Umowa powierzenia przetwarzania danych osobowych
Załącznik nr 1 do regulaminu serwisu Phottate (wersja 2026-10-01)
Umowę powierzenia przetwarzania danych osobowych („Umowa") zawierają:
- Przekazujący — użytkownik Serwisu („Ty"), będący administratorem danych osobowych zawartych w materiałach, które wgrał lub importował do Serwisu;
- Przetwarzający — [NAZWA FIRMY] z siedzibą w [ADRES SIEDZIBY], NIP [NIP], prowadząca serwis Phottate („my").
Umowa zostaje zawarta wraz z akceptacją regulaminu. Dotyczy wyłącznie danych osobowych osób trzecich zawartych w Twoich materiałach — dane Twojego konta jako administratora przetwarzamy zgodnie z polityką prywatności, nie według niniejszej Umowy.
1. Przedmiot, charakter i cel przetwarzania
Przetwarzamy powierzone dane wyłącznie na Twoje udokumentowane polecenie (regulamin i wybór operacji w aplikacji), w celu wykonania zamówionej usługi: generowania animacji, ujęć wideo, korekt zdjęć, lektora, muzyki i montaży. Nie wykorzystujemy danych do własnych celów — w szczególności nie trenujemy na nich własnych modeli i nie przekazujemy ich dalej poza subprocesorów wymienionych w sekcji 5.
2. Czas przetwarzania
Przetwarzanie trwa przez okres przechowywania materiałów na Twoim koncie, tj. do usunięcia materiału, projektu albo całego konta. Po zakończeniu Umowy usuwamy dane z aktywnego Serwisu; mogą one pozostać przez ograniczony czas w kopiach zapasowych: lokalnych do 14 dni, a opcjonalnych zaszyfrowanych kopiach poza serwerem do 90 dni. Kopii tych nie wykorzystujemy do bieżącego świadczenia usług. Pozostałe wyjątki od usunięcia opisuje polityka prywatności.
3. Rodzaje danych i kategorie osób
- Kategorie osób: właściciele i najemcy nieruchomości, osoby widoczne na zdjęciach, osoby kontaktowe z ogłoszeń (np. numer telefonu sprzedającego w zaimportowanym opisie).
- Kategorie danych: wizerunek (zdjęcia), dane kontaktowe i identyfikacyjne zawarte w opisach oraz ogłoszeniach, adres lokalizacji nieruchomości.
- Przetwarzamy wyłącznie dane dostarczone przez Ciebie; nie profilujemy osób i nie podejmujemy wobec nich zautomatyzowanych decyzji.
4. Obowiązki Przetwarzającego
Zobowiązujemy się, w zakresie art. 28 ust. 3 RODO, do:
- przetwarzania danych wyłącznie na udokumentowane polecenie Przekazującego, w tym przenoszenia danych poza EOG tylko na warunkach sekcji 6,
- zapewnienia poufności — dostęp do danych mają wyłącznie osoby upoważnione, zobowiązane do tajemnicy,
- wdrożenia środków bezpieczeństwa opisanych w art. 32 RODO (szczegóły w polityce prywatności, sekcja 13),
- zgłoszenia Przekazującemu naruszenia danych zagrażającego prawom i wolnościom osób nie później niż w ciągu 48 godzin od jego wykrycia, wraz z informacją potrzebną do spełnienia obowiązków zgłoszenia przez administratora,
- udzielania pomocy w realizacji praw osób (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) i w konsultacjach z organem nadzorczym,
- usunięcia lub zwrotu danych po zakończeniu świadczenia usług (sekcja 2),
- udostępnienia wszelkich informacji niezbędnych do wykazania zgodności z obowiązkami procesora i umożliwienia audytu (sekcja 7),
- niepowoływania innego procesora (subprocesora) bez zgody ogólnej Przekazującego (sekcja 5).
5. Subprocesorzy
- Udzielasz ogólnej zgody na korzystanie przez nas z subprocesorów w niezbędnym zakresie. W rejestrze dostawców i subprocesorów (dokument docs/rodo/subprocesorzy.md) odróżniamy dostawców używanych od kandydatów i innych odbiorców danych. Lista obejmuje m.in. dostawców modeli AI (fal.ai i modele trzecich stron), infrastrukturę (Hetzner, Cloudflare) oraz usługi geograficzne (Mapbox, MapTiler).
- O każdej zamierzonej zmianie listy informujemy na stronie rejestru; możesz wobec zmiany zgłosić sprzeciw, kończąc umowę (usuwając konto) lub usuwając dane objęte danym subprocesorem.
- Z każdym subprocesorem zawieramy umowę powierzenia na warunkach nie mniej restrykcyjnych niż niniejsza Umowa.
6. Transfer poza EOG
Jeżeli subprocesor przetwarza dane poza Europejskim Obszarem Gospodarczym, zapewniamy odpowiednie zabezpieczenie transferu: certyfikację Data Privacy Framework albo standardowe klauzule umowne (moduł 3 — przetwarzający do przetwarzającego), w wersji zatwierdzonej decyzją wykonawczą Komisji Europejskiej 2021/914. Kopię klauzul udostępniamy na żądanie (kontakt@phottate.com).
7. Audyt
Zamiast prawa do inspekcji ustanawiamy audyt w formie kwestionariusza: na Twoje żądanie (raz na 12 miesięcy, kontakt@phottate.com) wypełniamy kwestionariusz dotyczący środków technicznych i organizacyjnych oraz przekazujemy potwierdzenia umów ze subprocesorami. Przy poważnym naruszeniu lub zarzucie naruszenia prawa umożliwimy audyt nieograniczony kwestionariuszem.
8. Odpowiedzialność
Odpowiadamy wobec Ciebie za szkody wyrządzone działaniem lub zaniechaniem z naszej strony tylko wtedy, gdy nie wywiązaliśmy się z obowiązków wynikających z RODO albo gdy wykonywaliśmy Twoje polecenia wbrew prawu — zgodnie z art. 82 ust. 2 RODO. Za działania subprocesorów odpowiadamy w takim samym zakresie jak za własne.
9. Postanowienia końcowe
Umowa podlega prawu polskiemu i kończy się automatycznie z usunięciem konta lub danych. Treść Umowy może się zmieniać wraz z regulaminem — o zmianach informujemy 14 dni przed wejściem w życie.