Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych (dalej: "Umowa powierzenia") zawierana jest między Klientem jako administratorem danych (dalej: "Administrator") a Michał Fox, prowadzącym działalność pod marką Querora, w Krakowie, e-mail: hello@querora.com, jako podmiotem przetwarzającym (dalej: "Querora").

Umowa powierzenia jest zawierana w postaci elektronicznej, z chwilą akceptacji Regulaminu przy zawarciu Umowy, i spełnia wymogi art. 28 ust. 3 i 9 RODO. RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

Umowa powierzenia obowiązuje przez czas trwania Umowy i do chwili usunięcia albo zwrotu danych zgodnie z § 10. W sprawach danych osobowych ma pierwszeństwo przed Regulaminem, a odrębna umowa powierzenia podpisana przez strony ma pierwszeństwo przed tym wzorem.

Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.

Administrator powierza Querora przetwarzanie danych osobowych, do których Querora ma dostęp w Kontach Klienta i na Stronie Klienta, wyłącznie w celu wykonania Abonamentu.

Przetwarzanie obejmuje w szczególności: odczyt i przeglądanie danych w CMS, na serwerze i w profilu firmy w Google przy wdrażaniu poprawek i treści, analizę danych z Google Search Console, Bing Webmaster Tools i Google Analytics 4 w postaci zbiorczej oraz przechowywanie w Panelu treści Zgłoszeń i załączników, które Administrator do nich dodaje.

Querora nie wykorzystuje powierzonych danych do własnych celów, nie łączy ich z danymi innych klientów i nie przekazuje ich Silnikom AI. Do Silników AI wysyłamy wyłącznie Pytania z listy Pomiaru.

Powierzenie może obejmować następujące kategorie osób i danych:

Google Search Console i Bing Webmaster Tools udostępniają dane zbiorcze o wyszukiwaniach, które co do zasady nie są danymi osobowymi.

Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach skazujących. Jeżeli takie dane są w systemach Strony Klienta, na przykład dane o zdrowiu w formularzach gabinetu, Administrator informuje o tym przed udzieleniem dostępu, a Querora nie przegląda tych danych i korzysta tylko z części systemu potrzebnych do pracy.

Querora:

1. 1)przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są Umowa, Umowa powierzenia oraz polecenia w Zgłoszeniach, także w zakresie przekazywania danych poza Europejski Obszar Gospodarczy;
2. 2)niezwłocznie informuje Administratora, jeżeli jej zdaniem polecenie narusza RODO lub inne przepisy;
3. 3)dopuszcza do danych tylko osoby upoważnione, które zobowiązały się do zachowania tajemnicy;
4. 4)stosuje środki bezpieczeństwa z § 5;
5. 5)korzysta z dalszych podmiotów przetwarzających tylko na zasadach § 6;
6. 6)pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą (§ 8);
7. 7)pomaga Administratorowi wywiązać się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
8. 8)po zakończeniu Umowy usuwa albo zwraca dane na zasadach § 10;
9. 9)udostępnia informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (§ 9).

Querora stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

1. 1)szyfrowane połączenia przy pracy z Kontami Klienta i Stroną Klienta;
2. 2)osobne konta i role zamiast współdzielonych haseł, gdy system Administratora na to pozwala, oraz uwierzytelnianie dwuskładnikowe na kontach Querora;
3. 3)najmniejsze uprawnienia potrzebne do pracy, w tym dostęp tylko do odczytu do Google Search Console, Bing Webmaster Tools i Google Analytics 4;
4. 4)niekopiowanie danych osobowych z systemów Administratora na urządzenia Querora ani do Panelu, poza treścią Zgłoszeń i załącznikami dodanymi przez Administratora;
5. 5)przechowywanie danych dostępowych w zaszyfrowanym menedżerze haseł;
6. 6)możliwość wycofania każdej zmiany wdrożonej na Stronie Klienta;
7. 7)usunięcie dostępów w ciągu 7 dni od zakończenia Umowy.

Administrator udziela Querora ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających z następujących kategorii:

Pocztę e-mail obsługuje serwer Querora u dostawcy serwerów wskazanego wyżej, bez zewnętrznej usługi pocztowej.

O zamiarze dodania albo zmiany dalszego podmiotu przetwarzającego informujemy e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw, a jeżeli nie dojdziemy do porozumienia, wypowiedzieć Umowę ze skutkiem na dzień zmiany, bez dodatkowych kosztów.

Dalszy podmiot przetwarzający jest związany obowiązkami ochrony danych nie słabszymi niż w Umowie powierzenia, a Querora odpowiada za jego działania jak za własne.

Przekazanie danych poza EOG odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych.

Google, Microsoft, dostawca CMS i hosting Strony Klienta nie są dalszymi podmiotami przetwarzającymi Querora. Administrator korzysta z nich na podstawie własnych umów.

Querora zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres właściciela konta.

Zgłoszenie zawiera informacje z art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne. Pozostałe przekazujemy niezwłocznie po ich ustaleniu.

Querora podejmuje działania ograniczające skutki naruszenia i dokumentuje je.

Żądanie osoby, której dane dotyczą, skierowane do Querora w sprawie powierzonych danych przekazujemy Administratorowi w ciągu 3 dni roboczych i nie odpowiadamy na nie samodzielnie, chyba że Administrator nas o to poprosi.

Na polecenie Administratora pomagamy wykonać żądanie, w szczególności odnaleźć, poprawić albo usunąć dane w systemach Strony Klienta.

Na prośbę Administratora w ciągu 14 dni przekazujemy informacje o przetwarzaniu i stosowanych środkach bezpieczeństwa.

Administrator może przeprowadzić audyt raz w roku, a także po naruszeniu ochrony danych, zawiadamiając o nim co najmniej 14 dni wcześniej. Audyt odbywa się w godzinach roboczych, bez dostępu do danych innych klientów, a jego koszty ponosi Administrator, chyba że audyt wykaże naruszenie Umowy powierzenia.

W ciągu 30 dni od zakończenia Umowy Querora usuwa powierzone dane, a na prośbę Administratora złożoną przed zakończeniem Umowy zwraca je w uzgodnionym formacie. Usuwa też swoje dostępy do Kont Klienta w terminie z pkt 5.1.

Usunięcie potwierdzamy e-mailem. Obowiązek nie dotyczy danych, które musimy przechowywać na podstawie przepisów prawa.

Strony odpowiadają za szkody wyrządzone naruszeniem RODO na zasadach art. 82 RODO. Ograniczenie odpowiedzialności z pkt 13.2 Regulaminu stosuje się w zakresie, w jakim pozwalają na to przepisy.

W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.

Umowa powierzenia obowiązuje od 24 października 2026.