🛡️ Prawne

RODO / DPA

Ostatnia aktualizacja: 10.07.2026

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Wersja 1.1 | Data wejścia w życie: 01.06.2026

zawarta pomiędzy:

Administratorem danych: Użytkownikiem platformy Bukiet CRM, który zaakceptował Regulamin świadczenia usług Bukiet CRM (dalej: „Administrator"),

Podmiotem przetwarzającym: Dawidem Pryba, prowadzącym jednoosobową działalność gospodarczą pod firmą DAWID PRYBA, Wicka Rogali 17, 83-441 Wiele, NIP: 5911709697 (dalej: „Podmiot przetwarzający" lub „Bukiet CRM").

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „DPA" lub „Umowa") zawierana jest automatycznie z chwilą akceptacji Regulaminu świadczenia usług Bukiet CRM i stanowi jego integralną część. DPA spełnia wymogi art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

Art. 1. Przedmiot i cel Umowy

1.1. Przedmiotem niniejszej Umowy jest określenie warunków, na jakich Podmiot przetwarzający przetwarza dane osobowe klientów końcowych Administratora w imieniu i na zlecenie Administratora, w związku ze świadczeniem usług platformy Bukiet CRM.

1.2. Podmiot przetwarzający przetwarza dane wyłącznie w celu świadczenia usług opisanych w Regulaminie świadczenia usług Bukiet CRM — to jest w celu umożliwienia Administratorowi korzystania z funkcji platformy CRM, w tym zarządzania bazą klientów, obsługi zamówień, prowadzenia Sklepu online, wystawiania dokumentów sprzedaży oraz korzystania z pozostałych modułów systemu.

1.3. Przetwarzanie danych odbywa się wyłącznie na terytorium Europejskiego Obszaru Gospodarczego, z wyjątkiem: (i) usług email marketingu realizowanych przez Brevo (Francja, EOG), oraz (ii) danych, które Administrator wbrew postanowieniom Regulaminu wprowadzi do modułu AI Asystent — patrz Art. 5.2 poniżej.

Art. 2. Zakres powierzonych danych

2.1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie następujących kategorii danych osobowych swoich klientów końcowych:

Dane identyfikacyjne: imię i nazwisko klienta końcowego. Dane kontaktowe: adres e-mail, numer telefonu. Dane adresowe: adres dostawy lub odbioru. Dane dotyczące dat osobistych: data urodzin, data rocznicy ślubu lub innych okazji wskazanych przez Administratora. Dane handlowe: historia zamówień, wartość zakupów, częstotliwość zamówień. Dane preferencji: preferencje florystyczne, notatki prywatne Administratora dotyczące klienta końcowego. Dane niezbędne do wystawienia dokumentu sprzedaży: dane identyfikacyjne klienta końcowego, w odpowiednich przypadkach NIP, pozycje i kwoty zamówienia.

2.2. Podmiot przetwarzający przetwarza dane osobowe klientów końcowych wyłącznie w zakresie, w jakim zostały wprowadzone do systemu przez Administratora lub zsynchronizowane automatycznie z zewnętrznymi platformami e-commerce za pośrednictwem wtyczki Bukiet CRM (WooCommerce, Shoper, Shopify).

2.3. Dane osobowe przetwarzane są w odniesieniu do osób fizycznych będących klientami kwiaciarni lub florystki Administratora, korzystającymi ze Sklepu online Administratora lub wprowadzonymi ręcznie przez Administratora do systemu.

Art. 3. Obowiązki Podmiotu przetwarzającego

3.1. Podmiot przetwarzający zobowiązuje się do:

a) Przetwarzania powierzonych danych osobowych wyłącznie na udokumentowane polecenie Administratora, którym jest niniejsza Umowa oraz konfiguracja i sposób korzystania z systemu przez Administratora. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza przepisy RODO lub inne przepisy o ochronie danych;

b) Zapewnienia, że osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;

c) Podjęcia wszelkich środków wymaganych na mocy art. 32 RODO, dotyczących bezpieczeństwa przetwarzania, w szczególności szyfrowania połączeń SSL/TLS, codziennych kopii zapasowych danych i kontroli dostępu do systemów;

d) Przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego (dalszego podprzetwarzającego), o których mowa w art. 5 niniejszej Umowy;

e) Uwzględniając charakter przetwarzania, pomocy Administratorowi poprzez odpowiednie środki techniczne i organizacyjne, w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w RODO;

f) Wspierania Administratora w zapewnieniu wypełnienia obowiązków wynikających z art. 32–36 RODO, dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych osobowych, zawiadamiania osób, których dane dotyczą, o naruszeniu, oraz przeprowadzania oceny skutków dla ochrony danych;

g) Po zakończeniu świadczenia usług przetwarzania, zależnie od decyzji Administratora, usunięcia lub zwrócenia wszelkich danych osobowych oraz usunięcia wszelkich ich istniejących kopii, chyba że prawo Unii lub prawo polskie nakazuje przechowywanie tych danych. Zasady i terminy usuwania danych po zakończeniu umowy określa § 7 Regulaminu;

h) Udostępniania Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków wynikających z niniejszego artykułu oraz umożliwienia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzania audytów i inspekcji, w tym inspekcji, i przyczyniania się do nich. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza niniejszą Umowę lub RODO.

Art. 4. Obowiązki Administratora

4.1. Administrator oświadcza i gwarantuje, że:

a) Przetwarza dane osobowe klientów końcowych zgodnie z obowiązującymi przepisami prawa, w tym RODO, i posiada odpowiednie podstawy prawne do przetwarzania tych danych;

b) Poinformował klientów końcowych o przetwarzaniu ich danych osobowych, w tym o powierzeniu ich przetwarzania Podmiotowi przetwarzającemu w związku ze świadczeniem usług CRM, zgodnie z wymogami art. 13 lub 14 RODO;

c) W przypadku korzystania z modułu email marketingu posiada wymagane zgody marketingowe lub inne odpowiednie podstawy prawne uprawniające do wysyłki komunikacji handlowej do klientów końcowych;

d) Konfiguruje i korzysta z systemu Bukiet CRM w sposób zgodny z RODO i niniejszą Umową, w tym powstrzymuje się od wprowadzania danych osobowych klientów końcowych do modułu AI Asystent, zgodnie z § 8.12 Regulaminu;

e) Niezwłocznie poinformuje Podmiot przetwarzający o każdym żądaniu dotyczącym praw osób, których dane dotyczą, a które Administrator otrzyma od swojego klienta końcowego.

Art. 5. Dalsze powierzenie przetwarzania (podprzetwarzający)

5.1. Administrator niniejszym wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających (podprzetwarzających) wymienionych w niniejszym artykule w celu świadczenia Usługi.

5.2. Aktualna lista zatwierdzonych podprzetwarzających:

Seohost (seohost.pl) — usługi hostingowe i infrastruktura serwerowa; serwery zlokalizowane w Polsce; zakres przetwarzania: przechowywanie wszelkich danych systemu Bukiet CRM.

Sendinblue SAS (Brevo) — usługi email marketingu; siedziba: 7 rue de Madrid, 75008 Paryż, Francja (państwo UE — EOG); zakres przetwarzania: adresy e-mail i dane klientów końcowych Administratora korzystającego z modułu email marketingu; wyłącznie dla Użytkowników posiadających własną domenę internetową.

inFakt sp. z o.o. — dostawca systemu księgowego wykorzystywanego do automatycznego generowania dokumentów sprzedaży (faktur i rachunków) wystawianych w imieniu Administratora dla jego klientów końcowych; siedziba: ul. Szlak 49, 31-153 Kraków, Polska; zakres przetwarzania: dane identyfikacyjne klienta końcowego niezbędne do wystawienia dokumentu sprzedaży (imię i nazwisko lub nazwa, adres, w odpowiednich przypadkach NIP), pozycje i kwoty zamówienia.

Anthropic PBC — dostawca technologii AI wykorzystywanej w opcjonalnym module AI Asystent; siedziba: Stany Zjednoczone; zakres przetwarzania: treści wprowadzane przez Administratora do modułu AI Asystent w celu generowania treści marketingowych; podstawa transferu: Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską. Podmiot przetwarzający zastrzega, że moduł AI Asystent nie jest przeznaczony do przetwarzania danych osobowych osób, których dane dotyczą, a Administrator zobowiązany jest nie wprowadzać do niego danych osobowych klientów końcowych zgodnie z § 8.12 Regulaminu. Powierzenie przetwarzania temu podprzetwarzającemu następuje wyłącznie na wypadek, gdyby wbrew powyższemu zastrzeżeniu Administrator wprowadził takie dane.

5.3. Podmiot przetwarzający informuje Administratora o wszelkich planowanych zmianach dotyczących dodania lub zastąpienia podprzetwarzających z wyprzedzeniem co najmniej 14 dni, dając w ten sposób Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian. Sprzeciw wobec zmiany podprzetwarzającego Administrator zgłasza pisemnie na adres kontaktowy w terminie 14 dni od otrzymania informacji. W przypadku braku sprzeciwu w tym terminie zmianę uważa się za zaakceptowaną.

5.4. Podmiot przetwarzający nakłada na dalszych podprzetwarzających te same obowiązki w zakresie ochrony danych, jakie wynikają z niniejszej Umowy. Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora za to, że dalsi podprzetwarzający wywiążą się z ciążących na nich obowiązków ochrony danych.

Art. 6. Bezpieczeństwo danych

6.1. Podmiot przetwarzający wdraża i utrzymuje odpowiednie techniczne i organizacyjne środki bezpieczeństwa, zapewniające poziom ochrony adekwatny do ryzyka przetwarzania, obejmujące w szczególności:

a) Szyfrowanie danych w trakcie transmisji (SSL/TLS);

b) Codzienne automatyczne kopie zapasowe danych;

c) Kontrolę dostępu do systemów informatycznych opartą na zasadzie minimalnych uprawnień;

d) Przechowywanie haseł użytkowników wyłącznie w postaci jednokierunkowego skrótu kryptograficznego;

e) Regularne aktualizacje oprogramowania, systemów operacyjnych i komponentów bezpieczeństwa.

6.2. Podmiot przetwarzający zapewnia, że dostęp do przetwarzanych danych mają wyłącznie osoby upoważnione, które zostały zobowiązane do zachowania poufności.

Art. 7. Naruszenia ochrony danych

7.1. W przypadku stwierdzenia naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych, Podmiot przetwarzający bez zbędnej zwłoki — a w każdym razie w terminie 48 godzin od stwierdzenia naruszenia — powiadamia Administratora o tym naruszeniu.

7.2. Powiadomienie, o którym mowa w ust. 7.1, zawiera co najmniej: opis charakteru naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których naruszenie dotyczy, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których naruszenie dotyczy; dane kontaktowe punktu kontaktowego, gdzie można uzyskać więcej informacji; opis prawdopodobnych konsekwencji naruszenia; opis środków zastosowanych lub proponowanych przez Podmiot przetwarzający w celu zaradzenia naruszeniu.

7.3. Administrator jest odpowiedzialny za wypełnienie własnych obowiązków zgłoszeniowych wobec Prezesa UODO w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO) oraz za powiadomienie osób, których dane dotyczą, w przypadku wysokiego ryzyka (art. 34 RODO). Podmiot przetwarzający zapewni Administratorowi niezbędne informacje i wsparcie w tym zakresie.

Art. 8. Prawa osób, których dane dotyczą

8.1. Podmiot przetwarzający, uwzględniając charakter przetwarzania, wspiera Administratora poprzez odpowiednie środki techniczne i organizacyjne w wykonywaniu przez Administratora obowiązku odpowiadania na żądania osób, których dane dotyczą, wykonujących swoje prawa wynikające z RODO (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw).

8.2. Podmiot przetwarzający niezwłocznie, nie później niż w ciągu 5 dni roboczych, przekazuje Administratorowi każde żądanie dotyczące praw osoby, której dane dotyczą, otrzymane bezpośrednio od klienta końcowego, bez samodzielnego rozpatrywania takiego żądania, chyba że Administrator wyraźnie upoważni Podmiot przetwarzający do działania we własnym imieniu.

Art. 9. Audyty

9.1. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwia przeprowadzanie audytów i inspekcji przez Administratora lub upoważnionego przez niego audytora.

9.2. Audyty przeprowadzane są na pisemny wniosek Administratora, z zachowaniem co najmniej 14-dniowego wyprzedzenia, w sposób nienaruszający ciągłości świadczenia usług i poufności danych innych Użytkowników. Koszty przeprowadzenia audytu ponosi Administrator.

Art. 10. Czas obowiązywania i skutki zakończenia

10.1. Niniejsza Umowa obowiązuje przez cały czas trwania umowy o świadczenie usług Bukiet CRM zawartej na podstawie Regulaminu i wygasa z chwilą jej zakończenia.

10.2. Po zakończeniu umowy o świadczenie usług Podmiot przetwarzający postępuje z powierzonymi danymi zgodnie z zasadami opisanymi w § 7 Regulaminu, to jest przechowuje dane przez 30 dni od daty zakończenia umowy, a następnie dokonuje ich trwałego i nieodwracalnego usunięcia. Na pisemny wniosek Administratora złożony przed upływem tego terminu Podmiot przetwarzający udostępnia eksport danych w dostępnym formacie.

10.3. Podmiot przetwarzający potwierdza pisemnie (drogą e-mailową) usunięcie danych na żądanie Administratora.

Art. 11. Postanowienia końcowe DPA

11.1. W zakresie nieuregulowanym niniejszą Umową zastosowanie mają postanowienia Regulaminu świadczenia usług Bukiet CRM oraz obowiązujące przepisy prawa, w szczególności RODO.

11.2. Niniejsza DPA w wersji 1.1 wchodzi w życie z dniem [DO USTALENIA] i stanowi integralną część stosunku prawnego pomiędzy Administratorem a Podmiotem przetwarzającym.

11.3. Wszelkie zmiany niniejszej Umowy wymagają zachowania trybu przewidzianego w § 17 Regulaminu.

11.4. Prawem właściwym dla niniejszej Umowy jest prawo polskie. Wszelkie spory rozstrzygane są zgodnie z § 18 ust. 18.3 Regulaminu.