Umowa Powierzenia Przetwarzania Danych (DPA)

Data obowiązywania: 15 października 2025

Ostatnia aktualizacja: 12 listopada 2025

Niniejsza Umowa Powierzenia Przetwarzania Danych („Umowa DPA") stanowi część Regulaminu lub innej pisemnej bądź elektronicznej umowy („Umowa") zawartej między CONTENT24 TECHNOLOGIES LIMITED, działającym jako Content24 („Procesor"), a klientem („Administrator" lub „Klient"), który korzysta z platformy Content24 i powiązanych usług („Usługa").

1. Cel

Niniejsza Umowa DPA reguluje przetwarzanie danych osobowych przez Procesora w imieniu Administratora w związku ze świadczeniem Usługi, zgodnie z art. 28 RODO.

2. Definicje

Na potrzeby niniejszej Umowy DPA:

„Dane osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
„Przetwarzanie" oznacza każdą operację wykonywaną na danych osobowych, w tym zbieranie, przechowywanie, modyfikowanie, pobieranie, ujawnianie lub usuwanie.
„Administrator" oznacza podmiot, który określa cele i sposoby przetwarzania danych osobowych.
„Procesor" oznacza podmiot, który przetwarza dane osobowe w imieniu Administratora.
„Podprocesor" oznacza podmiot trzeci zaangażowany przez Procesora, który przetwarza dane osobowe w imieniu Administratora.
„Obowiązujące prawo" oznacza RODO oraz wszelkie inne przepisy dotyczące ochrony danych lub prywatności mające zastosowanie do stron.

3. Zakres przetwarzania

3.1 Charakter i cel

Procesor będzie przetwarzał dane osobowe wyłącznie w celu świadczenia, utrzymywania i ulepszania Usługi, wykonywania operacji technicznych oraz realizacji zobowiązań umownych wynikających z Umowy.

3.2 Przedmiot i czas trwania

Przetwarzanie będzie trwało przez okres obowiązywania Umowy i tylko tak długo, jak jest to konieczne do świadczenia Usługi lub wypełnienia obowiązków prawnych.

3.3 Rodzaj danych i kategorie osób, których dane dotyczą

Osoby, których dane dotyczą: użytkownicy końcowi, klienci lub upoważnieni użytkownicy Administratora.
Dane osobowe: imię i nazwisko, adres e-mail, adres IP, dane płatnicze (poprzez procesora zewnętrznego), treści generowane przez użytkowników oraz inne informacje dostarczone lub zebrane podczas korzystania z Usługi.

4. Obowiązki Procesora

Procesor zobowiązuje się do:

Przetwarzania danych osobowych wyłącznie na udokumentowane polecenia Administratora.
Zapewnienia, że osoby upoważnione do przetwarzania danych osobowych są związane obowiązkami poufności.
Wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających poziom bezpieczeństwa odpowiedni do ryzyka, w tym szyfrowania, kontroli dostępu i regularnych audytów.
Powiadomienia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych.
Udzielenia Administratorowi, w miarę możliwości, pomocy w wypełnianiu obowiązków dotyczących praw osób, których dane dotyczą, ocen skutków dla ochrony danych oraz uprzednich konsultacji z organami nadzorczymi.
Usunięcia lub zwrócenia wszystkich danych osobowych po zakończeniu Umowy, chyba że przechowywanie jest wymagane przez prawo.
Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania zgodności z niniejszą Umową DPA oraz umożliwienia rozsądnych audytów.

5. Obowiązki Administratora

Administrator zobowiązuje się do:

Zapewnienia, że wszystkie dane osobowe przekazane Procesorowi zostały zebrane zgodnie z prawem i że uzyskano wszystkie wymagane zgody.
Określenia podstawy prawnej przetwarzania zgodnie z RODO.
Prowadzenia aktualnego rejestru czynności przetwarzania.
Reagowania na wnioski osób, których dane dotyczą, oraz powiadamiania Procesora, gdy wymagana jest jego współpraca.

6. Podprocesorzy

Administrator upoważnia Procesora do angażowania podprocesorów, w tym Amazon Web Services (AWS) do hostingu i przechowywania, Cloudflare do bezpieczeństwa i CDN, OpenAI i Anthropic do generowania treści AI, Stripe i PayPal do przetwarzania płatności oraz narzędzi e-mail, analityki i CRM, zgodnie z ujawnieniem w Polityce prywatności.
Procesor zapewni, że każdy Podprocesor jest związany pisemnymi warunkami nakładającymi obowiązki w zakresie ochrony danych równoważne z tymi w niniejszej Umowie DPA.
Procesor powiadomi Administratora z wyprzedzeniem o każdym zamierzonym dodaniu lub zastąpieniu Podprocesorów, dając Administratorowi możliwość wniesienia sprzeciwu z uzasadnionych powodów.

7. Środki bezpieczeństwa

Procesor utrzymuje certyfikowany System Zarządzania Bezpieczeństwem Informacji (ISMS) ISO/IEC 27001 i wdraża następujące kontrole:

Szyfrowanie danych w spoczynku i podczas przesyłania (AES-256 / TLS 1.2+).
Kontrola dostępu, MFA i uprawnienia oparte na rolach.
Regularne testy penetracyjne i skanowanie luk w zabezpieczeniach.
Bezpieczne kopie zapasowe i systemy odzyskiwania po awarii.
Szkolenia pracowników w zakresie bezpieczeństwa i umowy o poufności.
Rejestrowanie i ciągłe monitorowanie.

8. Międzynarodowe transfery danych

Przy przekazywaniu danych osobowych poza Europejski Obszar Gospodarczy (EOG) Procesor zapewnia odpowiednią ochronę, opierając się na Standardowych Klauzulach Umownych (SCC) zatwierdzonych przez Komisję Europejską, korzystając z dostawców certyfikowanych w ramach Ram Ochrony Danych UE-USA (DPF) oraz przeprowadzając Oceny Wpływu Transferu (TIA), gdy jest to wymagane.

9. Prawa osób, których dane dotyczą

Procesor niezwłocznie powiadomi Administratora, jeśli otrzyma wniosek od osoby, której dane dotyczą, i nie odpowie bezpośrednio bez upoważnienia Administratora, chyba że wymaga tego prawo.

10. Powiadomienie o naruszeniu danych

Procesor powiadomi Administratora bez zbędnej zwłoki (i w ciągu 72 godzin, gdy jest to możliwe) po stwierdzeniu potwierdzonego naruszenia ochrony danych osobowych.

Charakter naruszenia.
Kategorie i przybliżona liczba osób, których dane dotyczą.
Prawdopodobne konsekwencje.
Środki podjęte lub proponowane w celu złagodzenia jego skutków.

11. Audyt i certyfikacja

Procesor utrzymuje niezależne certyfikaty ISO/IEC 27001 i ISO/IEC 9001.
Na pisemny wniosek Procesor udostępni odpowiednie raporty certyfikacyjne lub podsumowania w celu wykazania zgodności.
Audyty na miejscu mogą być żądane nie częściej niż raz w roku i nie mogą nadmiernie zakłócać działalności.

12. Odpowiedzialność

Odpowiedzialność za naruszenie niniejszej Umowy DPA podlega ograniczeniom i wyłączeniom odpowiedzialności określonym w głównej Umowie.

13. Czas trwania i rozwiązanie

Niniejsza Umowa DPA pozostaje w mocy przez okres obowiązywania Umowy. Po rozwiązaniu Procesor, według wyboru Administratora, usunie lub zwróci wszystkie dane osobowe, chyba że przechowywanie jest wymagane przez prawo.

14. Prawo właściwe i jurysdykcja

Niniejsza Umowa DPA podlega prawu Republiki Cypryjskiej i jest interpretowana zgodnie z nim. Strony poddają się wyłącznej jurysdykcji sądów Cypryjskich.

15. Kontakt

CONTENT24 TECHNOLOGIES LIMITED, działając jako Content24.

Adres: 34 Falirou, 1st Floor, Office 103, 2066 Strovolos, Nicosia, Cyprus.

Wsparcie: support@content24.ai.