Umowa powierzenia przetwarzania danych osobowych

Ostatnia aktualizacja: 3 października 2026

Ta umowa (dalej „DPA”) spełnia wymagania art. 28 RODO. Zawierają ją sprzedawca, który instaluje aplikację Pointly w swoim sklepie Shopify (dalej „Administrator”), oraz Mateusz Oleksy, dostawca aplikacji (dalej „Podmiot przetwarzający”). DPA zostaje zawarta z chwilą instalacji aplikacji i obowiązuje przez cały okres korzystania z niej.

1. Przedmiot i czas trwania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych klientów swojego sklepu w zakresie potrzebnym do działania aplikacji Pointly. Przetwarzanie trwa do odinstalowania aplikacji, a następnie dane są usuwane zgodnie z pkt 9.

2. Charakter i cel przetwarzania

• zapisanie wybranego punktu odbioru w zamówieniu,
• wysłanie klientowi przypomnienia o wyborze punktu lub informacji o automatycznie przypisanym punkcie, jeśli Administrator włączył te funkcje,
• przekazanie danych odbiorcy do InPost w celu utworzenia przesyłki i etykiety, jeśli Administrator korzysta z integracji InPost,
• wyszukiwanie punktów odbioru na podstawie wpisanej lokalizacji lub adresu dostawy z zamówienia.

3. Rodzaj danych i kategorie osób

Osoby, których dane dotyczą: klienci sklepu Administratora (kupujący i odbiorcy przesyłek).

Rodzaje danych: adres e-mail, imię i nazwisko, numer telefonu, adres dostawy (przy przesyłce kurierskiej tworzonej przez integrację InPost i przy automatycznym przypisaniu punktu), numer zamówienia, link do strony statusu zamówienia, język, wybrany punkt odbioru. Aplikacja nie przetwarza szczególnych kategorii danych ani danych płatniczych.

4. Obowiązki Podmiotu przetwarzającego

• przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem są ustawienia aplikacji wybrane przez Administratora oraz działania wykonane w aplikacji,
• informuje Administratora, jeśli uzna, że polecenie narusza przepisy o ochronie danych,
• zapewnia, że osoby z dostępem do danych są zobowiązane do zachowania poufności,
• stosuje środki techniczne i organizacyjne opisane na stronie Bezpieczeństwo i incydenty (art. 32 RODO),
• pomaga Administratorowi w realizacji praw osób, których dane dotyczą, w tym obsługuje żądania customers/data_request i customers/redact przekazywane przez Shopify,
• pomaga Administratorowi w wypełnieniu obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania.

5. Podprzetwarzający

Administrator wyraża ogólną zgodę na korzystanie z poniższych podprzetwarzających. O planowanym dodaniu lub zmianie podprzetwarzającego poinformujemy z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie zgłosić sprzeciw, a jeśli nie dojdziemy do porozumienia, może odinstalować aplikację. Każdy podprzetwarzający jest związany obowiązkami ochrony danych nie słabszymi niż w tej DPA.

6. Przekazywanie danych poza EOG

Dane mogą być przekazywane do Google LLC w USA na podstawie EU-U.S. Data Privacy Framework lub standardowych klauzul umownych przyjętych przez Komisję Europejską. Pozostałe dane są przetwarzane w Unii Europejskiej.

7. Naruszenia ochrony danych

Podmiot przetwarzający zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zawiadomienie zawiera opis naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, prawdopodobne konsekwencje i podjęte środki. Szczegóły procedury opisuje strona Bezpieczeństwo i incydenty.

8. Kontrola

Na pisemne żądanie Administratora Podmiot przetwarzający udostępnia informacje potrzebne do wykazania zgodności z art. 28 RODO i odpowiada na pytania dotyczące zabezpieczeń. Kontrola na miejscu jest możliwa po uzgodnieniu terminu i zakresu, z co najmniej 14-dniowym wyprzedzeniem.

9. Usunięcie danych po zakończeniu

Po odinstalowaniu aplikacji Podmiot przetwarzający niezwłocznie usuwa dane sklepu i dane klientów sklepu. Żądanie shop/redact, które Shopify wysyła 48 godzin po odinstalowaniu, potwierdza usunięcie. Dane dotyczące zamówień pozostają w sklepie Shopify Administratora, więc nie trzeba ich zwracać.

10. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Zmiany DPA publikujemy na tej stronie i informujemy o nich Administratorów. W razie sprzeczności z innymi warunkami korzystania z aplikacji w zakresie ochrony danych pierwszeństwo ma ta DPA.