Umowa powierzenia przetwarzania danych osobowych (DPA) — Viziopoint

UMOWA POWIERZENIA PRZETWARZANIA

DANYCH OSOBOWYCH (DPA) — VIZIOPOINT

Załącznik do Regulaminu serwisu Viziopoint · www.viziopoint.pl · www.viziopoint.ai

obowiązuje od [20.07.2026r.]

Preambuła

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej: „Umowa” albo „DPA”) jest zawierana pomiędzy:

Administratorem — Klientem korzystającym z Serwisu Viziopoint, który wprowadza do Serwisu dane osobowe osób trzecich i decyduje o celach oraz sposobach ich przetwarzania,

oraz

Procesorem — Era Dronów Sp. z o.o. z siedzibą w Poznaniu, ul. Święty Marcin 29/8, 61-806 Poznań, NIP: 9372742139, REGON: 521438598, KRS: 0000959350, kapitał zakładowy: 5 000,00 zł, e-mail: [email protected].

Strony zawierają DPA w celu wykonania obowiązku, o którym mowa w art. 28 ust. 3 RODO, w związku z korzystaniem przez Administratora z Serwisu Viziopoint na podstawie Regulaminu, Cennika, zamówienia albo umowy indywidualnej (dalej: „Umowa Główna”).

DPA wchodzi w życie z chwilą akceptacji Regulaminu lub podpisania Umowy Głównej, chyba że strony uzgodnią inną datę.

§ 1. Definicje

1.1. Użyte w DPA pojęcia oznaczają:

RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r.

Dane Osobowe — dane osobowe powierzone Procesorowi przez Administratora w związku z korzystaniem z Serwisu, opisane w Załączniku A.

Osoba, której dane dotyczą — osobę fizyczną, której dotyczą Dane Osobowe.

Naruszenie Ochrony Danych — naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

Podprocesor — podmiot, któremu Procesor podpowierza przetwarzanie Danych Osobowych.

Serwis — serwis internetowy i aplikację webową Viziopoint, dostępne pod adresami www.viziopoint.pl oraz www.viziopoint.ai.

EOG — Europejski Obszar Gospodarczy.

1.2. Pozostałe pojęcia mają znaczenie nadane im w Regulaminie albo w RODO.

§ 2. Przedmiot, charakter i cel powierzenia

2.1. Administrator powierza Procesorowi przetwarzanie Danych Osobowych w celu i zakresie niezbędnym do świadczenia usług określonych w Umowie Głównej.

2.2. Przetwarzanie obejmuje w szczególności:

• przechowywanie Materiałów Klienta i danych Projektów;
• obsługę zdjęć, metadanych, ortofotomap, chmur punktów, modeli terenu, obrysów, warstw i załączników;
• wykonywanie analizy obrazu i pomiarów wspierających pracę Administratora;
• umożliwianie ręcznej korekty i zatwierdzania wyników przez Użytkowników;
• generowanie Raportów;
• udostępnianie danych do pobrania przez Administratora;
• obsługę zgłoszeń technicznych, bezpieczeństwa, backupu i usuwania danych.

2.3. Szczegółowy opis przetwarzania, w tym kategorie danych, kategorie osób i operacje przetwarzania, zawiera Załącznik A.

2.4. Procesor przetwarza Dane Osobowe wyłącznie na udokumentowane polecenie Administratora. Za polecenie uznaje się również działania Administratora i jego Użytkowników w Serwisie, takie jak przesłanie plików, utworzenie Projektu, uruchomienie analizy, edycja danych, wygenerowanie Raportu, eksport lub usunięcie danych.

2.5. Procesor niezwłocznie informuje Administratora, jeżeli w ocenie Procesora polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 3. Czas obowiązywania

3.1. DPA obowiązuje przez czas obowiązywania Umowy Głównej.

3.2. Postanowienia dotyczące poufności, bezpieczeństwa, zwrotu, usunięcia danych, audytu i odpowiedzialności obowiązują także po zakończeniu Umowy Głównej w zakresie niezbędnym do ich wykonania.

§ 4. Obowiązki Procesora

4.1. Procesor zobowiązuje się do:

• przetwarzania Danych Osobowych wyłącznie na udokumentowane polecenie Administratora;
• zapewnienia, że osoby upoważnione do przetwarzania Danych Osobowych są zobowiązane do zachowania poufności;
• wdrożenia i utrzymywania środków technicznych i organizacyjnych opisanych w Załączniku B;
• przestrzegania zasad podpowierzenia określonych w § 5;
• pomagania Administratorowi w realizacji obowiązków z art. 32-36 RODO, z uwzględnieniem charakteru przetwarzania i informacji dostępnych Procesorowi;
• pomagania Administratorowi w obsłudze żądań osób, których dane dotyczą, zgodnie z § 6;
• zgłaszania Naruszeń Ochrony Danych zgodnie z § 7;
• udostępniania informacji niezbędnych do wykazania zgodności z art. 28 RODO i umożliwienia audytów zgodnie z § 9;
• usunięcia albo zwrotu Danych Osobowych po zakończeniu świadczenia usług zgodnie z § 10.

4.2. Procesor nie wykorzystuje Danych Osobowych do celów własnych, chyba że Administrator wyraził na to zgodę, dane zostały skutecznie zanonimizowane albo obowiązek wynika z przepisów prawa. W szczególności wykorzystanie materiałów zdjęciowych do trenowania modeli sztucznej inteligencji wymaga łącznie skutecznej anonimizacji oraz odrębnej zgody Administratora.

§ 5. Podpowierzenie

5.1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z Podprocesorów w celu świadczenia usług objętych Umową Główną.

5.2. Aktualna lista Podprocesorów stanowi Załącznik C.

5.3. Procesor informuje Administratora o planowanym dodaniu lub zastąpieniu Podprocesora z co najmniej 14-dniowym wyprzedzeniem, publikując aktualizację w Serwisie, przesyłając informację e-mail albo stosując inny trwały kanał komunikacji.

5.4. Administrator może wnieść uzasadniony sprzeciw wobec nowego Podprocesora w terminie 14 dni od otrzymania informacji. Sprzeciw powinien wskazywać konkretne ryzyko dla ochrony Danych Osobowych.

5.5. W przypadku uzasadnionego sprzeciwu strony podejmą próbę uzgodnienia rozwiązania alternatywnego. Jeżeli nie będzie to możliwe, Administrator może rozwiązać Umowę Główną w zakresie, w jakim korzystanie z danego Podprocesora jest konieczne do świadczenia Usługi.

5.6. Procesor zawiera z Podprocesorem umowę nakładającą na niego obowiązki ochrony danych co najmniej równoważne obowiązkom wynikającym z DPA.

5.7. Procesor odpowiada wobec Administratora za działania i zaniechania Podprocesorów jak za własne.

§ 6. Pomoc w realizacji praw osób

6.1. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Procesora z żądaniem wykonania praw wynikających z RODO, Procesor przekaże żądanie Administratorowi bez zbędnej zwłoki, co do zasady nie później niż w terminie 5 dni roboczych.

6.2. Procesor nie odpowiada samodzielnie na takie żądanie, chyba że Administrator wyda takie polecenie albo obowiązek wynika z przepisów prawa.

6.3. Na żądanie Administratora Procesor, w zakresie technicznie możliwym i uzasadnionym charakterem Usługi, pomaga w:

• wyszukaniu danych;
• eksporcie danych;
• sprostowaniu danych;
• ograniczeniu przetwarzania;
• anonimizacji lub usunięciu danych;
• przygotowaniu informacji potrzebnych do odpowiedzi osobie, której dane dotyczą.

6.4. Pomoc standardowa, możliwa do wykonania przez funkcje Serwisu lub typowe zgłoszenie wsparcia, jest objęta wynagrodzeniem za Usługę. Pomoc wykraczająca poza standardowy zakres może być odpłatna po wcześniejszym przedstawieniu kalkulacji.

§ 7. Naruszenia ochrony danych

7.1. Procesor zgłasza Administratorowi Naruszenie Ochrony Danych bez zbędnej zwłoki, nie później niż w terminie 48 godzin od stwierdzenia naruszenia.

7.2. Zgłoszenie, w zakresie dostępnym Procesorowi, zawiera:

• opis charakteru naruszenia;
• kategorie i przybliżoną liczbę Osób, których dane dotyczą;
• kategorie i przybliżoną liczbę wpisów Danych Osobowych, których dotyczy naruszenie;
• dane punktu kontaktowego;
• opis możliwych konsekwencji naruszenia;
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i minimalizacji jego skutków.

7.3. Jeżeli pełne informacje nie są dostępne w chwili pierwszego zgłoszenia, Procesor przekazuje je sukcesywnie bez zbędnej zwłoki.

7.4. Procesor nie zgłasza naruszenia organowi nadzorczemu ani Osobom, których dane dotyczą, chyba że obowiązek taki wynika z przepisów prawa albo Administrator wyda takie udokumentowane polecenie.

§ 8. Bezpieczeństwo przetwarzania

8.1. Procesor wdraża i utrzymuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrażania, charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych.

8.2. Minimalny katalog środków opisuje Załącznik B.

8.3. Procesor może aktualizować środki bezpieczeństwa, jeżeli nie obniża to ogólnego poziomu ochrony Danych Osobowych.

§ 9. Audyt i wykazanie zgodności

9.1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO.

9.2. Administrator może przeprowadzić audyt zgodności Procesora z DPA raz w roku kalendarzowym oraz dodatkowo po Naruszeniu Ochrony Danych, jeżeli naruszenie dotyczy Danych Osobowych Administratora.

9.3. Audyt wymaga co najmniej 14-dniowego wcześniejszego zawiadomienia, powinien odbywać się w dni robocze, w godzinach pracy Procesora i w sposób niezakłócający nadmiernie działania Procesora oraz bezpieczeństwa innych klientów.

9.4. Audyt może być przeprowadzony przez Administratora albo niezależnego audytora zobowiązanego do poufności i niebędącego konkurentem Procesora.

9.5. Procesor może spełnić obowiązek audytowy przez udostępnienie ankiet bezpieczeństwa, opisów środków, raportów z testów, certyfikatów lub raportów Podprocesorów, jeżeli wystarczają one do oceny zgodności.

9.6. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie DPA przez Procesora.

§ 10. Zwrot i usunięcie danych

10.1. Po zakończeniu świadczenia usług Procesor, według wyboru Administratora, usuwa albo zwraca Dane Osobowe oraz usuwa ich kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje dalsze przechowywanie.

10.2. Jeżeli Administrator nie dokona wyboru, Procesor usuwa Dane Osobowe w standardowym terminie do 90 dni od zakończenia Umowy Głównej.

10.3. Kopie zapasowe mogą być przechowywane do czasu ich nadpisania w normalnym cyklu backupu, nie dłużej niż 90 dni od usunięcia danych produkcyjnych, chyba że dłuższy okres wynika z incydentu, sporu albo obowiązku prawnego.

10.4. Przed zakończeniem Umowy Głównej Administrator powinien wyeksportować dane z Serwisu. Jeżeli pełny eksport samoobsługowy nie jest dostępny, Administrator może wystąpić o przygotowanie eksportu na adres [email protected].

10.5. Obowiązek usunięcia lub zwrotu nie dotyczy danych skutecznie zanonimizowanych, które nie stanowią danych osobowych.

§ 11. Przekazywanie danych poza EOG

11.1. Część Podprocesorów Procesora, w szczególności DigitalOcean oraz Runpod, ma siedzibę w Stanach Zjednoczonych, co wiąże się z przekazywaniem Danych Osobowych poza EOG. Pozostali Podprocesorzy wskazani w Załączniku C (Cyber_Folks S.A., Stripe Payments Europe) mają siedzibę na terenie EOG.

11.2. Przekazywanie Danych Osobowych poza EOG odbywa się wyłącznie przy zastosowaniu mechanizmu zgodnego z RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych (SCC), certyfikacji w ramach EU-US Data Privacy Framework (o ile dany dostawca jest certyfikowany) albo innego instrumentu przewidzianego w art. 44-49 RODO.

11.3. Na żądanie Administratora Procesor udostępni informacje o stosowanych mechanizmach transferu w zakresie dopuszczalnym umowami z dostawcami i przepisami prawa.

§ 12. Odpowiedzialność

12.1. Każda ze Stron ponosi odpowiedzialność za szkodę wyrządzoną Osobom, których dane dotyczą, na zasadach określonych w art. 82 RODO.

12.2. We wzajemnych relacjach między Stronami stosuje się ograniczenia odpowiedzialności określone w Umowie Głównej, o ile nie są sprzeczne z bezwzględnie obowiązującymi przepisami prawa.

§ 13. Postanowienia końcowe

13.1. Zmiany DPA mogą być dokonywane w formie dokumentowej, w szczególności przez publikację nowej wersji w Serwisie i poinformowanie Administratora z co najmniej 14-dniowym wyprzedzeniem.

13.2. W razie sprzeczności między DPA a innymi dokumentami umownymi w zakresie powierzenia przetwarzania danych osobowych pierwszeństwo ma DPA.

13.3. W zakresie nieuregulowanym DPA stosuje się Umowę Główną, RODO i prawo polskie.

13.4. Komunikacja związana z DPA kierowana jest do Procesora na adres [email protected], a do Administratora na adres e-mail przypisany do Konta albo wskazany w Umowie Głównej.

Załącznik A — Opis przetwarzania

1. Charakter i cel przetwarzania

Przetwarzanie ma charakter cyfrowy i obejmuje czynności potrzebne do świadczenia Usługi Viziopoint: przechowywanie danych Projektów, obsługę zdjęć, ortofotomap, chmur punktów i modeli terenu, analizę obrazu, pomiar, korektę, generowanie Raportów, eksport danych, wsparcie techniczne, bezpieczeństwo i backup.

2. Czas trwania przetwarzania

Przez czas obowiązywania Umowy Głównej oraz okres archiwizacji, zwrotu, usunięcia i backupu określony w DPA, Regulaminie lub umowie indywidualnej (usunięcie danych do 90 dni po zakończeniu Umowy Głównej; retencja kopii zapasowych do 90 dni).

3. Kategorie Danych Osobowych

Dane mogą obejmować:

• imię i nazwisko, adres, funkcję, dane kontaktowe lub podpis osoby opisanej w Projekcie albo Raporcie;
• dane właściciela, posiadacza lub użytkownika gruntu, jeżeli Administrator je wprowadzi;
• dane poszkodowanego, przedstawiciela, członka zespołu, rzeczoznawcy, doradcy, świadka albo innej osoby uczestniczącej w sprawie;
• numer rachunku bankowego lub inne dane rozliczeniowe, jeżeli Administrator wprowadzi je do Raportu;
• dane geolokalizacyjne działki, miejsca szkody, zdjęcia lub obszaru objętego analizą;
• daty, opisy zdarzeń, uwagi, zastrzeżenia, notatki terenowe i inne pola tekstowe mogące zawierać dane osobowe;
• wizerunek osób, numery rejestracyjne pojazdów albo inne identyfikatory utrwalone incydentalnie na zdjęciach.

4. Kategorie Osób, których dane dotyczą

Dane mogą dotyczyć:

• właścicieli, posiadaczy lub użytkowników gruntów;
• osób poszkodowanych;
• rolników, przedstawicieli gospodarstw, pełnomocników;
• członków zespołów szacujących, rzeczoznawców, doradców, operatorów, przedstawicieli instytucji lub organizacji;
• świadków lub osób wskazanych w uwagach i załącznikach;
• osób incydentalnie widocznych na zdjęciach.

5. Operacje przetwarzania

Operacje obejmują: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez transmisję w ramach funkcji Serwisu, dopasowywanie, ograniczanie, usuwanie i niszczenie.

Załącznik B — Środki techniczne i organizacyjne

Środki techniczne

• szyfrowanie transmisji TLS;
• przechowywanie haseł w postaci bezpiecznych skrótów;
• uwierzytelnianie użytkowników i kontrola sesji;
• kontrola dostępu oparta o role i uprawnienia;
• ograniczenie dostępu administracyjnego do osób upoważnionych;
• automatyczne kopie zapasowe (co do zasady co 7 dni) i mechanizmy odtwarzania danych;
• monitoring dostępności i zdarzeń bezpieczeństwa;
• rejestrowanie krytycznych operacji;
• aktualizacje bezpieczeństwa systemów i zależności;
• separacja środowisk produkcyjnych i testowych;
• ograniczenia dostępu do plików, w tym linki czasowe albo równoważne mechanizmy;
• zabezpieczenia sieciowe adekwatne do architektury Serwisu.

Środki organizacyjne

• nadawanie upoważnień do przetwarzania danych wyłącznie osobom, które ich potrzebują;
• zobowiązania do poufności;
• zasada minimalizacji dostępu;
• procedura obsługi naruszeń ochrony danych;
• procedura nadawania i odbierania dostępów;
• weryfikacja Podprocesorów przed rozpoczęciem współpracy;
• okresowa ocena ryzyka i adekwatności zabezpieczeń;
• zasady pracy z danymi produkcyjnymi;
• dokumentowanie istotnych decyzji dotyczących bezpieczeństwa.

Załącznik C — Lista Podprocesorów

Aktualna lista podmiotów, którym Procesor podpowierza przetwarzanie Danych Osobowych lub które uczestniczą w świadczeniu Usługi:

Procesor aktualizuje listę Podprocesorów zgodnie z § 5 DPA. Stripe Payments Europe działa w odniesieniu do danych płatniczych zasadniczo jako odrębny administrator; zakres jego roli określa polityka prywatności operatora płatności.

W przypadku zawierania DPA w formie pisemnej (poza akceptacją elektroniczną Regulaminu):

Administrator (Klient)

data, imię i nazwisko, podpis

Procesor — Era Dronów Sp. z o.o.

data, imię i nazwisko, podpis