Umowa powierzenia przetwarzania danych osobowych
Obowiązuje od: 14 września 2026 r. — załącznik do Regulaminu usługi Wolny Salon SaaS.
Umowa określa zasady przetwarzania danych osobowych klientów salonu (Klienta Usługi Wolny Salon SaaS) przez Usługodawcę jako podmiot przetwarzający, w związku z korzystaniem z usługi opisanej w Regulaminie.
1. Strony
Powierzający dane (Administrator): Klient — podmiot, który utworzył Konto w usłudze Wolny Salon SaaS i wprowadza do niej dane osobowe swoich klientów lub pracowników.
Przetwarzający: Mariusz Rogowski, twórca projektu Wolny Salon, działający pod oznaczeniem handlowym Rogowski Group, ul. Sabały 8a/1, 33-300 Nowy Sącz, NIP: PL7342614855, adres kontaktowy: kontakt@wolnysalon.pl.
Akceptacja Regulaminu usługi Wolny Salon SaaS przy aktywacji Konta jest równoznaczna z zawarciem niniejszej umowy powierzenia.
2. Przedmiot i czas trwania powierzenia
Przedmiotem umowy jest przetwarzanie przez Przetwarzającego, w imieniu i na polecenie Administratora, danych osobowych wprowadzanych do Konta w celu świadczenia usługi Wolny Salon SaaS. Powierzenie trwa przez okres obowiązywania umowy o korzystanie z Usługi i wygasa z jej rozwiązaniem, z zastrzeżeniem obowiązków opisanych w pkt 8.
3. Charakter i cel przetwarzania
Przetwarzanie ma charakter techniczny i operacyjny — utrzymanie, zabezpieczenie i udostępnianie danych w ramach działania Usługi (kalendarz, rezerwacje, komunikacja z klientem salonu, sprzedaż, raporty), zgodnie z funkcjami aktywnymi w Planie Administratora. Przetwarzający nie wykorzystuje powierzonych danych do własnych celów, w tym marketingowych.
4. Zakres danych i kategorie osób
| Kategoria osób | Zakres danych |
|---|---|
| Klienci salonu (Administratora) | Imię i nazwisko, telefon, adres e-mail, historia i szczegóły wizyt, notatki dodane przez Administratora, w zależności od tego, co Administrator wprowadzi do Usługi. |
| Pracownicy / współpracownicy Administratora | Imię i nazwisko, dane kontaktowe, grafik pracy, dane rozliczeniowe prowizji — w zakresie wprowadzonym przez Administratora. |
5. Obowiązki Przetwarzającego
- przetwarza dane wyłącznie na polecenie Administratora, wyrażone poprzez funkcje Usługi i ustawienia Konta;
- zapewnia, że dostęp do danych mają wyłącznie osoby zobowiązane do zachowania poufności lub podlegające odpowiedniemu obowiązkowi ustawowemu;
- stosuje środki bezpieczeństwa opisane w pkt 6;
- uwzględniając charakter przetwarzania, w miarę możliwości pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie);
- zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia;
- po zakończeniu świadczenia Usługi, zgodnie z decyzją Administratora, zwraca lub usuwa dane, na zasadach opisanych w pkt 8;
- udostępnia Administratorowi informacje niezbędne do wykazania zgodności z niniejszą umową oraz umożliwia audyt w zakresie zasadnym i proporcjonalnym, po wcześniejszym uzgodnieniu terminu.
6. Środki bezpieczeństwa
- każde Konto korzysta z odrębnej, izolowanej bazy danych — dane jednego Konta nie są dostępne dla innego Konta;
- dostęp do panelu operatora Usługodawcy wymaga uwierzytelniania wieloczynnikowego (MFA/TOTP);
- sekrety techniczne (np. klucze dostawców płatności i komunikacji) są przechowywane w postaci zaszyfrowanej;
- zmiany wykonywane w panelu operatora są rejestrowane w dzienniku audytowym;
- dane Konta są regularnie kopiowane zapasowo; domyślny okres przechowywania kopii wynosi 14 dni;
- infrastruktura znajduje się na serwerach w Unii Europejskiej.
7. Podpowierzenie (podmioty dalej przetwarzające)
Domyślna bramka SMS/MMS (smsonline.pl, opisana w wierszu poniżej) jest własną infrastrukturą Przetwarzającego, a nie odrębnym podmiotem trzecim — dane nie opuszczają zatem kontroli Przetwarzającego z tego powodu. Poniższa tabela wskazuje ją mimo to, dla przejrzystości technicznej ścieżki wysyłki wiadomości. Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z pozostałych, rzeczywiście odrębnych podmiotów dalej przetwarzających, niezbędnych do świadczenia Usługi:
| Kategoria | Zakres | Lokalizacja |
|---|---|---|
| Dostawca infrastruktury serwerowej (hosting) | Przechowywanie i przetwarzanie danych Konta. | Unia Europejska. |
| Dostawca usług płatniczych | Rozliczenie płatności za abonament Usługi — nie przetwarza danych klientów salonu Administratora, jeżeli Administrator nie korzysta z płatności online dla własnych klientów. | Zgodnie z dokumentacją dostawcy. |
| Bramka SMS/MMS Usługodawcy (smsonline.pl) — infrastruktura własna, domyślna | Wysyłka powiadomień SMS/MMS do klientów salonu, gdy Administrator włączy tę funkcję i nie skonfiguruje własnej bramki. Nie jest to podmiot trzeci — serwer jest utrzymywany przez Przetwarzającego. | Serwer Przetwarzającego, Unia Europejska. |
| Zewnętrzny dostawca SMS/MMS wskazany samodzielnie przez Administratora (opcjonalnie) | Jeżeli Administrator ręcznie skonfiguruje inny adres bramki niż domyślny, wysyłka odbywa się przez wskazany przez niego serwer, poza kontrolą Przetwarzającego. | Zgodnie z wyborem Administratora. |
Przetwarzający informuje Administratora o planowanej zmianie lub dodaniu podmiotu dalej przetwarzającego z odpowiednim wyprzedzeniem, tak aby Administrator mógł wyrazić zastrzeżenia.
8. Zakończenie powierzenia
Po zakończeniu świadczenia Usługi Przetwarzający, na żądanie Administratora zgłoszone w terminie 30 dni od zakończenia umowy, przekazuje kopię danych Konta w formacie technicznym bazy danych używanej przez Usługę. W przypadku braku takiego żądania albo po jego zrealizowaniu, dane Konta są usuwane w rozsądnym terminie, nie dłuższym niż 90 dni, z zastrzeżeniem danych, które Przetwarzający jest zobowiązany przechowywać dłużej na podstawie odrębnych przepisów (np. przepisów podatkowych dotyczących faktur).
9. Odpowiedzialność
Każda ze stron odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO w zakresie, w jakim nie wykonała obowiązków nałożonych na nią przez RODO albo niniejszą umowę, zgodnie z art. 82 RODO.
10. Postanowienia końcowe
W sprawach nieuregulowanych niniejszą umową stosuje się RODO, ustawę o ochronie danych osobowych oraz przepisy Kodeksu cywilnego. W przypadku rozbieżności między niniejszą umową a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.