Umowa powierzenia przetwarzania danych
Wersja 1.1, obowiązuje od 12 października 2026
1. Strony i przedmiot
Umowę zawierają: klient korzystający z usługi ConsentGate jako administrator danych (dalej „Administrator”) oraz CRE 8 Sp. z o.o. z siedzibą w Warszawie, ul. Wiązana 6D lok. P1, 04-765 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie pod numerem KRS 0000321545, NIP 9522064848, REGON 141710560, kapitał zakładowy 50 000 zł, jako podmiot przetwarzający (dalej „Przetwarzający”).
Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w tej umowie, na podstawie art. 28 rozporządzenia (UE) 2016/679 (RODO).
Umowa obowiązuje przez czas korzystania z usługi ConsentGate i jest częścią umowy o świadczenie tej usługi.
Umowa jest zawierana w formie elektronicznej, przez akceptację w panelu. Przetwarzający zapisuje, kto ją zaakceptował, w jakiej wersji i kiedy.
2. Zakres przetwarzania
Cel: prowadzenie rejestru decyzji o zgodzie podejmowanych przez osoby odwiedzające strony Administratora oraz wyświetlanie okna zgód.
Kategorie osób: osoby odwiedzające strony internetowe Administratora.
Rodzaj danych: losowy identyfikator zgody, czas decyzji, rodzaj decyzji, wybrane kategorie, wersja ustawień okna, kraj, język i ścieżka strony. Przetwarzający nie zapisuje adresu IP ani danych przeglądarki. Adres IP jest przetwarzany chwilowo wyłącznie w celu dostarczenia skryptu.
Charakter przetwarzania: zapis, przechowywanie, udostępnianie Administratorowi w panelu i w eksporcie, usuwanie.
Przetwarzający nie przetwarza w ramach tej umowy szczególnych kategorii danych.
3. Obowiązki Przetwarzającego
Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uznaje się tę umowę oraz ustawienia wybrane przez Administratora w panelu.
Przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności.
Przetwarzający stosuje środki techniczne i organizacyjne opisane w punkcie 9, zgodnie z art. 32 RODO.
Przetwarzający pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą. W panelu udostępnia wyszukiwanie i usuwanie wpisów po identyfikatorze zgody oraz eksport rejestru.
Jeśli osoba, której dane dotyczą, zwróci się bezpośrednio do Przetwarzającego, ten przekaże żądanie Administratorowi bez zbędnej zwłoki i nie odpowie na nie samodzielnie.
Przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32 do 36 RODO, w zakresie wynikającym z charakteru przetwarzania i dostępnych mu informacji.
Przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza przepisy o ochronie danych.
Administrator odpowiada za podstawę prawną przetwarzania, za treść informacji przekazywanych osobom odwiedzającym jego strony oraz za ustawienia okna, które wybrał. Administrator oświadcza, że jego polecenia są zgodne z prawem.
4. Dalsze powierzenie
Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z podwykonawców wymienionych na stronie consentgate.eu/pl/podwykonawcy/.
O zamiarze dodania lub zmiany podwykonawcy Przetwarzający informuje Administratora mailowo co najmniej 30 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw. Jeśli strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę ze skutkiem na dzień zmiany.
Przetwarzający nakłada na podwykonawców obowiązki ochrony danych nie mniejsze niż wynikające z tej umowy i odpowiada wobec Administratora za ich wykonanie.
5. Przekazywanie danych poza EOG
Rejestr zgód jest przechowywany w bazie danych z ograniczeniem do jurysdykcji Unii Europejskiej.
Jeśli podwykonawca ma siedzibę poza Europejskim Obszarem Gospodarczym, przekazanie odbywa się na podstawie decyzji stwierdzającej odpowiedni poziom ochrony albo standardowych klauzul umownych przyjętych przez Komisję Europejską.
6. Naruszenia ochrony danych
Przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.
Zgłoszenie zawiera znane w danej chwili informacje: charakter naruszenia, kategorie i przybliżoną liczbę wpisów, możliwe konsekwencje oraz podjęte i planowane środki.
7. Kontrola
Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
Administrator może przeprowadzić audyt raz w roku, po uzgodnieniu terminu z wyprzedzeniem co najmniej 30 dni, w sposób niezakłócający działania usługi i bez dostępu do danych innych klientów. Koszty audytu ponosi Administrator.
W pierwszej kolejności Przetwarzający odpowiada na pytania Administratora pisemnie i udostępnia dokumenty. Ograniczenie do jednego audytu w roku nie dotyczy kontroli żądanej przez organ nadzorczy ani audytu po stwierdzonym naruszeniu ochrony danych.
8. Zakończenie i zwrot danych
W czasie obowiązywania umowy i przez 30 dni po jej zakończeniu Administrator może pobrać rejestr zgód w pliku CSV oraz ustawienia w pliku JSON. Przetwarzający nie pobiera za to opłat.
Po upływie tego terminu Przetwarzający usuwa powierzone dane, chyba że przepis prawa wymaga ich dalszego przechowywania.
Kopie umożliwiające przywrócenie bazy danych wygasają samoczynnie w oknie udostępnianym przez dostawcę infrastruktury i nie są w tym czasie wykorzystywane do innych celów.
W czasie obowiązywania umowy wpisy rejestru są usuwane automatycznie po okresie wynikającym z planu Administratora.
9. Środki bezpieczeństwa
Szyfrowanie połączeń między przeglądarką a usługą.
Przechowywanie rejestru w bazie danych ograniczonej do jurysdykcji Unii Europejskiej.
Minimalizacja danych: brak zapisu adresu IP i danych przeglądarki, losowy identyfikator zgody.
Dostęp do panelu wyłącznie po zalogowaniu, z rozdzieleniem danych poszczególnych klientów.
Automatyczne usuwanie wpisów po okresie przechowywania.
Możliwość przywrócenia bazy danych do stanu z wybranej chwili w oknie udostępnianym przez dostawcę infrastruktury.
Niezmienne wersje ustawień okna, z numerem wersji zapisanym przy każdej decyzji.
10. Odpowiedzialność i postanowienia końcowe
Każda ze stron odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO. Ograniczenia odpowiedzialności z umowy o świadczenie usługi stosuje się w zakresie dopuszczonym przez prawo.
Żadne postanowienie nie ogranicza odpowiedzialności stron wobec osób, których dane dotyczą, wynikającej z art. 82 RODO.
W sprawach nieuregulowanych stosuje się prawo polskie i RODO. W razie sprzeczności między tą umową a umową o świadczenie usługi w zakresie ochrony danych pierwszeństwo ma ta umowa.