Umowa powierzenia przetwarzania danych osobowych
Niniejsza umowa została zawarta dnia 1 grudnia 2026 r. pomiędzy:
- Brightwater Analytics Ltd, z siedzibą pod adresem 20 Harbour Street, Dublin D02 AB12, Irlandia, kontakt: privacy@brightwater.example („Klient”); oraz
- CloudMail Services GmbH, z siedzibą pod adresem Hauptstrasse 14, 10115 Berlin, Niemcy, kontakt: dpo@cloudmail.example („Dostawca”).
Umowa stanowi część Umowa o świadczenie usług platformy e-mailowej z dnia 3 marca 2026 r. („Umowa Główna”). W razie sprzeczności między niniejszą umową a Umową Główną w zakresie postępowania z danymi osobowymi stosuje się niniejszą umowę.
1. Definicje
Użyte w niniejszej umowie pojęcia „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą” oraz „naruszenie ochrony danych osobowych” mają znaczenie nadane im w obowiązujących przepisach o ochronie danych, a jeżeli przepisy te używają innych określeń dla tych samych pojęć, znaczenie najbliższe. „Przepisy o Ochronie Danych” oznaczają wszystkie przepisy dotyczące ochrony danych i prywatności, które mają zastosowanie do przetwarzania Danych Osobowych Klienta na podstawie niniejszej umowy, w tym przepisy mające zastosowanie do strony ze względu na miejsce, w którym znajdują się osoby, których dane dotyczą. „Dane Osobowe Klienta” oznaczają dane osobowe, które Dostawca przetwarza na rzecz Klienta na podstawie Umowy Głównej. „Dalszy Podmiot Przetwarzający” oznacza osobę trzecią, z której usług Dostawca korzysta przy przetwarzaniu Danych Osobowych Klienta.
2. Role i zakres
2.1 W odniesieniu do Danych Osobowych Klienta Klient jest administratorem, a Dostawca podmiotem przetwarzającym. Jeżeli Klient sam jest podmiotem przetwarzającym na rzecz innego administratora, oświadcza, że posiada upoważnienie tego administratora do wydawania poleceń zawartych w niniejszej umowie, a Dostawca działa jako dalszy podmiot przetwarzający.
2.2 Każda ze stron będzie przestrzegać Przepisów o Ochronie Danych, które jej dotyczą.
2.3 Klient odpowiada za posiadanie podstawy prawnej przetwarzania, za przekazanie osobom, których dane dotyczą, informacji wymaganych przez Przepisy o Ochronie Danych oraz za prawidłowość i zgodność z prawem danych osobowych, które przekazuje Dostawcy.
3. Szczegóły przetwarzania
3.1 Przedmiot i cel. Dostawca przetwarza Dane Osobowe Klienta wyłącznie w celu świadczenia usług na podstawie Umowy Głównej, w następujący sposób:
Wysyła i przechowuje e-maile marketingowe i serwisowe klienta oraz rejestruje otwarcia i kliknięcia, aby świadczyć usługę platformy e-mailowej.
3.2 Czas trwania. Przetwarzanie trwa przez czas obowiązywania umowy głównej oraz czas potrzebny na zwrot lub usunięcie danych.
3.3 Rodzaje danych osobowych:
Imiona i nazwiska, adresy e-mail, nazwy firm oraz rejestry e-maili wysłanych, otwartych i klikniętych.
3.4 Kategorie osób, których dane dotyczą: klienci, potencjalni klienci i subskrybenci newslettera klienta.
3.5 Przetwarzane dane szczególnych kategorii (dane wrażliwe): informacje o stanie zdrowia, które pacjenci wpisują w wiadomościach dotyczących wizyt.
3.6 Miejsce przetwarzania. Dostawca będzie przetwarzać i przechowywać Dane Osobowe Klienta w centrach danych we Frankfurcie, w Niemczech.
3.7 Klient nie będzie przekazywać Dostawcy innych rodzajów danych osobowych ani danych szczególnych kategorii niewymienionych powyżej bez pisemnej zgody Dostawcy.
4. Polecenia Klienta
4.1 Dostawca będzie przetwarzać Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, którym są niniejsza umowa, Umowa Główna oraz sposób korzystania przez Klienta z usług i ustawienia usług, chyba że przepis prawa, któremu podlega Dostawca, wymaga inaczej. W takim przypadku Dostawca poinformuje Klienta o tym przed rozpoczęciem przetwarzania, o ile przepis ten tego nie zabrania.
4.2 Dostawca niezwłocznie poinformuje Klienta, jeżeli uzna, że polecenie narusza Przepisy o Ochronie Danych. Może wstrzymać wykonanie takiego polecenia do czasu jego potwierdzenia lub zmiany przez Klienta.
4.3 Dostawca nie będzie wykorzystywać Danych Osobowych Klienta do własnych celów, sprzedawać ich ani łączyć z danymi z innych źródeł, z wyjątkiem sytuacji, w których Przepisy o Ochronie Danych na to zezwalają w związku z jego własnymi obowiązkami prawnymi.