Umowa powierzenia przetwarzania

Te wzory opierają się na RODO w ogóle. Nie obejmują prawa krajowego każdego państwa. W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Właściwość organu nadal wynika z głównej jednostki organizacyjnej administratora (art. 56 RODO).

Między klientem usługi, jako administratorem (Administrator),

a Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Podmiot przetwarzający).

Ta umowa obowiązuje, gdy Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora na potrzeby usługi pod https://exemple-saas.example. Nie obejmuje przetwarzania, przy którym dostawca sam jest administratorem.

1. Przedmiot, charakter, czas

Podmiot przetwarzający hostuje, przechowuje i wyświetla dane potrzebne do świadczenia usługi oraz generuje pliki, które generuje produkt. Czas: umowa, potem usunięcie albo zwrot jak w artykule 8, chyba że przepis stosowany do Podmiotu przetwarzającego wymaga dłuższego archiwum.

2. Udokumentowane polecenia

Podmiot przetwarzający działa wyłącznie na udokumentowane polecenia Administratora, w tym na tę umowę, chyba że prawo Unii lub państwa członkowskiego wymaga inaczej. Wtedy informuje Administratora przed przetwarzaniem, chyba że prawo zakazuje tej informacji.

3. Poufność

Osoby upoważnione do przetwarzania danych są objęte obowiązkiem poufności.

4. Bezpieczeństwo

Usługodawca stosuje środki techniczne i organizacyjne odpowiednie w rozumieniu art. 32 RODO (kontrola dostępu, HTTPS, minimalizacja, profesjonalni dostawcy), bez obietnicy, że nie zostaje ryzyko szczątkowe. Nie zaznaczono ISO 27001 ani SOC 2: żadnej z tych certyfikacji się nie twierdzi.

5. Dalsi przetwarzający

Administrator upoważnia dalszych przetwarzających z załącznika 3. Podmiot przetwarzający informuje Administratora przed dodaniem albo wymianą. Administrator może wnieść sprzeciw w ciągu 30 dni. Jeśli sprzeciw nie zostanie rozstrzygnięty, Administrator może przerwać objęte nim przetwarzanie.

6. Pomoc

Podmiot przetwarzający pomaga Administratorowi, w miarę możliwości, przy żądaniach osób, bezpieczeństwie, zawiadomieniach o naruszeniu i ocenach skutków, z uwzględnieniem charakteru przetwarzania.

7. Naruszenie

Podmiot przetwarzający zawiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki po powzięciu o nim wiadomości. Wzór nie wymyśla stałej liczby godzin.

8. Usunięcie i zwrot

Po zakończeniu usługi Podmiot przetwarzający usuwa albo zwraca dane, według wyboru Administratora, i usuwa pozostałe kopie, chyba że prawo wymaga przechowywania.

9. Audyty

Administrator może przeprowadzić audyt, także przez upoważnionego kontrolera związanego poufnością, z rozsądnym wyprzedzeniem, nie częściej niż raz w roku, chyba że doszło do naruszenia albo jest wniosek organu. Podmiot przetwarzający może odmówić kontrolerowi, który jest konkurentem.

10. Transfery

Transfery poza UE/EOG korzystają z mechanizmu z rozdziału V RODO. Załącznik 3 powtarza to, co publikuje wydawca. Nie dodaje mechanizmu, który karta oznacza jako nie podano.

11. Odpowiedzialność

Artykuł 82 RODO stosuje się wobec osób, których dane dotyczą. Umowa nie przerzuca własnej kary jednej strony na drugą. Nie dodaje się krajowej kwoty ryczałtowej.

Załącznik 1 — Opis

• Przedmiot: usługa pod https://exemple-saas.example.
• Operacje: hosting, uwierzytelnianie gdy jest używane, przechowywanie, generowanie plików, wsparcie, logi.
• Osoby: użytkownicy Administratora i personel Administratora. Dalszych kategorii ten wzór nie podaje.

Załącznik 2 — Bezpieczeństwo

Usługodawca stosuje środki techniczne i organizacyjne odpowiednie w rozumieniu art. 32 RODO (kontrola dostępu, HTTPS, minimalizacja, profesjonalni dostawcy), bez obietnicy, że nie zostaje ryzyko szczątkowe. Nie zaznaczono ISO 27001 ani SOC 2: żadnej z tych certyfikacji się nie twierdzi.

Załącznik 3 — Upoważnieni dalsi przetwarzający

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irlandia (grupa Stripe, Inc., Stany Zjednoczone) — Płatności i fakturowanie. Dane płatności, identyfikatory transakcji, e-mail do faktury. Wydawca nie przechowuje pełnych numerów kart. Stripe Payments Europe działa jako administrator albo podmiot przetwarzający zależnie od przepływu; transfery wewnątrz grupy na podstawie standardowych klauzul.

1. Resend, Inc. (Resend) — Stany Zjednoczone — Wysyłka e-maili transakcyjnych. Adresy odbiorców, temat i treść, logi wysyłki. Transfer poza EOG na podstawie standardowych klauzul.

1. Plausible Insights OÜ (Plausible) — Estonia — Pomiar oglądalności bez plików cookie. Zagregowane odsłony, przybliżony kraj, user-agent, odsyłacz. Bez cookie reklamowego. Przetwarzanie w UE (Estonia). Sprawdź hosting wybrany na koncie.

Informacja. Ten plik jest wzorem wygenerowanym przez StackLégal z danych, które Pan/Pani podał(a). To nie jest porada prawna ani poświadczenie zgodności. Proszę go przeczytać. Przy wysokim ryzyku (zdrowie, finanse, małoletni, dane szczególne, klienci enterprise) niech przeczyta go prawnik.

Wzór z 6 October 2026. Tylko struktura: rozporządzenie (UE) 2016/679, w szczególności art. 12–14, 28, 32 i 82; dyrektywa 2011/83/UE o odstąpieniu, gdy jest konsument; rozporządzenie (UE) 2022/2065 (DSA), jeśli użytkownicy publikują treści. Żadnej ustawy krajowej nie cytuje się tak, jakby obowiązywała wszędzie.

Wzór wypełniony dla: Atelier Exemple — https://exemple-saas.example