Umowa powierzenia przetwarzania danych osobowych Formendi

Wersja: dpa-2026-10-09. Data wejścia w życie: data zaakceptowania tego dokumentu przez upoważnioną osobę.

1. Strony, zakres i pierwszeństwo

Niniejsza umowa powierzenia stanowi część Warunków korzystania z Formendi obowiązujących między klientem wskazanym w zapisie akceptacji („Klient”) a Glavrio, UAB, kod spółki 307648878, z siedzibą na Litwie, adres siedziby zgodnie z wpisem w litewskim Rejestrze Osób Prawnych pod kodem 307648878, adres kontaktowy info@formendi.com („Formendi”).

Ma ona zastosowanie do danych osobowych przetwarzanych przez Formendi w imieniu Klienta w przestrzeni roboczej („Dane osobowe Klienta”). Klient jest administratorem, a Formendi – jego podmiotem przetwarzającym. Jeżeli Klient sam jest podmiotem przetwarzającym, potwierdza, że posiada upoważnienie właściwego administratora do powierzenia Formendi roli dalszego podmiotu przetwarzającego i przekazywania zgodnych z prawem poleceń. Niniejsze postanowienia stosuje się odpowiednio do takiego łańcucha powierzenia.

Działania, w których Formendi występuje jako niezależny administrator, takie jak administrowanie kontami oraz prowadzenie własnej dokumentacji w zakresie bezpieczeństwa i spraw prawnych, opisano w Polityce prywatności. Role stron zależą od faktycznego przetwarzania, a nie wyłącznie od określenia użytego w niniejszej umowie. W odniesieniu do Danych osobowych Klienta niniejsza umowa powierzenia ma pierwszeństwo przed sprzecznymi z nią ogólnymi Warunkami korzystania; mające zastosowanie standardowe klauzule umowne dotyczące przekazywania danych mają, w wymaganym zakresie, pierwszeństwo przed obydwoma tymi dokumentami.

2. Polecenia przetwarzania i obowiązki Klienta

Przedmiot, charakter, cele i czas trwania przetwarzania, kategorie danych oraz kategorie osób, których dane dotyczą, określono w załączniku A. Warunki korzystania, niniejsza umowa powierzenia, włączone ustawienia oraz działania wykonane po uwierzytelnieniu stanowią udokumentowane polecenia. Dodatkowe polecenia muszą być zgodne z prawem i mieścić się w zakresie uzgodnionej usługi albo zostać odrębnie uzgodnione na piśmie.

Formendi przetwarza Dane osobowe Klienta wyłącznie na podstawie tych poleceń, również w odniesieniu do przekazywania danych, chyba że prawo Unii lub prawo państwa członkowskiego stanowi inaczej. Jeżeli prawo na to zezwala, Formendi informuje Klienta przed rozpoczęciem przetwarzania wymaganego takim prawem. Formendi niezwłocznie informuje Klienta, jeżeli polecenie wydaje się naruszać obowiązujące przepisy o ochronie danych, i może wstrzymać wykonanie tego polecenia do czasu wyjaśnienia sprawy.

Klient określa podstawę prawną przetwarzania, realizuje wymagane obowiązki informacyjne, ogranicza dane do niezbędnych oraz zarządza użytkownikami i odbiorcami. Klient nie może przekazywać kategorii danych wyłączonych w załączniku A. Obowiązki te nie zwalniają Formendi z jej własnych obowiązków ustawowych.

Formendi nie sprzedaje Danych osobowych Klienta, nie wykorzystuje ich do własnych celów reklamowych ani do trenowania modeli AI ogólnego przeznaczenia.

3. Poufność i bezpieczeństwo

Formendi zapewnia dostęp wyłącznie upoważnionym osobom, które go potrzebują i są zobowiązane do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności. Formendi wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka związanego z przetwarzaniem zgodnie z art. 32 RODO, w tym minimalne zabezpieczenia określone w załączniku B.

Środki mogą być ulepszane, o ile nie prowadzi to do istotnego obniżenia ogólnego poziomu ochrony. Formendi przekazuje, w zakresie rozsądnie niezbędnym, informacje o istotnych zmianach mających wpływ na zapewnienie przez Klienta zgodności z przepisami.

4. Dalsze podmioty przetwarzające

Klient udziela ogólnej pisemnej zgody na korzystanie z dalszych podmiotów przetwarzających wskazanych w aktualnym rejestrze dostawców usług w określonych tam celach. Formendi nakłada na każdy dalszy podmiot przetwarzający obowiązki w zakresie ochrony danych równoważne w istotnym zakresie i ponosi wobec Klienta odpowiedzialność za wywiązywanie się przez ten podmiot z jego obowiązków, zgodnie z art. 28 ust. 4 RODO.

Formendi z co najmniej 30-dniowym wyprzedzeniem powiadamia na piśmie o zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego, wskazując usługę, lokalizację i zabezpieczenia. Klient może w terminie 14 dni wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych. Strony dążą do praktycznego rozwiązania; jeżeli nie zostanie ono osiągnięte, przetwarzanie, którego to dotyczy, nie może się rozpocząć, a każda ze stron może zakończyć świadczenie danej usługi, z zapewnieniem możliwości eksportu lub zwrotu danych. Milczenie nie oznacza zgody na nowe, niezależne wykorzystanie danych.

Rejestr wskazuje również przetwarzanie, którego dostawcy dokonują odrębnie jako administratorzy; niniejsze postanowienie nie przekształca takiego przetwarzania w przetwarzanie na polecenie Klienta.

5. Pomoc i żądania

Uwzględniając okoliczności przetwarzania i dostępne informacje, Formendi pomaga, za pomocą odpowiednich środków technicznych i organizacyjnych, w realizacji żądań dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu. Formendi niezwłocznie przekazuje Klientowi żądanie dotyczące Danych osobowych Klienta i bez poleceń Klienta nie udziela na nie merytorycznej odpowiedzi w jego imieniu, chyba że wymaga tego prawo.

Formendi pomaga również Klientowi, w wymaganym zakresie, w wywiązywaniu się z obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organami nadzorczymi. Zwykła pomoc wynikająca z niniejszej umowy powierzenia jest objęta usługą; ewentualna dodatkowa opłata za pomoc o wyjątkowym charakterze musi być rozsądna i uzgodniona z góry oraz nie może uniemożliwiać udzielenia pomocy wymaganej przepisami prawa.

6. Naruszenia ochrony danych osobowych

Formendi powiadamia Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta, dążąc do przekazania wstępnego powiadomienia w ciągu 24 godzin. Formendi nie czeka z powiadomieniem na zakończenie postępowania wyjaśniającego.

Powiadomienie zawiera dostępne informacje o naruszeniu, kategoriach i przybliżonej liczbie osób oraz wpisów danych, których dotyczy naruszenie, prawdopodobnych konsekwencjach, działaniach podjętych w celu ograniczenia i usunięcia naruszenia oraz punkcie kontaktowym. Brakujące informacje mogą być przekazywane etapami bez zbędnej zwłoki. Formendi wyjaśnia okoliczności naruszenia, zabezpiecza niezbędne dowody, ogranicza szkody i współpracuje z Klientem. Klient decyduje o dokonywaniu zgłoszeń i zawiadomień jako administrator, co nie ogranicza ustawowych obowiązków Formendi w zakresie zgłaszania.

7. Międzynarodowe przekazywanie danych

Formendi nie przekazuje Danych osobowych Klienta poza EOG bez zgodnych z prawem poleceń i ważnego mechanizmu przewidzianego w rozdziale V RODO. Odpowiednie lokalizacje i zabezpieczenia wskazano w rejestrze. W wymaganych przypadkach przed przekazaniem muszą zostać wdrożone odpowiednie klauzule dotyczące przekazywania danych przyjęte przez Komisję, oceny oraz środki uzupełniające.

Sama lokalizacja hostingu w UE nie przesądza, że całe przetwarzanie związane z siecią, wsparciem technicznym lub dalszymi podmiotami przetwarzającymi odbywa się w EOG. Eksporty lub integracje zewnętrzne inicjowane przez Klienta wymagają odrębnego, zgodnego z prawem ujawnienia danych oraz jasnej uprzedniej informacji.

8. Zwrot i usunięcie danych

W trakcie świadczenia usługi Klient może korzystać z dostępnych eksportów autoryzowanych przez właściciela. Po zakończeniu świadczenia usługi Klient może wybrać zwrot danych w obsługiwanym formacie eksportu, a następnie ich usunięcie, albo usunięcie bez zwrotu. Zwykły zwrot lub usunięcie danych są objęte usługą.

W przypadku żądania zmiany dostawcy, przed rozpoczęciem biegu terminu usunięcia stosuje się okres przejściowy i chroniony okres pobierania danych określone w punkcie 12 Warunków korzystania. Dostęp w okresie pobierania danych jest ograniczony do autoryzowanego eksportu; zwykły dostęp i publiczne udostępnianie kończą się zgodnie z tamtymi postanowieniami. Bezwzględnie obowiązujące wymogi dotyczące zmiany dostawcy i usuwania danych mają pierwszeństwo przed sprzecznym z nimi harmonogramem określonym w niniejszej umowie powierzenia.

Po potwierdzeniu zamknięcia dostęp, publiczna publikacja i aktywne linki dostępowe zostają cofnięte. Dane osobowe Klienta są usuwane z aktywnych systemów w ciągu 30 dni, a wcześniej, jeżeli jest to wymagane. Kopie zapasowe o ograniczonym dostępie wygasają w ciągu kolejnych 30 dni; w tym okresie są odizolowane od zwykłego przetwarzania, a w przypadku odtworzenia danych usunięcie jest stosowane ponownie, zanim odtworzone dane staną się dostępne.

Dłużej mogą być przechowywane wyłącznie dane, których przechowywanie jest wymagane przepisami prawa, przy ograniczonym dostępie i wykorzystaniu ograniczonym do realizacji tego wymogu; jeżeli jest to dozwolone, Formendi wyjaśnia podstawę takiego przechowywania. Na żądanie Formendi potwierdza wykonanie mających zastosowanie etapów usuwania. Żaden eksport nie umożliwia wycofania kopii będących już w posiadaniu niezależnych odbiorców.

9. Informacje, audyt i zgodność z przepisami

Formendi udostępnia informacje niezbędne do wykazania zgodności z przepisami oraz umożliwia Klientowi lub upoważnionemu przez Klienta niezależnemu audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. W pierwszej kolejności, jeżeli jest to wystarczające, można wykorzystać dokumentację lub odpowiednie niezależne potwierdzenie zgodności, nie mogą one jednak zastąpić niezbędnego prawa do audytu.

Organizacja rutynowych audytów powinna uwzględniać rozsądny termin uprzedzenia, poufność oraz środki chroniące innych klientów. Częstotliwość, zakres i koszty audytów muszą być proporcjonalne. Ustalenia te nie ograniczają uprawnień organu nadzorczego, pilnego postępowania wyjaśniającego w związku z incydentem ani obowiązkowego dostępu przewidzianego przepisami prawa.

10. Odpowiedzialność i okres obowiązywania

Każda ze stron pozostaje odpowiedzialna za obowiązki, które jej dotyczą. Postanowienia Warunków korzystania dotyczące odpowiedzialności mają zastosowanie wyłącznie w zakresie dopuszczalnym przez prawo i w żadnym wypadku nie wyłączają bezwzględnie obowiązującej odpowiedzialności w zakresie ochrony danych, praw osób, których dane dotyczą, ani ustawowej odpowiedzialności Formendi za dalsze podmioty przetwarzające. Niniejsza umowa powierzenia obowiązuje do czasu zwrotu lub usunięcia Danych osobowych Klienta albo do zakończenia wymaganego przepisami prawa przechowywania danych z ograniczonym dostępem.

Załącznik A – opis przetwarzania

• Przedmiot przetwarzania: hostowana przestrzeń robocza do profesjonalnego zarządzania projektami.
• Charakter przetwarzania i operacje: zbieranie zgodnie z poleceniami, organizowanie, przechowywanie, pobieranie, obliczenia, generowanie raportów, ujawnianie na podstawie uprawnień, publikacja lub eksport wybrane przez Klienta oraz usuwanie.
• Cele przetwarzania: zapewnienie funkcji budżetów, kosztów i zamówień, harmonogramów, zarządzania klientami i dostawcami, ankiet, współpracy, wiadomości oraz raportów lub publikacji inicjowanych przez Klienta.
• Czas trwania przetwarzania: okres relacji usługowej oraz ograniczony okres zwrotu, usuwania danych i przechowywania kopii zapasowych, o którym mowa w punkcie 8.
• Kategorie osób, których dane dotyczą: pracownicy i współpracownicy Klienta, klienci i potencjalni klienci, dostawcy i wykonawcy oraz ich przedstawiciele, respondenci ankiet i odbiorcy wiadomości.
• Kategorie danych: imiona i nazwiska, dane służbowe i kontaktowe, lokalizacje i identyfikatory projektów, jeżeli zostały wprowadzone, odniesienia do budżetów, faktur i płatności oraz kwoty powiązane z osobami, daty zadań, komunikacja, preferencje zawodowe i istotne notatki projektowe.
• Dane wyłączone: szczególne kategorie danych, o których mowa w art. 9 RODO, dane dotyczące wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO, kopie dokumentów tożsamości, hasła do innych usług oraz pełne dane kart płatniczych. Nie należy wprowadzać zbędnych danych dotyczących dzieci ani członków gospodarstwa domowego.
• Identyfikacja administratora i dane kontaktowe: Klient i jego upoważniony przedstawiciel wskazani w momencie akceptacji; dane aktualizowane w ramach uwierzytelnionego administrowania kontem. Klient działający jako podmiot przetwarzający wskazuje na żądanie właściwego administratora, jeżeli jest to niezbędne do zapewnienia zgodności z przepisami.
• Dalsze podmioty przetwarzające, lokalizacje przetwarzania i zasady przekazywania danych: aktualna wersja rejestru dostawców, włączona do niniejszej umowy w zakresie wymienionych w nim usług.

Załącznik B – minimalne środki bezpieczeństwa

Formendi utrzymuje następujące środki:

1. Kontrolę dostępu opartą na ocenie ryzyka, zasadę minimalnych uprawnień, uwierzytelniony indywidualny dostęp, autoryzację na poziomie projektu i przestrzeni roboczej oraz niezwłoczne odbieranie dostępu.
2. Obowiązki zachowania poufności przez personel oraz udokumentowany, ograniczony dostęp w celach wsparcia i administracji.
3. Szyfrowaną transmisję sieciową z weryfikowanym protokołem TLS do serwera źródłowego; bezpieczną obsługę sesji, ochronę przed atakami CSRF i kontrolę nagłówka Origin oraz zabezpieczenia danych wejściowych i wyjściowych aplikacji.
4. Ochronę przechowywanych danych i szyfrowane kopie zapasowe z kontrolą kluczy i dostępu; wykluczenie treści produkcyjnych z publicznego kodu, logów i danych testowych.
5. Kopie zapasowe umożliwiające odtworzenie danych, okresowe testy odtwarzania, wygasanie kopii po upływie określonego czasu oraz ponowne wykonanie poleceń usunięcia danych po odtworzeniu.
6. Zarządzanie podatnościami i aktualizacjami, rejestrowanie zdarzeń ograniczone do niezbędnych danych oraz wykrywanie i eskalację incydentów.
7. Procedurę reagowania na naruszenia oraz pomoc w realizacji żądań dotyczących praw, ocenach skutków i wymaganych konsultacjach z organami.
8. Rejestr przetwarzania i dalszych podmiotów przetwarzających, kontrolę przekazywania danych, udokumentowane zasady przechowywania oraz okresowy przegląd tych środków.

Środki te dotyczą poufności, integralności, dostępności i odporności. Niniejszy załącznik nie oznacza certyfikacji, szyfrowania end-to-end ani zobowiązania, że konto danego klienta jest chronione uwierzytelnianiem wieloskładnikowym (MFA), chyba że funkcja ta jest wyraźnie oferowana.