Wersja czeska (wiążąca)
Język: Polski
ČeštinaEnglishБългарскиDanskDeutschΕλληνικάEspañolEestiSuomiFrançaisHrvatskiMagyarItalianoLietuviųLatviešuNorsk bokmålNederlandsPolskiPortuguêsRomânăSlovenčinaSlovenščinaSvenska

Umowa powierzenia przetwarzania danych osobowych

Załącznik do Regulaminu · obowiązuje od 2026-10-06 · tłumaczenie na język polski; rozstrzygające znaczenie ma wersja czeska

Niniejsza umowa na podstawie art. 28 rozporządzenia (UE) 2016/679 (dalej „RODO”) zostaje zawarta między Organizacją korzystającą z platformy Negotiq (dalej „Administrator”) a SynQflows, s.r.o., nr identyfikacyjny (IČO) 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (dalej „Podmiot przetwarzający”) i stanowi część Regulaminu. Zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje przez okres obowiązywania Umowy. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

1. Przedmiot i zakres przetwarzania

Przedmiotprzetwarzanie danych osobowych, które Administrator lub jego Użytkownicy umieszczają na Platformie lub które Platforma na ich polecenie odbiera lub wysyła: Treści Użytkownika (Zapytania, specyfikacje, załączniki, cenniki, dane współpracowników i osób kontaktowych), wiadomości wysłane na Adres odbiorczy, dane dostępowe do podłączonych systemów i dane z nich pobrane oraz dane przesyłane do Webhooków Administratora
Charakter i celprzechowywanie, udostępnianie osobom uprawnionym i drugim stronom negocjacji, import i konwersja cenników, odbiór i analiza wiadomości e-mail, pobieranie danych z podłączonych systemów, eksport zamówień, wysyłanie powiadomień do Webhooków, tworzenie kopii zapasowych i inne techniczne operacje przetwarzania niezbędne do świadczenia usług Platformy
Kategorie osób, których dane dotycząpracownicy i współpracownicy Administratora; osoby kontaktowe jego partnerów handlowych; nadawcy wiadomości na Adres odbiorczy; osoby, których dane zawarte są w cenniku pobranym z podłączonego systemu
Kategorie danychdane identyfikacyjne i kontaktowe (imię i nazwisko, służbowy adres e-mail, telefon, stanowisko); dane dotyczące wiadomości e-mail (nadawca, adresat, temat, czas odbioru, wyniki weryfikacji nadawcy) oraz ich załączniki; dane logowania do podłączonych systemów; inne dane, które Administrator zamieści w treści. Administrator nie umieszcza szczególnych kategorii danych ani danych dotyczących wyroków skazujących
Czas trwaniaprzez okres obowiązywania Umowy i do usunięcia danych zgodnie z art. 8; wiadomości odebrane na Adres odbiorczy 90 dni od odbioru; zapisy dotyczące doręczenia do Webhooków najwyżej 90 dni

2. Polecenia Administratora

  1. Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do przekazywania danych do państw trzecich. Polecenia wynikają z Regulaminu, niniejszej umowy i ustawień Platformy; konfigurując Integrację (Adres odbiorczy, połączenie z systemem ERP, Webhook, Klucz API dla agenta podmiotu trzeciego), Administrator wydaje polecenie przetwarzania w zakresie, jakiego wymaga dana Integracja. Dalsze polecenia wydaje Administrator Organizacji w formie dokumentowej.
  2. Jeżeli zdaniem Podmiotu przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych osobowych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora i do czasu jego odpowiedzi nie musi wykonywać polecenia.
  3. Jeżeli prawo Unii lub państwa członkowskiego nakłada na Podmiot przetwarzający obowiązek przetwarzania, Podmiot przetwarzający informuje o tym Administratora z wyprzedzeniem, chyba że prawo to zabrania udzielania takiej informacji (art. 28 ust. 3 lit. a RODO).
  4. Podmiot przetwarzający nie przetwarza danych osobowych Administratora do własnych celów. Zanonimizowane i zagregowane statystyki (art. 11 ust. 2 Regulaminu) nie zawierają danych osobowych. Wpisy w Łańcuchu audytowym, Potwierdzenia i Zapisy AP2 Podmiot przetwarzający przetwarza jako odrębny administrator zgodnie z Polityką prywatności, a nie na podstawie niniejszej umowy.
  5. Administrator odpowiada za zgodność przetwarzania z prawem, za poinformowanie osób, których dane dotyczą, oraz za to, że jest uprawniony do umieszczenia danych osobowych na Platformie i udzielenia dostępu do podłączonych systemów.

3. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający zapewnia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy.
  2. Podmiot przetwarzający wdraża środki techniczne i organizacyjne zgodnie z art. 32 RODO określone w Załączniku 1. Może je zmieniać, o ile nie obniży to ogólnego poziomu bezpieczeństwa.
  3. Podmiot przetwarzający pomaga Administratorowi w realizacji żądań osób, których dane dotyczą, przede wszystkim za pomocą narzędzi Platformy (eksport danych w formacie JSON, sprostowanie danych, usunięcie konta Użytkownika lub Organizacji). Żądanie otrzymane bezpośrednio od osoby, której dane dotyczą, przekazuje Administratorowi bez zbędnej zwłoki i sam nie udziela na nie merytorycznej odpowiedzi.
  4. Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków oraz uprzednie konsultacje), uwzględniając charakter przetwarzania oraz dostępne mu informacje.

4. Dalsze podmioty przetwarzające

  1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. Aktualny wykaz:
    Dalszy podmiot przetwarzającyCzynnośćLokalizacja, zabezpieczenia
    Railway Corporationhosting aplikacji i bazy danych, kopie zapasoweUSA / UE; standardowe klauzule umowne (moduł 3) lub EU-U.S. Data Privacy Framework
    Anthropic, PBCkonwersja nieustrukturyzowanych cenników do postaci tabeli (tylko w przypadku skorzystania z funkcji)USA; standardowe klauzule umowne (moduł 3); bez trenowania modeli na danych
    dostawca usługi odbioru poczty e-mail (konkretny dostawca zostanie dopisany do wykazu przed uruchomieniem funkcji)odbiór wiadomości wysyłanych na Adresy odbiorcze i przekazywanie ich do Platformyzostanie wskazane wraz z dostawcą; przekazywanie poza EOG wyłącznie z zabezpieczeniami zgodnie z art. 7
    dostawca usługi poczty elektronicznej (SMTP)doręczanie faktur, wezwań do zapłaty i wiadomości serwisowych (adres odbiorcy i treść wiadomości)UE
  2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem na Platformie lub pocztą e-mail skierowaną do Administratora Organizacji. W tym terminie Administrator może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych osobowych. Strony podejmą próbę znalezienia rozwiązania; jeżeli go nie znajdą, Administrator może bez ponoszenia sankcji wypowiedzieć Umowę ze skutkiem przed rozpoczęciem korzystania z usług dalszego podmiotu przetwarzającego.
  3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające w drodze umowy te same obowiązki w zakresie ochrony danych osobowych, jakie spoczywają na nim na podstawie niniejszej umowy, w tym obowiązek zapewnienia wystarczających gwarancji wdrożenia środków technicznych i organizacyjnych, i ponosi wobec Administratora odpowiedzialność za wypełnianie przez nie ich obowiązków (art. 28 ust. 4 RODO).
  4. Systemy wybrane przez samego Administratora (podłączone systemy ERP, feedy produktowe, punkty końcowe Webhooków i agenci podmiotów trzecich) nie są dalszymi podmiotami przetwarzającymi Podmiotu przetwarzającego; Podmiot przetwarzający przekazuje im dane na polecenie Administratora.

5. Naruszenie ochrony danych osobowych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego stwierdzenia, pocztą e-mail skierowaną do Administratora Organizacji oraz na Platformie.
  2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, jakimi dysponuje Podmiot przetwarzający (charakter naruszenia, kategorie i przybliżona liczba osób, których dane dotyczą, oraz wpisów danych, punkt kontaktowy, prawdopodobne konsekwencje oraz środki zastosowane lub proponowane); informacje, które nie są jeszcze znane, przekazuje sukcesywnie.
  3. Podmiot przetwarzający niezwłocznie podejmuje środki w celu zaradzenia naruszeniu i zminimalizowania jego skutków, współpracuje z Administratorem i dokumentuje naruszenie. Zgłoszenie nie stanowi uznania odpowiedzialności.

6. Informacje i audyty

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, przede wszystkim za pośrednictwem dokumentu Bezpieczeństwo i zaufanie oraz odpowiedzi na rozsądny kwestionariusz bezpieczeństwa.
  2. Jeżeli informacje te nie są wystarczające, Podmiot przetwarzający umożliwia przeprowadzenie audytu przez Administratora lub przez niezależnego audytora zobowiązanego do zachowania tajemnicy, który nie jest konkurentem Podmiotu przetwarzającego, z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz w roku kalendarzowym (z wyjątkiem przypadku naruszenia ochrony danych lub żądania organu nadzorczego), na koszt Administratora, bez dostępu do danych innych klientów i bez narażania ich bezpieczeństwa.
  3. Uprawnienia kontrolne organów nadzorczych pozostają nienaruszone.

7. Przekazywanie poza EOG

  1. Przekazywanie danych do państw trzecich odbywa się wyłącznie z zabezpieczeniami zgodnie z rozdziałem V RODO.
  2. Jeżeli Podmiot przetwarzający przekazuje dane osobowe dalszemu podmiotowi przetwarzającemu w państwie trzecim, w odniesieniu do którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony (lub jeżeli odbiorca nie posiada certyfikacji w ramach EU-U.S. Data Privacy Framework), zawiera z nim standardowe klauzule umowne zgodnie z decyzją wykonawczą Komisji (UE) 2021/914, moduł 3 (przekazywanie między podmiotami przetwarzającymi), ocenia otoczenie prawne państwa odbiorcy i stosuje środki uzupełniające (w szczególności szyfrowanie podczas przesyłania i przechowywania oraz minimalizację danych).
  3. Administrator niniejszym wyraża zgodę na takie przekazywanie. Podmiot przetwarzający udostępnia Administratorowi kopię zabezpieczeń na żądanie; postanowienia handlowe mogą zostać w niej utajnione.

8. Usunięcie i zwrot danych

  1. W okresie obowiązywania Umowy Administrator może w każdej chwili wyeksportować dane Organizacji w formacie JSON i samodzielnie usunąć dane.
  2. Po zakończeniu Umowy Podmiot przetwarzający, zgodnie z wyborem Administratora, zwraca (eksport) lub usuwa dane osobowe w terminie 30 dni, łącznie z kopiami, chyba że przepisy prawa wymagają ich dalszego przechowywania. Kopie zapasowe są nadpisywane w zwykłym cyklu najpóźniej w ciągu 90 dni; do tego czasu są chronione i nie są wykorzystywane.
  3. Wiadomości odebrane na Adres odbiorczy są usuwane automatycznie po 90 dniach. Podmiot przetwarzający zaprzestaje korzystania z danych dostępowych do podłączonego systemu niezwłocznie po usunięciu połączenia i usuwa je najpóźniej w terminie określonym w ust. 2.
  4. Niniejszy artykuł nie ma zastosowania do zapisów, o których mowa w art. 2 ust. 4 zdanie drugie i trzecie.

9. Odpowiedzialność, pierwszeństwo i prawo właściwe

Odpowiedzialność stron określają art. 82 RODO oraz Regulamin, łącznie z przewidzianymi w nim ograniczeniami w zakresie dopuszczalnym przez prawo. W sprawach ochrony danych osobowych niniejsza umowa ma pierwszeństwo przed Regulaminem. Niniejsza umowa podlega prawu czeskiemu.

Załącznik 1 — Środki techniczne i organizacyjne

Bardziej szczegółowy opis zawiera dokument Bezpieczeństwo i zaufanie.