Przejdź do treści

Umowa powierzenia przetwarzania danych osobowych

Wersja z dnia 16 października 2026

Umowa zawierana na podstawie art. 28 RODO między Organizatorem (administratorem danych Gości) a Weseloteka (podmiotem przetwarzającym). Zawierasz ją, akceptując Regulamin Weseloteka przy zakładaniu Konta.

§ 1. Strony i zawarcie umowy

  1. Administrator - Organizator, który założył Konto w Serwisie i dodaje do Wydarzenia dane Gości.
  2. Podmiot przetwarzający - Weseloteka, e-mail kontakt@weseloteka.pl.
  3. Umowa zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą akceptacji Regulaminu i obowiązuje przez czas korzystania z Serwisu oraz do usunięcia danych zgodnie z § 11. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

§ 2. Przedmiot, charakter i cel przetwarzania

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych Gości wyłącznie w celu świadczenia usług opisanych w Regulaminie: prowadzenia strony wesela, listy gości i RSVP, wysyłki zaproszeń i przypomnień, przyjmowania i wyświetlania Treści, zadań fotograficznych, oceny AI (gdy włączona), albumu i pokazu zdjęć.
  2. Przetwarzanie obejmuje: zbieranie przez formularze Serwisu, zapisywanie, przechowywanie, porządkowanie, tworzenie miniatur, wyświetlanie uczestnikom Wydarzenia, przesyłanie dostawcom SMS i e-mail, przesyłanie zdjęć z zadań dostawcom modeli AI (gdy włączono AI Sędziego), eksport na polecenie Administratora oraz usuwanie.

§ 3. Rodzaj danych i kategorie osób

  1. Kategorie osób: Goście i osoby towarzyszące, w tym dzieci, osoby widoczne na zdjęciach i filmach, osoby współzarządzające Wydarzeniem.
  2. Rodzaje danych: imię i nazwisko, adres e-mail, numer telefonu, odpowiedzi RSVP, przydział do stołu, informacje o diecie i potrzebach (mogą stanowić dane szczególnej kategorii, art. 9 RODO), wizerunek i głos w zdjęciach, filmach i nagraniach, treść życzeń, identyfikatory sesji, adres IP przy dodawaniu Treści.

§ 4. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniami są: Regulamin, niniejsza umowa oraz działania Administratora w panelu (np. dodanie Gościa, wysłanie zaproszenia, usunięcie zdjęcia). Jeśli prawo Unii lub państwa członkowskiego nakłada obowiązek przetwarzania, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
  2. Niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.
  3. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi poufności.
  4. Stosuje środki techniczne i organizacyjne z art. 32 RODO, w szczególności: szyfrowanie transmisji (TLS), przechowywanie danych na serwerach w UE, skróty haseł Argon2id, szyfrowanie kluczy dostępowych, prywatny magazyn plików z krótkotrwałymi podpisanymi adresami, kontrolę dostępu według ról, kopie zapasowe, ochronę przed atakami (WAF, ograniczanie liczby żądań) i rejestrowanie zdarzeń bezpieczeństwa.
  5. Uwzględniając charakter przetwarzania, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO) - przede wszystkim przez funkcje panelu (edycja i usuwanie Gości, usuwanie Treści, eksport) - oraz z obowiązków z art. 32–36 RODO.
  6. Udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.
  7. Nie wykorzystuje powierzonych danych do własnych celów, w tym do marketingu, profilowania ani trenowania modeli AI.

§ 5. Dalsze powierzenie (podprocesorzy)

  1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania podmiotom wymienionym na Liście podmiotów przetwarzających (https://weseloteka.pl/podprocesorzy).
  2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym terminie zgłosić sprzeciw; jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę ze skutkiem natychmiastowym i otrzymać proporcjonalny zwrot opłaty za niewykorzystany okres Pakietu (liczony jak w Regulaminie).
  3. Podmiot przetwarzający nakłada na podprocesorów te same obowiązki ochrony danych, co wynikające z tej umowy, i odpowiada wobec Administratora za ich wykonanie.

§ 6. Przekazywanie danych poza EOG

  1. Dane są przechowywane w UE. Przekazanie poza Europejski Obszar Gospodarczy odbywa się wyłącznie do podprocesorów z Listy i wyłącznie na podstawie rozdziału V RODO - decyzji stwierdzającej odpowiedni stopień ochrony (EU-U.S. Data Privacy Framework) lub standardowych klauzul umownych.

§ 7. Naruszenia ochrony danych

  1. Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Konta.
  2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Informacje, których nie można podać od razu, przekazujemy etapami.

§ 8. Audyt

  1. Administrator może sprawdzić przestrzeganie umowy, w pierwszej kolejności przez pisemne pytania, na które Podmiot przetwarzający odpowiada w ciągu 14 dni.
  2. Jeżeli odpowiedzi nie wystarczą, Administrator lub upoważniony przez niego audytor związany tajemnicą może przeprowadzić audyt po uprzedzeniu z co najmniej 14-dniowym wyprzedzeniem, w dniach roboczych, nie częściej niż raz w roku (chyba że doszło do naruszenia), na koszt Administratora i bez dostępu do danych innych klientów.

§ 9. Obowiązki Administratora

  1. Administrator odpowiada za posiadanie podstawy prawnej do przetwarzania danych Gości i za przekazanie Gościom informacji z art. 13–14 RODO. Może w tym celu korzystać z informacji, którą Serwis wyświetla Gościom.
  2. Administrator zbiera dane szczególnych kategorii (np. dotyczące diety ze względów zdrowotnych lub religijnych) wyłącznie wtedy, gdy są potrzebne, i odpowiada za ich podstawę prawną.
  3. Administrator dba, aby wizerunek dzieci był udostępniany w Wydarzeniu za wiedzą ich rodziców lub opiekunów, i niezwłocznie usuwa Treści na ich żądanie.

§ 10. Odpowiedzialność

  1. Strony odpowiadają za szkody wyrządzone osobom, których dane dotyczą, na zasadach art. 82 RODO. Podmiot przetwarzający odpowiada wyłącznie, jeżeli nie dopełnił obowiązków nałożonych bezpośrednio na podmioty przetwarzające lub działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim.

§ 11. Czas trwania i usunięcie danych

  1. Umowa obowiązuje przez czas świadczenia usług dla Wydarzenia. Pakiet nie ma ustalonej daty końca; okresy liczy się od daty wesela. Podmiot przetwarzający usuwa powierzone dane zgodnie z Zasadami przechowywania i usuwania danych (https://weseloteka.pl/przechowywanie-danych), chyba że prawo nakazuje ich dalsze przechowywanie, w szczególności: dane osobowe Gości - 30 dni po dacie wesela (Treści zostają wtedy bez danych autora, z podpisem „Gość” lub np. „Gość (stolik 6, miejsce 1)”); zdjęcia, filmy i życzenia - 6 miesięcy po dacie wesela, a dłużej tylko przy wykupionym Dodatku „Przedłużenie o rok”; Wydarzenie w wersji próbnej bez zakupionego Pakietu - w całości 8. dnia od jego założenia; a także po usunięciu Wydarzenia lub Konta.
  2. Przed usunięciem Administrator może pobrać Treści w pliku ZIP i wyeksportować listę gości. Usunięte dane pozostają w zaszyfrowanych kopiach zapasowych do 6 miesięcy (baza danych) i do 30 dni (pliki), po czym znikają.

§ 12. Postanowienia końcowe

  1. W sprawach ochrony danych postanowienia tej umowy mają pierwszeństwo przed Regulaminem. W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Regulamin.
  2. Zmiany umowy następują w trybie przewidzianym dla zmian Regulaminu.