To tłumaczenie udostępniono dla wygody. W razie rozbieżności rozstrzygająca jest wersja angielska.
Umowa powierzenia przetwarzania danych
Ostatnia aktualizacja: 27 października 2026
Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Regulaminu zawartego między DIZZUS GmbH („Podmiot przetwarzający”, „my”) a klientem („Administrator”, „Ty”) korzystającym z ConvertFly.io („Usługa”). Niniejsza DPA reguluje przetwarzanie danych osobowych przez Podmiot przetwarzający w imieniu Administratora zgodnie ze szwajcarską federalną ustawą o ochronie danych (nFADP/nLPD) oraz, w stosownych przypadkach, z unijnym ogólnym rozporządzeniem o ochronie danych (RODO).
1. Definicje
- Dane osobowe: wszelkie dane dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, w rozumieniu art. 5 nFADP i art. 4 pkt 1 RODO.
- Przetwarzanie: każda operacja wykonywana na danych osobowych (zbieranie, przechowywanie, wykorzystywanie, przekazywanie, usuwanie).
- Podprocesor: podmiot trzeci, któremu Podmiot przetwarzający powierza przetwarzanie danych osobowych w imieniu Administratora.
2. Zakres i cel
Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu świadczenia Usługi konwersji plików opisanej w Regulaminie. Przetwarzanie obejmuje:
- odbieranie i tymczasowe przechowywanie plików przesłanych przez Administratora lub jego użytkowników końcowych;
- konwertowanie plików między formatami za pomocą zautomatyzowanych silników przetwarzania;
- tymczasowe przechowywanie wyników konwersji do pobrania;
- prowadzenie logów konwersji (wyłącznie metadane, bez zawartości plików).
3. Rodzaje danych osobowych
Pliki przesłane do konwersji mogą zawierać dane osobowe. Ich kategorie zależą od sposobu korzystania z Usługi przez Administratora i mogą obejmować:
- imiona i nazwiska, dane kontaktowe, numery identyfikacyjne;
- dane finansowe w arkuszach kalkulacyjnych lub dokumentach;
- obrazy przedstawiające twarze lub zawierające informacje osobowe;
- wszelkie inne dane osobowe zawarte w przesłanych plikach.
Podmiot przetwarzający przetwarza zawartość plików w sposób zautomatyzowany, za pomocą oprogramowania do konwersji i wyłącznie w celu konwersji; nie wykorzystuje jej do żadnych innych celów i jej nie ujawnia.
4. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora (tj. wykonując zleconą konwersję);
- zapewnia, że osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności;
- wdraża odpowiednie techniczne i organizacyjne środki bezpieczeństwa (zob. sekcja 7);
- korzysta z usług podprocesorów wyłącznie za zgodą Administratora (zob. sekcja 6);
- pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą;
- usuwa wszystkie dane osobowe po zakończeniu świadczenia Usługi, chyba że prawo wymaga ich przechowywania;
- udostępnia wszelkie informacje niezbędne do wykazania zgodności i umożliwia przeprowadzanie audytów.
5. Obowiązki Administratora
Administrator:
- zapewnia, że posiada podstawę prawną do przetwarzania danych osobowych za pośrednictwem Usługi;
- przekazuje osobom, których dane dotyczą, wszelkie niezbędne informacje o korzystaniu z Usługi;
- zapewnia, że przesyłane pliki nie zawierają szczególnych kategorii danych (art. 9 RODO), chyba że stosowane są odpowiednie zabezpieczenia.
6. Podprocesorzy
Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług następujących podprocesorów. Podmiot przetwarzający powiadomi Administratora o wszelkich zmianach podprocesorów z co najmniej 30-dniowym wyprzedzeniem.
| Podprocesor | Cel | Lokalizacja |
|---|---|---|
| Dizzus GmbH (własna infrastruktura) | Tymczasowe przechowywanie plików (automatyczne usuwanie po 24 godz.) | Francja |
| Dizzus GmbH (własna infrastruktura) | Hosting aplikacji, API i przetwarzanie konwersji | Wielka Brytania / Francja |
| Dizzus GmbH (własna infrastruktura) | Baza danych i własna analityka (Plausible) | Wielka Brytania |
| Cloudflare | DNS, ochrona przed botami (Turnstile) i proxy analityki | Globalnie |
| Stripe | Obsługa płatności | USA |
| Resend | Wysyłka e-maili transakcyjnych | USA, standardowe klauzule umowne |
W przypadku przekazywania danych poza Szwajcarię/EOG Podmiot przetwarzający zapewnia stosowanie odpowiednich zabezpieczeń (standardowych klauzul umownych lub decyzji stwierdzających odpowiedni stopień ochrony).
7. Środki bezpieczeństwa
Podmiot przetwarzający wdraża następujące środki techniczne i organizacyjne:
- Szyfrowanie podczas przesyłania: cała komunikacja korzysta z TLS 1.2+;
- Szyfrowanie danych przechowywanych: pliki przechowywane na zaszyfrowanych woluminach w systemach przechowywania obsługiwanych przez Dizzus;
- Kontrola dostępu: uwierzytelnianie kluczem API, zarządzanie sesjami, dostęp oparty na rolach;
- Bezpieczeństwo procesów roboczych: żądania między API a procesami konwersji podpisane HMAC-SHA256;
- Minimalizacja danych: pliki importu usuwane natychmiast po konwersji; pliki wynikowe usuwane po 24 godzinach;
- Monitorowanie: automatyczne kontrole stanu i scentralizowane logowanie;
- Bezpieczeństwo sieci: procesy konwersji odizolowane w sieciach prywatnych (sieć WireGuard); terminacja TLS i ograniczanie liczby żądań na brzegu sieci.
8. Zgłaszanie naruszeń ochrony danych
Podmiot przetwarzający powiadamia Administratora bez zbędnej zwłoki (a w każdym razie w ciągu 72 godzin) po stwierdzeniu naruszenia ochrony danych osobowych. Powiadomienie zawiera charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje oraz środki podjęte w celu zaradzenia naruszeniu.
9. Żądania osób, których dane dotyczą
Podmiot przetwarzający niezwłocznie pomaga Administratorowi w realizacji żądań osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie, ograniczenie, sprzeciw). Ze względu na zautomatyzowany i tymczasowy charakter przetwarzania plików większość takich żądań jest realizowana automatycznie dzięki zasadzie usuwania plików po 24 godzinach.
10. Audyty
Administrator może przeprowadzić audyt zgodności Podmiotu przetwarzającego z niniejszą DPA. Audyty przeprowadza się po rozsądnym uprzedzeniu (co najmniej 30 dni) i w normalnych godzinach pracy. Podmiot przetwarzający może pobierać rozsądne opłaty za wsparcie audytu wykraczające poza standardową dokumentację.
11. Czas trwania i rozwiązanie
Niniejsza DPA obowiązuje przez czas trwania umowy o świadczenie Usługi. Po jej rozwiązaniu Podmiot przetwarzający usuwa wszystkie dane osobowe w ciągu 30 dni, chyba że prawo szwajcarskie lub unijne wymaga ich przechowywania. Na żądanie Podmiot przetwarzający przedstawi pisemne potwierdzenie usunięcia.
12. Prawo właściwe
Niniejsza DPA podlega prawu szwajcarskiemu. Wyłączną jurysdykcję mają sądy w Zug w Szwajcarii, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.
13. Kontakt
W sprawach dotyczących DPA:
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
Kontakt: convertfly.io/contact
E-mail: