Powrotomat

Umowa powierzenia przetwarzania danych osobowych

⚠️ Wersja robocza — dokument wymaga przeglądu prawnika przed użyciem z prawdziwymi klientami. Miejsca oznaczone [UZUPEŁNIĆ] czekają na dane firmy.

To jest najważniejszy dokument z całego zestawu — bez niego przetwarzanie danych klientów salonu w Powrotomacie odbywa się bez podstawy prawnej. Musi zostać zweryfikowany przez prawnika przed podpisaniem z pierwszym klientem.

Zawarta pomiędzy:

  • Administratorem — Klientem Powrotomatu (firma usługowa), właścicielem danych swoich klientów końcowych
  • Podmiotem przetwarzającym — Tomasz Jabłoński, prowadzący działalność nierejestrowaną pod nazwą Powrotomat, zam. [UZUPEŁNIĆ: adres]

na podstawie art. 28 RODO.

§1 Przedmiot i cel powierzenia

Administrator powierza Podmiotowi przetwarzającemu dane osobowe swoich klientów (dalej: „Osoby, których dane dotyczą”) w celu świadczenia usługi automatycznego wykrywania nieaktywnych klientów i wysyłki wiadomości SMS zachęcających do powrotu.

§2 Zakres danych

Powierzeniu podlegają następujące kategorie danych:

  • Imię i nazwisko
  • Numer telefonu
  • Adres email (jeśli dostępny)
  • Historia wizyt (data ostatniej wizyty, rodzaj usługi)

Podmiot przetwarzający nie przetwarza danych szczególnych kategorii (art. 9 RODO).

§3 Czas trwania powierzenia

Powierzenie trwa przez czas obowiązywania umowy o świadczenie usługi Powrotomat (Regulamin). Po jej zakończeniu Podmiot przetwarzający usuwa lub zwraca dane w terminie [UZUPEŁNIĆ: np. 30 dni], chyba że przepisy prawa nakazują ich dalsze przechowywanie.

§4 Obowiązki Podmiotu przetwarzającego

  1. Przetwarzać dane wyłącznie w zakresie i celu określonym w niniejszej umowie oraz na udokumentowane polecenie Administratora.
  2. Zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy.
  3. Stosować odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych — w szczególności: szyfrowanie połączeń (HTTPS), kontrolę dostępu opartą o uwierzytelnianie (Row Level Security — każdy Administrator widzi wyłącznie swoje dane), regularne kopie zapasowe po stronie dostawcy infrastruktury (Supabase).
  4. Pomagać Administratorowi w realizacji obowiązków wynikających z RODO (odpowiadanie na żądania osób, których dane dotyczą; zgłaszanie naruszeń).
  5. Zgłosić Administratorowi każde naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia.
  6. Po zakończeniu świadczenia usług — usunąć lub zwrócić wszelkie dane osobowe.

§5 Dalsze powierzenie (subprocesorzy)

Administrator wyraża zgodę na korzystanie przez Podmiot przetwarzający z następujących subprocesorów:

  • Supabase Inc. — hosting bazy danych
  • SMSAPI.pl (lub inny wskazany operator) — wysyłka SMS
  • Vercel Inc. — hosting aplikacji

Podmiot przetwarzający poinformuje Administratora z wyprzedzeniem o planowanej zmianie lub dodaniu subprocesora.

§6 Audyt

Administrator ma prawo do weryfikacji zgodności przetwarzania danych z niniejszą umową, w tym do żądania informacji o stosowanych środkach bezpieczeństwa.

§7 Odpowiedzialność

[UZUPEŁNIĆ z prawnikiem: zasady odpowiedzialności za naruszenia, kary umowne]

Wersja robocza — data: [UZUPEŁNIĆ]

Administrator: _________________________
Podmiot przetwarzający: _________________________