Umowa powierzenia przetwarzania danych osobowych

Art. 28 RODO · wersja 2026-01 · integralna część Regulaminu

§1. Strony i akceptacja

Umowa zostaje zawarta pomiędzy Administratorem (Klientem korzystającym z Cookie360) a Podmiotem przetwarzającym - BMD LAB Sp. z o.o., NIP 5833555291 (dalej „Procesor"), z chwilą akceptacji przy zakładaniu konta.

§2. Przedmiot i czas przetwarzania

Procesor przetwarza dane osobowe wyłącznie w celu świadczenia Usługi Cookie360 (zbieranie i przechowywanie dowodów zgód odwiedzających strony Administratora) - przez czas trwania umowy o świadczenie Usługi.

§3. Charakter, cel, rodzaj danych i kategorie osób

Element	Zakres
Cel przetwarzania	Rejestrowanie i archiwizacja decyzji o zgodach na cookies (dowód zgody)
Rodzaj danych	Identyfikator zgody, znacznik czasu, wybór kategorii, wersja polityki/konfiguracji, kraj (z nagłówka), user-agent, posolony skrót adresu IP (nigdy surowy IP)
Kategorie osób	Odwiedzający strony internetowe Administratora
Czynności	Zbieranie, przechowywanie, usuwanie po okresie retencji (24 mies.)

§4. Obowiązki Procesora

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora (którym jest także korzystanie z Usługi zgodnie z Regulaminem);
• zapewnia poufność (upoważnienia, zobowiązania osób przetwarzających);
• stosuje środki bezpieczeństwa z art. 32 RODO (m.in. szyfrowanie transmisji, brak przechowywania surowego IP - wyłącznie skrót);
• pomaga Administratorowi w realizacji praw osób oraz w zakresie art. 32-36 RODO;
• po zakończeniu umowy usuwa lub zwraca dane, zgodnie z wyborem Administratora, z zastrzeżeniem przepisów nakazujących przechowywanie.

§5. Podprzetwarzający (subprocesorzy)

Administrator wyraża ogólną zgodę na korzystanie z podprzetwarzających. Procesor informuje o zmianach i umożliwia sprzeciw. Aktualna lista:

Podmiot	Rola	Lokalizacja	Podstawa transferu
Convex	Baza danych, funkcje zaplecza	USA	SCC + TIA
Vercel	Hosting skryptu / funkcje brzegowe	USA	SCC + TIA

§6. Transfer poza EOG

Transfer do państw trzecich (USA) odbywa się na podstawie standardowych klauzul umownych (SCC) wraz z oceną skutków transferu (TIA) i - w razie potrzeby - środkami dodatkowymi.

§7. Naruszenia ochrony danych

Procesor bez zbędnej zwłoki od stwierdzenia zgłasza Administratorowi naruszenie dotyczące powierzonych danych, przekazując informacje niezbędne do wypełnienia obowiązków Administratora.

§8. Audyt

Procesor udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty (w tym inspekcje) na uzgodnionych zasadach, z zachowaniem poufności i bezpieczeństwa innych klientów. Dostęp Procesora do danych powierzonych jest rejestrowany (audyt wewnętrzny).

§9. Odpowiedzialność

Zasady odpowiedzialności określa Regulamin oraz przepisy RODO. Każda ze stron odpowiada za szkody wynikłe z naruszenia swoich obowiązków.