Umowa powierzenia przetwarzania danych

Wersja 1.0 · obowiązuje od 7 września 2026 r.

Ten dokument reguluje przetwarzanie danych osobowych w trybie art. 28 RODO. Zawierają go: organizacja zakładana w gmin.app - jako administrator danych swoich członków - oraz operator platformy gmin.app (https://gmin.app) - jako podmiot przetwarzający. Umowa wiąże od chwili założenia organizacji w usłudze.

1. Kto za co odpowiada

Organizacja decyduje, kogo zaprasza, jakie dane zbiera i jak długo je trzyma. Operator przetwarza te dane wyłącznie po to, żeby usługa działała - i wyłącznie w zakresie, jaki z tego wynika. Operator nie staje się administratorem danych członków i nie używa ich do własnych celów.

Osobno, jako własny administrator, operator przetwarza dane samego konta (adres e-mail, imię i nazwisko), logi techniczne i zgody - zakres i podstawy opisuje polityka prywatności.

2. Przedmiot i czas

Przedmiot: przechowywanie i udostępnianie danych członków oraz treści organizacji w ramach usługi gmin.app.
Cel: świadczenie usługi - lista członków, tablica, kalendarz, czat, zdjęcia, powiadomienia.
Czas: do usunięcia organizacji z usługi albo do rozwiązania umowy.

3. Zakres danych i kategorie osób

Osoby: członkowie organizacji, byli członkowie, osoby zgłaszające chęć dołączenia, opiekunowie prawni członków małoletnich.
Dane: imię i nazwisko, adres e-mail, opcjonalny numer telefonu, zdjęcie profilowe, rola, status i funkcja w zarządzie, data wstąpienia, treści publikowane w organizacji, zdjęcia, potwierdzenia obecności, zgody.

Usługa nie jest przeznaczona do przetwarzania danych szczególnych kategorii z art. 9 RODO - danych o zdrowiu, wyznaniu, przynależności do partii czy związku zawodowego. Jeśli organizacja umieści je w treściach, robi to na własną odpowiedzialność i bez podstawy w tej umowie.

4. Obowiązki operatora

Przetwarza dane wyłącznie na udokumentowane polecenie organizacji, którym jest korzystanie z funkcji usługi.
Zapewnia poufność - dostęp do danych mają wyłącznie osoby, które muszą go mieć, i tylko w zakresie zadań utrzymaniowych.
Stosuje środki bezpieczeństwa z punktu 5.
Pomaga organizacji w realizacji żądań osób, których dane dotyczą - dostępu, sprostowania, usunięcia i przeniesienia.
Zawiadamia organizację o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w 48 godzin od wykrycia, i przekazuje informacje potrzebne do zgłoszenia z art. 33 RODO.
Po zakończeniu umowy usuwa dane albo zwraca je organizacji - do wyboru organizacji.
Udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyt na zasadach z punktu 8.

5. Środki bezpieczeństwa

Dostęp do danych organizacji rozstrzyga baza danych na poziomie wiersza (RLS), nie sam interfejs. Wnętrze organizacji widzi wyłącznie jej aktywny członek.
Transmisja szyfrowana (HTTPS), dane w spoczynku szyfrowane przez dostawcę infrastruktury.
Zdjęcia leżą w prywatnych zasobnikach, a adresy do nich są podpisywane i wygasają po godzinie.
Uwierzytelnianie hasłem lub linkiem jednorazowym; hasła są przechowywane wyłącznie jako skróty.
Kopie zapasowe bazy po stronie dostawcy infrastruktury, w Unii Europejskiej.
Rozdzielone środowiska testowe i produkcyjne; dane produkcyjne nie służą do testów.

6. Dalsze powierzenie

Organizacja zgadza się na korzystanie z podwykonawców wymienionych w punkcie „Podmioty przetwarzające” polityki prywatności: dostawcy bazy danych i uwierzytelniania, hostingu aplikacji, wysyłki e-mail oraz przesyłania powiadomień push. Każdy z nich jest związany obowiązkami nie mniejszymi niż te z punktu 4. O zmianie na tej liście operator informuje z wyprzedzeniem 30 dni; organizacja może w tym czasie wypowiedzieć umowę, jeśli zmiany nie akceptuje.

7. Miejsce przetwarzania

Dane są przetwarzane na serwerach w Unii Europejskiej. Przekazanie do państwa trzeciego wymaga podstawy z rozdziału V RODO i uprzedniej informacji dla organizacji. Wyjątkiem z natury rzeczy jest doręczanie powiadomień push, które przechodzą przez usługę przeglądarki albo systemu operacyjnego użytkownika - zawierają tytuł powiadomienia i nazwę organizacji.

8. Kontrola i audyt

Organizacja może żądać informacji o sposobie przetwarzania oraz przeprowadzić audyt. Termin ustala się z operatorem, z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku - chyba że audyt jest następstwem naruszenia ochrony danych.

9. Odpowiedzialność

Każda ze stron odpowiada za skutki własnego naruszenia RODO. Operator nie odpowiada za treści wprowadzone przez organizację i jej członków ani za skutki udostępnienia danych przez samą organizację - w szczególności za publikację wizytówki w katalogu i za oznaczenie wydarzenia jako otwartego.

10. Zakończenie

Umowa kończy się z chwilą usunięcia organizacji z usługi. Operator usuwa wtedy dane organizacji, z zastrzeżeniem kopii zapasowych, które wygasają w cyklu do 30 dni, oraz danych, których zatrzymania wymaga prawo. Wycofanie akceptacji tej umowy przy dalszym korzystaniu z usługi nie jest możliwe - bez podstawy z art. 28 RODO operator nie ma prawa przetwarzać danych członków, więc taka decyzja oznacza usunięcie organizacji.

11. Kontakt

Sprawy ochrony danych: kontakt@gmin.app. Odpowiadamy w ciągu 30 dni, a przy naruszeniu ochrony danych bez zbędnej zwłoki.

Dokument roboczy. Przed uruchomieniem produkcyjnym musi go sprawdzić prawnik - przetwarzacie dane osobowe członków organizacji, w tym numery telefonów.