Umowa powierzenia przetwarzania danych

Załącznik nr 1 do Regulaminu Reyestr Partner. Obowiązuje od 28 października 2026.

1. Umowę zawierają: Partner (Firma) jako administrator oraz CODE BAKERS spółka z ograniczoną odpowiedzialnością z siedzibą w Poznaniu, ul. Milczańska 5/91, 61-131 Poznań, KRS 0000927955, NIP 7822903341, jako podmiot przetwarzający (dalej: Reyestr).
2. Umowa zostaje zawarta w postaci elektronicznej z chwilą akceptacji Regulaminu Reyestr Partner przy zakładaniu Firmy (albo akceptacji jego nowej wersji) i obowiązuje przez czas świadczenia usług Reyestr Partner oraz przez okres potrzebny do wykonania § 10.
3. Pojęcia pisane wielką literą mają znaczenie z Regulaminu Reyestr Partner. Pojęcia "dane osobowe", "przetwarzanie", "naruszenie ochrony danych osobowych" mają znaczenie z rozporządzenia (UE) 2016/679 (RODO).

1. Partner powierza Reyestr przetwarzanie danych osobowych w zakresie, charakterze i celu określonym w umowie, wyłącznie w celu świadczenia usług Reyestr Partner opisanych w Regulaminie.
2. Charakter przetwarzania: przechowywanie i organizowanie danych w bazie danych, wyświetlanie ich Partnerowi i jego Zespołowi według uprawnień, wysyłka powiadomień i przypomnień do klientów Partnera (e-mail, SMS, push) na polecenie Partnera wyrażone ustawieniami, przypinanie Regulaminów Firmy do Wizyt i wysyłka ich kopii, sporządzanie kopii zapasowych, usuwanie i anonimizacja.
3. Cel: obsługa kalendarza i Wizyt Partnera, bazy klientów, formularzy, korespondencji z klientami, programów lojalnościowych, zespołu i grafików.
4. Poza zakresem umowy - dane, które Reyestr przetwarza jako odrębny administrator (Regulamin Reyestr Partner § 23 ust. 1, Polityka prywatności): Konta użytkowników Serwisu (także klientów i osób z Zespołu), rezerwacje online jako usługa Serwisu dla klienta i jego historia "Moje wizyty", Opinie o Firmach, Oceny Klientów z komentarzami, ich średnia i reguła minimalnej średniej (system ocen Serwisu - Regulamin Reyestr Partner § 12 ust. 8), moderacja i zgłoszenia, spory, ścieżka bezpieczeństwa i blokady platformowe, dane Partnera jako kontrahenta. Oceny Klientów Partner wystawia w Serwisie jako jego użytkownik; nie są one danymi powierzonymi na podstawie tej umowy.

1. Kategorie osób: (a) klienci Partnera z Kontem i bez Konta (w tym osoby, dla których Wizytę rezerwuje opiekun, np. dzieci), (b) członkowie Zespołu Partnera, (c) osoby polecające i polecone w programach lojalnościowych Partnera.
2. Rodzaje danych: imię i nazwisko, numer telefonu, adres e-mail, historia Wizyt (usługa, termin, pracownik, cena, status, powody odwołań, nieobecności), adres i położenie Wizyty z dojazdem, notatki Partnera o kliencie, blokady, odpowiedzi z formularzy Partnera, korespondencja z klientem, zgody zaznaczone przez Partnera (przypomnienia SMS, zaproszenie do aplikacji), dane programów lojalnościowych (saldo, historia, kody poleceń), grafiki, nieobecności i zdjęcia członków Zespołu.
3. Szczególne kategorie danych: jeżeli Partner pyta w formularzach o stan zdrowia (np. fizjoterapia, kosmetologia, psychologia, logopedia) albo zapisuje takie informacje w notatkach, Reyestr przetwarza także dane o zdrowiu (art. 9 RODO). Za podstawę prawną i zakres takich pytań odpowiada Partner. Serwis nie jest systemem dokumentacji medycznej.

Reyestr:

1. przetwarza dane wyłącznie na udokumentowane polecenie Partnera - za polecenia uznaje się Regulamin, tę umowę, ustawienia Firmy i czynności wykonywane przez Partnera i jego Zespół w Serwisie - chyba że obowiązek przetwarzania nakłada na Reyestr prawo; wtedy, jeśli prawo nie zabrania, informuje Partnera o tym obowiązku przed przetwarzaniem;
2. niezwłocznie informuje Partnera, jeżeli uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych;
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności; dostęp pracowników Reyestr do danych Firmy jest ograniczony do potrzeb utrzymania Serwisu, obsługi zgłoszeń, rozliczeń, pomocy na prośbę Partnera, moderacji i bezpieczeństwa, a każde działanie operatora w Firmie i każde otwarcie odpowiedzi z formularzy przez operatora jest zapisywane w dzienniku;
4. stosuje środki z § 7 (art. 32 RODO);
5. korzysta z dalszych podmiotów przetwarzających na zasadach § 6;
6. pomaga Partnerowi, w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób (art. 15-22 RODO) - w szczególności udostępnia funkcje przeglądania, poprawiania i usuwania danych w panelu, a żądanie skierowane do Reyestr w sprawie danych Partnera przekazuje Partnerowi bez zbędnej zwłoki, nie później niż w ciągu 7 dni, i nie odpowiada na nie samodzielnie, chyba że Partner tak poleci;
7. pomaga Partnerowi wywiązać się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, konsultacje), uwzględniając charakter przetwarzania i dostępne informacje;
8. po zakończeniu świadczenia usług usuwa albo zwraca dane zgodnie z § 10;
9. udostępnia Partnerowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (§ 8).

1. Partner oświadcza, że jest administratorem powierzonych danych i ma podstawę prawną do ich przetwarzania i powierzenia, w tym do przetwarzania danych o zdrowiu, jeżeli o nie pyta.
2. Partner wprowadza do Serwisu tylko dane potrzebne do obsługi klientów (minimalizacja); nie umieszcza danych szczególnych kategorii w polach do tego nieprzeznaczonych (notatki, wiadomości, Treści publiczne); zasady komentarzy do Ocen Klientów określa Regulamin Reyestr Partner § 12 ust. 2.
3. Obowiązek informacyjny: wobec swoich klientów i Zespołu obowiązki z art. 13-14 RODO spełnia Partner (np. w Regulaminie Firmy, na stronie, w salonie). Partner informuje w szczególności, że korzysta z Serwisu Reyestr jako podmiotu przetwarzającego, i może odesłać do Polityki prywatności Reyestr w zakresie danych przetwarzanych przez Reyestr jako administratora. Reyestr spełnia obowiązek informacyjny we własnym zakresie (Polityka prywatności).
4. Partner wydaje polecenia zgodne z prawem i odpowiada za ustawienia, którymi je wyraża (np. włączenie przypomnień SMS, zaznaczenie zgody klienta, uprawnienia Zespołu).

1. Partner udziela Reyestr ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:

1. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Reyestr informuje Partnera e-mailem co najmniej 15 dni wcześniej. Partner może w tym czasie zgłosić sprzeciw z uzasadnieniem. Jeżeli strony nie uzgodnią rozwiązania, Partner może rozwiązać umowę o Abonament i umowę o prowadzenie Firmy przed wprowadzeniem zmiany, bez dodatkowych opłat; opłata za opłacony okres nie jest zwracana (Regulamin Reyestr Partner § 8 ust. 14).
2. Reyestr nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych co w tej umowie (art. 28 ust. 4 RODO) i odpowiada wobec Partnera za wykonanie jego obowiązków.
3. Przekazanie danych do państwa trzeciego następuje wyłącznie na podstawie rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne).

Reyestr stosuje w szczególności:

1. szyfrowanie transmisji (HTTPS z certyfikatami TLS; szyfrowane połączenia aplikacji z bazą danych z weryfikacją certyfikatu);
2. przechowywanie haseł wyłącznie jako skrótów Argon2id z dodatkowym tajnym kluczem ("pieprz");
3. sesje w ciasteczkach niedostępnych dla skryptów (HttpOnly, SameSite), z nowym identyfikatorem po zalogowaniu, wygasające po 30 minutach bezczynności (30 dni przy "Zapamiętaj mnie"), z możliwością zakończenia wszystkich sesji;
4. kontrolę dostępu: każda operacja na danych Firmy wymaga sesji i sprawdzenia członkostwa w Firmie, roli i uprawnień; dane innej Firmy są niedostępne; ochrona przed fałszowaniem żądań (kontrola pochodzenia żądań);
5. ograniczenia liczby żądań, prób logowania, wysyłek SMS i rezerwacji;
6. dziennik działań operatora (bez możliwości zmiany wpisów), w tym każde otwarcie odpowiedzi z formularzy;
7. dzienniki zgód i historii zmian odpowiedzi z formularzy;
8. bazę danych w trzech kopiach na odrębnych serwerach z replikacją synchroniczną oraz codzienne kopie zapasowe przechowywane 30 dni;
9. separację sieciową usług (polityki sieciowe), prywatne przechowywanie dokumentów (Regulaminy Firmy w PDF) z dostępem przez krótkotrwałe podpisane adresy;
10. przechowywanie danych na serwerach w Unii Europejskiej;
11. sprawdzanie typu i rozmiaru przesyłanych plików;
12. potwierdzanie operacji wrażliwych (usunięcie konta linkiem e-mail, zmiana numeru telefonu kodem SMS).

1. Reyestr udostępnia Partnerowi na żądanie informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych wyjaśnień i odpowiedzi na kwestionariusz w ciągu 14 dni.
2. Jeżeli wyjaśnienia nie wystarczą, Partner może przeprowadzić audyt (sam albo przez niezależnego audytora zobowiązanego do poufności), po zawiadomieniu Reyestr z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (chyba że doszło do naruszenia ochrony danych albo żąda tego organ nadzorczy), w dni robocze, w sposób niezakłócający działania Serwisu i nienaruszający tajemnicy innych Firm. Koszty audytu ponosi Partner.

1. Reyestr zgłasza Partnerowi stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adresy właścicieli Firmy.
2. Zgłoszenie zawiera, w miarę dostępności: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki. Informacje, których nie da się podać od razu, Reyestr przekazuje sukcesywnie.
3. Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób należy do Partnera; Reyestr pomaga mu w tym, a w naruszeniach dotyczących wielu Firm może, po uzgodnieniu, przygotować wspólną informację.

1. Zwrot danych: Partner może w czasie umowy i do chwili usunięcia danych (90 dni od usunięcia Firmy, chyba że usunięcie wstrzymano) zażądać e-mailem ([email protected]) kopii powierzonych danych. Reyestr przypomina właścicielom Firmy o terminie usunięcia danych e-mailem przy usunięciu Firmy i 14 dni przed tym terminem. Reyestr przygotowuje ją ręcznie i przekazuje w formacie elektronicznym (CSV lub JSON) w ciągu 30 dni od żądania.
2. Usunięcie danych: usuniętą Firmę Operator może przywrócić przez 90 dni od jej usunięcia; po tym czasie - albo wcześniej, na żądanie Partnera - Reyestr usuwa albo anonimizuje powierzone dane, chyba że prawo nakazuje ich dalsze przechowywanie. Reyestr może wstrzymać usunięcie, gdy toczy się sprawa wymagająca zachowania danych (np. na prośbę Partnera, sądu albo policji); po zakończeniu wstrzymania usunięcie następuje najwcześniej po 14 dniach. Dane, na które wskazuje zgłoszenie, spór albo zgłoszenie zagrożenia prowadzone przez Reyestr jako odrębnego administratora, zostają do wygaśnięcia tej sprawy (§ 2 ust. 4), po czym są usuwane.
   1. Usunięcie nie obejmuje danych, które Reyestr przetwarza jako odrębny administrator (§ 2 ust. 4), w szczególności historii Wizyt w Kontach klientów ("Moje wizyty"), Opinii i Ocen Klientów. Kopie zapasowe są nadpisywane w ciągu 30 dni.
3. Na żądanie Partnera Reyestr potwierdza usunięcie e-mailem.

1. Odpowiedzialność stron za szkody wyrządzone osobom, których dane dotyczą, określa art. 82 RODO. W relacji między stronami stosuje się postanowienia o odpowiedzialności z Regulaminu Reyestr Partner, z tym że ograniczenia nie dotyczą szkody wyrządzonej umyślnie ani kar i odszkodowań wynikających z naruszenia przez Reyestr tej umowy lub RODO, w części, w jakiej Reyestr ponosi za nie winę.
2. Za przetwarzanie danych powierzonych Reyestr nie pobiera wynagrodzenia odrębnego od opłat za usługi.
3. Zmiany tej umowy następują w trybie zmiany Regulaminu Reyestr Partner (§ 25), a zmiana listy dalszych podmiotów przetwarzających - w trybie § 6 ust. 2.
4. W sprawach nieuregulowanych stosuje się Regulamin Reyestr Partner, RODO i prawo polskie. W razie sprzeczności z Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.