Umowa o przetwarzaniu danych QR Code AI

UMOWA O PRZETWARZANIU DANYCH (DPA)

Ostatnia aktualizacja: 2 marca 2026

Niniejsza Umowa o przetwarzaniu danych ("DPA") stanowi część Regulaminu ("Umowa") zawartej pomiędzy Supernovae, spółką zarejestrowaną we Francji pod adresem 27 Rue Wurtz, Juvisy-sur-Orge 91260, numer VAT FR67948452891 ("Podmiot przetwarzający", "my", "nas"), a podmiotem akceptującym niniejszą DPA ("Administrator", "ty"), łącznie zwanymi "Stronami".

Niniejsza DPA ma zastosowanie, gdy przetwarzamy dane osobowe w twoim imieniu w związku z usługami QR Code AI, w tym za pośrednictwem API.

1. DEFINICJE

• "Dane osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, zgodnie z definicją w art. 4 ust. 1 RODO.
• "Przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na Danych osobowych, zgodnie z definicją w art. 4 ust. 2 RODO.
• "Osoba, której dane dotyczą" oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, której dotyczą Dane osobowe.
• "Podprocesor" oznacza podmiot trzeci zaangażowany przez Podmiot przetwarzający do przetwarzania Danych osobowych w imieniu Administratora.
• "RODO" oznacza Rozporządzenie (UE) 2016/679 Parlamentu Europejskiego i Rady.
• "UK GDPR" oznacza RODO wdrożone do prawa Zjednoczonego Królestwa na mocy Data Protection Act 2018.
• "SCC" oznaczają Standardowe Klauzule Umowne zatwierdzone przez Komisję Europejską dla transferu Danych osobowych do państw trzecich.
• "Naruszenie ochrony danych" oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do Danych osobowych.

2. ZAKRES I ROLE

2.1 Administrator i Podmiot przetwarzający

Na potrzeby niniejszej DPA:

• Ty (Administrator): Określasz cele i sposoby przetwarzania Danych osobowych, gdy korzystasz z naszych Usług, w szczególności gdy używasz naszego API do generowania kodów QR dla własnych klientów lub integrujesz nasze Usługi ze swoimi produktami.
• My (Podmiot przetwarzający): Przetwarzamy Dane osobowe w twoim imieniu zgodnie z twoimi instrukcjami, zgodnie z opisem w niniejszej DPA oraz w Umowie.

2.2 Kiedy ta DPA ma zastosowanie

Niniejsza DPA ma zastosowanie, gdy:

• Korzystasz z API QR Code AI do generowania kodów QR, które przetwarzają dane twoich użytkowników końcowych (np. URL zawierające dane osobowe, dane vCard, dane kontaktowe zakodowane w kodach QR).
• Korzystasz z funkcji tracking kodów QR i analityki QR Code AI, które zbierają dane o skanach od twoich użytkowników końcowych.
• W każdym innym przypadku, gdy przetwarzamy Dane osobowe w twoim imieniu jako podmiot przetwarzający.

Gdy korzystasz z QR Code AI jako użytkownik indywidualny do własnych celów, działamy jako niezależny administrator danych, a przetwarzanie danych reguluje nasza Polityka prywatności.

3. SZCZEGÓŁY PRZETWARZANIA DANYCH

3.1 Przedmiot i czas trwania

Przetwarzamy Dane osobowe przez czas trwania Umowy w celu świadczenia usług QR Code AI, w tym generowania kodów QR, trackingu, analityki oraz powiązanych funkcjonalności.

3.2 Charakter i cel przetwarzania

• Generowanie kodów QR na podstawie danych wejściowych przekazanych przez Administratora
• Tracking skanów kodów QR i zbieranie danych analitycznych
• Przechowywanie konfiguracji kodów QR i powiązanych metadanych
• Przetwarzanie zapytań o artystyczny kod QR generowany przez AI
• Udostępnianie raportów i paneli analitycznych

3.3 Rodzaje Danych osobowych

Rodzaje przetwarzanych Danych osobowych mogą obejmować:

• Dane kontaktowe (imiona i nazwiska, adresy e-mail, numery telefonów) zakodowane w kodach QR
• URL i adresy internetowe
• Dane lokalizacyjne ze skanów kodów QR
• Informacje o urządzeniu i adresy IP ze skanów kodów QR
• Prompty tekstowe i obrazy przekazane do generowania kodów QR przez AI
• Wszelkie inne dane, które Administrator zdecyduje się zakodować w kodach QR

3.4 Kategorie osób, których dane dotyczą

• Użytkownicy końcowi skanujący kody QR utworzone przez Administratora
• Osoby, których dane kontaktowe są zakodowane w kodach QR
• Użytkownicy produktów lub usług Administratora, którzy wchodzą w interakcję z kodami QR

4. OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO

4.1 Instrukcje przetwarzania

Będziemy przetwarzać Dane osobowe wyłącznie na podstawie twoich udokumentowanych instrukcji, chyba że prawo UE lub państwa członkowskiego, któremu podlegamy, wymaga od nas takiego przetwarzania. W takim przypadku poinformujemy cię o tym wymogu prawnym przed rozpoczęciem przetwarzania, chyba że prawo zabrania przekazania takiej informacji z ważnych względów interesu publicznego.

4.2 Poufność

Zapewniamy, że osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

4.3 Środki bezpieczeństwa

Wdrażamy odpowiednie środki techniczne i organizacyjne, aby zapewnić poziom bezpieczeństwa adekwatny do ryzyka, w tym:

• Szyfrowanie Danych osobowych w transmisji (TLS/HTTPS) oraz w spoczynku
• Kontrole dostępu i uwierzytelnianie oparte na rolach dla systemów wewnętrznych
• Regularne oceny bezpieczeństwa i skanowanie podatności
• Infrastrukturę hostowaną u dostawców z certyfikacją ISO 27001
• Ochronę DDoS i zaporę aplikacji webowych (Cloudflare)
• Regularne kopie zapasowe z szyfrowanym magazynem
• Logowanie i monitorowanie dostępu do Danych osobowych

4.4 Podprocesorzy

Korzystamy z podprocesorów wymienionych na stronie Podprocesorzy. O wszelkich planowanych zmianach podprocesorów poinformujemy poprzez aktualizację tej strony. Możesz zgłosić sprzeciw wobec nowego podprocesora, kontaktując się z nami pod adresem [email protected] w ciągu 30 dni od aktualizacji. Jeśli zgłosisz sprzeciw, a my nie będziemy mogli w rozsądny sposób go uwzględnić, każda ze Stron może rozwiązać część Usług, której dotyczy sprzeciw.

Zawieramy pisemne umowy ze wszystkimi podprocesorami, które nakładają obowiązki ochrony danych nie mniej rygorystyczne niż te określone w niniejszej DPA.

4.5 Prawa osób, których dane dotyczą

Pomożemy ci w udzielaniu odpowiedzi na żądania Osób, których dane dotyczą, wykonujących swoje prawa wynikające z obowiązującego prawa ochrony danych (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Jeśli otrzymamy żądanie bezpośrednio od Osoby, której dane dotyczą, niezwłocznie skierujemy ją do ciebie, o ile nie otrzymamy innych instrukcji.

4.6 Pomoc w zapewnieniu zgodności

Pomożemy ci w zapewnieniu zgodności z obowiązkami wynikającymi z art. 32-36 RODO, z uwzględnieniem charakteru przetwarzania oraz informacji dostępnych po naszej stronie.

5. ZGŁASZANIE NARUSZEŃ OCHRONY DANYCH

5.1 Termin powiadomienia

Poinformujemy cię o Naruszeniu ochrony danych bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od momentu uzyskania wiedzy o naruszeniu. Powiadomienie zostanie wysłane na adres e-mail powiązany z twoim kontem.

5.2 Zakres informacji w powiadomieniu

Powiadomienie będzie zawierać, w zakresie dostępnych informacji:

• Opis charakteru Naruszenia ochrony danych, w tym kategorie i przybliżoną liczbę Osób, których dane dotyczą, oraz rekordów, których dotyczy naruszenie.
• Imię i nazwisko oraz dane kontaktowe naszego punktu kontaktowego ds. ochrony danych.
• Opis prawdopodobnych konsekwencji Naruszenia ochrony danych.
• Opis środków podjętych lub proponowanych w celu zaradzenia Naruszeniu ochrony danych, w tym środków ograniczających możliwe negatywne skutki.

5.3 Dalsza współpraca

Będziemy współpracować z tobą i zapewnimy rozsądną pomoc w badaniu, ograniczaniu skutków i usuwaniu Naruszenia ochrony danych oraz w przygotowaniu powiadomień do organów nadzorczych lub Osób, których dane dotyczą, które masz obowiązek złożyć.

6. MIĘDZYNARODOWE TRANSFERY DANYCH

6.1 Lokalizacja danych

Dane osobowe są zasadniczo przechowywane i przetwarzane w Unii Europejskiej:

• Francja (UE) przez Scaleway
• Holandia (UE) przez DigitalOcean

6.2 Transfery poza UE/EOG

Część naszych podprocesorów znajduje się poza UE/EOG, głównie w Stanach Zjednoczonych. W przypadku tych transferów opieramy się na:

• EU-US Data Privacy Framework: tam, gdzie ma zastosowanie, dla transferów do dostawców z USA certyfikowanych w ramach tego mechanizmu.
• Standardowych Klauzulach Umownych (SCC): włączamy zatwierdzone przez Komisję Europejską SCC (Decyzja wykonawcza Komisji (UE) 2021/914) do naszych umów z podprocesorami zlokalizowanymi poza UE/EOG, gdy Data Privacy Framework nie ma zastosowania.

6.3 Ocena wpływu transferu

Przeprowadzamy oceny wpływu transferu dla transferów do państw trzecich i wdrażamy dodatkowe środki, gdy jest to konieczne, aby zapewnić odpowiedni poziom ochrony danych.

7. AUDYTY I INSPEKCJE

7.1 Prawo do audytu

Masz prawo do audytu naszej zgodności z niniejszą DPA. Udostępnimy ci wszelkie informacje niezbędne do wykazania zgodności oraz umożliwimy i będziemy współuczestniczyć w audytach, w tym inspekcjach, przeprowadzanych przez ciebie lub audytora przez ciebie upoważnionego.

7.2 Zasady przeprowadzania audytu

Audyty podlegają następującym warunkom:

• Musisz przekazać co najmniej 30 dni pisemnego powiadomienia przed audytem.
• Audyty mogą być przeprowadzane nie częściej niż raz w roku, chyba że wymagają tego organy nadzorcze lub audyt jest następstwem Naruszenia ochrony danych.
• Audyty muszą odbywać się w normalnych godzinach pracy i nie mogą w nieuzasadniony sposób zakłócać naszej działalności.
• Ponosisz koszty audytu, chyba że audyt wykaże istotne naruszenie niniejszej DPA.
• Podczas audytu nie mogą zostać ujawnione poufne informacje innych naszych klientów.

8. RETENCJA I USUWANIE DANYCH

8.1 W trakcie obowiązywania Umowy

Przechowujemy Dane osobowe przez czas trwania Umowy w zakresie niezbędnym do świadczenia Usług.

8.2 Po zakończeniu Umowy

Po zakończeniu Umowy lub na twoje pisemne żądanie:

• Usuniemy Dane osobowe z naszych aktywnych systemów w ciągu 30 dni.
• Dane osobowe w archiwach kopii zapasowych zostaną usunięte w ciągu 6 miesięcy.
• Możemy zachować Dane osobowe w zakresie wymaganym przez obowiązujące prawo (np. obowiązki podatkowe, księgowe); w takim przypadku odizolujemy i zabezpieczymy takie dane oraz ograniczymy dalsze przetwarzanie do tego, czego wymaga prawo.

8.3 Potwierdzenie

Na twoje żądanie przekażemy pisemne potwierdzenie, że Dane osobowe zostały usunięte zgodnie z niniejszą sekcją.

9. ODPOWIEDZIALNOŚĆ

Odpowiedzialność każdej ze Stron na podstawie niniejszej DPA podlega ograniczeniom odpowiedzialności określonym w Umowie. Żadne postanowienie niniejszej DPA nie ogranicza odpowiedzialności którejkolwiek ze Stron wobec Osób, których dane dotyczą, ani organów nadzorczych na podstawie obowiązującego prawa ochrony danych.

10. PRAWO WŁAŚCIWE

Niniejsza DPA podlega prawu Francji. W odniesieniu do Osób, których dane dotyczą, w UE zastosowanie ma RODO. W odniesieniu do Osób, których dane dotyczą, w Zjednoczonym Królestwie zastosowanie ma UK GDPR. Wszelkie spory wynikające z niniejszej DPA będą rozstrzygane zgodnie z postanowieniami Umowy dotyczącymi rozwiązywania sporów.

11. JAK ZAWARZEĆ NINIEJSZĄ DPA

Niniejsza DPA zostaje włączona do Regulaminu i stanowi jego część. Korzystając z Usług QR Code AI, akceptujesz niniejszą DPA.

Jeśli potrzebujesz osobno podpisanej kopii niniejszej DPA do swoich dokumentów, skontaktuj się z nami pod adresem [email protected], a przekażemy ją w ciągu 10 dni roboczych.

12. KONTAKT

W sprawach dotyczących niniejszej DPA lub naszych praktyk przetwarzania danych:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]