Umowa powierzenia przetwarzania danych

1. Strony, umocowanie i pierwszeństwo

Podmiotem przetwarzającym jest Paweł Gruszka prowadzący działalność pod firmą VESPY PAWEŁ GRUSZKA, CEIDG, ul. Warszawska 40/2A, 40-008 Katowice, Polska, NIP 6342331938, REGON 278021009 (Usługodawca). Kontakt do poleceń, praw, incydentów i audytu: info@dinpanel.com; pilna eskalacja: +48 664 660 230. Nie uzgadnia się stałej obsady ani gwarancji określonej liczby godzin reakcji na incydent.

Użytkownikiem DINPanel jest osoba lub organizacja, której pełną nazwę podano przy przyjęciu. Przedstawiciel konta przyjmujący umowę i zadeklarowana rola są zapisywani wraz z dokładną wersją, językiem i decyzją. Przedstawiciel potwierdza umocowanie do związania tego Użytkownika DINPanel. Użytkownik DINPanel będący podmiotem przetwarzającym potwierdza upoważnienie nadrzędnego administratora do dalszego powierzenia. Umowa nie tworzy fikcyjnej roli administratora dla czysto osobistego lub domowego użycia poza RODO.

Użytkownik DINPanel to osoba lub organizacja korzystająca z DINPanel i zawierająca tę umowę. Klient to klient Użytkownika DINPanel, którego dane pojawiają się w projekcie; samo wpisanie jego danych nie czyni go stroną tej umowy. Administrator danych decyduje o celach i sposobach przetwarzania danych osobowych, a podmiot przetwarzający przetwarza je w jego imieniu. Użytkownik DINPanel występuje jako administrator danych albo, gdy działa z upoważnienia innego administratora, jako podmiot przetwarzający. Usługodawca przetwarza dane na polecenie Użytkownika DINPanel, odpowiednio jako podmiot przetwarzający albo dalszy podmiot przetwarzający.

Dla przetwarzania pod kontrolą Użytkownika DINPanel te warunki mają pierwszeństwo przed sprzecznymi ogólnymi warunkami usługi. Usługodawca pozostaje odrębnym administratorem dla własnej obsługi konta, sprzedaży, bezpieczeństwa, dowodów prawnych i innych celów wskazanych w Polityce prywatności.

2. Przedmiot, cel, osoby i dane

Przedmiotem jest przechowywane w usłudze planowanie i dokumentowanie instalacji, wybrane integracje zakupowe i fakturowe, wsparcie na polecenie Użytkownika DINPanel oraz opcjonalne funkcje głosu i AI. Czynności obejmują odbieranie, przechowywanie, porządkowanie, wyświetlanie, edycję i wersjonowanie, transkrypcję i ekstrakcję po świadomym poleceniu, generowanie dokumentów, eksport, przekazywanie wybranym odbiorcom, ograniczanie i usuwanie. Przetwarzanie trwa, gdy wymagają go polecenia Użytkownika DINPanel dotyczące usługi, a następnie tylko dla zwrotu, usunięcia lub konkretnego obowiązku prawnego.

Osoby mogą obejmować klientów i potencjalnych klientów Użytkownika DINPanel, mieszkańców lub właścicieli obiektów, personel i wykonawców, kontakty dostawców i osoby przypadkowo ujęte w materiale. Dane mogą obejmować imiona i nazwiska, dane firmowe, kontaktowe i podatkowe, adresy i lokalizację, swobodny tekst techniczny i geometrię, rysunki i obrazy, nagrania i transkrypcje, wejścia i wyniki AI, historię, cofanie i migawki, kopie zakupów i zamówień oraz dokumenty. Identyfikatory użytkownika i dostępu mogą łączyć zapisy z osobami.

Usługa nie jest przeznaczona do danych szczególnych kategorii ani danych o wyrokach i czynach zabronionych. Użytkownik DINPanel unika zbędnego materiału i zapewnia podstawę oraz zabezpieczenia wyjątkowego przetwarzania; samo przesłanie ich nie ustanawia. Umowa nie upoważnia do sprzedaży treści Użytkownika DINPanel, niezwiązanej reklamy ani trenowania modeli ogólnego przeznaczenia na tych treściach.

3. Polecenia i obowiązki Użytkownika DINPanel

Udokumentowane polecenia obejmują umowę, wybraną usługę i uprawnione czynności konta oraz zweryfikowane pisemne polecenia na powyższy kontakt. Użytkownik DINPanel określa niezbędność, podstawę prawną, informacje dla osób, uprawnienie do nagrywania, poprawność danych i upoważnionych odbiorców. Zarządza swoimi użytkownikami, urządzeniami i pobranymi plikami oraz zapewnia nadrzędne upoważnienie, gdy jest potrzebne. Zezwolenie na mikrofon lub mapy nie jest zgodą osoby, której dane dotyczą.

Usługodawca przetwarza wyłącznie na zgodne z prawem udokumentowane polecenie, także w zakresie transferów, chyba że inaczej wymaga prawo Unii lub państwa członkowskiego. Informuje Użytkownika DINPanel przed przetwarzaniem wymaganym prawem, chyba że prawo zakazuje tego ze względu na ważny interes publiczny. Natychmiast informuje, jeśli polecenie narusza właściwe prawo ochrony danych, i dąży do zgodnego z prawem rozwiązania. Polecenie nie upoważnia do niezwiązanego przetwarzania.

4. Poufność i wykaz zabezpieczeń

Dostęp mają tylko upoważnione osoby, które go potrzebują, działają na polecenie i podlegają zobowiązaniu lub ustawowemu obowiązkowi poufności. Usługodawca zarządza dostępem i odbiera go, gdy przestaje być potrzebny. Pomoc używa minimalnej diagnostyki; nie kopiuje automatycznie całych projektów, profili, nagrań ani transkrypcji do zgłoszeń i powiadomień personelu.

Usługodawca utrzymuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO. Kontrole usługi obejmują autoryzację kont i projektów, ograniczoną administrację, chronioną transmisję, szyfrowane poświadczenia integracji, kontrolę cache odpowiedzi prywatnych, ograniczoną diagnostykę i usuwanie w określonym zakresie z ponawianiem oraz ochroną przed spóźnionym zapisem. Bezpieczeństwo urządzeń Użytkownika DINPanel i świadomie wyeksportowane kopie pozostają pod jego kontrolą. Nie zapewnia się szyfrowania całych projektów w spoczynku, doskonałego bezpieczeństwa ani niezależnej certyfikacji.

Obecnie DINPanel nie ma działającego systemu kopii zapasowych. Odtwarzanie jest późniejszym etapem i nie uzgadnia się SLA czasu odtworzenia lub maksymalnej utraty danych. Ujawnione ograniczenie nie uchyla art. 32 ani innych obowiązków bezwzględnych. Usługodawca ocenia i rozwiązuje ryzyka dostępności i odtwarzania; Użytkownik DINPanel powinien zachowywać użyteczne eksporty ważnej dokumentacji.

Zmiany zabezpieczeń zachowują ochronę wymaganą prawem i umową. Przyszłe kopie wymagają określenia zakresu, miejsca, dostępu, retencji, usuwania i odtwarzania ponownie stosującego przyjęte usunięcia przed wznowieniem dostępu lub zadań. Usługodawca ocenia właściwe kontrole i udostępnia dowody rozsądnie potrzebne do ich oceny.

5. Wskazani podwykonawcy i zmiany

Użytkownik DINPanel udziela ogólnego pisemnego upoważnienia następującym wskazanym podwykonawcom, wyłącznie dla opisanych funkcji i danych niezbędnych do wybranej usługi: Hetzner Online GmbH (Niemcy), infrastruktura hostingu aplikacji, bazy i plików; OpenAI Ireland Ltd (Irlandia), OpenAI API do transkrypcji, ekstrakcji i przetwarzania tekstu oraz obrazów świadomie wysłanych przez funkcje AI; Zoho Corporation B.V. (Niderlandy), doręczanie i skrzynka Zoho Mail dla korespondencji zleconej przez Użytkownika DINPanel i niezbędnej treści wsparcia. Ścieżka Zoho używa smtppro.zoho.eu, a AI api.openai.com; adresy te nie ustalają wszystkich lokalizacji przetwarzania.

Usługodawca wiąże każdego podwykonawcę zasadniczo równoważnymi obowiązkami ochrony, ocenia wystarczające gwarancje i pozostaje odpowiedzialny wobec Użytkownika DINPanel za ich wykonanie. Rzeczywiste miejsce infrastruktury, dalsi dostawcy, państwa dostępu i właściwe instrumenty transferu są przekazywane na żądanie i przy właściwym zawiadomieniu o zmianie. Upoważnienie Użytkownika DINPanel samo nie zawiera umowy Usługodawcy z dostawcą ani nie potwierdza ustawienia konkretnego konta.

Usługodawca zawiadamia pisemnie co najmniej 30 dni przed proponowanym dodaniem lub zastąpieniem, wskazując podmiot, cel, dane, lokalizacje i zabezpieczenia. Użytkownik DINPanel może zgłosić uzasadniony sprzeciw dotyczący ochrony danych w 15 dni od zawiadomienia. Strony szukają rozsądnej alternatywy; nierozwiązany sprzeciw pozwala zakończyć daną funkcję i zgodnie z prawem zwrócić lub usunąć dane przed rozpoczęciem nowego przetwarzania. Pilna konieczna prawnie zmiana bezpieczeństwa wymaga możliwie wcześniejszej informacji, wyjaśnienia i skutecznej drogi sprzeciwu oraz rozwiązania; pilność nie upoważnia ogólnie do nieujawnionego przetwarzania.

Wybrani przez Użytkownika DINPanel dostawcy towarów i faktur są odbiorcami według jego polecenia i właściwych bezpośrednich ustaleń, a nie automatycznie podwykonawcami Usługodawcy. PayU i Fakturownia/KSeF dla własnych subskrypcji Usługodawcy służą odrębnemu celowi własnej sprzedaży. Google Maps i analityka opcjonalna wymagają właściwych informacji i ról; lista nie udziela nieograniczonego uprawnienia do ujawniania im danych klientów.

6. Przekazywanie za granicę

Usługodawca organizuje transfer do państwa trzeciego lub zdalny dostęp tylko w granicach udokumentowanego polecenia i właściwej podstawy z rozdziału V RODO. Podmiot umowny w EOG nie zapewnia przetwarzania wyłącznie w EOG. OpenAI i Zoho mogą korzystać z upoważnionych podmiotów powiązanych lub dalszych dostawców poza EOG, w tym w USA lub Indiach, zależnie od usługi.

Gdy jest to wymagane, Usługodawca stosuje właściwą decyzję o odpowiednim stopniu ochrony albo zabezpieczenia takie jak standardowe klauzule Komisji, z konieczną oceną i środkami uzupełniającymi. Na żądanie przekazuje istotne informacje i kopie dotyczące kierunków i zabezpieczeń, z proporcjonalnym usunięciem informacji chroniącym innych użytkowników DINPanel i bezpieczeństwo. To umowa z art. 28, a nie samodzielny instrument transferowy z rozdziału V.

7. Prawa, oceny i pomoc

Usługodawca bez zbędnej zwłoki przekazuje żądania dotyczące danych pod kontrolą Użytkownika DINPanel i pomaga w dostępie, sprostowaniu, ograniczeniu, usuwaniu i przenoszeniu. Nie rozstrzyga odpowiedzi Użytkownika DINPanel samodzielnie, chyba że na polecenie lub z obowiązku prawnego. Dla własnych celów administratora sam rozstrzyga i komunikuje odpowiedź.

Uwzględniając charakter przetwarzania i dostępne informacje, Usługodawca pomaga w bezpieczeństwie, ocenie naruszenia, ocenie skutków i uprzednich konsultacjach z art. 32-36 RODO. Strony używają zweryfikowanych kontaktów i minimalnych identyfikatorów zamiast całej niezwiązanej treści projektu. Pomoc ma umożliwić wykonanie właściwych terminów. Rozsądna opłata za wyjątkową pomoc wymaga wcześniejszego uzgodnienia i nie może utrudniać obowiązkowej pomocy ani naprawienia własnego naruszenia Usługodawcy.

8. Naruszenia ochrony danych

Usługodawca zawiadamia Użytkownika DINPanel bez zbędnej zwłoki po stwierdzeniu naruszenia dotyczącego jego danych. Zawiadomienie trafia na zweryfikowany kontakt konta lub poleceń i obejmuje dostępne informacje o charakterze, dotkniętych danych i osobach, prawdopodobnych skutkach, środkach zaradczych i kontakcie do uzupełnień. Informacje można przekazywać etapami; niepełne ustalenia nie uzasadniają czekania na zakończenie dochodzenia.

Usługodawca ogranicza incydent, zachowuje proporcjonalne dowody, koordynuje podwykonawców i pomaga w wymaganych zawiadomieniach. Użytkownik DINPanel decyduje o zawiadomieniach dla swoich celów administratora, a Usługodawca dla własnych. Obowiązek podmiotu przetwarzającego nie daje ogólnego prawa oczekiwania 72 godzin.

9. Zapisane polecenia cyklu życia

Archiwizacja nieodwracalnie zamyka zwykłą edycję i usuwa wyznaczone pola tożsamości, kontaktu, firmy, podatków, adresu i lokalizacji klienta oraz objęte zakresem kopie. Zachowuje tekst techniczny, nazwy, rysunki, geometrię i transkrypcje techniczne do odczytu; mogą pozostać osobowe. Zwykłe Usuń projekt jest usunięciem logicznym, a nie fizycznym. Usunięcie notatki usuwa objęte zakresem kopie notatki, historii i scalenia, lecz nie cofa niezależnie zastosowanych danych projektu.

Pełne usunięcie konta zleca usunięcie kompletnej przypisywalnej treści projektów i aplikacji, w tym treści technicznych, historii, plików, nagrań i kopii AI. Wyłącza dostęp przed czyszczeniem i zachowuje ponawianie oraz blokadę późnych zapisów. Niezbędne własne dowody finansowe, prawne lub bezpieczeństwa mają odrębny cel i retencję; nie uzasadniają zachowania całych projektów. Dane niezależnie należące do innego konta nie są usuwane tylko z powodu odwołania do nich.

Użytkownik DINPanel może wydać odrębne polecenie dotyczące praw do zachowanego tekstu technicznego. Zwykła edycja lub Archiwizacja nie zawsze wystarcza. Doręczona poczta, dokumenty dostawców i faktur, pobrania i stale odłączone urządzenia wymagają właściwego dalszego działania odbiorcy lub właściciela. Żadna strona nie potwierdza ich usunięcia bez dowodów.

10. Zwrot, koniec przetwarzania i retencja

Po zakończeniu zleconego przetwarzania Użytkownik DINPanel wybiera zwrot lub usunięcie danych osobowych, w tym istniejących kopii, chyba że prawo Unii lub państwa członkowskiego wymaga konkretnego zachowania. Dostępne dane projektowe zwraca się w JSON, a dokumenty i media w zwykłych formatach pobierania; inne objęte zakresem dane Usługodawca udostępnia na uwierzytelniony wniosek we właściwym powszechnym formacie maszynowym. Dane i niezbędne metadane muszą być użyteczne bez ujawniania danych innego użytkownika DINPanel ani chronionych materiałów dostawcy.

Wniosek można zgłosić przez Pomoc lub info@dinpanel.com bez przyjmowania niezwiązanych nowych warunków ani kupowania kolejnego planu. Bez wcześniejszego polecenia usunięcia możliwość zwrotu pozostaje przez co najmniej 30 dni po zakończeniu przetwarzania. Usługodawca działa bez zbędnej zwłoki i kończy zlecony zwrot lub usunięcie z aktywnych magazynów w 30 dni od zweryfikowanego polecenia; zgodna z prawem przeszkoda wymaga niezwłocznego wyjaśnienia, ograniczonego dostępu i uzgodnionego lub wymaganego prawem dalszego kroku, a nie fałszywego potwierdzenia zakończenia.

Potwierdzone pełne usunięcie konta jest wyborem usunięcia i nie wymaga pozostawienia treści na niechciany okres zwrotu. Błędne czyszczenie pozostaje zablokowane, monitorowane i ponawialne. Na żądanie Usługodawca daje potwierdzenie bez usuwanej treści, wskazujące zakres i prawne wyjątki. Minimalne zapisy ponowień i cyklu życia pozostają tylko przeciw rzeczywistemu odtworzeniu lub dla osobno uzasadnionego kryterium; powiązywalne identyfikatory nie są anonimowe.

Nie ma ogólnego wyjątku dla backupu ani dostawcy. Przy konkretnym obowiązku zachowania Usługodawca zapisuje pola, cel i termin, informuje Użytkownika DINPanel, gdy jest to dozwolone, ogranicza zwykłe użycie i usuwa po ustaniu obowiązku. Przyszłe odtworzenie nie może przywrócić przyjętych usunięć.

11. Informacje i audyt

Usługodawca udostępnia informacje potrzebne do wykazania zgodności z art. 28 oraz umożliwia i wspiera audyty, w tym inspekcje, Użytkownika DINPanel lub upoważnionego audytora. Najpierw można przekazać istniejące właściwe dowody. Rozsądny zakres, zawiadomienie, poufność i bezpieczny dostęp chronią innych użytkowników DINPanel i usługę; nie mogą wykluczyć uzasadnionej inspekcji, pilnego przeglądu incydentu ani dostępu organu.

Strona stwierdzająca istotną niemożność zgodnego wykonania niezwłocznie informuje drugą, ogranicza dotknięte przetwarzanie i dąży do prawnego rozwiązania. Nierozwiązany istotny problem umożliwia zakończenie tego przetwarzania wraz ze zwrotem lub usunięciem.

12. Odpowiedzialność, przyjęcie i zmiany

Zgodny z prawem podział ryzyka odszkodowawczego w zwykłych relacjach biznesowych z Regulaminu ma zastosowanie tylko bez ograniczania obowiązkowych zadań przetwarzania, środków ochrony osób, odpowiedzialności i regresu z art. 82 ani uprawnień organów. Polecenie lub regres nie przenoszą własnych obowiązków ustawowych Usługodawcy. Nie ustala się ogólnego zwrotu kar.

Przyjęcie wymaga czynnej akceptacji tej wskazanej umowy i potwierdzenia umocowania dla zapisanego Użytkownika DINPanel; potwierdzenie Polityki nie wystarcza. Usługodawca zachowuje dokładny uzgodniony tekst i minimalny dowód przyjęcia oraz udostępnia przyjętą wersję. Istotne zastąpienie warunków wymaga właściwego zawiadomienia i uzgodnienia, przy zachowaniu dostępności anulowania, eksportu, usuwania i praw. Stosuje się prawo polskie bez uchylania bezwzględnie właściwego prawa.