Umowa powierzenia przetwarzania danych (art. 28 RODO)

1. Strony i przedmiot

1.1 Administratorem jest Użytkownik (zwany dalej „Zleceniodawcą”), podmiotem przetwarzającym jest iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Niemcy (zwana dalej „iBeekeeper”).

1.2 iBeekeeper przetwarza dane osobowe w imieniu Zleceniodawcy w zakresie, w jakim Zleceniodawca zapisuje je w Usłudze w ramach umowy o korzystanie (Regulaminu). Czas trwania: okres obowiązywania umowy o korzystanie powiększony o terminy określone w pkt 9.

2. Charakter, cel i zakres

3. Polecenia

iBeekeeper przetwarza dane wyłącznie na udokumentowane polecenie Zleceniodawcy. Polecenia są w sposób wyczerpujący określone w umowie o korzystanie oraz w ustawieniach i funkcjach Usługi, z których korzysta Zleceniodawca. Dalsze polecenia Zleceniodawca wydaje w formie tekstowej na adres service@ibeekeeper.de. Jeżeli iBeekeeper uzna polecenie za niezgodne z prawem, niezwłocznie informuje o tym Zleceniodawcę (art. 28 ust. 3 zdanie 3 RODO).

4. Poufność

iBeekeeper korzysta wyłącznie z osób, które zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy.

5. Środki techniczne i organizacyjne

iBeekeeper stosuje środki zgodnie z art. 32 RODO opisane w Załączniku 1 i dostosowuje je do aktualnego stanu wiedzy technicznej bez obniżania poziomu ochrony.

6. Dalsze podmioty przetwarzające

6.1 Zleceniodawca wyraża zgodę na dalsze podmioty przetwarzające wymienione w Załączniku 2.

6.2 iBeekeeper informuje Zleceniodawcę w formie tekstowej co najmniej 30 dni wcześniej o każdym zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego. Zleceniodawca może w tym terminie wnieść sprzeciw z ważnej przyczyny dotyczącej ochrony danych. Jeżeli strony nie dojdą do porozumienia, Zleceniodawca może wypowiedzieć umowę o korzystanie ze skutkiem na dzień wprowadzenia zmiany.

6.3 iBeekeeper nakłada w drodze umowy na każdy dalszy podmiot przetwarzający te same obowiązki w zakresie ochrony danych.

7. Wspieranie Zleceniodawcy

iBeekeeper wspiera Zleceniodawcę za pomocą odpowiednich środków w odpowiadaniu na żądania osób, których dane dotyczą (art. 12 do 22 RODO), w szczególności za pomocą funkcji eksportu, zmiany i usuwania danych w Usłudze, a także w wywiązywaniu się z obowiązków określonych w art. 32 do 36 RODO. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do iBeekeeper, iBeekeeper przekazuje zapytanie Zleceniodawcy.

8. Naruszenia ochrony danych osobowych

iBeekeeper zgłasza Zleceniodawcy naruszenie ochrony powierzonych danych bez zbędnej zwłoki, w miarę możliwości w ciągu 48 godzin od stwierdzenia naruszenia, wraz z informacjami określonymi w art. 33 ust. 3 RODO, o ile są one znane.

9. Usunięcie i zwrot danych

Zleceniodawca może w każdej chwili samodzielnie eksportować i usuwać dane. Po zakończeniu umowy o korzystanie lub po usunięciu konta iBeekeeper usuwa powierzone dane w terminach określonych w Regulaminie (pkt 9.7), o ile nie istnieje ustawowy obowiązek ich przechowywania. Codzienne kopie zapasowe są usuwane po 30 dniach, jeden stan z każdego miesiąca kalendarzowego po 12 miesiącach. Kopie zapasowe są szyfrowane i wykorzystywane wyłącznie do przywracania danych; po przywróceniu dane usunięte w międzyczasie są usuwane ponownie.

10. Dowody i kontrole

iBeekeeper udostępnia Zleceniodawcy na żądanie informacje niezbędne do wykazania przestrzegania niniejszych obowiązków i umożliwia przeprowadzanie audytów przez Zleceniodawcę lub upoważnionego przez niego audytora zobowiązanego do zachowania poufności, po zgłoszeniu z odpowiednim wyprzedzeniem, w godzinach pracy. W pierwszej kolejności wykazanie następuje za pomocą dokumentów i informacji.

11. Odpowiedzialność i postanowienia końcowe

W zakresie odpowiedzialności zastosowanie ma art. 82 RODO; w pozostałym zakresie obowiązuje Regulamin. W razie sprzeczności niniejsza umowa ma pierwszeństwo przed Regulaminem w zakresie dotyczącym ochrony danych osobowych.

Załącznik 1: Środki techniczne i organizacyjne

• Dostęp fizyczny i bezpieczeństwo fizyczne: serwery wyłącznie w centrach danych OVHcloud, stroną umowy jest OVH GmbH, Kolonia; kontrola dostępu fizycznego przez OVHcloud zgodnie z jej umową powierzenia przetwarzania danych (wersja z dnia 17.10.2025 r.).
• Dostęp do systemów: logowanie za pomocą hasła, hasła przechowywane wyłącznie w postaci skrótu (hash); dostęp administratora do serwerów wyłącznie za pomocą klucza SSH.
• Dostęp do danych: uprawnienia w Usłudze dla każdego konta, udostępnienia wyłącznie przez Użytkownika; dostępy administracyjne są protokołowane (aplikacja administracyjna, protokół działań dotyczących klientów).
• Przekazywanie: szyfrowanie transmisji TLS dla wszystkich połączeń; zdjęcia bez metadanych.
• Kontrola wprowadzania danych: dziennik zmian dla księgi kasowej i faktur wystawionych, niezmienialne przechowywanie z sumą kontrolną.
• Dostępność: codzienna kopia zapasowa bazy danych i plików multimedialnych na oddzielnym nośniku (magazyn obiektów OVHcloud w Niemczech); codzienne kopie zapasowe są usuwane po 30 dniach, jeden stan z każdego miesiąca kalendarzowego po 12 miesiącach; kopie zapasowe są szyfrowane i wykorzystywane wyłącznie do przywracania danych; przywracanie danych jest testowane co najmniej raz w roku, a wynik jest dokumentowany.
• Rozdzielenie: przechowywanie danych z obsługą wielu klientów (multi-tenancy), zapytania w obrębie poszczególnych kont.
• Weryfikacja: aktualizacje zabezpieczeń serwerów i zależności, coroczny przegląd środków.

Załącznik 2: Dalsze podmioty przetwarzające

OVH GmbH korzysta ze swojej strony ze spółek grupy OVHcloud, w zakresie obsługi i konserwacji również z OVH Hébergement Inc. (Kanada) i OVH Limited (Zjednoczone Królestwo); aktualna lista jest dostępna pod adresem https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Nie są dalszymi podmiotami przetwarzającymi: Mollie, Apple i Google (płatność lub dostarczanie we własnym stosunku prawnym z Użytkownikiem, bez powierzonych danych).