Warunki Powierzenia Przetwarzania Danych — BoHosting / BoPoczta

Identyfikator dokumentu

BM-DPA-BOH-BOP

Wersja

1.0

Data wejścia w życie

27.10.2026

Powiązanie z Regulaminem

Integralny załącznik do Regulaminu sklepu Boroń Market dla Zamówień obejmujących BoHosting lub BoPoczta

§1. Strony, role i zakres stosowania

1. Niniejsze Warunki Powierzenia Przetwarzania Danych („Warunki Powierzenia”) stanowią integralną część umowy zawieranej pomiędzy Klientem a Boroń Media Group sp. z o.o., ul. Boya Żeleńskiego 4, 33-100 Tarnów, NIP 8733304303, REGON 542695815, KRS 0001193669 („BMG”), jeżeli Zamówienie obejmuje usługę BoHosting lub BoPoczta i w związku z jej świadczeniem BMG przetwarza dane osobowe na rzecz Klienta.

2. W zakresie Danych Powierzonych Klient działa jako administrator danych osobowych albo — jeżeli sam przetwarza dane na rzecz innego administratora — jako podmiot przetwarzający uprawniony do dalszego powierzenia, a BMG działa odpowiednio jako podmiot przetwarzający albo dalszy podmiot przetwarzający.

3. Jeżeli Klient działa jako podmiot przetwarzający na rzecz innego administratora, Klient oświadcza, że posiada uprawnienie do powierzenia BMG przetwarzania danych w zakresie wynikającym z niniejszych Warunków Powierzenia.

4. Niniejsze Warunki Powierzenia nie regulują danych, które BMG przetwarza jako niezależny administrator we własnych celach, w szczególności danych dotyczących zawarcia i obsługi umowy, rozliczeń, faktur, kontaktu z Klientem, bezpieczeństwa własnych systemów, obsługi roszczeń lub wykonania obowiązków prawnych BMG.

§2. Przedmiot, charakter i cel przetwarzania

1. Przedmiotem powierzenia jest przetwarzanie danych osobowych znajdujących się w środowisku usługi BoHosting lub BoPoczta albo przekazywanych BMG w związku z technicznym świadczeniem tych usług.

2. Przetwarzanie może obejmować, stosownie do zakupionej usługi i jej rzeczywistego wykorzystania, w szczególności przechowywanie, organizowanie, transmisję, odczyt w zakresie niezbędnym do administracji lub wsparcia technicznego, tworzenie i rotację kopii zapasowych, zabezpieczanie, diagnozowanie awarii, odtwarzanie, eksport lub zwrot danych, reaktywację, migrację oraz usuwanie danych po zakończeniu usługi.

3. Celem przetwarzania jest wyłącznie prawidłowe świadczenie usługi BoHosting lub BoPoczta, zapewnienie jej bezpieczeństwa, obsługa techniczna, wykonanie udokumentowanych poleceń Klienta oraz zgodne z umową zakończenie przetwarzania.

4. BMG nie jest uprawnione do wykorzystywania Danych Powierzonych do własnych celów marketingowych, tworzenia własnych baz klientów Klienta ani innych celów niezwiązanych ze świadczeniem usługi, chyba że odrębna podstawa prawna i rola BMG w konkretnym procesie zostały wyraźnie ustalone poza niniejszym powierzeniem.

§3. Czas przetwarzania

1. Powierzenie trwa przez okres aktywnej usługi BoHosting lub BoPoczta oraz przez maksymalnie 30 dni kalendarzowych po jej wygaśnięciu, zgodnie z procedurą zakończenia usługi.

2. Po upływie tego okresu Danych Powierzonych nie przechowuje się dalej, z wyjątkiem danych objętych ważnym poleceniem Klienta dotyczącym trwającego procesu eksportu lub migracji, danych objętych obowiązkiem zachowania wynikającym z prawa albo czasowo istniejących kopii w technicznym cyklu backupu, które podlegają normalnej rotacji.

§4. Kategorie osób i rodzaje danych

1. Kategorie osób mogą obejmować klientów i kontrahentów Klienta, użytkowników jego strony lub sklepu, osoby przesyłające formularze, pracowników i współpracowników, użytkowników kont i systemów, nadawców i odbiorców korespondencji e-mail oraz inne osoby, których dane Klient zgodnie z prawem przetwarza w usłudze.

2. Rodzaje Danych Powierzonych mogą obejmować w szczególności imię i nazwisko, nazwę firmy i dane służbowe, adres e-mail i numer telefonu, adresy IP i dane techniczne/logi, identyfikatory kont i użytkowników, dane zapisane w formularzach, dane klientów lub zamówień przechowywane przez Klienta w WordPress/WooCommerce, treść baz danych i plików strony, treść korespondencji e-mail, nagłówki wiadomości i załączniki oraz inne dane osobowe wprowadzone do środowiska usługi.

3. Klient odpowiada za to, aby zakres powierzonych danych był zgodny z prawem i adekwatny do jego celów.

§5. Udokumentowane polecenia Klienta

1. BMG przetwarza Dane Powierzone wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa.

2. Za udokumentowane polecenia uważa się w szczególności niniejsze Warunki Powierzenia, zakres zakupionej usługi i jej konfigurację, prawidłowo złożone dyspozycje Klienta dotyczące administracji, eksportu, migracji, odtworzenia, reaktywacji lub usunięcia danych oraz uzgodnienia utrwalone w systemie obsługi lub korespondencji.

3. Jeżeli BMG uzna, że polecenie Klienta narusza przepisy o ochronie danych, BMG informuje Klienta przed wykonaniem polecenia, chyba że prawo zabrania takiego poinformowania.

§6. Poufność

1. BMG zapewnia, aby osoby upoważnione do przetwarzania Danych Powierzonych miały dostęp wyłącznie w zakresie potrzebnym do wykonywania obowiązków oraz były zobowiązane do zachowania poufności albo podlegały odpowiedniemu ustawowemu obowiązkowi poufności.

2. Obowiązek poufności obowiązuje również po zakończeniu współpracy z osobą upoważnioną.

§7. Bezpieczeństwo przetwarzania

1. BMG stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, charakteru przetwarzania i aktualnego stanu wiedzy, zgodnie z art. 32 RODO.

2. Środki te obejmują, stosownie do właściwej usługi i ryzyka, w szczególności kontrolę i ograniczanie dostępu, zarządzanie uprawnieniami, zabezpieczenia uwierzytelniania, utrzymanie warstwy infrastrukturalnej objętej zakresem BMG, ochronę przed nieuprawnionym dostępem lub utratą danych, monitoring i diagnostykę bezpieczeństwa, procedury backupu i odtwarzania tam, gdzie backup jest elementem usługi, oraz procedury obsługi incydentów.

3. Dla BoHosting operacyjne kopie zapasowe funkcjonują w rolling 7-day cycle. Backup ten jest środkiem ochrony operacyjnej, nie stanowi dodatkowego uprawnienia do przechowywania danych po zakończeniu usługi ani gwarantowanego archiwum po trwałym usunięciu danych.

4. Dokładny model backupu BoPoczta jest ujawniany wyłącznie w zakresie faktycznie potwierdzonym technicznie.

§8. Pomoc przy realizacji praw osób

1. Uwzględniając charakter przetwarzania, BMG w miarę możliwości pomaga Klientowi przez odpowiednie środki techniczne i organizacyjne w realizacji obowiązku odpowiadania na żądania osób, których Dane Powierzone dotyczą.

2. Jeżeli osoba, której dane dotyczą, skieruje do BMG żądanie dotyczące Danych Powierzonych, BMG przekazuje żądanie Klientowi albo informuje osobę o właściwym administratorze, o ile jest to możliwe i zgodne z prawem.

§9. Pomoc w wykonaniu obowiązków z art. 32–36 RODO i naruszenia

1. Uwzględniając charakter przetwarzania oraz dostępne BMG informacje, BMG pomaga Klientowi w zapewnieniu zgodności z obowiązkami wynikającymi z art. 32–36 RODO w zakresie odnoszącym się do Danych Powierzonych.

2. BMG informuje Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony Danych Powierzonych, którego obsługa należy do BMG jako podmiotu przetwarzającego.

3. W miarę dostępności informacja obejmuje charakter naruszenia, znane lub szacowane kategorie danych i osób, możliwe konsekwencje, podjęte lub proponowane środki zaradcze oraz dane kontaktowe właściwe dla dalszej współpracy.

4. Jeżeli wszystkie informacje nie są dostępne jednocześnie, mogą być przekazywane etapami bez nieuzasadnionej zwłoki.

§10. Dalsze podmioty przetwarzające

1. Klient udziela BMG ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających, jeżeli jest to potrzebne do świadczenia BoHosting lub BoPoczta.

2. Aktualna Lista dalszych podmiotów przetwarzających jest udostępniana Klientowi przed zakupem i pozostaje dostępna w czasie trwania usługi.

3. BMG zapewnia, aby na dalszy podmiot przetwarzający zostały nałożone obowiązki ochrony danych odpowiadające obowiązkom BMG w zakresie wymaganym przez art. 28 ust. 4 RODO.

4. O planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego BMG informuje Klienta z wyprzedzeniem umożliwiającym zgłoszenie uzasadnionego sprzeciwu z przyczyn dotyczących ochrony danych. Docelowo informacja jest przekazywana co najmniej 14 dni wcześniej, jeżeli jest to operacyjnie możliwe.

5. Jeżeli uzasadniony sprzeciw uniemożliwia zgodne z prawem dalsze świadczenie konkretnej usługi i nie istnieje rozsądna alternatywa, Strony ustalają rozwiązanie dotyczące tej usługi zgodnie z właściwym prawem. Sam sprzeciw nie tworzy ogólnego prawa do zakończenia innych, niezwiązanych usług BMG.

6. BMG pozostaje odpowiedzialne wobec Klienta za wykonywanie obowiązków ochrony danych przez dalszy podmiot przetwarzający w zakresie wynikającym z art. 28 ust. 4 RODO.

§11. Transfery poza EOG

1. Jeżeli w łańcuchu świadczenia usługi dochodzi do przekazania Danych Powierzonych do państwa spoza EOG lub organizacji międzynarodowej, BMG zapewnia zastosowanie mechanizmu zgodnego z rozdziałem V RODO w zakresie, w jakim obowiązek ten dotyczy BMG.

2. Informacje o dostawcach i właściwych zabezpieczeniach są podawane zgodnie z faktycznym łańcuchem przetwarzania.

§12. Informacje i audyt

1. BMG udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO w zakresie dotyczącym świadczonej usługi.

2. W pierwszej kolejności obowiązek ten może być realizowany poprzez aktualną dokumentację, opisy środków bezpieczeństwa, odpowiedzi na uzasadnione pytania, certyfikaty lub raporty, jeżeli są dostępne i adekwatne.

3. Jeżeli informacje te nie są wystarczające, Klient może zażądać audytu w zakresie dotyczącym Danych Powierzonych. Audyt odbywa się po wcześniejszym uzgodnieniu terminu, powinien być proporcjonalny i nie może bez uzasadnienia naruszać bezpieczeństwa infrastruktury, tajemnicy przedsiębiorstwa ani poufności danych innych klientów.

§13. Zakończenie usługi, zwrot i usunięcie danych

1. BoHosting i BoPoczta są usługami terminowymi opłacanymi z góry i nie odnawiają się automatycznie.

2. Z chwilą wygaśnięcia usługi BMG zawiesza aktywne świadczenie usługi, a Klient poleca BMG zachowanie istniejących Danych Powierzonych w stanie nieaktywnym przez maksymalnie 30 dni kalendarzowych, wyłącznie w celu reaktywacji, zwrotu lub eksportu danych, migracji albo prawidłowego zakończenia przetwarzania.

3. W tym okresie Klient może odnowić usługę, zażądać standardowego zwrotu/eksportu danych, uzgodnić migrację albo polecić wcześniejsze usunięcie danych, o ile nie istnieje obowiązek prawny lub legal hold.

4. Co do zasady 7 dni przed końcem okresu retencji, tj. około D+23, BMG wysyła finalne ostrzeżenie o planowanym usunięciu danych.

5. Po upływie 30 dni BMG usuwa Dane Powierzone, jeżeli usługa nie została odnowiona, nie trwa aktywny uzgodniony proces eksportu lub migracji, Klient nie przekazał innej ważnej instrukcji i nie zachodzi obowiązek prawny lub legal hold.

6. Dane usunięte z aktywnego środowiska mogą jeszcze przez ograniczony czas występować w rotujących kopiach operacyjnych. Kopie takie podlegają normalnej rotacji i nie stanowią gwarantowanego archiwum dla Klienta.

7. Dla BoHosting potwierdzony cykl operacyjnego backupu wynosi rolling 7 days.

8. Usunięcie Danych Powierzonych nie oznacza usunięcia dokumentacji, którą BMG przechowuje jako niezależny administrator na odrębnej podstawie prawnej, np. zamówień, faktur, dowodów zawarcia umowy, dowodów akceptacji dokumentów, wymaganych logów bezpieczeństwa lub dokumentacji konkretnego sporu.

§14. Instrukcje i obowiązki Klienta

1. Klient odpowiada za zgodność z prawem celów i podstaw przetwarzania Danych Powierzonych, realizację obowiązków informacyjnych, ocenę adekwatności zakresu danych oraz wydawanie BMG poleceń zgodnych z prawem.

2. Klient powinien wykonać potrzebny eksport lub zlecić migrację odpowiednio wcześnie przed końcem usługi lub 30-dniowego okresu retencji.

3. BMG nie odpowiada za brak możliwości odzyskania danych po ich zgodnym z umową usunięciu ani za dane lub wiadomości, które nie zostały przyjęte przez system w okresie, gdy usługa była nieaktywna.

§15. Odpowiedzialność

1. Odpowiedzialność Stron za naruszenie niniejszych Warunków Powierzenia jest oceniana zgodnie z RODO, innymi bezwzględnie obowiązującymi przepisami oraz właściwymi postanowieniami Main Terms w zakresie prawnie dopuszczalnym.

2. Żadne postanowienie Main Terms ani niniejszych Warunków Powierzenia nie wyłącza odpowiedzialności, której nie można wyłączyć lub ograniczyć na mocy prawa.

§16. Wersja, obowiązywanie i zmiany

1. Niniejszy dokument posiada identyfikator BM-DPA-BOH-BOP, numer wersji i datę obowiązywania.

2. Wersja DPA właściwa dla konkretnego Zamówienia jest utrwalana i przypisywana do Zamówienia wraz z wersją Main Terms.

3. Zmiana DPA nie zmienia automatycznie warunków już zawartej umowy terminowej, chyba że wymaga tego bezwzględnie obowiązujące prawo albo Strony skutecznie uzgodnią zmianę.

4. Aktualna wersja DPA i aktualna Lista dalszych podmiotów przetwarzających są udostępniane w sposób umożliwiający ich zapisanie.