Załącznik nr 1 do regulaminu

Umowa powierzenia przetwarzania danych.

Wpisując do wyceny nazwisko, telefon i adres swojego klienta, powierzasz nam cudze dane osobowe. Ten dokument mówi, co nam wolno z nimi zrobić — i czego nam nie wolno.

Obowiązuje od 2026-10-24. Usługodawcą jest Mateusz Kostka, Høgstølen 30, 5111 Bergen, Norwegia — kontakt: kontakt@fachoferta.pl.

Po ludzku

Dane Twoich klientów są Twoje, nie nasze. Używamy ich wyłącznie po to, żeby aplikacja zrobiła to, o co ją prosisz, i kasujemy je razem z Twoim kontem. Umowę zawierasz razem z regulaminem — nie musisz nic podpisywać ani drukować.

§ 1.Strony i zawarcie umowy

1.Umowę zawierają: Administrator — czyli Ty, użytkownik FachOferty, który wprowadza do niej dane swoich klientów — oraz Podmiot przetwarzający — czyli Mateusz Kostka, Høgstølen 30, 5111 Bergen, Norwegia, kontakt: kontakt@fachoferta.pl.
2.Umowa jest Załącznikiem nr 1 do regulaminu i zawiera się automatycznie z chwilą założenia konta oraz akceptacji regulaminu. Nie trzeba jej osobno podpisywać ani drukować. Forma elektroniczna jest wystarczająca — art. 28 ust. 9 RODO dopuszcza ją wprost.
3.Jeżeli potrzebujesz egzemplarza podpisanego odręcznie — na przykład na potrzeby własnego audytu albo zamówienia publicznego — napisz na kontakt@fachoferta.pl, przygotujemy go bez dodatkowych opłat.
4.Umowa dotyczy wyłącznie danych osób trzecich, które wprowadzasz do aplikacji. Dane Twojego konta i Twojej firmy nie są objęte powierzeniem, bo wobec nich administratorem jesteśmy my — opisuje je polityka prywatności.

§ 2.Przedmiot, cel i czas przetwarzania

1.Powierzasz nam przetwarzanie danych osobowych swoich klientów wyłącznie w jednym celu: żeby aplikacja mogła wykonać to, o co ją prosisz — policzyć wycenę, złożyć dokument oferty, udostępnić go pod linkiem, wysłać mailem, przyjąć akceptację, wystawić aneks lub przekazać pozycje do systemu fakturowego, który sam podłączyłeś.
2.Przetwarzanie polega na przechowywaniu, porządkowaniu, wyświetlaniu, przesyłaniu, utrwalaniu i usuwaniu danych — czyli na czynnościach, które wykonuje oprogramowanie, gdy z niego korzystasz.
3.Umowa trwa tak długo, jak długo masz u nas konto. Kończy się z chwilą jego usunięcia albo rozwiązania umowy o świadczenie usługi.
4.Kategorie osób, których dane powierzasz: Twoi klienci i osoby przez nich wskazane do kontaktu lub do akceptacji oferty.
5.Rodzaje powierzonych danych wymienia tabela poniżej. Nie przetwarzamy na Twoje polecenie żadnych innych kategorii. Aplikacja nie ma pola na dane szczególnych kategorii — dane o zdrowiu, poglądach czy przynależności do organizacji nie powinny trafiać do wyceny i nie przewidujemy ich przetwarzania.

Wyceny i oferty

Jakie dane: Obmiar, pozycje, ceny, a w ofercie także imię i nazwisko, telefon i adres Twojego klienta.
W jakim celu: Żeby wycena była na każdym Twoim urządzeniu i żeby dało się wystawić link.
Jak długo: Do usunięcia konta. Wycenę skasowaną w aplikacji czyścimy od razu — zostaje sam identyfikator i data, żeby Twoje drugie urządzenie wiedziało, że jej już nie ma. Dane klienta znikają w tej samej chwili.

Otwarcia oferty przez klienta

Jakie dane: Data, rodzaj zdarzenia, czas czytania, prefiks sieci (np. 83.12.4.0) i skrót przeglądarki solony tokenem oferty. Nigdy pełny adres IP.
W jakim celu: Żebyś wiedział, czy klient w ogóle otworzył ofertę, zanim do niego zadzwonisz.
Jak długo: Razem z ofertą, czyli do usunięcia konta.

Akceptacja oferty

Jakie dane: Imię i nazwisko osoby akceptującej, jej podpis narysowany palcem, nieobowiązkowy adres e-mail, powód odmowy, skrót treści oferty oraz prefiks sieci i skrót przeglądarki.
W jakim celu: Żeby było wiadomo, kto i na co się zgodził — i że treść nie zmieniła się potem.
Jak długo: Razem z ofertą, czyli do usunięcia konta. Nie znika, gdy link do oferty wygaśnie albo gdy przestaniesz korzystać z usługi — kasuje go dopiero usunięcie konta.

Wysłane wiadomości

Jakie dane: Adres odbiorcy, godzina, status i treść błędu, jeśli mail nie doszedł.
W jakim celu: Żeby nieudana wysyłka była widoczna, a nie cicha.
Jak długo: Do usunięcia konta.

§ 3.Nasze obowiązki

1.Przetwarzamy powierzone dane wyłącznie na Twoje udokumentowane polecenie. Poleceniem jest korzystanie przez Ciebie z funkcji aplikacji; dodatkowe polecenia możesz wydać mailem. Jeżeli polecenie byłoby niezgodne z prawem, odmówimy i powiemy dlaczego.
2.Do danych dopuszczamy wyłącznie osoby zobowiązane do zachowania poufności. Zobowiązanie trwa także po zakończeniu współpracy.
3.
Stosujemy środki techniczne i organizacyjne odpowiadające ryzyku, w tym:
1. a)szyfrowanie połączeń z aplikacją,
2. b)rozdzielenie dostępu do danych na poziomie bazy tak, by konto widziało wyłącznie własne dane,
3. c)przechowywanie haseł wyłącznie w postaci skrótów, bez możliwości ich odczytania,
4. d)losowe, niemożliwe do zgadnięcia adresy stron ofert oraz ich wyłączenie z indeksowania przez wyszukiwarki,
5. e)ograniczenie zakresu zapisywanych śladów technicznych do prefiksu sieci i skrótu, zamiast pełnego adresu IP i nagłówka przeglądarki,
6. f)kopie zapasowe bazy danych po stronie dostawcy infrastruktury.
4.Pomagamy Ci wywiązać się z obowiązków wobec osób, których dane dotyczą — w szczególności przy realizacji ich praw dostępu, sprostowania i usunięcia. Aplikacja pozwala Ci zrobić to samodzielnie: usuwając wycenę, czyścisz jej treść natychmiast, a usuwając konto, kasujesz wszystkie powierzone dane.
5.Pomagamy Ci również w zapewnieniu bezpieczeństwa przetwarzania, w zgłaszaniu naruszeń i w ocenie skutków dla ochrony danych, jeżeli będziesz musiał ją przeprowadzić.
6.O naruszeniu ochrony powierzonych danych zawiadomimy Cię bez zbędnej zwłoki po jego stwierdzeniu, podając charakter naruszenia, jego możliwe skutki i podjęte środki. To Ty zgłaszasz naruszenie organowi nadzorczemu — jako administrator — a my dostarczamy Ci wszystko, czego do tego potrzebujesz.
7.Udostępniamy Ci informacje niezbędne do wykazania, że wywiązujemy się z tej umowy, i umożliwiamy audyt. Audyt zapowiada się z rozsądnym wyprzedzeniem, prowadzi w godzinach pracy i w sposób, który nie zakłóca działania usługi pozostałym użytkownikom.

§ 4.Twoje obowiązki jako administratora

1.Odpowiadasz za to, że masz podstawę prawną do przetwarzania danych swoich klientów i do powierzenia ich nam. Zwykle jest nią wykonanie umowy z klientem albo podjęcie działań przed jej zawarciem — czyli właśnie przygotowanie wyceny na jego prośbę.
2.Odpowiadasz za wypełnienie obowiązku informacyjnego wobec swoich klientów: za to, żeby wiedzieli, kto przetwarza ich dane, w jakim celu i że korzystasz w tym celu z narzędzia zewnętrznego. Możesz wskazać im tę stronę.
3.Wprowadzaj tylko te dane, które są potrzebne do wykonania wyceny i oferty. Aplikacja nie wymaga numeru PESEL, numeru dowodu ani danych o zdrowiu — nie wpisuj ich do opisów pozycji ani do uwag.
4.Adresy e-mail, na które wysyłasz oferty, wpisujesz Ty i Ty odpowiadasz za podstawę do kontaktu z tymi osobami.

§ 5.Dalsze powierzenie

1.Wyrażasz ogólną zgodę na korzystanie z podprocesorów — czyli dostawców, bez których aplikacja nie mogłaby działać. Ich aktualną listę zawiera tabela poniżej; ta sama lista stoi w polityce prywatności i jest w obu miejscach składana z jednego źródła.
2.Każdemu podprocesorowi nakładamy obowiązki nie mniejsze niż te, które sami przyjmujemy wobec Ciebie. Odpowiadamy przed Tobą za ich działania jak za własne.
3.O zamiarze dodania lub zmiany podprocesora uprzedzimy Cię mailem z co najmniej 30-dniowym wyprzedzeniem. Masz wtedy prawo sprzeciwu. Jeżeli sprzeciwu nie da się pogodzić z dalszym świadczeniem usługi, możesz rozwiązać umowę bez żadnych kosztów, a my zwrócimy niewykorzystaną część opłaty.
4.Dwaj podprocesorzy z listy — dostawca systemu fakturowego i dostawca logowania przez Google — otrzymują dane wyłącznie wtedy, gdy sam ich podłączysz. Jeżeli z nich nie korzystasz, nie biorą udziału w przetwarzaniu.

Supabase

Rola: Baza danych i logowanie — tu leżą konta, wyceny i oferty.
Gdzie: Unia Europejska
Kiedy: Zawsze — bez tego usługa nie działa.
Podstawa transferu: Nie dotyczy — dane pozostają w EOG.

Netlify

Rola: Serwer aplikacji. Dane przez niego przechodzą, ale się w nim nie zatrzymują.
Gdzie: Stany Zjednoczone (plan bezpłatny nie pozwala wybrać regionu)
Kiedy: Zawsze — bez tego usługa nie działa.
Podstawa transferu: standardowe klauzule umowne Komisji Europejskiej oraz Data Privacy Framework

Resend

Rola: Wysyłka poczty — oferta do klienta, potwierdzenia i przypomnienia.
Gdzie: Unia Europejska (region eu-west-1), dostawca ze Stanów Zjednoczonych
Kiedy: Zawsze — bez tego usługa nie działa.
Podstawa transferu: standardowe klauzule umowne Komisji Europejskiej

Google

Rola: Logowanie przyciskiem „Dalej przez Google” — tylko jeśli z niego korzystasz.
Gdzie: Stany Zjednoczone
Kiedy: Tylko po podłączeniu przez Ciebie.
Podstawa transferu: standardowe klauzule umowne Komisji Europejskiej oraz Data Privacy Framework

Fakturownia

Rola: Wystawianie faktur — tylko jeśli sam podłączysz swoje konto.
Gdzie: Polska
Kiedy: Tylko po podłączeniu przez Ciebie.
Podstawa transferu: Nie dotyczy — dane pozostają w EOG.

§ 6.Przekazywanie danych poza EOG

1.Baza danych, w której leżą powierzone dane, stoi w Unii Europejskiej. Usługodawca ma siedzibę w Norwegii, należącej do Europejskiego Obszaru Gospodarczego.
2.Kod serwerowy aplikacji działa jednak poza EOG. Nasz plan hostingowy nie pozwala wybrać regionu serwera, więc żądania — a wraz z nimi przejściowo powierzone dane — przechodzą przez Stany Zjednoczone. Dane nie są tam składowane.
3.Transfer odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej, a w przypadku dostawców objętych programem Data Privacy Framework — także na jego podstawie. Podstawę dla każdego podprocesora wskazuje tabela poniżej.
4.Gdyby wybór regionu serwera stał się u nas możliwy, przeniesiemy przetwarzanie do Unii Europejskiej i odnotujemy to w tym dokumencie.

§ 7.Zakończenie umowy i los danych

1.Po zakończeniu świadczenia usługi usuwamy powierzone dane. Usunięcie konta w ustawieniach kasuje kaskadowo wyceny, oferty, wystawione linki, zapisy otwarć, decyzje klientów wraz z podpisami, kolejkę wysyłki, połączenie z systemem fakturowym oraz ślad po wystawionych fakturach.
2.Zabierz dane przed usunięciem konta. Aplikacja ma wbudowany zapis wszystkiego do pliku. Po skasowaniu konta nie mamy jak niczego odtworzyć — i to jest cecha, nie usterka.
3.Kopie zapasowe po stronie dostawcy infrastruktury wygasają zgodnie z jego cyklem i nie są przez nas odtwarzane po usunięciu konta.
4.Zachowujemy wyłącznie te dane, których przechowywania wymagają od nas przepisy prawa, i wyłącznie przez okres w nich wskazany.

§ 8.Odpowiedzialność i postanowienia końcowe

1.Każda ze stron odpowiada za własne naruszenia przepisów o ochronie danych na zasadach określonych w art. 82 RODO.
2.W sprawach nieuregulowanych stosuje się RODO oraz regulamin, którego ta umowa jest załącznikiem. W razie rozbieżności między nimi w kwestiach ochrony danych pierwszeństwo ma ta umowa.
3.Zmiany umowy wprowadzamy w trybie przewidzianym dla zmian regulaminu, z tym że o zmianie listy podprocesorów uprzedzamy na zasadach z paragrafu o dalszym powierzeniu.
4.Ta wersja obowiązuje od 2026-10-24.