UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)
do Regulaminu świadczenia usług RetJet

§ 1. Strony umowy

1. Administrator danych:
   Klient (sklep internetowy) korzystający z Usługi Cyfrowej RetJet, który zawiera Umowę poprzez utworzenie Konta w Aplikacji.
2. Procesor danych:
   RetJet sp. z o.o.
   ul. 1 Maja 22, 43-340 Bielsko-Biała
   KRS: 0001129805
   NIP: 5472248276
   REGON: 529760483
   e-mail: contact@retjet.com
3. Umowa zostaje zawarta z chwilą zaakceptowania Regulaminu przez Administratora i obowiązuje przez cały okres korzystania z Aplikacji RetJet.

§ 2. Przedmiot powierzenia

1. Na podstawie niniejszej Umowy Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia przez Procesora Usługi Cyfrowej polegającej na obsłudze zwrotów oraz reklamacji w sklepie internetowym Administratora.
2. Przetwarzanie danych odbywa się w imieniu Administratora i wyłącznie w celu wykonania Umowy.

§ 3. Zakres, charakter oraz kategorie danych

1. Procesor może przetwarzać następujące dane osobowe:
   • imię i nazwisko (jeśli występuje w zamówieniu),
   • adres e-mail,
   • numer zamówienia,
   • dane produktów,
   • powody zwrotów,
   • dane dotyczące przesyłek zwrotnych (numery, tracking, operator),
   • komunikację związaną z procesem zwrotu lub reklamacji.
2. Kategorie osób: klienci sklepu internetowego Administratora.
3. Charakter przetwarzania: zbieranie, przechowywanie, organizowanie, dostęp, analizowanie, przesyłanie, usuwanie — w ramach realizacji Usługi Cyfrowej.

§ 4. Obowiązki Procesora

Procesor zobowiązuje się do:

1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora (zawarte w Regulaminie, Aplikacji oraz instrukcjach przekazanych drogą elektroniczną),
2. zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązane są do zachowania poufności,
3. stosowania środków technicznych i organizacyjnych zgodnych z art. 32 RODO,
4. nieprzetwarzania danych w celach własnych,
5. prowadzenia ewidencji naruszeń bezpieczeństwa,
6. udzielania Administratorowi informacji niezbędnych do wykazania zgodności z art. 28 RODO.

§ 5. Środki bezpieczeństwa

Procesor wdraża oraz utrzymuje środki ochrony danych osobowych, w tym:

1. szyfrowanie transmisji danych (TLS),
2. kontrolę dostępu (autoryzacja, role, ACL),
3. szyfrowane kopie zapasowe,
4. zabezpieczenia infrastruktury serwerowej i sieciowej,
5. rejestry dostępu i logi aktywności,
6. regularne aktualizacje oprogramowania i systemów bezpieczeństwa.

Administrator akceptuje poziom zabezpieczeń stosowanych przez Procesora jako adekwatny do ryzyka.

§ 6. Podpowierzenie danych

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów niezbędnych do realizacji Usługi Cyfrowej.
2. Procesor korzysta wyłącznie z podprocesorów zapewniających środki bezpieczeństwa zgodne z RODO.
3. Lista podprocesorów obejmuje m.in.:
   • dostawców hostingu i infrastruktury serwerowej,
   • dostawcę systemu płatności,
   • dostawców usług e-mail i komunikacji.
     Aktualna lista podprocesorów jest publikowana przez Procesora lub dostępna na żądanie Administratora.

§ 7. Pomoc Procesora

Procesor, z uwzględnieniem charakteru przetwarzania i dostępnych środków:

1. pomaga Administratorowi w wypełnianiu obowiązków wynikających z żądań osób, których dane dotyczą (art. 15–22 RODO),
2. wspiera Administratora w realizacji obowiązków związanych z naruszeniami ochrony danych (art. 33–34 RODO),
3. umożliwia Administratorowi audyt lub inspekcję, w granicach rozsądku i w sposób niezakłócający działania systemów.

§ 8. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi każde naruszenie ochrony danych osobowych niezwłocznie, nie później niż 48 godzin od momentu wykrycia.
2. Zgłoszenie zawiera co najmniej: charakter naruszenia, skalę, możliwe konsekwencje oraz podjęte środki zaradcze.

§ 9. Retencja i usuwanie danych

1. Procesor przechowuje dane osobowe przez okres korzystania z Usługi Cyfrowej.
2. Po zakończeniu świadczenia usług dane są:
   • usuwane, lub
   • anonimizowane — jeśli dalsze wykorzystanie jest konieczne do celów statystycznych lub poprawy działania Aplikacji.
3. Maksymalny okres retencji danych wynosi 36 miesięcy, chyba że Administrator zażąda wcześniejszego usunięcia.

§ 10. Odpowiedzialność stron

1. Strony ponoszą odpowiedzialność za szkody powstałe na skutek naruszenia RODO w zakresie, w jakim do naruszenia doszło z ich winy.
2. Odpowiedzialność Procesora jest ograniczona do rzeczywistych, udowodnionych szkód, z wyłączeniem przypadków winy umyślnej.

§ 11. Postanowienia końcowe

1. Umowa stanowi integralny element Regulaminu świadczenia usług RetJet.
2. Procesor może aktualizować niniejszą Umowę, informując Administratora z 14-dniowym wyprzedzeniem.
3. W sprawach nieuregulowanych stosuje się art. 28 RODO oraz prawo polskie.