przetwarzający informuje Administratora e-mailem o zamiarze dodania lub zmiany podprocesora z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym terminie zgłosić uzasadniony sprzeciw; jeżeli Strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym, bez kosztów, a Podmiot Przetwarzający zwraca proporcjonalną część opłaty za niewykorzystany okres.
4. Podmiot Przetwarzający nakłada na każdego podprocesora obowiązki ochrony danych zapewniające co najmniej poziom ochrony wynikający z niniejszej Umowy i odpowiada wobec Administratora za wykonanie obowiązków przez podprocesorów (art. 28 ust. 4 RODO).
§ 4. Odpowiedzialność
1. Podmiot Przetwarzający odpowiada za szkody wyrządzone przetwarzaniem, jeżeli nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające lub działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim (art. 82 ust. 2 RODO). W pozostałym zakresie do odpowiedzialności Stron wobec siebie stosuje się § 11 regulaminu, z zastrzeżeniem przepisów bezwzględnie obowiązujących.
2. Administrator, jako podmiot ustalający cele i sposoby przetwarzania, odpowiada za zgodność przetwarzania z prawem — w tym za podstawy prawne, cele programu, treść komunikatów i kampanii, zgody uczestników, wykonanie obowiązku informacyjnego oraz treść publikowanych kart.
§ 5. Czas trwania
Umowa obowiązuje przez czas obowiązywania umowy o świadczenie usług i wygasa wraz z nią. Obowiązki z § 2 ust. 7–9 oraz § 4 obowiązują do czasu usunięcia Danych i wygaśnięcia roszczeń.
§ 6. Postanowienia końcowe
1. W sprawach nieuregulowanych zastosowanie mają przepisy RODO i prawa polskiego.
2. Umowa zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą złożenia przez osobę upoważnioną do reprezentowania Administratora oświadczenia o jej zawarciu w formularzu rejestracji albo w panelu. Podmiot Przetwarzający utrwala datę, wersję Umowy, adres e-mail tej osoby i adres IP. Do czasu zawarcia Umowy platforma nie przyjmuje zapisów uczestników programu Administratora i nie wysyła im komunikatów. Na życzenie Administratora Strony podpisują jej egzemplarz; Administrator przesyła go na adres dane@stempel-karty.pl.
3. Zmiany Umowy następują w trybie zmiany regulaminu (§ 13 ust. 2 regulaminu) albo przez porozumienie Stron w formie dokumentowej. W razie sprzeczności między Umową a regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.
Administrator:
(podpis osoby upoważnionej + data — tylko egzemplarz podpisywany)
Podmiot Przetwarzający:
Dream of Beauty Magdalena Więckowska (podpis + data)