Umowa powierzenia przetwarzania danych osobowych

Wersja 2026-10-14

§ 1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w związku z korzystaniem z usług w portalu klienta CraftlyWorks (app.craftlyworks.com), na zasadach art. 28 rozporządzenia (UE) 2016/679 (RODO).
2. Umowa składa się z części ogólnej i załączników. Każdy załącznik opisuje jedną usługę i obowiązuje od chwili, gdy Administrator zaakceptuje go przy pierwszym uruchomieniu tej usługi. Usługi, której załącznika Administrator nie zaakceptował, umowa nie obejmuje i Podmiot przetwarzający nie przetwarza w niej danych.
3. Administrator oświadcza, że jest administratorem powierzanych danych, że przetwarza je zgodnie z prawem oraz że zawiera umowę w związku ze swoją działalnością gospodarczą lub zawodową.
4. Umowa obowiązuje od chwili jej zaakceptowania do usunięcia konta Administratora w usłudze.

§ 2. Charakter i cel przetwarzania

1. Przechowywanie danych Administratora w postaci zaszyfrowanej kluczem, który zna wyłącznie Administrator.
2. Przetwarzanie danych w pamięci serwera na czas wykonania czynności, którą Administrator uruchomił w usłudze, bez ich zapisywania.
3. Charakter i cel przetwarzania w poszczególnych usługach określają załączniki.

§ 3. Rodzaj danych i kategorie osób

1. Rodzaj danych i kategorie osób, których dane dotyczą, określają załączniki, osobno dla każdej usługi.
2. Powierzenie nie obejmuje szczególnych kategorii danych w rozumieniu art. 9 RODO.

§ 4. Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania nakłada na niego prawo Unii Europejskiej lub prawo polskie; o takim obowiązku informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania. Poleceniem jest korzystanie z funkcji usługi, w szczególności uruchomienie skanu lub sprawdzenia.
2. Dopuszcza do danych wyłącznie osoby upoważnione i zobowiązane do zachowania poufności.
3. Stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w § 6.
4. Pomaga Administratorowi, w zakresie, w jakim jest to możliwe, w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO.
5. Zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail konta.
6. Nie przekazuje danych poza Europejski Obszar Gospodarczy.

§ 5. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie z dalszych podmiotów przetwarzających. W dniu zawarcia umowy są nimi: dostawca hostingu Korbank S.A., ul. Fabryczna 16k, 53-609 Wrocław (K.pl), z serwerem w Polsce, oraz dostawca magazynu kopii zapasowych OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław (OVHcloud), z centrum danych w Warszawie. Kopie zapasowe trafiają do magazynu zaszyfrowane kluczem, którego dostawca magazynu nie posiada.
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje z wyprzedzeniem co najmniej 14 dni, wiadomością e-mail lub komunikatem w usłudze. Administrator może wyrazić sprzeciw, usuwając konto.
3. Systemy, z których usługa odczytuje dane na polecenie Administratora, wskazane w załącznikach, nie są dalszymi podmiotami przetwarzającymi.

§ 6. Środki bezpieczeństwa

1. Dane zapisywane w usłudze są szyfrowane w przeglądarce (AES-256-GCM) kluczem firmy Administratora, który każda dopuszczona osoba otwiera własnym hasłem szyfrującym. Hasła szyfrujące nie trafiają na serwer, a klucz firmy jest na nim przechowywany wyłącznie w postaci zaszyfrowanej dla poszczególnych osób.
2. Dane przesyłane na czas skanu lub sprawdzenia są chronione szyfrowanym połączeniem (TLS), przetwarzane w pamięci i nie są zapisywane w bazie danych ani w logach.
3. Dostęp do serwera mają wyłącznie upoważnione osoby. Pracownicy Podmiotu przetwarzającego nie mają możliwości odczytania zapisanych danych Administratora.

§ 7. Osoby dopuszczone przez Administratora

1. Administrator sam decyduje, którym osobom nadaje dostęp do konta firmy i do których usług. Osoby te działają z jego upoważnienia i na jego odpowiedzialność; do Administratora należy upoważnienie ich do przetwarzania danych i zobowiązanie do zachowania poufności.
2. Każda z tych osób ma własne hasło i własne hasło szyfrujące, których Podmiot przetwarzający nie zna i nie przechowuje. Klucz firmy przekazują im wyłącznie przeglądarki osób, które już go mają.
3. Administrator odbiera dostęp osobie, która nie powinna go dłużej mieć, usuwając ją z zespołu w usłudze. Od tej chwili serwer nie wydaje jej żadnych danych firmy, a przy najbliższym otwarciu danych przez właściciela klucz firmy jest wymieniany i zapisane dane są szyfrowane na nowo.
4. Właściciel konta firmy może zresetować hasło szyfrujące osoby z zespołu. Podmiot przetwarzający wykonuje wtedy wyłącznie polecenie Administratora: usuwa klucze tej osoby i kończy jej sesje, a nowy dostęp nadaje jej przeglądarka właściciela.
5. Podmiot przetwarzający nie odpowiada za działania i zaniechania osób, którym Administrator nadał dostęp, ani za skutki nadania, utrzymania lub nieodebrania im dostępu.

§ 8. Kontrola

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Administrator może przeprowadzić audyt nie częściej niż raz w roku, po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w sposób niezakłócający działania usługi.

§ 9. Zakończenie przetwarzania

1. Usunięcie konta przez Administratora powoduje niezwłoczne usunięcie wszystkich powierzonych danych.
2. Konto, na które nikt nie zalogował się przez 24 miesiące, jest usuwane automatycznie wraz z danymi.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają za szkody na zasadach określonych w art. 82 RODO i w przepisach prawa polskiego.
2. Podmiot przetwarzający nie odpowiada za skutki działań lub zaniechań Administratora, w szczególności za udostępnienie przez niego hasła, hasła szyfrującego lub dostępu do konta innym osobom ani za utratę hasła szyfrującego razem z kodem odzyskiwania, bez których zapisanych danych nie da się otworzyć.
3. Zmiana umowy lub załącznika następuje przez udostępnienie w usłudze nowej wersji. Nowa wersja obowiązuje Administratora od chwili, gdy ją w usłudze zaakceptuje; do tego czasu usługa, której zmiana dotyczy, nie zapisuje ani nie sprawdza jego danych.
4. W sprawach nieuregulowanych stosuje się RODO oraz Kodeks cywilny. Spory rozstrzyga sąd właściwy dla siedziby Podmiotu przetwarzającego.
5. Umowa zostaje zawarta w formie elektronicznej, przez jej zaakceptowanie w usłudze, i nie wymaga podpisów. Podlega prawu polskiemu.
6. W razie rozbieżności między wersjami językowymi rozstrzyga wersja polska.

Wzór. Umowa zostaje zawarta po uzupełnieniu danych i zaakceptowaniu jej w usłudze.