Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Umowa jest zawierana między Klientem, który wysyła Ankietę (dalej „Administrator”), a przedsiębiorcą Łukasz Kołodziejczak, prowadzącym jednoosobową działalność gospodarczą pod firmą Yellow Soft Łukasz Kołodziejczak, ul. Kolista 33/47, 40-486 Katowice, NIP 9542689623, marka Spokojna Strona (dalej „Podmiot przetwarzający”).
2. Umowa zostaje zawarta w formie elektronicznej z chwilą wysłania Ankiety, w której Administrator zaznaczył oświadczenie: „Zawieram Umowę powierzenia przetwarzania danych osobowych.” Podmiot przetwarzający przesyła treść Umowy w potwierdzeniu Ankiety i w potwierdzeniu zawarcia każdej odpłatnej umowy.
3. Umowę zawiera się w wykonaniu art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Dotyczy ona Podglądu, Pakietu Za darmo, Pakietu Własna domena, Płatnych zmian i Większych zmian świadczonych na podstawie Regulaminu.

§ 2. Definicje

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie albo w RODO. Ponadto „Dane” oznaczają dane osobowe, dla których administratorem jest Administrator, przetwarzane przez Podmiot przetwarzający przy hostingu Strony, w jej treści, w kopiach zapasowych (w Pakiecie Własna domena) oraz w zleceniach zmian.

§ 3. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w zakresie niezbędnym do świadczenia Usługi: przygotowania Podglądu, publikacji i utrzymania Strony w sieci w Pakiecie Za darmo albo w Pakiecie Własna domena, a w Pakiecie Własna domena także wykonywania kopii zapasowych i sprawdzania działania Strony, wprowadzania zmian treści oraz przekazania Administratorowi Danych po zakończeniu pakietu: w Pakiecie Za darmo na jego prośbę tekstów Strony i przesłanych zdjęć, a po Pakiecie Własna domena plików Strony.
2. Przetwarzanie polega na przechowywaniu i publicznym udostępnianiu treści Strony, obsłudze ruchu do Strony (w tym zapisie adresów IP w logach serwera i sieci dostarczania treści), wykonywaniu i przechowywaniu kopii zapasowych (w Pakiecie Własna domena), redagowaniu i zmianie treści na polecenie Administratora oraz usuwaniu Danych.
3. Celem przetwarzania jest prowadzenie strony internetowej gabinetu Administratora. Podmiot przetwarzający nie przetwarza Danych w żadnym innym celu, w szczególności nie wykorzystuje ich do celów własnych, marketingowych ani do trenowania modeli AI. Stopka z odnośnikiem do serwisu spokojnastrona.pl na Stronie w Pakiecie Za darmo nie służy do zbierania Danych osób odwiedzających Stronę.
4. Dane Administratora jako Klienta (Ankieta, dane do faktury, korespondencja) Podmiot przetwarzający przetwarza jako administrator, na zasadach z Polityki prywatności. Umowa ich nie dotyczy.

§ 4. Rodzaje danych i kategorie osób

1. Rodzaje Danych: dane techniczne osób odwiedzających Stronę (adres IP, data i godzina, adres podstrony, informacje o przeglądarce), a także dane identyfikacyjne i kontaktowe osób trzecich, które Administrator umieszcza na Stronie albo przekazuje w zleceniach zmian, np. współpracowników gabinetu.
2. Kategorie osób: osoby odwiedzające Stronę, w tym pacjenci i przyszli pacjenci, oraz osoby wymienione na Stronie.
3. Strona nie ma formularzy ani narzędzi śledzących, więc nie zbiera od odwiedzających innych danych niż techniczne. Przetwarzanie szczególnych kategorii danych (art. 9 RODO), w szczególności danych o zdrowiu pacjentów, nie jest celem Umowy. Administrator nie przekazuje danych osobowych pacjentów, w szczególności ich imion i nazwisk ani opisów ich spraw, w zleceniach zmian ani w innych wiadomościach. Jeśli takie dane zostaną przekazane przypadkiem, np. w wiadomości e-mail, Podmiot przetwarzający nie przekazuje ich narzędziom AI ani nie wykorzystuje ich do wykonania zmian, tylko je usuwa i informuje o tym Administratora.
4. System rezerwacji wizyt, do którego prowadzi odnośnik na Stronie, nie jest objęty Umową. Dane podawane w tym systemie przetwarza jego dostawca na podstawie umowy z Administratorem.

§ 5. Czas trwania przetwarzania

Przetwarzanie trwa przez czas świadczenia Usługi w każdym pakiecie, a po zakończeniu umowy o Pakiet Za darmo przez 30 dni, w których Administrator może poprosić o zwrot Danych. Po rezygnacji z Pakietu Własna domena przetwarzanie trwa dalej w Pakiecie Za darmo. Jeśli Strona nie zostanie opublikowana, przetwarzanie kończy się z usunięciem Podglądu, nie później niż po upływie 30 dni od przesłania ostatniej wersji Podglądu.

§ 6. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania Danych do państwa trzeciego. Poleceniem jest Ankieta, zlecenie zmiany wysłane z Adresu Klienta oraz niniejsza Umowa. Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza przepisy o ochronie danych (art. 28 ust. 3 lit. a RODO);
2. zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania ich w tajemnicy (art. 28 ust. 3 lit. b RODO). Systemy sztucznej inteligencji (Agenci AI), z których korzysta Podmiot przetwarzający, mają dostęp wyłącznie do Danych Strony, przy której pracują;
3. stosuje środki bezpieczeństwa opisane w § 7 (art. 28 ust. 3 lit. c i art. 32 RODO);
4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego opisanych w § 8 (art. 28 ust. 3 lit. d RODO);
5. pomaga Administratorowi w realizacji praw osób, których dane dotyczą, zgodnie z § 11 (art. 28 ust. 3 lit. e RODO);
6. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje (art. 28 ust. 3 lit. f RODO);
7. po zakończeniu przetwarzania usuwa Dane zgodnie z § 14 (art. 28 ust. 3 lit. g RODO);
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty zgodnie z § 12 (art. 28 ust. 3 lit. h RODO).

§ 7. Środki bezpieczeństwa

Podmiot przetwarzający stosuje w szczególności następujące środki techniczne i organizacyjne:

1. Strona jest statyczna: nie ma panelu logowania, bazy danych, wtyczek, formularzy ani ciasteczek śledzących, co ogranicza zakres Danych i możliwości ataku;
2. Strona, Podgląd i Ankieta działają wyłącznie przez szyfrowane połączenie HTTPS;
3. w Pakiecie Własna domena kopie zapasowe Strony są szyfrowane i przechowywane u podprzetwarzających wskazanych w § 8, a każda kopia jest usuwana po upływie 30 dni; w Pakiecie Za darmo Podmiot przetwarzający nie zobowiązuje się do wykonywania kopii zapasowych;
4. logi serwera z adresami IP są przechowywane nie dłużej niż przez 30 dni;
5. zlecenia zmian są przyjmowane wyłącznie z Adresu Klienta, z weryfikacją autentyczności nadawcy wiadomości;
6. treść wiadomości e-mail jest traktowana jako dane, a nie jako polecenia dla Agenta AI, co chroni przed próbami przejęcia nad nim kontroli (prompt injection); każda zmiana przechodzi Kontrolę zgodności przed publikacją;
7. Agenci AI pracują w odizolowanym środowisku, bez dostępu do kluczy i haseł Podmiotu przetwarzającego, i mają dostęp tylko do plików stron.

§ 8. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług innych podmiotów przetwarzających (art. 28 ust. 2 RODO). W dniu zawarcia Umowy są to:

   Podmiot	Zakres	Kraj i podstawa transferu
   Resend Resend, Inc. (USA)	wysyłka e-maili: potwierdzenia zamówień, linki do podglądu, odpowiedzi na zmiany zlecane mailem i korespondencja	USA: EU-U.S. Data Privacy Framework (art. 45 RODO) oraz standardowe klauzule umowne z umowy powierzenia Resend (art. 46 ust. 2 lit. c RODO)
   Cloudflare Cloudflare, Inc. (USA)	infrastruktura systemu zamówień: przyjmowanie i przechowywanie ankiet i zamówień (Workers, D1), przechowywanie zdjęć, plików stron i zaszyfrowanych kopii zapasowych (R2), hosting stron klientów (podgląd i wersja opublikowana), DNS, w tym strefy DNS domen klientów, sieć dostarczania treści (CDN) oraz odbiór poczty na adres kontakt@spokojnastrona.pl	USA: EU-U.S. Data Privacy Framework (art. 45 RODO) oraz standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO)

2. Tpay, czyli Krajowy Integrator Płatności SA, plac Andersa 3, 61-894 Poznań, KRS 0000412357, nie jest podprzetwarzającym w rozumieniu Umowy. Obsługuje wyłącznie płatności i nie ma dostępu do Danych. Dane płatności Klienta przetwarza jako odbiorca opisany w Polityce prywatności. Anthropic, czyli Anthropic Ireland, Limited (Irlandia), dostawca usług dla użytkowników z EOG, z możliwym przekazaniem do Anthropic, PBC (USA), także nie jest podprzetwarzającym w rozumieniu Umowy. Jest dostawcą narzędzia AI, z którego Podmiot przetwarzający korzysta przy redagowaniu treści Stron i korespondencji, i otrzymuje dane Klienta jako odbiorca opisany w Polityce prywatności. Danych osobowych pacjentów Podmiot przetwarzający mu nie przekazuje (§ 4 ust. 3).
3. Podmiot przetwarzający nakłada na podprzetwarzających te same obowiązki ochrony danych, które wynikają z Umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO).
4. O zamiarze dodania albo zmiany podprzetwarzającego Podmiot przetwarzający informuje z wyprzedzeniem co najmniej 14 dni, przez aktualizację tej strony i wiadomość na Adres Klienta. Administrator może zgłosić sprzeciw w tym terminie. Jeśli sprzeciw jest uzasadniony, a Podmiot przetwarzający nie zrezygnuje ze zmiany, Administrator może wypowiedzieć Pakiet Za darmo albo Pakiet Własna domena ze skutkiem natychmiastowym. Przy Pakiecie Własna domena otrzymuje zwrot opłaty za niewykorzystaną część Okresu rozliczeniowego.
5. Za działania podprzetwarzających Podmiot przetwarzający odpowiada wobec Administratora jak za własne.

§ 9. Przekazywanie danych poza EOG

Administrator poleca przekazywanie Danych do państw trzecich w zakresie opisanym w § 8, na podstawach wskazanych w tabeli. Na żądanie Administratora Podmiot przetwarzający udostępnia informacje o zastosowanych zabezpieczeniach.

§ 10. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na Adres Klienta.
2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje i podjęte lub proponowane środki zaradcze. Informacje niedostępne od razu Podmiot przetwarzający przekazuje sukcesywnie.
3. Ocena, czy naruszenie wymaga zgłoszenia do organu nadzorczego, należy do Administratora.

§ 11. Pomoc w realizacji praw osób i obowiązków Administratora

1. Jeśli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje je niezwłocznie Administratorowi i nie odpowiada na nie samodzielnie, chyba że Administrator tak poleci.
2. Podmiot przetwarzający na polecenie Administratora usuwa albo poprawia Dane na Stronie, a także przekazuje informacje potrzebne do realizacji obowiązków z art. 32–36 RODO. Polecenie wynikające z żądania osoby, której dane dotyczą, albo z naruszenia ochrony danych Podmiot przetwarzający wykonuje bez opłaty, także w Pakiecie Za darmo.

§ 12. Audyt i informacje

1. Na żądanie Administratora Podmiot przetwarzający udostępnia w ciągu 14 dni informacje niezbędne do wykazania spełnienia obowiązków z Umowy, w szczególności opis środków bezpieczeństwa i listę podprzetwarzających.
2. Administrator albo upoważniony przez niego audytor może przeprowadzić inspekcję po zawiadomieniu Podmiotu przetwarzającego z wyprzedzeniem co najmniej 14 dni, w dni robocze i w zakresie niezbędnym do sprawdzenia przetwarzania Danych Administratora. Audytor zobowiązuje się do zachowania poufności. Inspekcja nie może obejmować danych innych Administratorów.
3. Każda ze stron Umowy ponosi własne koszty audytu.

§ 13. Obowiązki Administratora

1. Administrator oświadcza, że przetwarza Dane zgodnie z prawem i jest uprawniony do powierzenia ich przetwarzania w zakresie określonym w Umowie, a osoby trzecie wymienione na Stronie zostały o tym poinformowane.
2. Administrator odpowiada za treść polityki prywatności Strony i jej aktualność. Podmiot przetwarzający przygotowuje ją z gotowego wzoru i aktualizuje na polecenie Administratora, na zasadach Zmian treści z Regulaminu, z zastrzeżeniem § 11 ust. 2.

§ 14. Zakończenie przetwarzania

1. Po zakończeniu umowy o Pakiet Za darmo Podmiot przetwarzający niezwłocznie zdejmuje Stronę z sieci, na prośbę Administratora zgłoszoną w ciągu 30 dni zwraca mu Dane (teksty Strony w pliku tekstowym i przesłane zdjęcia, a jeśli Administrator korzystał wcześniej z Pakietu Własna domena, także pliki Strony), a po upływie tego terminu usuwa Stronę, jej kopie zapasowe, treść i wszystkie Dane. Po rezygnacji z Pakietu Własna domena Strona i Dane pozostają w Pakiecie Za darmo, a kopie zapasowe są usuwane w terminie z § 7 pkt 3. Logi serwera są usuwane w terminie z § 7 pkt 4.
2. Administrator może zażądać wcześniejszego usunięcia Danych, wysyłając e-mail na adres kontakt@spokojnastrona.pl z Adresu Klienta.
3. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie Danych e-mailem. Usunięcie nie obejmuje Danych, których przechowywanie nakazuje prawo.

§ 15. Odpowiedzialność

Odpowiedzialność Stron za niewykonanie lub nienależyte wykonanie Umowy określa Regulamin, z zastrzeżeniem odpowiedzialności wobec osób, których dane dotyczą, wynikającej z art. 82 RODO, której Umowa nie ogranicza.

§ 16. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Regulamin.
2. W razie sprzeczności między Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.
3. Umowa obowiązuje w wersji z 1 listopada 2026 r.