Umowa powierzenia przetwarzania danych
Zatwierdzone, wersjonowane wydanie dokumentu.
Wersja: 2026-09-03.1
1. Strony i role
Administratorem jest przedsiębiorca wskazany przy aktywacji Lokalu („Administrator” lub „Klient”). Podmiotem przetwarzającym jest Dominika Bożewicz Consulting, ul. Mieczysława Pożaryskiego 35 lok. 46, 04-703 Warszawa, NIP 9522265966, REGON 540808570 („Procesor” lub „Operator”).
Administrator ustala cele i zasady prowadzenia Kolejki. Procesor przetwarza dane Gości wyłącznie na udokumentowane polecenia Administratora, w celu wykonania Usługi i w granicach DPA. Dane Konta, rozliczeń i relacji handlowej, dla których Operator sam określa cele, opisuje Polityka prywatności.
2. Przedmiot, czas, charakter i cel
| Przedmiot | Hosting i obsługa cyfrowej kolejki, statusu Gościa i jednorazowych powiadomień transakcyjnych. |
|---|---|
| Czas | Od zawarcia DPA do usunięcia lub zwrotu danych po zakończeniu Umowy, z uwzględnieniem opisanej retencji i cyklu kopii. |
| Charakter | Zbieranie, utrwalanie, organizowanie, odczyt, aktualizacja, generowanie treści, przesyłanie, ograniczenie, pseudonimizacja i usuwanie. |
| Cel | Dołączenie Gościa, obsługa wpisu, wyświetlenie statusu, powiadomienie o gotowym stoliku, zapobieganie nadużyciom oraz wykonanie poleceń Klienta. |
3. Kategorie osób i danych
Kategorie osób obejmują Gości i osoby zgłoszone przez uprawniony personel. Dane obejmują imię lub oznaczenie Gościa, numer telefonu, opcjonalny e-mail, liczbę osób, Lokal, czasy i statusy wpisu, szacunki, zdarzenia Kolejki, kanał i wynik powiadomienia, treść Wiadomości systemowej oraz techniczne identyfikatory i zminimalizowane dane ochrony przed nadużyciami.
Strony nie przewidują danych szczególnych kategorii ani danych o wyrokach. Administrator nie powinien umieszczać ich w imieniu Gościa, nazwie Lokalu, polach wsparcia ani innych polach Usługi.
4. SMS i rozdzielenie danych
Po poleceniu uprawnionego personelu system generuje Wiadomość „Stolik gotowy! Zapraszamy do {nazwa lokalu}.”, transliteruje nazwę do GSM-7, usuwa emoji i przekazuje SMSAPI numer telefonu, wyrenderowaną treść oraz metadane techniczne niezbędne do wysyłki i ustalenia wyniku.
PII Gościa jest przechowywane w rekordzie operacyjnym Kolejki i powiadomienia. Odrębny rejestr rozliczeniowy Segmentów nie zawiera numeru telefonu, imienia ani treści wiadomości; zawiera Lokal, okres rozliczeniowy, wersję oferty, Plan, limit, Budżet, liczbę Segmentów zarezerwowanych, potwierdzonych i płatnych, progi alertów oraz identyfikatory techniczne rezerwacji i rozliczeń.
Numer telefonu i treść nie są używane do marketingu, budowy CRM, profilowania między wizytami ani innych celów niezwiązanych z konkretnym wpisem do Kolejki.
5. Udokumentowane polecenia
DPA, Regulamin, ustawienia Lokalu i działania uprawnionych użytkowników w interfejsie stanowią udokumentowane polecenia. Dodatkowe polecenie może przekazać uprawniona osoba z Konta lub zweryfikowanego adresu e-mail. Procesor informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO albo inne prawo UE lub Polski, i może wstrzymać wykonanie do wyjaśnienia.
6. Obowiązki Procesora
Procesor: przetwarza dane wyłącznie na polecenie, także w zakresie transferów; dopuszcza do danych wyłącznie osoby upoważnione i związane poufnością; stosuje środki z art. 32 RODO; pomaga w obsłudze praw osób, naruszeń, DPIA i konsultacji; prowadzi wymagane rejestry; udostępnia informacje potrzebne do wykazania zgodności; po zakończeniu zwraca lub usuwa dane, chyba że prawo wymaga przechowania; wiąże podprocesorów co najmniej równoważnymi obowiązkami; niezwłocznie ogranicza skutki błędu lub nieuprawnionego dostępu.
7. Obowiązki Administratora
Administrator zapewnia podstawę prawną i przejrzystą informację dla Gościa, minimalizuje dane, nadaje i odbiera dostępy, chroni QR aktywacyjne i urządzenia, obsługuje decyzje dotyczące praw Gości, zgłasza incydenty oraz nie używa danych poza celem Kolejki bez własnej podstawy prawnej.
8. Podprocesorzy
| Dostawca | Zakres |
|---|---|
| Supabase | Baza danych, uwierzytelnienie, zadania i kopie zapasowe. |
| Vercel | Hosting, funkcje aplikacji, CDN i zminimalizowane logi techniczne. |
| SMSAPI | Numer telefonu, wyrenderowana Wiadomość systemowa i metadane wysyłki lub dostarczenia dla kanału SMS. |
| Resend | E-mail Gościa, treść i metadane dostarczenia wyłącznie dla kanału e-mail. |
| Sentry | Zminimalizowane zdarzenia błędów bez domyślnego PII. |
Administrator udziela ogólnej zgody na wymienionych podprocesorów. Operator informuje co najmniej 30 dni wcześniej o planowanym dodaniu lub zastąpieniu podprocesora, umożliwiając uzasadniony sprzeciw dotyczący ochrony danych. Operator pozostaje odpowiedzialny za obowiązki podprocesora zgodnie z art. 28 RODO.
Stripe, Fakturownia, KSeF i dostawca e-maili rozliczeniowych otrzymują dane Klienta jako odrębnego administratora w przepływie rozliczeniowym; nie otrzymują PII Gościa z Kolejki i nie są podprocesorami tego zakresu DPA.
9. Transfery poza EOG
Jeżeli podprocesor przetwarza dane poza EOG, Procesor stosuje mechanizm zgodny z rozdziałem V RODO, w tym właściwą decyzję o adekwatności, standardowe klauzule umowne oraz środki uzupełniające, gdy są wymagane. Informacje o mechanizmie są udostępniane Administratorowi w zakresie nienaruszającym bezpieczeństwa i poufności.
10. Pomoc w prawach osób
Żądanie Gościa dotyczące danych powierzonych jest przekazywane Administratorowi bez zbędnej zwłoki. Na polecenie Procesor pomaga dane wyszukać, sprostować, ograniczyć, wyeksportować lub usunąć. Procesor nie odpowiada samodzielnie, chyba że wymaga tego prawo lub Administrator udzielił instrukcji.
11. Naruszenia
Po potwierdzeniu naruszenia dotyczącego danych powierzonych Procesor zawiadamia Administratora bez zbędnej zwłoki, w miarę możliwości w ciągu 24 godzin, i przekazuje dostępne informacje o charakterze, osobach i rekordach, możliwych skutkach, środkach oraz kontakcie. Informacje mogą być uzupełniane etapami. Administrator podejmuje decyzję o zgłoszeniu organowi i zawiadomieniu osób.
12. Retencja, odłączenie i usunięcie
| PII Gościa | Co do zasady do 48 godzin od dołączenia; po statusie końcowym nie dłużej niż 72 godziny od zamknięcia wpisu, z wyjątkiem krótszego polecenia lub prawnego obowiązku. |
|---|---|
| Token statusu | W bazie jako hash; wygasa po 14 dniach, następnie jest fizycznie usuwany zgodnie z zadaniem retencyjnym. |
| Numer i treść u SMSAPI | Treść wiadomości jest przechowywana do 3 miesięcy. Dane wysyłki, w tym numer odbiorcy, data i status doręczenia, są przechowywane do 12 miesięcy. Po upływie tych okresów dane są usuwane, zgodnie ze standardową polityką SMSAPI zaakceptowaną przez Operatora. |
| Rejestr operacyjny powiadomienia | Do usunięcia PII Gościa zgodnie z powyższym terminem; potem identyfikator rozliczeniowy nie pozwala powiązać użycia z Gościem. |
| Rejestr okresu i Segmentów | Bez PII Gościa, przez okres wymagany do rozliczeń, reklamacji, audytu i obrony roszczeń, zgodnie z Polityką prywatności Operatora. |
| Kopie i logi dostawców | W standardowym cyklu technicznym, odizolowane i niewykorzystywane do innych celów. |
Moment nieodwracalnego rozdzielenia następuje najpóźniej po usunięciu rekordu operacyjnego powiadomienia i kluczy pozwalających połączyć rezerwację Segmentu z wpisem Gościa. Późniejszy rejestr okresowy zawiera wyłącznie dane Lokalu i agregaty rozliczeniowe.
Po zakończeniu Umowy Procesor, według wyboru Administratora, zwraca dostępne dane w standardowym formacie albo usuwa je w ciągu 30 dni, z uwzględnieniem krótszych terminów PII i cyklu niezmiennych kopii.
13. Bezpieczeństwo
Środki obejmują TLS, zarządzane szyfrowanie infrastruktury, RLS i izolację Lokali, role i zatwierdzane urządzenia, przechowywanie tokenów jako hashy, ograniczenia żądań, minimalizację i sanitację logów, oddzielenie środowisk test/live, idempotentne zadania, transakcyjne rezerwacje Segmentów, monitoring, kopie, procedurę incydentów i przeglądy dostępu.
14. Audyt
Procesor udostępnia odpowiednie raporty, opisy środków i odpowiedzi na kwestionariusz. Audyt odbywa się co do zasady nie częściej niż raz w roku, po 30-dniowym wyprzedzeniu i zdalnie w pierwszej kolejności, bez naruszania danych innych klientów ani bezpieczeństwa. Ograniczenia nie dotyczą kontroli po incydencie lub polecenia organu.
15. Zmiana doprecyzowująca
Wydanie v4 doprecyzowuje systemowe generowanie treści, dane przekazywane SMSAPI, Segmenty i oddzielenie rejestru rozliczeniowego. Dla istniejących Klientów jest komunikowane z Regulaminem i nie wymaga ponownej akceptacji, o ile wdrożenie nie dodaje dostawcy, celu, kategorii danych ani dłuższej retencji. Wystąpienie którejkolwiek z tych zmian blokuje rollout i wymaga osobnej decyzji prawnej oraz odpowiedniej aktualizacji DPA.
16. Odpowiedzialność i pierwszeństwo
Odpowiedzialność Stron podlega Regulaminowi z zastrzeżeniem bezwzględnie obowiązujących przepisów. W razie sprzeczności DPA ma pierwszeństwo w zakresie powierzenia. DPA obowiązuje przez cały czas przetwarzania danych powierzonych.