Umowa powierzenia przetwarzania danych

Wersja: 3.0  ·  Obowiązuje od: 5 listopada 2026 r.

To tłumaczenie ma charakter pomocniczy. Wersją obowiązującą jest wersja angielska.

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) jest częścią Regulaminu Plerdy („Regulamin”) zawieranego między Plerdy a klientem korzystającym z usługi Plerdy („Klient”). Określa, w jaki sposób Plerdy przetwarza dane osobowe w imieniu Klienta, zgodnie z art. 28 unijnego ogólnego rozporządzenia o ochronie danych 2016/679 („RODO”) oraz innymi obowiązującymi przepisami o ochronie danych.

1. Jak stosuje się niniejsza DPA

1.1. Niniejsza DPA obowiązuje automatycznie każdego Klienta, który akceptuje Regulamin, od momentu akceptacji. Podpis nie jest potrzebny. Art. 28 ust. 9 RODO dopuszcza zawarcie umowy w formie elektronicznej.

1.2. Niniejsza DPA jest taka sama dla wszystkich planów i metod płatności: planu darmowego, subskrypcji miesięcznych i rocznych, płatności na podstawie faktury oraz pakietów AppSumo. Obejmuje wszystkie strony podłączone do konta Plerdy Klienta.

1.3. Plerdy nie negocjuje ani nie podpisuje indywidualnych wersji niniejszej DPA. Na prośbę wysłaną na [email protected] Plerdy przesyła plik PDF niniejszej DPA podpisanej przez Plerdy. Podpisana kopia ma ten sam tekst i ten sam skutek co ta strona.

2. Role i definicje

2.1. W odniesieniu do danych osobowych odwiedzających strony Klienta, zbieranych przez kod Plerdy („Dane Osobowe Klienta”), Klient jest administratorem, a Plerdy jest podmiotem przetwarzającym. W odniesieniu do danych konta Klienta administratorem jest Plerdy, jak opisano w Polityce prywatności; niniejsza DPA ich nie dotyczy.

2.2. „Plerdy” oznacza Andrii Chornyi, przedsiębiorcę indywidualnego (FOP, ukraiński odpowiednik jednoosobowej działalności gospodarczej), Ukraina. Terminy takie jak „administrator”, „podmiot przetwarzający”, „dane osobowe”, „przetwarzanie”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” i „organ nadzorczy” mają znaczenie nadane im w RODO.

3. Polecenia

3.1. Plerdy przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania do państw trzecich, chyba że wymaga tego prawo. W takim przypadku Plerdy informuje Klienta przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

3.2. Regulamin, niniejsza DPA oraz ustawienia wybrane przez Klienta na jego koncie Plerdy (na przykład które narzędzia są włączone, maskowanie, okres przechowywania i podłączone integracje) stanowią pełne polecenia Klienta. Inne polecenia należy przesłać na piśmie na adres [email protected]. Jeśli polecenia nie można wykonać, Plerdy informuje o tym Klienta, a Klient może zaprzestać korzystania z usługi.

3.3. Plerdy informuje Klienta, jeśli jej zdaniem polecenie narusza przepisy o ochronie danych.

3.4. Klient odpowiada za zgodność przetwarzania z prawem, w tym za informowanie odwiedzających i uzyskiwanie zgody, gdy wymaga tego prawo.

4. Poufność

Plerdy udziela dostępu do Danych Osobowych Klienta wyłącznie osobom, które potrzebują go, aby świadczyć usługę, zapewniać jej wsparcie i chronić ją. Wszystkie te osoby są zobowiązane do zachowania poufności.

5. Bezpieczeństwo

Plerdy stosuje środki techniczne i organizacyjne opisane w Załączniku 2 oraz w Polityce bezpieczeństwa, zgodnie z art. 32 RODO. Plerdy może aktualizować te środki, o ile ogólny poziom ochrony nie ulega obniżeniu.

6. Podmioty podprzetwarzające

6.1. Klient udziela Plerdy ogólnej zgody na korzystanie z podmiotów podprzetwarzających. Aktualne podmioty podprzetwarzające są wymienione w Załączniku 3.

6.2. Plerdy informuje Klienta e-mailem, wysłanym do właściciela konta, co najmniej 14 dni przed dodaniem lub zastąpieniem podmiotu podprzetwarzającego. W tym okresie Klient może zgłosić sprzeciw z uzasadnionych powodów związanych z ochroną danych, pisząc na [email protected]. Jeśli strony nie znajdą rozwiązania, Klient może zaprzestać korzystania z danej części usługi lub usunąć swoje konto.

6.3. Plerdy nakłada na każdy podmiot podprzetwarzający obowiązki w zakresie ochrony danych równoważne obowiązkom wynikającym z niniejszej DPA i ponosi za niego odpowiedzialność.

6.4. Integracje, które Klient podłącza samodzielnie (na przykład e-mail marketing, CRM, Google Sheets, Slack lub Telegram), otrzymują dane na polecenie Klienta. Są to własni dostawcy Klienta, a nie podmioty podprzetwarzające Plerdy.

7. Pomoc dla Klienta

7.1. Uwzględniając charakter przetwarzania, Plerdy pomaga Klientowi odpowiadać na żądania osób, których dane dotyczą (dostęp, usunięcie, sprostowanie, sprzeciw i inne). Plerdy przekazuje Klientowi każde żądanie otrzymane bezpośrednio od odwiedzającego i nie odpowiada na nie bez polecenia Klienta.

7.2. Plerdy usuwa dane konkretnego odwiedzającego na żądanie Klienta w ciągu 30 dni. Klient może także w dowolnej chwili usunąć dane strony lub całego konta na koncie Plerdy.

7.3. Plerdy przekazuje Klientowi informacje, których ten w uzasadniony sposób potrzebuje do oceny skutków dla ochrony danych oraz do uprzednich konsultacji z organami nadzorczymi.

8. Naruszenia ochrony danych osobowych

Plerdy powiadamia Klienta bez zbędnej zwłoki i, jeśli jest to wykonalne, w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Danych Osobowych Klienta. Powiadomienie opisuje to, co jest wiadome w danym momencie: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, prawdopodobne skutki i podjęte środki. Plerdy uzupełnia informacje w miarę ich uzyskiwania i podejmuje działania w celu ograniczenia naruszenia.

9. Usunięcie danych po zakończeniu usługi

9.1. W trakcie świadczenia usługi Dane Osobowe Klienta są usuwane automatycznie po upływie okresu historii danych w planie Klienta oraz zgodnie z ustawieniami przechowywania wybranymi przez Klienta.

9.2. Gdy Klient usunie stronę lub konto, Plerdy usuwa powiązane Dane Osobowe Klienta w ciągu 30 dni, chyba że prawo wymaga ich zachowania. Przed usunięciem Klient może wyeksportować swoje dane za pomocą narzędzi dostępnych na koncie.

10. Informacje i audyty

10.1. Plerdy udostępnia Klientowi informacje niezbędne do wykazania zgodności z art. 28 RODO: niniejszą DPA, Politykę bezpieczeństwa oraz pisemne odpowiedzi na rozsądny kwestionariusz bezpieczeństwa, raz na 12 miesięcy.

10.2. Jeśli te informacje nie wystarczają, Klient może przeprowadzić audyt, samodzielnie lub przez niezależnego audytora związanego obowiązkiem poufności, raz na 12 miesięcy, po pisemnym powiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania usługi i na koszt Klienta. Te ograniczenia nie mają zastosowania, gdy audytu wymaga organ nadzorczy lub po naruszeniu ochrony danych osobowych dotyczącym Klienta.

11. Przekazywanie danych za granicę

11.1. Dane Osobowe Klienta są przechowywane na serwerach w Niemczech. Zespół Plerdy pracuje z Ukrainy i może mieć stamtąd dostęp do danych, aby zapewniać wsparcie i utrzymywać usługę. Niektóre podmioty podprzetwarzające wymienione w Załączniku 3 znajdują się poza Europejskim Obszarem Gospodarczym.

11.2. Jeżeli Klient podlega RODO, a dane są przekazywane do Plerdy poza Europejski Obszar Gospodarczy, do niniejszej DPA włącza się przez odesłanie standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji (UE) 2021/914 („SCC”), moduł drugi (administrator – podmiot przetwarzający), z następującymi wyborami: stosuje się klauzulę 7 (klauzula dotycząca przystąpienia); klauzula 9 lit. a), opcja 2 (ogólne upoważnienie), z okresem powiadomienia określonym w sekcji 6.2; fakultatywne brzmienie w klauzuli 11 nie ma zastosowania; klauzula 13: organ nadzorczy właściwy dla Klienta; klauzula 17: prawo niemieckie; klauzula 18: sądy niemieckie. Załączniki I, II i III do SCC są Załącznikami 1, 2 i 3 do niniejszej DPA.

11.3. W przypadku transferów podlegających brytyjskim przepisom o ochronie danych, razem z SCC stosuje się Międzynarodowy Aneks o Transferze Danych (International Data Transfer Addendum) wydany przez brytyjskiego Komisarza ds. Informacji. W przypadku transferów podlegających prawu szwajcarskiemu SCC stosuje się w ten sposób, że odesłania do RODO należy rozumieć jako odesłania do szwajcarskiej Federalnej Ustawy o Ochronie Danych, a właściwym organem jest szwajcarski Federalny Pełnomocnik ds. Ochrony Danych i Informacji.

11.4. Plerdy przekazuje Dane Osobowe Klienta podmiotom podprzetwarzającym poza Europejskim Obszarem Gospodarczym wyłącznie na podstawie SCC lub innego mechanizmu transferu dozwolonego przez RODO.

12. Odpowiedzialność

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom przewidzianym w Regulaminie, w zakresie dozwolonym przez prawo. Żadne postanowienie niniejszej DPA nie ogranicza praw osób, których dane dotyczą, wynikających z RODO lub SCC.

13. Okres obowiązywania, pierwszeństwo i zmiany

13.1. Niniejsza DPA obowiązuje tak długo, jak Plerdy przetwarza Dane Osobowe Klienta.

13.2. W razie sprzeczności SCC mają pierwszeństwo przed niniejszą DPA, a niniejsza DPA ma pierwszeństwo przed Regulaminem w sprawach dotyczących danych osobowych.

13.3. Plerdy może aktualizować niniejszą DPA, aby uwzględnić zmiany w prawie lub w usłudze. O istotnych zmianach Plerdy informuje Klientów e-mailem z co najmniej 14-dniowym wyprzedzeniem. Zmiany nie obniżają poziomu ochrony Danych Osobowych Klienta.

13.4. Niniejsza DPA podlega prawu właściwemu dla Regulaminu, z wyjątkiem SCC, które podlegają prawu wskazanemu w sekcji 11.2.

Załącznik 1. Opis przetwarzania

Załącznik 2. Środki techniczne i organizacyjne

• Hosting: serwery, bazy danych i magazyn nagrań sesji w Niemczech, w centrach danych z certyfikatem ISO/IEC 27001.
• Szyfrowanie podczas przesyłania: TLS dla całego ruchu; sieć dostarczania treści z ochroną przed atakami.
• Minimalizacja danych w przeglądarce: wartości wpisywane w pola formularzy są maskowane przed wysłaniem; pola hasła, e-maila, telefonu, imienia i nazwiska oraz adresu są zawsze maskowane; elementy oznaczone data-sensitive, data-payment lub data-private nie są nagrywane; nagrania sesji nie są wideo ani zrzutami ekranu.
• Adresy IP: nie są przechowywane w danych śledzenia (zobacz Załącznik 1).
• Sygnały prywatności: dane nie są zbierane z przeglądarek, które wysyłają sygnał Global Privacy Control lub Do Not Track.
• Rozdzielenie danych: dane każdego Klienta są przechowywane oddzielnie i nie są łączone z danymi innych Klientów.
• Kontrola dostępu: dostęp do systemów produkcyjnych i danych tylko dla upoważnionych członków zespołu, którzy go potrzebują; konta osobiste; hasła klientów przechowywane jako solone, jednokierunkowe skróty (bcrypt); opcjonalne logowanie dwuetapowe z jednorazowym kodem wysyłanym e-mailem; ograniczenia liczby nieudanych prób logowania.
• Integralność kodu: skrypt śledzący jest budowany automatycznie z kodu źródłowego objętego kontrolą wersji i nie jest ręcznie edytowany na serwerach.
• Przechowywanie: automatyczne usuwanie nagrań sesji zgodnie z ustawieniami Klienta; automatyczne usuwanie pozostałych danych odwiedzających po upływie okresu historii danych w planie.
• Ludzie: zobowiązania do zachowania poufności; szkolenia z rozpoznawania phishingu i zgłaszania incydentów.
• Incydenty: udokumentowany proces ograniczania, badania i usuwania skutków incydentów oraz powiadamiania Klientów w sposób opisany w sekcji 8.

Załącznik 3. Podmioty podprzetwarzające

Płatności obsługują Paddle jako sprzedawca (merchant of record) oraz AppSumo w przypadku pakietów AppSumo. Otrzymują one wyłącznie dane konta i dane rozliczeniowe Klienta, a nie Dane Osobowe Klienta.

Kontakt

Prywatność i niniejsza DPA: [email protected]
Bezpieczeństwo: [email protected]