Umowa Powierzenia Przetwarzania Danych

1. Strony i charakter umowy

Administratorem jest przedsiębiorstwo, restauracja, pracodawca lub inna organizacja, w imieniu której upoważniony Użytkownik korzysta z Workspace Shixar i akceptuje Regulamin. Organizacja jest identyfikowana na podstawie jej relacji z właściwym Workspace, Kontem osoby upoważnionej oraz informacji przekazanych Shixar w toku korzystania z usługi lub kontaktu.

Niniejsza DPA stanowi umowę powierzenia przetwarzania danych w rozumieniu art. 28 RODO i stanowi integralną część Regulaminu w zakresie, w którym Administrator wykorzystuje Shixar do przetwarzania danych osobowych w swoim Workspace.

2. Przedmiot, czas, charakter i cel

• Przedmiot: techniczne świadczenie Shixar obejmujące konto, workspace, członkostwo zespołu, przepisy, listy produkcyjne, grafik, menu, zgłoszenia, zaproszenia i powiązane pliki/zdjęcia w zakresie używanym przez Administratora.
• Czas trwania: od skutecznego zawarcia DPA do zakończenia korzystania z usługi lub wcześniejszego usunięcia właściwego Workspace/Konta, z uwzględnieniem niezbędnych okresów technicznych i prawnych.
• Charakter: hosting, przechowywanie, odczyt, modyfikacja, transmisja, organizowanie i usuwanie danych zgodnie z funkcjami aplikacji oraz udokumentowanymi instrukcjami Administratora.
• Cel: umożliwienie Administratorowi organizacji codziennej pracy zespołu oraz zarządzania dostępem i treściami w Workspace Shixar.

3. Kategorie osób i danych

Administrator odpowiada za zgodność, adekwatność i podstawę prawną danych powierzanych Shixar. Shixar nie wymaga szczególnych kategorii danych osobowych i nie powinny być one umieszczane w usłudze, chyba że jest to konieczne i prawnie uzasadnione.

4. Obowiązki Administratora

• określa cele i podstawy prawne przetwarzania danych w swoim Workspace i wydaje udokumentowane instrukcje poprzez używanie funkcji usługi, niniejszą DPA i uzgodnione kanały;
• zapewnia zgodność powierzonych danych z prawem;
• zarządza użytkownikami, rolami i uprawnieniami oraz niezwłocznie usuwa dostęp osobom, które nie powinny go posiadać;
• nie przekazuje instrukcji sprzecznych z prawem.

5. Obowiązki Shixar jako procesora

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek wynika z prawa;
• zapewnia poufność osób upoważnionych do przetwarzania;
• wdraża odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO;
• wspiera Administratora w realizacji praw osób, bezpieczeństwie, naruszeniach i obowiązkach DPIA w zakresie wynikającym z charakteru przetwarzania i dostępnych informacji;
• po zakończeniu świadczenia usług usuwa lub zwraca dane zgodnie z funkcjonalnością usługi, instrukcją Administratora oraz obowiązkami prawnymi i technicznymi okresami retencji;
• udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia uzasadnione audyty na zasadach z pkt 11.

6. Bezpieczeństwo

• kontrola dostępu oparta na kontach, rolach, członkostwie Workspace i RLS;
• HTTPS/TLS dla komunikacji produkcyjnej; niezabezpieczone adresy HTTP dla obsługiwanych zasobów są odrzucane;
• Supabase Auth do uwierzytelniania; Shixar nie przechowuje jawnych haseł w swoich tabelach;
• sekrety i service role pozostają poza aplikacją Flutter i publicznym repozytorium;
• MFA/2FA dla kont administracyjnych tam, gdzie dostawca je udostępnia;
• sanitizacja obrazów przy uploadzie w celu usuwania EXIF;
• procedury usuwania danych i testy regresyjne dla RLS, Auth, Storage i funkcji uprzywilejowanych.

7. Podprocesorzy

Administrator udziela Shixar ogólnej zgody na korzystanie z podprocesorów niezbędnych do świadczenia usługi. Kluczowi dostawcy obejmują Supabase, Postmark, Namecheap Private Email i Netlify w zakresie odpowiadającym ich roli. Shixar utrzymuje dokumentację dostawców i w przypadku istotnej zmiany zapewnia informację umożliwiającą zgłoszenie uzasadnionego sprzeciwu.

8. Transfery międzynarodowe

Jeżeli w związku z korzystaniem z podprocesora dochodzi do transferu danych poza EOG, Shixar wymaga odpowiedniego mechanizmu zgodnego z RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony lub SCC, zależnie od okoliczności. Główny projekt Supabase Shixar działa w regionie West EU (Ireland).

9. Naruszenia ochrony danych

Shixar powiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych powierzonych, przekazując dostępne informacje potrzebne do oceny i wykonania obowiązków z art. 33–34 RODO. Kontakt: security@shixar.com.

10. Prawa osób i DSR

Jeżeli osoba skieruje do Shixar żądanie dotyczące danych przetwarzanych wyłącznie w imieniu Administratora, Shixar w odpowiednim zakresie skieruje żądanie do Administratora lub wesprze jego realizację.

11. Audyty

Shixar udostępnia na uzasadnione żądanie informacje potrzebne do wykazania zgodności z DPA i art. 28 RODO. Audyt powinien mieć proporcjonalny zakres, rozsądne wyprzedzenie i w pierwszej kolejności opierać się na dokumentacji oraz dostępnych dowodach. Bezpośrednia inspekcja może zostać uzgodniona, jeżeli jest prawnie wymagana lub wcześniejsze środki są niewystarczające.

12. Usunięcie i zakończenie przetwarzania

Po zakończeniu korzystania z usługi lub na prawidłowe żądanie Administratora dane aktywne są usuwane zgodnie z funkcjonalnością Shixar i procedurą usuwania. W aktualnym planie Supabase Free projekt Shixar nie posiada zarządzanych kopii zapasowych ani PITR; zmiana tej konfiguracji wymaga aktualizacji zasad retencji.

13. Pierwszeństwo

W razie sprzeczności między DPA a Regulaminem w zakresie obowiązków wynikających z art. 28 RODO pierwszeństwo ma DPA.

14. Zawarcie elektroniczne

DPA może zostać zawarta w formie elektronicznej poprzez akceptację Regulaminu v1.1 (lub późniejszej wersji, która wskazuje właściwą wersję DPA) przez osobę upoważnioną do działania w imieniu Organizacji. Nie jest wymagany odrębny checkbox DPA, jeżeli Regulamin jednoznacznie włącza DPA do umowy i dokument jest dostępny przed akceptacją.

Shixar może przechowywać dowód obejmujący co najmniej identyfikator Konta osoby akceptującej, wersję Regulaminu, wersję DPA, datę i czas akceptacji oraz — jeżeli jest dostępny — identyfikator Workspace. Historyczne dowody nie powinny być nadpisywane.

15. Kontakt

Prywatność: privacy@shixar.com · Sprawy prawne: legal@shixar.com · Bezpieczeństwo: security@shixar.com