RODO — informacja i warunki powierzenia

RODO — informacja o przetwarzaniu danych osobowych i warunki powierzenia

Wersja 1.0 · obowiązuje od 3 września 2026 r. · dokument obejmuje klauzulę informacyjną (art. 13–14 RODO) oraz warunki powierzenia przetwarzania danych osobowych spełniające wymagania art. 28 ust. 3 RODO

Część A — Klauzula informacyjna

A.1. Administrator i kontakt

Administratorem danych jest KARAT Prosta Spółka Akcyjna, ul. Marszałka Józefa Piłsudskiego 91/1, 50-019 Wrocław, KRS 0001208820, NIP 8971963277, REGON 543396003. Kontakt w sprawach danych osobowych: kontakt@karatdigital.eu, tel. +48 507 875 853. Inspektor ochrony danych nie został wyznaczony — nie zachodzą przesłanki z art. 37 ust. 1 RODO.

A.2. Cele, podstawy prawne i okresy przechowywania

Szczegółowe zestawienie celów, podstaw prawnych i okresów przechowywania zawiera pkt 3 Polityki prywatności. W skrócie dane przetwarzane są w celu: zawarcia i wykonania umowy (art. 6 ust. 1 lit. b RODO), wypełnienia obowiązków prawnych — podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO), realizacji prawnie uzasadnionych interesów administratora — bezpieczeństwa Systemu, marketingu bezpośredniego, dochodzenia i obrony roszczeń (art. 6 ust. 1 lit. f RODO) oraz na podstawie zgody — w zakresie cookies analitycznych i komunikacji marketingowej (art. 6 ust. 1 lit. a RODO w zw. z art. 398 PKE).

A.3. Odbiorcy danych i przekazywanie poza EOG

Odbiorcami danych są podmioty wskazane w pkt 7 Polityki prywatności: operator płatności Stripe, dostawcy modeli i bramy AI, dostawca infrastruktury hostingowej, dostawca poczty elektronicznej, biuro rachunkowe, doradcy prawni oraz organy publiczne — w granicach przepisów prawa. Przekazanie danych poza EOG odbywa się wyłącznie na podstawie decyzji o adekwatności (art. 45 RODO) lub standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń udostępniamy na żądanie.

A.4. Prawa osób i tryb ich realizacji

1. Osobie, której dane dotyczą, przysługują prawa: dostępu do danych (art. 15), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia danych (art. 20), sprzeciwu (art. 21), cofnięcia zgody (art. 7 ust. 3) oraz wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
2. Żądania przyjmowane są pod adresem kontakt@karatdigital.eu, pisemnie na adres siedziby oraz przez e-Doręczenia. Odpowiedź udzielana jest bez zbędnej zwłoki, najpóźniej w terminie miesiąca (z możliwością przedłużenia o 2 miesiące w sprawach złożonych, po uprzednim zawiadomieniu).
3. Realizacja żądań jest bezpłatna. W przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych, w szczególności ze względu na ich ustawiczny charakter, administrator może pobrać rozsądną opłatę albo odmówić działania (art. 12 ust. 5 RODO).
4. Jeżeli żądanie dotyczy danych przetwarzanych w imieniu Klienta (część B), Usługodawca przekazuje je Klientowi w terminie 3 dni roboczych i nie realizuje go samodzielnie bez polecenia Klienta.

A.5. Naruszenia ochrony danych osobowych

1. Usługodawca prowadzi procedurę zarządzania naruszeniami ochrony danych, obejmującą wykrycie, ocenę ryzyka, rejestrację i — gdy wymagane — zgłoszenie.
2. Naruszenia skutkujące ryzykiem naruszenia praw lub wolności osób fizycznych są zgłaszane Prezesowi UODO w terminie 72 godzin od stwierdzenia (art. 33 RODO).
3. Gdy naruszenie może powodować wysokie ryzyko, Usługodawca zawiadamia bez zbędnej zwłoki osoby, których dane dotyczą (art. 34 RODO).
4. Podejrzenie naruszenia bezpieczeństwa danych lub podatności Systemu można zgłosić na adres kontakt@karatdigital.eu. Usługodawca potwierdza przyjęcie zgłoszenia i nie podejmuje działań prawnych wobec osób zgłaszających podatności w dobrej wierze, o ile nie doszło do wykorzystania podatności ani do naruszenia poufności danych.

Część B — Warunki powierzenia przetwarzania danych osobowych (art. 28 RODO)

B.1. Przedmiot, charakter, cel i zakres powierzenia

B.2. Obowiązki Usługodawcy jako podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Klienta — za takie polecenie uznaje się także korzystanie przez Klienta z funkcji Aplikacji oraz treść Regulaminu i Umowy Indywidualnej. Dotyczy to również przekazywania danych do państwa trzeciego, chyba że obowiązek taki wynika z prawa UE lub prawa państwa członkowskiego — wówczas Usługodawca informuje Klienta przed przetwarzaniem, o ile prawo tego nie zabrania.
2. Niezwłocznie informuje Klienta, jeżeli w jego ocenie polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 zdanie drugie RODO).
3. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy, oraz nadaje upoważnienia do przetwarzania danych.
4. Wdraża środki techniczne i organizacyjne wymagane art. 32 RODO, opisane w pkt 12 Polityki prywatności, i zapewnia zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów oraz do przywrócenia dostępności danych w razie incydentu.
5. Pomaga Klientowi — w miarę możliwości i za pomocą odpowiednich środków technicznych i organizacyjnych — w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 28 ust. 3 lit. e RODO), a także w wykonaniu obowiązków z art. 32–36 RODO, w tym w przeprowadzeniu oceny skutków dla ochrony danych (DPIA) i uprzednich konsultacji.
6. Zgłasza Klientowi każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje niezbędne do wykonania przez Klienta obowiązków z art. 33–34 RODO.
7. Prowadzi rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu Klienta (art. 30 ust. 2 RODO).
8. Nie wykorzystuje powierzonych danych do własnych celów, w szczególności nie wykorzystuje ich do trenowania modeli AI ani do celów marketingowych.

B.3. Podprocesorzy (dalsze powierzenie)

1. Klient udziela Usługodawcy ogólnej zgody na korzystanie z podprocesorów (art. 28 ust. 2 RODO), przy zachowaniu warunków określonych poniżej.
2. Usługodawca nakłada na każdego podprocesora — w drodze umowy — obowiązki ochrony danych tożsame z określonymi w niniejszej części, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Usługodawca odpowiada wobec Klienta za działania i zaniechania podprocesorów jak za własne.
3. Aktualny wykaz podprocesorów:

4. O zamierzonej zmianie dotyczącej dodania lub zastąpienia podprocesora Usługodawca informuje Klienta drogą elektroniczną z wyprzedzeniem co najmniej 30 dni. Klient może w terminie 14 dni wnieść uzasadniony sprzeciw. W razie sprzeciwu Strony podejmą działania w celu znalezienia rozwiązania alternatywnego; jeżeli nie będzie to możliwe, Klientowi przysługuje prawo wypowiedzenia umowy ze skutkiem na dzień planowanej zmiany, bez ponoszenia opłat za pozostały okres.

B.4. Prawo kontroli i audytu

1. Usługodawca udostępnia Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia przeprowadzenie audytu, w tym inspekcji, przez Klienta lub audytora przez niego upoważnionego (art. 28 ust. 3 lit. h RODO).
2. Audyt odbywa się po uprzednim zawiadomieniu z wyprzedzeniem co najmniej 14 dni, w dni robocze w godzinach pracy, nie częściej niż raz w roku kalendarzowym — z wyjątkiem audytu następującego po stwierdzonym naruszeniu ochrony danych lub na żądanie organu nadzorczego, który może odbyć się niezwłocznie.
3. Audytor zobowiązany jest do zachowania poufności; audyt nie może naruszać tajemnicy przedsiębiorstwa Usługodawcy ani bezpieczeństwa danych innych klientów. Usługodawca może zaproponować wykazanie zgodności przez przedstawienie aktualnych certyfikatów, raportów z audytów niezależnych lub wypełnionego kwestionariusza bezpieczeństwa.
4. Koszty audytu ponosi Klient, z wyjątkiem audytu przeprowadzonego po stwierdzeniu naruszenia zawinionego przez Usługodawcę.

B.5. Zakończenie powierzenia — zwrot i usunięcie danych

1. Po zakończeniu świadczenia Usługi Usługodawca — zależnie od decyzji Klienta — zwraca powierzone dane (przez udostępnienie funkcji eksportu) albo je usuwa wraz z istniejącymi kopiami.
2. Klient ma 30 dni od zakończenia umowy na pobranie danych. Brak decyzji Klienta w tym terminie oznacza polecenie usunięcia danych.
3. Usunięcie ze środowiska produkcyjnego następuje niezwłocznie po upływie terminu z ust. 2, a z kopii zapasowych — zgodnie z cyklem rotacji, nie później niż w ciągu 90 dni.
4. Usługodawca może zachować dane wyłącznie w zakresie, w jakim wymaga tego prawo Unii lub prawo państwa członkowskiego, informując o tym Klienta.
5. Na żądanie Klienta Usługodawca wystawi pisemne potwierdzenie usunięcia danych.

B.6. Odpowiedzialność

1. Każda ze Stron odpowiada za szkody wyrządzone przetwarzaniem, jeżeli nie dopełniła obowiązków nałożonych na nią przez RODO lub działała poza zgodnymi z prawem instrukcjami drugiej Strony (art. 82 RODO).
2. Klient odpowiada za zgodność z prawem poleceń przetwarzania, za posiadanie podstawy prawnej przetwarzania, za realizację obowiązku informacyjnego wobec swoich pracowników i za zakres danych wprowadzanych do Aplikacji.
3. Ograniczenia odpowiedzialności określone w § 16 Regulaminu stosuje się odpowiednio, z wyłączeniem odpowiedzialności, której nie można ograniczyć na podstawie art. 82 RODO.

Część C — Wzór klauzuli informacyjnej dla pracowników Klienta

Poniższy wzór Klient może wykorzystać, aby wypełnić własny obowiązek informacyjny wobec osób, którym zakłada Konta Użytkowników w Aplikacji Deko. Wzór wymaga uzupełnienia danymi Klienta.