Umowa powierzenia przetwarzania danych osobowych

Umowa jest zawierana razem z akceptacją Regulaminu. Na życzenie Klienta Usługodawca przekaże jej egzemplarz do podpisu kwalifikowanym podpisem elektronicznym.

§ 1. Strony i przedmiot

1. Administrator — Klient korzystający z systemu Tripwise (biuro podróży: agent turystyczny lub organizator turystyki).
2. Podmiot przetwarzający — [nazwa podmiotu] z siedzibą w [adres], NIP [NIP] (Usługodawca).
3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w § 2, na zasadach art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

§ 2. Zakres, charakter i cel przetwarzania

1. Cel: świadczenie usług systemu Tripwise opisanych w Regulaminie — prowadzenie kartoteki klientów, obsługa rezerwacji i formularzy zapisu, komunikacja (poczta, SMS), rozliczenia, przygotowanie list (hotelowej, autokarowej, ubezpieczeniowej) i zestawień, publikacja Strony Klienta.
2. Charakter: zbieranie przez formularze, przechowywanie, porządkowanie, wyszukiwanie, przeglądanie, modyfikowanie, przesyłanie na polecenie Administratora (np. listy do ubezpieczyciela, wiadomości do klientów), tworzenie kopii zapasowych, usuwanie.
3. Kategorie osób: klienci Administratora, uczestnicy imprez (w tym dzieci), opiekunowie i osoby kontaktowe, pracownicy i współpracownicy Administratora, kontrahenci (np. hotele, przewoźnicy, piloci).
4. Kategorie danych:
   1. identyfikacyjne i kontaktowe: imię, nazwisko, adres, telefon, e-mail;
   2. dane podróżne: data urodzenia, obywatelstwo, numer i ważność paszportu lub dowodu osobistego, dane potrzebne do wizy i jej status, miejsce wyjazdu, zakwaterowanie, miejsce w autokarze;
   3. dane rozliczeniowe: kwoty, wpłaty, numer rachunku z wyciągu bankowego, dane do faktury;
   4. korespondencja, notatki i reklamacje;
   5. dane szczególnych kategorii (art. 9 RODO) — wyłącznie, jeżeli Administrator je wprowadzi, np. informacje o diecie wynikającej ze stanu zdrowia, alergiach lub niepełnosprawności potrzebne do realizacji imprezy.
5. Administrator oświadcza, że posiada podstawę prawną do przetwarzania powierzanych danych, a dane szczególnych kategorii wprowadza tylko w zakresie niezbędnym do realizacji imprezy i na odpowiedniej podstawie (np. wyraźnej zgody).

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest Regulamin, umowa i działania Użytkowników Administratora w systemie; informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy;
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
3. stosuje środki bezpieczeństwa wymagane przez art. 32 RODO, opisane w Załączniku B;
4. pomaga Administratorowi w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) — w szczególności przez funkcje eksportu, edycji i usuwania danych w systemie; wnioski skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi bez zbędnej zwłoki;
5. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania;
6. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, przekazując informacje wymagane w art. 33 ust. 3 RODO w zakresie, w jakim je posiada;
7. udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO;
8. nie wykorzystuje powierzonych danych do własnych celów, w tym do trenowania modeli sztucznej inteligencji, ani nie udostępnia ich innym klientom systemu.

§ 4. Dalsze powierzenie (podprzetwarzający)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z podprzetwarzających wymienionych w Załączniku A.
2. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje Administratora co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę bez dodatkowych kosztów.
3. Podmiot przetwarzający nakłada na podprzetwarzających te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.
4. Dane przechowywane są w Europejskim Obszarze Gospodarczym. Przekazanie poza EOG może nastąpić tylko z zastosowaniem zabezpieczeń z rozdziału V RODO (np. decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework, albo standardowe klauzule umowne).

§ 5. Kontrola

1. Administrator może sprawdzić przestrzeganie umowy przez pytania pisemne, a także przez audyt przeprowadzony przez siebie lub audytora zobowiązanego do poufności, nie częściej niż raz w roku i po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy i bez zakłócania świadczenia usług innym klientom.
2. Częstszy audyt jest możliwy po naruszeniu ochrony danych dotyczącym danych Administratora.

§ 6. Odpowiedzialność

Podmiot przetwarzający odpowiada za szkody wyrządzone przetwarzaniem niezgodnym z umową lub przepisami RODO skierowanymi do podmiotów przetwarzających, na zasadach art. 82 RODO.

§ 7. Czas trwania i zakończenie

1. Umowa obowiązuje przez czas korzystania z systemu Tripwise.
2. Po zakończeniu świadczenia usług Podmiot przetwarzający umożliwia Administratorowi eksport danych przez 30 dni, a następnie usuwa dane, w tym w ciągu kolejnych 7 dni z kopii zapasowych, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Na żądanie potwierdza usunięcie na piśmie lub e-mailem.

Załącznik A. Podprzetwarzający

Kategoria	Podmiot	Zakres	Lokalizacja danych
Hosting bazy danych i plików	[np. Supabase Inc. — region UE]	przechowywanie danych i kopii zapasowych	EOG ([Frankfurt])
Hosting aplikacji	[np. Vercel Inc.]	serwowanie aplikacji i Stron Klientów	EOG / DPF
Wysyłka e-mail	[dostawca poczty transakcyjnej]	powiadomienia, wiadomości do klientów	EOG / DPF
Wysyłka SMS	[operator SMS]	kody weryfikacyjne, przypomnienia	Polska
Asystent AI	Anthropic, PBC (USA) — API Claude	szkice odpowiedzi, streszczenia i porządkowanie poczty; treść wiadomości i dane z karty klienta potrzebne do odpowiedzi; bez trenowania modeli na danych	USA — standardowe klauzule umowne / EU–US Data Privacy Framework (do potwierdzenia z umową dostawcy)
Monitoring błędów	[dostawca]	dane techniczne, bez treści rezerwacji	EOG

Lista do uzupełnienia po wyborze dostawców. Operatorzy płatności, banki, Merlin, systemy księgowe i Ubezpieczeniowy Fundusz Gwarancyjny nie są podprzetwarzającymi — działają na podstawie odrębnych umów z Administratorem.

Załącznik B. Środki bezpieczeństwa

1. Szyfrowanie połączeń (TLS 1.2+) i danych w spoczynku (AES-256) u dostawcy hostingu.
2. Izolacja danych klientów na poziomie bazy (polityki dostępu na poziomie wierszy).
3. Kontrola dostępu oparta na rolach, zasada minimalnych uprawnień, weryfikacja dwuetapowa dla kont z uprawnieniami administracyjnymi.
4. Dziennik zdarzeń: logowania, eksporty, zmiany uprawnień, usunięcia.
5. Codzienne kopie zapasowe bazy danych przechowywane 7 dni (plan Pro dostawcy bazy danych, EOG), test odtworzenia co najmniej raz na kwartał. Tryb offline obejmuje wyłącznie kartę pilota terminu (rozkład i lista uczestników), zapisaną na urządzeniu osoby, która ją otworzyła; link dla kierowcy lub pilota jest losowy, wygasa 2 dni po powrocie z imprezy, może zostać odwołany w każdej chwili, a jego utworzenie i odwołanie trafia do dziennika zdarzeń.
6. Aktualizacje bezpieczeństwa zależności i infrastruktury, przegląd podatności.
7. Procedura obsługi incydentów z oceną ryzyka i powiadomieniem Administratora w ciągu 36 godzin.
8. Upoważnienia i zobowiązania do poufności osób z dostępem do danych; dostęp zespołu do danych Administratora wyłącznie w celu wsparcia, na jego zgłoszenie.
9. Dane dostępu do panelu domeny Administratora (usługa „Zrobimy to za Ciebie”, Regulamin § 10a) są szyfrowane w aplikacji (AES-256-GCM, klucz poza bazą danych), dostępne wyłącznie dla upoważnionego zespołu, każde ich wyświetlenie trafia do dziennika zdarzeń i historii zamówienia widocznej dla Administratora; są trwale usuwane po wykonaniu lub zamknięciu zamówienia, najpóźniej po 14 dniach.