Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od [18.09.2026] r. · Wersja 1.0

§ 1. Strony i zawarcie umowy

1. Administrator – Użytkownik posiadający Konto w serwisie Specora, który wprowadza do Serwisu dane osobowe osób trzecich.
2. Podmiot przetwarzający – Marcin Szarłowicz, prowadzący działalność gospodarczą pod adresem Libusza 235, 38-306 Libusza, NIP: 7382176338, operator serwisu Specora.
3. Umowa zawierana jest w formie elektronicznej z chwilą akceptacji Regulaminu podczas zakładania Konta, zgodnie z art. 28 ust. 9 RODO dopuszczającym formę elektroniczną.
4. Podmiot przetwarzający rejestruje datę, wersję dokumentu oraz identyfikator Konta, przy którym nastąpiła akceptacja. Informację tę Administrator może uzyskać na żądanie.
5. Umowa stanowi integralną część Regulaminu. W zakresie ochrony danych osobowych powierzonych przez Administratora niniejsza umowa ma pierwszeństwo przed Regulaminem.

§ 2. Definicje

• RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
• Dane powierzone – dane osobowe osób trzecich, które Administrator wprowadza do Serwisu lub które są przetwarzane w związku z korzystaniem z Serwisu przez te osoby.
• Serwis – serwis Specora dostępny pod adresami specora.eu oraz app.specora.eu.
• Podprocesor – dalszy podmiot przetwarzający, z którego usług korzysta Podmiot przetwarzający.
• Naruszenie – naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

§ 3. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych powierzonych w zakresie i celu określonym w Załączniku nr 1.
2. Powierzenie następuje wyłącznie w celu świadczenia usługi Specora na rzecz Administratora.
3. Umowa obowiązuje przez czas posiadania przez Administratora Konta w Serwisie i wygasa wraz z jego usunięciem, z zastrzeżeniem § 13.

§ 4. Zakres i cel przetwarzania

1. Rodzaje danych, kategorie osób, charakter i cel przetwarzania oraz czynności przetwarzania określa Załącznik nr 1.
2. Administrator oświadcza, że posiada podstawę prawną do przetwarzania Danych powierzonych i do ich powierzenia Podmiotowi przetwarzającemu.
3. Administrator zobowiązuje się nie wprowadzać do Serwisu danych szczególnych kategorii w rozumieniu art. 9 RODO ani danych dotyczących wyroków skazujących i czynów zabronionych w rozumieniu art. 10 RODO. Serwis nie jest przeznaczony do przetwarzania takich danych.
4. Administrator zobowiązuje się wprowadzać do Serwisu wyłącznie dane niezbędne do realizacji projektu, zgodnie z zasadą minimalizacji danych.

§ 5. Obowiązki Administratora

1. Administrator odpowiada za zgodność z prawem przetwarzania Danych powierzonych, w tym za posiadanie podstawy prawnej oraz realizację obowiązku informacyjnego wobec osób, których dane dotyczą.
2. Administrator wydaje polecenia przetwarzania poprzez korzystanie z funkcjonalności Serwisu. Polecenia wykraczające poza standardowe funkcjonalności wymagają formy pisemnej lub dokumentowej.
3. Administrator odpowiada za konfigurację uprawnień w swoim Koncie, w szczególności za zakres danych udostępnianych przez Panel Klienta oraz za cofanie dostępu, gdy przestaje być potrzebny.
4. Administrator zobowiązuje się nie przesyłać do funkcji Specora Lens materiałów zawierających dane osobowe, dokumenty ani informacje poufne, które nie są niezbędne do wyszukania produktu.
5. Administrator niezwłocznie informuje Podmiot przetwarzający o żądaniach osób, których dane dotyczą, jeżeli ich realizacja wymaga działania po stronie Podmiotu przetwarzającego.

§ 6. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się do:

1. przetwarzania Danych powierzonych wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie transferów do państw trzecich, chyba że obowiązek taki nakłada prawo Unii lub prawo państwa członkowskiego – w takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania;
2. zapewnienia, by osoby upoważnione do przetwarzania Danych powierzonych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
3. stosowania środków technicznych i organizacyjnych wymaganych na mocy art. 32 RODO, opisanych w Załączniku nr 3;
4. przestrzegania warunków korzystania z usług Podprocesorów określonych w § 8;
5. udzielania Administratorowi pomocy, w miarę możliwości, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą;
6. udzielania Administratorowi pomocy w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
7. usunięcia lub zwrotu Danych powierzonych po zakończeniu świadczenia usług, zgodnie z § 13;
8. udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia audytów na zasadach określonych w § 12;
9. niezwłocznego poinformowania Administratora, jeżeli w jego ocenie wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§ 7. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, opisane w Załączniku nr 3.
2. Podmiot przetwarzający może modyfikować stosowane środki, pod warunkiem że poziom bezpieczeństwa nie ulegnie obniżeniu.
3. Dostęp do Danych powierzonych mają wyłącznie osoby, którym jest to niezbędne do świadczenia usługi, na zasadzie minimalnych koniecznych uprawnień.

§ 8. Podpowierzenie

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług Podprocesorów, w rozumieniu art. 28 ust. 2 RODO.
2. Aktualna lista Podprocesorów stanowi Załącznik nr 2 i jest tożsama z wykazem dostawców w Polityce prywatności.
3. Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia Podprocesorów drogą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem.
4. Administrator ma prawo wniesienia uzasadnionego sprzeciwu wobec zmiany w terminie 14 dni od otrzymania informacji. W razie sprzeciwu Strony podejmują próbę uzgodnienia rozwiązania. Jeżeli porozumienie nie zostanie osiągnięte, Administrator może rozwiązać umowę poprzez usunięcie Konta, a Podmiot przetwarzający zwraca opłatę za niewykorzystany okres rozliczeniowy.
5. Podmiot przetwarzający nakłada na Podprocesorów obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszej umowy i odpowiada wobec Administratora za wykonanie przez nich tych obowiązków.

§ 9. Transfery poza Europejski Obszar Gospodarczy

1. Część Podprocesorów przetwarza dane poza EOG. Lokalizacje przetwarzania i zastosowane mechanizmy transferu wskazano w Załączniku nr 2.
2. Transfery odbywają się wyłącznie na podstawie mechanizmów przewidzianych w rozdziale V RODO: decyzji o odpowiednim stopniu ochrony albo standardowych klauzul umownych 2021/914 wraz z dodatkowymi środkami zabezpieczającymi.
3. Administrator przyjmuje do wiadomości i akceptuje, że korzystanie z Serwisu wiąże się z transferami opisanymi w Załączniku nr 2. Akceptacja niniejszej umowy stanowi polecenie dokonywania tych transferów w rozumieniu § 6 pkt 1.
4. Na żądanie Administratora Podmiot przetwarzający udostępnia informacje o zastosowanych zabezpieczeniach.

§ 10. Prawa osób, których dane dotyczą

1. Żądania osób, których dane dotyczą, realizuje Administrator. Podmiot przetwarzający nie odpowiada bezpośrednio na takie żądania, chyba że wymaga tego prawo.
2. Jeżeli żądanie wpłynie bezpośrednio do Podmiotu przetwarzającego, przekazuje on je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 3 dni roboczych, i informuje osobę składającą żądanie o właściwym administratorze.
3. Podmiot przetwarzający zapewnia Administratorowi funkcjonalności umożliwiające samodzielną realizację żądań: dostęp do danych, ich poprawianie, usuwanie oraz eksport w ustrukturyzowanym formacie.
4. Jeżeli realizacja żądania wykracza poza dostępne funkcjonalności, Podmiot przetwarzający udziela pomocy na wniosek Administratora, w terminie umożliwiającym dotrzymanie terminów wynikających z RODO.

§ 11. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi Naruszenie dotyczące Danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.
2. Zgłoszenie zawiera co najmniej: opis charakteru Naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych.
3. Jeżeli pełna informacja nie jest dostępna w chwili zgłoszenia, Podmiot przetwarzający przekazuje ją sukcesywnie, w miarę ustalania okoliczności.
4. Zgłoszenia do organu nadzorczego oraz zawiadomienia osób, których dane dotyczą, dokonuje Administrator. Podmiot przetwarzający udziela mu w tym zakresie niezbędnej pomocy.
5. Termin wskazany w ust. 1 jest krótszy niż wynikający z RODO, aby umożliwić Administratorowi dotrzymanie 72-godzinnego terminu zgłoszenia do organu nadzorczego.

§ 12. Audyt i informacje

1. Administrator ma prawo do kontroli przestrzegania przez Podmiot przetwarzający warunków niniejszej umowy.
2. Kontrola realizowana jest w pierwszej kolejności poprzez udostępnienie przez Podmiot przetwarzający informacji oraz dokumentacji opisującej stosowane środki bezpieczeństwa, na pisemny wniosek złożony z co najmniej 14-dniowym wyprzedzeniem.
3. Jeżeli udostępnione informacje okażą się niewystarczające, Administrator może przeprowadzić audyt w formie zdalnej, w uzgodnionym terminie, nie częściej niż raz w roku kalendarzowym, z wyjątkiem sytuacji wystąpienia Naruszenia lub żądania organu nadzorczego.
4. Audyt nie może zakłócać ciągłości świadczenia usług, naruszać tajemnicy przedsiębiorstwa ani bezpieczeństwa danych innych użytkowników Serwisu.
5. Koszty audytu przeprowadzanego na żądanie Administratora ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków przez Podmiot przetwarzający.

§ 13. Usunięcie i zwrot danych

1. Po zakończeniu świadczenia usług Administrator ma 30 dni na samodzielne pobranie Danych powierzonych przy użyciu funkcji eksportu dostępnych w Serwisie.
2. Po upływie tego terminu Podmiot przetwarzający usuwa Dane powierzone, w tym z kopii zapasowych, w terminie nieprzekraczającym [30] dni, wynikającym z cyklu rotacji kopii.
3. Podmiot przetwarzający może zachować dane wyłącznie w zakresie i przez okres wymagany przepisami prawa. Do danych takich stosuje się nadal obowiązki poufności i bezpieczeństwa wynikające z niniejszej umowy.
4. Na żądanie Administratora złożone w terminie wskazanym w ust. 1 Podmiot przetwarzający potwierdza usunięcie danych w formie dokumentowej.

§ 14. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody wyrządzone drugiej Stronie wskutek niewykonania lub nienależytego wykonania obowiązków wynikających z niniejszej umowy lub z RODO.
2. Podmiot przetwarzający odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie w zakresie wynikającym z art. 82 ust. 2 RODO.
3. Administrator ponosi odpowiedzialność za zgodność z prawem powierzenia danych, w tym za skutki wprowadzenia do Serwisu danych bez podstawy prawnej lub danych, o których mowa w § 4 ust. 3.
4. Ograniczenia odpowiedzialności wynikające z Regulaminu nie mają zastosowania do roszczeń wynikających z naruszenia przepisów o ochronie danych osobowych w zakresie, w jakim przepisy te wyłączają możliwość takiego ograniczenia.

§ 15. Zmiany umowy

1. Podmiot przetwarzający może zmienić niniejszą umowę z ważnych przyczyn, w szczególności zmiany przepisów prawa, wytycznych organów nadzorczych, zakresu usług lub listy Podprocesorów.
2. O zmianach Administrator zostanie poinformowany drogą elektroniczną z co najmniej 14-dniowym wyprzedzeniem.
3. Administrator, który nie akceptuje zmian, może rozwiązać umowę poprzez usunięcie Konta przed ich wejściem w życie. Dalsze korzystanie z Serwisu oznacza akceptację zmian.
4. Każda wersja umowy oznaczana jest numerem i datą wejścia w życie. Poprzednie wersje udostępniane są na żądanie.

§ 16. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych oraz Kodeks cywilny.
2. Załączniki stanowią integralną część umowy.
3. Kontakt w sprawach dotyczących niniejszej umowy: [rodo@specora.eu].

Załącznik nr 1 – Zakres przetwarzania

Załącznik nr 2 – Lista Podprocesorów

Lista aktualna na dzień [DD.MM.2026] r. O zmianach informujemy z 14-dniowym wyprzedzeniem zgodnie z § 8.

Funkcje Specora Lens oraz Web Clipper przetwarzają wyłącznie materiały przesłane przez Administratora. Zgodnie z § 5 ust. 4 Administrator zobowiązuje się nie przesyłać do nich danych osobowych, które nie są niezbędne do wyszukania produktu.

Załącznik nr 3 – Środki techniczne i organizacyjne

Kontrola dostępu

• uwierzytelnianie użytkowników z hasłami przechowywanymi wyłącznie w postaci skrótów kryptograficznych,
• kontrola dostępu oparta na rolach, w modelu minimalnych koniecznych uprawnień,
• izolacja danych pomiędzy Kontami poszczególnych Administratorów,
• dostęp do Panelu Klienta wyłącznie przez link generowany na żądanie Administratora, z możliwością cofnięcia dostępu.

Bezpieczeństwo transmisji i przechowywania

• szyfrowana transmisja danych (HTTPS/TLS) dla całego ruchu,
• szyfrowanie danych w spoczynku po stronie dostawcy bazy danych,
• przechowywanie głównych danych projektowych w centrum danych na terenie Szwajcarii.

Ciągłość działania

• regularne kopie zapasowe bazy danych, przechowywane przez [30] dni,
• monitorowanie dostępności usługi,
• procedura przywracania danych z kopii zapasowej.

Środki organizacyjne

• zobowiązanie do zachowania poufności wszystkich osób mających dostęp do danych,
• weryfikacja Podprocesorów pod kątem zgodności z RODO przed rozpoczęciem współpracy,
• procedura zgłaszania Naruszeń zgodna z § 11,
• rejestr kategorii czynności przetwarzania prowadzony zgodnie z art. 30 ust. 2 RODO.