RodPanel
Zaloguj Załóż konto ogrodu

Umowa powierzenia przetwarzania danych osobowych

Wersja: 2026-10-07 art. 28 RODO

Umowa zostaje zawarta w chwili rejestracji Konta Ogrodu – zaznaczenia akceptacji w formularzu przez osobę uprawnioną do reprezentowania ogrodu – pomiędzy:

  • Ogrodem (podmiotem prowadzącym rodzinny ogród działkowy) korzystającym z Platformy – jako Administratorem,
  • RodPanel.pl – jako Podmiotem przetwarzającym,

w związku z umową o świadczenie usług Platformy RodPanel zawartą na podstawie Regulaminu. Pojęcia użyte w umowie mają znaczenie nadane im w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

§1. Przedmiot, charakter i cel

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług Platformy: przechowywania danych, udostępniania ich użytkownikom Konta Ogrodu, naliczania opłat, generowania dokumentów i zestawień, wysyłki wiadomości e-mail i SMS zleconych przez Ogród, pobierania faktur Ogrodu z Krajowego Systemu e-Faktur (KSeF) – jeśli Ogród włączy ten moduł – wykonywania kopii zapasowych oraz pomocy technicznej.
  2. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemie informatycznym Platformy, i obejmuje: zbieranie, zapisywanie, przechowywanie, porządkowanie, modyfikowanie, przeglądanie, udostępnianie upoważnionym użytkownikom, eksport i usuwanie danych.

§2. Rodzaj danych i kategorie osób

  • Kategorie osób: działkowcy (użytkownicy działek), członkowie zarządu i inne osoby, którym Ogród założy konto lub których dane wprowadzi, a w module KSeF także kontrahenci Ogrodu będący osobami fizycznymi (np. przedsiębiorcy wystawiający Ogrodowi faktury).
  • Rodzaje danych: imię i nazwisko, adres, adres e-mail, numer telefonu, data urodzenia (jeśli wprowadzona), skrót hasła (bcrypt), numer i powierzchnia działki, naliczenia opłat, wpłaty (w tym dane z wyciągów bankowych: nadawca, rachunek, tytuł), odczyty liczników, treść zgłoszeń i wiadomości, pliki wgrane przez Ogród, historia e-maili i SMS-ów wysłanych z Platformy do działkowca (adres lub numer, temat, treść, status – przez 24 miesiące), dziennik wysyłki e-maili (adres, temat, status – przez 90 dni), faktury pobrane z KSeF (dane wystawcy i nabywcy: nazwa, NIP, adres, dane kontaktowe, numer rachunku, pozycje i kwoty, a także notatki i statusy nadane przez zarząd).
  • Platforma nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani numerów PESEL – Administrator nie wprowadza takich danych.

§3. Czas trwania i miejsce przetwarzania

  1. Umowa obowiązuje przez czas świadczenia usług Platformy, a po jej zakończeniu – do czasu usunięcia danych zgodnie z §6.
  2. Dane są przetwarzane na serwerach w Polsce, w Europejskim Obszarze Gospodarczym. Podmiot przetwarzający nie przekazuje powierzonych danych do państw trzecich.

§4. Obowiązki Podmiotu przetwarzającego

  1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora – poleceniem jest w szczególności korzystanie z funkcji Platformy przez użytkowników Ogrodu oraz Regulamin i niniejsza umowa – chyba że obowiązek przetwarzania nakłada prawo Unii lub prawo polskie; w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo tego nie zabrania.
  2. Niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych.
  3. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy. Operator Platformy przegląda dane Ogrodu (w tym przez serwisowe logowanie do panelu Ogrodu) wyłącznie wtedy, gdy jest to niezbędne do usunięcia awarii, pomocy technicznej lub na prośbę Ogrodu; każde takie logowanie i inne działania serwisowe są zapisywane w dzienniku.
  4. Stosuje środki z art. 32 RODO, w tym: logiczne oddzielenie danych każdego Ogrodu (sprawdzane automatycznymi testami przy każdej wersji), szyfrowane połączenia (HTTPS), skróty haseł (bcrypt), kontrolę uprawnień według ról, limity prób logowania, unieważnianie sesji po zmianie hasła, codzienne kopie zapasowe przechowywane przez 14 dni oraz bieżące aktualizacje oprogramowania.
  5. Pomaga Administratorowi – w miarę możliwości i przy pomocy funkcji Platformy (m.in. edycja i usuwanie danych), a na żądanie także przez przekazanie kopii danych – w realizacji żądań osób, których dane dotyczą (art. 12–22 RODO), oraz obowiązków z art. 32–36 RODO.
  6. Prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.
  7. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO (§8).
  8. Token KSeF przekazany przez Ogród przechowuje w postaci zaszyfrowanej (klucz poza bazą danych), nie ujawnia go i używa wyłącznie do odczytu faktur Ogrodu z KSeF; po usunięciu tokena przez Ogród przestaje łączyć się z KSeF w jego imieniu.

§5. Dalsze powierzenie (podprzetwarzający)

  1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania następującym podmiotom:
    • hosting, kopie zapasowe i poczta e-mail: Globtel Internet Szymon Hersztek (WEBD.pl), ul. Matecznikowa 2/1, 80-126 Gdańsk, NIP 9570804786 – hosting i poczta e-mail, serwery w Polsce,
    • wysyłka SMS: Vercom S.A. (operator SerwerSMS.pl), ul. Wierzbięcice 1B, 61-569 Poznań, NIP 7811765125 – numer telefonu i treść wiadomości.
  2. Podmiot przetwarzający nakłada na podprzetwarzających – w drodze umowy – te same obowiązki ochrony danych, które wynikają z niniejszej umowy, i odpowiada wobec Administratora za ich wykonanie.
  3. O zamiarze dodania lub zmiany podprzetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw; jeśli Strony się nie porozumieją, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym, z proporcjonalnym zwrotem opłaty za niewykorzystany okres.

§6. Zakończenie przetwarzania – zwrot i usunięcie danych

  1. Przez cały czas trwania umowy i do chwili usunięcia danych Podmiot przetwarzający, na żądanie Administratora, przekazuje mu kopię wszystkich powierzonych danych w powszechnie używanym formacie (pliki CSV, szablony, pliki „Do pobrania”) w ciągu 14 dni.
  2. Po zakończeniu świadczenia usług Podmiot przetwarzający usuwa powierzone dane w ciągu 30 dni, a z kopii zapasowych – w cyklu ich nadpisywania (nie dłużej niż 14 dni), chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Na żądanie potwierdza usunięcie e-mailem.

§7. Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres Konta głównego.
  2. Zgłoszenie zawiera – w miarę dostępnych informacji – opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, zastosowane i proponowane środki zaradcze oraz dane osoby do kontaktu. Podmiot przetwarzający współpracuje z Administratorem przy zgłoszeniu naruszenia do Prezesa UODO i zawiadomieniu osób, których dane dotyczą.

§8. Kontrola (audyt)

Administrator może kontrolować przestrzeganie umowy – w pierwszej kolejności przez pisemne pytania, na które Podmiot przetwarzający odpowiada w ciągu 14 dni. Audyt w siedzibie lub przez upoważnionego audytora wymaga uzgodnienia terminu z 14-dniowym wyprzedzeniem, odbywa się w Dni robocze, nie częściej niż raz w roku (chyba że doszło do naruszenia) i na koszt Administratora. Audytor zobowiązuje się do zachowania poufności.

§9. Obowiązki Administratora

  1. Administrator oświadcza, że posiada podstawę prawną do przetwarzania powierzonych danych i spełnia wobec osób, których dane dotyczą, obowiązki informacyjne.
  2. Administrator nadaje uprawnienia użytkownikom Konta Ogrodu, dba o aktualność danych i odpowiada za działania swoich użytkowników.

§10. Odpowiedzialność i postanowienia końcowe

  1. Strony odpowiadają za szkody zgodnie z art. 82 RODO. Ograniczenia odpowiedzialności z Regulaminu stosuje się wyłącznie w zakresie dopuszczalnym przez prawo.
  2. W sprawach przetwarzania powierzonych danych postanowienia tej umowy mają pierwszeństwo przed Regulaminem. W sprawach nieuregulowanych stosuje się RODO, Regulamin i przepisy prawa polskiego.
  3. Data zawarcia umowy, wersja dokumentu i adres IP osoby akceptującej są zapisywane w Platformie. Na prośbę Administratora Podmiot przetwarzający przekaże potwierdzenie zawarcia umowy w postaci elektronicznej.