← Wróć na stronę główną

Umowa powierzenia przetwarzania danych osobowych

Ostatnia aktualizacja: 14 października 2026

§1. Strony i definicje

Umowa zawierana jest pomiędzy Administratorem (biuro nieruchomości / agent korzystający z Serwisu, dalej: „Administrator”) a Procesorem — Patrykiem Bąkiem, prowadzącym działalność nierejestrowaną w rozumieniu art. 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców, z siedzibą w Krakowie, adres e-mail do kontaktu: kontakt@rentgennieruchomosci.pl, telefon: +48 574 183 355 (dalej: „Procesor”), świadczącym usługę Rentgen Nieruchomości dostępną pod adresem rentgennieruchomosci.pl. Z uwagi na formę działalności nierejestrowanej Procesor nie posiada numeru NIP/REGON — w przypadku przekroczenia progu przychodu i rejestracji działalności gospodarczej niniejszy paragraf zostanie zaktualizowany o te dane, bez wpływu na ważność i ciągłość niniejszej umowy.

§2. Przedmiot i czas trwania powierzenia

Administrator powierza Procesorowi przetwarzanie danych osobowych w związku ze świadczeniem usługi analizy opłacalności nieruchomości oraz generowania i wysyłki raportów/opisów ofert. Powierzenie trwa przez okres obowiązywania subskrypcji Administratora oraz przez okres wskazany w §7 (dane po zakończeniu umowy).

§3. Charakter i cel przetwarzania

Przetwarzanie ma charakter techniczny (hosting, przechowywanie, przetwarzanie w celu generowania analiz i raportów) i obejmuje wyłącznie dane wprowadzone przez Administratora do Serwisu w toku korzystania z jego funkcji.

§4. Rodzaj danych i kategorie osób, których dane dotyczą

Zgodnie z faktycznym zakresem danych zbieranych przez Serwis:

  • Dane klientów Administratora (osoby zainteresowane ofertą/inwestorzy): imię/nazwisko lub nazwa firmy i dane kontaktowe wpisywane przez Administratora w polach „Kontakt do oferty” / odbiorca raportu — wyłącznie w zakresie, w jakim Administrator sam je wprowadzi.
  • Dane osób trzecich wynikające z analizowanych nieruchomości: np. dane w opisie stanu prawnego (jeśli Administrator sam je wpisze w polach opisowych) — Serwis nie pobiera ich automatycznie z żadnego rejestru.

Serwis świadomie NIE zbiera i nie przechowuje danych finansowych/dochodowych z modułu Kwalifikator — te dane nie są zapisywane ani przekazywane do żadnego modelu AI (patrz Polityka Prywatności).

§5. Obowiązki Procesora

  • Przetwarza dane wyłącznie na udokumentowane polecenie Administratora (w tym za pośrednictwem funkcji Serwisu).
  • Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności.
  • Stosuje środki bezpieczeństwa odpowiednie do ryzyka, w szczególności: szyfrowanie połączenia w tranzycie (HTTPS/TLS), przechowywanie bazy danych w regionie UE (Frankfurt) z szyfrowaniem w spoczynku, dostęp do danych konta wyłącznie przez unikalny, losowy token o wysokiej entropii (bez współdzielonych haseł), weryfikację przynależności danych do konkretnego zamówienia przy każdym zapytaniu do systemu, limity liczby zapytań (rate limiting) na funkcjach wysyłki i opartych na AI, oraz codzienne szyfrowane kopie zapasowe bazy danych przechowywane do 90 dni.
  • Pomaga Administratorowi w realizacji obowiązków wynikających z art. 32–36 RODO oraz w odpowiadaniu na żądania osób, których dane dotyczą.
  • Zgłasza Administratorowi naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od ich stwierdzenia — tak, aby Administrator mógł dotrzymać własnego, 72-godzinnego terminu zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych wynikającego z art. 33 RODO.
  • Po zakończeniu świadczenia usług usuwa lub zwraca wszystkie dane osobowe — patrz §7.

§6. Podpowierzenie (subprocesorzy)

Procesor korzysta z usług następujących podmiotów przetwarzających dane w jego imieniu (zgodnie z aktualnym wykazem publikowanym w Polityce Prywatności, §4a):

  • Vercel Inc. (USA) — hosting aplikacji; funkcje serwerowe działają w regionie UE (Frankfurt).
  • Neon, Inc. (USA) — baza danych; dane przechowywane w regionie UE (Frankfurt).
  • Resend (USA) — wysyłka wiadomości e-mail (dostęp, raporty, formularz kontaktowy); wysyłka z regionu UE (Irlandia).
  • ImprovMX (USA) — przekazywanie korespondencji kierowanej na adres kontaktowy serwisu.
  • Google LLC (USA) — skrzynka pocztowa, na której odbierana jest korespondencja kontaktowa.
  • GitHub, Inc. (USA) — przechowywanie kodu oraz zaszyfrowanych kopii zapasowych bazy danych.
  • Stripe (płatności) i Anthropic (funkcje AI) — w zakresie opisanym w §4 Polityki Prywatności.

Część wymienionych podmiotów ma siedzibę w Stanach Zjednoczonych, więc dane mogą być do nich przekazywane poza Europejski Obszar Gospodarczy. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (Data Privacy Framework) — dla podmiotów w nim uczestniczących — albo standardowych klauzul umownych zatwierdzonych przez Komisję Europejską. Administrator wyraża ogólną zgodę na korzystanie z powyższych podprocesorów. O zmianie lub dodaniu nowego, istotnego podprocesora Procesor informuje Administratora z odpowiednim wyprzedzeniem (co najmniej 14 dni) poprzez aktualizację wykazu w Polityce Prywatności i wiadomość na adres e-mail powiązany z kontem — Administratorowi przysługuje w tym czasie prawo sprzeciwu, które może zrealizować, rezygnując z dalszego korzystania z Serwisu. Kopię zabezpieczeń umownych można uzyskać, pisząc na adres kontakt@rentgennieruchomosci.pl.

§7. Dane po zakończeniu umowy

Dane są przechowywane przez okres trwania subskrypcji oraz przez okres wymagany przepisami prawa (np. podatkowymi) po jej zakończeniu. Po zakończeniu okresu próbnego lub abonamentu konto przechodzi w tryb tylko do odczytu, w którym Administrator może pobrać swoje dane; dane nieruchomości i dane klientów Administratora są usuwane wraz z usunięciem konta (przycisk „Trwale usuń konto i wszystkie dane” w panelu profilu) lub na wyraźne żądanie Administratora, zgodnie z wyborem Administratora między usunięciem a zwrotem danych — Procesor realizuje takie żądanie bez zbędnej zwłoki, chyba że prawo Unii lub prawo państwa członkowskiego nakazują dalsze przechowywanie danych osobowych. Zaszyfrowane kopie zapasowe bazy danych są wykonywane codziennie i przechowywane do 90 dni — dane usuniętego konta znikają z nich automatycznie wraz z wygaśnięciem kopii.

§8. Audyty i kontrola

Procesor udostępnia Administratorowi, na jego pisemne żądanie (w tym mailowe), informacje niezbędne do wykazania zgodności z obowiązkami określonymi w art. 28 RODO, w szczególności treść niniejszej umowy i aktualny wykaz podprocesorów — nie częściej niż raz na 12 miesięcy, chyba że istnieje uzasadniona podstawa do przypuszczenia naruszenia ochrony danych, kiedy to ograniczenie częstotliwości nie obowiązuje. Szerszy audyt (w tym z udziałem wskazanego przez Administratora audytora) jest możliwy po wcześniejszym uzgodnieniu zakresu i terminu (z wyprzedzeniem co najmniej 14 dni) oraz pod warunkiem zachowania poufności informacji Procesora i pozostałych jego klientów; uzasadnione dodatkowe koszty takiego audytu po stronie Procesora pokrywa Administrator.

§9. Odpowiedzialność

Odpowiedzialność Procesora za szkody wynikłe z niewykonania lub nienależytego wykonania niniejszej umowy ograniczona jest do rzeczywiście poniesionej straty (z wyłączeniem utraconych korzyści) i nie przekracza łącznej wysokości opłat wniesionych przez Administratora w okresie 12 miesięcy poprzedzających zdarzenie, z którego wynika roszczenie — z wyjątkiem szkód wyrządzonych umyślnie albo wskutek rażącego niedbalstwa Procesora, w którym to przypadku odpowiedzialność nie jest ograniczona w zakresie, w jakim ograniczenie byłoby niezgodne z bezwzględnie obowiązującymi przepisami prawa. Zasada ta jest spójna z ogólnym ograniczeniem odpowiedzialności Usługodawcy opisanym w §9 Regulaminu.

§10. Postanowienia końcowe

Umowa stanowi integralną część Regulaminu świadczenia usług i obowiązuje automatycznie z chwilą rozpoczęcia korzystania z Serwisu przez Administratora, o ile Administrator przetwarza za jego pośrednictwem dane osobowe osób trzecich — bez konieczności odrębnego, indywidualnego podpisania przez każdego klienta biznesowego, analogicznie do akceptacji Regulaminu. Administrator może w każdej chwili zwrócić się do Procesora o indywidualnie podpisany egzemplarz tej umowy (np. do własnej dokumentacji zgodności), pisząc na adres kontakt@rentgennieruchomosci.pl.