WARUNKI POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH — Platforma Granacci

Wersja 1.0 | Data wejścia w życie: 1 października 2026 r.

Niniejsze Warunki powierzenia przetwarzania danych osobowych (dalej: „Warunki powierzenia”) określają zasady powierzenia Operatorowi przez Klienta przetwarzania danych osobowych i stanowią integralną część Regulaminu świadczenia usług Platformy Granacci (dalej: „Regulamin” lub „Umowa Główna”). W sprawach ochrony danych osobowych Warunki powierzenia mają pierwszeństwo przed pozostałymi postanowieniami Regulaminu.

Administratorem powierzanych danych jest Klient (Użytkownik powierzający dane), niezależnie od statusu Konsumenta lub Przedsiębiorcy; podmiotem przetwarzającym jest Piotr Rezmer, prowadzący działalność gospodarczą pod firmą „IL-Piotr Rezmer”, ul. Jagiellońska 2C/13, 84-300 Lębork, NIP 8411018359 (dalej: „Operator”).

Pojęcia pisane wielką literą, a niezdefiniowane tutaj, mają znaczenie nadane w Regulaminie; „RODO” oznacza Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Tekst mający znaczenie dla EOG), a pozostałe pojęcia ochrony danych znaczenie nadane w RODO.

§ 1. Moment zawarcia i zakres zastosowania

• Warunki powierzenia zostają zawarte z chwilą akceptacji Regulaminu przez Klienta i obowiązują przez czas obowiązywania Umowy Głównej. Zawarcie następuje bez odrębnego podpisu; każdy Klient, akceptując Regulamin, akceptuje również Warunki powierzenia, niezależnie od statusu Konsumenta lub Przedsiębiorcy.
• Warunki powierzenia wiążą i znajdują zastosowanie, niezależnie od tego, czy Klient jest Konsumentem, czy Przedsiębiorcą, wyłącznie w zakresie, w jakim Klient wprowadza do Platformy lub przetwarza za jej pośrednictwem dane osobowe osób trzecich, wobec których pozostaje administratorem (m.in. dane obsady, ekipy i współpracowników produkcji). O powierzeniu decyduje charakter przetwarzania, a nie status Klienta. Warunki nie znajdują zastosowania, jeżeli Klient nie powierza Operatorowi takich danych (np. korzysta z Platformy wyłącznie w odniesieniu do własnych treści) albo gdy przetwarzanie następuje w ramach czynności o czysto osobistym lub domowym charakterze.
• Na żądanie Klienta (np. dla potrzeb wewnętrznych procedur zakupowych) Operator udostępnia Warunki powierzenia w postaci odrębnego dokumentu do podpisu; ich treść merytoryczna jest tożsama z niniejszą.

§ 2. Szczegóły powierzenia

Przedmiot, charakter, cel i czas przetwarzania oraz kategorie osób i rodzaj danych określa poniższe zestawienie:

§ 3. Polecenia Administratora i oświadczenia Klienta

• Operator przetwarza powierzone dane wyłącznie na udokumentowane polecenie Klienta. Za udokumentowane polecenie uznaje się Regulamin, niniejsze Warunki powierzenia oraz korzystanie przez Klienta z funkcjonalności Platformy zgodnie z ich przeznaczeniem; polecenia mogą być również przekazywane w formie elektronicznej.
• Klient oświadcza, że jest uprawniony do powierzenia danych oraz że dysponuje wobec osób, których dane dotyczą, ważną podstawą prawną przetwarzania i wykonał wobec nich własne obowiązki informacyjne. Klient odpowiada za zgodność z prawem poleceń oraz treści wprowadzanych do Platformy.
• Klient zobowiązuje się nie wprowadzać do Platformy danych szczególnych kategorii ani danych dotyczących wyroków skazujących i czynów zabronionych. Operator nie przewiduje pól ani funkcji przeznaczonych do przetwarzania takich danych; ich ewentualne wprowadzenie przez Klienta następuje wyłącznie na jego ryzyko i odpowiedzialność.
• Operator niezwłocznie informuje Klienta, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

§ 4. Obowiązki Operatora

• Operator, jako podmiot przetwarzający:

• przetwarza powierzone dane wyłącznie na udokumentowane polecenie Klienta, w tym w zakresie przekazywania danych poza EOG, chyba że obowiązek taki nakłada prawo, o czym, o ile prawo tego nie zakazuje, informuje Klienta;

• zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi tajemnicy;

• stosuje środki bezpieczeństwa, o których mowa w art. 32 RODO, zgodnie z § 5;

• korzysta z dalszych podmiotów przetwarzających (podprocesorów) wyłącznie na zasadach określonych w § 6;

• w miarę możliwości i z uwzględnieniem charakteru przetwarzania pomaga Klientowi, poprzez odpowiednie środki techniczne i organizacyjne, w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz niezwłocznie przekazuje Klientowi żądania otrzymane bezpośrednio;

• pomaga Klientowi, z uwzględnieniem charakteru przetwarzania oraz informacji dostępnych Operatorowi, w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje);

• po zakończeniu przetwarzania postępuje z danymi zgodnie z § 10;

• udostępnia Klientowi informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty na zasadach określonych w § 9;

• prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Klienta i udostępnia go Klientowi na żądanie.

• Pomoc, o której mowa w ust. 1 lit. e–f, w zakresie wykraczającym poza standardowe funkcjonalności Platformy udzielana jest za zwrotem uzasadnionych, uprzednio uzgodnionych kosztów.

§ 5. Środki bezpieczeństwa

• Operator wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji danych (co najmniej TLS), kontrolę dostępu opartą na zasadzie wiedzy koniecznej i minimalnych uprawnień, uwierzytelnianie za pośrednictwem zewnętrznego dostawcy tożsamości (Operator nie przechowuje haseł), wykonywanie i zabezpieczanie kopii zapasowych, rejestrowanie zmian i eksportów danych powierzonych (kto, kiedy, jaka operacja, jaki zasób) oraz bieżącą aktualizację i testowanie zabezpieczeń.
• Operator może wykazywać stosowanie środków bezpieczeństwa również przez udostępnienie własnej dokumentacji, certyfikatów lub raportów, w tym pochodzących od dostawców infrastruktury.

§ 6. Dalsze powierzenie (podprocesorzy)

• Klient wyraża ogólną zgodę na korzystanie przez Operatora z dalszych podmiotów przetwarzających (podprocesorów) w celu świadczenia Usług. Operator korzysta w szczególności z dostawcy infrastruktury chmurowej i środowiska AI, zapewniającego hosting i przetwarzanie na terenie EOG. Aktualna, pełna lista podprocesorów, wraz z zakresem powierzenia, lokalizacją przetwarzania oraz podstawą ewentualnego przekazania poza EOG, jest publikowana i na bieżąco utrzymywana pod adresem: granacci.com/podprocesorzy oraz udostępniana na żądanie skierowane na: privacy@granacci.com**. **
• O zamierzonej zmianie (dodaniu lub zastąpieniu podprocesora) Operator informuje Klienta z co najmniej 14-dniowym wyprzedzeniem, w sposób przyjęty do komunikacji (m.in. w Serwisie lub pocztą elektroniczną). Klient może w tym terminie wnieść uzasadniony sprzeciw; brak sprzeciwu uznaje się za zgodę. W razie utrzymującego się, uzasadnionego sprzeciwu Klient może wypowiedzieć Umowę Główną w części, której sprzeciw dotyczy.
• Operator nakłada na podprocesora, w drodze umowy, obowiązki ochrony danych odpowiadające obowiązkom wynikającym z niniejszych Warunków i odpowiada wobec Klienta za działania i zaniechania podprocesora jak za własne. Podprocesorzy dysponujący własnymi umowami powierzenia spełniającymi wymogi art. 28 RODO działają na ich podstawie.

§ 7. Przekazywanie danych poza EOG

Powierzone dane są co do zasady przetwarzane w Europejskim Obszarze Gospodarczym. Przekazanie danych poza EOG jest dopuszczalne wyłącznie przy zachowaniu warunków rozdziału V RODO, w szczególności na podstawie decyzji o odpowiednim stopniu ochrony albo standardowych klauzul umownych (SCC) wraz z niezbędnymi środkami dodatkowymi.

§ 8. Naruszenia ochrony danych

• Operator zgłasza Klientowi każde naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu, na adres e-mail powiązany z Kontem Klienta, przekazując informacje niezbędne do wykonania przez Klienta obowiązków z art. 33–34 RODO, w miarę ich dostępności, sukcesywnie.
• Zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osób, których dane dotyczą, dokonuje wyłącznie Klient jako administrator. Operator nie dokonuje tych czynności w imieniu Klienta, chyba że Strony uzgodnią inaczej.

§ 9. Wykazanie zgodności i audyt

• Operator wykazuje zgodność w pierwszej kolejności przez udostępnienie dokumentacji, certyfikatów lub raportów z audytów. Jeżeli okażą się one niewystarczające, Klient może przeprowadzić audyt lub inspekcję.
• Audyt planowy zapowiada się z co najmniej 30-dniowym wyprzedzeniem i przeprowadza nie częściej niż raz w roku; audyt doraźny (np. po naruszeniu) — z co najmniej 7-dniowym wyprzedzeniem. Audyt odbywa się w godzinach pracy, w sposób niezakłócający działalności Operatora, z poszanowaniem poufności oraz ochrony danych innych klientów Operatora, a jego uzasadnione koszty ponosi Klient.

§ 10. Usunięcie lub zwrot danych

• Po zakończeniu świadczenia Usług Operator, zależnie od wyboru Klienta wyrażonego przed zakończeniem, trwale usuwa albo zwraca powierzone dane wraz z istniejącymi kopiami. W braku odmiennej dyspozycji Operator usuwa dane. Usunięcie kopii zapasowych następuje w ramach standardowego cyklu ich rotacji, nie później niż w terminie 30 dni.
• Operator może zachować dane wyłącznie w zakresie i przez okres wymagany przepisami prawa; w takim przypadku dalej stosuje się do nich niniejsze Warunki.

§ 11. Odpowiedzialność

• Odpowiedzialność Stron reguluje art. 82 RODO. Niniejsze Warunki nie ograniczają odpowiedzialności Stron wobec osób, których dane dotyczą, ani wobec organu nadzorczego.
• W stosunkach między Stronami zastosowanie znajdują ograniczenia odpowiedzialności przewidziane w Umowie Głównej (Regulaminie); ograniczenia te nie mają zastosowania do szkody wyrządzonej umyślnie. Wzajemne rozliczenia z tytułu roszczeń regresowych, o których mowa w art. 82 ust. 5 RODO, następują proporcjonalnie do części odpowiedzialności każdej ze Stron.
• Obowiązek przeprowadzenia oceny skutków dla ochrony danych oraz uprzednich konsultacji spoczywa na Kliencie jako administratorze. Operator natomiast udziela pomocy na zasadach § 4 ust. 1 lit. f.
• Klient zwalnia Operatora z odpowiedzialności z tytułu roszczeń osób trzecich oraz kar wynikających z braku podstawy prawnej przetwarzania, niewykonania przez Klienta obowiązków informacyjnych lub wprowadzenia do Platformy danych z naruszeniem § 3.

§ 12. Zmiany i postanowienia końcowe

• Operator może zmienić Warunki powierzenia z ważnej przyczyny (m.in. zmiana przepisów lub praktyki organów, zmiana zakresu Usług lub podprocesorów), na zasadach i z zachowaniem terminów przewidzianych dla zmiany Regulaminu. Aktualizacja listy podprocesorów dokonana w trybie § 6 nie stanowi zmiany Warunków powierzenia.
• W sprawach nieuregulowanych w Warunkach powierzenia stosuje się RODO oraz powszechnie obowiązujące przepisy prawa. Prawo właściwe oraz zasady rozstrzygania sporów określa Umowa Główna (Regulamin), przy czym Klient będący Konsumentem zachowuje ochronę wynikającą z bezwzględnie obowiązujących przepisów prawa miejsca jego zwykłego pobytu, a właściwość sądu w sprawach z udziałem Konsumentów ustala się zgodnie z powszechnie obowiązującymi przepisami. Warunki sporządzono w języku polskim; wersja w innym języku ma charakter pomocniczy, z zastrzeżeniem ochrony Konsumenta.