Umowa powierzenia przetwarzania danych osobowych

Wersja 1.2 z dnia 12 października 2026 r. Umowa dotyczy jednego Projektu; opis powierzenia (Załącznik nr 1) Klient uzupełnia w Panelu.

§ 1. Strony i przedmiot

1. Stronami są Klient wskazany w zgłoszeniu złożonym w Panelu oraz T-Band sp. z o.o., działająca jako hostd.cloud, z danymi wskazanymi w Regulaminie, dalej „hostd”.
2. Klient powierza hostd przetwarzanie danych osobowych znajdujących się w zasobach Public Cloud w celu udostępnienia infrastruktury, przechowywania, wykonywania operacji zleconych przez Klienta, kopii, odtwarzania i zakończenia Usługi. hostd występuje jako podmiot przetwarzający. Jeżeli Klient jest podmiotem przetwarzającym, zapewnia odpowiednie upoważnienie administratora do dalszego powierzenia.
3. Umowa dotyczy operacji automatycznych oraz niezbędnych czynności upoważnionych osób obsługujących Usługę. Nie obejmuje przetwarzania danych, dla którego hostd samodzielnie określa cele jako administrator, opisanego w Polityce prywatności.
4. Umowa obowiązuje przez okres przetwarzania powierzonych danych, również podczas uzgodnionego eksportu, odbioru i usuwania po zakończeniu Usługi.
5. Umowa dotyczy wyłącznie danych Klienta w Projekcie wskazanym w zgłoszeniu. Zostaje zawarta z chwilą potwierdzenia przez hostd zgłoszenia złożonego przez Klienta w Panelu (Ustawienia → DPA). Załącznik nr 1 Klient wypełnia w zgłoszeniu. hostd może odrzucić zgłoszenie, podając powód. Kolejne potwierdzenie zgłoszenia dla tego samego Projektu zastępuje poprzednią umowę z chwilą potwierdzenia; do tej chwili obowiązuje poprzednia umowa.

§ 2. Zakres i instrukcje

1. Charakter i cel: świadczenie infrastruktury obliczeniowej i przechowywania zgodnie z umową główną. Czynności obejmują przyjmowanie, zapis, organizowanie, udostępnianie Klientowi, przesyłanie, tworzenie i odtwarzanie kopii, ograniczenie dostępu oraz usunięcie.
2. Klient określa faktyczne kategorie danych i osób w opisie powierzenia przy zawarciu umowy. Mogą to być dane identyfikacyjne, kontaktowe, zawodowe, transakcyjne i treści dotyczące klientów, pracowników, współpracowników, użytkowników i kontrahentów Klienta — tylko w zakresie wskazanym przez Klienta. Puste pole nie oznacza zgody na nieograniczony katalog.
3. Bez uprzedniej pisemnej zgody hostd Klient nie umieszcza w Usłudze szczególnych kategorii danych (art. 9 RODO), danych o wyrokach skazujących i naruszeniach prawa (art. 10 RODO), danych dzieci ani innych danych wymagających dodatkowych zabezpieczeń. Zgoda wymaga wskazania takich danych w Załączniku nr 1 i uzgodnienia wymagań, których standardowa Usługa nie zapewnia. Klient ocenia adekwatność Usługi i podstawę prawną. Umowa nie stanowi zapewnienia zgodności z każdym sektorowym wymogiem Klienta.
4. Udokumentowanymi instrukcjami są umowa, uzgodniony opis powierzenia, działania uprawnionych użytkowników w Panelu/API oraz uzgodnione dyspozycje z kanału wsparcia. hostd nie przetwarza danych do własnych celów, w tym reklamy, profilowania lub trenowania modeli.
5. Jeśli obowiązek przetwarzania wynika z prawa UE lub państwa członkowskiego, hostd informuje o nim Klienta przed przetwarzaniem, chyba że prawo zabrania takiego powiadomienia ze względu na ważny interes publiczny. Jeśli instrukcja narusza przepisy ochrony danych, hostd niezwłocznie informuje Klienta i wstrzymuje dotkniętą instrukcję do wyjaśnienia.

§ 3. Poufność i bezpieczeństwo

1. Dostęp otrzymują wyłącznie osoby upoważnione, objęte obowiązkiem poufności. Uprawnienia nadaje się zgodnie z potrzebą wykonywania zadań i odbiera po jej ustaniu.
2. hostd wdraża środki odpowiednie do ryzyka, zgodnie z art. 32 RODO i Załącznikiem nr 2, uwzględniając poufność, integralność, dostępność i odporność systemów oraz odtwarzanie po incydencie.
3. Środki podlegają ocenie i aktualizacji. hostd nie obniża istotnie uzgodnionego poziomu ochrony przez jednostronną zmianę Załącznika nr 2.
4. Klient odpowiada za zgodność swoich celów i treści, podstawę przetwarzania, prawa dostępu w aplikacjach, system gościa, wybór retencji kopii i stosowanie dostępnych zabezpieczeń. Podział obowiązków nie zwalnia hostd z wykonania własnych obowiązków.
5. hostd nie przegląda zawartości Instancji i kopii zapasowych ani nie ma obowiązku jej weryfikacji; rodzaj i zakres danych w Projekcie określa i kontroluje Klient, zgodnie z § 10.1 Regulaminu.

§ 4. Dalsze powierzenie i transfery

1. hostd nie korzysta z dalszych podmiotów przetwarzających dane powierzone w Instancjach ani ich kopiach. Infrastrukturę obsługują wyłącznie upoważnieni pracownicy hostd. Odbiorcy danych Konta i dokumentów rozliczeniowych są opisani w Polityce prywatności i nie uzyskują z tego tytułu dostępu do danych Instancji.
2. Niniejsza umowa nie udziela ogólnej zgody na przyszłe dalsze powierzenie. Ewentualne zaangażowanie takiego podmiotu wymaga uprzedniej pisemnej zgody Klienta zgodnie z art. 28 ust. 2 RODO oraz określenia zakresu, podmiotu i zabezpieczeń przed rozpoczęciem przetwarzania.
3. W razie uzgodnionego dalszego powierzenia hostd nakłada na dalszy podmiot obowiązki co najmniej odpowiadające niniejszej umowie w zakresie jego czynności i odpowiada wobec Klienta za wykonanie tych obowiązków przez ten podmiot.
4. Dane powierzane przechowujemy w uzgodnionej lokalizacji. Dostęp z państwa trzeciego i transfer poza EOG wymagają udokumentowanej instrukcji i zgodnego z rozdziałem V RODO mechanizmu. Dane Instancji i ich kopii przechowujemy w Polsce; pracownicy uzyskują dostęp administracyjny wyłącznie z Polski.

§ 5. Pomoc Klientowi

hostd, uwzględniając charakter przetwarzania i dostępne informacje:

• pomaga odpowiedzieć na żądania osób, których dane dotyczą, przy użyciu odpowiednich środków technicznych i organizacyjnych;
• niezwłocznie przekazuje Klientowi żądanie dotyczące powierzonych danych i nie odpowiada merytorycznie zamiast Klienta bez instrukcji lub obowiązku prawnego;
• pomaga w realizacji obowiązków bezpieczeństwa, zgłaszania naruszeń, oceny skutków i uprzednich konsultacji z organem;
• udostępnia informacje potrzebne do wykazania wykonania art. 28 RODO.

Jeśli nadzwyczajna pomoc wykracza poza standardową Usługę, jej ewentualny koszt musi być uzgodniony z góry i nie może udaremniać obowiązków prawnych. Nie pobieramy dodatkowej opłaty za naprawienie własnego naruszenia.

§ 6. Naruszenia ochrony danych

1. Po stwierdzeniu naruszenia powierzonych danych hostd informuje Klienta bez zbędnej zwłoki, przez ustalony kontakt incydentowy. Nie czeka z pierwszą informacją na zakończenie całego dochodzenia.
2. Zgłoszenie obejmuje dostępne informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i zapisów, możliwych skutkach, podjętych lub proponowanych działaniach oraz kontakcie do dalszych wyjaśnień. Brakujące informacje przekazujemy etapami.
3. hostd zabezpiecza dowody, ogranicza skutki i współpracuje z Klientem. Decyzję o zgłoszeniu naruszenia organowi i osobom podejmuje właściwy administrator, bez uszczerbku dla własnych obowiązków prawnych hostd.
4. Klient utrzymuje aktualny kontakt do obsługi naruszeń.

§ 7. Weryfikacja i audyty

1. hostd umożliwia i wspiera audyty, w tym inspekcje prowadzone przez Klienta lub upoważnionego audytora. W pierwszej kolejności udostępnia właściwą dokumentację i dostępne wyniki kontroli, o ile pozwalają zweryfikować obowiązki.
2. Audyt lub inspekcja odbywa się nie częściej niż raz na 12 miesięcy, z wyjątkiem audytu po naruszeniu ochrony powierzonych danych albo na żądanie organu nadzorczego; wtedy stosuje się odpowiednio pilny tryb. Klient zawiadamia o audycie z co najmniej 30-dniowym wyprzedzeniem, audyt odbywa się w godzinach pracy hostd, a audytor zobowiązuje się do poufności. Zakres i sposób kontroli uzgadnia się proporcjonalnie do ryzyka, chroniąc dane innych Klientów, poufność, bezpieczeństwo i obiekty operatorów centrów danych, do których hostd nie może udzielać wstępu. Audyt nie obejmuje testów penetracyjnych ani skanowania infrastruktury hostd bez uprzedniej pisemnej zgody hostd. Poufność i uzgodnienia organizacyjne nie mogą uniemożliwić wykonania ustawowego prawa audytu.
3. Klient ponosi koszty audytu i audytora. Czas pracowników hostd przekraczający 4 godziny robocze w roku kalendarzowym rozliczamy według stawki uzgodnionej z góry; nie dotyczy to audytu po naruszeniu spowodowanym przez hostd.
4. O wykrytej niezgodności hostd informuje Klienta i uzgadnia działania naprawcze. Nie zastępuje prawa audytu samym ogólnym oświadczeniem o zgodności.

§ 8. Zakończenie

1. Po zakończeniu usług przetwarzania hostd, zgodnie z wyborem Klienta, usuwa lub zwraca powierzone dane i usuwa istniejące kopie, chyba że prawo UE lub państwa członkowskiego nakazuje przechowywanie.
2. Eksport, okres odbioru, zakres i terminy usuwania określa § 12 Regulaminu. Techniczne usuwanie kopii odbywa się w terminach wskazanych w § 12.5 Regulaminu; danych nie wykorzystuje się do innych celów.
3. Na wniosek Klienta hostd potwierdza wykonanie zwrotu/usunięcia albo wskazuje podstawę, zakres i termin dalszego obowiązkowego przechowywania.

§ 9. Odpowiedzialność

1. Odpowiedzialność hostd z tytułu niniejszej umowy podlega § 6 Regulaminu, w tym wyłączeniom i limitowi odszkodowania, w zakresie dopuszczalnym przez bezwzględnie obowiązujące przepisy.
2. hostd odpowiada wobec Klienta za szkodę spowodowaną przetwarzaniem tylko wtedy, gdy nie wykonał obowiązków RODO skierowanych szczególnie do podmiotów przetwarzających albo działał poza zgodnymi z prawem instrukcjami Klienta lub wbrew nim. hostd nie odpowiada za działania i zaniechania będące bezpośrednim skutkiem instrukcji Klienta albo niewykonania przez Klienta obowiązków wynikających z przepisów o ochronie danych.
3. Klient zwolni hostd z odpowiedzialności wobec osób trzecich i organów oraz zwróci uzasadnione koszty, w tym obsługi prawnej, jeżeli roszczenie lub postępowanie wynika z braku podstawy prawnej przetwarzania, niezgodnej z prawem instrukcji, treści umieszczonych przez Klienta albo braku upoważnienia administratora, gdy Klient działa jako podmiot przetwarzający. Nie dotyczy to szkody wynikającej z naruszenia umowy przez hostd.
4. Jeżeli osoba, której dane dotyczą, uzyska odszkodowanie od jednej ze stron na podstawie art. 82 RODO, strony rozliczają się według swojego udziału w winie. Część przypadająca na hostd podlega ust. 1.

Załącznik nr 1. Opis konkretnego powierzenia

Do uzupełnienia przez Klienta w zgłoszeniu: nazwa i identyfikacja Klienta (firma, NIP, adres); Projekt; rola administratora/podmiotu przetwarzającego; cele; kategorie danych; kategorie osób; ewentualne dane szczególne; kontakt operacyjny i incydentowy; wymagania dodatkowe; data i wersja zaakceptowanych dokumentów.

Klient oświadcza, że zapoznał się z Załącznikiem nr 2, w tym z tym, że hostd nie szyfruje dysków i kopii Instancji w spoczynku, oraz że sam odpowiada za włączenie i konfigurację kopii zapasowych, ich retencję i sprawdzanie przydatności dla swoich aplikacji.

Opis powierzenia i opis zabezpieczeń z Załącznika nr 2 są integralnymi częściami umowy. Aktualny zakres dalszego powierzenia określa § 4.

Załącznik nr 2. Środki techniczne i organizacyjne

1. Lokalizacja i dostęp fizyczny. Dane Instancji i kopii znajdują się w Polsce. Backup znajduje się w fizycznie oddzielnym centrum danych. Dostęp pracowników do obiektów odbywa się na podstawie list imiennych i kontroli dokumentu tożsamości; cofnięcie upoważnienia zgłaszamy operatorowi. Operatorzy obiektów zapewniają miejsce dla infrastruktury; nie korzystamy z ich zdalnej obsługi sprzętu ani wymiany nośników.
2. Dostęp administracyjny. Infrastrukturę obsługują wyłącznie upoważnieni pracownicy hostd z Polski, przez VPN, z MFA i indywidualnymi kontami. Nadawanie i odbieranie dostępu pozostaje pod kontrolą hostd. Nie prowadzimy rejestru haseł Klienta do jego Instancji; dostęp do infrastruktury nie upoważnia do dowolnego przeglądania danych.
3. Izolacja i transmisja. Projekty mają odrębne uprawnienia, sieci prywatne i reguły firewall, a kopie — magazyn przypisany do Projektu. Panel i publiczne API korzystają z HTTPS. Transmisja backupu odbywa się w sieci lokalnej po HTTPS z uwierzytelnianiem tokenami API. Klient zabezpiecza transmisję do własnych aplikacji.
4. Kopie i odtwarzanie. Backup klienta wymaga włączenia i konfiguracji. Monitorujemy błędy zadań backupu i wysyłamy powiadomienia do wyznaczonej grupy pracowników. Okresowo wykonujemy próbne odtworzenia wybranych Instancji. Klient ustala harmonogram i retencję swoich kopii oraz sprawdza ich przydatność dla aplikacji. Nie ustanawiamy dodatkowej gwarancji RPO ani RTO.
5. Utrzymanie. Administratorzy regularnie aktualizują oprogramowanie infrastruktury. Rejestrujemy istotne operacje w Panelu/API i korzystamy z monitoringu infrastruktury. Obowiązki oceny zabezpieczeń i obsługi naruszeń określa umowa powierzenia.
6. Szyfrowanie danych w spoczynku. hostd nie szyfruje dysków infrastruktury ani kopii Instancji w spoczynku. Klient może stosować szyfrowanie w Instancjach i zarządza własnymi kluczami. HTTPS nie oznacza szyfrowania zawartości wszystkich dysków.
7. Nośniki. Nośniki danych wycofane z eksploatacji są trwale kasowane lub fizycznie niszczone, zanim opuszczą infrastrukturę hostd.
8. Zakres zarządzania. hostd utrzymuje platformę i infrastrukturę. Klient zarządza systemem gościa, aplikacjami, uprawnieniami ich użytkowników i legalnością swoich danych. Podział obowiązków nie wyłącza odpowiedzialności hostd za własne zobowiązania.