Ta umowa określa, na jakich warunkach ZELCODE LABS przetwarza dane osobowe w imieniu Klienta korzystającego z Berlinetty: dane kupujących, odbiorców przesyłek, kontrahentów i pracowników Klienta. Stanowi integralną część umowy o świadczenie usługi i zostaje zawarta wraz z nią, bez odrębnego podpisu.
Na żądanie Klienta udostępniamy tę umowę do podpisu w wersji dokumentowej, a w umowie Enterprise możemy uzgodnić postanowienia indywidualne.
§ 1.Strony i charakter umowy
- Administratorem danych (dalej: „Administrator") jest Klient - przedsiębiorca, który zawarł z Usługodawcą umowę o świadczenie usługi Berlinetta na podstawie Regulaminu.
- Podmiotem przetwarzającym (dalej: „Podmiot przetwarzający" albo „Usługodawca") jest ZELCODE LABS KRYSTIAN KAKITEK, NIP 6252509025, REGON 545716021, ul. Mielecka 12/18, 41-219 Sosnowiec, Polska.
- Umowa jest zawierana w wykonaniu art. 28 ust. 3 RODO. W zakresie nieuregulowanym stosuje się RODO, ustawę o ochronie danych osobowych i Regulamin. W razie sprzeczności między tą umową a Regulaminem w sprawach ochrony danych osobowych pierwszeństwo ma ta umowa.
- Umowa zostaje zawarta z chwilą zawarcia umowy o świadczenie usługi (uruchomienia Konta) i obowiązuje przez cały czas jej trwania oraz do chwili usunięcia Danych Powierzonych zgodnie z § 18.
§ 2.Przedmiot powierzenia
- Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych (dalej: „Dane Powierzone") w zakresie i celu określonych w tej umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z umową, udokumentowanymi poleceniami Administratora i przepisami prawa.
- Przetwarzanie obejmuje operacje wykonywane w ramach usługi Berlinetta: zbieranie (pobieranie z systemów zewnętrznych wskazanych przez Administratora), utrwalanie, organizowanie, przechowywanie, adaptowanie i modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie do systemów zewnętrznych wskazanych przez Administratora, dopasowywanie i łączenie w obrębie Organizacji Administratora, ograniczanie, usuwanie i niszczenie.
- Podmiot przetwarzający nie jest administratorem Danych Powierzonych i nie decyduje o celach ani sposobach ich przetwarzania. Dane, których Podmiot przetwarzający jest administratorem (dane Klienta jako strony umowy, dane rozliczeniowe, logi bezpieczeństwa), opisuje Polityka prywatności i nie są one objęte tą umową.
§ 3.Czas przetwarzania
- Dane Powierzone są przetwarzane przez czas trwania umowy o świadczenie usługi, a po jej zakończeniu wyłącznie w zakresie przechowywania przez okres niezbędny do wykonania § 18 (zwrot i usunięcie).
- Administrator może w każdej chwili w czasie trwania umowy zażądać usunięcia określonych Danych Powierzonych; Podmiot przetwarzający wykonuje żądanie w zakresie, w jakim Aplikacja nie pozwala Administratorowi zrobić tego samodzielnie.
§ 4.Cel i charakter przetwarzania
- Celem przetwarzania jest świadczenie na rzecz Administratora usługi Berlinetta: obsługa sprzedaży internetowej Administratora, w tym zarządzanie zamówieniami, produktami, ofertami, magazynem, dokumentami sprzedażowymi, przesyłkami, zwrotami i komunikacją z kupującymi, portal B2B, automatyzacje, raporty oraz wymiana danych z systemami zewnętrznymi wskazanymi przez Administratora.
- Przetwarzanie ma charakter ciągły, zautomatyzowany (systemy informatyczne Podmiotu przetwarzającego) oraz, w zakresie pomocy technicznej i utrzymania, także ręczny.
- Podmiot przetwarzający przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się: zawarcie umowy o świadczenie usługi i tę umowę, konfigurację Organizacji, integracji, automatyzacji i uprawnień dokonaną przez Administratora lub jego Użytkowników w Aplikacji, operacje wykonywane przez Użytkowników i przez API z użyciem Kluczy API Administratora oraz polecenia przesłane pocztą elektroniczną z adresu Administratora Konta.
- Jeżeli w ocenie Podmiotu przetwarzającego polecenie narusza RODO lub inne przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora i może wstrzymać jego wykonanie do czasu potwierdzenia lub zmiany polecenia.
§ 5.Kategorie osób, których dane dotyczą
- Dane Powierzone dotyczą następujących kategorii osób:
- kupujący i klienci Administratora (osoby składające zamówienia w kanałach sprzedaży Administratora, w tym na marketplace i w sklepach internetowych),
- odbiorcy przesyłek i osoby wskazane do kontaktu przy dostawie,
- kontrahenci Administratora i ich przedstawiciele (w tym użytkownicy portalu B2B),
- pracownicy i współpracownicy Administratora (Użytkownicy Aplikacji, pakowacze, osoby wskazane w dokumentach),
- osoby prowadzące z Administratorem korespondencję w sprawie zamówień, zwrotów, reklamacji i dyskusji,
- inne osoby, których dane Administrator wprowadzi do Aplikacji.
§ 6.Kategorie danych
- Dane Powierzone obejmują w szczególności:
- dane identyfikacyjne: imię, nazwisko, nazwa firmy, NIP, login lub identyfikator kupującego w serwisie zewnętrznym,
- dane kontaktowe: adres pocztowy, adres e-mail, numer telefonu,
- dane zamówień i transakcji: numer i treść zamówienia, zakupione produkty, kwoty, sposób i status płatności, historia zakupów, rabaty, faktury i inne dokumenty sprzedażowe,
- dane wysyłkowe: adres dostawy, punkt odbioru, numer przesyłki, status doręczenia, informacje o zwrotach,
- treść komunikacji: wiadomości i dyskusje z kupującymi, zgłoszenia reklamacyjne i serwisowe, załączniki,
- dane pracowników: imię, nazwisko, adres e-mail, rola, historia działań w Aplikacji, wyniki pracy (np. liczba spakowanych zamówień w systemie premiowym),
- inne dane, które Administrator umieści w polach dodatkowych, notatkach lub załącznikach.
- Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych, chyba że uzgodni to z Podmiotem przetwarzającym indywidualnie i zapewni odpowiednią podstawę prawną.
§ 7.Obowiązki i oświadczenia Administratora
- Administrator oświadcza, że jest administratorem Danych Powierzonych, posiada podstawę prawną ich przetwarzania i przekazania Podmiotowi przetwarzającemu oraz wypełnił wobec osób, których dane dotyczą, obowiązki informacyjne, w tym poinformował je o korzystaniu z podmiotów przetwarzających.
- Administrator odpowiada za zgodność z prawem poleceń wydawanych Podmiotowi przetwarzającemu, w tym za konfigurację integracji i automatyzacji, za zakres danych pobieranych z systemów zewnętrznych oraz za przestrzeganie zasad tych systemów (w szczególności regulaminów marketplace dotyczących danych kupujących).
- Administrator zarządza dostępem swoich Użytkowników do Danych Powierzonych, nadając im uprawnienia adekwatne do zadań, i odpowiada za ich działania.
- Administrator jest zobowiązany niezwłocznie informować Podmiot przetwarzający o okolicznościach mających wpływ na przetwarzanie Danych Powierzonych, w tym o żądaniach osób, których dane dotyczą, kierowanych do Administratora, a wymagających działania Podmiotu przetwarzającego.
§ 8.Poufność
- Podmiot przetwarzający zachowuje Dane Powierzone w poufności i zapewnia, że dostęp do nich mają wyłącznie osoby upoważnione, które zobowiązały się do zachowania tajemnicy (na podstawie umowy lub ustawowego obowiązku zachowania tajemnicy) i zostały zapoznane z przepisami o ochronie danych osobowych.
- Dostęp osób upoważnionych do Danych Powierzonych jest ograniczony do zakresu niezbędnego do świadczenia usługi, pomocy technicznej i zapewnienia bezpieczeństwa; odbywa się przez imienne konta obsługi, jest rejestrowany i podlega zasadzie najmniejszych uprawnień.
- Obowiązek poufności trwa również po zakończeniu umowy, bez ograniczenia w czasie.
§ 9.Bezpieczeństwo przetwarzania
- Podmiot przetwarzający wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka naruszenia praw lub wolności osób, których dane dotyczą, zgodnie z art. 32 RODO, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania.
- Do środków tych należą w szczególności:
- szyfrowanie transmisji danych (TLS 1.2 i 1.3) między użytkownikiem a Aplikacją oraz między Aplikacją a systemami zewnętrznymi,
- izolacja danych każdej Organizacji na poziomie bazy danych (zabezpieczenia na poziomie wierszy, Row Level Security) oraz na poziomie uprawnień aplikacji, tak aby żaden Klient nie miał dostępu do danych innego Klienta,
- uwierzytelnianie użytkowników hasłem przechowywanym wyłącznie w postaci skrótu bcrypt, z możliwością wymuszenia uwierzytelniania dwuskładnikowego (TOTP), ograniczoną ważnością sesji i możliwością ich unieważnienia,
- kontrola dostępu oparta na rolach i granularnych uprawnieniach do modułów Aplikacji, Klucze API o ograniczonym zakresie przechowywane jako skróty,
- przechowywanie poświadczeń integracji (tokenów, kluczy) w odrębnym, szyfrowanym magazynie sekretów,
- rejestrowanie zdarzeń bezpieczeństwa i historii zmian danych (kto, kiedy, co),
- ograniczanie liczby żądań, wykrywanie i blokowanie źródeł ataków, oddzielenie usług wewnętrznych od Internetu,
- regularne kopie zapasowe bazy danych i plików, przechowywane w środowisku o ograniczonym dostępie, oraz procedura odtwarzania,
- aktualizacje oprogramowania i zarządzanie podatnościami, w tym program odpowiedzialnego zgłaszania podatności,
- lokalizacja infrastruktury w centrum danych na terytorium Polski z kontrolą dostępu fizycznego zapewnianą przez operatora centrum danych.
- Szczegółowy i aktualny opis środków bezpieczeństwa znajduje się na stronie Bezpieczeństwo. Podmiot przetwarzający może zmieniać środki bezpieczeństwa, pod warunkiem że nie obniży ogólnego poziomu ochrony.
- Podmiot przetwarzający wspiera Administratora w wywiązywaniu się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.
§ 10.Podprocesorzy
- Podmiot przetwarzający może korzystać z usług dalszych podmiotów przetwarzających (dalej: „Podprocesorzy") wyłącznie w celu świadczenia usługi i wyłącznie w zakresie niezbędnym do jej wykonania.
- Aktualna lista Podprocesorów, wraz ze wskazaniem usługi, zakresu danych, lokalizacji przetwarzania i informacji o transferze poza EOG, jest publikowana pod adresem /podprocesorzy i stanowi załącznik do tej umowy.
- Podmiot przetwarzający nakłada na każdego Podprocesora, w drodze umowy, obowiązki ochrony danych co najmniej równoważne obowiązkom wynikającym z tej umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków, Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wypełnienie obowiązków tego Podprocesora.
- Systemy zewnętrzne, z którymi Administrator sam integruje swoją Organizację (marketplace, platformy sklepowe, przewoźnicy, systemy ERP, KSeF, komunikatory), nie są Podprocesorami Podmiotu przetwarzającego. Podmiot przetwarzający przesyła do nich Dane Powierzone wyłącznie na polecenie Administratora wyrażone konfiguracją integracji, a podmioty te przetwarzają dane na podstawie własnych umów z Administratorem.
§ 11.Zgoda ogólna na Podprocesorów i zmiany listy
- Administrator udziela ogólnej zgody na korzystanie z Podprocesorów wskazanych na liście z § 10 ust. 2 w dniu zawarcia umowy oraz na ich zmiany na zasadach określonych niżej.
- O zamiarze dodania nowego Podprocesora lub zastąpienia dotychczasowego Podmiot przetwarzający informuje Administratora pocztą elektroniczną na adres Administratora Konta oraz aktualizacją listy na stronie, z wyprzedzeniem co najmniej 14 dni przed rozpoczęciem przetwarzania przez nowego Podprocesora, wskazując jego nazwę, usługę, zakres danych i lokalizację.
- Administrator może w terminie wskazanym w ust. 2 zgłosić uzasadniony sprzeciw wobec nowego Podprocesora. W razie sprzeciwu Strony podejmą w dobrej wierze próbę znalezienia rozwiązania (np. wyłączenia funkcji, której dotyczy Podprocesor). Jeżeli rozwiązanie nie jest możliwe, Administrator może wypowiedzieć umowę o świadczenie usługi ze skutkiem na dzień rozpoczęcia przetwarzania przez nowego Podprocesora, z proporcjonalnym zwrotem wynagrodzenia za niewykorzystany okres.
- Usunięcie Podprocesora z listy albo zawężenie zakresu jego przetwarzania nie wymaga zachowania terminu z ust. 2.
§ 12.Przekazywanie danych poza EOG
- Podmiot przetwarzający przetwarza Dane Powierzone na terytorium Polski. Przekazanie Danych Powierzonych do państwa trzeciego lub organizacji międzynarodowej następuje wyłącznie przez Podprocesorów wskazanych na liście jako przetwarzający poza EOG, w zakresie tam opisanym, oraz z zachowaniem warunków rozdziału V RODO: na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-U.S. Data Privacy Framework dla podmiotów certyfikowanych) albo standardowych klauzul umownych przyjętych przez Komisję, uzupełnionych w razie potrzeby o dodatkowe środki.
- Na żądanie Administratora Podmiot przetwarzający udostępnia informacje o zastosowanych podstawach transferu i zabezpieczeniach.
- Przekazanie Danych Powierzonych do systemów zewnętrznych poza EOG na polecenie Administratora (np. do marketplace lub komunikatora działającego poza EOG) odbywa się na odpowiedzialność Administratora, który wybrał dany system.
§ 13.Żądania osób, których dane dotyczą
- Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi w miarę możliwości, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO.
- Aplikacja umożliwia Administratorowi samodzielne wykonanie większości żądań: wyszukanie danych osoby, ich sprostowanie, eksport i usunięcie. Jeżeli żądanie wymaga działania po stronie Podmiotu przetwarzającego (np. usunięcia danych, których Aplikacja nie pozwala usunąć samodzielnie), Podmiot przetwarzający wykonuje je w terminie 7 dni od otrzymania polecenia Administratora.
- Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Podmiotu przetwarzającego, ten nie odpowiada merytorycznie na żądanie, lecz w terminie 5 dni roboczych przekazuje je Administratorowi (o ile jest w stanie ustalić, którego Administratora dotyczy) i informuje osobę o przekazaniu. Adres do takich zgłoszeń: kontakt@berlinetta.pl.
§ 14.Naruszenia ochrony danych
- Podmiot przetwarzający, po stwierdzeniu naruszenia ochrony Danych Powierzonych, bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, zgłasza je Administratorowi pocztą elektroniczną na adres Administratora Konta oraz, jeżeli Administrator wskazał inny adres do zgłoszeń, także na ten adres.
- Zgłoszenie zawiera, w miarę dostępnych informacji:
- opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy,
- opis możliwych konsekwencji naruszenia,
- opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i zminimalizowania jego skutków,
- dane kontaktowe osoby udzielającej dalszych informacji.
- Jeżeli nie da się udzielić wszystkich informacji w tym samym czasie, Podmiot przetwarzający udziela ich sukcesywnie, bez zbędnej zwłoki. Podmiot przetwarzający dokumentuje naruszenia i współpracuje z Administratorem przy ich analizie oraz przy zgłoszeniu organowi nadzorczemu i zawiadomieniu osób, jeżeli Administrator uzna je za wymagane.
- Podmiot przetwarzający nie zgłasza naruszeń Danych Powierzonych organowi nadzorczemu ani osobom, których dane dotyczą, w imieniu Administratora, chyba że Administrator go do tego upoważni. Zgłoszenia i pytania dotyczące bezpieczeństwa Administrator kieruje na adres kontakt@berlinetta.pl.
§ 15.Ocena skutków dla ochrony danych
- Podmiot przetwarzający, uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi w przeprowadzeniu oceny skutków dla ochrony danych (art. 35 RODO) oraz w uprzednich konsultacjach z organem nadzorczym (art. 36 RODO), udzielając informacji o sposobie przetwarzania i środkach bezpieczeństwa w usłudze.
- Informacje potrzebne do typowej oceny (opis operacji przetwarzania, środków bezpieczeństwa, lokalizacji, Podprocesorów) są zawarte w tej umowie, w Polityce prywatności i na stronie Bezpieczeństwo. Pomoc wykraczająca poza udostępnienie tych informacji może być odpłatna według stawki uzgodnionej indywidualnie.
§ 16.Audyty i kontrole
- Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.
- Audyt odbywa się po uprzednim zawiadomieniu z wyprzedzeniem co najmniej 14 dni, w dni robocze i godzinach pracy, nie częściej niż raz w roku (chyba że audyt jest następstwem naruszenia lub żądania organu nadzorczego), w sposób niezakłócający świadczenia usługi innym Klientom i nieujawniający danych innych Klientów. Audytor niebędący pracownikiem Administratora podpisuje zobowiązanie do zachowania poufności.
- W pierwszej kolejności audyt realizowany jest przez udzielenie odpowiedzi na pytania i udostępnienie dokumentacji (audyt korespondencyjny). Inspekcja na miejscu jest możliwa, jeżeli audyt korespondencyjny nie pozwoli wykazać zgodności. Koszty audytu ponosi Administrator; Podmiot przetwarzający może żądać zwrotu udokumentowanych kosztów swojego zaangażowania przekraczającego 8 godzin pracy rocznie.
- Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli w jego ocenie polecenie wydane w toku audytu narusza RODO lub inne przepisy.
§ 17.Współpraca z organem nadzorczym
- Podmiot przetwarzający współpracuje z Prezesem Urzędu Ochrony Danych Osobowych w zakresie wykonywanych przez niego zadań i niezwłocznie informuje Administratora o każdej kontroli, zapytaniu lub postępowaniu organu nadzorczego dotyczącym Danych Powierzonych, o ile przepisy prawa nie zakazują takiej informacji.
- Podmiot przetwarzający informuje Administratora także o każdym wiążącym żądaniu ujawnienia Danych Powierzonych skierowanym przez organ publiczny, chyba że jest to prawnie zakazane, i ujawnia wyłącznie dane, których żądanie dotyczy.
§ 18.Zwrot i usunięcie danych
- Po zakończeniu świadczenia usługi Podmiot przetwarzający, zależnie od decyzji Administratora, zwraca mu Dane Powierzone albo je usuwa, zgodnie z § 25 Regulaminu.
- Zwrot następuje przez udostępnienie eksportu Danych Powierzonych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, na żądanie Administratora złożone w terminie 30 dni od zakończenia umowy, w terminie 14 dni od żądania. Po wykonaniu zwrotu, a najpóźniej w terminie 60 dni od zakończenia umowy, Podmiot przetwarzający usuwa Dane Powierzone z systemów produkcyjnych, w tym wszystkie ich kopie robocze i pamięć podręczną.
- Dane Powierzone zawarte w kopiach zapasowych wygasają wraz z rotacją kopii, najpóźniej w terminie 90 dni od zakończenia umowy. Do tego czasu nie są przetwarzane w żaden inny sposób niż przechowywanie i nie są przywracane do systemów produkcyjnych, chyba że jest to konieczne do odtworzenia usługi po awarii - wówczas dane zakończonej Organizacji są ponownie usuwane.
- Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie pocztą elektroniczną. Podmiot przetwarzający może zachować Dane Powierzone w zakresie i przez czas, w jakim wymagają tego przepisy prawa, informując o tym Administratora.
§ 19.Kopie zapasowe
- Kopie zapasowe wykonywane przez Podmiot przetwarzający obejmują Dane Powierzone i służą wyłącznie odtworzeniu usługi po awarii. Są przechowywane w środowisku o ograniczonym dostępie, przez okres rotacji nieprzekraczający 90 dni, i nie są udostępniane osobom trzecim.
- Odtworzenie danych z kopii zapasowej na wniosek Administratora odbywa się na zasadach § 18 Regulaminu i wyłącznie w odniesieniu do danych jego Organizacji.
§ 20.Odpowiedzialność i zakończenie umowy
- Każda ze Stron odpowiada za szkody spowodowane przetwarzaniem niezgodnym z RODO zgodnie z art. 82 RODO. W relacji między Stronami odpowiedzialność Podmiotu przetwarzającego wobec Administratora podlega ograniczeniom z § 29 Regulaminu w zakresie, w jakim jest to dopuszczalne; ograniczenia te nie obejmują odpowiedzialności wobec osób, których dane dotyczą, ani kar administracyjnych nałożonych na Stronę za jej własne naruszenia.
- Umowa powierzenia wygasa wraz z zakończeniem umowy o świadczenie usługi, z tym że obowiązki z § 8 (poufność) i § 18 (zwrot i usunięcie) trwają do ich wykonania.
- Zmiany umowy powierzenia następują w trybie przewidzianym dla zmiany Regulaminu (§ 32 Regulaminu), z tym że zmiana obniżająca poziom ochrony wymaga wyraźnej akceptacji Administratora. Umowa w wersji 1.0 obowiązuje od 16 września 2026.
- Umowa podlega prawu polskiemu. Spory rozstrzyga sąd właściwy zgodnie z § 35 Regulaminu. Kontakt w sprawach tej umowy: kontakt@berlinetta.pl.
Usługodawca
ZELCODE LABS KRYSTIAN KAKITEK
NIP 6252509025, REGON 545716021
ul. Mielecka 12/18, 41-219 Sosnowiec, Polska
Pytania do tego dokumentu przyjmujemy pod adresem kontakt@berlinetta.pl.