Przejdź do treści
LeadNinja

Dokument prawny

Załącznik nr 1 do Regulaminu LeadNinja: Umowa powierzenia przetwarzania danych osobowych

Wersja: 1.0 z 8 października 2026 · Obowiązuje: od opublikowania w Serwisie

Spis treści · 9

1. Strony

  1. Administrator: Użytkownik Serwisu LeadNinja, który zaakceptował Regulamin.
  2. Podmiot przetwarzający: Łukasz Lewak, ul. Wandy 2, 03-949 Warszawa, kontakt@leadninja.pl, prowadzący Serwis LeadNinja (dalej: Przetwarzający).

Jeżeli Użytkownik wprowadza do Serwisu wyłącznie dane, które nie są danymi osobowymi (np. dotyczące spółek), umowa nie ma praktycznego zastosowania.

2. Przedmiot i czas

  1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych opisanych w pkt 3, a Przetwarzający przetwarza je wyłącznie w celu świadczenia usług z Regulaminu.
  2. Umowa trwa tak długo jak umowa o prowadzenie Konta.

3. Zakres powierzenia

Element Opis
Charakter przetwarzania przechowywanie, wyświetlanie, modyfikacja, eksport na żądanie Administratora, usuwanie
Cel umożliwienie Administratorowi prowadzenia notatek i statusu kontaktu z firmami w Serwisie
Rodzaj danych dane wpisane przez Administratora w notatkach i statusach Leadów oraz historia ich zmian (np. data kontaktu, ustalenia, imię osoby kontaktowej, jeżeli Administrator je wpisze)
Kategorie osób przedsiębiorcy (w szczególności osoby prowadzące jednoosobową działalność gospodarczą) i osoby kontaktowe firm, o których Administrator zapisuje informacje

Administrator nie wprowadza do Serwisu danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO).

4. Obowiązki Przetwarzającego

Przetwarzający:

  1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin, ta umowa i działania Administratora w Serwisie (np. zapisanie lub usunięcie notatki). Jeżeli prawo wymaga innego przetwarzania, informuje o tym Administratora przed jego rozpoczęciem, chyba że prawo tego zabrania;
  2. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności;
  3. stosuje środki bezpieczeństwa z art. 32 RODO opisane w pkt 6;
  4. przestrzega warunków korzystania z dalszych podmiotów przetwarzających z pkt 5;
  5. pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą (Administrator może sam przeglądać, poprawiać, eksportować i usuwać notatki w Serwisie);
  6. pomaga Administratorowi w wykonaniu obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
  7. zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres Konta, z informacjami z art. 33 ust. 3 RODO dostępnymi w danym momencie;
  8. po zakończeniu umowy usuwa dane (usunięcie Konta usuwa je od razu; kopie zapasowe, jeśli są wykonywane, nadpisują się najpóźniej po 7 dniach). Przed usunięciem Konta Administrator może pobrać dane w Ustawieniach („Pobierz kopię”);
  9. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt (pkt 7);
  10. niezwłocznie informuje Administratora, jeżeli uzna, że jego polecenie narusza RODO lub inne przepisy.

5. Dalsze podmioty przetwarzające

  1. Administrator udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Na dzień zawarcia umowy są to:

    Podmiot Rola Lokalizacja danych
    Supabase, Inc. baza danych Frankfurt (UE)
    Fly.io, Inc. serwery aplikacji Amsterdam (UE)

  2. O zamiarze dodania lub zmiany dalszego podmiotu Przetwarzający informuje e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może rozwiązać umowę o prowadzenie Konta ze skutkiem natychmiastowym i otrzymać zwrot proporcjonalnej części ceny za niewykorzystane Leady.

  3. Przetwarzający nakłada na dalsze podmioty te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.

  4. Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie przy zapewnieniu podstawy z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, albo standardowe klauzule umowne).

6. Środki bezpieczeństwa

  1. Szyfrowanie połączeń (TLS) między przeglądarką, aplikacją i bazą danych.
  2. Dane każdego Użytkownika rozdzielone regułami bazy danych (Row Level Security): Użytkownik ma dostęp tylko do własnych notatek.
  3. Hasła przechowywane jako skróty kryptograficzne; blokada haseł znanych z wycieków.
  4. Dostęp administracyjny do bazy i serwerów ma wyłącznie Przetwarzający.
  5. Notatki nie są przekazywane do modeli sztucznej inteligencji ani wysyłane e-mailem.
  6. Kopie zapasowe bazy prowadzone przez dostawcę bazy danych.
  7. Regularne aktualizacje oprogramowania i przegląd zmian w kodzie pod kątem bezpieczeństwa.

7. Audyt

  1. Przetwarzający w pierwszej kolejności odpowiada na pytania Administratora pisemnie, w ciągu 14 dni.
  2. Jeżeli to nie wystarcza, Administrator może przeprowadzić audyt (sam lub przez audytora zobowiązanego do poufności) po uprzedzeniu e-mailem co najmniej 14 dni wcześniej, w dni robocze, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych lub żąda tego organ nadzorczy. Audyt nie może obejmować danych innych Użytkowników. Koszty audytu ponosi Administrator.

8. Odpowiedzialność

Każda strona odpowiada za szkody wyrządzone naruszeniem RODO na zasadach art. 82 RODO. Wobec Przedsiębiorców stosuje się ograniczenia z § 12 ust. 2 Regulaminu w zakresie, w jakim dopuszcza to prawo.

9. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Regulamin i RODO. W razie sprzeczności między Regulaminem a tą umową w zakresie ochrony danych pierwszeństwo ma ta umowa.