Umowa powierzenia przetwarzania danych

Ta umowa reguluje dane, które przetwarzamy w Twoim imieniu: dane osób odwiedzających Twój sklep, zbierane przez skrypt Quomerce (śledzenie sesji, lejek, błędy, nagrania sesji) i przez aplikacje Quomerce dla platform sklepowych (np. Shopify). Wobec tych danych to Ty jesteś administratorem, a my podmiotem przetwarzającym w rozumieniu art. 28 RODO.

Umowa jest częścią Regulaminu i zawierasz ją razem z nim — nie trzeba jej osobno podpisywać. Jeśli Twoja organizacja wymaga wersji podpisanej, napisz na privacy@quomerce.com, a odeślemy ją podpisaną elektronicznie z tą samą treścią.

1. Strony

Administrator — Klient w rozumieniu Regulaminu, czyli podmiot, dla którego prowadzone jest Konto w Quomerce.

Podmiot przetwarzający — Quomerce sp. z o.o. z siedzibą w Łodzi, ul. Henryka Sienkiewicza 85/87 lok. 1, 90-057 Łódź, wpisana do rejestru przedsiębiorców KRS pod numerem 0001251814, NIP 7252368482, REGON 545168861 („Quomerce”).

Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie. Pojęcia „dane osobowe”, „przetwarzanie”, „naruszenie ochrony danych osobowych” i pozostałe mają znaczenie z RODO, czyli rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679.

2. Przedmiot i czas trwania

Administrator powierza Quomerce przetwarzanie danych osobowych opisanych w punkcie 3 w zakresie i celu niezbędnym do świadczenia Usługi śledzenia sesji i powiązanych z nią funkcji (raporty, alerty, eksport, dostęp przez API i MCP).

Umowa obowiązuje tak długo, jak Quomerce przetwarza Dane powierzone, czyli przez czas trwania umowy o świadczenie usług, a po jej zakończeniu — do usunięcia danych zgodnie z punktem 10.

3. Charakter, cel, rodzaj danych i kategorie osób


Kategorie osób	Osoby odwiedzające stronę Administratora, na której zainstalowano skrypt Quomerce lub aplikację Quomerce dla platformy sklepowej (klienci i potencjalni klienci sklepu).
Rodzaj danych	Pseudonimowe identyfikatory sesji i urządzenia; adresy odwiedzanych stron (z usuniętymi parametrami spoza listy dozwolonych); źródło wejścia (UTM, nazwa parametru kliknięcia reklamy, domena odsyłająca); zdarzenia na stronie (odsłony, kliknięcia, przewinięcia, interakcje z formularzami bez wpisanych wartości); zdarzenia handlowe (produkt, koszyk, checkout, metoda płatności, identyfikator i wartość zamówienia); błędy techniczne; nagranie sesji (struktura i wygląd strony oraz ruchy kursora, z zamaskowanymi polami formularzy); typ przeglądarki, systemu i urządzenia, rozdzielczość, język; kraj ustalony na podstawie adresu IP (sam adres IP nie jest zapisywany); status zgody na pliki cookies.
Dane szczególnych kategorii	Nie są przedmiotem powierzenia. Administrator nie przesyła ich celowo (patrz punkt 5).
Charakter przetwarzania	Zbieranie, przechowywanie, porządkowanie, agregowanie, analiza, udostępnianie Administratorowi i jego Użytkownikom, usuwanie.
Cel	Pokazanie Administratorowi, jak klienci korzystają ze sklepu, gdzie przerywają zakup i jakie błędy techniczne napotykają, wraz z alertami o tych błędach.

4. Obowiązki Quomerce

Quomerce:

przetwarza Dane powierzone wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest ta umowa, Regulamin oraz ustawienia, które Administrator lub jego Użytkownicy zapisują w Usłudze (na przykład włączenie śledzenia, lista dozwolonych parametrów, reguły maskowania, usunięcie witryny). Jeśli prawo Unii lub Polski nakłada na nas obowiązek przetwarzania wykraczającego poza polecenia, poinformujemy o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania;
niezwłocznie informuje Administratora, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych;
zapewnia, że osoby upoważnione do przetwarzania Danych powierzonych zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy;
stosuje środki techniczne i organizacyjne opisane w punkcie 7;
nie wykorzystuje Danych powierzonych do własnych celów — w szczególności do reklamy, sprzedaży, profilowania osób ani do trenowania modeli sztucznej inteligencji — ani nie łączy danych różnych klientów. Zagregowane statystyki techniczne, z których nie da się wyodrębnić ani Administratora, ani żadnej osoby (na przykład obciążenie systemu albo liczba zdarzeń na sekundę), nie są danymi osobowymi;
prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

5. Obowiązki Administratora

Administrator odpowiada za to, że przetwarzanie, które zleca, ma podstawę prawną. W szczególności:

informuje osoby odwiedzające sklep o korzystaniu z Quomerce w swojej polityce prywatności — wzór klauzuli jest w dokumentacji;
uzyskuje zgodę na zapisywanie i odczyt informacji w urządzeniu użytkownika tam, gdzie wymaga jej art. 399 Prawa komunikacji elektronicznej lub przepisy kraju odwiedzającego, i przekazuje jej status do skryptu Quomerce (funkcja zgody opisana w dokumentacji). Bez zgody skrypt nie zapisuje trwałego identyfikatora, a sesje bez zgody nie trafiają do raportów ani nagrań;
nie umieszcza w adresach stron, nazwach zdarzeń ani polach przekazywanych do Quomerce danych szczególnych kategorii, numerów dokumentów, haseł ani pełnych danych kart płatniczych, a pola, które takie dane mogą zawierać, oznacza do maskowania;
ocenia, czy dla jego przetwarzania potrzebna jest ocena skutków dla ochrony danych (art. 35 RODO). Na prośbę przekażemy informacje potrzebne do jej przeprowadzenia.

6. Dalsze powierzenie (podprocesorzy)

Administrator udziela Quomerce ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista, z zakresem i miejscem przetwarzania, jest na stronie Podprocesorzy.

O planowanym dodaniu lub zastąpieniu podprocesora informujemy co najmniej 14 dni wcześniej e-mailem do właściciela Konta i na stronie Podprocesorzy. W tym czasie Administrator może wnieść uzasadniony sprzeciw. Jeśli nie uzgodnimy rozwiązania, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym przed wejściem zmiany w życie, a my zwrócimy opłatę za niewykorzystany, opłacony z góry okres.

Każdego podprocesora wiążemy umową nakładającą obowiązki ochrony danych co najmniej takie jak w tej umowie. Za jego działania odpowiadamy wobec Administratora jak za własne.

7. Bezpieczeństwo

Quomerce stosuje środki adekwatne do ryzyka (art. 32 RODO), w tym:

Minimalizacja w skrypcie. Wartości wpisywane w pola formularzy nie są zbierane; pola haseł, płatności i oznaczone przez Administratora są maskowane w nagraniu; ciągi cyfr przypominające numery telefonów i adresy e-mail są zastępowane znacznikami; w adresach stron zostają tylko parametry z listy dozwolonych, a identyfikatory kliknięć reklam nigdy nie są zapisywane; na stronach checkoutu, podziękowania i konta nagranie maskuje cały tekst; adres IP służy wyłącznie do ustalenia kraju i nie jest zapisywany ani logowany; pełny ciąg user-agent nie jest zapisywany, tylko typ urządzenia, przeglądarka i system; sesje automatycznych przeglądarek nie są nagrywane.
Szyfrowanie całej komunikacji (TLS) między przeglądarką, usługą zbierania danych i aplikacją.
Izolacja klientów. Każde zapytanie do bazy zdarzeń jest wiązane z identyfikatorem witryny wynikającym z uprawnień użytkownika, a nie z treści zapytania; dostęp tylko do odczytu, z limitem czasu i liczby wierszy.
Kontrola dostępu. Role właściciel, menedżer i obserwator w Koncie; hasła przechowywane jako jednokierunkowe skróty; tokeny API przechowywane jako skróty, z terminem ważności i możliwością odwołania; dostęp pracowników Quomerce ograniczony do potrzeb wsparcia i rejestrowany w dzienniku działań administracyjnych.
Ograniczone przechowywanie według punktu 10, z automatycznym usuwaniem całych partycji danych.
Przetwarzanie w EOG (punkt 9), monitorowanie dostępności i dzienniki techniczne bez adresów IP i danych osób odwiedzających.

Środki te możemy zmieniać, o ile nie obniża to ogólnego poziomu ochrony.

8. Pomoc dla Administratora

Uwzględniając charakter przetwarzania, Quomerce pomaga Administratorowi:

odpowiadać na żądania osób, których dane dotyczą (dostęp, usunięcie, sprzeciw). Dane w Quomerce są pseudonimowe. Administrator może sam usunąć dane odwiedzającego w aplikacji (po identyfikatorze odwiedzającego), albo wskazać nam identyfikator sesji, identyfikator zamówienia lub okres i stronę — wtedy odnajdziemy i usuniemy pasujące dane w ciągu 14 dni od zgłoszenia. Żądanie, które trafi bezpośrednio do nas, przekażemy Administratorowi bez odpowiadania na nie we własnym imieniu;
przy ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym;
przy wypełnianiu obowiązków z art. 32–36 RODO.

9. Miejsce przetwarzania i przekazywanie danych

Dane powierzone są przechowywane w Europejskim Obszarze Gospodarczym. Jeśli podprocesor przetwarza je poza EOG (patrz lista podprocesorów), przekazanie opiera się na decyzji Komisji stwierdzającej odpowiedni stopień ochrony (w tym na EU-US Data Privacy Framework, jeśli odbiorca jest nim objęty) albo na standardowych klauzulach umownych, wraz z oceną skutków przekazania.

10. Przechowywanie i usunięcie danych

W trakcie umowy dane są usuwane automatycznie:

Dane	Okres
Nagrania sesji	2 dni, a następnie — zależnie od tego, co działo się w sesji — łącznie do 7, 14 albo 30 dni (najdłużej dla sesji z zamówieniem, koszykiem, checkoutem albo otwartym problemem)
Zdarzenia, błędy i zamówienia	Okres ustawiony dla Witryny: domyślnie 400 dni, Administrator może go skrócić do 30 dni
Podsumowania sesji i zagregowane statystyki lejka	400 dni

Usunięcie witryny w Usłudze zleca usunięcie wszystkich jej danych ze zbioru zdarzeń; jest ono wykonywane w ciągu 7 dni. Odinstalowanie aplikacji Quomerce ze sklepu (np. Shopify) zatrzymuje zbieranie danych, ale ich nie usuwa — do tego służy usunięcie witryny. Po zakończeniu umowy Administrator ma 30 dni na pobranie danych (punkt 17.5 Regulaminu), a następnie usuwamy Dane powierzone w ciągu kolejnych 30 dni, chyba że prawo Unii lub Polski nakazuje ich dalsze przechowywanie.

11. Naruszenia ochrony danych

Quomerce zawiadamia Administratora o naruszeniu ochrony Danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem do właściciela Konta. Zawiadomienie zawiera informacje z art. 33 ust. 3 RODO, które są nam znane, i jest uzupełniane, gdy dowiemy się więcej. Zgłoszenie do organu nadzorczego i zawiadomienie osób należy do Administratora; pomożemy mu w tym.

12. Audyty

Quomerce udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w pierwszej kolejności opis środków bezpieczeństwa, listę podprocesorów i odpowiedzi na kwestionariusz bezpieczeństwa.

Jeśli to nie wystarcza, Administrator może przeprowadzić audyt sam lub przez niezależnego audytora związanego tajemnicą, po zawiadomieniu z wyprzedzeniem co najmniej 21 dni, w godzinach pracy, nie częściej niż raz w roku (chyba że audyt następuje po naruszeniu ochrony danych albo na żądanie organu nadzorczego), w sposób, który nie narusza bezpieczeństwa ani danych innych klientów. Każda strona ponosi własne koszty audytu.

13. Odpowiedzialność

Odpowiedzialność stron za szkody wynikłe z przetwarzania Danych powierzonych określa art. 82 RODO. W relacjach między stronami stosuje się ograniczenia odpowiedzialności z Regulaminu, o ile prawo na to pozwala.

14. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO. W razie sprzeczności między Regulaminem a tą umową w zakresie ochrony danych osobowych pierwszeństwo ma ta umowa. Zmiany tej umowy wprowadzamy w trybie przewidzianym w Regulaminie dla jego zmian.

Umowa jest sporządzona w języku polskim i angielskim. W razie rozbieżności rozstrzyga wersja polska.