Umowa powierzenia przetwarzania danych osobowych

§ 1. Strony i zawarcie umowy

1. Administrator — Klient wskazany w zaakceptowanym zgłoszeniu do ArenaBooking, prowadzący Obiekt i decydujący o celach oraz sposobach przetwarzania powierzanych danych.
2. Podmiot przetwarzający — Rimset sp. z o.o. z siedzibą w Polanicy-Zdroju, ul. Tadeusza Kościuszki 7/5, 57-320 Polanica-Zdrój, KRS 0000597051, NIP 8831859309, dalej również Rimset. Kontakt w sprawach tej umowy, w tym incydentów: adres e-mail wskazany w § 1 regulaminu.
3. Administrator akceptuje tę umowę w osobnym polu formularza rejestracji. Umowa zostaje zawarta w tej samej chwili co umowa o Usługę, zgodnie z § 3 regulaminu. Samo zaznaczenie pola przed przyjęciem zgłoszenia przez Rimset nie rozpoczyna świadczenia Usługi ani przetwarzania danych Gości.
4. Umowa stanowi powierzenie na podstawie art. 28 RODO. Jej treść utrwala się elektronicznie wraz z identyfikacją Administratora, wersją dokumentu i dowodami akceptacji oraz przyjęcia zgłoszenia.
5. Dane kontowe Klienta, jego przedstawicieli i Użytkowników Rimset przetwarza jako odrębny administrator w zakresie opisanym w § 17 regulaminu. Nie daje to Rimset prawa do używania powierzonych danych Gości do własnych celów.

§ 2. Przedmiot, zakres, cel i czas

1. Przedmiotem jest przetwarzanie danych na potrzeby grafiku rezerwacji, kartoteki Gości, ewidencji pobytów, odnotowanych wpłat i historii zmian w Obiekcie Administratora, a w zakresie funkcji włączonych przez Administratora także: przyjmowania zapytań i rezerwacji ze Strony oferty, płatności online Gości przez Operatora płatności Administratora, voucherów, próśb o zwrot, rozliczania opłaty miejscowej oraz wiadomości e-mail do Gości.
2. Przetwarzanie obejmuje przyjmowanie i porządkowanie danych — także wpisywanych przez Gości na Stronie oferty i stronach wpłaty lub rezygnacji — zapis, przechowywanie, wyszukiwanie, wyświetlanie, aktualizowanie, powiązanie z rezerwacjami, wysyłanie wiadomości do Gości w imieniu Administratora, przekazywanie danych transakcji Operatorowi płatności Administratora i zapis jej wyniku, wykonywanie kopii, odtwarzanie awaryjne, ograniczenie dostępu, zwrot i usuwanie. Dostęp techniczny służy wyłącznie obsłudze Usługi i wykonaniu poleceń Administratora.
3. Kategorie osób: Goście, osoby wysyłające zapytania i rezerwacje, osoby dokonujące rezerwacji lub płatności w imieniu Gości, dzieci podróżujące z Gośćmi (wyłącznie wiek), posiadacze voucherów oraz osoby kontaktowe lub przedstawiciele kontrahentów, których dane Administrator wprowadza w związku z rezerwacjami.
4. Kategorie danych: imię i nazwisko, e-mail, telefon, treść wiadomości od Gościa i dopuszczalnych notatek oraz preferencji, dane rezerwacji i pobytu, liczba osób i wiek dzieci w dniu przyjazdu, planowana godzina przyjazdu, przypisanie pokoju, wybrane dodatki, kwoty, zadatek i harmonogram wpłat, zasady rezygnacji, zapisy wpłat i ich korekt, dane transakcji płatniczych (kwota, status, identyfikator u Operatora płatności — bez danych kart), dane do faktury podane przez Gościa (firma, NIP, adres), vouchery i ich wykorzystanie, prośby o zwrot i wybory Gości, dane o opłacie miejscowej i pokwitowaniach, treść wysłanych wiadomości, statusy rezerwacji oraz powiązana historia zmian i metadane techniczne niezbędne do działania tych funkcji (w tym adres IP w dziennikach serwera i zabezpieczeniach antyspamowych).
5. Usługa nie jest przeznaczona do danych z art. 9 lub 10 RODO, numerów dokumentów tożsamości ani danych kart płatniczych. Administrator nie wprowadza ich również w polach tekstowych lub załącznikach. Jeżeli takie dane mimo to trafią do Usługi, pozostają chronione; Rimset powiadamia Administratora i uzgadnia zgodne z prawem usunięcie lub ograniczenie przetwarzania. Zakaz nie zwalnia Rimset z obowiązków ochrony.
6. Powierzenie trwa przez czas umowy o Usługę, a następnie przez okres konieczny do zwrotu i usunięcia danych zgodnie z § 9. Obowiązki poufności i ochrony trwają tak długo, jak Rimset posiada dane.
7. Administrator określa cel, podstawę prawną, zakres i czas przetwarzania danych Gości oraz realizuje obowiązki informacyjne wobec tych osób. Może wydawać polecenia, uzyskiwać informacje i kontrolować przetwarzanie na zasadach tej umowy.

§ 3. Polecenia i dopuszczalne wykorzystanie

1. Rimset działa wyłącznie na udokumentowane polecenia Administratora. Poleceniami są postanowienia tej umowy, działania uprawnionych osób w panelu oraz dodatkowe instrukcje przekazane w utrwalonej postaci, po odpowiednim sprawdzeniu uprawnienia osoby, która je składa.
2. Rimset nie wykorzystuje powierzonych danych do własnego marketingu, sprzedaży baz, trenowania modeli ani tworzenia profili na własne potrzeby. Wiadomości do Gości wysyła wyłącznie w związku z ich zapytaniem, rezerwacją, wpłatą, przypomnieniem lub rezygnacją, zgodnie z ustawieniami Administratora; nie wysyła Gościom treści marketingowych.
3. Gdy przetwarzania wymaga prawo Unii lub państwa członkowskiego, Rimset informuje Administratora o tym obowiązku przed przetwarzaniem, o ile przepisy tego nie zabraniają ze względu na ważny interes publiczny.
4. Jeżeli polecenie narusza zdaniem Rimset przepisy ochrony danych, Rimset niezwłocznie informuje Administratora i wstrzymuje wykonanie kwestionowanego polecenia do wyjaśnienia, zabezpieczając dane.

§ 4. Poufność i uprawnienia

1. Dostęp otrzymują tylko osoby, którym jest potrzebny do wykonania Usługi i które są upoważnione oraz związane obowiązkiem poufności wynikającym z prawa lub zobowiązania.
2. Uprawnienia są nadawane w niezbędnym zakresie i odbierane po ustaniu potrzeby. Osoby te otrzymują instrukcje dotyczące ochrony danych i zgłaszania incydentów. Poufność obowiązuje również po zakończeniu współpracy.

§ 5. Bezpieczeństwo

1. Rimset stosuje i utrzymuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO, w szczególności w zakresie poufności, integralności, dostępności i możliwości odtworzenia danych. Środki opisuje Załącznik 1.
2. Rimset sprawdza skuteczność zabezpieczeń i możliwość odtworzenia danych. Może ulepszać środki techniczne bez obniżania uzgodnionego poziomu ochrony; istotne zmiany przekazuje Administratorowi.
3. Brak gwarancji SLA w planie Start nie wyłącza obowiązków bezpieczeństwa ani pomocy Administratorowi.

§ 6. Dalsze powierzenie i lokalizacja danych

1. Administrator udziela ogólnego pisemnego upoważnienia w formie elektronicznej do dalszego powierzenia podmiotom wymienionym w Załączniku 2, w opisanym tam zakresie.
2. Rimset powiadamia e-mailem o planowanym dodaniu lub zastąpieniu dalszego podmiotu co najmniej 14 dni przed udostępnieniem mu danych, wskazując jego tożsamość, zadania, lokalizacje przetwarzania i istotne zabezpieczenia.
3. Administrator może w tym terminie zgłosić sprzeciw z przyczyn dotyczących ochrony danych. Do czasu jego rozpatrzenia i uzgodnienia dalszego sposobu postępowania Rimset nie przekazuje danych tego Administratora nowemu podmiotowi. Strony poszukują rozwiązania, a jeżeli go nie uzgodnią, mogą zakończyć świadczenie w odpowiednim zakresie z zapewnieniem zwrotu i usunięcia danych.
4. Rimset zobowiązuje dalszy podmiot do ochrony danych co najmniej w zakresie wymaganym przez tę umowę i art. 28 RODO. Rimset odpowiada wobec Administratora za wykonanie jego obowiązków.
5. Serwer główny znajduje się w Polsce. Pozostałe miejsca przetwarzania, w tym kopie i dostęp zdalny, muszą odpowiadać Załącznikowi 2. Przekazanie poza EOG wymaga udokumentowanego polecenia Administratora, spełnienia wymagań rozdziału V RODO oraz wcześniejszej informacji o podstawie transferu i zabezpieczeniach, chyba że odmienny obowiązek wynika z prawa na zasadach § 3 ust. 3.
6. Operator płatności, serwer poczty i konto SMS Administratora nie są dalszymi podmiotami Rimset. Operatora płatności (np. PayU, Przelewy24, Tpay) oraz — jeżeli Administrator je wskazał w ustawieniach — własny serwer poczty i własne konto u dostawcy SMS wybiera i umowę z nimi zawiera Administrator. Bramka SMS Usługodawcy (pula SMS Konta) jest dalszym podmiotem z Załącznika 2. Rimset przekazuje im dane wyłącznie na polecenie Administratora, w zakresie potrzebnym do transakcji albo wysyłki wiadomości; ich przetwarzanie reguluje umowa Administratora z tymi podmiotami. Dotyczy to także Konta Tpay założonego w panelu (regulamin § 9 ust. 9): umowę z Tpay zawiera Administrator, a Rimset jedynie przekazuje na jego zlecenie wniosek o założenie konta.
7. Mapa na Stronie oferty, jeżeli Administrator ją włączy, jest pobierana przez przeglądarkę Gościa bezpośrednio z serwisu Google. Rimset nie przekazuje przy tym Google danych Gości ze swojej bazy.
8. Powiadomienia na telefonie i komputerze (push), jeżeli osoba korzystająca z panelu włączy je na swoim urządzeniu, Rimset wysyła zaszyfrowane kluczem tego urządzenia (standard Web Push) przez usługę powiadomień przeglądarki, której ta osoba używa (np. Google, Apple, Mozilla, Microsoft). Usługa przekazuje wiadomość, ale nie ma klucza i nie odczytuje jej treści (imię i nazwisko Gościa, termin, liczba osób, kwota wpłaty); widzi tylko adres urządzenia i czas wysyłki. Usługa powiadomień przeglądarki jest pośrednikiem transmisji, a nie dalszym podmiotem przetwarzającym: przekazuje zaszyfrowaną wiadomość i przechowuje ją najwyżej do doręczenia, bez dostępu do jej treści. Powiadomienia wyłącza się w panelu (strona Powiadomienia) albo w ustawieniach przeglądarki.

§ 7. Pomoc i naruszenia ochrony danych

1. Uwzględniając charakter przetwarzania, Rimset pomaga Administratorowi odpowiednimi środkami w realizacji praw osób. Jeżeli dostępne formularze nie wystarczają, obsługuje uprawnione polecenia poza panelem. Anulowanie rezerwacji nie jest realizacją żądania usunięcia danych; trzeba uwzględnić kartotekę Gościa, historię, wpłaty, powiązane dane i kopie.
2. Żądanie otrzymane bezpośrednio od osoby Rimset bez zbędnej zwłoki przekazuje właściwemu Administratorowi. Nie rozstrzyga go samodzielnie, chyba że Administrator go do tego upoważni lub obowiązek wynika z prawa.
3. Uwzględniając charakter przetwarzania i dostępne informacje, Rimset pomaga w realizacji obowiązków z art. 32–36 RODO, w tym ocenie ryzyka, zgłoszeniach naruszeń, ocenie skutków i konsultacjach z organem.
4. Rimset zgłasza Administratorowi naruszenie dotyczące jego danych bez zbędnej zwłoki po stwierdzeniu. Nie czeka na zakończenie pełnego dochodzenia ani zebranie wszystkich informacji. Zawiadomienie kieruje na adres Konta i dodatkowy adres do incydentów, jeżeli Administrator go wskazał.
5. Zawiadomienie obejmuje znany charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe skutki, zastosowane lub planowane środki i kontakt do osoby prowadzącej sprawę. Brakujące informacje Rimset uzupełnia sukcesywnie, bez zbędnej zwłoki.
6. Rimset dokumentuje incydent, zabezpiecza dowody, ogranicza jego skutki i współpracuje z Administratorem. Zgłoszenia do organu i osób, których dane dotyczą, należą do Administratora, chyba że prawo stanowi inaczej.

§ 8. Informacje i audyty

1. Rimset udostępnia informacje potrzebne do wykazania wykonania obowiązków z art. 28 RODO oraz umożliwia i wspiera audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego audytora.
2. Rutynowy audyt jest uzgadniany z co najmniej 14-dniowym wyprzedzeniem. W pierwszej kolejności strony wykorzystują dokumenty i wyjaśnienia, jeżeli wystarczają do realizacji celu kontroli. Nie wyłącza to inspekcji ani dodatkowego audytu przy incydencie, uzasadnionym podejrzeniu naruszenia, istotnej zmianie przetwarzania lub wymaganiu organu. W takich przypadkach uzgadniają termin odpowiedni do pilności.
3. Audyt nie może naruszać praw innych klientów ani prowadzić do nieuprawnionego ujawnienia ich danych. Rimset zapewnia odpowiedni sposób kontroli, zamiast odmawiać jej z samego powodu wspólnej infrastruktury.
4. Administrator ponosi koszty wybranego przez siebie audytora. Rimset ponosi koszty zwykłego udostępnienia informacji i współpracy wymaganej tą umową. Ewentualne dodatkowe koszty wymagają uprzedniego uzgodnienia i nie mogą uniemożliwiać lub nieproporcjonalnie utrudniać wykonania praw Administratora.

§ 9. Zwrot i usunięcie danych

1. Administrator wybiera zwrot danych z późniejszym usunięciem albo ich usunięcie. Może przekazać dyspozycję w trakcie umowy, przy jej zakończeniu lub w ciągu 30 dni od zakończenia. Brak innej dyspozycji oznacza polecenie usunięcia po tym okresie odbioru.
2. Na żądanie Rimset zwraca wszystkie dane objęte powierzeniem danego Administratora, w powszechnie używanym formacie nadającym się do odczytu maszynowego, np. CSV lub JSON z opisem powiązań. Zwrot obejmuje również kartotekę Gości, rezerwacje, zapisy wpłat i transakcji, vouchery, prośby o zwrot, pokwitowania opłaty miejscowej i historię z danymi osobowymi, o ile takie dane są przetwarzane. Nie ogranicza się do aktualnie widocznego miesiąca grafiku. Nie wymaga wykupienia planu płatnego.
3. Rimset weryfikuje odbiorcę, uzgadnia bezpieczny kanał i realizuje zwrot bez zbędnej zwłoki, nie później niż w ciągu 30 dni od otrzymania kompletnego żądania. Nie usuwa danych objętych terminowym żądaniem, zanim umożliwi ich odebranie. Nie udostępnia kopii całej wspólnej bazy z danymi innych klientów.
4. Po okresie odbioru, wykonaniu zwrotu lub wcześniejszej dyspozycji usunięcia Rimset usuwa dane z aktywnych systemów zgodnie z § 13 regulaminu. W okresie przejściowym przetwarza je tylko dla zwrotu, zabezpieczenia, wykonania obowiązków prawnych i usunięcia.
5. Dane pozostające w kopiach są wyłączone z bieżącego użycia i wygasają w ciągu 14 dni od usunięcia z aktywnych systemów. Odtworzenie po awarii obejmuje ponowne zastosowanie poleceń usunięcia przed udostępnieniem danych. Zasada obejmuje również kopie poza serwerem; nie wolno przechowywać ich dłużej bez odpowiedniej zmiany zasad.
6. Wyjątek od usunięcia dotyczy danych, których zachowania wymaga prawo Unii lub państwa członkowskiego. Rimset informuje o podstawie i zakresie wyjątku, chyba że prawo tego zabrania, i ogranicza przetwarzanie do tego celu. Ogólny interes Rimset w obronie przed roszczeniami nie stanowi samodzielnego polecenia zachowania całej bazy Gości.
7. Na żądanie Rimset potwierdza wykonanie zwrotu lub usunięcia, wskazując ewentualne pozostałości w kopiach, termin ich wygaśnięcia i prawne wyjątki. Bezwzględnie obowiązujące przepisy o odbiorze lub przeniesieniu danych mają pierwszeństwo przed krótszym terminem umownym.

§ 10. Odpowiedzialność i zmiany

1. Każda ze stron odpowiada za wykonanie własnych obowiązków zgodnie z prawem, w tym art. 82 RODO. Do odpowiedzialności stron wobec siebie stosuje się ograniczenia i wyjątki z § 11 ust. 3 i 4 regulaminu. Umowa nie ogranicza praw osób, których dane dotyczą, ani uprawnień organu nadzorczego.
2. Zmiany tej umowy wymagające zgody Administratora wymagają jej wyraźnego udokumentowania. Nie przyjmuje się zgody wyłącznie z milczenia lub dalszego korzystania. Zmiany dalszych podmiotów odbywają się według § 6, a ulepszenia zabezpieczeń według § 5.
3. W sprawach ochrony powierzonych danych niniejsza umowa ma pierwszeństwo przed regulaminem. Każda opublikowana wersja jest przechowywana w niezmiennej postaci.

Załącznik 1. Środki techniczne i organizacyjne

Izolacja i kontrola dostępu

• Dane Obiektów rozdziela mechanizm PostgreSQL Row Level Security, włączony i wymuszony dla tabel Usługi. Zwykła rola aplikacji wykonuje operacje w kontekście konkretnego Obiektu. Role administracyjne i kopii mają szersze uprawnienia, są oddzielone od ról panelu i dostępne wyłącznie upoważnionej obsłudze.
• Osobne role bazy służą do obsługi rezerwacji, odczytu rejestru, uwierzytelniania, ustawiania haseł, rejestracji, zapisu wizytówki Obiektu i kopii. Formularz rejestracji korzysta z ograniczonych funkcji bazy zamiast bezpośrednich praw do tabel.
• Hasła są zapisywane jako skróty Argon2id. Stosuje się limity prób logowania, jednorazowe linki ustawienia hasła, kontrolę uprawnień przy żądaniach oraz unieważnianie dostępu po zmianie hasła.
• Pulpit operatora wymaga hasła i drugiego składnika TOTP; istotne czynności są rejestrowane. Brak widoku danych Gości w zwykłym pulpicie nie oznacza braku technicznego dostępu administracyjnego do bazy i kopii.

Transmisja i aplikacja

• Produkcja korzysta z HTTPS i konfiguracji TLS oraz HSTS. Ciasteczka sesji mają HttpOnly, SameSite=Lax oraz Secure przy HTTPS. Formularze zmieniające stan są chronione tokenami CSRF.
• Stosuje się ograniczenia osadzania stron i Content Security Policy. Skrypty są blokowane na ekranach, które ich nie wymagają; grafik i Strona oferty dopuszczają wyłącznie własne skrypty. Nie obiecuje się całkowitego wyłączenia JavaScriptu.
• Dane dostępowe do kont Administratora u Operatorów płatności i hasła do jego serwera poczty są przechowywane w bazie w postaci zaszyfrowanej (szyfrowanie kopertowe kluczem głównym przechowywanym poza bazą).
• Formularze Strony oferty mają zabezpieczenia antyspamowe (pole-pułapka, podpisany znacznik czasu, limity zapytań w serwerze WWW). Ze zdjęć wgrywanych do Usługi usuwane są metadane aparatu, w tym miejsce wykonania zdjęcia.

Serwer i organizacja

• Skrypty wdrożeniowe przewidują zaporę, fail2ban, aktualizacje bezpieczeństwa, lokalny dostęp do bazy z uwierzytelnianiem SCRAM-SHA-256 oraz oddzielne konta systemowe aplikacji.
• Dostęp administracyjny do serwera ma wyłącznie Rimset; upoważnienia nadaje i odbiera Rimset, a osoby upoważnione są zobowiązane do zachowania poufności. Logowanie do serwera odbywa się wyłącznie kluczem SSH, bez hasła. Naruszenia są zgłaszane Administratorowi zgodnie z § 7, bez zbędnej zwłoki.
• Zmiany podlegają weryfikacji, w tym testom izolacji danych.

Kopie i odtwarzanie

• Skrypty przewidują codzienny zrzut bazy i 14-dniową retencję. Lokalny zrzut jest nieszyfrowany, w katalogu o ograniczonych prawach dostępu na głównym serwerze.
• Z każdego zrzutu powstaje dodatkowa kopia zaszyfrowana na głównym serwerze kluczem publicznym (RSA 4096, AES-256-GCM). Tylko ona opuszcza główny serwer.
• Od 3 października 2026 r. zaszyfrowane kopie są przechowywane także poza głównym serwerem — na serwerze kopii u innego dostawcy (Załącznik 2), w Polsce. Serwer kopii sam pobiera kopie co godzinę kontem z prawem wyłącznie do odczytu; główny serwer nie ma do niego dostępu, więc przejęcie głównego serwera nie pozwala usunąć kopii zewnętrznych. Na serwerze kopii obowiązuje ta sama retencja 14 dni.
• Test odtworzenia kopii lokalnej: 1 października 2026 r. — kopię bazy odtworzono do osobnej bazy na serwerze i porównano z bazą działającą (te same tabele i liczby rekordów).
• Klucz prywatny do odczytu kopii zaszyfrowanych przechowuje Rimset poza oboma serwerami, chroniony hasłem; dostawca serwera kopii nie ma do niego dostępu.
• Test odczytu kopii zewnętrznej: 3 października 2026 r. — kopię pobraną z serwera kopii odszyfrowano poza serwerami i sprawdzono jej zawartość (spis treści zrzutu bazy). Pełne odtworzenie bazy sprawdzono na kopii lokalnej (wyżej).
• Retencja 14 dni obejmuje również kopie zewnętrzne, awaryjne i tworzone przed aktualizacjami. Po odtworzeniu kopii Rimset ponownie wykonuje zarejestrowane polecenia usunięcia.

Załącznik 2. Dalsze podmioty przetwarzające

Dostawca poczty używanej wyłącznie do obsługi kont przetwarza dane, których administratorem jest Rimset; ujawnia się go w informacji z § 17 regulaminu. Dane Gości dostawca poczty przetwarza tylko w zakresie wskazanym w tabeli: wiadomości do Gości wysyłane pocztą platformy (regulamin § 9 ust. 7) oraz zgłoszenia, odpowiedzi, eksporty albo informacje o incydencie przesyłane pocztą wsparcia.