Umowa powierzenia przetwarzania danych osobowych (DPA)

Niniejsza umowa (dalej: „DPA”) stanowi integralną część Umowy o świadczenie usługi MonteFlow.cloud (dalej: „Umowa Główna”) zawartej pomiędzy Stronami. Zawarcie Umowy Głównej jest równoznaczne z zawarciem DPA w wersji wskazanej w § 8 ust. 2 Umowy Głównej i nie wymaga odrębnego podpisu.

§ 1. Strony umowy

1. Administrator danych (zleceniodawca):

   Administratorem jest Placówka — podmiot oznaczony jako „Placówka” w § 1 ust. 2 Umowy Głównej, wraz z danymi identyfikacyjnymi, adresowymi i kontaktowymi tam określonymi oraz osobą uprawnioną do reprezentacji tam wskazaną.

   Dalej zwany: „Administratorem” lub „Placówką”

2. Podmiot przetwarzający (zleceniobiorca):

   Nazwa: ZUBEL.PRO Krystian Zubel
   Forma prawna: Jednoosobowa Działalność Gospodarcza
   Adres siedziby: ul. Orzechowa 5, 55-040 Dobkowice, Polska
   NIP: 913-153-70-18
   Właściciel: Krystian Zubel
   Kontakt – sprawy ogólne: support@monteflow.cloud
   Kontakt – ochrona danych: privacy@monteflow.cloud

   Dalej zwany: „Procesorem” lub „ZUBEL.PRO”

§ 2. Przedmiot i zakres umowy

1. Niniejsza Umowa określa warunki powierzenia przetwarzania danych osobowych przez Administratora na rzecz Procesora, zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO”).
2. Procesor przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w zakresie i w celu świadczenia usługi platformy MonteFlow.cloud (dalej: „Usługa” lub „Platforma”).
3. Za udokumentowane polecenia Administratora uznaje się w szczególności: postanowienia niniejszej Umowy, ustawienia dokonane przez Administratora w Platformie (w tym wybór trybu pracy: Tryb Podstawowy lub Tryb Zgodność PL), oraz odrębne pisemne instrukcje przekazane na adres privacy@monteflow.cloud.
4. W przypadku rozbieżności między dokumentami obowiązuje kolejność pierwszeństwa określona w § 17 Umowy Głównej.

§ 3. Szczegóły przetwarzania

1. Przedmiot i charakter przetwarzania

   Procesor przetwarza dane osobowe w związku ze świadczeniem Usługi, która obejmuje: przechowywanie danych wprowadzonych przez Administratora i użytkowników Platformy, udostępnianie danych uprawnionym użytkownikom, tworzenie kopii zapasowych, zapewnienie ciągłości i bezpieczeństwa Usługi oraz, w Trybie Zgodność PL, generowanie dokumentacji wymaganej przepisami prawa oświatowego.

2. Czas trwania przetwarzania

   Przetwarzanie trwa przez okres obowiązywania Umowy Głównej, z uwzględnieniem okresów przejściowych określonych w § 9.

3. Kategorie osób, których dane dotyczą

   Procesor przetwarza dane następujących kategorii osób:

   • dzieci (wychowankowie/uczniowie Placówki),
   • rodzice i opiekunowie prawni dzieci,
   • nauczyciele i personel Placówki.

4. Kategorie przetwarzanych danych osobowych

   Dane dotyczące dzieci (wychowanków/uczniów):

   • imię i nazwisko,
   • data urodzenia,
   • wizerunek (zdjęcia — jeśli wprowadzone przez Placówkę),
   • obserwacje pedagogiczne,
   • informacje o obecności,
   • dane dotyczące umiejętności i postępów,
   • alergeny i inne dane dotyczące zdrowia (jeśli wprowadzone przez Placówkę),
   • inne dane dobrowolnie wprowadzone przez Placówkę.

   Dane dotyczące rodziców/opiekunów prawnych:

   • imię i nazwisko,
   • adres e-mail,
   • numer telefonu,
   • numer dowodu tożsamości,
   • dane uwierzytelniające (identyfikator konta),
   • inne dane dobrowolnie wprowadzone przez Placówkę.

   Dane dotyczące nauczycieli i personelu Placówki:

   • imię i nazwisko,
   • adres e-mail,
   • dane uwierzytelniające (identyfikator konta),
   • informacje o roli/stanowisku w Placówce.

   Dane z logów audytowych (audit trail): - identyfikator użytkownika wykonującego operację, - rodzaj operacji (odczyt, zapis, modyfikacja, usunięcie), - data i godzina operacji, - identyfikator obiektu, którego operacja dotyczyła (np. identyfikator dziecka, obserwacji).

5. Dane szczególnych kategorii (art. 9 RODO)

   1. Platforma umożliwia Administratorowi wprowadzanie danych dotyczących zdrowia dzieci (w szczególności informacji o alergenach i stanach zdrowia). Dane te stanowią szczególne kategorie danych osobowych w rozumieniu art. 9 ust. 1 RODO.
   2. Administrator jest wyłącznie odpowiedzialny za posiadanie właściwej podstawy prawnej do przetwarzania danych szczególnych kategorii (w szczególności wyraźnej zgody rodzica/opiekuna prawnego lub realizacji obowiązków prawnych Placówki).
   3. Procesor stosuje wobec danych szczególnych kategorii te same środki ochrony co wobec pozostałych danych, w szczególności szyfrowanie, kontrolę dostępu opartą na rolach oraz izolację danych między placówkami.
   4. Procesor stosuje wobec danych szczególnych kategorii restrykcyjną kontrolę dostępu pozwalającą na dostęp do tych danych tylko dla użytkowników z dostępem Administratora Szkoły oraz Nauczycieli przypisanych do grup lub kursów na które dziecko uczęszcza. Administrator Szkoły może wyraźnie udzielić dostępu do tych danych dla innych kont poprzez Platformę.

§ 4. Cel przetwarzania

1. Procesor przetwarza dane osobowe wyłącznie w następujących celach:
   • świadczenie Usługi platformy MonteFlow.cloud,
   • utrzymanie bezpieczeństwa i ciągłości działania systemu,
   • tworzenie i przechowywanie kopii zapasowych,
   • rozwiązywanie problemów technicznych zgłoszonych przez Administratora lub użytkowników,
   • prowadzenie logów audytowych dokumentujących operacje na danych osobowych, w celu zapewnienia rozliczalności i bezpieczeństwa przetwarzania (art. 5 ust. 2 oraz art. 32 RODO),
   • w Trybie Zgodność PL — generowanie dokumentacji wymaganej przepisami prawa oświatowego, na polecenie Administratora.
2. Procesor nie przetwarza danych osobowych do celów własnych, w szczególności nie wykorzystuje danych do profilowania, analityki, marketingu, sztucznej inteligencji ani udostępniania podmiotom trzecim.
3. Administrator jest wyłącznie odpowiedzialny za posiadanie właściwej podstawy prawnej przetwarzania danych osobowych (art. 6 i art. 9 RODO) oraz za zgodność przetwarzania z przepisami prawa oświatowego.
4. W Trybie Zgodność PL przepisy prawa oświatowego mogą określać dodatkowe cele i okresy przechowywania dla dokumentacji oświatowej. Administrator jest odpowiedzialny za określenie tych celów i okresów, a Procesor realizuje je na jego udokumentowane polecenie.

§ 5. Obowiązki Procesora

1. Ogólne obowiązki

   1. Procesor zobowiązuje się:
      • przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa UE lub prawa polskiego — w takim przypadku Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania (o ile prawo tego nie zabrania),
      • zapewnić, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy,
      • wdrożyć odpowiednie środki techniczne i organizacyjne określone w Załączniku A,
      • przestrzegać warunków angażowania podprocesorów określonych w § 7,
      • pomagać Administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą (art. 15–22 RODO),
      • pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków),
      • po zakończeniu świadczenia Usługi usunąć lub zwrócić dane zgodnie z § 9,
      • udostępniać Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO.
   2. Procesor niezwłocznie informuje Administratora, jeżeli w jego ocenie polecenie Administratora stanowi naruszenie RODO lub innych przepisów o ochronie danych (art. 28 ust. 3 akapit 2 RODO).

2. Bezpieczeństwo danych

   1. Procesor wdrożył i utrzymuje środki techniczne i organizacyjne opisane szczegółowo w Załączniku A, zapewniające poziom bezpieczeństwa odpowiedni do ryzyka związanego z przetwarzaniem.
   2. Procesor zobowiązuje się do regularnego przeglądu i aktualizacji stosowanych środków bezpieczeństwa w celu zapewnienia ich adekwatności wobec zmieniających się zagrożeń.
   3. Procesor informuje Administratora o istotnych zmianach w stosowanych środkach bezpieczeństwa z co najmniej 14-dniowym wyprzedzeniem.

3. Wsparcie w zakresie praw osób, których dane dotyczą

   1. Procesor, biorąc pod uwagę charakter przetwarzania, pomaga Administratorowi w wywiązywaniu się z obowiązków wynikających z art. 15–22 RODO, w szczególności poprzez udostępnianie narzędzi Platformy umożliwiających eksport, modyfikację i usuwanie danych.
   2. Procesor niezwłocznie przekazuje Administratorowi wszelkie żądania osób, których dane dotyczą, skierowane bezpośrednio do Procesora, bez samodzielnego udzielania odpowiedzi na takie żądania.
   3. Administrator jest odpowiedzialny za rozpatrywanie żądań osób, których dane dotyczą, oraz za udzielanie im odpowiedzi w terminach wymaganych przez RODO.

§ 6. Obowiązki Administratora

1. Administrator zobowiązuje się:
   • posiadać odpowiednią podstawę prawną do przetwarzania danych osobowych powierzanych Procesorowi,
   • informować osoby, których dane dotyczą, o przetwarzaniu ich danych w Platformie,
   • wydawać Procesorowi wyłącznie polecenia zgodne z przepisami o ochronie danych,
   • niezwłocznie powiadamiać Procesora o wszelkich zmianach w zakresie lub celu przetwarzania,
   • dbać o bezpieczeństwo danych dostępowych do Platformy (w szczególności poświadczeń logowania użytkowników Placówki),
   • rozpatrywać żądania i skargi osób, których dane dotyczą.
2. Administrator jest wyłącznie odpowiedzialny za zgodność przetwarzania danych z przepisami prawa (RODO, przepisy oświatowe, inne właściwe przepisy), w tym za uzyskanie wymaganych zgód.

§ 7. Podprocesorzy (dalsze powierzenie przetwarzania)

1. Ogólna zgoda i lista podprocesorów

   1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów wymienionych w Załączniku B do niniejszej Umowy.
   2. Dostawcy tożsamości wykorzystywani w opcjonalnym logowaniu społecznościowym (Apple, Google) nie są podprocesorami w rozumieniu niniejszej Umowy. Wybierając ten sposób logowania, Użytkownik uwierzytelnia się przy użyciu własnego konta u dostawcy, który przetwarza dane jako niezależny administrator, na podstawie własnych warunków. Procesor nie powierza tym podmiotom danych objętych niniejszą Umową.
   3. Na dzień zawarcia Umowy Procesor korzysta z następujących podprocesorów:

Aplikacja mobilna jest w fazie testów i jest planowana do udostępnienia dla użytkowników w 2026 roku. Treść powiadomień push jest minimalizowana — nie zawiera danych dotyczących zdrowia ani innych danych szczególnych kategorii.

2. Procedura zmiany podprocesorów

   1. Procesor informuje Administratora o zamiarze zaangażowania nowego podprocesora lub zastąpienia istniejącego z co najmniej 30-dniowym wyprzedzeniem, za pośrednictwem wiadomości e-mail na adres kontaktowy Administratora.
   2. Administrator może zgłosić uzasadniony sprzeciw wobec nowego podprocesora w terminie 14 dni od otrzymania powiadomienia.
   3. W przypadku sprzeciwu Procesor podejmie rozsądne starania, aby zaproponować alternatywne rozwiązanie. Jeżeli strony nie osiągną porozumienia w terminie 30 dni od zgłoszenia sprzeciwu, Administrator ma prawo wypowiedzieć Umowę Główną ze skutkiem natychmiastowym.
   4. Procesor zapewnia, że każdy podprocesor jest związany zobowiązaniami w zakresie ochrony danych nie mniejszymi niż określone w niniejszej Umowie.

§ 8. Naruszenia ochrony danych osobowych

1. W przypadku stwierdzenia naruszenia ochrony danych osobowych (art. 33–34 RODO) Procesor niezwłocznie, nie później niż w ciągu 36 godzin od stwierdzenia naruszenia, powiadamia Administratora, przekazując co najmniej następujące informacje:
   • opis charakteru naruszenia,
   • kategorie i przybliżoną liczbę osób, których dane dotyczą,
   • przewidywane konsekwencje naruszenia,
   • opis podjętych lub proponowanych środków zaradczych.
2. Jeżeli pełne informacje nie są dostępne w momencie pierwszego powiadomienia, Procesor przekazuje je sukcesywnie, bez zbędnej zwłoki.
3. Procesor wspiera Administratora w wypełnieniu obowiązków zgłoszenia naruszenia do organu nadzorczego (UODO) oraz powiadomienia osób, których dane dotyczą.
4. Procesor dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

§ 9. Usuwanie i zwrot danych po zakończeniu umowy

1. Po zakończeniu Umowy Głównej Procesor zapewnia Administratorowi 30-dniowy okres dostępu w trybie tylko do odczytu (read-only), umożliwiający eksport danych.
2. Po upływie okresu read-only, na polecenie Administratora, Procesor bez zbędnej zwłoki:
   • zwraca wszystkie dane osobowe w ustrukturyzowanym formacie (CSV, JSON lub XML), lub
   • usuwa wszystkie dane osobowe z serwerów produkcyjnych.
3. W przypadku braku wyraźnego polecenia Administratora w terminie 30 dni od zakończenia okresu read-only, Procesor usuwa wszystkie dane osobowe z serwerów produkcyjnych.
4. Dane w kopiach zapasowych są automatycznie usuwane w terminie do 90 dni od usunięcia z systemu produkcyjnego, zgodnie z cyklem rotacji kopii zapasowych.
5. W Trybie Zgodność PL Administrator jest odpowiedzialny za wyeksportowanie danych wymaganych przepisami prawa oświatowego przed upływem okresu read-only. Procesor nie ponosi odpowiedzialności za brak eksportu danych przez Administratora.
6. Procesor może zachować dane, jeżeli prawo UE lub prawo polskie nakazuje dalsze przechowywanie — w takim przypadku Procesor informuje Administratora o podstawie prawnej takiego przechowywania.

§ 10. Audyty i inspekcje

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania zgodności z obowiązkami wynikającymi z art. 28 RODO oraz umożliwia przeprowadzenie audytów i inspekcji.
2. Audyty i inspekcje odbywają się na następujących warunkach:
   • Administrator zgłasza zamiar przeprowadzenia audytu z co najmniej 14-dniowym wyprzedzeniem,
   • audyty przeprowadzane są w godzinach roboczych Procesora (poniedziałek–piątek, 9:00–17:00),
   • audyty planowe przeprowadzane są nie częściej niż raz w roku kalendarzowym, chyba że audyt jest związany z konkretnym naruszeniem ochrony danych,
   • audytor jest zobowiązany do zachowania poufności wobec danych innych klientów Procesora,
   • koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie obowiązków Procesora.
3. Na życzenie Administratora Procesor udostępnia dokumentację dotyczącą stosowanych środków bezpieczeństwa opisanych w Załączniku A.

§ 11. Odpowiedzialność

1. Odpowiedzialność stron z tytułu naruszenia obowiązków wynikających z niniejszej Umowy określają przepisy RODO (w szczególności art. 82) oraz Kodeks cywilny.
2. Procesor nie ponosi odpowiedzialności za naruszenia spowodowane:
   • działaniami lub zaniechaniami Administratora, jego pracowników lub użytkowników Platformy,
   • poleceniami Administratora niezgodnymi z RODO, o których Procesor poinformował Administratora zgodnie z § 5 ust. 2,
   • brakiem eksportu danych przez Administratora w terminach określonych w § 9.
3. Łączna odpowiedzialność odszkodowawcza Procesora wobec Administratora z tytułu niniejszej Umowy jest ograniczona do kwoty równej sumie opłat uiszczonych przez Administratora na rzecz Procesora w okresie 12 miesięcy poprzedzających zdarzenie stanowiące podstawę roszczenia. Ograniczenie to nie dotyczy szkód wyrządzonych umyślnie oraz nie narusza bezwzględnie obowiązujących przepisów prawa.

§ 12. Okres obowiązywania i zmiany umowy

1. DPA wchodzi w życie z dniem zawarcia Umowy Głównej i obowiązuje przez czas jej trwania.
2. Procesor publikuje każdą kolejną wersję DPA pod odrębnym, stałym adresem oraz utrzymuje archiwum wersji wcześniejszych. Wersje opublikowane nie podlegają zmianie. Strony wiąże wersja wskazana w § 8 ust. 2 Umowy Głównej, do czasu jej zmiany w trybie ust. 3–5.
3. Jeżeli Procesor zamierza wprowadzić zmiany istotnie wpływające na warunki przetwarzania danych, informuje Administratora pocztą elektroniczną z co najmniej 30-dniowym wyprzedzeniem, wskazując zakres i uzasadnienie zmian. Administrator może zgłosić sprzeciw w terminie 14 dni od otrzymania powiadomienia. Brak sprzeciwu w tym terminie oznacza akceptację zmian.
4. W przypadku zgłoszenia sprzeciwu Strony podejmą negocjacje; do czasu ich zakończenia Strony wiąże dotychczasowa wersja DPA. Jeżeli Strony nie osiągną porozumienia w terminie 30 dni od zgłoszenia sprzeciwu, Administrator ma prawo wypowiedzieć Umowę Główną ze skutkiem natychmiastowym, bez ponoszenia z tego tytułu odpowiedzialności.
5. Zmiany inne niż określone w ust. 3 — w szczególności korekty redakcyjne, aktualizacje danych kontaktowych oraz zmiany wynikające ze zmian powszechnie obowiązującego prawa — Procesor może wprowadzić z chwilą publikacji, informując o nich Administratora przy najbliższym powiadomieniu.
6. Zmiany listy podprocesorów podlegają wyłącznie procedurze określonej w § 7 ust. 2.
7. Obowiązki Procesora dotyczące poufności i bezpieczeństwa danych obowiązują również po zakończeniu DPA.

§ 13. Postanowienia końcowe

1. Poufność: Procesor zobowiązuje się zachować poufność wszystkich informacji otrzymanych od Administratora, w tym treści przetwarzanych danych osobowych. Obowiązek poufności nie jest ograniczony w czasie.
2. Prawo właściwe: Umowa podlega prawu polskiemu.
3. Rozstrzyganie sporów: Wszelkie spory wynikające z Umowy strony będą starały się rozwiązać polubownie. W przypadku braku porozumienia spory będą rozstrzygane przez sąd powszechny właściwy dla siedziby Procesora.
4. Klauzula salwatoryjna: Jeżeli którekolwiek postanowienie Umowy zostanie uznane za nieważne lub nieskuteczne, pozostałe postanowienia zachowują moc. Strony zastąpią nieważne postanowienie postanowieniem najbliższym celowi gospodarczemu postanowienia nieważnego.
5. Niniejsza Umowa wraz z załącznikami stanowi całość porozumienia stron w zakresie powierzenia przetwarzania danych osobowych i zastępuje wszelkie wcześniejsze ustalenia w tym zakresie.

§ 14. Zawarcie DPA

1. Niniejsze DPA zostaje zawarte przez podpisanie Umowy Głównej i nie wymaga odrębnych podpisów Stron.
2. Wersję DPA wiążącą Strony wskazuje § 8 ust. 2 Umowy Głównej.

ZAŁĄCZNIK A: ŚRODKI TECHNICZNE I ORGANIZACYJNE

A.1. Środki techniczne

• Szyfrowanie danych w tranzycie (TLS 1.2+).
• Szyfrowanie danych w spoczynku (AES-256, zarządzane przez AWS).
• Georedundantne przechowywanie danych (co najmniej 2 strefy dostępności w regionie UE).
• Codzienne automatyczne kopie zapasowe z retencją do 90 dni.
• Kontrola dostępu oparta na rolach (RBAC) z zasadą minimalnych uprawnień.
• Logowanie i monitorowanie dostępów do danych oraz zmian w systemie (audit trail).
• Uwierzytelnianie wieloskładnikowe (MFA) dla kont administracyjnych.
• Izolacja danych różnych placówek na poziomie bazy danych (tenant isolation).
• Ochrona infrastruktury zapewniana przez AWS (firewall, ochrona DDoS, fizyczne zabezpieczenia centrów danych).
• Regularne aktualizacje oprogramowania i zależności.

A.2. Środki organizacyjne

• Zasada minimalnych uprawnień — dostęp do danych osobowych mają wyłącznie osoby, którym jest to niezbędne do świadczenia Usługi.
• Zobowiązania do zachowania poufności wobec wszystkich osób mających dostęp do danych.
• Procedury zarządzania dostępem (przyznawanie i odbieranie uprawnień).
• Procedury zarządzania incydentami bezpieczeństwa.
• Procedury tworzenia, weryfikacji i odtwarzania kopii zapasowych.
• Procedury obsługi żądań osób, których dane dotyczą.
• Regularne przeglądy stosowanych środków bezpieczeństwa.

A.3. Lokalizacja przetwarzania

Wszystkie dane osobowe są przechowywane i przetwarzane na serwerach AWS zlokalizowanych w Unii Europejskiej:

• Region podstawowy: eu-north-1 (Sztokholm, Szwecja)
• Region zapasowy: eu-south-1 (Mediolan, Włochy)

ZAŁĄCZNIK B: LISTA PODPROCESORÓW

Aplikacja mobilna jest w fazie testów i jest planowana do udostępnienia dla użytkowników w 2026 roku. Treść powiadomień push jest minimalizowana — nie zawiera danych dotyczących zdrowia ani innych danych szczególnych kategorii.

Dostawcy tożsamości wykorzystywani w opcjonalnym logowaniu społecznościowym (Apple, Google) nie są podprocesorami — przetwarzają dane jako niezależni administratorzy, zgodnie z § 7 ust. 1 pkt 3.

Administrator wyraża zgodę na podprocesorów wymienionych powyżej z dniem zawarcia niniejszej Umowy. Zmiany w liście podprocesorów podlegają procedurze określonej w § 7.2.

Wersja: 1.2 · Obowiązuje od: 21.07.2026 · Zastępuje: wersję 1.1 z dnia 3.06.2026

ZUBEL.PRO Krystian Zubel
ul. Orzechowa 5, 55-040 Dobkowice
NIP: 913-153-70-18
support@monteflow.cloud | privacy@monteflow.cloud