Umowa powierzenia przetwarzania danych osobowych

Po co ten dokument istnieje

Wgrywając zdjęcia, możesz przekazać nam dane osobowe, których administratorem jesteś Ty sam — na przykład wizerunek rzeczy i dokumentów należących do właściciela nieruchomości. Przetwarzamy je wtedy w Twoim imieniu, a nie na własny rachunek. Art. 28 RODO wymaga, żeby taka relacja miała umowę. Ten dokument nią jest.

Spraw dotyczących Twoich własnych danych — adresu e-mail, danych firmy, płatności — ta umowa nie obejmuje. Tam jesteśmy administratorem i stosuje się polityka prywatności.

Strony i definicje

1. Podmiot przetwarzający — Kacper Poznerowicz, prowadzący działalność gospodarczą pod firmą Kacper Poznerowicz Multimedia, ul. Afrykańska 3, 03-966 Warszawa, NIP 1132556781, operator serwisu easysnaps.ai.
2. Administrator — Klient, czyli osoba lub podmiot posiadający konto w serwisie.
3. RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
4. Dane powierzone — dane osobowe zawarte w plikach graficznych wgranych przez Administratora do serwisu oraz w nadanych przez niego nazwach projektów.

Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych powierzonych wyłącznie w celu wykonania usługi: przyjęcia plików, ich przechowania, automatycznej edycji obrazu i udostępnienia wyniku Administratorowi.
2. Charakter przetwarzania jest zautomatyzowany. Człowiek po stronie Podmiotu przetwarzającego nie ogląda plików w toku normalnego świadczenia usługi; dostęp następuje wyłącznie na żądanie Administratora (zgłoszenie reklamacyjne) albo gdy wymaga tego usunięcie awarii, i jest wtedy odnotowywany.
3. Rodzaj danych: dane osobowe możliwe do odczytania z zawartości zdjęć wnętrz i elewacji, w szczególności wizerunek przedmiotów, dokumentów i fotografii znajdujących się w kadrze. Metadane pliku (współrzędne GPS, data wykonania, model urządzenia, dane autora) są trwale usuwane automatycznie w momencie przyjęcia pliku i nie są przedmiotem powierzenia.
4. Kategorie osób: właściciele i użytkownicy nieruchomości fotografowanych przez Administratora oraz inne osoby, których dane mogłyby znaleźć się w kadrze.
5. Czas przetwarzania: przez okres posiadania konta oraz przez okres przechowywania galerii określony w polityce prywatności.

Zakaz wgrywania wizerunku osób

1. Administrator zobowiązuje się nie wgrywać do serwisu kadrów, na których znajdują się rozpoznawalne osoby.
2. Zobowiązanie nie jest formalnością: zdjęcie ofertowe nieruchomości nie wymaga obecności osób, a ich brak eliminuje najpoważniejszą kategorię ryzyka po obu stronach.
3. Administrator oświadcza, że dysponuje podstawą prawną do przetwarzania Danych powierzonych i do ich powierzenia, oraz że wykonał wobec osób, których dane dotyczą, ciążące na nim obowiązki informacyjne.

Obowiązki podmiotu przetwarzającego

Podmiot przetwarzający:

1. przetwarza Dane powierzone wyłącznie na udokumentowane polecenie Administratora; za takie polecenie uznaje się korzystanie z funkcji serwisu zgodnie z regulaminem. Jeżeli obowiązek przetwarzania wynikałby z przepisu prawa, Podmiot przetwarzający poinformuje o tym Administratora przed przetwarzaniem, chyba że przepis tego zabrania;
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
3. stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO — wykaz w sekcji Środki bezpieczeństwa;
4. nie wykorzystuje Danych powierzonych do własnych celów, w szczególności nie używa ich do trenowania ani douczania modeli, do celów marketingowych ani jako materiału demonstracyjnego;
5. pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą — jeżeli takie żądanie wpłynie bezpośrednio do Podmiotu przetwarzającego, przekaże je Administratorowi niezwłocznie i nie będzie go samodzielnie rozpatrywał;
6. pomaga Administratorowi w wypełnieniu obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
7. zawiadamia Administratora o naruszeniu ochrony Danych powierzonych niezwłocznie, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje potrzebne Administratorowi do zgłoszenia naruszenia organowi nadzorczemu;
8. po zakończeniu świadczenia usług usuwa Dane powierzone w terminach wskazanych w regulaminie albo zwraca je Administratorowi — wybór należy do Administratora, wyrażony przez pobranie galerii przed upływem terminu. Usunięcie obejmuje wszystkie wersje każdego kadru, nie tylko ostatnią;
9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia audyt na zasadach z sekcji Audyt.

Środki bezpieczeństwa

Podmiot przetwarzający stosuje w szczególności:

1. szyfrowanie transmisji (HTTPS z wymuszonym podniesieniem połączeń nieszyfrowanych);
2. przechowywanie plików poza katalogiem serwera WWW, bez możliwości pobrania inaczej niż przez interfejs sprawdzający przynależność kadru do konta Administratora;
3. automatyczne usuwanie metadanych pliku przy przyjęciu;
4. weryfikację rzeczywistego typu każdego przesłanego pliku, niezależnie od jego nazwy i deklarowanego typu;
5. uruchomienie aplikacji na wydzielonym koncie systemowym o ograniczonych uprawnieniach, z prawem zapisu wyłącznie do katalogu danych;
6. dostęp administracyjny wyłącznie kluczem kryptograficznym, przy wyłączonym logowaniu hasłem;
7. zaporę sieciową, mechanizm blokowania prób włamania i automatyczne aktualizacje bezpieczeństwa;
8. rejestrowanie każdego dostępu człowieka do Danych powierzonych: wejście w konto albo projekt Administratora wymaga podania powodu, bez którego narzędzie Podmiotu przetwarzającego danych nie wyświetla, a zapis — powód, chwila i wskazanie konta, bez adresu e-mail — jest udostępniany Administratorowi na żądanie;
9. przekazywanie do usług przetwarzania obrazu wyłącznie samego obrazu, bez identyfikatora konta, nazwy projektu i metadanych.

Dalsze powierzenie

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z podprzetwarzających.
2. Na dzień zawarcia umowy są to:

1. Żaden z podprzetwarzających nie wykorzystuje przekazanych plików do trenowania modeli. Podmiot przetwarzający zobowiązuje się korzystać wyłącznie z płatnych wariantów usług, w których takie wykorzystanie jest wyłączone warunkami umowy z dostawcą, i weryfikować ten warunek przy każdej zmianie dostawcy lub poświadczeń dostępowych.
2. Aktualną listę podprzetwarzających Podmiot przetwarzający udostępnia na żądanie Administratora skierowane na adres kontakt@easysnaps.ai.
3. O zamiarze zmiany lub dodania podprzetwarzającego Podmiot przetwarzający informuje Administratora z wyprzedzeniem 30 dni. Administrator może w tym terminie wnieść sprzeciw; wniesienie sprzeciwu uprawnia go do rozwiązania umowy o świadczenie usług ze skutkiem natychmiastowym i do zwrotu opłaty za niewykorzystany okres.
4. Podmiot przetwarzający nakłada na każdego podprzetwarzającego te same obowiązki ochrony danych, jakie ciążą na nim samym, i odpowiada wobec Administratora za ich działania jak za własne.

Przekazywanie poza Europę

1. Dane powierzone są przekazywane do Stanów Zjednoczonych w zakresie niezbędnym do wykonania automatycznej edycji kadru. Bez tego przekazania usługa nie może być świadczona.
2. Podstawa przekazania jest różna dla każdego z dostawców (stan na 2 sierpnia 2026, weryfikowany corocznie):

Kopię zastosowanych zabezpieczeń Podmiot przetwarzający udostępnia Administratorowi na żądanie.

Audyt

1. Administrator ma prawo weryfikować spełnianie obowiązków z tej umowy.
2. Weryfikacja odbywa się w pierwszej kolejności przez żądanie informacji, na które Podmiot przetwarzający odpowiada w terminie 30 dni.
3. Audyt na miejscu wymaga zapowiedzi z wyprzedzeniem 30 dni, odbywa się w godzinach pracy, nie częściej niż raz w roku kalendarzowym (chyba że doszło do naruszenia) i nie może naruszać bezpieczeństwa ani tajemnicy przedsiębiorstwa innych klientów serwisu.
4. Koszty audytu ponosi Administrator, chyba że audyt wykaże naruszenie obowiązków przez Podmiot przetwarzający.

Odpowiedzialność

1. Strony odpowiadają na zasadach określonych w art. 82 RODO.
2. Podmiot przetwarzający nie odpowiada za skutki wgrania przez Administratora danych z naruszeniem sekcji Zakaz wgrywania wizerunku osób, w szczególności kadrów zawierających wizerunek osób, ani za brak podstawy prawnej po stronie Administratora.

Postanowienia końcowe

1. Umowa zostaje zawarta z chwilą jej akceptacji przy zakładaniu konta i trwa tak długo, jak Administrator posiada konto w serwisie.
2. Umowa wygasa z chwilą usunięcia konta Administratora, przy czym obowiązki dotyczące poufności i usunięcia danych trwają nadal aż do ich wykonania.
3. Zmiana umowy wymaga poinformowania Administratora z wyprzedzeniem 14 dni; brak akceptacji uprawnia go do rozwiązania umowy o świadczenie usług.
4. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
5. W razie sprzeczności między tą umową a regulaminem, w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa.