Umowa powierzenia przetwarzania danych osobowych

Wersja 2.2 · 8 października 2026 r.

Umowa na podstawie art. 28 RODO, zawierana w formie elektronicznej pomiędzy:

Administratorem — Warsztatem, czyli przedsiębiorcą zarejestrowanym w usłudze behoo, którego nazwa, NIP, adres i osoba reprezentująca są zapisane w danych firmy jego konta,

a

Podmiotem przetwarzającym — BISHORN SERGII KRAVCHENKO, NIP 7471934674, Kwiatowa 12, 49-330 Łosiów, Polska, kontakt: kontakt@behoo.eu (dalej także „Operator”),

łącznie „Stronami”.

§ 1. Zawarcie, przedmiot i czas trwania

  1. Umowa zostaje zawarta z chwilą, gdy Właściciel konta zaznaczy przy rejestracji oświadczenie „Zawieram umowę powierzenia przetwarzania danych” i zapisze dane firmy. Operator utrwala datę i godzinę zawarcia oraz wersję Umowy.
  2. Administrator powierza Podmiotowi przetwarzającemu dane osobowe, które Administrator i jego upoważnieni użytkownicy wprowadzają do usługi behoo.
  3. Umowa obowiązuje przez czas korzystania z usługi oraz przez czas potrzebny na eksport, zwrot i usunięcie danych po jej zakończeniu.

§ 2. Charakter i cel przetwarzania

  1. Przetwarzanie obejmuje utrwalanie, przechowywanie, porządkowanie, przeglądanie, wyszukiwanie, zmianę, udostępnianie upoważnionym użytkownikom Administratora oraz usuwanie danych w ramach funkcji behoo.
  2. Celem przetwarzania jest umożliwienie Administratorowi obsługi jego klientów i zleceń przy użyciu usługi: pomiarów, wycen, projektów, zleceń, materiałów roboczych i dokumentów.
  3. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie Strony uznają Umowę, Regulamin usługi behoo oraz czynności wykonywane przez użytkowników Administratora w usłudze. Wyjątkiem jest obowiązek wynikający z prawa; o takim obowiązku Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.

§ 3. Kategorie osób i danych

  1. Kategorie osób:
    • klienci i potencjalni klienci Administratora;
    • osoby kontaktowe związane ze zleceniami Administratora;
    • inne osoby, których dane Administrator wprowadzi w ramach prawidłowego korzystania z usługi.
  2. Kategorie danych — zależnie od tego, co wprowadzi Administrator:
    • imię i nazwisko, adres realizacji;
    • telefon i adres e-mail;
    • opis zapytania, pomiaru, projektu, wyceny, zlecenia, historia obsługi i uzgodnień;
    • materiały robocze, pliki i zdjęcia, w tym zdjęcia pomieszczeń;
    • dane zawarte w umowach, protokołach odbioru i dokumentach zakupowych.
  3. Administrator nie wprowadza do usługi szczególnych kategorii danych osobowych ani danych, które nie są potrzebne do obsługi zleceń.

§ 4. Obowiązki Administratora

Administrator:

  1. ustala cele i podstawę prawną przetwarzania danych swoich klientów;
  2. spełnia wobec nich obowiązki informacyjne, w tym informuje o możliwości analizy materiałów przez funkcje AI, jeżeli z nich korzysta;
  3. dba o prawidłowość danych i legalność poleceń;
  4. nadaje dostęp wyłącznie osobom upoważnionym i niezwłocznie odbiera go osobom, które nie powinny już korzystać z konta;
  5. rozpatruje żądania osób, których dane dotyczą.

§ 5. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

  1. przetwarza dane wyłącznie w celu świadczenia usługi i zgodnie z poleceniami Administratora;
  2. nie wykorzystuje danych klientów Administratora do własnych celów;
  3. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
  4. stosuje środki techniczne i organizacyjne opisane w Załączniku nr 2;
  5. przekazuje materiały do opcjonalnych funkcji AI wyłącznie wtedy, gdy Administrator włączy te funkcje, i w ramach jego miesięcznego budżetu. Imię, telefon, e-mail i adres klienta nie są dołączane do zapytań; same materiały mogą zawierać dane osobowe. Oznaczenie „bez AI” przy pomiarze lub zleceniu blokuje użycie AI dla powiązanych materiałów;
  6. nie wysyła automatycznych wiadomości do klientów Administratora;
  7. niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych.

§ 6. Pomoc, naruszenia i audyt

  1. Uwzględniając charakter przetwarzania i dostępne mu informacje, Podmiot przetwarzający pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wykonywaniu obowiązków z art. 32–36 RODO.
  2. Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony powierzonych danych bez zbędnej zwłoki, na adres e-mail do kontaktu zapisany w danych firmy.
  3. Administrator kieruje żądania, zgłoszenia i powiadomienia na adres kontakt@behoo.eu. Podmiot przetwarzający nie zastępuje Administratora w podejmowaniu decyzji o żądaniach jego klientów.
  4. Podmiot przetwarzający udostępnia Administratorowi informacje potrzebne do wykazania zgodności z Umową i umożliwia audyt w uzgodnionym, proporcjonalnym zakresie. Audyt przeprowadza Administrator albo upoważniony przez niego audytor, który nie jest konkurentem Operatora, nie częściej niż raz w roku — chyba że audyt wynika z naruszenia ochrony danych albo żądania organu nadzorczego — po uprzedzeniu z wyprzedzeniem co najmniej 14 dni, w dni robocze, w sposób niezakłócający działania usługi i nienaruszający danych innych Warsztatów. W pierwszej kolejności Podmiot przetwarzający odpowiada na pytania i udostępnia dokumenty; czynności na miejscu — tylko wtedy, gdy odpowiedzi nie wystarczą. Każda ze Stron ponosi własne koszty audytu.

§ 7. Dalsze powierzenie

  1. Administrator udziela ogólnej zgody na korzystanie z podmiotów podprzetwarzających wymienionych w Załączniku nr 1.
  2. Podmiot przetwarzający nakłada na każdy podmiot podprzetwarzający obowiązki ochrony danych odpowiadające obowiązkom z Umowy.
  3. O zamiarze dodania albo zastąpienia podmiotu podprzetwarzającego Podmiot przetwarzający informuje Administratora w usłudze albo na adres e-mail do kontaktu. Administrator może zgłosić sprzeciw w terminie 14 dni od otrzymania informacji. Brak sprzeciwu w tym terminie oznacza zgodę. W razie sprzeciwu Strony w ciągu 14 dni uzgadniają rozwiązanie; jeżeli Operator nie może świadczyć usługi bez tego podmiotu, każda ze Stron może wypowiedzieć umowę o korzystanie z usługi ze skutkiem na koniec opłaconego okresu i stosuje się § 9 ust. 4.

§ 8. Przekazywanie danych poza EOG

Serwer usługi i skrzynki pocztowe znajdują się w Polsce. W związku z opcjonalnymi funkcjami AI OpenAI Ireland Limited może przetwarzać dane w USA. Podstawą przekazania jest EU–US Data Privacy Framework, a w pozostałym zakresie standardowe klauzule umowne.

§ 9. Zwrot, usunięcie i przechowywanie

  1. Administrator może usunąć dane klientów za pomocą funkcji dostępnej w usłudze; operację uruchamia ręcznie Właściciel konta. Przed usunięciem wykonywana jest kopia bazy. Usługa nie usuwa danych klientów automatycznie w trakcie trwania umowy.
  2. Zasady działania usługi:
    • pomiar bez zlecenia: 12 miesięcy od ostatniego kontaktu, czyli od najpóźniejszej z dat związanych z pomiarem — jego wykonania i ostatniej zmiany, notatek i zdjęć, arkuszy notatnika, pomiarów ze zdjęć, przekazanej informacji RODO, projektu 3D, oferty wysłanej e-mailem albo zakupu przypisanego do pomiaru;
    • zlecenie: 24 miesiące od montażu, liczone od późniejszej z dat: końca rezerwacji w kalendarzu montaży albo podpisania protokołu odbioru. Zlecenia bez tych dat trafiają do ręcznego sprawdzenia. Po upływie okresu usuwane są telefon, e-mail, opis, historia, portal klienta i materiały robocze; pozostają imię i nazwisko klienta oraz adres realizacji;
    • umowy, protokoły odbioru, dokumenty zakupowe i paragony pozostają zgodnie z obowiązkami podatkowymi;
    • plik ukrytego zdjęcia jest usuwany po 30 dniach.
  3. Kopie, w których pozostały usunięte dane, są przechowywane nie dłużej niż 30 dni. Nie są używane do innych celów, a dostęp do nich ma wyłącznie Operator.
  4. Po zakończeniu świadczenia usługi — także gdy dostęp wygasł bez przedłużenia albo Administrator złożył wniosek o usunięcie konta — Administrator ma 30 dni na pobranie danych jedną paczką. Po tym terminie Podmiot przetwarzający usuwa dane automatycznie i bezpowrotnie, z wyjątkiem tych, które musi zachować na podstawie przepisów prawa. Do 21 października 2026 r. termin ten wynosi 90 dni; jeżeli dostęp zakończył się przed 22 października 2026 r., stosuje się 90 dni.
  5. Wniosek o usunięcie konta Administrator może wycofać przez 7 dni od złożenia; termin z ust. poprzedniego biegnie od upływu tych 7 dni.
  6. Jeżeli po 30-dniowym okresie próbnym usługa nie zostanie opłacona, Administrator ma przez kolejne 30 dni dostęp tylko do odczytu i eksportu; następnie dane konta są usuwane automatycznie i bezpowrotnie.

§ 10. Postanowienia końcowe

  1. Umowa jest częścią umowy o korzystanie z usługi behoo. W razie rozbieżności w sprawach ochrony danych osobowych pierwszeństwo ma Umowa.
  2. Zmiany Umowy następują w trybie przewidzianym dla zmian Regulaminu usługi behoo.
  3. W sprawach nieuregulowanych stosuje się przepisy o ochronie danych osobowych. Umowa podlega prawu polskiemu; spory rozstrzyga sąd powszechny właściwy dla siedziby Podmiotu przetwarzającego.

Załącznik nr 1. Podmioty podprzetwarzające

Kopie zapasowe na komputerach i dysku sieciowym Operatora stanowią jego własną infrastrukturę, a nie odrębne podmioty podprzetwarzające.

Załącznik nr 2. Środki techniczne i organizacyjne

Podmiot przetwarzający stosuje co najmniej następujące środki:

  1. szyfrowane połączenie HTTPS dla całej strony;
  2. logowanie przez konto Google — Operator nie otrzymuje i nie przechowuje hasła; wcześniejsi użytkownicy mogą logować się hasłem, przechowywanym wyłącznie jako nieodwracalny skrót; ograniczenie liczby prób logowania;
  3. sesja trwająca 8 godzin; cookie sesyjne z ustawieniami HttpOnly, Secure i SameSite;
  4. uprawnienia pracowników nadawane do poszczególnych działów (podgląd albo edycja); ustawienia i usuwanie danych dostępne wyłącznie Właścicielowi konta;
  5. sprawdzenie uprawnień przed udostępnieniem plików klientów;
  6. przechowywanie kluczy i innych sekretów poza bazą danych;
  7. kopia bazy przed ręcznym usunięciem danych; rejestr usunięć bez danych osobowych;
  8. dane robocze zapisane na urządzeniu użytkownika podczas pracy bez internetu nie zawierają imienia, telefonu ani adresu klienta i są usuwane przy wylogowaniu.

Podmiot przetwarzający zobowiązuje się przechowywać dane każdego Warsztatu w oddzielnej bazie danych i w oddzielnym katalogu plików.