[{"data":1,"prerenderedAt":301},["ShallowReactive",2],{"legal-\u002Fumowa-powierzenia":3},{"id":4,"title":5,"body":6,"description":291,"effectiveDate":292,"extension":293,"meta":294,"navigation":295,"path":296,"reviewNote":297,"seo":298,"stem":299,"version":292,"__hash__":300},"legal\u002Fumowa-powierzenia.md","Umowa powierzenia przetwarzania danych osobowych",{"type":7,"value":8,"toc":277},"minimark",[9,14,33,37,51,55,66,70,74,100,104,107,194,197,201,220,224,235,239,247,251,262,266],[10,11,13],"h2",{"id":12},"_1-strony-i-zawarcie","§ 1. Strony i zawarcie",[15,16,17,21,30],"ol",{},[18,19,20],"li",{},"Umowa jest zawierana między Organizacją jako administratorem („Administrator”) a ADIUS Arkadiusz Zalewski, ul. Lipowa 19, 49-304 Brzeg, jako podmiotem przetwarzającym („Procesor”).",[18,22,23,24,29],{},"Umowa jest Załącznikiem nr 1 do ",[25,26,28],"a",{"href":27},"\u002Fregulamin","Regulaminu"," i zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu. Procesor rejestruje wersję i datę akceptacji.",[18,31,32],{},"Pojęcia niezdefiniowane mają znaczenie nadane w Regulaminie i w rozporządzeniu (UE) 2016\u002F679 („RODO”).",[10,34,36],{"id":35},"_2-przedmiot-charakter-cel-i-czas-przetwarzania","§ 2. Przedmiot, charakter, cel i czas przetwarzania",[15,38,39,42,45,48],{},[18,40,41],{},"Przedmiotem jest przetwarzanie danych osobowych zawartych w Treściach w zakresie niezbędnym do świadczenia Usługi.",[18,43,44],{},"Charakter przetwarzania: przechowywanie, organizowanie, skanowanie antywirusowe, udostępnianie Odbiorcom wskazanym przez Administratora, eksport i usuwanie.",[18,46,47],{},"Cel: świadczenie Usługi zgodnie z Regulaminem. Procesor nie przetwarza danych do własnych celów, w szczególności marketingowych, i nie analizuje treści dokumentów.",[18,49,50],{},"Czas: okres obowiązywania umowy o świadczenie Usługi oraz okres eksportu i usuwania z § 9.",[10,52,54],{"id":53},"_3-kategorie-osób-i-danych","§ 3. Kategorie osób i danych",[15,56,57,60,63],{},[18,58,59],{},"Kategorie osób: klienci, kontrahenci, Odbiorcy, pracownicy i współpracownicy Administratora oraz inne osoby, których dane Administrator umieści w Treściach.",[18,61,62],{},"Kategorie danych: dane identyfikacyjne i kontaktowe Odbiorców (imię i nazwisko, e-mail), dane w treści i nazwach dokumentów — w tym, zależnie od decyzji Administratora, numery identyfikacyjne (np. PESEL, NIP), dane finansowe i podatkowe, a także dane szczególnych kategorii (art. 9 RODO) lub dotyczące wyroków skazujących (art. 10 RODO), komentarze i historia udostępnień.",[18,64,65],{},"Administrator decyduje o zakresie danych w Treściach i odpowiada za podstawę ich przetwarzania oraz obowiązek informacyjny wobec osób.",[10,67,69],{"id":68},"_4-obowiązki-procesora-art-28-ust-3-rodo","§ 4. Obowiązki Procesora (art. 28 ust. 3 RODO)",[71,72,73],"p",{},"Procesor:",[15,75,76,79,82,85,88,91,94,97],{},[18,77,78],{},"przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest umowa, Regulamin i działania Administratora w Usłudze (np. przesłanie pliku, udostępnienie, usunięcie). Jeżeli przepis prawa wymaga innego przetwarzania, Procesor informuje o tym Administratora przed jego rozpoczęciem, chyba że prawo tego zabrania. Procesor niezwłocznie informuje, jeżeli polecenie jego zdaniem narusza RODO (lit. a);",[18,80,81],{},"zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy (lit. b);",[18,83,84],{},"stosuje środki z § 5 (lit. c, art. 32 RODO);",[18,86,87],{},"korzysta z dalszych podmiotów przetwarzających na zasadach § 6 (lit. d);",[18,89,90],{},"pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, w szczególności przez funkcje eksportu, usuwania i zarządzania Odbiorcami w Usłudze; wniosek skierowany bezpośrednio do Procesora przekazuje Administratorowi bez zbędnej zwłoki (lit. e);",[18,92,93],{},"pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje (lit. f);",[18,95,96],{},"po zakończeniu Usługi usuwa lub zwraca dane zgodnie z § 9 (lit. g);",[18,98,99],{},"udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty na zasadach § 8 (lit. h).",[10,101,103],{"id":102},"_5-środki-bezpieczeństwa","§ 5. Środki bezpieczeństwa",[71,105,106],{},"Procesor stosuje w szczególności następujące środki (stan na dzień wersji umowy):",[15,108,109,116,122,128,134,140,146,156,162,168,174,188],{},[18,110,111,115],{},[112,113,114],"strong",{},"Szyfrowanie transmisji",": HTTPS z nagłówkiem HSTS dla aplikacji i API.",[18,117,118,121],{},[112,119,120],{},"Uwierzytelnianie",": hasła przechowywane wyłącznie jako skróty, opcjonalne uwierzytelnianie wieloskładnikowe TOTP z kodami zapasowymi (sekrety przechowywane w postaci zaszyfrowanej), logowanie Google, ograniczanie liczby prób logowania i rejestracji.",[18,123,124,127],{},[112,125,126],{},"Izolacja i kontrola dostępu",": dane każdej Organizacji są logicznie odseparowane i chronione autoryzacją po stronie serwera, objętą testami automatycznymi; role administratora i klienta; możliwość dezaktywacji kont.",[18,129,130,133],{},[112,131,132],{},"Dostęp personelu Procesora",": dostęp wsparcia technicznego do konta Organizacji (impersonacja) wymaga ponownego podania hasła przez superadministratora, jest ograniczony do 15 minut i rejestrowany w rejestrze aktywności.",[18,135,136,139],{},[112,137,138],{},"Bezpieczne udostępnianie",": linki publiczne przechowywane jako skróty tokenów, z obowiązkowym terminem ważności, opcjonalnym hasłem, możliwością unieważnienia i usunięcia po pobraniu.",[18,141,142,145],{},[112,143,144],{},"Ochrona przed złośliwym oprogramowaniem",": każdy przesyłany plik jest skanowany przed zapisaniem; przy niedostępności skanera plik jest odrzucany.",[18,147,148,151,152],{},[112,149,150],{},"Magazyn plików",": prywatny zasobnik obiektowy w regionie UE, dostęp kluczem ograniczonym do jednego zasobnika; pliki pobierane wyłącznie przez autoryzowaną aplikację. ",[153,154,155],"span",{},"Do potwierdzenia: szyfrowanie w spoczynku po stronie Backblaze B2 (SSE-B2) włączone dla zasobnika produkcyjnego.",[18,157,158,161],{},[112,159,160],{},"Szyfrowanie danych wrażliwych w bazie",": hasła SMTP, sekrety MFA, identyfikatory zgód płatniczych i treść powiadomień płatniczych są szyfrowane kluczem aplikacji.",[18,163,164,167],{},[112,165,166],{},"Rozliczalność",": rejestr aktywności (logowania, udostępnienia, pobrania, usunięcia, impersonacja) dostępny dla Administratora.",[18,169,170,173],{},[112,171,172],{},"Usuwanie",": dwufazowe usuwanie dokumentów i pakietów; eksport danych Organizacji do pliku ZIP.",[18,175,176,179,180,187],{},[112,177,178],{},"Ciągłość działania",": kopie zapasowe bazy danych i wersjonowanie zasobnika ",[153,181,182,183],{},"do potwierdzenia: harmonogram i test odtworzenia, ",[184,185,186],"code",{},"docs\u002Fops\u002Fbackup-restore.md","; monitoring dostępności i błędów z usuwaniem danych osobowych z raportów błędów.",[18,189,190,193],{},[112,191,192],{},"Organizacja",": dostęp produkcyjny ograniczony do Usługodawcy; sekrety przechowywane wyłącznie w środowisku serwera; zmiany wdrażane po automatycznych testach.",[71,195,196],{},"Procesor może zmieniać środki, jeżeli nie obniża to ogólnego poziomu bezpieczeństwa.",[10,198,200],{"id":199},"_6-dalsze-podmioty-przetwarzające","§ 6. Dalsze podmioty przetwarzające",[15,202,203,211,214,217],{},[18,204,205,206,210],{},"Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych na stronie ",[25,207,209],{"href":208},"\u002Fpodmioty-przetwarzajace","Podmioty przetwarzające",".",[18,212,213],{},"O zamiarze dodania lub zastąpienia dalszego podmiotu Procesor informuje Administratora e-mailem lub w Usłudze co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw; jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć umowę ze skutkiem na dzień zmiany.",[18,215,216],{},"Procesor nakłada na dalszy podmiot obowiązki ochrony danych co najmniej takie jak w niniejszej umowie i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).",[18,218,219],{},"Przekazanie danych poza EOG następuje wyłącznie przy zachowaniu warunków rozdziału V RODO.",[10,221,223],{"id":222},"_7-naruszenia-ochrony-danych","§ 7. Naruszenia ochrony danych",[15,225,226,229,232],{},[18,227,228],{},"Procesor zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail administratora Organizacji.",[18,230,231],{},"Zgłoszenie zawiera, w miarę dostępności, informacje z art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz dane kontaktowe. Informacje niedostępne od razu Procesor przekazuje sukcesywnie.",[18,233,234],{},"Zgłoszenie do Prezesa UODO i zawiadomienie osób należy do Administratora; Procesor zapewnia niezbędną pomoc.",[10,236,238],{"id":237},"_8-audyt","§ 8. Audyt",[15,240,241,244],{},[18,242,243],{},"Procesor udostępnia na żądanie informacje o środkach bezpieczeństwa i dalszych podmiotach w ciągu 14 dni.",[18,245,246],{},"Jeżeli informacje są niewystarczające, Administrator może przeprowadzić audyt, sam lub przez audytora zobowiązanego do poufności, po zawiadomieniu z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku (z wyjątkiem audytu po naruszeniu lub na żądanie organu), w godzinach pracy i bez dostępu do danych innych klientów. Koszty audytu ponosi Administrator.",[10,248,250],{"id":249},"_9-zakończenie-przetwarzania","§ 9. Zakończenie przetwarzania",[15,252,253,256,259],{},[18,254,255],{},"Po zakończeniu umowy Administrator ma 30 dni na eksport danych w trybie tylko do odczytu (zwrot danych).",[18,257,258],{},"Po tym terminie Procesor usuwa dane z systemów aktywnych, a kopie zapasowe wygasają najpóźniej w ciągu kolejnych 90 dni, chyba że prawo Unii lub państwa członkowskiego nakazuje dalsze przechowywanie.",[18,260,261],{},"Na żądanie Procesor potwierdza usunięcie.",[10,263,265],{"id":264},"_10-odpowiedzialność-i-postanowienia-końcowe","§ 10. Odpowiedzialność i postanowienia końcowe",[15,267,268,271,274],{},[18,269,270],{},"Do odpowiedzialności stron stosuje się art. 82 RODO oraz § 11 Regulaminu w zakresie dopuszczalnym przez prawo.",[18,272,273],{},"Umowa obowiązuje przez czas obowiązywania umowy o świadczenie Usługi i wygasa po wykonaniu § 9.",[18,275,276],{},"Zmiany umowy wprowadza się w trybie zmiany Regulaminu. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.",{"title":278,"searchDepth":279,"depth":279,"links":280},"",2,[281,282,283,284,285,286,287,288,289,290],{"id":12,"depth":279,"text":13},{"id":35,"depth":279,"text":36},{"id":53,"depth":279,"text":54},{"id":68,"depth":279,"text":69},{"id":102,"depth":279,"text":103},{"id":199,"depth":279,"text":200},{"id":222,"depth":279,"text":223},{"id":237,"depth":279,"text":238},{"id":249,"depth":279,"text":250},{"id":264,"depth":279,"text":265},"Załącznik nr 1 do Regulaminu SafeDoc — umowa powierzenia przetwarzania danych osobowych zgodna z art. 28 RODO.","2026-11-02","md",{},true,"\u002Fumowa-powierzenia","Projekt do przeglądu prawnego. Umowa jest Załącznikiem nr 1 do Regulaminu i jest zawierana wraz z jego akceptacją; wymaga końcowego przeglądu prawnego przed rozpoczęciem publicznej sprzedaży.",{"title":5,"description":291},"umowa-powierzenia","YV3pIqBAg7S5rt8qOfXR278xM0Vc_oaL4mNmh575wps",1793706158553]