Umowa powierzenia przetwarzania danych
Wersja 2026-10-22-1 • 22 października 2026 r.
Jakub Smorąg • ul. Wrocławska 20, 55-095 Mirków, Polska • smoragjakub@gmail.com

1. Strony i udokumentowane instrukcje

Umowa jest zawierana pomiędzy Klientem wskazanym w formularzu akceptacji (Administrator), reprezentowanym przez wskazaną tam uprawnioną osobę, a Jakubem Smorągiem, ul. Wrocławska 20, 55-095 Mirków, Polska, smoragjakub@gmail.com (Podmiot przetwarzający, dalej Procesor). Jest częścią warunków SMSBiznes i określa warunki powierzenia wymagane art. 28 ust. 3 RODO. Wersjonowana akceptacja elektroniczna i zapis danych stron stanowią formę dokumentową, w tym elektroniczną formę przewidzianą w art. 28 ust. 9 RODO.

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora: niniejszą umowę, ustawienia i operacje wykonane przez uprawnione konto oraz zweryfikowane dyspozycje przekazane pisemnie lub elektronicznie. Polecenia dotyczą także transferów poza EOG. Jeżeli obowiązek przetwarzania nakłada prawo, Procesor informuje o nim przed przetwarzaniem, chyba że prawo zabrania takiej informacji. Niezwłocznie informuje również, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych, i wstrzymuje wykonanie spornej części do wyjaśnienia.

Procesor nie używa powierzonych danych do własnego marketingu, sprzedaży baz ani tworzenia profili. Przetwarzanie własnych danych umownych, bezpieczeństwa i wspólnej listy blokad w roli administratora jest odrębnie opisane w polityce prywatności i nie rozszerza celu powierzenia. Wspólna blokada powstaje na wyraźne żądanie odbiorcy i ogranicza wysyłki całej platformy; nie ujawnia innym firmom listy numerów ani źródła sprzeciwu.

2. Przedmiot, charakter i czas

Cel: obsługa bazy kontaktów Administratora, realizacja jego legalnych zleceń SMS, kierowanie do strony opinii, dostarczanie historii i statusów, ewidencja deklaracji zgód oraz obsługa rezygnacji i praw odbiorców. Operacje: zapis, organizowanie, przechowywanie, odczyt, personalizacja, przekazanie do operatora, aktualizacja, ograniczenie, eksport na polecenie, usuwanie i pseudonimizacja blokad.

Osoby: klienci i potencjalni klienci Administratora oraz osoby kontaktowe, których numery Administrator zgodnie z prawem przetwarza. Dane: numer telefonu, opcjonalne imię, treść i parametry wiadomości, tokeny linków, czas i statusy zlecenia/doręczenia/otwarcia strony, identyfikator operatora, opis i czas zapisania deklaracji zgody, informacje o rezygnacji oraz pseudonimowy identyfikator blokady. Historyczne dane z wcześniej używanej funkcji ankiety, jeżeli istnieją, mogą obejmować ocenę, komentarz i dobrowolny kontakt; nowa wersja tej ankiety nie zbiera.

Powierzenie trwa przez okres świadczenia usługi i niezbędny okres jej zakończenia opisany w pkt 7. Administrator określa cel, podstawę, zakres i okresy niezbędności danych oraz kontroluje ich aktualność. Danych szczególnych kategorii i dotyczących wyroków nie wolno powierzać za pomocą tej usługi. Przypadkowe wprowadzenie takich danych wymaga niezwłocznego zgłoszenia i ograniczenia przetwarzania.

3. Obowiązki Administratora

Administrator odpowiada za legalne pozyskanie numerów, wymaganą zgodę na kanał SMS i cel wiadomości, obowiązki informacyjne wobec odbiorców oraz przechowanie pierwotnych dowodów. Polecenie wysyłki i deklaracja w panelu nie zastępują tych obowiązków. Administrator zapewnia, że zakres danych jest niezbędny, instrukcje zgodne z prawem, a osoby z dostępem do konta uprawnione.

Administrator niezwłocznie przekazuje sprzeciwy, cofnięcia zgód, sprostowania i inne dyspozycje wymagające działania Procesora. Sprawdza okresy retencji, nie przechowuje niepotrzebnych danych bezterminowo i wskazuje termin usunięcia zbędnej historii. Odpowiada za aktualny adres do kontaktu w sprawach bezpieczeństwa i powierzenia.

4. Poufność i środki bezpieczeństwa

Procesor dopuszcza do danych wyłącznie osoby upoważnione, zobowiązane do poufności lub objęte ustawowym obowiązkiem poufności. Utrzymuje środki adekwatne do ryzyka na zasadach art. 32 RODO, regularnie ocenia ich skuteczność i ogranicza dostęp do niezbędnego zakresu.

Środki aplikacji obejmują: rozdzielenie danych firm przez identyfikator konta, uwierzytelnianie i role, skróty haseł i tokenów sesji, wygasanie sesji, bezpieczny plik sesji, kontrolę pochodzenia żądań zmieniających dane, limity operacji, nieprzewidywalne tokeny linków, blokady ponownej wysyłki, ochronę przed podwójnym zleceniem, ograniczenie treści logów błędów oraz transmisję HTTPS w środowisku produkcyjnym. Klient powinien traktować link odbiorcy jak poufną informację i nie publikować go.

Procesor odpowiada za aktualizacje, konfigurację dostępu do hostingu i bazy, kontrolę uprawnień oraz plan odtworzenia. Wykorzystanie kopii dostawcy wymaga kontroli ich konfiguracji, terminów i możliwości przywrócenia. Powyższy opis nie jest zapewnieniem certyfikacji, szyfrowania end-to-end, braku możliwości awarii ani automatycznego usuwania danych. Szczegółowe informacje o zabezpieczeniach są udostępniane Administratorowi w bezpieczny sposób, bez ujawniania sekretów.

5. Dalsze powierzenie i transfery

Administrator udziela ogólnego pisemnego upoważnienia do angażowania dostawców niezbędnych dla usługi, pod warunkiem zawarcia wiążących umów zapewniających co najmniej obowiązki wymagane art. 28 RODO. Na dzień tej wersji usługa korzysta z Hostinger (hosting i baza, podmiot właściwy dla rachunku hostingowego) oraz SMSPLANET — App World sp. z o.o., Wrocław (przekazanie i obsługa SMS). Aktualne dane kontrahenta Hostinger, lokalizacji i dalszych dostawców wynikają z umowy hostingowej i muszą zostać przekazane Administratorowi przed podpowierzeniem oraz aktualizowane przy zmianach. Samo wskazanie marki nie zastępuje weryfikacji ani zawarcia wymaganej umowy. Na dzień przygotowania tej wersji faktyczna strona umowy Hostinger, lokalizacje, transfery i umowa dalszego powierzenia w SMSPLANET nie zostały potwierdzone w audycie; ich ustalenie jest warunkiem prawidłowego podpowierzenia, którego sama akceptacja tej umowy nie zastępuje.

Przed powierzeniem Procesor weryfikuje podstawę korzystania z dostawcy i jego obowiązki. Jeśli operator telekomunikacyjny działa w określonym zakresie jako niezależny administrator, role i zakres ujawnienia należy ustalić zgodnie z rzeczywistą usługą i prawem. Procesor pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków przez podwykonawcę zgodnie z art. 28 ust. 4 RODO.

Procesor informuje na wskazany adres kontaktowy o planowanym dodaniu lub zastąpieniu podwykonawcy co najmniej 14 dni wcześniej, udostępniając zakres i lokalizację przetwarzania. Administrator może wnieść uzasadniony sprzeciw z przyczyn ochrony danych. Strony szukają zgodnego rozwiązania; do czasu rozstrzygnięcia nie przekazuje się danych nowemu dostawcy w spornym zakresie. Gdy rozwiązanie nie jest możliwe, Administrator może zakończyć dotknięty zmianą zakres usługi bez opłaty za wcześniejsze zakończenie.

Przekazanie poza EOG wymaga udokumentowanej instrukcji i zgodnej z rozdziałem V RODO podstawy, oceny warunków transferu oraz dodatkowych zabezpieczeń, jeżeli są potrzebne. Procesor udostępnia informację o odbiorcy, podstawie i sposobie uzyskania kopii zabezpieczeń. Ogólna akceptacja tej umowy nie jest zgodą odbiorców na dowolny transfer ani podstawą pominięcia tych wymogów.

6. Prawa osób, naruszenia i audyt

Uwzględniając charakter przetwarzania i dostępne informacje, Procesor pomaga Administratorowi realizować prawa osób, obowiązki z art. 32–36 RODO, ocenę skutków i konsultacje z organem. Otrzymane żądanie osoby dotyczące danych powierzonych przekazuje Administratorowi bez zbędnej zwłoki, co do zasady w ciągu 2 dni roboczych. Samodzielnie wykonuje przewidzianą w usłudze rezygnację; innych rozstrzygnięć nie podejmuje za Administratora bez upoważnienia, chyba że wymaga tego prawo.

Procesor zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, w miarę możliwości w ciągu 24 godzin od stwierdzenia, nie czekając na pełne dochodzenie. Przekazuje znane okoliczności, rodzaje danych i osób, możliwe skutki, działania zaradcze i kontakt; brakujące informacje uzupełnia etapami. Administrator ocenia obowiązek zgłoszenia organowi w terminie wynikającym z RODO i zawiadomienia osób. Procesor zabezpiecza dowody i współpracuje w ograniczaniu skutków.

Procesor udostępnia informacje konieczne do wykazania zgodności i umożliwia audyty, w tym inspekcje przez Administratora lub upoważnionego niezależnego audytora. Strony uzgadniają bezpieczny zakres, poufność i zwykle co najmniej 7 dni roboczych uprzedzenia. Przy incydencie, żądaniu organu lub pilnej potrzebie termin nie może uniemożliwiać audytu. Nie udostępnia się danych innych klientów ani sekretów ponad niezbędny zakres. Uzgodnienie kosztów dodatkowych prac nie może blokować ustawowej kontroli i pomocy.

7. Zakończenie, zwrot i usuwanie

Po zakończeniu świadczenia usług związanych z przetwarzaniem Procesor, według wyboru Administratora, zwraca dane w uzgodnionym powszechnym formacie i usuwa pozostałe kopie albo usuwa dane bez zwrotu, chyba że prawo wymaga dalszego przechowywania. Dyspozycję można przekazać na smoragjakub@gmail.com; nie wymaga zakupu nowego pakietu. Przed końcem umowy strony ustalają wybór i bezpieczny sposób przekazania. Administrator może zażądać zwrotu najpóźniej w ciągu 30 dni od zakończenia. Przy braku innej dyspozycji niniejsza umowa stanowi polecenie usunięcia z aktywnej bazy po upływie tych 30 dni. Procesor przypomina o możliwości zwrotu w ciągu 7 dni od zakończenia. Nie wymaga się dodatkowej zgody na wykonanie domyślnej instrukcji usunięcia.

Zwrot i usunięcie z aktywnej bazy następują bez zbędnej zwłoki, co do zasady w ciągu 30 dni od zakończenia, a przy zleceniu zwrotu w ostatnich 7 dniach tego okresu — w ciągu 7 dni od zlecenia. Obsługa odbywa się administracyjnie, a nie przez automatyczny harmonogram aplikacji. Zakres niezbędny do wykonania obowiązku prawnego podlega wyodrębnieniu, ograniczeniu celu i wskazaniu podstawy oraz terminu. Dane w kopiach zapasowych zostają wyłączone ze zwykłego użycia i usunięte zgodnie z ustalonym cyklem; Procesor przekazuje Administratorowi konkretny termin wynikający ze zweryfikowanej konfiguracji. Ewentualne odtworzenie kopii musi uwzględnić ponowne wykonanie dyspozycji usunięcia.

W czasie trwania umowy usunięcie aktywnego kontaktu nie oznacza usunięcia historii. Administrator wskazuje potrzebny zakres usunięcia lub ograniczenia. Pseudonimowy identyfikator rezygnacji może być zachowany, gdy jest niezbędny do realizacji sprzeciwu i zapobiegania ponownej wysyłce; nie może służyć innym celom. Procesor potwierdza wykonanie uzgodnionej dyspozycji i informuje o uzasadnionych wyjątkach.

8. Odpowiedzialność i pierwszeństwo

Każda strona odpowiada za obowiązki wynikające z jej rzeczywistej roli i z przepisów. Postanowienia umowy nie wyłączają odpowiedzialności określonej w art. 82 RODO, praw osób ani kompetencji organów. Klient nie przejmuje automatycznie odpowiedzialności Procesora za bezpieczeństwo, podwykonawców lub wykonanie bezprawnego polecenia z naruszeniem własnych obowiązków.

W sprawach ochrony danych niniejsza umowa ma pierwszeństwo przed sprzecznym postanowieniem regulaminu. Zmiana celu, rodzaju danych lub istotnych warunków wymaga udokumentowania i właściwego uzgodnienia. Dokument obowiązuje od 22 października 2026 r., wersja 2026-10-22-1.