Informacje prawne

Umowa o powierzeniu przetwarzania danych (AVV) na podstawie art. 28 DSGVO

Status: 19 sierpnia 2026 · Wszystkie dokumenty prawne

Tłumaczenie w celach informacyjnych. Wiążąca prawnie jest wyłącznie wersja niemiecka.

Kiedy niniejsza umowa obowiązuje

Niniejsza umowa obowiązuje wyłącznie w odniesieniu do wydarzeń biznesowych — zarezerwowanych przez przedsiębiorstwo, organ administracji, stowarzyszenie lub inną organizację w ramach jej działalności. Staje się ona automatycznie częścią umowy z chwilą jej zawarcia i nie musi być podpisywana odrębnie; podpisany egzemplarz udostępniamy na żądanie pod adresem privacy@snapories.com.

Nie obowiązuje ona w odniesieniu do wydarzeń prywatnych (ślub, urodziny, uroczystość rodzinna). W takich przypadkach osoba dokonująca rezerwacji jest z reguły wyłączona z zakresu DSGVO (wyjątek dotyczący czynności o charakterze osobistym lub domowym, art. 2 ust. 2 lit. c DSGVO), a my jesteśmy samodzielnym administratorem — powierzenie przetwarzania w tej konfiguracji nie występuje.

Strony

---

§ 1 Przedmiot, czas trwania i związanie poleceniami

1.1 Przedmiotem jest przetwarzanie danych osobowych, które realizujemy przy świadczeniu usług opisanych w OWU na zlecenie Organizatorki. Rodzaj, cel, zakres, kategorie danych oraz osoby, których dane dotyczą, wynikają z Załącznika 1.

1.2 Umowa obowiązuje przez czas trwania umowy głównej, najdłużej do usunięcia wszystkich danych przetwarzanych na zlecenie zgodnie z § 9.

1.3 Przetwarzamy dane wyłącznie na udokumentowane polecenie Organizatorki. Polecenia są przekazywane w formie tekstowej na adres privacy@snapories.com; przewidziane w produkcie możliwości ustawień (okres wydarzenia, region danych, widoczność, link udostępniania dla gości, blokowanie zdjęć i gości, języki, żądania usunięcia) uznaje się za polecenie.

1.4 Jeżeli uznamy polecenie za niezgodne z prawem, niezwłocznie o tym poinformujemy. Możemy zawiesić jego wykonanie do czasu potwierdzenia lub zmiany (art. 28 ust. 3 akapit 2 DSGVO).

1.5 Przetwarzania do własnych celów — realizacja umowy i rozliczenia, bezpieczeństwo operacyjne i informatyczne, zapobieganie nadużyciom, zagregowane wskaźniki bez odniesienia do osób, wypełnianie obowiązków ustawowych — nie są przedmiotem niniejszej umowy. W tym zakresie jesteśmy samodzielnym administratorem; obowiązuje Polityka prywatności.

---

§ 2 Miejsce przetwarzania

2.1 Dane danego wydarzenia są przetwarzane w wybranym dla tego wydarzenia przy rezerwacji regionie danych: Unia Europejska (Frankfurt nad Menem) lub Stany Zjednoczone (Wirginia Północna). Nie następuje odzwierciedlanie danych między regionami. Przechowywanie, przetwarzanie i usuwanie odbywają się wyłącznie w tym regionie; w celu dostarczenia zdjęć są one, dopóki wydarzenie trwa, tymczasowo buforowane także w lokalizacjach brzegowych (edge) poza wybranym regionem (Załącznik 3, sekcja 1.1).

2.2 Odmiennie od tego, generowanie w fotobudce AI odbywa się u wykorzystywanego dostawcy AI, także poza EOG (Załącznik 3). Organizatorka przyjmuje to do wiadomości; jeżeli wyłączy fotobudkę dla swojego wydarzenia, przekazanie to nie następuje.

2.3 Przekazywanie do państw trzecich odbywa się wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych (decyzja wykonawcza (UE) 2021/914) wraz z oceną skutków przekazania.

2.4 Odmiennie od § 2.1 dane komunikacyjne wskazane w Załączniku 1 — adresy e-mail użytkowników pulpitu (Dashboard) oraz ich kody logowania — są przetwarzane dla każdego wydarzenia w Unii Europejskiej (Frankfurt nad Menem), niezależnie od regionu danych danego wydarzenia. Jedno konto zarządza wydarzeniami w obu regionach; zbiór ten nie należy zatem do żadnego pojedynczego wydarzenia i nie może za nim podążać, jest przechowywany jednokrotnie i odczytywany z obu regionów (Załącznik 3, punkt 1.2). Obraz nie jest w to zaangażowany. To samo dotyczy danych, które przetwarzamy zgodnie z § 1.5 jako samodzielny administrator.

---

§ 3 Poufność

3.1 Do przetwarzania zatrudniamy wyłącznie osoby, które zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Zatrudnione osoby są zaznajomione z właściwymi wymogami ochrony danych i są regularnie instruowane.

---

§ 4 Środki techniczne i organizacyjne

4.1 Stosujemy opisane w Załączniku 2 środki zgodne z Art. 32 DSGVO i utrzymujemy je przez cały okres obowiązywania umowy.

4.2 Środki mogą być dalej rozwijane, o ile nie zostanie obniżony poziom ochrony. Istotne zmiany dokumentujemy i informujemy o nich na żądanie.

---

§ 5 Podmioty przetwarzające dalsze zlecenie

5.1 Organizatorka udziela ogólnego pisemnego upoważnienia do korzystania z podmiotów przetwarzających dalsze zlecenie (Art. 28 Abs. 2 Satz 2 DSGVO). Podmioty przetwarzające dalsze zlecenie zatrudnione na dzień zawarcia niniejszego porozumienia są wymienione z nazwy w Załączniku 3.

5.2 Jeżeli zamierzamy zaangażować kolejny podmiot przetwarzający dalsze zlecenie lub zastąpić istniejący, informujemy o tym Organizatorkę co najmniej 30 Tage wcześniej w formie tekstowej. Organizatorka może w tym terminie wnieść sprzeciw z ważnego, związanego z ochroną danych powodu. Jeżeli wniesie sprzeciw, możemy dostosować dotkniętą usługę albo wypowiedzieć umowę w trybie zwykłym ze skutkiem na dzień planowanej zmiany i zwrócić proporcjonalne wynagrodzenie.

5.3 Zobowiązujemy podmioty przetwarzające dalsze zlecenie do obowiązków w zakresie ochrony danych, które w istotnej mierze odpowiadają uzgodnionym tutaj, i odpowiadamy za ich zachowanie jak za własne.

---

§ 6 Wsparcie Organizatorki

6.1 Prawa osób, których dane dotyczą. Jeżeli osoby, których dane dotyczą, zwrócą się bezpośrednio do nas, niezwłocznie przekazujemy zapytanie Organizatorce i nie odpowiadamy na nie sami w zakresie, w jakim dotyczy ono przedmiotu zlecenia. Wspieramy Organizatorkę odpowiednimi środkami technicznymi i organizacyjnymi w realizacji praw wynikających z Art. 12–22 DSGVO, w szczególności przy dostępie, sprostowaniu, usunięciu, ograniczeniu oraz wydaniu obrazów danego wydarzenia.

6.2 Obowiązki wynikające z Art. 32–36 DSGVO. Wspieramy Organizatorkę w zapewnieniu bezpieczeństwa przetwarzania, przy zgłaszaniu naruszeń ochrony danych oraz przy ocenie skutków dla ochrony danych, każdorazowo z uwzględnieniem charakteru przetwarzania oraz informacji, którymi dysponujemy.

6.3 Nakład pracy. Wsparcie jest nieodpłatne w zakresie zwyczajowym i uzasadnionym. Za wsparcie wykraczające poza to, co należne z mocy prawa, i powodujące znaczny nakład pracy, możemy żądać odpowiedniego wynagrodzenia; informujemy o tym uprzednio.

---

§ 7 Zgłaszanie naruszeń ochrony danych osobowych

7.1 Informujemy organizatorkę niezwłocznie po powzięciu wiadomości o naruszeniu ochrony danych osobowych w zakresie przetwarzania na zlecenie — z reguły w ciągu 24 godzin.

7.2 Zgłoszenie zawiera, o ile są dostępne: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów danych, prawdopodobne skutki, podjęte i proponowane środki oraz punkt kontaktowy.

7.3 Zgłoszenie do organu nadzorczego (Art. 33 DSGVO) oraz zawiadomienie osób, których dane dotyczą (Art. 34 DSGVO), spoczywają na organizatorce; wspieramy ją w tym zakresie.

---

§ 8 Dowody i kontrole

8.1 Na żądanie udostępniamy organizatorce wszelkie informacje niezbędne do wykazania przestrzegania obowiązków wynikających z Art. 28 DSGVO — przede wszystkim poprzez dokumentację, Załącznik 2 oraz, o ile są dostępne, certyfikaty i raporty z kontroli naszych podmiotów podprzetwarzających.

8.2 Jeżeli dowody te w danym przypadku nie są wystarczające, umożliwiamy przeprowadzenie weryfikacji, w tym inspekcji. Należy je zapowiedzieć z odpowiednim wyprzedzeniem (co najmniej 14 dni), nie mogą one w sposób nieuzasadniony zakłócać działalności i odbywają się najwyżej raz w roku — chyba że istnieje konkretny powód. Kontrolujące podmioty trzecie nie mogą być konkurentami i muszą być zobowiązane do zachowania poufności.

---

§ 9 Usunięcie i zwrot

9.1 Po zakończeniu przetwarzania usuwamy dane przetwarzane na zlecenie lub zwracamy je, wedle wyboru organizatorki. Zdjęcia z danego wydarzenia organizatorka może w każdej chwili pobrać za pośrednictwem panelu (Dashboard).

9.2 W braku odmiennej instrukcji usunięcie następuje z upływem okresu przechowywania uzgodnionego w OWU. Na żądanie usuwamy dane wcześniej.

9.3 Z usunięcia wyłączone są dane, w odniesieniu do których istnieje ustawowy obowiązek przechowywania; są one blokowane przed dalszym wykorzystaniem.

9.4 Usunięcie potwierdzamy na żądanie w formie tekstowej.

---

§ 10 Odpowiedzialność

Odpowiedzialność podlega Art. 82 DSGVO oraz postanowieniom umowy głównej; ograniczenia odpowiedzialności zawarte w umowie głównej nie mają zastosowania do roszczeń osób, których dane dotyczą, na podstawie Art. 82 DSGVO.

---

§ 11 Stosunek do umowy głównej

W przypadku sprzeczności między niniejszą umową a umową główną, niniejsza umowa ma pierwszeństwo w zakresie przetwarzania danych osobowych.

---

§ 12 Postanowienia końcowe

12.1 Zmiany wymagają formy tekstowej. 12.2 Obowiązuje prawo niemieckie. 12.3 Jeżeli któreś z postanowień okaże się nieważne, nie narusza to ważności pozostałych. 12.4 Wiążąca wersja językowa.

Wyłącznie wiążąca jest niemiecka wersja niniejszej umowy. Wersje w innych językach udostępniamy wyłącznie w celach informacyjnych. W razie rozbieżności pierwszeństwo ma wersja niemiecka.

---

Załącznik 1 — Przedmiot przetwarzania

Rodzaj i cel. Zbieranie, przechowywanie, porządkowanie, wyświetlanie, udostępnianie i usuwanie zdjęć oraz powiązanych danych w celu prowadzenia zamkniętej galerii eventowej wraz z fotobudką AI, w imieniu i na polecenie Organizatorki.

Osoby, których dane dotyczą

• Goście, którzy dołączają do eventu
• Osoby przedstawione na przekazanych lub wygenerowanych zdjęciach
• Pracownicy Organizatorki korzystający z pulpitu (dashboardu)

Kategorie danych

Brak szczególnych kategorii. Nie są tworzone żadne dane biometryczne służące jednoznacznej identyfikacji ani nie są celowo przetwarzane żadne dane zgodnie z Art. 9 DSGVO. Zdjęcia mogą ze swej natury ujawniać informacje wrażliwe; Organizatorka sprawdza na własną odpowiedzialność, czy jej event wymaga w tym zakresie szczególnych środków ostrożności.

---

Załącznik 2 — Środki techniczne i organizacyjne (Art. 32 DSGVO)

Poufność

• Dostęp fizyczny: wyłącznie centra danych certyfikowanych dostawców (ISO 27001, SOC 2); nie eksploatujemy własnego sprzętu.
• Dostęp do systemów: dostęp do systemów produkcyjnych wyłącznie dla wskazanych osób, poprzez spersonalizowane konta z uwierzytelnianiem dwuskładnikowym; dostęp do konsoli wewnętrznej poprzez wyraźnie zapisaną listę adresów.
• Dostęp do danych: tokeny powiązane z rolą i zakresem (event, host, partner, polecenie, staff); pliki obrazów wyłącznie poprzez podpisane, krótkotrwałe linki pobierania.
• Rozdzielenie: rozdzielenie regionów danych dla danych eventowych (odrębne bazy danych, odrębne obszary pamięci, brak lustrzanego kopiowania między regionami); rekordy kont i danych biznesowych są przechowywane jednokrotnie w UE i odczytywane z obu regionów, zamiast być kopiowane do jednego regionu (§ 2.4); rozdzielenie sześciu interfejsów na odrębne domeny bez wspólnej pamięci przeglądarki; rozdzielenie danych testowych i produkcyjnych.
• Pseudonimizacja: tożsamość bez konta poprzez wydawane po stronie serwera identyfikatory; adresy IP liczników nadużyć są skracane i haszowane, nigdy nie przechowywane w postaci jawnej.

Integralność

• Przekazywanie: TLS dla wszystkich połączeń; brak osadzania obcych skryptów, czcionek lub narzędzi analitycznych; dane płatnicze płyną bezpośrednio do dostawcy usług płatniczych.
• Wprowadzanie: weryfikacja po stronie serwera wszystkich wprowadzanych danych względem centralnego, typizowanego schematu kontraktowego; protokołowanie operacji administracyjnych; liczniki kontyngentów i kosztów z operacjami atomowymi przeciw podwójnym księgowaniom.

Dostępność i odporność

• zarządzane, wielokrotnie redundantne usługi pamięci i baz danych z szyfrowaniem w stanie spoczynku; automatyczne skalowanie warstwy aplikacyjnej; twarde limity kosztów dla wywołań AI; ochrona przed nadużyciami polegającymi na zautomatyzowanych masowych wywołaniach.

Procedury weryfikacji

• automatyczne przebiegi kontrolne przed każdą publikacją (funkcjonalne testy typu end-to-end, sprawdzenie opisu infrastruktury, automatyczne porównanie każdego wpisu w pamięci przeglądarki względem centralnego rejestru);
• udokumentowane przyjmowanie poleceń poprzez wskazany adres;
• kontrola zlecenia zgodnie z § 5 niniejszej umowy.

---

Załącznik 3 — Podmioty podprzetwarzające

Obowiązuje każdorazowo aktualna Lista podmiotów podprzetwarzających, która stanowi część niniejszej umowy. Zmiany są komunikowane zgodnie z § 5.2.