Umowa powierzenia przetwarzania danych (DPA)

Umowa powierzenia przetwarzania danych osobowych (DPA) — edycja dla rejestracji samodzielnej

Wersja: 1.1.0 (rewizja 1)

Data aktualizacji: 4 września 2026 r.

Numeracja: podany wyżej numer wersji pochodzi z rejestru rewizji dokumentów prawnych i jest tym samym numerem, który wraz z sumą kontrolną SHA-256 zapisywany jest w potwierdzeniu prawnym Kancelarii. Wcześniejsze wydania tego dokumentu były dodatkowo oznaczane odrębną numeracją redakcyjną (ostatnio „1.0”); numeracja ta jest historyczna, nie jest numerem wersji dokumentu i nie jest dalej prowadzona.

Podmiot przetwarzający: Yaraslau Lahinouski

Kontakt: [email protected]

Niniejsza umowa jest zawierana elektronicznie, w chwili rejestracji kancelarii w Akta CRM, przez zaznaczenie odpowiedniego oświadczenia w formularzu rejestracji. Zgodnie z art. 28 ust. 9 RODO umowa powierzenia wymaga formy pisemnej, w tym formy elektronicznej — dodatkowy podpis odręczny nie jest wymagany.

Dowodem zawarcia jest potwierdzenie prawne (legal receipt) wystawiane w chwili utworzenia przestrzeni roboczej i wysyłane na adres e-mail Administratora. Zawiera ono trwałą kopię wszystkich zaakceptowanych dokumentów, ich wersje, sumy kontrolne SHA-256 oraz treść złożonych oświadczeń. Kopia jest także dostępna w aplikacji, w zakładce danych przestrzeni roboczej.

Niniejsza edycja dotyczy wyłącznie kancelarii rejestrujących się samodzielnie.

Dla umów uzgadnianych indywidualnie obowiązuje odrębna, podpisywana edycja umowy powierzenia, którą Podmiot przetwarzający udostępnia na żądanie.

§ 1. Strony i role

1. Administratorem jest kancelaria lub inny podmiot wskazany w formularzu rejestracji: nazwa, kraj, numer identyfikacyjny (NIP), adres e-mail i dane osoby zakładającej przestrzeń roboczą. Dane te są utrwalone w potwierdzeniu prawnym i stanowią oznaczenie Strony niniejszej umowy.

2. Osoba zakładająca przestrzeń roboczą oświadcza w formularzu rejestracji, że jest umocowana do zawarcia niniejszej umowy w imieniu Administratora.

3. Podmiotem przetwarzającym jest Yaraslau Lahinouski, osoba fizyczna świadcząca usługę pod nazwą „Akta CRM”, z adresem zamieszkania i do korespondencji: ul. Jerzego Holzera 6, 02-972 Warszawa, e-mail: [email protected], zwany dalej także „Usługodawcą”.

4. Administrator i Podmiot przetwarzający są dalej zwani łącznie „Stronami”.

5. W odniesieniu do danych klientów, spraw i dokumentów wprowadzanych do Akta CRM Administratorem jest kancelaria, a Yaraslau Lahinouski działa wyłącznie jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO.

§ 2. Powiązanie z Regulaminem i okres bezpłatny

1. Niniejsza umowa stanowi umowę powierzenia, o której mowa w art. 28 ust. 3 RODO, i jest zawierana w związku z Regulaminem korzystania z Akta CRM, zaakceptowanym w tym samym akcie rejestracji.

2. DPA obowiązuje przez okres świadczenia usługi, w tym przez bezpłatny okres próbny oraz ewentualną późniejszą współpracę odpłatną.

3. W zakresie ochrony danych osobowych pierwszeństwo mają postanowienia niniejszej DPA.

4. Okres bezpłatny. Przestrzeń robocza jest bezpłatna przez 30 dni od utworzenia. Następnie przechodzi w tryb tylko do odczytu na kolejne 30 dni, przeznaczone na eksport lub zwrot danych, po czym dane podlegają usunięciu zgodnie z § 13. Terminy są widoczne w aplikacji, a o ich zbliżaniu się Administrator jest informowany wiadomością e-mail.

5. Dalsze korzystanie po okresie bezpłatnym wymaga odrębnego uzgodnienia. Brak takiego uzgodnienia nie powoduje automatycznego naliczenia opłat.

§ 3. Przedmiot, charakter i cel przetwarzania

1. Przedmiotem powierzenia jest przetwarzanie danych osobowych w systemie Akta CRM w celu umożliwienia Administratorowi:

- prowadzenia kartotek klientów i pracodawców;

- prowadzenia spraw legalizacyjnych i administracyjnych;

- przechowywania dokumentów i informacji związanych ze sprawami;

- zarządzania zadaniami, terminami, korespondencją i aktywnością zespołu;

- zarządzania indywidualnymi kontami, rolami, zaproszeniami, uwierzytelnianiem i niezbędną komunikacją transakcyjną;

- korzystania z portalu klienta, jeśli zostanie włączony przez Administratora;

- eksportu, zwrotu i usunięcia danych;

- przeniesienia do Akta CRM kartotek klientów, pracodawców i spraw prowadzonych dotąd w innym systemie Administratora (migracji), na zasadach z ust. 4.

2. Charakter przetwarzania obejmuje: zbieranie, utrwalanie, organizowanie, przechowywanie, modyfikowanie, udostępnianie uprawnionym użytkownikom, wykonywanie kopii zapasowych, eksportowanie, ograniczanie oraz usuwanie.

3. Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów, reklamy, profilowania ani trenowania modeli sztucznej inteligencji.

4. Migracja. Jeżeli Strony uzgodnią przeniesienie do Akta CRM danych prowadzonych dotąd w innym systemie Administratora, pliki z tymi danymi Administrator wgrywa samodzielnie do Akta CRM, funkcją importu; jest to jedyny kanał zatwierdzony w rozumieniu § 7 pkt 6. Przekazywanie plików zawierających dane klientów pocztą elektroniczną, komunikatorem, nośnikiem zewnętrznym albo zewnętrzną usługą wymiany plików kanałem zatwierdzonym nie jest; Podmiot przetwarzający takich przesyłek nie przyjmuje i o nie nie prosi. Czynności migracyjne Podmiot przetwarzający wykonuje wyłącznie w środowisku Akta CRM, na polecenie Administratora i w zakresie niezbędnym do przeniesienia danych; do dostępu Podmiotu przetwarzającego stosuje się § 8 ust. 2, a do wgranych plików — § 13 oraz Załącznik nr 2.

§ 4. Kategorie osób i danych

1. Kategorie osób, których dane mogą być przetwarzane:

- klienci i potencjalni klienci Administratora;

- członkowie rodzin i inne osoby wskazane w dokumentacji sprawy;

- pracownicy, współpracownicy i pełnomocnicy Administratora;

- pracodawcy, ich reprezentanci i osoby kontaktowe;

- użytkownicy portalu klienta;

- osoby wskazane w korespondencji, dokumentach lub postępowaniach urzędowych.

2. Kategorie danych mogą obejmować:

- dane identyfikacyjne i kontaktowe;

- PESEL, obywatelstwo, datę i miejsce urodzenia;

- dane paszportów, dokumentów podróży, zezwoleń i dokumentów pobytowych;

- adresy, dane członków rodziny, pracodawców i reprezentantów;

- dane spraw, terminy, decyzje, notatki, zadania i korespondencję;

- pliki PDF oraz obrazy JPG i PNG;

- dane kont użytkowników, role, uprawnienia i historię aktywności;

- dane niezbędne do wysyłki zaproszeń i wiadomości uwierzytelniających: imię, nazwisko, adres e-mail, nazwę kancelarii, przypisaną rolę, jednorazowy link lub token oraz metadane dostarczenia;

- adresy IP, identyfikatory sesji, dane urządzeń i przeglądarek, znaczniki czasu, dane dotyczące uwierzytelniania oraz inne techniczne dane zawarte w logach;

- szczególne kategorie danych z art. 9 RODO oraz dane dotyczące wyroków skazujących i naruszeń prawa z art. 10 RODO, w zakresie, w jakim wynikają z prowadzonych spraw — w szczególności dane o stanie zdrowia w dokumentacji pobytowej oraz zaświadczenia o niekaralności.

3. Administrator odpowiada za podstawę prawną, zakres i prawidłowość danych wprowadzanych do systemu, w tym za podstawę przetwarzania danych z art. 9 i 10 RODO.

4. Środowisko Akta CRM jest przystosowane do danych wskazanych w ust. 2. Funkcje serwerowe działają w Clever Cloud SAS (strefa wsw, Warszawa), a umowa powierzenia z tym podprocesorem dopuszcza szczególne kategorie danych. Lokalizacje przetwarzania i podstawy umowne wszystkich podprocesorów wskazuje Załącznik nr 1; opis środków bezpieczeństwa zawiera Załącznik nr 2.

5. Administrator zobowiązuje się nie wprowadzać danych wykraczających poza zakres niezbędny do prowadzenia sprawy.

§ 5. Udokumentowane polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora — co dotyczy także przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej — chyba że obowiązek przetwarzania nakłada na niego prawo Unii Europejskiej lub prawo polskie, któremu podlega. W takim przypadku Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, chyba że prawo to zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny.

2. Polecenie, o którym mowa w ust. 1, obejmuje przekazywanie danych osobowych poza Europejski Obszar Gospodarczy w zakresie i na podstawach wskazanych w Załączniku nr 1. W wersji Załącznika nr 1 doręczonej Administratorowi są to trzy rodzaje przekazań: dane kontaktowe odbiorcy niezbędne do wysłania wiadomości, przekazywane do Stanów Zjednoczonych; adres IP, parametry przeglądarki i sygnały antybotowe sprawdzane przy wysłaniu formularza publicznego, przetwarzane na globalnej infrastrukturze brzegowej; operacje poza EOG po stronie podprocesorów wskazanych w tym Załączniku, dla których podstawą są standardowe klauzule umowne. Po włączeniu przez Administratora funkcji zależnej od dostawcy warunkowego poleceniem objęte jest także przekazanie wskazane w sekcji 2 Załącznika nr 1. Zmiana zakresu tych przekazań następuje wyłącznie w trybie zmiany Załącznika nr 1 opisanym w § 9, z prawem sprzeciwu Administratora.

3. Udokumentowanymi poleceniami są:

- niniejsza DPA i Regulamin;

- działania uprawnionych użytkowników Administratora w systemie;

- konfiguracja ról, uprawnień, portalu i integracji;

- wiadomości wysłane z autoryzowanego adresu Administratora na [email protected];

- potwierdzone elektronicznie dyspozycje eksportu, zwrotu, ograniczenia albo usunięcia danych, w tym wykonane samodzielnie w aplikacji.

4. Jeżeli polecenie zdaniem Podmiotu przetwarzającego narusza RODO lub inne przepisy, Podmiot przetwarzający niezwłocznie poinformuje Administratora i może wstrzymać wykonanie polecenia do czasu jego wyjaśnienia.

§ 6. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie w zakresie niezbędnym do świadczenia Akta CRM;

2. zapewnić, aby osoby mające dostęp do danych były upoważnione i zobowiązane do poufności;

3. stosować środki techniczne i organizacyjne opisane w Załączniku nr 2;

4. pomagać Administratorowi w realizacji obowiązków wynikających z art. 32-36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji;

5. pomagać w realizacji praw osób, których dane dotyczą;

6. prowadzić wymaganą ewidencję kategorii czynności przetwarzania;

7. udostępniać Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO;

8. po zakończeniu współpracy zwrócić lub usunąć dane zgodnie z § 13;

9. nie przekazywać danych do własnych narzędzi AI, prywatnych notatek ani środowisk deweloperskich;

10. nie wykorzystywać danych Administratora do demonstracji, testów ani rozwoju produktu.

§ 7. Obowiązki Administratora

Administrator zobowiązuje się:

1. posiadać podstawę prawną przetwarzania danych wprowadzanych do systemu;

2. spełniać obowiązki informacyjne wobec osób, których dane dotyczą;

3. ograniczać zakres danych do danych potrzebnych do prowadzenia spraw;

4. nadawać użytkownikom indywidualne konta oraz role zgodne z zakresem obowiązków;

5. niezwłocznie dezaktywować konta osób, które utraciły upoważnienie;

6. nie przekazywać haseł, kluczy, tokenów ani dokumentów klientów niezatwierdzonymi kanałami;

7. zapoznać się z listą podprocesorów (Załącznik nr 1) i środkami bezpieczeństwa (Załącznik nr 2), doręczonymi w tym samym akcie rejestracji.

§ 8. Poufność

1. Strony zachowują w poufności dane osobowe, informacje dotyczące klientów, konfiguracji systemu, zabezpieczeń i działalności drugiej Strony.

2. Dostęp do powierzonych danych może nastąpić wyłącznie w zakresie koniecznym do świadczenia usługi, obsługi zgłoszenia, usunięcia awarii, zapewnienia bezpieczeństwa, wykonania kopii zapasowej lub realizacji polecenia Administratora.

3. Obowiązek poufności pozostaje w mocy po zakończeniu DPA.

§ 9. Podprocesorzy

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku nr 1 - Lista podprocesorów Akta CRM, doręczonym w chwili rejestracji.

2. Podmiot przetwarzający zapewnia, że na podprocesorów zostaną nałożone obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszej DPA.

3. O planowanym dodaniu albo zastąpieniu podprocesora Podmiot przetwarzający poinformuje Administratora co najmniej 14 dni kalendarzowych wcześniej, wiadomością e-mail na adres właściciela przestrzeni roboczej.

4. Administrator może w tym terminie zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony uzgodnią rozwiązanie; jeśli nie będzie ono możliwe, Administrator może zakończyć korzystanie z funkcji zależnej od danego podprocesora albo rozwiązać niniejszą umowę i zaprzestać korzystania z usługi. Jeżeli Administrator rozwiąże niniejszą umowę z przyczyny wskazanej w zdaniu drugim, Podmiot przetwarzający zwraca mu część wynagrodzenia zapłaconego z góry za bieżący Okres Abonamentowy w rozumieniu Regulaminu, w tym za Dodatkowe miejsce, równą iloczynowi wynagrodzenia przypadającego na jeden dzień tego Okresu oraz liczby dni pozostałych od dnia rozwiązania umowy do końca tego Okresu. Zwrot następuje w terminie 14 dni od dnia rozwiązania umowy, na rachunek, z którego dokonano zapłaty, albo na inny rachunek wskazany przez Administratora. Zwrot przysługuje wyłącznie w razie rozwiązania umowy z przyczyny wskazanej w zdaniu drugim; zasad zwrotu wynagrodzenia w pozostałych przypadkach, określonych w Regulaminie, niniejszy ustęp nie zmienia.

5. W nagłym przypadku bezpieczeństwa zmiana może zostać wprowadzona wcześniej, a Administrator zostanie poinformowany bez zbędnej zwłoki.

6. Na uzasadnione żądanie Administratora Podmiot przetwarzający udostępni kopię właściwych postanowień umowy z podprocesorem, z możliwością usunięcia informacji poufnych i handlowych, w zakresie niezbędnym do wykazania spełnienia art. 28 RODO.

7. Podmiot przetwarzający poinformuje Administratora o stwierdzonym istotnym niewykonaniu obowiązków ochrony danych przez podprocesora i pozostaje odpowiedzialny wobec Administratora za prawidłowe wykonanie obowiązków podprocesora w zakresie wynikającym z art. 28 ust. 4 RODO.

§ 10. Przekazywanie poza EOG

1. Baza podstawowa Supabase znajduje się w Stockholm, Sweden (eu-north-1), buckety Cloudflare R2 są objęte jurysdykcją European Union (EU), a aplikacja i funkcje serwerowe działają w Clever Cloud SAS, strefa wsw (Warszawa, Polska), na infrastrukturze OVHcloud jako sub-podprocesora.

2. Jeżeli podprocesor korzysta z globalnej infrastruktury lub przetwarza dane poza EOG, Podmiot przetwarzający zapewnia zastosowanie właściwego mechanizmu transferowego, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych (SCC), zgodnie z informacjami w Załączniku nr 1.

§ 10a. Żądania organów państw trzecich kierowane do podprocesorów

1. Zgodnie z art. 48 RODO wyrok sądu lub trybunału oraz decyzja organu administracyjnego państwa trzeciego, wymagające od administratora lub podmiotu przetwarzającego przekazania lub ujawnienia danych osobowych, mogą zostać uznane lub być egzekwowalne wyłącznie wtedy, gdy opierają się na obowiązującej umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej, bez uszczerbku dla innych podstaw przekazania z rozdziału V RODO. Przepis ten rozstrzyga, kiedy takie orzeczenie jest podstawą przekazania lub ujawnienia danych; nie pozbawia natomiast organu państwa trzeciego możliwości wystąpienia z żądaniem wobec podprocesora podlegającego prawu tego państwa.

2. Podprocesor podlegający prawu państwa trzeciego może otrzymać żądanie organu tego państwa również wtedy, gdy powierzone mu dane przetwarza wyłącznie w Europejskim Obszarze Gospodarczym. Jurysdykcję, której podlega każdy podprocesor jako podmiot, oraz lokalizację przetwarzania powierzonych mu danych wskazuje Załącznik nr 1 w odrębnych kolumnach.

3. Adresatem takiego żądania Podmiot przetwarzający nie jest i o jego wykonaniu nie rozstrzyga. Przekazanie ani ujawnienie danych w wykonaniu takiego żądania nie jest objęte udokumentowanym poleceniem Administratora, o którym mowa w § 5.

4. Jeżeli podstawą przekazania danych podprocesorowi są standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914), obowiązuje klauzula 15.1 lit. a) tych klauzul: podprocesor zawiadamia Podmiot przetwarzający o otrzymaniu prawnie wiążącego żądania organu władzy publicznej państwa przeznaczenia dotyczącego ujawnienia przekazanych danych oraz o powzięciu wiadomości o bezpośrednim dostępie organów władzy publicznej do tych danych. Jako podmiot przekazujący w module trzecim tych klauzul Podmiot przetwarzający przekazuje takie zawiadomienie Administratorowi i zobowiązuje się robić to niezwłocznie po jego otrzymaniu, w treści, w jakiej je otrzymał: dla żądania ujawnienia — z opisem danych objętych żądaniem, organem występującym, podstawą prawną żądania i udzieloną odpowiedzią; dla bezpośredniego dostępu — z informacjami, którymi dysponuje podprocesor. Zawiadomienie jest wysyłane na adres e-mail Właściciela przestrzeni roboczej podany przy rejestracji, a jego treść oraz to, komu zostało przekazane, są odnotowywane w sposób opisany w Załączniku nr 2.

5. Na uzasadnione żądanie Administratora Podmiot przetwarzający występuje do podprocesora o informacje i dokumenty dotyczące żądania organu, w zakresie, w jakim uprawnia go do tego umowa z tym podprocesorem, i udostępnia je Administratorowi w trybie § 9 ust. 6. Stwierdzone istotne niewykonanie przez podprocesora obowiązku, o którym mowa w ust. 4, Podmiot przetwarzający zgłasza Administratorowi w trybie § 9 ust. 7.

6. Podmiot przetwarzający nie zobowiązuje się do tego, że dane nie zostaną ujawnione, ani do tego, że podprocesor odmówi wykonania żądania, zakwestionuje je albo je zaskarży; nie zobowiązuje się także do tego, że o żądaniu zostanie zawiadomiony. Zakres zobowiązań poszczególnych podprocesorów w tej sprawie nie jest jednakowy i wynika z zawartych z nimi umów; postępowań przed organami ani sądami państwa trzeciego Podmiot przetwarzający w imieniu podprocesora nie prowadzi. Niniejszy paragraf nie ogranicza § 11a, który dotyczy żądań kierowanych do Podmiotu przetwarzającego.

§ 11. Realizacja praw osób

1. Jeżeli Podmiot przetwarzający otrzyma żądanie osoby dotyczące danych prowadzonych przez Administratora, przekaże je Administratorowi bez zbędnej zwłoki i nie będzie odpowiadał merytorycznie bez jego polecenia, chyba że wymagają tego przepisy.

2. Podmiot przetwarzający udzieli Administratorowi niezbędnej pomocy technicznej w terminie do 5 dni roboczych od otrzymania kompletnego polecenia, a w sprawach pilnych - w terminie uzgodnionym przez Strony.

3. Ustęp 1 dotyczy żądań odnoszących się do danych powierzonych przez Administratora. Wobec danych, których administratorem jest sam Podmiot przetwarzający — danych kont użytkowników, zdarzeń logowania i bezpieczeństwa, zminimalizowanych zapisów, o których mowa w § 13 ust. 9, oraz dowodów akceptacji dokumentów prawnych — żądanie osoby realizuje Podmiot przetwarzający samodzielnie i na własną odpowiedzialność i nie przekazuje go Administratorowi; opisuje to Polityka prywatności Akta CRM. Jeżeli jedno żądanie dotyczy obu zbiorów, Podmiot przetwarzający realizuje je w części własnej, w części powierzonej przekazuje Administratorowi zgodnie z ust. 1 i informuje o tym osobę, która żądanie złożyła.

4. Uprawnienia i obowiązki z niniejszego paragrafu wykonuje się z zachowaniem przepisów o tajemnicy zawodowej, którym podlega Administrator — w szczególności art. 16a ust. 1 i art. 16b ustawy — Prawo o adwokaturze, art. 5a ust. 1 i art. 5b ustawy o radcach prawnych oraz art. 37 ust. 5 i 7 ustawy o doradztwie podatkowym. Przepisy te, przyjęte przez ustawodawcę polskiego na podstawie art. 90 RODO, stanowią, że art. 15 ust. 1 i 3, art. 18 i art. 19 RODO stosuje się w zakresie, w jakim nie naruszają obowiązku zachowania tajemnicy zawodowej, oraz że obowiązek zachowania tej tajemnicy nie ustaje wobec organu nadzorczego występującego z żądaniem ujawnienia informacji. Podmiot przetwarzający nie odpowiada zatem samodzielnie na żądanie z art. 15 ust. 1 i 3, art. 18 ani art. 19 RODO dotyczące materiału objętego tajemnicą zawodową Administratora. Niniejsza umowa nie rozstrzyga, czy w konkretnym przypadku tajemnica obejmuje określone dane; ocena ta należy do Administratora.

§ 11a. Żądania organów władzy publicznej

1. Strony przyjmują, że materiał powierzony przez Administratora może być objęty tajemnicą adwokacką, radcowską albo inną tajemnicą zawodową prawnie chronioną, której podlega Administrator. Podmiot przetwarzający jest dysponentem systemu informatycznego, w którym materiał ten jest przechowywany, w rozumieniu art. 236a Kodeksu postępowania karnego, a przez to adresatem żądań i czynności, o których mowa w przepisach o zatrzymaniu rzeczy i przeszukaniu (rozdział 25 tego Kodeksu).

2. Jeżeli organ władzy publicznej żąda od Podmiotu przetwarzającego wydania powierzonego materiału albo dokonuje u niego zatrzymania rzeczy lub przeszukania, Podmiot przetwarzający oświadcza wobec organu przeprowadzającego czynność, że wydawany lub znaleziony materiał zawiera wiadomości objęte tajemnicą zawodową, której podlega Administrator — zgodnie z art. 225 § 1 w związku z art. 236a Kodeksu postępowania karnego — i wydaje ten materiał w opakowaniu zamkniętym, bez zapoznania się z jego treścią. Dalszy tryb postępowania z tak przekazanym materiałem, to jest przekazanie go bez odczytania prokuratorowi lub sądowi w opieczętowanym opakowaniu, należy do organu przeprowadzającego czynność. O tym, czy tajemnica obejmuje określony materiał, rozstrzyga sąd albo prokurator, a nie Podmiot przetwarzający.

3. O żądaniu Podmiot przetwarzający zawiadamia Administratora niezwłocznie, wskazując organ, podstawę prawną i zakres żądania w zakresie, w jakim je zna. Zawiadomienia nie dokonuje wyłącznie wtedy i w takim zakresie, w jakim zakazuje tego przepis prawa; po ustaniu zakazu zawiadamia Administratora niezwłocznie. Niniejszy ustęp nie ogranicza obowiązku informacyjnego z § 5 ust. 1.

4. Podmiot przetwarzający nie zobowiązuje się do odmowy wykonania żądania ani do wstrzymania wydania materiału. Art. 217 § 1 Kodeksu postępowania karnego nakazuje wydać rzeczy mogące stanowić dowód w sprawie na żądanie sądu lub prokuratora, a w wypadkach niecierpiących zwłoki także na żądanie Policji lub innego uprawnionego organu, a art. 287 § 1 i 2 tego Kodeksu przewiduje za bezpodstawne uchylanie się od wydania przedmiotu karę pieniężną oraz, w razie uporczywego uchylania się, aresztowanie. Zobowiązanie, którego Podmiot przetwarzający nie mógłby zgodnie z prawem dotrzymać, nie zastępuje obowiązków z ust. 2 i 3.

5. Jeżeli wydania powierzonego materiału żąda Policja albo inny uprawniony organ działający we własnym zakresie, Podmiot przetwarzający niezwłocznie składa wniosek o sporządzenie i doręczenie mu postanowienia sądu lub prokuratora o zatwierdzeniu zatrzymania — korzystając z uprawnienia, o którym mowa w art. 217 § 4 w związku z art. 236a Kodeksu postępowania karnego. Wniosek ten składa niezależnie od tego, czy organ pouczył go o tym uprawnieniu. O złożeniu wniosku oraz o treści doręczonego postanowienia zawiadamia Administratora, w trybie i z zastrzeżeniem z ust. 3. Podmiot przetwarzający nie zobowiązuje się natomiast do tego, że postanowienie zostanie wydane, że zostanie doręczone ani jaka będzie jego treść; rozstrzyga o tym sąd albo prokurator.

6. Niniejszy paragraf dotyczy żądań kierowanych do Podmiotu przetwarzającego przez organy władzy publicznej Rzeczypospolitej Polskiej. Nie rozstrzyga on o żądaniach kierowanych bezpośrednio do podprocesorów, w tym o żądaniach organów państw trzecich; te opisuje § 10a.

§ 12. Naruszenia ochrony danych

1. Podmiot przetwarzający poinformuje Administratora o naruszeniu dotyczącym powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od uzyskania wiarygodnej informacji o naruszeniu. Termin 24 godzin jest terminem umownym i wiąże Podmiot przetwarzający także tam, gdzie Załącznik nr 2 opisuje obsługę incydentów; opis w Załączniku nr 2 tego terminu nie wydłuża, niezależnie od zwrotów w nim użytych.

2. Zawiadomienie będzie zawierało, w zakresie dostępnych informacji:

- charakter i czas naruszenia;

- kategorie danych i osób;

- przybliżoną liczbę rekordów lub osób;

- możliwe konsekwencje;

- zastosowane i planowane środki zaradcze;

- dane kontaktowe osoby prowadzącej obsługę incydentu.

3. Informacje mogą być przekazywane etapami. Podmiot przetwarzający współpracuje z Administratorem przy ocenie ryzyka, dokumentowaniu incydentu i realizacji obowiązków z art. 33-34 RODO.

4. Zawiadomienie, o którym mowa w ust. 1, Podmiot przetwarzający wysyła na adres e-mail Właściciela przestrzeni roboczej podany przy rejestracji. Niezależnie od wiadomości e-mail incydent jest widoczny w przestrzeni roboczej, na ekranie incydentów dostępnym Właścicielowi przestrzeni roboczej oraz administratorowi; udostępnienie tam nie zastępuje treści zawiadomienia z ust. 2, ale jest drugą, niezależną drogą powzięcia o nim wiadomości, gdy doręczenie wiadomości e-mail zawiedzie. Zgłoszenia i podejrzenia naruszenia Administrator kieruje na adres wskazany w Załączniku nr 2 albo przez formularz zgłoszenia w przestrzeni roboczej.

5. Podmiot przetwarzający jest jedną osobą fizyczną i nie utrzymuje dyżuru całodobowego. Terminowi z ust. 1 służy automatyczne wykrywanie zdarzeń, uruchamiane co godzinę, oraz powiadomienie docierające do Podmiotu przetwarzającego dwiema niezależnymi drogami, z których druga nie korzysta z poczty elektronicznej; Podmiot przetwarzający zobowiązuje się utrzymywać obie te drogi przez czas obowiązywania niniejszej umowy. Podmiot przetwarzający nie zobowiązuje się natomiast do automatycznego wykrycia każdego naruszenia, a termin z ust. 1 biegnie od uzyskania wiarygodnej informacji o naruszeniu.

§ 13. Zwrot, retencja i usunięcie danych

1. Po zakończeniu współpracy Administrator wybiera eksport/zwrot danych albo ich usunięcie. Dane aktywne zostaną zwrócone lub usunięte nie później niż w ciągu 30 dni kalendarzowych od zakończenia umowy albo otrzymania kompletnego polecenia Administratora. Okres tylko do odczytu, o którym mowa w § 2 ust. 4, stanowi realizację tego terminu. Jeżeli Administrator zgłosił przeniesienie do innego dostawcy w trybie rozdziału 15 Regulaminu, termin z niniejszego ustępu nie skraca ani okresu przejściowego, ani następującego po nim okresu na pobranie danych, określonych w tym rozdziale; usunięcie danych następuje po upływie okresu na pobranie danych.

2. W okresie tych 30 dni dane nie są używane do nowych celów; dostęp jest ograniczony do eksportu, zabezpieczenia, realizacji polecenia i obsługi incydentów.

3. Kopie zapasowe bazy danych są przechowywane zgodnie z polityką dostawcy bazy danych. Okresu ich przechowywania nie ustala Podmiot przetwarzający — wynika on z planu wykupionego u dostawcy bazy danych i wynosi dziś 7 dni. Liczba ta nie jest zobowiązaniem umownym dostawcy: jego umowa terminu nie podaje, podaje go jego dokumentacja i cennik, które dostawca może zmienić jednostronnie. Jeżeli okres ten ulegnie zmianie, Podmiot przetwarzający wskaże nowy okres w kolejnej wersji Załącznika nr 2, w trybie z § 16 ust. 5.

4. Kopie dokumentów w odrębnym zasobniku zapasowym Cloudflare R2 są przechowywane maksymalnie 90 dni od ich utworzenia. Nie są wykorzystywane do bieżącej pracy i mogą zostać odtworzone wyłącznie w ramach udokumentowanej procedury awaryjnej.

5. Dane przywrócone z kopii zapasowej po wykonaniu polecenia usunięcia zostaną ponownie objęte usunięciem.

6. Po wykonaniu zwrotu lub usunięcia Podmiot przetwarzający usuwa wszystkie pozostałe kopie powierzonych danych, chyba że prawo Unii Europejskiej lub prawo polskie wymaga dalszego przechowywania konkretnych danych. Wykonuje to w sposób i w terminach wskazanych w zdaniach następnych, ponieważ wybiórcze usunięcie danych jednego Administratora z kopii zapasowej obejmującej całą bazę nie jest czynnością, którą Podmiot przetwarzający może wykonać. Kopie zapasowe bazy danych wygasają samoczynnie, w terminie wynikającym z polityki dostawcy bazy danych, o której mowa w ust. 3; termin ten podaje ust. 3, a tę samą liczbę wskazuje sekcja 6 Załącznika nr 2 w wersji doręczonej Administratorowi. Terminu tego Podmiot przetwarzający nie wyznacza i nie zobowiązuje się do usunięcia tych kopii przed jego upływem. Do czasu wygaśnięcia dane w tych kopiach nie są wykorzystywane do żadnego celu i nie są przywracane inaczej niż w ramach odtworzenia całego środowiska; po każdym takim odtworzeniu stosuje się ust. 5 oraz procedurę uzgodnienia usunięć opisaną w sekcji 6 Załącznika nr 2. Do kopii dokumentów w zasobniku zapasowym stosuje się ust. 4. Jeżeli Administrator włączył funkcje oparte na modelu, do danych przekazanych do modelu i otrzymanych z niego stosuje się zasady przechowywania u dostawcy modelu — okres, cel i warunki, od których okres ten zależy — wskazane w sekcji 2 Załącznika nr 1 w wersji doręczonej Administratorowi, także wtedy, gdy są objęte żądaniem usunięcia; Podmiot przetwarzający zasad tych nie wyznacza i nie zobowiązuje się do wcześniejszego usunięcia tych danych u dostawcy. Niniejszy ustęp dotyczy kopii pozostających po wykonaniu usunięcia, o którym mowa w ust. 1, i nie zmienia ani zakresu, ani terminu tego usunięcia.

7. Na żądanie Administratora Podmiot przetwarzający potwierdzi wykonanie usunięcia e-mailem lub w podpisanym protokole.

8. Powyższe terminy nie mają zastosowania, jeżeli prawo nakazuje dalsze przechowywanie konkretnych danych; w takim przypadku dane zostaną odizolowane i użyte wyłącznie w celu wynikającym z prawa.

9. Po zakończeniu powierzenia minimalne, zminimalizowane wpisy dotyczące bezpieczeństwa, incydentów, wykonania umowy i dostępu mogą być przechowywane przez Podmiot przetwarzający, działający w tym zakresie jako odrębny administrator, maksymalnie przez 24 miesiące, wyłącznie w celu zapewnienia bezpieczeństwa, rozliczalności lub ochrony roszczeń. Nie obejmuje to treści dokumentów klientów ani roboczej kopii bazy CRM. Po upływie tego okresu wpisy zostaną usunięte albo zanonimizowane. Podstawą tego przetwarzania jest art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Podmiotu przetwarzającego polegający na zapewnieniu bezpieczeństwa systemu, wykazaniu rozliczalności oraz ustaleniu, dochodzeniu lub obronie roszczeń — a w zakresie, w jakim dalszego przechowywania wymaga przepis prawa, art. 6 ust. 1 lit. c RODO. Wpisy te obejmują identyfikatory konta i przestrzeni roboczej, znaczniki czasu, rodzaj zdarzenia, metodę logowania oraz ograniczone dane adresu IP i przeglądarki; dotyczą Administratora oraz użytkowników kont utworzonych przez Administratora. Niniejszy ustęp nie określa okresów przechowywania danych, wobec których Podmiot przetwarzający jest administratorem z innego tytułu — w szczególności dowodów zawarcia umowy i złożonych oświadczeń oraz dokumentacji incydentu, w którym administratorem jest Podmiot przetwarzający; okresy te określa Polityka prywatności Akta CRM.

§ 14. Audyt i wykazanie zgodności

1. Administrator może przeprowadzić audyt zgodności nie częściej niż raz w roku, po uprzednim powiadomieniu z co najmniej 14-dniowym wyprzedzeniem.

2. Audyt jest prowadzony w pierwszej kolejności zdalnie, na podstawie dokumentacji, testów, potwierdzeń i odpowiedzi Podmiotu przetwarzającego.

3. Ograniczenia z ust. 1 nie dotyczą uzasadnionego podejrzenia naruszenia, polecenia organu nadzorczego ani istotnego incydentu bezpieczeństwa. Wykonanie polecenia organu nadzorczego następuje z zachowaniem przepisów o tajemnicy zawodowej, którym podlega Administrator, wskazanych w § 11 ust. 4; obowiązek zachowania tej tajemnicy nie ustaje wobec organu nadzorczego występującego z żądaniem ujawnienia informacji, w zakresie wynikającym z tych przepisów. Granica ta wynika z ustawy, dotyczy tajemnicy zawodowej Administratora i nie ogranicza obowiązków Podmiotu przetwarzającego wobec organu nadzorczego poza tym zakresem.

4. Audyt nie może naruszać bezpieczeństwa ani poufności danych innych klientów.

5. Audyt obejmuje także inspekcję. Jeżeli audyt zdalny nie wystarcza do zweryfikowania określonej okoliczności, Administrator może przeprowadzić inspekcję w miejscu, w którym Podmiot przetwarzający wykonuje czynności przetwarzania, i żądać okazania na miejscu ustawień systemu oraz dokumentacji. Termin inspekcji Strony uzgadniają; przypada on nie później niż w terminie 30 dni od otrzymania żądania, a jeżeli żądanie jest następstwem stwierdzonego naruszenia ochrony danych — nie później niż w terminie 14 dni.

6. Audyt i inspekcję może przeprowadzić Administrator albo audytor przez niego upoważniony. Podmiot przetwarzający może żądać, aby audytor przed rozpoczęciem czynności złożył w formie dokumentowej zobowiązanie do zachowania poufności i aby nie prowadził działalności konkurencyjnej wobec Akta CRM; innych warunków dopuszczenia audytora Podmiot przetwarzający nie stawia. Za czynności audytora Administrator odpowiada jak za własne.

7. Podmiot przetwarzający przyczynia się do audytu i inspekcji. Na pytania audytowe odpowiada w formie dokumentowej w terminie 14 dni od ich otrzymania, a jeżeli udzielenie pełnej odpowiedzi w tym terminie nie jest możliwe — w tym samym terminie wskazuje, czego odpowiedź jeszcze wymaga i kiedy zostanie udzielona. Udostępnia dokumentację, o której mowa w § 6 pkt 7, i umożliwia okazanie ustawień systemu.

8. Zakres audytu i inspekcji obejmuje środowisko Akta CRM oraz czynności wykonywane przez Podmiot przetwarzający. Podmiot przetwarzający nie może udzielić dostępu do obiektów ani systemów podprocesorów, którymi nie dysponuje; w tym zakresie przekazuje Administratorowi informacje i dokumenty, którymi dysponuje, w trybie § 9 ust. 6.

9. Audyt i inspekcja nie mogą obejmować danych, dokumentów ani innego materiału pozostałych administratorów korzystających z Akta CRM; niniejszy ustęp rozwija ust. 4. Jeżeli zweryfikowanie określonej okoliczności wymagałoby wglądu w taki materiał, Podmiot przetwarzający wykazuje ją na danych testowych, na materiale pozbawionym danych osobowych albo opisem — i zaznacza, w jaki sposób została wykazana. Ograniczenie to wynika z tajemnicy zawodowej, której podlegają pozostali administratorzy, i chroni w ten sam sposób materiał Administratora przed audytami prowadzonymi przez nich.

10. Każda ze Stron ponosi własne koszty audytu i inspekcji; koszty audytora upoważnionego przez Administratora ponosi Administrator. Za czynności, o których mowa w ust. 2 oraz 5-9, Podmiot przetwarzający nie pobiera wynagrodzenia.

11. Podmiot przetwarzający nie legitymuje się zatwierdzonym kodeksem postępowania (art. 40 RODO), zatwierdzonym mechanizmem certyfikacji (art. 42 RODO) ani raportem z audytu przeprowadzonego przez podmiot trzeci. Materiałem, na którym Administrator opiera ocenę wymaganą przez art. 28 ust. 1 RODO, są zatem: niniejsza umowa wraz z załącznikami, odpowiedzi udzielane w trybie ust. 7 oraz czynności z ust. 5 i 6. Jeżeli Podmiot przetwarzający uzyska którykolwiek z dokumentów wymienionych w zdaniu pierwszym, zawiadomi o tym Administratora i udostępni go na żądanie.

§ 15. Odpowiedzialność

1. Każda Strona odpowiada za wykonanie własnych obowiązków wynikających z RODO, niniejszej DPA i przepisów prawa.

2. Podmiot przetwarzający odpowiada za szkodę w zakresie określonym w art. 82 RODO, w szczególności gdy naruszy obowiązki skierowane bezpośrednio do podmiotu przetwarzającego albo działa poza zgodnymi z prawem poleceniami Administratora.

3. W zakresie dozwolonym przez bezwzględnie obowiązujące przepisy prawa odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu niniejszej umowy w okresie bezpłatnym jest ograniczona do szkody wyrządzonej umyślnie lub wskutek rażącego niedbalstwa. Okresem bezpłatnym jest okres, o którym mowa w § 2 ust. 4 zdanie pierwsze, tożsamy z Okresem bezpłatnym zdefiniowanym w rozdziale 2 Regulaminu; następujący po nim tryb tylko do odczytu nie jest jego częścią i ograniczenie z niniejszego ustępu nie ma do niego zastosowania. Ograniczenie to nie dotyczy odpowiedzialności, której nie można wyłączyć ani ograniczyć na mocy prawa, w szczególności odpowiedzialności wynikającej z art. 82 RODO wobec osób, których dane dotyczą.

4. Bezpłatny charakter okresu próbnego nie wyłącza odpowiedzialności, której nie można skutecznie wyłączyć na mocy prawa.

§ 16. Czas obowiązywania i postanowienia końcowe

1. DPA obowiązuje od chwili zaakceptowania jej w formularzu rejestracji do czasu zakończenia przetwarzania i wykonania obowiązków zwrotu lub usunięcia danych.

2. Zmiany DPA wymagają formy dokumentowej lub elektronicznej. Podmiot przetwarzający zmienia niniejszą umowę wyłącznie z ważnych przyczyn wskazanych w rozdziale 20 Regulaminu, które stosuje się do niniejszej umowy odpowiednio. Istotna zmiana wymaga ponownej akceptacji Administratora, o którą Podmiot przetwarzający zwraca się przy kolejnym dostępie do aplikacji. Odmowa akceptacji istotnej zmiany niniejszej umowy uprawnia Administratora do zwrotu części wynagrodzenia na zasadach określonych w rozdziale 20 Regulaminu; zasad tych nie powtarza się w niniejszej umowie. Nie uchybia to zwrotowi z § 9 ust. 4, który dotyczy sprzeciwu wobec podprocesora i pozostaje bez zmian.

3. Do DPA stosuje się RODO i prawo polskie.

4. Integralną część DPA stanowią, w wersjach doręczonych Administratorowi w chwili rejestracji i utrwalonych w potwierdzeniu prawnym:

- Załącznik nr 1 - Lista podprocesorów Akta CRM;

- Załącznik nr 2 - Środki techniczne i organizacyjne Akta CRM. Numery i daty wersji obu załączników są zapisane w potwierdzeniu prawnym wraz z ich sumami kontrolnymi SHA-256.

5. Każdy załącznik jest wersjonowany numerem i datą. Podmiot przetwarzający doręcza Administratorowi każdą kolejną wersję w formie elektronicznej, w trybie i terminach z § 9 ust. 3-5. Doręczona nowa wersja zastępuje poprzednią bez konieczności ponownego zawierania DPA; nie uchybia to prawu sprzeciwu Administratora. Podmiot przetwarzający przechowuje dowód doręczenia każdej wersji. Nowa wersja załącznika nie może obniżyć poziomu ochrony danych osobowych poniżej poziomu wynikającego z wersji, którą zastępuje; zmiana obniżająca ten poziom wymaga zgody Administratora wyrażonej w formie dokumentowej lub elektronicznej. Ograniczenie to dotyczy treści nowej wersji, a nie samej możliwości jej doręczenia, i nie odnosi się do zmiany składu podprocesorów dokonywanej w trybie § 9. Zakaz, o którym mowa w zdaniach poprzedzających, stosuje się do wersji załączników doręczonych po dniu wejścia w życie rewizji niniejszej umowy, która ten zakaz wprowadziła; skuteczności wersji doręczonych wcześniej nie uchybia.

6. Umowa zostaje zawarta w formie elektronicznej zgodnie z art. 28 ust. 9 RODO. Nie sporządza się egzemplarzy papierowych; dowodem zawarcia i treści jest potwierdzenie prawne wraz z sumami kontrolnymi dokumentów.

7. Jeżeli Podmiot przetwarzający narusza niniejszą DPA lub obowiązujące przepisy, Administrator może zażądać zawieszenia przetwarzania do czasu przywrócenia zgodności. W razie istotnego albo powtarzającego się naruszenia Administrator może rozwiązać niniejszą umowę ze skutkiem natychmiastowym i zaprzestać korzystania z usługi.

8. Jeżeli Administrator mimo otrzymanego ostrzeżenia podtrzymuje polecenie naruszające RODO lub inne przepisy, Podmiot przetwarzający może zawiesić jego wykonanie, a gdy zgodne z prawem rozwiązanie nie zostanie uzgodnione — rozwiązać niniejszą umowę w zakresie objętym takim poleceniem.

9. W razie rozbieżności między niniejszą DPA a treścią załącznika rozstrzyga niniejsza DPA. Jeżeli jednak postanowienie załącznika przewiduje ochronę danych osobowych dalej idącą niż niniejsza DPA, stosuje się postanowienie dalej idące.

10. Nieważność, bezskuteczność albo niewykonalność któregokolwiek postanowienia niniejszej DPA nie powoduje nieważności pozostałych postanowień; pozostają one w mocy. W miejsce postanowienia dotkniętego taką wadą stosuje się przepis prawa, a w jego braku — postanowienie ważne, którego treść jest najbliższa celowi postanowienia zastępowanego i nie jest dla Administratora mniej korzystna niż ono. Niniejszy ustęp nie może być podstawą utrzymania w mocy postanowienia w zakresie, w jakim jest ono wobec Administratora niedozwolone, ani ograniczać praw osób, których dane dotyczą.