Umowa powierzenia przetwarzania — wzór

1. Strony, zakres i akceptacja

Procesorem jest BEAUTYNOVA CONCEPT wskazana z pełnymi danymi w nocie prawnej i sekcji 1 polityki prywatności. Administratorem jest salon określony w karcie zawarcia: pełna nazwa, adres, właściwy identyfikator, reprezentant i kontakt. Strony uzgadniają zakres funkcji oraz początek i czas powierzenia.

DPA 1.2 i załączniki A–D stają się wiążące po akceptacji tego samego kompletu przez uprawnione strony w formie pisemnej, również elektronicznej. Ręczna ścieżka jest dostępna przez kontakt@getnavie.app; obie strony zachowują treść i dowód zawarcia. Nie wymaga się określonej płatnej platformy, lecz musi dać się wykazać osoby, umocowanie, treść i oświadczenia. Samo otwarcie strony nie zawiera umowy.

DPA obejmuje wyłącznie powierzone cele salonu. Nie zastępuje informacji o własnych celach operatora, obowiązków salonu jako administratora ani podstawy marketingu.

2. Przedmiot, czas i czynności

Przedmiotem jest przetwarzanie danych klientów i personelu w celu prowadzenia salonu zgodnie z wybranymi funkcjami NAVIÉ. Charakter obejmuje zbieranie, utrwalanie, porządkowanie, przechowywanie, udostępnianie uprawnionym, komunikację, eksport oraz usunięcie. Dane nie są używane przez procesora do własnego marketingu ani trenowania modeli.

Powierzenie trwa przez uzgodnione świadczenie oraz niezbędny zwrot i usunięcie według załącznika D. Administrator zapewnia zgodne z prawem podstawy i instrukcje, rzetelność danych, informacje osobom oraz uprawnienia swojego personelu. Usługa nie rozszerza się na dane szczególnych kategorii przez samo wpisanie ich w notatkę.

3. Załącznik A — osoby i kategorie

• Osoby: klienci salonu, personel i współpracownicy, zapraszani, reprezentanci i odbiorcy komunikacji.
• Kategorie: identyfikatory i kontakt, role i dostępność, historia wizyt, usługi/produkty, kwoty/statusy, zwykłe preferencje organizacyjne, zgody/rezygnacje oraz komunikacja i obrazy dopuszczone w usłudze. Tylko zakres potrzebny do uzgodnionych funkcji.
• Zwykłe notatki nie obejmują danych o zdrowiu, chorobach, lekach, przeciwwskazaniach, dokumentacji i identyfikujących zdjęciach medycznych. Aplikacja nie ma automatycznego filtra tego zakazu. Odrębne dopuszczenie wymaga podstaw art. 9 RODO i odpowiedniego przygotowania.
• Marketing wymaga właściwej podstawy i dowodu zgody, gdy wymagana. Przełącznik nie jest dowodem; salon uwzględnia rezygnację także w kolejce. Ograniczenia STOP i ponownego opt-in opisuje sekcja 9 polityki prywatności.

4. Polecenia i poufność

Procesor działa wyłącznie na udokumentowane polecenie administratora, w tym w sprawie transferów, chyba że wiążący przepis wymaga inaczej; w takim przypadku informuje o wymogu, o ile prawo tego nie zabrania. Polecenia wynikają z umowy, uprawnionych działań w aplikacji i uzgodnionego kanału kontaktu. O poleceniu uznanym za sprzeczne z prawem ochrony danych informuje administratora. Dostęp otrzymują tylko osoby upoważnione i zobowiązane do poufności.

5. Załącznik B — środki bezpieczeństwa

Środki obejmują uwierzytelnianie użytkowników, ograniczenie dostępu według salonu i roli, systemowy bezpieczny magazyn sesji na urządzeniu oraz sekrety dostawców po stronie serwera. Osoby obsługujące dane muszą mieć upoważnienie i obowiązek poufności. Dostęp ogranicza się do celu i niezbędnego zakresu.

Procesor stosuje adekwatne środki zgodnie z art. 32 RODO, w tym utrzymanie poufności, integralności, dostępności i zdolności odtworzenia oraz regularną ocenę ich skuteczności. Konkretne środki zależą od ryzyka i wykorzystywanej usługi; nie deklarujemy certyfikacji lub przeprowadzenia wszystkich testów produkcyjnych.

Ograniczenia: logo i awatary mogą mieć publiczne adresy; nie służą dokumentacji klienta. Backup bazy Supabase nie obejmuje Storage. Automatyczne usuwanie ma ograniczony zakres i wymaga ręcznego uzupełnienia. Znane środki i granice są opisane w sekcjach 4, 6, 7 i 11 polityki prywatności oraz załączniku D.

6. Załącznik C — dalsze powierzenie

Administrator udziela ogólnego pisemnego upoważnienia do używania podprocesorów wskazanych dla uzgodnionego zakresu; procesor zapewnia im obowiązki ochrony danych wymagane art. 28 RODO i odpowiada za wykonanie ich obowiązków wobec administratora. Podmiot działający dla własnych celów nie staje się podprocesorem dla całej usługi.

O planowanym dodaniu lub zastąpieniu podprocesora NAVIÉ informuje administratora e-mailem, wskazując podmiot, usługę, dane i termin. Informacja musi umożliwić rzeczywisty sprzeciw przed nowym przetwarzaniem; sama aktualizacja listy na stronie nie wystarcza. Nie obowiązuje ogólna gwarancja 30 dni dla każdej zmiany w łańcuchu.

Warunki Expo przewidują tygodniowe uprzedzenie o zmianie jego podprocesorów. NAVIÉ przekazuje otrzymaną informację bez zbędnej zwłoki. Gdy dostępny czas nie pozwala na rzeczywisty sprzeciw przed objęciem danych nowym przetwarzaniem, strony uzgadniają odroczenie, wyłączenie dotkniętej funkcji lub zakończenie tej części usługi przed takim przetwarzaniem. Krótsze powiadomienie nie znosi prawa sprzeciwu i nie stanowi dowolnego wyjątku pilnego.

Administrator może zgłosić uzasadniony sprzeciw dotyczący ochrony danych. Strony poszukują zgodnego rozwiązania lub alternatywy. W razie braku rozwiązania nowe powierzenie nie może być realizowane wbrew wymaganemu upoważnieniu; dotknięty zakres zostaje wstrzymany lub zakończony z zachowaniem praw stron.

Wykaz dla aktywnych funkcji: Supabase Pte. Ltd. — logowanie, baza, pliki; Plus Five Five, Inc. (Resend) — zaproszenia e-mail; LINK Mobility Poland Sp. z o.o. (SMSAPI) — numery, treści i statusy SMS; RevenueCat, Inc. — identyfikatory i uprawnienia zakupowe; 650 Industries, Inc. (Expo) — właściwe usługi mobilne i push. Apple/Google obsługują właściwe usługi sklepu, urządzenia i push w odpowiednich rolach; Vercel hostuje stronę, AfterMarket pocztę. Nie każdy przepływ jest dalszym powierzeniem danych salonu. PostHog jest niepodłączony i nie jest aktywnym odbiorcą danych z tego powierzenia.

Źródła i dalsze wykazy: https://www.smsapi.pl/regulamin, https://www.linkmobility.com/list/, https://expo.dev/terms oraz https://expo.dev/privacy/subprocessors. Role, regiony i retencja poszczególnych przepływów są opisane w polityce prywatności, sekcje 4–6. Nie deklaruje się przetwarzania wyłącznie w UE.

7. Pomoc administratorowi

Procesor, uwzględniając charakter przetwarzania i dostępne informacje, pomaga w prawach osób, bezpieczeństwie, naruszeniach, ocenach skutków i konsultacjach. Wnioski salonu przekazuje właściwemu administratorowi, chyba że prawo wymaga inaczej. Nie wymaga haseł do weryfikacji osoby.

Kanał instrukcji i zgłoszeń: kontakt@getnavie.app. Procesor udziela informacji i pomocy bez zbędnej zwłoki, z uwzględnieniem ustawowych terminów administratora. Może poprosić o proporcjonalne potwierdzenie tożsamości lub umocowania; nie wymaga przesyłania hasła. Ręczna obsługa nie jest deklaracją automatycznego wykonania każdego żądania.

8. Naruszenia danych

Procesor zawiadamia administratora bez zbędnej zwłoki po stwierdzeniu naruszenia powierzonych danych, przekazując dostępny opis, kategorie i przybliżoną liczbę osób/rekordów, możliwe skutki, środki zaradcze i kontakt do dalszych ustaleń. Informacje mogą być uzupełniane etapami bez nieuzasadnionego opóźnienia. Kanał kontaktowy: kontakt@getnavie.app.

Nie oferujemy gwarancji obsługi całodobowej lub sztywnego terminu 24 godzin. Nie ogranicza to obowiązku niezwłocznego działania, współpracy i ustawowych terminów administratora, w tym oceny zgłoszenia organowi.

9. Załącznik D — zwrot, retencja i usunięcie

Po zakończeniu powierzenia procesor, według decyzji administratora, zwraca lub usuwa dane i istniejące kopie, chyba że prawo wymaga zachowania. Zapewnia 30 dni na uzgodniony zwrot/eksport po zakończeniu umowy, następnie realizuje usunięcie danych aktywnych; wcześniejsze prawa osoby i obowiązki prawne rozpatruje osobno. Wygaśnięcie PRO samo nie kończy umowy.

Automatyczne przetwarzanie konta właściciela jest planowane po 30 dniach od żądania. Nie obejmuje automatycznie wszystkich katalogów, kont personelu, logów i danych dostawców. Ręczna obsługa wymaga inwentaryzacji, uzupełnienia zakresu i sprawdzenia wyniku; sam status zakończenia lub przyjęcie żądania przez dostawcę nie stanowią pełnego potwierdzenia.

• CSV obejmuje klientów, wizyty, produkty i wykonane zabiegi; pozostały należny zakres zwrotu uzgadnia się osobno. Eksport nie jest automatycznie pełną kopią wszystkich tabel i plików.
• Nie ma ogólnego automatu SMS 30/90 dni ani kasowania nieaktywnych kont po 12 miesiącach. Dane utrzymuje się tylko w niezbędnym celu, według instrukcji i praw osoby; brak automatu nie dopuszcza retencji bez końca.
• Cykle dostawców i ich kryteria podaje sekcja 6 polityki prywatności. Nie gwarantuje to usunięcia każdej kopii po 30 dniach. Po odtworzeniu należy ponownie wykonać wcześniejsze usunięcia.
• Przed trwałym zamknięciem rozlicza się rzeczywiście zakupione saldo, jeśli występuje, zachowując tylko niezbędne dowody. Nie zatrzymuje się całej bazy z powodu sporu.
• Potwierdzenie dla administratora wskazuje wykonany zakres, pozostałe uzasadnione wyjątki i właściwy cykl kopii. Dane zachowane z obowiązku nie są używane w innym celu.

10. Informacje i audyty

Procesor udostępnia informacje potrzebne do wykazania obowiązków z art. 28 RODO oraz umożliwia audyty i inspekcje przez administratora lub upoważnionego audytora. Organizacja audytu uwzględnia bezpieczeństwo i poufność innych klientów; ustalenia organizacyjne nie mogą pozbawiać administratora ustawowej kontroli. Nie zastępujemy tego prawa samym ogólnym zapewnieniem o bezpieczeństwie.

11. Transfery i komplet dokumentów

Transfer poza EOG wymaga zgodnego z prawem polecenia i właściwego mechanizmu z rozdziału V RODO, w tym adekwatności lub odpowiednich klauzul i zabezpieczeń. Informacje o usługach, lokalizacjach i źródłach są w polityce prywatności oraz załączniku C. Nie deklaruje się wyłącznie unijnego dostępu.

Przy zawarciu strony identyfikują salon, reprezentantów, wersję 1.2, wybrane funkcje, datę i załączniki A–D; zachowują uzgodnioną treść. W razie sprzeczności w sprawach danych powierzonych DPA ma pierwszeństwo przed regulaminem, z zachowaniem obowiązkowego prawa. Brak danych konkretnego salonu w publicznym wzorcu nie jest jego akceptacją.

Istotne zmiany umowy podlegają regulaminowi; zmiany podprocesorów — wyłącznie właściwemu trybowi załącznika C, bez automatycznego przenoszenia 30-dniowego terminu. Wzór nie poświadcza zawarcia innych umów z dostawcami ani wykonania konkretnego usunięcia.