Umowa powierzenia przetwarzania danych osobowych

Wersja 1.1 · obowiązuje od 19 października 2026

Umowa zawarta pomiędzy Kliniką, która założyła konto w platformie Frontlo i zaakceptowała niniejszą umowę (dalej: „Administrator”), a WEBSITTERS SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą we Wrocławiu, ul. Aleksandra Hercena 10, 50-453 Wrocław, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000946109, NIP 8992915384, REGON 521002056 (dalej: „Podmiot przetwarzający”), na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”). Umowa stanowi część umowy o świadczenie usług zawartej na podstawie Regulaminu (dalej: „Umowa główna”).

§1. Przedmiot powierzenia

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w umowie, a Podmiot przetwarzający zobowiązuje się przetwarzać je zgodnie z umową, RODO i przepisami prawa polskiego.
2. Celem przetwarzania jest świadczenie usług Umowy głównej: prowadzenie kalendarza i rezerwacji, kartoteki pacjentów, sprzedaży i płatności, programu lojalnościowego, strony internetowej i aplikacji mobilnej Administratora, komunikacji z pacjentami (e-mail, SMS, push), karty zabiegowej oraz — jeśli Administrator je włączy — funkcji AI i pomiaru reklam (§5).
3. Charakter przetwarzania: zbieranie, utrwalanie, przechowywanie, porządkowanie, udostępnianie Administratorowi, przesyłanie wiadomości, usuwanie — w sposób zautomatyzowany, w systemach informatycznych.

§2. Kategorie osób i danych

1. Kategorie osób: pacjenci i klienci Administratora, osoby odwiedzające jego stronę internetową, osoby kontaktujące się z Administratorem (leady), osoby obdarowane voucherem, członkowie zespołu Administratora.
2. Kategorie danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, telefon, e-mail, data urodzenia, płeć, adres dostawy), historia wizyt, zakupów i płatności, vouchery, pakiety i punkty, treść korespondencji i opinii, zgody (w tym zgody na pomiar reklam), dane techniczne (tokeny powiadomień, adres IP, przeglądarka, identyfikatory z plików cookies platform reklamowych) oraz — jeśli Administrator prowadzi kartę zabiegową — dane dotyczące zdrowia stanowiące szczególną kategorię danych (art. 9 RODO): wywiad medyczny, opis zabiegów z użytymi preparatami, podpisane zgody na zabieg i zdjęcia.

§3. Czas trwania i usunięcie danych

1. Umowa obowiązuje przez czas trwania Umowy głównej. Po jej zakończeniu Podmiot przetwarzający, zgodnie z decyzją Administratora, zwraca dane (przekazując ich kopię w powszechnie używanym formacie elektronicznym) i usuwa je w terminie 30 dni, łącznie z istniejącymi kopiami — kopie zapasowe są usuwane w cyklu ich rotacji, nie dłużej niż w ciągu 90 dni — chyba że przepisy prawa nakazują dalsze przechowywanie.
2. Dokumentację medyczną Administrator pobiera eksportem z panelu (pliki PDF, podpisane zgody i zdjęcia). Podmiot przetwarzający usuwa ją dopiero po potwierdzeniu przez Administratora jej przekazania (np. nowemu systemowi lub podmiotowi przejmującemu dokumentację) — do tego czasu przechowuje ją bez możliwości zmian. Obowiązek przechowywania dokumentacji przez 20 lat (art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta) spoczywa na Administratorze.
3. Gdy pacjent usuwa konto, Platforma anonimizuje jego dane według polecenia Administratora wyrażonego w Umowie głównej; zachowuje dane rozliczeniowe bez danych kontaktowych oraz dokumentację medyczną wraz z danymi identyfikującymi pacjenta. Skrót numeru telefonu zachowywany po usunięciu konta (zapobieganie nadużyciom promocji dla nowych klientów, 3 lata) Podmiot przetwarzający prowadzi jako administrator, zgodnie z polityką prywatności Frontlo.

§4. Dane medyczne i dostęp wsparcia

1. Dane z karty zabiegowej są dostępne wyłącznie w panelu Administratora, osobom, którym Administrator nadał uprawnienie. Nie są udostępniane w aplikacji pacjenta, na stronie internetowej ani przez API publiczne.
2. Pracownicy Podmiotu przetwarzającego nie mają dostępu do danych medycznych w panelu, także w trybie wsparcia technicznego. Dostęp jest możliwy wyłącznie po nadaniu go przez właściciela konta Administratora w panelu, na wybrany czas (1, 24 lub 72 godziny), tylko do odczytu; właściciel może go odwołać w każdej chwili, a każdy odczyt jest zapisywany w dzienniku widocznym dla Administratora.
3. Osoby administrujące infrastrukturą mają dostęp techniczny do baz danych i kopii zapasowych wyłącznie w zakresie niezbędnym do utrzymania, odtworzenia systemu lub obsługi incydentu i nie przeglądają danych medycznych w innych celach.

§5. Pomiar reklam (Meta, Google, TikTok)

1. Jeśli Administrator włączy w panelu piksele lub zdarzenia z serwera do Meta, Google (Google Analytics 4, Google Ads) lub TikTok, poleca tym samym Podmiotowi przetwarzającemu przekazywanie do tych platform zdarzeń (formularze, rezerwacje, zakupy) wraz z danymi do dopasowania: skrótami SHA-256 e-maila, telefonu i identyfikatora konta, a ze strony internetowej — także adresem IP, przeglądarką i identyfikatorami z plików cookies platform.
2. Podmiot przetwarzający przekazuje te dane wyłącznie przy zgodzie pacjenta zapisanej w Platformie: z banera zgód na stronie (dla zdarzeń ze strony) albo najnowszej decyzji pacjenta zapisanej na koncie (dla zdarzeń z aplikacji i odnowień subskrypcji). Bez zgody zdarzenie nie jest wysyłane.
3. Meta, Google i TikTok nie są podwykonawcami Podmiotu przetwarzającego. Przetwarzają dane na podstawie umów i warunków zawartych przez Administratora (w części jako odrębni administratorzy, w części jako podmioty przetwarzające Administratora). Administrator odpowiada za te umowy, za treść banera zgód i za poinformowanie pacjentów w swojej polityce prywatności.

§6. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności Umowa główna, niniejsza umowa oraz działania Administratora w panelu. Jeśli prawo wymaga innego przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed jego rozpoczęciem, o ile prawo tego nie zabrania.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeśli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.
3. Do przetwarzania dopuszcza wyłącznie osoby upoważnione, zobowiązane do zachowania poufności danych także po ustaniu zatrudnienia lub współpracy.
4. Stosuje środki bezpieczeństwa wymagane art. 32 RODO, opisane w §8.
5. Uwzględniając charakter przetwarzania, pomaga Administratorowi wywiązywać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO) — w szczególności udostępnia w panelu funkcje podglądu, poprawiania i usuwania danych — a żądania skierowane bezpośrednio do siebie przekazuje Administratorowi bez zbędnej zwłoki.
6. Pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje.
7. Prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§7. Naruszenia ochrony danych

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail właściciela konta. Zgłoszenie zawiera informacje wymagane art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne; brakujące informacje uzupełnia niezwłocznie. Podmiot przetwarzający podejmuje działania ograniczające skutki naruszenia.

§8. Środki bezpieczeństwa

• szyfrowanie transmisji danych (TLS) i przechowywanie haseł wyłącznie w postaci skrótu;
• logiczne oddzielenie danych poszczególnych Administratorów i kontrola dostępu oparta na rolach;
• dostęp administracyjny do serwerów tylko dla upoważnionych osób, z uwierzytelnieniem kluczem;
• prywatne przechowywanie plików w UE (Cloudflare R2) z dostępem przez podpisane, czasowe odnośniki;
• osobne uprawnienia do dokumentacji medycznej, brak dostępu wsparcia bez zgody Administratora (§4) i dziennik odczytów i zmian dokumentacji;
• regularne kopie zapasowe i procedura odtwarzania;
• monitorowanie działania i błędów systemu, rejestrowanie istotnych operacji;
• aktualizacje oprogramowania i przegląd zabezpieczeń przy zmianach systemu.

§9. Dalsze powierzenie (podwykonawcy)

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z podwykonawców. Aktualna lista znajduje się poniżej. Platformy reklamowe, do których dane trafiają na polecenie Administratora (§5), nie są podwykonawcami.
2. O zamiarze dodania lub zmiany podwykonawcy Podmiot przetwarzający informuje Administratora e-mailem lub w panelu co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym.
3. Podmiot przetwarzający nakłada na podwykonawców te same obowiązki ochrony danych, co w niniejszej umowie, i odpowiada wobec Administratora za ich wykonanie.
4. Przekazanie danych do państwa trzeciego następuje wyłącznie przy zastosowaniu mechanizmów z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU–US Data Privacy Framework, lub standardowe klauzule umowne).

§10. Prawo kontroli

1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia przeprowadzenie audytu, w tym inspekcji, przez Administratora lub upoważnionego audytora związanego tajemnicą.
2. Audyt odbywa się po uprzednim zawiadomieniu, z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy i bez zakłócania działania platformy oraz bez dostępu do danych innych Administratorów. W pierwszej kolejności strony korzystają z odpowiedzi na pytania pisemne i dokumentacji.

§11. Obowiązki Administratora

1. Administrator odpowiada za legalność przetwarzania danych powierzonych Podmiotowi przetwarzającemu, w tym za posiadanie podstaw prawnych i zgód oraz za wykonanie obowiązków informacyjnych wobec pacjentów.
2. Administrator wprowadza do platformy wyłącznie dane niezbędne do celów §1 i dba o bezpieczeństwo dostępu swoich użytkowników (hasła, uprawnienia zespołu).

§12. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron określa art. 82 RODO oraz Umowa główna, z zastrzeżeniem, że ograniczenia odpowiedzialności z Umowy głównej nie wyłączają odpowiedzialności wobec osób, których dane dotyczą.
2. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny.
3. W razie sprzeczności między niniejszą umową a Umową główną w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa.
4. Umowa zostaje zawarta w postaci elektronicznej z chwilą jej akceptacji przy zakładaniu konta. Kontakt w sprawach umowy: [email protected].