Umowa powierzenia przetwarzania danych

§ 1. Zawarcie Umowy Powierzenia i definicje

1. Umowa Powierzenia zostaje zawarta w postaci elektronicznej z chwilą zawarcia Umowy Głównej, tj. z chwilą aktywacji Konta, w wyniku akceptacji przez Klienta Regulaminu, Polityki Prywatności oraz Umowy Powierzenia w procesie rejestracji, zgodnie z § 6 ust. 1 i § 21 ust. 2 Regulaminu. Umowa Powierzenia stanowi integralną część Umowy Głównej w zakresie, w jakim Klient przetwarza dane osobowe za pośrednictwem Platformy.
2. Osoba akceptująca Umowę Powierzenia w imieniu Klienta oświadcza, że jest uprawniona do działania w jego imieniu, zgodnie z § 3 ust. 3 Regulaminu.
3. Terminy pisane wielką literą, niezdefiniowane w Umowie Powierzenia, mają znaczenie nadane im w Regulaminie, w szczególności: Platforma, Usługa, Konto, Organizacja, Użytkownik, Gość Projektowy, Projekt, Formularz Zapytań, Klient Końcowy, Okres Próbny, Plan Nieodpłatny, Podmioty Przetwarzające (Subprocesory) oraz Polityka Prywatności. Ilekroć w Umowie Powierzenia jest mowa o „RODO”, rozumie się przez to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Pojęcia zdefiniowane w RODO mają w Umowie Powierzenia takie samo znaczenie jak w RODO.
4. Na potrzeby Umowy Powierzenia „podmiotem podprzetwarzającym” jest Podmiot Przetwarzający (Subprocesor) w rozumieniu § 1 pkt 19 Regulaminu, w zakresie, w jakim przetwarza Dane Powierzone w imieniu Usługodawcy.
5. Usługodawca udostępnia treść Umowy Powierzenia nieodpłatnie na stronie Platformy, w sposób umożliwiający jej pobranie, utrwalenie i wydrukowanie, a na żądanie Klienta przekazuje ją w postaci dokumentowej.

§ 2. Cel, zakres i wykładnia

1. Celem Umowy Powierzenia jest zapewnienie przestrzegania art. 28 ust. 3 i 4 RODO.
2. Umowa Powierzenia ma zastosowanie do przetwarzania danych osobowych określonych w § 3 i pozostaje bez uszczerbku dla obowiązków, którym podlega Administrator na mocy RODO.
3. Umowę Powierzenia odczytuje się i interpretuje w świetle przepisów RODO. Umowy Powierzenia nie interpretuje się w sposób sprzeczny z prawami i obowiązkami przewidzianymi w RODO ani w sposób naruszający podstawowe prawa lub wolności osób, których dane dotyczą.
4. W razie sprzeczności pomiędzy Umową Powierzenia a Regulaminem w zakresie przetwarzania danych osobowych w imieniu Klienta pierwszeństwo mają postanowienia Umowy Powierzenia. W sprawach nieuregulowanych w Umowie Powierzenia stosuje się postanowienia Regulaminu.

5. Umowa Powierzenia nie obejmuje danych osobowych, których administratorem jest Usługodawca, zgodnie z Polityką Prywatności i § 21 ust. 1 i 3 Regulaminu, w szczególności:

   1. 1)danych Klienta, Użytkowników (w tym Gości Projektowych) oraz osób reprezentujących Klienta, przetwarzanych w celu rejestracji i obsługi Konta, zawarcia i wykonania Umowy Głównej, rozliczeń, obsługi zgłoszeń i reklamacji oraz komunikacji marketingowej;
   2. 2)adresu IP osoby wypełniającej Formularz Zapytań lub odwiedzającej stronę, na której umieszczono Formularz Zapytań, przetwarzanego w celu zabezpieczenia przed nadużyciami;
   3. 3)danych technicznych, logów, zdarzeń bezpieczeństwa i informacji o błędach, przetwarzanych przez Usługodawcę we własnych celach związanych z bezpieczeństwem, ochroną przed nadużyciami oraz ustaleniem, dochodzeniem lub obroną roszczeń, na podstawie odrębnej podstawy prawnej;
   4. 4)danych skutecznie zanonimizowanych, które nie stanowią danych osobowych.

§ 3. Opis przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które Klient lub Użytkownicy działający w ramach jego Organizacji wprowadzają do Platformy, które przekazywane są do Platformy za pośrednictwem Formularza Zapytań skonfigurowanego przez Klienta, a także które zamieszczane są w udostępnionym przez Klienta Projekcie przez Gości Projektowych lub osoby korzystające z linku do Projektu (dalej: „Dane Powierzone”).

2. Kategorie osób, których dotyczą Dane Powierzone:

   1. 1)Klienci Końcowi (Inwestorzy) – osoby fizyczne przesyłające zgłoszenia za pośrednictwem Formularza Zapytań lub których dane Klient wprowadza do Platformy;
   2. 2)przedstawiciele, pełnomocnicy i osoby kontaktowe Klientów Końcowych oraz inne osoby związane z inwestycją, w szczególności domownicy, architekci, projektanci, wykonawcy, podwykonawcy i dostawcy;
   3. 3)osoby dodające notatki i komentarze do Projektu za pośrednictwem linku, o którym mowa w § 9 Regulaminu – w zakresie, w jakim treść tych notatek i komentarzy zawiera dane osobowe;
   4. 4)inne osoby, w tym pracownicy i współpracownicy Klienta, których dane Klient lub Użytkownicy zamieszczają w Projektach, notatkach, komentarzach lub przesyłanych plikach – w zakresie, w jakim dane te nie są przetwarzane przez Usługodawcę jako administratora zgodnie z Polityką Prywatności.

3. Kategorie Danych Powierzonych:

   1. 1)dane identyfikacyjne i kontaktowe, w szczególności imię i nazwisko, adres e-mail i numer telefonu;
   2. 2)dane dotyczące inwestycji, w szczególności typ i lokalizacja (adres) inwestycji, powierzchnia, etap prac, elementy wyposażenia oraz zakres i parametry projektowanej instalacji;
   3. 3)dane zbierane w polach dodatkowych Formularza Zapytań, konfigurowanych samodzielnie przez Klienta;
   4. 4)informacje o udzieleniu, treści i wycofaniu zgód zbieranych za pośrednictwem Formularza Zapytań (§ 8 ust. 3 Regulaminu) oraz data i czas przesłania zgłoszenia;
   5. 5)dane zawarte w Projektach, notatkach, komentarzach, historii zmian oraz przesyłanych plikach, w tym dokumentach PDF, rzutach, zdjęciach i innych obrazach;
   6. 6)dane zawarte w wiadomościach i powiadomieniach wysyłanych za pośrednictwem Platformy – w zakresie, w jakim obejmują dane, o których mowa w pkt 1–5.
4. Platforma nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO. Klient zobowiązuje się nie wprowadzać takich danych do Platformy, w szczególności w polach swobodnych, notatkach, komentarzach i plikach, ani nie konfigurować Formularza Zapytań w sposób prowadzący do ich zbierania, chyba że istnieje wyraźna podstawa prawna, przetwarzanie jest rzeczywiście konieczne, a Klient uprzednio ocenił, że środki określone w Załączniku nr 2 są dla tych danych adekwatne. Usługodawca nie stosuje wobec takich danych środków innych niż określone w Załączniku nr 2, chyba że Strony odrębnie uzgodnią inaczej.
5. Charakter przetwarzania: przetwarzanie odbywa się wyłącznie w formie elektronicznej, w systemach informatycznych Platformy i podmiotów podprzetwarzających, w sposób ciągły przez okres świadczenia Usługi.
6. Przetwarzanie Danych Powierzonych obejmuje następujące operacje: zbieranie (za pośrednictwem Formularza Zapytań), utrwalanie, organizowanie, porządkowanie, przechowywanie (w tym w kopiach zapasowych), adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie lub udostępnienie Użytkownikom, Gościom Projektowym i osobom posiadającym link do Projektu – zgodnie z dyspozycją Klienta, dopasowywanie lub łączenie, ograniczanie, eksport, usuwanie oraz anonimizację.

§ 4. Cel, czas i miejsce przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych Powierzonych wyłącznie w celu świadczenia Usługi zgodnie z Umową Główną, w szczególności w celu:

   1. 1)udostępnienia funkcjonalności Platformy, w tym modułu zarządzania procesem sprzedażowym, Formularza Zapytań, planera Projektów, przesyłania i przechowywania plików, udostępniania Projektów linkiem oraz zapraszania Użytkowników i Gości Projektowych;
   2. 2)hostingu i przechowywania Danych Powierzonych, w tym sporządzania kopii zapasowych;
   3. 3)wysyłki wiadomości i powiadomień generowanych przez Platformę;
   4. 4)zapewnienia wsparcia technicznego oraz obsługi zgłoszeń i reklamacji Klienta;
   5. 5)utrzymania, zabezpieczenia i diagnostyki technicznej Platformy, w tym wykrywania i usuwania błędów;
   6. 6)wykonania, na żądanie Klienta, czynności technicznych związanych z eksportem, usunięciem lub anonimizacją danych, zgodnie z § 12 ust. 1 lit. b Regulaminu;
   7. 7)wykonywania obowiązków wynikających z Umowy Powierzenia, w tym udzielania Administratorowi pomocy, o której mowa w § 11 i § 12.
2. Zakres powierzenia obejmuje wyłącznie Dane Powierzone określone w § 3.
3. Dane Powierzone przetwarzane są przez okres obowiązywania Umowy Głównej, a po jej zakończeniu – przez okresy wskazane w § 14, niezbędne do umożliwienia Klientowi eksportu danych lub reaktywacji subskrypcji oraz do usunięcia lub anonimizacji danych.
4. Dane Powierzone przechowywane są na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym: aplikacja i pliki – w Niemczech lub Finlandii, baza danych – we Frankfurcie nad Menem (Niemcy). Niektóre podmioty podprzetwarzające mają siedzibę w Stanach Zjednoczonych Ameryki, co może wiązać się z przetwarzaniem Danych Powierzonych lub dostępem do nich spoza EOG na zasadach określonych w § 10. Aktualne miejsca przetwarzania wskazuje Załącznik nr 1; na wniosek Administratora Podmiot przetwarzający udziela dodatkowych informacji w tym zakresie.

§ 5. Polecenia

1. Podmiot przetwarzający przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega Podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny. Administrator może wydawać kolejne polecenia przez cały okres przetwarzania danych osobowych.

2. Strony uznają za udokumentowane polecenia Administratora:

   1. 1)Umowę Główną, w tym Regulamin, oraz Umowę Powierzenia;
   2. 2)konfigurację Platformy i korzystanie z jej funkcjonalności przez Klienta i Użytkowników działających w ramach jego Organizacji, w szczególności konfigurację Formularza Zapytań, wprowadzanie, edycję, eksport i usuwanie danych, nadawanie ról i uprawnień, zapraszanie Użytkowników i Gości Projektowych oraz generowanie i wyłączanie linków do Projektów;
   3. 3)polecenia przekazane przez Klienta w postaci dokumentowej, na adres e-mail Usługodawcy wskazany w § 15 ust. 6 lub za pośrednictwem funkcjonalności zgłoszeń dostępnej w Platformie.
3. Zaproszenie Gościa Projektowego do Projektu stanowi polecenie udostępnienia mu Danych Powierzonych zawartych w tym Projekcie w zakresie wynikającym z nadanej mu roli (§ 11 ust. 5 Regulaminu). Wygenerowanie linku do Projektu stanowi polecenie udostępnienia widoku Projektu, w stanie z chwili wygenerowania linku, każdej osobie dysponującej linkiem, a jeżeli ustawiono hasło – także hasłem (§ 9 Regulaminu).
4. Jeżeli wykonanie polecenia wykracza poza funkcjonalności Platformy lub zakres Usługi określony w Umowie Głównej, Podmiot przetwarzający niezwłocznie informuje o tym Administratora. Wykonanie takiego polecenia może zostać uzależnione od odrębnych ustaleń Stron. W razie braku porozumienia Klient może wypowiedzieć Umowę Główną na zasadach określonych w Regulaminie.
5. Podmiot przetwarzający niezwłocznie powiadamia Administratora, jeżeli w jego opinii wydane polecenie narusza RODO lub inne przepisy Unii lub państwa członkowskiego o ochronie danych. Do czasu potwierdzenia lub zmiany polecenia przez Administratora Podmiot przetwarzający może wstrzymać jego wykonanie.
6. Podmiot przetwarzający nie przetwarza Danych Powierzonych we własnych celach i nie udostępnia danych jednej Organizacji innym Klientom, z wyjątkiem udostępnień dokonanych przez Klienta zgodnie z ust. 3. Nie stanowi naruszenia zdania poprzedniego przetwarzanie danych w zakresie, w jakim Usługodawca działa jako odrębny administrator, o którym mowa w § 2 ust. 5.
7. Administrator poleca Podmiotowi przetwarzającemu anonimizację Danych Powierzonych w zakresie niezbędnym do opracowywania zagregowanych statystyk oraz rozwoju Platformy. Dane skutecznie zanonimizowane nie stanowią danych osobowych i nie podlegają Umowie Powierzenia.

§ 6. Obowiązki Administratora

1. Administrator oświadcza, że jest administratorem Danych Powierzonych, posiada podstawę prawną do ich przetwarzania oraz jest uprawniony do powierzenia ich przetwarzania Podmiotowi przetwarzającemu.

2. Administrator odpowiada w szczególności za:

   1. 1)zgodność z prawem treści i konfiguracji Formularza Zapytań, w tym zakresu zbieranych danych, klauzul zgód oraz treści obowiązku informacyjnego (§ 8 Regulaminu);
   2. 2)spełnienie obowiązku informacyjnego wobec osób, których dane dotyczą, w tym poinformowanie o powierzeniu przetwarzania, o możliwym przekazywaniu danych poza EOG oraz o przetwarzaniu adresu IP osoby wypełniającej Formularz Zapytań przez Usługodawcę jako odrębnego administratora w celu zabezpieczenia przed nadużyciami (§ 8 ust. 5 i § 21 ust. 3 Regulaminu);
   3. 3)prawidłowe nadawanie ról i uprawnień w Organizacji oraz niezwłoczne usuwanie Użytkowników, którzy utracili uprawnienie do dostępu (§ 11 ust. 3 i 7 Regulaminu);
   4. 4)dobór zabezpieczeń linków do Projektów (hasło, data wygaśnięcia) adekwatnych do wrażliwości udostępnianych danych oraz wyłączanie linków, które nie są już potrzebne (§ 9 ust. 5 Regulaminu);
   5. 5)zachowanie w tajemnicy danych dostępowych do Konta (§ 7 ust. 2 Regulaminu);
   6. 6)przestrzeganie zasady minimalizacji danych, w tym niewprowadzanie do Platformy danych zbędnych dla celów przetwarzania.
3. Administrator, przed rozpoczęciem przetwarzania danych za pośrednictwem Platformy, ocenia, czy środki techniczne i organizacyjne określone w Załączniku nr 2 zapewniają stopień bezpieczeństwa odpowiedni do ryzyka związanego z danymi, które zamierza przetwarzać.
4. Adresem do kontaktu z Administratorem w sprawach dotyczących Danych Powierzonych, w tym do przekazywania informacji o naruszeniach ochrony danych osobowych i o zmianach podmiotów podprzetwarzających, jest adres e-mail przypisany do Konta. Administrator zapewnia aktualność tego adresu.

§ 7. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający wdraża środki techniczne i organizacyjne, o których mowa w art. 32 RODO, obejmujące co najmniej środki określone w Załączniku nr 2, stanowiącym załącznik, o którym mowa w § 14 ust. 9 Regulaminu. Zapewnienie bezpieczeństwa danych obejmuje ochronę przed naruszeniem bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych (naruszenie ochrony danych osobowych). Oceniając odpowiedni poziom bezpieczeństwa, Strony należycie uwzględniają stan wiedzy technicznej, koszty wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz związane z tym ryzyko dla osób, których dane dotyczą.
2. Podmiot przetwarzający może aktualizować środki określone w Załączniku nr 2 w związku z rozwojem technicznym Platformy, pod warunkiem że zmiana nie obniży ogólnego poziomu bezpieczeństwa Danych Powierzonych. Na żądanie Administratora Podmiot przetwarzający przekazuje informacje o aktualnie stosowanych środkach.
3. Podmiot przetwarzający udziela członkom swojego personelu dostępu do Danych Powierzonych jedynie w zakresie bezwzględnie niezbędnym do wykonania Umowy Głównej i Umowy Powierzenia. Podmiot przetwarzający zapewnia, by osoby upoważnione do przetwarzania Danych Powierzonych zobowiązały się do zachowania poufności lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania poufności, oraz prowadzi ewidencję tych osób.
4. Dostęp upoważnionych przedstawicieli Podmiotu przetwarzającego do danych Organizacji, o którym mowa w § 12 Regulaminu, jest wykonywany wyłącznie w celu zapewnienia wsparcia technicznego i obsługi zgłoszeń Klienta, wykonania na żądanie Klienta czynności związanych z eksportem lub anonimizacją danych oraz utrzymania, zabezpieczenia i diagnostyki technicznej Platformy. Każdy taki dostęp, w tym sam wgląd w dane bez dokonywania zmian, jest rejestrowany. Na wniosek Administratora Podmiot przetwarzający udostępnia mu informacje o dostępach do danych jego Organizacji w zakresie niezbędnym do wykazania zgodności z Umową Powierzenia.
5. Dane Powierzone przetwarzane są w ramach Organizacji Klienta, odizolowanej od danych innych Klientów. Dostęp do Danych Powierzonych mają wyłącznie Użytkownicy Organizacji Klienta, Goście Projektowi i osoby dysponujące linkiem do Projektu – w zakresie wynikającym z udostępnień dokonanych przez Klienta – oraz osoby, o których mowa w ust. 3.

§ 8. Dokumentacja, zgodność i audyty

1. Strony są w stanie wykazać zgodność z Umową Powierzenia.
2. Podmiot przetwarzający niezwłocznie i odpowiednio rozpatruje zapytania Administratora dotyczące przetwarzania Danych Powierzonych, udzielając odpowiedzi nie później niż w terminie 14 dni od ich otrzymania.
3. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i w Umowie Powierzenia oraz prowadzi rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratorów, o którym mowa w art. 30 ust. 2 RODO.
4. Podmiot przetwarzający umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. W pierwszej kolejności Administrator weryfikuje zgodność na podstawie informacji i dokumentacji udostępnionych przez Podmiot przetwarzający, w tym odpowiedzi na pytania Administratora oraz certyfikatów lub raportów z audytów Podmiotu przetwarzającego lub podmiotów podprzetwarzających. Podejmując decyzję w sprawie audytu, Administrator może wziąć pod uwagę posiadane przez Podmiot przetwarzający certyfikaty.
5. Audyt przeprowadzany jest przez Administratora lub niezależnego audytora zobowiązanego do zachowania poufności i niebędącego podmiotem konkurencyjnym wobec Usługodawcy, po zawiadomieniu Podmiotu przetwarzającego co najmniej 14 dni przed planowanym terminem, ze wskazaniem zakresu audytu i osób go przeprowadzających, w dniach i godzinach pracy Usługodawcy, nie częściej niż raz na 12 miesięcy. Ograniczenia częstotliwości i terminu zawiadomienia nie stosuje się, jeżeli audyt jest związany z naruszeniem ochrony Danych Powierzonych Klienta, istnieją uzasadnione przesłanki wskazujące na niezgodność przetwarzania z Umową Powierzenia lub RODO albo audytu wymaga organ nadzorczy.
6. Audyt nie może naruszać poufności danych innych Klientów, tajemnicy przedsiębiorstwa Usługodawcy ani bezpieczeństwa Platformy. Weryfikacja infrastruktury podmiotów podprzetwarzających odbywa się na podstawie udostępnianych przez nie certyfikatów, raportów i dokumentacji. Każda ze Stron ponosi własne koszty związane z audytem.
7. Z przeprowadzonego audytu sporządza się sprawozdanie, w którym w razie potrzeby określa się zalecenia pokontrolne. Podmiot przetwarzający wdraża zalecenia pokontrolne zgodne z Umową Powierzenia i RODO w terminie uzgodnionym przez Strony, adekwatnym do charakteru zaleceń.
8. Na wniosek właściwego organu nadzorczego Strony udostępniają mu informacje, o których mowa w niniejszym paragrafie, w tym wyniki audytów.

§ 9. Korzystanie z usług podmiotów podprzetwarzających

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody, o której mowa w art. 28 ust. 2 RODO, na korzystanie z usług podmiotów podprzetwarzających. Akceptując Umowę Powierzenia, Administrator wyraża zgodę na korzystanie z usług podmiotów podprzetwarzających wskazanych w Załączniku nr 1. Wykaz podmiotów podprzetwarzających zamieszczony jest również w Polityce Prywatności (§ 21 ust. 4 Regulaminu).
2. O zamierzonych zmianach dotyczących dodania lub zastąpienia podmiotów podprzetwarzających Podmiot przetwarzający informuje Administratora co najmniej 14 dni przed wprowadzeniem zmiany, za pośrednictwem poczty elektronicznej na adres przypisany do Konta lub powiadomienia w Platformie, wskazując nazwę podmiotu, zakres i miejsce przetwarzania oraz – w razie przekazywania danych poza EOG – stosowany mechanizm, o którym mowa w § 10 ust. 2.
3. W terminie, o którym mowa w ust. 2, Administrator może zgłosić uzasadniony sprzeciw wobec zmiany. Strony podejmą w dobrej wierze próbę uzgodnienia rozwiązania. Jeżeli Podmiot przetwarzający nie zrezygnuje z zamierzonej zmiany, Klient może wypowiedzieć Umowę Główną ze skutkiem na dzień poprzedzający wprowadzenie zmiany; w takim przypadku Klientowi przysługuje zwrot Opłaty za niewykorzystaną część opłaconego okresu rozliczeniowego, obliczony zgodnie z § 13 ust. 13 Regulaminu. Brak sprzeciwu w terminie oznacza zgodę na zmianę.
4. Jeżeli zastąpienie podmiotu podprzetwarzającego jest niezbędne niezwłocznie ze względu na bezpieczeństwo Danych Powierzonych lub ciągłość świadczenia Usługi, w szczególności w razie awarii lub zaprzestania świadczenia usług przez dotychczasowy podmiot, Podmiot przetwarzający może wprowadzić zmianę bez zachowania terminu, o którym mowa w ust. 2, informując o niej Administratora niezwłocznie. Uprawnienia, o których mowa w ust. 3, przysługują wówczas Administratorowi w terminie 14 dni od otrzymania informacji.
5. Jeżeli Podmiot przetwarzający korzysta z usług podmiotu podprzetwarzającego, dokonuje tego w drodze umowy, która nakłada na podmiot podprzetwarzający zasadniczo takie same obowiązki w zakresie ochrony danych jak obowiązki nałożone na Podmiot przetwarzający na mocy Umowy Powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający zapewnia, aby podmiot podprzetwarzający wypełniał obowiązki, którym podlega Podmiot przetwarzający na mocy Umowy Powierzenia oraz RODO.
6. Na wniosek Administratora Podmiot przetwarzający przekazuje mu kopię umowy zawartej z podmiotem podprzetwarzającym lub – jeżeli umowa ta została zawarta na standardowych, publicznie dostępnych warunkach tego podmiotu – wskazuje miejsce jej publikacji. W zakresie niezbędnym do ochrony tajemnicy przedsiębiorstwa lub innych informacji poufnych Podmiot przetwarzający może utajnić tekst umowy przed jej udostępnieniem.
7. Podmiot przetwarzający pozostaje w pełni odpowiedzialny przed Administratorem za wykonanie obowiązków podmiotu podprzetwarzającego zgodnie z jego umową z Podmiotem przetwarzającym. Podmiot przetwarzający powiadamia Administratora o każdym przypadku niewywiązania się przez podmiot podprzetwarzający z jego zobowiązań umownych, jeżeli może to mieć wpływ na Dane Powierzone.

§ 10. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Wszelkie przekazywanie Danych Powierzonych do państwa trzeciego lub organizacji międzynarodowej przez Podmiot przetwarzający odbywa się wyłącznie na udokumentowane polecenie Administratora lub w celu spełnienia szczególnego wymogu na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Podmiot przetwarzający, i odbywa się zgodnie z rozdziałem V RODO. Administrator poleca Podmiotowi przetwarzającemu przekazywanie Danych Powierzonych do państw trzecich, w tym umożliwianie zdalnego dostępu do nich z tych państw, w zakresie wynikającym z korzystania z usług podmiotów podprzetwarzających wskazanych w Załączniku nr 1 lub zaakceptowanych w trybie § 9.

2. Przekazanie, o którym mowa w ust. 1, odbywa się z zastosowaniem mechanizmu wymaganego przez rozdział V RODO, w szczególności:

   1. 1)decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, jeżeli obejmuje ona dane państwo i odbiorcę, w tym decyzji wykonawczej Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. (EU-U.S. Data Privacy Framework) – wobec odbiorców w USA certyfikowanych w tym programie;
   2. 2)standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, wraz z oceną warunków transferu i – gdy jest to potrzebne – środkami uzupełniającymi;
   3. 3)innego mechanizmu dopuszczonego przez RODO, jeżeli znajduje zastosowanie.
3. Na wniosek Administratora Podmiot przetwarzający przekazuje informację o mechanizmie stosowanym wobec danego podmiotu podprzetwarzającego oraz kopię odpowiednich zabezpieczeń.
4. Wobec podmiotów podprzetwarzających z siedzibą w USA, wskazanych w Załączniku nr 1, Podmiot przetwarzający zapewnia, aby – niezależnie od certyfikacji w programie EU-U.S. Data Privacy Framework – umowa z danym podmiotem przewidywała stosowanie standardowych klauzul umownych w razie unieważnienia decyzji, o której mowa w ust. 2 pkt 1, lub utraty certyfikacji przez ten podmiot.
5. Jeżeli mechanizm stosowany wobec podmiotu podprzetwarzającego przestanie zapewniać zgodność przekazywania z rozdziałem V RODO, Podmiot przetwarzający niezwłocznie informuje o tym Administratora i podejmuje działania zmierzające do zastosowania innego mechanizmu, zmiany konfiguracji usługi lub zastąpienia podmiotu podprzetwarzającego w trybie § 9.

§ 11. Pomoc dla Administratora

1. Żądania osób, których dotyczą Dane Powierzone, w tym Klientów Końcowych, dotyczące wykonania praw wynikających z RODO, kierowane są do Administratora. Jeżeli takie żądanie wpłynie bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający niezwłocznie, nie później niż w terminie 3 dni roboczych, przekazuje je Administratorowi, a zgłaszającemu przekazuje dane kontaktowe Administratora. Podmiot przetwarzający nie odpowiada na żądanie merytorycznie, chyba że Administrator mu to poleci.
2. Administrator realizuje żądania, o których mowa w ust. 1, w pierwszej kolejności samodzielnie, za pomocą funkcjonalności Platformy umożliwiających przeglądanie, sprostowanie, eksport i usuwanie danych.
3. Jeżeli realizacja żądania nie jest możliwa za pomocą funkcjonalności Platformy, Podmiot przetwarzający, na polecenie Administratora, zapewnia techniczną możliwość jego realizacji w terminie 7 dni od otrzymania polecenia, a jeżeli ze względu na złożoność żądania nie jest to możliwe – w terminie umożliwiającym Administratorowi dochowanie terminów określonych w art. 12 ust. 3 RODO, o czym niezwłocznie informuje Administratora. Pomagając Administratorowi, Podmiot przetwarzający stosuje się do jego poleceń.
4. Usunięcie lub anonimizacja Danych Powierzonych realizowane przez Podmiot przetwarzający obejmują również kopie zapasowe. Dane zawarte w kopiach zapasowych usuwane są w ramach cyklu rotacji kopii, nie później niż w terminie 35 dni od usunięcia danych z systemu produkcyjnego; do tego czasu kopie zapasowe nie są wykorzystywane operacyjnie i służą wyłącznie odtworzeniu danych w razie awarii. W przypadku awaryjnego przywrócenia kopii zapasowej sporządzonej przed realizacją żądania Podmiot przetwarzający niezwłocznie ponownie usuwa lub anonimizuje dane objęte tym żądaniem.

5. Oprócz obowiązków, o których mowa w ust. 1–4, Podmiot przetwarzający pomaga Administratorowi w wypełnianiu następujących obowiązków, z uwzględnieniem charakteru przetwarzania oraz informacji, którymi dysponuje:

   1. 1)przeprowadzenia oceny skutków dla ochrony danych, jeżeli dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych;
   2. 2)uprzednich konsultacji z właściwym organem nadzorczym, jeżeli ocena skutków dla ochrony danych wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby Administrator nie zastosował środków w celu jego ograniczenia;
   3. 3)zapewnienia prawidłowości i aktualności danych, poprzez niezwłoczne poinformowanie Administratora, jeżeli Podmiot przetwarzający stwierdzi, że przetwarzane przez niego Dane Powierzone są nieprawidłowe lub nieaktualne;
   4. 4)określonych w art. 32 RODO.

§ 12. Naruszenie ochrony danych osobowych

1. W przypadku naruszenia ochrony danych osobowych dotyczącego Danych Powierzonych Podmiot przetwarzający zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w terminie 48 godzin od stwierdzenia naruszenia, na adres e-mail przypisany do Konta, a dodatkowo może powiadomić o nim za pośrednictwem Platformy.

2. Zgłoszenie, o którym mowa w ust. 1, zawiera co najmniej:

   1. 1)opis charakteru naruszenia, w tym – w miarę możliwości – kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
   2. 2)dane punktu kontaktowego, w którym można uzyskać więcej informacji na temat naruszenia;
   3. 3)opis prawdopodobnych konsekwencji naruszenia;
   4. 4)opis środków zastosowanych lub proponowanych przez Podmiot przetwarzający w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutków.
3. Jeżeli przekazanie wszystkich informacji, o których mowa w ust. 2, równocześnie nie jest możliwe, pierwotne zgłoszenie zawiera informacje dostępne w danej chwili, a dalsze informacje przekazuje się bez zbędnej zwłoki, niezwłocznie po ich uzyskaniu.
4. Podmiot przetwarzający współpracuje z Administratorem i pomaga mu w wypełnianiu obowiązków wynikających z art. 33 i 34 RODO, z uwzględnieniem charakteru przetwarzania i informacji, którymi dysponuje, w tym – w stosownych przypadkach – w odniesieniu do naruszeń wynikających z działań Klienta, Użytkowników lub osób, którym Klient udostępnił link do Projektu lub dane dostępowe do Konta. Podmiot przetwarzający nie zgłasza naruszenia organowi nadzorczemu ani nie zawiadamia osób, których dane dotyczą, w imieniu Administratora, chyba że Administrator mu to poleci.
5. Podmiot przetwarzający dokumentuje wszelkie naruszenia ochrony Danych Powierzonych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

§ 13. Odpowiedzialność Stron

1. Administrator ponosi odpowiedzialność za przestrzeganie przepisów o ochronie danych osobowych w zakresie, w jakim określa cele i sposoby przetwarzania Danych Powierzonych, w szczególności za zapewnienie podstawy prawnej przetwarzania, spełnienie obowiązku informacyjnego, treść i konfigurację Formularza Zapytań, zakres danych wprowadzanych do Platformy oraz treść wydawanych poleceń.
2. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub obowiązków wynikających z Umowy Powierzenia, albo gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew tym poleceniom.
3. Do odpowiedzialności Podmiotu przetwarzającego wobec Administratora z tytułu Umowy Powierzenia stosuje się ograniczenia i wyłączenia odpowiedzialności określone w § 15 ust. 2–4 Regulaminu. Limit Podstawowy, o którym mowa w § 15 ust. 2 Regulaminu, jest wspólny dla roszczeń z tytułu Umowy Głównej i Umowy Powierzenia.
4. Postanowienia ust. 3 nie ograniczają odpowiedzialności Stron wobec osób, których dane dotyczą, wynikającej z art. 82 RODO.
5. Z zastrzeżeniem odpowiedzialności za wykonanie własnych obowiązków wynikających z RODO i Umowy Powierzenia, Podmiot przetwarzający nie ponosi odpowiedzialności za skutki udostępnienia przez Klienta lub Użytkowników danych dostępowych do Konta lub linku do Projektu osobom nieuprawnionym (§ 9 ust. 4 i § 15 ust. 5 Regulaminu).
6. Do roszczeń osób trzecich, w tym osób, których dane dotyczą, oraz organów nadzorczych, skierowanych przeciwko Usługodawcy i wynikających z naruszenia przez Klienta obowiązków administratora lub postanowień Umowy Powierzenia, stosuje się § 16 Regulaminu.

§ 14. Czas obowiązywania, rozwiązanie i usunięcie danych

1. Umowa Powierzenia obowiązuje przez czas obowiązywania Umowy Głównej, a po jej zakończeniu – do chwili usunięcia lub anonimizacji wszystkich Danych Powierzonych, w tym w kopiach zapasowych. Rozwiązanie lub wygaśnięcie Umowy Głównej skutkuje rozwiązaniem Umowy Powierzenia. Ponieważ korzystanie z Platformy wymaga powierzenia przetwarzania danych, wypowiedzenie Umowy Powierzenia przez Klienta jest równoznaczne z wypowiedzeniem Umowy Głównej.
2. Bez uszczerbku dla przepisów RODO, w przypadku gdy Podmiot przetwarzający narusza swoje obowiązki wynikające z Umowy Powierzenia, Administrator może polecić mu zawieszenie przetwarzania Danych Powierzonych do czasu przywrócenia zgodności z Umową Powierzenia. W okresie zawieszenia korzystanie z funkcjonalności Platformy wymagających przetwarzania Danych Powierzonych może być ograniczone. Podmiot przetwarzający niezwłocznie zawiadamia Administratora, jeżeli z jakiegokolwiek powodu nie jest w stanie zastosować się do Umowy Powierzenia.

3. Administrator jest uprawniony do wypowiedzenia Umowy Głównej ze skutkiem natychmiastowym, jeżeli:

   1. 1)Administrator zawiesił przetwarzanie Danych Powierzonych zgodnie z ust. 2, a zgodność z Umową Powierzenia nie zostanie przywrócona w rozsądnym terminie, a w każdym razie w terminie jednego miesiąca od zawieszenia;
   2. 2)Podmiot przetwarzający poważnie lub stale narusza Umowę Powierzenia lub swoje obowiązki wynikające z RODO;
   3. 3)Podmiot przetwarzający nie stosuje się do wiążącej decyzji właściwego sądu lub właściwego organu nadzorczego dotyczącej jego obowiązków wynikających z Umowy Powierzenia lub RODO;
   4. 4)Podmiot przetwarzający nie wdrożył, w uzgodnionym terminie lub zakresie, zaleceń pokontrolnych, o których mowa w § 8 ust. 7.
4. W przypadku wypowiedzenia, o którym mowa w ust. 3, Klientowi przysługuje zwrot Opłaty za niewykorzystaną część opłaconego okresu rozliczeniowego, obliczony zgodnie z § 13 ust. 13 Regulaminu.
5. Po rozwiązaniu lub wygaśnięciu Umowy Głównej, z przyczyny innej niż Anonimizacja Konta, Dane Powierzone przechowywane są przez okres 90 dni od dnia zakończenia Umowy Głównej wyłącznie w celu umożliwienia Klientowi ich wyeksportowania lub reaktywacji subskrypcji (§ 19 Regulaminu). Wyeksportowanie danych przez Klienta w tym okresie stanowi zwrot Danych Powierzonych w rozumieniu art. 28 ust. 3 lit. g RODO. Klient może zażądać wcześniejszego usunięcia Danych Powierzonych. Po upływie tego okresu Dane Powierzone są trwale usuwane lub anonimizowane, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie.
6. Jeżeli Klient korzysta wyłącznie z Planu Nieodpłatnego i żaden Użytkownik nie zaloguje się do Konta przez 90 dni, Konto zostaje zamknięte, o czym Usługodawca informuje Klienta na adres e-mail przypisany do Konta co najmniej 14 dni przed planowanym terminem zamknięcia. Dane Powierzone przechowywane w ramach Organizacji przypisanej do tego Konta są anonimizowane po upływie 180 dni od dnia zamknięcia Konta (§ 6 ust. 9 i 10 Regulaminu).
7. W przypadku Anonimizacji Konta na żądanie Klienta (§ 19 ust. 5 Regulaminu) Dane Powierzone są anonimizowane niezwłocznie, bez okresu umożliwiającego ich eksport lub reaktywację subskrypcji. Klient, który chce zachować Dane Powierzone, powinien wyeksportować je przed złożeniem żądania.
8. Usunięcie lub anonimizacja Danych Powierzonych na podstawie ust. 5–7 obejmuje również kopie zapasowe, na zasadach określonych w § 11 ust. 4. Z chwilą zakończenia Umowy Głównej ustaje dostęp Gości Projektowych do Projektów udostępnionych przez Klienta.
9. Do czasu usunięcia lub anonimizacji Danych Powierzonych Podmiot przetwarzający zapewnia przestrzeganie Umowy Powierzenia.

10. Po usunięciu lub anonimizacji Danych Powierzonych Podmiot przetwarzający, na żądanie Administratora, niezwłocznie, nie później niż w terminie 5 dni roboczych, przekazuje Administratorowi w postaci dokumentowej potwierdzenie dokonanych czynności, zawierające w szczególności:

    1. 1)datę usunięcia lub anonimizacji Danych Powierzonych;
    2. 2)zakres usuniętych lub zanonimizowanych danych;
    3. 3)informację, czy Podmiot przetwarzający zachował częściowo lub w całości dane osobowe dla innych celów, w szczególności wynikających z przepisów prawa, oraz termin usunięcia danych z kopii zapasowych.

§ 15. Postanowienia końcowe

1. Zmiana Umowy Powierzenia następuje w trybie i na zasadach określonych w § 23 Regulaminu dla zmiany Regulaminu. Zmiana Załącznika nr 1 następuje w trybie § 9, a aktualizacja Załącznika nr 2 – w trybie § 7 ust. 2; nie stanowią one zmiany Umowy Powierzenia w rozumieniu zdania pierwszego.
2. W przypadku gdy Umowa Powierzenia odwołuje się do przepisów prawa, rozumie się przez to również inne przepisy dotyczące ochrony danych osobowych, a także wszelkie ich nowelizacje, jakie wejdą w życie po dniu zawarcia Umowy Powierzenia, jak również akty prawne, które zastąpią wskazane przepisy.
3. Do informacji uzyskanych w związku z wykonywaniem Umowy Powierzenia stosuje się § 18 Regulaminu. Obowiązek zachowania poufności Danych Powierzonych obowiązuje bez ograniczenia w czasie.
4. Prawem właściwym dla Umowy Powierzenia jest prawo polskie. Strony będą dążyć do polubownego rozstrzygania sporów wynikających z Umowy Powierzenia. W przypadku braku porozumienia spory rozstrzyga sąd powszechny właściwy dla siedziby Usługodawcy, z zastrzeżeniem § 24 ust. 2 zdanie drugie Regulaminu.
5. W sprawach nieuregulowanych w Umowie Powierzenia zastosowanie mają postanowienia Regulaminu, przepisy RODO oraz Kodeksu cywilnego.
6. Korespondencję w sprawach dotyczących Umowy Powierzenia Klient kieruje do Usługodawcy na adres e-mail: [email protected] lub na adres korespondencyjny wskazany w komparycji, a Usługodawca do Klienta – na adres e-mail przypisany do Konta.

7. Integralną część Umowy Powierzenia stanowią:

   1. 1)Załącznik nr 1 – Wykaz podmiotów podprzetwarzających;
   2. 2)Załącznik nr 2 – Środki techniczne i organizacyjne.
8. Umowa Powierzenia w niniejszym brzmieniu obowiązuje od dnia 15 października 2026.

Załącznik nr 1. Wykaz podmiotów podprzetwarzających

Administrator wyraża zgodę na korzystanie przez Podmiot przetwarzający z usług następujących podmiotów podprzetwarzających:

Status certyfikacji podmiotów w EU-U.S. Data Privacy Framework można zweryfikować w wykazie prowadzonym przez Departament Handlu USA pod adresem www.dataprivacyframework.gov. Informacje zawarte w wykazie odpowiadają stanowi na dzień 26.09.2026 r.

Usługa Google Analytics, wykorzystywana wyłącznie do analizy odwiedzin strony marketingowej, nie jest wykorzystywana do przetwarzania Danych Powierzonych i nie jest objęta niniejszym wykazem.

Czas przetwarzania przez podmioty podprzetwarzające odpowiada czasowi przetwarzania przez Podmiot przetwarzający, określonemu w § 4 ust. 3 i § 14 Umowy Powierzenia.

Załącznik nr 2. Środki techniczne i organizacyjne

Podmiot przetwarzający stosuje co najmniej następujące środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa Danych Powierzonych:

1. Kontrola dostępu Użytkowników – odrębne dane dostępowe dla każdego Użytkownika; hasła przechowywane wyłącznie w postaci zabezpieczonej kryptograficznie; system ról i uprawnień w Organizacji (co najmniej administrator, menedżer, przeglądający) oraz ról w Projekcie (kierownik projektu, projektant, instalator); zaproszenia ważne przez 7 dni; możliwość dezaktywacji Użytkownika i zmiany jego danych dostępowych, zachowana również w Planie Nieodpłatnym.
2. Izolacja Organizacji – logiczne odseparowanie danych każdej Organizacji; dostęp do danych innej Organizacji wyłącznie w zakresie udostępnienia dokonanego przez Klienta (Gość Projektowy, link do Projektu).
3. Szyfrowanie – szyfrowanie transmisji danych pomiędzy przeglądarką a Platformą.
4. Dostęp administracyjny Usługodawcy – ograniczony do wyznaczonych, upoważnionych osób i celów określonych w § 12 Regulaminu; zabezpieczony usługą Cloudflare Access; rejestrowanie każdego dostępu do danych Organizacji, w tym samego wglądu; pisemne upoważnienia i zobowiązania do zachowania poufności; ewidencja osób upoważnionych; zasada najmniejszych uprawnień.
5. Udostępnianie Projektów linkiem – unikalne linki; możliwość zabezpieczenia hasłem i ustawienia daty wygaśnięcia; możliwość wyłączenia linku w każdej chwili; link udostępnia widok Projektu w stanie z chwili jego wygenerowania.
6. Ochrona przed nadużyciami – mechanizm antybotowy (Cloudflare Turnstile) zabezpieczający Formularz Zapytań; zakaz automatycznego pozyskiwania danych i obchodzenia zabezpieczeń (§ 7 ust. 3 i 4 Regulaminu).
7. Rejestrowanie zdarzeń – logi systemowe i zdarzeń bezpieczeństwa, przechowywane przez 30 dni; monitorowanie i diagnostyka błędów z konfiguracją ograniczającą zakres danych osobowych w zgłoszeniach błędów.
8. Kopie zapasowe i ciągłość działania – regularne kopie zapasowe wykonywane codziennie (baza danych) i co tydzień (pliki) i przechowywane w EOG w cyklu rotacji wynoszącym do 35 dni; procedury odtwarzania danych; ponowne usunięcie lub anonimizacja danych po awaryjnym przywróceniu kopii zapasowej.
9. Obsługa incydentów – procedura wykrywania, oceny, dokumentowania i zgłaszania naruszeń ochrony danych osobowych w terminie określonym w § 12 Umowy Powierzenia.
10. Podmioty podprzetwarzające – ocena podmiotu przed jego zaangażowaniem, umowy powierzenia spełniające wymogi art. 28 ust. 4 RODO, przechowywanie Danych Powierzonych na serwerach w EOG, mechanizmy transferu zgodne z rozdziałem V RODO.
11. Zarządzanie zmianami i podatnościami – bieżące aktualizacje oprogramowania i zabezpieczeń; prace konserwacyjne zapowiadane z wyprzedzeniem, chyba że względy bezpieczeństwa wymagają działań natychmiastowych (§ 14 ust. 6 Regulaminu).
12. Usuwanie danych – procedury usuwania i anonimizacji danych, w tym w kopiach zapasowych, zgodnie z § 11 ust. 4 i § 14 Umowy Powierzenia.