Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część Umowy pomiędzy Catchy Media Sp. z o.o. a Klientem i zostaje włączona do Ogólnych Warunków Umowy ("OWU") przez odniesienie. Po włączeniu do Umowy ma pierwszeństwo przed OWU w zakresie spraw dotyczących przetwarzania danych.

Wersja: v2026-10-28

Data wejścia w życie: 30 czerwca 2026

Rejestracja: NIP 9571150950, Gdańsk, Polska

Prawo właściwe: prawo polskie, sądy właściwe dla siedziby Catchy Media Sp. z o.o. w Gdańsku

Kontakt: Catchy Media Sp. z o.o., Al. Grunwaldzka 56/113, 80-241 Gdańsk, Polska — [email protected] (godziny robocze)

Catchy Media Sp. z o.o. działa jako Podmiot Przetwarzający w odniesieniu do Danych Osobowych Klienta przetwarzanych w imieniu Klienta.

Klient działa jako Administrator Danych w odniesieniu do Danych Osobowych Klienta.

Strony zamierzają wdrożyć umowę powierzenia przetwarzania danych zgodną z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych ("RODO").

Strony określają swoje prawa i obowiązki zgodnie z art. 28 RODO.

W niniejszej DPA poniższe terminy pisane wielką literą mają znaczenie wskazane niżej. Termin użyty w liczbie pojedynczej obejmuje również liczbę mnogą i odwrotnie.

Catchy Media / My / Nas Catchy Media Sp. z o.o., spółka z ograniczoną odpowiedzialnością z siedzibą w Gdańsku, Polska, NIP 9571150950.

Klient / Ty osoba fizyczna lub prawna zawierająca Umowę z Catchy Media Sp. z o.o. o świadczenie Usług, działająca jako Administrator Danych w odniesieniu do Danych Osobowych Klienta.

Umowa niniejsza DPA, OWU, odpowiednia oferta lub potwierdzenie zamówienia oraz wszystkie załączniki.

Dane Osobowe Klienta wszelkie Dane Osobowe przetwarzane przez Catchy Media Sp. z o.o. w imieniu Klienta na podstawie Umowy lub w związku z nią.

Przepisy o Ochronie Danych RODO oraz właściwe krajowe przepisy wykonawcze, ze zmianami lub aktami zastępującymi.

EOG Europejski Obszar Gospodarczy

RODO Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

Usługi narzędzia cyfrowe, platformy i usługi świadczone przez Catchy Media Sp. z o.o. zgodnie z OWU.

Sub-processor każdy podmiot trzeci zaangażowany przez Catchy Media Sp. z o.o. do przetwarzania Danych Osobowych Klienta w jej imieniu w związku z Umową.

Terminy "Administrator", "Osoba, której dane dotyczą", "Dane Osobowe", "Naruszenie Ochrony Danych Osobowych", "Przetwarzanie", "Podmiot Przetwarzający" oraz "Organ Nadzorczy" mają znaczenie nadane im w RODO.

Przedmiot

Catchy Media Sp. z o.o. przetwarza Dane Osobowe Klienta w imieniu Klienta w celu świadczenia Usług opisanych w niniejszej DPA i Umowie.

Charakter i cel

Charakter i cel przetwarzania, rodzaje Danych Osobowych oraz kategorie osób, których dane dotyczą, określono w sekcji Czynności przetwarzania niniejszej DPA.

Czas trwania

Catchy Media Sp. z o.o. przetwarza Dane Osobowe Klienta przez czas obowiązywania Umowy, chyba że strony uzgodnią inaczej na piśmie albo wymagają tego przepisy prawa. Po rozwiązaniu lub wygaśnięciu Umowy Catchy Media Sp. z o.o. postępuje z Danymi Osobowymi Klienta zgodnie z sekcją Usunięcie lub zwrot Danych Osobowych Klienta.

Catchy Media Sp. z o.o. zobowiązuje się:

przetwarzać Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa; w takim przypadku Catchy Media Sp. z o.o., w zakresie dozwolonym prawem, informuje Klienta o tym obowiązku przed rozpoczęciem przetwarzania;

zapewnić, aby osoby upoważnione do przetwarzania Danych Osobowych Klienta były związane odpowiednimi zobowiązaniami do zachowania poufności;

wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka przetwarzania, zgodnie z art. 32 RODO i sekcją Środki bezpieczeństwa niniejszej DPA;

pomagać Klientowi w realizacji obowiązków dotyczących odpowiedzi na żądania osób, których dane dotyczą, wynikających z rozdziału III RODO, z uwzględnieniem charakteru przetwarzania;

pomagać Klientowi w realizacji obowiązków wynikających z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA i uprzednie konsultacje), z uwzględnieniem charakteru przetwarzania i informacji dostępnych Catchy Media Sp. z o.o.;

według wyboru Klienta usunąć lub zwrócić Klientowi wszystkie Dane Osobowe Klienta po rozwiązaniu lub wygaśnięciu Umowy oraz usunąć istniejące kopie, chyba że ich przechowywania wymagają przepisy prawa;

udostępniać Klientowi wszelkie informacje rozsądnie niezbędne do wykazania zgodności z niniejszą DPA oraz obowiązkami określonymi w art. 28 RODO; oraz

niezwłocznie powiadomić Klienta, jeżeli w ocenie Catchy Media Sp. z o.o. polecenie Klienta narusza obowiązujące Przepisy o Ochronie Danych.

Ogólna autoryzacja

Klient udziela Catchy Media Sp. z o.o. ogólnej zgody na korzystanie z Sub-processorów w celu świadczenia Usług. Aktualna lista Sub-processorów jest dostępna dla Klienta na pisemny wniosek pod adresem [email protected].

Nowi Sub-processorzy

Catchy Media Sp. z o.o. z wyprzedzeniem poinformuje Klienta o zamierzonym dodaniu lub zastąpieniu Sub-processora, dając Klientowi możliwość zgłoszenia sprzeciwu.

Sprzeciw

Jeżeli Klient zgłosi rozsądny, udokumentowany sprzeciw wobec nowego Sub-processora, a Catchy Media Sp. z o.o. nie może go uwzględnić, Klient może wypowiedzieć Umowę lub odpowiednią część Usług z 30-dniowym okresem wypowiedzenia, bez kary.

Obowiązki Sub-processorów

Catchy Media Sp. z o.o. nakłada na każdego Sub-processora obowiązki ochrony danych nie mniej ochronne niż obowiązki określone w niniejszej DPA. Catchy Media Sp. z o.o. pozostaje wobec Klienta w pełni odpowiedzialna za wykonanie obowiązków każdego Sub-processora.

Pomoc przy żądaniach osób, których dane dotyczą

Catchy Media Sp. z o.o., z uwzględnieniem charakteru przetwarzania, pomaga Klientowi poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych umożliwiających Klientowi odpowiadanie na żądania osób, których dane dotyczą, wykonujących prawa z rozdziału III RODO (w tym prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu).

Powiadomienie o żądaniach

Catchy Media Sp. z o.o. niezwłocznie powiadomi Klienta, jeśli otrzyma żądanie osoby, której dane dotyczą, odnoszące się do Danych Osobowych Klienta, i nie odpowie na takie żądanie inaczej niż na udokumentowane polecenie Klienta albo gdy wymagają tego przepisy prawa.

Środki techniczne i organizacyjne

Catchy Media Sp. z o.o. wdraża i utrzymuje środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka, zgodnie z art. 32 RODO.

Obowiązek poufności

Catchy Media Sp. z o.o. podejmuje rozsądne działania, aby osoby mające dostęp do Danych Osobowych Klienta były objęte odpowiednimi zobowiązaniami do zachowania poufności.

Przetwarzanie na udokumentowane polecenie

Catchy Media Sp. z o.o. zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych Klienta robią to wyłącznie zgodnie z udokumentowanymi poleceniami Klienta oraz warunkami niniejszej DPA.

Obowiązek powiadomienia

Catchy Media Sp. z o.o. powiadomi Klienta bez zbędnej zwłoki o każdym stwierdzonym Naruszeniu Ochrony Danych Osobowych dotyczącym Danych Osobowych Klienta.

Treść powiadomienia

Takie powiadomienie będzie zawierać, w zakresie dostępnych w danym momencie informacji:

opis charakteru Naruszenia Ochrony Danych Osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów objętych naruszeniem;

imię i dane kontaktowe osoby kontaktowej ds. ochrony danych w Catchy Media Sp. z o.o.;

opis prawdopodobnych konsekwencji Naruszenia Ochrony Danych Osobowych; oraz

opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym w razie potrzeby środków ograniczających jego możliwe negatywne skutki.

Powiadomienie etapowe

Jeżeli wszystkie informacje wymagane zgodnie z sekcją Treść powiadomienia nie są dostępne w chwili pierwszego powiadomienia, Catchy Media Sp. z o.o. przekaże pozostałe informacje etapami bez zbędnej zwłoki.

Współpraca i działania naprawcze

Catchy Media Sp. z o.o. będzie współpracować z Klientem i podejmie rozsądne działania wspierające zbadanie, ograniczenie i usunięcie skutków Naruszenia Ochrony Danych Osobowych. Catchy Media Sp. z o.o. przekaże Klientowi informacje wystarczające do wykonania przez Klienta jego własnych obowiązków notyfikacyjnych wynikających z Przepisów o Ochronie Danych.

Pomoc przy DPIA

Catchy Media Sp. z o.o. zapewni Klientowi rozsądną pomoc przy ocenach skutków dla ochrony danych (DPIA) oraz uprzednich konsultacjach z Organami Nadzorczymi lub innymi właściwymi organami ochrony prywatności, które Klient rozsądnie uzna za wymagane na podstawie art. 35 i 36 RODO, wyłącznie w zakresie przetwarzania Danych Osobowych Klienta przez Catchy Media Sp. z o.o. oraz z uwzględnieniem charakteru przetwarzania i informacji dostępnych Catchy Media Sp. z o.o.

Informacje i dowody zgodności

Catchy Media Sp. z o.o. udostępni Klientowi, na rozsądny pisemny wniosek, wszelkie informacje rozsądnie niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszej DPA oraz art. 28 RODO.

Audyt i inspekcja

Catchy Media Sp. z o.o. umożliwi i przyczyni się do audytów oraz inspekcji prowadzonych przez Klienta lub upoważnionego zewnętrznego audytora, pod warunkiem że:

Klient przekaże co najmniej 30 dni wcześniejszego pisemnego powiadomienia o audycie;

audyty będą prowadzone w godzinach pracy i w sposób minimalizujący zakłócenia działalności Catchy Media Sp. z o.o.;

audytor będzie związany odpowiednimi zobowiązaniami do zachowania poufności; oraz

koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie niniejszej DPA przez Catchy Media Sp. z o.o.

Certyfikacje jako odpowiednik audytu

Catchy Media Sp. z o.o. może spełnić obowiązki audytowe w całości lub częściowo poprzez udostępnienie odpowiedniej dokumentacji bezpieczeństwa albo dostępnych wewnętrznych raportów audytowych.

Transfery poza EOG

Jeżeli korzystanie z Sub-processora wymaga przekazania Danych Osobowych Klienta do państwa spoza EOG, które nie korzysta z decyzji stwierdzającej odpowiedni stopień ochrony na podstawie art. 45 RODO, Catchy Media Sp. z o.o. zapewni, że taki transfer podlega odpowiednim zabezpieczeniom, w tym:

standardowym klauzulom umownym (SCC) przyjętym przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c RODO; lub

innemu mechanizmowi transferu uznawanemu za ważny na podstawie obowiązujących Przepisów o Ochronie Danych.

Mechanizmy transferu Sub-processorów

Informacja o mechanizmie transferu właściwym dla każdego Sub-processora jest dostępna dla Klienta na pisemny wniosek.

Zwrot lub usunięcie po zakończeniu Umowy

Po rozwiązaniu lub wygaśnięciu Umowy Catchy Media Sp. z o.o., według wyboru Klienta, usunie lub zwróci Klientowi wszystkie Dane Osobowe Klienta oraz usunie istniejące kopie, chyba że ich przechowywania wymagają przepisy prawa.

Potwierdzenie usunięcia

Catchy Media Sp. z o.o. potwierdzi zakończenie usuwania na rozsądny wniosek Klienta, z zastrzeżeniem obowiązków przechowywania wynikających z prawa.

Prawnie wymagane przechowywanie

Niezależnie od powyższego Catchy Media Sp. z o.o. może przechowywać Dane Osobowe Klienta w zakresie wymaganym przez obowiązujące przepisy prawa (w tym polskie przepisy podatkowe i rachunkowe wymagające przechowywania dokumentacji finansowej); w takim przypadku Catchy Media Sp. z o.o. zapewni, że dane będą przetwarzane wyłącznie w celach wymaganych prawem i chronione odpowiednimi środkami bezpieczeństwa.

Obowiązki usunięcia po stronie Sub-processorów

Catchy Media Sp. z o.o. zapewni, aby Sub-processorzy usunęli lub zwrócili Dane Osobowe Klienta zgodnie z niniejszą DPA po zakończeniu odpowiedniego stosunku dalszego powierzenia.

Relacja z Umową

Niniejsza DPA stanowi część Umowy i podlega jej postanowieniom. W razie sprzeczności pomiędzy niniejszą DPA a OWU w zakresie spraw dotyczących przetwarzania danych, pierwszeństwo ma niniejsza DPA.

Poufność

Każda ze stron zachowa w poufności warunki niniejszej DPA oraz informacje otrzymane o drugiej stronie w związku z DPA, z wyjątkiem sytuacji wymaganych przez prawo lub niezbędnych do wykonania obowiązków wynikających z niniejszej DPA.

Odpowiedzialność

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom i wyłączeniom wskazanym w postanowieniach o odpowiedzialności OWU, chyba że obowiązujące Przepisy o Ochronie Danych przewidują szerszą odpowiedzialność.

Zawiadomienia

Wszelkie zawiadomienia na podstawie niniejszej DPA będą przekazywane zgodnie z postanowieniami o zawiadomieniach OWU.

Zmiany

Catchy Media Sp. z o.o. może aktualizować niniejszą DPA w celu odzwierciedlenia zmian w Przepisach o Ochronie Danych lub swoich czynnościach przetwarzania, z co najmniej 30-dniowym wcześniejszym pisemnym powiadomieniem Klienta.

Prawo właściwe

Niniejsza DPA podlega prawu polskiemu. Spory wynikające z niniejszej DPA podlegają jurysdykcji sądów powszechnych właściwych dla siedziby Catchy Media Sp. z o.o. w Gdańsku, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa.

Kategorie osób, których dane dotyczą: upoważnieni użytkownicy Klienta (pracownicy i współpracownicy) oraz osoby, których Dane Osobowe znajdują się na kontach podłączonych przez Klienta.

Kategorie Danych Osobowych: dane identyfikacyjne i kontaktowe (np. imię i nazwisko, adres e-mail), dane konta i korzystania z Usług, dane techniczne (np. adres IP i logi) oraz Dane Osobowe znajdujące się na kontach podłączonych przez Klienta.

Charakter i cel: świadczenie, zabezpieczenie i wsparcie Usług.

Czas trwania: okres obowiązywania Umowy, a następnie usunięcie lub zwrot zgodnie z sekcją Usunięcie lub zwrot Danych Osobowych Klienta.

Szczególne kategorie danych osobowych: Catchy Media Sp. z o.o. w zwykłych warunkach świadczenia Usług nie przetwarza w imieniu Klienta szczególnych kategorii danych osobowych (w rozumieniu art. 9 RODO). Jeżeli Klient wymaga przetwarzania takich danych, musi to zostać uzgodnione na piśmie z udokumentowaną konkretną podstawą prawną przed rozpoczęciem przetwarzania.

Ostatnia aktualizacja: 28 października 2026 - Wersja v2026-10-28