Umowa powierzenia przetwarzania danych LoyaFlow (DPA)

Tłumaczenie pomocnicze. Wiążącą wersją tego dokumentu jest wersja angielska: English version. W przypadku rozbieżności rozstrzyga wersja angielska.

Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część umowy między Abdelfattah el Alouani (Wülflingerstrasse 165, 8408 Winterthur, Szwajcaria — "LoyaFlow", "Podmiot przetwarzający") a Firmą ("Administrator danych") dotyczącej korzystania z platformy LoyaFlow ("Usługa").

1. Role i zakres

1.1 W odniesieniu do Danych Klienta Końcowego — danych osobowych klientów Firmy przetwarzanych w Usłudze — Firma jest administratorem danych, a LoyaFlow jest podmiotem przetwarzającym. LoyaFlow przetwarza Dane Klienta Końcowego wyłącznie zgodnie z udokumentowanymi poleceniami Firmy, przy czym takim poleceniem są niniejsza umowa DPA oraz korzystanie z funkcji Usługi, chyba że inne wymogi nakłada prawo, któremu podlega LoyaFlow (w takim przypadku LoyaFlow informuje Firmę przed przetwarzaniem, chyba że prawo tego zakazuje).

1.2 Niniejsza umowa DPA nie dotyczy danych, w odniesieniu do których LoyaFlow jest samo administratorem (konto Firmy, dane rozliczeniowe i dane wsparcia) — takie przetwarzanie opisano w Informacji o prywatności Platformy.

1.3 Jeżeli LoyaFlow przetwarza Dane Klienta Końcowego z naruszeniem poleceń Firmy, uznaje się je za administratora takiego przetwarzania i ponosi za nie odpowiedzialność jak administrator.

2. Szczegóły przetwarzania (art. 28 ust. 3 RODO)


Przedmiot	Prowadzenie cyfrowego programu lojalnościowego Firmy (rejestracja, karty w portfelu, aktywność lojalnościowa, komunikacja programowa).
Czas trwania	Okres obowiązywania Umowy z Firmą + 30-dniowy okres wygaszania (Sekcja 9).
Charakter i cel	Hosting i przechowywanie; wystawianie, podpisywanie, dystrybucja, aktualizacja i unieważnianie kart w portfelu; rejestrowanie zdarzeń lojalnościowych; wysyłanie technicznych powiadomień push; strony rejestracji; zarządzanie klientami, narzędzia eksportu i usuwania; wsparcie.
Kategorie osób, których dane dotyczą	Klienci Firmy (uczestnicy programu lojalnościowego).
Kategorie danych osobowych	Tożsamość: imię i nazwisko. Kontakt: adres e-mail, numer telefonu (jeżeli Firma go zbiera). Dane programu: identyfikator karty, saldo punktów/pieczątek, poziom, historia aktywności (zdarzenia naliczenia/wymiany/korekty ze znacznikami czasu). Metadane rejestracji: preferowany język, zaakceptowana wersja polityki prywatności Firmy, znacznik czasu zgody marketingowej. Dane urządzenia/karty: numer seryjny karty, identyfikatory biblioteki urządzenia, tokeny push. Dane techniczne: dzienniki żądań (adres IP, user agent) przechowywane krótkoterminowo ze względów bezpieczeństwa. Dane modułów (gdy Firma aktywuje odpowiedni moduł dodatkowy): rezerwacje i wizyty — imię i nazwisko kontaktowe, e-mail, znormalizowany numer telefonu, liczba osób, żądana data/godzina, wybrana usługa/pracownik, status rezerwacji wraz z historią niestawiennictwa, wewnętrzne notatki Firmy, znaczniki czasu wysłanych przypomnień; lista blokad antynadużyciowych — zablokowane adresy e-mail i znormalizowane numery telefonu wraz z opcjonalną notatką Firmy (podstawa prawna: prawnie uzasadniony interes Firmy, art. 6 ust. 1 lit. f RODO); e-maile z przypomnieniami — adres odbiorcy i treść wiadomości w chwili wysyłki. Menu Cyfrowe zawiera wyłącznie treści Firmy (bez danych osobowych Klienta Końcowego).
Kategorie szczególne	Brak. Usługa nie jest przeznaczona do przetwarzania, a Firma nie może jej używać do przetwarzania, danych szczególnych kategorii ani danych dzieci w rozumieniu obowiązującego prawa.

3. Obowiązki podmiotu przetwarzającego

LoyaFlow zobowiązuje się do:

(a) Poleceń. Przetwarzać Dane Klienta Końcowego wyłącznie w sposób opisany w Sekcji 1.1 oraz informować Firmę, jeżeli w jego ocenie polecenie narusza przepisy o ochronie danych.
(b) Poufności. Zapewnić, że osoby upoważnione do przetwarzania danych są związane obowiązkiem zachowania poufności (umownym lub ustawowym).
(c) Bezpieczeństwa. Wdrażać i utrzymywać środki techniczne i organizacyjne opisane w Załączniku II, przeglądając je i aktualizując wraz z rozwojem technologii — w tym szyfrowanie w tranzycie i w spoczynku, ścisłą izolację najemców (tenant isolation), utrzymywanie Usługi w aktualnej wersji oraz ciągły monitoring.
(d) Podpowierzenia. Angażować kolejne podmioty przetwarzające wyłącznie zgodnie z Sekcją 4.
(e) Praw osób, których dane dotyczą. Wspierać Firmę, w miarę możliwości i z uwzględnieniem charakteru przetwarzania, w odpowiadaniu na żądania osób, których dane dotyczą. Usługa udostępnia narzędzia samoobsługowe: eksport i usuwanie klientów w panelu oraz publiczny kanał zgłoszeń na stronie karty (wypisanie się realizowane jest natychmiast; żądania eksportu i usunięcia są kolejkowane do realizacji przez Firmę).
(f) Zgłaszania naruszeń. Powiadomić Firmę bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od powzięcia wiadomości o naruszeniu ochrony danych osobowych dotyczącym Danych Klienta Końcowego, wraz z informacjami rozsądnie niezbędnymi do realizacji własnych obowiązków notyfikacyjnych Firmy, oraz współpracować przy badaniu i ograniczaniu skutków naruszenia.
(g) Wsparcia. Z uwzględnieniem charakteru przetwarzania i dostępnych informacji, wspierać Firmę w wykonywaniu jej obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, oceny skutków dla ochrony danych, uprzednie konsultacje).
(h) Usunięcia i zwrotu. Postępować zgodnie z Sekcją 9 po zakończeniu świadczenia usług.
(i) Audytów. Udostępniać informacje rozsądnie niezbędne do wykazania zgodności z art. 28 oraz umożliwiać audyty zgodnie z Sekcją 8.

4. Podmioty dalej przetwarzające (podpowierzenie)

4.1 Firma udziela ogólnego upoważnienia pisemnego dla podmiotów dalej przetwarzających wymienionych w Załączniku I.

4.2 LoyaFlow poinformuje z co najmniej 30-dniowym wyprzedzeniem (w panelu i/lub e-mailem) przed dodaniem lub zastąpieniem podmiotu dalej przetwarzającego. Firma może wnieść sprzeciw z uzasadnionych względów ochrony danych; jeżeli nie znajdzie się rozwiązania, Firma może rozwiązać dotkniętą subskrypcję ze skutkiem od dnia zmiany, z proporcjonalnym zwrotem opłat opłaconych z góry za pozostały okres.

4.3 LoyaFlow nakłada na każdy podmiot dalej przetwarzający, w drodze umowy, obowiązki ochrony danych zapewniające poziom ochrony równoważny niniejszej umowie DPA i pozostaje w pełni odpowiedzialne wobec Firmy za działania swoich podwykonawców.

5. Transfery międzynarodowe

5.1 Główne przechowywanie i przetwarzanie danych odbywa się w regionach centrów danych w Szwajcarii/EOG. Transfery między Szwajcarią, EOG a Wielką Brytanią opierają się na ich wzajemnych decyzjach o odpowiednim stopniu ochrony i nie wymagają dodatkowych zabezpieczeń.

5.2 Podmioty dalej przetwarzające w Stanach Zjednoczonych (Załącznik I) otrzymują ograniczone zbiory danych na podstawie Ram Ochrony Danych UE–USA (Data Privacy Framework) i ich rozszerzeń szwajcarskiego i brytyjskiego, i/lub Standardowych Klauzul Umownych, zgodnie ze wskazaniem w Załączniku I.

6. Oceny skutków dla ochrony danych

Firma odpowiada za własne oceny skutków dla ochrony danych (DPIA). LoyaFlow udostępnia opisy zawarte w niniejszej umowie DPA (w tym w Załącznikach) jako podstawę faktyczną oraz rozsądne dodatkowe informacje na żądanie.

7. Odpowiedzialność

Odpowiedzialność wynikająca z niniejszej umowy DPA podlega klauzuli odpowiedzialności Regulaminu, chyba że przepisy o ochronie danych stanowią inaczej (podział odpowiedzialności między administratorem a podmiotem przetwarzającym na mocy art. 82 RODO pozostaje bez zmian).

8. Audyty

Po 30-dniowym pisemnym zawiadomieniu, nie częściej niż raz w roku (z wyjątkiem sytuacji po istotnym naruszeniu lub gdy wymaga tego organ nadzorczy), Firma może audytować zgodność LoyaFlow z niniejszą umową DPA — w pierwszej kolejności na podstawie dokumentacji, certyfikatów i raportów z audytów LoyaFlow oraz jego dostawców infrastruktury; audyt na miejscu, jeżeli jest ściśle konieczny, odbywa się na koszt Firmy, w godzinach pracy, bez dostępu do danych innych firm.

9. Zakończenie przetwarzania (wygaszanie)

9.1 Po rozwiązaniu lub wygaśnięciu Umowy z Firmą: karty są natychmiast unieważniane; Dane Klienta Końcowego są przechowywane przez 30 dni (bezpieczeństwo, zapobieganie nadużyciom, reaktywacja), w trakcie których Firma może je wyeksportować; po upływie 30 dni są usuwane, chyba że przepisy prawa wymagają ich zachowania (w takim przypadku dane są izolowane i chronione do czasu wygaśnięcia podstawy prawnej). Własne dane konta i konfiguracji Firmy (marka, szablony kart, ustawienia — bez Danych Klienta Końcowego) są przechowywane do 90 dni po zamknięciu, aby umożliwić reaktywację, a następnie usuwane. Kopie zapasowe są usuwane zgodnie z własnym cyklem rotacji w ograniczonym czasie.

9.2 Usunięcie obejmuje wszystkie podmioty dalej przetwarzające (przekazywane poprzez zadania wygaszania: unieważnienie karty w portfelu u Apple/Google, wyczyszczenie bazy danych i pamięci masowej).

Załącznik I — Upoważnieni podwykonawcy przetwarzania (v1.1)

Podwykonawca	Usługa	Przetwarzane dane	Lokalizacja / region	Zabezpieczenie transferu
Supabase, Inc.	Baza danych, uwierzytelnianie, przechowywanie plików	Wszystkie kategorie Danych Klienta Końcowego (Sekcja 2)	AWS eu-central-1 (Frankfurt, Niemcy)	Hosting w EOG; DPF/SKU dla ewentualnego dostępu wsparcia z USA
Google Cloud (Google Ireland Ltd / Google LLC)	Hosting aplikacji (Cloud Run, `europe-west1`), zarządzanie sekretami, logowanie, przechowywanie obrazów	Treść karty w momencie generowania (imię i nazwisko, saldo, marka), dzienniki żądań, przechowywane obrazy	UE (Belgia)	Hosting w EOG; DPF dla spółki macierzystej w USA
Apple Inc.	Apple Push Notification service (odświeżanie karty)	Wyłącznie token push urządzenia — powiadomienia zawierają pustą treść (payload) (bez treści osobowych)	USA	DPF UE–USA + rozszerzenia szwajcarskie/brytyjskie
Google LLC	Google Wallet API (karty Android)	Treść karty: imię i nazwisko, saldo/pieczątki, id karty, marka Firmy	USA	DPF UE–USA + rozszerzenia szwajcarskie/brytyjskie
Cloudflare, Inc.	DNS, CDN, zabezpieczenia brzegowe przed stronami publicznymi	Ruch w tranzycie (IP, metadane żądań)	Globalna sieć brzegowa (punkty wejścia w UE)	DPF + SKU
Amazon Web Services EMEA SARL (Amazon SES)	Dostarczanie e-maili transakcyjnych — powiadomienia programowe oraz, przy modułach rezerwacji/wizyt, potwierdzenia rezerwacji i przypomnienia dla Klientów Końcowych	Adres e-mail odbiorcy, treść wiadomości	AWS eu-central-1 (Frankfurt, Niemcy)	Region EOG; SKU/DPF dla ewentualnego dostępu wsparcia z USA
Resend, Inc.	Dostarczanie e-maili transakcyjnych (transport zapasowy/wycofywany)	Adres e-mail odbiorcy, treść wiadomości	USA	DPF / SKU

Uwaga: Paddle (płatności/Merchant of Record) przetwarza dane rozliczeniowe Firmy, a nie Dane Klienta Końcowego, dlatego figuruje w Informacji o prywatności Platformy, a nie w niniejszym Załączniku.

Załącznik II — Środki techniczne i organizacyjne (TOM, v1.0)

Architektura i izolacja najemców

Ścisła izolacja wielonajemcza egzekwowana na poziomie bazy danych za pomocą bezpieczeństwa na poziomie wiersza (row-level security) dla każdej tabeli najemcy, powiązana z tożsamością sesji Firmy po stronie serwera — klienci nigdy nie podają własnego identyfikatora najemcy.
Zapisy danych programu odbywają się wyłącznie poprzez kontrolowaną powierzchnię API po stronie serwera (procedury składowane); bez bezpośrednich zapisów do tabel z poziomu klientów.
Powierzchnia anonimowa (przed zalogowaniem) ograniczona jest do pięciu funkcji ograniczonych zakresem uprawnień (capability-scoped) (strony rejestracji i karty), z których każda jest ograniczona niepowtarzalnym identyfikatorem; bez anonimowego dostępu do tabel.

Szyfrowanie i sekrety

TLS dla wszystkich danych w tranzycie; szyfrowanie w spoczynku zarządzane przez dostawcę dla bazy danych, przechowywania i kopii zapasowych.
Prywatne klucze podpisujące karty przechowywane w postaci zaszyfrowanej (AES-256, chronione hasłem) i dostarczane w czasie działania wyłącznie za pośrednictwem zarządzanego magazynu sekretów (GCP Secret Manager); nigdy w kodzie ani obrazach.
Klucze API przechowywane jako skróty (hashe) z solą (pokazywane jednorazowo); tokeny uwierzytelniające na kartę; publiczne linki do karty są adresami URL ograniczonymi zakresem uprawnień (niepowtarzalne UUID).

Operacje

Konta usługowe o minimalnych uprawnieniach dla każdego zadania; walidacja przy starcie certyfikatów (ważność i łańcuch certyfikacji) z natychmiastowym zatrzymaniem przy błędnej konfiguracji.
Usługa jest utrzymywana w stanie aktualnym i monitorowanym: aktualizacje zależności, ustrukturyzowane logi, monitorowanie błędów z ponawianiem prób i mechanizmem odzyskiwania kolejki martwych zadań (dead-letter) dla zadań asynchronicznych oraz limity przeciwdziałające nadużyciom (limity liczby żądań, limity instancji, limity rozmiaru ładunku) na publicznych punktach końcowych.
Udokumentowany, wersjonowany schemat bazy danych (migracje append-only); zmiany produkcyjne są przeglądane i weryfikowane w pętli walidacji przedprodukcyjnej przed wdrożeniem.

Cykl życia danych

Usunięcie logiczne, po którym następuje 30-dniowe okno przechowywania, a następnie trwałe wyczyszczenie (faza danych osobowych); karty w portfelu są unieważniane natychmiast po usunięciu.
Krótki okres przechowywania dzienników technicznych/żądań; punkt końcowy dzienników urządzenia ma ustalony limit i nie jest przechowywany dłużej niż wymaga tego potrzeba operacyjna.
Odzyskiwanie do punktu w czasie (point-in-time recovery) i kopie zapasowe na produkcji, usuwane zgodnie z rotacją.

Ludzie i procesy

Dostęp do środowiska produkcyjnego ograniczony do upoważnionego personelu związanego obowiązkiem poufności; konta indywidualne, MFA w konsolach dostawców.
Procedura postępowania w razie naruszenia: wykrycie → ograniczenie → ocena → powiadomienie administratora w ciągu 48 godzin → udokumentowanie.

Wersja 1.1 · Data wejścia w życie: 29 sierpnia 2026 r. · Język wiążący: angielski.