Umowa powierzenia przetwarzania danych (DPA)

Niniejsza umowa powierzenia (art. 28 RODO) stanowi integralną część korzystania z Zwrot Desk przez sklep (Administrator) wobec Operatora (Podmiot przetwarzający): Tomasz Jaworski Virtual Tour, NIP 611-260-92-87.

1. Przedmiot powierzenia

Przetwarzanie danych klientów końcowych Administratora w celu obsługi zwrotów: identyfikatory zamówienia, adres e-mail, imię/nazwisko (jeśli przekazane), treść zgłoszenia, powody zwrotu, załączniki (zdjęcia), historia statusów.

2. Charakter i cel

Przetwarzanie wyłącznie w celu świadczenia Usługi, na udokumentowane polecenie Administratora (korzystanie z panelu / API konfiguracji). Brak przetwarzania „na własny użytek” marketingowy Podmiotu.

3. Podpowierzenie

Administrator wyraża ogólną zgodę na podpowierzenie dostawcom: hosting, DB, object storage, e-mail transakcyjny, płatności SaaS. Lista aktualnych podprocesorów — na żądanie e-mail rodo@zwrotdesk.pl.

4. Bezpieczeństwo

• Szyfrowanie kluczy Woo at rest
• Kontrola dostępu (konta merchant)
• Limit rozmiaru i typu mediów
• Rate limiting na weryfikacji zamówienia

5. Retencja i usuwanie

Po zakończeniu umowy lub na żądanie Administratora Operator usunie lub zwróci dane zwrotów i mediów w terminie uzgodnionym (docelowo ≤ 30 dni), z wyjątkiem kopii w backupach do ich wygaśnięcia oraz obowiązków prawnych.

6. Pomoc i naruszenia

Operator wspiera Administratora przy żądaniach osób, DPIA i zgłoszeniach naruszeń. Naruszenie ochrony danych — powiadomienie bez zbędnej zwłoki (docelowo ≤ 48 h od potwierdzenia).

7. Audyt

Administrator może żądać informacji o środkach bezpieczeństwa; audyt on-site — po uzgodnieniu, nie częściej niż raz w roku, z zachowaniem poufności.