Aneks dotyczący przetwarzania danych osobowych Menelier (DPA)

Data wejścia w życie: 1 września 2026
Wersja: 2026-09-01-professional-legal-review

Niniejszy Dodatek dotyczący przetwarzania danych („DPA”) stanowi część Warunków świadczenia usług Menelier lub innej umowy („Umowa”) pomiędzy klientem określonym w Umowie („Klient”) a Martin Mayer, operator Meneliera („Menelier”).

1. Zakres i role

Niniejsza Umowa o ochronie danych ma zastosowanie, gdy Menelier przetwarza dane osobowe w imieniu Klienta w ramach świadczenia usługi Menelier.

Klient jest administratorem, a Menelier jest podmiotem przetwarzającym, gdy Klient przesyła, tworzy, importuje, publikuje lub w inny sposób przekazuje dane osobowe dotyczące swoich pracowników, wykonawców, dostawców, gości lub innych osób („Dane Osobowe Klienta”).

Menelier pozostaje niezależnym administratorem danych, które przetwarza do własnych celów, w tym do administrowania kontem, rozliczeń bezpośrednich, dokumentacji podatkowej, bezpieczeństwa, zapobiegania oszustwom, komunikacji serwisowej i własnej zgodności z prawem. Działania te są objęte Polityką prywatności Menelier i nie wchodzą w zakres niniejszego DPA.

2. Instrukcje klienta

Menelier będzie przetwarzać Dane Osobowe Klienta wyłącznie:

• w celu świadczenia, zabezpieczania, utrzymywania i wspierania usługi w ramach Umowy;
• zgodnie z udokumentowanym użytkowaniem i konfiguracją usługi przez Klienta;
• na podstawie dodatkowych udokumentowanych instrukcji uzgodnionych przez strony; lub
• jeżeli przetwarzanie jest wymagane przez obowiązujące prawo, w takim przypadku Menelier poinformuje Klienta przed przetwarzaniem, chyba że prawo zabrania powiadomienia.

Umowa, niniejsza Umowa o ochronie danych, korzystanie przez Klienta z usług i prośby o wsparcie stanowią udokumentowane instrukcje.

Klient jest odpowiedzialny za to, aby jego instrukcje i Dane Osobowe Klienta były zgodne z obowiązującym prawem, aby posiadał podstawę prawną do przetwarzania oraz aby udzielał wymaganych informacji osobom, których dane dotyczą.

3. Szczegóły przetwarzania

Przedmiot, charakter, cel i czas trwania przetwarzania wraz z kategoriami danych i osobami, których dane dotyczą, zostały opisane w Załączniku 1.

4. Poufność

Menelier zadba o to, aby osoby upoważnione do przetwarzania Danych Osobowych Klienta były zobowiązane do zachowania poufności i otrzymały dostęp jedynie w zakresie niezbędnym do ich pracy.

5. Bezpieczeństwo

Biorąc pod uwagę aktualny stan wiedzy, koszty wdrożenia, kontekst przetwarzania i ryzyko, Menelier będzie utrzymywać odpowiednie środki techniczne i organizacyjne mające na celu ochronę Danych Osobowych Klienta przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmianą, nieuprawnionym ujawnieniem lub dostępem.

Obecne środki opisano w załączniku 2. Menelier może je aktualizować, pod warunkiem, że ogólny poziom ochrony nie ulegnie istotnemu obniżeniu.

6. Dalsze podmioty przetwarzające

Klient udziela Menelier ogólnego pisemnego upoważnienia do angażowania podwykonawców niezbędnych do świadczenia Usługi. Podmioty przetwarzające upoważnione na dzień wejścia w życie wymienione są w Załączniku nr 3. Menelier powiadomi Klienta na piśmie co najmniej 30 dni przed dodaniem lub zastąpieniem podwykonawcy przetwarzania, dając Klientowi możliwość wyrażenia sprzeciwu z uzasadnionych powodów związanych z ochroną danych.

Menelier:

• wymagać od każdego podprzetwarzającego na podstawie pisemnej umowy przyjęcia tych samych obowiązków w zakresie ochrony danych nałożonych na Menelier przez niniejszą Umowę Ochrony Danych, w zakresie mającym zastosowanie do przetwarzania przez podprzetwarzającego, w tym wymogów art. 28 ust. 4 RODO;
• pozostaje odpowiedzialny za wykonanie przez podwykonawcę przetwarzania swoich obowiązków w zakresie ochrony danych w zakresie wymaganym przez obowiązujące prawo; i
• powiadomić z odpowiednim wyprzedzeniem o nowym podwykonawcy przetwarzania za pośrednictwem opublikowanej listy, poczty elektronicznej lub usługi.

Klient może sprzeciwić się powołaniu nowego podmiotu podprzetwarzającego z uzasadnionych powodów związanych z ochroną danych w ciągu 15 dni po powiadomieniu. Strony będą w dobrej wierze pracować nad rozsądnym rozwiązaniem. Jeżeli rozwiązanie nie jest dostępne, każda ze stron może zakończyć usługę, której dotyczy problem; wszelkie zwroty podlegają Umowie i obowiązującym przepisom prawa.

7. Pomoc Klientowi

Biorąc pod uwagę charakter przetwarzania i informacji dostępnych Menelier, Menelier w uzasadniony sposób pomoże Klientowi w:

• odpowiadanie na żądania osób, których dane dotyczą;
• obowiązki w zakresie bezpieczeństwa i naruszenia danych osobowych;
• oceny skutków dla ochrony danych; i
• w razie potrzeby wcześniejsze konsultacje z organem nadzorczym.

Jeśli Menelier otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, dotyczące Danych Osobowych Klienta, Menelier przekieruje osobę składającą wniosek do Klienta, jeśli będzie to rozsądnie możliwe, i nie będzie samodzielnie realizować żądania, chyba że Klient tak poinstruuje lub wymaga tego prawo.

Klient zwróci uzasadnione koszty za niezwykle obszerną pomoc, która nie jest spowodowana naruszeniem przez firmę Menelier, jeśli zostało to wcześniej uzgodnione.

8. Naruszenia ochrony danych osobowych

Menelier powiadomi Klienta bez zbędnej zwłoki po uzyskaniu informacji o naruszeniu ochrony danych osobowych wpływającym na Dane osobowe Klienta. Powiadomienie będzie zawierać dostępne informacje, które są w uzasadniony sposób potrzebne do wypełnienia zobowiązań prawnych Klienta i które mogą być udostępniane etapami w miarę rozwoju dochodzenia.

Zawiadomienie Meneliera nie stanowi przyznania się do winy ani odpowiedzialności.

Kontakt bezpieczeństwa: info@menelier.com

9. Usunięcie i zwrot danych

W okresie świadczenia usługi Klient może korzystać z dostępnych funkcji eksportu i usuwania.

Po rozwiązaniu lub wygaśnięciu usługi Menelier, według wyboru Klienta, usunie lub zwróci Dane osobowe Klienta, chyba że prawo Unii lub państwa członkowskiego wymaga ich dalszego przechowywania. Dane znajdujące się w zabezpieczonych kopiach zapasowych są usuwane zgodnie ze zwykłym cyklem kopii zapasowych i do czasu usunięcia nadal podlegają niniejszemu DPA.

Okres usunięcia operacyjnego: Samodzielne usunięcie użytkownika obejmuje 14-dniowy okres, w którym żądanie można anulować. Zweryfikowane instrukcje usunięcia całego konta są realizowane bez zbędnej zwłoki, zwykle w ciągu 30 dni, z uwzględnieniem weryfikacji uprawnień do konta, ustawowych obowiązków przechowywania i zależności technicznych.
Okres przechowywania kopii zapasowej: 35 days

Menelier może zachować dane administratora, takie jak faktury, zapisy dotyczące bezpieczeństwa konta i dowód akceptacji prawnej, zgodnie z Polityką prywatności i obowiązującym prawem.

10. Audyty i informacje

Menelier udostępni informacje w uzasadniony sposób niezbędne do wykazania zgodności z art. 28 RODO. Klient może zażądać odpowiedniej dokumentacji dotyczącej bezpieczeństwa lub niezależnych raportów, jeśli są dostępne.

Jeśli te informacje okażą się niewystarczające, Klient może przeprowadzić audyt nie częściej niż raz w roku, chyba że zaistnieje istotne zdarzenie lub gdy organ nadzorczy zażąda inaczej. Audyty muszą:

• być ustalane z odpowiednim wyprzedzeniem;
• występują w normalnych godzinach pracy;
• unikaj zakłóceń i dostępu do danych innych klientów;
• być przeprowadzane przez Klienta albo przez wykwalifikowanego, niezależnego audytora upoważnionego przez Klienta, w każdym przypadku z zachowaniem odpowiednich obowiązków poufności; oraz
• przestrzegać uzasadnionych wymogów bezpieczeństwa firmy Menelier.

Klient ponosi koszty audytu, chyba że audyt wykaże istotne naruszenie przez firmę Menelier.

11. Międzynarodowe przekazywanie danych

Menelier nie będzie przekazywać Danych Osobowych Klienta poza Europejski Obszar Gospodarczy lub inny region pochodzenia z naruszeniem obowiązujących zasad przekazywania.

W razie potrzeby strony będą opierać się na decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzulach umownych Komisji Europejskiej, umowie UE-USA. Ramy ochrony danych dla uprawnionego odbiorcy lub inne ważne zabezpieczenie. Obowiązujące moduły transferu i środki dodatkowe zostaną włączone przez odniesienie lub udostępnione na żądanie.

Główny region hostowania: Republika Czeska
Szczegóły mechanizmu przenoszenia: Podstawowy hosting oraz zaszyfrowane kopie zapasowe znajdują się w Unii Europejskiej. Opcjonalne przetwarzanie z użyciem AI może wiązać się z przekazywaniem danych do OpenAI i jego dalszych podmiotów przetwarzających. Jeżeli przekazanie poza EOG wymaga odpowiedniego zabezpieczenia, Menelier korzysta z mechanizmów przewidzianych w mających zastosowanie warunkach przetwarzania danych OpenAI, w szczególności ze standardowych klauzul umownych lub właściwego mechanizmu opartego na decyzji stwierdzającej odpowiedni stopień ochrony.

12. Instrukcje niezgodne z prawem

Menelier niezwłocznie poinformuje Klienta, jeśli w jego uzasadnionej opinii instrukcja narusza obowiązujące przepisy prawa o ochronie danych. Menelier może zawiesić dane przetwarzanie do czasu rozwiązania problemu przez strony.

13. Odpowiedzialność i hierarchia dokumentów

Odpowiedzialność wynikająca z niniejszego DPA podlega postanowieniom Umowy dotyczącym odpowiedzialności, chyba że obowiązujące prawo stanowi inaczej.

Jeżeli niniejszy DPA jest sprzeczny z Umową dotyczącą przetwarzania Danych osobowych Klienta, pierwszeństwo ma niniejszy DPA. Jeżeli mające zastosowanie standardowe klauzule umowne są sprzeczne z niniejszą Umową o ochronie danych, klauzule te mają zastosowanie do odpowiedniego przeniesienia.

14. Okres obowiązywania

Niniejsza Umowa o ochronie danych pozostaje w mocy do czasu, gdy Menelier przetwarza Dane osobowe Klienta w imieniu Klienta.

Załącznik 1 – Opis przetwarzania

Załącznik 2 – Środki techniczne i organizacyjne

• szyfrowanie transportu przy użyciu protokołu HTTPS/TLS;
• haszowanie haseł przy użyciu bieżącego haszowania haseł PHP;
• dostęp oparty na rolach i separacja przestrzeni roboczej klienta;
• ograniczony dostęp superadministratora i produkcji;
• Ochrona CSRF, bezpieczna obsługa sesji i weryfikacja poczty elektronicznej;
• podpisane webhooki Stripe i weryfikacja zdarzeń płatniczych;
• ograniczanie szybkości, zapobieganie nadużyciom i rejestrowanie audytu/bezpieczeństwa;
• prywatne przechowywanie niepublicznych plików i kontrolowanych publikacji publicznych;
• ograniczenia dostępu do baz danych, plików i kopii zapasowych;
• Proces utrzymywania podatności i zależności: Publicznie zgłoszone podatności dotyczące komponentów używanych przez Menelier są oceniane pod kątem istotności i poziomu ryzyka. Poprawki bezpieczeństwa i aktualizacje zależności są wdrażane w ramach bieżącego utrzymania, a istotne problemy bezpieczeństwa są traktowane priorytetowo.;
• testowanie częstotliwości tworzenia kopii zapasowych i przywracania: Menelier codziennie tworzy zaszyfrowaną kopię zapasową aplikacji obejmującą bazę danych i prywatne pliki, przechowuje zdalną zaszyfrowaną kopię na WEDOS Disk, monitoruje aktualność kopii i przechowuje kopie aplikacji przez 35 dni. Procedura weryfikacji odtwarzania zakończyła się pomyślnym odszyfrowaniem i sprawdzeniem produkcyjnego archiwum kopii zapasowej; regularny pełny test odtwarzania po awarii nie jest obecnie gwarantowany.;
• Reakcja na incydent i eskalacja: Incydenty bezpieczeństwa są obsługiwane przez Operatora stosownie do okoliczności, w tym poprzez ograniczenie skutków, ocenę wpływu, działania naprawcze i dokumentowanie. Poszkodowani klienci i właściwe organy są informowani, jeżeli wymaga tego prawo lub umowa.;
• Przegląd dostępu personelu/wykonawcy i odejście od pracy: Dostęp administracyjny jest ograniczony do Operatora i wyraźnie upoważnionych wykonawców zgodnie z zasadą niezbędnej wiedzy. Uprawnienia są przeglądane przy zmianie roli lub zakresu współpracy i niezwłocznie odbierane, gdy przestają być potrzebne.;
• Kontrola usuwania i przechowywania danych: Dane Osobowe Klienta są usuwane lub anonimizowane po ważnym żądaniu usunięcia albo po zakończeniu świadczenia Usługi, chyba że dalsze przechowywanie jest wymagane prawem lub niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Samodzielne usunięcie użytkownika obejmuje 14-dniowy okres na anulowanie żądania. Usunięte dane mogą pozostawać w zaszyfrowanych kopiach zapasowych do 35 dni.;
• Cele w zakresie ciągłości działania i odzyskiwania danych: Odtwarzanie Usługi opiera się na hostingu WEDOS, codziennych zaszyfrowanych kopiach aplikacji i oddzielnej zaszyfrowanej kopii na WEDOS Disk. Menelier nie gwarantuje obecnie konkretnego Recovery Time Objective (RTO) ani Recovery Point Objective (RPO); odtwarzanie jest prowadzone z zachowaniem należytej staranności.

Załącznik 3 – Lista początkowych dalszych podmiotów przetwarzających

Załącznik 4 – Strony

Klient / administrator

Klient wskazany w Umowie lub koncie Menelier.

Menelier / podmiot przetwarzający

• Nazwa prawna: Martin Mayer
• Adres: Holubice 366, 68351 Holubice
• Numer identyfikacyjny (IČO): 73507351
• Numer podatkowy/VAT (DIČ): CZ8003301680
• Kontakt: info@menelier.com
• Telefon: +420 724 548 554