Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa”) zostaje zawarta pomiędzy Użytkownikiem serwisu Networking Ad Plus (dalej: „Administrator”) a Ad Plus Polska sp. z o.o. z siedzibą w Pęcławiu (Pęcław 57A, 05-530 Góra Kalwaria), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001227688, prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego, NIP 1231599629, REGON 544183686, kapitał zakładowy 5 000 zł (dalej: „Podmiot przetwarzający”). Wersja 2026-11-01.

Umowa jest zawierana przy zakładaniu Konta, razem z umową o świadczenie usług na podstawie Regulaminu, i stanowi umowę, o której mowa w art. 28 ust. 3 RODO. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Jeżeli Użytkownik jest Konsumentem i przetwarza Dane Kontaktów wyłącznie w ramach czynności o czysto osobistym lub domowym charakterze, RODO nie ma zastosowania do tego przetwarzania (art. 2 ust. 2 lit. c RODO). Podmiot przetwarzający stosuje wtedy wobec Danych Kontaktów zasady Umowy tak samo jak wobec pozostałych Użytkowników.

§ 2. Przedmiot, charakter i cel przetwarzania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych Kontaktów, które sam wprowadza do Serwisu, wyłącznie w celu świadczenia usług Serwisu na rzecz Administratora.

Przetwarzanie obejmuje: zbieranie (w tym automatyczny odczyt danych ze zdjęć wizytówek, z tekstu i zrzutów ekranu czatu spotkania), utrwalanie, przechowywanie, porządkowanie i łączenie zdublowanych Kontaktów, przeglądanie, wysyłkę wiadomości e-mail i przypomnień na polecenie Administratora, sprawdzanie stanu doręczenia wiadomości, wykonywanie kopii zapasowych oraz usuwanie danych.

Podmiot przetwarzający nie wykorzystuje Danych Kontaktów do własnych celów, w szczególności do marketingu, i nie udostępnia ich innym Użytkownikom ani osobom trzecim, poza dalszymi podmiotami przetwarzającymi wskazanymi w § 5.

§ 3. Rodzaj danych i kategorie osób

Kategorie osób: osoby, które Administrator poznał lub zamierza poznać na spotkaniach biznesowych, uczestnicy tych spotkań oraz adresaci wiadomości wysyłanych przez Serwis.

Rodzaj danych: imię i nazwisko, stanowisko, nazwa firmy, adres e-mail, numer telefonu, adres, strona internetowa i profile w mediach społecznościowych, zdjęcie wizytówki, treść czatu spotkania i zrzuty ekranu, notatki i opisy Administratora (np. czym osoba się zajmuje, kogo szuka), informacje o udziale w spotkaniach, informacja o zgodzie na kontakt e-mail i rezygnacji z wiadomości, treść i historia wysłanych wiadomości, stan ich doręczenia oraz przypomnienia.

Administrator nie wprowadza do Serwisu szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO).

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający przetwarza Dane Kontaktów wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego. Poleceniami są w szczególności Regulamin, Umowa oraz czynności wykonywane przez Administratora w Serwisie. Jeżeli polecenie w ocenie Podmiotu przetwarzającego narusza prawo, niezwłocznie informuje o tym Administratora.

Do przetwarzania Danych Kontaktów dopuszczone są wyłącznie osoby upoważnione przez Podmiot przetwarzający, które zobowiązały się do zachowania ich w tajemnicy, także po ustaniu współpracy.

Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności: szyfrowanie połączeń, przechowywanie haseł Użytkowników wyłącznie w postaci skrótów kryptograficznych, ochronę Kont przed odgadywaniem haseł (limity prób), rozdzielenie danych poszczególnych Kont, ograniczenie dostępu administracyjnego do upoważnionych osób, przechowywanie bazy danych i plików w Unii Europejskiej (zasady przekazywania danych poza Europejski Obszar Gospodarczy określa § 5) oraz regularne kopie zapasowe z możliwością odtworzenia danych.

Podmiot przetwarzający, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, pomaga Administratorowi wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Serwis pozwala Administratorowi samodzielnie poprawić i usunąć dane Kontaktu oraz odnotować rezygnację z wiadomości. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego zostanie bez zbędnej zwłoki przekazane Administratorowi.

Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.

Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony Danych Kontaktów bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail Konta. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Kontakt w sprawie naruszeń: kontakt@adplus.pl.

§ 5. Dalsze powierzenie

Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. W dniu zawarcia Umowy są nimi:

Cloudflare, Inc. — infrastruktura interfejsu API, baza danych i przechowywanie plików (lokalizacja danych w Unii Europejskiej), kopie zapasowe, automatyczny odczyt tekstu ze zdjęć i zrzutów ekranu (Workers AI), ochrona formularzy (Turnstile);

Resend — doręczanie wiadomości e-mail wysyłanych przez Serwis do Kontaktów;

Hostinger International Limited z siedzibą w Larnace, Cypr (61 Lordou Vironos str., 6023 Larnaca) — serwer VPS udostępniający aplikację (PWA); centrum danych znajduje się na Litwie.

Podmiot przetwarzający nakłada na dalszych podmiotów przetwarzających obowiązki ochrony danych co najmniej takie, jak w Umowie, i odpowiada wobec Administratora za ich wykonanie. Przekazanie danych poza Europejski Obszar Gospodarczy (Cloudflare i Resend mają siedziby w Stanach Zjednoczonych) odbywa się wyłącznie przy zastosowaniu zabezpieczeń z rozdziału V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych.

O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie wyrazić sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o świadczenie usług ze skutkiem natychmiastowym.

§ 6. Prawa i obowiązki Administratora

Administrator odpowiada za to, że ma podstawę prawną do przetwarzania Danych Kontaktów i do wysyłania im wiadomości, oraz za spełnienie wobec Kontaktów obowiązku informacyjnego.

Administrator ma prawo żądać informacji niezbędnych do wykazania, że Podmiot przetwarzający spełnia obowiązki z art. 28 RODO, oraz przeprowadzić audyt lub inspekcję, samodzielnie albo przez upoważnionego audytora zobowiązanego do zachowania tajemnicy. Audyt odbywa się po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze i w sposób niezakłócający działania Serwisu; w pierwszej kolejności Podmiot przetwarzający odpowiada na pytania na piśmie.

§ 7. Czas trwania, usunięcie i zwrot danych

Umowa obowiązuje przez czas trwania umowy o świadczenie usług i wygasa wraz z nią.

Po zakończeniu świadczenia usług, zgodnie z decyzją Administratora, Podmiot przetwarzający zwraca Dane Kontaktów (w formie pliku do pobrania w powszechnie używanym formacie) albo je usuwa — bez zbędnej zwłoki, nie później niż w ciągu 30 dni, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Brak decyzji Administratora w terminie 14 dni od zakończenia usług oznacza polecenie usunięcia danych.

Dane zawarte w kopiach zapasowych są usuwane wraz z upływem okresu przechowywania kopii (8 tygodni). Do tego czasu kopie są chronione tak jak dane w Serwisie i nie są wykorzystywane w innym celu niż odtworzenie Serwisu po awarii.

Na życzenie Administratora Podmiot przetwarzający potwierdza usunięcie danych e-mailem.

§ 8. Postanowienia końcowe

W sprawach nieuregulowanych w Umowie stosuje się Regulamin oraz przepisy RODO. W razie sprzeczności w zakresie ochrony Danych Kontaktów pierwszeństwo ma Umowa.

Zmiany Umowy wprowadzane są w trybie przewidzianym dla zmian Regulaminu.