This document is currently available in Polish only. An English version will follow.
Projekt do przeglądu przez radcę prawnego; nie stanowi porady prawnej. Załącznik do Regulaminu B2B.
Zawarta w dniu PLACEHOLDER: data / akceptacja w panelu pomiędzy:
Administratorem: PLACEHOLDER: dane Klienta, marka, NIP, adres ("Administrator"),
Podmiotem przetwarzającym: APOLLO GARAGE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Zielonej Górze, ul. gen. Jarosława Dąbrowskiego 25A, 65-021 Zielona Góra, KRS 0001201253, NIP 9261696399, REGON 543043167 ZWERYFIKUJ adres w odpisie z KRS: zmiana wpisana 10.2026 ("Procesor").
1. Przedmiot, charakter i cel
1.1. Administrator powierza Procesorowi dane osobowych kupujących w sklepach Administratora w celu realizacji zamówień: kompletacji, pakowania, nadania przesyłek, obsługi zwrotów i reklamacji oraz powiadomień o statusie, zgodnie z umową o świadczenie usług (Regulamin B2B).
1.2. Kategorie osób: kupujący Administratora i odbiorcy przesyłek.
1.3. Rodzaje danych: imię i nazwisko, adres dostawy, numer telefonu, adres e-mail, numer zamówienia i zawartość zamówienia, numer przesyłki. Dane szczególnych kategorii nie są przetwarzane DO OCENY PRAWNIKA: zamówienie suplementu może pośrednio ujawniać dane o zdrowiu; ocenić ryzyko.
1.4. Czas: na czas obowiązywania umowy usług oraz PLACEHOLDER: okres retencji po wykonaniu zamówienia; potem usunięcie lub zwrot (pkt 9).
2. Obowiązki Procesora
Procesor: a) przetwarza dane tylko na udokumentowane polecenie Administratora (umowa i konfiguracja integracji są poleceniem); b) zapewnia zobowiązanie do poufności osób upoważnionych; c) stosuje środki z art. 32 RODO (załącznik 1); d) przestrzega warunków korzystania z podprzetwarzających (pkt 4); e) pomaga w realizacji praw osób, których dane dotyczą, w tym przekazując żądania w ciągu PLACEHOLDER: dni; f) pomaga w obowiązkach z art. 32 do 36 RODO; g) udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty (pkt 7); h) nie przetwarza danych do własnych celów.
3. Obowiązki Administratora
Administrator odpowiada za podstawę prawną przetwarzania, informowanie kupujących (art. 13 RODO) oraz zgodność przekazywanych danych i poleceń z prawem.
4. Podprzetwarzający
4.1. Administrator udziela ogólnej zgody na korzystanie z podprzetwarzających z poniższej listy. Procesor zawiera z nimi umowy nakładające te same obowiązki ochrony danych i odpowiada wobec Administratora za ich wykonanie.
| Podprzetwarzający | Zakres | Lokalizacja |
|---|---|---|
| Cloudflare PLACEHOLDER: podmiot, np. Cloudflare, Inc. | hosting, baza danych, pliki, kolejki | UE PLACEHOLDER: potwierdzić; możliwy dostęp z USA |
| InPost PLACEHOLDER: InPost S.A. | doręczenie przesyłek (dane odbiorcy) | Polska / UE |
| PLACEHOLDER: dostawca e-maili | wysyłka powiadomień | PLACEHOLDER |
| Stripe PLACEHOLDER: Stripe Payments Europe, Ltd. | płatności; dane kupujących nie są co do zasady przekazywane PLACEHOLDER: potwierdzić | UE / USA |
| PLACEHOLDER: Fakturownia lub inFakt | faktury (głównie dane Administratora; dane kupujących tylko gdy wymagane) | Polska |
4.2. O zamiarze dodania lub zmiany podprzetwarzającego Procesor informuje z wyprzedzeniem PLACEHOLDER: 14 dni. Administrator może zgłosić uzasadniony sprzeciw; brak porozumienia daje prawo wypowiedzenia umowy usług.
5. Transfery poza EOG
Procesor nie przekazuje danych poza EOG, chyba że na podstawie rozdziału V RODO (decyzja o odpowiednim stopniu ochrony, w tym EU-US Data Privacy Framework, lub standardowe klauzule umowne) i z poinformowaniem Administratora. PLACEHOLDER: potwierdzić per podprzetwarzający
6. Naruszenia ochrony danych
Procesor zgłasza Administratorowi naruszenie bez zbędnej zwłoki, nie później niż w ciągu PLACEHOLDER: 24-48 godzin od stwierdzenia, z opisem charakteru, zakresu, skutków i środków zaradczych, oraz wspiera Administratora w zgłoszeniu do UODO (art. 33) i zawiadomieniu osób (art. 34).
7. Audyt
Administrator może, po uprzednim powiadomieniu z PLACEHOLDER: 14 dni wyprzedzeniem, nie częściej niż raz w roku, żądać informacji lub przeprowadzić audyt w godzinach pracy, bez naruszania poufności innych klientów Procesora. Koszty audytu ponosi Administrator PLACEHOLDER: do decyzji.
8. Odpowiedzialność
Odpowiedzialność stron wobec siebie podlega Regulaminowi B2B DO OCENY PRAWNIKA: czy limit obejmuje naruszenia RODO. Wobec osób, których dane dotyczą, obowiązuje art. 82 RODO.
9. Zakończenie
Po zakończeniu usług Procesor, według wyboru Administratora, usuwa lub zwraca dane i usuwa kopie w ciągu PLACEHOLDER: 30 dni, z wyjątkiem danych, które musi zachować na podstawie prawa (np. dokumentacja wysyłek do rozliczeń) PLACEHOLDER: zakres.
10. Postanowienia końcowe
Prawo polskie. W sprawach nieuregulowanych stosuje się RODO i Regulamin B2B. W razie sprzeczności w zakresie danych osobowych pierwszeństwo ma niniejsza umowa.
Załącznik 1: środki techniczne i organizacyjne PLACEHOLDER: potwierdzić z działem technicznym
- szyfrowanie transmisji (TLS) i przechowywania; hosting w UE;
- dostęp według ról (klient, operator, technolog, magazyn, admin) i zasada najmniejszych uprawnień;
- logowanie bez haseł (kod jednorazowy), docelowo passkey dla pracowników;
- księga operacji i logi dostępu; kopie zapasowe; ograniczone przechowywanie danych adresowych;
- szkolenia i zobowiązania do poufności pracowników magazynu i obsługi;
- procedura reagowania na incydenty.