Regulaminy

Umowa powierzenia przetwarzania danych osobowych

Październik 15, 2026

("Umowa Powierzenia") stanowi część Umowy głównej - umowy o świadczenie usług cyfrowych, zgodnie z Ogólnymi warunkami korzystania z usług (OWU) - zawierana pomiędzy:

NETHAPPEN Marcin Koczwara z siedzibą w Tarnowie (33-100), ul. Boya Żeleńskiego 5A/61 | NIP: 873-295-56-36 | REGON: 120704484 reprezentowanym przez: Marcin Koczwara (Właściciel) zwanym dalej „Dostawcą”

[nazwa_firmy] z siedzibą w [miejscowość] ([kod_pocztowy]), [adres_siedziby] | NIP: [nip], | REGON: [regon], reprezentowanym przez: [reprezentant] ([stanowisko]) zwanym dalej „Klientem”.

Strony niniejszej umowy zwane są dalej łącznie „Stronami”, a każda z osobna „Stroną”.

W niniejszej Umowie Powierzenia Dostawca działa jako "Podmiot przetwarzający". Klient może działać jako:

"Administrator danych osobowych" - gdy sam decyduje o celach i sposobach przetwarzania danych, albo
"Podmiot powierzający" - gdy sam jest podmiotem przetwarzającym i zleca Dostawcy dalsze przetwarzanie danych.

W przypadku gdy Klient działa jako Podmiot powierzający i powierza Dostawcy dane osobowe do dalszego przetwarzania (podpowierzenie), Strony umawiają się na poniższe warunki:

1. Klient wskazuje i na bieżąco aktualizuje (w formie dokumentowej, w tym poprzez Panel Klienta, wiadomość e-mail lub odpowiednie zgłoszenia systemowe) listę wszystkich Administratorów, w imieniu których zleca podpowierzenie danych,
2. Klient zapewnia, że uzyskał od każdego Administratora wszelkie zezwolenia niezbędne do podpisania niniejszej Umowy Powierzenia oraz wskazał Dostawcę jako podmiot mający dokonywać dalszego przetwarzania,
3. Klient zawarł z każdym Administratorem umowę, która jest w pełni zgodna z warunkami Umowy zawierającej niniejszą Umowę Powierzenia, zgodnie z art. 28 RODO,
4. wszelkie polecenia otrzymane przez Dostawcę od Klienta w ramach realizacji niniejszej Umowy są w pełni zgodne z poleceniami Administratora,
5. wszelkie informacje przekazane lub udostępnione przez Dostawcę na podstawie niniejszej Umowy są odpowiednio przekazywane Administratorowi,
6. Dostawca przetwarza Dane Osobowe wyłącznie zgodnie z poleceniem Klienta oraz nie przyjmuje żadnych poleceń bezpośrednio od Administratora, poza przypadkami, gdy Klient utracił byt prawny faktycznie lub formalnie i nie ma prawnego następcy, który przejmie prawa i obowiązki Klienta,
7. Klient, który ponosi pełną odpowiedzialność wobec Dostawcy w zakresie właściwej realizacji zobowiązań Administratora zgodnie z postanowieniami niniejszej Umowy Powierzenia, zabezpiecza i chroni Dostawcę przed wszelkimi działaniami Administratora niezgodnymi z obowiązującym prawem oraz przed wszelkimi działaniami, roszczeniami lub skargami ze strony Administratora dotyczącymi jakichkolwiek postanowień Umowy lub jakichkolwiek poleceń otrzymanych przez Dostawcę od Klienta.

I. Powierzenie przetwarzania danych osobowych

Klient powierza Dostawcy do przetwarzania dane osobowe, zgodnie z art. 28 RODO.
Przetwarzanie danych osobowych przez Dostawcę będzie odbywać się na zasadach i w celu określonym w niniejszej Umowie. Dostawca będzie przetwarzał dane osobowe zgodnie z niniejszą umową powierzenia, przepisami RODO oraz powszechnie obowiązującymi przepisami odnoszącymi się do ochrony danych osobowych, oraz zobowiązuje się do stosowania środków bezpieczeństwa odpowiadających wymogom RODO.
Strony zobowiązują się do wzajemnej współpracy przy realizacji Umowy jak również współpracy z organem nadzorczym w związku z wykonywaniem przez niego swoich zadań. Strony są zobowiązane do zapewnienia współpracy z organem nadzorczym także przez swych przedstawicieli.

II. Cel i zakres przetwarzania danych

Dostawca może przetwarzać dane osobowe przekazane przez Klienta wyłącznie w zakresie niezbędnym i celu wykonania zawartej Umowy głównej na świadczenie Usług cyfrowych realizowanych przez Dostawcę.

Przetwarzaniem danych przez Dostawcę rozumie się operacje takie jak w szczególności: zbieranie, utrwalanie, porządkowanie, strukturyzowanie, przechowywanie, hosting, modyfikowanie, wyszukiwanie, przeglądanie, udostępnianie, przekazywanie, odtwarzanie, tworzenie kopii zapasowych, ograniczanie oraz usuwanie, wykonywane na Danych Osobowych w systemach informatycznych Dostawcy w celu świadczenia Usługi.

Zbiory Danych Osobowych oraz Podmioty Danych są określane i kontrolowane przez Klienta.
Zakres przetwarzania obejmuje:
1. cel przetwarzania: świadczenie usług cyfrowych objętych Umową główną,
2. charakter przetwarzania: przechowywanie, kopie zapasowe, udostępnianie, usuwanie,
3. czas trwania: przez okres obowiązywania Umowy głównej,
4. rodzaj danych osobowych: określony w Załączniku nr 1 do Umowy.
Zmiana zakresu powierzenia następuje poprzez przesłanie do Dostawcy nowej wersji Załącznika nr 1 do Umowy i nie stanowi zmiany Umowy. Klient jest zobowiązany do aktualizacji Zakresu Danych w Załączniku nr 1 do Umowy w przypadku dokonanych zmian przetwarzania.
Klient gwarantuje, że dane osobowe przetwarzane są w celach zgodnych z prawem, oraz że Dostawca nie przetwarza więcej danych osobowych niż jest to wymagane do spełnienia tych celów.
Dostawca jest zobowiązany do zachowania w tajemnicy wszelkich informacji, danych, materiałów, dokumentów i danych osobowych otrzymanych od Klienta i od współpracujących z nim osób oraz danych uzyskanych w jakikolwiek inny sposób, zamierzony czy przypadkowy w formie ustnej, pisemnej lub elektronicznej („dane poufne”).
Dostawca oświadcza, że w związku ze zobowiązaniem do zachowania w tajemnicy danych poufnych nie będą one wykorzystywane, ujawniane ani udostępniane bez pisemnej zgody Klienta w innym celu niż wykonanie Umowy, chyba że konieczność ujawnienia posiadanych informacji wynika z obowiązujących przepisów prawa lub Umowy.

III. Sposób wykonania Umowy

Każda ze stron zobowiązuje się do przestrzegania obowiązujących przepisów dotyczących ochrony danych osobowych (w tym RODO).
Biorąc pod uwagę stan techniki, koszty wdrożenia oraz charakter, zakres i cele przetwarzania, Dostawca podczas przetwarzania danych osobowych, wdroży odpowiednie środki techniczne i organizacyjne zapewniające adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanym z przetwarzaniem danych osobowych, o których mowa w art. 32 RODO.
Administrator danych jest odpowiedzialny za informowanie Podmiotów Danych, o przysługujących im prawach oraz za przestrzeganie tych praw, w tym prawa dostępu, sprostowania, usunięcia, ograniczenia lub przenoszenia.
Dostawca, w miarę możliwości i w niezbędnym zakresie, zapewni pomoc w wywiązaniu się z obowiązku odpowiadania na żądania Podmiotów Danych, których dane dotyczą oraz wywiązywania się z obowiązków określonych w art. 32-36 RODO, w tym stosować środki w celu zaradzenia naruszeniom oraz w stosownych przypadkach środki w celu zminimalizowania ich ewentualnych negatywnych skutków.
Pomoc, o której mowa w pkt 4, świadczona jest w ramach wynagrodzenia określonego w Umowie głównej. Czynności przekraczające ten zakres, wymagające ponadstandardowego nakładu pracy, podlegają odrębnej odpłatności po uzgodnieniu z Klientem.
Dostawca po stwierdzeniu naruszenia ochrony danych osobowych zgłasza je Klientowi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od momentu potwierdzenia przez Dostawcę, że naruszenie ma wpływ na powierzone dane osobowe Klienta. Informacja ta może mieć charakter wstępny, zgodnie z procedurą opisaną w art. XI pkt 1 OWU.
Dostawca zobowiązuje się niezwłocznie zawiadomić Klienta o:
1. każdym prawnie umocowanym żądaniu udostępnienia danych osobowych właściwemu organowi państwa, chyba że zakaz zawiadomienia wynika z przepisów prawa, a szczególności przepisów postępowania karnego, gdy zakaz ma na celu zapewnienia poufności wszczętego dochodzenia,
2. każdym nieupoważnionym dostępie do danych osobowych,
3. każdym żądaniu otrzymanym od osoby, której dane przetwarza, powstrzymując się jednocześnie od odpowiedzi na żądanie,
4. jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez Dostawcę danych osobowych określonych w Umowie,
5. jakiejkolwiek decyzji administracyjnej lub orzeczeniu dotyczącym przetwarzania tych danych skierowanej do Podmiotu Przetwarzającego,
6. o wszelkich wiadomych i planowanych lub realizowanych kontrolach i inspekcjach dotyczących przetwarzania danych osobowych w Podmiocie Przetwarzającym te dane.
W przypadku, gdy Klient działa jako Administrator danych, przysługuje mu prawo przeprowadzania audytów, w celu weryfikacji, czy środki techniczne i organizacyjne zastosowane przez Dostawcę przy przetwarzaniu i zabezpieczaniu powierzonych danych osobowych spełniają postanowienia niniejszej Umowy, zgodnie z art. 28 ust. 3 lit. h RODO.
Audyt, o którym mowa w pkt 8, prowadzony jest w formie analizy oświadczeń oraz dokumentacji przedłożonej przez Dostawcę. Z zakresu audytu wyłączone są informacje niestanowiące przedmiotu Umowy oraz dane poufne Dostawcy. W przypadkach uzasadnionych istotnymi wątpliwościami co do zgodności przetwarzania z Umową, Dostawca i Klient mogą uzgodnić przeprowadzenie technicznej inspekcji na miejscu, pod warunkiem uprzedniego ustalenia warunków jej przeprowadzenia oraz kosztów z nią związanych. Koszty audytu ponosi Klient, chyba że strony uzgodniły inaczej. Audytor wyznaczony przez Klienta może zostać zobowiązany do podpisania umowy o poufności.
Dostawca zobowiązuje się odpowiedzieć na każde uzasadnione pytanie Klienta dotyczące przetwarzania powierzonych mu na podstawie Umowy danych osobowych oraz potwierdzić na piśmie lub w formie dokumentowej, że wszystkie osoby dopuszczone do przetwarzania danych posiadają stosowne upoważnienia oraz podpisały zobowiązanie do zachowania poufności.
Dostawca, po wygaśnięciu usługi, w której były przetwarzane dane osobowe, nie później niż w terminie 30 dni, usuwa wszelkie dane osobowe, które pozyskał podczas trwania współpracy od Klienta oraz usuwa wszelkie ich istniejące kopie, zapisy, rejestry w systemach produkcyjnych, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Zasady retencji danych zawartych w kopiach zapasowych (backupach) określa art. XII pkt 4 (OWU).

IV. Dalsze powierzenie danych do przetwarzania

Dostawca może powierzyć dane osobowe objęte niniejszą umową do dalszego przetwarzania innym podmiotom przetwarzającym (zwanych dalej "Podwykonawcami") jedynie w celu wykonania umowy na co Klient wyraża niniejszym zgodę.
Dostawca jest zobowiązany poinformować Klienta o każdym planowanym powierzeniu przetwarzania danych osobowych nowemu Podwykonawcy oraz o wszelkich zamierzonych zmianach dotyczących Podwykonawców w formie dokumentowej (w szczególności za pośrednictwem poczty elektronicznej lub Panelu Klienta), z wyprzedzeniem co najmniej 14 dni przed planowanym rozpoczęciem przetwarzania danych przez nowego Podwykonawcę.
Klient ma prawo zgłosić sprzeciw co do podpowierzenia danych osobowych oraz przyjmuje do wiadomości, iż zgłoszenie sprzeciwu może skutkować niemożnością wykonania Umowy, a w konsekwencji prowadzić do rozwiązania Umowy Usługi, której dotyczy, z przyczyn leżących po stronie Klienta.
Dostawca oświadcza, że powierzenie przetwarzania danych osobowych Podwykonawcom uregulowane zostanie w stosownych umowach powierzenia, zakres powierzonych do przetwarzania danych osobowych i dopuszczalnych czynności przetwarzania przez Podwykonawców będzie adekwatny do określonego w niniejszej Umowie. Dostawca odpowiada za działania i zaniechania Podwykonawców jak za własne działania, z zastrzeżeniem ogólnych ograniczeń odpowiedzialności określonych w art. VII pkt 7 (OWU).
Klient upoważnia Dostawcę do nadawania upoważnień, wydawania instrukcji i poleceń w rozumieniu art. 29 RODO w stosunku do dalszych podmiotów przetwarzających.
Dostawca jest upoważniony bez konieczności informowania Klienta, ani uzyskania jego uprzedniej zgody do nawiązania współpracy z dostawcami zewnętrznymi (o ile tacy dostawcy nie będą uczestniczyć w przetwarzaniu Danych Osobowych), takimi jak:
- dostawcy energii elektrycznej,
- dostawcy i operatorzy telekomunikacyjni,
- kolokowane centra danych,
- dostawcy sprzętu i oprogramowania,
- dostawcy i inżynierzy techniczni oraz przewoźnicy,
- firmy ochroniarskie.

V. Odpowiedzialność Klienta

Dostawca nie ponosi odpowiedzialności za udostępnienie powierzonych danych osobowych osobom nieupoważnionym, ich kradzież, uszkodzenie lub zniszczenie, jeżeli zdarzenia te nastąpiły wyłącznie na skutek działania lub zaniechania Klienta (w tym w szczególności na skutek nieprawidłowej konfiguracji po stronie Klienta, wad oprogramowania Klienta lub niedołożenia należytej staranności w ochronie haseł dostępowych i kluczy).
Administrator danych jest wyłącznie odpowiedzialny za informowanie Podmiotów Danych o przysługujących im prawach oraz za przestrzeganie tych praw, w tym prawa dostępu, sprostowania, usunięcia, ograniczenia lub przenoszenia.
W przypadku, gdy Dostawca i Klient uczestniczą w przetwarzaniu w ramach niniejszej Umowy, które spowodowało szkodę Podmiotom Danych, ich odpowiedzialność wobec Podmiotów Danych jest solidarna, zgodnie z art. 82 ust. 4 RODO. W relacjach wewnętrznych pomiędzy Stronami (B2B), jeżeli Dostawca zostanie zmuszony do zapłaty jakiegokolwiek odszkodowania na rzecz Podmiotu Danych z przyczyn leżących po stronie Klienta, Klient zobowiązuje się do pełnego zwrotu (regresu) na rzecz Dostawcy wypłaconych kwot oraz poniesionych kosztów obrony prawnej, z zastrzeżeniem ogólnych ograniczeń odpowiedzialności określonych w art. VII pkt 7 OWU.
Klient jest odpowiedzialny za zapewnienie, że w momencie przekazania danych osobowych Dostawcy, istnieć będzie ważna podstawa prawna do ich przetwarzania, w szczególności zgody podmiotów, których dane dotyczą wyrażone w prawidłowy sposób oraz zostały zrealizowane wszelkie wymagane procedury i formalności. Klient zobowiązuje się, na żądanie Dostawcy do udokumentowania podstawy przetwarzania danych osobowych.
Klient jest w pełni odpowiedzialny za sposób wykorzystania Usługi, w której przetwarza dane osobowe, za konfigurację i korzystanie z Usługi w sposób właściwy, zgodny z jej przeznaczeniem i instrukcją.
Klient jest odpowiedzialny za wdrożenie odpowiednich technicznych i organizacyjnych środków zapewniających bezpieczeństwo zasobów, aplikacji i operacji, które nie wchodzą w zakres odpowiedzialności Dostawcy, w tym za zabezpieczenie danych osobowych przetwarzanych w Usłudze poprzez samodzielne wykonywanie okresowej kopii bezpieczeństwa oraz innych operacji niezbędnych do zabezpieczenia danych osobowych, w szczególności przed działaniami takimi jak aktualizacje, usuwanie czy wygaśnięcie Usługi.
Postanowienia pkt 6 nie wyłączają ani nie ograniczają odpowiedzialności Dostawcy za: (a) realizację technicznych środków bezpieczeństwa infrastruktury, (b) świadczenie usługi backupu, (c) świadczenie usług administracji systemem operacyjnym lub aplikacją – w zakresie, częstotliwości i na warunkach określonych dla danej Usługi w Umowie głównej lub umowach szczegółowych danej Usługi. W szczególności, jeżeli Klient zamówił usługę backupu w ramach danej Usługi, Dostawca odpowiada za jej świadczenie zgodnie z warunkami tej Usługi, a obowiązek Klienta, o którym mowa w pkt 6, nie zwalnia Dostawcy z tej odpowiedzialności i jest ograniczony do zakresu nieobjętego tą usługą.
Odpowiedzialność Dostawcy za administrację ogranicza się do czynności objętych uzgodnionym poziomem wsparcia i nie obejmuje odpowiedzialności za skutki działań nieobjętych tym zakresem, w szczególności za utratę danych, błędne konfiguracje po stronie Klienta lub wady oprogramowania osób trzecich.
Korzystanie przez Klienta z mechanizmów kopii zapasowych Dostawcy (niezależnie od ich formy) stanowi element wspierający i nie zwalnia Klienta z ogólnego obowiązku monitorowania oraz dbałości o ciągłość i integralność własnych danych.

VI. Odpowiedzialność Dostawcy

Dostawca zobowiązuje się zapewnić (zgodnie z art. 28 ust. 3 lit. b RODO), aby powierzone dane przetwarzały wyłącznie osoby, które w celu realizacji niniejszej Umowy Powierzenia są upoważnione do przetwarzania danych osobowych oraz zobowiązane do zachowania tajemnicy dotyczących przetwarzanych danych osobowych, zarówno w trakcie ich zatrudnienia, jak i po jego ustaniu.
Dostawca jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodnie z treścią umowy, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych osobom nieupoważnionym.
Dostawca odpowiada za szkody spowodowane przetwarzaniem danych gdy nie dopełnił obowiązków, które RODO nakłada na podmioty przetwarzające lub działał wbrew zgodnym z prawem instrukcjom Klienta.
Całkowite i maksymalne zobowiązanie Dostawcy wobec Administratora danych w związku z wykonywaniem niniejszej Umowy Powierzenia podlega ograniczeniom odpowiedzialności określonym w Umowie głównej lub Umowie Szczegółowej dotyczącej danej Usługi. Limit ten obejmuje zarówno odpowiedzialność za przetwarzanie danych, jak i odpowiedzialność z tytułu świadczenia Usługi w zakresie przedmiotu danej Umowy, wraz z usługami towarzyszącymi dotyczącymi tej Umowy. Ograniczenie nie ma zastosowania do szkód spowodowanych umyślnie. Limit nie ogranicza odpowiedzialności Dostawcy wobec Podmiotów Danych na podstawie powszechnie obowiązujących przepisów prawa.
Klient jako Administrator jest wyłącznie odpowiedzialny za wybór takiego wariantu Usługi Dostawcy, którego parametry i techniczne środki bezpieczeństwa są adekwatne do rodzaju, zakresu i celów przetwarzania jego danych osobowych. Dostawca nie ponosi odpowiedzialności za brak adekwatności tych środków, jeżeli są one zgodne ze specyfikacją technologiczną wybranej przez Klienta Usługi oraz zakresem zadeklarowanym w niniejszej Umowie.

VII. Postanowienia końcowe

Umowa Powierzenia wchodzi w życie z dniem jej zawarcia i obowiązuje przez cały czas trwania Umowy głównej na świadczenie Usługi cyfrowej w której powierzone dane Klienta są przetwarzane.
Zawarcie niniejszej Umowy Powierzenia powoduje rozwiązanie dotychczasowych Umów Powierzenia dotyczących tej samej Usługi, z dniem wejścia w życie niniejszej Umowy.
W przypadku niezgodności z Umową główną, pierwszeństwo mają postanowienia niniejszej Umowy Powierzenia.
„Umowa główna" oznacza umowę o świadczenie usług cyfrowych, na którą składają się OWU oraz odpowiednie umowy ramowe lub szczegółowe dotyczące usług - jeśli mają zastosowanie. OWU stanowią integralną część Umowy głównej. Pojęcia niezdefiniowane w niniejszej Umowie Powierzenia mają znaczenie nadane w Umowie głównej, w szczególności w OWU.
Umowa może zostać rozwiązana przez Klienta ze skutkiem natychmiastowym, gdy:
1. zostanie stwierdzone prawomocną decyzją administracyjną lub prawomocnym wyrokiem sądu, że Dostawca naruszył zasady ochrony danych osobowych, o których mowa w Umowie Powierzenia,
2. Dostawca rażąco i wielokrotnie narusza istotne zasady przetwarzania danych osobowych określone w Umowie Powierzenia oraz RODO.
W sprawach nieuregulowanych niniejszą Umową Powierzenia, zastosowanie będą miały przepisy RODO oraz obowiązujące przepisy prawa polskiego.
Wszelkie zmiany lub uzupełnienia Umowy wymagają zachowania formy pisemnej pod rygorem nieważności, chyba że Umowa stanowi inaczej.
Przeniesienie praw i obowiązków wynikających z Umowy jest dopuszczalne wyłącznie w przypadku, gdy następuje przeniesienie praw i obowiązków wynikających z Umowy głównej. Zmiana Strony Umowy następuje na warunkach określonych w Umowie głównej.
Umowa może być zawarta w formie pisemnej albo dokumentowej, w tym przez wymianę oświadczeń za pośrednictwem poczty elektronicznej lub poprzez akceptację elektroniczną w systemie teleinformatycznym Dostawcy
Wszelkie spory wynikające z niniejszej Umowy Powierzenia będą rozstrzygane przez sąd właściwy zgodnie z zasadami określonymi w art. I pkt 5 Umowy głównej (OWU).

.............................................................................

Dostawca
(Podpis podmiotu przetwarzającego)