Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu FCPOS, wersja 2.0, obowiązuje od 16 listopada 2026 r. Umowa między Klientem FCPOS jako administratorem danych a McProdukt Sp. j. jako podmiotem przetwarzającym, zawierana na podstawie art. 28 RODO.

• 1. Definicje
• 2. Przedmiot, charakter i cel przetwarzania
• 3. Rodzaje danych i kategorie osób
• 4. Obowiązki Administratora
• 5. Obowiązki Podmiotu przetwarzającego
• 6. Dalsze podmioty przetwarzające
• 7. Przekazywanie poza EOG
• 8. Naruszenia ochrony danych
• 9. Informacje i audyty
• 10. Usuwanie danych i zakończenie przetwarzania
• 11. Odpowiedzialność
• 12. Postanowienia końcowe
• Załącznik A. Środki bezpieczeństwa

Niniejsza umowa powierzenia (dalej „Umowa powierzenia”) jest częścią Umowy w rozumieniu Regulaminu FCPOS i zostaje zawarta na podstawie art. 28 ust. 3 RODO między Klientem jako administratorem danych (dalej „Administrator”) a Usługodawcą, McProdukt Spółka jawna z siedzibą w Gdyni, ul. Czesława Niemena 3/5, 81-603 Gdynia, KRS 0001216800, NIP 9581761589, jako podmiotem przetwarzającym (dalej „Podmiot przetwarzający”). Umowę powierzenia zawiera się przez akceptację Regulaminu (§4 Regulaminu), w formie elektronicznej (art. 28 ust. 9 RODO).

1. Definicje

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie (w szczególności Klient końcowy, Powiadomienie, Pakiet SMS, Stanowisko, Użytkownik), a ponadto:

Dane

dane osobowe, które Administrator i Użytkownicy wprowadzają do FCPOS albo które FCPOS pobiera lub tworzy na polecenie Administratora (np. faktury pobrane z KSeF, dziennik Powiadomień).

Książka klientów

funkcja FCPOS do prowadzenia listy Klientów końcowych Administratora (dane kontaktowe, uwagi, ustawienia Powiadomień) razem z grafikiem wizyt.

Rezerwacje

rezerwacje stolików (FCGASTRO) i pokoi, czyli pobyty (FCHOTEL), razem z danymi gościa.

Dalszy podmiot przetwarzający

podmiot, któremu Podmiot przetwarzający powierza wykonanie części przetwarzania w imieniu Administratora (art. 28 ust. 4 RODO).

Naruszenie

naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie Danych w zakresie i w celu niezbędnym do świadczenia usług FCPOS opisanych w Regulaminie, w szczególności: prowadzenia sprzedaży i magazynu, faktur i połączenia z KSeF, listy pracowników, Książki klientów, grafiku wizyt i Rezerwacji oraz wysyłania Powiadomień.
2. Przetwarzanie obejmuje operacje: zbieranie z Aplikacji i Panelu, przechowywanie (w części w postaci zaszyfrowanej, Załącznik A), porządkowanie, synchronizację między Stanowiskami a Panelem, przeglądanie i udostępnianie Administratorowi i Użytkownikom, wyszukiwanie (np. klienta po numerze telefonu), tworzenie raportów, kopii zapasowych i plików eksportu, przesyłanie faktur do KSeF i pobieranie z niego faktur, wysyłanie e-maili do nabywców i Powiadomień do Klientów końcowych, sprawdzanie stanu doręczenia Powiadomień, anonimizację i usuwanie.
3. Podmiot przetwarzający nie wykorzystuje Danych do własnych celów, w szczególności do reklamy, profilowania, sprzedaży lub udostępniania danych, analiz rynkowych ani do trenowania modeli sztucznej inteligencji. Liczniki potrzebne do rozliczeń (np. liczba SMS-ów wykorzystanych z Pakietów SMS Administratora) nie zawierają danych Klientów końcowych.
4. Przetwarzanie trwa przez czas obowiązywania Umowy oraz przez okres potrzebny do przekazania i usunięcia Danych po jej rozwiązaniu (pkt 10).

3. Rodzaje danych i kategorie osób

FCPOS nie jest przeznaczony do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO), w tym danych dotyczących zdrowia, ani danych dotyczących wyroków skazujących (art. 10 RODO), ani do prowadzenia dokumentacji medycznej. Pola „Uwagi” są polami wolnymi. Administrator i Użytkownicy nie wprowadzają w nich ani w innych polach FCPOS danych o zdrowiu ani innych danych szczególnych kategorii, a za treść wprowadzanych uwag i podstawę ich przetwarzania odpowiada Administrator (§9 ust. 7 Regulaminu).

Dane zapisywane wyłącznie na urządzeniu Administratora i nieprzesyłane na serwer, w szczególności otwarte rachunki i kopie zapasowe Aplikacji zapisane na urządzeniu, a także wizyty, Książka klientów i Rezerwacje, dopóki ich przesyłanie na serwer nie jest włączone dla Konta, nie są powierzane Podmiotowi przetwarzającemu. Za te dane i za urządzenia odpowiada Administrator.

4. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną do przetwarzania powierzanych Danych i spełnia wobec osób, których dane dotyczą, obowiązki informacyjne (art. 13 i 14 RODO), w tym informuje je o odbiorcach danych.
2. Administrator odpowiada za wybór odbiorców i treść Powiadomień, które ustawia w FCPOS. Informacje handlowe, w tym marketing bezpośredni, wysyła wyłącznie do Klientów końcowych, którzy uprzednio zgodzili się na nie w danym kanale (SMS, e-mail), zgodnie z art. 398 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, i potrafi wykazać te zgody (§8.3 Regulaminu).
3. Administrator wydaje polecenia przetwarzania przez korzystanie z funkcji FCPOS, przez konfigurację Konta, Stanowisk i Powiadomień oraz w formie dokumentowej (e-mail).
4. Administrator zabezpiecza to, co jest po jego stronie: urządzenia z Aplikacją (blokada ekranu, aktualny system), PIN-y i uprawnienia pracowników, dostęp do Panelu oraz kopie zapasowe Aplikacji zapisane na urządzeniu, które nie są szyfrowane i zawierają także dane Klientów końcowych. Przed oddaniem, sprzedażą albo serwisem urządzenia usuwa z niego dane albo powierza serwis na podstawie własnej umowy powierzenia.
5. Administrator ustala, jak długo przechowuje dane Klientów końcowych, i usuwa z Książki klientów osoby, których dane nie są mu już potrzebne. FCPOS nie usuwa danych z Książki klientów samoczynnie, z wyjątkiem danych gości Rezerwacji (pkt 10 ust. 2).

5. Obowiązki Podmiotu przetwarzającego

1. Podmiot przetwarzający:
   1. przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, którym są Umowa, Regulamin i polecenia wydawane zgodnie z pkt 4 ust. 3, także w odniesieniu do przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie. W takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;
   2. zapewnia, że osoby upoważnione do przetwarzania Danych zobowiązały się do zachowania ich w tajemnicy albo podlegają ustawowemu obowiązkowi zachowania tajemnicy;
   3. stosuje środki wymagane na mocy art. 32 RODO, opisane w Załączniku A, i regularnie, nie rzadziej niż raz w roku oraz po każdej istotnej zmianie Systemu, ocenia ich skuteczność;
   4. korzysta z usług dalszych podmiotów przetwarzających wyłącznie na zasadach pkt 6;
   5. biorąc pod uwagę charakter przetwarzania, pomaga Administratorowi odpowiadać na żądania osób, których dane dotyczą (rozdział III RODO), w szczególności przez funkcje FCPOS: wyszukanie Klienta końcowego, poprawienie jego danych, wyłączenie Powiadomień i usunięcie go z Książki klientów (pkt 10 ust. 1), a gdy te funkcje nie wystarczą, przez przekazanie Administratorowi na żądanie zgłoszone e-mailem danych wskazanej osoby w powszechnie używanym formacie, niezwłocznie, w terminie pozwalającym Administratorowi odpowiedzieć na żądanie w terminie z art. 12 ust. 3 RODO. Żądanie skierowane bezpośrednio do Podmiotu przetwarzającego przekazuje Administratorowi niezwłocznie, nie później niż w ciągu 3 dni roboczych, i sam nie odpowiada na nie co do istoty;
   6. uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO, w szczególności udostępnia opis przetwarzania i zabezpieczeń potrzebny do analizy ryzyka albo oceny skutków dla ochrony danych oraz zgłasza Naruszenia na zasadach pkt 8;
   7. po zakończeniu świadczenia usług usuwa albo zwraca Dane na zasadach pkt 10;
   8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia audyty na zasadach pkt 9.
2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
3. Jeżeli organ publiczny zażąda od Podmiotu przetwarzającego udostępnienia Danych, Podmiot przetwarzający informuje o tym Administratora przed udostępnieniem, chyba że prawo tego zabrania, i udostępnia tylko dane, do których wydania jest zobowiązany.

6. Dalsze podmioty przetwarzające

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. Dalsze podmioty przetwarzające, z których Podmiot przetwarzający korzysta, z zakresem przetwarzania i lokalizacją danych, wymienia Załącznik nr 2 do Regulaminu, opublikowany pod adresem fcpos.pl/podwykonawcy.html.
2. O zamiarze dodania albo zastąpienia dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem albo komunikatem w Panelu co najmniej 14 dni wcześniej, podając nazwę podmiotu, zakres przetwarzania i lokalizację danych. Zmiana listy w Załączniku nr 2 następuje po upływie tego terminu. Administrator może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę ze skutkiem natychmiastowym na zasadach §14 ust. 4 Regulaminu.
3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający, w drodze umowy, te same obowiązki ochrony danych co w Umowie powierzenia, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeżeli dalszy podmiot przetwarzający nie wywiąże się ze swoich obowiązków, pełna odpowiedzialność wobec Administratora spoczywa na Podmiocie przetwarzającym (art. 28 ust. 4 RODO).
4. Nie są dalszymi podmiotami przetwarzającymi:
   1. Minister Finansów jako podmiot prowadzący KSeF: faktury trafiają do KSeF na polecenie Administratora i w wykonaniu jego obowiązków podatkowych, a Minister Finansów jest ich odbiorcą na podstawie przepisów prawa,
   2. Główny Urząd Statystyczny i Minister Finansów jako prowadzący rejestr REGON i wykaz podatników VAT: przy pobieraniu danych firmy przekazywany jest im wyłącznie numer NIP,
   3. operatorzy sieci komórkowych, którzy doręczają SMS-y odbiorcom, oraz dostawcy skrzynek pocztowych odbiorców: działają jako samodzielni administratorzy w zakresie usług świadczonych odbiorcom,
   4. operator płatności imoje (ING Bank Śląski S.A.): przetwarza wyłącznie dane rozliczeń Klienta z Usługodawcą, opisane w Polityce prywatności,
   5. agent rozliczeniowy albo dostawca płatności kartą, z którym Administrator ma własną umowę: Aplikacja przekazuje mu tylko kwotę i odbiera wynik transakcji,
   6. Partner: nie ma przez Panel dostępu do Danych (§10 Regulaminu).

7. Przekazywanie poza EOG

Podmiot przetwarzający nie przekazuje Danych do państw spoza Europejskiego Obszaru Gospodarczego ani do organizacji międzynarodowych, a lokalizację danych u dalszych podmiotów przetwarzających podaje Załącznik nr 2. Jeżeli w przyszłości przekazanie byłoby konieczne, nastąpi wyłącznie przy zastosowaniu zabezpieczeń z rozdziału V RODO i po poinformowaniu Administratora na zasadach pkt 6 ust. 2.

8. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone Naruszenie dotyczące Danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres właściciela Konta.
2. Zgłoszenie zawiera, w zakresie, w jakim Podmiot przetwarzający je zna, informacje wymienione w art. 33 ust. 3 RODO: charakter Naruszenia, kategorie i przybliżoną liczbę osób i wpisów, dane kontaktowe, możliwe konsekwencje oraz zastosowane albo proponowane środki. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje etapami, bez zbędnej zwłoki.
3. Podmiot przetwarzający dokumentuje Naruszenia dotyczące Danych (okoliczności, skutki, działania naprawcze) i udostępnia tę dokumentację Administratorowi.
4. Podmiot przetwarzający nie zgłasza Naruszenia Prezesowi Urzędu Ochrony Danych Osobowych ani nie zawiadamia osób, których dane dotyczą, w imieniu Administratora, chyba że Administrator o to poprosi. Pomaga Administratorowi przygotować zgłoszenie i zawiadomienie (art. 33 i 34 RODO).

9. Informacje i audyty

1. Na żądanie Administratora Podmiot przetwarzający przekazuje aktualny opis środków bezpieczeństwa (Załącznik A), listę dalszych podmiotów przetwarzających oraz informacje o wynikach oceny zabezpieczeń.
2. Administrator albo upoważniony przez niego audytor, zobowiązany do zachowania poufności, może przeprowadzić audyt, w tym inspekcję. Audyt zgłasza się e-mailem co najmniej 14 dni wcześniej, a po Naruszeniu albo na żądanie organu nadzorczego w krótszym terminie uzgodnionym przez strony. Audyt odbywa się w dni robocze, bez dostępu do danych innych Klientów i w sposób, który nie zakłóca świadczenia usług innym Klientom. W pierwszej kolejności prowadzi się go przez pytania i dokumenty, a inspekcję na miejscu wtedy, gdy to nie wystarczy.
3. Każda strona ponosi własne koszty audytu.

10. Usuwanie danych i zakończenie przetwarzania

1. Gdy Administrator usunie Klienta końcowego w Aplikacji, serwer wymazuje jego dane (imię i nazwisko, numer telefonu, adres e-mail, uwagi), skrót numeru telefonu i ustawienia kontaktu oraz uwagi do jego wizyt. Zostaje sam identyfikator z datą usunięcia, żeby Stanowisko, które było bez internetu, nie przywróciło usuniętych danych. Wizyty zostają w grafiku i raportach bez danych kontaktowych i uwag Klienta końcowego. W dzienniku Powiadomień i w dzienniku SMS zostaje tylko końcówka numeru telefonu albo domena adresu e-mail. Pozostałe Stanowiska usuwają dane przy najbliższej synchronizacji.
2. Usunięcie Rezerwacji w Aplikacji wymazuje z serwera dane gościa (imię, numer telefonu, adres e-mail, uwagi), a w dzienniku Powiadomień i w dzienniku SMS zostawia tylko końcówkę jego numeru telefonu albo domenę adresu e-mail. Dane gościa Rezerwacji, która zakończyła się ponad 12 miesięcy wcześniej, serwer wymazuje samoczynnie. Rezerwacja zostaje bez nich (termin, stolik albo pokój, liczba osób, stan), na potrzeby statystyk i rozliczeń.
3. Dziennik Powiadomień i dziennik SMS nie zawierają treści wiadomości wysłanych do Klientów końcowych. Podmiot przetwarzający przechowuje je przez 12 miesięcy od wysyłki (wpis o wizycie zaplanowanej na później - do jej terminu), na potrzeby reklamacji i rozliczeń Pakietów SMS, a następnie usuwa samoczynnie, także po rozwiązaniu Umowy. Administrator wydaje takie polecenie, akceptując Umowę powierzenia.
4. Po rozwiązaniu Umowy Administrator w ciągu 30 dni decyduje, czy Podmiot przetwarzający ma zwrócić Dane (w sposób z §9 ust. 4 Regulaminu), czy je usunąć. Brak decyzji w tym terminie oznacza polecenie usunięcia. Podmiot przetwarzający usuwa Dane w ciągu 30 dni od decyzji albo od upływu terminu i na żądanie potwierdza usunięcie e-mailem.
5. Usunięte Dane mogą pozostać w kopiach zapasowych bazy danych, dopóki te kopie nie zostaną usunięte w ramach ich rotacji. Do tego czasu nie są przetwarzane w żaden sposób poza przechowywaniem.
6. Po zakończeniu Umowy Podmiot przetwarzający zachowuje Dane tylko wtedy, gdy wymaga tego prawo Unii albo prawo polskie, i tylko przez okres wynikający z tego prawa, a także w zakresie ust. 3.

11. Odpowiedzialność

1. Każda ze stron odpowiada wobec osób, których dane dotyczą, na zasadach art. 82 RODO.
2. Podmiot przetwarzający odpowiada wobec Administratora za szkody wyrządzone przetwarzaniem niezgodnym z Umową powierzenia albo z poleceniami Administratora, także gdy wyrządził je dalszy podmiot przetwarzający (pkt 6 ust. 3).
3. Ograniczenie odpowiedzialności z §12 ust. 3 Regulaminu stosuje się do szkód wynikających z naruszenia Umowy powierzenia, z wyjątkiem szkody wyrządzonej umyślnie albo wskutek rażącego niedbalstwa oraz roszczeń zwrotnych z art. 82 ust. 5 RODO.
4. Administrator odpowiada za zgodność z prawem Danych, które wprowadza, oraz treści i odbiorców Powiadomień, które ustawia. Jeżeli z tego powodu Podmiot przetwarzający poniesie szkodę, w tym zapłaci karę albo odszkodowanie (np. za informację handlową wysłaną bez zgody odbiorcy), Administrator ją naprawia.

12. Postanowienia końcowe

1. Umowa powierzenia obowiązuje przez czas obowiązywania Umowy i wygasa wraz z wykonaniem obowiązków z pkt 10.
2. Zmiany Umowy powierzenia wprowadza się na zasadach §14 Regulaminu, a zmiany listy dalszych podmiotów przetwarzających na zasadach pkt 6 ust. 2.
3. W sprawach nieuregulowanych stosuje się Regulamin i RODO. W razie sprzeczności między Regulaminem a Umową powierzenia w sprawach ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.

Załącznik A. Środki bezpieczeństwa (art. 32 RODO)