Umowa powierzenia przetwarzania danych osobowych
PROJEKT — do weryfikacji przez prawnika przed udostępnieniem. Umowa jest częścią Regulaminu i obowiązuje od założenia konta Agencji.
1. Strony
- Administrator — Agencja korzystająca z Serwisu Vekord.
- Podmiot przetwarzający — [NAZWA FIRMY], [ADRES], NIP [NIP] (dalej: Przetwarzający).
2. Przedmiot i czas
- Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Serwisu opisanych w Regulaminie.
- Umowa obowiązuje przez czas korzystania z Serwisu i do usunięcia danych zgodnie z pkt 9.
3. Charakter, cel, rodzaj danych i kategorie osób
| Charakter | przechowywanie, porządkowanie, wyszukiwanie, analiza, przesyłanie (np. powiadomienia, publikacje), usuwanie |
| Cel | świadczenie usług Serwisu na rzecz Administratora |
| Rodzaje danych | dane kontaktowe (imię, nazwisko, e-mail, telefon), dane firm klientów, treść dokumentów i korespondencji, dane rozliczeniowe, dane z formularzy i zgłoszeń, adresy IP odwiedzających strony klientów (czujka błędów, formularze) |
| Kategorie osób | klienci Administratora i ich pracownicy, osoby kontaktujące się przez formularze, odbiorcy newslettera, członkowie zespołu Administratora |
Administrator nie powierza szczególnych kategorii danych (art. 9 RODO); jeśli trafią do dokumentów, odpowiada za podstawę ich przetwarzania.
4. Obowiązki Przetwarzającego
Przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest korzystanie z funkcji Serwisu;
- zapewnia, że osoby z dostępem do danych są zobowiązane do poufności;
- stosuje środki bezpieczeństwa z art. 32 RODO opisane w Załączniku;
- pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą — Serwis daje narzędzia do wyszukania, poprawienia, wyeksportowania i usunięcia danych;
- pomaga Administratorowi w wypełnianiu obowiązków z art. 32–36 RODO;
- udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyt (pkt 8).
5. Dalsze powierzenie (podprocesorzy)
- Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych na liście Podprocesorzy.
- O zamiarze dodania lub zmiany podprocesora Przetwarzający informuje e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw; jeśli strony się nie porozumieją, Administrator może rozwiązać umowę i usunąć konto.
- Przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.
6. Naruszenia ochrony danych
Przetwarzający zawiadamia Administratora o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia, podając informacje wymagane przez art. 33 ust. 3 RODO w zakresie, w jakim je zna.
7. Przekazywanie poza EOG
Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie rozdziału V RODO (standardowe klauzule umowne albo decyzja o odpowiednim stopniu ochrony), zgodnie z listą podprocesorów.
8. Audyt
Administrator może raz w roku (oraz po naruszeniu) żądać informacji o przetwarzaniu albo przeprowadzić audyt po uprzedzeniu z 14-dniowym wyprzedzeniem, na własny koszt, w sposób nieutrudniający działania Serwisu.
9. Zakończenie
Po usunięciu konta Przetwarzający usuwa dane Administratora po 30 dniach na wycofanie zlecenia; kopie zapasowe wygasają w cyklu rotacji (do 5 tygodni). Przed usunięciem Administrator może pobrać eksport danych.
Załącznik — środki techniczne i organizacyjne
- szyfrowanie połączeń (HTTPS/TLS);
- hasła jako hasze scrypt; sekrety (tokeny, klucze, sejf) szyfrowane AES;
- separacja danych agencji w bazie (zasady na poziomie wierszy, RLS);
- logowanie dwuetapowe dostępne dla kont; blokada po nieudanych logowaniach;
- role i zakres dostępu do klientów w obrębie agencji;
- dziennik zmian (kto, co, kiedy);
- codzienne kopie zapasowe, poza serwer tylko zaszyfrowane, z próbą odtworzenia;
- serwer w UE, dostęp administracyjny wyłącznie Przetwarzającego, zapora sieciowa, automatyczne poprawki bezpieczeństwa systemu.
Wersja dokumentów: 2026-11-06