Dokumenty prawne

Umowa o współadministrowaniu danymi osobowymi

Wersja: 1.0

§ 1. Strony

  1. Bywalec — Mikołaj Mrózek prowadzący jednoosobową działalność gospodarczą pod firmą Mikołaj Mrózek Creative, NIP: 6351878808, REGON: 543642092, adres: ul. Równoległa 45B, 43-190 Mikołów.
  2. Lokal — Klient Bywalca w rozumieniu Regulaminu świadczenia usług Bywalec dla Klientów Biznesowych, akceptujący niniejszą Umowę w panelu Bywalca lub przy pierwszym uruchomieniu kampanii marketingowej.

W dalszej części Umowy zwani są łącznie „Współadministratorami", a osobno „Stroną".

§ 2. Podstawa prawna i zakres Umowy

  1. Umowa zostaje zawarta na podstawie art. 26 RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.) — w związku z faktem, że Strony wspólnie ustalają cele i sposoby przetwarzania danych osobowych w określonym, ograniczonym zakresie.
  2. Umowa nie obejmuje całokształtu danych Gościa przetwarzanych w ramach usługi Bywalec. W szczególności:
    • dane techniczne Passu (identyfikatory urządzeń, serialNumber, historia pieczątek) — Bywalec jest samodzielnym administratorem;
    • dane do faktur, dane konta Klienta — Bywalec jest samodzielnym administratorem.
  3. Umowa obejmuje wyłącznie kampanie marketingowe uruchamiane przez Lokal z poziomu Panelu Bywalca i wysyłane do bazy Gości, którzy wyrazili odpowiednią zgodę.

§ 3. Definicje

  1. Kampania marketingowa — komunikat o charakterze marketingu bezpośredniego w rozumieniu art. 398 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (PKE), wysyłany do Gości za pośrednictwem mechanizmu powiadomień push w karcie lojalnościowej (wallet pass push notifications).
  2. Gość — osoba fizyczna posiadająca Pass w portfelu cyfrowym, która wyraziła zgodę marketingową w odniesieniu do programu lojalnościowego danego Lokalu.
  3. Dane Kampanii — następujące dane osobowe Gościa przetwarzane na potrzeby Kampanii:
    • identyfikator urządzenia (deviceLibraryIdentifier / pushToken),
    • identyfikator Passu (serialNumber),
    • przynależność do segmentu zdefiniowanego przez Lokal (np. „Goście z ≥3 pieczątkami w ostatnim miesiącu"),
    • fakt udzielenia zgody marketingowej wraz z timestampem.

§ 4. Cele wspólnego przetwarzania

  1. Wspólne cele Stron:
    1. wysyłka komunikatów marketingowych Lokalu do Gości, którzy wyrazili zgodę;
    2. budowanie i utrzymanie relacji Lokalu z Gośćmi za pośrednictwem cyfrowego kanału (push wallet);
    3. mierzenie skuteczności kampanii (zagregowane statystyki: dostarczalność, otwarcia, kliknięcia).
  2. Cele Stron nie obejmują:
    1. profilowania Gości w celu podejmowania decyzji zautomatyzowanych wywołujących skutki prawne;
    2. udostępniania danych Gości podmiotom trzecim spoza listy sub-procesorów Bywalca;
    3. przetwarzania danych szczególnych kategorii (art. 9 RODO).

§ 5. Podział obowiązków między Stronami

5.1 Obowiązki Lokalu

Lokal odpowiada za:

  1. Treść i podstawę prawną Kampanii — Lokal samodzielnie tworzy treść komunikatu, ustala moment wysłania i kryteria odbiorców. Lokal odpowiada za:
    • zgodność treści z prawem (PKE, prawo reklamy, ustawa o zwalczaniu nieuczciwej konkurencji, prawo prasowe, prawa autorskie);
    • prawdziwość zawartych w komunikacie informacji;
    • posiadanie tytułu prawnego do wykorzystywanych materiałów (znaki towarowe, fotografie).
  2. Określenie odbiorców — wybór segmentu, do którego trafia Kampania, jest decyzją Lokalu. Lokal odpowiada za adekwatność doboru segmentu.
  3. Przestrzeganie zasady zgody — Lokal zobowiązuje się do wysyłania Kampanii wyłącznie do Gości, którzy wyrazili odpowiednią zgodę marketingową — co Bywalec weryfikuje technicznie (filtruje listę odbiorców).
  4. Reklamacje merytoryczne — Lokal odpowiada za rozpatrywanie reklamacji Gości dotyczących treści Kampanii (np. nieprawdziwe oferty, wprowadzenie w błąd).
  5. Reklama prawnie zastrzeżona — Lokal odpowiada za ewentualne zezwolenia / ograniczenia wynikające z prawa, jeśli Kampania dotyczy produktów z ograniczeniem reklamy (np. alkohol, gry hazardowe).

5.2 Obowiązki Bywalca

Bywalec odpowiada za:

  1. Techniczną infrastrukturę wysyłki Kampanii — wysyłka push przez Apple Push Notification Service i Google Wallet API.
  2. Mechanizm zgód — pozyskiwanie zgód marketingowych w sposób zgodny z art. 398 PKE i art. 6 ust. 1 lit. a) RODO (wyraźna, dobrowolna, jednoznaczna, niezaznaczona domyślnie, dokumentowana z timestampem).
  3. Mechanizm cofania zgód — równie łatwy jak udzielenie zgody (link „Cofnij zgodę" w karcie i na stronie programu); skuteczne wycofanie w czasie rzeczywistym.
  4. Filtrowanie listy odbiorców — wysyłka wyłącznie do Gości aktualnie posiadających ważną zgodę dla danego Lokalu.
  5. Bezpieczeństwo danych — szyfrowanie, kontrola dostępu, logi.
  6. Realizacja praw osób w pierwszej linii — Bywalec jest punktem kontaktu dla Gościa zgodnie z § 7.
  7. Retencja — usuwanie / anonimizacja danych zgodnie z Polityką Prywatności.

§ 6. Wzajemne gwarancje

  1. Każda ze Stron oświadcza, że:
    1. dane osobowe przetwarzane w ramach Umowy będą przetwarzane wyłącznie w celach określonych w § 4;
    2. dane będą przetwarzane zgodnie z RODO, ustawą o ochronie danych osobowych z dnia 10 maja 2018 r., PKE i innymi obowiązującymi przepisami;
    3. zapewni adekwatne środki techniczne i organizacyjne;
    4. będzie współpracować z drugą Stroną w zakresie realizacji praw osób, których dane dotyczą, oraz w zakresie zgłaszania naruszeń.

§ 7. Punkt kontaktu dla osób, których dane dotyczą

  1. Punkt kontaktu dla Gości w sprawach przetwarzania danych w ramach Kampanii marketingowych: Bywalec, adres [email protected].
  2. Gość może dochodzić swoich praw z RODO (art. 15–22) wobec każdej ze Stron — Strona, która otrzyma zgłoszenie, niezwłocznie informuje drugą i wspólnie ustalają sposób realizacji żądania.
  3. Sprawy merytoryczne dotyczące treści Kampanii (np. żądanie sprostowania informacji o ofercie) Bywalec przekazuje Lokalowi w terminie nie dłuższym niż 5 dni roboczych. Lokal odpowiada Gościowi bezpośrednio lub za pośrednictwem Bywalca.
  4. Termin odpowiedzi wobec Gościa: do 30 dni (art. 12 ust. 3 RODO).

§ 8. Zgłaszanie naruszeń ochrony danych

  1. W razie wykrycia naruszenia ochrony danych przetwarzanych w ramach Umowy, Strona, która wykryła naruszenie, niezwłocznie (nie później niż w ciągu 24 godzin od stwierdzenia) zawiadamia drugą Stronę.
  2. Operacyjny model koordynacji (mając na uwadze różnice w zasobach Stron):
    1. Bywalec — jako Strona dysponująca dedykowaną procedurą incident response i większymi zasobami w zakresie ochrony danych — przygotowuje projekt zgłoszenia do Prezesa UODO w ciągu 48 godzin od wykrycia naruszenia i przekazuje go Lokalowi do wglądu;
    2. Lokal ma 24 godziny od otrzymania projektu na zgłoszenie pisemnych zastrzeżeń lub uzupełnień; brak odpowiedzi w tym terminie oznacza akceptację treści projektu;
    3. Bywalec składa zgłoszenie do Prezesa UODO w terminie wymaganym art. 33 RODO (72 godziny od wykrycia naruszenia) — w imieniu obu Stron, na podstawie pełnomocnictwa udzielonego niniejszą Umową, chyba że Lokal pisemnie zażąda samodzielnego złożenia zgłoszenia w swoim imieniu i to drugie zgłoszenie zostanie dokonane terminowo;
    4. Zawiadomienie osób, których dane dotyczą (art. 34 RODO — wysokie ryzyko) — koordynowane przez Bywalca w analogicznym trybie; treść komunikatu uzgadniana z Lokalem przed wysyłką, z analogicznym 24-godzinnym oknem na zastrzeżenia.
  3. Pełnomocnictwo: niniejszą Umową Lokal upoważnia Bywalca do złożenia zgłoszenia naruszenia do Prezesa UODO w imieniu obu Stron, na zasadach określonych w ust. 2. Pełnomocnictwo nie zwalnia Lokala z odpowiedzialności administratora wynikającej z art. 5 ust. 2 RODO.
  4. Odstąpienie od trybu: jeżeli skala naruszenia lub jego natura wymagają natychmiastowego zgłoszenia (np. trwająca eksfiltracja), Bywalec może złożyć zgłoszenie bez konsultacji z Lokalem, informując go o tym fakcie niezwłocznie po dokonaniu zgłoszenia.

§ 9. Odpowiedzialność wobec osób, których dane dotyczą

  1. Zgodnie z art. 26 ust. 3 RODO, osoba, której dane dotyczą, może wykonywać swoje prawa wynikające z RODO wobec każdej ze Stron, niezależnie od podziału obowiązków określonego w niniejszej Umowie.
  2. Wewnętrzna alokacja odpowiedzialności (między Stronami, bez wpływu na prawa osoby trzeciej):
    1. Lokal ponosi pełną odpowiedzialność za szkody wynikłe z niezgodnej z prawem treści Kampanii lub niewłaściwego doboru odbiorców;
    2. Bywalec ponosi pełną odpowiedzialność za szkody wynikłe z awarii technicznej mechanizmu zgód lub błędnego filtrowania odbiorców;
    3. w przypadku odpowiedzialności wspólnej Strony ustalają udział regresowy proporcjonalnie do wkładu każdej ze Stron w powstanie naruszenia.
  3. Regres: Strona, która zaspokoiła roszczenie osoby, której dane dotyczą, ma prawo wystąpić z regresem do drugiej Strony zgodnie z ust. 2.

§ 10. Audyt i nadzór

  1. Lokal ma prawo zażądać od Bywalca informacji o sposobie wykonywania obowiązków wynikających z Umowy — Bywalec udzieli ich w terminie 14 dni od otrzymania zapytania.
  2. Bywalec nie ma obowiązku przeprowadzania audytów na żądanie pojedynczego Lokalu — udziela natomiast informacji w formie sprawozdania (z poszanowaniem tajemnicy handlowej i danych innych Lokali).

§ 11. Czas obowiązywania

  1. Umowa obowiązuje od chwili jej akceptacji do czasu rozwiązania umowy podstawowej między Bywalcem a Lokalem (Regulaminu) lub do czasu wypowiedzenia samej Umowy o współadministrowaniu.
  2. Lokal może wypowiedzieć Umowę o współadministrowaniu w każdej chwili — skutkuje to niemożnością uruchamiania Kampanii marketingowych, ale nie wpływa na pozostałe funkcje usługi Bywalec.
  3. Po rozwiązaniu Umowy Bywalec zaprzestaje przetwarzania Danych Kampanii do celów Kampanii — z poszanowaniem terminów retencji wynikających z Polityki Prywatności.

§ 12. Postanowienia końcowe

  1. Umowa stanowi załącznik do Regulaminu świadczenia usług Bywalec dla Klientów Biznesowych i podlega tym samym zasadom (prawo właściwe, jurysdykcja, klauzula salwatoryjna, wersjonowanie).
  2. Klauzula informacyjna dla Gościa odnosząca się do współadministrowania znajduje się w Polityce Prywatności (§ 6.6) i jest udostępniona Gościowi przy dodawaniu Passu — zgodnie z art. 26 ust. 2 RODO Strony zapewniają, że istota niniejszej Umowy jest udostępniona osobom, których dane dotyczą.
  3. W razie konfliktu między postanowieniami Umowy a Regulaminu — pierwszeństwo mają postanowienia Umowy w zakresie wspólnego przetwarzania, a Regulaminu w pozostałym zakresie.

Niniejsza Umowa obowiązuje od dnia 2026-05-20.