Umowa powierzenia przetwarzania danych (DPA) — Sygno
§1. Strony
- Administrator: [nazwa operatora], NIP [NIP operatora], [adres operatora].
- Podmiot przetwarzający: [nazwa wykonawcy], NIP [NIP wykonawcy], [adres wykonawcy].
§2. Przedmiot i czas
- Administrator powierza przetwarzanie danych osobowych użytkowników Serwisu Sygno w zakresie niezbędnym do budowy, wdrożenia i utrzymania technicznego Serwisu.
- Czas: na okres obowiązywania umowy głównej (budowa + hosting [okres — np. 12 mies.] + ewentualne utrzymanie).
§3. Charakter, cel, zakres, kategorie
- Cel: realizacja usług IT (budowa/utrzymanie Serwisu).
- Kategorie osób: użytkownicy Serwisu, operator.
- Kategorie danych: dane kontaktowe (e-mail), dane konta, dane o aktywności, metadane płatności (bez pełnych danych kartowych — te przetwarza Stripe).
§4. Obowiązki Podmiotu przetwarzającego
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora.
- Zapewnia poufność (osoby upoważnione), środki bezpieczeństwa (art. 32 RODO): izolacja danych między firmami na poziomie bazy, szyfrowanie w tranzycie, kontrola dostępu, minimalizacja.
- Pomaga Administratorowi w realizacji praw osób i obowiązków (art. 32–36 RODO).
- Po zakończeniu — usuwa lub zwraca dane, wedle wyboru Administratora.
- Udostępnia informacje niezbędne do wykazania zgodności; umożliwia audyty.
§5. Subprocesorzy
Administrator wyraża zgodę ogólną na korzystanie z subprocesorów:
| Subprocesor | Rola | Lokalizacja |
|---|---|---|
| Supabase | Baza danych, auth, hosting danych | UE |
| Stripe | Płatności | [UE/USA — SCC] |
| Resend | [USA — SCC] | |
| Vercel | Hosting front-endu / CDN | [USA — SCC] |
Podmiot przetwarzający informuje o zmianach subprocesorów z [X]-dniowym wyprzedzeniem.
§6. Naruszenia
Zgłoszenie naruszenia Administratorowi bez zbędnej zwłoki, nie później niż [24/48] h od wykrycia.
§7. Postanowienia końcowe
Prawo właściwe: polskie. W zakresie nieuregulowanym — RODO i umowa główna.
Pokrewne: Regulamin · Polityka prywatności · Bezpieczeństwo i dane