Umowa powierzenia przetwarzania danych osobowych

§1. Strony umowy

• Administrator - użytkownik Parafiowo: parafia, instytucja kościelna albo osoba prowadząca stronę parafialną, której dane wskazano przy rejestracji konta.
• Podmiot przetwarzający - QBA Jakub Cichocki, ul. Świętokrzyska 5 lok. 72, 15-843 Białystok, REGON: 525766684, kontakt: kontaktparafiowo@gmail.com

Umowa zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje przez cały okres posiadania konta w Parafiowo.

§2. Przedmiot i cel powierzenia

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w celu świadczenia usługi Parafiowo - hostingu strony parafialnej wraz z przyjmowaniem i przechowywaniem zgłoszeń z formularzy.

Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów, nie tworzy na ich podstawie profili, nie prowadzi na nich marketingu i nie udostępnia ich osobom trzecim poza podwykonawcami wskazanymi w §6.

§3. Zakres danych i kategorie osób

• Kategorie osób: osoby korzystające z formularzy na stronie parafialnej - parafianie, interesanci, osoby zgłaszające intencje lub zapisy na sakramenty.
• Zakres danych: dane wpisane przez te osoby w formularzu - zwykle imię i nazwisko, adres e-mail, numer telefonu, treść wiadomości, a w formularzach sakramentalnych i intencyjnych także daty oraz dane osób, których zgłoszenie dotyczy.

§4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Administratora - za takie polecenie uznaje się korzystanie z funkcji aplikacji oraz wiadomości wysłane na adres kontaktowy;
• zapewnienia, że osoby mające dostęp do danych zobowiązały się do zachowania poufności;
• stosowania środków bezpieczeństwa opisanych w §5;
• pomagania Administratorowi w realizacji żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie);
• pomagania w wywiązaniu się z obowiązków z art. 32-36 RODO, w tym przy zgłaszaniu naruszeń;
• po zakończeniu świadczenia usługi - usunięcia danych zgodnie z §7;
• udostępnienia Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienia audytu na zasadach z §8.

§5. Środki bezpieczeństwa

• szyfrowanie transmisji (HTTPS/TLS) na wszystkich połączeniach z aplikacją;
• szyfrowanie danych w spoczynku po stronie dostawcy bazy danych;
• rozdzielenie danych między kontami politykami dostępu na poziomie wierszy (RLS) - konto widzi wyłącznie własne zgłoszenia;
• hasła przechowywane wyłącznie w postaci skrótu (bcrypt);
• dostęp do danych produkcyjnych ograniczony do osób, którym jest niezbędny do utrzymania usługi;
• kopie zapasowe bazy danych oraz możliwość odtworzenia stanu sprzed awarii.

§6. Dalsze powierzenie (podprzetwarzający)

Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z niżej wymienionych podwykonawców. Na każdego z nich nałożone są obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy:

• Supabase, Inc. - baza danych, przechowywanie plików i uwierzytelnianie (serwery w regionie EU, Frankfurt);
• Vercel, Inc. - hosting aplikacji i CDN (ruch serwowany z regionu EU);
• Resend, Inc. - wysyłka powiadomień e-mail o nowych zgłoszeniach;
• Stripe Payments Europe, Ltd. - obsługa płatności (nie otrzymuje danych parafian ze zgłoszeń).

O zamiarze zmiany listy podwykonawców Podmiot przetwarzający poinformuje e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie wnieść sprzeciw; sprzeciw uprawnia go do wypowiedzenia umowy o świadczenie usługi bez zachowania okresu wypowiedzenia.

§7. Czas przetwarzania i zwrot danych

• Dane są przetwarzane przez okres posiadania konta w Parafiowo.
• Administrator może w każdej chwili pobrać zgłoszenia z panelu (eksport) oraz usunąć pojedyncze zgłoszenia.
• Po usunięciu konta dane są trwale usuwane po upływie 30 dni - okres ten służy wyłącznie możliwości wycofania omyłkowego żądania usunięcia.
• Podmiot przetwarzający nie zachowuje kopii powierzonych danych po tym terminie, poza kopiami zapasowymi, które podlegają nadpisaniu w normalnym cyklu ich rotacji.

§8. Kontrola i audyt

Administrator ma prawo do kontroli sposobu przetwarzania powierzonych danych. Kontrolę zapowiada się na co najmniej 14 dni przed terminem, przeprowadza w godzinach pracy i w sposób nienaruszający ciągłości usługi ani poufności danych innych klientów. Podmiot przetwarzający udziela odpowiedzi na pytania dotyczące bezpieczeństwa w terminie 30 dni.

§9. Naruszenia ochrony danych

O stwierdzeniu naruszenia ochrony powierzonych danych Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego wykrycia, przekazując informacje niezbędne do zgłoszenia naruszenia organowi nadzorczemu. Zgłoszenia do Prezesa UODO dokonuje Administrator.

§10. Odpowiedzialność i postanowienia końcowe

• Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem naruszającym RODO na zasadach z art. 82 RODO.
• Administrator odpowiada za legalność powierzonych danych, w tym za podstawę prawną ich zbierania i za treść klauzul informacyjnych umieszczonych przy formularzach na swojej stronie.
• W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i przepisy Kodeksu cywilnego.
• Zmiany umowy wymagają formy dokumentowej; o zmianach informujemy e-mailem z 14-dniowym wyprzedzeniem, na zasadach zmiany Regulaminu.