Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu licencji i usług DietoPlatforma, wersja 1.0 z dnia 1 listopada 2026 r.

Akceptując Regulamin, Klient (gabinet – „Administrator”) powierza Michałowi Szczepańskiemu, prowadzącemu działalność gospodarczą pod firmą MPI24 – Mobilne Pogotowie Informatyczne, Witostowice 68, 57-210 Witostowice, NIP 9121953488, REGON 543457153 („Podmiot przetwarzający”) przetwarzanie danych osobowych na zasadach art. 28 RODO.

§1. Przedmiot

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w zakresie i celu niezbędnym do świadczenia usług z Regulaminu, opisanym w §2.
2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności: wywołanie wysyłki SMS z Panelu (ręcznie lub automatycznie – przypomnienia, kody, linki do ankiet), zgłoszenie serwisowe z prośbą o dostęp.
3. Jeżeli polecenie Administratora w ocenie Podmiotu przetwarzającego narusza RODO, Podmiot przetwarzający niezwłocznie o tym informuje.

§2. Zakres powierzenia

Monitoring błędów Instalacji (odciski błędów technicznych wysyłane do Rdzenia) nie obejmuje danych osobowych – liczby, adresy e-mail, identyfikatory i fragmenty tekstu są usuwane przed wysłaniem; Administrator może go wyłączyć w Panelu (Ustawienia → Diagnostyka).

§3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
2. stosuje środki z art. 32 RODO, w szczególności:
   • szyfrowanie transmisji (HTTPS/TLS) między Instalacją a Rdzeniem i między Rdzeniem a operatorem SMS,
   • uwierzytelnianie Instalacji kluczem API, dostęp do Rdzenia tylko dla upoważnionych osób, z 2FA,
   • minimalizację: Rdzeń nie otrzymuje kartoteki, a jedynie numer i treść SMS,
   • przy dostępie serwisowym: osobne tymczasowe konto utworzone przez Administratora, praca na kopii tylko gdy konieczne, kopie szyfrowane i usuwane po zgłoszeniu, brak przenoszenia danych na nośniki prywatne,
   • kopie zapasowe i aktualizacje bezpieczeństwa serwerów Rdzenia;
3. pomaga Administratorowi w realizacji praw osób (art. 15–22 RODO) – w szczególności przekazuje informację o SMS wysłanych do danego numeru – w terminie 7 dni od prośby;
4. pomaga w obowiązkach z art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków) w zakresie dotyczącym powierzonych danych;
5. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje z art. 33 ust. 3 RODO w zakresie, w jakim je posiada;
6. po zakończeniu Umowy usuwa powierzone dane w ciągu 30 dni, chyba że prawo nakazuje ich dalsze przechowywanie (Administrator nie otrzymuje zwrotu danych, bo pozostają one w jego Instalacji);
7. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§4. Podprocesorzy

1. Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych w Załączniku A.
2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje e-mailem z wyprzedzeniem co najmniej 14 dni. Administrator może zgłosić sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym, a Podmiot przetwarzający zwraca opłatę za niewykorzystany okres.
3. Podmiot przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.
4. Dane nie są przekazywane poza Europejski Obszar Gospodarczy, chyba że Załącznik A stanowi inaczej i zastosowano mechanizm z rozdziału V RODO.

§5. Audyt

1. Administrator ma prawo do audytu przestrzegania Umowy – w pierwszej kolejności w formie pisemnych pytań (odpowiedź w ciągu 14 dni).
2. Audyt na miejscu – po zapowiedzi z wyprzedzeniem 14 dni, nie częściej niż raz w roku (chyba że doszło do naruszenia), w godzinach pracy, na koszt Administratora, przez audytora zobowiązanego do poufności.

§6. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron określa art. 82 RODO; w pozostałym zakresie stosuje się §10 Regulaminu.
2. Umowa obowiązuje przez czas trwania Umowy licencyjnej i do czasu usunięcia danych zgodnie z §3 pkt 6.
3. W sprawach nieuregulowanych stosuje się RODO i ustawę o ochronie danych osobowych.

Załącznik A – Lista podprocesorów