Umowa powierzenia przetwarzania danych osobowych

Ta umowa określa, jak przetwarzamy dane osobowe, które Klient powierza nam w Serwisie Webomat (art. 28 RODO).

Stronami są:

Klient, który korzysta z Serwisu (zgodnie z Regulaminem) – administrator danych,
JCD.PL spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, ul. gen. Klemensa Stanisława Rudnickiego 1/35, 01-858 Warszawa, KRS 0000782199, NIP 1182192683, REGON 383120500, e-mail: [email protected] – podmiot przetwarzający (dalej „my”).

Pojęcia pisane wielką literą (np. Serwis, Panel Klienta, Strona źródłowa, Projekt, Sklep, Kupujący) mają znaczenie nadane im w Regulaminie.

§ 1. Zawarcie i czas trwania

Klient zawiera umowę w formie elektronicznej (art. 28 ust. 9 RODO): zaznacza akceptację przy zakładaniu Konta albo składaniu Zamówienia albo klika „Akceptuję” w Panelu Klienta. Zapisujemy, kto, kiedy, z jakiego adresu IP i którą wersję umowy zaakceptował (rejestr akceptacji).
Umowa obowiązuje tak długo, jak świadczymy Klientowi usługi, w których przetwarzamy dane w jego imieniu (przygotowanie Projektu i poprawek, utrzymanie strony, formularze, statystyki, Sklep), a potem do zakończenia czynności opisanych w § 7.
W sprawach danych osobowych umowa ma pierwszeństwo przed Regulaminem.
Ta wersja zastępuje umowę powierzenia zawartą dotąd jako Załącznik nr 2 do Regulaminu.

§ 2. Przedmiot i zakres

Przetwarzamy dane wyłącznie po to, żeby świadczyć Klientowi usługi Serwisu: przygotować Projekt i poprawki na podstawie Strony źródłowej i materiałów Klienta, utrzymywać jego stronę na naszym serwerze, przekazywać mu wiadomości z formularzy, liczyć odwiedziny, prowadzić Sklep (zamówienia, Konta Kupujących, wiadomości e-mail do Kupujących), robić kopie zapasowe, eksportować dane na żądanie Klienta i usuwać je. Klient poleca nam także tworzyć z danych w Serwisie zbiorcze statystyki (np. liczba Projektów, stron i odwiedzin), z których nie da się zidentyfikować osób ani Klienta.
Umowa dotyczy osób, których dane Klient wprowadza do Serwisu albo zbiera przez swoją stronę:
1. osób, których dane są na Stronie źródłowej i w materiałach przekazanych przez Klienta (np. pracownicy, współpracownicy, klienci Klienta, autorzy opinii),
2. osób odwiedzających stronę Klienta,
3. osób, które wysyłają formularz kontaktowy albo zapisują się na newsletter na stronie Klienta,
4. Kupujących w Sklepie, także tych, którzy mają Konto Kupującego.
Rodzaje danych:
1. treści Strony źródłowej, materiały i Projekt – dane, które Klient lub jego strona zawierają, np. imiona i nazwiska, stanowiska, zdjęcia osób, dane kontaktowe, opinie; zrzuty ekranu Strony źródłowej; treść zgłoszeń poprawek i rozmów z czatami Serwisu (czat poprawek, konsultant w Panelu, Asystent konfiguracji Sklepu), jeżeli dotyczy Projektu albo Klient poda w niej dane innych osób;
2. odwiedziny strony – w statystykach odwiedzin zamiast adresu IP jednokierunkowy skrót z kluczem zmienianym codziennie (po usunięciu klucza, najpóźniej po 2 dniach, nie da się go powiązać z osobą), podstrona, strona poprzednia i dzień;
3. formularze i newsletter – imię, adres e-mail, telefon, treść wiadomości, podstrona, data wysłania; przy zapisie na newsletter także zgoda i dodatkowe pola formularza zapisu;
4. Kupujący – imię i nazwisko, adres e-mail, telefon, adresy dostawy i rozliczeniowy, nazwa firmy i NIP, dane zamówień (towary, kwoty, metoda płatności i dostawy, status płatności, numer i etykieta przesyłki), faktury, oświadczenia o odstąpieniu od umowy i reklamacje, zgody zaznaczone przy zamówieniu wraz z adresem IP i czasem ich złożenia, zgoda na informacje handlowe;
5. Konta Kupujących – dodatkowo skrót hasła (hasła nie znamy), zapisane adresy, daty rejestracji i logowania, skróty tokenów logowania i skrócony identyfikator przeglądarki.
Serwis nie jest przeznaczony do przetwarzania szczególnych kategorii danych (art. 9 RODO), np. danych o zdrowiu. Klient nie umieszcza ich w materiałach ani w Projekcie. Treść wiadomości z formularza zależy jednak od osoby, która ją wysyła: jeżeli strona Klienta dotyczy np. usług zdrowotnych, wiadomość może zawierać takie dane. Przetwarzamy ją wtedy tak samo jak inne wiadomości (§ 7 ust. 3), a Klient ocenia, czy formularz na jego stronie jest właściwym kanałem kontaktu.
Cele własne. W niektórych sprawach to my decydujemy o celach i sposobach przetwarzania – w tym zakresie jesteśmy administratorem, a nie podmiotem przetwarzającym, i stosujemy Politykę prywatności. Dotyczy to: danych Konta Klienta i osób, które w jego imieniu korzystają z Serwisu, zamówień, płatności i faktur; rozmowy wstępnej oraz rozmów z czatami Serwisu w zakresie, w jakim dotyczą samego Klienta i jego zamówień, a także wiadomości, które wysyłamy Klientowi; dzienników serwera (adres IP, data i godzina, adres podstrony, adres strony poprzedniej i informacje o przeglądarce – także z ruchu na stronach Klientów), które prowadzimy dla bezpieczeństwa i utrzymania Serwisu i przechowujemy do 90 dni, oraz ochrony Darmowego podglądu przed nadużyciami; wykorzystania Darmowego podglądu jako punktu wyjścia dla kolejnego projektu tej samej Strony źródłowej (§ 3 ust. 9 Regulaminu – bez materiałów przesłanych przez Klienta); zgłoszeń nielegalnych treści; rejestru akceptacji dokumentów, który przechowujemy jako dowód zawarcia umowy przez okres przedawnienia roszczeń, także po zakończeniu współpracy.
Dziennik zdarzeń Projektu (przebieg prac agentów, zgłoszenia poprawek, rozmowy z czatami Serwisu, wyniki automatycznego sprawdzania zgłoszeń, kroki utrzymania strony) przetwarzamy w imieniu Klienta. Przekazujemy go Klientowi na jego żądanie razem z eksportem danych (§ 7 ust. 2) i usuwamy razem z Projektem albo Kontem. Nie zachowujemy go po zakończeniu umowy, chyba że wymaga tego prawo.

§ 3. Nasze obowiązki

Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta. Poleceniem jest ta umowa, Regulamin oraz czynności i ustawienia, które Klient wykonuje w Serwisie (np. zlecenie Projektu, poprawki, włączenie formularza, statystyk albo Sklepu, ustawienia Sklepu). Przekazujemy dane do państwa spoza Europejskiego Obszaru Gospodarczego tylko w zakresie opisanym w § 4, chyba że nakazuje nam to prawo Unii albo prawo polskie – wtedy przed przetwarzaniem informujemy o tym Klienta, jeżeli prawo nie zabrania takiej informacji.
Jeżeli uznamy, że polecenie Klienta narusza RODO lub inne przepisy o ochronie danych, niezwłocznie informujemy o tym Klienta.
Dostęp do danych mają tylko osoby przez nas upoważnione, zobowiązane do zachowania poufności.
Stosujemy środki bezpieczeństwa wymagane przez art. 32 RODO, w szczególności:
1. szyfrowane połączenia (HTTPS) z Serwisem, ze stronami Klientów i ze Sklepem,
2. hasła Kupujących zapisane wyłącznie jako skrót, a klucze dostępowe Sklepu do operatorów płatności, przewoźników i poczty – w postaci zaszyfrowanej,
3. osobną bazę danych dla każdego Sklepu,
4. opublikowane strony Klientów jako pliki statyczne, bez wykonywania kodu po stronie serwera,
5. serwer, na którym pracują agenci sztucznej inteligencji, bez dostępu z internetu i połączony z Serwisem szyfrowanym tunelem; do agentów nie trafiają dane Kupujących ani wiadomości z formularzy,
6. statystyki odwiedzin bez adresów IP i bez plików cookies,
7. kontrolę dostępu do panelu operatora i do serwerów,
8. kopie zapasowe, które pozwalają odtworzyć dane po awarii.
Pomagamy Klientowi odpowiadać na żądania osób, których dane dotyczą (np. dostęp, sprostowanie, usunięcie): Panel Klienta pozwala przeglądać i eksportować wiadomości z formularzy, a panel Sklepu – przeglądać, eksportować (pliki CSV), poprawiać i usuwać dane Kupujących. W pozostałych sprawach pomagamy na prośbę wysłaną na [email protected].
Pomagamy Klientowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków, konsultacje z organem), w zakresie, w jakim pozwala na to charakter usługi i dostępne nam informacje.
Udostępniamy Klientowi informacje potrzebne do wykazania, że przestrzegamy tej umowy i art. 28 RODO (§ 6).

§ 4. Dalsze powierzenie

Klient udziela nam ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających (podprocesorów). Aktualna lista podprocesorów – z krajem, zakresem danych, miejscem przetwarzania i podstawą przekazania – jest dostępna pod adresem webomat.io/pl/podprocesorzy i jest częścią tej umowy.
Dalszym podmiotom przetwarzającym przekazujemy tylko dane potrzebne do ich zadania, na podstawie umów zapewniających ochronę danych wymaganą przez art. 28 ust. 3 RODO; na żądanie udostępniamy ich istotne postanowienia. Jeżeli przy danym podmiocie taka umowa albo podstawa przekazania danych jest jeszcze w trakcie ustalania, Lista podprocesorów mówi to wprost. Za ich działania odpowiadamy wobec Klienta jak za własne (art. 28 ust. 4 RODO).
Do dostawców modeli sztucznej inteligencji trafiają treści potrzebne do przygotowania Projektu: treść i zrzuty Strony źródłowej, materiały, opis oczekiwań, zgłoszenia poprawek i rozmowy z czatami Serwisu. Nie trafiają do nich dane Kupujących, wiadomości z formularzy, zapisy na newsletter, dzienniki ani statystyki odwiedzin.
Część podprocesorów przetwarza dane poza Europejskim Obszarem Gospodarczym – lista podaje przy każdym z nich państwo i podstawę przekazania, którą możemy wykazać (decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, albo standardowe klauzule umowne). Jeżeli dla danego państwa nie ma decyzji Komisji albo podstawa przekazania jest jeszcze w trakcie ustalania – lista mówi to wprost.
O planowanym dodaniu lub zmianie podprocesora informujemy w Panelu Klienta co najmniej 14 dni wcześniej i publikujemy nową wersję listy. W tym czasie Klient może zgłosić sprzeciw z uzasadnieniem na [email protected]. Wtedy szukamy rozwiązania (np. przetwarzania bez tego podmiotu). Jeżeli się nie porozumiemy, Klient może wypowiedzieć usługi, których sprzeciw dotyczy, ze skutkiem natychmiastowym, bez dodatkowych kosztów; za opłacony, a niewykorzystany okres utrzymania strony lub Sklepu zwracamy proporcjonalną część opłaty.
Dostawcy wybrani przez Klienta nie są naszymi podprocesorami: operatorzy płatności, przewoźnicy, program do faktur i dostawca poczty Klienta w Sklepie, dostawca newslettera, narzędzia osadzone na stronie (np. Google Analytics, piksel Meta, mapy, filmy, kalendarze rezerwacji) oraz dostawcy, przez których Klient sam kieruje ruch do swojej domeny (np. własne konto Cloudflare). Przekazujemy im dane na polecenie Klienta, na podstawie umów, które Klient zawiera z nimi sam; za podstawę prawną tego przekazania i za te umowy odpowiada Klient.

§ 5. Naruszenia ochrony danych

O naruszeniu ochrony danych powierzonych przez Klienta powiadamiamy go bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres Konta.
Przekazujemy informacje, których Klient potrzebuje do zgłoszenia naruszenia organowi nadzorczemu i do zawiadomienia osób (art. 33 ust. 3 RODO): charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne skutki, podjęte i proponowane środki oraz dane osoby do kontaktu. Jeżeli nie znamy od razu wszystkich informacji, przekazujemy je stopniowo.
Zgłoszenie naruszenia organowi nadzorczemu i zawiadomienie osób należy do Klienta jako administratora.

§ 6. Kontrola

Klient może sprawdzić, czy przestrzegamy tej umowy. W pierwszej kolejności odpowiadamy na pytania wysłane na [email protected] – w ciągu 14 dni.
Audyt (także przez audytora wskazanego przez Klienta, zobowiązanego do poufności) jest możliwy po uprzedzeniu nas co najmniej 14 dni wcześniej, w dni robocze, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych Klienta albo wymaga tego organ nadzorczy. Audyt nie może naruszać poufności danych innych Klientów ani bezpieczeństwa Serwisu.
Koszty audytu ponosi Klient, a nasz udział w audycie ponad 4 godziny pracy rozliczamy według stawki uzgodnionej przed audytem. Jeżeli audyt wykaże, że istotnie naruszyliśmy tę umowę, koszty ponosimy my.

§ 7. Zakończenie przetwarzania

Po zakończeniu utrzymania strony albo Sklepu postępujemy według § 3a ust. 11 i § 11 ust. 2 Regulaminu: przez 60 dni od ostatniego zamówienia działają funkcje obsługi złożonych zamówień, a do czasu usunięcia plików strony Klient może pobrać Projekt i wyeksportować dane Sklepu. Potem usuwamy pliki strony, zrzuty i pliki Strony źródłowej, materiały i dane Sklepu (w tym rozmowę z Asystentem konfiguracji).
Projekt wraz z historią poprawek pozostaje na Koncie Klienta, dopóki Klient go nie usunie (w Panelu Klienta) albo nie zażąda usunięcia Konta. Przed usunięciem Klient może pobrać swoje dane w powszechnie używanym formacie elektronicznym (archiwum ZIP strony, pliki CSV ze Sklepu i formularzy), a na żądanie wysłane na [email protected] przekazujemy mu także dziennik zdarzeń Projektu i Konta (§ 2 ust. 6). Usunięcie Projektu usuwa także jego wiadomości z formularzy, statystyki, dziennik zdarzeń i dane Sklepu. Usunięcie Konta usuwa wszystkie jego Projekty i rozmowy.
Wiadomości z formularza kontaktowego i zapisy na newsletter są dostępne w Panelu Klienta (z eksportem do pliku) i przechowujemy je do usunięcia Projektu przez Klienta albo do usunięcia Konta, a po zakończeniu utrzymania strony – do terminu z ust. 1. Nie usuwamy ich wcześniej z własnej inicjatywy: to Klient jako administrator decyduje, jak długo są mu potrzebne (§ 8), i na jego polecenie, wysłane na [email protected], usuwamy wskazane wpisy (w razie potrzeby przed upływem tego czasu). O każdej nowej wiadomości z formularza powiadamiamy Klienta e-mailem. Dane Kont Kupujących przechowujemy do usunięcia konta przez Kupującego albo Klienta, a konta niepotwierdzone (bez zamówień) usuwamy po 30 dniach.
Robimy kopie zapasowe, żeby odtworzyć dane po awarii. Usunięte dane znikają z kopii w cyklu ich nadpisywania (podajemy go Klientowi na żądanie). Kopii nie używamy do innych celów.
Usunięcie nie obejmuje danych, które przetwarzamy jako administrator (§ 2 ust. 5), w tym rejestru akceptacji i dokumentów rozliczeniowych, ani danych, których przechowywanie nakazuje prawo Unii albo prawo polskie. Danych powierzonych, w tym dziennika zdarzeń (§ 2 ust. 6), nie zatrzymujemy do własnych celów.

§ 8. Obowiązki Klienta i odpowiedzialność

Klient odpowiada za to, że:
1. ma podstawę prawną do przetwarzania danych, które wprowadza do Serwisu lub zbiera przez swoją stronę i Sklep, i ma prawo przekazać nam treści Strony źródłowej i materiały wraz z danymi osób, które zawierają,
2. informuje osoby, których dane dotyczą, o przetwarzaniu (art. 13 i 14 RODO) – w tym przez politykę prywatności swojej strony; wzór polityki przygotowany w Serwisie Klient sprawdza i w razie potrzeby zmienia,
3. uzyskuje zgody, gdy są wymagane (np. na pliki cookies narzędzi analitycznych i reklamowych, newsletter, informacje handlowe), i ustawia narzędzia na stronie zgodnie z prawem,
4. realizuje prawa osób, których dane dotyczą, i odpowiada na ich żądania,
5. jeżeli przygotowuje lub utrzymuje stronę dla innego administratora (np. jako agencja dla swojego klienta) – ma jego zgodę na powierzenie nam danych na warunkach tej umowy; wtedy jesteśmy dalszym podmiotem przetwarzającym, a polecenia przekazuje nam Klient.
Za szkodę wyrządzoną osobie, której dane dotyczą, odpowiadamy na zasadach art. 82 RODO: wtedy, gdy nie dopełniliśmy obowiązków, które RODO nakłada wprost na podmioty przetwarzające, albo działaliśmy poza zgodnymi z prawem poleceniami Klienta lub wbrew nim. Ta umowa nie zmienia odpowiedzialności wobec takich osób ani odpowiedzialności wobec organu nadzorczego.
Jeżeli jedna strona zapłaci odszkodowanie osobie, której dane dotyczą, za szkodę, za którą odpowiada druga strona, może żądać od niej zwrotu odpowiedniej części (art. 82 ust. 5 RODO).
Klient, który nie jest Konsumentem ani Przedsiębiorcą na prawach konsumenta, zwalnia nas z odpowiedzialności i pokrywa koszty (w tym rozsądne koszty obsługi prawnej) roszczeń osób trzecich i postępowań, które wynikają z naruszenia przez Klienta prawa, Regulaminu lub praw osób trzecich do materiałów, z braku po stronie Klienta podstawy prawnej do przetwarzania danych, z danych wprowadzonych wbrew tej umowie albo z wykonania przez nas polecenia Klienta zgodnie z jego treścią – chyba że szkoda wynika z naszego naruszenia umowy albo nie ostrzegliśmy Klienta, choć stwierdziliśmy, że polecenie narusza prawo (§ 3 ust. 2). Zwolnienie nie obejmuje administracyjnych kar pieniężnych nałożonych na nas. To samo brzmienie ma § 8a ust. 4 pkt 4 Regulaminu.
Wobec Klienta, który nie jest Konsumentem ani Przedsiębiorcą na prawach konsumenta, nasza odpowiedzialność z tej umowy i z Regulaminu jest objęta jednym łącznym limitem i wyłączeniami z § 8a ust. 4 Regulaminu: limit to wyższa z dwóch kwot – suma opłat zapłaconych przez Klienta w ciągu 12 miesięcy przed zdarzeniem, które spowodowało szkodę, albo 500 zł. Limit obejmuje także roszczenia zwrotne Klienta wobec nas na podstawie art. 82 ust. 5 RODO (ust. 3) oraz naszą odpowiedzialność za podprocesorów (§ 4 ust. 2). Limit i wyłączenia nie dotyczą szkody wyrządzonej umyślnie ani odpowiedzialności, której nie można wyłączyć ani ograniczyć na podstawie przepisów, a wyłączenia nie dotyczą utraty ani naruszenia ochrony danych w Serwisie (§ 8a ust. 6 Regulaminu). Wobec Konsumentów i Przedsiębiorców na prawach konsumenta nie stosuje się ust. 4 ani tego ustępu – odpowiadamy wobec nich na zasadach ogólnych.

§ 9. Zmiany i prawo właściwe

O zmianie umowy informujemy w Panelu Klienta lub e-mailem co najmniej 14 dni przed planowaną datą jej wejścia w życie. Nowa wersja wiąże Klienta od chwili, gdy zaakceptuje ją w Serwisie (np. przyciskiem w Panelu Klienta) – nie stosujemy milczącej akceptacji. Do czasu akceptacji obowiązuje wersja zaakceptowana wcześniej. Klient, który nie akceptuje zmian, może wypowiedzieć usługi, w których przetwarzamy dane w jego imieniu, ze skutkiem natychmiastowym, bez dodatkowych kosztów (zasady zwrotu jak w § 4 ust. 5).
Zmiana listy podprocesorów następuje według § 4 ust. 5 i nie wymaga zmiany tej umowy.
W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
Umowa w wersji 2.1 obowiązuje od 19 listopada 2026 r. wobec Klientów, którzy ją zaakceptują (ust. 1), i zastępuje przed wejściem w życie wersję 2.0 opublikowaną 4 listopada 2026 r. Wcześniejsza wersja była Załącznikiem nr 2 do Regulaminu (wersje 1.1 i 1.2).

Zmiany w tej wersji

Wersja 2.1 – poprawki przed wejściem w życie wersji 2.0:

Zbiorcze statystyki bez możliwości identyfikacji osób i Klienta tworzymy na polecenie Klienta (§ 2 ust. 1); dzienniki serwera prowadzimy jako administrator (§ 2 ust. 5).
Dziennik zdarzeń Projektu przekazujemy Klientowi z eksportem i usuwamy razem z Projektem albo Kontem (§ 2 ust. 6, § 7).
Podprocesorzy: umowy zapewniające ochronę wymaganą przez art. 28 ust. 3 RODO, a podstawy przekazania tylko w zakresie, który możemy wykazać (§ 4).
Odpowiedzialność (§ 8): limit obejmuje roszczenia zwrotne z art. 82 ust. 5 RODO i odpowiedzialność za podprocesorów; zwolnienie z odpowiedzialności węższe, bez Konsumentów i bez administracyjnych kar pieniężnych; brzmienie zgodne z § 8a Regulaminu.
Zmiana umowy wiąże od akceptacji, bez milczącej zgody (§ 9).

Wersja 2.0 w stosunku do Załącznika nr 2 do Regulaminu:

Umowa jest osobnym dokumentem i zastępuje Załącznik nr 2 do Regulaminu.
Obejmuje wszystkie dane, które przetwarzamy dla Klienta: treści Strony źródłowej i materiałów (z danymi osób), odwiedziny strony, formularze i newsletter, statystyki oraz Sklep (§ 2).
Wymieniamy nasze cele własne, w których jesteśmy administratorem, w tym rejestr akceptacji (§ 2 ust. 5).
Pełna lista podprocesorów, w tym dostawców modeli sztucznej inteligencji, jest na osobnej stronie; zmiany ogłaszamy w Panelu co najmniej 14 dni wcześniej, z prawem sprzeciwu (§ 4).
Opis środków bezpieczeństwa odpowiada temu, co naprawdę stosujemy (§ 3 ust. 4); o kopiach zapasowych piszemy ogólnie (§ 7 ust. 4).
Opisane zasady kontroli i usunięcia danych po zakończeniu usług (§ 6 i § 7).
Odpowiedzialność, regres i zwolnienie z odpowiedzialności (§ 8) są spójne z nowym § 8a Regulaminu.