Umowa powierzenia przetwarzania danych (DPA)

Ostatnia aktualizacja: 2026-06-03

1. Role stron i przedmiot

1.1. W odniesieniu do danych zbieranych za pośrednictwem skryptu Stats na stronach Użytkownika: Użytkownik jest administratorem, a Operator jest podmiotem przetwarzającym (procesorem).

1.2. Operator przetwarza te dane wyłącznie w celu świadczenia Usługi (zbieranie i analiza statystyk ruchu) na rzecz Użytkownika.

1.3. Dane konta Użytkownika (e-mail, dane rozliczeniowe) Operator przetwarza jako odrębny administrator — opisuje to Polityka prywatności; nie są one przedmiotem niniejszej Umowy.

2. Charakter, cel, czas i rodzaj danych

• Charakter i cel: zbieranie, przechowywanie i udostępnianie Użytkownikowi statystyk ruchu w sposób przyjazny prywatności.
• Czas: przez okres obowiązywania umowy o świadczenie Usługi i zgodnie z retencją widoczności wybranego Planu; fizyczne czyszczenie magazynów analitycznych, logów i kopii technicznych odbywa się zgodnie z TTL oraz polityką backupów.
• Kategorie osób: odwiedzający strony internetowe Użytkownika.
• Rodzaj danych: dane techniczne i o zdarzeniach (m.in. zahaszowany identyfikator wizyty rotujący co 24 h, adres URL, referrer, kraj/region, typ urządzenia i przeglądarki, zdarzenia). Usługa nie jest przeznaczona do zbierania danych bezpośrednio identyfikujących ani danych szczególnych kategorii (art. 9 RODO).

3. Przetwarzanie na polecenie

Operator przetwarza dane wyłącznie na udokumentowane polecenie Użytkownika, którym jest korzystanie z Usługi zgodnie z Regulaminem i ustawieniami konta, chyba że obowiązek przetwarzania wynika z prawa UE lub państwa członkowskiego.

4. Poufność

Operator zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu obowiązkowi ustawowemu.

5. Bezpieczeństwo (art. 32 RODO)

Operator wdraża odpowiednie środki techniczne i organizacyjne: szyfrowanie połączeń (TLS), haszowanie haseł, kontrolę i ograniczanie dostępu, minimalizację danych (m.in. brak przechowywania pełnego, identyfikującego adresu IP), separację środowisk oraz kopie zapasowe. Szczegóły w Załączniku B.

6. Sub-procesorzy

6.1. Użytkownik udziela Operatorowi ogólnej zgody na korzystanie z sub-procesorów wymienionych w Załączniku A.

6.2. Operator nakłada na każdego sub-procesora obowiązki ochrony danych nie mniejsze niż określone w niniejszej Umowie i pozostaje odpowiedzialny za ich działania.

6.3. O zamierzonej zmianie sub-procesorów (dodanie/zastąpienie) Operator poinformuje, aktualizując Załącznik A wraz z datą; Użytkownik może wnieść sprzeciw z ważnych przyczyn ochrony danych przez stronie Kontakt.

7. Pomoc administratorowi

Operator pomaga Użytkownikowi, w miarę możliwości, w realizacji żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) oraz w wypełnianiu obowiązków z art. 32–36 RODO. Operator bez zbędnej zwłoki zgłasza Użytkownikowi naruszenia ochrony danych, o których się dowie.

8. Przekazywanie poza EOG

Jeżeli sub-procesor przetwarza dane poza Europejskim Obszarem Gospodarczym, odbywa się to na podstawie decyzji o adekwatności lub odpowiednich zabezpieczeń (np. standardowych klauzul umownych UE). Lokalizacja i podstawa wskazane są w Załączniku A.

9. Usunięcie lub zwrot danych

Po zakończeniu świadczenia Usługi Operator, według wyboru Użytkownika, usuwa, blokuje dostęp albo zwraca dane w zakresie technicznie możliwym, chyba że prawo wymaga ich dalszego przechowywania. Użytkownik może też w każdej chwili usunąć konto z poziomu ustawień; dostęp do konta, stron i statystyk zostaje wtedy zablokowany, a fizyczne czyszczenie magazynów analitycznych, logów i kopii technicznych odbywa się zgodnie z TTL, harmonogramem cleanupu i polityką backupów.

10. Audyt i informacje

Operator udostępnia Użytkownikowi informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty (w tym inspekcje) w rozsądnym zakresie, po wcześniejszym uzgodnieniu i z poszanowaniem poufności oraz bezpieczeństwa innych klientów.

11. Obowiązywanie

Umowa obowiązuje przez czas, w którym Operator przetwarza dane w imieniu Użytkownika. W razie sprzeczności z Regulaminem, w zakresie powierzenia przetwarzania danych pierwszeństwo ma niniejsza Umowa.

Załącznik A — Sub-procesorzy

Podmioty przetwarzające na nasze zlecenie dane zbierane za pośrednictwem skryptu na stronach Użytkownika. Lista aktualizowana wraz z datą przy każdej zmianie.

Operatorzy płatności (Stripe, PayU, Paddle) przetwarzają wyłącznie dane rozliczeniowe posiadacza konta — nie dane odwiedzających strony Użytkownika — i opisani są w Polityce prywatności (sekcja 5). Poczta wychodząca obsługiwana jest przez własny serwer Operatora, a geolokalizacja odbywa się lokalnie na podstawie wbudowanej bazy (dane odwiedzających nie są w tym celu przekazywane podmiotom trzecim).

Załącznik B — Środki bezpieczeństwa

• szyfrowanie transmisji (TLS/HTTPS),
• haszowanie haseł, ochrona danych logowania,
• kontrola dostępu oparta na rolach i zasada minimalnego dostępu,
• minimalizacja danych (brak przechowywania pełnego, identyfikującego adresu IP; rotujący identyfikator wizyty),
• kopie zapasowe i rozdział środowisk,
• monitoring i rejestrowanie zdarzeń bezpieczeństwa.

Kontakt

W sprawach niniejszej Umowy skorzystaj ze stronie Kontakt.