ENZaloguj sięWypróbuj za darmoWypróbuj
← Strona główna

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Data wejścia w życie: 11 sierpnia 2026 r.Wersja: 1.0

Załącznik nr 2 do Regulaminu Serwisu ReviewGuide

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa DPA") zostaje zawarta pomiędzy:

  • Usługobiorcą (Klientem korzystającym z Serwisu ReviewGuide) — zwanym dalej „Administratorem Danych", oraz
  • PEPE COMPANY sp. z o.o., ul. Świętokrzyska 18/405, 00‑052 Warszawa, NIP: 5732861000, KRS: 0000599316 — zwaną dalej „Podmiotem Przetwarzającym".

Umowa DPA stanowi integralną część Regulaminu; jej zawarcie następuje z chwilą akceptacji Regulaminu i rozpoczęcia korzystania z Usługi. Umowę zawiera się na podstawie art. 28 RODO.

§ 1. Powierzenie przetwarzania

  1. Administrator Danych powierza Podmiotowi Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia Usługi ReviewGuide (monitorowanie opinii Google dotyczących lokalu Administratora Danych oraz generowanie i publikowanie odpowiedzi na te opinie).
  2. Podmiot Przetwarzający przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora Danych, którym są w szczególności Regulamin, niniejsza Umowa DPA oraz czynności wykonywane przez Administratora Danych w ramach korzystania z Usługi.

§ 2. Charakter, cel, czas i przedmiot przetwarzania

  1. Cel przetwarzania: świadczenie Usługi ReviewGuide.
  2. Charakter przetwarzania: operacje przetwarzania wykonywane w systemach informatycznych (m.in. pobieranie, przechowywanie, analiza, generowanie treści, przekazywanie do publikacji).
  3. Czas przetwarzania: przez okres obowiązywania Umowy o świadczenie Usługi, z zastrzeżeniem § 7.
  4. Przedmiot przetwarzania: dane osobowe zawarte w opiniach publikowanych w serwisie Google dotyczących lokalu Administratora Danych oraz w treści odpowiedzi.

§ 3. Kategorie osób i rodzaj danych

  1. Kategorie osób, których dane dotyczą: autorzy opinii publikowanych w serwisie Google (klienci/goście lokalu Administratora Danych).
  2. Rodzaj danych osobowych: dane identyfikacyjne widoczne publicznie w opinii (np. nazwa/nick/imię autora, zdjęcie profilowe, jeżeli dostępne), treść opinii oraz treść odpowiedzi, ocena (liczba gwiazdek), data. Podmiot Przetwarzający nie dąży do pozyskiwania szczególnych kategorii danych; mogą one jednak potencjalnie pojawić się w treści opinii wprowadzonej samodzielnie przez jej autora.

§ 4. Obowiązki Podmiotu Przetwarzającego

Podmiot Przetwarzający zobowiązuje się do:

  1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora Danych, w tym w zakresie przekazywania danych do państwa trzeciego — chyba że obowiązek taki nakłada na niego prawo (o czym informuje Administratora, o ile prawo tego nie zakazuje);
  2. zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi poufności;
  3. wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania, zgodnie z art. 32 RODO;
  4. przestrzegania warunków korzystania z usług dalszego podmiotu przetwarzającego (podpowierzenia), o których mowa w § 5;
  5. w miarę możliwości pomagania Administratorowi Danych — poprzez odpowiednie środki techniczne i organizacyjne — w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (realizacja praw z rozdziału III RODO);
  6. pomagania Administratorowi Danych w wywiązaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);
  7. zgłaszania Administratorowi Danych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia;
  8. po zakończeniu świadczenia Usługi — usunięcia lub zwrotu danych zgodnie z § 7;
  9. udostępniania Administratorowi Danych informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia audytów, zgodnie z § 6.

§ 5. Podpowierzenie (dalsze podmioty przetwarzające)

  1. Administrator Danych udziela Podmiotowi Przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (podprocesorów) w celu świadczenia Usługi, w szczególności: dostawców hostingu i infrastruktury chmurowej, dostawców modeli i usług sztucznej inteligencji, dostawców narzędzi analitycznych, wsparcia i komunikacji, dostawcy usług Google oraz dostawcy danych o opiniach.

  2. Podmiot Przetwarzający zapewnia, że na dalszy podmiot przetwarzający nałożone zostaną — w drodze umowy — obowiązki w zakresie ochrony danych odpowiadające obowiązkom z niniejszej Umowy DPA.

  3. Podmiot Przetwarzający informuje Administratora Danych o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów, umożliwiając wyrażenie sprzeciwu. Aktualny wykaz podprocesorów jest udostępniany na żądanie lub w Serwisie.

  4. Ogólny wykaz kategorii podprocesorów wykorzystywanych na dzień zawarcia Umowy DPA:

    Kategoria Rola w świadczeniu Usługi Przykładowi dostawcy Możliwy transfer poza EOG
    Hosting i infrastruktura chmurowa przechowywanie i przetwarzanie danych, hosting aplikacji i bazy danych Amazon Web Services, Google Cloud, Vercel Tak (na podstawie SCC / EU–U.S. DPF)
    Operator płatności obsługa płatności cyklicznych Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc.) Tak (SCC / EU–U.S. DPF)
    Dostawcy modeli i usług AI generowanie propozycji odpowiedzi na opinie OpenAI, Anthropic, Google Tak (SCC / EU–U.S. DPF)
    Integracja Google pobieranie opinii i publikacja odpowiedzi Google Ireland Limited / Google LLC Tak (SCC / EU–U.S. DPF)
    Poczta transakcyjna / powiadomienia wysyłka wiadomości e‑mail do Klientów Amazon SES, SendGrid (Twilio), Postmark Możliwy
    Narzędzia analityczne statystyka i ulepszanie Usługi Google Analytics Możliwy
    Wsparcie i obsługa klienta czat, help desk, CRM Intercom, Crisp, HubSpot Możliwy
    Dane opinii / dostawca danych o opiniach (review data provider) pobieranie publicznie dostępnych danych opinii Google na potrzeby świadczenia Usługi Outscraper Tak (SCC)

    Powyższy wykaz ma charakter ogólny i obejmuje kategorie oraz typowych dostawców; faktycznie wykorzystywani są wybrani spośród nich, zgodnie z wdrożonymi narzędziami. Zaktualizowany, imienny wykaz podprocesorów Podmiot Przetwarzający udostępnia na żądanie Administratora Danych.

  5. Podmiot Przetwarzający ponosi wobec Administratora Danych odpowiedzialność za wywiązanie się przez dalszy podmiot przetwarzający z obowiązków ochrony danych.

§ 6. Audyt

  1. Podmiot Przetwarzający udostępnia Administratorowi Danych informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia przeprowadzanie audytów (w tym inspekcji) przez Administratora Danych lub upoważnionego audytora.
  2. Audyt odbywa się po uprzednim uzgodnieniu terminu (z co najmniej 14‑dniowym wyprzedzeniem), w godzinach pracy, w sposób niezakłócający działalności Podmiotu Przetwarzającego oraz z poszanowaniem poufności i bezpieczeństwa danych innych klientów. Podmiot Przetwarzający może wykazać zgodność również poprzez udostępnienie odpowiednich certyfikatów lub raportów.

§ 7. Zakończenie przetwarzania

  1. Po zakończeniu świadczenia Usługi Podmiot Przetwarzający, zależnie od decyzji Administratora Danych, usuwa lub zwraca powierzone dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo krajowe nakazują ich przechowywanie.
  2. W braku odmiennej dyspozycji Administratora Danych, Podmiot Przetwarzający usuwa dane w rozsądnym terminie po zakończeniu Umowy.

§ 8. Odpowiedzialność

  1. Każda ze Stron odpowiada za szkody spowodowane naruszeniem RODO w zakresie, w jakim wynika to z art. 82 RODO.
  2. Podmiot Przetwarzający odpowiada za szkody spowodowane przetwarzaniem wyłącznie w zakresie, w jakim nie dopełnił obowiązków nałożonych przez RODO na podmioty przetwarzające lub działał poza zgodnymi z prawem poleceniami Administratora Danych bądź wbrew nim.

§ 9. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się przepisy RODO oraz prawa polskiego.
  2. Niniejsza Umowa DPA ma pierwszeństwo przed postanowieniami Regulaminu wyłącznie w zakresie powierzenia przetwarzania danych osobowych.