Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od: 8 października 2026 r. · Zawierana przez akceptację przy rejestracji konta w kreatorproduktow.pl

§1. Strony i przedmiot

Administrator — Klient, czyli sklep korzystający z usługi kreatorproduktow.pl zgodnie z regulaminem.
Podmiot przetwarzający — PanSkull, [adres siedziby], NIP [NIP], [wpis do CEIDG / KRS].
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych swoich klientów (Kupujących) w zakresie niezbędnym do świadczenia usługi Kreatora, zgodnie z art. 28 rozporządzenia (UE) 2016/679 (RODO).

Kategorie osób	Kupujący — osoby korzystające z Kreatora na stronie sklepu Administratora.
Rodzaje danych	Treści umieszczane przez Kupujących w projektach (teksty, zdjęcia, grafiki — mogą zawierać wizerunek, imiona, nazwiska i inne dane podane przez Kupującego), adres IP oraz data i godzina zatwierdzenia projektu, identyfikator produktu.
Charakter i cel	Przechowywanie wgranych plików, tworzenie podglądów i plików do druku, udostępnianie ich Administratorowi do realizacji zamówień, kopie zapasowe.
Czas	Przez czas świadczenia usługi. Pliki i projekty są usuwane automatycznie po czasie ustawionym przez Administratora w panelu (do 30 dni, przy dodatkowym miejscu do 90 albo 365 dni); kopie zapasowe — po kolejnych maksymalnie 30 dniach.

Przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem jest w szczególności konfiguracja Kreatora w panelu i korzystanie z usługi zgodnie z regulaminem.
Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania ich w tajemnicy.
Stosuje środki techniczne i organizacyjne z art. 32 RODO, w szczególności: szyfrowane połączenia (HTTPS), losowe, niemożliwe do odgadnięcia adresy plików bez możliwości przeglądania list plików, hasła przechowywane jako skrót, ograniczenie prób logowania, zapora sieciowa i blokada prób włamania na serwerze, codzienne kopie zapasowe przechowywane także poza serwerem, automatyczne usuwanie plików po upływie okresu przechowywania.
Pomaga Administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz z obowiązków z art. 32–36 RODO, w zakresie, w jakim ma to związek z usługą.
Zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje potrzebne do oceny naruszenia.
Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt, po uprzednim uzgodnieniu terminu, nie częściej niż raz w roku (chyba że audyt jest związany z naruszeniem ochrony danych).

Administrator udziela ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających. W dniu zawarcia umowy są to: dostawca serwera — [nazwa dostawcy serwera, kraj], oraz Hetzner Online GmbH (Niemcy) — przechowywanie plików i projektów (magazyn plików w centrum danych w Niemczech) oraz kopii zapasowych (serwer w Finlandii), przez szyfrowane połączenie.
O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie wnieść sprzeciw; brak porozumienia uprawnia Administratora do rozwiązania umowy.
Dalszy podmiot przetwarzający jest zobowiązany do takich samych obowiązków ochrony danych jak Podmiot przetwarzający. Przekazanie danych poza Europejski Obszar Gospodarczy może nastąpić wyłącznie z zachowaniem warunków rozdziału V RODO (np. decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne).

Administrator zapewnia podstawę prawną przetwarzania danych Kupujących i informuje ich o przetwarzaniu (np. w polityce prywatności sklepu), w tym o korzystaniu z Kreatora dostarczanego przez Podmiot przetwarzający.
Administrator pobiera pliki potrzebne do realizacji zamówień w okresie ich przechowywania i odpowiada za dalsze przetwarzanie pobranych plików.

Po zakończeniu świadczenia usługi Podmiot przetwarzający usuwa dane Kupujących — pliki i projekty najpóźniej po upływie ustawionego czasu przechowywania (do 30 dni, przy dodatkowym miejscu do 90 albo 365 dni), a kopie zapasowe w cyklu ich nadpisywania (do 30 dni) — chyba że przepisy prawa nakazują ich dalsze przechowywanie.
Na żądanie Administratora zgłoszone przed końcem okresu przechowywania Podmiot przetwarzający usuwa wskazane projekty wcześniej; Administrator może też usuwać je samodzielnie w panelu sklepu.

Umowa obowiązuje przez czas korzystania z usługi kreatorproduktow.pl i wygasa wraz z zakończeniem przetwarzania danych zgodnie z §6.
Odpowiedzialność stron określają przepisy RODO oraz regulamin usługi.
W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego. Zmiany umowy wymagają poinformowania Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem.