Umowa powierzenia przetwarzania danych (DPA)

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Warunków świadczenia usług obowiązujących między klientem („Klient”, administrator) a CyberLab.Team OÜ, kod rejestrowy 14647320, Sepapaja tn 6, Tallinn 15551, Estonia („CyberLab.team”, podmiot przetwarzający). Ma zastosowanie do wszystkich usług, w ramach których przetwarzamy dane osobowe w imieniu Klienta (art. 28 RODO). Jest akceptowana wraz z Warunkami świadczenia usług; podpisany egzemplarz jest dostępny na żądanie przesłane na adres info@cyberlab.team. Zastosowanie mają zasady dotyczące języka określone w Warunkach świadczenia usług (w przypadku klientów biznesowych wersja angielska ma pierwszeństwo przed tłumaczeniami).

1. Przedmiot, charakter i cel

1.1. Przetwarzamy dane osobowe wyłącznie w celu świadczenia usług zamówionych przez Klienta (Warunki świadczenia usług, Część II) i wyłącznie na udokumentowane polecenie Klienta, którym są Warunki świadczenia usług, niniejsza DPA, zamówienie, ustawienia i zatwierdzenia Klienta w Panelu klienta oraz pisemne polecenia przekazane pocztą elektroniczną, chyba że prawo UE lub prawo państwa członkowskiego, któremu podlegamy, nakłada na nas inny obowiązek; w takim przypadku przed rozpoczęciem przetwarzania informujemy Klienta o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny. Polecenia te obejmują także przekazywanie danych osobowych do państw trzecich. Jeżeli uznamy, że polecenie jest niezgodne z prawem, niezwłocznie poinformujemy o tym Klienta.

1.2. Szczegóły przetwarzania (kategorie osób, których dane dotyczą, i kategorie danych, czas trwania) określa Załącznik 1.

1.3. Nie przetwarzamy list klientów naszych klientów na potrzeby list odbiorców Google Ads (Customer Match) ani leadów z formularzy kontaktowych Google Ads. Niniejsza DPA zostanie zaktualizowana przed zaoferowaniem jakiejkolwiek takiej usługi.

2. Nasze obowiązki

2.1. Poufność. Każda osoba przetwarzająca dane Klienta w naszym imieniu jest zobowiązana do zachowania poufności.

2.2. Bezpieczeństwo. Stosujemy środki techniczne i organizacyjne określone w Załączniku 2.

2.3. Osoby mające dostęp. Dane Klienta przetwarza przypisany Klientowi menedżer; w celu kontroli jakości, nadzoru i zastępowania menedżerów dostęp mają także starszy menedżer i kierownik CyberLab.team. Dostęp do czatów w Panelu klienta jest rejestrowany.

2.4. Pomoc. Uwzględniając charakter przetwarzania, pomagamy Klientowi w odpowiadaniu na żądania osób, których dane dotyczą, w zapewnianiu bezpieczeństwa, w zgłaszaniu naruszeń oraz w przeprowadzaniu ocen skutków dla ochrony danych i uprzednich konsultacji z organami nadzorczymi (art. 32–36 RODO). Żądania dotyczące danych Klienta, które osoby, których dane dotyczą, kierują do nas, przekazujemy Klientowi.

2.5. Naruszenia ochrony danych osobowych. Po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych Klienta powiadamiamy Klienta bez zbędnej zwłoki, a jeżeli to możliwe — w ciągu 48 godzin, przekazując dostępne nam informacje; nie czekamy na zakończenie wyjaśniania sprawy i przesyłamy dalsze informacje w miarę ich uzyskiwania.

2.6. Audyty. Udostępniamy wszelkie informacje niezbędne do wykazania przestrzegania art. 28 RODO i niniejszej DPA oraz umożliwiamy Klientowi lub audytorowi upoważnionemu przez Klienta przeprowadzanie audytów, w tym inspekcji, i przyczyniamy się do nich. Pierwszym krokiem może być pisemny kwestionariusz. Zakres, termin i zasady poufności innych audytów są uzgadniane z wyprzedzeniem, tak aby chronić bezpieczeństwo danych innych klientów; uzgodnienia te nie uniemożliwiają audytu ani nie opóźniają go w nieuzasadniony sposób.

2.7. Zakończenie przetwarzania. Po zakończeniu usługi, według wyboru Klienta, zwracamy Klientowi jego dane osobowe (poprzez eksport w Panelu klienta lub na żądanie przesłane na adres info@cyberlab.team) albo je usuwamy oraz usuwamy istniejące kopie w terminach określonych w Polityce prywatności (w szczególności w ciągu 30 dni od zakończenia ostatniej umowy Klienta lub zamknięcia Panelu klienta, kopie zapasowe — w ciągu 35 dni; treści otrzymane od Google nie są przechowywane w kopiach zapasowych i nigdy nie są przechowywane dłużej niż 30 dni), chyba że prawo UE lub prawo państwa członkowskiego nakazuje nam ich przechowywanie; dane przechowywane z tej przyczyny są wykorzystywane wyłącznie w tym celu. Przed usunięciem Klient może wyeksportować swoje dane w Panelu klienta lub poprosić o nie, pisząc na adres info@cyberlab.team.

2.8. Dane Google. Dane otrzymane od Google są przetwarzane zgodnie z Google API Services User Data Policy, w tym z wymogami Limited Use, i przechowywane nie dłużej niż 30 dni. Dane z konta Google Ads Klienta nie są sprzedawane, sublicencjonowane ani ujawniane osobom trzecim bez uprzedniej pisemnej zgody Klienta.

3. Podmioty przetwarzające

3.1. Klient wyraża zgodę na korzystanie z podmiotów przetwarzających wymienionych pod adresem cyberlab.team/subprocessors (aktualna lista znajduje się także w Załączniku 3). Nakładamy na każdy podmiot przetwarzający obowiązki w zakresie ochrony danych równoważne obowiązkom wynikającym z niniejszej DPA i pozostajemy za nie odpowiedzialni.

3.2. Zmiany. Powiadamiamy Klienta pocztą elektroniczną z adresu info@cyberlab.team oraz na stronie podmiotów przetwarzających co najmniej 30 dni przed dodaniem lub zastąpieniem podmiotu przetwarzającego, wskazując jego tożsamość, cel, dane, których to dotyczy, miejsce przetwarzania danych oraz zabezpieczenia przekazywania. Klient może w tym terminie wnieść pisemny sprzeciw z uzasadnionych przyczyn związanych z ochroną danych; jeżeli nie uda nam się rozwiązać kwestii sprzeciwu, Klient może wypowiedzieć umowę w zakresie usługi, której to dotyczy, zanim nowy podmiot przetwarzający rozpocznie przetwarzanie danych Klienta, bez opłat za kolejne okresy, a my zwracamy wszelkie opłaty uiszczone z góry za okres po wypowiedzeniu. Jeżeli pilny incydent bezpieczeństwa lub awaria wymaga natychmiastowego zastąpienia podmiotu przetwarzającego, powiadamiamy Klienta bez zbędnej zwłoki, nie później niż w dniu zmiany; prawo Klienta do sprzeciwu i wypowiedzenia przysługuje w taki sam sposób.

3.3. Niezależni administratorzy. Google (w zakresie Google Business Profile, Google Ads, logowania Google i Google Analytics), Stripe (w zakresie płatności), Cloudflare (w zakresie sygnałów, które wykorzystuje do ulepszania własnego wykrywania botów Turnstile) oraz banki działają jako niezależni administratorzy na podstawie własnych warunków i we własnych celach, a nie jako nasze podmioty przetwarzające; jeżeli któryś z nich przetwarza dane w naszym imieniu w ramach określonej usługi, do tej usługi stosuje się jego warunki przetwarzania danych. Gdy na polecenie Klienta przekazujemy dane do usług Google, Google przetwarza je na podstawie swoich warunków zawartych z Klientem.

4. Międzynarodowe przekazywanie danych

Dane osobowe są hostowane w Unii Europejskiej. Jeżeli podmiot przetwarzający przetwarza dane poza EOG, przekazanie jest zabezpieczone decyzją stwierdzającą odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework) lub standardowymi klauzulami umownymi Komisji Europejskiej, zgodnie ze wskazaniem w Załączniku 3.

5. Obowiązki Klienta

5.1. Klient odpowiada za zgodność z prawem przekazywanych nam danych oraz swoich poleceń, w tym za poinformowanie własnych klientów i uzyskanie wszelkich wymaganych zgód.

5.2. Klient odpowiada za baner cookie i zgodę na swoich własnych stronach internetowych, w tym za Google Consent Mode, jeżeli jest wymagany, także gdy pomagamy je skonfigurować.

6. Odpowiedzialność i pierwszeństwo

Odpowiedzialność na podstawie niniejszej DPA określają Warunki świadczenia usług (punkt 10), z wyjątkiem przypadków, w których RODO nie dopuszcza ograniczenia odpowiedzialności. W razie sprzeczności między niniejszą DPA a Warunkami świadczenia usług w odniesieniu do danych osobowych pierwszeństwo ma niniejsza DPA.

---

Załącznik 1 — Szczegóły przetwarzania

Załącznik 2 — Środki techniczne i organizacyjne

• Hosting w UE; dane każdego klienta są przechowywane oddzielnie, a dane jednego klienta nigdy nie są pokazywane innemu klientowi.
• Szyfrowane połączenia (TLS); szyfrowane kopie zapasowe, nadpisywane w ciągu 35 dni.
• Dostęp wyłącznie dla pracowników, którzy go potrzebują; uwierzytelnianie dwuskładnikowe dla pracowników; rejestrowanie dostępu do czatów klientów.
• Nie przechowujemy haseł Google klientów ani tokenów logowania Google klientów; nasz dostęp do Google odbywa się za pomocą naszych własnych poświadczeń agencyjnych przechowywanych w magazynie sekretów.
• Raporty o błędach są filtrowane w celu usunięcia tekstów otrzymanych od Google, zanim opuszczą aplikację.
• Udokumentowane procedury dotyczące żądań osób, których dane dotyczą, usuwania danych, wstrzymania usunięcia z przyczyn prawnych i reagowania na incydenty.

Załącznik 3 — Podmioty przetwarzające

Lista pod adresem cyberlab.team/subprocessors, wersja 2026-10-16, stanowi niniejszy Załącznik.