Umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia”), wersja 2.0 obowiązująca od 26 października 2026 roku. Jest częścią umowy o świadczenie usług Inlockly™ zawieranej na zasadach Regulaminu.

§ 1. Strony i zawarcie

1. Stronami są:

1. Administrator - Przedsiębiorca (firma lub organizacja), który korzysta z Grupy w planie Zespołowym lub Biznesowym;
2. Podmiot przetwarzający - IMPERIT Dawid Łukaszek, ul. Mireckiego 26A/38, 42-208 Częstochowa, NIP: 9492259428 (dalej: „IMPERIT”).

2. Umowa powierzenia zostaje zawarta z chwilą zakupu planu Zespołowego lub Biznesowego (akceptacja Regulaminu) i obowiązuje tak długo jak Subskrypcja Grupy, a po jej zakończeniu - do usunięcia danych zgodnie z § 9.

3. Na życzenie Administratora strony mogą zawrzeć Umowę powierzenia w formie dokumentowej lub pisemnej na tych samych warunkach - prośbę wyślij na [email protected].

4. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie i w RODO (rozporządzenie (UE) 2016/679).

§ 2. Przedmiot i zakres powierzenia

1. Administrator powierza IMPERIT przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług Inlockly™ w Grupie Administratora.

2. Kategorie osób: członkowie Grupy (pracownicy, współpracownicy, zleceniobiorcy Administratora), osoby zaproszone do Grupy oraz osoby, których dane Administrator lub członkowie umieszczają w pozycjach Grupy.

3. Rodzaje danych:

1. dane członków Grupy: imię i nazwisko, adres e-mail, zdjęcie profilowe, rola, dział i uprawnienia w Grupie;
2. dane o aktywności w Grupie: dziennik zdarzeń Grupy, aktywność logowania członków (czas, urządzenie, adres IP, przybliżona lokalizacja), a w planie Biznesowym dziennik użycia pozycji (wyświetlenie, odkrycie lub skopiowanie hasła, skopiowanie kodu 2FA, autouzupełnienie, druk);
3. treść pozycji Grupy - wyłącznie w postaci zaszyfrowanej end-to-end, bez dostępu IMPERIT do kluczy.

4. Charakter przetwarzania: przechowywanie, synchronizacja, przesyłanie, udostępnianie członkom zgodnie z uprawnieniami, prezentowanie w konsoli zarządzania, usuwanie.

5. Umowa powierzenia nie obejmuje danych, których administratorem jest IMPERIT (konto użytkownika, rozliczenia, bezpieczeństwo usługi) - opisuje je Polityka prywatności.

§ 3. Obowiązki IMPERIT

IMPERIT:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem są Regulamin, Umowa powierzenia oraz ustawienia i działania Administratora w Aplikacji. Jeżeli prawo UE lub polskie nakłada obowiązek przetwarzania, IMPERIT informuje o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania;
2. niezwłocznie informuje Administratora, jeżeli jego polecenie narusza w ocenie IMPERIT przepisy o ochronie danych;
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
4. stosuje środki bezpieczeństwa z § 4;
5. pomaga Administratorowi w realizacji praw osób, których dane dotyczą (art. 15-22 RODO), przede wszystkim przez funkcje Aplikacji (podgląd, zmiana i usuwanie członków i danych, eksport), a w pozostałym zakresie - na wniosek;
6. pomaga Administratorowi wywiązać się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, konsultacje), uwzględniając charakter przetwarzania i dostępne informacje;
7. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach § 7.

§ 4. Bezpieczeństwo

1. IMPERIT stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

1. szyfrowanie end-to-end treści pozycji na urządzeniach użytkowników (AES-256-GCM, Argon2id, RSA-OAEP) - IMPERIT nie ma dostępu do kluczy;
2. szyfrowanie transmisji (TLS) i danych przechowywanych na serwerach;
3. kontrolę dostępu do systemów według zasady najmniejszych uprawnień, uwierzytelnianie wieloskładnikowe dla personelu, izolację sieci;
4. kopie zapasowe i monitoring dostępności;
5. rejestrowanie zdarzeń bezpieczeństwa i ochronę przed nadużyciami (limity prób, weryfikacja dwuetapowa).

2. Opis modelu bezpieczeństwa zawiera Raport Bezpieczeństwa.

§ 5. Dalsze powierzenie (podprocesorzy)

1. Administrator udziela ogólnej zgody na korzystanie przez IMPERIT z dalszych podmiotów przetwarzających. Aktualni podprocesorzy przetwarzający dane objęte Umową powierzenia:

Podprocesor	Zakres	Miejsce
Amazon Web Services EMEA SARL	serwery, baza danych, przechowywanie plików, wysyłka e-maili	UE (Frankfurt)
Yubico AB	weryfikacja kodów kluczy YubiKey członków	UE (Szwecja)
IPinfo, Inc.	ustalenie kraju z adresu IP, gdy nie wystarcza lokalna baza	USA
Atlassian Pty Ltd	obsługa zgłoszeń do wsparcia	UE i USA

2. IMPERIT informuje Administratora o zamiarze dodania lub zmiany podprocesora e-mailem (na adres Właściciela grupy) co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie usług ze skutkiem na dzień zmiany i otrzymać zwrot proporcjonalnej części opłaty.

3. IMPERIT nakłada na podprocesorów te same obowiązki ochrony danych co w Umowie powierzenia i odpowiada za ich działania jak za własne.

§ 6. Przekazywanie poza EOG

Dane przekazywane do państw spoza Europejskiego Obszaru Gospodarczego (§ 5) są chronione na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych (art. 45-46 RODO).

§ 7. Audyt

1. Administrator może sprawdzić przestrzeganie Umowy powierzenia, przede wszystkim na podstawie informacji i dokumentacji udostępnianej przez IMPERIT (w tym odpowiedzi na kwestionariusze bezpieczeństwa).

2. Jeżeli informacje te nie wystarczą, Administrator może przeprowadzić audyt - sam lub przez niezależnego audytora związanego tajemnicą - po zawiadomieniu z wyprzedzeniem co najmniej 14 dni, w dni robocze, nie częściej niż raz w roku (chyba że nastąpiło naruszenie ochrony danych lub wymaga tego organ nadzorczy). Audyt nie może naruszać bezpieczeństwa danych innych klientów ani obejmować dostępu do kluczy szyfrujących. Koszty audytu ponosi Administrator.

§ 8. Naruszenia ochrony danych

IMPERIT zgłasza Administratorowi stwierdzone naruszenie ochrony danych objętych Umową powierzenia bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Właściciela grupy. Zgłoszenie zawiera informacje z art. 33 ust. 3 RODO dostępne w danej chwili; pozostałe IMPERIT przekazuje niezwłocznie, gdy je ustali.

§ 9. Zakończenie i usunięcie danych

1. Po zakończeniu świadczenia usług dla Grupy (usunięcie Grupy) IMPERIT usuwa dane objęte Umową powierzenia po upływie 30-dniowego okresu karencji, w którym Administrator może cofnąć usunięcie i wyeksportować dane. Kopie zapasowe są nadpisywane w zwykłym cyklu, nie dłużej niż w ciągu 35 dni.

2. Przed usunięciem Administrator może wyeksportować dane za pomocą funkcji Aplikacji. Na wniosek IMPERIT potwierdza usunięcie danych.

3. Obowiązek usunięcia nie dotyczy danych, które IMPERIT musi przechowywać na podstawie przepisów prawa.

§ 10. Obowiązki Administratora

Administrator:

1. odpowiada za podstawę prawną przetwarzania danych członków i osób, których dane umieszcza w Grupie;
2. informuje członków Grupy o przetwarzaniu ich danych, w tym o danych o aktywności widocznych w konsoli zarządzania (§ 2 ust. 3 pkt 2);
3. korzysta z uprawnień w Grupie zgodnie z prawem, w szczególności z przepisami prawa pracy.

§ 11. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron za naruszenie Umowy powierzenia określa art. 82 RODO; w pozostałym zakresie stosuje się § 16 Regulaminu.

2. W razie sprzeczności między Umową powierzenia a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.

3. Zmiany Umowy powierzenia wprowadza się na zasadach zmian Regulaminu (§ 20 Regulaminu).

4. Do Umowy powierzenia stosuje się prawo polskie; spory rozstrzyga sąd właściwy dla siedziby IMPERIT.