Umowa powierzenia przetwarzania danych osobowych

• Podmiot przetwarzający — Karol Barańczuk (jednoosobowa działalność gospodarcza), ul. Marecka 93, 05-220 Zielonka, NIP 1251765491, REGON 528159393, e-mail kontakt@weselownia.pl.
• Administrator — Klient korzystający z usługi w zakresie, w jakim jest administratorem danych Gości.
• Pojęcia „dane osobowe”, „przetwarzanie”, „naruszenie” i inne mają znaczenie nadane w RODO.

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Gości w celu i zakresie niezbędnym do świadczenia usługi strony weselnej.
2. Charakter przetwarzania: operacje na danych w systemie informatycznym (zapis, przechowywanie, tworzenie miniatur, konwersja techniczna, wyświetlanie, udostępnianie osobom z dostępem, umożliwienie pobrania, wykonanie kopii zapasowej, usunięcie).
3. Cel: wyłącznie realizacja usługi na rzecz Administratora. Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów.

Umowa obowiązuje przez czas świadczenia usługi na rzecz Klienta i wygasa z chwilą jej zakończenia oraz usunięcia/zwrotu danych zgodnie z §10.

• Rodzaje danych: dane identyfikacyjne i kontaktowe Gości (np. imię/oznaczenie), wizerunek utrwalony na zdjęciach i filmach, treści dołączone do materiałów (podpisy), dane z formularza RSVP (potwierdzenie obecności, osoba towarzysząca, dziecko, preferencje żywieniowe, a jeśli Administrator włączy takie pole — informacja o alergiach, mogąca stanowić dane o zdrowiu w rozumieniu art. 9 RODO).
• Kategorie osób: goście weselni i inne osoby, których dane Administrator wprowadza lub które przekazują dane, korzystając ze strony (w tym osoby uwidocznione na materiałach).

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są: Regulamin, niniejsza umowa oraz konfiguracja i polecenia wydawane przez Administratora w panelu (np. włączone moduły, ustawienia).
2. Jeżeli polecenie narusza RODO lub inne przepisy, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.
3. Przekazanie danych do państwa trzeciego następuje wyłącznie, gdy wymaga tego prawo — z uprzednim poinformowaniem Administratora, o ile prawo nie zakazuje takiej informacji.

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy, oraz że dostęp do danych mają wyłącznie osoby, którym jest to niezbędne.

Podmiot przetwarzający stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych, adekwatne do ryzyka, w tym: szyfrowanie transmisji (HTTPS), kontrolę i rozdzielenie dostępu, bezpieczne przechowywanie haseł (funkcje skrótu), kopie zapasowe (14 dni) oraz zabezpieczenia przed nadużyciami.

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających (podprocesorów) niezbędnych do świadczenia usługi, w szczególności dostawcy infrastruktury i poczty (OVH).
2. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych odpowiadające obowiązkom z niniejszej umowy i informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów, umożliwiając wyrażenie sprzeciwu.
3. Aktualny wykaz kluczowych podprocesorów wskazano w Polityce prywatności.

1. Podmiot przetwarzający, w miarę możliwości, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób realizujących swoje prawa (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw).
2. Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne informacje.
3. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu.

Po zakończeniu świadczenia usługi Podmiot przetwarzający — zależnie od decyzji Administratora — usuwa albo zwraca powierzone dane oraz usuwa istniejące kopie, chyba że prawo nakazuje ich przechowywanie. Kopie zapasowe są usuwane w ramach rotacji (14 dni).

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
2. Podmiot przetwarzający umożliwia audyty (w tym inspekcje) przeprowadzane przez Administratora lub upoważnionego audytora i przyczynia się do nich, w rozsądnym zakresie i terminie, z poszanowaniem bezpieczeństwa danych innych klientów oraz tajemnicy przedsiębiorstwa.

1. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
2. Umowa stanowi integralną część Regulaminu; jej akceptacja następuje wraz z akceptacją Regulaminu przy składaniu zamówienia.
3. Umowa obowiązuje od 24 lipca 2026 r.