Informacje prawne

Umowa o powierzeniu przetwarzania danych (AVV) zgodnie z Art. 28 DSGVO

Status: 21 października 2026 · Wszystkie dokumenty prawne

Tłumaczenie w celach informacyjnych. Wiążąca prawnie jest wyłącznie wersja niemiecka.

Tłumaczenie w celach informacyjnych. Wiążąca prawnie jest wyłącznie wersja niemiecka.

---

Kiedy obowiązuje niniejsza umowa

Niniejsza umowa obowiązuje wyłącznie w przypadku wydarzeń o charakterze biznesowym — zarezerwowanych przez przedsiębiorstwo, organ administracji, stowarzyszenie lub inną organizację w ramach jej działalności. Staje się ona automatycznie częścią umowy z chwilą jej zawarcia i nie wymaga odrębnego podpisania; podpisany egzemplarz udostępniamy na żądanie pod adresem privacy@snapories.com.

Nie obowiązuje ona w przypadku wydarzeń prywatnych (ślub, urodziny, uroczystość rodzinna). W takich sytuacjach osoba dokonująca rezerwacji jest z reguły wyłączona spod DSGVO (wyjątek dotyczący działalności o charakterze osobistym lub domowym, Art. 2 Abs. 2 lit. c DSGVO), a my jesteśmy odrębnym administratorem — powierzenie przetwarzania w takiej konfiguracji nie występuje.

Strony

---

§ 1 Przedmiot, czas trwania i związanie poleceniami

1.1 Przedmiotem jest przetwarzanie danych osobowych, które realizujemy na zlecenie Organizatora w ramach świadczenia usług opisanych w OWH. Rodzaj, cel, zakres, kategorie danych oraz osoby, których dane dotyczą, wynikają z Załącznika 1.

1.2 Umowa obowiązuje przez czas trwania umowy głównej, najdłużej do momentu usunięcia wszystkich danych przetwarzanych na zlecenie zgodnie z § 9.

1.3 Przetwarzamy dane wyłącznie na udokumentowane polecenie Organizatora. Polecenia przekazywane są w formie tekstowej na adres privacy@snapories.com; przewidziane w produkcie możliwości ustawień (okres trwania wydarzenia, region danych, widoczność, link udostępniający dla gości, blokowanie zdjęć i gości, języki, żądania usunięcia) uznaje się za polecenie.

1.4 Jeżeli uznamy polecenie za niezgodne z prawem, niezwłocznie o tym poinformujemy. Możemy wstrzymać jego wykonanie do czasu potwierdzenia lub zmiany (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 Przetwarzanie do własnych celów — realizacja umowy i rozliczenia, bezpieczeństwo operacyjne i informatyczne, zapobieganie nadużyciom, zagregowane wskaźniki bez odniesienia do osób, wypełnianie obowiązków prawnych — nie jest przedmiotem niniejszej umowy. W tym zakresie jesteśmy odrębnym administratorem; obowiązuje Polityka prywatności.

---

§ 2 Miejsce przetwarzania

2.1 Dane danego wydarzenia są przetwarzane w regionie danych wybranym dla tego wydarzenia podczas rezerwacji: Unia Europejska (Frankfurt nad Menem) lub Stany Zjednoczone (Północna Wirginia). Lustrzane kopiowanie danych między regionami nie następuje. Przechowywanie, przetwarzanie i usuwanie odbywają się wyłącznie w tym regionie; na potrzeby dostarczania zdjęć są one, dopóki trwa wydarzenie, tymczasowo buforowane również w lokalizacjach brzegowych (edge) poza wybranym regionem (Załącznik 3, sekcja 1.1).

2.2 W drodze wyjątku generowanie w fotobudce AI odbywa się u wykorzystywanego dostawcy AI, również poza EOG (Załącznik 3). Organizator przyjmuje to do wiadomości; jeżeli wyłączy fotobudkę dla swojego wydarzenia, przekazanie to nie następuje.

2.3 Przekazywanie danych do państw trzecich odbywa się wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych (decyzja wykonawcza (UE) 2021/914) wraz z oceną skutków przekazania.

2.4 W odstępstwie od § 2.1 dane komunikacyjne wymienione w Załączniku 1 — adresy e-mail osób korzystających z pulpitu (dashboard) oraz ich kody logowania — są przetwarzane dla każdego wydarzenia w Unii Europejskiej (Frankfurt nad Menem), niezależnie od regionu danych danego wydarzenia. Jedno konto zarządza wydarzeniami w obu regionach; zbiór ten nie należy zatem do żadnego pojedynczego wydarzenia i nie może za nim podążać — jest przechowywany jednokrotnie i odczytywany z obu regionów (Załącznik 3, sekcja 1.2). Żaden obraz nie bierze w tym udziału. To samo dotyczy danych, które przetwarzamy zgodnie z § 1.5 jako odrębny administrator.

---

§ 3 Poufność

3.1 Do przetwarzania dopuszczamy wyłącznie osoby, które zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Zaangażowane osoby znają właściwe wymogi w zakresie ochrony danych i są regularnie instruowane.

---

§ 4 Środki techniczne i organizacyjne

4.1 Wdrażamy opisane w Załączniku 2 środki zgodnie z Art. 32 DSGVO i utrzymujemy je przez cały okres obowiązywania umowy.

4.2 Środki mogą być dalej rozwijane, o ile poziom ochrony nie zostanie obniżony. Istotne zmiany dokumentujemy i przekazujemy na żądanie.

---

§ 5 Podmioty podprzetwarzające

5.1 Organizatorka udziela ogólnej pisemnej zgody na korzystanie z podmiotów podprzetwarzających (Art. 28 Abs. 2 Satz 2 DSGVO). Podmioty podprzetwarzające zaangażowane według stanu na dzień niniejszej umowy są wymienione z nazwy w Załączniku 3.

5.2 Jeżeli zamierzamy zaangażować kolejny podmiot podprzetwarzający lub zastąpić istniejący, poinformujemy o tym Organizatorkę co najmniej 30 dni wcześniej w formie tekstowej. Organizatorka może w tym terminie wnieść sprzeciw z ważnego powodu związanego z ochroną danych. W razie wniesienia sprzeciwu możemy dostosować daną usługę albo wypowiedzieć umowę w trybie zwykłym ze skutkiem na planowaną zmianę i zwrócić proporcjonalną część wynagrodzenia.

5.3 Zobowiązujemy podmioty podprzetwarzające do przestrzegania obowiązków w zakresie ochrony danych, które co do istoty odpowiadają obowiązkom uzgodnionym w niniejszej umowie, i odpowiadamy za ich postępowanie jak za własne.

---

§ 6 Wsparcie Organizatorki

6.1 Prawa osób, których dane dotyczą. Jeżeli osoby, których dane dotyczą, zwracają się bezpośrednio do nas, niezwłocznie przekazujemy zapytanie Organizatorce i nie odpowiadamy na nie samodzielnie, o ile dotyczy ono przedmiotu zlecenia. Wspieramy Organizatorkę odpowiednimi środkami technicznymi i organizacyjnymi w realizacji praw wynikających z Art. 12–22 DSGVO, w szczególności w zakresie dostępu, sprostowania, usunięcia, ograniczenia oraz wydania obrazów danego wydarzenia.

6.2 Obowiązki wynikające z Art. 32–36 DSGVO. Wspieramy Organizatorkę w zapewnieniu bezpieczeństwa przetwarzania, w zgłaszaniu naruszeń ochrony danych oraz w przeprowadzaniu oceny skutków dla ochrony danych, każdorazowo z uwzględnieniem charakteru przetwarzania oraz informacji, którymi dysponujemy.

6.3 Nakład. Wsparcie w zakresie zwyczajowym i rozsądnym jest nieodpłatne. Za wsparcie wykraczające poza to, co jest wymagane przepisami prawa, i powodujące znaczny nakład możemy żądać odpowiedniego wynagrodzenia; wskazujemy na to z wyprzedzeniem.

---

§ 7 Zgłaszanie naruszeń ochrony danych osobowych

7.1 Informujemy Organizatorkę niezwłocznie po powzięciu przez nas wiadomości o naruszeniu ochrony danych osobowych w zakresie przetwarzania zleconego — z reguły w ciągu 24 godzin.

7.2 Zgłoszenie zawiera, w zakresie, w jakim jest to możliwe: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów danych, których naruszenie dotyczy, prawdopodobne skutki, podjęte i proponowane środki oraz punkt kontaktowy.

7.3 Zgłoszenie do organu nadzorczego (Art. 33 DSGVO) oraz zawiadomienie osób, których dane dotyczą (Art. 34 DSGVO), należą do obowiązków Organizatorki; my ją w tym wspieramy.

---

§ 8 Dowody i kontrole

8.1 Na żądanie udostępniamy Organizatorce wszelkie informacje niezbędne do wykazania przestrzegania obowiązków wynikających z Art. 28 DSGVO — przede wszystkim poprzez dokumentację, Załącznik 2 oraz, o ile są dostępne, certyfikaty i raporty z audytów naszych podmiotów przetwarzających dalej zlecenie.

8.2 Jeżeli w konkretnym przypadku dowody te nie są wystarczające, umożliwiamy przeprowadzenie weryfikacji, w tym inspekcji. Należy je zapowiedzieć z odpowiednim wyprzedzeniem (co najmniej 14 dni), nie mogą one w nieuzasadniony sposób zakłócać funkcjonowania przedsiębiorstwa i odbywają się najwyżej raz w roku — chyba że istnieje konkretny powód. Osoby trzecie przeprowadzające kontrolę nie mogą być konkurentami i są zobowiązane do zachowania poufności.

---

§ 9 Usuwanie i zwrot

9.1 Po zakończeniu przetwarzania usuwamy dane przetwarzane w ramach zlecenia albo zwracamy je, według wyboru Organizatorki. Zdjęcia z danego wydarzenia Organizatorka może w każdej chwili pobrać za pośrednictwem pulpitu (dashboard).

9.2 W braku odmiennego polecenia usunięcie następuje z upływem okresu przechowywania uzgodnionego w AGB. Na żądanie usuwamy dane wcześniej.

9.3 Z usunięcia wyłączone są dane, w odniesieniu do których istnieje ustawowy obowiązek przechowywania; podlegają one zablokowaniu w celu dalszego wykorzystania.

9.4 Usunięcie potwierdzamy na żądanie w formie tekstowej.

---

§ 10 Odpowiedzialność

Odpowiedzialność regulują Art. 82 DSGVO oraz postanowienia umowy głównej; ograniczenia odpowiedzialności zawarte w umowie głównej nie mają zastosowania do roszczeń osób, których dane dotyczą, na podstawie Art. 82 DSGVO.

---

§ 11 Stosunek do umowy głównej

W przypadku sprzeczności pomiędzy niniejszą umową a umową główną niniejsza umowa ma pierwszeństwo w zakresie przetwarzania danych osobowych.

---

§ 12 Postanowienia końcowe

12.1 Zmiany wymagają formy tekstowej. 12.2 Obowiązuje prawo niemieckie. 12.3 Jeżeli jedno z postanowień okaże się nieskuteczne, nie narusza to skuteczności pozostałych. 12.4 Miarodajna wersja językowa.

Miarodajna jest wyłącznie niemiecka wersja niniejszej umowy. Wersje w innych językach udostępniamy wyłącznie w celach informacyjnych. W razie rozbieżności rozstrzygająca jest wersja niemiecka.

---

Załącznik 1 — Przedmiot przetwarzania

Rodzaj i cel. Gromadzenie, przechowywanie, porządkowanie, wyświetlanie, udostępnianie i usuwanie obrazów oraz powiązanych danych w celu prowadzenia zamkniętej galerii wydarzenia, w tym fotobudki AI, w imieniu i zgodnie z poleceniami Organizatorki. Fotobudka nie ma własnego aparatu: gość stosuje ją do samodzielnie wykonanego zdjęcia, które znajduje się już w galerii. Jeżeli Organizatorka wykupiła obrazy AI, każdy przesłany obraz jest dodatkowo automatycznie sprawdzany pod kątem tego, czy funkcja może zostać dla niego zaoferowana (Załącznik 3, Google).

Osoby, których dane dotyczą

• goście, którzy dołączają do wydarzenia
• osoby przedstawione na przekazanych lub wygenerowanych obrazach
• pracownicy Organizatorki korzystający z panelu

Kategorie danych

Szczególne kategorie. Nie są tworzone żadne dane biometryczne służące do jednoznacznej identyfikacji osoby fizycznej; w żadnym miejscu nie powstają wzorce twarzy (szablony), wektory twarzy ani porównanie twarzy.

Analiza poprzedzająca generowanie AI oraz automatyczna kontrola każdego przesłanego obrazu tworzą jednak krótki opis osób przedstawionych na pierwszym planie, obejmujący ich widoczny odcień skóry oraz widoczne pochodzenie etniczne — dane w rozumieniu Art. 9 DSGVO. Służą one wyłącznie zachowaniu wyglądu przedstawionych osób na wygenerowanym obrazie; nie są zapisywane w bazie danych Podmiotu przetwarzającego (przy generowaniu są przenoszone w postaci zaszyfrowanej w tokenie sesji, który przechowuje aplikacja gościa; przy automatycznej kontroli są odrzucane, gdy tylko wyprowadzona zostanie z nich odpowiedź tak/nie) i nie są wykorzystywane do klasyfikowania, profilowania, oceniania ani rozpoznawania kogokolwiek.

Ponadto obrazy mogą z natury ujawniać informacje wrażliwe; Organizatorka samodzielnie i na własną odpowiedzialność ocenia, czy jej wydarzenie wymaga w tym zakresie szczególnych środków ostrożności.

---

Załącznik 2 — Środki techniczne i organizacyjne (Art. 32 DSGVO)

Poufność

• Dostęp fizyczny: wyłącznie centra danych certyfikowanych dostawców (ISO 27001, SOC 2); nie prowadzimy własnego sprzętu.
• Dostęp do systemu: dostęp do systemów produkcyjnych wyłącznie dla wskazanych osób, poprzez spersonalizowane konta z uwierzytelnianiem dwuskładnikowym; dostęp do konsoli wewnętrznej poprzez wyraźnie zapisaną listę adresów.
• Dostęp do danych: tokeny powiązane z rolą i zakresem obowiązywania (wydarzenie, host, partner, polecenie, staff); pliki obrazów wyłącznie poprzez podpisane, krótkotrwałe linki pobierania.
• Rozdzielenie: rozdzielenie regionów danych dla danych wydarzeń (odrębne bazy danych, odrębne obszary pamięci, brak replikacji między regionami); zbiory danych kont i danych handlowych są przechowywane jednokrotnie w UE i odczytywane z obu regionów, zamiast być kopiowane do jednego regionu (§ 2.4); rozdzielenie sześciu interfejsów na odrębne domeny bez wspólnej pamięci przeglądarki; rozdzielenie danych testowych i produkcyjnych.
• Pseudonimizacja: tożsamość bez konta poprzez identyfikatory wystawiane po stronie serwera; adresy IP w licznikach nadużyć są skracane i haszowane, nigdy nie są przechowywane w postaci jawnej.

Integralność

• Przekazywanie: TLS dla wszystkich połączeń; brak osadzania obcych czcionek, narzędzi analitycznych lub reklamowych w aplikacji dla gości oraz w panelu Organizatorki, w których przetwarzane są dane powierzone; dane płatnicze przepływają bezpośrednio do dostawcy usług płatniczych.
• Wprowadzanie danych: weryfikacja po stronie serwera wszystkich danych wejściowych względem centralnego, typizowanego schematu umownego; protokołowanie czynności administracyjnych; liczniki limitów i kosztów z operacjami atomowymi zapobiegającymi podwójnym księgowaniom.

Dostępność i odporność

• zarządzane, wielokrotnie redundantne usługi pamięci masowej i baz danych z szyfrowaniem w stanie spoczynku; automatyczne skalowanie warstwy aplikacji; sztywne limity kosztów dla wywołań AI; ochrona przed nadużyciami w postaci zautomatyzowanych masowych wywołań.

Procedury weryfikacji

• zautomatyzowane przebiegi kontrolne przed każdą publikacją (funkcjonalne testy end-to-end, kontrola opisu infrastruktury, automatyczne porównanie każdego wpisu w pamięci przeglądarki względem centralnego rejestru);
• udokumentowane przyjmowanie poleceń poprzez wskazany adres;
• kontrola zlecenia na podstawie § 5 niniejszej umowy.

---

Załącznik 3 — Podwykonawcy przetwarzania

Obowiązuje każdorazowo aktualna Lista podwykonawców przetwarzania, która stanowi część niniejszej umowy. O zmianach informuje się zgodnie z § 5.2.