FLAPP
Dokument · Umowa powierzenia (DPA) · Załącznik nr 1 do Regulaminu dla Firm

Powierzenie przetwarzania danych osobowych

Umowa zgodna z art. 28 RODO, która reguluje, jak FLAPP przetwarza dane Twoich klientów w Twoim imieniu — bezpiecznie, przejrzyście i wyłącznie na Twoje polecenie.

Zakres powierzenia Bezpieczeństwo Podpowierzenie

Obowiązuje od dnia 1 czerwca 2026 r.

W skrócie

Ty jesteś administratorem

Dane Twoich klientów należą do Twojej firmy — FLAPP przetwarza je tylko na Twoje polecenie.

Bezpieczeństwo z art. 32

Szyfrowanie transmisji, kontrola dostępu i kopie zapasowe — środki adekwatne do ryzyka.

Naruszenia — max 48 h

O naruszeniu ochrony danych informujemy Cię bez zbędnej zwłoki, nie później niż w 48 godzin.

Prawo do audytu

Masz prawo weryfikować, jak chronimy powierzone dane — udostępniamy informacje i umożliwiamy audyty.

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa powierzenia" lub „DPA") stanowi załącznik nr 1 do Regulaminu dla Firm i jest zawierana zgodnie z art. 28 ust. 3 rozporządzenia (UE) 2016/679 (RODO) z chwilą rejestracji Konta w Serwisie FLAPP.

§1

Przedmiot umowy i strony

  1. Stronami Umowy powierzenia są: Firma — Użytkownik Serwisu w rozumieniu Regulaminu dla Firm, działający jako administrator danych osobowych Klientów końcowych (dalej: „Administrator"), oraz MVM ventrue sp. z o.o. z siedzibą w , Komuny Paryskiej 23, 41-219 Sosnowiec, NIP 6443572112, działająca jako podmiot przetwarzający (dalej: „Podmiot przetwarzający" lub „Procesor").
  2. Umowa powierzenia zostaje zawarta z chwilą rejestracji Konta i akceptacji Regulaminu dla Firm, którego stanowi integralną część.
  3. Przedmiotem Umowy jest powierzenie Procesorowi przez Administratora przetwarzania danych osobowych Klientów końcowych w zakresie i na zasadach określonych w niniejszej Umowie oraz w art. 28 RODO.
  4. Pojęcia pisane wielką literą, niezdefiniowane w Umowie, mają znaczenie nadane im w Regulaminie dla Firm. Pojęcia „dane osobowe", „przetwarzanie", „naruszenie ochrony danych osobowych" rozumie się zgodnie z art. 4 RODO.
§2

Zakres, charakter i cel przetwarzania

  1. Procesor przetwarza powierzone dane wyłącznie w celu świadczenia Usług na rzecz Administratora, w szczególności: prowadzenia kalendarza wizyt, obsługi rezerwacji online, wysyłki powiadomień o wizytach (e-mail/SMS) oraz udostępniania Administratorowi historii rezerwacji.
  2. Charakter przetwarzania obejmuje operacje wykonywane w systemach informatycznych Procesora, w szczególności: zbieranie, utrwalanie, organizowanie, przechowywanie, przeglądanie, wykorzystywanie, udostępnianie Administratorowi oraz usuwanie danych.
  3. Przetwarzanie ma charakter ciągły i trwa przez okres obowiązywania umowy o świadczenie Usług zawartej na podstawie Regulaminu dla Firm, z zastrzeżeniem § 11.
  4. Procesor przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora, przy czym za takie polecenie uważa się korzystanie przez Administratora z funkcjonalności Serwisu oraz postanowienia niniejszej Umowy. Dotyczy to również przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na Procesora prawo Unii lub prawo państwa członkowskiego — w takim przypadku Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
§3

Rodzaje danych i kategorie osób, których dane dotyczą

  1. Powierzenie obejmuje następujące rodzaje danych osobowych: imię i nazwisko, numer telefonu, adres e-mail, historię i szczegóły rezerwacji (data, godzina, wybrana usługa, pracownik) oraz ewentualne notatki do wizyt wprowadzane przez Administratora.
  2. Kategorie osób, których dane dotyczą: Klienci końcowi Administratora — osoby dokonujące rezerwacji wizyt za pośrednictwem Serwisu lub wprowadzane do kalendarza przez Administratora.
  3. Powierzenie nie obejmuje szczególnych kategorii danych, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do Serwisu, w szczególności do pól notatek. Jeżeli charakter działalności Administratora (np. usługi z zakresu zdrowia lub urody wymagające informacji o stanie zdrowia) wymaga przetwarzania takich danych, Administrator jest zobowiązany uprzednio skontaktować się z Procesorem w celu uzgodnienia odrębnych warunków.
  4. Administrator gwarantuje, że powierzone dane zebrał i przetwarza zgodnie z prawem, w szczególności że dysponuje ważną podstawą prawną przetwarzania oraz zrealizował wobec osób, których dane dotyczą, obowiązki informacyjne z art. 13 i 14 RODO.
§4

Obowiązki Podmiotu przetwarzającego

  1. Procesor zobowiązuje się przetwarzać powierzone dane wyłącznie w zakresie i celu określonych w Umowie oraz zgodnie z RODO i innymi przepisami o ochronie danych osobowych.
  2. Procesor zapewnia, że osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy, także po ustaniu zatrudnienia lub współpracy.
  3. Procesor dopuszcza do przetwarzania powierzonych danych wyłącznie osoby posiadające stosowne upoważnienie i przeszkolone w zakresie ochrony danych osobowych.
  4. Procesor prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora, zgodnie z art. 30 ust. 2 RODO.
  5. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
  6. Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
§5

Bezpieczeństwo przetwarzania

  1. Procesor wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka naruszenia praw lub wolności osób, których dane dotyczą, zgodnie z art. 32 RODO.
  2. Środki te obejmują w szczególności: szyfrowanie transmisji danych (TLS), szyfrowanie danych w spoczynku, kontrolę dostępu opartą na rolach, uwierzytelnianie (w tym opcjonalne dwuetapowe logowanie), regularne kopie zapasowe, rejestrowanie zdarzeń w systemach oraz procedury przywracania dostępności danych po incydencie.
  3. Procesor regularnie testuje, mierzy i ocenia skuteczność stosowanych środków oraz dostosowuje je do zmieniającego się ryzyka i stanu wiedzy technicznej.
  4. Zmiana stosowanych środków nie może prowadzić do obniżenia poziomu ochrony powierzonych danych poniżej wymaganego przez art. 32 RODO.
§6

Podpowierzenie przetwarzania

  1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (dalej: „Podprocesorzy") w zakresie niezbędnym do świadczenia Usług, w szczególności dostawców usług hostingowych, poczty elektronicznej oraz bramek SMS.
  2. Aktualna lista Podprocesorów wraz ze wskazaniem zakresu ich usług i lokalizacji przetwarzania jest dostępna w Serwisie oraz udostępniana na żądanie Administratora.
  3. O zamiarze dodania lub zastąpienia Podprocesora Procesor informuje Administratora z co najmniej 14-dniowym wyprzedzeniem (e-mailem lub poprzez Serwis). Administrator może w tym terminie wyrazić uzasadniony sprzeciw; w razie sprzeciwu strony podejmą rozmowy w dobrej wierze, a jeżeli nie osiągną porozumienia, Administrator może rozwiązać umowę o świadczenie Usług na zasadach określonych w Regulaminie dla Firm.
  4. Procesor nakłada na każdego Podprocesora, w drodze umowy, te same obowiązki ochrony danych, jakie wynikają z niniejszej Umowy, w szczególności obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych.
  5. Procesor ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez Podprocesorów z ich obowiązków w zakresie ochrony danych.
§7

Pomoc Administratorowi

  1. Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi — poprzez odpowiednie środki techniczne i organizacyjne, w tym funkcjonalności Serwisu — wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (m.in. prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia danych).
  2. Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do Procesora, Procesor niezwłocznie — nie później niż w terminie 7 dni — przekazuje je Administratorowi i nie odpowiada na nie samodzielnie, chyba że co innego wynika z przepisów prawa.
  3. Procesor, uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, w tym w zakresie bezpieczeństwa przetwarzania, zgłaszania naruszeń, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym.
  4. Pomoc, o której mowa w ust. 1 i 3, świadczona jest w ramach abonamentu, chyba że żądania Administratora są nadmierne lub wykraczają poza standardowe funkcjonalności Serwisu — wówczas strony uzgodnią odrębne, rozsądne wynagrodzenie.
§8

Naruszenia ochrony danych osobowych

  1. Po stwierdzeniu naruszenia ochrony powierzonych danych osobowych Procesor zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, na adres e-mail przypisany do Konta.
  2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia (w tym, w miarę możliwości, kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy naruszenie), możliwe konsekwencje naruszenia, zastosowane lub proponowane środki zaradcze oraz dane kontaktowe osoby, od której można uzyskać więcej informacji.
  3. Jeżeli nie jest możliwe przekazanie wszystkich informacji jednocześnie, Procesor przekazuje je sukcesywnie, bez zbędnej zwłoki.
  4. Procesor dokumentuje naruszenia ochrony powierzonych danych, w tym ich okoliczności, skutki i podjęte działania zaradcze, oraz współpracuje z Administratorem przy realizacji obowiązków z art. 33 i 34 RODO. Decyzję o zgłoszeniu naruszenia organowi nadzorczemu oraz o zawiadomieniu osób, których dane dotyczą, podejmuje Administrator.
§9

Prawo kontroli i audyty

  1. Procesor umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, w zakresie przetwarzania powierzonych danych, oraz przyczynia się do nich.
  2. Audyt może być przeprowadzony nie częściej niż raz w roku kalendarzowym (chyba że wcześniejszy audyt wykazał istotne nieprawidłowości albo doszło do naruszenia ochrony danych), po uprzednim zawiadomieniu Procesora z co najmniej 14-dniowym wyprzedzeniem, w dni robocze i w sposób niezakłócający działalności Procesora.
  3. W pierwszej kolejności prawo kontroli realizowane jest poprzez udostępnienie przez Procesora dokumentacji, wyników audytów wewnętrznych, certyfikatów lub odpowiedzi na pytania audytowe; jeżeli te informacje okażą się niewystarczające, Administrator może przeprowadzić audyt na miejscu.
  4. Audytorem nie może być podmiot prowadzący działalność konkurencyjną wobec Procesora. Osoby uczestniczące w audycie zobowiązane są do zachowania poufności informacji uzyskanych w jego toku.
  5. Każda ze stron ponosi własne koszty audytu. Procesor wykonuje zalecenia poaudytowe w zakresie, w jakim wynikają one z przepisów o ochronie danych lub postanowień niniejszej Umowy, w uzgodnionym przez strony rozsądnym terminie.
§10

Przekazywanie danych poza EOG

  1. Powierzone dane przetwarzane są co do zasady na serwerach zlokalizowanych na terenie Europejskiego Obszaru Gospodarczego (EOG).
  2. Przekazanie powierzonych danych do państwa trzeciego lub organizacji międzynarodowej może nastąpić wyłącznie z zapewnieniem odpowiedniego stopnia ochrony, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO) lub standardowych klauzul umownych przyjętych przez Komisję (art. 46 RODO), z uwzględnieniem — w razie potrzeby — środków uzupełniających.
  3. Informacja o Podprocesorach przetwarzających dane poza EOG oraz o stosowanych zabezpieczeniach zawarta jest w liście Podprocesorów, o której mowa w § 6 ust. 2.
§11

Czas trwania umowy i postępowanie z danymi po jej zakończeniu

  1. Umowa powierzenia obowiązuje przez czas trwania umowy o świadczenie Usług zawartej na podstawie Regulaminu dla Firm i rozwiązuje się wraz z nią, z zastrzeżeniem postanowień, które ze swej natury pozostają w mocy (w szczególności dotyczących poufności i usunięcia danych).
  2. Przed rozwiązaniem umowy Administrator może samodzielnie pobrać powierzone dane (w tym bazę Klientów końcowych i historię rezerwacji) w powszechnie używanym formacie nadającym się do odczytu maszynowego; na wniosek złożony w terminie 30 dni od rozwiązania umowy Procesor udostępni te dane Administratorowi.
  3. Po rozwiązaniu umowy — zależnie od decyzji Administratora — Procesor zwraca Administratorowi powierzone dane lub usuwa je wraz z istniejącymi kopiami, nie później niż w terminie 30 dni od upływu terminu, o którym mowa w ust. 2, chyba że prawo Unii lub prawo państwa członkowskiego nakazują dalsze przechowywanie danych.
  4. Usunięcie danych z kopii zapasowych następuje zgodnie z cyklem ich rotacji, nie później jednak niż w terminie 90 dni; do czasu usunięcia dane w kopiach zapasowych nie są wykorzystywane do żadnych innych celów.
  5. Na żądanie Administratora Procesor potwierdza usunięcie danych na piśmie lub w formie elektronicznej.
§12

Odpowiedzialność

  1. Każda ze stron odpowiada za szkody wyrządzone drugiej stronie oraz osobom, których dane dotyczą, zgodnie z art. 82 RODO oraz przepisami prawa polskiego.
  2. Administrator odpowiada za zgodność z prawem powierzonych danych oraz poleceń wydawanych Procesorowi, w szczególności za posiadanie podstawy prawnej przetwarzania i realizację obowiązków informacyjnych wobec Klientów końcowych.
  3. Procesor odpowiada za szkody spowodowane przetwarzaniem wyłącznie, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim.
  4. Odpowiedzialność Procesora wobec Administratora z tytułu niniejszej Umowy podlega ograniczeniom przewidzianym w § 9 Regulaminu dla Firm, przy czym ograniczenia te nie naruszają praw osób, których dane dotyczą, wynikających z art. 82 RODO.
§13

Postanowienia końcowe

  1. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają postanowienia Regulaminu dla Firm, przepisy RODO oraz prawa polskiego. W razie sprzeczności między Umową powierzenia a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia Umowy powierzenia.
  2. Zmiany Umowy powierzenia dokonywane są w trybie przewidzianym dla zmian Regulaminu dla Firm (§ 13 Regulaminu), z zachowaniem co najmniej 15-dniowego uprzedzenia. Zmiany nie mogą obniżać poziomu ochrony danych poniżej wymaganego przez art. 28 RODO.
  3. Kontakt w sprawach dotyczących niniejszej Umowy oraz ochrony danych osobowych możliwy jest pod adresem hello@flapp.pl.
  4. Nieważność lub bezskuteczność poszczególnych postanowień Umowy nie wpływa na ważność pozostałych postanowień; w miejsce postanowień nieważnych stosuje się odpowiednie przepisy prawa.
  5. Spory wynikłe z Umowy rozstrzygane będą zgodnie z zasadami określonymi w § 13 Regulaminu dla Firm.
  6. Umowa jest nieodpłatnie udostępniana w Serwisie w sposób umożliwiający jej pobranie, utrwalenie i wydrukowanie.

Masz pytania o powierzenie danych?

Chętnie wyjaśnimy każdą wątpliwość dotyczącą przetwarzania danych Twoich klientów w FLAPP.

Skontaktuj się Polityka prywatności