Umowa powierzenia przetwarzania danych osobowych

Strony i zawarcie Umowy

1. Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa”) zostaje zawarta pomiędzy:

   • sixpoints – Jędrzej Koronowicz, przedsiębiorcą wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, z siedzibą przy Al. Grunwaldzkiej 472, 80-309 Gdańsk, NIP 5842612410, REGON 221927438, świadczącym usługę Interankiety (Platforma Responsly) w domenach interankiety.pl i responsly.com („Usługodawca”), a
   • Klientem w rozumieniu Regulaminu („Klient”),

   zwanymi dalej łącznie „Stronami”, a każda z osobna „Stroną”.

2. Umowa jest zawierana w formie elektronicznej z chwilą akceptacji Regulaminu przez Klienta i obowiązuje we wszystkich Planach, w tym w okresie próbnym. Podpis nie jest wymagany.

3. Umowa stanowi integralną część Regulaminu. Terminy pisane wielką literą, które nie zostały zdefiniowane w Umowie, mają znaczenie nadane im w Regulaminie.

4. Klient, który potrzebuje zmienionych postanowień lub umowy podpisanej elektronicznie albo w formie papierowej, może zawrzeć z Usługodawcą indywidualną umowę powierzenia — w ramach Planu Enterprise lub na podstawie odrębnych ustaleń handlowych. Wniosek należy przesłać na adres gdpr@interankiety.pl. Indywidualna umowa ma pierwszeństwo przed niniejszą Umową w zakresie, w jakim ją zmienia.

Zważywszy, że

1. Świadczenie Usługi może wymagać przetwarzania przez Usługodawcę danych osobowych, co do których Klient jest administratorem albo podmiotem przetwarzającym działającym w imieniu innego administratora („Dane Osobowe”).
2. Strony chcą zapewnić, aby przetwarzanie Danych Osobowych odbywało się zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”) oraz innymi przepisami o ochronie danych osobowych,

Strony postanawiają, co następuje.

1. Przedmiot Umowy

1. Zgodnie z art. 28 ust. 3 RODO Klient powierza Usługodawcy przetwarzanie Danych Osobowych, a Usługodawca powierzenie przyjmuje.
2. Usługodawca przetwarza Dane Osobowe:
   1. zgodnie z Umową i obowiązującymi przepisami prawa,
   2. wyłącznie w celu świadczenia Usługi na rzecz Klienta,
   3. w zakresie, celu i charakterze opisanych w Załączniku nr 1 do Umowy,
   4. przez czas świadczenia Usługi, a po jego zakończeniu — do czasu usunięcia Danych Osobowych zgodnie z pkt 7.
3. Rola Usługodawcy polega na udostępnieniu Klientowi narzędzi Usługi. Usługodawca nie ustala celów ani sposobów przetwarzania Danych Osobowych przez Klienta, nie wpływa na zakres danych zbieranych przez Klienta w Ankietach i nie weryfikuje podstaw prawnych, na których Klient je zbiera.
4. Jeżeli Klient działa jako podmiot przetwarzający w imieniu innego administratora, Usługodawca działa jako dalszy podmiot przetwarzający, a Klient zapewnia, że jego polecenia są zgodne z poleceniami tego administratora.

2. Oświadczenia i obowiązki Klienta

1. Klient oświadcza, że Dane Osobowe zostały zebrane i są przetwarzane zgodnie z prawem, w szczególności że:
   1. posiada ważną podstawę prawną przetwarzania Danych Osobowych, w tym zgody wymagane przepisami Prawa komunikacji elektronicznej na kierowanie do osób zaproszeń i informacji drogą elektroniczną (e-mail, SMS, WhatsApp),
   2. przekazał osobom, których dane dotyczą, informacje wymagane przez art. 13 i 14 RODO,
   3. jest uprawniony do powierzenia Usługodawcy przetwarzania Danych Osobowych w zakresie i celu określonym w Umowie, a jeżeli nie jest administratorem — uzyskał na to zgodę administratora.
2. Klient potwierdza, że zapoznał się ze środkami technicznymi i organizacyjnymi opisanymi w Załączniku nr 2 i uznaje je za odpowiednie do ryzyka związanego z przetwarzaniem Danych Osobowych w Usłudze.
3. Klient korzysta z Usługi w sposób bezpieczny, w szczególności chroni dane logowania do Konta, nadaje Użytkownikom uprawnienia zgodnie z zasadą minimalnego dostępu i korzysta z dostępnych zabezpieczeń, takich jak uwierzytelnianie dwuskładnikowe.
4. Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO), danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO) ani danych dzieci. Decyzja o ich zbieraniu należy wyłącznie do Klienta, który w takim przypadku samodzielnie ocenia, czy środki opisane w Załączniku nr 2 są wystarczające.
5. Strony niezwłocznie, nie później niż w ciągu 3 dni roboczych, informują się wzajemnie o każdej kontroli lub postępowaniu Prezesa Urzędu Ochrony Danych Osobowych albo innego organu nadzorczego, które dotyczy powierzonych Danych Osobowych, o ile przepisy prawa tego nie zabraniają.

3. Polecenia Klienta

1. Usługodawca przetwarza Dane Osobowe wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania nakłada na niego prawo Unii Europejskiej lub prawo państwa członkowskiego. W takim przypadku przed rozpoczęciem przetwarzania Usługodawca informuje Klienta o tym obowiązku, o ile prawo nie zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny.
2. Poleceniami Klienta są: Umowa, Regulamin oraz czynności wykonywane przez Klienta i jego Użytkowników za pomocą funkcji Usługi, w tym tworzenie Ankiet, import i wysyłka zaproszeń, eksport, udostępnianie i usuwanie danych.
3. Dalsze polecenia Klient przekazuje w formie elektronicznej na adres gdpr@interankiety.pl. Muszą one dotyczyć przedmiotu Umowy i Usługi. Jeżeli wykonanie polecenia wymaga prac wykraczających poza standardowe funkcje Usługi, Usługodawca przed jego wykonaniem informuje Klienta o możliwości technicznej i kosztach, a wykonuje je po akceptacji kosztów przez Klienta.
4. Usługodawca niezwłocznie informuje Klienta, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych. Do czasu wyjaśnienia Usługodawca może wstrzymać wykonanie takiego polecenia, a jeżeli jego wykonanie prowadziłoby do naruszenia prawa — odmówić jego wykonania.

4. Obowiązki Usługodawcy

1. Bezpieczeństwo. Zgodnie z art. 32 RODO Usługodawca stosuje środki techniczne i organizacyjne opisane w Załączniku nr 2. Usługodawca może zmieniać te środki, pod warunkiem że nie obniży to ogólnego poziomu ochrony Danych Osobowych.
2. Poufność. Usługodawca dopuszcza do przetwarzania Danych Osobowych wyłącznie osoby upoważnione, które zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania tajemnicy (art. 28 ust. 3 lit. b RODO), i odpowiada za ich działania jak za własne.
3. Prawa osób, których dane dotyczą. Obowiązek odpowiadania na żądania osób, których dane dotyczą, spoczywa na Kliencie. Usługodawca pomaga Klientowi w jego wykonaniu, w miarę możliwości, przede wszystkim przez funkcje Usługi umożliwiające wyszukanie, eksport, sprostowanie i usunięcie danych. Jeżeli żądanie trafi bezpośrednio do Usługodawcy, Usługodawca przekaże je Klientowi w ciągu 5 dni roboczych i nie odpowie na nie bez polecenia Klienta.
4. Pomoc w obowiązkach z art. 32–36 RODO. Usługodawca pomaga Klientowi w wywiązywaniu się z obowiązków dotyczących bezpieczeństwa przetwarzania, zgłaszania naruszeń, oceny skutków dla ochrony danych i uprzednich konsultacji, uwzględniając charakter przetwarzania i dostępne mu informacje. Pomoc wykraczająca poza przekazanie informacji o Usłudze może być odpłatna — Usługodawca informuje o kosztach przed jej udzieleniem.
5. Naruszenia ochrony danych. Usługodawca zawiadamia Klienta o stwierdzonym naruszeniu ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Stwierdzeniem naruszenia jest potwierdzenie przez Usługodawcę, że doszło do naruszenia ochrony danych, a nie samo powzięcie niepotwierdzonego podejrzenia lub otrzymanie niepotwierdzonego zgłoszenia. Zawiadomienie jest wysyłane na adres e-mail właściciela Konta i zawiera, w zakresie znanym Usługodawcy w chwili zawiadomienia, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe konsekwencje, zastosowane lub proponowane środki oraz dane kontaktowe. Informacje, których nie można przekazać od razu, Usługodawca przekazuje sukcesywnie bez zbędnej zwłoki. Zawiadomienie nie stanowi przyznania winy ani odpowiedzialności.
6. Ewidencja. Usługodawca prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu administratorów zgodnie z art. 30 ust. 2 RODO.
7. Kontakt w sprawach ochrony danych. Sprawy dotyczące ochrony danych, w tym wykonywania Umowy, Klient kieruje do Usługodawcy na adres gdpr@interankiety.pl.

5. Dalsze powierzenie (podwykonawcy)

1. Klient udziela Usługodawcy ogólnej zgody na korzystanie z podwykonawców i dalsze powierzenie im przetwarzania Danych Osobowych w celu świadczenia Usługi, w tym na korzystanie z podwykonawców wymienionych na liście w dniu zawarcia Umowy.
2. Aktualna lista podwykonawców, z opisem celu, lokalizacji i podstawy przekazania danych, jest publikowana pod adresem https://www.interankiety.pl/podwykonawcy/ i stanowi Załącznik nr 3 do Umowy.
3. O zamiarze dodania lub zastąpienia podwykonawcy Usługodawca informuje co najmniej 14 dni przed wprowadzeniem zmiany, e-mailem na adres właściciela Konta.
4. W terminie 14 dni od otrzymania informacji Klient może zgłosić uzasadniony sprzeciw na adres gdpr@interankiety.pl. Strony w dobrej wierze szukają rozwiązania. Jeżeli nie dojdą do porozumienia w ciągu 30 dni od zgłoszenia sprzeciwu, Klient może wypowiedzieć umowę o świadczenie Usługi ze skutkiem natychmiastowym. Brak sprzeciwu w terminie oznacza zgodę na zmianę. Klient przyjmuje do wiadomości, że sprzeciw może uniemożliwić korzystanie z funkcji Usługi zależnych od danego podwykonawcy. Wypowiedzenie z tego powodu nie uprawnia do zwrotu opłat na zasadach określonych w Regulaminie.
5. W wyjątkowych przypadkach, gdy zmiana podwykonawcy jest pilnie konieczna dla zapewnienia ciągłości lub bezpieczeństwa Usługi, Usługodawca może wprowadzić ją wcześniej. Informuje wtedy Klienta niezwłocznie, a Klientowi przysługuje prawo sprzeciwu na zasadach z pkt 5.4.
6. Usługodawca zawiera z każdym podwykonawcą umowę nakładającą obowiązki ochrony danych co najmniej takie jak w Umowie (art. 28 ust. 4 RODO) i odpowiada wobec Klienta za wykonanie tych obowiązków przez podwykonawcę. Dostawca usługi, do której Klient sam kieruje dane za pomocą integracji lub podobnego połączenia wybranego przez Klienta, nie jest podwykonawcą Usługodawcy.
7. Przekazanie Danych Osobowych do państwa trzeciego odbywa się wyłącznie z zachowaniem warunków rozdziału V RODO — na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework w odniesieniu do certyfikowanych podmiotów) albo standardowych klauzul umownych przyjętych przez Komisję Europejską.
8. W zakresie dozwolonym przez prawo Usługodawca zawiadamia Klienta o wiążącym żądaniu organu ujawnienia Danych Osobowych, chyba że prawo zabrania udzielenia takiej informacji. Usługodawca nie ma obowiązku zaskarżania żądania. Klient może je zaskarżyć na własny koszt. Jeżeli zawiadomienie Klienta jest prawnie niedopuszczalne, Usługodawca – w zakresie dozwolonym przez prawo – informuje Klienta, że nie może dalej wykonywać jego poleceń bez podawania dalszych szczegółów.

6. Audyt

1. Klient ma prawo sprawdzić, czy Usługodawca przetwarza Dane Osobowe zgodnie z Umową („Audyt”). Audyt w pierwszej kolejności przeprowadza się przez udostępnienie informacji i dokumentów oraz odpowiedzi na pytania Klienta przesłane na adres gdpr@interankiety.pl.
2. Jeżeli informacje z pkt 6.1 nie wystarczą, Klient może przeprowadzić Audyt w siedzibie Usługodawcy samodzielnie lub przez niezależnego audytora, który zawarł z Usługodawcą umowę o zachowaniu poufności i nie prowadzi działalności konkurencyjnej wobec Usługodawcy.
3. Audyt:
   1. dotyczy wyłącznie Danych Osobowych powierzonych na podstawie Umowy,
   2. odbywa się nie częściej niż raz w roku, chyba że wymaga go organ nadzorczy lub przeprowadza się go po stwierdzeniu istotnego naruszenia ochrony Danych Osobowych Klienta,
   3. jest zapowiadany co najmniej 14 dni przed planowanym terminem,
   4. trwa nie dłużej niż 2 dni robocze, odbywa się w godzinach pracy Usługodawcy i nie zakłóca jego działalności ani bezpieczeństwa innych klientów,
   5. nie obejmuje dostępu do danych innych klientów, tajemnic przedsiębiorstwa Usługodawcy ani systemów podwykonawców (w ich zakresie Usługodawca udostępnia dostępne raporty i certyfikaty podwykonawców).
4. Koszty Audytu ponosi Klient, chyba że Audyt wykaże istotne naruszenie Umowy przez Usługodawcę.
5. Klient przekazuje Usługodawcy raport z Audytu. Raport stanowi informację poufną Usługodawcy.

7. Usunięcie Danych Osobowych

1. W trakcie korzystania z Usługi Klient może w każdej chwili samodzielnie wyeksportować i usunąć Dane Osobowe za pomocą funkcji Usługi.
2. Po usunięciu Konta albo zakończeniu świadczenia Usługi Dane Osobowe są przechowywane przez 60 dni wyłącznie w celu umożliwienia reaktywacji Konta. W tym czasie Usługodawca nie wykonuje na nich innych operacji niż przechowywanie. Klient może w tym okresie wyeksportować Dane Osobowe. Udostępnienie Danych Osobowych do eksportu za pomocą funkcji Usługi, w tym w okresie z pkt 7.2, stanowi zwrot danych w rozumieniu art. 28 ust. 3 lit. g RODO. Usługodawca nie jest zobowiązany do zwrotu Danych Osobowych w innej formie ani na innym nośniku.
3. Po upływie okresu z pkt 7.2 Dane Osobowe są usuwane z systemów produkcyjnych. Dane Osobowe zawarte w kopiach zapasowych są usuwane w ramach cyklu rotacji kopii, najpóźniej po 12 miesiącach. Do tego czasu kopie są przechowywane w postaci zaszyfrowanej i nie są wykorzystywane do innych celów niż odtworzenie Usługi po awarii.
4. Postanowienia pkt 7.2–7.3 nie dotyczą danych, których dalsze przechowywanie nakazuje Usługodawcy prawo Unii Europejskiej lub prawo państwa członkowskiego.
5. Na żądanie Klienta zgłoszone przed upływem okresu z pkt 7.2 Usługodawca usuwa Dane Osobowe z systemów produkcyjnych wcześniej. Po tym terminie Usługodawca nie ma obowiązku zwrotu ani dalszego przechowywania Danych Osobowych, z zastrzeżeniem pkt 7.4.

8. Odpowiedzialność

1. Odpowiedzialność Stron z tytułu Umowy podlega ograniczeniom określonym w Regulaminie. Limit odpowiedzialności z Regulaminu jest łączny i obejmuje wszystkie roszczenia wynikające z Regulaminu i z Umowy.
2. Ograniczenia odpowiedzialności nie dotyczą szkody wyrządzonej umyślnie.
3. Umowa nie ogranicza praw osób, których dane dotyczą, wynikających z art. 82 RODO. Jeżeli jedna ze Stron naprawi szkodę w części, za którą odpowiada druga Strona, przysługuje jej wobec tej Strony roszczenie zwrotne.
4. Klient odpowiada za szkody wynikające z przetwarzania Danych Osobowych bez podstawy prawnej lub na podstawie niezgodnych z prawem poleceń Klienta i zwalnia Usługodawcę z odpowiedzialności wobec osób trzecich w tym zakresie, na zasadach określonych w Regulaminie.

9. Postanowienia końcowe

1. Wynagrodzenie Usługodawcy za wykonywanie Umowy jest zawarte w opłacie za Usługę. W okresie próbnym Umowa jest wykonywana nieodpłatnie.
2. Umowa obowiązuje przez czas świadczenia Usługi, a jej postanowienia dotyczące przechowywania i usunięcia Danych Osobowych oraz poufności — do czasu usunięcia Danych Osobowych zgodnie z pkt 7.
3. Umowa zastępuje wcześniejsze standardowe umowy powierzenia zawarte przez Strony w związku z Usługą. Umowa wydana na ówczesnym wzorze standardowym, także jeżeli została podpisana bez zmian jej treści, jest umową standardową w rozumieniu tego punktu. Nie zastępuje indywidualnych umów powierzenia, których treść Strony uzgodniły odmiennie od wzoru, chyba że Strony postanowią inaczej.
4. Usługodawca może zmienić Umowę na zasadach zmiany Regulaminu, informując Klienta co najmniej 14 dni przed wejściem zmian w życie. Klient może przed tą datą wypowiedzieć umowę o świadczenie Usługi.
5. Komunikacja w sprawach Umowy odbywa się drogą elektroniczną: po stronie Usługodawcy — na adres gdpr@interankiety.pl, po stronie Klienta — na adres e-mail właściciela Konta.
6. W sprawach ochrony danych osobowych postanowienia Umowy mają pierwszeństwo przed Regulaminem. W sprawach nieuregulowanych stosuje się Regulamin, RODO i przepisy prawa polskiego.
7. Umowa została opublikowana 16 września 2026 r. i obowiązuje od 1 października 2026 r. Wcześniejsze brzmienie Umowy jest dostępne na żądanie.

10. Inne przepisy o ochronie danych

1. Jeżeli do przetwarzania Danych Osobowych stosuje się UK GDPR albo szwajcarską federalną ustawę o ochronie danych, odesłania w Umowie do RODO obejmują odpowiadające im przepisy tych aktów, a odesłania do prawa Unii lub państwa członkowskiego – prawo Zjednoczonego Królestwa albo Szwajcarii. W razie potrzeby do przekazań stosują się odpowiednie zabezpieczenia: International Data Transfer Addendum do standardowych klauzul umownych Komisji Europejskiej wydany na podstawie UK GDPR albo standardowe klauzule umowne Komisji Europejskiej dostosowane do Szwajcarii.

2. Jeżeli do Danych Osobowych (w tym „personal information” w rozumieniu tych przepisów) stosuje się przepisy stanów USA o ochronie prywatności, w szczególności California Consumer Privacy Act ze zmianami wprowadzonymi przez California Privacy Rights Act (CCPA/CPRA), Usługodawca działa jako „service provider” albo „contractor” w rozumieniu tych przepisów i nie:

   1. „sprzedaje” ani nie „udostępnia” (sell / share) Danych Osobowych w rozumieniu tych przepisów,
   2. zatrzymuje, nie wykorzystuje i nie ujawnia Danych Osobowych w celu innym niż świadczenie Usługi, w tym w celu komercyjnym innym niż świadczenie Usługi,
   3. zatrzymuje, nie wykorzystuje i nie ujawnia Danych Osobowych poza bezpośrednim stosunkiem gospodarczym między Klientem a Usługodawcą,
   4. łączy Danych Osobowych z danymi osobowymi, które otrzymuje od innej osoby lub we własnym imieniu, z wyjątkiem przypadków dozwolonych tymi przepisami.

   Usługodawca oświadcza, że rozumie te ograniczenia i będzie ich przestrzegać.

Załącznik nr 1. Opis przetwarzania

Cel przetwarzania. Świadczenie Usługi na rzecz Klienta: tworzenie i udostępnianie Ankiet (w tym formularzy, quizów, testów i głosowań), wysyłka zaproszeń, zbieranie, przechowywanie i analiza odpowiedzi, w tym za pomocą Funkcji AI, jeżeli Klient z nich korzysta, oraz integracje uruchomione przez Klienta.

Charakter przetwarzania. Przetwarzanie w sposób zautomatyzowany w systemach informatycznych Usługi. Czynności: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie (w tym do integracji wskazanych przez Klienta), dopasowywanie, ograniczanie, usuwanie i tworzenie kopii zapasowych. Usługodawca nie kontaktuje się z osobami, których dane dotyczą, w imieniu Klienta inaczej niż przez wysyłki zlecone przez Klienta w Usłudze.

Czas przetwarzania. Przez czas świadczenia Usługi i okresy wskazane w pkt 7 Umowy.

Kategorie osób, których dane dotyczą.

• Respondenci — osoby wypełniające Ankiety Klienta.
• Kontakty — osoby, których dane Klient importuje lub zbiera w Usłudze i do których kieruje zaproszenia, np. klienci, potencjalni klienci, pracownicy, kandydaci do pracy, uczestnicy wydarzeń, członkowie organizacji, osoby kontaktowe partnerów Klienta.
• Inne osoby, których dane Klient umieszcza w treściach Ankiet lub w wiadomościach wysyłanych za pomocą Usługi.

Kategorie danych osobowych.

• Treść odpowiedzi — dane w zakresie określonym przez Klienta w pytaniach Ankiety, w tym przesłane pliki.
• Dane kontaktowe i identyfikacyjne — adres e-mail, numer telefonu, imię i nazwisko oraz inne atrybuty dodane przez Klienta (np. stanowisko, dział, miejsce pracy, dane adresowe, płeć, wiek, zmienne ukryte przekazywane w linku).
• Dane techniczne Respondentów — adres IP, identyfikator odwiedzającego, język przeglądarki, typ urządzenia i systemu operacyjnego, adres strony odsyłającej, daty i godziny wypełnienia.
• Dane dotyczące wysyłek — status doręczenia, otwarcia i kliknięcia w zaproszenia.
• Dane osobowe zawarte w treściach wiadomości wysyłanych przez Klienta za pomocą Usługi.

Szczególne kategorie danych. Nie są przewidziane. Jeżeli Klient zdecyduje się je zbierać, stosuje się pkt 2.4 Umowy.

Załącznik nr 2. Środki techniczne i organizacyjne

Opis środków technicznych i organizacyjnych jest publikowany pod adresem https://www.interankiety.pl/umowa-powierzenia/srodki-bezpieczenstwa/ i stanowi Załącznik nr 2 do Umowy. Usługodawca aktualizuje go zgodnie z pkt 4.1.

Załącznik nr 3. Podwykonawcy

Aktualna lista podwykonawców jest publikowana pod adresem https://www.interankiety.pl/podwykonawcy/ i jest aktualizowana zgodnie z pkt 5 Umowy.

Ostatnia aktualizacja 16 września 2026