Umowa powierzenia przetwarzania danych osobowych

Ostatnia aktualizacja: 15 października 2026 r.

Umowa zawierana jest pomiędzy Salonem (dalej „Administrator”) a Nyxiontech Maciej Sacewicz, ul. Nowy Rynek 2A/3, 18-100 Łapy, NIP 5423497022 (dalej „Podmiot przetwarzający”), w chwili zapisania salonu w kreatorze, na podstawie art. 28 rozporządzenia (UE) 2016/679 („RODO”). Pojęcia niezdefiniowane mają znaczenie nadane w Regulaminie serwisu.

§ 1. Przedmiot, czas trwania, charakter i cel

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Klientów końcowych w celu prowadzenia cyfrowej karty lojalnościowej Administratora.
  2. Przetwarzanie obejmuje: zbieranie danych przez stronę zapisu, przechowywanie, wydawanie i aktualizację kart w Apple Wallet i Google Wallet, naliczanie pieczątek na polecenie personelu Administratora, udostępnianie danych Administratorowi oraz ich usuwanie.
  3. Umowa obowiązuje przez czas trwania umowy o korzystanie z Serwisu i do chwili usunięcia danych zgodnie z § 7.

§ 2. Kategorie osób i rodzaj danych

§ 3. Obowiązki Podmiotu przetwarzającego

  1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego. Poleceniem jest niniejsza umowa oraz korzystanie przez Administratora z funkcji Serwisu. Jeżeli prawo Unii lub państwa członkowskiego nakłada obowiązek przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
  2. Niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.
  3. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy.
  4. Stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w § 8.
  5. Pomaga Administratorowi, w miarę możliwości poprzez funkcje Serwisu, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi w ciągu 3 dni roboczych i nie odpowiada na nie samodzielnie bez polecenia.
  6. Pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.
  7. Prowadzi rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO) oraz udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§ 4. Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres e-mail Konta.
  2. Zgłoszenie zawiera co najmniej informacje wymienione w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Pozostałe informacje Podmiot przetwarzający przekazuje sukcesywnie, gdy je uzyska.
  3. Podmiot przetwarzający dokumentuje naruszenia i współpracuje z Administratorem przy ich wyjaśnianiu oraz usuwaniu skutków.

§ 5. Dalsze powierzenie

  1. Administrator udziela ogólnej zgody na korzystanie z podmiotów przetwarzających wymienionych poniżej.
  2. O zamiarze dodania lub zastąpienia podmiotu Podmiot przetwarzający informuje Administratora na adres e-mail Konta co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw, a jeżeli strony nie dojdą do porozumienia — rozwiązać umowę ze skutkiem natychmiastowym.
  3. Na dalszy podmiot przetwarzający nakładane są te same obowiązki ochrony danych, co w niniejszej umowie. Podmiot przetwarzający odpowiada wobec Administratora za wypełnianie ich przez ten podmiot.

§ 6. Przekazywanie poza EOG

Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie do podmiotów wymienionych w § 5, na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym Data Privacy Framework) albo standardowych klauzul umownych przyjętych przez Komisję.

§ 7. Usunięcie danych po zakończeniu umowy

Po zakończeniu umowy Podmiot przetwarzający, zgodnie z wyborem Administratora zgłoszonym na support@nyxiontech.com, zwraca dane w formacie CSV albo je usuwa — w terminie 30 dni. Brak wyboru w tym terminie oznacza polecenie usunięcia. Dane w kopiach zapasowych, jeżeli takie istnieją, są usuwane w ramach ich cyklu nadpisywania. Nie dotyczy to danych, których przechowywanie nakazuje prawo.

§ 8. Środki bezpieczeństwa

§ 9. Kontrola

  1. Administrator ma prawo do audytu lub inspekcji przetwarzania powierzonych danych raz w roku, po powiadomieniu z wyprzedzeniem 30 dni, a także po każdym naruszeniu ochrony tych danych. Audyt może przeprowadzić Administrator lub upoważniony przez niego audytor zobowiązany do zachowania poufności.
  2. Audyt odbywa się w sposób, który nie zakłóca działania Serwisu ani nie ujawnia danych innych salonów. W pierwszej kolejności Podmiot przetwarzający udziela pisemnych informacji i udostępnia dokumentację.

§ 10. Postanowienia końcowe

  1. W sprawach ochrony danych osobowych postanowienia tej umowy mają pierwszeństwo przed Regulaminem.
  2. Odpowiedzialność stron za szkody wynikłe z naruszenia przepisów o ochronie danych określa art. 82 RODO.
  3. Zmiany umowy wprowadza się w trybie przewidzianym dla zmian Regulaminu.