Umowa powierzenia przetwarzania danych osobowych (DPA)
Data wersji: 3 listopada 2026. Wersja: 2026-11-03-v1.
Nie udało się potwierdzić aktualnej wersji dokumentów. Przed aktywacją bety odśwież stronę lub skontaktuj się z iPurel. Poniżej możesz przeczytać przygotowaną treść.
§1. Strony i zawarcie umowy
- Administratorem powierzonych danych jest Użytkownik wskazany w potwierdzeniu aktywacji lub w odrębnej umowie. Podmiotem przetwarzającym jest Michał Jamros iPurel, kontakt: kontakt@ipurel.pl. Aktualne dane Usługodawcy są wskazane w nagłówku dokumentu.
- DPA jest umową powierzenia w rozumieniu art. 28 RODO. W becie Stay zostaje zawarta elektronicznie przez świadomą akceptację wskazanej wersji wraz z aktywacją bety. Potwierdzenie obejmuje dane konta strony przyjmującej, datę oraz treść i wersje zaakceptowanych dokumentów. Nie wymaga dodatkowego podpisu na wydruku. Samo otwarcie strony DPA nie zawiera umowy.
- Osoba akceptująca w imieniu Administratora musi mieć odpowiednie umocowanie i wymaganą zdolność do czynności prawnych albo działać z właściwą zgodą lub przez przedstawiciela. Administrator decyduje o celach i prawnych podstawach przetwarzania danych swoich klientów, uczniów lub gości.
§2. Przedmiot, czas, charakter i cel
- Powierzenie obejmuje wyłącznie czynności niezbędne do zamówionych funkcji iPurel: przyjęcie i utrzymanie danych, organizację rezerwacji, obsługę kalendarza, zespołu, komunikacji, rozliczeń, raportów i eksportu oraz ochronę i odtworzenie danych. Nie upoważnia do marketingu iPurel na bazie gości ani do trenowania modeli na tych danych.
- W Stay zakres obejmuje dane pobytów, gości i rezerwujących, przygotowania lokali, dostępu zespołu i właścicieli oraz ewidencji gospodarza. W Usługach i Teach zachowuje zakres aktywowanych funkcji wizyt, zajęć i dokumentów. Wyłączona integracja nie stanowi polecenia przekazania danych jej dostawcy.
- Powierzenie trwa przez wykonywanie umowy i niezbędny okres bezpiecznego zwrotu lub usunięcia danych. Polecenia są dokumentowane przez umowę, działania uprawnionych osób w systemie lub uzgodnioną korespondencję. Podmiot przetwarzający niezwłocznie informuje, jeżeli uzna polecenie za naruszające przepisy o ochronie danych.
§3. Dane i osoby
- Kategorie osób: klienci usług, uczniowie i ich opiekunowie, goście i osoby rezerwujące, osoby zespołu, upoważnieni przedstawiciele oraz właściciele lokali, których dane Administrator wprowadza do zamówionych funkcji.
- Kategorie danych: imię i nazwisko, dane kontaktowe, terminy i zakres świadczenia, liczba gości, dane potrzebne do prawidłowego wykonania pobytu i uzasadnionych obowiązków sprawozdawczych, historia i statusy, wiadomości, uprawnienia, zgody, kwoty oraz identyfikatory i statusy płatności. Pełne dane kart i CVC nie są powierzane do zapisu w iPurel.
- Dane szczególnych kategorii mogą być powierzane wyłącznie w dostępnych, przeznaczonych do tego funkcjach Usług lub Teach, gdy Administrator ma odpowiednią podstawę prawną i rzeczywistą potrzebę. Beta Stay nie wymaga danych o zdrowiu ani skanów dokumentów tożsamości gości. Nie należy dodawać takich danych w notatkach i załącznikach.
§4. Obowiązki stron
- Podmiot przetwarzający wykonuje udokumentowane polecenia, zapewnia poufność upoważnionych osób, ogranicza ich dostęp do niezbędnego zakresu i stosuje środki wymagane przez art. 32 RODO odpowiednio do ryzyka. Zobowiązuje się nie wykorzystywać powierzonych danych we własnym celu nieobjętym umową.
- Z uwzględnieniem charakteru przetwarzania i dostępnych informacji wspiera Administratora w realizacji praw osób oraz obowiązków bezpieczeństwa, oceny skutków, konsultacji i zgłaszania naruszeń z art. 32-36 RODO. Przekazuje Administratorowi otrzymane żądania dotyczące jego danych, chyba że prawo wymaga innego działania.
- Udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyty oraz inspekcje Administratora lub upoważnionego audytora. Strony uzgadniają bezpieczny sposób i zakres kontroli, bez znoszenia ustawowego prawa do audytu i bez ujawniania danych innych klientów.
- Administrator zapewnia podstawy prawne, obowiązki informacyjne i legalność poleceń, nadaje adekwatne uprawnienia, aktualizuje dane i ustala retencję. Nie powierza danych nadmiarowych. Pomoc Podmiotu przetwarzającego nie przenosi na niego decyzji o celach Administratora.
§5. Podpowierzenie i odbiorcy
- Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w niezbędnym zakresie. Dotychczasowy zakres dostawców opisano poniżej według funkcji. Aktywne podpowierzenie wymaga wiążących zobowiązań dostawcy odpowiadających art. 28 RODO; nazwa dostawcy w dokumencie nie zastępuje zawarcia jego umowy.
- Hetzner: hosting i kopie. Cloudflare: dostarczanie i ochrona ruchu, DNS i weryfikacja antybotowa. Resend: poczta transakcyjna oraz wiadomości zamówione przez Administratora. Cloudinary: przechowywanie udostępnianych plików i obrazów. Sentry: diagnostyka błędów z ograniczaniem danych osobowych. Dalsze podmioty nie otrzymują automatycznie całej bazy klienta.
- Stripe: obsługa transakcji i połączonego konta płatniczego, także we własnych celach prawnych i przeciwdziałania nadużyciom według jego zasad. Nie należy przypisywać mu bez analizy wyłącznie roli procesora iPurel. Google: dobrowolne logowanie i integracja kalendarza w odpowiednim zakresie Usług lub Teach. Twilio lub SMSAPI: dopiero przy aktywnej obsłudze SMS. Channel Manager Channex i portale OTA nie uczestniczą w becie Stay opisanej Warunkami bety.
- O planowanym dodaniu lub zastąpieniu dalszego podmiotu Administrator jest powiadamiany na zapisany adres e-mail co najmniej 14 dni przed nowym podpowierzeniem. Może zgłosić uzasadniony sprzeciw dotyczący ochrony danych; strony wyjaśniają go przed przekazaniem danych nowemu podmiotowi. Jeżeli nie znajdą zgodnego rozwiązania, sporna funkcja nie jest uruchamiana, a Administrator może zakończyć objęty nią zakres usługi i otrzymać dane.
- Podmiot przetwarzający pozostaje odpowiedzialny wobec Administratora za wykonywanie obowiązków dalszych procesorów w zakresie art. 28 ust. 4 RODO. Transfer poza EOG wymaga właściwego mechanizmu rozdziału V RODO i niezbędnych zabezpieczeń. Na żądanie przekazuje informacje o lokalizacji, podstawie transferu i sposobie uzyskania kopii zabezpieczeń, z ochroną tajemnicy i danych innych osób.
§6. Zwrot, usunięcie i zakończenie
- Administrator może pobrać dane dostępnymi eksportami oraz uzgodnić zwrot danych powierzonych w dostępnym uporządkowanym formacie przez kontakt@ipurel.pl. Uprawnienie wynika z DPA niezależnie od tego, czy ma zastosowanie przenoszenie danych osoby fizycznej z art. 20 RODO.
- Po zakończeniu świadczenia Podmiot przetwarzający, zgodnie z decyzją Administratora, zwraca lub usuwa powierzone dane i usuwa istniejące kopie, chyba że właściwe prawo wymaga zachowania określonych danych. Zakres, termin i wykonanie polecenia są dokumentowane. Nie można powoływać się na ogólną retencję, aby bez podstawy odroczyć zasadne usunięcie.
- Kopie zapasowe pozostają przetwarzaniem. Usunięcia i ograniczenia obejmują je w zakresie wymaganym prawem. Po odtworzeniu należy ponownie zastosować wykonane polecenia usunięcia, blokady kontaktu i ograniczenia dostępu, zanim dane wrócą do zwykłego użycia.
- Zakończenie bezpłatnej bety nie stanowi polecenia natychmiastowego skasowania aktywnych rezerwacji. Przed usunięciem konta należy uzgodnić eksport i ciągłość obsługi przyjętych pobytów oraz nierozstrzygniętych wpłat. Dane, które iPurel musi zachować jako odrębny administrator dla własnych obowiązków, są ograniczane do niezbędnego zakresu według Polityki prywatności.
§7. Bezpieczeństwo
- Środki dobiera się do ryzyka i zakresu powierzonych danych: minimalne uprawnienia i izolacja kont, uwierzytelnianie, ochrona sesji i transmisji, ochrona odpowiednich pól i plików, kontrola zmian, kopie oraz testy odtwarzania i reagowanie na incydenty.
- Dokument nie jest certyfikatem bezpieczeństwa ani deklaracją nieprzerwanej dostępności. Kopia bazy nie zastępuje odtwarzalności plików i kluczy. Dostępność funkcji szyfrowania nie oznacza szyfrowania każdego pola i każdego obrazu kluczem iPurel.
- Zdarzenia bezpieczeństwa i dostęp administracyjny są ograniczane do uzasadnionej potrzeby. Dane produkcyjne nie mogą być używane do przypadkowych testów. Administrator zabezpiecza własne urządzenia, eksporty i konta zespołu; otrzymuje informacje potrzebne do oceny stosowanych zabezpieczeń.
§8. Naruszenia ochrony danych
- Po stwierdzeniu naruszenia powierzonych danych Podmiot przetwarzający bez zbędnej zwłoki informuje Administratora dostępnym kanałem kontaktowym. Przekazuje dostępne informacje o charakterze i zakresie naruszenia, możliwych skutkach, środkach ograniczających oraz osobie kontaktowej. Brak wszystkich informacji nie uzasadnia wstrzymania pierwszego zgłoszenia; informacje są uzupełniane etapami.
- Współpracuje przy zabezpieczeniu dowodów i ograniczeniu skutków. Administrator ocenia własny obowiązek zgłoszenia organowi nadzorczemu i osobom; termin 72 godzin z art. 33 RODO nie jest okresem, przez który procesor może dowolnie zwlekać z informacją dla Administratora.
§9. Wersje i kontakt
- DPA wraz z potwierdzeniem akceptacji stanowi część umowy o korzystanie z iPurel. Zmiany są komunikowane według umowy, z zachowaniem prawa Administratora do informacji o podpowierzeniu. Nowa publikacja nie zastępuje historycznie zaakceptowanego dokumentu.
- W kwestiach nieuregulowanych stosuje się RODO i właściwe prawo. Kontakt: kontakt@ipurel.pl. Wydruk służy utrwaleniu dokumentu; elektroniczną akceptację wykazuje potwierdzenie konta.