eposterunek.pl — Regulamin usługi

REGULAMIN USŁUGI EPOSTERUNEK.PL Wersja 2026-10-18.1 • dokument udostępniany od 18 października 2026 r. § 1. Usługodawca i przeznaczenie systemu 1. Usługodawcą jest Mateusz Wiśniowski, przedsiębiorca wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, adres: Miszkowice 88/2, 58-422 Lubawka, NIP: 6141520130. Marka usługi: eposterunek.pl. 2. Kontakt w sprawach usługi i reklamacji: info@eposterunek.pl; w sprawach danych osobowych: office@mateuszwisniowski.pl; telefon: +48 791 977 605. Korespondencję można kierować także na adres wskazany w ust. 1. 3. System służy cyfrowej organizacji pracy ochrony. Jest oferowany przedsiębiorcom i innym podmiotom organizującym ochronę własną lub świadczącym ochronę na rzecz klientów. Nie jest usługą fizycznej ochrony, centrum powiadamiania ratunkowego ani systemem sygnalizacji pożaru. 4. Klientem jest podmiot zawierający umowę; użytkownikiem — osoba korzystająca z konta przyznanego przez klienta. Obiekt to wskazane przez klienta miejsce prowadzenia rejestrów. Konto firmy stanowi wydzielone środowisko klienta pod adresem eposterunek.pl/firma/identyfikator/. 5. Regulamin jest dostępny nieodpłatnie przed zawarciem umowy. Można go zapisać jako plik tekstowy, wydrukować lub otrzymać e-mailem. Polityka prywatności i Informacja RODO są dostępne pod odrębnymi odnośnikami w stopce. § 2. Zakres usługi i pakiety 1. Usługa SaaS polega na udostępnianiu systemu przez internet w zakresie uzgodnionego pakietu, limitów, czasu i ceny. Nie obejmuje przeniesienia praw do programu ani dostępu do kodu źródłowego. 2. Pakiet Start obejmuje książkę służby i zdarzeń, obsługę gości i awizacji, kluczy i pojazdów oraz ALARM. Pakiety Operacje i Sieć obejmują dodatkowo moduły obchodów NFC, kontroli, raportów e-mail i panelu klienta. Dostępność zależy również od uprawnień użytkownika i przypisania do obiektów. 3. Standardowe limity aktywnych obiektów i kont łącznie wynoszą: Start — 1 i 20; Operacje — 5 i 100; Sieć — 15 i 300. Standardowe limity kont klientów: 0/20/60; osób awizujących: 10/30/100; kiosków: 1/5/15. Limity poszczególnych ról mieszczą się w łącznym limicie kont. Administrator jest do niego wliczany. 4. Klient może uzgodnić pakiet indywidualny, inną liczbę kont, obiektów i miejsca na dane. Wiążące limity, moduły, cena i okres rozliczeniowy wynikają z przyjętego zamówienia. Widoczne w panelu ustawienia służą realizacji tych ustaleń i same nie uprawniają do jednostronnej zmiany umowy. 5. Formularz kontaktowy służy złożeniu zapytania i przedstawieniu oferty. Jego wysłanie nie zawiera odpłatnej umowy, nie uruchamia abonamentu i nie stanowi zgody na newsletter. § 3. Wymagania techniczne i konta 1. Do wersji webowej potrzebne są: urządzenie z aktualną przeglądarką Chrome, Edge, Firefox lub Safari obsługującą JavaScript, połączenie z internetem oraz możliwość korzystania z niezbędnych plików sesji. Korzystanie powinno odbywać się przez HTTPS. Użytkownik ponosi koszty swojego urządzenia i dostępu do sieci. 2. Funkcje NFC wymagają zgodnego telefonu z Androidem, włączonego NFC, odpowiednich znaczników i odrębnej aplikacji, jeżeli została udostępniona w ramach zamówienia. Funkcje GPS, aparatu i powiadomień wymagają odpowiednich uprawnień urządzenia. Konkretna zgodność i dostępność wersji mobilnej jest potwierdzana przed zakupem; sam regulamin nie oznacza udostępnienia nowej aplikacji Android. 3. Klient wyznacza administratora firmy, zarządza użytkownikami, uprawnieniami i przypisaniem obiektów. Konta powinny być imienne; nie należy współdzielić haseł. Osoba działająca za klienta musi być uprawniona do reprezentacji lub posiadać stosowne umocowanie. 4. Dane dostępu są przekazywane na uzgodniony adres. Hasło tymczasowe należy zmienić przy pierwszym logowaniu; standardowo wygasa po 7 dniach. Utrata hasła lub urządzenia wymaga niezwłocznego kontaktu z administratorem firmy i w razie potrzeby usługodawcą. 5. Praca offline dotyczy tylko funkcji obsługiwanych przez daną wersję aplikacji. Dane zapisane na telefonie przed synchronizacją nie muszą być jeszcze widoczne w systemie centralnym. E-maile i ALARM wymagają połączenia z internetem oraz działającej poczty. § 4. Zawarcie umowy i testy 1. Przed zawarciem umowy usługodawca przekazuje ofertę określającą co najmniej strony, zakres modułów, limity, cenę netto i należny VAT lub informację o zwolnieniu, całkowitą cenę brutto tam, gdzie jest wymagana, cykl, datę rozpoczęcia i końca, płatność oraz zasady przedłużenia. Nie pobiera się opłat nieuzgodnionych z klientem. 2. Umowa zostaje zawarta po wyraźnym przyjęciu oferty i wskazanej wersji regulaminu przez uprawnioną osobę oraz potwierdzeniu przyjęcia zamówienia przez usługodawcę, np. w wymianie wiadomości e-mail. Klient otrzymuje potwierdzenie wraz z warunkami i regulaminem na trwałym nośniku, np. jako załącznik lub treść wiadomości. Samo utworzenie konta lub zalogowanie nie zastępuje tych czynności. 3. Przed wprowadzeniem rzeczywistych danych osób trzecich strony uzgadniają powierzenie danych według załącznika nr 1 lub odrębnej umowy. Jeżeli klient działa jako podmiot przetwarzający, musi posiadać wymagane upoważnienie właściwego administratora do dalszego powierzenia. 4. Długość i zakres bezpłatnego okresu próbnego są wskazywane w potwierdzeniu. Do prób bez zawartego powierzenia należy używać danych fikcyjnych. Test nie zmienia się automatycznie w płatny abonament. 5. Po upływie daty ważności może obowiązywać wskazany w zamówieniu okres przejściowy, standardowo 7 dni. Następnie system ogranicza możliwość nowych operacji do trybu odczytu. ALARM pozostaje dostępny w zakresie technicznie dostępnym dla tego konta. Upływ testu nie oznacza automatycznego skasowania danych. § 5. Abonament, faktury i przedłużenie 1. Cykl miesięczny jest liczony od uzgodnionego dnia do dnia poprzedzającego kolejną miesięczną rocznicę. Jeśli w danym miesiącu nie ma takiego dnia, granica przypada na jego ostatni dzień, z zachowaniem pierwotnego dnia odniesienia dla kolejnych miesięcy. Przykład: rozpoczęcie 18 października oznacza pierwszy okres 18 października–17 listopada. Cykl roczny działa analogicznie względem rocznicy rozpoczęcia. Dokładne daty wskazuje zamówienie lub potwierdzenie. 2. Faktury są wystawiane przez usługodawcę poza aplikacją, z wykorzystaniem KSeF, gdy wymagają tego przepisy. System może przygotowywać przypomnienia z danymi do faktury; nie oznacza to automatycznego wystawienia faktury ani pobrania płatności. 3. Termin płatności oraz rozliczenie z góry lub z dołu wynikają z oferty. Jeżeli strony nie postanowią inaczej, rozliczenie następuje z dołu za wskazany okres, a termin płatności wynosi 7 dni od wystawienia faktury. Obieg faktury, w tym udostępnienie w KSeF, jest zgodny z przepisami; pomocniczy adres e-mail nie zmienia ustawowych zasad doręczenia. 4. Klient podaje aktualne dane nabywcy, NIP i adres do korespondencji fakturowej. Zmiana danych nie zmienia strony umowy bez jej uzgodnienia. 5. Kolejny okres wymaga uzgodnienia lub wykonania przewidzianego w przyjętej ofercie sposobu przedłużenia oraz aktualizacji ważności konta przez usługodawcę. Nie stosuje się automatycznego obciążenia karty. Brak uzgodnienia dalszej odpłatnej usługi nie rodzi nowej opłaty za samo pozostawienie danych w ograniczonym dostępie. 6. Zmiana ceny lub limitów na przyszłość wymaga poinformowania i przyjęcia przez klienta. Nie zmienia jednostronnie opłaconego lub już zamówionego okresu. Zaległość może skutkować ograniczeniem usługi po uprzednim wezwaniu i wyznaczeniu co najmniej 7 dni na zapłatę. Dostęp do dokumentów i wydania danych nie jest uzależniony od zrzeczenia się uprawnień lub zapłaty nieuzgodnionych opłat. § 6. Zasady korzystania i ALARM 1. Zabronione są treści bezprawne, naruszanie praw osób trzecich, próby dostępu do cudzych kont, obchodzenie limitów oraz zakłócanie działania usługi. 2. Klient odpowiada za legalność celu przetwarzania, zakres rejestrowanych informacji, rzetelność wpisów, obowiązki informacyjne wobec osób i uprawnienia swojego personelu. Nie oznacza to wyłączenia własnych obowiązków ani odpowiedzialności usługodawcy. 3. Nie należy wpisywać danych szczególnych kategorii z art. 9 RODO, danych o wyrokach z art. 10 RODO, skanów dokumentów tożsamości ani pełnych numerów dokumentów, jeśli nie istnieje odrębnie uzgodniona, zgodna z prawem potrzeba i zabezpieczenia. Standardowa usługa nie jest przeznaczona do ich planowego gromadzenia. 4. Uruchomienie ALARMU wymaga potwierdzenia. Funkcja zapisuje listę gości i pojazdów pozostających na obiekcie według rejestrów i zleca wysłanie jej wskazanym odbiorcom. Wiarygodność listy zależy od poprawnego odnotowania wejść, wyjść, wjazdów i wyjazdów. 5. ALARM nie powiadamia automatycznie numeru 112, straży pożarnej ani policji i nie potwierdza ewakuacji. Nie zastępuje procedur bezpieczeństwa i bezpośredniego wezwania pomocy. Zlecenie wysyłki oraz przyjęcie przez serwer poczty nie gwarantują dotarcia lub przeczytania wiadomości. 6. Klient ustala niezbędny zakres raportu i uprawnionych odbiorców, weryfikuje adresy i prowadzi testy. Nie należy kierować raportów zawierających dane osób do odbiorców bez podstawy prawnej. Te same zasady dotyczą raportów cyklicznych. § 7. Utrzymanie, wsparcie i odpowiedzialność 1. Usługodawca utrzymuje system z należytą starannością zawodową, usuwa stwierdzone błędy i zapewnia niezbędne aktualizacje bezpieczeństwa w czasie świadczenia. Zgłoszenia przyjmuje pod info@eposterunek.pl. O ile nie uzgodniono SLA, nie ustala się gwarantowanej procentowej dostępności ani całodobowego czasu reakcji. 2. Planowane prace mogą powodować przerwy. O znanych istotnych pracach usługodawca informuje z wyprzedzeniem na adres administratora klienta; o awariach i ich skutkach — w miarę posiadanych informacji. Pilne zabezpieczenie systemu może wymagać niezwłocznego działania. 3. Przy bezpośrednim zagrożeniu bezpieczeństwa, bezprawnym użyciu lub obowiązku prawnym dopuszczalne jest niezbędne, proporcjonalne ograniczenie dostępu. Usługodawca przekazuje przyczynę i sposób usunięcia problemu, chyba że prawo zabrania ujawnienia informacji. W miarę możliwości ograniczenie dotyczy źródła zagrożenia, a nie całej firmy. 4. Usługodawca odpowiada na zasadach wynikających z przepisów, w tym za niewykonanie lub nienależyte wykonanie swoich zobowiązań. Regulamin nie ustanawia ogólnego wyłączenia odpowiedzialności za utratę danych, winę umyślną ani naruszenie obowiązków dotyczących ochrony danych. 5. Klient powinien korzystać z eksportów i swojej dokumentacji ciągłości działania. Nie zwalnia to usługodawcy z obowiązków bezpieczeństwa i uzgodnionych kopii zapasowych. Parametry kopii, odtwarzania i przechowywania uzgadnia się przed rozpoczęciem przetwarzania w załączniku nr 1; nie należy domniemywać gwarantowanego RPO/RTO lub niezależnego archiwum z samego posiadania abonamentu. § 8. Reklamacje 1. Reklamację można wysłać na info@eposterunek.pl lub listownie. Wystarczy opis problemu, dane pozwalające ustalić klienta i sposób kontaktu; daty, identyfikatory i oczekiwane rozwiązanie ułatwią obsługę. Nie należy przesyłać haseł ani nadmiarowych danych gości. 2. Usługodawca odpowiada w terminie 14 dni od otrzymania reklamacji, na e-mail lub innym uzgodnionym trwałym nośniku. Brak informacji pomocniczej nie pozwala na nieuzasadnione odraczanie odpowiedzi. Skutki braku odpowiedzi określają właściwe przepisy, jeśli mają zastosowanie. 3. Przy uzasadnionej reklamacji usługodawca przywraca zgodne działanie i rozlicza należne obniżenie ceny, zwrot lub inne roszczenie zgodnie z umową i prawem. Reklamacja nie ogranicza dochodzenia roszczeń przed właściwym sądem. § 9. Zakończenie, wydanie danych i zmiana dostawcy 1. Klient może zrezygnować z kolejnego okresu, pisząc na info@eposterunek.pl. Umowa zawarta na oznaczony okres kończy się z jego upływem bez obowiązku zamawiania następnego. Jeżeli uzgodniono czas nieoznaczony, zwykłe wypowiedzenie wynosi 30 dni. Nie ogranicza to prawa rozwiązania z ważnej przyczyny ani ustawowych uprawnień chronionego klienta. 2. Przy istotnym naruszeniu druga strona może rozwiązać umowę po wezwaniu do usunięcia naruszenia i bezskutecznym upływie co najmniej 7 dni, chyba że natychmiastowe rozwiązanie wynika z prawa lub jest konieczne ze względu na ciężar naruszenia. Rozlicza się okres rzeczywiście należnej usługi; nie pobiera się kary za samą zmianę dostawcy. 3. Klient może wystąpić o przeniesienie danych do innego dostawcy lub własnej infrastruktury. Zgłoszenie identyfikuje konto, uprawnioną osobę i wybrany kierunek. Maksymalny okres powiadomienia wynosi 30 dni, po którym okres przejściowy wynosi do 30 dni kalendarzowych. Klient może zażądać jednorazowego wydłużenia okresu przejściowego odpowiednio do art. 25 aktu w sprawie danych; wyjątki techniczne stosuje się tylko na warunkach tego przepisu i po pisemnym uzasadnieniu. 4. Usługodawca współpracuje w dobrej wierze, zapewnia rozsądną pomoc, bezpieczeństwo, ciągłość w uzgodnionym okresie oraz informacje o znanych ryzykach. Zakończenie przejścia potwierdza klient; jeśli wybiera wyłącznie usunięcie danych, umowa kończy się po upływie okresu powiadomienia, z poszanowaniem obowiązków prawnych. 5. Wydaniu podlegają eksportowalne dane klienta: dane obiektów i uprawnień, rejestry i ich metadane, zdarzenia, służby, wizyty, awizacje, klucze, pojazdy, kontrole, odczyty obchodów, konfiguracja i załączniki w zakresie dotyczącym klienta. Nie wydaje się cudzych danych, haseł, tajnych tokenów, kodu programu ani tajemnic usługodawcy, jeśli nie są eksportowalnymi danymi klienta. 6. Eksport jest udostępniany w powszechnym formacie maszynowym, np. CSV lub JSON, z załącznikami w oryginalnych formatach. Dostępne eksporty panelu można wykonać samodzielnie; brakujący pełny eksport, opis struktury i informacje o interfejsach przenoszenia usługodawca udostępnia bezpiecznym kanałem po zweryfikowaniu uprawnienia. Pełny eksport i przejście mogą wymagać ręcznej obsługi, nie są obietnicą przycisku dostępnego w każdym module. 7. Nie pobiera się opłaty za wymagane prawem przejście, wydanie danych ani usunięcie. Niezależnie zamówione dodatkowe prace wykraczające poza te obowiązki wymagają osobnego uzgodnienia i nie mogą być warunkiem wykonania obowiązkowego eksportu. Abonament w okresie przejściowym jest rozliczany wyłącznie w należnym zakresie, bez podwójnego obciążania za wcześniej opłacony okres. 8. Po okresie przejściowym klient ma co najmniej 30 dni kalendarzowych na pobranie danych. Po tym czasie lub wcześniej na udokumentowane żądanie uprawnionej strony usługodawca usuwa lub zwraca dane zgodnie z załącznikiem nr 1, chyba że prawo wymaga dalszego przechowania. Przed usunięciem informuje klienta o terminie. Usunięcie konta, środowiska, załączników i kopii wymaga odrębnej obsługi; upływ daty abonamentu sam w sobie nie uruchamia całego tego procesu. 9. Zasady tego paragrafu stosuje się z uwzględnieniem rozporządzenia (UE) 2023/2854 — aktu w sprawie danych, w zakresie, w jakim obejmuje usługę; nie ograniczają korzystniejszych bezwzględnie obowiązujących praw. § 10. Uprawnienia osób objętych ochroną konsumencką 1. Oferta jest kierowana do podmiotów zawodowych. Nie uchyla to praw osoby fizycznej prowadzącej działalność, gdy umowa jest z nią bezpośrednio związana, ale nie ma charakteru zawodowego w rozumieniu art. 7aa ustawy o prawach konsumenta. Gdy usługodawca zawrze umowę z konsumentem, przysługuje mu pełna ochrona wynikająca z ustawy. 2. Osoba uprawniona może odstąpić od umowy zawartej na odległość w ciągu 14 dni od zawarcia bez podania przyczyny, przesyłając jednoznaczne oświadczenie e-mailem lub pocztą. Nie jest wymagany specjalny formularz. Wystarczy: „Odstępuję od umowy eposterunek.pl zawartej dnia …, klient …, adres e-mail …”, data i podpis przy wersji papierowej. Zachowanie terminu następuje przez wysłanie oświadczenia przed jego upływem. 3. Rozpoczęcie świadczenia przed końcem terminu wymaga odrębnego wyraźnego żądania uprawnionego klienta i przekazania wymaganych informacji na trwałym nośniku. Samo uruchomienie ciągłej usługi SaaS nie oznacza automatycznej utraty prawa odstąpienia. Proporcjonalna zapłata za czas do odstąpienia jest należna wyłącznie po spełnieniu ustawowych przesłanek. 4. Należny zwrot następuje nie później niż w 14 dni od otrzymania odstąpienia, tą samą metodą płatności, chyba że klient bez dodatkowych kosztów zgodzi się na inną. 5. Usługodawca odpowiada za zgodność usługi cyfrowej z umową przez okres jej dostarczania oraz udostępnia wymagane aktualizacje. Uprawniony klient może żądać doprowadzenia do zgodności, a w przypadkach przewidzianych prawem obniżenia ceny albo odstąpienia, według rozdziału 5b ustawy o prawach konsumenta. Treści klienta są wydawane zgodnie z prawem, bez uzależniania od zgody na utratę roszczeń. 6. Konsument może uzyskać pomoc rzecznika konsumentów lub Inspekcji Handlowej i informacje o pozasądowych sposobach rozwiązywania sporów na uokik.gov.pl. Udział usługodawcy w konkretnym postępowaniu ADR zależy od obowiązku ustawowego lub jego odrębnej zgody. Regulamin nie odsyła do zlikwidowanej platformy ODR. § 11. Zmiany i postanowienia końcowe 1. Zmiany organizacyjne lub funkcjonalne wymagające aktualizacji regulaminu są przedstawiane z uzasadnieniem na trwałym nośniku co najmniej 30 dni przed zastosowaniem do trwającej umowy. Zmiana nie działa wstecz i nie narusza uzgodnionego okresu, ceny ani praw nabytych. Gdy wymagana jest zgoda klienta, nowa wersja obowiązuje dopiero po jej uzyskaniu. Brak zgody nie jest domniemanym zamówieniem dalszego abonamentu. 2. Pilne zmiany wymagane prawem lub bezpieczeństwem mogą wejść w życie wcześniej tylko w koniecznym zakresie. Do chronionych klientów stosuje się ponadto ustawowe warunki zmiany usługi cyfrowej, w tym prawo rozwiązania w przypadkach przewidzianych prawem. 3. Zmiana polityki prywatności informuje o przetwarzaniu i sama nie tworzy nowej podstawy prawnej ani zgody marketingowej. Wcześniejsze wersje regulaminu pozostają dostępne według ich identyfikatorów. 4. Stosuje się prawo polskie, bez uszczerbku dla bezwzględnie obowiązującej ochrony wynikającej z właściwego prawa. Właściwość sądu ustala się według przepisów, bez narzucania chronionemu klientowi wyłącznego sądu usługodawcy. ZAŁĄCZNIK NR 1 — WARUNKI POWIERZENIA PRZETWARZANIA DANYCH A. Strony, instrukcje i zakres 1. Stronami są klient wskazany w potwierdzeniu zamówienia oraz Mateusz Wiśniowski wskazany w § 1. Klient działa jako administrator albo uprawniony podmiot przetwarzający; usługodawca odpowiednio jako procesor albo dalszy procesor. Załącznik wiąże strony po jego wyraźnym przyjęciu w udokumentowanym zamówieniu lub odrębnej umowie, a nie przez samo odczytanie strony. 2. Przedmiotem jest przetwarzanie niezbędne do udostępnienia konta firmy i uzgodnionych modułów, wsparcia, bezpieczeństwa, eksportu i zakończenia usługi. Czas: od przyjęcia powierzenia i rozpoczęcia operacji do zwrotu lub usunięcia zgodnie z częścią F. Cele określa właściwy administrator. 3. Operacje obejmują zbieranie, utrwalanie, organizowanie, przechowywanie, odczyt, udostępnianie uprawnionym osobom, eksport, ograniczenie i usunięcie. Kategorie osób: użytkownicy, pracownicy i zleceniobiorcy, przedstawiciele klientów, goście, osoby awizujące, kierowcy i inne osoby zgodnie z legalnie prowadzonymi rejestrami. 4. Dane: imię i nazwisko, identyfikator, służbowe dane kontaktowe, rola i uprawnienia, obiekt, czasy zdarzeń, wejść i wyjść, cel wizyty, firma, numer rejestracyjny, wydania i zwroty kluczy, przebieg służby, odczyty NFC, wyniki kontroli, lokalizacja i zdjęcia, jeżeli klient legalnie uruchomił te funkcje, oraz niezbędna treść wpisów. Standardowo wyłączone są kategorie opisane w § 6 ust. 3. 5. Udokumentowanymi instrukcjami są przyjęta umowa, ustawienia wprowadzone przez uprawnionego administratora klienta oraz zweryfikowane polecenia pisemne lub elektroniczne. Polecenie sprzeczne z prawem jest niezwłocznie zgłaszane klientowi; usługodawca nie wykonuje go w bezprawnym zakresie. Obowiązkowe ujawnienie wynikające z prawa jest zgłaszane przed operacją, chyba że prawo zabrania informacji. 6. Usługodawca nie używa powierzonych danych do własnego marketingu, sprzedaży baz ani trenowania modeli AI. Dane własnych rozliczeń i kontaktów są odrębnym przetwarzaniem opisanym w polityce prywatności. B. Personel i bezpieczeństwo 1. Dostęp otrzymują wyłącznie osoby upoważnione, zobowiązane do poufności także po zakończeniu współpracy. Usługodawca stosuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO i weryfikuje ich skuteczność. 2. Minimalne środki uzgodnione dla usługi obejmują: transmisję HTTPS, indywidualne uwierzytelnienie, nieodwracalne skróty haseł, kontrolę ról i obiektów, wydzielenie danych firm, ograniczony dostęp administracyjny do hostingu, aktualizacje, rejestrowanie istotnych operacji oraz bezpieczny sposób udostępniania eksportów. Nie oznacza to deklaracji certyfikacji, szyfrowania każdej bazy w spoczynku lub braku ryzyka. 3. Przed pierwszym przetwarzaniem rzeczywistych danych usługodawca przekazuje klientowi opis faktycznie działających kopii i odtwarzania: zakres, lokalizację, częstotliwość, okres rotacji, uprawnienia i tryb testowania. Opis wraz z oceną ryzyka stanowi uzgodnioną specyfikację zabezpieczeń. Brak ustaleń nie może być zastąpiony samym linkiem do ogólnego regulaminu hostingu; do ich uzgodnienia należy używać danych testowych. C. Dalsze powierzenie i transfery 1. Wstępny wykaz podprzetwarzających: IQGroup Adam Buhl, ul. Luboszycka 36/1, 45-128 Opole, NIP 9910389442, marka IQhost — hosting aplikacji, plików i baz oraz poczta, w zakresie faktycznie zleconych usług. Według opisu infrastruktury dostawcy serwery i kopie są w Polsce. Właściwe warunki i umowa powierzenia z dostawcą muszą być skutecznie zawarte przed przekazaniem danych. 2. Klient udziela ogólnego pisemnego upoważnienia do korzystania z wykazu uzgodnionego przy zawarciu powierzenia. Usługodawca aktywnie zawiadamia e-mailem o dodaniu lub zastąpieniu podprzetwarzającego co najmniej 14 dni przed powierzeniem i umożliwia uzasadniony sprzeciw przed rozpoczęciem. Gdy sprzeciwu nie da się rozwiązać bez naruszenia ochrony danych, strony uzgadniają alternatywę lub zakończenie odpowiedniego zakresu z wydaniem danych. Brak reakcji nie zastępuje braku pierwotnego upoważnienia. 3. Umowy z podprzetwarzającymi nakładają obowiązki co najmniej równoważne ochronie wymaganej w art. 28 RODO. Usługodawca odpowiada wobec klienta za wykonanie tych obowiązków przez dalszy procesor zgodnie z art. 28 ust. 4. 4. Przekazanie poza EOG wymaga udokumentowanego polecenia lub właściwej podstawy oraz spełnienia rozdziału V RODO, z przekazaniem klientowi informacji o państwie i zabezpieczeniach. Dodatkowi dostawcy oraz ich lokalizacje wymagają aktualizacji wykazu. Skonfigurowanie zewnętrznego adresu raportów jest instrukcją klienta, który weryfikuje prawo odbiorcy do danych; nie zastępuje ono zabezpieczeń prawnych transferu. 5. Dostawcy poczty odbiorców mogą przetwarzać wysłane raporty poza infrastrukturą usługi. Do raportów operacyjnych nie należy domyślnie używać prywatnej skrzynki usługodawcy. Apple/iCloud wskazane w polityce jako możliwy odbiorca korespondencji własnej usługodawcy nie jest przez to automatycznie zatwierdzonym podprocesorem rejestrów klienta. D. Pomoc, prawa osób i naruszenia 1. Usługodawca, z uwzględnieniem charakteru operacji i dostępnych informacji, pomaga przy realizacji praw osób, ocenie ryzyka, ocenie skutków, uprzednich konsultacjach, zabezpieczeniach i obowiązkach z art. 32–36 RODO. Żądanie osoby dotyczące powierzonych danych przekazuje klientowi bez zbędnej zwłoki; nie rozstrzyga go samodzielnie, chyba że działa na upoważnione polecenie lub wymaga tego prawo. 2. O stwierdzonym naruszeniu ochrony powierzonych danych powiadamia klienta bez zbędnej zwłoki, przekazując posiadane informacje o zdarzeniu, kategoriach i przybliżonej skali, skutkach, środkach naprawczych i osobie kontaktowej. Brak kompletu informacji nie opóźnia pierwszego zawiadomienia; uzupełnia się je sukcesywnie. Termin 72 godzin na zgłoszenie organowi dotyczy obowiązku administratora w ustawowych przypadkach i nie jest czasem, który procesor może z zasady odczekać. E. Informacje i audyty 1. Usługodawca udostępnia informacje niezbędne do wykazania zgodności z art. 28 oraz umożliwia audyty, w tym inspekcje, uprawnionemu administratorowi lub upoważnionemu audytorowi i współpracuje przy nich. Organizacja audytu uwzględnia bezpieczeństwo i poufność innych klientów, ale nie może faktycznie uniemożliwiać lub nadmiernie ograniczać prawa kontroli. 2. Ustalenie terminu i zakresu nie wyłącza kontroli pilnej przy naruszeniu lub uzasadnionym ryzyku. Obowiązkowych informacji i audytu nie uzależnia się od zapłaty nieuzgodnionej opłaty. Usługodawca wskazuje niezgodne z prawem instrukcje także w zakresie kontroli. F. Koniec przetwarzania 1. Po zakończeniu świadczenia, według decyzji uprawnionego administratora, usługodawca zwraca lub usuwa powierzone dane i usuwa ich kopie, z zastrzeżeniem obowiązkowego przechowania wynikającego z prawa. Klientowi przysługuje co najmniej okres odbioru opisany w § 9, o ile nie poleci zgodnego z prawem wcześniejszego usunięcia. 2. Termin technicznego usunięcia z systemu głównego po odbiorze albo poleceniu wynosi do 30 dni, chyba że strony uzgodnią wcześniejszy. Dla kopii zapasowych obowiązuje termin rotacji opisany i zaakceptowany przed rozpoczęciem przetwarzania zgodnie z częścią B; nie wolno pozostawiać go nieokreślonego. Do czasu rotacji dane są izolowane od zwykłego użytku; po odtworzeniu ponownie wykonuje się uprzednie polecenia usunięcia. Wykonanie i wyjątki prawne są potwierdzane klientowi. 3. Zobowiązania poufności i bezpieczeństwa trwają przez cały czas posiadania danych. Powierzenie nie tworzy prawa usługodawcy do dowolnego zachowania danych po zakończeniu współpracy.