Niniejsza Umowa stanowi integralną część Regulaminu świadczenia usługi i zostaje zawarta z chwilą zawarcia Umowy głównej. Jest zawierana na podstawie art. 28 ust. 3 RODO.
§1. Strony i role
Administratorem danych osobowych przetwarzanych w ramach Konta biura jest Klient, czyli biuro nieruchomości korzystające z Usługi.
Podmiotem przetwarzającym jest Spectra Nieruchomości, ul. Zbożowa 2/1, 30-002 Kraków, NIP 6772516327 (dalej: Operator).
Operator przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za polecenie uznaje się również korzystanie z funkcji Usługi zgodnie z jej przeznaczeniem.
§2. Przedmiot, charakter i cel przetwarzania
Operator przetwarza dane osobowe wyłącznie w celu świadczenia Usługi, to jest udostępnienia Administratorowi narzędzia do prowadzenia bazy klientów i nieruchomości, obsługi zadań i kalendarza, rozliczania transakcji, generowania dokumentów oraz, o ile Administrator z niej korzysta, publicznej strony internetowej biura.
Operator nie wykorzystuje danych Administratora do własnych celów, w szczególności marketingowych, ani nie udostępnia ich innym klientom Usługi.
Przetwarzanie trwa przez czas obowiązywania Umowy głównej oraz przez okres wskazany w §7.
§3. Rodzaj danych i kategorie osób
Kategorie osób: klienci Administratora (sprzedający, kupujący, wynajmujący, najemcy), osoby kontaktowe po stronie kontrahentów oraz pracownicy i współpracownicy Administratora będący Użytkownikami.
Rodzaje danych: imię i nazwisko, numer telefonu, adres e-mail, adres nieruchomości, treść korespondencji i notatek z kontaktu, dane dotyczące transakcji, a także dokumenty wgrywane przez Administratora.
Administrator nie powinien wprowadzać do Usługi danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących. Usługa nie jest do tego przeznaczona.
§4. Obowiązki Operatora
Operator zobowiązuje się do:
- przetwarzania danych wyłącznie na polecenie Administratora,
- zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
- zastosowania środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, opisanych w §5,
- pomocy Administratorowi w realizacji żądań osób, których dane dotyczą, w tym w zakresie dostępu, sprostowania, usunięcia i przeniesienia danych,
- pomocy Administratorowi w wypełnieniu obowiązków z art. 32-36 RODO, w szczególności przy zgłaszaniu naruszeń i ocenie skutków dla ochrony danych,
- zgłoszenia Administratorowi każdego naruszenia ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, wraz z informacjami umożliwiającymi Administratorowi wykonanie jego obowiązków wobec organu nadzorczego,
- udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO.
§5. Środki bezpieczeństwa
Operator stosuje w szczególności:
- szyfrowanie transmisji (TLS) oraz szyfrowanie danych w spoczynku,
- rozdzielenie danych poszczególnych biur, tak by Użytkownik jednego biura nie miał dostępu do danych innego,
- kontrolę dostępu opartą na rolach (CEO, menedżer, agent), egzekwowaną po stronie serwera,
- wygasające linki do pobierania dokumentów, zamiast adresów dostępnych bezterminowo,
- regularne kopie zapasowe wraz z weryfikacją możliwości odtworzenia,
- ograniczenie dostępu administracyjnego do danych produkcyjnych do osób, którym jest on niezbędny.
§6. Dalsze powierzenie (podprocesorzy)
Administrator wyraża ogólną zgodę na korzystanie przez Operatora z dalszych podmiotów przetwarzających, wymienionych poniżej. Operator zapewnia, by podmioty te były związane obowiązkami nie mniej surowymi niż wynikające z niniejszej Umowy, i odpowiada za ich działania jak za własne.
| Podmiot | Zakres | Lokalizacja |
|---|---|---|
| Supabase | Baza danych, uwierzytelnianie i przechowywanie plików | Unia Europejska (Frankfurt, infrastruktura AWS) |
| Vercel | Hosting aplikacji i przetwarzanie żądań | Unia Europejska (region fra1), podmiot z siedzibą w USA |
| Anthropic | Modele językowe: propozycje wiadomości, opisy ofert, podsumowania i trening rozmów | USA |
| Resend | Wysyłka wiadomości e-mail (raporty, powiadomienia) | USA |
Dane Konta biura są przechowywane na serwerach w Unii Europejskiej. W zakresie, w jakim korzystanie z funkcji opartych na sztucznej inteligencji oraz z wysyłki wiadomości e-mail wiąże się z przekazaniem danych poza Europejski Obszar Gospodarczy, przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.
O zamiarze dodania lub zmiany podprocesora Operator informuje Administratora z co najmniej 30-dniowym wyprzedzeniem. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli Strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę główną ze skutkiem na koniec bieżącego okresu rozliczeniowego.
§7. Zakończenie przetwarzania
Po rozwiązaniu Umowy głównej Administrator ma przez 30 dni możliwość samodzielnego wyeksportowania danych. Po upływie tego terminu Operator usuwa dane ze środowiska produkcyjnego, a z kopii zapasowych w cyklu ich nadpisywania, nie później niż w ciągu 90 dni, chyba że obowiązek dalszego przechowywania wynika z przepisów prawa.
Na żądanie Administratora Operator potwierdza usunięcie danych.
§8. Kontrola i audyt
Administrator ma prawo do kontroli sposobu przetwarzania powierzonych danych. Kontrola odbywa się po uprzednim zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy Operatora, w sposób nienaruszający poufności danych innych klientów Usługi.
Operator może wykazać spełnienie obowiązków, przedstawiając dokumentację stosowanych środków bezpieczeństwa oraz informacje o podprocesorach.
§9. Odpowiedzialność
Każda ze Stron odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO.
Administrator odpowiada za posiadanie podstawy prawnej przetwarzania danych wprowadzanych do Usługi oraz za wykonanie obowiązku informacyjnego wobec osób, których dane dotyczą.
§10. Postanowienia końcowe
W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego. Zmiany niniejszej Umowy wymagają formy dokumentowej. Do zmian stosuje się tryb opisany w §12 Regulaminu.