Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia obowiązuje od dnia 3 listopada 2026 r.

Umowa powierzenia stanowi część Regulaminu serwisu Faunak. Pojęcia pisane wielką literą, które nie zostały zdefiniowane poniżej, mają znaczenie nadane im w Regulaminie.

§ 1. Strony i zawarcie umowy

1. Stronami Umowy powierzenia są:
   1. Administrator - podmiot, który decyduje o celach i sposobach przetwarzania Powierzonych danych, to jest:
      1. w odniesieniu do danych wprowadzanych w ramach Hodowli - podmiot prowadzący Hodowlę: Użytkownik, który ją założył, albo Przedsiębiorca, w imieniu którego została założona (§ 7 ust. 4 Regulaminu),
      2. w odniesieniu do danych osób trzecich wprowadzanych przez Użytkownika w ramach jego Konta (np. dane weterynarzy, klinik i laboratoriów wpisywane przy psie) - ten Użytkownik;
   2. Podmiot przetwarzający - Usługodawca, czyli Ernest Sadowski, prowadzący jednoosobową działalność gospodarczą pod firmą Ernest Sadowski, NIP 8393217403, REGON 386486957, adres do doręczeń: ul. Giserska 11/176, 02-495 Warszawa, e-mail w sprawach Umowy powierzenia: hello@faunak.com.
2. Umowa powierzenia jest zawierana w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu, a w odniesieniu do Hodowli - z chwilą jej założenia. Nie wymaga odrębnego podpisu.
3. W relacjach z Podmiotem przetwarzającym w imieniu Administratora prowadzącego Hodowlę działa Właściciel Hodowli. Polecenia i oświadczenia Właściciela Hodowli uważa się za polecenia i oświadczenia Administratora. Powiadomienia przewidziane w Umowie powierzenia Podmiot przetwarzający wysyła na adres e-mail Konta Właściciela Hodowli, a w przypadku z ust. 1 pkt 1 ppkt 2 - na adres e-mail Konta Użytkownika.
4. Administrator, który prowadzi Hodowlę z udziałem innych Użytkowników (Administratorów Hodowli i Członków Hodowli), odpowiada za to, aby korzystali oni z Serwisu zgodnie z jego poleceniami. Działania tych osób w Hodowli uważa się za działania podejmowane w imieniu Administratora.
5. Jeżeli przetwarzanie danych przez Administratora ma charakter czysto osobisty lub domowy i nie podlega RODO, Podmiot przetwarzający i tak stosuje wobec tych danych zasady i zabezpieczenia określone w Umowie powierzenia.

§ 2. Definicje

1. RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
2. Powierzone dane - dane osobowe osób trzecich, które Administrator lub osoby działające w jego imieniu wprowadzają do Serwisu albo które powstają w Serwisie w wyniku korzystania z jego funkcji, w zakresie opisanym w § 4.
3. Dalszy podmiot przetwarzający - podmiot, któremu Podmiot przetwarzający powierza przetwarzanie Powierzonych danych w celu świadczenia Usług.
4. Naruszenie - naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO, dotyczące Powierzonych danych.
5. EOG - Europejski Obszar Gospodarczy.

§ 3. Przedmiot, czas trwania, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Powierzonych danych na zasadach określonych w Umowie powierzenia, zgodnie z art. 28 RODO.
2. Przedmiotem przetwarzania jest przechowywanie Powierzonych danych i udostępnianie Administratorowi funkcji Serwisu służących do ich prowadzenia.
3. Charakter przetwarzania obejmuje: zbieranie przez formularze Serwisu, utrwalanie, przechowywanie (w tym w kopiach zapasowych), porządkowanie, wyszukiwanie, przeglądanie, modyfikowanie, wyświetlanie osobom uprawnionym przez Administratora, przesyłanie wiadomości e-mail wysyłanych na polecenie Administratora, eksport na żądanie Administratora oraz usuwanie.
4. Celem przetwarzania jest wyłącznie świadczenie Usług na rzecz Administratora zgodnie z Regulaminem, w tym hosting, utrzymanie, zabezpieczenie i rozwiązywanie problemów technicznych Serwisu oraz udzielanie wsparcia technicznego.
5. Podmiot przetwarzający nie przetwarza Powierzonych danych w celach własnych, w szczególności w celach marketingowych, analitycznych, do profilowania, tworzenia katalogów lub baz danych ani w celu ich sprzedaży.
6. Umowa powierzenia obowiązuje przez czas istnienia Konta lub Hodowli, w ramach której przetwarzane są Powierzone dane, a następnie przez okres potrzebny do ich usunięcia zgodnie z § 14.
7. Przetwarzanie odbywa się w ramach Opłat wynikających z Regulaminu, a w przypadku bezpłatnych Usług - nieodpłatnie.

§ 4. Rodzaje danych i kategorie osób

1. Powierzone dane mogą obejmować następujące rodzaje danych:
   1. kontakty Hodowli - imię, nazwisko, adres e-mail, numer telefonu, adresy (ulica, miasto, kod pocztowy, region, kraj, uwagi do adresu), profile w mediach społecznościowych, notatki o kontakcie oraz wewnętrzny znacznik „czarna lista”,
   2. lista oczekujących - powiązany kontakt, preferencje (np. płeć szczenięcia, rodzice), status zgłoszenia (np. nowe, zweryfikowane, wpłacony zadatek) i notatki,
   3. rezerwacje - powiązany kontakt, szczenię, status, daty i powód anulowania rezerwacji, przechowywane jako historia sprzedaży Hodowli,
   4. weterynarze, kliniki i laboratoria - imiona i nazwiska lub nazwy wpisywane przy profilaktyce i badaniach psów,
   5. inne dane osób trzecich, które Administrator wpisze w polach tekstowych Serwisu, np. w notatkach.
2. Kategorie osób, których dane dotyczą: nabywcy i potencjalni nabywcy szczeniąt, osoby z listy oczekujących, inne kontakty Hodowli, lekarze weterynarii oraz przedstawiciele klinik i laboratoriów, a także inne osoby, których dane Administrator wpisze w polach tekstowych.
3. Powierzonymi danymi nie są dane, które Usługodawca przetwarza jako administrator zgodnie z Polityką prywatności, w szczególności dane Kont Użytkowników (w tym członków Hodowli i osób, którym przypisano rolę przy psie, wraz z tą rolą), dane zaproszeń do Hodowli i do psa (adres e-mail osoby zaproszonej, rola i status zaproszenia), dane o płatnościach i faktury oraz dane o bezpieczeństwie i korzystaniu z Serwisu.
4. Przetwarzanie nie ma obejmować szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Administrator nie wprowadza takich danych do Serwisu, w szczególności nie wpisuje w notatkach informacji o zdrowiu osób. Dane o zdrowiu psów nie są danymi osobowymi.
5. Administrator odpowiada za to, aby znacznik „czarna lista” i notatki o kontaktach zawierały wyłącznie informacje prawdziwe, niezbędne i przetwarzane zgodnie z prawem.

§ 5. Obowiązki i oświadczenia Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania Powierzonych danych i do ich powierzenia Podmiotowi przetwarzającemu.
2. Administrator wykonuje wobec osób, których dane dotyczą, obowiązki informacyjne z art. 13 i 14 RODO, w tym informuje je o korzystaniu z Serwisu Faunak jako narzędzia do prowadzenia danych.
3. Administrator realizuje prawa osób, których dane dotyczą, i odpowiada na ich żądania, z pomocą Podmiotu przetwarzającego na zasadach § 11.
4. Administrator korzysta z ustawień widoczności i ról w Hodowli w sposób zapewniający, że Powierzone dane są dostępne wyłącznie dla osób, które powinny mieć do nich dostęp.

§ 6. Udokumentowane polecenia

1. Podmiot przetwarzający przetwarza Powierzone dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii Europejskiej lub prawo państwa członkowskiego, któremu podlega. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
2. Udokumentowanymi poleceniami Administratora są:
   1. Regulamin i Umowa powierzenia,
   2. korzystanie z funkcji Serwisu przez Administratora i osoby działające w jego imieniu, w tym wprowadzanie, edycja, udostępnianie, wysyłanie zaproszeń i usuwanie danych oraz ustawienia widoczności i ról,
   3. dodatkowe polecenia przesłane przez Administratora e-mailem na adres hello@faunak.com, jeżeli są zgodne z Regulaminem i możliwe do wykonania w ramach Serwisu.
3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych. Do czasu wyjaśnienia Podmiot przetwarzający może wstrzymać wykonanie takiego polecenia.

§ 7. Poufność

1. Podmiot przetwarzający dopuszcza do Powierzonych danych wyłącznie osoby, które otrzymały od niego upoważnienie i zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi zachowania tajemnicy. Obowiązek ten trwa także po zakończeniu współpracy tych osób z Podmiotem przetwarzającym.
2. Podmiot przetwarzający i osoby przez niego upoważnione mają dostęp do Powierzonych danych wyłącznie w zakresie niezbędnym do świadczenia Usług, w szczególności do rozpatrzenia zgłoszenia lub reklamacji, usunięcia awarii, zapewnienia bezpieczeństwa, rozpatrzenia zgłoszenia treści na podstawie § 17 Regulaminu albo wykonania obowiązku prawnego.

§ 8. Bezpieczeństwo przetwarzania

1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, o których mowa w art. 32 RODO. Opis środków stanowi Załącznik nr 2.
2. Podmiot przetwarzający regularnie, nie rzadziej niż raz w roku, przegląda środki bezpieczeństwa i może je zmieniać, pod warunkiem że zmiana nie obniży ogólnego poziomu ochrony Powierzonych danych. Aktualny opis środków jest publikowany w Umowie powierzenia.
3. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratorów, jeżeli wymaga tego art. 30 ust. 2 RODO.

§ 9. Dalsze podmioty przetwarzające

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z Dalszych podmiotów przetwarzających. Lista Dalszych podmiotów przetwarzających korzystających z Powierzonych danych w dniu zawarcia Umowy powierzenia stanowi Załącznik nr 1, a Administrator akceptuje podmioty na niej wymienione.
2. Podmiot przetwarzający wybiera wyłącznie podmioty zapewniające wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych i zawiera z nimi umowy nakładające obowiązki ochrony danych co najmniej takie jak w Umowie powierzenia.
3. O zamiarze dodania lub zastąpienia Dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Powiadomienie wskazuje nazwę podmiotu, zakres usług, kategorie danych, miejsce przetwarzania i podstawę ewentualnego transferu poza EOG. Opublikowanie zaktualizowanej listy bez wysłania powiadomienia nie jest wystarczające.
4. Administrator może zgłosić sprzeciw wobec zmiany e-mailem na adres hello@faunak.com w terminie 14 dni od otrzymania powiadomienia, podając uzasadnienie. Brak sprzeciwu w tym terminie oznacza akceptację zmiany.
5. Po otrzymaniu sprzeciwu strony w dobrej wierze szukają rozwiązania, np. przez wyjaśnienie wątpliwości lub zastosowanie dodatkowych zabezpieczeń. Jeżeli sprzeciwu nie da się rozwiązać, Administrator może przed wprowadzeniem zmiany wypowiedzieć Umowę Subskrypcji i Umowę powierzenia ze skutkiem natychmiastowym, a Podmiot przetwarzający zwraca proporcjonalną część Opłat uiszczonych z góry za niewykorzystany okres. Administrator korzystający z bezpłatnych Usług może w takim przypadku usunąć Konto lub Hodowlę. Po rozwiązaniu Umowy powierzenia Powierzone dane są zwracane lub usuwane na zasadach § 14.
6. Jeżeli zastąpienie Dalszego podmiotu przetwarzającego jest pilnie konieczne ze względu na bezpieczeństwo danych lub ciągłość Usług (np. nagłe zakończenie świadczenia usług przez dotychczasowego dostawcę), Podmiot przetwarzający może dokonać zmiany wcześniej i niezwłocznie informuje o niej Administratora. Administratorowi przysługują wówczas uprawnienia z ust. 4 i 5, liczone od dnia otrzymania powiadomienia.
7. Podmiot przetwarzający odpowiada wobec Administratora za wykonanie obowiązków ochrony danych przez Dalszy podmiot przetwarzający tak jak za własne działania (art. 28 ust. 4 RODO).

§ 10. Przekazywanie danych poza EOG

1. Powierzone dane są przechowywane w bazie danych i magazynie plików znajdujących się w Unii Europejskiej (Frankfurt nad Menem, Niemcy).
2. Niektóre Dalsze podmioty przetwarzające mają siedzibę w Stanach Zjednoczonych lub mogą uzyskiwać dostęp do danych z państw spoza EOG, w szczególności przy obsłudze aplikacji i wysyłce wiadomości e-mail (Załącznik nr 1).
3. Podmiot przetwarzający przekazuje Powierzone dane poza EOG wyłącznie z zachowaniem warunków rozdziału V RODO (art. 44-49), w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym ramy ochrony danych UE-USA, Data Privacy Framework, wobec podmiotów certyfikowanych) albo standardowych klauzul umownych przyjętych przez Komisję Europejską decyzją (UE) 2021/914.
4. Jeżeli decyzja stanowiąca podstawę transferu zostanie uchylona lub unieważniona, Podmiot przetwarzający niezwłocznie zapewnia inną podstawę z rozdziału V RODO, w szczególności standardowe klauzule umowne, albo przestaje przekazywać dane do danego podmiotu.
5. Na żądanie Administratora Podmiot przetwarzający przekazuje informacje o zastosowanych zabezpieczeniach transferu.

§ 11. Pomoc w realizacji praw osób, których dane dotyczą

1. Serwis udostępnia Administratorowi narzędzia, które pozwalają samodzielnie realizować większość żądań osób, których dane dotyczą, w szczególności przeglądanie, poprawianie i usuwanie Powierzonych danych.
2. Do czasu udostępnienia w Serwisie funkcji eksportu danych Podmiot przetwarzający, na żądanie Administratora przesłane na adres support@faunak.com (§ 19 ust. 5 Regulaminu), przekazuje mu Powierzone dane w powszechnie używanym formacie nadającym się do odczytu maszynowego, w terminie umożliwiającym Administratorowi dotrzymanie terminów z RODO, nie później niż w ciągu 14 dni od otrzymania żądania.
3. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający nie odpowiada na nie merytorycznie, lecz przekazuje je Administratorowi niezwłocznie, nie później niż w ciągu 5 Dni roboczych, i informuje tę osobę, że jej żądanie zostało przekazane administratorowi.
4. Na żądanie Administratora Podmiot przetwarzający udziela dodatkowej pomocy, jeżeli żądania nie da się zrealizować za pomocą narzędzi Serwisu.

§ 12. Pomoc w obowiązkach z art. 32-36 RODO

1. Uwzględniając charakter przetwarzania i dostępne informacje, Podmiot przetwarzający pomaga Administratorowi w wywiązaniu się z obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania Naruszeń organowi nadzorczemu i zawiadamiania osób, których dane dotyczą, oceny skutków dla ochrony danych oraz uprzednich konsultacji z organem nadzorczym (art. 32-36 RODO).
2. Pomoc polega w szczególności na udostępnieniu opisu przetwarzania i środków bezpieczeństwa (Załącznik nr 2), udzieleniu odpowiedzi na pytania Administratora i przekazaniu informacji o Naruszeniu zgodnie z § 13.
3. Pomoc jest udzielana w ramach Opłat. Jeżeli Administrator będący Przedsiębiorcą żąda pomocy wykraczającej istotnie poza zakres opisany w Umowie powierzenia, strony mogą uprzednio uzgodnić zwrot uzasadnionych kosztów.

§ 13. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres wskazany w § 1 ust. 3.
2. Zgłoszenie zawiera, w miarę dostępności informacji:
   1. opis charakteru Naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych,
   2. dane kontaktowe osoby, od której można uzyskać więcej informacji,
   3. opis możliwych konsekwencji Naruszenia,
   4. opis środków zastosowanych lub proponowanych w celu zaradzenia Naruszeniu, w tym w celu zminimalizowania jego negatywnych skutków.
3. Jeżeli nie wszystkie informacje są dostępne w chwili zgłoszenia, Podmiot przetwarzający przekazuje je sukcesywnie, bez zbędnej zwłoki.
4. Podmiot przetwarzający niezwłocznie podejmuje działania w celu ograniczenia skutków Naruszenia i zapobieżenia podobnym zdarzeniom, dokumentuje Naruszenie (okoliczności, skutki i działania zaradcze) i udostępnia tę dokumentację Administratorowi.
5. Zgłoszenia Naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, dokonuje Administrator. Podmiot przetwarzający nie robi tego w imieniu Administratora bez jego polecenia, chyba że wymagają tego przepisy prawa.

§ 14. Usunięcie i zwrot danych

1. Administrator może w każdej chwili usuwać Powierzone dane za pomocą funkcji Serwisu.
2. Po usunięciu Hodowli lub Konta, w ramach którego przetwarzane są Powierzone dane, albo po rozwiązaniu Umowy powierzenia Podmiot przetwarzający usuwa Powierzone dane z bieżących systemów nie później niż w ciągu 30 dni, a z kopii zapasowych - przez ich cykliczne nadpisywanie - w ciągu kolejnych 30 dni.
3. Przed usunięciem Hodowli lub Konta Administrator może zażądać zwrotu Powierzonych danych w formie eksportu na zasadach § 11 ust. 2. Wybór między zwrotem a usunięciem należy do Administratora; jeżeli Administrator nie zażąda zwrotu przed usunięciem Hodowli lub Konta, dane są usuwane.
4. Ust. 2 nie dotyczy danych, których dalsze przechowywanie nakazuje prawo Unii Europejskiej lub prawo państwa członkowskiego. Dane o płatnościach i faktury Usługodawcy nie są Powierzonymi danymi; Usługodawca przetwarza je jako administrator zgodnie z Polityką prywatności.
5. Na żądanie Administratora Podmiot przetwarzający potwierdza e-mailem usunięcie Powierzonych danych.
6. Kontakty, wpisy listy oczekujących i notatki usunięte przez Administratora w trakcie korzystania z Serwisu są trwale usuwane z bieżących systemów po 30 dniach od ich usunięcia, a z kopii zapasowych w ciągu kolejnych 30 dni. Z kontaktu, do którego odnosi się rezerwacja (historia sprzedaży Hodowli), usuwane są wszystkie dane osoby, a zostaje sam rekord rezerwacji.
7. Profile psów pozostają w Serwisie jako odrębne rekordy, z których korzystają także inni Użytkownicy (np. rodowody, historia miotów). Usunięcie psa, Hodowli lub Konta odłącza psa od Hodowli lub Konta. Powierzone dane dotyczące osób fizycznych powiązane z psem, w tym notatki do psa, są usuwane zgodnie z ust. 2 i 6.

§ 15. Informacje i audyty

1. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.
2. Administrator realizuje prawo kontroli w pierwszej kolejności przez zadawanie pytań i żądanie dokumentów. Podmiot przetwarzający odpowiada na pytania przesłane na adres hello@faunak.com w terminie 14 dni oraz udostępnia opis środków bezpieczeństwa, informacje o Dalszych podmiotach przetwarzających i dostępne raporty lub certyfikaty Dalszych podmiotów przetwarzających.
3. Jeżeli informacje z ust. 2 nie są wystarczające do wykazania zgodności przetwarzania z Umową powierzenia, Administrator lub upoważniony przez niego niezależny audytor może przeprowadzić audyt, w tym inspekcję, na następujących zasadach:
   1. nie częściej niż raz na 12 miesięcy, chyba że audyt jest uzasadniony Naruszeniem albo żądaniem organu nadzorczego,
   2. po zawiadomieniu Podmiotu przetwarzającego z co najmniej 30-dniowym wyprzedzeniem, ze wskazaniem zakresu audytu, a w przypadku audytu po Naruszeniu - z wyprzedzeniem nie krótszym niż 7 dni,
   3. w Dni robocze, w godzinach pracy Podmiotu przetwarzającego, w sposób niezakłócający nadmiernie jego działalności, w miarę możliwości zdalnie,
   4. na koszt Administratora,
   5. audytor zobowiązuje się do zachowania poufności informacji uzyskanych w toku audytu i nie może być konkurentem Podmiotu przetwarzającego,
   6. audyt nie obejmuje dostępu do danych innych klientów Podmiotu przetwarzającego ani do infrastruktury Dalszych podmiotów przetwarzających; w tym zakresie Podmiot przetwarzający udostępnia raporty i certyfikaty tych podmiotów.
4. Podmiot przetwarzający usuwa stwierdzone w audycie uchybienia w uzgodnionym, rozsądnym terminie.

§ 16. Odpowiedzialność

1. Odpowiedzialność Administratora i Podmiotu przetwarzającego wobec osób, których dane dotyczą, określa art. 82 RODO. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem, jeżeli nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub gdy działał poza zgodnymi z prawem poleceniami Administratora lub wbrew tym poleceniom.
2. Wobec Administratora będącego Przedsiębiorcą odpowiedzialność Podmiotu przetwarzającego z tytułu Umowy powierzenia podlega ograniczeniom określonym w § 21 ust. 6-8 Regulaminu. Ograniczenia te nie dotyczą odpowiedzialności wobec osób, których dane dotyczą, ani szkody wyrządzonej umyślnie.
3. Wobec Administratora będącego Konsumentem albo Przedsiębiorcą na prawach konsumenta Podmiot przetwarzający odpowiada na zasadach ogólnych.

§ 17. Czas obowiązywania i rozwiązanie

1. Umowa powierzenia obowiązuje przez czas określony w § 3 ust. 6 i rozwiązuje się automatycznie z chwilą usunięcia Hodowli lub Konta, w ramach którego przetwarzane są Powierzone dane, z zastrzeżeniem obowiązków z § 14.
2. Umowa powierzenia nie może zostać wypowiedziana odrębnie, dopóki w Serwisie przetwarzane są Powierzone dane Administratora, z wyjątkiem wypowiedzenia na podstawie § 9 ust. 5.
3. Administrator może wypowiedzieć Umowę powierzenia wraz z Umową Subskrypcji ze skutkiem natychmiastowym, jeżeli Podmiot przetwarzający rażąco narusza Umowę powierzenia lub RODO i mimo wezwania nie usuwa naruszenia w rozsądnym terminie. Podmiot przetwarzający zwraca wówczas proporcjonalną część Opłat uiszczonych z góry za niewykorzystany okres.

§ 18. Postanowienia końcowe

1. W sprawach dotyczących przetwarzania Powierzonych danych Umowa powierzenia ma pierwszeństwo przed Regulaminem. W pozostałym zakresie stosuje się Regulamin.
2. Zmiany Umowy powierzenia wprowadza się na zasadach zmiany Regulaminu (§ 25 Regulaminu). Zmiany listy Dalszych podmiotów przetwarzających wprowadza się na zasadach § 9.
3. W sprawach nieuregulowanych stosuje się przepisy RODO, Kodeksu cywilnego oraz inne przepisy prawa polskiego. Prawo właściwe i sąd właściwy określa § 26 Regulaminu.
4. Umowa powierzenia obowiązuje od dnia 3 listopada 2026 r.

Załącznik nr 1 - lista dalszych podmiotów przetwarzających

Dalsze podmioty przetwarzające Powierzone dane

Podmiot	Zakres usług	Kategorie Powierzonych danych	Miejsce przetwarzania	Podstawa transferu poza EOG
Vercel Inc., USA	hosting aplikacji internetowej, funkcje serwerowe, zadania cykliczne, logi techniczne	wszystkie kategorie z § 4 - w zakresie przesyłanym przez serwery aplikacji; logi techniczne	funkcje serwerowe w UE (Frankfurt, region fra1); sieć brzegowa i logi także w innych regionach, w tym w USA	decyzja Komisji w sprawie Data Privacy Framework (art. 45 RODO), podmiot jest certyfikowany, oraz standardowe klauzule umowne 2021/914 (art. 46 ust. 2 lit. c RODO)
Supabase Pte. Ltd., Singapur (infrastruktura Amazon Web Services)	baza danych PostgreSQL, magazyn plików (zdjęcia), kopie zapasowe	wszystkie kategorie z § 4	Unia Europejska - region AWS eu-central-1, Frankfurt nad Menem, Niemcy	dane przechowywane w UE; standardowe klauzule umowne 2021/914 w zakresie dostępu z państw trzecich (wsparcie i utrzymanie)
Plus Five Five, Inc. (Resend), USA	wysyłka wiadomości e-mail z Serwisu	adres e-mail odbiorcy i treść wiadomości, w zakresie, w jakim zawierają Powierzone dane (np. adres e-mail kontaktu Hodowli użyty na polecenie Administratora)	USA	decyzja Komisji w sprawie Data Privacy Framework (art. 45 RODO), podmiot jest certyfikowany, oraz standardowe klauzule umowne 2021/914 (art. 46 ust. 2 lit. c RODO)
Google Ireland Limited, Irlandia, oraz Google LLC, USA (Google Workspace)	poczta e-mail hello@faunak.com i support@faunak.com	Powierzone dane wyłącznie w zakresie, w jakim Administrator przekaże je w korespondencji (np. w zgłoszeniu do wsparcia)	UE i USA	decyzja Komisji w sprawie Data Privacy Framework (art. 45 RODO), podmiot jest certyfikowany, oraz standardowe klauzule umowne 2021/914 (art. 46 ust. 2 lit. c RODO)

Listy dalszych podwykonawców dostawców: Vercel, Supabase, Resend, PostHog, Stripe.

Dostawcy, którzy nie przetwarzają Powierzonych danych

Poniżsi dostawcy współpracują z Usługodawcą, ale nie otrzymują Powierzonych danych. Informacje o nich zawiera Polityka prywatności.

Podmiot	Rola	Uwagi
PostHog Inc., USA (chmura UE)	analityka i monitorowanie błędów	dotyczy wyłącznie Użytkowników, którzy wyrazili zgodę, oraz technicznych informacji o błędach serwera; dane kontaktów Hodowli, listy oczekujących i rezerwacji nie są przesyłane do PostHog (zdarzenia zawierają wyłącznie identyfikatory techniczne i wartości z zamkniętych list, np. powód anulowania rezerwacji)
Stripe Payments Europe, Limited, Irlandia	obsługa płatności za Subskrypcję, podatki, faktury, Portal klienta	przetwarza dane Zamawiających jako dostawca płatności Usługodawcy oraz jako niezależny administrator w zakresie przeciwdziałania oszustwom i obowiązków prawnych; nie jest Dalszym podmiotem przetwarzającym Powierzonych danych
Google Ireland Limited, Irlandia, oraz Google LLC, USA (logowanie Google)	uwierzytelnianie Użytkowników, którzy wybiorą logowanie przez Google	dotyczy wyłącznie danych Użytkownika logującego się; nie obejmuje Powierzonych danych

Załącznik nr 2 - środki techniczne i organizacyjne

Lokalizacja i infrastruktura

1. Baza danych i magazyn plików są utrzymywane w Unii Europejskiej (AWS eu-central-1, Frankfurt nad Menem) w ramach usługi Supabase.
2. Aplikacja jest hostowana w infrastrukturze Vercel. Dostawcy infrastruktury zapewniają fizyczne zabezpieczenie centrów danych.

Szyfrowanie

1. Cała komunikacja między urządzeniem Użytkownika a Serwisem oraz między komponentami Serwisu jest szyfrowana protokołem TLS (HTTPS).
2. Dane w bazie danych i w magazynie plików są szyfrowane w spoczynku przez dostawcę infrastruktury.
3. Hasła Użytkowników są przechowywane wyłącznie w postaci skrótu (hash) wyliczanego algorytmem przeznaczonym do haseł. Usługodawca nie zna haseł Użytkowników.
4. Usługodawca nie przechowuje danych kart płatniczych; przetwarza je Stripe.

Kontrola dostępu w Serwisie

1. Dostęp do Konta wymaga uwierzytelnienia (hasło z potwierdzonym adresem e-mail, klucz dostępu passkey lub logowanie Google). Użytkownik może włączyć uwierzytelnianie dwuskładnikowe (TOTP z kodami zapasowymi).
2. Użytkownik widzi aktywne sesje (adres IP, przeglądarka) i może je zakończyć.
3. Dane każdej Hodowli są logicznie oddzielone od danych innych Hodowli; aplikacja sprawdza przy każdym dostępie przynależność Użytkownika do Hodowli i jego rolę (Właściciel Hodowli, Administrator Hodowli, Członek Hodowli).
4. Dane psów są udostępniane innym Użytkownikom wyłącznie w zakresie ustawień widoczności i ról przy psie.
5. Stosowane są limity liczby zapytań i prób logowania z jednego adresu IP oraz blokada rejestracji z jednorazowych domen e-mail.
6. Pliki (zdjęcia) są dostępne pod adresem URL bez logowania dla osoby, która zna adres; Administrator nie powinien umieszczać na zdjęciach Powierzonych danych.

Dostęp Usługodawcy

1. Dostęp administracyjny do infrastruktury i baz danych ma wyłącznie Usługodawca oraz osoby przez niego upoważnione i zobowiązane do poufności, w zakresie niezbędnym do wykonywania ich zadań.
2. Konta administracyjne u dostawców infrastruktury są chronione silnymi hasłami i uwierzytelnianiem dwuskładnikowym.
3. Wejście na Konto Użytkownika w trybie wsparcia (impersonacja) jest możliwe wyłącznie w przypadkach wskazanych w § 6 ust. 8 Regulaminu.
4. Klucze dostępowe i sekrety aplikacji są przechowywane w zmiennych środowiskowych dostawcy hostingu, a nie w kodzie źródłowym.

Dostępność i kopie zapasowe

1. Kopie zapasowe bazy danych są wykonywane automatycznie przez dostawcę bazy danych i przechowywane w Unii Europejskiej.
2. Kopie zapasowe są cyklicznie nadpisywane, co pozwala na usunięcie z nich danych w terminach z § 14.
3. Usługodawca monitoruje działanie Serwisu i błędy serwera w celu szybkiego wykrywania awarii.

Rozwój i utrzymanie

1. Zmiany w aplikacji przechodzą przez repozytorium kodu z kontrolą wersji i są wdrażane w sposób powtarzalny.
2. Zależności oprogramowania są regularnie aktualizowane, w szczególności w razie wykrycia podatności.
3. Do testów i rozwoju nie są używane produkcyjne Powierzone dane.

Organizacja

1. Usługodawca prowadzi dokumentację Naruszeń i stosuje procedurę zgłaszania Naruszeń opisaną w § 13.
2. Środki bezpieczeństwa są przeglądane co najmniej raz w roku oraz po każdym istotnym Naruszeniu lub zmianie Dalszych podmiotów przetwarzających.
3. Przed powierzeniem danych nowemu dostawcy Usługodawca sprawdza jego gwarancje ochrony danych, umowę powierzenia i podstawę transferu.