NaCzas

Załącznik nr 1 do Regulaminu NaCzas — Umowa powierzenia przetwarzania danych osobowych

Wersja: 2026-10 · Obowiązuje od: 22.10.2026

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie (https://naczas.com.pl/regulamin).

§ 1. Strony i zawarcie umowy

  1. Umowa zostaje zawarta między:

    1. Użytkownikiem jako administratorem danych („Administrator”);

    2. Łukaszem Kiełbasą, świadczącym usługę NaCzas w ramach działalności nierejestrowanej, adres do doręczeń: 09-500 Gostynin, ul. Wspólna 13 („Podmiot przetwarzający”).

  2. Umowa jest zawierana na podstawie art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”), z chwilą akceptacji Regulaminu przy rejestracji Konta.

  3. W sprawach nieuregulowanych Umową stosuje się Regulamin i RODO.

§ 2. Przedmiot, charakter i cel przetwarzania

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które Administrator, jego Pracownicy lub Klienci Użytkownika wprowadzają do NaCzas.

  2. Celem przetwarzania jest wyłącznie świadczenie Usługi na rzecz Administratora zgodnie z Regulaminem: prowadzenie bazy klientów i adresów, planowanie zleceń, wysyłanie wiadomości do Klientów Użytkownika (przypomnienia, potwierdzenia, zmiany terminu, prośby o opinię), obsługa rezerwacji online i strony wizyty, wyznaczanie lokalizacji adresów na mapie oraz organizacja pracy Pracowników.

  3. Przetwarzanie polega na zbieraniu, zapisywaniu, przechowywaniu, porządkowaniu, przeglądaniu, wykorzystywaniu, przesyłaniu (SMS i e-mail), modyfikowaniu i usuwaniu danych, w sposób zautomatyzowany, w systemie informatycznym NaCzas.

§ 3. Rodzaj danych i kategorie osób

  1. Kategorie osób, których dane dotyczą:

    1. Klienci Użytkownika (osoby fizyczne i osoby reprezentujące klientów firmowych);

    2. osoby kontaktowe w lokalizacjach klientów (np. zarządcy, administratorzy budynków);

    3. osoby, które wysłały prośbę o wizytę przez formularz rezerwacji online;

    4. Pracownicy Administratora, w zakresie danych o ich pracy.

  2. Rodzaje danych:

    1. imię i nazwisko lub nazwa, numer telefonu, adres e-mail, NIP;

    2. adresy wykonywania usług i ich położenie na mapie (współrzędne), osoba kontaktowa i telefon w lokalizacji;

    3. informacje o dostępie do lokalu oraz notatki i etykiety wpisane przez Administratora;

    4. terminy i historia wizyt, usługi, ceny, status płatności, odpowiedzi na przypomnienia (potwierdzenie lub prośba o zmianę terminu) i treść takiej prośby;

    5. treść i historia wiadomości wysłanych do Klientów Użytkownika (numer telefonu lub adres e-mail, data, status doręczenia);

    6. dane z formularza rezerwacji online (imię i nazwisko, telefon, e-mail, adres, preferowany termin, opis);

    7. dane o pracy Pracowników: przypisane zlecenia, plan dnia, wykonanie zleceń.

  3. Usługa nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych o wyrokach skazujących (art. 10 RODO). Administrator zobowiązuje się nie wpisywać takich danych, w szczególności w polach notatek.

§ 4. Czas przetwarzania

  1. Podmiot przetwarzający przetwarza dane przez czas trwania umowy o świadczenie Usługi.

  2. Po rozwiązaniu umowy Podmiot przetwarzający przechowuje dane przez 30 dni, aby umożliwić Administratorowi ich odbiór (§ 15 ust. 4 Regulaminu), a następnie je usuwa. Usunięte dane mogą pozostać w kopiach zapasowych do 7 dni, po czym są automatycznie nadpisywane.

  3. Kopie wiadomości (numer telefonu lub adres e-mail i treść) w systemach dostawców wysyłki SMS i e-maili są usuwane zgodnie z ich ustawieniami, nie później niż po 30 dniach od wysłania. Kopie zapasowe tych dostawców mogą istnieć przez kolejne 30 dni.

  4. Na żądanie Administratora, złożone przed upływem terminu z ust. 2, Podmiot przetwarzający przekazuje mu dane w pliku CSV albo usuwa je wcześniej.

§ 5. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

  1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: postanowienia Regulaminu i tej Umowy, ustawienia Konta oraz działania Administratora i jego Pracowników w Usłudze (np. dodanie klienta, włączenie przypomnień). Jeśli przepis prawa nakazuje przetwarzanie w innym zakresie, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania;

  2. niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych;

  3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy. Na dzień zawarcia Umowy dostęp administracyjny do danych ma wyłącznie Podmiot przetwarzający osobiście. Podmiot przetwarzający przegląda dane konkretnego Konta tylko w zakresie niezbędnym do utrzymania Usługi i usuwania awarii albo na prośbę Administratora (wsparcie). Panel administracyjny Usługi pokazuje wyłącznie dane rozliczeniowe Kont (plan, płatności, liczniki), bez danych Klientów Użytkownika;

  4. stosuje środki bezpieczeństwa opisane w § 7;

  5. korzysta z dalszych podmiotów przetwarzających wyłącznie na zasadach z § 6;

  6. pomaga Administratorowi w realizacji praw osób, których dane dotyczą (rozdział III RODO). Administrator może samodzielnie w Usłudze przeglądać, poprawiać i trwale usuwać dane klientów. W pozostałym zakresie Podmiot przetwarzający udziela pomocy na prośbę przesłaną e-mailem. Jeśli osoba, której dane dotyczą, zwróci się bezpośrednio do Podmiotu przetwarzającego, przekazuje on jej żądanie Administratorowi;

  7. pomaga Administratorowi w wywiązywaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje;

  8. po zakończeniu świadczenia Usługi usuwa lub zwraca dane zgodnie z § 4;

  9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach z § 9.

§ 6. Dalsze podmioty przetwarzające

  1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Na dzień zawarcia Umowy są to:

    PodmiotZakresMiejsce przetwarzania
    Supabase Inc.baza danych, logowanieserwery w Irlandii (UE)
    Vercel Inc.hosting aplikacjiUE i USA
    Resend (Plus Five Five, Inc.)wysyłka e-maili do Klientów Użytkownika i PracownikówUSA, wysyłka z regionu UE (Irlandia)
    Twilio Inc.wysyłka SMS-ów do Klientów UżytkownikaUSA i UE
    LINK Mobility Poland sp. z o.o. (SMSAPI)wysyłka SMS-ów do Klientów Użytkownika (dostawca alternatywny)Polska (UE)
    MapTiler AGwyznaczanie położenia adresów na mapie (geokodowanie), mapySzwajcaria
    Zoho Corporation B.V.skrzynka e-mail do obsługi zgłoszeń, jeśli Administrator prześle w nich daneUE

  2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw. Jeśli Strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie Usługi ze skutkiem natychmiastowym, a Podmiot przetwarzający zwraca proporcjonalną część opłaty za niewykorzystany, opłacony okres.

  3. Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych odpowiadające tej Umowie, w szczególności przez akceptację ich umów powierzenia (DPA), i odpowiada wobec Administratora za ich działania jak za własne.

  4. Przekazanie danych do państwa spoza Europejskiego Obszaru Gospodarczego odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework, jeśli dany podmiot jest nią objęty) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO).

§ 7. Bezpieczeństwo danych

  1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne odpowiednie do ryzyka (art. 32 RODO), w szczególności:

    1. szyfrowanie połączeń (HTTPS);

    2. szyfrowanie danych w bazie w spoczynku, zapewniane przez dostawcę bazy danych;

    3. reguły dostępu w bazie danych, dzięki którym każda firma ma dostęp tylko do własnych danych, a Pracownik tylko do przypisanych mu zleceń;

    4. przechowywanie haseł wyłącznie w postaci zaszyfrowanego skrótu;

    5. ograniczenie dostępu administracyjnego do Podmiotu przetwarzającego;

    6. umieszczanie w wiadomościach do Klientów Użytkownika linków do strony wizyty z losowym, trudnym do odgadnięcia identyfikatorem;

    7. prowadzenie prac rozwojowych i testów na danych testowych; narzędzia programistyczne, w tym narzędzia oparte na sztucznej inteligencji, nie mają dostępu do danych produkcyjnych.

  2. Administrator odpowiada za bezpieczeństwo po swojej stronie: poufność haseł, nadawanie i odbieranie dostępu Pracownikom oraz bezpieczeństwo urządzeń, z których korzysta z Usługi.

§ 8. Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych e-mailem na adres przypisany do Konta, bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

  2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki oraz zastosowane lub proponowane środki zaradcze. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje sukcesywnie.

  3. Zgłoszenie naruszenia do Prezesa UODO i zawiadomienie osób, których dane dotyczą, należy do Administratora. Podmiot przetwarzający udziela mu w tym pomocy.

§ 9. Kontrola i audyt

  1. Podmiot przetwarzający udziela Administratorowi, na jego prośbę przesłaną e-mailem, informacji o sposobie przetwarzania danych i stosowanych zabezpieczeniach, w terminie 14 dni.

  2. Jeśli te informacje nie wystarczą, Administrator może przeprowadzić audyt sam lub przez upoważnionego audytora zobowiązanego do zachowania tajemnicy. Audyt odbywa się w pierwszej kolejności zdalnie (pytania, dokumenty, zrzuty konfiguracji). Audyt na miejscu jest możliwy tylko, jeśli audyt zdalny nie wystarczy albo wymaga go organ nadzorczy. Audyt odbywa się po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze, w sposób nieutrudniający świadczenia Usługi innym Użytkownikom i bez dostępu do danych innych Użytkowników. Audyt odbywa się nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych. Koszty audytu ponosi Administrator.

§ 10. Obowiązki Administratora

  1. Administrator oświadcza, że ma podstawę prawną do przetwarzania danych powierzanych Podmiotowi przetwarzającemu, w tym do wysyłania wiadomości do Klientów Użytkownika, i że spełnił wobec tych osób obowiązki informacyjne (art. 13–14 RODO).

  2. Administrator wprowadza do Usługi tylko dane niezbędne do celów z § 2 ust. 2.

§ 11. Odpowiedzialność

  1. Każda ze Stron odpowiada wobec osób, których dane dotyczą, na zasadach art. 82 RODO.

  2. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu tej Umowy podlega ograniczeniom z § 12 Regulaminu, w granicach dopuszczalnych przez prawo.

§ 12. Postanowienia końcowe

  1. Umowa obowiązuje przez czas świadczenia Usługi oraz do czasu usunięcia lub zwrotu danych zgodnie z § 4.

  2. Zmiany Umowy następują w trybie przewidzianym dla zmian Regulaminu (§ 16 Regulaminu), a zmiany listy dalszych podmiotów przetwarzających — w trybie § 6 ust. 2.

  3. W razie sprzeczności między Umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma Umowa.