Umowa powierzenia przetwarzania danych osobowych

zawierana na podstawie art. 28 RODO przy rejestracji konta · wersja z dnia 13.11.2026

§ 1. Strony i przedmiot

1. Administratorem jest Klient (firma zakładająca konto), a podmiotem przetwarzającym In4TF Inc., 1309 Coffeen Avenue STE 20999, Sheridan, Wyoming 82801, USA („Przetwarzający”).
2. Przetwarzający przetwarza dane osobowe kontaktów Klienta wyłącznie w celu świadczenia usług Serwisu in4response: przechowywania bazy kontaktów, wysyłki wiadomości e-mail, obsługi zapisów i wypisów oraz statystyk.
3. Rodzaj danych: adres e-mail, imię, nazwisko, firma, telefon, inne pola dodane przez Klienta, informacje o zgodzie (data, IP, treść), dane o otwarciach i kliknięciach. Kategorie osób: klienci, kontrahenci i subskrybenci Klienta.
4. Umowa obowiązuje przez czas korzystania z Serwisu.

§ 2. Obowiązki Przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Klienta – za polecenia uważa się czynności wykonywane przez Klienta w Serwisie.
2. Zapewnia, że osoby z dostępem do danych są zobowiązane do zachowania poufności.
3. Stosuje środki techniczne i organizacyjne określone w § 5.
4. Pomaga Klientowi w realizacji praw osób, których dane dotyczą (np. eksport, usunięcie, wypis) oraz w obowiązkach z art. 32–36 RODO.
5. Zgłasza Klientowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego wykrycia.
6. Po zakończeniu umowy usuwa dane w ciągu 30 dni (kopie zapasowe w normalnym cyklu, do 30 dni), chyba że prawo wymaga ich przechowywania.
7. Udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty po uprzednim uzgodnieniu terminu (nie częściej niż raz w roku, na koszt Klienta).

§ 3. Dalsze powierzenie (podprzetwarzający)

Klient wyraża ogólną zgodę na korzystanie z podprzetwarzających. Aktualna lista:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – hosting i kopie zapasowe (Niemcy).
• Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paryż – wysyłka e-mail (UE).

O planowanej zmianie podprzetwarzających Przetwarzający informuje e-mailem z 14-dniowym wyprzedzeniem; Klient może zgłosić sprzeciw i rozwiązać umowę.

§ 3a. Przekazywanie danych poza EOG

Przetwarzający ma siedzibę w USA, a dane są przechowywane na serwerach w Niemczech. Do ewentualnego dostępu do danych z USA strony stosują standardowe klauzule umowne Komisji Europejskiej (decyzja 2021/914, moduł 2: administrator–podmiot przetwarzający), które stanowią integralną część niniejszej umowy. Przedstawiciel w UE (art. 27 RODO): Mateusz Król, Oberste-Wilms-Straße 1, 44309 Dortmund, Deutschland.

§ 4. Obowiązki Klienta

Klient odpowiada za legalność przetwarzania, w szczególności za posiadanie zgód odbiorców na otrzymywanie wiadomości.

§ 5. Środki bezpieczeństwa

• Szyfrowane połączenia (HTTPS/TLS), serwery w UE, kopie zapasowe.
• Logowanie dwuetapowe (kod e-mail lub aplikacja), hasła przechowywane jako skrót (bcrypt).
• Oddzielenie danych klientów w aplikacji (każde konto widzi wyłącznie swoje dane), automatyczne testy izolacji.
• Dziennik zdarzeń, ograniczenie dostępu administracyjnego do niezbędnych osób.

§ 6. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Regulamin oraz RODO. W razie sprzeczności niniejsza umowa ma pierwszeństwo przed Regulaminem w zakresie ochrony danych.