Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 2 do Regulaminu KONGO PRO · wersja 1.3 z dnia 02.11.2026

Umowa jest zawierana razem z Regulaminem – akceptacja przy pierwszym logowaniu Administratora Sklepu oznacza jej zawarcie (art. 28 ust. 9 RODO dopuszcza formę elektroniczną).

Strony:

• Administrator – Klient korzystający z KONGO PRO (dane firmy jak w koncie Sklepu),
• Podmiot przetwarzający – Verby Tomasz Rudowicz, ul. Owocowa 10, 56-400 Oleśnica, NIP 9112038449, e-mail: biuro@kongo.pro (Usługodawca).

Pojęcia pisane wielką literą mają znaczenie z Regulaminu. RODO to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

§ 1. Co powierzamy

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w tej umowie, a Podmiot przetwarzający przetwarza je wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności umowa (Regulamin) oraz każde działanie Administratora i Użytkowników w Aplikacji.
2. Cel: świadczenie Usługi KONGO PRO – przechowywanie danych w Aplikacji, ich wyświetlanie, wyszukiwanie, porządkowanie, przygotowanie treści wiadomości, liczenie statystyk, robienie kopii zapasowych, eksport, przechowywanie w czasie zamrożenia i w Archiwum oraz usuwanie. Podmiot przetwarzający nie przetwarza danych w żadnym innym celu – w szczególności nie analizuje danych klientów Sklepu, ich zakupów, statystyk ani wyników finansowych Sklepu na własne potrzeby, nie profiluje, nie sprzedaje i nie udostępnia ich do celów marketingowych.
3. Charakter: przechowywanie i przetwarzanie danych na serwerze w ramach usługi dostępnej przez internet (SaaS).
4. Kategorie osób i rodzaje danych:
   • klienci sklepu Administratora: imię (lub nazwa), numer telefonu, data zgody na wiadomości, data wypisania (STOP), produkty, na które czekają lub które lubią, notatki, historia przygotowanych wiadomości SMS (data, treść);
   • pracownicy i współpracownicy Administratora: imię i nazwisko (lub skrót), stawka godzinowa, godziny pracy, kwoty wypłat;
   • Użytkownicy Aplikacji: login, skrót hasła (hasła nie są przechowywane otwartym tekstem), uprawnienia, data ostatniego logowania, dziennik zdarzeń (logowania i ważne zmiany: data, adres IP, rodzaj urządzenia);
   • inne dane, które Administrator sam wprowadzi do Aplikacji (np. w notatkach, nazwach plików raportów, raportach sprzedaży, kosztach).

Zakres danych w praktyce wyznacza Administrator – to on decyduje, co wpisuje do Aplikacji. Podmiot przetwarzający nie sprawdza treści danych.

1. Szczególne kategorie danych (art. 9 RODO, np. dane o zdrowiu) ani dane o wyrokach (art. 10 RODO) nie są objęte umową – Administrator zobowiązuje się ich nie wprowadzać.
2. Czas: przez czas trwania umowy o korzystanie z KONGO PRO oraz przez okres po jej zakończeniu opisany w § 9.

§ 2. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane tylko na polecenie Administratora, także gdy chodzi o przekazanie danych poza Europejski Obszar Gospodarczy, chyba że obowiązek przetwarzania nakłada na niego prawo – wtedy uprzedza o tym Administratora (o ile prawo nie zabrania);
2. informuje Administratora, jeśli uzna, że jego polecenie narusza RODO lub inne przepisy o ochronie danych;
3. dopuszcza do danych tylko osoby, które są do tego upoważnione i zobowiązane do zachowania tajemnicy;
4. stosuje środki bezpieczeństwa opisane w § 4 (art. 32 RODO);
5. pomaga Administratorowi – w miarę możliwości i uwzględniając charakter przetwarzania – w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw). Podstawowym sposobem są narzędzia w Aplikacji: wyszukanie i edycja klienta, wypisanie (STOP), usunięcie klienta na zawsze, „Pobierz wszystkie dane” (Excel);
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, konsultacje), uwzględniając informacje, którymi dysponuje;
7. po zakończeniu umowy usuwa lub zwraca dane zgodnie z § 9;
8. udostępnia Administratorowi informacje potrzebne do wykazania, że spełnia obowiązki z art. 28 RODO, i umożliwia audyty na zasadach z § 7.

§ 3. Obowiązki Administratora

1. Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych, które wprowadza do Aplikacji (np. zgodę klienta na wiadomości), i że spełnił obowiązek informacyjny wobec osób, których dane dotyczą (art. 13–14 RODO).
2. Zgody klientów sklepu Administrator zbiera samodzielnie, w formie papierowej, i sam je przechowuje (może też przechowywać ich kopię elektroniczną, np. skan). Podmiot przetwarzający nie zbiera, nie sprawdza i nie przechowuje tych zgód i nie odpowiada za to, czy zgody zostały odebrane, czy są ważne, kompletne, aktualne i możliwe do udowodnienia. Pole „data zgody” w Aplikacji jest wyłącznie notatką Administratora. Wzór zgody i informacji dla klientów sklepu Podmiot przetwarzający udostępnia pomocniczo – Administrator dostosowuje go i używa na własną odpowiedzialność.
3. Administrator sam decyduje, do kogo, ile i jakich wiadomości wysyła, i sam je wysyła ze swojego telefonu. Podmiot przetwarzający nie wysyła wiadomości, nie sprawdza ich treści ani odbiorców i nie odpowiada za nie.
4. Administrator wprowadza tylko dane potrzebne do celu, odpowiada za ich prawidłowość, za bezpieczeństwo swoich urządzeń, haseł i kont oraz za działania swoich Użytkowników.
5. Administrator realizuje prawa osób, których dane dotyczą, w tym wypisuje osoby, które zgłosiły STOP, i usuwa dane, których nie potrzebuje. Jeśli osoba zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekaże je Administratorowi i nie będzie go rozpatrywał samodzielnie.
6. Administrator pobiera kopię swoich danych w czasie trwania umowy („Pobierz wszystkie dane”), jeśli chce mieć je poza Aplikacją – po wstrzymaniu dostępu, w czasie zamrożenia i po zakończeniu umowy pobranie danych jest usługą dodatkową (§ 9 Regulaminu).

§ 4. Bezpieczeństwo danych

Podmiot przetwarzający stosuje w szczególności następujące środki:

1. oddzielenie Sklepów: każdy Sklep ma osobny plik bazy danych razem ze swoimi kontami Użytkowników; pliki baz są poza częścią serwera dostępną z internetu;
2. połączenie tylko szyfrowane (HTTPS), nagłówki bezpieczeństwa przeglądarki, ochrona formularzy przed podszywaniem się (CSRF);
3. hasła przechowywane wyłącznie jako skrót (hash), minimum 8 znaków, blokada logowania po kilku błędnych próbach, wylogowanie innych urządzeń po zmianie hasła;
4. konto Podmiotu przetwarzającego (panel właściciela) chronione hasłem i kodem z aplikacji uwierzytelniającej (logowanie dwuetapowe); panel nie pokazuje danych klientów Sklepów, tylko dane firm i liczby;
5. dostęp Podmiotu przetwarzającego do danych w Sklepie („wejście serwisowe”) wyłącznie za zgodą Administratora Sklepu wyrażoną w Aplikacji, na ograniczony czas, z zapisem w dzienniku zdarzeń Sklepu, bez możliwości zmiany haseł i pobierania danych;
6. dziennik zdarzeń Sklepu (logowania, nieudane próby, zmiany kont i ustawień, pobieranie danych) dostępny dla Administratora Sklepu, przechowywany przez rok;
7. kopie zapasowe: codziennie osobna kopia bazy każdego Sklepu (30 dni, na serwerze); raz w tygodniu kopia wszystkich baz zaszyfrowana algorytmem AES-256 hasłem znanym tylko Podmiotowi przetwarzającemu i wysłana do zewnętrznego magazynu plików (ok. 3 miesiące); dostawca magazynu widzi tylko zaszyfrowany plik;
8. automatyczne testy bezpieczeństwa przy każdej zmianie kodu (m.in. izolacja Sklepów, uprawnienia, odporność na wstrzyknięcie kodu);
9. aktualizacje oprogramowania serwera prowadzone przez dostawcę hostingu.

Podmiot przetwarzający może zmieniać te środki, jeżeli nie obniża to poziomu bezpieczeństwa.

§ 5. Dalsze podmioty przetwarzające (podwykonawcy)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:
   • LH.pl sp. z o.o. z siedzibą w Poznaniu – serwer, na którym działa Aplikacja i są przechowywane bazy Sklepów oraz kopie dzienne (serwerownia w Polsce);
   • Google (usługa Google Drive; Google Ireland Limited, a w zakresie infrastruktury także Google LLC, USA) – przechowywanie wyłącznie zaszyfrowanych kopii tygodniowych; Google nie ma hasła do ich odczytania. Ewentualne przekazanie do USA odbywa się na podstawie decyzji Komisji Europejskiej w sprawie odpowiedniego stopnia ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych.
2. O planowanej zmianie lub dodaniu dalszego podmiotu Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw; jeśli strony się nie porozumieją, Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym (z proporcjonalnym zwrotem za niewykorzystane pełne miesiące abonamentu rocznego).
3. Podmiot przetwarzający nakłada na dalsze podmioty te same obowiązki ochrony danych (art. 28 ust. 4 RODO) – w szczególności przez akceptację ich umów powierzenia – i odpowiada wobec Administratora za ich działania jak za własne.

§ 6. Naruszenia ochrony danych

1. Podmiot przetwarzający zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych dotyczącym jego Sklepu bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia – e-mailem na adres Administratora Sklepu.
2. Zawiadomienie zawiera – w miarę dostępności – opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe skutki, podjęte i proponowane działania oraz osobę do kontaktu. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje sukcesywnie.
3. Zgłoszenie naruszenia do Prezesa UODO i zawiadomienie osób, których dane dotyczą, należy do Administratora; Podmiot przetwarzający mu w tym pomaga.

§ 7. Kontrola (audyt)

1. Administrator może sprawdzić, czy Podmiot przetwarzający przestrzega tej umowy – w pierwszej kolejności przez pisemne pytania (odpowiedź w ciągu 14 dni) i informacje przekazane w odpowiedzi.
2. Kontrola na miejscu jest możliwa, gdy pisemne wyjaśnienia nie wystarczą albo doszło do naruszenia, po uprzedzeniu co najmniej 14 dni wcześniej, nie częściej niż raz w roku (poza przypadkiem naruszenia), w dni robocze. Kontrolujący zobowiązuje się do zachowania tajemnicy, a kontrola nie może dotyczyć danych innych Sklepów ani zabezpieczeń, których ujawnienie obniżyłoby bezpieczeństwo. Koszty kontroli ponosi Administrator.

§ 8. Odpowiedzialność

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem na zasadach art. 82 RODO – tylko wtedy, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, albo gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew nim.
2. Podmiot przetwarzający nie odpowiada za przetwarzanie, o którym decyduje Administrator – w szczególności za brak podstawy prawnej lub zgody, treść i odbiorców wiadomości, zakres wprowadzonych danych, ich prawidłowość, okres przechowywania ustalony przez Administratora, obowiązki informacyjne, realizację praw osób oraz naruszenia po stronie Administratora i jego Użytkowników (np. udostępnione hasło, zgubione urządzenie).
3. Jeśli osoba trzecia lub organ nadzorczy wystąpi wobec Podmiotu przetwarzającego z roszczeniem lub karą z przyczyn leżących po stronie Administratora, Administrator zwalnia Podmiot przetwarzający z odpowiedzialności i pokrywa uzasadnione koszty (§ 8 ust. 7 Regulaminu).
4. W relacji między stronami stosuje się ograniczenia odpowiedzialności z § 14 Regulaminu, w granicach dopuszczalnych przez prawo.

§ 9. Zakończenie umowy – usunięcie lub zwrot danych

1. Umowa powierzenia obowiązuje tak długo jak umowa o korzystanie z KONGO PRO i kończy się razem z nią. W czasie zamrożenia konta (§ 7 Regulaminu) umowa trwa, a Podmiot przetwarzający tylko przechowuje dane, bez dostępu Administratora do Aplikacji.
2. Zwrot danych: przez cały czas trwania umowy Administrator może sam pobrać wszystkie dane w pliku Excel („Pobierz wszystkie dane”). Strony uzgadniają, że jest to sposób zwrotu danych. Po zakończeniu umowy Podmiot przetwarzający nie wysyła danych automatycznie – przygotowanie pliku z danymi jest usługą dodatkową na życzenie Administratora.
3. Po zakończeniu umowy dane znikają z Aplikacji i są przechowywane w Archiwum przez 90 dni – wyłącznie po to, by na życzenie Administratora można je było odzyskać lub wydać (usługa dodatkowa, § 9 Regulaminu). W tym czasie nie są wykorzystywane w żadnym innym celu.
4. Po 90 dniach Podmiot przetwarzający usuwa bazę Sklepu i jej kopie dzienne. Dane w zaszyfrowanych kopiach tygodniowych są usuwane automatycznie w cyklu ich zastępowania (do ok. 3 miesięcy później) i do tego czasu nie są wykorzystywane w żadnym celu poza odtworzeniem po awarii. Na żądanie Administratora dane mogą zostać usunięte wcześniej, bez Archiwum.
5. Na tej samej zasadzie dane pojedynczych osób usunięte przez Administratora w Aplikacji („usuń na zawsze”) znikają z kopii dziennych po 30 dniach, a z kopii tygodniowych po ok. 3 miesiącach.
6. Na prośbę Administratora Podmiot przetwarzający potwierdza usunięcie danych e-mailem.

§ 10. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.
2. W razie sprzeczności między tą umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.

Drukuj albo zapisz jako PDF