Umowa powierzenia przetwarzania danych osobowych

Wersja 2 z dnia 12 października 2026

Umowa powierzenia jest załącznikiem nr 1 do Regulaminu. Klient zawiera ją z LURIP, akceptując Regulamin przy zakładaniu Organizacji. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie, a pojęcia z RODO znaczenie nadane w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679.

1. Strony i przedmiot

  1. Klient jako administrator powierza LURIP jako podmiotowi przetwarzającemu przetwarzanie danych osobowych, które Klient i Użytkownicy wprowadzają do Organizacji albo importują do niej, w zakresie i celu opisanym w punkcie 2.
  2. LURIP przetwarza powierzone dane wyłącznie w celu świadczenia usługi Loftsplit zgodnie z Regulaminem, przez czas trwania umowy o korzystanie z Aplikacji i do zakończenia usuwania danych zgodnie z punktem 9.
  3. Klient jako administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych wprowadzanych do Aplikacji, wykonuje obowiązki informacyjne wobec lokatorów i innych osób (wzór: klauzula dla lokatorów), realizuje ich żądania oraz wydaje polecenia zgodne z przepisami.

2. Zakres przetwarzania

  1. Kategorie osób: lokatorzy i inni najemcy Klienta; kontrahenci Klienta będący osobami fizycznymi (np. dostawcy usług, wykonawcy napraw, nadawcy przelewów); Użytkownicy Klienta w zakresie historii zmian danych Organizacji.
  2. Kategorie danych:
    1. dane identyfikacyjne i kontaktowe: imię i nazwisko lub nazwa, adres e-mail, numer telefonu, adres, NIP, język korespondencji;
    2. dane umów najmu: lokal, daty rozpoczęcia i zakończenia, czynsz, kaucja, zaliczki, liczba osób, sposób rozliczania mediów, notatki;
    3. dane finansowe: wpłaty, salda, operacje z zaimportowanych wyciągów bankowych (nazwa i rachunek kontrahenta, tytuł, kwota), refaktury, historia przypomnień o płatnościach wysłanych lokatorom;
    4. dane o zużyciu: odczyty liczników i podliczników przypisanych do lokali;
    5. dokumenty: rozliczenia dla lokatorów, skany faktur, protokoły i inne pliki dodane przez Klienta;
    6. dane logowania do portalu lokatora: adres e-mail i czas ważności linku;
    7. historia zmian: kto, kiedy i jakie wartości zmienił;
    8. dziennik wysyłki wiadomości e-mail: adres odbiorcy, temat i stan wysyłki, przez 30 dni; treść wiadomości do czasu wysłania;
    9. pliki i zrzuty ekranu dołączone przez Użytkowników do zgłoszeń do LURIP, przetwarzane w celu obsługi zgłoszenia i usuwane razem z Organizacją.
  3. Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych o wyrokach skazujących (art. 10 RODO). Klient nie wprowadza takich danych, także w polach notatek i w plikach.
  4. Charakter przetwarzania: przechowywanie, porządkowanie, obliczenia rozliczeń, generowanie dokumentów, dopasowanie wpłat z wyciągów do umów, wysyłanie wiadomości e-mail na polecenie Klienta (w tym przypomnień o zaległych płatnościach, gdy Klient je włączy) i prowadzenie dziennika ich wysyłki, udostępnianie lokatorom w portalu, eksport, usuwanie i anonimizacja, kopie zapasowe, obsługa zgłoszeń wysłanych przez Użytkowników z panelu do pomocy technicznej LURIP, w tym zrzutów ekranu.

3. Polecenia Klienta

  1. LURIP przetwarza powierzone dane wyłącznie na udokumentowane polecenie Klienta. Poleceniami są Regulamin, ta umowa oraz działania Klienta i Użytkowników w Aplikacji (np. wysłanie rozliczenia, włączenie portalu lokatora, import, eksport, usunięcie, wysłanie zgłoszenia do pomocy technicznej).
  2. LURIP nie wykorzystuje powierzonych danych do własnych celów, w tym do reklamy, profilowania ani trenowania modeli sztucznej inteligencji, i nie łączy danych różnych Organizacji.
  3. Jeśli zdaniem LURIP polecenie narusza RODO lub inne przepisy o ochronie danych, LURIP niezwłocznie informuje o tym Klienta i może wstrzymać jego wykonanie do czasu wyjaśnienia.
  4. Jeśli przepisy prawa wymagają od LURIP przetwarzania powierzonych danych w inny sposób, LURIP informuje o tym Klienta przed rozpoczęciem przetwarzania, chyba że prawo to zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.

4. Poufność

LURIP dopuszcza do powierzonych danych wyłącznie osoby, które mają pisemne upoważnienie, zobowiązały się do zachowania poufności i potrzebują dostępu do usunięcia awarii, zapewnienia bezpieczeństwa albo wykonania polecenia Klienta, na przykład zgłoszenia do pomocy technicznej. Personel obsługujący abonamenty pracuje w panelu operatora, który nie pokazuje danych lokatorów, umów, kosztów ani rozliczeń, z wyjątkiem treści i załączników zgłoszeń, które Użytkownik sam wysyła z panelu do pomocy technicznej; wysłanie zgłoszenia jest poleceniem Klienta w rozumieniu pkt 3 ust. 1. Przed wysłaniem panel ostrzega, że zrzut ekranu może zawierać dane lokatorów, i prosi o zasłonięcie danych, których LURIP nie potrzebuje.

5. Bezpieczeństwo

LURIP stosuje środki techniczne i organizacyjne opisane w punkcie 12, odpowiednie do ryzyka (art. 32 RODO). LURIP może je zmieniać, o ile nie obniża poziomu ochrony.

6. Dalsze powierzenie

  1. Klient udziela LURIP ogólnej zgody na dalsze powierzenie przetwarzania podmiotom z listy podprocesorów.
  2. O zamiarze dodania lub zmiany podprocesora LURIP informuje Właścicieli e-mailem co najmniej 30 dni wcześniej. Gdy podprocesora trzeba zastąpić pilnie, aby utrzymać ciągłość albo bezpieczeństwo usługi (np. po jego awarii lub upadłości), LURIP może poinformować z krótszym wyprzedzeniem, ale zawsze przed zmianą. Klient może zgłosić sprzeciw w ciągu 30 dni od informacji, najlepiej z uzasadnieniem, na adres [email protected]. Jeśli strony nie znajdą rozwiązania, Klient może rozwiązać umowę o korzystanie z Aplikacji przed wprowadzeniem zmiany, bez opłat za okres po rozwiązaniu, a gdy pilna zmiana nastąpiła przed rozwiązaniem umowy, ze zwrotem opłat za okres od zmiany.
  3. LURIP nakłada na każdego podprocesora obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada wobec Klienta za jego działania jak za własne.
  4. LURIP przechowuje powierzone dane w Europejskim Obszarze Gospodarczym. Ruch między przeglądarką a Aplikacją przechodzi przez sieć Cloudflare (lista podprocesorów), która może przetwarzać przesyłane dane w Stanach Zjednoczonych; podstawą jest decyzja Komisji Europejskiej w sprawie Ram ochrony danych UE–USA, w których Cloudflare uczestniczy, a uzupełniająco standardowe klauzule umowne. Inne przekazanie danych poza Europejski Obszar Gospodarczy wymaga trybu z ust. 2 i zabezpieczeń z rozdziału V RODO.

7. Pomoc w wykonywaniu praw osób

  1. Aplikacja pozwala Klientowi samodzielnie realizować żądania osób, których dane dotyczą: wyświetlić i wyeksportować dane lokatora (CSV, XLSX, ZIP), poprawić je, zanonimizować albo usunąć lokatora. Anonimizacja usuwa dane identyfikacyjne lokatora także z historii zmian i dokumentów rozliczeń, pozostawiając kwoty.
  2. Jeśli osoba, której dane dotyczą, zwróci się z żądaniem bezpośrednio do LURIP, LURIP przekaże je Klientowi bez zbędnej zwłoki i nie odpowie na nie samodzielnie, chyba że Klient to zleci.
  3. LURIP pomaga Klientowi, w miarę możliwości i uwzględniając informacje, którymi dysponuje, w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym w ocenie skutków dla ochrony danych.

8. Naruszenia ochrony danych

  1. LURIP zawiadamia Klienta o stwierdzonym naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem na adresy Właścicieli Organizacji, także gdy do naruszenia doszło u podprocesora.
  2. Zawiadomienie zawiera informacje dostępne LURIP w chwili jego wysłania: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki, zastosowane i proponowane środki oraz kontakt do osoby, która udzieli dalszych informacji. Pozostałe informacje LURIP przekazuje sukcesywnie.
  3. LURIP dokumentuje naruszenia i podjęte działania oraz współpracuje z Klientem przy zgłoszeniu do organu nadzorczego i zawiadomieniu osób, których dane dotyczą.
  4. LURIP niezwłocznie informuje Klienta o kontroli, postępowaniu lub żądaniu organu nadzorczego albo innego organu, które dotyczą powierzonych danych Klienta, chyba że przepisy tego zabraniają.

9. Usunięcie danych po zakończeniu umowy

  1. Przed zakończeniem umowy Klient może w każdej chwili wyeksportować wszystkie powierzone dane z Aplikacji. Jest to zwrot danych w rozumieniu art. 28 ust. 3 lit. g RODO.
  2. W każdym przypadku zakończenia umowy o korzystanie z Aplikacji, w tym jej rozwiązania przez LURIP, LURIP usuwa powierzone dane 30 dni po jej zakończeniu. Po zleceniu usunięcia Organizacji i upływie 30 dni LURIP usuwa wszystkie powierzone dane z Aplikacji. Tak samo LURIP postępuje 30 dni po końcu okresu próbnego, w którym nie zamówiono abonamentu. Do usunięcia powierzone dane są tylko do odczytu i eksportu. Dane w kopiach zapasowych są usuwane w cyklu ich wygasania, nie później niż po 14 dniach. Na żądanie Klienta LURIP potwierdza usunięcie danych.
  3. LURIP może przechowywać powierzone dane dłużej tylko wtedy, gdy wymaga tego prawo Unii lub prawo polskie, i informuje o tym Klienta.

10. Informacje i audyty

  1. LURIP udostępnia Klientowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności odpowiada na pytania i kwestionariusze dotyczące bezpieczeństwa w ciągu 14 dni.
  2. Jeśli odpowiedzi z ust. 1 nie wystarczą, Klient albo upoważniony przez niego audytor związany obowiązkiem poufności, który nie jest konkurentem LURIP, może przeprowadzić audyt, w pierwszej kolejności zdalnie (przegląd dokumentów i rozmowy), zapowiedziany z co najmniej 30-dniowym wyprzedzeniem, w dni robocze, nie częściej niż raz w roku. Audyt po naruszeniu ochrony danych albo na żądanie organu nadzorczego może się odbyć bez tych ograniczeń, po zapowiedzi z co najmniej 5-dniowym wyprzedzeniem. Audyt nie może naruszać tajemnicy przedsiębiorstwa LURIP, bezpieczeństwa Aplikacji ani danych innych Klientów. Koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie umowy przez LURIP.

11. Odpowiedzialność i postanowienia końcowe

  1. Odpowiedzialność stron za naruszenie tej umowy określają RODO i § 10 Regulaminu, z wyjątkiem przypadków, w których przepisy nie pozwalają jej ograniczyć.
  2. Umowa obowiązuje przez czas obowiązywania umowy o korzystanie z Aplikacji i do usunięcia powierzonych danych. W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO.
  3. Klient, który potrzebuje umowy powierzenia podpisanej w formie dokumentowej lub pisemnej, może o nią poprosić na adres [email protected].

12. Środki techniczne i organizacyjne

Infrastruktura

Oddzielenie danych i uprawnienia

Uwierzytelnianie

Rozliczalność i minimalizacja

Organizacja