Umowa powierzenia danych

Umowa z art. 28 RODO między firmą (administratorem) a WindAtlas (podmiotem przetwarzającym).

Obowiązuje od 2026-11-01 · wersja 1.1 · Usługodawca: Aner Dawid Górski

§ 1. Strony i przedmiot

1. Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) jest zawierana pomiędzy Klientem jako administratorem a Aner Dawid Górski, ul. Górna 16, 32-070 Wołowice, Polska, NIP 9442277766, REGON 522771302, jako podmiotem przetwarzającym (dalej: Usługodawca), i stanowi umowę, o której mowa w art. 28 ust. 3 Rozporządzenia (UE) 2016/679 (RODO).
2. Umowa powierzenia zostaje zawarta z chwilą zawarcia Umowy o świadczenie Usługi WindAtlas na warunkach Regulaminu (https://windatlas.app/regulamin) i obowiązuje przez czas jej trwania oraz do czasu usunięcia danych zgodnie z § 9.
3. Administrator powierza Usługodawcy przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia Usługi, a Usługodawca zobowiązuje się przetwarzać je zgodnie z RODO, Umową powierzenia i udokumentowanymi poleceniami Administratora.

§ 2. Charakter, cel i zakres przetwarzania

1. Cel: świadczenie Usługi WindAtlas – planowanie rotacji ekip, rejestr certyfikatów i uprawnień, obsługa nieobecności, podróże i noclegi, rozliczanie godzin, komunikacja e-mail z Użytkownikami, funkcje Atlasa (propozycje, odczyt dokumentów, czat), wsparcie techniczne i kopie zapasowe.
2. Charakter: zbieranie, utrwalanie, przechowywanie, przeglądanie, porządkowanie, modyfikowanie, przesyłanie dostawcom wskazanym w § 6, usuwanie – w systemach informatycznych.
3. Kategorie osób: Użytkownicy Administratora (właściciele, kierownicy, kadry, brygadziści, technicy), pracownicy i współpracownicy Administratora objęci planowaniem, osoby kontaktowe u kontrahentów Administratora (np. operatorów farm, hoteli).
4. Kategorie danych: dane identyfikacyjne (imię, nazwisko), kontaktowe (e-mail, telefon), zawodowe (rola, kraj, miejscowość, języki, numer WINDA ID), certyfikaty i uprawnienia wraz z datami ważności, daty ważności badań lekarskich (bez wyników i orzeczeń), rodzaj i daty nieobecności, plany rotacji i godziny pracy, dane podróży i noclegów, dokumenty i zdjęcia certyfikatów, treść rozmów z Atlasem, logi aktywności w Usłudze.
5. Dane szczególnych kategorii: Usługa nie jest przeznaczona do przetwarzania danych dotyczących zdrowia poza faktem nieobecności chorobowej i datą ważności badań lekarskich, które Administrator przetwarza jako pracodawca na podstawie art. 9 ust. 2 lit. b RODO. Administrator nie wprowadza do Usługi wyników badań, diagnoz, orzeczeń ani innych danych szczególnych kategorii. Usługodawca nie odpowiada za dane wprowadzone wbrew temu zakazowi.

§ 3. Obowiązki Usługodawcy

Usługodawca:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; za polecenie uważa się Regulamin, Umowę powierzenia, konfigurację Konta firmowego oraz działania Użytkowników w Usłudze; jeżeli przetwarzanie wymaga prawo Unii lub państwa członkowskiego, Usługodawca informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania;
2. zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
3. wdraża środki techniczne i organizacyjne opisane w § 5;
4. przestrzega warunków korzystania z dalszych podmiotów przetwarzających opisanych w § 6;
5. w miarę możliwości pomaga Administratorowi, za pomocą funkcji Usługi (eksporty, edycja, usuwanie) oraz na wniosek, w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą;
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
7. po zakończeniu świadczenia Usługi usuwa lub zwraca dane zgodnie z § 9;
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty zgodnie z § 8;
9. niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 4. Obowiązki Administratora

Administrator:

1. odpowiada za legalność przetwarzania, w tym za podstawę prawną, obowiązki informacyjne wobec osób, których dane dotyczą, oraz za zgodność z prawem pracy;
2. wprowadza do Usługi wyłącznie dane niezbędne do celu z § 2 i nie wprowadza danych wymienionych w § 2 ust. 5 zd. 3;
3. zarządza Użytkownikami, ich rolami i uprawnieniami oraz dba o poufność danych logowania;
4. niezwłocznie informuje Usługodawcę o zmianach wpływających na przetwarzanie;
5. odpowiada za treści przekazywane Atlasowi w czacie i w plikach.

§ 5. Środki bezpieczeństwa

Usługodawca stosuje w szczególności:

• szyfrowanie transmisji (TLS) i danych w spoczynku u dostawców infrastruktury;
• izolację danych pomiędzy Klientami na poziomie bazy danych (polityki row level security) i kontrolę dostępu opartą na rolach;
• uwierzytelnianie Użytkowników przez e-mail i hasło lub link logowania, sesje z ograniczonym czasem ważności;
• limity zapytań, ochronę przed nadużyciami, rejestrowanie zdarzeń bezpieczeństwa i dostępu administracyjnego;
• automatyczne kopie zapasowe bazy danych u dostawcy infrastruktury;
• zasadę minimalnych uprawnień i oddzielne środowiska testowe i produkcyjne;
• ograniczenie dostępu administracyjnego do Usługodawcy, zabezpieczonego dodatkową warstwą uwierzytelniania;
• wybór dostawców oferujących region UE i gwarancje zgodności z RODO.

§ 6. Dalsze podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie przez Usługodawcę z dalszych podmiotów przetwarzających. Aktualna lista znajduje się w Polityce prywatności (https://windatlas.app/polityka-prywatnosci, pkt 5) i obejmuje w dniu zawarcia: Supabase, Inc. (baza danych, uwierzytelnianie, pliki; region UE – Irlandia), Vercel Inc. (hosting; region UE – Dublin), OpenAI (modele językowe Atlasa; globalny punkt końcowy), OVH SAS (poczta e-mail; UE), Cloudflare, Inc. (DNS i ochrona panelu operatora).
2. Usługodawca informuje Administratora o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego e-mailem lub komunikatem w Usłudze z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie zgłosić uzasadniony sprzeciw na hello@windatlas.app. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym; jest to jedyne uprawnienie Administratora z tytułu sprzeciwu.
3. Usługodawca nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające niniejszej Umowie powierzenia i odpowiada za ich działania jak za własne.

§ 7. Przekazywanie danych poza EOG

1. Dane są przechowywane w regionach UE. Niektórzy dostawcy mają siedzibę w USA lub mogą przetwarzać dane poza EOG (w szczególności OpenAI – globalny punkt końcowy; logi platformy Vercel).
2. Przekazanie odbywa się na podstawie decyzji o adekwatności dla EU-U.S. Data Privacy Framework (dostawcy certyfikowani) lub standardowych klauzul umownych przyjętych przez Komisję Europejską, z dodatkowymi zabezpieczeniami. Administrator upoważnia Usługodawcę do zawarcia takich klauzul w jego imieniu, jeżeli będzie to wymagane.
3. Administrator, który nie chce, aby dane trafiały do dostawcy modelu AI, może nie korzystać z czatu Atlasa i funkcji odczytu dokumentów; pozostałe funkcje Usługi działają na regułach deterministycznych.

§ 8. Audyt

1. Administrator ma prawo raz w roku kalendarzowym, a dodatkowo po naruszeniu ochrony danych lub na żądanie organu nadzorczego, przeprowadzić audyt zgodności przetwarzania z Umową powierzenia.
2. Audyt odbywa się po uprzedzeniu z wyprzedzeniem co najmniej 14 dni, w dni robocze, w sposób nieutrudniający działalności Usługodawcy, w pierwszej kolejności w formie odpowiedzi na pisemne pytania i udostępnienia dokumentacji (w tym raportów dostawców infrastruktury). Audytor nie może być konkurentem Usługodawcy i podpisuje zobowiązanie do poufności.
3. Koszty audytu ponosi Administrator. Czas pracy Usługodawcy przekraczający 4 godziny jest rozliczany według stawki 150 EUR netto za godzinę.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu Umowy Administrator może przez 30 dni eksportować dane za pomocą funkcji Usługi.
2. Po upływie tego terminu Usługodawca usuwa dane z systemów produkcyjnych w ciągu 90 dni. Dane w kopiach zapasowych są nadpisywane w cyklu rotacji kopii dostawcy infrastruktury (do 30 dni od usunięcia z produkcji).
3. Usługodawca może zachować dane w zakresie wymaganym przez prawo (np. dokumenty rozliczeniowe, logi będące dowodem) oraz dane zanonimizowane.

§ 10. Naruszenie ochrony danych

1. Usługodawca zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia, na adres e-mail właściciela Konta firmowego.
2. Zawiadomienie zawiera dostępne informacje wymagane przez art. 33 ust. 3 RODO; informacje mogą być przekazywane sukcesywnie.
3. Za zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób, których dane dotyczą, odpowiada Administrator.

§ 11. Odpowiedzialność

1. Każda ze stron odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO.
2. Odpowiedzialność Usługodawcy wobec Administratora z tytułu Umowy powierzenia podlega ograniczeniom z § 12 Regulaminu, w zakresie dopuszczalnym przez prawo. Ograniczenia te nie dotyczą odpowiedzialności wobec osób, których dane dotyczą, oraz kar nałożonych przez organ nadzorczy w zakresie, w jakim prawo nie pozwala na ich ograniczenie.
3. Administrator zwolni Usługodawcę z odpowiedzialności za roszczenia i kary wynikające z wprowadzenia do Usługi danych bez podstawy prawnej lub wbrew § 2 ust. 5.

§ 12. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się Regulamin, RODO oraz prawo polskie.
2. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu. Administrator, który potrzebuje indywidualnie negocjowanej umowy powierzenia (np. w Planie Enterprise), kontaktuje się pod adresem hello@windatlas.app.
3. Umowa powierzenia jest sporządzona w języku polskim; wersja angielska ma charakter informacyjny.
4. Wersja 1.1 obowiązuje od 2026-11-01.