Umowa powierzenia przetwarzania danych (DPA) — Caravel Sites

Wersja 1.0. Data wejścia w życie: w trakcie weryfikacji

Niniejsza umowa jest w trakcie przeglądu. Punkty oznaczone w trakcie weryfikacji są jeszcze potwierdzane i mogą ulec zmianie przed wejściem umowy w życie. Pierwszeństwo ma wersja portugalska w trakcie weryfikacji.

Niniejsza umowa jest zgodna z art. 28 ust. 3 rozporządzenia (UE) 2016/679 (ogólne rozporządzenie o ochronie danych, „RODO”) i opiera się na standardowych klauzulach umownych między administratorami a podmiotami przetwarzającymi przyjętych przez Komisję Europejską w decyzji wykonawczej Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. (Dz.U. L 199 z 7.6.2021, s. 18). Ma strukturę umowy DPA dla aplikacji Caravel (https://caravelsuite.com/pl/legal/dpa/, wersja 1.1 z 01/11/2026), dostosowaną do usługi Caravel Sites.

Oficjalne źródła:

• RODO — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
• Decyzja wykonawcza (UE) 2021/915 — CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32021D0915
• Decyzja wykonawcza (UE) 2021/914 (standardowe klauzule umowne dotyczące przekazywania danych do państw trzecich) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32021D0914
• Portugalska ustawa nr 58/2019 z dnia 8 sierpnia (wykonanie RODO): https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• Wytyczne EROD 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO (wersja 2.0, 7 lipca 2021 r.): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_pl

Strony

1. Klient — osoba fizyczna lub prawna subskrybująca usługę Caravel Sites, wskazana na swoim koncie i fakturze („Administrator” lub „Klient”).
2. Jardim Idílico Unipessoal Lda, działająca pod nazwą handlową Caravel Suite, NIP/numer podatkowy PT518764532, z siedzibą pod adresem Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugalia, wpisana do rejestru handlowego pod nr 518764532, kontakt caravel@caravelsuite.com („Podmiot przetwarzający” lub „Caravel”).

Klauzula 1 — Przedmiot i zakres

1. Niniejsza umowa reguluje przetwarzanie danych osobowych, którego Caravel dokonuje w imieniu Klienta w ramach świadczenia usługi Caravel Sites: tworzenia, hostingu i utrzymania strony internetowej Klienta, a w szczególności odbierania, przechowywania i przekazywania Klientowi wiadomości, które odwiedzający wysyłają za pośrednictwem formularzy kontaktowych i formularzy zapytań o rezerwację na stronie, dostępnych w panelu Caravel Sites.
2. Zgodnie z art. 4 pkt 7 i 8 oraz art. 28 RODO Klient jest administratorem tych danych, a Caravel jest podmiotem przetwarzającym.
3. Niniejsza umowa nie obejmuje — podlegają one Polityce prywatności caravelsuite.com (https://caravelsuite.com/pl/legal/privacy/) — danych, które Caravel przetwarza jako administrator w ramach relacji z samym Klientem: konta, fakturowania, płatności za subskrypcję (przetwarzanych przez Stripe), wsparcia i korespondencji.
4. Niniejsza umowa stanowi część warunków sprzedaży Caravel Sites (Warunki korzystania, https://caravelsuite.com/pl/legal/terms/). W razie sprzeczności w sprawach ochrony danych pierwszeństwo ma niniejsza umowa (por. klauzula 4 załącznika do decyzji wykonawczej (UE) 2021/915).
5. Niniejsza umowa jest zawierana w formie elektronicznej, którą art. 28 ust. 9 RODO uznaje za formę pisemną.

Klauzula 2 — Czas obowiązywania

1. Niniejsza umowa wchodzi w życie z chwilą jej zaakceptowania przez Klienta (przy zakupie lub przy rejestracji konta Caravel Sites) i obowiązuje tak długo, jak Caravel przetwarza dane osobowe w imieniu Klienta.
2. Obowiązuje po zakończeniu subskrypcji do czasu zakończenia usunięcia lub zwrotu danych zgodnie z klauzulą 10.

Klauzula 3 — Charakter, cel, kategorie danych i osób, których dane dotyczą

Pełny opis w załączniku I. W skrócie:

• Charakter: zbieranie za pośrednictwem formularzy na stronie, utrwalanie, przechowywanie, przeglądanie przez Klienta w panelu, powiadamianie Klienta pocztą elektroniczną, tworzenie kopii zapasowych, usuwanie.
• Cel: umożliwienie Klientowi odbierania zapytań kontaktowych i odpowiadania na nie oraz zarządzania zapytaniami o rezerwację od osób odwiedzających jego stronę.
• Osoby, których dane dotyczą: osoby odwiedzające stronę Klienta, które wysyłają formularz (potencjalni klienci, goście, goście restauracji).
• Dane: imię i nazwisko, adres e-mail, numer telefonu, data, godzina, liczba osób, treść wiadomości; techniczne dane dotyczące wysłania (data i godzina; w trakcie weryfikacji).
• Szczególne kategorie (art. 9 RODO): usługa ich nie wymaga. Pole wiadomości jest polem tekstu swobodnego i odwiedzający może z własnej inicjatywy wpisać w nim informacje o zdrowiu (np. alergie lub ograniczoną sprawność ruchową). Klient nie może konfigurować pól wymagających podania takich danych bez własnej podstawy prawnej na podstawie art. 9 ust. 2.

Klauzula 4 — Udokumentowane polecenia

1. Caravel przetwarza dane wyłącznie na udokumentowane polecenie Klienta, w tym w odniesieniu do przekazywania danych do państw trzecich, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo portugalskie; w takim przypadku Caravel przed rozpoczęciem przetwarzania informuje o tym Klienta, o ile prawo tego nie zabrania (art. 28 ust. 3 lit. a) RODO; klauzula 7.1 załącznika do decyzji 2021/915).
2. Udokumentowanymi poleceniami są: niniejsza umowa; konfiguracja dokonana przez Klienta w panelu (pola formularzy, adres e-mail do powiadomień, okres przechowywania); oraz żądania, które Klient wysyła pocztą elektroniczną z adresu powiązanego z kontem.
3. Caravel niezwłocznie informuje Klienta, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 akapit ostatni RODO).
4. Caravel nie wykorzystuje danych do własnych celów — w tym do reklamy, profilowania, sprzedaży lub trenowania modeli sztucznej inteligencji — ani nie łączy ich z danymi innych klientów. Gdyby to zrobił, zostałby uznany za administratora w odniesieniu do tego przetwarzania (art. 28 ust. 10 RODO).

Klauzula 5 — Poufność

1. Caravel zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b) RODO).
2. Dostęp jest ograniczony do tego, co jest ściśle niezbędne do świadczenia, utrzymania i wsparcia usługi. w trakcie weryfikacji

Klauzula 6 — Bezpieczeństwo przetwarzania (art. 32 RODO)

1. Caravel wdraża środki techniczne i organizacyjne opisane w załączniku II, odpowiednie do ryzyka, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania (art. 28 ust. 3 lit. c) i art. 32 RODO).
2. Caravel może aktualizować te środki, pod warunkiem że poziom bezpieczeństwa nie zostanie obniżony.
3. Caravel nie powołuje się na certyfikaty (takie jak ISO/IEC 27001), których nie posiada.
4. Klient odpowiada za ochronę swoich danych uwierzytelniających do panelu i do poczty e-mail do powiadomień oraz za niewymaganie w formularzach większej ilości danych, niż potrzebuje (art. 5 ust. 1 lit. c) RODO).

Klauzula 7 — Dalsze podmioty przetwarzające

1. Klient udziela Caravel ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających wymienionych w załączniku III (art. 28 ust. 2 RODO; klauzula 7.7 opcja 2 załącznika do decyzji 2021/915).
2. Caravel powiadamia Klienta pocztą elektroniczną co najmniej 30 dni wcześniej w trakcie weryfikacji o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających i aktualizuje ich wykaz na swojej stronie internetowej.
3. Klient może w tym terminie wnieść pisemny sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych. Jeżeli sprzeciw nie zostanie rozwiązany, Klient może wypowiedzieć subskrypcję przed wejściem zmiany w życie, bez kary, ze zwrotem opłaconej i niewykorzystanej części bieżącego okresu w trakcie weryfikacji.
4. Caravel nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy, obowiązki w zakresie ochrony danych równoważne obowiązkom określonym w niniejszej umowie, w szczególności obowiązek zapewnienia wystarczających gwarancji bezpieczeństwa, i ponosi pełną odpowiedzialność wobec Klienta za wypełnienie przez nie tych obowiązków (art. 28 ust. 4 RODO).
5. W sytuacji nagłego zagrożenia bezpieczeństwa lub nagłego zaprzestania działalności przez dostawcę Caravel może dokonać zastąpienia z krótszym wyprzedzeniem, informując Klienta tak szybko, jak to możliwe, i zachowując prawo do sprzeciwu.

Klauzula 8 — Pomoc dla Klienta

1. Prawa osób, których dane dotyczą (art. 12–22 RODO): uwzględniając charakter przetwarzania, Caravel pomaga Klientowi poprzez odpowiednie środki techniczne i organizacyjne w odpowiadaniu na żądania dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 28 ust. 3 lit. e) RODO; klauzula 8 załącznika do decyzji 2021/915). W panelu Klient może przeglądać, eksportować i usuwać wiadomości w trakcie weryfikacji. Jeżeli Caravel otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, niezwłocznie przekazuje je Klientowi i nie odpowiada na nie, chyba że otrzyma takie polecenie od Klienta.
2. Inne obowiązki: Caravel przekazuje Klientowi informacje racjonalnie niezbędne do wywiązania się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków i uprzednie konsultacje), uwzględniając charakter przetwarzania oraz dostępne informacje (art. 28 ust. 3 lit. f) RODO).
3. Caravel prowadzi rejestr czynności przetwarzania dokonywanych w imieniu swoich klientów (art. 30 ust. 2 RODO).

Klauzula 9 — Naruszenia ochrony danych osobowych

1. Caravel zgłasza Klientowi naruszenie ochrony danych osobowych dotyczące danych Klienta bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2 RODO), a w każdym razie najpóźniej w ciągu 24 godzin, pocztą elektroniczną na adres konta (taki sam termin jak w umowie DPA dla aplikacji Caravel).
2. Zgłoszenie zawiera, w miarę możliwości i ewentualnie etapami: charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz wpisów danych, których dotyczy naruszenie, możliwe konsekwencje, zastosowane lub proponowane środki oraz punkt kontaktowy, od którego można uzyskać więcej informacji (art. 33 ust. 3 RODO; klauzula 9.2 załącznika do decyzji 2021/915).
3. Zgłoszenie naruszenia organowi nadzorczemu (w Portugalii CNPD) w ciągu 72 godzin oraz zawiadomienie osób, których dane dotyczą (art. 33 i 34 RODO), należą do Klienta. Caravel pomaga, przekazując posiadane informacje.
4. Odniesienie: Wytyczne EROD 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych na podstawie RODO (wersja 2.0, 28 marca 2023 r.): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_pl

Klauzula 10 — Przechowywanie, usuwanie i zwrot

1. W trakcie subskrypcji: wiadomości z formularzy są usuwane automatycznie po upływie okresu przechowywania skonfigurowanego przez Klienta w panelu, domyślnie 180 dni w trakcie weryfikacji. Klient może usunąć je wcześniej.
2. Po zakończeniu subskrypcji (rezygnacja lub brak płatności, zgodnie z warunkami sprzedaży: zawieszenie 15 dni po terminie płatności i usunięcie 60 dni później, z uprzednim powiadomieniem) Caravel, według wyboru Klienta, zwraca dane (eksport w powszechnie używanym formacie, takim jak CSV w trakcie weryfikacji) i usuwa pozostałe dane, chyba że prawo Unii lub prawo portugalskie nakazuje ich przechowywanie (art. 28 ust. 3 lit. g) RODO; klauzula 10 lit. d) załącznika do decyzji 2021/915). Jeżeli Klient nie zgłosi żadnego żądania, dane są usuwane po upływie okresu określonego w warunkach sprzedaży.
3. Usunięte dane znikają z zaszyfrowanych kopii zapasowych po zakończeniu cyklu przechowywania kopii zapasowych, do w trakcie weryfikacji tygodni. Do tego czasu kopie zapasowe są wykorzystywane wyłącznie do przywrócenia danych po incydencie.
4. Na żądanie Klienta Caravel potwierdza usunięcie na piśmie.

Klauzula 11 — Wykazanie zgodności i audyty

1. Caravel udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO (art. 28 ust. 3 lit. h) RODO; klauzula 7.6 załącznika do decyzji 2021/915), przede wszystkim na piśmie (odpowiedzi na kwestionariusze i aktualny opis środków z załącznika II).
2. Jeżeli informacje te są niewystarczające lub jeżeli wymaga tego organ nadzorczy, Klient może przeprowadzić audyt, w tym inspekcje, lub zlecić jego przeprowadzenie niezależnemu audytorowi zobowiązanemu do zachowania poufności, nie częściej niż raz w roku i z 30-dniowym uprzednim powiadomieniem, z wyjątkiem przypadku naruszenia ochrony danych lub nakazu organu. Każda ze stron ponosi własne koszty w trakcie weryfikacji.
3. Audyt nie może zapewniać dostępu do danych innych klientów ani zagrażać bezpieczeństwu usługi.

Klauzula 12 — Przekazywanie danych do państw trzecich

1. Dane z formularzy są przechowywane na serwerach w Unii Europejskiej (w trakcie weryfikacji, zob. załącznik III).
2. Caravel nie przekazuje danych poza Europejski Obszar Gospodarczy, chyba że robi to dalszy podmiot przetwarzający wymieniony w załączniku III. W takim przypadku przekazanie następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO — np. w przypadku Stanów Zjednoczonych ramy ochrony danych UE-USA, decyzja wykonawcza (UE) 2023/1795, w odniesieniu do podmiotów certyfikowanych) lub odpowiednich zabezpieczeń, w szczególności standardowych klauzul umownych Komisji przyjętych decyzją wykonawczą (UE) 2021/914 (art. 46 ust. 2 lit. c) RODO).
3. Caravel informuje Klienta, zgodnie z klauzulą 7, przed wprowadzeniem każdego nowego przekazania.

Klauzula 13 — Odpowiedzialność, pierwszeństwo, prawo właściwe i jurysdykcja

1. Każda ze stron ponosi odpowiedzialność na podstawie art. 82 RODO. Między stronami ma zastosowanie ograniczenie odpowiedzialności przewidziane w Warunkach korzystania (kwota zapłacona w ciągu poprzednich 12 miesięcy, z wyjątkiem winy umyślnej lub rażącego niedbalstwa), w zakresie dozwolonym przez prawo i bez uszczerbku dla praw osób, których dane dotyczą w trakcie weryfikacji.
2. W razie sprzeczności między niniejszą umową a innymi warunkami uzgodnionymi między stronami w sprawach ochrony danych pierwszeństwo ma niniejsza umowa.
3. Prawo właściwe: prawo portugalskie, w tym RODO i ustawa nr 58/2019. Jurysdykcja: sądy okręgu Porto, bez uszczerbku dla przepisów bezwzględnie obowiązujących.
4. Caravel może aktualizować niniejszą umowę w celu uwzględnienia zmian prawnych lub zmian usługi, powiadamiając Klienta pocztą elektroniczną z 30-dniowym wyprzedzeniem; zmiany obniżające poziom ochrony danych wymagają zgody Klienta.

Załącznik I — Opis przetwarzania

Załącznik II — Środki techniczne i organizacyjne (art. 32 RODO)

Wymieniono wyłącznie istniejące środki. Pozycje oznaczone w trakcie weryfikacji należy sprawdzić na serwerze Caravel Sites przed publikacją.

1. Szyfrowanie w transmisji: wszystkie strony i panel są udostępniane wyłącznie przez HTTPS (TLS), z certyfikatem dla domeny Klienta; HTTP przekierowuje na HTTPS.
2. Izolacja poszczególnych klientów: dane każdego Klienta są przechowywane oddzielnie od danych innych klientów w trakcie weryfikacji; każde konto panelu widzi wyłącznie wiadomości ze swojej strony.
3. Zaszyfrowane kopie zapasowe: automatyczne kopie zapasowe w trakcie weryfikacji.
4. Konfigurowalny okres przechowywania i automatyczne usuwanie: panel usuwa wiadomości po upływie okresu ustalonego przez Klienta (domyślnie 180 dni).
5. Minimalizacja: formularze wymagają wyłącznie niezbędnych pól; pola są konfigurowalne; strony nie używają plików cookie ani narzędzi śledzących podmiotów trzecich w trakcie weryfikacji.
6. Kontrola dostępu: dostęp administracyjny do serwera wyłącznie za pomocą klucza SSH w trakcie weryfikacji; zapora sieciowa; baza danych niedostępna z Internetu w trakcie weryfikacji; dostęp do panelu za pomocą indywidualnego hasła w trakcie weryfikacji.
7. Ochrona przed nadużyciami formularzy: w trakcie weryfikacji.
8. Logi: logi serwera nie przechowują treści wiadomości w trakcie weryfikacji; okres przechowywania logów w trakcie weryfikacji.
9. Personel: dostęp ograniczony do osób, które go potrzebują; zobowiązanie do zachowania poufności (klauzula 5).
10. Reagowanie na incydenty: procedura analizy, ograniczenia skutków i powiadomienia Klienta w ciągu 24 godzin (klauzula 9).
11. Aktualizacje: system i zależności są regularnie aktualizowane w trakcie weryfikacji.

Załącznik III — Upoważnione dalsze podmioty przetwarzające

Nie są dalszymi podmiotami przetwarzającymi na podstawie niniejszej umowy:

• Stripe — przetwarza płatności Klienta na rzecz Caravel za subskrypcję. Nie otrzymuje żadnych danych dotyczących osób odwiedzających stronę. Podlega Polityce prywatności caravelsuite.com.
• Rejestrator domeny oraz własny dostawca poczty elektronicznej Klienta — zakontraktowani przez Klienta (domena jest zarejestrowana na nazwisko lub nazwę Klienta).