Umowa powierzenia przetwarzania danych osobowych

Wzór, wersja z 20 października 2026 r.

zawarta pomiędzy [nazwa Organizacji, adres, NIP] („Administrator”) a SOFTART Krzysztof Michałowski, ul. Pomorska 16D/11, 80-333 Gdańsk, NIP 5841182350 („Procesor”), w związku z korzystaniem przez Administratora z serwisu WyślijBezpiecznie („Serwis”) na podstawie Regulaminu („Umowa główna”).

§ 1. Przedmiot i cel

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w trybie art. 28 rozporządzenia (UE) 2016/679 („RODO”) wyłącznie w celu świadczenia usług Serwisu: wysyłania i udostępniania Przesyłek Odbiorcom, przyjmowania plików przesłanych w odpowiedzi na prośby Administratora („Prośby o pliki”), przekazywania kodów dostępu, sprawdzania integralności plików oraz prowadzenia kontaktów Administratora.
2. Charakter przetwarzania: przechowywanie, udostępnianie, przesyłanie, usuwanie. Treść i nazwy plików są szyfrowane na urządzeniu Administratora (w przeglądarce albo w programie Serwisu) i przechowywane wyłącznie w postaci zaszyfrowanej; Procesor nie przechowuje klucza do ich odczytu. Pliki przesyłane w odpowiedzi na Prośbę o pliki są szyfrowane w przeglądarce osoby, która je przesyła, a treść Prośby w przeglądarce Administratora. Część klucza zawartą w linku Procesor przetwarza wyłącznie w pamięci, na czas wysłania wiadomości do Odbiorcy, i jej nie zapisuje; gdy Administrator wysyła link samodzielnie, ta część w ogóle nie trafia do Procesora.

§ 2. Zakres danych i kategorie osób

1. Kategorie osób: odbiorcy Przesyłek, osoby, do których Administrator wysyła Prośby o pliki, osoby z kontaktów Administratora, osoby, których dane znajdują się w plikach Przesyłek i w plikach przesłanych w odpowiedzi na Prośby o pliki.
2. Rodzaje danych: imię i nazwisko, adres e-mail, numer telefonu odbiorców, osób proszonych o pliki i kontaktów; zdarzenia związane z Przesyłką i Prośbą o pliki (otwarcie, pobranie, przesłanie plików, czas); dane zawarte w plikach, w tym mogące obejmować numer PESEL, dane o wynagrodzeniu, dane o zdrowiu i inne szczególne kategorie danych (przetwarzane wyłącznie jako zaszyfrowane).

§ 3. Obowiązki Procesora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest w szczególności korzystanie z funkcji Serwisu.
2. Procesor zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.
3. Procesor stosuje środki z art. 32 RODO, w tym:
   • szyfrowanie plików po stronie nadawcy (AES-256-GCM) z kluczem dzielonym między link i serwer (opis: wyslijbezpiecznie.pl/bezpieczenstwo);
   • szyfrowanie połączeń (HTTPS, HSTS) i ścisłą politykę bezpieczeństwa treści strony;
   • limit prób wpisania kodu i blokadę dostępu Odbiorcy po jego przekroczeniu;
   • weryfikację dwuetapową kont i możliwość jej wymuszenia dla zespołu;
   • dzienniki bez treści plików, kodów dostępu i haseł;
   • przechowywanie danych na serwerach w Europejskim Obszarze Gospodarczym;
   • automatyczne usuwanie plików po wygaśnięciu Przesyłki.
4. Procesor pomaga Administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą, oraz z obowiązków z art. 32–36 RODO, w zakresie, w jakim pozwala na to charakter przetwarzania.
5. Procesor zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, wiadomością e-mail do administratorów Organizacji w Serwisie. Zawiadomienie opisuje charakter naruszenia, kategorie i przybliżoną liczbę osób i danych, prawdopodobne konsekwencje oraz podjęte i proponowane środki. Kontakt w sprawie naruszeń: bezpieczenstwo@wyslijbezpiecznie.pl.
6. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności dokumentację zabezpieczeń (Bezpieczeństwo dla działów IT) i wyniki niezależnych testów bezpieczeństwa, jeśli zostały przeprowadzone. Prawo do audytu Administrator wykonuje przez przegląd tej dokumentacji i wyników; inspekcja u Procesora jest możliwa wyłącznie wtedy, gdy przekazane informacje są niewystarczające do wykazania zgodności z art. 28 RODO, na koszt Administratora i po uzgodnieniu terminu z 14-dniowym wyprzedzeniem.
7. Miejsce przetwarzania: serwer i zaszyfrowane pliki w Warszawie, kopie zapasowe we Frankfurcie nad Menem; dane nie są przekazywane poza Europejski Obszar Gospodarczy.

§ 4. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podmiotów przetwarzających:
   • OVHcloud: serwer aplikacji (VPS), magazyn zaszyfrowanych plików (Object Storage), kopie zapasowe (Warszawa (serwer i pliki), Frankfurt nad Menem (kopie zapasowe); UE);
   • MyDevil (mydevil.net): serwer poczty wychodzącej (SMTP) (Polska; UE);
   • SMSAPI (smsapi.pl): bramka SMS (Polska; UE);
   Pełne nazwy prawne i adresy podmiotów: [do uzupełnienia przed zawarciem umowy].
2. O zamiarze zmiany lub dodania podmiotu Procesor informuje Administratora z 14-dniowym wyprzedzeniem; Administrator może w tym czasie wnieść sprzeciw i rozwiązać Umowę główną.
3. Procesor nakłada na dalszych podmiotów przetwarzających obowiązki nie mniejsze niż w tej umowie.

§ 5. Czas trwania i usunięcie danych

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej.
2. Pliki Przesyłek są usuwane po ich wygaśnięciu, wykorzystaniu limitu pobrań albo cofnięciu; z kopii zapasowej plików znikają najpóźniej po 24 godzinach. Historia Przesyłek jest przechowywana przez 6 lat od usunięcia plików, chyba że Administrator poleci inaczej. Kopie zapasowe bazy danych są przechowywane przez 14 dni.
3. Po zakończeniu Umowy głównej Procesor usuwa dane osobowe, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie, i na żądanie potwierdza to na piśmie.

§ 6. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Umowę główną.
2. Zmiany umowy wymagają formy dokumentowej.