Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Załącznik do Regulaminu świadczenia usług BULIDO Wersja: 1.0 Data wejścia w życie: 16 maja 2026

§1. Strony i podstawa zawarcia

1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „DPA") zawierana jest pomiędzy:
   1. Klientem korzystającym z usługi BULIDO, jako Administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO,
   2. Entigo Radosław Suchowierski, ul. Bolesława Chrobrego 23, 78-230 Karlino, NIP: 6721984998, jako Procesorem (podmiotem przetwarzającym) w rozumieniu art. 4 pkt 8 RODO.
2. DPA stanowi integralną część Regulaminu świadczenia usług BULIDO. Akceptacja Regulaminu jest równoznaczna z zawarciem DPA.
3. DPA reguluje zasady przetwarzania przez Procesora danych osobowych powierzonych mu przez Administratora w związku z korzystaniem z Usługi BULIDO.

§2. Przedmiot, charakter i cel przetwarzania

§3. Kategorie danych i osób

1. Kategorie osób, których dane dotyczą:

   1. klienci końcowi Administratora (osoby, dla których Administrator wystawia oferty lub wykonuje prace),
   2. kontrahenci, dostawcy Administratora,
   3. pracownicy lub współpracownicy Administratora (jeśli Administrator wprowadza ich dane do BULIDO).

2. Kategorie danych osobowych:

   1. dane identyfikacyjne (imię, nazwisko, nazwa firmy),
   2. dane kontaktowe (adres, e-mail, telefon),
   3. dane firmowe (NIP, REGON),
   4. dane dotyczące zleceń i ofert (zakres prac, kwoty, terminy),
   5. inne dane wprowadzone przez Administratora.

3. Procesor nie jest uprawniony do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), o ile Administrator nie poinformuje Procesora o zamiarze ich wprowadzenia. Wprowadzanie takich danych do BULIDO odbywa się na wyłączną odpowiedzialność Administratora.

§4. Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora, przy czym samo korzystanie z Usługi BULIDO przez Administratora stanowi takie polecenie w zakresie funkcjonalności Usługi;
2. zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązane są do zachowania tajemnicy;
3. wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych (zgodnie z art. 32 RODO), opisanych w Załączniku nr 1 do DPA;
4. udzielania Administratorowi pomocy w realizacji jego obowiązków wynikających z RODO, w tym w odpowiedzi na żądania osób, których dane dotyczą;
5. niezwłocznego powiadamiania Administratora o naruszeniu ochrony danych osobowych, nie później niż w terminie 48 godzin od jego stwierdzenia;
6. po zakończeniu Umowy, usunięcia danych zgodnie z polityką retencji opisaną w Regulaminie (do 90 dni po wygaśnięciu Konta), chyba że obowiązek dalszego przechowywania wynika z prawa.

§5. Obowiązki Administratora

Administrator zobowiązuje się do:

1. przetwarzania danych osobowych zgodnie z RODO i pozostałymi przepisami prawa,
2. posiadania ważnej podstawy prawnej do przetwarzania danych, które wprowadza do BULIDO,
3. wypełnienia obowiązków informacyjnych wobec osób, których dane wprowadza do BULIDO (m.in. art. 13–14 RODO),
4. niewprowadzania do BULIDO danych, których przetwarzanie wykraczałoby poza cel świadczenia Usługi.

§6. Subprocesorzy

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z subprocesorów wymienionych w Załączniku nr 2 do DPA.
2. Procesor poinformuje Administratora o planowanej zmianie subprocesorów (dodanie nowego, zmiana dotychczasowego) z wyprzedzeniem co najmniej 14 dni, drogą e-mailową lub poprzez powiadomienie w panelu Konta.
3. Administrator może wnieść uzasadniony sprzeciw wobec zmiany subprocesora w terminie 14 dni od powiadomienia. W przypadku braku możliwości polubownego rozwiązania sprawy Administrator może rozwiązać Umowę zgodnie z Regulaminem.
4. Procesor zapewnia, że każdy subprocesor jest związany analogicznymi obowiązkami w zakresie ochrony danych osobowych jak te wynikające z DPA.

§7. Transfery poza EOG

1. Część subprocesorów (m.in. OpenAI, Google) przetwarza dane w państwach trzecich (USA).
2. Transfer danych odbywa się na podstawie:
   1. EU-U.S. Data Privacy Framework: w odniesieniu do podmiotów, które do niego przystąpiły, lub
   2. Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską.
3. Szczegóły transferów dla każdego subprocesora zawiera Załącznik nr 2.

§8. Prawo kontroli (audyt)

1. Administrator ma prawo do kontroli przestrzegania przez Procesora postanowień DPA.
2. Kontrola odbywa się na koszt Administratora, po wcześniejszym uzgodnieniu terminu z Procesorem (co najmniej 30 dni przed planowaną kontrolą), w godzinach pracy Procesora i w sposób minimalizujący zakłócenie jego działalności.
3. Procesor może spełnić obowiązek, o którym mowa w ust. 1, poprzez udostępnienie Administratorowi raportów z audytów zewnętrznych, certyfikatów lub innych dokumentów potwierdzających przestrzeganie wymogów ochrony danych.

§9. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody wyrządzone drugiej Stronie w wyniku naruszenia DPA.
2. Odpowiedzialność Procesora wobec Administratora wynikająca z DPA podlega ograniczeniom określonym w Regulaminie świadczenia usług BULIDO.
3. Postanowienia ust. 2 nie ograniczają odpowiedzialności Stron wobec organów nadzorczych ani osób, których dane dotyczą, wynikającej bezpośrednio z RODO.

§10. Postanowienia końcowe

1. DPA wchodzi w życie z chwilą akceptacji Regulaminu i obowiązuje przez czas trwania Umowy.
2. W sprawach nieuregulowanych DPA zastosowanie mają przepisy RODO, polskiej ustawy o ochronie danych osobowych oraz Regulaminu.
3. Prawem właściwym jest prawo polskie. Spory rozstrzyga sąd właściwy dla siedziby Procesora.

Załącznik nr 1, Środki techniczne i organizacyjne

Procesor wdrożył w szczególności następujące środki ochrony danych osobowych:

Środki techniczne:

• szyfrowanie transmisji danych (TLS/HTTPS),
• szyfrowanie haseł i danych uwierzytelniających,
• regularne aktualizacje oprogramowania i systemów operacyjnych,
• regularne kopie zapasowe danych w infrastrukturze hostingowej w EOG,
• ochrona przed nieautoryzowanym dostępem (firewall, segmentacja sieci),
• monitorowanie zdarzeń bezpieczeństwa.

Środki organizacyjne:

• kontrola dostępu oparta o role,
• zobowiązanie osób upoważnionych do zachowania poufności,
• procedura postępowania w razie naruszenia ochrony danych,
• bieżąca aktualizacja dokumentacji ochrony danych.

Załącznik nr 2, Lista subprocesorów

Aktualna lista znajduje się w niniejszej DPA i jest aktualizowana zgodnie z §6.

DPA sporządzona w trzech wersjach językowych: polskiej, angielskiej i niemieckiej. W razie rozbieżności wiążąca jest wersja polska.