Umowa Powierzenia Przetwarzania Danych (DPA)

§ 1Strony i preambuła

Niniejsza Umowa Powierzenia Przetwarzania Danych (dalej: DPA) zostaje zawarta pomiędzy:

a Administratorem - Użytkownikiem DoSwiftly (Merchantem) wskazanym w panelu Konta - dalej zwanymi łącznie Stronami.

Preambuła. Strony zawarły Umowę o świadczenie usług platformy DoSwiftly (dalej: Umowa Główna), w ramach której Administrator powierza Procesorowi przetwarzanie danych osobowych w celu świadczenia Usługi. Niniejsze DPA spełnia wymogi art. 28 ust. 3 RODO i stanowi integralną część Umowy Głównej. Akceptacja Regulaminu DoSwiftly jest jednoznaczna z zawarciem niniejszego DPA.

§ 2Definicje

Pojęcia użyte w DPA mają znaczenie nadane im przez RODO, w szczególności:

• Dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 4 pkt 1 RODO).
• Przetwarzanie - operacje wykonywane na Danych osobowych (art. 4 pkt 2 RODO).
• Administrator - Merchant prowadzący Sklep w DoSwiftly.
• Procesor - Operator DoSwiftly.
• Sub-procesor - dalszy podmiot przetwarzający, któremu Procesor powierza wykonywanie operacji na Danych osobowych.
• Naruszenie ochrony danych - naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych (art. 4 pkt 12 RODO).

§ 3Przedmiot, charakter, czas trwania, cel powierzenia

3.1. Przedmiot i cel

Procesor przetwarza Dane osobowe wyłącznie w celu świadczenia Usługi DoSwiftly zgodnie z Umową Główną, w szczególności: hostowania Sklepu, obsługi katalogu produktów, koszyka i checkoutu, realizacji zamówień, fulfillmentu, funkcji marketingowych, programu lojalnościowego, raportowania, kopii zapasowych oraz - wyłącznie po aktywacji przez Administratora - funkcji AI.

3.2. Charakter przetwarzania

Automatyczne i ręczne (poprzez panel) operacje: zbieranie, utrwalanie, organizowanie, przechowywanie, modyfikowanie, pobieranie, przesyłanie, łączenie, ograniczanie i usuwanie.

3.3. Kategorie osób, których dane dotyczą

• klienci końcowi Sklepu Administratora (kupujący, użytkownicy konta klienta);
• osoby kontaktujące się ze Sklepem (formularz kontaktowy, czat);
• pracownicy / współpracownicy Administratora posiadający dostęp do panelu;
• członkowie programów lojalnościowych i odbiorcy gift cardów.

3.4. Kategorie Danych osobowych

• identyfikujące i kontaktowe (imię, nazwisko, e-mail, telefon, adres);
• dane zamówień (produkty, kwoty, metoda płatności, identyfikatory transakcji);
• dane adresowe wysyłki i rozliczeniowe;
• dane konta klienta (zaszyfrowane hasło, tokeny);
• dane behawioralne i logi (IP, user-agent, eventy);
• komunikacja (treści wiadomości czatu, korespondencji e-mail).

Powierzenie nie obejmuje, co do zasady, szczególnych kategorii Danych osobowych (art. 9 RODO). Jeśli Administrator zamierza przetwarzać takie dane (np. dane zdrowotne w branży medycznej), powinien wystąpić o aneks do DPA i przeprowadzić DPIA.

3.5. Czas trwania

DPA obowiązuje przez czas trwania Umowy Głównej. Po jej zakończeniu stosuje się § 11.

§ 4Obowiązki Procesora (art. 28 ust. 3 RODO)

Procesor zobowiązuje się:

• przetwarzać Dane osobowe wyłącznie na udokumentowane polecenie Administratora - w tym wyrażone przez konfigurację panelu DoSwiftly, akceptację Regulaminu oraz korespondencję na kontakt@doswiftly.pl;
• nie przekazywać Danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek ten nakłada na niego prawo Unii lub państwa członkowskiego (Procesor poinformuje wtedy Administratora przed rozpoczęciem przetwarzania) - z zastrzeżeniem § 9;
• zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
• podejmować wszelkie środki wymagane na mocy art. 32 RODO (zob. § 6);
• przestrzegać warunków korzystania z usług sub-procesorów (§ 5);
• pomagać Administratorowi - przez odpowiednie środki techniczne i organizacyjne - w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO);
• pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);
• po zakończeniu świadczenia Usługi - w zależności od decyzji Administratora - usunąć albo zwrócić Dane osobowe i usunąć wszelkie ich kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują dalsze przechowywanie;
• udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać Administratorowi przeprowadzanie audytów (§ 8);
• niezwłocznie informować Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§ 5Sub-procesorzy

Administrator wyraża ogólną zgodę (art. 28 ust. 2 RODO) na korzystanie przez Procesora z sub-procesorów wskazanych poniżej. Procesor zapewnia, że obowiązki ochrony danych zawarte w niniejszym DPA są przeniesione na sub-procesorów w drodze odpowiednich umów.

5.1. Aktualna lista sub-procesorów

5.2. Zmiany listy sub-procesorów

Procesor zapowiada zmianę lub dodanie sub-procesora z 14-dniowym wyprzedzeniem - poprzez aktualizację niniejszej strony oraz powiadomienie Administratorów. W terminie 14 dni Administrator może wyrazić uzasadniony sprzeciw. W razie braku możliwości rozwiązania zastrzeżeń Administrator ma prawo wypowiedzieć Umowę Główną bez ponoszenia opłat za pozostały okres.

§ 6Środki techniczne i organizacyjne (art. 32 RODO)

Procesor wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne, w tym:

• Szyfrowanie: AES-256-GCM w spoczynku dla baz danych i obiektów; TLS 1.2+ w transmisji.
• Izolację tenantów: model database-per-tenant - fizyczne oddzielenie baz danych Sklepów różnych Administratorów.
• Kontrolę dostępu: silne uwierzytelnianie, MFA, zasada najmniejszych uprawnień, segregację obowiązków.
• Sieć i ochronę: WAF, ochronę przed DDoS, rate-limiting, monitoring bezpieczeństwa.
• Sekrety: szyfrowanie uwierzytelnione (AEAD) poświadczeń sub-procesorów w spoczynku, z kluczem zarządzanym wyłącznie przez Procesora; krótkotrwały, bezpieczny cache wewnętrzny dla wydajności. Zarządzanie kluczami zgodne z dobrymi praktykami.
• Kopie zapasowe: szyfrowane, regularnie testowane; rotacja maks. 90 dni.
• Logi audytowe: rejestracja kluczowych działań w panelu z retencją 30/90/365 dni zależnie od Planu.
• Procedury: zarządzanie zmianą, polityka reagowania na incydenty, polityka dostępu pracowników, klauzule poufności.
• Personel: zobowiązanie do poufności (w tym po ustaniu współpracy), szkolenia z ochrony danych.
• Continuity: regularne testy disaster recovery; deklarowany RTO ≤ 24h, RPO ≤ 24h (cele).

Pełny opis aktualnych środków stanowi Załącznik A - TOM dostępny w panelu administracyjnym DoSwiftly oraz na żądanie e-mailowe. Procesor aktualizuje TOM, jeżeli wymagają tego zmiany technologii, ryzyka lub przepisów.

§ 7Naruszenie ochrony danych

Procesor zgłosi Administratorowi naruszenie ochrony Danych osobowych bez zbędnej zwłoki, najpóźniej w terminie 24 godzin od stwierdzenia naruszenia - wyprzedzając ustawowy 72-godzinny termin Administratora wobec PUODO (art. 33 RODO).

Zgłoszenie kierujemy na adres e-mail Administratora zarejestrowany w panelu Konta i zawiera w miarę możliwości:

• opis charakteru naruszenia, w tym - jeżeli to możliwe - kategorie i przybliżoną liczbę osób oraz rekordów;
• imię, nazwisko i kontakt do osoby odpowiedzialnej po stronie Procesora;
• opis możliwych konsekwencji naruszenia;
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym minimalizacji skutków.

Procesor wspiera Administratora w realizacji obowiązków informacyjnych wobec PUODO oraz - gdy ma zastosowanie - wobec osób, których dane dotyczą (art. 34 RODO).

§ 8Audyt

Administrator ma prawo do audytu Procesora w zakresie zgodności z DPA - nie częściej niż raz na 12 miesięcy oraz po incydencie naruszenia. Audyt zapowiadany jest z co najmniej 30-dniowym wyprzedzeniem na piśmie i przeprowadzany w godzinach pracy w sposób minimalizujący zakłócenia Usługi.

W pierwszej kolejności Procesor wykazuje zgodność poprzez udostępnienie:

• aktualnego TOM (Załącznik A);
• raportów z audytów zewnętrznych i certyfikatów (np. SOC 2, ISO 27001), gdy są dostępne;
• polityk i procedur na żądanie Administratora.

Audyt w siedzibie Procesora może być przeprowadzony przez Administratora samodzielnie lub przez wyznaczonego niezależnego audytora, po podpisaniu NDA. Koszty audytu pokrywa Administrator, z wyjątkiem sytuacji, gdy audyt ujawni istotne naruszenie obowiązków Procesora - wówczas koszty pokrywa Procesor.

§ 9Transfer Danych poza EOG

Część sub-procesorów (Cloudflare, OpenAI USA, Anthropic, AC PM LLC / Postmark) działa poza EOG. Procesor stosuje:

• Standardowe Klauzule Umowne (SCC) Komisji Europejskiej w wersji 2021/914;
• EU-US Data Privacy Framework dla dostawców certyfikowanych;
• środki uzupełniające (m.in. szyfrowanie po stronie klienta, pseudonimizację) - gdy potrzebne;
• ocenę ryzyka transferu (TIA) dla państw bez decyzji o adekwatności.

W przypadku AC PM, LLC (Postmark) — dostawcy e-maili transakcyjnych — Dane są przetwarzane w Stanach Zjednoczonych (Chicago, Illinois). Podstawą transferu jest certyfikacja AC PM, LLC w ramach EU-US Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795 z 10.07.2023) oraz — pomocniczo — Standardowe Klauzule Umowne Komisji Europejskiej (Moduł 2 transferu kontroler-do-procesora, decyzja 2021/914) inkorporowane w Warunkach Świadczenia Usług Postmark od 27.09.2021. Na mocy DPA Postmark (§ 3.a) AC PM, LLC zobowiązała się umownie do nieprzechowywania, nieużywania ani nieujawniania powierzonych Danych do celów innych niż świadczenie usługi wysyłki e-maili. Sub-procesorzy Postmarka (Deft, AWS US) działają wyłącznie w USA.

§ 10Odpowiedzialność

Każda ze Stron odpowiada za szkodę wyrządzoną przetwarzaniem zgodnie z art. 82 RODO oraz przepisami prawa krajowego. Procesor odpowiada za szkody wynikające z naruszenia przez niego obowiązków wynikających z DPA lub bezpośrednio z RODO nakładanych na procesora.

W zakresie odpowiedzialności kontraktowej między Stronami zastosowanie znajdują ograniczenia odpowiedzialności określone w Regulaminie Umowy Głównej, z wyłączeniem przypadków, w których ograniczenie takie byłoby sprzeczne z bezwzględnie obowiązującym prawem.

§ 11Zakończenie i zwrot/usunięcie Danych

Po zakończeniu Umowy Głównej Procesor - w zależności od wyboru Administratora wyrażonego w panelu Konta lub e-mailowo:

• Zwraca Dane Administratorowi w formacie strukturalnym, czytelnym dla człowieka (JSON) - eksport w ciągu 30 dni;
• Usuwa Dane, w tym ich kopie, w terminie 30 dni od zakończenia (z wyjątkami wynikającymi z prawa, np. faktury - 5 lat).

Backupy podlegają zatarciu w cyklu rotacji (maks. 90 dni). Procesor potwierdzi usunięcie Danych na żądanie Administratora.

§ 12Załączniki

Załącznik A - Środki techniczne i organizacyjne (TOM)

Szczegółowy opis środków obejmuje obszary: bezpieczeństwa fizycznego i logicznego, ochrony sieci, zarządzania tożsamością i dostępem, szyfrowania, kopii zapasowych, zarządzania incydentami, ciągłości działania, oceny ryzyka oraz polityk wewnętrznych. Aktualna wersja dostępna w panelu DoSwiftly (sekcja "Bezpieczeństwo") oraz na żądanie.

Załącznik B - Lista sub-procesorów

Zob. § 5.1 powyżej. Aktualizowana z 14-dniowym wyprzedzeniem.

Załącznik C - Wykaz danych i kategorii osób

Zob. § 3.3 i § 3.4 powyżej.

Wersja DPA: 1.1, obowiązuje od 21.05.2026.