Wzorzec dokumentu klienckiego · post-NDA / kontraktowy
Wzorzec zgodny z art. 28 RODO · Wersja 1.0 (10 czerwca 2026 r.)
Niniejszy dokument stanowi wzorzec umowy zawieranej pomiędzy Klientem (Hotelem jako Administratorem danych gości) a Pure Alpha (jako Procesorem). Pola w nawiasach kwadratowych […] są uzupełniane przy zawarciu umowy.
Sposób zawarcia — wyłącznie podpis (art. 28 RODO)
Umowa Powierzenia NIE jest zawierana przez akceptację w platformie (clickwrap). Jest zawierana wyłącznie w formie pisemnej lub kwalifikowanym podpisem elektronicznym przez umocowanego reprezentanta podmiotu (członka zarządu lub pełnomocnika Administratora). Żaden użytkownik platformy — w tym administrator konta — nie posiada per se pełnomocnictwa do zawarcia umowy w imieniu podmiotu, dlatego DPA jest świadomie wyłączona z bramki zgód przy logowaniu.
Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „DPA” lub „Umowa Powierzenia”) zostaje zawarta na podstawie art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej: „RODO”), w związku z umową o świadczenie usług SaaS (dalej: „Umowa Główna”) zawartą pomiędzy Stronami.
[HOTEL_NAZWA], z siedzibą pod adresem: [HOTEL_ADRES], NIP: [HOTEL_NIP], KRS: [HOTEL_KRS] (jeżeli dotyczy), REGON: [HOTEL_REGON], reprezentowany przez [HOTEL_REPREZENTANT] — będący administratorem danych osobowych gości oraz innych osób, których dane są przetwarzane w związku z prowadzoną działalnością hotelarską, dalej zwany „Administratorem”.
Pure Technology Arkadiusz Klijewski, z siedzibą pod adresem: ul. Nektarowa 19 lok. b, 64-530 Kaźmierz, woj. wielkopolskie, NIP:7822354153, reprezentowany przezArkadiusz Klijewski — będący dostawcą platformy Pure Alpha, dalej zwany „Procesorem”.
Administrator i Procesor zwani są dalej łącznie „Stronami”, a każdy z osobna „Stroną”.
Punkty kontaktowe Procesora ds. ochrony danych:
Pojęcia użyte w niniejszej DPA mają znaczenie nadane im w RODO. W szczególności:
3.1 Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i w celu niezbędnym do świadczenia usług określonych w Umowie Głównej, tj. udostępniania i utrzymywania Platformy oraz świadczenia związanych z nią usług wsparcia.
3.2 Procesor przetwarza dane osobowe wyłącznie w zakresie i w celach określonych w niniejszej DPA oraz na udokumentowane polecenie Administratora.
3.3 Szczegółowy opis przedmiotu powierzenia, w tym kategorii danych, kategorii osób, których dane dotyczą, oraz celów przetwarzania, zawierają §6 i §7 niniejszej DPA. Kategorie sub-procesorów określa §9.
4.1 Niniejsza DPA obowiązuje przez okres obowiązywania Umowy Głównej (okres subskrypcji usług SaaS) i wygasa wraz z jej rozwiązaniem lub wygaśnięciem.
4.2 Po zakończeniu obowiązywania Umowy Głównej Procesor — według wyboru Administratora — usunie lub zwróci wszystkie dane osobowe. Administrator ma prawo do eksportu danych na pisemne żądanie w terminie 30 dni od zakończenia Umowy Głównej. Przez okres 90 dni od zakończenia Umowy Głównej („okres odzyskania”) dane pozostają odwracalnie dostępne do eksportu lub przywrócenia na żądanie Administratora. Po upływie okresu odzyskania, o ile bezwzględnie obowiązujące przepisy prawa nie stanowią inaczej, Procesor trwale i nieodwracalnie usuwa dane (szczegóły w §8.7). Terminy te są spójne z §20.4–20.5 Regulaminu (Umowy Głównej).
4.3 Postanowienia DPA dotyczące poufności, bezpieczeństwa oraz obowiązków powstałych w okresie jej obowiązywania pozostają w mocy po jej wygaśnięciu w zakresie niezbędnym dla ich realizacji.
Zgodnie z art. 28 ust. 3 RODO Strony ustalają:
Procesor przetwarza, w zależności od modułów Platformy aktywowanych przez Administratora, następujące kategorie danych osobowych:
Szczególne kategorie danych (art. 9 RODO): Platforma nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych. Administrator zobowiązuje się nie wprowadzać do Platformy danych, o których mowa w art. 9 ust. 1 RODO, poza przypadkami wyraźnie przewidzianymi w Umowie Głównej i objętymi odrębnymi środkami ochrony.
Zgodnie z art. 28 ust. 3 lit. a)–h) RODO Procesor zobowiązuje się do:
Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora — w tym w zakresie przekazywania danych do państwa trzeciego — chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego. W takim przypadku Procesor informuje Administratora o tym obowiązku prawnym przed rozpoczęciem przetwarzania, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny. Jeżeli w ocenie Procesora polecenie Administratora narusza RODO lub inne przepisy o ochronie danych, Procesor niezwłocznie informuje o tym Administratora.
Procesor zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Dostęp do danych osobowych mają wyłącznie osoby, którym jest to niezbędne do realizacji obowiązków wynikających z Umowy Głównej (zasada wiedzy koniecznej, ang. need-to-know).
Procesor wdraża odpowiednie środki techniczne i organizacyjne, o których mowa w art. 32 RODO, zapewniające stopień bezpieczeństwa odpowiadający ryzyku. Szczegółowy opis tych środków zawiera dokument TOM (§11), udostępniany Administratorowi na żądanie.
Procesor korzysta z usług sub-procesorów wyłącznie na zasadach określonych w §9. Procesor zapewnia, by sub-procesorzy podlegali obowiązkom w zakresie ochrony danych tożsamym z obowiązkami Procesora wynikającymi z niniejszej DPA, w drodze umowy lub innego instrumentu prawnego. Procesor ponosi pełną odpowiedzialność wobec Administratora za wykonanie obowiązków przez sub-procesorów.
Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi — poprzez odpowiednie środki techniczne i organizacyjne — w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO (prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych, sprzeciwu).
Procesor pomaga Administratorowi w wywiązaniu się z obowiązków określonych w art. 32–36 RODO, w tym w zakresie bezpieczeństwa przetwarzania, zgłaszania naruszeń ochrony danych (notyfikacja Administratora w terminie 24 godzin — §12), oceny skutków dla ochrony danych (DPIA — §13) oraz uprzednich konsultacji z organem nadzorczym, uwzględniając charakter przetwarzania oraz informacje dostępne Procesorowi.
Po zakończeniu świadczenia usług związanych z przetwarzaniem — zależnie od decyzji Administratora — Procesor usuwa lub zwraca wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych. Realizacja następuje zgodnie z §4.2 (30-dniowe okno eksportu, 90-dniowy okres odzyskania).
Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich, na zasadach określonych w §14.
9.1 Administrator wyraża ogólną zgodę na korzystanie przez Procesora z sub-procesorów. Procesor korzysta z sub-procesorów w następujących kategoriach:
9.2 Pełna lista z imiennym wskazaniem sub-procesorów oraz odpowiadające im Oceny Skutków Transferu (TIA) dostępne są dla Administratora w terminie 5 dni roboczych od podpisania niniejszej DPA, po zawarciu umowy poufności (NDA). Wniosek o udostępnienie pełnej listy można złożyć poprzez portal: /legal/sub-processors-request.
9.3 Zmiany sub-procesorów: Procesor zawiadamia Administratora o zamiarze dodania lub zastąpienia sub-procesora z 30-dniowym wyprzedzeniem. Administratorowi przysługuje prawo sprzeciwu wobec takiej zmiany w terminie 30 dni od otrzymania zawiadomienia. W przypadku uzasadnionego sprzeciwu Strony podejmą w dobrej wierze rozmowy w celu znalezienia rozwiązania; jeżeli rozwiązanie nie zostanie osiągnięte, Administratorowi przysługuje prawo wypowiedzenia Umowy Głównej w części dotyczącej usług, których dotyczy zmiana. W takim przypadku Administratorowi przysługuje zwrot opłat uiszczonych z góry za niewykorzystany okres rozliczeniowy w zakresie usług objętych wypowiedzeniem. Brak zgłoszenia sprzeciwu w terminie 30 dni uznaje się za akceptację dodania lub zastąpienia sub-procesora.
10.1 Przekazywanie danych osobowych do państw trzecich (poza EOG) następuje wyłącznie przy zastosowaniu odpowiedniego mechanizmu prawnego, o którym mowa w rozdziale V RODO, w szczególności:
10.2 Wykaz transferów wraz z zastosowanymi mechanizmami stanowi część dokumentacji udostępnianej post-NDA (§9.2).
11.1 Procesor wdraża i utrzymuje środki techniczne i organizacyjne adekwatne do ryzyka, w tym w zakresie: kontroli dostępu, szyfrowania danych w spoczynku i w tranzycie, segmentacji sieci, monitorowania i rejestrowania zdarzeń, kopii zapasowych i odtwarzania po awarii oraz zarządzania incydentami.
11.2 Szczegółowy opis środków zawiera dokument Środki Techniczne i Organizacyjne (TOM), stanowiący integralną część niniejszej DPA i udostępniany Administratorowi na żądanie (post-NDA dla wersji szczegółowej).
12.1 Procesor, po stwierdzeniu naruszenia ochrony danych osobowych, bez zbędnej zwłoki — a w miarę możliwości nie później niż w ciągu 24 godzin od jego stwierdzenia — zawiadamia o nim Administratora, umożliwiając mu wywiązanie się z obowiązku notyfikacji wobec organu nadzorczego w terminie 72 godzin (art. 33 RODO) oraz, w stosownych przypadkach, zawiadomienia osób, których dane dotyczą (art. 34 RODO).
12.2 Zawiadomienie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów danych objętych naruszeniem, prawdopodobne konsekwencje, środki zastosowane lub proponowane w celu zaradzenia naruszeniu oraz dane kontaktowe punktu, w którym można uzyskać więcej informacji.
12.3 Klasyfikacja istotności (severity):
12.4 Punkt kontaktowy ds. naruszeń ochrony danych: info@purealphahotel.pl (Inspektor Ochrony Danych — kanał dedykowany dla art. 33–34 RODO).
Na żądanie Administratora Procesor — uwzględniając charakter przetwarzania oraz informacje dostępne Procesorowi — udziela Administratorowi pomocy w przeprowadzeniu oceny skutków dla ochrony danych (DPIA, art. 35 RODO) oraz w uprzednich konsultacjach z organem nadzorczym (art. 36 RODO), w zakresie operacji przetwarzania realizowanych w ramach Platformy.
14.1 Administratorowi przysługuje prawo do przeprowadzenia audytu zgodności Procesora z niniejszą DPA nie częściej niż raz w roku, z zawiadomieniem z co najmniej 30-dniowym wyprzedzeniem, lub częściej w przypadku uzasadnionego podejrzenia naruszenia bądź na żądanie organu nadzorczego.
14.2 Audyt może zostać przeprowadzony przez Administratora lub upoważnionego, niezależnego audytora zobowiązanego do zachowania poufności. Strony uzgadniają zakres, termin i sposób audytu tak, aby nie zakłócać działania Platformy.
14.3 Procesor może zrealizować obowiązek audytowy poprzez dostarczenie aktualnych raportów lub certyfikatów niezależnych audytorów (np. ISO/IEC 27001, SOC 2), jeżeli zostały wystawione, w zakresie w jakim obejmują one przedmiot audytu.
15.1 W zakresie ochrony i przetwarzania danych osobowych postanowienia niniejszej DPA mają pierwszeństwo przed postanowieniami Umowy Głównej. W pozostałym zakresie stosuje się postanowienia Umowy Głównej.
15.2 Wszelkie zmiany niniejszej DPA wymagają formy pisemnej lub elektronicznej pod rygorem nieważności.
15.3 W sprawach nieuregulowanych zastosowanie mają przepisy RODO oraz powszechnie obowiązujące przepisy prawa polskiego, w tym ustawy o ochronie danych osobowych.
15.4 Prawem właściwym dla niniejszej DPA jest prawo polskie. Sądem właściwym do rozstrzygania sporów jest sąd właściwy miejscowo dla siedziby Procesora, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.
15.5 Niniejszą DPA sporządzono w dwóch jednobrzmiących egzemplarzach (lub zawarto w formie elektronicznej), po jednym dla każdej ze Stron.
Administrator (Klient)
Podpis / data — [HOTEL_REPREZENTANT]
Procesor (Pure Alpha)
Podpis / data — Arkadiusz Klijewski
Dokument wzorcowy. Ostateczna treść może zostać dostosowana do specyfiki Umowy Głównej oraz wymagań Administratora. Kontakt: info@purealphahotel.pl (sprawy ogólne) lub info@purealphahotel.pl (Inspektor Ochrony Danych).