Umowa powierzenia przetwarzania danych osobowych

Artykuł 1. Strony i zawarcie umowy

Administratorem jest klient usługi SFERIN, czyli usługodawca noclegowy, który przez swoją stronę przyjmuje rezerwacje i prowadzi meldunek gości. Podmiotem przetwarzającym jest WebiSfer s. r. o., Talinská 2388/9, 040 12 Košice – mestská časť Nad jazerom, Słowacja, numer identyfikacyjny (IČO) 57 475 687, wpisana do rejestru handlowego Sądu Miejskiego w Koszycach (Obchodný register Mestského súdu Košice), sekcja Sro, wpis nr 65153/V, kontakt info@sferin.sk.

Umowę zawieramy na podstawie art. 28 ust. 3 rozporządzenia (UE) 2016/679 (dalej „RODO”). Zostaje zawarta razem z umową o świadczenie usługi SFERIN, czyli z chwilą akceptacji Regulaminu przy zamówieniu, i stanowi jego część. Obowiązuje przez czas trwania umowy o świadczenie usługi, a następnie do usunięcia lub zwrotu danych zgodnie z artykułem 9. W sprawach ochrony danych osobowych niniejsza umowa ma pierwszeństwo przed Regulaminem.

Artykuł 2. Przedmiot, charakter i cel przetwarzania

Podmiot przetwarzający przetwarza dane osobowe w imieniu administratora wyłącznie w celu prowadzenia jego strony z systemem rezerwacji, a mianowicie w następujących celach:

prowadzenie strony internetowej i formularza rezerwacji,
przyjmowanie rezerwacji i zapytań o rezerwację oraz zarządzanie nimi,
prowadzenie ewidencji gości (meldunku), w tym online check-in, w zakresie wymaganym przez przepisy obowiązujące w miejscu położenia obiektu,
przygotowanie zestawień do opłaty miejscowej dla gminy, jeśli gmina ją pobiera,
wysyłanie e-maili do gości (potwierdzenie rezerwacji, faktura zaliczkowa, informacje o pobycie).

Przetwarzanie polega w szczególności na zbieraniu danych przez formularze na stronie, ich przechowywaniu w bazie danych, wyświetlaniu w panelu administracyjnym, wysyłaniu e-maili i przygotowywaniu zestawień. Dane nie są wykorzystywane do innych celów, na przykład do marketingu podmiotu przetwarzającego.

Artykuł 3. Kategorie danych i osób, których dane dotyczą

Osoby, których dane dotyczą: goście obiektu oraz osoby składające zapytanie o rezerwację lub rezerwację.

Kategorie danych osobowych:

dane identyfikacyjne: imię i nazwisko, data i miejsce urodzenia, obywatelstwo,
dane kontaktowe: e-mail, telefon, adres zamieszkania,
dane z dokumentu tożsamości: rodzaj i numer dokumentu,
w przypadku cudzoziemców dane, które usługodawca zbiera zgodnie z przepisami dotyczącymi pobytu cudzoziemców obowiązującymi w miejscu położenia obiektu, na przykład numer i ważność wizy oraz cel pobytu,
dane rezerwacji: termin pobytu, liczba gości, cena, płatności, uwagi i korespondencja z gościem.

Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO nie są przetwarzane.

Artykuł 4. Polecenia administratora

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO). Poleceniami są niniejsza umowa, ustawienia wybrane przez administratora w panelu administracyjnym oraz jego prośby przesłane e-mailem. Jeżeli zdaniem podmiotu przetwarzającego polecenie naruszałoby RODO lub inne przepisy o ochronie danych, niezwłocznie informuje o tym administratora. Danych nie przekazuje do państw trzecich inaczej niż zgodnie z rozdziałem V RODO (zob. artykuł 7).

Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych gości, że informuje gości (polityka prywatności jego obiektu) i że wprowadza do systemu tylko dane, których potrzebuje.

Artykuł 5. Poufność

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności (art. 28 ust. 3 lit. b RODO oraz § 79 słowackiej ustawy nr 18/2018 Z. z. o ochronie danych osobowych). Obowiązek poufności trwa także po zakończeniu umowy.

Artykuł 6. Bezpieczeństwo

Podmiot przetwarzający wdrożył następujące środki techniczne i organizacyjne zgodnie z art. 32 RODO:

cała komunikacja ze stroną i panelem administracyjnym jest szyfrowana (HTTPS, certyfikat SSL),
dane z dokumentów tożsamości i wiz są przechowywane w bazie danych w postaci zaszyfrowanej (AES-256-GCM),
serwer znajduje się w centrum danych w Unii Europejskiej,
dane są objęte kopiami zapasowymi,
dostęp do panelu administracyjnego jest chroniony hasłem z możliwością weryfikacji dwuetapowej; każdy administrator widzi tylko dane swojego obiektu,
strona jest chroniona przed atakami i botami przez usługę Cloudflare,
oprogramowanie jest na bieżąco aktualizowane, a ważne ingerencje są rejestrowane.

Artykuł 7. Dalsze podmioty przetwarzające

Administrator udziela ogólnej zgody na korzystanie przez podmiot przetwarzający z dalszych podmiotów przetwarzających wymienionych poniżej (art. 28 ust. 2 RODO). O planowanym dodaniu lub zmianie dalszego podmiotu przetwarzającego podmiot przetwarzający informuje administratora z wyprzedzeniem e-mailem; administrator może w ciągu 30 dni wnieść sprzeciw, a jeśli strony się nie porozumieją, może wypowiedzieć usługę. Dalsze podmioty przetwarzające są zobowiązane do takich samych obowiązków w zakresie ochrony danych (art. 28 ust. 4 RODO).

Contabo GmbH, Niemcy: hosting, serwer z bazą danych i stroną w centrum danych w UE,
Cloudflare, Inc., USA: DNS, ochrona sieciowa i przyspieszenie strony, weryfikacja formularzy przed botami (Turnstile); przekazywanie danych do USA odbywa się w ramach EU-US Data Privacy Framework,
Websupport s. r. o., Słowacja: skrzynka e-mailowa i wysyłanie e-maili do gości, jeśli e-maile są wysyłane ze skrzynki założonej przez podmiot przetwarzający.

Usługi wywoływane bezpośrednio przez przeglądarkę odwiedzającego. Mapa na stronie wczytuje podkłady z OpenStreetMap i bibliotekę z unpkg.com; podpowiadanie adresu przy online check-inie przesyła wpisywany adres do usług Photon (komoot GmbH, Niemcy) i Nominatim (OpenStreetMap). Usługi te otrzymują adres IP odwiedzającego i wpisany tekst, a nie dane z bazy danych. Link do nawigacji w Google Maps otwiera się dopiero po kliknięciu. Google Analytics lub Google Tag Manager są używane na stronie tylko wtedy, gdy włączy je administrator, i tylko za zgodą odwiedzającego; w takim przypadku odpowiada za nie administrator.

Artykuł 8. Współpraca i naruszenie ochrony danych

Podmiot przetwarzający pomaga administratorowi w realizacji żądań gości dotyczących ich praw: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu (art. 28 ust. 3 lit. e RODO). Jeżeli gość zwróci się z takim żądaniem bezpośrednio do podmiotu przetwarzającego, ten bez zbędnej zwłoki przekazuje je administratorowi. Pomaga mu także w wywiązywaniu się z obowiązków określonych w art. 32 do 36 RODO (lit. f).

Jeżeli podmiot przetwarzający stwierdzi naruszenie ochrony danych osobowych, zgłasza je administratorowi bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego stwierdzenia (art. 33 ust. 2 RODO). Zgłoszenie zawiera informacje, którymi dysponuje i których administrator potrzebuje do wypełnienia obowiązku z art. 33 ust. 3 RODO (charakter naruszenia, dane i osoby, których dotyczy, prawdopodobne konsekwencje i podjęte środki). Zgłoszenia do właściwego organu nadzorczego (w Polsce do Prezesa Urzędu Ochrony Danych Osobowych) i zawiadomienia gości dokonuje administrator.

Artykuł 9. Po zakończeniu umowy

Po zakończeniu świadczenia usługi podmiot przetwarzający, na żądanie administratora zgłoszone w ciągu 30 dni od zakończenia, zwraca dane w formie eksportu (rezerwacje i ewidencja gości), a najpóźniej w ciągu 90 dni od zakończenia usuwa dane osobowe wraz z kopiami, chyba że prawo Unii lub państwa członkowskiego nakazuje ich dalsze przechowywanie (art. 28 ust. 3 lit. g RODO). Odpowiada to artykułowi 10 Regulaminu.

Artykuł 10. Informacje i audyt

Podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów lub inspekcji przez administratora lub upoważnionego przez niego audytora (art. 28 ust. 3 lit. h RODO). Termin i zakres audytu strony uzgadniają z wyprzedzeniem tak, aby nie zakłócał działania usługi ani bezpieczeństwa danych innych klientów.

Artykuł 11. Postanowienia końcowe

Odpowiedzialność stron za szkodę wyrządzoną naruszeniem RODO określa art. 82 RODO. W sprawach nieuregulowanych niniejszą umową stosuje się RODO, słowacką ustawę nr 18/2018 Z. z. o ochronie danych osobowych oraz Regulamin usługi SFERIN. Umowa podlega prawu Republiki Słowackiej. Niniejsza polska wersja obowiązuje od 17.10.2026.