Umowa Powierzenia Przetwarzania Danych Osobowych

§1. Strony umowy

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: Umowa) zostaje zawarta pomiędzy:

1. Powierzającym (Administratorem / Kontrolerem danych) — Użytkownik serwisu PPOŻ Manager, tj. przedsiębiorca prowadzący działalność w zakresie ochrony przeciwpożarowej, który zawarł umowę o świadczenie usług drogą elektroniczną poprzez akceptację Regulaminu serwisu PPOŻ Manager (dalej: Kontroler).
2. Przetwarzającym (Procesorem) — Usługi informatyczne "Scripters" Wojciech Fałowski, z siedzibą pod adresem Mystkow 90, 33-334 Mystkow, NIP: 7343539216, REGON: 364291337, wpisana do CEIDG, adres e-mail: kontakt@ppozmanager.pl (dalej: Procesor).

Kontroler i Procesor zwani są dalej łącznie Stronami, a każdy z osobna Stroną.

§2. Przedmiot umowy

1. Przedmiotem niniejszej Umowy jest powierzenie Procesorowi przetwarzania danych osobowych w związku z korzystaniem przez Kontrolera z platformy PPOŻ Manager (dalej: Usługa).
2. Procesor przetwarza dane osobowe wyłącznie w zakresie i celu określonym przez Kontrolera, na podstawie udokumentowanych instrukcji Kontrolera, w tym w odniesieniu do przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej.
3. Kontroler powierza Procesorowi przetwarzanie danych osobowych w rozumieniu Art. 28 RODO, a Procesor zobowiązuje się do ich przetwarzania zgodnie z niniejszą Umową, RODO oraz innymi obowiązującymi przepisami prawa dotyczącymi ochrony danych osobowych.
4. Niniejsza Umowa stanowi udokumentowane polecenie Kontrolera w rozumieniu Art. 28 ust. 3 lit. a) RODO.

§3. Czas trwania umowy

1. Umowa obowiązuje od momentu rozpoczęcia korzystania z Usługi PPOŻ Manager przez Kontrolera (tj. od chwili utworzenia konta i akceptacji Regulaminu) i trwa przez cały okres korzystania z Usługi.
2. Umowa wygasa z chwilą rozwiązania umowy o świadczenie usług drogą elektroniczną (Regulaminu) pomiędzy Kontrolerem a Procesorem, z zastrzeżeniem postanowień §13 dotyczących usuwania i zwrotu danych. W przypadku zawieszenia konta Kontrolera (np. z powodu braku płatności), niniejsza Umowa pozostaje w mocy przez cały okres zawieszenia, gdyż dane osobowe są nadal przechowywane przez Procesora.
3. Wygaśnięcie lub rozwiązanie Umowy nie zwalnia Stron z obowiązków wynikających z RODO, które ze swojej natury powinny pozostać w mocy po zakończeniu przetwarzania (w szczególności obowiązek zachowania poufności).

§4. Charakter i cel przetwarzania

1. Celem przetwarzania danych osobowych jest świadczenie Usługi polegającej na zarządzaniu przeglądami przeciwpożarowymi, ewidencji sprzętu PPOŻ, generowaniu protokołów, zarządzaniu klientami oraz obsłudze powiadomień i raportów w ramach platformy PPOŻ Manager.
2. Charakter przetwarzania obejmuje następujące operacje na danych osobowych:
   • zbieranie i rejestrowanie danych wprowadzanych przez Kontrolera do systemu;
   • przechowywanie danych na serwerach Procesora i jego subprocesorów;
   • organizowanie i strukturyzowanie danych w ramach platformy;
   • udostępnianie danych w ramach platformy upoważnionym użytkownikom Kontrolera oraz klientom Kontrolera (za pośrednictwem portalu klienta);
   • generowanie dokumentów (protokoły, raporty) zawierających dane osobowe;
   • wysyłanie powiadomień e-mail i SMS zawierających dane osobowe;
   • archiwizowanie danych zgodnie z polityką retencji;
   • usuwanie danych na żądanie Kontrolera lub po zakończeniu Umowy.
3. Procesor nie przetwarza danych osobowych w celach własnych, wykraczających poza realizację przedmiotu niniejszej Umowy.

§5. Rodzaje danych osobowych i kategorie osób, których dane dotyczą

Procesor przetwarza następujące kategorie danych osobowych w imieniu Kontrolera:

Uwaga: Dane sprzętu PPOŻ (typ sprzętu, numer seryjny, lokalizacja, historia serwisowa, daty przeglądów) są danymi rzeczowymi (nieosobowymi) przetwarzanymi w ramach Usługi, lecz nie stanowią danych osobowych w rozumieniu RODO i nie są objęte niniejszą Umową.

§6. Obowiązki Procesora

Zgodnie z Art. 28 ust. 3 RODO, Procesor zobowiązuje się do:

1. Przetwarzania wyłącznie na udokumentowane polecenie Kontrolera — Procesor przetwarza dane osobowe wyłącznie na podstawie udokumentowanych instrukcji Kontrolera, w tym w odniesieniu do przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakładają na Procesora przepisy prawa Unii Europejskiej lub prawa polskiego. W takim przypadku Procesor informuje Kontrolera o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
2. Zapewnienia poufności — Procesor zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Procesor ogranicza dostęp do danych osobowych wyłącznie do tych pracowników i współpracowników, którym dostęp ten jest niezbędny do realizacji Umowy.
3. Wdrożenie środków bezpieczeństwa (Art. 32 RODO) — Procesor podejmuje wszelkie środki wymagane na mocy Art. 32 RODO, tj. wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku. Szczegółowy opis środków bezpieczeństwa zawiera §7 niniejszej Umowy.
4. Korzystanie z subprocesorów wyłącznie za zgodą Kontrolera — Procesor nie korzysta z usług innego podmiotu przetwarzającego (subprocesora) bez uprzedniej szczegółowej lub ogólnej pisemnej zgody Kontrolera. W przypadku ogólnej pisemnej zgody Procesor informuje Kontrolera o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia subprocesorów, dając tym samym Kontrolerowi możliwość wyrażenia sprzeciwu. Szczegóły dotyczące subprocesorów zawiera §8 niniejszej Umowy.
5. Pomoc w realizacji praw osób, których dane dotyczą (Art. 15-22 RODO) — Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Kontrolerowi wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w Rozdziale III RODO (prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji).
6. Pomoc w wypełnianiu obowiązków Art. 32-36 RODO — Procesor, uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Kontrolerowi wywiązywać się z obowiązków określonych w Art. 32-36 RODO, tj. obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu, zawiadamiania osoby, której dane dotyczą, o naruszeniu, oceny skutków dla ochrony danych (DPIA) oraz uprzednich konsultacji z organem nadzorczym.
7. Usunięcie lub zwrot danych po zakończeniu umowy — Po zakończeniu świadczenia usług związanych z przetwarzaniem, Procesor — zależnie od decyzji Kontrolera — usuwa lub zwraca Kontrolerowi wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii Europejskiej lub prawo polskie nakazuje przechowywanie danych osobowych. Szczegóły zawiera §13 niniejszej Umowy.
8. Udostępnienie informacji do wykazania zgodności — Procesor udostępnia Kontrolerowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w Art. 28 RODO oraz umożliwia Kontrolerowi lub audytorowi upoważnionemu przez Kontrolera przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Szczegóły zawiera §12 niniejszej Umowy.
9. Informowanie o naruszeniu instrukcji — Procesor niezwłocznie informuje Kontrolera, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii Europejskiej lub prawa polskiego dotyczących ochrony danych osobowych.

§7. Środki bezpieczeństwa (Art. 32 RODO)

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, Procesor wdraża następujące środki techniczne i organizacyjne w celu zapewnienia stopnia bezpieczeństwa odpowiadającego temu ryzyku:

Środki techniczne

• Szyfrowanie danych w tranzycie — cała komunikacja pomiędzy użytkownikami a platformą jest szyfrowana z wykorzystaniem protokołu TLS 1.3. Dotyczy to również komunikacji pomiędzy komponentami systemu.
• Szyfrowanie danych w spoczynku — baza danych PostgreSQL jest szyfrowana na poziomie dysku (encryption at rest) przez dostawcę infrastruktury.
• Hashowanie haseł — hasła użytkowników platformy są hashowane z wykorzystaniem algorytmu bcrypt z odpowiednim salt, co uniemożliwia ich odtworzenie.
• Izolacja danych (multi-tenant) — dane każdej organizacji (Kontrolera) są logicznie odizolowane na poziomie bazy danych. Użytkownicy jednej organizacji nie mają dostępu do danych innej organizacji.
• Kontrola dostępu oparta na rolach (RBAC) — system implementuje kontrolę dostępu opartą na rolach, gdzie każdy użytkownik ma przypisaną rolę określającą zakres uprawnień (właściciel, administrator, serwisant).
• Bezpieczna autoryzacja sesji — sesje użytkowników są zarządzane za pomocą HTTP-only cookies z flagami Secure i SameSite. Sesje wygasają automatycznie po 7 dniach nieaktywności.
• Uwierzytelnianie magic link (portal klienta) — portal klienta wykorzystuje jednorazowe tokeny magic link z 15-minutowym okresem ważności, co eliminuje ryzyko związane z przechowywaniem haseł klientów.
• Regularne kopie zapasowe — automatyczne kopie zapasowe bazy danych są tworzone codziennie. Kopie są szyfrowane i przechowywane w odrębnej lokalizacji geograficznej.
• Monitoring i logowanie dostępu — system rejestruje zdarzenia związane z dostępem do danych, w tym logowania, zmiany uprawnień oraz operacje na danych osobowych. Logi techniczne (bezpieczeństwa) są przechowywane przez okres 90 dni. Logi audytu (operacje na danych) są przechowywane przez okres 12 miesięcy zgodnie z Polityką Prywatności.
• Automatyczne usuwanie danych sesyjnych — dane sesji (tokeny, dane tymczasowe) są automatycznie usuwane po wygaśnięciu sesji.
• Ochrona przed atakami — system implementuje zabezpieczenia przed typowymi atakami (CSRF, XSS, SQL Injection, brute-force), w tym mechanizmy rate limiting.

Środki organizacyjne

• Zasada minimalnych uprawnień — dostęp do danych osobowych jest ograniczony wyłącznie do osób, które potrzebują go do realizacji swoich obowiązków.
• Zobowiązanie do poufności — wszystkie osoby mające dostęp do danych osobowych zobowiązały się do zachowania poufności.
• Regularne przeglądy bezpieczeństwa — Procesor regularnie dokonuje przeglądu wdrożonych środków bezpieczeństwa i dostosowuje je do aktualnego stanu wiedzy technicznej oraz zidentyfikowanych zagrożeń.
• Procedura reagowania na incydenty — Procesor posiada wdrożoną procedurę reagowania na incydenty bezpieczeństwa, obejmującą identyfikację, ograniczenie skutków, powiadomienie Kontrolera i organu nadzorczego oraz podjęcie działań naprawczych.
• Zasada privacy by design i privacy by default — system PPOŻ Manager jest projektowany i rozwijany z uwzględnieniem zasad ochrony danych osobowych od etapu projektowania oraz domyślnej ochrony danych.

§8. Podpowierzenie przetwarzania (Subprocesorzy)

1. Kontroler wyraża ogólną pisemną zgodę na korzystanie przez Procesora z usług subprocesorów (dalszych podmiotów przetwarzających) wymienionych w poniższej tabeli, w zakresie niezbędnym do świadczenia Usługi.
2. Procesor zapewnia, że każdy subprocesor jest związany umową powierzenia przetwarzania danych nakładającą na niego obowiązki ochrony danych co najmniej równoważne obowiązkom określonym w niniejszej Umowie, zgodnie z Art. 28 ust. 4 RODO.
3. Procesor ponosi pełną odpowiedzialność wobec Kontrolera za wypełnianie obowiązków dotyczących ochrony danych przez subprocesorów.

Lista zatwierdzonych subprocesorów

4. Procesor informuje Kontrolera o wszelkich zamierzonych zmianach dotyczących dodania nowych subprocesorów lub zastąpienia dotychczasowych z wyprzedzeniem co najmniej 30 dni kalendarzowych przed planowaną zmianą, za pośrednictwem wiadomości e-mail na adres podany przy rejestracji konta.
5. Kontroler ma prawo wyrażenia uzasadnionego sprzeciwu wobec zmiany subprocesora w terminie 14 dni kalendarzowych od dnia otrzymania powiadomienia. Sprzeciw należy zgłosić pisemnie na adres: iod@ppozmanager.pl.
6. W przypadku wyrażenia uzasadnionego sprzeciwu Strony podejmą negocjacje w celu znalezienia rozwiązania akceptowalnego dla obu Stron. Jeżeli w terminie 30 dni od zgłoszenia sprzeciwu Strony nie osiągną porozumienia, Kontroler ma prawo wypowiedzieć umowę o świadczenie Usługi z zachowaniem 30-dniowego okresu wypowiedzenia.

§9. Przekazywanie danych do państw trzecich

1. W związku z korzystaniem z subprocesorów mających siedzibę w Stanach Zjednoczonych Ameryki, dane osobowe mogą być przekazywane do państwa trzeciego (USA).
2. Podstawą prawną przekazywania danych do USA jest:
   • EU-US Data Privacy Framework (DPF) — decyzja Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych w odniesieniu do podmiotów certyfikowanych w ramach DPF (decyzja wykonawcza C(2023) 4745);
   • Standardowe Klauzule Umowne (SCC) — zatwierdzone decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r., stosowane jako uzupełniający mechanizm zabezpieczający.
3. Procesor zapewnia, że każdy subprocesor, któremu dane osobowe są przekazywane do państwa trzeciego, zapewnia odpowiedni stopień ochrony danych osobowych, co najmniej równoważny z wymaganiami RODO.
4. W przypadku unieważnienia decyzji o adekwatności (EU-US DPF) Procesor niezwłocznie wdroży alternatywne mechanizmy zabezpieczające zgodne z Rozdziałem V RODO i poinformuje o tym Kontrolera.

§10. Pomoc Kontrolerowi

1. Realizacja praw osób, których dane dotyczą (Art. 15-22 RODO) — Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Kontrolerowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w tym:
   • prawo dostępu do danych (Art. 15 RODO);
   • prawo do sprostowania danych (Art. 16 RODO);
   • prawo do usunięcia danych — "prawo do bycia zapomnianym" (Art. 17 RODO);
   • prawo do ograniczenia przetwarzania (Art. 18 RODO);
   • obowiązek powiadomienia o sprostowaniu, usunięciu lub ograniczeniu przetwarzania (Art. 19 RODO);
   • prawo do przenoszenia danych (Art. 20 RODO);
   • prawo do sprzeciwu (Art. 21 RODO);
   • prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (Art. 22 RODO).
2. Ocena skutków dla ochrony danych (DPIA) — Procesor pomaga Kontrolerowi w przeprowadzeniu oceny skutków dla ochrony danych (Art. 35 RODO), o ile jest to wymagane, udostępniając niezbędne informacje dotyczące środków bezpieczeństwa, procesów przetwarzania i architektury systemu.
3. Konsultacje z organem nadzorczym — Procesor pomaga Kontrolerowi w ramach uprzednich konsultacji z organem nadzorczym (Art. 36 RODO), dostarczając wymagane informacje o przetwarzaniu realizowanym w ramach Usługi.
4. Procesor odpowiada na żądania Kontrolera związane z realizacją obowiązków wynikających z niniejszego paragrafu w terminie 14 dni roboczych od daty otrzymania żądania, chyba że charakter żądania wymaga niezwłocznego działania.
5. Jeżeli Procesor otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, niezwłocznie przekazuje je Kontrolerowi i nie podejmuje żadnych działań w odpowiedzi na to żądanie bez instrukcji Kontrolera, chyba że obowiązek taki wynika z przepisów prawa.

§11. Zgłaszanie naruszeń ochrony danych osobowych

1. Procesor informuje Kontrolera o każdym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od momentu stwierdzenia naruszenia. Powiadomienie następuje za pośrednictwem poczty elektronicznej na adres e-mail Kontrolera podany przy rejestracji konta.
2. Zgłoszenie naruszenia zawiera co najmniej:
   • opis charakteru naruszenia ochrony danych osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
   • imię i nazwisko oraz dane kontaktowe osoby wyznaczonej po stronie Procesora, od której można uzyskać więcej informacji;
   • opis możliwych konsekwencji naruszenia ochrony danych osobowych;
   • opis środków zastosowanych lub proponowanych przez Procesora w celu zaradzenia naruszeniu, w tym w stosownych przypadkach środków w celu zminimalizowania jego ewentualnych negatywnych skutków.
3. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, Procesor przekazuje je sukcesywnie bez dalszej zbędnej zwłoki.
4. Procesor dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze, i udostępnia tę dokumentację Kontrolerowi na żądanie.
5. Procesor współpracuje z Kontrolerem w zakresie realizacji obowiązku zgłoszenia naruszenia organowi nadzorczemu (Art. 33 RODO) oraz zawiadomienia osób, których dane dotyczą (Art. 34 RODO), dostarczając niezbędne informacje i wsparcie techniczne.

§12. Prawo audytu

1. Kontroler ma prawo do przeprowadzania audytów zgodności przetwarzania danych osobowych z niniejszą Umową oraz z przepisami RODO, w tym do przeprowadzania inspekcji w siedzibie Procesora lub w miejscach, w których odbywa się przetwarzanie.
2. Kontroler informuje Procesora o zamiarze przeprowadzenia audytu z wyprzedzeniem co najmniej 30 dni kalendarzowych, chyba że audyt jest wynikiem stwierdzonego naruszenia ochrony danych — wówczas termin ten może zostać skrócony do 7 dni.
3. Procesor udostępnia Kontrolerowi lub audytorowi upoważnionemu przez Kontrolera wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w Art. 28 RODO, w tym dokumentację środków bezpieczeństwa, logi dostępu, rejestry czynności przetwarzania oraz umowy z subprocesorami.
4. Audyt przeprowadzany jest w godzinach pracy Procesora, z poszanowaniem poufności informacji handlowych i technicznych Procesora oraz w sposób niezakłócający bieżącego świadczenia Usługi.
5. Koszty audytu ponosi Kontroler, chyba że audyt wykaże naruszenia niniejszej Umowy lub przepisów RODO przez Procesora — w takim przypadku koszty audytu ponosi Procesor.
6. Kontroler ma prawo do przeprowadzenia jednego audytu planowego rocznie. Dodatkowe audyty mogą być przeprowadzone w przypadku uzasadnionego podejrzenia naruszenia, incydentu bezpieczeństwa lub na żądanie organu nadzorczego. Ograniczenie do jednego audytu planowego rocznie nie wpływa na prawo Kontrolera wynikające z art. 28 ust. 3 lit. h RODO w przypadku, gdy audyt jest wymagany przez organ nadzorczy.
7. Procesor może zaproponować Kontrolerowi, jako alternatywę dla audytu na miejscu, dostarczenie aktualnego raportu z audytu przeprowadzonego przez niezależnego audytora, o ile raport ten obejmuje zakres odpowiadający zakresowi planowanego audytu.

§13. Usuwanie i zwrot danych

1. Po zakończeniu świadczenia Usługi (rozwiązanie umowy o świadczenie usług drogą elektroniczną), Kontroler ma prawo zdecydować, czy Procesor ma usunąć, czy zwrócić wszystkie dane osobowe przetwarzane w jego imieniu.
2. Kontroler ma 30 dni kalendarzowych od dnia zakończenia Umowy na eksport swoich danych z platformy PPOŻ Manager za pośrednictwem funkcji eksportu dostępnej w panelu administracyjnym. Procesor zapewnia dostęp do funkcji eksportu przez cały okres 30 dni.
3. Po upływie 30-dniowego okresu, o którym mowa w ust. 2, Procesor trwale usuwa wszystkie dane osobowe Kontrolera z systemu, w tym z kopii zapasowych, w terminie do 90 dni kalendarzowych od daty zakończenia Umowy, z zastrzeżeniem ust. 4.
4. Wyjątek od obowiązku usunięcia danych dotyczy:
   • protokoły przeglądów sprzętu przeciwpożarowego — na żądanie Kontrolera Procesor może przechowywać kopie protokołów przez okres do 5 lat od daty ich wytworzenia, w celu wsparcia Kontrolera w wypełnianiu obowiązków wynikających z przepisów dotyczących ochrony przeciwpożarowej i dokumentacji technicznej budynków (obowiązek przechowywania dokumentacji PPOŻ ciąży na Kontrolerze oraz na właścicielu lub zarządcy budynku);
   • dokumentacja rozliczeniowa — okres przechowywania wynikający z przepisów podatkowych i rachunkowych.
5. Procesor potwierdza trwałe usunięcie danych osobowych na piśmie (w tym drogą elektroniczną) na żądanie Kontrolera, wskazując datę usunięcia oraz zakres usuniętych danych.
6. Obowiązek zachowania poufności danych osobowych obowiązuje Procesora również po usunięciu danych i zakończeniu Umowy, bez ograniczeń czasowych.

§14. Odpowiedzialność

1. Procesor ponosi odpowiedzialność za szkody spowodowane przetwarzaniem danych osobowych wyłącznie w przypadku niedopełnienia obowiązków nałożonych na niego przez RODO lub niniejszą Umowę, lub gdy działał poza zgodnymi z prawem instrukcjami Kontrolera lub wbrew nim, zgodnie z Art. 82 RODO.
2. Całkowita odpowiedzialność Procesora wobec Kontrolera z tytułu niniejszej Umowy jest ograniczona do łącznej kwoty opłat uiszczonych przez Kontrolera na rzecz Procesora w okresie 12 miesięcy poprzedzających zdarzenie stanowiące podstawę roszczenia. Ograniczenie to nie dotyczy szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa, a także roszczeń wynikających z art. 82 RODO (prawo do odszkodowania za naruszenie ochrony danych) oraz kar administracyjnych nałożonych na podstawie art. 83 RODO.
3. Procesor jest zwolniony z odpowiedzialności, jeżeli udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody — w szczególności gdy działał na udokumentowane polecenie Kontrolera zgodne z niniejszą Umową.
4. Kontroler ponosi odpowiedzialność za zgodność z prawem powierzenia przetwarzania danych osobowych Procesorowi, w tym za posiadanie odpowiedniej podstawy prawnej przetwarzania danych osobowych (Art. 6 RODO) oraz za wypełnienie obowiązku informacyjnego wobec osób, których dane dotyczą (Art. 13-14 RODO).
5. W przypadku nałożenia kary administracyjnej przez organ nadzorczy w związku z przetwarzaniem danych osobowych objętych niniejszą Umową, odpowiedzialność za karę ponosi Strona, której naruszenie spowodowało nałożenie kary. Jeżeli kara została nałożona z powodu naruszeń obu Stron, każda ze Stron ponosi odpowiedzialność proporcjonalnie do stopnia, w jakim przyczyniła się do naruszenia.

§15. Postanowienia końcowe

1. Niniejsza Umowa podlega prawu polskiemu i jest interpretowana zgodnie z nim.
2. Niniejsza Umowa stanowi integralną część Regulaminu serwisu PPOŻ Manager dostępnego pod adresem ppozmanager.pl/regulamin. W przypadku sprzeczności pomiędzy postanowieniami Regulaminu a niniejszą Umową, w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia niniejszej Umowy.
3. Wszelkie zmiany niniejszej Umowy wymagają formy dokumentowej w rozumieniu art. 77² Kodeksu cywilnego (e-mail, aktualizacja na stronie internetowej z powiadomieniem Kontrolera).
4. O zmianach niniejszej Umowy Procesor informuje Kontrolera z wyprzedzeniem co najmniej 30 dni kalendarzowych za pośrednictwem wiadomości e-mail na adres podany przy rejestracji konta.
   • Zmiany istotne (w szczególności: zmiana zakresu lub celu przetwarzania, zmiana kategorii danych osobowych, zmiana mechanizmów transferu danych do państw trzecich, istotna zmiana środków bezpieczeństwa) — wymagają aktywnej akceptacji Kontrolera wyrażonej w formie dokumentowej (potwierdzenie e-mail lub akceptacja w panelu administracyjnym platformy). Brak akceptacji zmiany istotnej w terminie 30 dni od dnia powiadomienia uprawnia Kontrolera do wypowiedzenia Umowy ze skutkiem natychmiastowym, bez ponoszenia dodatkowych kosztów, z zachowaniem prawa do eksportu danych zgodnie z §13 ust. 2.
   • Zmiany nieistotne (w szczególności: aktualizacja danych kontaktowych, drobne korekty redakcyjne, zmiana subprocesora regulowana odrębnie w §8) — kontynuowanie korzystania z Usługi po upływie 30-dniowego terminu oznacza akceptację zmian.
5. Jeżeli jakiekolwiek postanowienie niniejszej Umowy zostanie uznane za nieważne lub niewykonalne, pozostałe postanowienia pozostają w mocy. Strony zastąpią nieważne postanowienie postanowieniem ważnym, które w największym możliwym stopniu oddaje cel i zamiar postanowienia nieważnego.
6. Wszelkie spory wynikające z niniejszej Umowy lub z nią związane będą rozstrzygane przez sąd powszechny właściwy dla siedziby Procesora (Sąd Rejonowy w Nowym Sączu / Sąd Okręgowy w Nowym Sączu), z zastrzeżeniem ust. 6a.
7. 6a. Jeżeli Kontroler jest osobą fizyczną prowadzącą działalność gospodarczą, dla której zawierana Umowa nie posiada charakteru zawodowego (art. 385⁵ Kodeksu cywilnego), przysługują mu prawa konsumenta, a właściwość sądu ustalana jest zgodnie z przepisami o ochronie konsumentów, w tym z art. 27 i nast. Kodeksu postępowania cywilnego.
8. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 ze zm.) oraz Kodeksu cywilnego.
9. Kontakt w sprawach związanych z ochroną danych osobowych:
   • Punkt kontaktowy ds. ochrony danych: dane-osobowe@ppozmanager.pl
   • Kontakt ogólny: kontakt@ppozmanager.pl
   • Adres: Usługi informatyczne "Scripters" Wojciech Fałowski, Mystkow 90, 33-334 Mystkow
10. Kontroler ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.