Umowa o przetwarzaniu danych (DPA) — serp.cheap

Data wejścia w życie: 15 czerwca 2026 r.

Ma zastosowanie, gdy korzystanie przez Klienta z Usługi wiąże się z przetwarzaniem danych osobowych. Skonstruowana na podstawie LGPD (z odniesieniem do GDPR dla klientów z UE, w tym SCCs w stosownych przypadkach). Stanowi część Warunków świadczenia usług. Tekst angielski jest wersją oficjalną; tłumaczenia są udostępniane dla wygody.

Niniejsza DPA zostaje zawarta pomiędzy WILLIAM BITTENCOURT MORAES SOLUÇÕES EM DESENVOLVIMENTO, CNPJ 29.785.688/0001-44 („serp.cheap” lub „Podmiot przetwarzający”), a Klientem zidentyfikowanym w koncie („Administrator”). Akceptując Warunki świadczenia usług i korzystając z Usługi w sposób, który wiąże się z danymi osobowymi, Klient akceptuje niniejszą DPA.

1. Role

Klient jest Administratorem, a serp.cheap jest Podmiotem przetwarzającym na mocy obowiązującego prawa o ochronie danych, w odniesieniu do danych osobowych przetwarzanych w imieniu Klienta przy świadczeniu Usługi. Gdy serp.cheap przetwarza dane do własnych celów (np. zarządzanie relacją handlową), działa jako Administrator, z zastrzeżeniem Polityki prywatności.

2. Przedmiot i instrukcje

Podmiot przetwarzający będzie przetwarzał dane osobowe wyłącznie zgodnie z udokumentowanymi instrukcjami Administratora (niniejszymi Warunkami, niniejszą DPA oraz korzystaniem z Usługi), z wyjątkiem przypadków wymaganych przez prawo. Podmiot przetwarzający poinformuje Administratora, jeśli uzna, że dana instrukcja narusza prawo o ochronie danych.

3. Obowiązki Administratora

Administrator oświadcza, że: posiada i utrzymuje ważną podstawę prawną dla przetwarzania wynikającego z korzystania z Usługi; przekazał wymagane informacje o ochronie prywatności osobom, których dane dotyczą; oraz nie będzie korzystał z Usługi w sposób naruszający prawo o ochronie danych. Administrator przyjmuje do wiadomości, że przesyłając zapytania do API, może spowodować, że infrastruktura Podmiotu przetwarzającego będzie przetwarzać dane osobowe zawarte w zwracanych treściach publicznych, i jest wyłącznie odpowiedzialny za zapewnienie legalności tej działalności.

4. Obowiązki Podmiotu przetwarzającego

• Poufność: zapewnienie, aby upoważniony personel był objęty obowiązkiem zachowania poufności.
• Bezpieczeństwo: przyjęcie środków technicznych i organizacyjnych odpowiednich do ryzyka (szyfrowanie podczas transmisji, kontrola dostępu, rejestrowanie dostępu, monitorowanie).
• Podprocesorzy: Administrator upoważnia do korzystania z niezbędnych podprocesorów (np. hosting, przetwarzanie płatności, monitorowanie), na podstawie równoważnych obowiązków w zakresie ochrony. Powiadomimy z odpowiednim wyprzedzeniem o istotnych zmianach, z prawem do umotywowanego sprzeciwu.
• Prawa osób, których dane dotyczą: zapewnienie uzasadnionej pomocy, aby Administrator mógł obsługiwać żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie itd.), przekazując Administratorowi wszelkie żądania otrzymane bezpośrednio.
• Incydenty: powiadomienie Administratora bez zbędnej zwłoki po powzięciu wiadomości o incydencie bezpieczeństwa mającym wpływ na dane przetwarzane na mocy niniejszej DPA, wraz z informacjami dostępnymi w danym momencie.
• Usunięcie: po zakończeniu usunięcie lub zwrot danych osobowych przetwarzanych w imieniu Administratora, z wyjątkiem przypadków, w których ma zastosowanie obowiązkowe przechowywanie wynikające z przepisów prawa.
• Współpraca: współpraca z ANPD oraz innymi właściwymi organami w zakresie wymaganym przez prawo.

5. Transfer międzynarodowy

W przypadku transferu międzynarodowego Podmiot przetwarzający przyjmie odpowiednie zabezpieczenia na mocy LGPD; w przypadku danych z UE — mechanizmy GDPR (np. SCCs Moduł 2, Administrator-do-Podmiotu przetwarzającego).

6. Zagregowane dane techniczne

Podmiot przetwarzający może zbierać i wykorzystywać zagregowane i zanonimizowane dane techniczne i dotyczące wydajności (czasy odpowiedzi, wskaźniki błędów, wzorce użytkowania) w celu monitorowania kondycji usługi i jej ulepszania, bez przetwarzania danych osobowych w jakimkolwiek celu innym niż świadczenie Usługi.

7. Odpowiedzialność

Odpowiedzialność na mocy niniejszej DPA podlega ograniczeniom określonym w obowiązujących Warunkach świadczenia usług. Podmiot przetwarzający nie ponosi odpowiedzialności za szkody wynikające z instrukcji Administratora, z niezastosowania się przez Administratora do prawa o ochronie danych lub z niezgodnego z prawem korzystania przez Klienta z Usługi.

8. Okres obowiązywania

Niniejsza DPA pozostaje w mocy przez czas trwania relacji umownej i wygasa wraz z nią, z zastrzeżeniem obowiązków usunięcia/przechowywania. W przypadku konfliktu między niniejszą DPA a Warunkami w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza DPA.

Kontakt: [email protected]

Załącznik I — Opis przetwarzania

• Przedmiot: udostępnienie API wyników wyszukiwania.
• Charakter/Cel: realizacja żądań przesyłanych przez Klienta; dzienniki, rozliczenia, wsparcie, bezpieczeństwo.
• Rodzaje danych: (a) dane konta/API (klucz, IP, metadane żądań, dzienniki); (b) dane zawarte w zwracanych treściach publicznych, określone wyłącznie przez Klienta; (c) dane wsparcia.
• Osoby, których dane dotyczą: upoważnieni użytkownicy Klienta; osoby fizyczne, których dane mogą pojawić się w zwracanych treściach (określone przez Klienta); kontakty Klienta.
• Lokalizacja przetwarzania: Brazylia (zarządzanie) oraz za granicą — hosting w Niemczech (Contabo) i Stanach Zjednoczonych (AWS Lambda), a także operatorzy płatności, analityki, marketingu i CRM z siedzibą za granicą.

Załącznik II — Podprocesorzy