Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)
WebDisk Files · Wersja 1.1 · Obowiązuje od 2026-08-23
Umowa zawarta pomiędzy:
Administratorem Danych (Klientem):
- Nazwa: [Nazwa Klienta]
- Adres: [Adres], [Kod pocztowy] [Miasto]
- NIP/VAT: [NIP]
- E-mail kontaktowy: [E-mail]
- Reprezentowanym przez administratora konta WebDisk Files
a
Podmiotem Przetwarzającym (Procesorem):
- Mazura sp. z o.o. z siedzibą w Ząbkach, ul. Baśniowa 1C/2, 05-091 Ząbki, wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy KRS, pod numerem KRS 0000971559, NIP 1251732787, właściciel marki WebDisk
- Kontakt: office@webdisk.io, tel. +48 574 311 332, adres do korespondencji: ul. Baśniowa 1C/2, 05-091 Ząbki.
Niniejsza Umowa Powierzenia (dalej: „DPA") reguluje powierzenie przetwarzania danych osobowych w związku z korzystaniem przez Klienta z Usługi WebDisk Files (dalej: „Usługa") zgodnie z Regulaminem Files.
§1. Definicje
W niniejszej DPA stosuje się definicje z RODO (Rozporządzenie 2016/679). W szczególności:
- „RODO" — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679,
- „Dane Osobowe" — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, przetwarzane w ramach Usługi,
- „Osoby, których dane dotyczą" — użytkownicy końcowi Klienta oraz wszelkie inne osoby fizyczne, których Dane Osobowe Klient powierzył WebDisk,
- „Naruszenie ochrony danych" — naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem ujawnienia, utraty, modyfikacji lub nieuprawnionego dostępu do Danych Osobowych.
§2. Przedmiot, charakter i cel powierzenia
2.1. Przedmiot powierzenia: dane osobowe zawarte w plikach Klienta i metadanych aplikacji (e-maile użytkowników, dane fakturowe, logi dostępu).
2.2. Charakter przetwarzania: przechowywanie, replikacja, udostępnianie poprzez API i panel webowy, generowanie linków udostępniających, kopie zapasowe metadanych, opcjonalnie szyfrowanie SSE-C, opcjonalnie immutabilność (Object Lock).
2.3. Cel przetwarzania: świadczenie Klientowi Usługi WebDisk Files zgodnie z Regulaminem Files i wybranym planem subskrypcji.
2.4. Kategorie Danych Osobowych mogą obejmować (w zależności od treści wgranej przez Klienta):
- dane identyfikacyjne (imię, nazwisko, e-mail),
- dane kontaktowe (telefon, adres),
- dane zawodowe (stanowisko, organizacja),
- inne kategorie zawarte w plikach Klienta — zgodnie z wyborem Klienta.
2.5. Kategorie Osób:
- użytkownicy końcowi Klienta (pracownicy, współpracownicy, kontrahenci),
- osoby fizyczne, których dane Klient przechowuje w plikach (klienci, partnerzy, dostawcy itp.).
2.6. Okres przetwarzania: przez czas obowiązywania umowy o świadczenie Usługi, do momentu jej rozwiązania lub realizacji prawa do usunięcia danych (zgodnie z §9).
§3. Obowiązki Procesora (WebDisk)
WebDisk zobowiązuje się:
3.1. Przetwarzać Dane Osobowe wyłącznie na udokumentowane polecenie Klienta — Regulamin Files, konfiguracja w panelu Klienta i operacje wywołane przez API Klienta stanowią takie polecenie.
3.2. Zapewnić, by osoby upoważnione do przetwarzania Danych Osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu obowiązkowi ustawowemu.
3.3. Wdrożyć i utrzymywać środki techniczne i organizacyjne wskazane w §5, zapewniające stopień bezpieczeństwa odpowiadający ryzyku (RODO Art. 32).
3.4. Pomagać Klientowi w realizacji żądań osób, których dane dotyczą (Art. 12-22 RODO) — w szczególności udostępniając funkcje eksportu danych, usuwania konta, edycji profilu.
3.5. Pomagać Klientowi w wywiązaniu się z obowiązków:
- bezpieczeństwa (Art. 32 RODO),
- zgłaszania naruszeń (Art. 33-34 RODO) — §7,
- oceny skutków dla ochrony danych (Art. 35 RODO) — udostępnimy DPIA dla funkcji Anty-Ransomware na żądanie.
3.6. Po zakończeniu świadczenia Usługi usunąć lub zwrócić Klientowi wszystkie Dane Osobowe (§9).
3.7. Udostępniać Klientowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z RODO Art. 28 oraz umożliwić audyty zgodnie z §10.
§4. Obowiązki Administratora (Klienta)
Klient zobowiązuje się:
4.1. Przetwarzać Dane Osobowe w sposób zgodny z RODO, w szczególności mieć podstawę prawną przetwarzania dla każdej kategorii danych powierzanych WebDisk.
4.2. Informować swoich użytkowników i osoby, których dane dotyczą, o tym że ich dane są przechowywane na infrastrukturze WebDisk jako Procesora.
4.3. Nie wgrywać do Usługi danych szczególnych kategorii (Art. 9 RODO — zdrowie, biometria, dane sądowe i karne, itp.) ani danych objętych regulacjami specjalnymi (HIPAA US, PCI-DSS pełne PAN) bez uprzednich ustaleń pisemnych z WebDisk.
4.4. Zarządzać dostępem do Usługi po swojej stronie (uprawnienia w organizacji, MFA, rotacja haseł).
4.5. Współpracować z WebDisk przy realizacji żądań osób, których dane dotyczą — niezwłocznie przekazywać żądania związane z Danymi Osobowymi przetwarzanymi w Usłudze.
§5. Środki techniczne i organizacyjne
WebDisk stosuje w szczególności:
5.1. Szyfrowanie:
- TLS 1.2+ dla wszystkich połączeń (panel, API, S3),
- opcjonalne SSE-C (Server-Side Encryption with Customer Keys) — Klient włącza na poziomie magazynu,
- szyfrowanie haseł kont (bcrypt cost ≥10),
- szyfrowanie kluczy mistrzowskich i SSE-C w bazie (AES-256-GCM).
5.2. Kontrola dostępu:
- konta osobiste pracowników WebDisk, MFA wymuszone na operacjach krytycznych,
- separacja środowisk dev/staging/prod,
- bucket policy RGW wymuszające izolację organizacji,
- bezpośredni dostęp produkcyjny wyłącznie przez bastion SSH z kluczami sprzętowymi.
5.3. Audit-log:
- logowanie operacji administracyjnych (tworzenie/usuwanie kont, zmiana planu, ingerencje operatora) — z retencją 12 miesięcy,
- logowanie dostępów S3 (RGW access log) — z retencją 90 dni.
5.4. Redundancja i odporność:
- 3-krotna replikacja każdego obiektu na poziomie Ceph (osobne hosty, RBAC),
- mdadm RAID1 dla dysków systemowych klastra,
- snapshoty MySQL co 24h z 30-dniową retencją,
- detektor anomalii bezpieczeństwa (Wazuh SIEM) z alarmami 24/7.
5.5. Lokalizacja danych:
- wszystkie Dane Osobowe przechowywane na infrastrukturze WebDisk w Polsce (UE),
- brak transferu poza EU/EOG (poza wyjątkami subprocessorów z §6).
5.6. Ciągłe doskonalenie:
- regularne aktualizacje bezpieczeństwa,
- testy penetracyjne min. raz w roku,
- przegląd środków technicznych i organizacyjnych min. raz w roku.
§6. Dalsi podprocesorzy (Subprocessors)
6.1. Klient niniejszym wyraża ogólną zgodę na korzystanie przez WebDisk z dalszych podprocesorów (Art. 28 ust. 2 RODO).
6.2. Aktualna lista podprocesorów stanowi rozdział 9 Regulaminu Send. Aktualny wykaz udostępniamy Klientowi również na żądanie.
6.3. O zmianach w liście podprocesorów (dodanie nowego, zmiana zakresu) informujemy Klienta mailowo z 30-dniowym wyprzedzeniem, na adres org-admina w panelu.
6.4. Klient ma prawo zgłosić uzasadniony sprzeciw wobec dodania nowego podprocesora w terminie 14 dni od powiadomienia. W razie sprzeciwu:
- WebDisk i Klient szukają rozwiązania zastępczego w terminie 30 dni,
- w razie braku porozumienia Klient ma prawo do rozwiązania umowy ze skutkiem natychmiastowym z zachowaniem prawa do eksportu danych.
6.5. WebDisk odpowiada wobec Klienta za działania i zaniechania podprocesorów jak za swoje własne (Art. 28 ust. 4 RODO). Wszystkich podprocesorów wiąże umowa o równoważnym poziomie ochrony danych.
§7. Zgłaszanie naruszeń
7.1. W razie wystąpienia naruszenia ochrony Danych Osobowych objętych niniejszą DPA WebDisk:
a) bez zbędnej zwłoki, nie później niż w ciągu 48h od wykrycia, informuje Klienta przez e-mail i przez panel (jeżeli dostępny);
b) przekazuje informacje wymagane przez Art. 33 ust. 3 RODO:
- charakter naruszenia, kategorie i przybliżona liczba dotkniętych osób i rekordów,
- skutki naruszenia,
- środki zastosowane lub planowane w odpowiedzi,
- punkt kontaktowy WebDisk do dalszej komunikacji;
c) udziela Klientowi wsparcia w zgłoszeniu naruszenia organowi nadzorczemu (UODO) oraz osobom dotkniętym (jeżeli wymagane).
7.2. Klient zgłasza naruszenie do UODO w ciągu 72h od otrzymania informacji od WebDisk, chyba że jest mało prawdopodobne by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
§8. Wsparcie w realizacji praw osób, których dane dotyczą
WebDisk udostępnia Klientowi następujące mechanizmy realizacji żądań:
| Prawo | Mechanizm |
|---|---|
| Art. 15 — prawo dostępu | „Eksportuj moje dane (RODO)" w profilu użytkownika — ZIP z plikami + metadata.json |
| Art. 16 — sprostowanie | edycja profilu, edycja danych fakturowych w panelu org-admina |
| Art. 17 — prawo do bycia zapomnianym | „Zamknij konto" w profilu (USER) / „Zamknij organizację" (ORG_ADMIN); 30-dniowa karencja, potem fizyczne usunięcie |
| Art. 20 — przenoszenie danych | „Eksportuj moje dane (RODO)" — ZIP czytelny standardowymi narzędziami |
| Art. 21 — sprzeciw | Klient kontaktuje support@webdisk.io |
| Art. 22 — zautomatyzowane decyzje | nie stosujemy zautomatyzowanego profilowania ani decyzji wywołujących skutki prawne |
§9. Zwrot lub usunięcie danych
9.1. Po rozwiązaniu umowy o świadczenie Usługi (z dowolnej przyczyny) WebDisk:
a) udostępnia Klientowi 14-dniowy okres na samodzielny eksport danych po stronie Klienta (mechanizm „Eksportuj moje dane");
b) po upływie 14 dni lub natychmiast na pisemne żądanie Klienta — fizycznie usuwa wszystkie Dane Osobowe Klienta, z zastrzeżeniem §9.2.
9.2. Wyjątki dla magazynów Anty-Ransomware. Pliki w magazynach z włączonym Object Lock Compliance są usuwane stopniowo w miarę wygasania okresów zabezpieczenia każdej wersji. Klient zostaje poinformowany o szacowanym czasie pełnego usunięcia. W razie pisemnej zgody Klienta WebDisk może zastosować procedurę z Regulaminu Files §4.5 (low-level intervention) skracającą ten proces.
9.3. Wyjątki dla obowiązków prawnych. WebDisk zachowuje:
- anonimowy audit-log dostępów przez 12 miesięcy (RODO Art. 17 ust. 3 lit. b — wywiązanie się z obowiązków bezpieczeństwa),
- księgowe metadane (faktury, NIP, kwoty) przez 5 lat zgodnie z ustawą o rachunkowości i Ordynacją podatkową.
9.4. Po wykonaniu pkt §9.1.b WebDisk wystawia Klientowi pisemne potwierdzenie usunięcia na żądanie.
§10. Audyty
10.1. Klient ma prawo do przeprowadzenia audytu przestrzegania niniejszej DPA przez WebDisk, w szczególności środków technicznych i organizacyjnych (§5), nie częściej niż raz w roku kalendarzowym.
10.2. Audyt jest zapowiadany z minimum 30-dniowym wyprzedzeniem w formie pisemnej.
10.3. Klient może powierzyć audyt niezależnemu audytorowi podlegającemu obowiązkowi zachowania tajemnicy.
10.4. Audyt nie obejmuje danych innych klientów WebDisk ani informacji objętych tajemnicą biznesową WebDisk niezwiązanych z DPA.
10.5. Koszt audytu ponosi Klient. W razie stwierdzenia istotnych naruszeń DPA WebDisk pokrywa uzasadnione koszty audytu.
10.6. Alternatywnie Klient może akceptować jako dowód zgodności:
- aktualny raport audytora niezależnego (np. ISO 27001, SOC 2 Type II — jeżeli WebDisk takim dysponuje),
- raporty z testów penetracyjnych przeprowadzonych przez WebDisk.
§11. Odpowiedzialność
11.1. WebDisk odpowiada za szkody wynikające z naruszenia DPA na zasadach ogólnych Kodeksu cywilnego, z ograniczeniem do wysokości opłat zapłaconych przez Klienta w ostatnich 12 miesiącach przed wystąpieniem szkody, z wyjątkiem:
- szkód wyrządzonych umyślnie lub wskutek rażącego niedbalstwa,
- naruszenia praw osób trzecich z winy WebDisk.
11.2. Odpowiedzialność za roszczenia osób, których dane dotyczą (Art. 82 RODO) — strony ponoszą zgodnie z zasadami określonymi w Art. 82 ust. 4 i 5 RODO (odpowiedzialność solidarna z możliwością regresu).
§12. Postanowienia końcowe
12.1. Zmiany DPA. Zmiany niniejszej DPA wymagają formy pisemnej pod rygorem nieważności, przy czym powiadomienie e-mailowe z wymogiem ponownej akceptacji w panelu po wejściu w życie nowej wersji uznaje się za zachowanie formy pisemnej.
12.2. Pierwszeństwo. W razie sprzeczności między DPA a Regulaminem Files / Regulaminem ogólnym WebDisk — pierwszeństwo ma DPA w zakresie ochrony danych osobowych.
12.3. Język. W razie rozbieżności między wersjami językowymi DPA — wiążąca jest wersja PL.
12.4. Prawo właściwe i sąd. Prawo polskie. Sąd właściwy dla siedziby WebDisk.
12.5. Wejście w życie. DPA wchodzi w życie z chwilą akceptacji w panelu org-admina (rejestrowanej w audit-logu) lub złożenia podpisu kwalifikowanego na pobranym dokumencie PDF.
Dokument: webdisk-files / DPA · wersja 1.1 · obowiązuje od 2026-08-23 · 2026-11-01