ZAŁĄCZNIK NR 1 – UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

§1. Strony i włączenie do zamówienia

1. Administratorem jest klient wskazany w indywidualnej ofercie, w zakresie danych, o których celach i sposobach przetwarzania decyduje. Podmiotem przetwarzającym jest DOUBLEM TRADE sp. z o.o., ul. Reymonta 56A, 05-420 Józefów, KRS 0001033992, NIP 5322104883, REGON 525182990; kontakt: biuro@wearedm.pl.
2. Umowę zawiera się przed udostępnieniem danych, przez wyraźne włączenie tej wersji do zaakceptowanego zamówienia e-mailowego wraz z opisem zakresu i dostawców. Samo udostępnienie załącznika na stronie nie zawiera umowy. Dokumenty elektroniczne zachowujemy jako dowód uzgodnienia zgodnie z art. 28 ust. 9 RODO.
3. Oferta uzupełnia: administratora, stronę i domenę, usługi, czas, kategorie danych i osób, faktycznych podwykonawców, zakres kopii, ich retencję i sposób zwrotu danych. Domyślny zakres poniżej obowiązuje tylko w części faktycznie wykonywanej.
4. Dla danych własnych zapytań, faktur i dokumentacji DOUBLEM TRADE działa jako administrator według Polityki prywatności; nie są one objęte powierzeniem. Przy czysto osobistym lub domowym użyciu strony oceniamy zastosowanie RODO i faktyczne role, zamiast automatycznie nazywać każdego konsumenta administratorem.

§2. Cel, charakter i czas

1. Przetwarzamy wyłącznie na udokumentowane polecenie administratora dla hostingu, obsługi i przesyłania formularzy, bezpieczeństwa, diagnozowania usterek, uzgodnionych kopii i serwisu.
2. Czynności mogą obejmować odbieranie, przesyłanie, przechowywanie, tworzenie kopii, przeglądanie niezbędne do obsługi, zabezpieczanie, ograniczanie, zwrot i usuwanie. Nie używamy danych do własnego marketingu ani budowania baz.
3. Powierzenie trwa przez faktyczne świadczenie i uzgodnione zakończenie przetwarzania, w tym zwrot, usunięcie i rotację kopii. Obowiązek poufności pozostaje po zakończeniu.

§3. Dane i osoby

1. Osoby: odwiedzający stronę, nadawcy zapytań, potencjalni i aktualni klienci administratora, jego przedstawiciele i osoby kontaktowe.
2. Dane: imię i nazwisko, nazwa firmy, e-mail, telefon, treść formularza i jego załączników, jeśli uzgodniono ich obsługę, IP, dane przeglądarki i urządzenia, czas, status doręczenia i logi techniczne. Przetwarzamy wyłącznie kategorie faktycznie występujące w zamówieniu.
3. Szczególne kategorie danych, dokumenty tożsamości, PESEL i dane kart nie są planowanym zakresem. Ich celowe zbieranie wymaga wcześniejszych odrębnych ustaleń i zabezpieczeń. Nieoczekiwane otrzymanie takich danych obsługujemy według instrukcji i prawa; nie zwalnia nas to z zabezpieczenia.
4. Administrator określa podstawę prawną, informacje dla użytkowników i zakres formularzy zgodny z minimalizacją danych. W razie zmiany celu lub kategorii wymaga się uprzedniego uzgodnienia.

§4. Instrukcje i obowiązki

1. Poleceniami są uzgodnione zamówienie, niniejsza umowa oraz instrukcje upoważnionych osób utrwalone e-mailem. Dotyczy to także transferów poza EOG. O ustawowym obowiązku innego przetwarzania informujemy przed jego wykonaniem, chyba że prawo zabrania.
2. Niezwłocznie informujemy, gdy naszym zdaniem polecenie narusza RODO lub inne przepisy ochrony danych, i wstrzymujemy daną czynność do wyjaśnienia, o ile prawo nie wymaga inaczej.
3. Zapewniamy dostęp tylko osobom zobowiązanym do poufności, odpowiednie środki z art. 32 RODO, rozliczalność i informacje potrzebne do wykazania zgodności.
4. Z uwzględnieniem charakteru przetwarzania i dostępnych informacji pomagamy w realizacji praw osób oraz obowiązków z art. 32–36 RODO, w tym ocenie ryzyka, naruszeń i skutków dla ochrony danych.
5. Żądanie osoby przekazujemy administratorowi bez zbędnej zwłoki; nie rozstrzygamy samodzielnie poza instrukcją lub obowiązkiem ustawowym. Płatność za dodatkową pomoc może być uzgodniona tylko bez ograniczania obowiązków ustawowych i bez uzależniania pilnej pomocy od zapłaty.

§5. Bezpieczeństwo i kopie

1. Stosujemy szyfrowanie transmisji, ograniczenia uprawnień, ochronę kont, poufność, aktualizacje adekwatne do komponentów, monitorowanie istotnych zdarzeń i procedury obsługi incydentów. Dobór środków odpowiada ryzyku oraz rzeczywistej architekturze.
2. Zakres kopii, okres rotacji, sposób odtworzenia i limity infrastruktury określa opis projektu przed przekazaniem danych. Sam zapis umowny nie oznacza, że istnieje kopia każdej wiadomości lub baza formularzy.
3. Usługi wysyłki mogą przechowywać treści wiadomości i metadane. Domyślne 30 dni retencji Resend nie są okresem przechowywania kopii w skrzynce administratora. Odmienny plan lub konfigurację ujawniamy w opisie projektu.

§6. Podwykonawcy

1. Administrator udziela ogólnej pisemnej zgody, w tym elektronicznej, na podwykonawców wskazanych w przyjętej ofercie. Domyślny zestaw stron klientów: Cloudflare — hosting, DNS, dostarczanie treści i ochrona; Resend — wysyłka oraz techniczne przechowywanie wiadomości.
2. Google Workspace, Hostinger, Vercel i inni dostawcy uczestniczą wyłącznie wtedy, gdy wynika to z rzeczywistej konfiguracji i opisu projektu. Coolify jest narzędziem zarządzania, nie odrębnym podwykonawcą. Google reCAPTCHA dotyczy strony klienta wyłącznie, gdy zostało tam uzgodnione; zabezpieczenie wearedm.pl nie staje się przez to częścią każdego powierzenia.
3. Z podwykonawcą zapewniamy wiążące warunki co najmniej odpowiadające obowiązkom z art. 28 RODO; odpowiadamy za wykonanie jego obowiązków wobec administratora zgodnie z tym przepisem.
4. O planowanym dodaniu lub zastąpieniu podwykonawcy aktywnie informujemy co najmniej 14 dni wcześniej, wskazując usługę, lokalizację lub transfer i zabezpieczenia. Administrator może przed rozpoczęciem zgłosić uzasadniony sprzeciw.
5. Uzgadniamy rozwiązanie alternatywne. Jeżeli nie jest możliwe, strony mogą zakończyć odpowiednią część usługi z rozliczeniem niewykonanych świadczeń. Nie rozpoczynamy nowego powierzenia bez wymaganej zgody; pilność nie tworzy automatycznego wyjątku od art. 28.

§7. Transfery poza EOG

1. Transfer następuje tylko na udokumentowane polecenie i przy spełnieniu rozdziału V RODO. Nie zapewniamy fikcyjnej gwarancji przetwarzania wyłącznie w UE.
2. Stosujemy właściwy mechanizm dla odbiorcy: decyzję o odpowiednim stopniu ochrony, DPF przy aktualnie objętym nim odbiorcy lub standardowe klauzule z wymaganą oceną transferu i środkami dodatkowymi.
3. Udostępniamy informacje o konkretnym mechanizmie i zabezpieczeniach. Zmiana wpływająca na transfer wymaga uprzedniego poinformowania i zastosowania zasad podwykonawców.

§8. Naruszenia i kontrola

1. O naruszeniu powierzonych danych zawiadamiamy bez zbędnej zwłoki po jego stwierdzeniu, w miarę możliwości w ciągu 24 godzin. Nie odkładamy zgłoszenia do zebrania pełnych informacji.
2. Przekazujemy dostępny opis zdarzenia, kategorie i przybliżoną liczbę osób oraz rekordów, konsekwencje, środki naprawcze i kontakt. Informacje uzupełniamy etapami, współpracując przy obowiązkach z art. 33 i 34 RODO.
3. Udostępniamy informacje i umożliwiamy audyty, w tym inspekcje administratora lub upoważnionego audytora. Zwykle zaczynamy od dokumentów i kontroli zdalnej; termin i sposób uzgadniamy z uwzględnieniem bezpieczeństwa i cudzych praw.
4. Nie ustanawiamy sztywnego limitu kontroli uniemożliwiającego wykonanie RODO. Przy incydencie lub żądaniu organu zapewniamy odpowiednio pilną współpracę. Rozsądne koszty ponadstandardowej kontroli można uzgodnić, bez ograniczania ustawowego prawa kontroli.

§9. Zwrot i usunięcie

1. Po zakończeniu świadczeń, zgodnie z wyborem administratora, zwracamy dane w uzgodnionym powszechnie używanym formacie albo je usuwamy i usuwamy kopie, chyba że prawo wymaga przechowania.
2. Przed końcem hostingu przypominamy o wyborze i odbiorze danych. Standardowo umożliwiamy ich odbiór przez 30 dni po zakończeniu, wyłącznie w zabezpieczonym zakresie na potrzeby zwrotu. Administrator może wcześniej polecić zwrot i usunięcie.
3. Po zwrocie albo bezskutecznym upływie okresu odbioru usuwamy dane z aktywnych systemów. Kopie wygasają według cyklu określonego w ofercie i pozostają zabezpieczone, bez użycia do innych celów. Na żądanie potwierdzamy wykonanie i informujemy o pozostałej retencji wynikającej z prawa lub cyklu kopii.
4. Zwrot własnych danych i materiałów nie zależy od wykupu kodu strony ani zapłaty spornej opłaty za inne prace. Kod i prawa własności intelektualnej rozliczamy odrębnie, bez naruszania obowiązków zwrotu.
5. Administrator sam określa retencję kopii w swoich skrzynkach i systemach, nad którymi nie sprawujemy kontroli.

§10. Postanowienia końcowe

1. W sprawach danych pierwszeństwo mają RODO i niniejsze uzgodnienie przed sprzecznym postanowieniem handlowym. Zmiany wymagają utrwalenia elektronicznego lub pisemnego.
2. Odpowiedzialność podlega prawu i umowie głównej tylko w zakresie dopuszczalnym. Żaden limit nie ogranicza uprawnień osób z art. 82 RODO ani kompetencji organu nadzorczego.
3. Kontakt do instrukcji, naruszeń i żądań: biuro@wearedm.pl. Administrator wskazuje własną upoważnioną osobę kontaktową w ofercie.