Umowa powierzenia
przetwarzania danych

Obowiązuje od 2 października 2026 r.

1. Przedmiot i czas powierzenia

1. Administrator powierza Przetwarzającemu dane osobowe przechowywane na hostingu i w poczcie elektronicznej — w celu wykonania umowy o hosting (Regulamin usług e-a-s-y).
2. Powierzenie obejmuje: zbieranie, utrwalanie, przechowywanie, opracowywanie w zakresie obsługi serwera i poczty, tworzenie kopii zapasowych oraz usuwanie. Przetwarzanie odbywa się wyłącznie w systemach informatycznych, w sposób częściowo zautomatyzowany.
3. Umowa obowiązuje przez czas świadczenia Usługi. Po rozwiązaniu umowy dane podlegają zwrotowi lub usunięciu zgodnie z punktem 8.

2. Rodzaj danych i kategorie osób

1. Dane zwykłe: imiona i nazwiska, adresy e-mail, numery telefonów, adresy IP, treści plików, baz danych i skrzynek pocztowych umieszczone przez Użytkownika.
2. Dane szczególnych kategorii (art. 9 RODO) oraz dane o wyrokach i naruszeniach prawa (art. 10 RODO) — wyłącznie w zakresie, w jakim Użytkownik sam je umieści na hostingu lub w poczcie. Dotyczy to w szczególności kancelarii prawnych przechowujących akta spraw.
3. Kategorie osób: klienci i kontrahenci Użytkownika, pracownicy i współpracownicy, a w przypadku kancelarii — strony postępowań, świadkowie, pełnomocnicy i biegli, których dane znajdują się w powierzonych aktach.

3. Obowiązki Przetwarzającego (art. 28 ust. 3 RODO)

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora — złożenie zamówienia, ustawienia w Panelu Klienta i zgłoszenia serwisowe są poleceniami. Nie wykorzystuje danych do własnych celów.
2. Zapewnia poufność: osoby z dostępem do serwerów zobowiązane są do zachowania tajemnicy, także po zakończeniu współpracy.
3. Stosuje środki bezpieczeństwa z art. 32 RODO: szyfrowanie transmisji (TLS), indywidualne loginy, rejestrowanie zdarzeń, aktualizacje oprogramowania serwerowego, podział obowiązków. Dostęp serwisowy do treści tylko w zakresie niezbędnym (awaria, zgłoszenie, nakaz organu) i z odnotowaniem w logach.
4. Przestrzega zasad korzystania z podprocesorów (punkt 5).
5. Pomaga Administratorowi w realizacji praw osób (rozdział III RODO) — w zakresie technicznych możliwości hostingu i poczty.
6. Pomaga w obowiązkach z art. 32–36 RODO: bezpieczeństwo, zgłaszanie naruszeń, ocena skutków (DPIA) i konsultacje z organem — w zakresie, w jakim dotyczą infrastruktury e-a-s-y.
7. Po zakończeniu usługi usuwa lub zwraca dane zgodnie z punktem 8, w tym kopie zapasowe w cyklu ich retencji.
8. Udostępnia informacje niezbędne do wykazania zgodności oraz umożliwia audyty — na zasadach z punktu 7.

4. Tajemnica zawodowa kancelarii

1. Personel e-a-s-y nie przegląda treści plików, baz i skrzynek Użytkownika. Dostęp do treści następuje wyłącznie w zakresie niezbędnym do usunięcia awarii, realizacji zgłoszenia lub wykonania nakazu właściwego organu.
2. Filtrowanie spamu (SpamAssassin) jest w pełni automatyczne — wiadomości nie są czytane przez ludzi ani wykorzystywane do reklamy.
3. O żądaniu organu dotyczącym danych Użytkownika informujemy Użytkownika bez zbędnej zwłoki, o ile prawo nie zabrania zawiadomienia. Danych objętych tajemnicą zawodową (art. 3 ustawy o radcach prawnych, art. 6 Prawa o adwokaturze) nie ujawniamy ponad zakres wynikający z prawomocnej podstawy prawnej.
4. Administrator (kancelaria) odpowiada za podstawę przetwarzania danych swoich klientów oraz za to, jakie dane umieszcza na hostingu.

5. Podprocesorzy i lokalizacja

1. Serwery produkcyjne: Kraków, Polska. Druga, szyfrowana kopia zapasowa: Hetzner Online GmbH, centra danych w Unii Europejskiej. Dane hostingowe i pocztowe nie opuszczają Europejskiego Obszaru Gospodarczego.
2. Podprocesorzy: Stripe Payments Europe, Ltd. (płatności — wyłącznie status transakcji i identyfikatory), rejestrator domen (dane rejestracyjne w zakresie wymaganym przepisami, w tym WHOIS), Hetzner Online GmbH (szyfrowane kopie zapasowe), biuro rachunkowe (faktury), dostawca narzędzia zgłoszeń. Każdy związany jest co najmniej takim samym poziomem ochrony danych.
3. O planowanym dodaniu lub zastąpieniu podprocesora informujemy z 14-dniowym wyprzedzeniem (e-mail i Panel Klienta). Sprzeciw zgłoś przed zmianą — w razie braku porozumienia możesz rozwiązać dotkniętą Usługę z rozliczeniem proporcjonalnym.
4. Rejestracja domen globalnych (.com i podobnych) wiąże się z przekazaniem danych rejestracyjnych poza EOG (rejestr, ICANN, depozyt) — na podstawie decyzji o adekwatności (EU-US Data Privacy Framework) albo standardowych klauzul umownych Komisji Europejskiej 2021/914.

6. Naruszenia ochrony danych

1. O stwierdzonym naruszeniu dotyczącym powierzonych danych zawiadamiamy Administratora bez zbędnej zwłoki, nie później niż w ciągu 24 godzin — e-mailem na adres konta oraz wpisem w Panelu Klienta.
2. Zawiadomienie zawiera ustalony charakter naruszenia, przybliżoną liczbę dotkniętych osób i rekordów, możliwe konsekwencje oraz podjęte i proponowane środki zaradcze.
3. Pomagamy Administratorowi wywiązać się z obowiązków z art. 33–34 RODO (zgłoszenie do UODO w 72 godziny, zawiadomienie osób).

7. Audyty

Administrator może raz w roku zlecić audyt — na własny koszt, po 30-dniowym zawiadomieniu, w godzinach roboczych, bez zakłócania usług dla innych klientów. Zamiast audytu na miejscu możemy przedstawić aktualną dokumentację środków bezpieczeństwa i logi dostępu dotyczące konta Administratora.

8. Zwrot i usunięcie po zakończeniu

1. Przed usunięciem konta pobierz kopię danych — po usunięciu odtwarzamy je wyłącznie z kopii w okresie retencji (30 dni).
2. Po zakończeniu usługi usuwamy dane produkcyjne, a kopie zapasowe wygasają w cyklu retencji. Dane księgowe przechowujemy 5 lat od końca roku podatkowego, a korespondencję sporną — do 3 lat po zakończeniu sprawy (dochodzenie roszczeń).

9. Postanowienia końcowe

1. Umowa zawierana jest w trybie art. 384 Kodeksu cywilnego — akceptacja w koszyku lub dalsze korzystanie z Usługi po wejściu w życie zmian oznacza jej przyjęcie. Nie wymaga podpisu ani odsyłania skanów.
2. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Zmiany ogłaszamy z 14-dniowym wyprzedzeniem; nie dotyczą opłaconych Okresów Rozliczeniowych.