Umowa powierzenia przetwarzania danych osobowych

PROJEKT do weryfikacji przez radcę prawnego/adwokata przed użyciem. Umowa wynika z art. 28 RODO. Wersja: 2026-11-01. Fragmenty [UZUPEŁNIJ] i [DO POTWIERDZENIA] wymagają decyzji lub potwierdzenia.

zawarta w momencie akceptacji Regulaminu usługi Syndyk+ pomiędzy: Klientem (kancelarią/syndykiem, który założył Konto) jako administratorem danych („Administrator”), a [UZUPEŁNIJ: pełna nazwa i adres Dostawcy] („Podmiot przetwarzający”).

§ 1. Przedmiot i cel

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi Syndyk+ (przechowywanie i udostępnianie danych spraw upadłościowych w systemie informatycznym, tworzenie kopii zapasowych, zapewnienie dostępności i bezpieczeństwa).
2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są postanowienia umowy, Regulaminu i korzystanie przez Administratora z funkcji programu.

§ 2. Rodzaje danych i kategorie osób

1. Kategorie osób: dłużnicy (osoby fizyczne i przedstawiciele podmiotów), wierzyciele i ich pełnomocnicy, uczestnicy postępowań, oferenci i nabywcy składników majątku, pracownicy upadłego, pracownicy i współpracownicy Administratora.
2. Rodzaje danych: imiona i nazwiska, adresy, numery PESEL i NIP, numery telefonów i adresy e-mail, numery rachunków bankowych, dane o zobowiązaniach i majątku, sygnatury spraw, treści pism i dokumentów oraz inne dane wprowadzone przez Administratora.
3. Program nie jest przeznaczony do świadomego przetwarzania szczególnych kategorii danych (art. 9 RODO). Jeżeli takie dane znajdą się w dokumentach wgranych przez Administratora, Podmiot przetwarzający stosuje wobec nich te same środki ochrony.

§ 3. Czas trwania

Umowa obowiązuje przez okres korzystania z usługi Syndyk+ i do czasu zwrotu i usunięcia danych zgodnie z § 8.

§ 4. Obowiązki Podmiotu przetwarzającego

1. przetwarzać dane wyłącznie w celu i zakresie określonym w umowie, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego (wtedy informuje o tym Administratora przed przetwarzaniem, o ile prawo tego nie zabrania);
2. zapewnić, aby osoby upoważnione do przetwarzania były zobowiązane do zachowania poufności;
3. stosować środki techniczne i organizacyjne zgodne z art. 32 RODO, opisane w Załączniku nr 1;
4. nie mieć dostępu do treści danych spraw, poza niezbędnym do świadczenia usługi, wsparcia na prośbę Administratora, zapewnienia bezpieczeństwa lub obowiązkiem prawnym; dostęp administracyjny jest rejestrowany;
5. w miarę możliwości pomagać Administratorowi w realizacji praw osób, których dane dotyczą (m.in. przez funkcje wyszukiwania, edycji i eksportu danych w programie);
6. pomagać Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków);
7. zgłaszać Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia, na adres e-mail właściciela Konta, wraz z informacjami niezbędnymi do oceny naruszenia.

§ 5. Podpowierzenie

1. Administrator wyraża ogólną zgodę na korzystanie z podmiotów podprzetwarzających wymienionych w Załączniku nr 2.
2. Podmiot przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem o zamiarze dodania lub zmiany podprocesora. Administrator może zgłosić sprzeciw w tym terminie; jeśli strony nie ustalą rozwiązania, Administrator może wypowiedzieć umowę.
3. Podmiot przetwarzający zawiera z podprocesorami umowy nakładające obowiązki równoważne niniejszej umowie i odpowiada za ich wykonanie.

§ 6. Audyt i kontrola

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z umową. Administrator może przeprowadzić audyt (także przez upoważnionego audytora związanego tajemnicą) po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania świadczenia usług innym klientom i na koszt Administratora [DO USTALENIA].

§ 7. Lokalizacja

Dane są przetwarzane na serwerach zlokalizowanych w Europejskim Obszarze Gospodarczym: [UZUPEŁNIJ: kraj i dostawca]. Podmiot przetwarzający nie przekazuje danych do państw trzecich bez zgody Administratora.

§ 8. Zwrot i usunięcie danych

1. Administrator może w każdej chwili pobrać wszystkie dane w programie (eksport ZIP), także po wygaśnięciu abonamentu.
2. Po zakończeniu świadczenia usługi Podmiot przetwarzający, według wyboru Administratora, zwraca dane i usuwa je z systemów produkcyjnych w ciągu 30 dni od żądania lub zakończenia umowy [DO USTALENIA: oraz po upływie okresu z Regulaminu § 6 ust. 3]. Kopie zapasowe wygasają samoczynnie najpóźniej po 30 dniach od ich utworzenia.
3. Obowiązek usunięcia nie dotyczy danych, które Podmiot przetwarzający musi przechowywać na podstawie przepisów prawa (np. dokumentacji rozliczeniowej Administratora jako klienta – w osobnym charakterze administratora).

§ 9. Odpowiedzialność

Strony odpowiadają zgodnie z art. 82 RODO oraz przepisami o odpowiedzialności z Regulaminu, w zakresie, w jakim nie sprzeciwiają się one RODO. [DO WERYFIKACJI PRZEZ PRAWNIKA]

§ 10. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Regulamin. Umowa jest zawierana w formie elektronicznej przez akceptację Regulaminu; na żądanie Administratora Podmiot przetwarzający potwierdzi jej zawarcie w formie dokumentowej.

Załącznik nr 1 – środki bezpieczeństwa

• połączenia szyfrowane TLS (HTTPS) do aplikacji i panelu;
• hasła przechowywane wyłącznie jako skrót PBKDF2 z solą, minimalna długość 10 znaków; sesje z ograniczonym czasem ważności; ochrona przed zgadywaniem haseł (blokada po nieudanych próbach);
• uwierzytelnianie dwuskładnikowe (TOTP) dla użytkowników; obowiązkowe dla administratorów systemu;
• logiczny rozdział danych każdej kancelarii (osobny zbiór danych i uprawnień); kontrola dostępu w ramach kancelarii (właściciel/pracownik, ograniczanie dostępu do wybranych spraw);
• dziennik logowań i działań użytkowników oraz administratorów;
• codzienne kopie zapasowe, przechowywane do 30 dni; [DO POTWIERDZENIA: kopie poza serwerem produkcyjnym, w UE];
• szyfrowanie dysków serwera: [DO POTWIERDZENIA u dostawcy hostingu];
• aktualizacje systemu i oprogramowania, ograniczony dostęp administracyjny do serwera (klucze SSH), zapora sieciowa: [DO POTWIERDZENIA przy wdrożeniu];
• cyfrowo podpisane aktualizacje aplikacji na komputer;
• procedura reagowania na incydenty i zgłaszania naruszeń (§ 4 pkt 7).

Załącznik nr 2 – podprocesorzy

Podmiot	Zakres	Lokalizacja
[UZUPEŁNIJ: dostawca hostingu/serwera]	infrastruktura serwerowa, przechowywanie danych i kopii	[UE]
[UZUPEŁNIJ: dostawca e-maila transakcyjnego]	wysyłka wiadomości systemowych (bez treści spraw)	[UE]

Przelewy24 i Fakturownia przetwarzają wyłącznie dane rozliczeniowe konta (nie dane spraw) i nie są podprocesorami w rozumieniu tej umowy.