Umowa powierzenia przetwarzania danych osobowych

1. Postanowienia ogólne i charakter Umowy powierzenia

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia”) jest zawierana pomiędzy Piotr Zagórski Skybit.pl – przedsiębiorca prowadzący jednoosobową działalność gospodarczą wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), stałe miejsce wykonywania działalności gospodarczej: ul. Kasztanowa 6, 08-130 Żdżar, NIP 822-198-70-84, REGON 712496725, prowadzącym serwis Kukisy.pl (https://kukisy.pl) – dalej: „Podmiot przetwarzający” lub „Usługodawca” – a Klientem w rozumieniu Regulaminu (przedsiębiorcą w rozumieniu art. 43¹ Kodeksu cywilnego albo inną jednostką organizacyjną niebędącą konsumentem – w szczególności jednostką sektora finansów publicznych, fundacją, stowarzyszeniem, kościelną osobą prawną – działającą przez osobę upoważnioną), którego dane identyfikacyjne (firma lub nazwa, adres, NIP, adres e-mail) znajdują się w Panelu, działającym jako administrator Danych albo – w układzie opisanym w sekcji „Obowiązki Administratora” pkt 4 – jako podmiot przetwarzający na rzecz swojego Klienta końcowego – dalej: „Administrator” (w znaczeniu określonym w sekcji „Definicje”). Podmiot przetwarzający i Administrator są dalej łącznie zwani „Stronami”.
Umowa powierzenia stanowi załącznik do Regulaminu świadczenia usług Kukisy.pl i jego integralną część. Klient akceptuje Umowę powierzenia wraz z Regulaminem w formularzu rejestracyjnym (akceptacja Regulaminu obejmuje akceptację Umowy powierzenia), a Umowa powierzenia zostaje zawarta wraz z Umową, tj. z chwilą Aktywacji Konta przez Usługodawcę potwierdzonej wiadomością e-mail „Twoje konto jest aktywne” (Regulamin, sekcja „Konto i Panel” pkt 2) – bez konieczności składania odrębnego oświadczenia, podpisu ani wpisywania danych Administratora; dane te wynikają z Konta. Umowa powierzenia obowiązuje od chwili jej zawarcia, tj. od Aktywacji Konta, a więc zanim rozpocznie się przetwarzanie Danych – Podmiot przetwarzający nie przetwarza Danych w imieniu Administratora przed jej zawarciem; przetwarzanie Danych rozpoczyna się najwcześniej z chwilą osadzenia Skryptu w Witrynie, co jest możliwe dopiero po Aktywacji Konta i dodaniu Witryny w Panelu. Do czasu Aktywacji Konta Usługodawca przetwarza wyłącznie dane podane przy rejestracji, jako ich samodzielny administrator (sekcja „Rodzaj danych osobowych i kategorie osób” pkt 4). Umowa powierzenia ma charakter umowy ramowej i obejmuje wszystkie Witryny dodane przez Administratora do Panelu w czasie jej obowiązywania.
Umowa powierzenia jest umową, o której mowa w art. 28 ust. 3 RODO, zawartą w formie elektronicznej (art. 28 ust. 9 RODO). Określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, a także obowiązki i prawa Stron.
W razie sprzeczności między Umową powierzenia a Regulaminem pierwszeństwo mają postanowienia Umowy powierzenia, w szczególności w zakresie przetwarzania danych osobowych osób odwiedzających Witryny Administratora. W sprawach nieuregulowanych w Umowie powierzenia stosuje się Regulamin, a następnie RODO i przepisy prawa polskiego. Pojęcia pisane wielką literą, niezdefiniowane w Umowie powierzenia, mają znaczenie nadane im w Regulaminie.
Komunikacja Stron w sprawach Umowy powierzenia (polecenia, zgłoszenia naruszeń, żądania informacji i audytu, sprzeciwy wobec podprocesorów) odbywa się pocztą elektroniczną: ze strony Administratora – z adresu e-mail przypisanego do Konta, ze strony Podmiotu przetwarzającego – z adresu pomoc@kukisy.pl, oraz przez funkcje Panelu.

2. Definicje

Użyte w Umowie powierzenia pojęcia mają następujące znaczenie:

RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE;
Dane – dane osobowe w rozumieniu art. 4 pkt 1 RODO, przetwarzane przez Podmiot przetwarzający w imieniu Administratora na podstawie Umowy powierzenia, opisane w sekcji „Rodzaj danych osobowych i kategorie osób”;
Administrator – Klient w rozumieniu Regulaminu, który ustala cele i sposoby przetwarzania Danych odwiedzających jego Witryny (art. 4 pkt 7 RODO), albo – gdy Klient działa jako podmiot przetwarzający – jego Klient końcowy. W tym drugim przypadku prawa i obowiązki Administratora wobec Podmiotu przetwarzającego wynikające z Umowy powierzenia (w szczególności wydawanie poleceń, odbiór zawiadomień i informacji, sprzeciw wobec Podprocesora, audyt) wykonuje Klient na zasadach sekcji „Obowiązki Administratora” pkt 4, a postanowienia dotyczące Konta, opłat i wypowiedzenia Umowy stosuje się do Klienta;
Klient końcowy – podmiot trzeci (w szczególności właściciel Witryny), na rzecz którego Klient – np. jako agencja – obsługuje Witrynę w Serwisie, będący administratorem danych odwiedzających tę Witrynę, w imieniu którego Klient przetwarza te dane jako podmiot przetwarzający;
Podmiot przetwarzający – Piotr Zagórski Skybit.pl, Usługodawca w rozumieniu Regulaminu, przetwarzający Dane w imieniu Administratora (art. 4 pkt 8 RODO), a gdy Klient działa jako podmiot przetwarzający Klienta końcowego – jako dalszy podmiot przetwarzający (art. 28 ust. 2 i 4 RODO);
Witryna – strona internetowa lub sklep internetowy pod domeną wskazaną przez Administratora w Panelu, w której Administrator osadził Skrypt lub dla której korzysta z Usług;
Zakończenie obsługi Witryny – usunięcie Witryny z Panelu przez Klienta albo ustanie świadczenia Usług dla Witryny wskutek zmiany Planu (w szczególności gdy Witryna przekracza limit Witryn Planu, na który Klient przeszedł) albo wskutek wypowiedzenia, rozwiązania lub wygaśnięcia Umowy – na zasadach Regulaminu. Rejestr zgód danej Witryny jest przechowywany przez cały czas jej obsługi w ramach Umowy; od Zakończenia obsługi Witryny Administrator może dokonać eksportu jej Rejestru zgód przez 30 dni, po czym wpisy są usuwane. Zakończenie Umowy stanowi Zakończenie obsługi wszystkich Witryn;
Rejestr zgód – prowadzony w Serwisie zbiór zapisów decyzji odwiedzających Witryny Administratora dotyczących plików cookie i podobnych technologii (akceptacja, odmowa, własny wybór, wycofanie zgody), stanowiący dowód wyrażenia lub niewyrażenia zgody w rozumieniu art. 7 ust. 1 RODO;
Podprocesor (dalszy podmiot przetwarzający) – podmiot, któremu Podmiot przetwarzający podpowierza przetwarzanie Danych w całości lub części na warunkach określonych w sekcji „Dalsze powierzenie przetwarzania”;
Naruszenie ochrony danych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych (art. 4 pkt 12 RODO);
Regulamin, Serwis, Panel, Skrypt, Konto, Usługi, Umowa, Dzień roboczy – w znaczeniu nadanym w Regulaminie.

3. Przedmiot, czas trwania, charakter i cel przetwarzania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w zakresie i celu niezbędnym do świadczenia Usług określonych w Regulaminie, a Podmiot przetwarzający zobowiązuje się przetwarzać Dane zgodnie z Umową powierzenia, Regulaminem i RODO.
Przedmiotem przetwarzania jest obsługa Witryn Administratora w zakresie zgód na pliki cookie i podobne technologie, w szczególności:
- wyświetlanie banera zgód w Witrynach za pomocą Skryptu, blokowanie do czasu uzyskania zgody skryptów wskazanych w Regulaminie (sekcja „Zakres Usług”) oraz przekazywanie sygnałów zgody (w tym Google Consent Mode v2) do narzędzi osadzonych w Witrynie przez Administratora;
- prowadzenie Rejestru zgód: zapisywanie, przechowywanie i udostępnianie Administratorowi w Panelu decyzji odwiedzających wraz z ich eksportem (CSV) oraz zestawieniami statystycznymi;
- skanowanie Witryn w celu wykrycia plików cookie i podobnych technologii – w toku skanowania Podmiot przetwarzający nie zbiera danych odwiedzających, a jedynie dane techniczne Witryny;
- generowanie i publikowanie dokumentów (polityka prywatności, polityka cookies, regulamin) na podstawie danych wprowadzonych przez Administratora – dokumenty te nie zawierają Danych odwiedzających.
Charakter przetwarzania: przetwarzanie ma charakter ciągły i zautomatyzowany, w systemach teleinformatycznych Podmiotu przetwarzającego, i obejmuje operacje zbierania, utrwalania, organizowania, przechowywania, przeglądania (przez Administratora w Panelu), udostępniania Administratorowi (eksport CSV pobierany przez Administratora w Panelu po zalogowaniu), ograniczania, usuwania i niszczenia Danych. Podmiot przetwarzający nie podejmuje wobec osób, których Dane dotyczą, zautomatyzowanych decyzji ani nie prowadzi profilowania.
Celem przetwarzania jest umożliwienie Administratorowi wykonania obowiązków wynikających z art. 7 ust. 1 RODO (wykazanie wyrażenia zgody), art. 399 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej oraz art. 5 ust. 2 RODO (rozliczalność) w odniesieniu do plików cookie i podobnych technologii stosowanych w Witrynach, a także honorowanie decyzji odwiedzających przy kolejnych odsłonach Witryny.
Czas trwania przetwarzania odpowiada czasowi trwania Umowy (w tym Umowy w zakresie bezpłatnego Planu Start), przedłużonemu o 30 dni po jej zakończeniu, w których Dane pozostają dostępne do eksportu, a następnie są usuwane zgodnie z sekcją „Czas trwania i zakończenie Umowy powierzenia”. Rejestr zgód każdej Witryny jest przechowywany przez cały czas jej obsługi w ramach Umowy, bez limitu liczby wpisów. Od Zakończenia obsługi Witryny (w szczególności usunięcia jej z Panelu albo ustania jej obsługi wskutek zmiany Planu) Administrator może dokonać eksportu Rejestru zgód tej Witryny przez 30 dni, po czym wpisy są usuwane; zakończenie Umowy stanowi Zakończenie obsługi wszystkich Witryn. Administrator może polecić wcześniejsze usunięcie Danych – usuwając poszczególne zapisy Rejestru zgód w Panelu albo żądając niezwłocznego usunięcia Rejestru zgód Witryny przed upływem terminu na eksport.

4. Rodzaj danych osobowych i kategorie osób

Kategorie osób, których Dane dotyczą: osoby odwiedzające Witryny Administratora, które zetknęły się z banerem zgód (użytkownicy końcowi Witryn).
Rodzaj Danych zapisywanych w Rejestrze zgód:
- losowy identyfikator zgody nadawany przez Skrypt i przechowywany w pliku cookie zgody w przeglądarce odwiedzającego (nie jest powiązany z danymi konta ani innymi identyfikatorami Administratora);
- data i godzina decyzji oraz jej treść: rodzaj działania (akceptacja wszystkich, odrzucenie wszystkich, własny wybór, wycofanie) i zakres zaakceptowanych kategorii;
- wersja konfiguracji zgód i wersja banera obowiązująca w chwili decyzji oraz język banera;
- adres podstrony Witryny (ścieżka bez parametrów zapytania), na której wyrażono decyzję;
- ciąg identyfikujący przeglądarkę (user agent);
- pseudonimizowany skrót adresu IP – wartość funkcji SHA-256 obliczona z adresu IP i soli zmienianej codziennie; sam adres IP nie jest zapisywany, a po zmianie soli skrót nie może zostać ponownie powiązany z adresem IP przez Podmiot przetwarzający.
Dane nie obejmują szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Administrator nie jest uprawniony do przekazywania takich danych do Serwisu, w szczególności przez wprowadzanie ich do treści banera lub adresów podstron.
Powierzeniem nie są objęte dane osobowe Administratora i osób działających w jego imieniu (dane Konta, dane rozliczeniowe, dane kontaktowe, logi Panelu, zapisy dotyczące doręczenia Regulaminu) – w tym zakresie Podmiot przetwarzający jest samodzielnym administratorem, a zasady przetwarzania określa Polityce prywatności. Powierzeniem nie są również objęte dane kont użytkowników Panelu, którym Administrator udzielił dostępu do swojego Konta: Administrator przetwarza je we własnym zakresie jako administrator tych danych.
Podmiot przetwarzający może przetwarzać zanonimizowane, zagregowane dane statystyczne o działaniu Skryptu (łączna liczba Odsłon, odsetek akceptacji poszczególnych kategorii), które nie pozwalają na identyfikację osób, w celu rozliczenia Usług i ich doskonalenia; dane takie nie stanowią Danych w rozumieniu Umowy powierzenia.

5. Obowiązki Podmiotu przetwarzającego

Stosownie do art. 28 ust. 3 RODO Podmiot przetwarzający zobowiązuje się, że:

Udokumentowane polecenia (art. 28 ust. 3 lit. a). Przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do przekazywania Danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego – w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny. Za udokumentowane polecenia Administratora uważa się: Regulamin i Umowę powierzenia, konfigurację Witryn i banera dokonaną przez Administratora w Panelu (w tym dodanie i usunięcie Witryny, wybór kategorii, usunięcie zapisów Rejestru zgód, zlecenie eksportu) oraz polecenia przesłane pocztą elektroniczną z adresu przypisanego do Konta.
Poufność (art. 28 ust. 3 lit. b). Zapewnia, by osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, oraz by dostęp do Danych miały wyłącznie osoby, którym jest on niezbędny do świadczenia Usług, w zakresie nadanych upoważnień. Osoby działające z upoważnienia Podmiotu przetwarzającego przetwarzają Dane wyłącznie na polecenie Administratora (art. 29 i art. 32 ust. 4 RODO).
Bezpieczeństwo przetwarzania (art. 28 ust. 3 lit. c w zw. z art. 32). Uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne, w szczególności:
- szyfrowanie transmisji Danych między przeglądarką odwiedzającego, Witryną, Serwisem i Panelem protokołem TLS (HTTPS);
- pseudonimizację adresu IP odwiedzającego w chwili zapisu (skrót SHA-256 z solą dzienną) oraz niezapisywanie samego adresu IP;
- kontrolę dostępu: uwierzytelnianie użytkowników Panelu hasłem, dostęp do Danych wyłącznie z poziomu Konta Administratora oraz rozdzielenie Danych poszczególnych Administratorów na poziomie aplikacji;
- regularne kopie zapasowe bazy danych, przechowywane w sposób zabezpieczony przed nieuprawnionym dostępem, umożliwiające przywrócenie dostępności Danych po incydencie;
- aktualizowanie oprogramowania serwera i aplikacji, rejestrowanie zdarzeń bezpieczeństwa oraz ograniczenie dostępu administracyjnego do infrastruktury do osób upoważnionych;
- regularne testowanie, mierzenie i ocenianie skuteczności stosowanych środków.
Podprocesorzy (art. 28 ust. 3 lit. d). Przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, określonych w sekcji „Dalsze powierzenie przetwarzania”.
Prawa osób, których Dane dotyczą (art. 28 ust. 3 lit. e). Biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi – poprzez odpowiednie środki techniczne i organizacyjne – wywiązać się z obowiązku odpowiadania na żądania osoby, której Dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO. W tym celu Podmiot przetwarzający udostępnia w Panelu wyszukiwanie zapisów Rejestru zgód po identyfikatorze zgody, ich eksport oraz usuwanie, a w razie otrzymania żądania bezpośrednio od osoby, której Dane dotyczą – przekazuje je Administratorowi (a w układzie, o którym mowa w sekcji „Obowiązki Administratora” pkt 4 – Klientowi) bez zbędnej zwłoki, nie później niż w ciągu 3 Dni roboczych, i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni. Z uwagi na pseudonimizację Danych identyfikacja osoby jest możliwa wyłącznie na podstawie identyfikatora zgody z pliku cookie w jej przeglądarce.
Pomoc w zakresie art. 32–36 RODO (art. 28 ust. 3 lit. f). Uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych organowi nadzorczemu i zawiadamiania osób, których Dane dotyczą, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym – w szczególności udzielając informacji o stosowanych środkach bezpieczeństwa i o okolicznościach naruszenia. Pomoc, o której mowa w pkt 5 i 6, udzielana za pomocą funkcji Panelu oraz w formie informacji przekazywanych pocztą elektroniczną jest nieodpłatna; Podmiot przetwarzający udziela jej bez zbędnej zwłoki, nie później niż w terminie 7 dni od otrzymania prośby Administratora, chyba że Strony uzgodnią inny termin.
Usunięcie lub zwrot Danych (art. 28 ust. 3 lit. g). Po zakończeniu świadczenia Usług, zależnie od decyzji Administratora, zwraca mu Dane (udostępniając eksport Rejestru zgód w Panelu w formacie CSV przez 30 dni od Zakończenia obsługi Witryny, w tym od zakończenia Umowy) i usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje przechowywanie Danych. Szczegóły określa sekcja „Czas trwania i zakończenie Umowy powierzenia”.
Wykazanie zgodności i audyt (art. 28 ust. 3 lit. h). Udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO (w szczególności opis stosowanych środków technicznych i organizacyjnych, aktualny wykaz Podprocesorów i dokumentację Naruszeń ochrony danych dotyczących Danych) – w terminie 14 dni od otrzymania żądania – oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Audyt odbywa się na pisemne (w tym e-mailowe) żądanie Administratora, co do zasady nie częściej niż raz na 12 miesięcy, po uprzedzeniu z wyprzedzeniem co najmniej 14 dni, w Dni robocze w godzinach pracy Podmiotu przetwarzającego, w sposób nienaruszający poufności danych innych Klientów i bezpieczeństwa Serwisu, na koszt Administratora. Administrator może przeprowadzić audyt dodatkowy, ponad limit określony w zdaniu poprzednim, gdy jest on uzasadniony, w szczególności: (i) po Naruszeniu ochrony danych dotyczącym Danych przetwarzanych w imieniu Administratora, (ii) na żądanie organu nadzorczego albo (iii) gdy poprzedni audyt wykazał istotne nieprawidłowości – w takich przypadkach wyprzedzenie wynosi co najmniej 5 Dni roboczych. Strony uzgadniają termin audytu w dobrej wierze; uzgadnianie terminu nie ogranicza prawa Administratora do przeprowadzenia audytu ani nie może prowadzić do jego nieuzasadnionego opóźnienia – w braku uzgodnienia audyt odbywa się w terminie wskazanym przez Administratora, z zachowaniem wymaganego wyprzedzenia. Podmiot przetwarzający może zaproponować zastąpienie inspekcji pisemnym raportem lub odpowiedziami na pytania audytowe; Administrator może zażądać inspekcji, jeżeli raport nie wyjaśnia wątpliwości. Audytor niebędący pracownikiem Administratora jest zobowiązany do zachowania poufności i nie może być konkurentem Podmiotu przetwarzającego.
Informowanie o poleceniu sprzecznym z prawem (art. 28 ust. 3 akapit drugi). Niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii lub państwa członkowskiego o ochronie danych; do czasu wyjaśnienia Podmiot przetwarzający może wstrzymać wykonanie takiego polecenia.
Ponadto Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO), współpracuje z organem nadzorczym w ramach wykonywania przez niego zadań oraz nie wykorzystuje Danych do własnych celów, w szczególności marketingowych, ani nie udostępnia ich osobom trzecim poza Podprocesorami i przypadkami wymaganymi przepisami prawa. Podmiot przetwarzający przyjmuje do wiadomości, że jeżeli z naruszeniem RODO sam określi cele i sposoby przetwarzania Danych, zostanie uznany za administratora w odniesieniu do tego przetwarzania (art. 28 ust. 10 RODO).

6. Zgłaszanie naruszeń ochrony danych

Podmiot przetwarzający zawiadamia Administratora o każdym Naruszeniu ochrony danych dotyczącym Danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, pocztą elektroniczną na adres e-mail przypisany do Konta (art. 33 ust. 2 RODO).
Zawiadomienie zawiera co najmniej informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie dostępnym Podmiotowi przetwarzającemu:
- opis charakteru naruszenia, w tym – w miarę możliwości – kategorie i przybliżoną liczbę osób, których Dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów Rejestru zgód, których dotyczy naruszenie, a także Witryny, których dotyczy;
- imię i nazwisko oraz dane kontaktowe osoby, od której można uzyskać więcej informacji;
- opis możliwych konsekwencji naruszenia;
- opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym środków minimalizujących jego ewentualne negatywne skutki.
Jeżeli – i w zakresie, w jakim – informacji nie da się udzielić w tym samym czasie, Podmiot przetwarzający udziela ich sukcesywnie, bez zbędnej zwłoki, w miarę ich ustalania. Podmiot przetwarzający dokumentuje naruszenia, ich okoliczności, skutki i podjęte działania zaradcze oraz udostępnia tę dokumentację Administratorowi na żądanie.
Decyzję o zgłoszeniu naruszenia organowi nadzorczemu (art. 33 RODO) oraz o zawiadomieniu osób, których Dane dotyczą (art. 34 RODO), podejmuje Administrator. Podmiot przetwarzający nie informuje osób trzecich ani organów o naruszeniu dotyczącym Danych bez uzgodnienia z Administratorem, chyba że obowiązek taki wynika z przepisów prawa; w takim przypadku informuje Administratora o dokonanym zgłoszeniu.
Podmiot przetwarzający podejmuje niezwłocznie wszelkie rozsądne działania w celu ograniczenia skutków naruszenia i zapobieżenia podobnym naruszeniom w przyszłości oraz współpracuje z Administratorem w wyjaśnieniu okoliczności naruszenia.

7. Dalsze powierzenie przetwarzania (Podprocesorzy)

Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług Podprocesorów w rozumieniu art. 28 ust. 2 RODO, na warunkach określonych w niniejszej sekcji.

W dniu wejścia w życie Umowy powierzenia Podmiot przetwarzający korzysta z następujących Podprocesorów:

Wykaz dalszych podmiotów przetwarzających
Podprocesor	Zakres podpowierzenia	Lokalizacja przetwarzania
seohost.pl (hosting serwera aplikacji) (SEOHOST Sp. z o.o., ul. Obornicka 330, 60-689 Poznań, NIP 9721323212) – polityka prywatności dostawcy	hosting serwera aplikacji i bazy danych Serwisu (przechowywanie Rejestru zgód, kopie zapasowe)	Polska (EOG)
dostawca poczty elektronicznej – seohost.pl (ten sam podmiot co dostawca hostingu)	wysyłka powiadomień systemowych do Administratora (nie obejmuje Danych odwiedzających; dotyczy adresu e-mail Konta)	Polska (EOG)

Podmiot przetwarzający informuje Administratora o każdej zamierzonej zmianie dotyczącej dodania lub zastąpienia Podprocesora pocztą elektroniczną na adres przypisany do Konta oraz przez komunikat w Panelu, co najmniej 14 dni przed powierzeniem Danych nowemu Podprocesorowi, wskazując jego nazwę, siedzibę, zakres podpowierzenia i lokalizację przetwarzania. Administrator może w tym terminie wnieść sprzeciw z uzasadnieniem dotyczącym ochrony danych. W razie sprzeciwu Strony podejmą próbę uzgodnienia rozwiązania; jeżeli nie będzie to możliwe, każda ze Stron może wypowiedzieć Umowę (a wraz z nią Umowę powierzenia) ze skutkiem na dzień planowanej zmiany, a Administratorowi przysługuje proporcjonalny zwrot opłaty za niewykorzystany Okres rozliczeniowy. Brak sprzeciwu w terminie oznacza akceptację nowego Podprocesora.
Podmiot przetwarzający nakłada na każdego Podprocesora – na mocy umowy lub innego aktu prawnego – te same obowiązki ochrony danych, jakie zostały na niego nałożone w Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 4 RODO). Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego Podprocesora spoczywa na Podmiocie przetwarzającym.
Podmiot przetwarzający korzysta wyłącznie z Podprocesorów przetwarzających Dane na terytorium Europejskiego Obszaru Gospodarczego; infrastruktura, na której przechowywany jest Rejestr zgód, znajduje się w Polsce. Aktualny wykaz Podprocesorów jest dostępny w Umowie powierzenia oraz w Polityce prywatności.
Dostawcy narzędzi osadzonych w Witrynach przez Administratora (np. narzędzia analityczne i marketingowe), do których Skrypt przekazuje wyłącznie sygnały zgody, nie są Podprocesorami Podmiotu przetwarzającego – Administrator powierza im dane we własnym zakresie.

9. Obowiązki Administratora

Klient oświadcza, że jest administratorem Danych albo – w układzie, o którym mowa w pkt 4 – działa jako podmiot przetwarzający na rzecz Klienta końcowego, a Administrator oświadcza, że Dane są zbierane i przetwarzane zgodnie z prawem, w szczególności że posiada podstawę prawną przetwarzania danych odwiedzających Witryny i stosowania plików cookie oraz że wykonuje wobec tych osób obowiązek informacyjny (art. 13 RODO), w tym przez treść banera oraz politykę prywatności i politykę cookies opublikowane w Witrynie.
Administrator odpowiada za treść komunikatów banera zgód (w tym własnych tekstów i tłumaczeń), za prawidłowe przypisanie skryptów i plików cookie do kategorii, za konfigurację kategorii wymagających zgody oraz za sposób, w jaki narzędzia osadzone w Witrynie reagują na sygnały zgody. Konfiguracja dokonana w Panelu stanowi polecenie Administratora w rozumieniu art. 28 ust. 3 lit. a RODO.
Administrator oświadcza, że jest właścicielem każdej Witryny dodanej do Panelu albo posiada upoważnienie jej właściciela do osadzenia Skryptu, skanowania Witryny i prowadzenia dla niej Rejestru zgód. Jeżeli Klient obsługuje w Serwisie Witryny swoich Klientów końcowych, stosuje się pkt 4.
Klient działający jako podmiot przetwarzający (np. agencja). Jeżeli Klient obsługuje w Serwisie Witrynę Klienta końcowego, który jest administratorem danych odwiedzających tę Witrynę, a Klient przetwarza te dane w jego imieniu, Podmiot przetwarzający działa w odniesieniu do Danych tej Witryny jako dalszy podmiot przetwarzający (art. 28 ust. 2 i 4 RODO). W takim przypadku:
- Klient oświadcza, że posiada uprzednią szczegółową lub ogólną pisemną (w tym elektroniczną) zgodę Klienta końcowego jako administratora na dalsze powierzenie przetwarzania Danych Podmiotowi przetwarzającemu (art. 28 ust. 2 RODO), i na żądanie Podmiotu przetwarzającego przedstawia jej potwierdzenie;
- Klient przekazuje Klientowi końcowemu warunki niniejszej Umowy powierzenia (w tym wykaz Podprocesorów i informacje o jego zmianach) oraz zapewnia, że umowa powierzenia zawarta z Klientem końcowym nie nakłada na Podmiot przetwarzający obowiązków ochrony danych innych niż przewidziane w niniejszej Umowie powierzenia;
- Klient odpowiada wobec Klienta końcowego za wypełnienie obowiązków ochrony danych przez Podmiot przetwarzający jak za własne działania, w zakresie wynikającym z art. 28 ust. 4 RODO;
- polecenia Klienta końcowego jako administratora Podmiot przetwarzający przyjmuje wyłącznie za pośrednictwem Klienta (konfiguracja w Panelu, wiadomość z adresu e-mail przypisanego do Konta); Klient przekazuje je bez zbędnej zwłoki i odpowiada za ich zgodność z poleceniami Klienta końcowego;
- żądania osób, których Dane dotyczą, oraz wnioski Klienta końcowego skierowane bezpośrednio do Podmiotu przetwarzającego są przekazywane Klientowi w trybie sekcji „Obowiązki Podmiotu przetwarzającego” pkt 5, a zawiadomienia o Naruszeniach ochrony danych, informacje o zmianie Podprocesorów i inne informacje przewidziane w Umowie powierzenia Podmiot przetwarzający kieruje do Klienta, który niezwłocznie przekazuje je Klientowi końcowemu.
Administrator wydaje Podmiotowi przetwarzającemu wyłącznie polecenia zgodne z prawem i nie wprowadza do Serwisu danych, których przetwarzanie nie jest objęte Umową powierzenia (w szczególności szczególnych kategorii danych). Administrator jest zobowiązany do zabezpieczenia danych dostępowych do Konta, za pomocą których uzyskuje dostęp do Danych, oraz do nadzoru nad osobami, którym udzielił dostępu do Konta.
Administrator odpowiada za wyznaczenie w Panelu aktualnego adresu e-mail do kontaktu w sprawach ochrony danych (adres Konta) oraz za terminowe reagowanie na informacje przekazywane przez Podmiot przetwarzający, w szczególności o zmianie Podprocesora i o Naruszeniach ochrony danych.
Administrator we własnym zakresie prowadzi rejestr czynności przetwarzania (art. 30 ust. 1 RODO), dokonuje oceny skutków dla ochrony danych, jeżeli jest wymagana (art. 35 RODO), oraz realizuje prawa osób, których Dane dotyczą, korzystając z funkcji Panelu i pomocy Podmiotu przetwarzającego.

10. Odpowiedzialność

Odpowiedzialność Stron wobec osób, których Dane dotyczą, określa art. 82 RODO. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew tym poleceniom (art. 82 ust. 2 RODO). Strona, która zapłaciła odszkodowanie za całą szkodę, ma prawo żądać od drugiej Strony zwrotu części odszkodowania odpowiadającej części szkody, za którą druga Strona ponosi odpowiedzialność (art. 82 ust. 5 RODO).
W stosunkach między Stronami łączna odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu Umowy powierzenia, bez względu na podstawę prawną, jest ograniczona na zasadach określonych w Regulaminie, tj. do kwoty odpowiadającej sumie opłat netto zapłaconych przez Administratora za Usługi w okresie 12 miesięcy bezpośrednio poprzedzających zdarzenie wywołujące szkodę, a w przypadku Administratora korzystającego wyłącznie z Planu Start – do szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa, do kwoty 500 zł. Ograniczenie nie obejmuje szkód wyrządzonych umyślnie.
Ograniczenie, o którym mowa w pkt 2, nie dotyczy odpowiedzialności wobec osób, których Dane dotyczą, ani odpowiedzialności wobec organu nadzorczego – w tym zakresie zastosowanie mają wyłącznie przepisy RODO. Nie ogranicza ono również roszczeń regresowych z art. 82 ust. 5 RODO w zakresie, w jakim ich ograniczenie byłoby sprzeczne z RODO.
Administrator ponosi odpowiedzialność za szkody wynikłe z przetwarzania Danych niezgodnie z prawem przed ich powierzeniem, z wydania polecenia sprzecznego z prawem, z nieprawidłowej konfiguracji banera lub kategorii, z braku upoważnienia do Witryny oraz z udostępnienia danych dostępowych do Konta osobom nieuprawnionym, i zwolni Podmiot przetwarzający z roszczeń osób trzecich wynikłych z tych przyczyn, w tym pokryje uzasadnione koszty obrony.
Każda ze Stron niezwłocznie informuje drugą Stronę o postępowaniu prowadzonym przez organ nadzorczy lub o roszczeniu osoby, której Dane dotyczą, związanym z przetwarzaniem objętym Umową powierzenia, oraz współpracuje z drugą Stroną w celu wyjaśnienia sprawy.

11. Czas trwania i zakończenie Umowy powierzenia

Umowa powierzenia zostaje zawarta na czas trwania Umowy i wygasa z chwilą rozwiązania lub wygaśnięcia Umowy (w szczególności wskutek usunięcia Konta przez Administratora, wypowiedzenia Umowy przez którąkolwiek ze Stron albo usunięcia Konta nieaktywnego na zasadach Regulaminu), z zastrzeżeniem pkt 2–4. Zakończenie obsługi pojedynczej Witryny (w szczególności jej usunięcie z Panelu albo ustanie jej obsługi wskutek zmiany Planu) nie kończy Umowy powierzenia; do Danych tej Witryny stosuje się odpowiednio pkt 2–4.
Z chwilą Zakończenia obsługi Witryny – w tym z chwilą zakończenia Umowy, które stanowi Zakończenie obsługi wszystkich Witryn – Skrypt przestaje zapisywać nowe decyzje w Rejestrze zgód tej Witryny, a Rejestr zgód pozostaje dostępny Administratorowi do eksportu (CSV) przez 30 dni. W tym okresie Podmiot przetwarzający przetwarza Dane wyłącznie w zakresie ich przechowywania i udostępnienia Administratorowi. Eksport następuje wyłącznie przez pobranie pliku CSV w Panelu po zalogowaniu do Konta; Podmiot przetwarzający nie przesyła Danych pocztą elektroniczną ani w załącznikach – poczta elektroniczna służy wyłącznie do powiadomień i nie obejmuje Danych odwiedzających (sekcja „Dalsze powierzenie przetwarzania” pkt 2). Administrator jest zobowiązany pobrać Dane w tym terminie, jeżeli są mu potrzebne do wykazania zgodności.
Po upływie 30 dni od Zakończenia obsługi Witryny (w tym od zakończenia Umowy) Podmiot przetwarzający trwale usuwa Dane tej Witryny wraz z ich kopiami, w tym z kopii zapasowych w cyklu ich rotacji (nie dłużej niż w ciągu kolejnych 30 dni), chyba że prawo Unii lub prawo państwa członkowskiego nakazuje dalsze przechowywanie Danych – wówczas Podmiot przetwarzający ogranicza przetwarzanie do przechowywania przez wymagany okres i informuje o tym Administratora. Dane usunięte na polecenie Administratora w czasie trwania Umowy (usunięcie zapisów Rejestru zgód albo żądanie niezwłocznego usunięcia Rejestru zgód Witryny przed upływem terminu na eksport) są usuwane niezwłocznie, a z kopii zapasowych – w cyklu ich rotacji.
Na żądanie Administratora złożone w ciągu 3 miesięcy od Zakończenia obsługi Witryny lub zakończenia Umowy Podmiot przetwarzający przekazuje pocztą elektroniczną potwierdzenie usunięcia Danych.
Postanowienia Umowy powierzenia dotyczące poufności, odpowiedzialności, wykazania zgodności oraz usunięcia Danych pozostają w mocy po jej wygaśnięciu w zakresie niezbędnym do ich wykonania.

12. Postanowienia końcowe

Podmiot przetwarzający może zmienić Umowę powierzenia w trybie i z przyczyn przewidzianych w Regulaminie dla zmiany Regulaminu, w szczególności w razie zmiany przepisów o ochronie danych lub ich wykładni, zmiany Podprocesorów, zakresu Usług lub stosowanych środków bezpieczeństwa. O zmianie Podmiot przetwarzający informuje Administratora pocztą elektroniczną na adres Konta oraz przez komunikat w Panelu co najmniej 14 dni przed dniem jej wejścia w życie, udostępniając ujednolicony tekst. Administrator, który nie akceptuje zmiany, może wypowiedzieć Umowę ze skutkiem na dzień wejścia zmiany w życie na zasadach Regulaminu. Zmiany, które nie ograniczają ochrony Danych ani praw Administratora (np. doprecyzowania, aktualizacja danych kontaktowych), mogą wejść w życie bez zachowania tego terminu.
Umowa powierzenia podlega prawu polskiemu oraz RODO. W sprawach nieuregulowanych stosuje się Regulamin, RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeks cywilny. Spory wynikające z Umowy powierzenia Strony będą rozstrzygać na zasadach określonych w Regulaminie.
Jeżeli którekolwiek z postanowień Umowy powierzenia okaże się nieważne lub bezskuteczne, w szczególności jako mniej korzystne dla osób, których Dane dotyczą, niż wymaga tego RODO, w jego miejsce stosuje się bezpośrednio właściwe przepisy RODO, a pozostałe postanowienia pozostają w mocy.
Umowa powierzenia jest udostępniana nieodpłatnie w Serwisie wraz z Regulaminem w formie umożliwiającej jej pobranie, utrwalenie i wydrukowanie (HTML i TXT). Na żądanie Administratora Podmiot przetwarzający prześle Umowę powierzenia pocztą elektroniczną – żądanie należy kierować na adres pomoc@kukisy.pl. Strony mogą ponadto podpisać Umowę powierzenia w formie pisemnej lub elektronicznej (kwalifikowany podpis elektroniczny) o tej samej treści, jeżeli wymagają tego procedury wewnętrzne Administratora; nie wpływa to na fakt jej wcześniejszego zawarcia wraz z Umową (z chwilą Aktywacji Konta).
Niniejsza Umowa powierzenia obowiązuje od dnia wskazanego w nagłówku dokumentu i ma zastosowanie do wszystkich Umów zawartych przed tym dniem oraz po nim; do Umów zawartych wcześniej stosuje się ją na zasadach przewidzianych dla zmiany Regulaminu.