Umowa powierzenia danych

1. Strony i charakter dokumentu

Niniejsza umowa powierzenia przetwarzania danych, dalej „Umowa”, jest zawierana pomiędzy użytkownikiem biznesowym, który utworzył workspace Mailfly i decyduje o celach oraz sposobach komunikacji ze swoimi odbiorcami, dalej „Administratorem”, a Damianem Nowaczkiem prowadzącym jednoosobową działalność gospodarczą pod marką DAMIAN.NK, ul. Rynek 31, 32-090 Słomniki, NIP 6821738589, REGON 367302113, dalej „Procesorem” lub „Mailfly”.

Umowa jest integralnym uzupełnieniem regulaminu usługi. Dotyczy wyłącznie operacji, w których Mailfly przetwarza dane w imieniu Administratora. Nie obejmuje danych konta, rozliczeń, bezpieczeństwa i własnej obsługi prawnej Mailfly, dla których Operator może być odrębnym administratorem zgodnie z polityką prywatności.

2. Zawarcie i obowiązywanie

Administrator zawiera Umowę elektronicznie podczas tworzenia nowego workspace przez zaznaczenie odrębnego pola akceptacji. Data, wersja dokumentu i użytkownik dokonujący akceptacji są zapisywane w ustawieniach zgodności. Osoba akceptująca oświadcza, że może działać w imieniu Administratora. Członek zaproszony do istniejącego workspace nie zawiera nowej Umowy, ponieważ korzysta z przetwarzania uruchomionego przez właściciela.

Umowa obowiązuje od chwili przyjęcia do zakończenia świadczenia usługi i usunięcia lub zwrotu danych powierzonych. Jeżeli strony podpisały indywidualną umowę o innym brzmieniu, ma ona pierwszeństwo w zakresie wyraźnie uregulowanych rozbieżności.

3. Role stron

Administrator ustala cele przetwarzania, kategorie odbiorców, podstawę prawną, treść komunikacji, zakres importowanych pól, okres retencji i moment uruchomienia kampanii lub automatyzacji. Mailfly udostępnia narzędzia techniczne i wykonuje udokumentowane polecenia wyrażone przez konfigurację workspace, API, wtyczkę WooCommerce lub działania uprawnionych użytkowników.

Procesor nie wykorzystuje list kontaktów Administratora dla własnego marketingu, profilowania ani sprzedaży danych. Sam fakt przechowywania, renderowania lub przesłania wiadomości nie zmienia podziału ról. Wyjaśnienia dotyczące kwalifikowania administratora i procesora publikuje Urząd Ochrony Danych Osobowych.

4. Przedmiot i czas trwania przetwarzania

Przedmiotem powierzenia jest przetwarzanie danych niezbędnych do prowadzenia list kontaktów, budowy segmentów, wysyłania kampanii i automatyzacji, obsługi formularzy, wypisów, zdarzeń dostarczenia, integracji WooCommerce, dynamicznych bloków produktowych i raportowania. Przetwarzanie trwa przez aktywność workspace oraz przez techniczny okres potrzebny do bezpiecznego usunięcia danych po zakończeniu umowy.

Mailfly może nadal przechowywać ograniczony wpis wykluczenia zawierający adres e-mail lub jego techniczny identyfikator, jeżeli jest to konieczne do respektowania wypisu, sprzeciwu, skargi lub twardego odbicia. Taki wpis nie służy ponownemu marketingowi.

5. Charakter i cel operacji

Operacje mogą obejmować zbieranie przez formularz, utrwalanie, porządkowanie, import, dopasowanie, segmentację, odczyt, modyfikację, generowanie treści wiadomości, przesłanie do dostawcy e-mail, rejestrację statusu, ograniczenie, wykluczenie, eksport i usunięcie. W integracji sklepowej mogą obejmować powiązanie zdarzenia koszyka, checkoutu lub zamówienia z kontaktem i aktywną automatyzacją.

Celem jest wykonanie usługi wybranej przez Administratora, zapewnienie działania wypisów, bezpieczeństwa, rozliczalności zgód i prawidłowego raportowania. Mailfly nie rozszerza celu na działania, których Administrator nie uruchomił.

6. Kategorie osób

Powierzone dane mogą dotyczyć subskrybentów newslettera, klientów i potencjalnych klientów Administratora, użytkowników formularzy, osób rozpoczynających checkout, kupujących w sklepie WooCommerce, odbiorców wiadomości transakcyjnych objętych konfiguracją oraz osób reprezentujących kontrahentów Administratora. Administrator powinien ocenić, czy dana osoba może zostać zgodnie z prawem objęta konkretnym rodzajem komunikacji.

Usługa nie jest przeznaczona do systematycznego przetwarzania danych dzieci ani danych osób, których identyfikacja nie jest potrzebna do wysyłki. Administrator nie powinien tworzyć pól zbierających informacje nadmiarowe.

7. Rodzaje danych

Typowy zakres obejmuje adres e-mail, imię, nazwisko, nazwę organizacji, pola własne zdefiniowane przez Administratora, tagi, grupy, źródło i datę zgody, treść klauzuli, status subskrypcji, historię wypisów, identyfikatory kampanii i automatyzacji, otwarcia, kliknięcia, statusy dostarczeń oraz dane techniczne ograniczone do potrzeb bezpieczeństwa.

WooCommerce może przekazywać identyfikator klienta, koszyka, sesji, checkoutu i zamówienia, listę produktów, warianty, ilości, ceny, walutę, URL oraz status transakcji. Mailfly nie wymaga numerów dokumentów tożsamości, danych zdrowotnych, poglądów, biometrii ani pełnych danych płatniczych.

8. Zakaz danych szczególnych i nadmiarowych

Administrator nie będzie świadomie umieszczał w Mailfly danych szczególnych kategorii w rozumieniu art. 9 RODO, danych o wyrokach i czynach zabronionych ani treści wymagających podwyższonej ochrony, chyba że strony wcześniej uzgodnią pisemnie odpowiedni zakres, podstawę i zabezpieczenia. Standardowy plan Mailfly nie jest projektowany dla dokumentacji medycznej, kadrowej, finansowej ani tajemnic zawodowych.

Jeśli Mailfly wykryje oczywiste użycie niezgodne z przeznaczeniem, może ograniczyć dostęp do określonego zbioru i poprosić o jego usunięcie lub wyjaśnienie. Nie oznacza to bieżącego kontrolowania wszystkich treści Administratora.

9. Udokumentowane polecenia

Za udokumentowane polecenia uznaje się konfigurację i działania wykonane przez osoby uprawnione w panelu, żądania przesłane poprawnie uwierzytelnionym API, zdarzenia podpisane przez połączony sklep oraz pisemne ustalenia stron. Procesor przetwarza dane tylko w takim zakresie, chyba że obowiązek wynika z prawa Unii albo prawa polskiego.

Jeżeli polecenie zdaniem Mailfly narusza RODO lub inne przepisy ochrony danych, Procesor poinformuje Administratora przed wykonaniem w zakresie dozwolonym przez prawo i może wstrzymać sporną operację do wyjaśnienia.

10. Obowiązki Administratora

Administrator zapewnia legalność pozyskania danych, przejrzysty obowiązek informacyjny, właściwą podstawę prawną oraz uprzednią zgodę na marketing elektroniczny, gdy jest wymagana. Odpowiada za treść wiadomości, tożsamość nadawcy, dobór odbiorców, konfigurację retencji i prawidłowość instrukcji. Zakupiona, zeskrobana lub odziedziczona baza bez możliwej do wykazania podstawy nie może być importowana.

Administrator ogranicza dostęp członków zespołu, stosuje silne hasła i 2FA, nie udostępnia kluczy API, zgłasza utratę dostępu i regularnie przegląda aktywne integracje. Powinien zachować własną dokumentację źródła zgód oraz reagować na żądania osób.

11. Poufność personelu

Mailfly zapewnia, że osoby upoważnione do dostępu do danych są związane poufnością albo odpowiednim obowiązkiem ustawowym. Dostęp jest nadawany wyłącznie w zakresie wymaganym do utrzymania, supportu, bezpieczeństwa lub realizacji udokumentowanej instrukcji. Upoważnienia są przeglądane i cofane po ustaniu potrzeby.

Support nie powinien prosić o hasło, kod 2FA, pełny klucz API ani dane karty. Administrator ma obowiązek usunąć takie informacje ze zgłoszenia. Diagnostyka powinna opierać się na identyfikatorze obiektu, czasie i objawie.

12. Środki techniczne i organizacyjne

Mailfly stosuje szyfrowanie transmisji TLS, hashowanie haseł, szyfrowanie wybranych sekretów, izolację danych według workspace, kontrolę ról, sesje HttpOnly i Secure, same-origin dla mutacji, rate limiting, rejestr audytowy, automatyczne wykluczenia, monitoring reputacji, ograniczone uprawnienia IAM i regularne kopie bazy. Dostęp administracyjny jest ograniczony do uzasadnionych operacji.

Środki są rozwijane adekwatnie do ryzyka, stanu wiedzy, kosztu i charakteru usługi. Umowa nie stanowi gwarancji absolutnego bezpieczeństwa, ale zobowiązuje Procesora do utrzymywania zabezpieczeń wymaganych przez art. 32 RODO.

13. Dalsze powierzenie

Administrator udziela ogólnej zgody na korzystanie z dalszych procesorów potrzebnych do hostingu, transportu e-mail, backupu, płatności, monitoringu i supportu. Kluczowymi kategoriami są europejska infrastruktura OVHcloud oraz Amazon Web Services, w tym regionalny Amazon SES. Dostawca płatności przetwarza część danych także jako odrębny administrator według własnych obowiązków.

Mailfly poinformuje o istotnym dodaniu lub zastąpieniu dalszego procesora z wyprzedzeniem pozwalającym zgłosić uzasadniony sprzeciw. Procesor nakłada na dalszy podmiot obowiązki ochrony nie mniej rygorystyczne niż wymagane dla danej operacji.

14. Transfery poza EOG

Podstawowa aplikacja i baza są utrzymywane w Unii Europejskiej, a Amazon SES jest konfigurowany w regionie europejskim. Jeżeli dostęp lub dalsze przetwarzanie może oznaczać transfer do państwa trzeciego, Mailfly stosuje mechanizm zgodny z rozdziałem V RODO, w szczególności decyzję o odpowiednim poziomie ochrony albo standardowe klauzule umowne z oceną transferu i środkami uzupełniającymi.

Na żądanie Administrator otrzyma informację o zasadniczym mechanizmie transferowym. Lokalizacja techniczna nie zwalnia Administratora z własnej oceny użycia danych w kampanii.

15. Pomoc przy prawach osób

Mailfly, uwzględniając charakter przetwarzania, pomaga Administratorowi w realizacji dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przeniesienia i wycofania zgody. Panel pozwala wyszukać, edytować, wypisać i usunąć kontakt oraz eksportować dane. Trwałe wykluczenie może pozostać w minimalnym zakresie, jeżeli jest konieczne do respektowania sprzeciwu.

Jeśli osoba zwróci się bezpośrednio do Mailfly w sprawie listy konkretnego klienta, Procesor przekaże żądanie Administratorowi bez zbędnej zwłoki i nie odpowie merytorycznie bez jego instrukcji, chyba że prawo wymaga inaczej.

16. Naruszenia danych

Po stwierdzeniu naruszenia dotyczącego danych powierzonych Mailfly poinformuje Administratora bez zbędnej zwłoki. Informacja, w zakresie dostępnych danych, będzie obejmować charakter zdarzenia, kategorie danych i osób, możliwe konsekwencje, zastosowane lub planowane środki oraz punkt kontaktowy. Kolejne ustalenia mogą być przekazywane etapami.

Administrator decyduje o zgłoszeniu naruszenia organowi i osobom, chyba że obowiązek spoczywa bezpośrednio na Procesorze. Mailfly zabezpieczy dowody, ograniczy skutki i będzie współpracować przy ocenie ryzyka.

17. Ocena skutków i konsultacje

Procesor pomaga Administratorowi, w rozsądnym zakresie i z uwzględnieniem posiadanych informacji, w ocenie skutków dla ochrony danych oraz uprzednich konsultacjach. Administrator powinien opisać planowane operacje, ryzyka, skalę, kategorie osób i wymagany termin. Pomoc wykraczająca poza standardowe informacje o usłudze może wymagać uzgodnienia kosztu.

Mailfly nie zastępuje inspektora ochrony danych ani doradcy prawnego Administratora. Decyzja o konieczności DPIA i podstawach przetwarzania należy do Administratora.

18. Audyt i informacje o zgodności

Mailfly udostępnia informacje potrzebne do wykazania spełnienia art. 28 RODO i umożliwia audyt Administratorowi lub upoważnionemu, niezależnemu audytorowi. Audyt powinien być zapowiedziany co najmniej 14 dni wcześniej, odbywać się w godzinach pracy, nie naruszać bezpieczeństwa innych klientów i ograniczać się do systemów związanych z powierzonym przetwarzaniem.

W pierwszej kolejności strony korzystają z dokumentacji, raportów, odpowiedzi pisemnych i kontroli zdalnej. Audyt na miejscu jest stosowany, gdy te środki są niewystarczające albo wystąpiło istotne naruszenie. Obowiązek dostarczenia informacji i umożliwienia audytu wynika z art. 28 RODO.

19. Usunięcie i zwrot danych

Po zakończeniu usługi Administrator może pobrać dostępne dane w standardowym formacie przed zamknięciem workspace. Następnie Mailfly usuwa albo anonimizuje dane z systemów aktywnych, chyba że prawo wymaga przechowania określonej kategorii. Dane rozliczeniowe i dowody wykonania obowiązków mogą być przechowywane jako dane własne Operatora.

Kopie techniczne są nadpisywane zgodnie z cyklem backupu i nie służą do bieżącego przetwarzania. Przywrócenie całej kopii po awarii nie może prowadzić do świadomego wznowienia marketingu do osób wypisanych; mechanizmy wykluczeń są ponownie stosowane.

20. Odpowiedzialność i współpraca

Każda strona odpowiada za własne obowiązki wynikające z RODO. Administrator odpowiada za legalność celu, podstawę i instrukcje. Mailfly odpowiada za przetwarzanie zgodnie z Umową, bezpieczeństwo powierzonego zakresu oraz wybór dalszych procesorów dających odpowiednie gwarancje. Strony niezwłocznie przekazują sobie informacje mogące wpływać na zgodność.

Ograniczenia odpowiedzialności z regulaminu stosuje się w zakresie dopuszczalnym przez prawo i nie ograniczają praw osób ani odpowiedzialności, której nie można umownie wyłączyć.

21. Zmiany i sprzeciw wobec podprocesora

Mailfly może aktualizować Umowę ze względu na zmianę funkcji, podwykonawców, zabezpieczeń lub prawa. Istotna zmiana będzie komunikowana w aplikacji lub e-mailem. Administrator może zgłosić uzasadniony sprzeciw wobec nowego dalszego procesora, opisując konkretne ryzyko dla danych. Strony spróbują znaleźć rozwiązanie, takie jak ograniczenie funkcji lub alternatywny transport.

Jeżeli rozwiązanie nie jest możliwe, Administrator może zakończyć korzystanie z funkcji wymagającej spornego podprocesora, zachowując prawo do eksportu danych przed usunięciem.

22. Prawo właściwe i kontakt

Do Umowy stosuje się prawo polskie oraz bezpośrednio obowiązujące prawo Unii Europejskiej. Spory strony próbują najpierw rozwiązać przez konkretne ustalenie zakresu danych, operacji i oczekiwanego działania. W sprawach powierzenia można kontaktować się przez formularz, wybierając kategorię „Prywatność i dane”.

Niniejszy wzorzec wymaga indywidualnego przeglądu prawnika przed pierwszym płatnym przetwarzaniem, zwłaszcza jeśli klient działa w sektorze regulowanym lub planuje nietypowe dane.

23. Wnioski organów i żądania prawne

Jeżeli organ publiczny zwróci się o dane powierzone, Mailfly sprawdzi podstawę, zakres i właściwość żądania. W zakresie dozwolonym przez prawo poinformuje Administratora przed ujawnieniem i ograniczy przekazywane informacje do niezbędnego minimum. Procesor nie przekazuje list marketingowych na podstawie nieformalnej prośby ani bez możliwości ustalenia umocowania żądającego.

Mailfly dokumentuje datę, podmiot, podstawę, zakres i sposób wykonania. Jeżeli prawo zabrania powiadomienia Administratora, informacja zostanie przekazana po ustaniu zakazu, o ile nadal jest to prawnie dopuszczalne. Administrator współpracuje przy ustaleniu kontekstu i nie nakazuje usunięcia danych objętych legalnym zabezpieczeniem dowodowym.

24. Ciągłość działania i kopie techniczne

Mailfly utrzymuje procedury kopii bazy, odtwarzania, monitoringu usług i kontrolowanego wdrażania. Kopia jest zabezpieczeniem całego środowiska, a nie magazynem dostępnych dla użytkownika wersji pojedynczego kontaktu. Administrator powinien niezależnie eksportować dane krytyczne przed masową zmianą albo zakończeniem umowy.

Po awarii Procesor przywraca usługę według dostępnej kopii i ponownie stosuje listy wykluczeń, role oraz ograniczenia wysyłki. Testy odtworzenia powinny potwierdzać integralność, a dostęp do backupu pozostaje ograniczony. Niedostępność zewnętrznego transportu może zatrzymać kolejkę bez usunięcia danych i bez automatycznego przełączenia do nieuzgodnionego dostawcy.

25. Rejestr kategorii przetwarzania

Mailfly prowadzi wymagany rejestr kategorii operacji realizowanych dla Administratorów. Może obejmować dane kontaktowe stron, kategorie osób i danych, ogólny opis środków, kategorie dalszych procesorów i informacje o transferach. Rejestr nie zawiera treści każdej kampanii, jeśli nie jest to potrzebne do wykazania zgodności.

Administrator prowadzi własny rejestr czynności, jeżeli ma taki obowiązek, i nie może zastąpić go panelem statystyk Mailfly. Na potrzeby kontroli strony uzgadniają spójny opis przepływu: źródło kontaktu, import lub formularz, przechowanie w workspace, transport e-mail, zdarzenia dostawy, wypis i retencję.

26. Załącznik operacyjny dla workspace

Parametry konkretnego powierzenia wynikają z ustawień workspace i mogą zostać wyeksportowane do podpisanego egzemplarza. Administrator wskazuje nazwę i dane organizacji, kategorie osób, używane moduły, planowany wolumen, wymagany okres retencji, aktywne integracje, członków zespołu oraz osoby właściwe dla zgłoszeń prywatności i bezpieczeństwa. Brak uzupełnienia pola opcjonalnego nie upoważnia Mailfly do przyjęcia szerszego celu.

Domyślny zakres operacyjny obejmuje hosting bazy w Unii Europejskiej, transport e-mail przez europejski region Amazon SES, kopie techniczne, monitoring, obsługę wypisów, zdarzenia dostawy i support. Funkcja płatnicza dotyczy abonamentu użytkownika, a nie płatności klientów jego sklepu. Wtyczka WooCommerce przekazuje zdarzenia tylko po sparowaniu kodem i podpisuje kolejne żądania.

Przed importem Administrator powinien zapisać w swojej dokumentacji cel kampanii, podstawę, źródło kontaktów, przewidziane kategorie wiadomości i termin przeglądu bazy. W przypadku sektora regulowanego, danych nietypowych, komunikacji do dzieci albo operacji wysokiego ryzyka standardowy załącznik nie wystarcza. Strony przed uruchomieniem uzgadniają dodatkowe zabezpieczenia, ograniczenia pól, retencję i ewentualny zakaz użycia określonej funkcji.