Umowa powierzenia danych
Obowiązuje od 13 listopada 2026 r.
§ 1. Strony i przedmiot umowy
Umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) zawierana jest między Klientem jako administratorem danych (dalej: Administrator) a OCEAN.COM spółka z ograniczoną odpowiedzialnością spółka komandytowa z siedzibą w Rędziny, ul. Wolności 80, 42-242 Rędziny, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w Częstochowie, XVII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000753985, NIP 949-223-47-24, REGON 381611613 jako podmiotem przetwarzającym (dalej: Podmiot przetwarzający), w związku z umową o świadczenie usługi Searchkeen zawartą na warunkach Regulaminu (dalej: Umowa główna).
Umowa powierzenia jest częścią Umowy głównej, wchodzi w życie razem z nią i obowiązuje przez cały czas jej trwania oraz do usunięcia danych po jej zakończeniu. Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie.
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu opisanym poniżej, na podstawie art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
§ 2. Charakter, cel i zakres przetwarzania
Cel: obsługa wyszukiwania produktów w Sklepie Administratora, ochrona przed nadużyciami (ruch botów, przepalanie Tokenów) oraz przygotowanie zbiorczych statystyk dla Administratora.
Charakter: zbieranie, przechowywanie, porządkowanie, analiza w formie zbiorczej i usuwanie, w sposób zautomatyzowany.
Rodzaje danych:
- treść zapytań wpisywanych w wyszukiwarkę (może przypadkiem zawierać dane osobowe, jeśli Klient Sklepu je wpisze),
- adres IP, przetwarzany w chwili zapytania wyłącznie do ochrony przed nadużyciami i niezapisywany w statystykach,
- informacje techniczne: typ urządzenia (telefon lub komputer), czas zapytania, kliknięty produkt.
Kategorie osób: Klienci Sklepu, czyli osoby korzystające z wyszukiwarki w Sklepie Administratora. Umowa powierzenia nie obejmuje danych szczególnych kategorii; wyszukiwarka nie jest przeznaczona do ich przetwarzania.
Okres przechowywania: treść zapytań do 90 dni, liczby ruchu bez treści zapytań do 400 dni; kopie zapasowe nadpisywane w cyklu do 30 dni.
§ 3. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są Umowa główna i Umowa powierzenia, także w zakresie przekazywania danych do państwa trzeciego; jeśli polecenie narusza przepisy, niezwłocznie informuje o tym Administratora,
- zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności,
- stosuje środki bezpieczeństwa opisane w § 4,
- przestrzega warunków korzystania z dalszych podmiotów przetwarzających opisanych w § 5,
- pomaga Administratorowi, w miarę możliwości i przy uwzględnieniu charakteru przetwarzania, odpowiadać na żądania osób, których dane dotyczą, oraz wywiązywać się z obowiązków z art. 32–36 RODO,
- po zakończeniu świadczenia usług usuwa dane zgodnie z § 8,
- udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty zgodnie z § 7.
§ 4. Środki bezpieczeństwa
Podmiot przetwarzający stosuje w szczególności:
- szyfrowanie połączeń (HTTPS/TLS) na całej drodze od przeglądarki do serwera,
- serwer bez otwartych portów w internecie (połączenie wyłącznie przez szyfrowany tunel), szyfrowane dyski i szyfrowane kopie zapasowe z ochroną przed usunięciem,
- oddzielenie danych każdego Sklepu (najemca ustalany wyłącznie po stronie serwera) i testy izolacji przy każdym wydaniu,
- logowanie do paneli z uwierzytelnianiem dwuskładnikowym, dostęp administracyjny tylko dla upoważnionych osób przez prywatną sieć,
- minimalizację danych: bez zapisywania adresów IP w statystykach, ograniczone okresy przechowywania,
- uprawnienia do Sklepu wyłącznie do odczytu, klucze dostępu przechowywane w postaci zaszyfrowanej,
- monitorowanie dostępności i nietypowego ruchu oraz procedurę reagowania na incydenty.
Podmiot przetwarzający może zmieniać środki bezpieczeństwa, jeśli nie obniża to ogólnego poziomu ochrony.
§ 5. Dalsze podmioty przetwarzające
Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających. Aktualna lista jest w tabeli na tej stronie.
Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające te same obowiązki ochrony danych, które wynikają z Umowy powierzenia, i odpowiada za ich wykonanie jak za własne działania.
O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeśli strony nie dojdą do porozumienia, Administrator może rozwiązać Umowę główną ze skutkiem natychmiastowym.
Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie przy zastosowaniu zabezpieczeń z rozdziału V RODO, w szczególności decyzji o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) lub standardowych klauzul umownych.
§ 6. Naruszenia ochrony danych
Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adres przypisany do konta Administratora.
Zgłoszenie zawiera, w miarę dostępnych informacji: opis naruszenia, kategorie i przybliżoną liczbę osób i wpisów, prawdopodobne konsekwencje oraz podjęte lub proponowane środki zaradcze. Informacje, których nie da się podać od razu, Podmiot przetwarzający przekazuje niezwłocznie później.
§ 7. Audyty i informacje
Na prośbę Administratora Podmiot przetwarzający udostępnia informacje potrzebne do wykazania zgodności z art. 28 RODO, w pierwszej kolejności w formie pisemnych wyjaśnień i dokumentacji.
Administrator może przeprowadzić audyt (samodzielnie lub przez niezależnego audytora zobowiązanego do poufności) nie częściej niż raz na 12 miesięcy, chyba że zachodzi uzasadnione podejrzenie naruszenia, po uprzedzeniu Podmiotu przetwarzającego co najmniej 14 dni wcześniej, w dni robocze i w sposób, który nie zakłóca świadczenia usług innym klientom. Koszty audytu ponosi Administrator.
§ 8. Usunięcie danych po zakończeniu
Po zakończeniu Umowy głównej Podmiot przetwarzający usuwa powierzone dane w terminie do 30 dni, a kopie zapasowe są nadpisywane w cyklu do 30 dni, chyba że prawo Unii lub prawo polskie nakazuje ich przechowywanie. Na prośbę Administratora zgłoszoną przed zakończeniem Umowy głównej Podmiot przetwarzający przekaże zbiorcze statystyki w formacie CSV.
§ 9. Postanowienia końcowe
Odpowiedzialność stron za szkody związane z przetwarzaniem danych określają RODO i Regulamin.
W sprawach nieuregulowanych stosuje się prawo polskie i RODO. W razie rozbieżności między Umową powierzenia a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa powierzenia.
Umowa powierzenia obowiązuje od 13 listopada 2026 r.
Lista dalszych podmiotów przetwarzających
Stan na 13 listopada 2026 r. O zmianach informujemy klientów e-mailem co najmniej 14 dni wcześniej.
| Podmiot | Siedziba | Cel | Gdzie są dane | Podstawa przekazania |
|---|---|---|---|---|
| UpCloud Ltd | Finlandia (UE) | Serwer, na którym działa wyszukiwarka, silnik i statystyki | Polska, centrum danych w Warszawie | EOG, bez przekazywania poza UE |
| Cloudflare, Inc. i podmioty powiązane | USA | Sieć dostarczania treści, ochrona przed atakami i botami, bezpieczne połączenie z serwerem, szyfrowane kopie zapasowe | Ruch przechodzi przez sieć Cloudflare; kopie zapasowe w jurysdykcji UE | EU-US Data Privacy Framework, standardowe klauzule umowne |