Umowa o przetwarzaniu danych QR Code AI

UMOWA O PRZETWARZANIU DANYCH (DPA)

Ostatnia aktualizacja: 2 marca 2026 r.

Niniejsza umowa o przetwarzaniu danych („DPA”), dotycząca powierzenia przetwarzania danych, stanowi część Warunków użytkowania („Umowa”) zawartych między Supernovae, spółką zarejestrowaną we Francji pod adresem 27 Rue Wurtz, Juvisy-sur-Orge 91260, numer VAT FR67948452891 („Podmiot przetwarzający”, „my”, „nas”), a podmiotem akceptującym niniejszą DPA („Administrator”, „ty”), zwanymi łącznie „Stronami”.

Niniejsza DPA ma zastosowanie, gdy przetwarzamy dane osobowe w twoim imieniu w związku z naszymi usługami QR Code AI, w tym za pośrednictwem API.

1. DEFINICJE

• „Dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, zgodnie z definicją zawartą w art. 4 pkt 1 RODO.
• „Przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na Danych osobowych, zgodnie z definicją zawartą w art. 4 pkt 2 RODO.
• „Osoba, której dane dotyczą” oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, której dotyczą Dane osobowe.
• „Dalszy podmiot przetwarzający” oznacza osobę trzecią, której Podmiot przetwarzający zleca przetwarzanie Danych osobowych w imieniu Administratora.
• „RODO” oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
• „UK GDPR” oznacza brytyjskie ogólne rozporządzenie o ochronie danych w zakresie, w jakim obowiązuje w prawie brytyjskim, odczytywane łącznie z ustawą Data Protection Act 2018.
• „SCC” oznaczają standardowe klauzule umowne zatwierdzone przez Komisję Europejską na potrzeby przekazywania Danych osobowych do państw trzecich.
• „Naruszenie ochrony danych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych.

2. ZAKRES I ROLE

2.1 Administrator i Podmiot przetwarzający

Na potrzeby niniejszej DPA:

• Ty (Administrator): Określasz cele i sposoby Przetwarzania Danych osobowych podczas korzystania z naszych Usług, w szczególności gdy używasz naszego API do generowania kodów QR dla własnych klientów lub integrujesz nasze Usługi ze swoimi produktami.
• My (Podmiot przetwarzający): Przetwarzamy Dane osobowe w twoim imieniu zgodnie z twoimi poleceniami, na zasadach opisanych w niniejszej DPA i Umowie.

2.2 Kiedy DPA ma zastosowanie

Niniejsza DPA ma zastosowanie, gdy:

• Korzystasz z API QR Code AI do generowania kodów QR, z którymi wiąże się przetwarzanie danych twoich użytkowników końcowych (np. adresów URL zawierających dane osobowe, danych vCard, danych kontaktowych zakodowanych w kodach QR).
• Korzystasz z funkcji śledzenia i analityki QR Code AI, które zbierają dane o skanach twoich użytkowników końcowych.
• Zachodzi jakakolwiek inna sytuacja, w której przetwarzamy Dane osobowe w twoim imieniu jako podmiot przetwarzający.

Gdy korzystasz z QR Code AI jako użytkownik indywidualny do własnych celów, działamy jako niezależny administrator danych, a przetwarzanie danych podlega naszej Polityce prywatności.

3. SZCZEGÓŁOWE INFORMACJE O PRZETWARZANIU DANYCH

3.1 Przedmiot i czas trwania

Przetwarzamy Dane osobowe przez czas obowiązywania Umowy w celu świadczenia usług QR Code AI, w tym generowania kodów QR, śledzenia, analityki i powiązanych funkcji.

3.2 Charakter i cel Przetwarzania

• Generowanie kodów QR na podstawie danych wejściowych dostarczonych przez Administratora
• Śledzenie skanów kodów QR i zbieranie danych analitycznych
• Przechowywanie konfiguracji kodów QR i powiązanych metadanych
• Obsługa żądań generowania artystycznych kodów QR za pomocą AI
• Udostępnianie raportów i paneli analitycznych

3.3 Rodzaje Danych osobowych

Przetwarzane Dane osobowe mogą obejmować:

• Dane kontaktowe (imiona i nazwiska, adresy e-mail, numery telefonów) zakodowane w kodach QR
• Adresy URL i adresy internetowe
• Dane o lokalizacji pochodzące ze skanów kodów QR
• Informacje o urządzeniach i adresy IP pochodzące ze skanów kodów QR
• Polecenia tekstowe i obrazy dostarczone w celu generowania kodów QR za pomocą AI
• Wszelkie inne dane, które Administrator zdecyduje się zakodować w kodach QR

3.4 Kategorie Osób, których dane dotyczą

• Użytkownicy końcowi skanujący kody QR utworzone przez Administratora
• Osoby, których dane kontaktowe są zakodowane w kodach QR
• Użytkownicy produktów lub usług Administratora, którzy wchodzą w interakcję z kodami QR

4. OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO

4.1 Polecenia dotyczące Przetwarzania

Będziemy przetwarzać Dane osobowe wyłącznie na twoje udokumentowane polecenie, chyba że wymaga tego prawo Unii lub państwa członkowskiego, któremu podlegamy. W takim przypadku przed rozpoczęciem Przetwarzania poinformujemy cię o tym obowiązku prawnym, chyba że prawo zabrania udzielania takich informacji z uwagi na ważny interes publiczny.

Niezwłocznie poinformujemy cię, jeżeli naszym zdaniem polecenie narusza RODO lub inne obowiązujące przepisy Unii lub państwa członkowskiego o ochronie danych.

4.2 Poufność

Zapewniamy, że osoby upoważnione do Przetwarzania Danych osobowych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności.

4.3 Środki bezpieczeństwa

Wdrażamy odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, w tym:

• Szyfrowanie Danych osobowych podczas przesyłania (TLS/HTTPS) oraz szyfrowanie wrażliwych informacji podczas ich przechowywania
• Kontrolę dostępu i uwierzytelnianie oparte na rolach w systemach wewnętrznych
• Regularne oceny bezpieczeństwa i skanowanie podatności
• Infrastrukturę hostowaną przez Scaleway i DigitalOcean, ze środkami bezpieczeństwa i zgodności zależnymi od dostawcy i usługi hostingu
• Ochronę przed atakami DDoS i zaporę aplikacji internetowych (Cloudflare)
• Regularne kopie zapasowe przechowywane w postaci zaszyfrowanej
• Rejestrowanie i monitorowanie dostępu do Danych osobowych

4.4 Dalsze podmioty przetwarzające

Korzystamy z dalszych podmiotów przetwarzających wymienionych na naszej stronie Podmioty przetwarzające. Przekażemy ci pisemne powiadomienie o każdym planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego, zapewniając 30 dni od tego powiadomienia na zgłoszenie sprzeciwu przed wejściem zmiany w życie. Możesz zgłosić sprzeciw, kontaktując się z nami pod adresem [email protected] w tym terminie. Jeśli zgłosisz sprzeciw, którego nie będziemy w stanie w rozsądny sposób uwzględnić, każda ze stron może rozwiązać umowę w zakresie Usług objętych sprzeciwem.

Powierzymy dalszemu podmiotowi przetwarzającemu Przetwarzanie Danych osobowych w twoim imieniu wyłącznie na podstawie pisemnej umowy, w tym mających zastosowanie warunków zawartych w formie elektronicznej, nakładającej obowiązki ochrony danych wymagane przez art. 28 ust. 4 RODO. Pozostajemy odpowiedzialni za nasze dalsze podmioty przetwarzające zgodnie z wymogami tego artykułu.

4.5 Prawa Osób, których dane dotyczą

Będziemy pomagać ci w odpowiadaniu na żądania Osób, których dane dotyczą, wykonujących prawa wynikające z obowiązujących przepisów o ochronie danych (dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia i sprzeciwu). Jeśli otrzymamy żądanie bezpośrednio od Osoby, której dane dotyczą, niezwłocznie skierujemy ją do ciebie, chyba że otrzymamy inne polecenie.

4.6 Pomoc w zapewnieniu zgodności

Będziemy pomagać ci w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter Przetwarzania i dostępne nam informacje.

5. ZAWIADOMIENIE O NARUSZENIU OCHRONY DANYCH

5.1 Termin zawiadomienia

Zawiadomimy cię o Naruszeniu ochrony danych bez zbędnej zwłoki, a w każdym przypadku w ciągu 72 godzin od stwierdzenia naruszenia. Zawiadomienie zostanie wysłane na adres e-mail powiązany z twoim kontem.

5.2 Treść zawiadomienia

W zakresie dostępnych informacji zawiadomienie będzie zawierało:

• Opis charakteru Naruszenia ochrony danych, w tym kategorie i przybliżoną liczbę Osób, których dane dotyczą, oraz wpisów danych objętych naruszeniem.
• Imię i nazwisko oraz dane kontaktowe naszej osoby do kontaktu w sprawach ochrony danych.
• Opis prawdopodobnych konsekwencji Naruszenia ochrony danych.
• Opis środków zastosowanych lub proponowanych w celu zaradzenia Naruszeniu ochrony danych, w tym środków ograniczających jego ewentualne negatywne skutki.

5.3 Bieżąca współpraca

Będziemy współpracować z tobą i udzielać rozsądnej pomocy w wyjaśnianiu każdego Naruszenia ochrony danych, ograniczaniu jego skutków i usuwaniu jego następstw, a także w dokonywaniu zawiadomień do organów nadzorczych lub Osób, których dane dotyczą, do których jesteś zobowiązany.

6. MIĘDZYNARODOWE PRZEKAZYWANIE DANYCH

6.1 Lokalizacja danych

Dane osobowe są przechowywane i przetwarzane głównie w Unii Europejskiej:

• Francja (UE) za pośrednictwem Scaleway
• Niderlandy (UE) za pośrednictwem DigitalOcean

6.2 Przekazywanie danych poza UE/EOG

Niektóre z naszych dalszych podmiotów przetwarzających znajdują się poza UE/EOG, głównie w Stanach Zjednoczonych. W przypadku takich transferów opieramy się na:

• Ramach ochrony danych UE–USA (EU-US Data Privacy Framework): W stosownych przypadkach, przy przekazywaniu danych dostawcom z siedzibą w USA certyfikowanym w ramach tego programu.
• Standardowych klauzulach umownych (SCC): Włączamy SCC zatwierdzone przez Komisję Europejską (decyzja wykonawcza Komisji (UE) 2021/914) do naszych umów z dalszymi podmiotami przetwarzającymi znajdującymi się poza UE/EOG, gdy ramy ochrony danych nie mają zastosowania.

6.3 Ocena skutków przekazania danych

Przeprowadzamy oceny skutków przekazywania danych do państw trzecich i w razie potrzeby wdrażamy środki uzupełniające, aby zapewnić odpowiedni stopień ochrony danych.

7. AUDYTY I INSPEKCJE

7.1 Prawo do audytu

Masz prawo przeprowadzić audyt przestrzegania przez nas niniejszej DPA. Udostępnimy ci wszelkie informacje niezbędne do wykazania zgodności oraz umożliwimy przeprowadzanie audytów, w tym inspekcji, przez ciebie lub upoważnionego przez ciebie audytora i będziemy przy nich współpracować.

7.2 Przebieg audytu

Poniższe ustalenia mają zastosowanie do audytów wyłącznie w zakresie, w jakim nie ograniczają praw lub obowiązków wynikających z obowiązujących przepisów o ochronie danych:

• Musisz zawiadomić nas na piśmie o audycie z co najmniej 30-dniowym wyprzedzeniem.
• Audyty mogą być przeprowadzane nie częściej niż raz w roku, chyba że wymaga tego organ nadzorczy lub nastąpiło Naruszenie ochrony danych.
• Audyty muszą odbywać się w zwykłych godzinach pracy i nie mogą w nieuzasadniony sposób zakłócać naszej działalności.
• Ponosisz koszty audytu, chyba że audyt wykaże istotne naruszenie niniejszej DPA.
• Podczas audytu nie mogą zostać ujawnione poufne informacje naszych pozostałych klientów.

8. PRZECHOWYWANIE I USUWANIE DANYCH

8.1 W czasie obowiązywania Umowy

Przechowujemy Dane osobowe przez czas obowiązywania Umowy w zakresie niezbędnym do świadczenia Usług.

8.2 Po rozwiązaniu Umowy

Po rozwiązaniu Umowy lub na twoje pisemne żądanie:

• Według twojego wyboru usuniemy Dane osobowe albo zwrócimy je tobie i usuniemy pozostałe kopie z naszych aktywnych systemów w ciągu 30 dni.
• Dane osobowe w archiwalnych kopiach zapasowych zostaną usunięte w ciągu 6 miesięcy, a do tego czasu będą chronione i nie będą wykorzystywane do innych celów, chyba że obowiązujące prawo wymaga inaczej.
• Możemy przechowywać Dane osobowe w zakresie wymaganym przez obowiązujące prawo (np. obowiązki podatkowe i księgowe). W takim przypadku odizolujemy i zabezpieczymy te dane oraz ograniczymy ich dalsze Przetwarzanie do zakresu wymaganego prawem.

8.3 Potwierdzenie

Na twoje żądanie przekażemy pisemne potwierdzenie, że Dane osobowe zostały usunięte zgodnie z niniejszym punktem.

9. ODPOWIEDZIALNOŚĆ

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom odpowiedzialności określonym w Umowie. Żadne postanowienie niniejszej DPA nie ogranicza odpowiedzialności którejkolwiek ze stron wobec Osób, których dane dotyczą, lub organów nadzorczych na podstawie obowiązujących przepisów o ochronie danych.

10. PRAWO WŁAŚCIWE

Niniejsza DPA podlega prawu francuskiemu. RODO i UK GDPR mają zastosowanie w zakresie, w jakim Przetwarzanie mieści się w ich odpowiednich zakresach stosowania. Wszelkie spory wynikające z niniejszej DPA będą rozstrzygane zgodnie z postanowieniami Umowy dotyczącymi rozstrzygania sporów.

11. JAK ZAWRZEĆ NINIEJSZĄ DPA

Niniejsza DPA jest włączona do Warunków użytkowania i stanowi ich część. Korzystając z Usług QR Code AI, akceptujesz niniejszą DPA.

Jeśli potrzebujesz osobno podpisanego egzemplarza DPA do swojej dokumentacji, skontaktuj się z nami pod adresem [email protected], a przekażemy go w ciągu 10 dni roboczych.

12. KONTAKT

W sprawach dotyczących niniejszej DPA lub naszych praktyk przetwarzania danych:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]