Umowa powierzenia przetwarzania danych osobowych

§1 Strony umowy

1. Administrator danych - jednostka samorządu terytorialnego, organ administracji publicznej lub inna instytucja, która złożyła zamówienie na usługę Ekorejestr (dalej: "Administrator").
2. Podmiot przetwarzający - PRZEMYSŁAW DACZKOWSKI IT, Przyczyna Dolna 26/6, 67-400 Wschowa, NIP: 4970070925, e-mail: rodo@ekorejestr.pl (dalej: "Procesor" lub "Usługodawca").
3. Niniejsza Umowa stanowi integralną część Regulaminu świadczenia usług Ekorejestr i wchodzi w życie z chwilą zawarcia Umowy o świadczenie usług (akceptacja Regulaminu).

§2 Przedmiot i cel przetwarzania

1. Procesor przetwarza dane osobowe w imieniu Administratora wyłącznie w celu świadczenia usługi SaaS - systemu Ekorejestr służącego do prowadzenia Publicznie Dostępnego Wykazu Danych o Dokumentach Zawierających Informacje o Środowisku i Jego Ochronie (PDWD).
2. Przetwarzanie obejmuje: przechowywanie danych w bazie danych, tworzenie kopii zapasowych, umożliwienie dostępu przez przeglądarkę internetową, przetwarzanie dokumentów przez Asystenta AI (wyłącznie na żądanie Administratora), rejestrowanie logów systemowych.
3. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest korzystanie z funkcji Systemu. Procesor nie przetwarza danych w celach własnych.

§3 Kategorie danych i podmiotów

1. Kategorie danych osobowych:
   • Dane kont użytkowników: imię i nazwisko, adres e-mail, numer telefonu, zajmowane stanowisko i dział
   • Dane techniczne: adresy IP, identyfikatory sesji, user agent przeglądarki (logi systemowe)
   • Dane z kart informacyjnych PDWD: treść pól karty wpisywana przez pracowników Administratora. Z założenia pola kart zawierają nazwy instytucji lub firm (w tym JDG - przedsiębiorców jednoosobowych, gdzie imię i nazwisko jest nazwą firmy). Administrator zobowiązuje się nie wpisywać do kart danych osobowych osób fizycznych nieprowadzących działalności (np. imienia i nazwiska prywatnego wnioskodawcy). Za prawidłowość i minimalizację danych w kartach odpowiada Administrator.
   • Dane przesyłane do Asystenta AI: zawartość dokumentów PDF/DOCX/grafik w zakresie niezbędnym do analizy - dokumenty te są natychmiast usuwane po przetworzeniu (nadpisanie zerami + usunięcie pliku)
2. Kategorie osób, których dane dotyczą: (a) pracownicy i współpracownicy Administratora korzystający z Systemu; (b) przedsiębiorcy jednoosobowi (JDG), których imię i nazwisko stanowi nazwę firmy - w zakresie danych wpisywanych w polach kart jako nazwa strony postępowania; (c) osoby fizyczne, których imię i nazwisko może wystąpić w polu 8 karty jako twórca lub wnioskodawca dokumentu - w zakresie, w jakim stanowi to obowiązek wynikający z Rozporządzenia MŚ z 22.09.2010 (Dz.U. Nr 186, poz. 1249); (d) osoby, których dane mogą znajdować się w dokumentach przesłanych do analizy przez Asystenta AI. Administrator odpowiada za ocenę podstawy prawnej przetwarzania danych z kategorii (b), (c) i (d), minimalizację danych oraz zgodność z art. 6 RODO.
3. Dane szczególnych kategorii (art. 9 RODO) nie są przetwarzane w Systemie. Administrator zobowiązuje się nie wprowadzać do Systemu danych szczególnych kategorii.

§4 Obowiązki Procesora

Procesor zobowiązuje się do:

1. Przetwarzania danych wyłącznie na udokumentowane polecenie Administratora i wyłącznie w celu określonym w §2.
2. Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy.
3. Wdrożenia odpowiednich środków technicznych i organizacyjnych zgodnie z art. 32 RODO, w szczególności:
   • szyfrowanie połączeń (HTTPS/TLS)
   • uwierzytelnianie dwuskładnikowe (2FA) dla użytkowników panelu
   • izolacja danych poszczególnych organizacji (multi-tenancy)
   • regularne kopie zapasowe danych
   • natychmiastowe usuwanie dokumentów po analizie AI
   • logi dostępu i audytu operacji
4. Niepodejmowania dalszego powierzania przetwarzania danych bez uprzedniej zgody Administratora, z zastrzeżeniem §5.
5. Pomocy Administratorowi w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15-22 RODO) - w zakresie technicznie możliwym.
6. Pomocy Administratorowi w wypełnianiu obowiązków z art. 32-36 RODO (bezpieczeństwo, naruszenia, DPIA).
7. Usunięcia lub zwrotu danych po zakończeniu świadczenia usług - zgodnie z §7.
8. Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia przeprowadzania audytów lub inspekcji przez Administratora lub upoważnionego przez niego audytora - w zakresie nienaruszającym bezpieczeństwa innych klientów Procesora. Audyt przeprowadzany jest po uprzednim pisemnym powiadomieniu z co najmniej 30-dniowym wyprzedzeniem, nie częściej niż raz na 12 miesięcy, w godzinach pracy Procesora. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie niniejszej Umowy.
9. Niezwłocznego poinformowania Administratora, jeżeli wydane polecenie narusza RODO lub inne przepisy prawa Unii lub prawa krajowego dotyczące ochrony danych.

§5 Podpowierzenie - podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z następujących podmiotów podprzetwarzających:
   • Google LLC (Vertex AI) - modele AI (Gemini 3.5 Flash) do analizy dokumentów w ramach funkcji Asystenta AI. Usługa jest skonfigurowana w regionie europe-west3 (Frankfurt, UE). Google LLC ma siedzibę w USA i jest stroną umowy; ewentualny transfer lub dostęp spoza EOG jest zabezpieczony na podstawie standardowych klauzul umownych (SCC, art. 46 ust. 2 lit. c RODO) zawartych w Google Cloud Data Processing Addendum; Google LLC uczestniczy ponadto w programie EU-US Data Privacy Framework (DPF). Dokumenty nie są przechowywane przez Google po zakończeniu analizy. Podstawa: Google Cloud Data Processing Addendum.
   • Contabo GmbH (Aschauer Str. 32a, 81549 Monachium, Niemcy) - dostawca infrastruktury serwerowej, na której działa System. Serwer zlokalizowany w Polsce (UE). Contabo ma dostęp do danych wyłącznie na poziomie infrastruktury fizycznej, nie na poziomie aplikacji ani danych. Podstawa: umowa powierzenia przetwarzania danych zawarta z Contabo (Data Processing Agreement).
   • Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Niemcy) - dostawca infrastruktury do przechowywania szyfrowanych kopii zapasowych. Kopie zapasowe są szyfrowane algorytmem AES-256 (restic) przed przesłaniem; Hetzner nie ma dostępu do danych w postaci niezaszyfrowanej. Lokalizacja: UE. Podstawa: Hetzner Data Processing Agreement.
2. Procesor zobowiązuje się nałożyć na każdego podprocesora te same obowiązki ochrony danych co określone w niniejszej Umowie (art. 28 ust. 4 RODO) i ponosi pełną odpowiedzialność wobec Administratora za wypełnienie przez podprocesora jego obowiązków.
3. O dodaniu lub zmianie podprocesora Procesor informuje Administratora z wyprzedzeniem co najmniej 14 dni drogą elektroniczną (e-mail lub powiadomienie w panelu). Administrator może zgłosić uzasadniony sprzeciw wobec zmiany w tym terminie. W przypadku skutecznego sprzeciwu Procesor wstrzyma korzystanie z nowego podprocesora. Jeżeli strony nie uzgodnią rozwiązania w terminie 30 dni od sprzeciwu, każda ze stron może wypowiedzieć Umowę główną ze skutkiem natychmiastowym bez naliczania kar umownych. Brak sprzeciwu w terminie 14 dni jest równoznaczny z akceptacją zmiany.
4. Korzystanie z Asystenta AI jest opcjonalne. Administrator może zrezygnować z tej funkcji w ustawieniach organizacji, co wyklucza przetwarzanie przez Google LLC.

§6 Obowiązki Administratora

1. Administrator jest odpowiedzialny za zgodność z prawem przetwarzania danych osobowych, w tym za posiadanie podstawy prawnej dla przetwarzania danych wprowadzanych do Systemu.
2. Administrator zapewnia, że dane osobowe wprowadzane do Systemu są adekwatne i ograniczone do niezbędnego minimum (zasada minimalizacji danych).
3. Administrator zobowiązuje się nie wprowadzać do Systemu danych szczególnych kategorii ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 9 i 10 RODO).
4. Administrator odpowiada za prawidłową weryfikację wyników Asystenta AI przed zapisaniem karty informacyjnej w Systemie.

§7 Czas trwania i usunięcie danych

1. Niniejsza Umowa obowiązuje przez cały okres świadczenia usługi Ekorejestr, w tym przez bezpłatny Okres próbny.
2. Po zakończeniu świadczenia usługi Procesor przechowuje dane przez 30 dni, umożliwiając Administratorowi pobranie eksportu.
3. Po upływie 30 dni Procesor trwale usuwa wszystkie dane Administratora z systemu produkcyjnego, z wyjątkiem logów systemowych, o których mowa w ust. 5. Kopie zapasowe są przechowywane maksymalnie 30 dni, więc dane znikają z nich najpóźniej po kolejnych 30 dniach. Od momentu rozwiązania Umowy dane Administratora są wykluczone z przywracania.
4. Na pisemne żądanie Administratora Procesor może potwierdzić usunięcie danych.
5. Logi systemowe (IP, user agent) dotyczące połączeń z Systemem są usuwane po 90 dniach - niezależnie od zakończenia Umowy.

§8 Naruszenia ochrony danych

1. Procesor zobowiązuje się powiadomić Administratora o każdym naruszeniu ochrony danych osobowych nie później niż w ciągu 24 godzin od stwierdzenia naruszenia. Termin 72 godzin na zgłoszenie do UODO dotyczy Administratora - Procesor przekazuje informacje niezwłocznie, by umożliwić Administratorowi dotrzymanie tego terminu.
2. Powiadomienie będzie zawierać co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów danych, opis prawdopodobnych konsekwencji oraz opis środków podjętych lub proponowanych.
3. Obowiązek zgłoszenia naruszenia do UODO spoczywa na Administratorze jako na administratorze danych. Procesor udziela niezbędnej pomocy w tym zakresie.

§9 Lokalizacja danych i transfer

1. Dane w Systemie i kopie zapasowe są przechowywane na serwerach w Unii Europejskiej.
2. Serwer aplikacji zlokalizowany jest w Polsce.
3. Asystent AI (Google Vertex AI) jest skonfigurowany w regionie europe-west3 (Frankfurt, UE).
4. Procesor sam nie przekazuje danych do państw trzecich. Ponieważ Google LLC ma siedzibę w USA, ewentualny transfer lub dostęp spoza EOG w ramach usługi Google jest zabezpieczony mechanizmami wskazanymi w §5 (standardowe klauzule umowne, art. 46 ust. 2 lit. c RODO, oraz EU-US Data Privacy Framework).

§10 Postanowienia końcowe

1. Niniejsza Umowa zawierana jest w formie elektronicznej poprzez akceptację w formularzu zamówienia, co jest zgodne z art. 28 ust. 9 RODO. Na życzenie Administratora Procesor dostarcza wersję PDF.
2. W sprawach nieuregulowanych niniejszą Umową stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz prawa polskiego.
3. Wszelkie spory rozstrzyga sąd właściwy dla siedziby Procesora.
4. Zmiany niniejszej Umowy wymagają zachowania formy pisemnej lub elektronicznej. O istotnych zmianach Administrator jest informowany z co najmniej 14-dniowym wyprzedzeniem.