Umowa powierzenia przetwarzania danych osobowych

Wersja avv@2026-11-11.1 · obowiązuje od 11 lis 2026

Wzór — przed publikacją tekst musi zostać sprawdzony przez prawnika. Oznaczone pola uzupełnia operator.

1. Strony i przedmiot umowy

Niniejsza umowa obowiązuje pomiędzy firmą korzystającą z Nexa AI (administrator) a [Do uzupełnienia: Nazwa firmy z formą prawną], [Do uzupełnienia: Ulica i numer], [Do uzupełnienia: Kod pocztowy i miejscowość] (podmiot przetwarzający). Reguluje przetwarzanie danych osobowych, którego podmiot przetwarzający dokonuje w imieniu administratora w ramach udostępniania platformy. Umowa zostaje zawarta z chwilą akceptacji przy logowaniu i stanowi część regulaminu.

2. Charakter, cel i zakres przetwarzania

3. Polecenia

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora. Poleceniami są regulamin, ustawienia i działania administratora w platformie oraz pisemne polecenia indywidualne. Jeżeli podmiot przetwarzający uzna polecenie za niezgodne z prawem, niezwłocznie o tym informuje.

4. Poufność

Wszystkie osoby mające u podmiotu przetwarzającego dostęp do danych są zobowiązane do zachowania poufności. Dostęp wsparcia technicznego odbywa się wyłącznie za zgodą administratora, przez ograniczony czas i jest w pełni rejestrowany.

5. Bezpieczeństwo przetwarzania

Podmiot przetwarzający stosuje środki techniczne i organizacyjne zgodnie z art. 32 RODO, opisane w załączniku 1. Może je dostosowywać do aktualnego stanu techniki, o ile poziom ochrony nie ulegnie obniżeniu.

6. Dalsze podmioty przetwarzające

Administrator wyraża zgodę na dalsze podmioty przetwarzające wymienione w załączniku 2. O nowych lub zmienionych podmiotach podmiot przetwarzający informuje z co najmniej 30-dniowym wyprzedzeniem; administrator może wnieść sprzeciw z ważnych powodów związanych z ochroną danych. Podmiot przetwarzający zobowiązuje każdy dalszy podmiot umownie do zapewnienia równoważnego poziomu ochrony.

7. Wsparcie administratora

Podmiot przetwarzający wspiera administratora w obsłudze żądań osób, których dane dotyczą (art. 12–22 RODO), w zgłaszaniu naruszeń ochrony danych, w ocenach skutków dla ochrony danych oraz w kontaktach z organami nadzorczymi. Naruszenie ochrony danych osobowych zgłasza niezwłocznie, w miarę możliwości w ciągu 24 godzin od jego stwierdzenia.

8. Usunięcie i zwrot danych

Po zakończeniu umowy administrator może w ciągu 30 dni wyeksportować swoje dane. Następnie podmiot przetwarzający usuwa dane, o ile przepisy nie wymagają ich przechowywania. Kopie zapasowe są nadpisywane w ramach regularnej rotacji (maksymalnie sześć miesięcy).

9. Wykazanie zgodności i audyty

Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności i umożliwia przeprowadzanie audytów przez administratora lub upoważnionego przez niego audytora po odpowiednim uprzedzeniu.

10. Odpowiedzialność i postanowienia końcowe

Odpowiedzialność określa art. 82 RODO. W sprawach ochrony danych niniejsza umowa ma pierwszeństwo przed regulaminem. Obowiązuje prawo niemieckie.

Załącznik 1 — Środki techniczne i organizacyjne (art. 32 RODO)

Poufność — dostęp fizyczny

• Działanie wyłącznie w centrach danych Hetzner Online GmbH w Niemczech (serwer w Falkenstein, FSN1) z kontrolą dostępu, monitoringiem wideo i całodobowym personelem (zgodnie ze środkami technicznymi i organizacyjnymi Hetzner).
• Brak przetwarzania na komputerach biurowych; dane klientów nie są przechowywane na laptopach operatora.

Poufność — dostęp do systemów

• Dostęp do serwera wyłącznie przez klucz SSH (logowanie hasłem i jako root wyłączone, automatyczna blokada po powtarzających się nieudanych próbach); zapora sieciowa przepuszcza tylko porty 22, 80 i 443, wszystkie usługi działają wewnętrznie za serwerem proxy HTTPS.
• Hasła użytkowników przechowywane wyłącznie jako skrót scrypt; sesje to losowe klucze przechowywane na serwerze wyłącznie jako skrót, wygasające po maksymalnie 12 godzinach.
• Uwierzytelnianie dwuskładnikowe dla kont operatora u dostawców usług (Hetzner i GitHub aktywne; Hostinger do włączenia przed uruchomieniem); uwierzytelnianie dwuskładnikowe w portalach jest w trakcie wdrażania.

Poufność — uprawnienia i separacja

• Każda firma jest odrębnym najemcą: baza danych wymusza separację za pomocą Row-Level Security dla każdej tabeli (aplikacja nie może obejść tej kontroli); automatyczne testy przy każdej zmianie sprawdzają, że każda tabela jest chroniona.
• Role i uprawnienia w każdej firmie (np. właściciel, administracja, magazyn, księgowość); każda czynność jest sprawdzana po stronie serwera.
• Dane są udostępniane między firmami wyłącznie na podstawie wyraźnych, odwołalnych zgód.
• Dane dostępowe do podłączonych usług przechowywane są w postaci zaszyfrowanej (AES-256-GCM) i nigdy nie są zapisywane w logach.

Integralność

• Transmisja wyłącznie szyfrowana (HTTPS/TLS); wiadomości e-mail wysyłane przez STARTTLS.
• Niezmienialna historia zmian: kto, kiedy i co zmienił — wpisów nie można później edytować ani usuwać.
• Pliki nigdy nie są nadpisywane, lecz wersjonowane.

Dostępność i odporność

• Dyski lustrzane (RAID 1) w serwerze; monitorowanie usług, pamięci i stanu dysków z alarmowaniem.
• Ciągła kopia zapasowa bazy danych (odtworzenie do dowolnego momentu z ostatnich 35 dni) i codzienna kopia plików; kopie są szyfrowane AES-256 przed wysłaniem i przechowywane w oddzielnej lokalizacji (Hetzner Storage Box).
• Cotygodniowy automatyczny test odtwarzania; cel: maksymalnie 15 minut utraty danych i maksymalnie 4 godziny przerwy w razie całkowitej awarii.
• Aktualizacje bezpieczeństwa systemu operacyjnego instalowane automatycznie.

Regularna weryfikacja

• Każda zmiana oprogramowania przechodzi automatyczne kontrole (testy, reguły bezpieczeństwa, separacja najemców) przed wdrożeniem.
• Przed każdym wdrożeniem tworzona jest zweryfikowana kopia zapasowa bazy danych.
• Przegląd tych środków co najmniej raz w roku oraz przy istotnych zmianach.

Środki opisują planowane środowisko produkcyjne (serwer, pamięć i kopie zapasowe zostaną uruchomione wraz ze startem). Przed uruchomieniem porównać z rzeczywistym stanem.

Załącznik 2 — Zatwierdzone dalsze podmioty przetwarzające