Umowa powierzenia
danych (DPA)

§ 1 Strony i preambuła

Niniejsza Umowa Powierzenia Przetwarzania Danych (dalej: DPA) zostaje zawarta pomiędzy:

a Administratorem - Użytkownikiem DoSwiftly (Merchantem) wskazanym w panelu Konta - dalej zwanymi łącznie Stronami.

Preambuła. Strony zawarły Umowę o świadczenie usług platformy DoSwiftly (dalej: Umowa Główna), w ramach której Administrator powierza Procesorowi przetwarzanie danych osobowych w celu świadczenia Usługi. Niniejsze DPA spełnia wymogi art. 28 ust. 3 RODO i stanowi integralną część Umowy Głównej. Akceptacja Regulaminu DoSwiftly jest jednoznaczna z zawarciem niniejszego DPA.

§ 2 Definicje

Pojęcia użyte w DPA mają znaczenie nadane im przez RODO, w szczególności:

• Dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 4 pkt 1 RODO).
• Przetwarzanie - operacje wykonywane na Danych osobowych (art. 4 pkt 2 RODO).
• Administrator - Merchant prowadzący Sklep w DoSwiftly.
• Procesor - Operator DoSwiftly.
• Sub-procesor - dalszy podmiot przetwarzający, któremu Procesor powierza wykonywanie operacji na Danych osobowych.
• Naruszenie ochrony danych - naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych (art. 4 pkt 12 RODO).

§ 3 Przedmiot, charakter, czas trwania, cel powierzenia

3.1. Przedmiot i cel

Procesor przetwarza Dane osobowe wyłącznie w celu świadczenia Usługi DoSwiftly zgodnie z Umową Główną, w szczególności: hostowania Sklepu, obsługi katalogu produktów, koszyka i checkoutu, realizacji zamówień i wysyłek, wysyłki e-maili transakcyjnych, funkcji marketingowych i programu lojalnościowego, statystyk ruchu w Sklepie, raportowania oraz kopii zapasowych.

3.2. Charakter przetwarzania

Automatyczne i ręczne (poprzez panel) operacje: zbieranie, utrwalanie, organizowanie, przechowywanie, modyfikowanie, pobieranie, przesyłanie, łączenie, ograniczanie i usuwanie.

3.3. Kategorie osób, których dane dotyczą

• klienci końcowi Sklepu Administratora (kupujący, użytkownicy konta klienta);
• osoby kontaktujące się ze Sklepem przez jego formularze oraz zapisujące się do newslettera Sklepu;
• pracownicy / współpracownicy Administratora posiadający dostęp do panelu;
• członkowie programów lojalnościowych i odbiorcy gift cardów.

3.4. Kategorie Danych osobowych

• identyfikujące i kontaktowe (imię, nazwisko, e-mail, telefon, adres);
• dane zamówień (produkty, kwoty, metoda płatności, identyfikatory transakcji);
• dane adresowe wysyłki i rozliczeniowe;
• dane konta klienta (zaszyfrowane hasło, tokeny);
• dane behawioralne i logi (IP, user-agent, eventy);
• komunikacja (treści przesłane przez formularze Sklepu; w przypadku e-maili transakcyjnych - adresat, temat i status doręczenia, bez treści wiadomości).

Powierzenie nie obejmuje, co do zasady, szczególnych kategorii Danych osobowych (art. 9 RODO). Jeśli Administrator zamierza przetwarzać takie dane (np. dane zdrowotne w branży medycznej), powinien wystąpić o aneks do DPA i przeprowadzić DPIA.

3.5. Czas trwania

DPA obowiązuje przez czas trwania Umowy Głównej. Po jej zakończeniu stosuje się § 11.

§ 4 Obowiązki Procesora (art. 28 ust. 3 RODO)

Procesor zobowiązuje się:

• przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Administratora - w tym wyrażone przez konfigurację panelu DoSwiftly, akceptację Regulaminu oraz korespondencję na kontakt@doswiftly.pl;
• nie przekazywać Danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek ten nakłada na niego prawo Unii lub państwa członkowskiego (Procesor poinformuje wtedy Administratora przed rozpoczęciem przetwarzania) - z zastrzeżeniem § 9;
• zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
• podejmować wszelkie środki wymagane na mocy art. 32 RODO (zob. § 6);
• przestrzegać warunków korzystania z usług sub-procesorów (§ 5);
• pomagać Administratorowi - przez odpowiednie środki techniczne i organizacyjne, w tym funkcje panelu pozwalające wyszukać, zanonimizować i usunąć dane Klienta końcowego - w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12-22 RODO);
• pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);
• po zakończeniu świadczenia Usługi - w zależności od decyzji Administratora - usunąć albo zwrócić Dane osobowe i usunąć wszelkie ich kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują dalsze przechowywanie;
• udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać Administratorowi przeprowadzanie audytów (§ 8);
• niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§ 5 Sub-procesorzy

Administrator wyraża ogólną zgodę (art. 28 ust. 2 RODO) na korzystanie przez Procesora z sub-procesorów wskazanych poniżej. Procesor zapewnia, że obowiązki ochrony danych zawarte w niniejszym DPA są przeniesione na sub-procesorów w drodze odpowiednich umów.

5.1. Aktualna lista sub-procesorów

Operatorzy płatności (PayU, Przelewy24) i przewoźnicy (m.in. InPost, Orlen Paczka), z którymi Administrator łączy Sklep własnym kontem, przetwarzają dane na podstawie umów zawartych z Administratorem i nie są sub-procesorami Procesora.

5.2. Zmiany listy sub-procesorów

Procesor zapowiada zmianę lub dodanie sub-procesora z 14-dniowym wyprzedzeniem - poprzez aktualizację niniejszej strony oraz powiadomienie Administratorów. W terminie 14 dni Administrator może wyrazić uzasadniony sprzeciw. W razie braku możliwości rozwiązania zastrzeżeń Administrator ma prawo wypowiedzieć Umowę Główną bez ponoszenia opłat za pozostały okres.

§ 6 Środki techniczne i organizacyjne (art. 32 RODO)

Procesor wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne, w tym:

• Szyfrowanie: TLS 1.2+ w transmisji; szyfrowanie uwierzytelnione danych uwierzytelniających do usług zewnętrznych (m.in. kluczy operatorów płatności i przewoźników) oraz szyfrowanie kopii zapasowych; pliki przechowywane w magazynie obiektów szyfrowanym po stronie dostawcy.
• Izolację tenantów: osobna baza danych i odrębne poświadczenia dostępu dla każdego Sklepu.
• Kontrolę dostępu: role i uprawnienia w panelu, zasada najmniejszych uprawnień, dostęp administracyjny do infrastruktury ograniczony do upoważnionych osób Procesora.
• Sieć i ochronę: ochrona przed DDoS i ruchem botów, limity liczby zapytań, monitoring bezpieczeństwa i wykrywanie włamań.
• Sekrety: szyfrowanie uwierzytelnione (AEAD) poświadczeń sub-procesorów w spoczynku, z kluczem zarządzanym wyłącznie przez Procesora; krótkotrwały, bezpieczny cache wewnętrzny dla wydajności. Zarządzanie kluczami zgodne z dobrymi praktykami.
• Kopie zapasowe: szyfrowane, wykonywane codziennie, z cyklicznymi testami odtwarzania; rotacja maks. 90 dni.
• Logi audytowe: rejestracja kluczowych działań w panelu w dzienniku chronionym przed modyfikacją, z retencją 365 dni.
• Procedury: zarządzanie zmianą, polityka reagowania na incydenty, polityka dostępu pracowników, klauzule poufności.
• Personel: zobowiązanie do poufności (w tym po ustaniu współpracy), szkolenia z ochrony danych.
• Continuity: regularne testy disaster recovery; deklarowany RTO ≤ 24h, RPO ≤ 24h (cele).

Pełny opis aktualnych środków stanowi Załącznik A - TOM dostępny na żądanie e-mailowe (kontakt@doswiftly.pl). Procesor aktualizuje TOM, jeżeli wymagają tego zmiany technologii, ryzyka lub przepisów.

§ 7 Naruszenie ochrony danych

Procesor zgłosi Administratorowi naruszenie ochrony Danych osobowych bez zbędnej zwłoki, najpóźniej w terminie 24 godzin od stwierdzenia naruszenia - wyprzedzając ustawowy 72-godzinny termin Administratora wobec PUODO (art. 33 RODO).

Zgłoszenie kierujemy na adres e-mail Administratora zarejestrowany w panelu Konta i zawiera w miarę możliwości:

• opis charakteru naruszenia, w tym - jeżeli to możliwe - kategorie i przybliżoną liczbę osób oraz rekordów;
• imię, nazwisko i kontakt do osoby odpowiedzialnej po stronie Procesora;
• opis możliwych konsekwencji naruszenia;
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym minimalizacji skutków.

Procesor wspiera Administratora w realizacji obowiązków informacyjnych wobec PUODO oraz - gdy ma zastosowanie - wobec osób, których dane dotyczą (art. 34 RODO).

§ 8 Audyt

Administrator ma prawo do audytu Procesora w zakresie zgodności z DPA - nie częściej niż raz na 12 miesięcy oraz po incydencie naruszenia. Audyt zapowiadany jest z co najmniej 30-dniowym wyprzedzeniem na piśmie i przeprowadzany w godzinach pracy w sposób minimalizujący zakłócenia Usługi.

W pierwszej kolejności Procesor wykazuje zgodność poprzez udostępnienie:

• aktualnego TOM (Załącznik A);
• raportów z audytów zewnętrznych i certyfikatów (np. SOC 2, ISO 27001), gdy są dostępne;
• polityk i procedur na żądanie Administratora.

Audyt w siedzibie Procesora może być przeprowadzony przez Administratora samodzielnie lub przez wyznaczonego niezależnego audytora, po podpisaniu NDA. Koszty audytu pokrywa Administrator, z wyjątkiem sytuacji, gdy audyt ujawni istotne naruszenie obowiązków Procesora - wówczas koszty pokrywa Procesor.

§ 9 Transfer Danych poza EOG

Część sub-procesorów (Cloudflare, AC PM LLC / Postmark) działa poza EOG. Procesor stosuje:

• Standardowe Klauzule Umowne (SCC) Komisji Europejskiej w wersji 2021/914;
• EU-US Data Privacy Framework dla dostawców certyfikowanych;
• środki uzupełniające (m.in. szyfrowanie po stronie klienta, pseudonimizację) - gdy potrzebne;
• ocenę ryzyka transferu (TIA) dla państw bez decyzji o adekwatności.

W przypadku AC PM, LLC (Postmark) - dostawcy e-maili transakcyjnych - Dane są przetwarzane w Stanach Zjednoczonych (Chicago, Illinois). Podstawą transferu jest certyfikacja AC PM, LLC w ramach EU-US Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z 10.07.2023) oraz - pomocniczo - Standardowe Klauzule Umowne Komisji Europejskiej (Moduł 2 transferu kontroler-do-procesora, decyzja 2021/914) inkorporowane w Warunkach Świadczenia Usług Postmark od 27.09.2021. Na mocy DPA Postmark (§ 3.a) AC PM, LLC zobowiązała się umownie do nieprzechowywania, nieużywania ani nieujawniania powierzonych Danych do celów innych niż świadczenie usługi wysyłki e-maili. Sub-procesorzy Postmarka (Deft, AWS US) działają wyłącznie w USA.

§ 10 Odpowiedzialność

Każda ze Stron odpowiada za szkodę wyrządzoną przetwarzaniem zgodnie z art. 82 RODO oraz przepisami prawa krajowego. Procesor odpowiada za szkody wynikające z naruszenia przez niego obowiązków wynikających z DPA lub bezpośrednio z RODO nakładanych na procesora.

W zakresie odpowiedzialności kontraktowej między Stronami zastosowanie znajdują ograniczenia odpowiedzialności określone w Regulaminie Umowy Głównej, z wyłączeniem przypadków, w których ograniczenie takie byłoby sprzeczne z bezwzględnie obowiązującym prawem.

§ 11 Zakończenie i zwrot/usunięcie Danych

Po zakończeniu Umowy Głównej Procesor - w zależności od wyboru Administratora (usunięcie Sklepu w panelu albo dyspozycja przesłana e-mailem):

• Zwraca Dane Administratorowi w formacie strukturalnym, czytelnym dla człowieka (JSON) - eksport w ciągu 30 dni; część danych Administrator może też pobrać samodzielnie (eksporty CSV w panelu, Merchant API);
• Usuwa Dane w terminie 30 dni od zakończenia - do tego czasu Sklep można przywrócić. Jeżeli w Sklepie złożono zamówienia, przed usunięciem Procesor sporządza kopię archiwalną bazy Sklepu na potrzeby ustawowego obowiązku przechowywania dokumentacji sprzedażowej i przechowuje ją w odrębnym, szyfrowanym magazynie przez 5 lat, licząc od końca roku, w którym Sklep usunięto; dostęp do kopii mają wyłącznie upoważnione osoby Procesora, a każdy dostęp jest rejestrowany. Po tym terminie kopia jest usuwana automatycznie.

Backupy podlegają zatarciu w cyklu rotacji (maks. 90 dni). Procesor potwierdzi usunięcie Danych na żądanie Administratora.

§ 12 Załączniki

Załącznik A - Środki techniczne i organizacyjne (TOM)

Szczegółowy opis środków obejmuje obszary: bezpieczeństwa fizycznego i logicznego, ochrony sieci, zarządzania tożsamością i dostępem, szyfrowania, kopii zapasowych, zarządzania incydentami, ciągłości działania, oceny ryzyka oraz polityk wewnętrznych. Aktualna wersja dostępna na żądanie (kontakt@doswiftly.pl).

Załącznik B - Lista sub-procesorów

Zob. § 5.1 powyżej. Aktualizowana z 14-dniowym wyprzedzeniem.

Załącznik C - Wykaz danych i kategorii osób

Zob. § 3.3 i § 3.4 powyżej.

Wersja DPA: 2.0, obowiązuje od 08.10.2026. Poprzednia wersja 1.1 obowiązywała od 21.05.2026.