Umowa powierzenia przetwarzania danych

Zaktualizowano: 2026-07-19 · Wersja: Beta 1.0

Niniejsza Umowa powierzenia przetwarzania danych („UPPD") stanowi integralną część Regulaminu i ma zastosowanie automatycznie, gdy Użytkownik przetwarza dane osobowe swoich klientów za pośrednictwem Usługi DEK. Określa ona warunki przetwarzania zgodnie z art. 28 RODO.

1. Strony i role

• Administrator danych: Użytkownik (przedsiębiorstwo) korzystający z Usługi.
• Podmiot przetwarzający: Majevski, MB, kod podmiotu prawnego 304720404, Smalinės g. 21-3, LT-06225, Vilnius, Lietuva.

Administrator danych określa cele i sposoby przetwarzania. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora danych (w tym poprzez korzystanie z Usługi i niniejszą UPPD).

2. Przedmiot i opis przetwarzania

• Przedmiot i cel: świadczenie Administratorowi danych usług rezerwacji klientów, kalendarza i powiadomień.
• Czas trwania: dopóki obowiązuje Regulamin.
• Charakter przetwarzania: zbieranie, przechowywanie, wykorzystywanie, przekazywanie na potrzeby powiadomień, usuwanie danych.
• Osoby, których dane dotyczą: klienci Administratora danych oraz jego pracownicy.
• Kategorie danych: imiona i nazwiska, dane kontaktowe (e-mail, telefon), historia wizyt, notatki, wybrane przez Administratora danych pola dodatkowe oraz zgody.

3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

• przetwarzać dane wyłącznie na udokumentowane polecenie Administratora danych, chyba że wymaga tego prawo Unii Europejskiej lub państwa członkowskiego; w takim przypadku Podmiot przetwarzający przed rozpoczęciem przetwarzania informuje Administratora danych o takim wymogu prawnym, chyba że prawo to zakazuje udzielania takiej informacji z uwagi na ważny interes publiczny. Podmiot przetwarzający niezwłocznie informuje Administratora danych, jeżeli jego zdaniem polecenie narusza przepisy prawa;
• zapewnić, aby osoby mające dostęp do danych zobowiązały się do zachowania poufności;
• stosować odpowiednie techniczne i organizacyjne środki bezpieczeństwa zgodnie z art. 32 RODO, uwzględniając stan wiedzy technicznej oraz ryzyko, w tym szyfrowanie danych podczas przesyłania, kontrolę dostępu, kopie zapasowe i możliwość przywrócenia danych oraz odporność systemów;
• uwzględniając charakter przetwarzania oraz w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne pomagać Administratorowi danych w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie ich praw (art. 12-23 RODO);
• pomagać Administratorowi danych w wywiązywaniu się z obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń oraz oceny skutków dla ochrony danych (art. 32-36 RODO), uwzględniając charakter przetwarzania oraz informacje dostępne Podmiotowi przetwarzającemu;
• usunąć lub zwrócić dane po zakończeniu usług (zob. rozdział 8);
• udostępniać Administratorowi danych informacje niezbędne do wykazania zgodności oraz umożliwiać przeprowadzanie audytów (zob. rozdział 7).

4. Angażowani przetwarzający (podmioty podprzetwarzające)

Administrator danych udziela ogólnego upoważnienia do angażowania podmiotów podprzetwarzających. Podmiot przetwarzający zapewnia, aby podlegały one nie mniej rygorystycznym obowiązkom. Jeżeli podmiot podprzetwarzający nie wywiąże się ze swoich obowiązków w zakresie ochrony danych, Podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec Administratora danych za wykonanie obowiązków tego podmiotu podprzetwarzającego. Obecnie zaangażowani są:

• UAB "Interneto vizija": usługi hostingu serwerów (Litwa, Wilno).
• Stripe: obsługa płatności (dane kart przetwarza bezpośrednio Stripe).
• 1e.lt (Mailwizz): wysyłanie wiadomości e-mail.
• asms.lt: wysyłanie SMS-ów za pośrednictwem podłączonego konta Administratora danych.

O zamiarze zmiany podmiotów podprzetwarzających Podmiot przetwarzający poinformuje z wyprzedzeniem, dając Administratorowi danych możliwość zgłoszenia uzasadnionego sprzeciwu.

5. Przekazywanie danych

Podstawowe dane są przechowywane w Unii Europejskiej (na Litwie). Jeżeli podmiot podprzetwarzający przekazuje dane poza Europejski Obszar Gospodarczy, następuje to z zastosowaniem odpowiednich środków ochrony (np. standardowych klauzul umownych).

6. Powiadomienie o naruszeniu ochrony danych

Po powzięciu wiadomości o naruszeniu ochrony danych osobowych Podmiot przetwarzający bez zbędnej zwłoki informuje o tym Administratora danych i przekazuje dostępne informacje, aby Administrator danych mógł wywiązać się ze swoich obowiązków wobec organu nadzorczego oraz osób, których dane dotyczą.

7. Audyt

Na uzasadnione żądanie Administratora danych Podmiot przetwarzający udostępnia informacje niezbędne do wykazania wykonania obowiązków przewidzianych w niniejszej UPPD oraz umożliwia przeprowadzanie audytów i inspekcji przez Administratora danych lub upoważnionego przez niego audytora (a także w nich współuczestniczy), przeprowadzanych w uprzednio uzgodniony sposób i w uzgodnionym czasie, bez naruszania poufności danych innych klientów.

8. Zwrot i usunięcie danych

Po zakończeniu usług, według wyboru Administratora danych, Podmiot przetwarzający zwraca lub usuwa przetwarzane dane oraz posiadane kopie, z wyjątkiem przypadków, gdy ich przechowywanie jest wymagane przepisami prawa. Administrator danych może w każdej chwili wyeksportować dane, korzystając z Usługi.

9. Odpowiedzialność i okres obowiązywania

Wzajemna (umowna) odpowiedzialność stron jest ustalana zgodnie z Regulaminem, w tym z przewidzianym w nim ograniczeniem odpowiedzialności; ustawowa odpowiedzialność wobec osób, których dane dotyczą, oraz organów nadzorczych podlega RODO i nie jest objęta tym ograniczeniem. Status Beta (zob. Regulamin) nie zmniejsza obowiązków w zakresie ochrony danych przewidzianych w niniejszej UPPD. Niniejsza UPPD obowiązuje tak długo, jak długo Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora danych.

10. Kontakt

W sprawach dotyczących przetwarzania danych prosimy o kontakt pod adresem pagalba@majevski.com.