zawarta w dniu __ _____ 20__ r. (dalej jako „Umowa") pomiędzy:
a
zwanymi dalej łącznie „Stronami" albo każda z osobna „Stroną".
Umowa jest umową powierzenia przetwarzania danych osobowych w rozumieniu art. 28 Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako „RODO").
Umowa określa zasady przetwarzania przez Procesora danych osobowych w imieniu Administratora w związku ze świadczeniem usługi ConsentBoard – Cookie Management Platform (dalej jako „ConsentBoard"), polegającej w szczególności na:
Umowa stanowi załącznik do umowy głównej dotyczącej świadczenia usługi ConsentBoard zawartej między Stronami (dalej jako „Umowa Główna").
W razie sprzeczności pomiędzy niniejszą Umową a Umową Główną, pierwszeństwo mają postanowienia Umowy w zakresie dotyczącym ochrony danych osobowych i powierzenia przetwarzania danych.
Administrator jest administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO w zakresie danych przetwarzanych w związku z korzystaniem przez użytkowników ze strony internetowej Administratora oraz z udzielaniem, odmową, zmianą lub wycofaniem zgód dotyczących cookies lub podobnych technologii.
Procesor przetwarza dane osobowe wyłącznie w imieniu Administratora, w zakresie i celu określonym w Umowie oraz Umowie Głównej.
Procesor nie decyduje samodzielnie o celach i sposobach przetwarzania danych osobowych powierzonych przez Administratora, z zastrzeżeniem technicznych i organizacyjnych środków niezbędnych do prawidłowego i bezpiecznego świadczenia usługi ConsentBoard.
Administrator odpowiada za zgodność własnej strony internetowej, stosowanych cookies, podobnych technologii, polityki prywatności, polityki cookies oraz obowiązków informacyjnych z obowiązującymi przepisami prawa.
Wyłącznym celem powierzenia danych osobowych jest świadczenie przez Procesora usługi ConsentBoard na rzecz Administratora.
Przetwarzanie danych służy w szczególności:
Procesor nie może wykorzystywać powierzonych danych do własnych celów, w szczególności do profilowania użytkowników, sprzedaży danych, marketingu własnego ani tworzenia baz danych niezwiązanych z usługą ConsentBoard.
Powierzenie dotyczy danych osób odwiedzających strony internetowe należące do Administratora albo zarządzane przez Administratora, na których wdrożono usługę ConsentBoard.
Kategorie osób mogą obejmować w szczególności użytkowników będących konsumentami, użytkowników działających w relacjach B2B, pracowników lub współpracowników kontrahentów Administratora oraz inne osoby odwiedzające stronę internetową Administratora. Procesor nie dokonuje celowego różnicowania użytkowników według powyższych kategorii i przetwarza dane wyłącznie w zakresie technicznie niezbędnym do realizacji usługi ConsentBoard.
Procesor przetwarza wyłącznie dane niezbędne do świadczenia usługi ConsentBoard i prowadzenia rejestru zgód. Strony przyjmują ostrożnościowo, że dane przetwarzane w ramach usługi ConsentBoard mogą stanowić dane osobowe w rozumieniu RODO, w szczególności ze względu na możliwość pośredniego powiązania części danych technicznych z użytkownikiem urządzenia końcowego. Procesor stosuje pseudonimizację, minimalizację danych oraz inne środki ograniczające możliwość identyfikacji użytkownika.
| Kategoria danych | Cel | Retencja |
|---|---|---|
| Techniczne dane identyfikujące wpis zgody, w tym pseudonimizowany hash | Zapisanie i odróżnienie konkretnego wpisu w rejestrze zgód, bez przechowywania pełnego adresu IP | zgodnie z § 7 |
| Dane techniczne urządzenia i przeglądarki (User-Agent) | Wykazanie warunków technicznych udzielenia zgody oraz diagnostyka usługi | zgodnie z § 7 |
| Dane dotyczące języka, kraju lub regionu (jeśli aktywne) | Wyświetlenie właściwej wersji językowej lub regionalnej banera | zgodnie z § 7 |
| Treść wyboru użytkownika dotyczącego cookies | Wykazanie, czy użytkownik udzielił zgody, odmówił, zmienił ustawienia albo wycofał zgodę | zgodnie z § 7 |
| Data i godzina dokonania wyboru | Wykazanie momentu udzielenia, odmowy, zmiany albo wycofania zgody | zgodnie z § 7 |
| Wersja banera oraz migawka jego konfiguracji | Wykazanie, jaką treść i jaką konfigurację zgód użytkownik widział w chwili wyboru | zgodnie z § 7 |
| Rodzaj akcji użytkownika (akceptacja/odmowa/zmiana/wycofanie/GPC) | Wykazanie sposobu działania użytkownika w odniesieniu do zgód | zgodnie z § 7 |
Procesor nie przechowuje w ramach standardowego rejestru zgód: pełnych adresów IP, imion i nazwisk, e-maili, numerów telefonów, PESEL/NIP/REGON, adresów zamieszkania, dat urodzenia, identyfikatorów dokumentów tożsamości, danych biometrycznych, danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO).
Przetwarzanie danych przez Procesora obejmuje w szczególności: zbieranie danych technicznych w momencie interakcji użytkownika z banerem, zapisywanie danych w rejestrze zgód, przechowywanie danych przez okres retencji, odczyt danych w celu obsługi panelu Administratora, eksport danych na żądanie Administratora, usuwanie danych zgodnie z zasadami retencji lub poleceniem Administratora, wykonywanie kopii zapasowych, prowadzenie logów technicznych i audytowych oraz zabezpieczanie danych przed nieuprawnionym dostępem, utratą, ujawnieniem lub modyfikacją.
Dane przetwarzane są przez czas obowiązywania Umowy Głównej oraz przez okres retencji określony zgodnie z niniejszym paragrafem.
Wybrany przez Administratora okres przechowywania rejestru zgód wynosi 36 miesięcy od dnia zarejestrowania danego wpisu. Usługa umożliwia wybór retencji spośród: 12, 24, 36 albo 60 miesięcy. Wybór należy do Administratora jako podmiotu decydującego o celu i zakresie przetwarzania.
Retencja rejestru zgód służy umożliwieniu Administratorowi wykazania, że zgoda została udzielona, odmówiona, zmieniona lub wycofana w określonym czasie, w odniesieniu do określonej wersji banera i konfiguracji zgód.
Procesor nie gwarantuje, że każdy okres retencji będzie odpowiedni dla każdego Administratora. Administrator powinien samodzielnie ocenić adekwatność okresu retencji.
Po upływie wybranego okresu retencji dane są usuwane lub anonimizowane w sposób uniemożliwiający ich dalsze przypisanie do wpisu zgody, z zastrzeżeniem kopii zapasowych oraz obowiązków wynikających z prawa. Procesor może stosować automatyczne mechanizmy usuwania danych, w szczególności usuwanie partycji tabel lub inne równoważne mechanizmy techniczne. Kopie zapasowe mogą być przechowywane przez okres technicznie uzasadniony, co do zasady nie dłużej niż 90 dni.
Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa Unii Europejskiej lub prawa państwa członkowskiego. Udokumentowanym poleceniem jest w szczególności: zawarcie Umowy, zawarcie Umowy Głównej, konfiguracja usługi w panelu ConsentBoard, pisemne lub elektroniczne dyspozycje Administratora dotyczące danych, wybór okresu retencji, żądanie eksportu/usunięcia/ograniczenia przetwarzania danych.
Jeżeli Procesor uzna, że polecenie Administratora narusza RODO, niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie polecenia do czasu wyjaśnienia.
Procesor zobowiązuje się przetwarzać dane osobowe zgodnie z Umową, Umową Główną, udokumentowanymi poleceniami Administratora oraz przepisami prawa. Procesor zapewnia, że osoby dopuszczone do przetwarzania danych posiadają odpowiednie upoważnienie, są zobowiązane do zachowania poufności oraz mają dostęp wyłącznie do danych niezbędnych do wykonywania powierzonych zadań. Obowiązek poufności obowiązuje także po zakończeniu współpracy.
Procesor stosuje odpowiednie środki techniczne i organizacyjne (art. 32 RODO) i wspiera Administratora w realizacji praw osób, których dane dotyczą oraz w wykonywaniu obowiązków z art. 32–36 RODO. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzenie audytu na zasadach z § 17.
Procesor oświadcza, że na dzień zawarcia Umowy stosuje środki techniczne i organizacyjne odpowiednie do charakteru, zakresu, kontekstu i celu przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych, obejmujące w szczególności:
Aktualna lista środków technicznych i organizacyjnych wskazana jest pod adresem: consentboard.com/security-measures.
Procesor może zmieniać środki techniczne i organizacyjne, pod warunkiem że zmiana nie prowadzi do istotnego obniżenia poziomu bezpieczeństwa.
Administrator odpowiada za przyjmowanie i rozpatrywanie żądań osób, których dane dotyczą. Procesor wspiera Administratora w obsłudze takich żądań w zakresie, w jakim dotyczą one danych przetwarzanych w ramach usługi ConsentBoard, w szczególności poprzez: eksport danych z rejestru zgód, wyszukanie wpisów według dostępnych identyfikatorów technicznych, usunięcie lub ograniczenie przetwarzania wpisów, udzielenie informacji o wersji banera/migawce/historii działań, potwierdzenie mechanizmu wycofania zgody.
Jeżeli osoba zwróci się bezpośrednio do Procesora, Procesor przekaże takie żądanie Administratorowi bez zbędnej zwłoki.
Procesor nie dokonuje sprostowania treści historycznego dowodu zgody poprzez zmianę pierwotnego wpisu — system zapisuje nową akcję (zmiana ustawień, wycofanie zgody) z zachowaniem historii.
Administrator zobowiązuje się korzystać z usługi ConsentBoard zgodnie z Umową, instrukcją wdrożenia, dokumentacją techniczną oraz przepisami prawa. Odpowiada w szczególności za prawidłowe określenie celów i podstaw prawnych przetwarzania danych na swojej stronie, prawidłową treść polityki prywatności i polityki cookies, prawidłową konfigurację kategorii cookies, prawidłową instalację skryptu, zapewnienie że narzędzia analityczne/marketingowe nie są uruchamiane przed uzyskaniem wymaganej zgody, aktualizację listy narzędzi i dostawców, wybór odpowiedniego okresu retencji oraz realizację obowiązków informacyjnych.
Administrator nie powinien używać usługi ConsentBoard do obchodzenia przepisów o zgodach, gromadzenia danych bez podstawy prawnej, deanonimizowania użytkowników wbrew prawu, przesyłania danych nadmiarowych ani wykorzystywania kanału technicznego do celów innych niż obsługa zgód.
Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (dalej „Subprocesorzy"), w zakresie niezbędnym do świadczenia usługi ConsentBoard. Aktualna lista Subprocesorów wskazana jest pod adresem: consentboard.com/subprocessors.
Procesor zobowiązuje się zapewnić, aby Subprocesorzy przetwarzali dane wyłącznie w zakresie niezbędnym do świadczenia usług na rzecz Procesora i zostali zobowiązani do ochrony danych w sposób nie mniej rygorystyczny niż wynikający z Umowy. Procesor ponosi wobec Administratora odpowiedzialność za działania Subprocesorów.
Procesor poinformuje Administratora o planowanej zmianie (dodaniu/zastąpieniu Subprocesora) z co najmniej 30-dniowym wyprzedzeniem. Administrator może zgłosić sprzeciw w terminie 7 dni od otrzymania informacji — brak sprzeciwu uznaje się za akceptację. W razie sprzeciwu Strony podejmą próbę uzgodnienia rozwiązania alternatywnego.
Główna infrastruktura przechowywania rejestru zgód znajduje się na terytorium EOG, chyba że Strony uzgodnią inaczej i zostaną spełnione wymogi RODO dotyczące transferów. Jeżeli w ramach świadczenia usługi dochodzi do przekazywania danych poza EOG, Procesor zapewnia zastosowanie odpowiedniego mechanizmu (decyzja KE, SCC, dodatkowe środki techniczne/organizacyjne, inne mechanizmy RODO).
W przypadku korzystania z usług dostawców z USA (CDN, narzędzia AI, ochrona aplikacji), Procesor weryfikuje właściwą podstawę transferu — w szczególności DPA dostawcy, SCC oraz ewentualną certyfikację EU-U.S. DPF.
W przypadku korzystania z narzędzi AI do klasyfikacji nieznanych cookies, Procesor ogranicza zakres przekazywanych informacji do danych technicznych (nazwa cookie, domena, opis). Do narzędzi AI nie są przekazywane: pełne adresy IP, pseudonimizowane identyfikatory zgód, User-Agent, pełne logi zgód, dane kontaktowe, dane szczególnych kategorii, pełne adresy URL z parametrami identyfikującymi.
| Subprocesor | Cel | Lokalizacja | Uwagi |
|---|---|---|---|
| OVH Polska sp. z o.o. | Hosting fizyczny serwerów + storage backupów | Polska (EOG) | DPA OVH https://www.ovhcloud.com/pl/personal-data-protection/ |
| Hetzner Online GmbH | Hosting (backup / overflow) | Niemcy (EOG) | DPA Hetzner https://www.hetzner.com/legal/ |
| BunnyWay d.o.o. (BunnyCDN) | CDN dla skryptów statycznych cmp.js | Słowenia, PoP-y w UE | DPA https://bunny.net/dpa/ |
| Cloudflare Inc. | Zapora WAF (opcjonalne, dla wybranych klientów) | USA + globalne EU PoP-y | SCC + Data Privacy Framework |
| Anthropic PBC | Claude API dla klasyfikacji nieznanych cookies (LLM) | USA | SCC + DPF. Przesyłane są WYŁĄCZNIE nazwy cookies + domeny vendor — NIGDY dane osobowe użytkowników |
Procesor po stwierdzeniu naruszenia powiadamia Administratora bez zbędnej zwłoki, nie później niż w terminie 48 godzin od stwierdzenia. Powiadomienie zawiera (w miarę dostępności): opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, kategorie i liczbę wpisów, możliwe konsekwencje, środki zaradcze, dane punktu kontaktowego. Procesor współpracuje z Administratorem przy ocenie naruszenia, zgłoszeniu organowi nadzorczemu i zawiadomieniu osób.
Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO. Administrator ma prawo przeprowadzić audyt nie częściej niż raz na 12 miesięcy, po uprzednim poinformowaniu z 30-dniowym wyprzedzeniem, bez dodatkowych kosztów. Częstszy audyt — wyłącznie w przypadku stwierdzenia naruszenia, podejrzenia naruszenia Umowy lub żądania organu nadzorczego (koszty po stronie Administratora).
Audyt prowadzony jest w sposób proporcjonalny, w pierwszej kolejności w formie zdalnej (ankieta, dokumentacja, spotkanie on-line, demonstracja, streszczenie raportu bezpieczeństwa, lista Subprocesorów, opis TOM). Osoby prowadzące audyt zobowiązane są do poufności.
Procesor współpracuje z Administratorem w przypadku kontroli, zapytania lub postępowania prowadzonego przez Prezesa UODO albo inny właściwy organ. Jeżeli organ zwróci się bezpośrednio do Procesora w sprawie dotyczącej Administratora, Procesor poinformuje Administratora bez zbędnej zwłoki (chyba że prawo zabrania). Procesor udostępnia organowi informacje wyłącznie w zakresie wymaganym przepisami lub poleceniem organu.
Procesor odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełnił obowiązków z RODO albo działał wbrew Umowie. Administrator odpowiada za zgodność własnej strony, technologii, treści komunikatów, podstaw prawnych przetwarzania oraz konfiguracji usługi z prawem.
Odpowiedzialność Procesora wobec Administratora z tytułu Umowy może zostać ograniczona do wysokości wynagrodzenia netto zapłaconego za usługę ConsentBoard za okres 12 miesięcy poprzedzających zdarzenie. Ograniczenie nie ma zastosowania w razie umyślnego naruszenia, rażącego niedbalstwa, naruszenia poufności, działania poza udokumentowanymi poleceniami oraz w zakresie niedopuszczalnym przez bezwzględnie obowiązujące przepisy.
Procesor nie odpowiada za naruszenia wynikające z nieprawidłowej instalacji ConsentBoard, uruchamiania narzędzi wymagających zgody przed jej uzyskaniem, stosowania cookies poza systemem ConsentBoard, nieaktualnej polityki prywatności/cookies Administratora, usunięcia/wyłączenia/obejścia ConsentBoard przez Administratora, działań osób trzecich w infrastrukturze Administratora oraz poleceń Administratora wykonanych zgodnie z ich treścią.
Umowa obowiązuje przez czas obowiązywania Umowy Głównej. Po zakończeniu Procesor zaprzestaje przyjmowania nowych wpisów zgód z domen Administratora, chyba że Strony uzgodnią okres przejściowy.
Zgodnie z decyzją Administratora Procesor: usuwa dane, zwraca je w uzgodnionym formacie, lub utrzymuje historyczny rejestr przez uzgodniony okres retencji. Jeżeli Administrator nie wyda dyspozycji w terminie 30 dni od zakończenia Umowy Głównej, przyjmuje się że Procesor może przechowywać historyczny rejestr do końca wybranego okresu retencji, a następnie dane usunąć.
Zmiany Umowy wymagają formy dokumentowej. Aktualizacja listy Subprocesorów może nastąpić w trybie § 13 bez aneksu. Aktualizacja środków technicznych i organizacyjnych może nastąpić bez aneksu, pod warunkiem że nie prowadzi do istotnego obniżenia poziomu bezpieczeństwa.
Zmiana danych kontaktowych nie wymaga aneksu — jest skuteczna z chwilą doręczenia drugiej Stronie informacji o zmianie.
W sprawach nieuregulowanych Umową zastosowanie mają RODO, ustawa o ochronie danych osobowych, ustawa – Prawo komunikacji elektronicznej, Kodeks cywilny oraz inne właściwe przepisy. Umowa podlega prawu polskiemu. Sądem właściwym jest sąd zgodny z Umową Główną, a w jej braku — sąd właściwy dla siedziby Procesora. Umowa może zostać zawarta w formie pisemnej, elektronicznej albo dokumentowej.