Niniejsza Umowa powierzenia przetwarzania danych osobowych (zwana dalej Umową) określa warunki, na jakich przedsiębiorca indywidualny według prawa Ukrainy Serdiukova Anna (zwana dalej Administracją lub Podmiotem przetwarzającym) przetwarza dane osobowe klientów i pracowników Użytkownika serwisu PodoCard w jego imieniu i na jego polecenie w ramach świadczenia Serwisu.
Umowa uzupełnia Warunki korzystania z serwisu PodoCard oraz Politykę prywatności, zamieszczone w witrynie https://podocard.com, i ma zastosowanie łącznie z nimi. Umowa jest umową adhezyjną w rozumieniu art. 634 Kodeksu cywilnego Ukrainy. Użytkownik przystępuje do Umowy (akceptuje ją), gdy przyjmuje Warunki korzystania i wprowadza do Serwisu dane osobowe Klientów Użytkownika lub Pracowników Użytkownika, w tym gdy włącza przyjmowanie rezerwacji za pośrednictwem Strony rezerwacji online.
Umowa została sporządzona zgodnie z ustawą Ukrainy „O ochronie danych osobowych” z dnia 01.06.2010 nr 2297-VI, a w przypadku Użytkowników, do których ma zastosowanie ogólne rozporządzenie o ochronie danych (UE) 2016/679 (RODO), również zgodnie z art. 28 RODO.
Ostatnia aktualizacja: 29 października 2026 r.
ROZDZIAŁ 1: TERMINOLOGIA
W Umowie stosuje się pojęcia używane w Warunkach korzystania i Polityce prywatności (w tym „Serwis”, „Witryna”, „Użytkownik”, „Klient Użytkownika”, „Profil Klienta”, „Funkcje CRM”, „Strona rezerwacji online”, „Pracownik Użytkownika”), a także następujące pojęcia:
„Administrator danych” – Użytkownik będący właścicielem firmy w Serwisie, a jeżeli przestrzeń konta firmy jest prowadzona dla osoby prawnej lub osoby fizycznej będącej przedsiębiorcą – ta osoba. Administrator danych ustala cele i sposoby przetwarzania Powierzonych danych, a w rozumieniu ustawy Ukrainy „O ochronie danych osobowych” jest ich administratorem.
„Podmiot przetwarzający” – Administracja, która przetwarza Powierzone dane w imieniu i na polecenie Administratora danych; w rozumieniu ustawy Ukrainy „O ochronie danych osobowych” – podmiot przetwarzający dane osobowe.
„Powierzone dane” – dane osobowe Klientów Użytkownika i Pracowników Użytkownika, które wprowadzają do przestrzeni konta firmy Administrator danych, Pracownicy Użytkownika lub sami Klienci Użytkownika za pośrednictwem Strony rezerwacji online i które Podmiot przetwarzający przetwarza na polecenie Administratora danych. Ich zakres określono w Załączniku 1.
„Osoba, której dane dotyczą” – osoba fizyczna, której dotyczą Powierzone dane.
„Podwykonawca przetwarzania” – osoba trzecia, którą Podmiot przetwarzający angażuje do przetwarzania Powierzonych danych.
„Incydent” – naruszenie bezpieczeństwa, które doprowadziło do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia Powierzonych danych lub nieuprawnionego dostępu do nich.
„Przepisy o ochronie danych” – ustawa Ukrainy „O ochronie danych osobowych”, a także RODO i inne akty prawne dotyczące ochrony danych osobowych, jeżeli mają zastosowanie do Administratora danych.
ROZDZIAŁ 2: PRZEDMIOT I ZAKRES STOSOWANIA UMOWY
2.1. Administrator danych powierza Podmiotowi przetwarzającemu, a Podmiot przetwarzający zobowiązuje się przetwarzać Powierzone dane wyłącznie w celu świadczenia Serwisu na rzecz Administratora danych zgodnie z Warunkami korzystania, a także wsparcia technicznego i ochrony Serwisu. Charakter i cele przetwarzania, kategorie danych i Osób, których dane dotyczą, a także czas trwania przetwarzania określono w Załączniku 1.
2.2. Umowa nie ma zastosowania do danych osobowych, których cele i sposoby przetwarzania ustala sama Administracja jako administrator danych: danych kont Użytkowników, w tym Pracowników Użytkownika jako użytkowników Serwisu; danych dotyczących płatności za subskrypcję; informacji technicznych, plików cookie i danych analitycznych; danych uczestników programu partnerskiego (programu poleceń). Ich przetwarzanie reguluje Polityka prywatności.
2.3. W przypadku sprzeczności między Umową a Warunkami korzystania lub Polityką prywatności w zakresie przetwarzania Powierzonych danych stosuje się postanowienia Umowy.
ROZDZIAŁ 3: OBOWIĄZKI ADMINISTRATORA DANYCH
3.1. Administrator danych samodzielnie ustala cele przetwarzania Powierzonych danych i odpowiada za zgodność tego przetwarzania z prawem, w tym za:
istnienie odpowiedniej podstawy prawnej przetwarzania, w tym zgody Klientów Użytkownika na przetwarzanie informacji o stanie zdrowia, zdjęć i podpisów, jeżeli taka zgoda jest wymagana przepisami prawa;
informowanie Osób, których dane dotyczą, o celach, zakresie i okresach przetwarzania ich danych, a także o tym, że dane są przetwarzane z wykorzystaniem Serwisu;
prawdziwość i aktualność wprowadzanych danych oraz ich zgodność z celami przetwarzania.
3.2. Polecenia wydawane przez Administratora danych Podmiotowi przetwarzającemu muszą być zgodne z Przepisami o ochronie danych.
3.3. Administrator danych przypisuje Pracownikom Użytkownika role i oddziały w taki sposób, aby ich dostęp do danych odpowiadał wykonywanej przez nich pracy, oraz w odpowiednim czasie wyłącza lub usuwa konta Pracowników Użytkownika, którzy zakończyli pracę. Działania Pracowników Użytkownika w przestrzeni konta firmy uważa się za działania Administratora danych.
3.4. Administrator danych zapewnia ochronę haseł i urządzeń, z których on sam i Pracownicy Użytkownika logują się do Serwisu, oraz odpowiada za Powierzone dane uzyskane z Serwisu: eksport, dokumenty PDF, zdjęcia i inne pobrane pliki.
3.5. Administrator danych samodzielnie rozpatruje i realizuje wnioski Osób, których dane dotyczą (Rozdział 7).
ROZDZIAŁ 4: OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO
4.1. Podmiot przetwarzający przetwarza Powierzone dane wyłącznie na udokumentowane polecenie Administratora danych, w tym w odniesieniu do przekazywania danych za granicę (Rozdział 9), chyba że co innego wynika z przepisów prawa, którym podlega Podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora danych o tym wymogu, o ile prawo nie zabrania udzielania takiej informacji.
4.2. Udokumentowanymi poleceniami Administratora danych są: Umowa i Warunki korzystania; działania Administratora danych i Pracowników Użytkownika w Serwisie (wprowadzanie, zmiana i usuwanie danych, ustawienia firmy i oddziałów, włączanie Funkcji CRM i Strony rezerwacji online, wysyłanie dokumentów klientom); pisemne zgłoszenia właściciela firmy skierowane do działu wsparcia na adres support@podocard.com, w tym wniosek o eksport danych. Inne polecenia są wykonywane, jeżeli są technicznie wykonalne w ramach Serwisu i zostały uzgodnione przez strony.
4.3. Podmiot przetwarzający niezwłocznie informuje Administratora danych, jeżeli jego zdaniem polecenie Administratora danych narusza Przepisy o ochronie danych.
4.4. Podmiot przetwarzający nie wykorzystuje Powierzonych danych do własnych celów, w tym marketingowych, nie sprzedaje ich ani nie przekazuje osobom trzecim, z wyjątkiem Podwykonawców przetwarzania (Rozdział 6) i przypadków przewidzianych prawem. Podmiot przetwarzający nie wysyła Klientom Użytkownika wiadomości reklamowych.
4.5. Podmiot przetwarzający dopuszcza do Powierzonych danych wyłącznie osoby, którym jest to niezbędne do świadczenia, wspierania i ochrony Serwisu, i zapewnia, aby osoby te zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi jej zachowania. Osoby te przeglądają zawartość Profili Klientów wyłącznie wtedy, gdy jest to niezbędne do rozpatrzenia zgłoszenia Użytkownika skierowanego do działu wsparcia, usunięcia awarii technicznej lub spełnienia wymogów prawa.
4.6. Podmiot przetwarzający stosuje środki techniczne i organizacyjne w celu ochrony Powierzonych danych (Rozdział 5 i Załącznik 3), pomaga Administratorowi danych w wywiązywaniu się z jego obowiązków (Rozdziały 7 i 8) oraz udostępnia informacje niezbędne do wykazania przestrzegania Umowy (Rozdział 10).
ROZDZIAŁ 5: BEZPIECZEŃSTWO PRZETWARZANIA
5.1. Uwzględniając charakter Powierzonych danych, w tym informacji o stanie zdrowia, Podmiot przetwarzający stosuje środki wskazane w Załączniku 3 i utrzymuje ich poziom przez okres obowiązywania Umowy. Podmiot przetwarzający może zmieniać poszczególne środki pod warunkiem, że ogólny poziom ochrony Powierzonych danych nie ulegnie obniżeniu.
5.2. Część środków pozostaje pod kontrolą samego Administratora danych: przypisywanie Pracownikom Użytkownika ról i oddziałów, wyłączanie w odpowiednim czasie ich kont, silne hasła, ochrona urządzeń, wyłączanie rezerwacji online dla oddziału, Pracownika Użytkownika lub klienta. Administrator danych samodzielnie ocenia, czy środki stosowane przez Podmiot przetwarzający są wystarczające dla prowadzonego przez niego przetwarzania.
ROZDZIAŁ 6: PODWYKONAWCY PRZETWARZANIA
6.1. Administrator danych udziela Podmiotowi przetwarzającemu ogólnej zgody na angażowanie Podwykonawców przetwarzania. Aktualny wykaz Podwykonawców przetwarzania zawiera Załącznik 2.
6.2. O zamiarze zaangażowania nowego Podwykonawcy przetwarzania lub zastąpienia dotychczasowego Podmiot przetwarzający informuje, publikując w Witrynie zaktualizowany Załącznik 2 ze wskazaniem daty, od której zmiana wchodzi w życie, nie później niż na 14 (czternaście) dni kalendarzowych przed tą datą.
6.3. Przed wskazaną datą Administrator danych może przesłać na adres support@podocard.com umotywowany sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator danych może zaprzestać korzystania z Serwisu przed wejściem zmiany w życie: uzyskać eksport danych i usunąć konto w trybie określonym w Rozdziale 11.
6.4. Jeżeli zastąpienie Podwykonawcy przetwarzania jest pilnie konieczne dla zapewnienia bezpieczeństwa lub ciągłości działania Serwisu, Podmiot przetwarzający może go dokonać bez uprzedniego powiadomienia, pod warunkiem zachowania porównywalnego poziomu ochrony danych, i w najkrótszym możliwym terminie publikuje zaktualizowany Załącznik 2. Administrator danych może wnieść sprzeciw wobec takiego zastąpienia w trybie określonym w pkt 6.3.
6.5. Podmiot przetwarzający angażuje Podwykonawców przetwarzania wyłącznie na podstawie umowy, która nakłada na nich obowiązki w zakresie ochrony danych nie mniej rygorystyczne niż przewidziane w Umowie, w zakresie, w jakim obowiązki te mają zastosowanie do usług danego Podwykonawcy przetwarzania, i odpowiada wobec Administratora danych za wywiązywanie się przez Podwykonawców przetwarzania z tych obowiązków.
ROZDZIAŁ 7: WNIOSKI OSÓB, KTÓRYCH DANE DOTYCZĄ
7.1. Serwis umożliwia Administratorowi danych samodzielną realizację wniosków Osób, których dane dotyczą: przeglądanie, poprawianie i usuwanie danych klienta, jego wizyt i rezerwacji, wyłączanie rezerwacji online dla klienta, a także uzyskanie kopii danych przestrzeni konta firmy (eksportu) w trybie określonym w Polityce prywatności.
7.2. Jeżeli wniosek Osoby, której dane dotyczą, wpłynie do Podmiotu przetwarzającego, Podmiot przetwarzający nie rozpatruje go merytorycznie, lecz przekazuje go właścicielowi odpowiedniej firmy, jeżeli firmę można ustalić na podstawie informacji zawartych we wniosku, i informuje wnioskodawcę, że w celu realizacji swoich praw powinien on zwrócić się do Administratora danych.
7.3. Jeżeli Administrator danych nie może zrealizować wniosku za pomocą Serwisu, Podmiot przetwarzający na żądanie właściciela firmy w rozsądnym zakresie pomaga w jego realizacji, uwzględniając charakter przetwarzania.
ROZDZIAŁ 8: INCYDENTY I POMOC ADMINISTRATOROWI DANYCH
8.1. Podmiot przetwarzający powiadamia Administratora danych o Incydencie niezwłocznie, bez zbędnej zwłoki po tym, jak się o nim dowiedział. Powiadomienie jest wysyłane na adres e-mail właściciela firmy podany w koncie i/lub w formie wiadomości w Serwisie.
8.2. Powiadomienie zawiera, w zakresie, w jakim informacje te są znane Podmiotowi przetwarzającemu: opis Incydentu, kategorie i przybliżoną liczbę Osób, których dane dotyczą, oraz wpisów, których dotyczy Incydent, prawdopodobne konsekwencje, zastosowane i proponowane środki, punkt kontaktowy, w którym można uzyskać więcej informacji. Informacje, które nie są znane w chwili powiadomienia, Podmiot przetwarzający przekazuje sukcesywnie, w miarę ich uzyskiwania.
8.3. Podmiot przetwarzający niezwłocznie podejmuje rozsądne środki w celu zaradzenia Incydentowi i zminimalizowania jego skutków oraz przekazuje Administratorowi danych informacje niezbędne do powiadomienia organu nadzorczego i Osób, których dane dotyczą. Takie powiadomienia, jeżeli są wymagane, przekazuje Administrator danych.
8.4. Uwzględniając charakter przetwarzania oraz dostępne mu informacje, Podmiot przetwarzający pomaga Administratorowi danych w przeprowadzeniu oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym, jeżeli są one wymagane od Administratora danych, przekazując informacje o Serwisie i stosowanych środkach ochrony.
ROZDZIAŁ 9: MIEJSCE PRZETWARZANIA I PRZEKAZYWANIE DANYCH ZA GRANICĘ
9.1. Powierzone dane są przechowywane na serwerach zlokalizowanych na terytorium Republiki Federalnej Niemiec, w centrach danych Hetzner Online GmbH (Norymberga, Falkenstein). Kopie zapasowe bazy danych są przechowywane w odrębnym magazynie danych tego samego dostawcy na terytorium Niemiec. Zmiana miejsca przechowywania Powierzonych danych następuje w trybie określonym w Rozdziale 6.
9.2. Podmiot przetwarzający jest zarejestrowany w Ukrainie. Dostęp upoważnionych osób Podmiotu przetwarzającego do Powierzonych danych w celu wsparcia, utrzymania i ochrony Serwisu może odbywać się spoza Europejskiego Obszaru Gospodarczego, w tym z Ukrainy.
9.3. Jeżeli Administrator danych podlega RODO, a taki dostęp stanowi przekazanie danych osobowych do państwa, w odniesieniu do którego Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony, do takiego przekazania stosuje się standardowe klauzule umowne zatwierdzone decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r., moduł drugi „Przekazywanie przez administratora podmiotowi przetwarzającemu” (zwane dalej SKU). SKU włącza się do Umowy przez odesłanie; Administrator danych występuje w nich jako podmiot przekazujący dane, a Podmiot przetwarzający – jako podmiot odbierający dane. Na potrzeby SKU: klauzula 7 nie ma zastosowania; w ramach klauzuli 9 lit. a) stosuje się wariant 2 (ogólna zgoda) z terminem powiadomienia określonym w pkt 6.2 Umowy; nieobowiązkowe sformułowanie klauzuli 11 lit. a) nie ma zastosowania; w ramach klauzuli 17 stosuje się prawo państwa członkowskiego UE, w którym Administrator danych posiada jednostkę organizacyjną, a jeżeli prawo to nie dopuszcza praw osób trzecich, na rzecz których zawarto umowę, – prawo Republiki Federalnej Niemiec; w ramach klauzuli 18 spory rozstrzygają sądy państwa członkowskiego UE, w którym Administrator danych posiada jednostkę organizacyjną; załączniki I, II i III do SKU uważa się za wypełnione informacjami zawartymi odpowiednio w Załącznikach 1, 3 i 2 do Umowy. W przypadku sprzeczności między Umową a SKU pierwszeństwo mają SKU.
ROZDZIAŁ 10: INFORMACJE I KONTROLE
10.1. Na żądanie właściciela firmy Podmiot przetwarzający udostępnia informacje niezbędne do wykazania przestrzegania Umowy: opis stosowanych środków ochrony, wykaz Podwykonawców przetwarzania, informacje o certyfikacji dostawcy infrastruktury oraz odpowiedzi na rozsądne pytania Administratora danych dotyczące przetwarzania Powierzonych danych.
10.2. Jeżeli takie informacje są niewystarczające lub kontroli wymaga organ nadzorczy, Administrator danych może przeprowadzić kontrolę (audyt) przetwarzania Powierzonych danych samodzielnie lub z udziałem niezależnego audytora związanego obowiązkiem zachowania poufności. Kontrola jest przeprowadzana nie częściej niż raz na 12 (dwanaście) miesięcy, chyba że jest spowodowana Incydentem lub żądaniem organu nadzorczego, po powiadomieniu Podmiotu przetwarzającego z wyprzedzeniem co najmniej 30 (trzydziestu) dni kalendarzowych, w godzinach pracy, bez dostępu do danych innych użytkowników Serwisu i na koszt Administratora danych. Infrastruktura Podwykonawców przetwarzania jest weryfikowana na podstawie ich raportów i certyfikatów.
ROZDZIAŁ 11: OKRES OBOWIĄZYWANIA, ZWROT I USUWANIE DANYCH
11.1. Umowa wchodzi w życie z chwilą akceptacji i obowiązuje tak długo, jak Podmiot przetwarzający przetwarza Powierzone dane Administratora danych – do czasu ich usunięcia zgodnie z niniejszym Rozdziałem.
11.2. Klienci, wizyty i rezerwacje w kalendarzu usunięte w Serwisie przez Administratora danych lub Pracowników Użytkownika są przenoszone do archiwum i w ciągu 30 (trzydziestu) dni kalendarzowych mogą zostać przywrócone. Po upływie tego okresu są one usuwane automatycznie bez możliwości ich odzyskania wraz z odnoszącymi się do nich zdjęciami i dokumentami. Rezerwacje w kalendarzu, za które wniesiono płatności, nie są przy tym usuwane i pozostają przechowywane w przestrzeni konta firmy, a po usunięciu klienta – bez powiązania z nim.
11.3. Kopia adresu e-mail i imienia Klienta Użytkownika z formularza na Stronie rezerwacji online, zapisana w celu wysyłania przypomnień o wizycie, jest usuwana po 30 (trzydziestu) dniach od rozpoczęcia wizyty.
11.4. Przed usunięciem danych właściciel firmy może bezpłatnie uzyskać kopię danych przestrzeni konta firmy (eksport). Zakres, format i tryb eksportu określa Polityka prywatności.
11.5. Jeżeli właściciel firmy usuwa swoje konto, przestrzeń konta firmy i wszystkie Powierzone dane są usuwane bez możliwości ich odzyskania po upływie 7 (siedmiu) dni kalendarzowych od chwili potwierdzenia wniosku o usunięcie. Przed upływem tego okresu wniosek można anulować w trybie określonym w Warunkach korzystania.
11.6. Jeżeli dostęp do Serwisu ustał po zakończeniu okresu próbnego lub opłaconego okresu, a konto nie zostało usunięte, Powierzone dane są przechowywane, aby Administrator danych mógł wznowić dostęp: przez 2 (dwa) miesiące od daty zakończenia okresu próbnego, jeżeli płatna subskrypcja nie została wykupiona, lub przez 2 (dwa) lata od daty zakończenia ostatniego opłaconego okresu. Po upływie tych okresów dane są usuwane automatycznie bez możliwości ich odzyskania. Administrator danych, który nie życzy sobie takiego przechowywania, może w każdej chwili usunąć konto w trybie określonym w pkt 11.5.
11.7. Z kopii zapasowych Powierzone dane są usuwane w miarę planowej wymiany kopii zapasowych. Do tego czasu kopie zapasowe są chronione tymi samymi środkami i wykorzystywane wyłącznie do przywrócenia działania Serwisu po awariach.
11.8. Jeżeli przepisy prawa wymagają od Podmiotu przetwarzającego dalszego przechowywania niektórych Powierzonych danych, Podmiot przetwarzający przechowuje je wyłącznie przez okres przewidziany przepisami, zapewnia ich poufność i nie przetwarza ich w innych celach.
ROZDZIAŁ 12: ODPOWIEDZIALNOŚĆ
12.1. Strony ponoszą odpowiedzialność za naruszenie Umowy zgodnie z obowiązującymi przepisami prawa. Ograniczenia odpowiedzialności określone w Warunkach korzystania mają zastosowanie do Umowy w zakresie, w jakim dopuszczają to Przepisy o ochronie danych, i nie ograniczają praw Osób, których dane dotyczą.
ROZDZIAŁ 13: POSTANOWIENIA KOŃCOWE
13.1. Administracja może zmieniać Umowę, publikując nową wersję w Witrynie ze wskazaniem daty ostatniej aktualizacji. Zmiany w wykazie Podwykonawców przetwarzania wprowadza się w trybie określonym w Rozdziale 6. Dalsze korzystanie z Serwisu po wejściu w życie nowej wersji oznacza zgodę na nią. W przypadku braku zgody Użytkownik może zaprzestać korzystania z Serwisu i usunąć konto.
13.2. Do Umowy stosuje się prawo Ukrainy z uwzględnieniem bezwzględnie obowiązujących Przepisów o ochronie danych, którym podlega Administrator danych, oraz Rozdziału 9. Spory są rozstrzygane w trybie określonym w Warunkach korzystania.
13.3. Powiadomienia kierowane do Administratora danych są wysyłane na adres e-mail właściciela firmy podany w koncie lub w formie wiadomości w Serwisie, a do Podmiotu przetwarzającego – na adres support@podocard.com.
13.4. Nieważność któregokolwiek z postanowień Umowy nie powoduje nieważności pozostałych jej postanowień.
ZAŁĄCZNIK 1: OPIS PRZETWARZANIA
1. Kategorie Osób, których dane dotyczą:
Klienci Użytkownika, w tym osoby, które zarezerwowały wizytę za pośrednictwem Strony rezerwacji online;
Pracownicy Użytkownika – w odniesieniu do danych wprowadzanych do Serwisu przez firmę.
2. Kategorie Powierzonych danych:
dane Klientów Użytkownika: nazwisko, imię, imię odojcowskie, płeć, data urodzenia, zawód; numer telefonu, adres e-mail, kontakty w Telegramie i na Instagramie; ankieta medyczna (informacje o chorobach i stanach, alergiach, rozmiarze stopy, notatki); historia wizyt (opis zabiegów, oznaczenia na schematach stóp, informacje o systemach korekcyjnych, notatki, zdjęcia, w tym sprzed zabiegów i po nich); podpisy elektroniczne i podpisane dokumenty, w tym świadome zgody w formacie PDF; inne informacje i pliki wprowadzane przez Administratora danych;
w przypadku korzystania z Funkcji CRM: rezerwacje wizyt (data i godzina, oddział, specjalista, usługi i ich ceny, status rezerwacji, komentarze), informacje o płatnościach za rezerwacje (kwota, metoda płatności, data) i o rozliczeniach z klientami, zezwolenie dla klienta na rezerwowanie wizyt za pośrednictwem Strony rezerwacji online;
przy rezerwacji za pośrednictwem Strony rezerwacji online: imię, nazwisko, numer telefonu i adres e-mail podane w formularzu, wybrane usługi, specjalista, data i godzina, a także zaznaczenie zgody na przetwarzanie danych osobowych (data i godzina, adres IP, informacje o przeglądarce, wersja dokumentu);
dane Pracowników Użytkownika: imię, nazwisko, dane kontaktowe, stanowisko, zdjęcie (awatar), rola i oddziały, grafik pracy (dni i godziny pracy, przerwy, dni wolne), rezerwacje klientów i wykonane usługi, warunki wynagradzania (procent od ceny usług i/lub stawka), jeżeli ustala je Administrator danych, oraz obliczone na ich podstawie kwoty wynagrodzenia.
3. Szczególne kategorie danych: informacje o stanie zdrowia Klientów Użytkownika (ankieta medyczna, opisy zabiegów, zdjęcia). Zakres ich przetwarzania określa Administrator danych.
4. Charakter przetwarzania: zbieranie, w tym za pośrednictwem Strony rezerwacji online; utrwalanie, systematyzowanie, przechowywanie i zmienianie; wyświetlanie użytkownikom przestrzeni konta firmy zgodnie z ich rolami i oddziałami; generowanie dokumentów PDF, raportów i obliczeń; wysyłanie wiadomości e-mail – dokumentów klientowi na jego adres e-mail, wiadomości o rezerwacji i przypomnień o wizycie do Klientów Użytkownika, powiadomień o rezerwacjach dokonanych za pośrednictwem Strony rezerwacji online do właściciela firmy, menedżerów i administratorów oddziału; wyświetlanie imienia, nazwiska, stanowiska i zdjęcia specjalistów na Stronie rezerwacji online; ochrona przed nadużyciami; tworzenie kopii zapasowych; eksport; usuwanie.
5. Cele przetwarzania: świadczenie Serwisu i jego funkcji na rzecz Administratora danych, wsparcie techniczne Administratora danych, zapewnienie bezpieczeństwa i ciągłości działania Serwisu, przywracanie działania po awariach.
6. Czas trwania przetwarzania: przez okres obowiązywania Umowy (Rozdział 11).
ZAŁĄCZNIK 2: PODWYKONAWCY PRZETWARZANIA
Wykaz obowiązuje od 29 października 2026 r.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Niemcy) – infrastruktura chmurowa Serwisu: serwery, baza danych, magazyn zdjęć i dokumentów, kopie zapasowe. Miejsce przetwarzania – Niemcy (centra danych w Norymberdze i Falkenstein).
Wiadomości e-mail Serwisu, w tym do Klientów Użytkownika, są wysyłane za pośrednictwem własnego serwera pocztowego Podmiotu przetwarzającego. Dostawcy usług płatniczych, sklepy z aplikacjami oraz usługi analityczne wymienione w Polityce prywatności nie są Podwykonawcami przetwarzania: otrzymują wyłącznie te dane Użytkownika, które są niezbędne do wykonywania ich funkcji, i nie mają dostępu do Profili Klientów.
ZAŁĄCZNIK 3: ŚRODKI TECHNICZNE I ORGANIZACYJNE
1. Lokalizacja. Serwery Serwisu i kopie zapasowe znajdują się w centrach danych Hetzner Online GmbH na terytorium Niemiec. System zarządzania bezpieczeństwem informacji dostawcy posiada certyfikat zgodności z międzynarodową normą ISO/IEC 27001.
2. Ochrona przesyłania danych. Wymiana danych między aplikacją mobilną, stroną internetową a serwerami Serwisu odbywa się wyłącznie za pośrednictwem zabezpieczonego połączenia (HTTPS/TLS).
3. Przechowywanie plików. Zdjęcia i dokumenty są przechowywane w zamkniętym magazynie danych i nie są dostępne za pośrednictwem stałych linków bezpośrednich: aplikacja zapewnia dostęp do nich za pomocą linków tymczasowych o ograniczonym okresie ważności.
4. Dostęp do infrastruktury. Baza danych nie jest dostępna z sieci Internet. Dostęp administracyjny do serwerów ma wyłącznie upoważniony personel techniczny Podmiotu przetwarzającego, z wykorzystaniem uwierzytelniania opartego na kluczach.
5. Konta. Hasła są przechowywane wyłącznie w postaci skrótów kryptograficznych (hashy). Dostęp do Serwisu jest zapewniany za pomocą tokenów o ograniczonym okresie ważności; po zresetowaniu hasła wcześniej wydane tokeny są unieważniane. Liczba prób logowania i wprowadzania kodów potwierdzających jest ograniczona.
6. Kontrola dostępu. Dane firmy są dostępne wyłącznie dla użytkowników jej przestrzeni konta. Zakres dostępu Pracowników Użytkownika jest określany przez ich rolę (właściciel, menedżer, administrator, specjalista), a w przypadku korzystania z Funkcji CRM – również przez oddziały, do których są przypisani; w szczególności specjaliście nie są wyświetlane dane kontaktowe Klientów Użytkownika. Role i przypisanie do oddziałów ustalają właściciel firmy i menedżerowie.
7. Personel Podmiotu przetwarzającego. Osoby dopuszczone do Powierzonych danych są zobowiązane do zachowania poufności i przeglądają zawartość Profili Klientów wyłącznie w przypadkach wskazanych w pkt 4.5 Umowy.
8. Strona rezerwacji online. Liczba zapytań i zgłoszeń jest ograniczana według adresu IP, numeru telefonu i adresu e-mail; wartości te są wykorzystywane w postaci skrótów (hashy) w tymczasowych licznikach, które są usuwane automatycznie po upływie okresu ograniczenia. Link do odwołania rezerwacji zawiera kod niemożliwy do odgadnięcia, a w bazie danych przechowywany jest wyłącznie jego skrót. Na Stronie rezerwacji online i na stronie odwołania rezerwacji nie są wykorzystywane piksel Meta ani inne narzędzia reklamowe i analityczne.
9. Dzienniki. Błędy i awarie są rejestrowane w dziennikach w celu monitorowania działania Serwisu; hasła, tokeny i kody potwierdzające są w dziennikach maskowane.
10. Kopie zapasowe. Kopie zapasowe bazy danych są tworzone regularnie i przechowywane w odrębnym magazynie danych na terytorium Niemiec.
11. Usuwanie. Klienci, wizyty i rezerwacje po usunięciu są przechowywane w archiwum przez 30 (trzydzieści) dni kalendarzowych, po czym są usuwane automatycznie; dane przestrzeni konta firmy są usuwane automatycznie po upływie okresów przechowywania (Rozdział 11 Umowy).
12. Eksport. Kopia danych przestrzeni konta firmy jest wydawana wyłącznie właścicielowi firmy: link do pobrania jest wysyłany wyłącznie na adres e-mail podany w jego koncie i jest ważny przez 7 (siedem) dni kalendarzowych, po czym archiwum jest usuwane z serwerów Serwisu.
DANE REJESTROWE
Przedsiębiorca indywidualny według prawa Ukrainy Serdiukova Anna
NIP (TIN) 3117915209
Tel. +380731234011
E-mail: support@podocard.com