§1. Strony i zawarcie umowy
Umowa zostaje zawarta pomiędzy Właścicielem Pracowni w Velunta (dalej: „Administrator”) a Bajeczne Balony Oleh Serhiienko, NIP 6832090873, ul. Ciesielskiego 6, 31-589 Kraków, Polska (dalej: „Podmiot przetwarzający”).
Umowa stanowi integralną część Regulaminu i zostaje zawarta z chwilą jego akceptacji. Obowiązuje przez czas korzystania z Velunta.
§2. Przedmiot, charakter i cel
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Pracowni wyłącznie w celu świadczenia usług Velunta opisanych w Regulaminie.
Przetwarzanie obejmuje: zapisywanie, przechowywanie, porządkowanie, wyświetlanie, udostępnianie członkom zespołu Pracowni, eksport i usuwanie danych.
§3. Kategorie osób i danych
- Osoby: klienci Administratora, osoby kontaktowe dostawców i kontrahentów, członkowie zespołu Pracowni, inne osoby, których dane Administrator wprowadzi.
- Dane: imię i nazwisko lub nazwa, numer telefonu, adres e-mail, adresy dostaw, szczegóły zamówień i płatności, notatki, zdjęcia i dokumenty w załącznikach (mogą przedstawiać wizerunek).
Administrator nie powinien wprowadzać szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO).
§4. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest korzystanie z funkcji Velunta; jeśli polecenie narusza prawo, informuje o tym Administratora,
- zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy,
- stosuje środki bezpieczeństwa, o których mowa w art. 32 RODO (§7),
- pomaga Administratorowi w realizacji praw osób, których dane dotyczą — m.in. przez funkcje edycji, eksportu i usuwania danych w aplikacji,
- pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO,
- zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia,
- udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty — w pierwszej kolejności w formie pisemnych wyjaśnień, a w razie potrzeby kontroli po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem.
§5. Dalsze powierzenie
Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania danych następującym podmiotom:
- Podmiot
- Supabase · Supabase, Inc. (USA)
- Cel
- Baza danych, logowanie (konta i hasła), przechowywanie załączników (zdjęcia, PDF), wysyłka e-maili z potwierdzeniem konta, funkcje serwerowe (np. usuwanie konta)
- Lokalizacja danych
- Dane przechowywane w UE: Frankfurt, Niemcy (AWS eu-central-1)
- Zabezpieczenia transferu
- EU-US Data Privacy Framework oraz standardowe klauzule umowne (SCC)
- Podmiot
- Vercel · Vercel Inc. (USA)
- Cel
- Hosting aplikacji internetowej, dostarczanie stron, logi techniczne serwera, anonimowe statystyki odwiedzin (Vercel Web Analytics, bez plików cookies)
- Lokalizacja danych
- Globalna sieć serwerów (CDN), w tym poza EOG
- Zabezpieczenia transferu
- EU-US Data Privacy Framework oraz standardowe klauzule umowne (SCC)
- Podmiot
- Sentry · Functional Software, Inc. (USA)
- Cel
- Raporty błędów aplikacji: komunikat i miejsce błędu, przeglądarka i system, techniczny identyfikator użytkownika i pracowni — bez imion, adresów e-mail, danych klientów i treści zamówień
- Lokalizacja danych
- Dane przechowywane w UE: Frankfurt, Niemcy (region EU Sentry)
- Zabezpieczenia transferu
- EU-US Data Privacy Framework oraz standardowe klauzule umowne (SCC)
Podmiot przetwarzający nakłada na dalszych podmiotów przetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy. O planowanej zmianie lub dodaniu podmiotu informuje z co najmniej 14-dniowym wyprzedzeniem (w aplikacji lub e-mailem). Administrator może wnieść sprzeciw; jeżeli nie zostanie on uwzględniony, Administrator może rozwiązać umowę, usuwając Pracownię lub konto.
§6. Przekazywanie danych poza EOG
Dane bazy i załączników są przechowywane w UE (Frankfurt). Jeżeli dalsi podmioty przetwarzający przekazują dane poza Europejski Obszar Gospodarczy, odbywa się to na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych.
§7. Środki bezpieczeństwa
- szyfrowanie połączeń (HTTPS/TLS) oraz szyfrowanie danych przechowywanych u dostawcy,
- oddzielenie danych Pracowni i kontrola dostępu na poziomie bazy danych (Row Level Security) z uwzględnieniem ról i filii,
- prywatny magazyn plików dostępny wyłącznie dla członków Pracowni,
- klucze administracyjne używane wyłącznie po stronie serwera, nigdy w przeglądarce,
- hasła przechowywane jako skróty kryptograficzne,
- ograniczenie dostępu Podmiotu przetwarzającego do danych do sytuacji niezbędnych (np. obsługa zgłoszenia na prośbę Administratora).
§8. Zakończenie przetwarzania
Po usunięciu Pracowni lub konta Podmiot przetwarzający usuwa dane od razu, a kopie zapasowe i logi dostawców są nadpisywane w cyklu nie dłuższym niż 30 dni, chyba że prawo wymaga ich dalszego przechowywania. Przed usunięciem Administrator może pobrać dane funkcją „Eksportuj dane”.
§9. Odpowiedzialność i postanowienia końcowe
Odpowiedzialność stron za szkody wynikające z naruszenia przepisów o ochronie danych określa art. 82 RODO; w pozostałym zakresie stosuje się postanowienia Regulaminu.
W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Regulamin. Wersja polska umowy jest wersją wiążącą.