Umowa powierzenia przetwarzania danych (DPA) — Solamo
Wersja robocza. Pola oznaczone [do uzupełnienia: …] zostaną wypełnione danymi
stron; dokument przed finalną publikacją podlega przeglądowi prawnemu. Reguluje relację, w której
Operator (Administrator) powierza przetwarzanie danych Wykonawcy
(Podmiot przetwarzający) na etapie budowy i utrzymania. Dostawcy infrastruktury (Supabase/Stripe/Resend/Vercel)
= subprocesorzy.
Data zawarcia: [do uzupełnienia: data]
§1. Strony
- Administrator: [do uzupełnienia: nazwa Operatora], NIP [do uzupełnienia: NIP Operatora], [do uzupełnienia: adres Operatora].
- Podmiot przetwarzający: [do uzupełnienia: nazwa Wykonawcy], NIP [do uzupełnienia: NIP Wykonawcy], [do uzupełnienia: adres Wykonawcy].
§2. Przedmiot i czas
- Administrator powierza przetwarzanie danych osobowych użytkowników Serwisu Solamo w zakresie niezbędnym do budowy, wdrożenia i utrzymania technicznego Serwisu.
- Czas: na okres obowiązywania umowy głównej (budowa + hosting [do uzupełnienia: 12 mies.] + ewentualne utrzymanie).
§3. Charakter, cel, zakres, kategorie
- Cel: realizacja usług IT (budowa/utrzymanie Serwisu).
- Kategorie osób: użytkownicy Serwisu, operator.
- Kategorie danych: dane kontaktowe (e-mail), dane konta, dane o aktywności, metadane płatności (bez pełnych danych kartowych — te przetwarza Stripe).
§4. Obowiązki Podmiotu przetwarzającego
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora.
- Zapewnia poufność (osoby upoważnione), środki bezpieczeństwa (art. 32 RODO): RLS, szyfrowanie w tranzycie, kontrola dostępu, minimalizacja.
- Pomaga Administratorowi w realizacji praw osób i obowiązków (art. 32–36 RODO).
- Po zakończeniu — usuwa lub zwraca dane, wedle wyboru Administratora.
- Udostępnia informacje niezbędne do wykazania zgodności; umożliwia audyty.
§5. Subprocesorzy
Administrator wyraża zgodę ogólną na korzystanie z subprocesorów:
| Subprocesor | Rola | Lokalizacja |
|---|---|---|
| Supabase | Baza danych, auth, hosting danych | UE |
| Stripe | Płatności | [do uzupełnienia: UE/USA — SCC] |
| Resend | [do uzupełnienia: USA — SCC] | |
| Vercel | Hosting front-endu / CDN | [do uzupełnienia: USA — SCC] |
Podmiot przetwarzający informuje o zmianach subprocesorów z [do uzupełnienia: X]-dniowym wyprzedzeniem.
§6. Naruszenia
Zgłoszenie naruszenia Administratorowi bez zbędnej zwłoki, nie później niż [do uzupełnienia: 24/48] h od wykrycia.
§7. Postanowienia końcowe
Prawo właściwe: polskie. W zakresie nieuregulowanym — RODO i umowa główna.