Przetestuj za darmo

Umowa powierzenia przetwarzania danych (DPA)

Wersja 1.0, obowiązuje od: 8 listopada 2026 r. Załącznik do Regulaminu KDMigrator.

§ 1. Strony i zawarcie

  1. Administrator – Klient serwisu KDMigrator (kdmigrator.pl), którego dane identyfikacyjne znajdują się na koncie i w zamówieniu.
  2. Podmiot przetwarzający – KDWEB Kasper Dolczewski, ul. Kryłowa 5, 60-195 Poznań (adres do korespondencji: ul. Półwiejska 14/4, 61-888 Poznań), NIP 7792142735, REGON 300604852, e-mail cms@kdweb.pl (dalej: „KDWEB”).
  3. Umowa (dalej: „DPA”) jest zawierana na podstawie art. 28 RODO jako załącznik do Regulaminu, z chwilą zapisania przez Administratora pierwszych danych dostępowych w panelu Serwisu albo złożenia zamówienia – zależnie od tego, co nastąpi wcześniej. Osoba dokonująca tych czynności oświadcza, że jest umocowana do działania w imieniu Administratora.
  4. W sprawach powierzonego przetwarzania DPA ma pierwszeństwo przed Regulaminem.

§ 2. Przedmiot, cel i czas trwania

  1. Administrator powierza KDWEB przetwarzanie danych osobowych opisanych w Załączniku A, wyłącznie w celu świadczenia usług Serwisu (migracja danych między sklepami Administratora, utrzymanie połączeń, diagnostyka i wsparcie techniczne zlecone przez Administratora).
  2. Przetwarzanie obejmuje wyłącznie operacje wynikające z usługi i poleceń Administratora: przechowywanie danych dostępowych, przekazywanie tymczasowych tokenów do Dodatku Administratora, odczyt i zapis danych produktów, a w ramach zleconego wsparcia – wgląd w dane w sklepach Administratora.
  3. DPA obowiązuje przez czas, w którym KDWEB przetwarza dane w imieniu Administratora, a następnie do czasu usunięcia danych zgodnie z § 10.

§ 3. Polecenia Administratora

  1. KDWEB przetwarza dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państw trzecich, chyba że obowiązek wynika z prawa – wtedy, o ile to dozwolone, informuje Administratora przed przetwarzaniem.
  2. Udokumentowanym poleceniem jest: akceptacja Regulaminu i DPA, konfiguracja i uruchomienie operacji w panelu Serwisu lub w Dodatku, zgłoszenie wsparcia albo inna instrukcja przesłana e-mailem.
  3. KDWEB niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy.
  4. KDWEB nie wykorzystuje powierzonych danych do własnych celów, w szczególności do marketingu ani profilowania klientów sklepów.

§ 4. Poufność

Do danych mają dostęp wyłącznie osoby upoważnione przez KDWEB, którym jest to niezbędne do świadczenia usługi i które zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności – także po zakończeniu współpracy.

§ 5. Bezpieczeństwo

KDWEB stosuje środki techniczne i organizacyjne zgodnie z art. 32 RODO, opisane w Załączniku B, i aktualizuje je stosownie do ryzyka.

§ 6. Dalsze powierzenie

  1. Administrator udziela ogólnej zgody na korzystanie przez KDWEB z podprocesorów wymienionych w Załączniku C.
  2. O zamiarze dodania lub zmiany podprocesora KDWEB informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może zakończyć korzystanie z Serwisu i żądać usunięcia danych.
  3. KDWEB nakłada na podprocesorów obowiązki ochrony danych nie mniej rygorystyczne niż w DPA i odpowiada za ich wykonanie zgodnie z art. 28 ust. 4 RODO.

§ 7. Transfer poza EOG

KDWEB nie przekazuje powierzonych danych poza Europejski Obszar Gospodarczy. Ewentualny transfer wymaga polecenia Administratora i podstawy z rozdziału V RODO.

§ 8. Współpraca i prawa osób

  1. Uwzględniając charakter przetwarzania, KDWEB pomaga Administratorowi w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32–36 RODO.
  2. Żądania osób, które trafią bezpośrednio do KDWEB, są niezwłocznie przekazywane Administratorowi.

§ 9. Naruszenia ochrony danych

  1. KDWEB zawiadamia Administratora o naruszeniu ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu – w miarę możliwości w ciągu 24 godzin – na adres e-mail konta.
  2. Zawiadomienie zawiera dostępne informacje: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe skutki, podjęte i proponowane środki oraz dane kontaktowe. Brakujące informacje KDWEB przekazuje etapami.
  3. Decyzję o zgłoszeniu naruszenia do Prezesa UODO i zawiadomieniu osób podejmuje Administrator; KDWEB współpracuje przy wyjaśnianiu i ograniczaniu skutków.

§ 10. Zakończenie przetwarzania

  1. Po zakończeniu świadczenia usług KDWEB usuwa powierzone dane (w tym dane dostępowe), chyba że prawo nakazuje ich przechowywanie. Administrator może sam usunąć zapisane sklepy w panelu albo zażądać usunięcia konta na cms@kdweb.pl.
  2. Dane usunięte z systemu mogą pozostawać w kopiach zapasowych hostingu do czasu ich nadpisania w cyklu rotacji kopii; w tym czasie nie są używane.
  3. Na żądanie Administratora KDWEB potwierdza usunięcie danych.
  4. DPA nie dotyczy danych, które KDWEB przetwarza jako odrębny administrator (konto, zamówienia, faktury, korespondencja).

§ 11. Informacje i audyty

  1. KDWEB udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
  2. KDWEB umożliwia Administratorowi lub upoważnionemu audytorowi przeprowadzanie audytów, w tym inspekcji. Strony uzgadniają termin (co do zasady z 14-dniowym wyprzedzeniem) i zasady poufności, w sposób nieutrudniający wykonania tego prawa.

§ 12. Odpowiedzialność i postanowienia końcowe

  1. Strony odpowiadają na zasadach wynikających z RODO i innych przepisów. Ograniczenia odpowiedzialności z Regulaminu obowiązują tylko w zakresie prawnie dopuszczalnym i nie ograniczają praw osób, których dane dotyczą, ani uprawnień organu nadzorczego.
  2. DPA nie oznacza przejęcia przez KDWEB odpowiedzialności za bezpieczeństwo sklepów i infrastruktury Administratora.
  3. Zmiany DPA wymagają poinformowania Administratora z co najmniej 14-dniowym wyprzedzeniem. W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego.

Załącznik A – opis powierzonego przetwarzania

  • Charakter i cel: świadczenie usług migracji danych między sklepami Administratora (Shoper, WooCommerce), utrzymanie połączeń, diagnostyka i wsparcie techniczne zlecone przez Administratora.
  • Operacje: przechowywanie zaszyfrowanych danych dostępowych; wydawanie tymczasowych tokenów API Dodatkowi zainstalowanemu w sklepie Administratora; odczyt, przekształcanie i zapis danych produktów; w ramach zleconego wsparcia – wgląd w dane w sklepach Administratora.
  • Kategorie osób: klienci sklepu Administratora (w tym odbiorcy przesyłek), osoby kontaktowe kontrahentów, osoby wymienione w treściach produktów (np. autorzy, producenci).
  • Rodzaje danych: dane, do których dostęp dają dane dostępowe: imię i nazwisko, e-mail, telefon, adresy rozliczeniowe i dostawy, NIP, identyfikatory klientów, dane zamówień; dane osobowe zawarte w danych produktów. Szczególne kategorie danych nie są objęte powierzeniem.
  • Czego nie obejmuje: treść danych klientów i zamówień przenoszona przez Dodatek bezpośrednio między sklepami Administratora nie trafia na serwer KDWEB.
  • Miejsce przetwarzania: serwer Serwisu w infrastrukturze LH.pl sp. z o.o. w Polsce.

Załącznik B – środki bezpieczeństwa

  1. Komunikacja z API sklepów i Dodatkiem wyłącznie przez HTTPS (z wyjątkiem środowisk lokalnych Administratora).
  2. Szyfrowanie danych dostępowych i tokenów w bazie danych algorytmem AES-256-GCM z losowym wektorem i uwierzytelnieniem; klucz szyfrujący przechowywany poza bazą danych, z możliwością rotacji.
  3. Maskowanie haseł, tokenów i kluczy w dziennikach Serwisu.
  4. Dostęp administracyjny do serwera ograniczony do osób upoważnionych przez KDWEB; uwierzytelnianie hasłem; operacje w panelu Klienta chronione kontrolą uprawnień i tokenami nonce.
  5. Dodatek: żądania serwera podpisywane HMAC, adres API Shopera przypięty w sklepie Administratora (zmianę zatwierdza administrator sklepu), operacje wrażliwe tylko dla administratora sklepu, dziennik bez adresów e-mail z retencją 30 dni, wysyłka e-maili do klientów wstrzymana w czasie importu.
  6. Kopie zapasowe serwera wykonywane w ramach usługi hostingowej LH.pl i nadpisywane cyklicznie.
  7. Aktualizacje oprogramowania i reagowanie na zgłoszenia bezpieczeństwa (cms@kdweb.pl).
  8. Okresy przechowywania: dane dostępowe – do usunięcia sklepu w panelu lub usunięcia konta; powiązania produktów i dziennik migracji – do usunięcia konta; kopie zapasowe – do nadpisania w cyklu rotacji.

Załącznik C – podprocesorzy

Podmiot Usługa Miejsce przetwarzania Transfer poza EOG
LH.pl sp. z o.o., Poznań hosting serwera Serwisu, baza danych, kopie zapasowe Polska nie

Operator płatności i system fakturowy nie mają dostępu do danych powierzonych – działają wyłącznie w zakresie danych zamówień Serwisu.