Umowa powierzenia przetwarzania danych osobowych (art. 28 RODO)

Wersja z dnia 19 października 2026 r.. Umowa jest zawierana w formie elektronicznej poprzez jej akceptację wraz z Regulaminem świadczenia usługi cycrus.cloud w Panelu Klienta i stanowi integralną część Umowy o świadczenie Usługi.

§ 1. Strony

Administrator – Klient w rozumieniu Regulaminu, którego dane identyfikacyjne (nazwa, NIP, adres) zostały podane w Panelu Klienta przy składaniu zamówienia.
Podmiot przetwarzający (dalej: „Procesor”) – Cycrus Dynamics, przedsiębiorca prowadzący jednoosobową działalność gospodarczą pod firmą CYCRUS DYNAMICS FILIP ZIENOWICZ, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej, adres do korespondencji: ul. Siedleckiego 20, 85-857 Bydgoszcz, z dopiskiem „Bemar”, NIP 5543050565, REGON 545703202, e-mail: [email protected].
Pojęcia pisane wielką literą, niezdefiniowane w niniejszej Umowie, mają znaczenie nadane w Regulaminie. „RODO” oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

§ 2. Przedmiot i czas trwania

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu określonych w § 3, a Procesor zobowiązuje się przetwarzać je zgodnie z niniejszą Umową, RODO i innymi przepisami o ochronie danych osobowych.
Umowa obowiązuje przez czas trwania Umowy o świadczenie Usługi oraz przez okres niezbędny do usunięcia lub zwrotu danych zgodnie z § 12. Rozwiązanie Umowy o świadczenie Usługi powoduje rozwiązanie niniejszej Umowy z chwilą zakończenia czynności z § 12.

§ 3. Charakter, cel i zakres przetwarzania

Charakter przetwarzania: przechowywanie, utrwalanie, organizowanie, udostępnianie Administratorowi i jego użytkownikom, wykonywanie kopii zapasowych, usuwanie – wyłącznie w zakresie wynikającym z technicznego utrzymania Instancji Nextcloud oraz jej infrastruktury. Procesor nie przegląda treści danych, chyba że jest to niezbędne do usunięcia awarii, wykonania polecenia Administratora lub wypełnienia obowiązku prawnego.
Cel przetwarzania: świadczenie usługi hostingu Instancji Nextcloud pod adresem <slug>.cycrus.cloud zgodnie z Regulaminem, w tym utrzymanie infrastruktury, aktualizacje, kopie zapasowe i pomoc techniczna.
Rodzaj danych osobowych: wszelkie dane, które Administrator lub jego użytkownicy umieszczą w Instancji, w szczególności: dane identyfikacyjne i kontaktowe (imię, nazwisko, adres e-mail, telefon, stanowisko), dane logowania użytkowników Instancji, treść plików, dokumentów, kalendarzy, kontaktów, wiadomości i komentarzy, metadane plików, logi aktywności użytkowników Instancji. Administrator może umieszczać w Instancji także dane szczególnych kategorii (art. 9 RODO) lub dane dotyczące wyroków skazujących (art. 10 RODO) – w takim wypadku odpowiada za istnienie podstawy prawnej i za ocenę, czy standardowe środki bezpieczeństwa z Załącznika 2 są adekwatne; w razie wątpliwości powinien skontaktować się z Procesorem przed umieszczeniem takich danych.
Kategorie osób, których dane dotyczą: pracownicy, współpracownicy i członkowie organów Administratora; kontrahenci, klienci i ich przedstawiciele; użytkownicy Instancji; inne osoby, których dane Administrator umieści w Instancji.
Administrator określa zakres danych wyłącznie poprzez ich umieszczenie w Instancji; Procesor nie ma możliwości ograniczenia rodzaju danych wprowadzanych przez Administratora.

§ 4. Obowiązki Procesora

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uznaje się: Regulamin i niniejszą Umowę, konfigurację Instancji dokonaną przez Administratora, działania Administratora i jego użytkowników w Instancji oraz polecenia przesłane na [email protected] lub przez Panel Klienta. Dotyczy to także przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada na Procesora prawo Unii lub państwa członkowskiego – wówczas Procesor informuje Administratora o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych. Procesor może wstrzymać wykonanie takiego polecenia do czasu jego potwierdzenia lub zmiany przez Administratora, a wykonania polecenia, które stanowiłoby naruszenie prawa, może odmówić; wstrzymanie lub odmowa z tej przyczyny nie stanowi naruszenia niniejszej Umowy ani Umowy o świadczenie Usługi.
Polecenia inne niż wynikające z Regulaminu, konfiguracji Instancji i działań w Instancji Administrator wydaje wyłącznie przez Panel Klienta albo e-mailem wysłanym na [email protected] z adresu e-mail właściciela konta zapisanego w Panelu Klienta. Procesor może nie wykonać polecenia pochodzącego z innego adresu lub od osoby, której umocowania nie może zweryfikować, do czasu jego potwierdzenia z adresu właściciela konta lub przez Panel Klienta; w razie wątpliwości co do tożsamości lub umocowania osoby wydającej polecenie Procesor może zażądać dodatkowej weryfikacji. Polecenia dotyczące usunięcia Instancji, zmiany Nazwy Instancji lub wydania danych osobom trzecim wymagają potwierdzenia przez Panel Klienta.
Procesor zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy, a dostęp do danych mają wyłącznie osoby, którym jest on niezbędny do wykonania Usługi.
Procesor wdraża środki techniczne i organizacyjne odpowiednie do ryzyka, o których mowa w art. 32 RODO, w tym co najmniej środki wymienione w Załączniku 2. Procesor może zmieniać te środki, o ile nie obniży to ogólnego poziomu bezpieczeństwa.
Procesor prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO), o ile jest do tego zobowiązany.
Procesor udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w zakresie określonym w § 9.
Procesor nie przekazuje danych osobom trzecim innym niż Dalsze podmioty przetwarzające (§ 10), chyba że wymaga tego obowiązek prawny; o żądaniu organu dotyczącym danych Administratora Procesor informuje Administratora, o ile prawo tego nie zabrania.

§ 5. Dostęp Procesora do powierzonych danych i rejestr dostępów

Procesor nie przegląda zawartości Instancji ani powierzonych danych i nie wykorzystuje ich do własnych celów. Zautomatyzowane procesy platformy (kopie zapasowe, aktualizacje, skanowanie antywirusowe i antyspamowe, monitoring, indeksowanie wykonywane przez Nextcloud) przetwarzają dane bez wglądu personelu Procesora.
Personel Procesora uzyskuje dostęp do zawartości Instancji (plików, bazy danych, kont użytkowników, logów Instancji) wyłącznie: (a) w celu wykonania Usługi – w zakresie niezbędnym do usunięcia awarii, przeprowadzenia aktualizacji, odtworzenia z kopii zapasowej lub realizacji zgłoszenia pomocy technicznej; (b) na polecenie Administratora wydane zgodnie z § 4 ust. 3; (c) dla bezpieczeństwa platformy – w zakresie niezbędnym do weryfikacji nadużycia, podejrzenia przejęcia konta lub incydentu bezpieczeństwa (§ 13 Regulaminu); (d) na żądanie uprawnionego organu, w zakresie wynikającym z tego żądania (§ 4 ust. 8).
Każdy dostęp, o którym mowa w ust. 2, jest odnotowywany w rejestrze dostępów prowadzonym przez Procesora, obejmującym co najmniej: datę i czas, osobę uzyskującą dostęp, Instancję, podstawę (ust. 2 lit. a–d) i cel oraz zakres danych, do których uzyskano dostęp. Rejestr jest przechowywany przez 3 lata od dokonania wpisu.
Administrator może zażądać wyciągu z rejestru dotyczącego jego Instancji; Procesor udostępnia go w terminie 14 dni, z pominięciem informacji objętych zakazem ujawnienia (ust. 2 lit. d) i danych innych klientów. Pierwszy wyciąg w roku kalendarzowym jest bezpłatny; kolejne mogą być rozliczane jak pomoc z § 6 ust. 4.
Dostęp jest realizowany zgodnie z zasadą minimalnych uprawnień, przez upoważniony personel związany poufnością (§ 4 ust. 4), i kończy się niezwłocznie po osiągnięciu celu.

§ 6. Pomoc Administratorowi

Procesor, biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi – poprzez odpowiednie środki techniczne i organizacyjne – w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO). Co do zasady Administrator realizuje te żądania samodzielnie przy użyciu funkcji Nextcloud (eksport danych użytkownika, usuwanie kont, zarządzanie udostępnieniami); Procesor udziela pomocy, gdy funkcje te nie są wystarczające.
Jeżeli żądanie osoby, której dane dotyczą, wpłynie bezpośrednio do Procesora, Procesor przekazuje je Administratorowi w terminie 5 dni roboczych i nie odpowiada na nie merytorycznie, chyba że Administrator poleci inaczej.
Procesor pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i informacje dostępne Procesorowi.
Pomoc z ust. 1 i 3 wykraczająca poza standardowy zakres Usługi (w szczególności wymagająca więcej niż 2 godzin pracy w miesiącu lub przygotowania indywidualnej dokumentacji) jest odpłatna według stawki godzinowej z Cennika lub indywidualnej wyceny, o czym Procesor informuje Administratora przed podjęciem działań.

§ 7. Naruszenia ochrony danych

Procesor zgłasza Administratorowi naruszenie ochrony danych osobowych dotyczące danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, na adres e-mail Klienta podany w Panelu Klienta.
Zgłoszenie zawiera, w miarę dostępności informacji: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, których dotyczy, możliwe konsekwencje, podjęte i proponowane środki zaradcze oraz dane kontaktowe. Informacje mogą być przekazywane sukcesywnie.
Procesor dokumentuje naruszenia i współpracuje z Administratorem przy ich wyjaśnianiu oraz przy zgłoszeniu organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą. Decyzję o zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób podejmuje Administrator.
Naruszenie, które dotyczy wyłącznie Instancji Administratora i wynika z działań Administratora, jego użytkowników lub zainstalowanych przez niego aplikacji (np. ujawnienie hasła, błędne udostępnienie publicznego linku), nie jest naruszeniem po stronie Procesora; Procesor informuje o nim Administratora, jeśli je wykryje.

§ 8. Obowiązki Administratora

Administrator oświadcza, że jest uprawniony do przetwarzania powierzonych danych i do ich powierzenia Procesorowi oraz że przetwarzanie ma podstawę prawną.
Administrator odpowiada za: zgodność z prawem danych umieszczonych w Instancji; realizację obowiązków informacyjnych wobec osób, których dane dotyczą; konfigurację Instancji (uprawnienia użytkowników, polityki haseł, udostępnianie, dwuskładnikowe uwierzytelnianie); aplikacje, które instaluje w Instancji; ocenę, czy Usługa i środki z Załącznika 2 są odpowiednie do ryzyka związanego z powierzonymi danymi; wykonywanie własnych kopii zapasowych.
Administrator wydaje polecenia w sposób określony w § 4 ust. 1 i 3 i niezwłocznie informuje Procesora o okolicznościach mających wpływ na przetwarzanie.

§ 9. Audyt i kontrola

Administrator ma prawo do przeprowadzenia audytu zgodności przetwarzania z niniejszą Umową i art. 28 RODO – samodzielnie lub przez upoważnionego audytora niebędącego konkurentem Procesora i związanego poufnością.
Audyt jest przeprowadzany na uzasadniony pisemny wniosek Administratora, nie częściej niż raz w roku kalendarzowym (chyba że audyt jest wymagany przez organ nadzorczy lub nastąpiło naruszenie ochrony danych po stronie Procesora), po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w dni robocze w godzinach pracy Procesora, w sposób niezakłócający świadczenia usług innym klientom i nieujawniający danych innych klientów.
W pierwszej kolejności Procesor realizuje prawo audytu poprzez udostępnienie dokumentacji: opisu środków bezpieczeństwa, raportów z audytów niezależnych, certyfikatów i raportów Dalszych podmiotów przetwarzających (np. ISO 27001, SOC 2). Inspekcja na miejscu jest przeprowadzana, gdy dokumentacja nie jest wystarczająca do wykazania zgodności.
Koszty audytu, w tym koszt czasu pracy personelu Procesora według stawki godzinowej z Cennika, ponosi Administrator, chyba że audyt wykaże istotne naruszenie niniejszej Umowy przez Procesora.
Audyt nie obejmuje infrastruktury Dalszych podmiotów przetwarzających; w tym zakresie Procesor udostępnia dokumentację i raporty tych podmiotów.

§ 10. Dalsze powierzenie (podpowierzenie)

Administrator udziela Procesorowi ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających („Dalsze podmioty przetwarzające”). Lista Dalszych podmiotów przetwarzających na dzień zawarcia Umowy stanowi Załącznik 1.
Procesor informuje Administratora o zamiarze dodania lub zastąpienia Dalszego podmiotu przetwarzającego e-mailem lub przez Panel Klienta co najmniej 14 dni przed rozpoczęciem przetwarzania przez ten podmiot. Administrator może w tym terminie wnieść sprzeciw, wskazując uzasadnione przyczyny związane z ochroną danych.
W razie sprzeciwu strony podejmują w dobrej wierze próbę rozwiązania problemu (np. przez zmianę konfiguracji). Jeżeli nie jest to możliwe w rozsądnym terminie, każda ze stron może wypowiedzieć Umowę o świadczenie Usługi ze skutkiem na koniec bieżącego Okresu Rozliczeniowego; Administrator otrzymuje zwrot opłaty za niewykorzystany okres. Brak sprzeciwu w terminie oznacza akceptację zmiany.
Procesor nakłada na Dalsze podmioty przetwarzające – w drodze umowy – obowiązki ochrony danych co najmniej odpowiadające obowiązkom z niniejszej Umowy, w szczególności w zakresie środków bezpieczeństwa. Jeżeli Dalszy podmiot przetwarzający nie wywiąże się ze swoich obowiązków, Procesor ponosi wobec Administratora odpowiedzialność za jego działania w zakresie określonym w § 13.
Procesor zapewnia, że Dalsze podmioty przetwarzające przechowują dane powierzone na terenie Europejskiego Obszaru Gospodarczego. Jeżeli Dalszy podmiot przetwarzający lub jego podmioty powiązane przetwarzają dane (w szczególności w ramach wsparcia technicznego, ruchu sieciowego lub metadanych) poza EOG, odbywa się to na podstawie decyzji o odpowiednim stopniu ochrony (w tym EU-US Data Privacy Framework) albo standardowych klauzul umownych Komisji Europejskiej wraz z dodatkowymi środkami ochrony. Administrator upoważnia Procesora do zawierania takich klauzul w jego imieniu w zakresie niezbędnym do świadczenia Usługi.

§ 11. Miejsce przetwarzania

Dane w Instancji (pliki, baza danych) są przechowywane na serwerach w Polsce lub w innym państwie Unii Europejskiej. Kopie zapasowe są przechowywane w państwach Unii Europejskiej (Załącznik 1).
Procesor nie przenosi danych Instancji do centrum danych poza EOG bez wyraźnego polecenia Administratora.

§ 12. Zakończenie przetwarzania – usunięcie i zwrot danych

Po zakończeniu Umowy o świadczenie Usługi Administrator ma 30 dni na pobranie (zwrot) danych z Instancji przy użyciu narzędzi Nextcloud (klient synchronizacji, WebDAV, eksport użytkowników) lub narzędzi udostępnionych w Panelu Klienta. Na wniosek Administratora Procesor przywraca w tym okresie dostęp do Instancji w trybie tylko do odczytu na czas niezbędny do pobrania danych.
Po upływie 30 dni od zakończenia Umowy Procesor trwale usuwa wszystkie powierzone dane, w tym Instancję, jej bazę danych i pliki, a kopie zapasowe zawierające te dane – w najbliższym cyklu rotacji kopii, nie później niż w ciągu 30 dni od usunięcia Instancji. Do czasu nadpisania kopie pozostają zaszyfrowane i nie są wykorzystywane do żadnych celów poza odtworzeniem platformy po awarii.
Na pisemny wniosek Administratora Procesor potwierdza usunięcie danych e-mailem.
Procesor może zachować dane w zakresie, w jakim wymaga tego prawo Unii lub państwa członkowskiego; w takim wypadku dane są przechowywane wyłącznie przez wymagany okres i nie są przetwarzane w innym celu.
Administrator może polecić wcześniejsze usunięcie danych w każdym czasie przez usunięcie ich w Instancji lub polecenie usunięcia Instancji w Panelu Klienta.
Zawieszenie, ograniczenie lub wyłączenie Instancji oraz usunięcie Instancji i powierzonych danych dokonane zgodnie z Regulaminem (w szczególności § 9, § 13 i § 24 Regulaminu) stanowi wykonanie udokumentowanego polecenia Administratora zawartego w Regulaminie i nie stanowi naruszenia niniejszej Umowy. Administrator jest zobowiązany zapewnić sobie kopię powierzonych danych przed zakończeniem Umowy o świadczenie Usługi, a w razie zawieszenia – w terminie z ust. 1; Procesor nie odpowiada za niemożność zwrotu danych usuniętych zgodnie z ust. 2 lub ust. 5.

§ 13. Odpowiedzialność

Odpowiedzialność Procesora wobec Administratora z tytułu niniejszej Umowy podlega postanowieniom § 19 Regulaminu (wyłączenia i ograniczenia odpowiedzialności, w tym wyłączenie odpowiedzialności za szkodę niewyrządzoną umyślnie wobec Przedsiębiorców, ograniczenie do wysokości opłat z 3 miesięcy oraz wyłączenie utraconych korzyści), z zastrzeżeniem ust. 2–4.
Ograniczenia te nie naruszają praw osób, których dane dotyczą, do odszkodowania od Administratora lub Procesora na podstawie art. 82 RODO ani uprawnień organów nadzorczych. Dotyczą one wyłącznie stosunku wewnętrznego między Administratorem a Procesorem, w tym roszczeń regresowych z art. 82 ust. 5 RODO, w zakresie dopuszczalnym przez prawo.
Procesor odpowiada za szkodę spowodowaną przetwarzaniem wyłącznie wtedy, gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na podmioty przetwarzające, lub działał poza zgodnymi z prawem poleceniami Administratora albo wbrew nim (art. 82 ust. 2 RODO).
Administrator ponosi odpowiedzialność za szkody wynikające z naruszenia jego obowiązków z § 8, w tym za umieszczenie w Instancji danych bez podstawy prawnej i za nieprawidłową konfigurację Instancji, oraz zwalnia Procesora z roszczeń osób trzecich i kar administracyjnych wynikających z tych naruszeń – w stosunku do Administratora będącego Konsumentem lub Przedsiębiorcą na prawach konsumenta w zakresie dopuszczalnym przez prawo.
Administrator zwalnia Procesora z odpowiedzialności i pokrywa uzasadnione koszty (w tym koszty obrony prawnej, zasądzone odszkodowania i nałożone kary administracyjne) wynikające z roszczeń osób trzecich, osób, których dane dotyczą, lub organów, jeżeli roszczenia te wynikają z treści umieszczonych w Instancji przez Administratora lub jego użytkowników, z poleceń Administratora albo z przetwarzania, za które Administrator ponosi odpowiedzialność – w stosunku do Administratora będącego Konsumentem lub Przedsiębiorcą na prawach konsumenta w zakresie dopuszczalnym przez prawo. Procesor niezwłocznie informuje Administratora o takim roszczeniu, umożliwia mu udział w obronie i nie uznaje roszczenia bez konsultacji z Administratorem.
Jeżeli jedna ze stron zapłaciła odszkodowanie za szkodę spowodowaną przetwarzaniem, może żądać od drugiej strony zwrotu części odszkodowania odpowiadającej części odpowiedzialności drugiej strony za szkodę (art. 82 ust. 5 RODO). W stosunku wewnętrznym strony przyjmują, że Procesor odpowiada wyłącznie za część szkody wynikającą z okoliczności wskazanych w ust. 3, a za pozostałą część odpowiada Administrator; do roszczeń regresowych wobec Procesora stosuje się ust. 1.

§ 14. Postanowienia końcowe

Umowa zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) z chwilą jej akceptacji w Panelu Klienta. Procesor udostępnia jej treść w Panelu Klienta w sposób umożliwiający pobranie i wydruk.
W sprawach nieuregulowanych stosuje się Regulamin, RODO, ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych i Kodeks cywilny. W razie sprzeczności między niniejszą Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Umowa.
Zmiany Umowy następują w trybie przewidzianym dla zmiany Regulaminu (§ 22 Regulaminu), z zastrzeżeniem § 10 dla zmian listy Dalszych podmiotów przetwarzających. Zmiany wymagane przez zmianę przepisów lub wytyczne organów nadzorczych wchodzą w życie w terminie wynikającym z tych przepisów.
Umowa podlega prawu polskiemu. Spory rozstrzyga sąd wskazany w § 26 Regulaminu.
Jeżeli którekolwiek postanowienie Umowy okaże się nieważne, w jego miejsce stosuje się odpowiednie postanowienia art. 28 RODO, a pozostałe postanowienia pozostają w mocy.

Załącznik 1. Lista Dalszych podmiotów przetwarzających

Stan na dzień 19 października 2026 r..

OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław, Polska / OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francja – infrastruktura serwerowa i przestrzeń dyskowa Instancji; lokalizacja: Polska / UE.
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Niemcy – przechowywanie kopii zapasowych; lokalizacja: Niemcy / Finlandia.
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luksemburg – wysyłka wiadomości e-mail generowanych przez Instancję i platformę (Amazon SES) oraz przechowywanie kopii zapasowych; lokalizacja: regiony UE Irlandia (eu-west-1) i Frankfurt (eu-central-1); podmiot powiązany Amazon Web Services, Inc. (USA) – wsparcie techniczne; podstawa transferu: EU-US DPF / SCC.
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (w UE: Cloudflare Portugal, Unipessoal Lda.) – DNS, ochrona przed atakami DDoS, pośredniczenie w ruchu sieciowym do Instancji (dane: adresy IP, nagłówki i zaszyfrowana treść żądań w tranzycie); podstawa transferu: EU-US DPF / SCC; ruch do Instancji nie przechodzi przez serwery Cloudflare (Cloudflare obsługuje wyłącznie DNS dla adresów Instancji oraz ochronę strony cycrus.cloud i Panelu Klienta).
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlandia – obsługa płatności; dotyczy wyłącznie danych rozliczeniowych Administratora, nie danych w Instancji (ujęte dla kompletności).

Załącznik 2. Środki techniczne i organizacyjne

Izolacja Instancji: każda Instancja działa w odrębnym, wydzielonym środowisku (kontenery / wydzielone katalogi i bazy danych) z własnymi poświadczeniami; brak możliwości dostępu z jednej Instancji do danych innej.
Szyfrowanie transmisji: cały ruch do Instancji i Panelu Klienta jest szyfrowany protokołem TLS 1.2 lub nowszym z certyfikatami odnawianymi automatycznie; wymuszenie HTTPS i HSTS.
Szyfrowanie kopii zapasowych: kopie zapasowe są szyfrowane przed przesłaniem do Dalszych podmiotów przetwarzających; klucze szyfrujące są przechowywane wyłącznie przez Procesora.
Kopie zapasowe: wykonywane co najmniej raz na dobę, przechowywane w lokalizacji odrębnej od serwerów produkcyjnych, rotowane w cyklu 14 dni.
Kontrola dostępu: dostęp administracyjny do infrastruktury wyłącznie dla upoważnionego personelu Procesora, przez uwierzytelnianie kluczami i dwuskładnikowe, z sieci zaufanej; zasada minimalnych uprawnień; rejestrowanie dostępu administracyjnego; odbieranie uprawnień niezwłocznie po ustaniu potrzeby.
Aktualizacje: regularne aktualizacje systemu operacyjnego, Nextcloud i komponentów; aktualizacje bezpieczeństwa wdrażane priorytetowo.
Ochrona sieciowa: zapory sieciowe, ochrona przed atakami DDoS i botami, ograniczanie liczby prób logowania (brute-force protection) na poziomie Nextcloud i infrastruktury.
Monitorowanie i logowanie: monitorowanie dostępności i zdarzeń bezpieczeństwa, przechowywanie logów systemowych przez okres określony w Polityce prywatności.
Organizacja: zobowiązania do poufności personelu, procedura reagowania na incydenty i zgłaszania naruszeń, procedura usuwania danych po zakończeniu Umowy, okresowy przegląd środków bezpieczeństwa.
Środki po stronie Administratora (konfigurowalne w Instancji): uwierzytelnianie dwuskładnikowe użytkowników, polityka haseł, szyfrowanie po stronie serwera i end-to-end (moduły Nextcloud), ograniczenia udostępniania, czas wygaśnięcia linków publicznych, dziennik aktywności.