Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Umowa zostaje zawarta pomiędzy Klientem korzystającym z usługi Opinka, jako Administratorem, a Łukaszem Matwiejczykiem, prowadzącym działalność gospodarczą pod firmą Hexa Intelligence Łukasz Matwiejczyk, ul. Solec 52 m. 1, 00-382 Warszawa, NIP 525-298-18-62, REGON 527040477, wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, jako Podmiotem przetwarzającym.
2. Umowa jest zawierana w formie elektronicznej z chwilą jej akceptacji w serwisie opinka.pl i stanowi część umowy o świadczenie usługi Opinka („Umowa główna”). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
3. Umowa realizuje wymagania art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w tym paragrafie.
2. Kategorie osób: klienci Administratora (Odbiorcy), których numery Administrator wprowadza do serwisu, oraz osoby oceniające wizytę za pomocą Kodu QR.
3. Rodzaje danych: numer telefonu, imię (jeśli Administrator je wprowadzi albo poda je Odbiorca, prosząc o kontakt), numer telefonu podany przez Odbiorcę przy prośbie o kontakt, treść wysłanej wiadomości SMS, data wprowadzenia numeru, daty wysłania wiadomości, otwarcia linku, oceny i kliknięcia przycisku przejścia do serwisu Google, ocena, zaznaczone odpowiedzi, treść uwag, informacja o prośbie o kontakt, informacja o rezygnacji z wiadomości, kryptograficzny skrót numeru i jego trzy ostatnie cyfry, informacja, że Odbiorca korzysta z usług Administratora, oraz adres IP i dane techniczne przeglądarki Odbiorcy otwierającego Stronę oceny.
4. Szczególne kategorie danych: jeżeli Administrator udziela świadczeń zdrowotnych (np. gabinet stomatologiczny, fizjoterapia), już sama informacja, że Odbiorca był jego pacjentem, wraz z numerem telefonu i datą wizyty, jest daną dotyczącą zdrowia (art. 9 ust. 1 RODO). Administrator wprowadza numer pacjenta wyłącznie na podstawie jego uprzedniej, wyraźnej zgody (art. 9 ust. 2 lit. a RODO) obejmującej wysłanie SMS-a z prośbą o ocenę wizyty i jednego przypomnienia oraz przekazanie w tym celu danych Podmiotowi przetwarzającemu i operatorowi bramki SMS; zgoda ta obejmuje również zwolnienie z tajemnicy w tym zakresie. Administrator nie wpisuje w polu imienia, w treści wiadomości ani we własnych tematach oceny informacji o rozpoznaniu, leczeniu ani rodzaju zabiegu. Poza tym przypadkiem przetwarzanie nie obejmuje danych, o których mowa w art. 9 i 10 RODO; formularz uwag zawiera prośbę, aby Odbiorcy ich nie podawali, a jeśli Odbiorca mimo to je poda, są one przetwarzane wyłącznie jako część treści uwag, a Administrator może je w każdej chwili usunąć w koncie.
5. Charakter przetwarzania: zbieranie, przechowywanie, szyfrowanie, wysyłanie wiadomości SMS za pośrednictwem operatora bramki SMS, udostępnianie Administratorowi w koncie i w powiadomieniach e-mail, sporządzanie zestawień statystycznych, tworzenie skrótu numeru telefonu na potrzeby obsługi rezygnacji i wykrywania powtórzeń oraz usuwanie.
6. Cel przetwarzania: wysłanie Odbiorcy prośby o ocenę wizyty i najwyżej jednego przypomnienia, umożliwienie mu przekazania oceny i uwag, obsługa rezygnacji z wiadomości oraz przygotowanie dla Administratora statystyk i raportów.
7. Czas przetwarzania: przez czas obowiązywania Umowy głównej, z zastrzeżeniem terminów usuwania z § 9.

§ 3. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzanych danych, a przed wprowadzeniem numeru uzyskał zgodę Odbiorcy na otrzymanie wiadomości SMS z prośbą o ocenę i jednego przypomnienia (art. 398 ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej), a w przypadku, o którym mowa w § 2 ust. 4, także wyraźną zgodę, o której tam mowa.
2. Administrator spełnia wobec Odbiorców obowiązek informacyjny z art. 13 lub 14 RODO, najpóźniej przy uzyskaniu zgody na wysyłkę. Podmiot przetwarzający udostępnia w tym celu stronę z informacją dla Odbiorców, dostępną ze Strony oceny.
3. Administrator wydaje polecenia przetwarzania przez korzystanie z funkcji serwisu, w szczególności przez wprowadzenie numeru telefonu, wybór pory wysyłki, ustawienie treści wiadomości, dodanie numeru do listy rezygnacji oraz usuwanie danych. Te czynności, wraz z tą umową, stanowią udokumentowane polecenie w rozumieniu art. 28 ust. 3 lit. a RODO. Inne polecenia Administrator przekazuje e-mailem na adres [email protected].

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego. W takim przypadku informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, jeśli prawo tego nie zabrania. Jeśli polecenie jego zdaniem narusza przepisy o ochronie danych, niezwłocznie informuje o tym Administratora,
2. nie wykorzystuje powierzonych danych do własnych celów, w szczególności do marketingu, i nie łączy ich z danymi innych klientów. Skrót numeru telefonu służący do obsługi rezygnacji jest przypisany do danego Administratora i wykorzystywany wyłącznie w jego imieniu,
3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy,
4. stosuje środki bezpieczeństwa opisane w § 5 i w Załączniku,
5. przestrzega warunków korzystania z usług dalszych podmiotów przetwarzających opisanych w § 6,
6. pomaga Administratorowi, w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania Odbiorców w zakresie wykonywania ich praw (rozdział III RODO). W szczególności udostępnia w koncie podgląd, wyszukiwanie (także po pełnym numerze telefonu), eksport i usuwanie danych oraz listę rezygnacji, a żądania skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi w ciągu 3 dni roboczych,
7. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje,
8. po zakończeniu świadczenia usług usuwa dane zgodnie z § 9,
9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzanie audytów zgodnie z § 7,
10. prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 5. Środki bezpieczeństwa

1. Podmiot przetwarzający, uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko dla praw i wolności Odbiorców, stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku (art. 32 RODO).
2. Wykaz stosowanych środków stanowi Załącznik do umowy. Podmiot przetwarzający może zmieniać środki, jeśli nie obniża to poziomu ochrony danych.

§ 6. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. W dniu zawarcia umowy są to:
   1. LINK Mobility Poland sp. z o.o. (SMSAPI), Polska: wysyłka wiadomości SMS. Zakres danych: numer telefonu i treść wiadomości. Przetwarzanie na terenie EOG,
   2. Cloudflare, Inc., USA: pośredniczenie w ruchu do serwisu, ochrona przed atakami i szyfrowanie połączeń. Zakres danych: dane przesyłane między przeglądarką a serwisem, w tym adres IP. Podstawa przekazania: decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework oraz standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914),
   3. Hetzner Online GmbH, Niemcy: serwer pośredniczący, przez który ruch z internetu, w tym poczta e-mail wysyłana i odbierana przez serwis (np. powiadomienia o wiadomościach Odbiorców), trafia do serwera Podmiotu przetwarzającego. Zakres danych: dane przesyłane między przeglądarką a serwisem, w tym adres IP, oraz treść przesyłanych wiadomości e-mail. Dane nie są na nim trwale przechowywane. Przetwarzanie w Niemczech (Norymberga).
2. Serwer, na którym przechowywane są dane i kopie zapasowe, oraz serwer poczty e-mail są zarządzane przez Podmiot przetwarzający i znajdują się na terenie Polski, w Warszawie. Dostawcy łączy telekomunikacyjnych przesyłają dane wyłącznie jako operatorzy transmisji, w postaci zaszyfrowanej, i nie są dalszymi podmiotami przetwarzającymi.
3. Podmiot przetwarzający informuje Administratora e-mailem o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających co najmniej 14 dni przed zmianą. Administrator może w tym terminie wyrazić sprzeciw, a jeśli strony nie dojdą do porozumienia, rozwiązać Umowę główną ze skutkiem natychmiastowym i otrzymać zwrot proporcjonalnej części opłaty za niewykorzystany okres.
4. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Administratora za ich wykonanie.

§ 7. Kontrola i audyt

1. Administrator może żądać informacji i dokumentów dotyczących sposobu przetwarzania danych. Podmiot przetwarzający odpowiada w ciągu 14 dni.
2. Jeśli informacje z ust. 1 nie są wystarczające do wykazania spełnienia obowiązków, Administrator może przeprowadzić audyt, samodzielnie lub przez audytora zobowiązanego do zachowania tajemnicy, który nie jest konkurentem Podmiotu przetwarzającego. Audyt przeprowadza się w pierwszej kolejności zdalnie, na podstawie dokumentów, wyjaśnień i odpowiedzi na pytania.
3. Audyt w siedzibie Podmiotu przetwarzającego jest możliwy wyjątkowo, gdy audyt zdalny okazał się niewystarczający albo po naruszeniu ochrony danych dotyczącym Administratora, po uprzedzeniu co najmniej 14 dni wcześniej, w dni robocze, w godzinach 9:00–16:00 i w sposób niezakłócający działania usługi ani nienaruszający poufności danych innych klientów.
4. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Podmiot przetwarzający.
5. Postanowienia tego paragrafu nie ograniczają uprawnień organu nadzorczego.

§ 8. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzenie naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres konta.
2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Pozostałe informacje Podmiot przetwarzający przekazuje niezwłocznie, gdy je uzyska.
3. Podmiot przetwarzający podejmuje niezwłocznie działania w celu ograniczenia skutków naruszenia, dokumentuje je i współpracuje z Administratorem przy zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu Odbiorców.

§ 9. Usuwanie danych

1. Numery telefonów Odbiorców oraz treść wysłanych wiadomości SMS są usuwane automatycznie po 30 dniach od wprowadzenia numeru. Anulowanie wysyłki przez Administratora powoduje natychmiastowe usunięcie numeru.
2. Administrator może w każdej chwili usunąć w koncie treść uwag, imię Odbiorcy oraz skrót i ostatnie cyfry jego numeru. Ocena i zaznaczone odpowiedzi pozostają wtedy w statystykach w postaci, która nie pozwala zidentyfikować Odbiorcy.
3. Skrót numeru i jego trzy ostatnie cyfry są usuwane po 60 dniach od wysyłki, z wyjątkiem skrótów numerów osób, które zrezygnowały z wiadomości. Imię Odbiorcy jest usuwane po 30 dniach, jeśli Odbiorca nie przekazał uwag ani prośby o kontakt.
4. Oceny, zaznaczone odpowiedzi i uwagi Odbiorców, bez numerów telefonów, wraz z imieniem osoby, która je przekazała, oraz skróty numerów osób, które zrezygnowały z wiadomości, są przechowywane przez czas obowiązywania Umowy głównej. Administrator może w każdej chwili pobrać dane w eksporcie.
5. Po rozwiązaniu Umowy głównej, w tym po usunięciu konta, Podmiot przetwarzający usuwa wszystkie powierzone dane niezwłocznie, nie później niż w ciągu 30 dni. Dane zawarte w kopiach zapasowych są usuwane w cyklu ich nadpisywania, nie później niż po 14 dniach od usunięcia z bazy danych. Obowiązek usunięcia nie dotyczy danych, których dalsze przechowywanie nakazuje prawo Unii lub prawo polskie.

§ 10. Odpowiedzialność

Odpowiedzialność stron za szkody wyrządzone przetwarzaniem danych określa art. 82 RODO. W pozostałym zakresie stosuje się postanowienia Regulaminu dotyczące odpowiedzialności.

§ 11. Postanowienia końcowe

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej, a w zakresie obowiązków z § 9 do ich wykonania.
2. W sprawach nieuregulowanych stosuje się RODO, przepisy Kodeksu cywilnego i Regulamin. W razie sprzeczności między Regulaminem a tą umową w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.
3. Zmiany umowy następują w trybie przewidzianym dla zmian Regulaminu.
4. Umowa w tym brzmieniu obowiązuje od 2 listopada 2026 r.

Załącznik. Środki techniczne i organizacyjne

1. Szyfrowanie: numery telefonów Odbiorców są przechowywane w bazie danych w postaci zaszyfrowanej. W zestawieniach wyświetlane są tylko ich ostatnie trzy cyfry, z wyjątkiem prośby o kontakt, przy której Administrator widzi pełny numer w koncie i otrzymuje go w powiadomieniu e-mail. Transmisja danych, w tym komunikacja z operatorem bramki SMS, odbywa się przez szyfrowane połączenie (HTTPS/TLS).
2. Pseudonimizacja: do obsługi rezygnacji i wykrywania powtórzeń używany jest kryptograficzny skrót numeru (HMAC-SHA256) utworzony z użyciem tajnego klucza przechowywanego wyłącznie na serwerze. Skrót jest daną spseudonimizowaną; Podmiot przetwarzający nie odtwarza z niego numerów. Skróty numerów osób, które nie zrezygnowały z wiadomości, są usuwane po 60 dniach od wysyłki.
3. Kontrola dostępu: dostęp do danych w koncie mają wyłącznie Użytkownicy Administratora. Po stronie Podmiotu przetwarzającego dostęp mają wyłącznie upoważnione osoby, w zakresie niezbędnym do utrzymania usługi i pomocy technicznej. Wejście osoby upoważnionej Podmiotu przetwarzającego na konto Administratora (np. przy pomocy technicznej) jest rejestrowane (kto, kiedy, które konto), a rejestr jest przechowywany przez 12 miesięcy.
4. Uwierzytelnianie: hasła zabezpieczone funkcją skrótu, ograniczenie liczby prób logowania, logowanie dwuetapowe obowiązkowe dla administratorów serwisu i dostępne dla każdego konta, powiadomienia o zmianie adresu e-mail i hasła oraz wylogowanie innych sesji po takiej zmianie.
5. Ochrona aplikacji: ochrona przed atakami CSRF i XSS, polityka bezpieczeństwa treści (CSP), filtrowanie ruchu przez Cloudflare, dostęp do serwera z internetu wyłącznie przez serwer pośredniczący, szyfrowane połączenie między serwerem pośredniczącym a serwerem z danymi, regularne aktualizacje oprogramowania.
6. Minimalizacja i usuwanie: automatyczne usuwanie numerów telefonów i treści wysłanych wiadomości po 30 dniach, skrótów i ostatnich cyfr numerów po 60 dniach, imion bez uwag po 30 dniach, natychmiastowe usuwanie numeru przy anulowaniu wysyłki, możliwość usunięcia treści uwag i danych osoby przez Administratora. Powiadomienia e-mail dla gabinetów medycznych nie zawierają treści uwag.
7. Dostępność i odtwarzanie: codzienne kopie zapasowe bazy danych przechowywane poza katalogiem publicznym przez 14 dni, monitorowanie działania usług i powiadomienia o błędach.
8. Rozliczalność: dziennik wysłanych wiadomości, zapis akceptacji dokumentów, rejestr wejść osób upoważnionych na konta, logi aplikacji przechowywane przez 14 dni.