Załącznik nr 1, umowa powierzenia przetwarzania danych (DPA)

§ 1. Strony umowy

1. Administrator danych: Klient (sklep internetowy) korzystający z Usługi Cyfrowej RetJet, który zawiera Umowę poprzez utworzenie Konta w Aplikacji.

2. Procesor danych: RetJet sp. z o.o. ul. 1 Maja 22, 43-340 Bielsko-Biała KRS: 0001129805 NIP: 5472248276 REGON: 529760483 e-mail: [email protected]

3. Umowa zostaje zawarta z chwilą zaakceptowania Regulaminu przez Administratora i obowiązuje przez cały okres korzystania z Aplikacji RetJet.

§ 2. Przedmiot powierzenia

1. Na podstawie niniejszej Umowy Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia przez Procesora Usługi Cyfrowej polegającej na obsłudze zwrotów oraz reklamacji w sklepie internetowym Administratora.

2. Przetwarzanie danych odbywa się w imieniu Administratora i wyłącznie w celu wykonania Umowy.

§ 3. Zakres, charakter oraz kategorie danych

1. Procesor może przetwarzać następujące dane osobowe:

   • imię i nazwisko (jeśli występuje w zamówieniu),

   • adres e-mail,

   • numer zamówienia,

   • dane produktów,

   • powody zwrotów,

   • dane dotyczące przesyłek zwrotnych (numery, tracking, operator),

   • komunikację związaną z procesem zwrotu lub reklamacji.

2. Kategorie osób: klienci sklepu internetowego Administratora.

3. Charakter przetwarzania: zbieranie, przechowywanie, organizowanie, dostęp, analizowanie, przesyłanie, usuwanie — w ramach realizacji Usługi Cyfrowej.

§ 4. Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (zawarte w Regulaminie, Aplikacji oraz instrukcjach przekazanych drogą elektroniczną),

2. zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązane są do zachowania poufności,

3. stosowania środków technicznych i organizacyjnych zgodnych z art. 32 RODO,

4. nieprzetwarzania danych w celach własnych,

5. prowadzenia ewidencji naruszeń bezpieczeństwa,

6. udzielania Administratorowi informacji niezbędnych do wykazania zgodności z art. 28 RODO.

§ 5. Środki bezpieczeństwa

Procesor wdraża oraz utrzymuje środki ochrony danych osobowych, w tym:

1. szyfrowanie transmisji danych (TLS),

2. kontrolę dostępu (autoryzacja, role, ACL),

3. szyfrowane kopie zapasowe,

4. zabezpieczenia infrastruktury serwerowej i sieciowej,

5. rejestry dostępu i logi aktywności,

6. regularne aktualizacje oprogramowania i systemów bezpieczeństwa.

Administrator akceptuje poziom zabezpieczeń stosowanych przez Procesora jako adekwatny do ryzyka.

§ 6. Podpowierzenie danych

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów niezbędnych do realizacji Usługi Cyfrowej.

2. Procesor korzysta wyłącznie z podprocesorów zapewniających środki bezpieczeństwa zgodne z RODO.

3. Lista podprocesorów obejmuje m.in.:

   • dostawców hostingu i infrastruktury serwerowej,

   • dostawcę systemu płatności,

   • dostawców usług e-mail i komunikacji. Aktualna lista podprocesorów jest publikowana przez Procesora lub dostępna na żądanie Administratora.

§ 7. Pomoc Procesora

Procesor, z uwzględnieniem charakteru przetwarzania i dostępnych środków:

1. pomaga Administratorowi w wypełnianiu obowiązków wynikających z żądań osób, których dane dotyczą (art. 15–22 RODO),

2. wspiera Administratora w realizacji obowiązków związanych z naruszeniami ochrony danych (art. 33–34 RODO),

3. umożliwia Administratorowi audyt lub inspekcję, w granicach rozsądku i w sposób niezakłócający działania systemów.

§ 8. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi każde naruszenie ochrony danych osobowych niezwłocznie, nie później niż 48 godzin od momentu wykrycia.

2. Zgłoszenie zawiera co najmniej: charakter naruszenia, skalę, możliwe konsekwencje oraz podjęte środki zaradcze.

§ 9. Retencja i usuwanie danych

1. Procesor przechowuje dane osobowe przez okres korzystania z Usługi Cyfrowej.

2. Po zakończeniu świadczenia usług dane są:

   • usuwane, lub

   • anonimizowane — jeśli dalsze wykorzystanie jest konieczne do celów statystycznych lub poprawy działania Aplikacji.

3. Maksymalny okres retencji danych wynosi 36 miesięcy, chyba że Administrator zażąda wcześniejszego usunięcia.

§ 10. Odpowiedzialność stron

1. Strony ponoszą odpowiedzialność za szkody powstałe na skutek naruszenia RODO w zakresie, w jakim do naruszenia doszło z ich winy.

2. Odpowiedzialność Procesora jest ograniczona do rzeczywistych, udowodnionych szkód, z wyłączeniem przypadków winy umyślnej.

§ 11. Postanowienia końcowe

1. Umowa stanowi integralny element Regulaminu świadczenia usług RetJet.

2. Procesor może aktualizować niniejszą Umowę, informując Administratora z 14-dniowym wyprzedzeniem.

3. W sprawach nieuregulowanych stosuje się art. 28 RODO oraz prawo polskie.