PLEN
Zaplanuj wydarzenie

Umowa powierzenia przetwarzania danych osobowych

Wersja robocza z 25 października 2026 r. Załącznik nr 1 do Regulaminu.

§ 1. Strony i zawarcie

  1. Umowę zawierają Klient jako administrator danych Gości i Substancja Wiążąca sp. z o.o. z siedzibą w Warszawie, ul. Chmielna 2 lok. 31, 00-020 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001261652, NIP 5253102845, REGON 545522297, kapitał zakładowy 5 000 zł (dalej: „Usługodawca”) jako podmiot przetwarzający.
  2. Umowa jest załącznikiem nr 1 do Regulaminu. Klient zawiera ją, akceptując Regulamin przy zakładaniu konta w Aplikacji, w formie elektronicznej (art. 28 ust. 9 RODO).
  3. Umowa obowiązuje przez czas korzystania z Aplikacji i do usunięcia danych Gości zgodnie z § 9.
  4. Pojęcia z Regulaminu (Klient, Użytkownik, Gość, Aplikacja, Wiadomość) mają w Umowie to samo znaczenie. W sprawach danych Gości Umowa ma pierwszeństwo przed Regulaminem.

§ 2. Przedmiot, charakter i cel przetwarzania

  1. Klient powierza Usługodawcy przetwarzanie danych osobowych Gości, które Użytkownicy wprowadzają do Aplikacji albo które Goście podają, odpowiadając na zaproszenie.
  2. Przetwarzanie obejmuje przechowywanie, porządkowanie, wyświetlanie Użytkownikom, wysyłkę Wiadomości, zbieranie odpowiedzi i usuwanie danych.
  3. Celem jest wyłącznie obsługa wydarzeń Klienta w Aplikacji: lista gości, strona wydarzenia, Wiadomości, odpowiedzi Gości i agenda.

§ 3. Kategorie osób i rodzaje danych

  1. Kategorie osób: Goście, w tym pracownicy, współpracownicy, klienci i partnerzy biznesowi Klienta, a także osoby towarzyszące i dzieci.
  2. Rodzaje danych: imię i nazwisko, adres e-mail, numer telefonu, firma, stanowisko, język, odpowiedzi na pytania Klienta, dane osób towarzyszących i dzieci, historia Wiadomości i ich doręczenia.
  3. Odpowiedzi o diecie i alergiach mogą być danymi dotyczącymi zdrowia (art. 9 RODO). Klient decyduje, czy o nie pyta, i odpowiada za podstawę ich przetwarzania.

§ 4. Polecenia Klienta

  1. Usługodawca przetwarza dane Gości wyłącznie na udokumentowane polecenie Klienta. Poleceniem są Umowa, Regulamin i działania Użytkowników w Aplikacji, także wykonane przez asystenta AI podłączonego do konektora.
  2. Jeżeli polecenie narusza RODO albo inne przepisy o ochronie danych, Usługodawca niezwłocznie informuje o tym Klienta i może wstrzymać jego wykonanie.
  3. Bez polecenia Usługodawca przetwarza dane tylko wtedy, gdy wymaga tego prawo Unii albo prawo polskie. Informuje o tym Klienta przed przetwarzaniem, chyba że prawo tego zabrania.

§ 5. Obowiązki Usługodawcy

  1. Dostęp do danych Gości mają wyłącznie osoby upoważnione przez Usługodawcę, zobowiązane do zachowania ich w tajemnicy.
  2. Usługodawca stosuje środki z art. 32 RODO, w szczególności: szyfrowane połączenia (HTTPS), dostęp do danych tylko dla upoważnionych osób, losowe, trudne do odgadnięcia klucze w linkach Gości, klucze konektora przechowywane wyłącznie jako skrót, kopie zapasowe bazy danych. Aplikacja i baza danych działają na serwerach we Frankfurcie.
  3. Usługodawca pomaga Klientowi odpowiadać na żądania Gości (art. 15–22 RODO): przez narzędzia Aplikacji (zmiana i eksport danych, usunięcie Gościa w całości) oraz przez przekazanie Klientowi bez zbędnej zwłoki żądania, które trafi do Usługodawcy.
  4. Usługodawca pomaga Klientowi wywiązać się z obowiązków z art. 32–36 RODO, w zakresie informacji, którymi dysponuje.
  5. Usługodawca zgłasza Klientowi naruszenie ochrony danych Gości bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail konta Klienta. Zgłoszenie zawiera znane w tym czasie informacje z art. 33 ust. 3 RODO; pozostałe Usługodawca przekazuje, gdy je pozna.

§ 6. Dalsze podmioty przetwarzające

  1. Klient udziela Usługodawcy ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (art. 28 ust. 2 RODO). Ich aktualna lista jest w § 11.
  2. O zamiarze dodania albo zastąpienia dalszego podmiotu przetwarzającego Usługodawca informuje Klienta, zanim ten podmiot zacznie przetwarzać dane Gości: zmienia listę w § 11 i wysyła wiadomość na adres e-mail konta Klienta. Zmiana nie wymaga zgody Klienta ani upływu terminu.
  3. Klient może zgłosić sprzeciw wobec zmiany na adres kontakt@gluu.events. Jeżeli Usługodawca go nie uwzględni, Klient może wypowiedzieć Regulamin i Umowę ze skutkiem natychmiastowym; dane Gości są wtedy usuwane zgodnie z § 9.
  4. Usługodawca nakłada na dalszy podmiot przetwarzający obowiązki ochrony danych nie słabsze niż w Umowie (art. 28 ust. 4 RODO) i odpowiada wobec Klienta za ich wykonanie.
  5. Asystent AI, którego Klient podłącza do konektora Aplikacji (np. ChatGPT, Claude), działa na polecenie Klienta. Jego dostawca nie jest dalszym podmiotem przetwarzającym Usługodawcy: dane, które asystent pobiera, Klient udostępnia mu sam.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dalsze podmioty przetwarzające z § 11 mają siedziby w USA. Podstawą przekazania jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (ramy ochrony danych UE-USA, EU-US Data Privacy Framework) albo standardowe klauzule umowne.

§ 8. Informacje i audyt

  1. Na żądanie Klienta Usługodawca udostępnia informacje potrzebne do wykazania, że spełnia obowiązki z art. 28 RODO: opis środków bezpieczeństwa, listę dalszych podmiotów przetwarzających i odpowiedzi na pytania Klienta, w terminie do 30 dni.
  2. Audyt, w tym inspekcja, jest możliwy, gdy:
    1. informacje z ust. 1 nie wystarczają do wykazania zgodności z Umową,
    2. doszło do naruszenia ochrony danych Gości Klienta albo
    3. żąda tego organ nadzorczy.
  3. Audyt prowadzi Klient albo niezależny audytor, który nie jest konkurentem Usługodawcy i zobowiązał się do poufności. Klient zapowiada audyt co najmniej 30 dni wcześniej; po naruszeniu albo na żądanie organu nadzorczego z rozsądnym wyprzedzeniem.
  4. Audyt odbywa się w pierwszej kolejności zdalnie (dokumenty, rozmowa), w dni robocze, nie częściej niż raz na 12 miesięcy, chyba że dotyczy naruszenia albo żądania organu. Koszty audytu ponosi Klient.
  5. Audyt nie obejmuje danych innych klientów Usługodawcy ani systemów dalszych podmiotów przetwarzających; w ich zakresie Usługodawca udostępnia ich raporty i certyfikaty, jeżeli je ma.

§ 9. Zakończenie przetwarzania

  1. Przed usunięciem konta Klient może wyeksportować listę gości z Aplikacji.
  2. Po usunięciu konta albo wypowiedzeniu Umowy Usługodawca usuwa dane Gości w ciągu 30 dni, chyba że prawo nakazuje ich przechowywanie. Dane w kopiach zapasowych bazy wygasają razem z nimi, nie później niż 30 dni po usunięciu z bazy.

§ 10. Odpowiedzialność

Odpowiedzialność wobec Gości za szkody wyrządzone przetwarzaniem określa art. 82 RODO. W pozostałym zakresie odpowiedzialność stron określa § 8 Regulaminu.

§ 11. Lista dalszych podmiotów przetwarzających

Stan na 25 października 2026 r.:

  • Vercel Inc. (USA): hosting Aplikacji i stron wydarzeń. Serwery we Frankfurcie.
  • Neon Inc. (USA): baza danych. Dane przechowywane we Frankfurcie.
  • ActiveCampaign, LLC, usługa Postmark (USA): wysyłka Wiadomości do Gości.