Umowa Powierzenia Przetwarzania Danych (DPA)

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Wersja: 1.0 Data wejścia w życie: 8.10.2026

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych („DPA") stanowi integralną część Regulaminu Usługi MUTEDATA i jest zawierana pomiędzy:

Podmiotem przetwarzającym: SUDVID AUTOMATE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ ul. Prof. Władysława Szafera 5/32, 31-543 Kraków KRS: 0001117238 | NIP: 5253011278 | REGON: 529204948 (zwana dalej „MUTEDATA" lub „Podmiotem przetwarzającym")

a

Administratorem: Podmiotem, który zawarł Regulamin Usługi MUTEDATA (Administrator Organizacji) (zwany dalej „Administratorem" lub „Klientem")

łącznie zwanymi „Stronami".

Przedmiot i cel powierzenia

1. Niniejsza DPA reguluje warunki przetwarzania danych osobowych przez MUTEDATA działającą jako Podmiot przetwarzający na polecenie Administratora, w związku ze świadczeniem Usługi MUTEDATA opisanej w Regulaminie Usługi.
2. Powierzone przetwarzanie obejmuje wyłącznie dane wymienione w sekcji 3 niniejszej DPA. Dla uniknięcia wątpliwości: treści wiadomości, dokumentów i plików przetwarzanych przez Usługę na urządzeniach Pracowników oraz dane wrażliwe wykrywane przez Usługę nie są przetwarzane przez MUTEDATA; przetwarzanie to odbywa się wyłącznie lokalnie, na urządzeniach Pracowników, i nie stanowi powierzenia w rozumieniu RODO.

Czas trwania

Niniejsza DPA obowiązuje przez cały okres świadczenia Usługi na rzecz Administratora, czyli do czasu wygaśnięcia lub rozwiązania Regulaminu Usługi. Po zakończeniu świadczenia Usługi, z uwzględnieniem okresu karencji przewidzianego w Regulaminie Usługi, MUTEDATA usuwa lub zwraca powierzone dane zgodnie z sekcją 9 niniejszej DPA.

Zakres powierzonych danych i kategorii osób

1. Kategorie osób, których dane dotyczą:

• pracownicy i współpracownicy Administratora posiadający licencje MUTEDATA,
• osoby wyznaczone przez Administratora jako administratorzy konta.

1. Kategorie danych osobowych:

• adresy e-mail Pracowników,
• status licencji (aktywna/nieaktywna),
• adres IP urządzenia (bezpieczeństwo konta),
• anonimowe liczniki statystyczne użytkowania (nie zawierające danych wrażliwych ani treści wiadomości),
• treść zgłoszeń wpisywanych przez Pracowników w formularzu zgłoszeń.

1. Dane nieobjęte powierzeniem:

• treści wiadomości, promptów, e-maili ani dokumentów przetwarzanych przez Pracowników,
• dane osobowe wykryte przez Moduł Detekcji (PESEL, NIP, imiona, adresy itp.),
• pliki i dokumenty przetwarzane przez Usługę.

Charakter i cel przetwarzania

Powierzone dane są przetwarzane wyłącznie w celu:

1. zarządzania kontami i licencjami użytkowników,
2. uwierzytelniania dostępu do Usługi, w tym wysyłki jednorazowych linków logowania MagicLink ważnych 15 minut,
3. synchronizacji reguł konfiguracyjnych między urządzeniami oraz obsługi eksportu i importu pliku konfiguracyjnego,
4. przestrzegania zasad korzystania z konta określonych w Regulaminie Usługi, w tym limitu 3 urządzeń i 8 profili przeglądarki,
5. generowania anonimowych statystyk dostępnych w panelu administracyjnym,
6. obsługi zgłoszeń technicznych i komunikacji z supportem.

Obowiązki Podmiotu przetwarzającego (MUTEDATA)

MUTEDATA zobowiązuje się do:

1. Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora wyrażone w Regulaminie Usługi i niniejszej DPA, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego; w takim przypadku MUTEDATA poinformuje o tym Administratora przed przystąpieniem do przetwarzania, o ile prawo nie zakazuje udzielenia takiej informacji.
2. Zapewnienia, że osoby upoważnione do przetwarzania powierzonych danych zobowiązały się do zachowania tajemnicy lub podlegają odpowiednim ustawowym obowiązkom zachowania tajemnicy.
3. Wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku, zgodnie z art. 32 RODO, obejmujących co najmniej:

• szyfrowanie transmisji danych,
• kontrolę dostępu do systemów przetwarzających dane,
• zabezpieczenie danych logowania przed odczytaniem przez osoby nieuprawnione,
• regularne testowanie i ocenę skuteczności środków.

1. Nieudostępniania powierzonych danych dalszym podmiotom przetwarzającym, zwanym w niniejszej DPA podwykonawcami, bez uprzedniej zgody Administratora, z zastrzeżeniem sekcji 6 niniejszej DPA.
2. Wspomagania Administratora, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązywaniu się z obowiązku odpowiadania na żądania w zakresie wykonywania praw osób, których dane dotyczą.
3. Wspomagania Administratora w zapewnieniu spełnienia obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo przetwarzania, naruszenia ochrony danych, DPIA).
4. Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w niniejszej DPA oraz umożliwienia przeprowadzenia audytów lub inspekcji przez Administratora lub upoważnionego przez niego audytora, przy czym MUTEDATA może wymagać zachowania poufności i uzgodnienia harmonogramu z odpowiednim wyprzedzeniem.
5. Niezwłocznego poinformowania Administratora o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych, w ciągu 48 godzin od stwierdzenia naruszenia.

Dalsze powierzenie przetwarzania (podwykonawcy)

1. Podwykonawca to inna firma, której MUTEDATA zleca wykonanie części czynności przetwarzania powierzonych danych, na przykład obsługę płatności lub wysyłkę wiadomości e-mail (w RODO: dalszy podmiot przetwarzający). Administrator udziela MUTEDATA ogólnego upoważnienia do korzystania z podwykonawców. Aktualna Lista Podwykonawców dostępna jest pod adresem: mutedata.pl/podwykonawcy.
2. MUTEDATA zobowiązuje się do informowania Administratora o wszelkich planowanych zmianach dotyczących dodania lub zastąpienia podwykonawców z co najmniej 30-dniowym wyprzedzeniem, dając Administratorowi możliwość zgłoszenia sprzeciwu.
3. MUTEDATA nakłada na podwykonawców, w drodze umowy lub innego instrumentu prawnego, takie same obowiązki ochrony danych jak określone w niniejszej DPA. MUTEDATA ponosi pełną odpowiedzialność wobec Administratora za wypełnianie obowiązków przez podwykonawców.
4. Aktualni podwykonawcy MUTEDATA na dzień wejścia w życie niniejszej DPA:

Powyższy wykaz jest zgodny z Listą Podwykonawców publikowaną pod adresem mutedata.pl/podwykonawcy. Narzędzia analityczne działające na stronie internetowej nie mają dostępu do danych powierzonych i zostały wskazane odrębnie w tej Liście oraz w sekcji 10 Polityki Prywatności.

Transfer danych do państw trzecich

Wszelkie transfery powierzonych danych do państw spoza Europejskiego Obszaru Gospodarczego dokonywane przez MUTEDATA lub jej podwykonawców odbywają się na podstawie standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską.

Prawa osób, których dane dotyczą

W przypadku, gdy osoba, której dane dotyczą, złoży żądanie realizacji swoich praw (dostęp, sprostowanie, usunięcie, przeniesienie itp.) bezpośrednio do MUTEDATA, MUTEDATA niezwłocznie, nie później niż w ciągu 5 dni roboczych, przekaże to żądanie Administratorowi. MUTEDATA nie odpowiada na takie żądania samodzielnie, chyba że Administrator wyraźnie ją do tego upoważni.

Zwrot i usunięcie danych po zakończeniu Usługi

1. Po zakończeniu świadczenia Usługi MUTEDATA:
2. umożliwia Administratorowi eksport pliku konfiguracyjnego i zanonimizowanych statystyk przez okres do 3 miesięcy liczony od zakończenia okresu karencji określonego w Regulaminie Usługi; pobrany plik można ponownie zaimportować po wznowieniu subskrypcji,
3. po upływie tego okresu trwale i bezpowrotnie usuwa wszystkie powierzone dane osobowe ze swoich systemów, w tym z kopii zapasowych.
4. Na żądanie Administratora MUTEDATA dostarczy pisemne potwierdzenie dokonania usunięcia danych.

Postanowienia końcowe

1. Niniejsza DPA podlega prawu polskiemu.
2. W sprawach nieuregulowanych niniejszą DPA zastosowanie mają przepisy RODO oraz Regulamin Usługi MUTEDATA.
3. W przypadku sprzeczności między postanowieniami niniejszej DPA a Regulaminem Usługi, w zakresie przetwarzania danych osobowych pierwszeństwo mają postanowienia DPA.
4. Zmiany niniejszej DPA wymagają formy pisemnej lub elektronicznej i nie mogą prowadzić do obniżenia poziomu ochrony danych osobowych poniżej wymogów RODO.

Niniejsza DPA wymaga weryfikacji przez radcę prawnego lub adwokata wyspecjalizowanego w ochronie danych osobowych przed opublikowaniem i stosowaniem. Nie stanowi porady prawnej.