Umowa powierzenia przetwarzania danych osobowych (DPA)

Wersja 1.0 · Obowiązuje od: 2026-10-23

To jest tłumaczenie. Dla klientów będących przedsiębiorcami rozstrzygająca jest wersja angielska. Dla konsumentów mających miejsce zwykłego pobytu w kraju, w którym język polski jest językiem urzędowym, niniejsza wersja jest na równi autentyczna z wersją angielską; jeżeli obie wersje się różnią, zastosowanie ma znaczenie korzystniejsze dla konsumenta. Dla pozostałych konsumentów rozstrzygająca jest wersja angielska, chyba że bezwzględnie obowiązujące przepisy o ochronie konsumentów w ich kraju stanowią inaczej.

Niniejsza Umowa powierzenia przetwarzania danych osobowych („DPA”) stanowi część umowy między Klientem a Usługodawcą dotyczącej usługi Consentl, z której korzysta Klient („Umowa Główna”):

• w przypadku Consentl dla Shopify (aplikacja Shopify): Regulamin i Część szczególna 1;
• w przypadku Consentl dla stron internetowych (panel pod adresem app.consentl.com, API pod adresem api.consentl.com i integracje z platformami): Regulamin świadczenia usług dla stron internetowych i Część szczególna 2.

DPA zostaje zawarta w formie elektronicznej z chwilą jej zaakceptowania przez Klienta w sposób opisany w mającej zastosowanie Części szczególnej. Usługodawca prowadzi zapis akceptacji (dokument, wersja, data i godzina, konto lub sklep oraz osoba, która dokonała akceptacji). Klient, który chce otrzymać kontrasygnowany egzemplarz, może o niego wystąpić pod adresem [email protected].

Strony

• Klient: przedsiębiorstwo lub osoba, które korzystają z usługi Consentl na potrzeby swojego sklepu internetowego lub strony internetowej i akceptują niniejszą DPA, identyfikowane przez sklep Shopify (Część szczególna 1) lub konto Consentl (Część szczególna 2).
• Usługodawca: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Rumunia; nr w rejestrze handlowym J2020001305120, kod fiskalny (CUI) 42512332 (podmiot niezarejestrowany jako podatnik VAT; kod VAT do celów wewnątrzwspólnotowych RO46686340). Kontakt w sprawach niniejszej DPA: [email protected].

1. Definicje i zakres

1.1 „Przepisy o Ochronie Danych” oznaczają przepisy mające zastosowanie do przetwarzania na podstawie niniejszej DPA, w szczególności rozporządzenie (UE) 2016/679 („RODO”), dyrektywę 2002/58/WE w brzmieniu wdrożonym w prawie krajowym, UK GDPR i Data Protection Act 2018, szwajcarską ustawę federalną o ochronie danych („FADP”), California Consumer Privacy Act zmieniony przez CPRA („CCPA”) i inne stanowe ustawy USA o ochronie prywatności, kanadyjską ustawę PIPEDA i ustawę Quebecu o ochronie informacji osobowych w sektorze prywatnym (Act respecting the protection of personal information in the private sector, „Quebec Law 25”) oraz brazylijską ustawę LGPD, każdy z tych aktów z późniejszymi zmianami, w zakresie, w jakim ma zastosowanie.

1.2 Terminy takie jak „administrator”, „podmiot przetwarzający”, „dane osobowe”, „przetwarzanie”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” i „organ nadzorczy” mają znaczenie nadane im w RODO. W odniesieniu do innych przepisów obejmują one terminy równoważne (na przykład „business”, „service provider”, „consumer” i „personal information” w rozumieniu CCPA; „operador” w rozumieniu LGPD).

1.3 „Dane Osobowe Klienta” oznaczają dane osobowe, które Usługodawca przetwarza w imieniu Klienta w ramach świadczenia usługi, opisane w Załączniku I. Nie obejmują one danych, dla których Usługodawca jest administratorem (na przykład danych konta i personelu Klienta, danych rozliczeniowych, korespondencji w ramach wsparcia i dzienników bezpieczeństwa). Dane te opisują polityki prywatności Usługodawcy.

1.4 „Adres do zawiadomień” oznacza adres e-mail, na który Usługodawca wysyła zawiadomienia na podstawie niniejszej DPA (pkt 15.4), określony w Części szczególnej 1, pkt S1.6 (Shopify), lub w Części szczególnej 2, pkt S2.5 (strony internetowe).

1.5 Kolejność pierwszeństwa: w razie sprzeczności między niniejszą DPA a Umową Główną pierwszeństwo ma niniejsza DPA. W razie sprzeczności ze standardowymi klauzulami umownymi lub innymi klauzulami dotyczącymi przekazywania danych włączonymi na podstawie sekcji 9 pierwszeństwo mają te klauzule. Część szczególna ma pierwszeństwo przed częścią ogólną niniejszej DPA w odniesieniu do usługi, której dotyczy.

2. Role

2.1 Klient jest administratorem Danych Osobowych Klienta albo podmiotem przetwarzającym działającym w imieniu innego administratora. Usługodawca jest podmiotem przetwarzającym albo podmiotem podprzetwarzającym.

2.2 Klient decyduje, czy korzystać z poszczególnych funkcji (baner zgody i rejestr zgód, formularz wniosków dotyczących danych osobowych, funkcja odstąpienia od umowy, opcjonalne działania dotyczące danych klientów, skanowanie plików cookie) i jak je skonfigurować. Konfiguracja wybrana przez Klienta stanowi polecenie (sekcja 3).

2.3 Klient działający jako podmiot przetwarzający. Jeżeli Klient przetwarza dane w imieniu innego administratora (na przykład agencja, która zarządza stronami internetowymi lub sklepami swoich klientów), Usługodawca jest jego podmiotem podprzetwarzającym. Klient zapewnia, że jego administrator zezwolił na korzystanie z usług Usługodawcy i podmiotów podprzetwarzających wymienionych w Załączniku III, przekazuje polecenia administratora i przekazuje swojemu administratorowi zawiadomienia otrzymywane od Usługodawcy. Usługodawca może polegać na poleceniach wydawanych przez Klienta tak, jakby pochodziły od administratora.

2.4 Platforma, na której Klient prowadzi swój sklep lub stronę internetową (na przykład Shopify, WordPress, Shopware, PrestaShop, Magento lub kreator stron internetowych), nie jest podmiotem podprzetwarzającym Usługodawcy. Platforma przetwarza dane na podstawie własnych umów z Klientem.

3. Polecenia (art. 28 ust. 3 lit. a RODO)

3.1 Usługodawca przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, w tym w odniesieniu do przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na Usługodawcę prawo Unii lub prawo państwa członkowskiego, któremu Usługodawca podlega. W takim przypadku przed rozpoczęciem przetwarzania Usługodawca informuje Klienta o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

3.2 Udokumentowanymi poleceniami Klienta są: niniejsza DPA i Umowa Główna; ustawienia i działania dokonywane przez Klienta w usłudze (na przykład plan i wynikający z niego okres przechowywania, eksporty, usunięcia i działania dotyczące prywatności wykonywane jednym kliknięciem); a także inne pisemne polecenia uzgodnione przez strony.

3.3 Usługodawca niezwłocznie informuje Klienta, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie Przepisów o Ochronie Danych. Usługodawca nie jest zobowiązany do przeprowadzania prawnej weryfikacji poleceń.

3.4 Klient odpowiada za zgodność swoich poleceń z prawem, za posiadanie podstawy prawnej przetwarzania, za informowanie osób, których dane dotyczą (w szczególności we własnej polityce prywatności i polityce plików cookie), oraz za skonfigurowanie usługi dla swojego sklepu lub strony internetowej, stosowanych przez siebie narzędzi śledzących i mających do niego zastosowanie przepisów.

3.5 Żądania organów publicznych. Jeżeli organ publiczny zażąda Danych Osobowych Klienta, Usługodawca kieruje go do Klienta, niezwłocznie informuje o tym Klienta, chyba że prawo tego zabrania, kwestionuje żądanie, które uważa za niezgodne z prawem, jeżeli ma ku temu uzasadnione podstawy, i ujawnia wyłącznie to, do czego ujawnienia jest prawnie zobowiązany.

4. Poufność (art. 28 ust. 3 lit. b RODO)

4.1 Usługodawca zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych Klienta zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Dostęp jest ograniczony do wskazanych z imienia i nazwiska osób, które go potrzebują do obsługi, wspierania lub zabezpieczania usługi (Załącznik II).

4.2 Personel Usługodawcy może korzystać z narzędzi programistycznych, w tym asystentów programowania opartych na AI, do rozwijania i utrzymywania usługi. Narzędzia te pracują na kodzie źródłowym i danych testowych. Nie otrzymują dostępu do Danych Osobowych Klienta, produkcyjnych baz danych ani produkcyjnych dzienników (Załącznik II). Jeżeli Usługodawca kiedykolwiek postanowi inaczej, dostawca takiego narzędzia staje się podmiotem podprzetwarzającym, a przed rozpoczęciem korzystania z niego zastosowanie ma sekcja 6.

5. Bezpieczeństwo (art. 28 ust. 3 lit. c i art. 32 RODO)

5.1 Usługodawca wdraża środki techniczne i organizacyjne opisane w Załączniku II. Mogą one być aktualizowane wraz z rozwojem technologii, pod warunkiem że ogólny poziom ochrony nie zostanie obniżony.

5.2 Klient odpowiada za bezpieczeństwo własnych kont (konta Shopify, konta Consentl i członków zespołu, konta administratora platformy), dostępu swojego personelu, kodu swojej witryny i wybranych przez siebie ustawień.

6. Podmioty podprzetwarzające (art. 28 ust. 2 i 4 oraz art. 28 ust. 3 lit. d RODO)

6.1 Ogólna zgoda. Klient udziela Usługodawcy ogólnej pisemnej zgody na korzystanie z usług podmiotów podprzetwarzających. Podmioty podprzetwarzające według stanu na dzień niniejszej DPA są wymienione w Załączniku III i na liście podmiotów podprzetwarzających, która wskazuje dla każdego z nich, w ramach której usługi jest wykorzystywany.

6.2 Zawiadomienie o zmianach. Usługodawca informuje Klienta o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia podmiotu podprzetwarzającego albo nowego celu lub nowej lokalizacji przetwarzania przez istniejący podmiot co najmniej 30 dni przed zmianą, e-mailem wysłanym na Adres do zawiadomień oraz przez wpis w rejestrze zmian listy podmiotów podprzetwarzających.

6.3 Sprzeciw. W tym terminie Klient może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych, e-mailem na adres [email protected], podając przyczyny. Usługodawca odpowiada w terminie 14 dni i albo proponuje rozsądne rozwiązanie alternatywne (na przykład niekorzystanie z danego podmiotu podprzetwarzającego w odniesieniu do Klienta), albo wyjaśnia, dlaczego nie może tego zrobić. Jeżeli sprzeciw nie zostanie rozpatrzony w terminie 30 dni od jego zgłoszenia, Klient może rozwiązać Umowę Główną w odniesieniu do danej usługi ze skutkiem przed dniem, w którym zmiana zacznie go dotyczyć. Klient powinien najpierw wyeksportować swoje dane (sekcja 11).

6.4 Zwrot. W przypadku rozwiązania umowy na podstawie pkt 6.3 Usługodawca zwraca opłaty uiszczone za niewykorzystaną część bieżącego okresu rozliczeniowego w sposób określony w mającej zastosowanie Części szczególnej.

6.5 Pilna zmiana. Jeżeli podmiot podprzetwarzający musi zostać pilnie zastąpiony (incydent bezpieczeństwa, niewypłacalność, rozwiązanie umowy lub jej naruszenie przez podmiot podprzetwarzający), Usługodawca może dokonać zmiany z krótszym wyprzedzeniem. Informuje o tym Klienta jak najszybciej. Klient nadal może zgłosić sprzeciw na podstawie pkt 6.3; jeżeli rozwiąże umowę, zwrot na podstawie pkt 6.4 jest obliczany od dnia zmiany.

6.6 Przeniesienie obowiązków i odpowiedzialność. Usługodawca nakłada na każdy podmiot podprzetwarzający, w drodze umowy, obowiązki w zakresie ochrony danych co do istoty takie same jak w niniejszej DPA, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Usługodawca ponosi wobec Klienta pełną odpowiedzialność za wywiązywanie się z obowiązków przez swoje podmioty podprzetwarzające, z zastrzeżeniem sekcji 14.

7. Pomoc

7.1 Żądania osób, których dane dotyczą (art. 28 ust. 3 lit. e RODO). Biorąc pod uwagę charakter przetwarzania, Usługodawca pomaga Klientowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO oraz praw równoważnych na podstawie innych przepisów. Usługa zapewnia:

• formularz wniosków dotyczących danych osobowych z weryfikacją adresu e-mail oraz rejestr wniosków z terminami;
• eksport rejestru zgód do formatu CSV; (Część szczególna 1) eksport wniosków dotyczących danych osobowych i odstąpień od umowy do formatu CSV; (Część szczególna 2) eksport wszystkich danych konta Klienta do formatu JSON, w tym wniosków dotyczących danych osobowych i odstąpień od umowy każdej witryny;
• rejestr odstąpień od umowy;
• (Część szczególna 1, opcjonalnie) eksport i usuwanie danych klienta sklepu Shopify.

Zapisy zgód są pseudonimowe: zapis można odnaleźć na podstawie identyfikatora zgody, który osoba, której dane dotyczą, może odczytać z pliku cookie consentl w swojej przeglądarce, za pomocą filtrów rejestru zgód i eksportu do formatu CSV. Na pisemne polecenie Klienta Usługodawca usuwa poszczególne zapisy zgód lub inne poszczególne zapisy w terminie 30 dni, dopóki usługa nie udostępni tego jako funkcji. Jeżeli Usługodawca otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, przekazuje je Klientowi bez zbędnej zwłoki i sam na nie nie odpowiada, chyba że Klient mu to poleci.

7.2 Inne obowiązki (art. 28 ust. 3 lit. f RODO). Uwzględniając charakter przetwarzania oraz dostępne mu informacje, Usługodawca pomaga Klientowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń i zawiadamianie o nich osób, których dane dotyczą, ocena skutków dla ochrony danych, uprzednie konsultacje) oraz z równoważnych obowiązków wynikających z innych Przepisów o Ochronie Danych (na przykład oceny skutków dla prywatności na podstawie Quebec Law 25 przed przekazaniem danych poza Quebec), w szczególności przez udostępnienie informacji zawartych w Załącznikach I–III.

7.3 Pomoc wykraczająca poza funkcje usługi i rozsądne wsparcie e-mailowe może być odpłatna według rozsądnych kosztów, jeżeli jest znacząca i nie wynika z naruszenia przez Usługodawcę.

8. Naruszenia ochrony danych osobowych (art. 33 ust. 2 RODO)

8.1 Usługodawca zgłasza Klientowi bez zbędnej zwłoki, a w miarę możliwości w ciągu 48 godzin, po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych Osobowych Klienta, w tym naruszenia u podmiotu podprzetwarzającego, które ten podmiot zgłosił Usługodawcy. Usługodawca przekazuje informacje otrzymane od podmiotu podprzetwarzającego w tym samym terminie. Zgłoszenie jest wysyłane e-mailem na Adres do zawiadomień.

8.2 Zgłoszenie zawiera, w miarę dostępności (a w razie potrzeby etapami): charakter naruszenia, w tym kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie; punkt kontaktowy, od którego można uzyskać więcej informacji; możliwe konsekwencje; oraz środki zastosowane lub proponowane, w tym środki w celu zminimalizowania jego ewentualnych negatywnych skutków (art. 33 ust. 3 RODO).

8.3 Usługodawca podejmuje rozsądne kroki w celu opanowania i usunięcia skutków naruszenia, prowadzi rejestr naruszeń i współpracuje z Klientem przy zgłoszeniu naruszenia organom nadzorczym oraz, w razie potrzeby, przy zawiadomieniu o nim osób, których dane dotyczą (art. 34 RODO).

8.4 W odniesieniu do informacji osobowych podlegających prawu Quebecu Usługodawca niezwłocznie zawiadamia również Klienta o każdej znanej mu próbie naruszenia poufności tych informacji.

8.5 Zgłoszenie nie stanowi przyznania się do winy. Zawiadomienia, które Usługodawca musi przekazać platformie na podstawie jej własnych warunków (Część szczególna 1), nie opóźniają zgłoszenia przekazywanego Klientowi.

9. Przekazywanie danych do państw trzecich

9.1 Usługodawca przechowuje Dane Osobowe Klienta w Unii Europejskiej (DigitalOcean, Frankfurt, Niemcy). Niektóre podmioty podprzetwarzające mają siedzibę poza EOG lub mogą mieć dostęp do danych spoza EOG (Załącznik III).

9.2 Przekazywanie danych podmiotom podprzetwarzającym. Przekazywanie danych podmiotom podprzetwarzającym spoza EOG, Szwajcarii i Zjednoczonego Królestwa, które nie jest objęte decyzją stwierdzającą odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework w przypadku odbiorców, którzy uzyskali certyfikację), odbywa się na podstawie standardowych klauzul umownych UE (decyzja wykonawcza Komisji (UE) 2021/914), moduł trzeci (przekazywanie danych przez podmiot przetwarzający podmiotowi przetwarzającemu), zawieranych przez Usługodawcę z jego bezpośrednimi podmiotami podprzetwarzającymi oraz przez każdy podmiot podprzetwarzający z jego własnymi podmiotami podprzetwarzającymi.

9.3 Klienci w państwach trzecich (moduł czwarty). W zakresie, w jakim ujawnienie przez Usługodawcę Danych Osobowych Klienta Klientowi mającemu siedzibę w państwie trzecim, wobec którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony (na przykład w drodze eksportu, powiadomienia e-mailem lub wyświetlenia danych w panelu), stanowi przekazanie danych w rozumieniu rozdziału V RODO, strony włączają przez odesłanie moduł czwarty (przekazywanie danych przez podmiot przetwarzający administratorowi) standardowych klauzul umownych, z następującymi opcjami: klauzula 7 (klauzula przystąpienia, „docking clause”) zostaje włączona; opcjonalne sformułowanie w klauzuli 11 nie jest stosowane; klauzula 17: prawo Rumunii; klauzula 18: sądy w Kluż-Napoce (Cluj-Napoca), Rumunia. Załączniki I–III do niniejszej DPA uzupełniają załączniki do standardowych klauzul umownych. Jeżeli Klient jest podmiotem przetwarzającym (pkt 2.3), zamiast tego zastosowanie ma moduł trzeci, z tymi samymi opcjami. Jeżeli Komisja Europejska przyjmie standardowe klauzule umowne dla podmiotów importujących dane, których przetwarzanie podlega RODO na podstawie jego art. 3 ust. 2, w odniesieniu do takich Klientów zastosowanie mają zamiast tego te klauzule.

9.4 Zjednoczone Królestwo. W zakresie, w jakim przekazanie przez Usługodawcę danych osobowych podlegających UK GDPR stanowi przekazanie podlegające ograniczeniom („restricted transfer”), które nie jest objęte brytyjskimi przepisami stwierdzającymi odpowiedni stopień ochrony (UK adequacy regulations), do klauzul włączonych na podstawie pkt 9.3 zastosowanie ma International Data Transfer Addendum to the EU Standard Contractual Clauses wydany przez brytyjskiego Information Commissioner (wersja B1.0), przy czym tabela 1 zostaje uzupełniona danymi stron podanymi powyżej, tabela 2 — modułem i opcjami wybranymi w pkt 9.3, tabela 3 — Załącznikami I–III, a tabela 4 umożliwia każdej ze stron zakończenie stosowania Addendum na przewidzianych w nim zasadach.

9.5 Szwajcaria. W odniesieniu do przekazywania danych podlegającego FADP standardowe klauzule umowne mają zastosowanie z następującymi dostosowaniami: odesłania do RODO odczytuje się jako odesłania do FADP; szwajcarski Federalny Inspektor Ochrony Danych i Informacji (EDÖB / FDPIC) jest właściwym organem nadzorczym; a termin „państwo członkowskie” obejmuje Szwajcarię, tak aby osoby, których dane dotyczą, mogły wnosić powództwa w miejscu swojego zwykłego pobytu.

9.6 Brazylia. Jeżeli LGPD ma zastosowanie do przekazania danych osobowych przez Klienta Usługodawcy i nie obejmuje go żadna decyzja brazylijskiego organu (ANPD) stwierdzająca odpowiedni stopień ochrony, włącza się standardowe klauzule umowne zatwierdzone uchwałą CD/ANPD nr 19/2024, przy czym Klient jest podmiotem eksportującym dane (administratorem), a Usługodawca podmiotem importującym dane (operador).

9.7 Klient może zwrócić się pod adresem [email protected] o kopię zabezpieczeń, na których opiera się przekazywanie danych.

10. Stanowe przepisy USA o ochronie prywatności (postanowienia CCPA/CPRA dotyczące dostawców usług)

10.1 W odniesieniu do informacji osobowych podlegających CCPA Klient jest „business” (przedsiębiorstwem), a Usługodawca „service provider” (dostawcą usług) (Cal. Civ. Code §1798.140(ag)). Klient ujawnia Usługodawcy informacje osobowe wyłącznie w następujących ograniczonych i określonych celach operacyjnych („business purposes”): rejestrowanie i wykazywanie zgód konsumentów i ich wyborów dotyczących rezygnacji (opt-out), w tym sygnałów preferencji rezygnacji, takich jak Global Privacy Control; przyjmowanie, weryfikowanie, śledzenie i dokumentowanie wniosków konsumentów dotyczących prywatności i wniosków o odstąpienie od umowy; wysyłanie związanych z nimi e-maili transakcyjnych; skanowanie sklepu lub strony internetowej Klienta w poszukiwaniu plików cookie i narzędzi śledzących; a także bezpieczeństwo, integralność i debugowanie usługi (§1798.140(e)(2), (e)(3) i (e)(5)).

10.2 Usługodawcy nie wolno (§1798.100(d); 11 CCR §7051(a)):

• sprzedawać ani udostępniać („sell or share”) informacji osobowych;
• przechowywać, wykorzystywać ani ujawniać ich w jakimkolwiek celu (w tym w jakimkolwiek celu handlowym) innym niż cele operacyjne określone w pkt 10.1 ani w inny sposób niż dozwolony przez CCPA i przepisy wykonawcze do niej;
• przechowywać, wykorzystywać ani ujawniać ich poza bezpośrednią relacją biznesową z Klientem;
• łączyć ich z informacjami osobowymi otrzymanymi od innej osoby lub w jej imieniu albo zebranymi w ramach własnej interakcji Usługodawcy z konsumentem, z wyjątkiem przypadków dozwolonych przez przepisy wykonawcze do CCPA (11 CCR §7050).

10.3 Usługodawca wykonuje mające do niego zastosowanie obowiązki wynikające z CCPA i przepisów wykonawczych do niej, zapewnia taki sam poziom ochrony prywatności, jakiego CCPA wymaga od przedsiębiorstw („businesses”), i wdraża rozsądne procedury i praktyki bezpieczeństwa (Cal. Civ. Code §1798.81.5). Zawiadamia Klienta bez zbędnej zwłoki, a w każdym razie w terminie pięciu dni roboczych, jeżeli stwierdzi, że nie jest już w stanie wywiązywać się z tych obowiązków.

10.4 Klient może podejmować rozsądne i odpowiednie kroki w celu zapewnienia, że Usługodawca wykorzystuje informacje osobowe w sposób zgodny z obowiązkami Klienta wynikającymi z CCPA, w tym korzystać z prawa do informacji i audytu określonego w sekcji 12 (jeden audyt w każdym okresie 12 miesięcy oraz dodatkowe audyty w przypadkach wymienionych w pkt 12.2), a po zawiadomieniu — podejmować kroki w celu powstrzymania i usunięcia skutków nieuprawnionego wykorzystywania informacji osobowych, w tym zwracać się do Usługodawcy o potwierdzenie ich usunięcia.

10.5 Klient informuje Usługodawcę o każdym wniosku konsumenta na podstawie CCPA, który Usługodawca musi zrealizować, i przekazuje Usługodawcy informacje niezbędne do jego realizacji. Usługodawca pomaga Klientowi w odpowiadaniu na możliwe do zweryfikowania wnioski konsumentów (pkt 7.1).

10.6 Usługodawca udostępnia Klientowi informacje, których Klient w rozsądnym zakresie potrzebuje do przeprowadzenia ocen ryzyka i audytów cyberbezpieczeństwa na podstawie przepisów wykonawczych do CCPA, i współpracuje przy nich.

10.7 Usługodawca angażuje każdego podwykonawcę, który przetwarza informacje osobowe, na podstawie pisemnej umowy zawierającej takie same ograniczenia (sekcja 6), i oświadcza, że rozumie ograniczenia określone w niniejszej sekcji 10 i będzie ich przestrzegać.

10.8 Na gruncie innych stanowych ustaw USA o ochronie prywatności (na przykład w stanach Wirginia, Kolorado, Connecticut, Utah, Teksas, Oregon i w innych stanach objętych ustawieniami regionalnymi usługi) Usługodawca jest „processor” (podmiotem przetwarzającym). Sekcje 3–8, 11 i 12 zawierają postanowienia dotyczące podmiotu przetwarzającego wymagane przez te ustawy: polecenia, poufność, usunięcie lub zwrot danych, informacje, współpracę przy ocenach, audyty (lub, jeżeli prawo na to pozwala, raport z niezależnego audytu) oraz przeniesienie obowiązków na podwykonawców wraz z możliwością zgłoszenia sprzeciwu (sekcja 6).

10.9 Usługodawca nie sprzedaje ani nie udostępnia informacji osobowych i nie wykorzystuje wrażliwych informacji osobowych („sensitive personal information”) w żadnym celu.

11. Usunięcie lub zwrot danych (art. 28 ust. 3 lit. g RODO)

11.1 Zwrot. Funkcje eksportu usługi (eksporty do formatu CSV wymienione w Częściach szczególnych) są środkiem, za pomocą którego Klient uzyskuje swoje dane. Klient wybiera zwrot danych, eksportując je przed ich usunięciem.

11.2 Przechowywanie w czasie obowiązywania Umowy Głównej. Dane Osobowe Klienta są przechowywane i usuwane w sposób określony w Załączniku I. Dowód zgody jest przechowywany co najmniej tak długo, jak długo wykorzystywana jest zgoda, którą dokumentuje (okres ważności zgody + 30 dni); zmiana planu, która skraca okres przechowywania, zachowuje dotychczasowy okres przez 30 dni. Zamknięte wnioski dotyczące danych osobowych i odstąpienia od umowy są domyślnie przechowywane przez 2 lata, aby Klient mógł wywiązać się z obowiązków prowadzenia dokumentacji (na przykład 11 CCR §7101), i są usuwane automatycznie 3 lata po ich zamknięciu. Klient może polecić wcześniejsze usunięcie: w usłudze, jeżeli istnieje funkcja usuwania, a w przeciwnym razie w drodze pisemnego polecenia, które Usługodawca wykonuje w terminie 30 dni.

11.3 Po zakończeniu Umowy Głównej Usługodawca usuwa wszystkie Dane Osobowe Klienta w sposób określony w mającej zastosowanie Części szczególnej. Kopie w zaszyfrowanych kopiach zapasowych bazy danych są nadpisywane w okresie przechowywania kopii zapasowych zarządzanej bazy danych (codzienne kopie zapasowe i odtwarzanie do określonego punktu w czasie, przechowywane przez 7 dni) i nie są przywracane, z wyjątkiem odtwarzania po awarii; jeżeli kopia zapasowa zostanie przywrócona, usunięcia dokonane od czasu jej sporządzenia są stosowane ponownie. Usługodawca nie przechowuje ani nie eksportuje dzienników żądań: dzienniki aplikacji istnieją wyłącznie jako dane wyjściowe działającej aplikacji w DigitalOcean, które są czyszczone przy wdrożeniu nowej wersji (nie zawierają adresów IP odwiedzających ani treści żądań, Załącznik II). Dane żądań w sieci brzegowej dostawcy hostingu i dzienniki e-maili transakcyjnych Brevo są usuwane w okresach przechowywania obowiązujących u tych podmiotów podprzetwarzających i nie są wykorzystywane do żadnych innych celów. Do potwierdzenia: DigitalOcean potwierdza okres przechowywania w swojej sieci brzegowej.

11.4 Usunięcie nie ma zastosowania, jeżeli prawo Unii lub prawo państwa członkowskiego nakazuje Usługodawcy przechowywanie danych; Usługodawca chroni je wówczas i przetwarza wyłącznie w tym celu.

11.5 Zmiana dostawcy (rozporządzenie (UE) 2023/2854, akt w sprawie danych). Jeżeli zastosowanie ma akt w sprawie danych, Klient może przejść do innego dostawcy lub na własne systemy w sposób określony w Umowie Głównej: danymi podlegającymi eksportowi są rejestr zgód, wnioski dotyczące danych osobowych, odstąpienia od umowy, deklaracja plików cookie i ustawienia banera; Klient ma okres na pobranie danych wynoszący co najmniej 30 dni; Usługodawca nie pobiera opłaty za zmianę dostawcy i usuwa dane po upływie okresu na ich pobranie.

11.6 Na żądanie Usługodawca potwierdza usunięcie na piśmie.

12. Informacje i audyty (art. 28 ust. 3 lit. h RODO)

12.1 Usługodawca udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO, w szczególności niniejszą DPA i jej Załączniki, a na żądanie — certyfikaty lub raporty bezpieczeństwa swoich głównych podmiotów podprzetwarzających (na przykład raport SOC 2 Type II i certyfikat ISO/IEC 27001 DigitalOcean), jeżeli ich warunki pozwalają na ich udostępnianie.

12.2 Usługodawca umożliwia Klientowi lub audytorowi upoważnionemu przez Klienta przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich na następujących warunkach:

• z co najmniej 30-dniowym pisemnym wyprzedzeniem;
• nie więcej niż jeden audyt w okresie 12 miesięcy, chyba że wymaga tego organ nadzorczy, po naruszeniu ochrony danych osobowych lub jeżeli Klient ma uzasadnione przesłanki wskazujące na nieprzestrzeganie niniejszej DPA;
• najpierw audyt w formie pisemnego kwestionariusza i dokumentów; inspekcja na miejscu lub zdalna tylko wtedy, gdy odpowiedzi okażą się niewystarczające;
• w godzinach pracy, bez dostępu do danych innych klientów ani do tajemnic przedsiębiorstwa Usługodawcy w zakresie wykraczającym poza niezbędny;
• audytor jest związany obowiązkiem zachowania poufności i nie jest konkurentem Usługodawcy;
• każda ze stron ponosi własne koszty, chyba że audyt wykaże istotne naruszenie ze strony Usługodawcy.

13. Obowiązki Klienta

Klient:

• korzysta z usługi zgodnie z Przepisami o Ochronie Danych i wydaje wyłącznie zgodne z prawem polecenia;
• informuje osoby, których dane dotyczą, o przetwarzaniu, w tym o korzystaniu z Consentl, we własnej polityce prywatności i polityce plików cookie, wykorzystując informacje zawarte w Załączniku I;
• prawidłowo konfiguruje usługę (regiony, kategorie, blokowanie narzędzi śledzących, teksty) i sprawdza efekt; Usługodawca nie gwarantuje, że jakakolwiek konfiguracja zapewni zgodność sklepu lub strony internetowej z przepisami (zob. Umowa Główna);
• nie prosi osób, których dane dotyczą, o przekazywanie za pośrednictwem formularzy szczególnych kategorii danych (art. 9 RODO);
• odpowiada na wnioski dotyczące danych osobowych i odstąpienia od umowy w ustawowych terminach;
• przekazuje Usługodawcy dane dostępowe (Część szczególna 2: dane logowania do podstawowego uwierzytelniania HTTP na potrzeby skanowania) wyłącznie w odniesieniu do witryn, które jest uprawniony poddać skanowaniu;
• aktualizuje swój Adres do zawiadomień.

14. Odpowiedzialność

14.1 Łączna odpowiedzialność każdej ze stron wynikająca z niniejszej DPA lub pozostająca z nią w związku jest ograniczona do wyższej z następujących kwot: (a) trzykrotności opłat uiszczonych przez Klienta za daną usługę w ciągu 12 miesięcy poprzedzających pierwsze zdarzenie powodujące odpowiedzialność oraz (b) 5000 EUR.

14.2 Ograniczenie określone w pkt 14.1 nie ma zastosowania do: odpowiedzialności za winę umyślną lub rażące niedbalstwo; odpowiedzialności wobec osób, których dane dotyczą, na podstawie art. 82 RODO i klauzuli 12 standardowych klauzul umownych (której nie można ograniczyć); oraz odpowiedzialności, której nie można ograniczyć na mocy prawa. Jeżeli Klient jest konsumentem, pkt 14.1 ma zastosowanie wyłącznie w zakresie dozwolonym przez mające do niego zastosowanie bezwzględnie obowiązujące przepisy o ochronie konsumentów.

14.3 W odniesieniu do roszczeń wynikających z niniejszej DPA ograniczenie określone w pkt 14.1 zastępuje ograniczenie odpowiedzialności przewidziane w Umowie Głównej. Jeżeli obie strony odpowiadają wobec osoby, której dane dotyczą, za tę samą szkodę, każda ze stron może dochodzić od drugiej strony zwrotu części odszkodowania odpowiadającej części odpowiedzialności drugiej strony (art. 82 ust. 5 RODO), w granicach ograniczenia określonego w pkt 14.1.

14.4 Administracyjne kary pieniężne nałożone na stronę przez organ nadzorczy ponosi ta strona, z wyjątkiem zakresu, w jakim wynikają one z naruszenia niniejszej DPA przez drugą stronę; w takim przypadku można dochodzić ich zwrotu w granicach ograniczenia określonego w pkt 14.1.

15. Czas obowiązywania, zmiany, zawiadomienia i prawo właściwe

15.1 Niniejsza DPA obowiązuje tak długo, jak Usługodawca przetwarza Dane Osobowe Klienta, a następnie wygasa automatycznie. Sekcje 8, 11, 14 i 15 pozostają w mocy po jej wygaśnięciu.

15.2 Zmiany. Usługodawca może aktualizować niniejszą DPA w celu uwzględnienia zmian przepisów, usługi lub podmiotów podprzetwarzających. O zmianach ograniczających ochronę Klienta zawiadamia z co najmniej 30-dniowym wyprzedzeniem e-mailem wysłanym na Adres do zawiadomień; Klient może wówczas zgłosić sprzeciw i rozwiązać umowę zgodnie z pkt 6.3 i 6.4. Zmiany wymagane przez prawo lub wyłącznie poprawiające ochronę Klienta mogą obowiązywać wcześniej. Jeżeli zmiana dotyczy postanowienia, które Klient zaakceptował w sposób wyraźny (pkt 15.6), Usługodawca prosi o ponowną wyraźną akceptację; do czasu jej udzielenia obowiązuje dotychczasowa wersja tego postanowienia. Wcześniejsze wersje niniejszej DPA są udostępniane na żądanie.

15.3 Dowody. Prowadzone przez Usługodawcę elektroniczne zapisy akceptacji, zawiadomień i poleceń stanowią w stosunkach między stronami dowód ich treści i daty (rumuńska ustawa nr 214/2024 o korzystaniu z podpisu elektronicznego).

15.4 Zawiadomienia. Usługodawca wysyła zawiadomienia na podstawie niniejszej DPA (zmiany podmiotów podprzetwarzających, naruszenia, zmiany DPA) e-mailem na Adres do zawiadomień określony w mającej zastosowanie Części szczególnej. Klient go aktualizuje. Klient wysyła zawiadomienia na adres [email protected].

15.5 Prawo właściwe i sądy. Niniejsza DPA podlega prawu rumuńskiemu. Wyłącznie właściwe są właściwe sądy w Kluż-Napoce (Cluj-Napoca), Rumunia, chyba że standardowe klauzule umowne lub bezwzględnie obowiązujące przepisy (w tym przepisy chroniące konsumentów) stanowią inaczej.

15.6 Wyraźna akceptacja (art. 1203 rumuńskiego Kodeksu cywilnego). Klient wyraźnie akceptuje następujące postanowienia niniejszej DPA: pkt 6.3–6.5 (mechanizm sprzeciwu, rozwiązania umowy i zwrotu), sekcję 14 (ograniczenie odpowiedzialności), pkt 15.2 (zmiany) i pkt 15.5 (prawo właściwe i wyłączna właściwość sądów). Klienci będący przedsiębiorcami akceptują je, zaznaczając odrębne pole wyboru przy akceptacji Umowy Głównej.

Część szczególna 1 — Consentl dla Shopify

S1.1 Usługa i Umowa Główna. Usługą jest aplikacja Consentl dla Shopify („Aplikacja”). Klientem jest sprzedawca, który instaluje ją w swoim sklepie Shopify. Umową Główną jest Regulamin.

S1.2 Zawarcie. DPA jest akceptowana na etapie akceptacji w Aplikacji (podczas wdrożenia, a także ponownie w przypadku nowej wersji, która tego wymaga), wraz z Regulaminem.

S1.3 Shopify. Shopify nie jest podmiotem podprzetwarzającym Usługodawcy. Na polecenie Klienta Usługodawca ujawnia dane Shopify jako własnej platformie Klienta: adres e-mail kupującego, który rezygnuje ze sprzedaży lub udostępniania danych albo wysyła sygnał Global Privacy Control, będąc zalogowanym, aby Shopify zarejestrował rezygnację w profilu klienta (dataSaleOptOut); żądania usunięcia danych przekazywane za pomocą opcjonalnych działań wykonywanych jednym kliknięciem; oraz opublikowaną konfigurację banera, przechowywaną jako metapola sklepu.

S1.4 Webhooki zgodności Shopify. Aplikacja przetwarza obowiązkowe powiadomienia Shopify customers/data_request, customers/redact i shop/redact w sposób opisany w Załączniku I-A.

S1.5 Opcjonalne zakresy uprawnień. Zakresy read_customers, write_customers i read_orders są wymagane wyłącznie wtedy, gdy Klient włączy działania dotyczące prywatności wykonywane jednym kliknięciem lub dopasowywanie odstąpień od umowy do zamówień, i są wyraźnie przyznawane przez Klienta.

S1.6 Adres do zawiadomień. Kontakt w sprawach prywatności i bezpieczeństwa wskazany przez Klienta w Ustawieniach Aplikacji. Do czasu jego wskazania — adres e-mail konta właściciela sklepu Shopify zwracany przez Shopify, a jeżeli Shopify nie zwraca żadnego — kontaktowy adres e-mail sklepu.

S1.7 Zwroty. Zwroty na podstawie pkt 6.4 są dokonywane za pośrednictwem Shopify, w formie zwrotu lub środków w aplikacji, według wyboru Usługodawcy.

S1.8 Zakończenie Umowy Głównej i usunięcie danych. Po odinstalowaniu Aplikacji Usługodawca natychmiast usuwa token dostępu, a wszystkie pozostałe Dane Osobowe Klienta usuwa po otrzymaniu od Shopify powiadomienia shop/redact (48 godzin po odinstalowaniu), a w każdym razie nie później niż 30 dni po odinstalowaniu. Przed odinstalowaniem Klient może przejść na plan Free i pozostawić Aplikację zainstalowaną tak długo, jak potrzebuje na wyeksportowanie danych (jest to również okres na pobranie danych przy zmianie dostawcy na podstawie pkt 11.5); eksporty są dostępne w każdym planie. Po odinstalowaniu Aplikacji Usługodawca wysyła Klientowi e-mailem ostrzeżenie z liczbą zapisów.

S1.9 Zawiadomienia platformy. Jeżeli warunki Shopify wymagają, aby Usługodawca poinformował Shopify o incydencie bezpieczeństwa dotyczącym danych sprzedawcy lub klientów, Usługodawca robi to niezależnie od obowiązków określonych w sekcji 8.

S1.10 Załączniki. Załącznik I-A opisuje przetwarzanie w Aplikacji.

Część szczególna 2 — Consentl dla stron internetowych i integracje z platformami

S2.1 Usługa i Umowa Główna. Usługą jest Consentl dla stron internetowych: panel pod adresem app.consentl.com, publiczne API pod adresem api.consentl.com (loader, baner, sygnały zgody, formularze wniosków dotyczących danych osobowych i odstąpienia od umowy, hostowana deklaracja plików cookie i strony dotyczące dostępności) oraz skaner plików cookie („Usługa”), wykorzystywane bezpośrednio lub za pośrednictwem integracji publikowanych przez Usługodawcę (fragment kodu dla stron internetowych, szablon Google Tag Manager, wtyczki WordPress/WooCommerce, Shopware, PrestaShop i Magento oraz instrukcje dla innych kreatorów stron internetowych). Umową Główną jest Regulamin świadczenia usług dla stron internetowych.

S2.2 Zawarcie. Klienci będący przedsiębiorcami akceptują DPA, zaznaczając pole wyboru przy zakładaniu konta, a także ponownie w przypadku nowej wersji, która tego wymaga; konto, które nie zaakceptowało aktualnej wersji, jest proszone o jej akceptację przed dalszym korzystaniem z panelu. W przypadku Klientów, którzy korzystają z Usługi jako konsumenci, DPA stanowi część Regulaminu świadczenia usług dla stron internetowych, który akceptują przy zakładaniu konta.

S2.3 Integracje. Integracje działają na własnym serwerze lub własnej platformie Klienta. Nie przechowują tam żadnych danych osobowych odwiedzających. Ich wywołania api.consentl.com po stronie serwera (sprawdzenie klucza witryny, pobranie loadera w celu umieszczenia go na stronie) przekazują wyłącznie klucz witryny, język i nazwę hosta witryny. Usługodawca przetwarza Dane Osobowe Klienta wyłącznie wtedy, gdy przeglądarki odwiedzających wywołują api.consentl.com. Usługodawca nie jest podmiotem przetwarzającym w odniesieniu do platformy lub systemu sklepu Klienta.

S2.4 Przepływy danych. Załącznik I-B wymienia dane: zapisy zgód (w tym zapisy przesłane bez możliwego do zweryfikowania pochodzenia z przeglądarki, które są przyjmowane z bardziej rygorystycznymi limitami), liczniki banera, wnioski dotyczące danych osobowych i odstąpienia od umowy przesłane za pomocą formularzy, e-maile do odwiedzających, skanowania plików cookie witryn Klienta oraz, w planie Enterprise, dane logowania do podstawowego uwierzytelniania HTTP przekazane przez Klienta w celu skanowania chronionych witryn.

S2.5 Adres do zawiadomień. Adres do zawiadomień ustawiony przez Klienta na stronie „Konto”, po jego potwierdzeniu (za pomocą linku potwierdzającego lub dlatego, że jest to zweryfikowany adres członka konta). Do czasu potwierdzenia — zweryfikowane adresy e-mail właścicieli i administratorów konta.

S2.6 Zwroty. Zwroty na podstawie pkt 6.4 są dokonywane za pośrednictwem Stripe przy użyciu pierwotnej metody płatności, proporcjonalnie za niewykorzystaną część opłaconego okresu.

S2.7 Zakończenie Umowy Głównej i usunięcie danych.

• Klient może w każdej chwili, w każdym planie, wyeksportować rejestr zgód witryny w formacie CSV oraz wszystkie dane swojego konta („Pobierz moje dane (JSON)”) w formacie JSON, w tym ustawienia, listę plików cookie, wnioski dotyczące danych osobowych, odstąpienia od umowy i rejestr zgód każdej witryny.
• Usunięcie witryny powoduje natychmiastowe usunięcie jej danych (kaskadowo); panel prosi o potwierdzenie i zaleca wcześniejszy eksport. Usunięcie witryny stanowi polecenie Klienta usunięcia danych tej witryny.
• Po zakończeniu płatnej subskrypcji witryna przechodzi na plan Free, a jej dane pozostają dostępne do eksportu (jest to również okres na pobranie danych przy zmianie dostawcy na podstawie pkt 11.5).
• Usunięcie konta: właściciel konta usuwa konto w panelu (po anulowaniu płatnych subskrypcji) lub zwraca się o to pod adresem [email protected]. Konto pozostaje dostępne przez 30 dni (okres na pobranie danych: eksport lub anulowanie usunięcia; banery nadal działają), po czym konto, jego witryny i wszystkie Dane Osobowe Klienta tych witryn są usuwane.
• Kopie zapasowe i dzienniki podmiotów podprzetwarzających: pkt 11.3.

S2.8 Automatyczne usuwanie. Usługa automatycznie usuwa: zapisy zgód po upływie okresu przechowywania właściwego dla witryny (Załącznik I-B); wnioski dotyczące danych osobowych, w których adres e-mail nigdy nie został potwierdzony — 30 dni po złożeniu; każdy inny wniosek dotyczący danych osobowych i każde odstąpienie od umowy — 3 lata po ostatniej zmianie, niezależnie od stanu; liczniki dzienne i liczniki A/B — po 2 latach; wyniki skanowania inne niż ostatnie skanowanie witryny — 400 dni po skanowaniu. Wcześniejsze usunięcie na polecenie Klienta: pkt 11.2.

S2.9 Załączniki. Załącznik I-B opisuje przetwarzanie w Usłudze.

Załącznik I — Opis przetwarzania

A. Wykaz stron

Właściwy organ nadzorczy: organ właściwy dla Klienta (podmiotu eksportującego dane) zgodnie z klauzulą 13 standardowych klauzul umownych; dla Usługodawcy: rumuński organ ANSPDCP (www.dataprotection.ro (zewnętrzna strona internetowa)).

Elementy wspólne dla obu usług

• Kategorie osób, których dane dotyczą: osoby odwiedzające sklep lub stronę internetową Klienta (zapisy zgód, wyświetlenia banera); osoby, które składają wniosek dotyczący danych osobowych lub oświadczenie o odstąpieniu od umowy za pośrednictwem sklepu lub strony internetowej; (Shopify, opcjonalnie) klienci, których profil Shopify i zamówienia są odczytywane lub usuwane za pomocą działań dotyczących prywatności wykonywanych jednym kliknięciem.
• Szczególne kategorie danych: nie są zamierzone. Klient nie może ich żądać. Pola tekstowe mogą je zawierać, jeżeli wprowadzi je wnioskodawca; są one chronione tak samo jak wszystkie pozostałe dane.
• Charakter przetwarzania: zbieranie za pośrednictwem skryptu i formularzy sklepu lub strony internetowej, przechowywanie, pobieranie i wyświetlanie Klientowi, eksport, przesyłanie e-mailem, automatyczne usuwanie.
• Cele: cele operacyjne określone w pkt 10.1.
• Częstotliwość: w sposób ciągły, przez czas obowiązywania Umowy Głównej.
• Podmioty podprzetwarzające: Załącznik III.

B. Consentl dla Shopify (Załącznik I-A)

Kategorie danych osobowych

Okresy przechowywania

C. Consentl dla stron internetowych (Załącznik I-B)

Kategorie danych osobowych

Okresy przechowywania

Załącznik II — Środki techniczne i organizacyjne

Środki stosowane na dzień zawarcia niniejszej DPA, w odniesieniu do obu usług, chyba że wskazano konkretny produkt. Elementy opisane jako planowane nie są jeszcze wdrożone. Niektóre środki odsyłają do wewnętrznej polityki bezpieczeństwa i reagowania na incydenty Usługodawcy, rejestru dostępu do środowiska produkcyjnego i rejestru czynności przetwarzania; dokumenty te mają charakter wewnętrzny, a Klient może otrzymać ich kopię na żądanie na podstawie pkt 12.1.

Pseudonimizacja i minimalizacja

• Adresy IP są skracane w chwili przyjęcia do IPv4 /24 lub IPv6 /48 przed zapisaniem; pełny adres IP nigdy nie jest zapisywany w bazie danych ani w dziennikach aplikacji (jest przechowywany wyłącznie w pamięci operacyjnej, Załącznik I).
• Zapisy zgód wykorzystują losowy identyfikator generowany w przeglądarce i nie są powiązane z kontami klientów; adresy URL stron są ograniczane do ścieżki; ciągi user agent są skracane do 400 znaków.
• Wyświetlenia banera są przechowywane wyłącznie jako liczniki dzienne; skrypt nie wysyła niczego przed podjęciem decyzji, a wyświetlenie jest liczone razem z pierwszą decyzją odwiedzającego (bez odrębnego żądania dotyczącego wyświetlenia).
• Shopify: rekordy klientów i zamówień są odczytywane z Shopify na żądanie i nie są kopiowane, z wyjątkiem identyfikatorów potrzebnych do powiązania wniosku lub odstąpienia od umowy z klientem lub zamówieniem. Opcjonalne zakresy uprawnień Shopify dotyczące danych klientów są wymagane wyłącznie wtedy, gdy Klient włączy funkcje, które ich potrzebują.

Szyfrowanie

• Cały ruch jest obsługiwany przez HTTPS (TLS). Webhooki i wywołania API Shopify oraz wywołania API Stripe i Brevo korzystają z TLS.
• Zarządzane bazy danych PostgreSQL i ich kopie zapasowe są szyfrowane w spoczynku przez DigitalOcean.
• Hasła do sklepów Shopify i dane logowania do skanowania stron internetowych są szyfrowane algorytmem AES-256-GCM; klucze są przechowywane wyłącznie w zaszyfrowanych zmiennych środowiskowych platformy hostingowej.
• Tokeny weryfikacji adresu e-mail i tokeny panelu są przechowywane wyłącznie jako skróty SHA-256; tokeny jednorazowe są usuwane lub oznaczane jako wykorzystane po użyciu.

Poufność i kontrola dostępu

• Shopify: dostęp administracyjny wymaga tokenu sesji Shopify weryfikowanego przy każdym żądaniu (App Bridge, token exchange); dane są zawsze ograniczone do uwierzytelnionego sklepu. Webhooki są przyjmowane wyłącznie z ważnym podpisem HMAC.
• Strony internetowe: hasła haszowane algorytmem scrypt; tokeny sesji przechowywane jako skróty SHA-256, ważność 30 dni i wygaśnięcie po 7 dniach bezczynności; ochrona CSRF każdego formularza panelu; czynności wrażliwe wymagają niedawnego potwierdzenia hasła; panel i publiczne API na oddzielnych hostach; każda strona witryny sprawdza członkostwo użytkownika; podpisy webhooków Stripe są weryfikowane.
• Publiczne punkty końcowe przyjmują wyłącznie ważny klucz publiczny oraz pasujący host lub domenę sklepu; sygnały zgody są walidowane względem schematu, mają ograniczony rozmiar (4 KB) i podlegają limitom liczby żądań dla każdego adresu IP oraz każdego sklepu lub witryny (limity obowiązują dla każdej instancji serwera).
• Sekrety (klucze API, sekrety aplikacji, klucze e-mail i płatności) są przechowywane jako zaszyfrowane zmienne środowiskowe platformy hostingowej i w sekretach GitHub Actions, nigdy w kodzie źródłowym.
• Dostęp do środowiska produkcyjnego (DigitalOcean, bazy danych, dzienniki) jest ograniczony do wskazanych z imienia i nazwiska osób wpisanych do rejestru dostępu do środowiska produkcyjnego Usługodawcy, który odnotowuje również, czy uwierzytelnianie dwuskładnikowe jest włączone na kontach dających dostęp do systemów produkcyjnych i skrzynek pocztowych (DigitalOcean, GitHub, Stripe, Brevo, Proton, który hostuje skrzynki [email protected] i [email protected], rejestrator domeny oraz, w przypadku aplikacji Shopify, Shopify Partner/Dev Dashboard). Rejestr jest przeglądany co najmniej raz w roku oraz za każdym razem, gdy jakaś osoba dołącza do zespołu lub z niego odchodzi.
• Produkcyjne bazy danych przyjmują połączenia wyłącznie od własnych aplikacji Usługodawcy; komputery lokalne i CI nie mogą się z nimi łączyć.
• Wewnętrzny obszar administracyjny Usługodawcy (listy klientów, instalacje, statystyki wykorzystania) działa w trybie tylko do odczytu, jest dostępny wyłącznie dla wskazanych kont operatorów z uwierzytelnianiem dwuskładnikowym i niedawnym ponownym uwierzytelnieniem, nie wyświetla treści zapisów zgód ani danych kupujących lub odwiedzających, odczytuje bazę danych Shopify za pośrednictwem roli tylko do odczytu ograniczonej do kolumn niezawierających danych odwiedzających i rejestruje każdy dostęp (kto, kiedy, co) w dzienniku audytu umożliwiającym wyłącznie dopisywanie.
• Asystenci programowania oparci na AI i inne narzędzia programistyczne pracują na kodzie źródłowym, systemach testowych (staging) i danych testowych. Nigdy nie uzyskują dostępu do produkcyjnych baz danych, produkcyjnych dzienników ani Danych Osobowych Klienta: nie odczytują produkcyjnych dzienników, nie wykonują zapytań ani jednorazowych zadań na produkcyjnych bazach danych i nie kopiują danych produkcyjnych. Mogą wprowadzać zmiany w infrastrukturze (specyfikacje aplikacji, zmienne środowiskowe, sekrety zapisywane bez ich odczytywania). Jeżeli ta zasada kiedykolwiek ulegnie zmianie, dostawca narzędzia (na przykład Anthropic PBC w przypadku Claude) zostanie najpierw wpisany do Załącznika III (sekcja 6).
• W repozytorium kodu źródłowego, zgłoszeniach (issues), dziennikach CI, danych testowych ani zrzutach ekranu nie umieszcza się żadnych produkcyjnych danych osobowych.
• Chronione dane klientów Shopify (protected customer data): środki potwierdzone w Shopify Partner Dashboard są środkami opisanymi w niniejszym Załączniku; kopia potwierdzenia jest przechowywana wraz z dokumentacją DPA. Dostęp za pośrednictwem obszaru administracyjnego jest rejestrowany; inny dostęp personelu do danych osobowych klientów (na przykład zadanie na bazie danych w trakcie incydentu) nie jest jeszcze rejestrowany indywidualnie (planowane).

Separacja

• Środowiska testowe (staging) i produkcyjne działają jako oddzielne aplikacje z oddzielnymi bazami danych; dane Shopify i stron internetowych znajdują się w oddzielnych bazach danych.
• Usługa dla stron internetowych korzysta z dedykowanych użytkowników bazy danych bez uprawnień administratora (skaner ma własnego użytkownika, ograniczonego do tabel skanowania). Aplikacja Shopify łączy się obecnie przy użyciu użytkownika administracyjnego klastra bazy danych; planowane jest wprowadzenie dedykowanego użytkownika.
• Proces roboczy skanera plików cookie jest odizolowany od aplikacji internetowych (oddzielny kontener, środowisko przeglądarki bez danych logowania do bazy danych i sekretów, ruch wychodzący ograniczony do adresów publicznych na portach 80/443, limit czasu na skanowanie). Obsługuje kilka środowisk i przechowuje ich dane logowania do baz danych; w bazie danych Usługi dla stron internetowych korzysta z ograniczonej roli skanera.

Integralność

• W aplikacji zapisy zgód można wyłącznie dopisywać (brak funkcji edycji).
• Migracje baz danych są wersjonowane i stosowane automatycznie przed każdym wdrożeniem.
• Zmiany są rozwijane w gałęziach i sprawdzane przy każdym wypchnięciu (push) za pomocą automatycznej kontroli typów, lintingu, testów i kompilacji w CI. Wdrożenia produkcyjne odbywają się wyłącznie z gałęzi produkcyjnej, a scalenie do tej gałęzi wymaga wyraźnej zgody właściciela; przed wdrożeniem produkcyjnym CI musi zakończyć się powodzeniem. Zasady te stanowią część polityki bezpieczeństwa i reagowania na incydenty Usługodawcy.

Dostępność i odporność

• Zarządzany hosting z kontrolami stanu i automatycznymi restartami; zarządzane bazy danych z automatycznymi codziennymi kopiami zapasowymi i odtwarzaniem do określonego punktu w czasie, przechowywanymi przez 7 dni.
• Możliwe jest przywrócenie wcześniejszych wdrożeń.

Przechowywanie i usuwanie

• Automatyczne zadania czyszczące zgodnie z Załącznikiem I (co 6 godzin: zapisy zgód, statystyki, wnioski dotyczące danych osobowych, odstąpienia od umowy, skanowania oraz, w przypadku stron internetowych, konta, których okres usunięcia upłynął). Shopify: obowiązkowe webhooki zgodności.

E-mail

• E-maile transakcyjne są wysyłane za pośrednictwem API Brevo z domeny consentl.com (SPF, DKIM, DMARC). Śledzenie otwarć i kliknięć w Brevo jest zanonimizowane (żadne dane o zaangażowaniu nie są powiązane z odbiorcą), a Usługodawca nie wykorzystuje danych o zaangażowaniu.
• W środowisku produkcyjnym klucz API poczty e-mail jest zawsze skonfigurowany; bez niego (wyłącznie w środowisku deweloperskim) e-maile są zapisywane w dzienniku aplikacji zamiast być wysyłane. Planowane jest zabezpieczenie w kodzie, które uniemożliwi zapisywanie treści wiadomości w dzienniku w środowisku produkcyjnym.

Rejestrowanie zdarzeń

• Dzienniki aplikacji zawierają dane operacyjne (domeny sklepów lub identyfikatory witryn, wyniki zadań, komunikaty o błędach) i nie zawierają adresów IP odwiedzających ani treści żądań. Dzienniki żądań: Załącznik I. Usługodawca nie przechowuje ani nie przekazuje dalej dzienników: dzienniki środowiska wykonawczego istnieją w DigitalOcean wyłącznie w czasie działania aplikacji i są czyszczone przy wdrożeniu nowej wersji; dzienniki kompilacji i wdrożeń, które nie zawierają danych osobowych odwiedzających, DigitalOcean przechowuje przez 90 dni. Dane żądań w sieci brzegowej: pkt 11.3.

Lokalizacja

• Serwery aplikacji i bazy danych we Frankfurcie, Niemcy (region DigitalOcean fra/fra1).

Środki organizacyjne

• Zobowiązanie do zachowania poufności każdej osoby mającej dostęp (sekcja 4); pisemne zobowiązania do zachowania poufności wszystkich pracowników i wykonawców.
• Reagowanie na incydenty odbywa się zgodnie z pisemną polityką bezpieczeństwa i reagowania na incydenty Usługodawcy: wykrycie, opanowanie, ocena w ciągu 24 godzin, zgłoszenie Klientowi zgodnie z sekcją 8 (a jako administrator — organowi nadzorczemu w ciągu 72 godzin), przywrócenie działania oraz odnotowanie każdego naruszenia w rejestrze naruszeń. Osoba kierująca reagowaniem na incydenty (a po jej wyznaczeniu również osoba zastępująca) jest wskazana w rejestrze dostępu do środowiska produkcyjnego.
• Prowadzony jest rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratorów (art. 30 ust. 2 RODO), przeglądany co najmniej raz w roku.
• Uwzględnianie ochrony danych w fazie projektowania: przegląd prywatności nowych funkcji przed ich udostępnieniem.

Załącznik III — Podmioty podprzetwarzające

Upoważnione podmioty podprzetwarzające na dzień zawarcia niniejszej DPA. Szczegółowe informacje, lokalizacje, zabezpieczenia i rejestr zmian znajdują się na liście podmiotów podprzetwarzających.

Źródło: docs/legal/pl/DPA.md w repozytorium Consentl.