Umowa powierzenia przetwarzania danych osobowych

art. 28 RODO · wersja z 30 lipca 2026 r.

§ 1. Strony i zawarcie umowy

1. Administrator — biuro nieruchomości korzystające z Emisara, którego dane (nazwa, NIP, adres) pochodzą z formularza rejestracji i ustawień biura w Aplikacji.
2. Podmiot przetwarzający — EDUMATE Sp. z o.o. z siedzibą w Okole, ul. Miodowa 6, 83-200 Okole, NIP 5922304484, KRS 0001171466 (dostawca usługi Emisar).
3. Umowa zostaje zawarta z chwilą jej akceptacji przez osobę uprawnioną do reprezentowania Administratora — przy zakładaniu konta albo w panelu. Utrwalamy wówczas wersję umowy, datę, godzinę, konto akceptujące oraz adres IP; zapis ten stanowi potwierdzenie zawarcia umowy.
4. Umowa jest integralną częścią umowy o świadczenie usług dostępu do Aplikacji („Umowa główna").

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym w niniejszej umowie, wyłącznie w związku ze świadczeniem usługi Emisar.
2. Charakter przetwarzania: przechowywanie, porządkowanie, udostępnianie w aplikacji, publikowanie na stronie internetowej Administratora oraz przekazywanie do portali ogłoszeniowych i serwisów społecznościowych — wyłącznie w zakresie kanałów uruchomionych przez Administratora.
3. Cel przetwarzania: prowadzenie ofert nieruchomości Administratora, ich prezentacja i syndykacja oraz obsługa zapytań kierowanych do Administratora.
4. Czas przetwarzania: na czas obowiązywania Umowy głównej.

§ 3. Rodzaj danych i kategorie osób

§ 4. Obowiązki Przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uznaje się również czynności wykonywane przez Administratora w aplikacji, w szczególności uruchomienie kanału publikacji, dodanie oferty lub zlecenie publikacji w serwisie społecznościowym.
2. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy.
3. Stosuje środki techniczne i organizacyjne zapewniające bezpieczeństwo odpowiadające ryzyku (art. 32 RODO), w szczególności: szyfrowanie transmisji (HTTPS/TLS), przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, ograniczanie liczby nieudanych prób logowania, szyfrowanie danych dostępowych do integracji algorytmem AES-256-GCM, rozdzielenie danych poszczególnych klientów, codzienne kopie zapasowe przechowywane w kilku lokalizacjach oraz kontrolę dostępu personelu.
4. Pomaga Administratorowi — w miarę możliwości i przy uwzględnieniu charakteru przetwarzania — wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), oraz z obowiązków wynikających z art. 32–36 RODO.
5. Zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje niezbędne do dokonania zgłoszenia organowi nadzorczemu.
6. Po zakończeniu świadczenia usług — zależnie od decyzji Administratora — zwraca dane w formie eksportu albo je usuwa, wraz z kopiami, z zastrzeżeniem danych, których przechowywania wymaga prawo. Standardowy termin: 30 dni od zakończenia Umowy głównej.
7. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyty — w tym inspekcje — przeprowadzane przez Administratora lub upoważnionego przez niego audytora, po uzgodnieniu terminu z wyprzedzeniem co najmniej 14 dni, nie częściej niż raz w roku kalendarzowym, w sposób nie zakłócający ciągłości usługi i z poszanowaniem tajemnicy przedsiębiorstwa oraz danych innych klientów.
8. Niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

§ 5. Podpowierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z dalszych podmiotów przetwarzających, wskazanych poniżej:
   • OVH SAS — hosting serwera (lokalizacja: Warszawa, Polska),
   • JustSend — wysyłka powiadomień SMS,
   • podmiot świadczący obsługę księgową Przetwarzającego — wyłącznie w zakresie danych rozliczeniowych.
2. Przetwarzający nakłada na dalsze podmioty przetwarzające obowiązki odpowiadające obowiązkom z niniejszej umowy i odpowiada wobec Administratora za ich działania jak za własne.
3. O zamierzonej zmianie listy z ust. 1 Przetwarzający informuje Administratora z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie wnieść uzasadniony sprzeciw; wniesienie sprzeciwu uprawnia każdą ze stron do wypowiedzenia Umowy głównej.
4. Portale ogłoszeniowe oraz serwisy Facebook i Instagram, do których przekazywane są oferty, nie są dalszymi podmiotami przetwarzającymi — działają jako odrębni administratorzy danych zawartych w opublikowanym ogłoszeniu. Przekazanie następuje wyłącznie na polecenie Administratora.

§ 6. Przekazywanie poza EOG

Przetwarzający nie przekazuje powierzonych danych poza Europejski Obszar Gospodarczy. Jeżeli Administrator zleci publikację ofert w serwisach Facebook lub Instagram, dane mogą być przetwarzane przez ich operatora również poza EOG, na zasadach określonych przez tego operatora — za tę część odpowiada Administrator jako zlecający publikację.

§ 7. Odpowiedzialność i czas trwania

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej i wygasa wraz z nią, z wyjątkiem postanowień dotyczących zwrotu lub usunięcia danych.
2. Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO na zasadach określonych w art. 82 RODO.
3. W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego oraz postanowienia Umowy głównej.
4. Umowa zawierana jest w postaci elektronicznej. Jej treść w brzmieniu obowiązującym w dniu akceptacji jest dostępna pod adresem emisar.pl/umowa-powierzenia; o zmianie wersji informujemy zgodnie z regulaminem, a dalsze korzystanie z Aplikacji wymaga akceptacji nowej wersji.