Powierzenie danych klientów

1. Strony i zakres

Właściciel konta, w zakresie danych klientów przetwarzanych dla jego celów, jest Administratorem. I.M. Iwona Romanowska, NIP 6692412123, REGON 321512987, ul. Cylkowskiego 35, 81-465 Gdynia jest Podmiotem przetwarzającym. Załącznik stanowi warunki powierzenia zgodnie z art. 28 RODO i jest częścią umowy o konto, gdy do zleceń wprowadzane są dane osobowe klientów. Nie obejmuje danych, dla których usługodawca działa jako odrębny administrator, np. danych rozliczeń z właścicielem konta.

Przedmiotem jest przechowywanie i udostępnianie danych w zleceniach przez okres utrzymywania konta. Cel: realizacja współpracy nad projektem. Czynności: zapis, uporządkowanie, wyświetlanie, udostępnianie uczestnikom na polecenie właściciela, zwrot i usuwanie. Osoby: klienci, osoby reprezentujące klientów, współpracownicy i uczestnicy zleceń. Dane: e-maile klientów, podpisy i nazwy, uwagi, terminy, decyzje, treści cenników i wycen oraz dane osobowe zawarte w dopuszczonych plikach. Dane szczególnych kategorii i dane kart są wyłączone z dopuszczonego zakresu.

2. Polecenia i obowiązki

Poleceniami Administratora są korzystanie z funkcji aplikacji zgodnie z regulaminem oraz udokumentowane dyspozycje skierowane na pomoc@projektok.pl, w granicach usługi i prawa. Administrator odpowiada za legalność danych i udostępnienia, obowiązki informacyjne oraz nadawanie dostępu przez link.

Podmiot przetwarzający wykonuje operacje wyłącznie na udokumentowane polecenie, w tym w odniesieniu do transferów danych, chyba że wymaga ich prawo; wówczas informuje Administratora, jeśli nie jest to zakazane. Osoby upoważnione są zobowiązane do poufności. Jeśli polecenie w jego ocenie narusza przepisy ochrony danych, niezwłocznie informuje Administratora.

3. Bezpieczeństwo i pomoc

Wdrożone środki obejmują HTTPS, kontrolę dostępu do kont i plików, prywatny magazyn plików, zabezpieczone skróty haseł i tokenów, ograniczanie prób, wygasające i odwoływalne linki oraz rejestrowanie decyzji. Dobór środków podlega ocenie ryzyka; nie deklarujemy szyfrowania end-to-end, certyfikacji ani własnych automatycznych kopii zapasowych, których nie wdrożono.

Podmiot przetwarzający pomaga Administratorowi, stosownie do charakteru przetwarzania i dostępnych informacji, w realizacji żądań osób, obowiązków bezpieczeństwa, zgłaszania naruszeń, ocen skutków i konsultacji z organem. O żądaniu dotyczącym danych klienta informuje Administratora; nie odpowiada za niego bez upoważnienia poza obowiązkiem prawnym. O stwierdzonym naruszeniu danych powierzonych informuje bez zbędnej zwłoki, udostępniając znane informacje i dalsze ustalenia.

4. Dalsze powierzenie i transfery

Administrator udziela ogólnego upoważnienia do dalszego powierzenia hostingu OpenAI Ireland Ltd w ramach ChatGPT Sites, wraz z dostawcami infrastruktury wskazanymi w DPA i wykazie podmiotów przetwarzających OpenAI. Baza i pliki korzystają z Cloudflare D1/R2 w ramach tej usługi. Warunki: https://openai.com/policies/chatgpt-sites-data-processing-addendum/; wykaz: https://openai.com/policies/sub-processor-list/. Cloudflare obsługuje ponadto DNS domeny projektok.pl, a home.pl — działającą skrzynkę pomoc@projektok.pl i pocztę kierowaną do obsługi; usługi te nie dają dostępu do zleceń poza zakresem niezbędnym do ich technicznej obsługi lub treścią dobrowolnie przesłanej korespondencji.

Wiadomości dotyczące zleceń, w tym prywatne linki do udostępnionych materiałów, wysyła Brevo (Sendinblue SAS). W tym zakresie Brevo jest dalszym podmiotem przetwarzającym i otrzymuje adres odbiorcy, treść wiadomości (w tym prywatny link) oraz informacje techniczne potrzebne do doręczenia. Nie otrzymuje plików projektowych jako załączników z funkcji wysyłki ProjektOK. Warunki powierzenia Brevo stanowią część regulaminu dostawcy: https://www.brevo.com/legal/termsofuse/. Upoważnienie do dalszego powierzenia obejmuje również tę wysyłkę. Marketing ProjektOK do właścicieli kont pozostaje odrębnym celem usługodawcy i wymaga dobrowolnej zgody.

Podmiot przetwarzający zapewnia odpowiednie zobowiązania umowne dalszych podmiotów i pozostaje odpowiedzialny za wykonanie ich obowiązków wobec Administratora zgodnie z art. 28 RODO. Informuje o planowanym dodaniu lub zmianie dalszego podmiotu, aby Administrator mógł zgłosić sprzeciw w ciągu 30 dni. W razie nierozwiązanego sprzeciwu strony uzgadniają rozwiązanie albo zakończenie odpowiedniej usługi i rozliczenie niewykorzystanego świadczenia.

Dane mogą być przetwarzane poza EOG. Polecenie obejmuje transfery potrzebne dla uzgodnionego hostingu z zastosowaniem odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne albo decyzja o odpowiednim stopniu ochrony. Nie jest to zgoda na dowolny transfer bez zabezpieczeń. Dokumentacja dostawcy stanowi źródło informacji o aktualnych podstawach transferów.

5. Kontrola i zakończenie

Podmiot przetwarzający udostępnia informacje potrzebne do wykazania zgodności z art. 28 RODO i umożliwia audyty, w tym inspekcje, Administratorowi albo upoważnionemu audytorowi. Strony uzgadniają sposób, który chroni dane innych użytkowników i bezpieczeństwo; ustalenia nie wyłączają ustawowego prawa kontroli.

Po zakończeniu usługi, według wyboru Administratora, dane powierzone zostają zwrócone lub usunięte wraz z kopiami, chyba że prawo wymaga ich zachowania. Dyspozycje i zakres zwrotu są obecnie obsługiwane indywidualnie przez pomoc@projektok.pl. Podmiot przetwarzający realizuje także odpowiednie dyspozycje wobec dostawcy hostingu.

Załącznik nie ogranicza praw osób, obowiązków wynikających z RODO ani odpowiedzialności określonej przepisami. Wersja: 17 października 2026 r.

Nieaktywność konta i zwrot materiałów

Zaakceptowane zasady nieaktywnych kont obejmują również materiały przetwarzane na polecenie grafika. Administrator danych otrzymuje 90-dniowy okres bez aktywności, następnie ostrzeżenie i minimum 30 dni na powrót lub pobranie materiałów oraz kolejne przypomnienie z minimum 7-dniowym wyprzedzeniem. Usunięcie wymaga zatwierdzenia obsługi, z uwzględnieniem praw, reklamacji i żądań dotyczących danych. Do tego czasu można pobrać pliki i eksporty ze zleceń lub uzgodnić z obsługą zwrot danych. Zakres danych zachowywanych z obowiązku prawnego określa polityka prywatności.