Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) jest zawierana w rozumieniu art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych, „RODO”) między:
   • Klientem korzystającym z usługi Cornvilla WMS — jako administratorem danych („Administrator”), oraz
   • NovaPoint Maciej Hermanowicz, ul. Lermontowa 18/25, 92-512 Łódź, NIP 728-257-50-56 — jako podmiotem przetwarzającym („Procesor”).
2. Umowa powierzenia jest zawierana przez akceptację Regulaminu usługi Cornvilla WMS (https://cornvilla.com/regulamin) przy zakładaniu Konta i stanowi jego załącznik. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.
3. Na życzenie Klienta Procesor przekaże Umowę powierzenia w formie dokumentu podpisanego elektronicznie — wystarczy napisać na kontakt@cornvilla.com.

§ 2. Przedmiot, czas trwania i cel

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia Usługi — obsługi magazynu i wysyłek Klienta w Systemie Cornvilla WMS.
2. Przetwarzanie trwa przez czas świadczenia Usługi, a po jej zakończeniu — do usunięcia danych zgodnie z § 10.

§ 3. Rodzaj danych i kategorie osób

Kategoria osób	Dane
Odbiorcy przesyłek (klienci sklepów Administratora)	imię i nazwisko, nazwa firmy, adres dostawy, telefon, e-mail, punkt odbioru, numer zamówienia i przesyłki, forma płatności i kwota pobrania
Użytkownicy Konta (pracownicy i współpracownicy Administratora)	imię i nazwisko, e-mail, numer pracownika, kod karty lub identyfikatora do logowania (np. NFC), PIN i hasło (wyłącznie w postaci skrótu), identyfikator urządzenia i wersja aplikacji Cornvilla Terminal, dziennik czynności w Systemie (kto, co i kiedy przyjął, skompletował, spakował, przekazał)
Kontrahenci (dostawcy, hurtownie)	imię i nazwisko, e-mail i telefon osób kontaktowych

Procesor nie przetwarza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator nie wprowadza takich danych do Systemu.

§ 4. Charakter przetwarzania

Przechowywanie, porządkowanie, wyświetlanie, wyszukiwanie, drukowanie (etykiety, dokumenty magazynowe), przekazywanie przewoźnikom i do systemów sprzedażowych Administratora, tworzenie kopii zapasowych i usuwanie danych.

Przekazanie danych przewoźnikom (np. InPost, DPD) i systemom sprzedażowym (sklepy, marketplace'y, BaseLinker) odbywa się na polecenie Administratora, z użyciem jego danych dostępowych i w ramach jego własnych umów z tymi podmiotami. Podmioty te nie są dalszymi podmiotami przetwarzającymi Procesora.

§ 5. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są: Regulamin, niniejsza Umowa powierzenia, ustawienia Konta oraz czynności wykonywane w Systemie przez Użytkowników Administratora (np. podłączenie sklepu, wygenerowanie etykiety).
2. Jeżeli polecenie Administratora w ocenie Procesora narusza RODO lub inne przepisy o ochronie danych, Procesor niezwłocznie informuje o tym Administratora.
3. Procesor nie przetwarza powierzonych danych we własnych celach. Może wykorzystywać wyłącznie dane zanonimizowane i zagregowane, w sposób określony w § 11 ust. 5 Regulaminu.

§ 6. Obowiązki Procesora

Procesor:

1. dopuszcza do przetwarzania wyłącznie osoby upoważnione, które zobowiązały się do zachowania poufności;
2. stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności:
   • szyfrowanie transmisji (TLS);
   • izolację danych każdego Klienta na poziomie bazy danych;
   • szyfrowanie w bazie danych adresowych odbiorców i danych dostępowych do Integracji;
   • przechowywanie haseł i PIN-ów wyłącznie w postaci skrótu;
   • uwierzytelnianie dwuskładnikowe i ograniczenie adresów dla operatorów Procesora;
   • codzienne kopie zapasowe przechowywane w Unii Europejskiej;
   • ograniczenie dostępu do infrastruktury do niezbędnych osób;
3. pomaga Administratorowi — w miarę możliwości i z uwzględnieniem charakteru przetwarzania — w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie), oraz w wywiązywaniu się z obowiązków z art. 32–36 RODO;
4. przekazuje Administratorowi bez zwłoki żądania osób, których dane dotyczą, skierowane bezpośrednio do Procesora, i nie odpowiada na nie samodzielnie;
5. prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

§ 7. Naruszenia ochrony danych

1. Procesor zawiadamia Administratora o naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Administratora Konta.
2. Zawiadomienie zawiera informacje, którymi Procesor dysponuje: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz podjęte lub proponowane środki. Informacje niedostępne w chwili zawiadomienia Procesor przekazuje niezwłocznie po ich ustaleniu.
3. Zgłoszenia do Prezesa UODO i zawiadomienia osób, których dane dotyczą, dokonuje Administrator; Procesor udziela mu w tym pomocy.

§ 8. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na dzień zawarcia Umowy powierzenia są to:
   • hosting i infrastruktura: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francja (centrum danych w Unii Europejskiej);
   • wysyłka wiadomości systemowych (np. powiadomienia o Koncie, reset hasła Użytkownika): Resend, Inc. (USA — standardowe klauzule umowne; wysyłka wiadomości systemowych).
2. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Procesor informuje Administratora Konta e-mailem z 14-dniowym wyprzedzeniem. W tym czasie Administrator może wnieść sprzeciw; sprzeciw uprawnia go do rozwiązania umowy o świadczenie Usługi bez okresu wypowiedzenia.
3. Procesor nakłada na dalsze podmioty przetwarzające obowiązki ochrony danych nie mniejsze niż w niniejszej Umowie powierzenia i odpowiada za ich działania jak za własne.

§ 9. Przekazywanie poza EOG

Powierzone dane są przechowywane w Europejskim Obszarze Gospodarczym. Poza EOG mogą trafić wyłącznie dane niezbędne do wysyłki wiadomości systemowych przez dostawcę poczty (§ 8 ust. 1), na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz — tam, gdzie ma zastosowanie — EU-US Data Privacy Framework.

§ 10. Retencja i usunięcie danych

1. Dane adresowe odbiorców przesyłek są usuwane z Systemu automatycznie 30 dni po przekazaniu przesyłki przewoźnikowi. Numer zamówienia, lista pozycji i numer przesyłki pozostają jako dane magazynowe, bez danych identyfikujących odbiorcę. Inny okres Administrator może uzgodnić z Procesorem e-mailem.
2. Po zakończeniu świadczenia Usługi Procesor usuwa powierzone dane w terminach określonych w § 9 Regulaminu, a na żądanie Administratora — wcześniej, po umożliwieniu mu eksportu danych (§ 11 ust. 4 Regulaminu).
3. Dane w kopiach zapasowych są usuwane wraz z wygaśnięciem kopii, najpóźniej po 14 dniach.

§ 11. Kontrola (audyt)

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi na pytania i opisu stosowanych zabezpieczeń.
2. Administrator może przeprowadzić audyt — samodzielnie albo przez niezależnego audytora zobowiązanego do poufności — po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w godzinach pracy, nie częściej niż raz w roku (częściej — po stwierdzonym naruszeniu ochrony danych). Audyt nie może naruszać tajemnicy przedsiębiorstwa Procesora ani bezpieczeństwa danych innych Klientów. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie po stronie Procesora.

§ 12. Odpowiedzialność

Odpowiedzialność Procesora z tytułu Umowy powierzenia podlega ograniczeniom z § 14 Regulaminu, z wyłączeniem szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa oraz odpowiedzialności, której nie można wyłączyć na podstawie art. 82 RODO.

§ 13. Postanowienia końcowe

1. Umowa powierzenia obowiązuje przez czas obowiązywania umowy o świadczenie Usługi i do usunięcia powierzonych danych.
2. W sprawach nieuregulowanych stosuje się Regulamin i RODO. W razie sprzeczności między Regulaminem a Umową powierzenia w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.
3. Zmiany Umowy powierzenia następują w trybie przewidzianym dla zmian Regulaminu (§ 16 Regulaminu).
4. Umowa powierzenia obowiązuje od dnia 9 października 2026.