Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Administratorem jest Klient w rozumieniu Regulaminu programu do wyceny mebli (dalej: Regulamin), czyli przedsiębiorca, który zawarł z Usługodawcą Umowę o korzystanie z Programu.
2. Podmiotem przetwarzającym jest Jakub Micota, prowadzący jednoosobową działalność gospodarczą pod firmą JAKUB MICOTA, działający pod marką Pomeblowani, z adresem ul. 11 Listopada 3/14, 18-100 Łapy, NIP 966 213 00 60, REGON 383370846, wpisany do CEIDG, e-mail maciejwyszynski@pomeblowani.pl.
3. Niniejsza umowa (dalej: Umowa powierzenia) jest umową, o której mowa w art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: RODO). Zostaje zawarta w formie elektronicznej razem z Umową o korzystanie z Programu, na zasadach opisanych w Regulaminie, i obowiązuje tak długo jak ta Umowa.
4. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie, a pojęcia dotyczące danych osobowych znaczenie nadane im w RODO.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Programu, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową powierzenia, Regulaminem i przepisami.
2. Celem przetwarzania jest wyłącznie świadczenie usługi dostępu do Programu, w szczególności przygotowywanie wycen i Ofert PDF, prowadzenie bazy klientów i zapytań, obsługa techniczna oraz wykonywanie kopii zapasowych.
3. Przetwarzanie obejmuje operacje potrzebne do tego celu: zbieranie danych wprowadzanych przez Administratora, przechowywanie, porządkowanie, wyświetlanie, generowanie dokumentów, tworzenie kopii zapasowych, przywracanie, eksport na żądanie Administratora i usuwanie.
4. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemach informatycznych.

§ 3. Rodzaj danych i kategorie osób

1. Powierzenie obejmuje dane następujących kategorii osób:
   1. klientów i potencjalnych klientów Administratora (Klientów Końcowych);
   2. osób, którym Administrator nadał dostęp do Konta, w szczególności pracowników i współpracowników Administratora.
2. Powierzenie obejmuje następujące rodzaje danych: imię i nazwisko, numer telefonu, adres e-mail, adres miejsca realizacji, treść zapytań, notatek i korespondencji, dane dotyczące zamówień, wycen i ofert, a jeżeli Administrator korzysta z takiej funkcji, także nagrania rozmów i ich transkrypcje. W przypadku osób z dostępem do Konta również login i dane logowania.
3. Powierzenie nie obejmuje szczególnych kategorii danych, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych. Administrator zobowiązuje się nie wprowadzać takich danych do Programu.

§ 4. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania danych powierzonych Podmiotowi przetwarzającemu i że spełnił wobec osób, których dane dotyczą, obowiązki informacyjne z art. 13 i 14 RODO.
2. Administrator odpowiada za treść danych wprowadzanych do Programu oraz za nadawanie i odbieranie dostępu do Konta swoim pracownikom i współpracownikom.

§ 5. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Umowa powierzenia, Regulamin, Umowa o korzystanie z Programu oraz działania Administratora w Programie i jego dyspozycje przesłane e-mailem. Nie dotyczy to sytuacji, gdy obowiązek przetwarzania nakłada prawo Unii lub prawo polskie; wtedy Podmiot przetwarzający informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
2. Podmiot przetwarzający dopuszcza do danych wyłącznie osoby, które upoważnił i które zobowiązały się do zachowania ich w tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy. Obowiązek ten trwa także po zakończeniu Umowy powierzenia.
3. Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, odpowiednie do ryzyka, w szczególności:
   1. szyfrowanie połączeń z Programem (protokół HTTPS);
   2. dostęp do Konta chroniony hasłem i rozdzielenie danych poszczególnych Klientów;
   3. ograniczenie dostępu do danych do osób, którym jest on potrzebny do świadczenia usługi;
   4. przechowywanie danych na serwerach w Europejskim Obszarze Gospodarczym, o ile to możliwe;
   5. regularne kopie zapasowe i procedurę przywracania danych;
   6. bieżące aktualizacje oprogramowania i regularną ocenę skuteczności zabezpieczeń.
4. Podmiot przetwarzający pomaga Administratorowi, w miarę możliwości i biorąc pod uwagę charakter przetwarzania, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), w szczególności przez umożliwienie odczytu, poprawienia, eksportu i usunięcia danych w Programie.
5. Jeżeli żądanie osoby, której dane dotyczą, trafi bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekaże je Administratorowi niezwłocznie, nie później niż w ciągu 3 dni roboczych.
6. Podmiot przetwarzający pomaga Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32 do 36 RODO, w szczególności przekazuje informacje potrzebne do zgłoszenia naruszenia ochrony danych i do oceny skutków przetwarzania.
7. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 6. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia ochrony powierzonych danych Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 36 godzin, e-mailem na adres przypisany do Konta.
2. Zgłoszenie zawiera co najmniej informacje wymienione w art. 33 ust. 3 RODO, które są dostępne w chwili zgłoszenia. Pozostałe informacje Podmiot przetwarzający przekazuje sukcesywnie, gdy je uzyska.
3. Podmiot przetwarzający podejmuje działania, które ograniczają skutki naruszenia, i dokumentuje naruszenie.

§ 7. Dalsze podmioty przetwarzające

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających, które zapewniają działanie Programu. Aktualna lista znajduje się w tabeli poniżej.
2. O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę o korzystanie z Programu ze skutkiem natychmiastowym.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych, które wynikają z Umowy powierzenia, i odpowiada wobec Administratora za ich wykonanie.
4. Jeżeli dalszy podmiot przetwarzający przetwarza dane poza Europejskim Obszarem Gospodarczym, przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym Ramy ochrony danych UE USA) albo standardowych klauzul umownych.

Podmiot	Zakres	Miejsce przetwarzania i podstawa
Vercel Inc., San Francisco, USA	Hosting aplikacji Programu	USA i UE; Ramy ochrony danych UE USA oraz standardowe klauzule umowne
Supabase Inc., Wilmington, USA	Baza danych i przechowywanie plików Programu	Serwery w UE (Frankfurt); standardowe klauzule umowne

§ 8. Kontrola i audyt

1. Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt albo zlecić go audytorowi, który zobowiąże się do zachowania tajemnicy. O audycie Administrator informuje co najmniej 14 dni wcześniej. Audyt odbywa się w godzinach pracy, nie częściej niż raz w roku, chyba że jest związany z naruszeniem ochrony danych, i nie może zakłócać działalności Podmiotu przetwarzającego. Koszty audytu ponosi Administrator.

§ 9. Czas trwania i usunięcie danych

1. Umowa powierzenia obowiązuje przez czas trwania Umowy o korzystanie z Programu i rozwiązuje się razem z nią.
2. Przez 30 dni od zakończenia Umowy o korzystanie z Programu Administrator może pobrać swoje dane. Po tym czasie Podmiot przetwarzający usuwa powierzone dane, w tym ich kopie, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Dane w kopiach zapasowych są usuwane w cyklu ich nadpisywania, nie później niż po 90 dniach.
3. Na żądanie Administratora Podmiot przetwarzający potwierdzi usunięcie danych e-mailem.

§ 10. Odpowiedzialność

1. Strony odpowiadają za szkody wyrządzone przetwarzaniem danych na zasadach określonych w art. 82 RODO.
2. W sprawach nieuregulowanych w Umowie powierzenia odpowiedzialność stron określa Regulamin.

§ 11. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.
2. Zmiany Umowy powierzenia wprowadza się na zasadach przewidzianych dla zmian Regulaminu.
3. W razie sprzeczności między Umową powierzenia a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.

Sprawy dotyczące danych osobowych: maciejwyszynski@pomeblowani.pl, tel. +48 668 871 863.