Umowa powierzenia

Załącznik nr 1 do Regulaminu świadczenia usług GastroOS Ostatnia aktualizacja: 13 października 2026 r.

Umowa zostaje zawarta między Klientem (administratorem danych, dalej: „Administrator”) a Wojciechem Czajerem, prowadzącym jednoosobową działalność gospodarczą, ul. Norberta Barlickiego 7, 43-300 Bielsko-Biała, NIP 868-195-20-06, REGON 368741240 (podmiotem przetwarzającym, dalej: „Przetwarzający”), z chwilą zawarcia umowy o korzystanie z Platformy GastroOS, na czas jej obowiązywania. Pojęcia zdefiniowane w Regulaminie mają w niniejszej umowie to samo znaczenie. Umowa jest zawierana na podstawie art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO).

§ 1. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Platformy przez Administratora, jego Użytkowników i Gości oraz pozyskiwanych z integracji włączonych przez Administratora — w celu i w zakresie niezbędnym do świadczenia usług opisanych w Regulaminie.

2. Charakter przetwarzania: przechowywanie (hosting), organizowanie, porządkowanie, wyszukiwanie, przeglądanie, zestawianie, obliczanie, przesyłanie (powiadomienia, e-mail, SMS), wykonywanie kopii zapasowych, usuwanie — w sposób zautomatyzowany, w systemach informatycznych.

3. Przetwarzanie trwa przez czas obowiązywania umowy o korzystanie z Platformy oraz przez okres potrzebny do zwrotu lub usunięcia danych zgodnie z § 9.

§ 2. Kategorie osób i rodzaje danych

§ 3. Obowiązki Przetwarzającego

Przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są: Regulamin, niniejsza umowa, konfiguracja Platformy dokonana przez Administratora i Użytkowników oraz polecenia przesłane e-mailem. Dotyczy to także przekazywania danych do państwa trzeciego (§ 6);

2. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy;

3. dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do zachowania poufności, w zakresie niezbędnym do świadczenia usług, utrzymania i wsparcia technicznego;

4. stosuje środki techniczne i organizacyjne opisane w § 4;

5. pomaga Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO) — w szczególności przez funkcje Platformy (edycja, eksport danych firmy, usuwanie danych) i, gdy to konieczne, przez działania na wniosek Administratora. Żądanie skierowane bezpośrednio do Przetwarzającego — w tym usunięcie konta przez Użytkownika — przekazuje Administratorowi bez zbędnej zwłoki (przy usunięciu konta: automatyczny e-mail do Właścicieli konta Klienta) i nie odpowiada na nie samodzielnie, chyba że Administrator tak poleci;

6. pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje — w tym udostępnia opis funkcji i zabezpieczeń potrzebny do przeprowadzenia przez Administratora oceny skutków (np. dla zdjęć przy odbiciu, dokumentów zdrowotnych, lokalizacji kierowców);

7. prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO;

8. nie wykorzystuje powierzonych danych do własnych celów, w szczególności do marketingu, profilowania ani trenowania modeli AI.

§ 4. Środki techniczne i organizacyjne

Przetwarzający stosuje co najmniej następujące środki:

1. Separacja klientów — dane każdego Klienta są oddzielone; kontrola dostępu jest egzekwowana po stronie serwera przy każdym zapytaniu (także w połączeniach czasu rzeczywistego i przy plikach), w tym mechanizmami bazy danych (row-level security).

2. Kontrola dostępu — role i uprawnienia nadawane przez Administratora; dostęp do stawek, kosztów i dokumentów zdrowotnych wymaga odrębnych uprawnień; dostęp do zdjęć z odbić ograniczony do osób zarządzających.

3. Uwierzytelnianie — hasła i kody PIN przechowywane wyłącznie jako skróty (Argon2), blokada po nieudanych próbach, sesje o ograniczonej ważności, możliwość uwierzytelniania dwuskładnikowego, wgląd i zamykanie aktywnych sesji urządzeń.

4. Szyfrowanie — transmisja szyfrowana (TLS, HSTS); dane uwierzytelniające do integracji (np. tokeny KSeF) szyfrowane w bazie danych.

5. Pliki — skanowanie antywirusowe przesyłanych plików; dostęp do plików przez odnośniki o krótkiej ważności, wyłącznie dla uprawnionych; dokumenty zdrowotne przechowywane w wydzielonej klasie z osobnym rejestrem dostępu.

6. Rozliczalność — niemodyfikowalny rejestr istotnych czynności (dziennik audytu), w tym dostępu do dokumentów zdrowotnych i zmian w ewidencji czasu pracy; niemodyfikowalny zapis surowych odbić czasu pracy (korekty zapisywane jako nowe zdarzenia).

7. Usuwanie danych przez człowieka — wnioski o usunięcie konta i usunięcie danych firmy wykonuje wyłącznie upoważniony pracownik Przetwarzającego po weryfikacji wniosku; system niczego nie kasuje automatycznie poza retencją opisaną w pkt 8 niżej, a każda decyzja trafia do dziennika audytu.

8. Minimalizacja i retencja — automatyczne usuwanie: zdjęć z odbić po 90 dniach, lokalizacji kierowców po 7 dniach, danych Gości w dostawach po 30 dniach (lub według ustawienia lokalu, maks. 180 dni), treści wiadomości e-mail z fakturami po 180 dniach; usuwanie dokumentów według polityk retencji ustawionych przez Administratora. Brak rozpoznawania twarzy i biometrii przy zdjęciach z odbić.

9. Funkcje AI — działanie w granicach uprawnień Użytkownika; usuwanie zbędnych identyfikatorów (np. e-mail, telefon, numery rachunków, PESEL) przed przekazaniem niektórych danych do modelu; wymóg zatwierdzenia przez człowieka decyzji kadrowych.

10. Ciągłość działania — regularne kopie zapasowe bazy danych, monitorowanie działania, procedury przywracania.

11. Bezpieczne wytwarzanie — przegląd zmian w kodzie, testy automatyczne, w tym testy izolacji danych między klientami, ograniczony dostęp administracyjny do środowiska produkcyjnego.

Przetwarzający może zmieniać środki, pod warunkiem że nie obniży ogólnego poziomu ochrony.

§ 5. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających. Aktualna lista stanowi Wykaz poniżej.

2. Przetwarzający informuje Administratora e-mailem (na adres Właściciela konta) i w Platformie o zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego co najmniej 14 dni przed zmianą. Administrator może w tym terminie zgłosić umotywowany sprzeciw. Jeżeli strony nie uzgodnią rozwiązania (np. wyłączenia funkcji korzystającej z danego dostawcy), Administrator może wypowiedzieć umowę ze skutkiem natychmiastowym, a Przetwarzający zwraca proporcjonalną część opłaty za niewykorzystany okres.

3. Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające niniejszej umowie i odpowiada wobec Administratora za ich wykonanie.

4. Dostawcy oznaczeni jako „funkcja opcjonalna” otrzymują dane wyłącznie wtedy, gdy Administrator lub Użytkownik włączy lub użyje danej funkcji.

Wykaz dalszych podmiotów przetwarzających

Nie są dalszymi podmiotami przetwarzającymi, lecz odrębnymi odbiorcami lub administratorami, do których dane trafiają na polecenie Administratora albo z wyboru Użytkownika: Ministerstwo Finansów (KSeF); Stripe Payments Europe, Limited (płatności i konta odbiorców napiwków — Stripe działa jako odrębny administrator w zakresie usług płatniczych); Apple i Google (karty w portfelach cyfrowych Apple Wallet i Google Wallet); dostawcy usług powiadomień przeglądarek i systemów (Google, Mozilla, Apple, Microsoft — dostarczają zaszyfrowane powiadomienia); Google (wizytówka lokalu publikowana przez Synup); dostawcy systemów POS i usług dowozowych Administratora.

§ 6. Przekazywanie danych poza EOG

Dane są przechowywane na serwerach w Europejskim Obszarze Gospodarczym. Przekazanie danych do państwa trzeciego następuje wyłącznie w zakresie funkcji wskazanych w Wykazie i wyłącznie na podstawie mechanizmów z rozdziału V RODO — decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework, jeżeli odbiorca jest nim objęty) albo standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 7. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres Właściciela konta.

2. Zgłoszenie zawiera, w miarę dostępności: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane i proponowane środki zaradcze oraz dane kontaktowe. Informacje niedostępne w chwili zgłoszenia są uzupełniane niezwłocznie.

3. Zgłoszenia do organu nadzorczego i zawiadomienia osób, których dane dotyczą, dokonuje Administrator. Przetwarzający udziela mu w tym niezbędnej pomocy.

§ 8. Audyt i informacje

1. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w pierwszej kolejności w formie pisemnych odpowiedzi i dokumentacji.

2. Administrator może przeprowadzić audyt (osobiście lub przez niezależnego audytora zobowiązanego do poufności) nie częściej niż raz w roku, po zawiadomieniu z wyprzedzeniem co najmniej 14 dni, w dni robocze i w sposób niezakłócający działalności Przetwarzającego ani nie naruszający poufności danych innych klientów. Ograniczenie częstotliwości nie dotyczy audytu po naruszeniu ochrony danych lub na żądanie organu nadzorczego. Koszty audytu ponosi Administrator.

§ 9. Zakończenie przetwarzania

1. Po zakończeniu świadczenia usług Przetwarzający umożliwia Administratorowi pobranie danych przez 30 dni (zgodnie z § 15 ust. 6 Regulaminu), a następnie usuwa powierzone dane w ciągu kolejnych 60 dni, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie.

2. Zależnie od wyboru Administratora, wyrażonego w Platformie albo pisemnie (także e-mailem), Przetwarzający: (a) zwraca dane w formie eksportu (archiwum ZIP z danymi w formacie JSON i plikami), albo (b) usuwa je wcześniej niż po upływie 30 dni, bez umożliwiania ich pobrania.

3. Dane w kopiach zapasowych (rotacja do 14 dni) są usuwane w cyklu ich rotacji i do tego czasu nie są przetwarzane w innym celu niż odtworzenie po awarii.

4. Na żądanie Administratora Przetwarzający potwierdza usunięcie danych.

§ 10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron wobec osób, których dane dotyczą, określa art. 82 RODO. W relacjach między stronami stosuje się postanowienia Regulaminu, z tym że ograniczenie odpowiedzialności z § 13 ust. 3 Regulaminu nie dotyczy szkód wyrządzonych umyślnie.

2. W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO.

3. W razie sprzeczności między niniejszą umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.

4. Administrator, który potrzebuje umowy powierzenia w formie odrębnego dokumentu (np. podpisanego elektronicznie), może o nią wystąpić na adres kontakt@gastroos.io; jej treść odpowiada niniejszej umowie.