Data Processing Agreement

Umowa powierzenia przetwarzania danych osobowych (Załącznik nr 1 do Regulaminu dla Specjalistów)

Wersja 1.0 · Data wejścia w życie: 6 października 2026 r.

§1. Strony i zawarcie umowy

1. Umowa zostaje zawarta pomiędzy Specjalistą — użytkownikiem Aplikacji Dianique będącym właścicielem przestrzeni roboczej („Administrator”) a Yahorem Fadzinem, prowadzącym działalność gospodarczą pod firmą Yahor Fadzin, NIP: 5273062132, REGON: 525623252, adres: ul. Siedmiogrodzka 1 lok. 130, 01-204 Warszawa („Podmiot przetwarzający”). 2. Umowa jest zawierana w chwili akceptacji Regulaminu dla Specjalistów przy zakładaniu konta lub przestrzeni roboczej i stanowi umowę, o której mowa w art. 28 ust. 3 RODO. Obowiązuje przez czas świadczenia usług Aplikacji, a po jego zakończeniu — do czasu usunięcia danych zgodnie z §9. 3. Pojęcia niezdefiniowane mają znaczenie nadane w RODO i w Regulaminie dla Specjalistów.

§2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Aplikacji i Serwisu Rezerwacji w ramach jego przestrzeni roboczej, wyłącznie w celu świadczenia usług opisanych w Regulaminie: prowadzenia kalendarza i bazy klientów, przyjmowania rezerwacji online, wysyłki wiadomości o wizytach i — na polecenie Administratora — wiadomości marketingowych, przechowywania zdjęć i dokumentacji wizyt, rozliczeń z klientami i zespołem oraz raportowania. 2. Charakter przetwarzania: zbieranie (w tym przez formularz rezerwacji), utrwalanie, przechowywanie, porządkowanie, wyszukiwanie, przeglądanie, wykorzystywanie do wysyłki wiadomości, udostępnianie członkom zespołu Administratora w zakresie nadanych uprawnień, usuwanie. 3. Przetwarzanie odbywa się w sposób zautomatyzowany, w systemach informatycznych Podmiotu przetwarzającego i jego podprocesorów.

§3. Kategorie osób i danych

1. Kategorie osób: klienci Administratora (także potencjalni, rezerwujący jako goście), członkowie zespołu Administratora (pracownicy, współpracownicy). 2. Kategorie danych zwykłych: imię i nazwisko, telefon, e-mail, identyfikatory komunikatorów i mediów społecznościowych, data urodzenia, język, historia wizyt i rezerwacji, komentarze, notatki, tagi, zdjęcia i nagrania wideo z wizyt, receptury koloryzacji, saldo bonów podarunkowych i przedpłat, zgody na przypomnienia i marketing wraz z historią ich potwierdzenia, dane o blokadach rezerwacji; w odniesieniu do zespołu — dane kontaktowe, grafik, czas pracy, warunki i wyniki rozliczeń wynagrodzenia. 3. Szczególne kategorie danych (art. 9 RODO): dane o stanie zdrowia zawarte w formularzach wywiadu i zgody (np. alergie, choroby skóry, przyjmowane leki, ciąża i karmienie piersią, skłonność do bliznowców) oraz — jeżeli Administrator je wprowadzi — w notatkach i zdjęciach. Administrator wprowadza takie dane wyłącznie wtedy, gdy ma do tego podstawę prawną z art. 9 ust. 2 RODO (w szczególności wyraźną zgodę osoby). 4. Administrator nie wprowadza do Aplikacji danych dotyczących wyroków skazujących (art. 10 RODO) ani numerów PESEL, dokumentów tożsamości i danych kart płatniczych; Aplikacja nie jest do tego przeznaczona.

§4. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)

Podmiot przetwarzający: 1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są postanowienia niniejszej umowy i Regulaminu oraz czynności wykonywane przez Administratora i jego zespół za pomocą funkcji Aplikacji (np. dodanie, edycja, wysyłka, usunięcie). Jeżeli prawo Unii lub państwa członkowskiego nakłada obowiązek przetwarzania w innym zakresie, Podmiot przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania; 2. niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych; 3. zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy, a dostęp do danych mają wyłącznie w zakresie niezbędnym do utrzymania i wsparcia usługi; 4. stosuje środki techniczne i organizacyjne wymagane na podstawie art. 32 RODO, opisane w Załączniku A; 5. korzysta z podprocesorów wyłącznie na zasadach §5; 6. uwzględniając charakter przetwarzania, pomaga Administratorowi — poprzez funkcje Aplikacji (wyszukiwanie, edycja, usuwanie danych klienta i jego dokumentacji, zarządzanie zgodami) oraz na żądanie — w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO). Żądania otrzymane bezpośrednio od takich osób przekazuje Administratorowi bez zbędnej zwłoki i nie odpowiada na nie merytorycznie bez jego polecenia; 7. pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając charakter przetwarzania i dostępne mu informacje; 8. po zakończeniu świadczenia usług usuwa lub zwraca dane zgodnie z §9; 9. udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty na zasadach §7.

§5. Podprocesorzy

1. Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających („podprocesorów”). Aktualna lista stanowi Załącznik B i jest również publikowana w Polityce prywatności (§5). 2. O zamiarze dodania lub zastąpienia podprocesora Podmiot przetwarzający informuje Administratora e-mailem lub w Aplikacji co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć umowę o świadczenie usług ze skutkiem natychmiastowym, a w przypadku opłaconej subskrypcji — zwrócić się o zwrot proporcjonalnej części opłaty w trybie przewidzianym przez właściwy sklep z aplikacjami. W sytuacjach nagłych, związanych z bezpieczeństwem lub ciągłością usługi, termin może być krótszy. 3. Podmiot przetwarzający nakłada na podprocesorów — w drodze umowy — te same obowiązki ochrony danych, które wynikają z niniejszej umowy, i odpowiada wobec Administratora za ich wykonanie. 4. Przekazanie danych do państwa trzeciego odbywa się wyłącznie na podstawie rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, lub standardowe klauzule umowne wraz z dodatkowymi zabezpieczeniami).

§6. Naruszenia ochrony danych

1. Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych dotyczące powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, na adres e-mail przypisany do konta właściciela przestrzeni roboczej. 2. Zgłoszenie zawiera — w miarę dostępności — informacje wymagane przez art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje, zastosowane lub proponowane środki zaradcze oraz dane kontaktowe. Informacje niedostępne w chwili zgłoszenia są przekazywane niezwłocznie, w miarę ich uzyskiwania. 3. Decyzję o zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osób, których dane dotyczą, podejmuje Administrator; Podmiot przetwarzający udziela mu w tym niezbędnej pomocy.

§7. Audyty i informacje

1. Podmiot przetwarzający udostępnia na żądanie Administratora informacje o stosowanych środkach bezpieczeństwa i podprocesorach, w tym kopie lub streszczenia ich certyfikatów i raportów (np. SOC 2, ISO 27001), w zakresie, w jakim dostawcy na to pozwalają. 2. Jeżeli przekazane informacje są niewystarczające, Administrator może przeprowadzić audyt — samodzielnie lub przez niezależnego audytora zobowiązanego do zachowania poufności — po uprzedzeniu z co najmniej 30-dniowym wyprzedzeniem, w dni robocze, nie częściej niż raz w roku (chyba że audyt wynika z naruszenia lub żądania organu), w sposób nieutrudniający świadczenia usług innym użytkownikom i bez dostępu do danych innych użytkowników. Koszty audytu ponosi Administrator.

§8. Obowiązki Administratora

Administrator: 1. zapewnia istnienie podstawy prawnej przetwarzania powierzonych danych, w tym — dla danych o zdrowiu — podstawy z art. 9 ust. 2 RODO, oraz wykonuje wobec swoich klientów i zespołu obowiązek informacyjny z art. 13 i 14 RODO (Podmiot przetwarzający udostępnia w Serwisie Rezerwacji klauzulę informacyjną wskazującą Administratora — Administrator odpowiada za jej uzupełnienie o informacje dotyczące jego własnych celów przetwarzania); 2. wysyła wiadomości marketingowe wyłącznie do osób, które wyraziły na to zgodę zgodnie z przepisami (w tym art. 398 ustawy — Prawo komunikacji elektronicznej); 3. nadaje członkom zespołu uprawnienia wyłącznie w zakresie niezbędnym do wykonywania ich zadań i odpowiada za ich działania w Aplikacji; 4. dba o poufność danych logowania do swojego konta.

§9. Zakończenie umowy i usunięcie danych

1. Usunięcie konta właściciela lub przestrzeni roboczej w Aplikacji jest poleceniem usunięcia wszystkich powierzonych danych tej przestrzeni roboczej. 2. Przed usunięciem Administrator może zażądać przekazania kopii powierzonych danych w powszechnie używanym formacie nadającym się do odczytu maszynowego (np. CSV/JSON), pisząc na support@dianiquebeauty.com. 3. Podmiot przetwarzający usuwa powierzone dane z systemów produkcyjnych niezwłocznie, a z kopii zapasowych — w ciągu 30 dni od usunięcia konta lub zakończenia umowy, chyba że prawo Unii lub państwa członkowskiego nakazuje ich dalsze przechowywanie. 4. Usunięcie konta klienta w Serwisie Rezerwacji nie usuwa wpisów tego klienta w bazie Administratora; Administrator decyduje o ich dalszym przechowywaniu.

§10. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność stron z tytułu niniejszej umowy wynika z art. 82 RODO; w pozostałym zakresie stosuje się postanowienia Regulaminu dla Specjalistów, z wyłączeniem ograniczeń odpowiedzialności sprzecznych z RODO. 2. W razie sprzeczności między niniejszą umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza umowa. 3. Zmiany umowy wprowadza się w trybie przewidzianym dla zmian Regulaminu. 4. Umowa podlega prawu polskiemu.

Załącznik A — Środki techniczne i organizacyjne (art. 32 RODO)

1. Szyfrowanie: transmisja wyłącznie przez TLS; szyfrowanie danych w spoczynku po stronie dostawcy infrastruktury (Supabase); hasła przechowywane wyłącznie w postaci skrótu (bcrypt). 2. Separacja danych: kontrola dostępu na poziomie wierszy (PostgreSQL Row Level Security) dla każdej tabeli z danymi przestrzeni roboczej; uprawnienia członków zespołu weryfikowane po stronie bazy danych, a nie tylko w interfejsie; ograniczone uprawnienia do kolumn z danymi płacowymi. 3. Pliki: zdjęcia i nagrania klientów w prywatnym magazynie, dostępne wyłącznie przez odnośniki o ograniczonym czasie ważności, dla uprawnionych członków przestrzeni roboczej. 4. Dostęp administracyjny: klucze serwisowe wyłącznie w środowisku serwerowym, nigdy w aplikacjach klienckich; dostęp do konsol dostawców wyłącznie dla Usługodawcy, chroniony indywidualnymi danymi logowania; dostęp do danych produkcyjnych tylko w razie konieczności (wsparcie na wniosek, usuwanie awarii). 5. Ochrona przed nadużyciami: weryfikacja Cloudflare Turnstile, limity prób, ograniczenie liczby aktywnych rezerwacji wstępnych, krótkie okresy przechowywania adresów IP. 6. Minimalizacja: raporty błędów i statystyki bez danych kontaktowych; statystyki ścieżki rezerwacji bez danych identyfikujących klienta. 7. Ciągłość: codzienne kopie zapasowe bazy danych u dostawcy infrastruktury; procedura przywracania i wycofania zmian (docs/release/README.md). 8. Rozwój: przegląd zmian w kodzie przed wdrożeniem, kontrola typów i lintowanie, migracje bazy danych wersjonowane w repozytorium.

Załącznik B — Lista podprocesorów

• Supabase, Inc. — Usługa: baza danych, uwierzytelnianie, magazyn plików, funkcje serwerowe; Dane: wszystkie kategorie z §3; Lokalizacja: UE (Frankfurt, eu-central-1); wsparcie: USA • Cloudflare, Inc. — Usługa: hosting Serwisu Rezerwacji, CDN, ochrona przed botami; Dane: dane formularza rezerwacji w tranzycie, adres IP; Lokalizacja: globalnie, w tym USA • Plus Five Five, Inc. (Resend) — Usługa: wysyłka e-mail; Dane: e-mail, imię, treść wiadomości o wizycie / marketingowej; Lokalizacja: USA • 650 Industries, Inc. (Expo) — Usługa: przekazywanie powiadomień push; Dane: token urządzenia, treść powiadomienia; Lokalizacja: USA • Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging) — Usługa: dostarczanie powiadomień push na Android; Dane: token urządzenia, treść powiadomienia; Lokalizacja: UE / USA • Apple Inc. (APNs) — Usługa: dostarczanie powiadomień push na iOS; Dane: token urządzenia, treść powiadomienia; Lokalizacja: USA

Dianique Data Processing Agreement (Annex 1 to the Terms for Specialists)

§1. Parties and conclusion

(1) Between the Specialist who owns a workspace in the Dianique App (“Controller”) and Yahor Fadzin, sole proprietor trading as Yahor Fadzin, NIP 5273062132, REGON 525623252, address ul. Siedmiogrodzka 1 lok. 130, 01-204 Warszawa, Poland (“Processor”). (2) Concluded when the Terms for Specialists are accepted on creating an account or workspace; it is the agreement required by Art. 28(3) GDPR and lasts for the duration of the App services and afterwards until data is deleted under §9. (3) Undefined terms have the meaning given in the GDPR and the Terms.

§2. Subject matter, nature and purpose

(1) The Controller entrusts the Processor with personal data entered into the App and Booking Site within its workspace, solely to provide the services in the Terms: calendar and client list, online booking, appointment messages and — on the Controller’s instruction — marketing messages, storage of photos and visit records, client and team settlements, reporting. (2) Nature: collection (including via the booking form), recording, storage, organisation, retrieval, consultation, use for sending messages, disclosure to the Controller’s team within their permissions, erasure. (3) Processing is automated, in the IT systems of the Processor and its sub-processors.

§3. Categories of data subjects and data

(1) Subjects: the Controller’s clients (including prospective clients and guest bookers) and team members. (2) Ordinary data: name, phone, e-mail, messenger and social handles, date of birth, language, visit and booking history, comments, notes, tags, visit photos and videos, colour formulas, gift-card and prepayment balances, reminder and marketing consents and their confirmation history, booking blocks; for team members — contact details, schedule, working time, pay terms and payroll results. (3) Special categories (Art. 9 GDPR): health data in intake/consent forms (e.g. allergies, skin conditions, medication, pregnancy and breastfeeding, keloid tendency) and — if the Controller enters them — in notes and photos. The Controller enters such data only with a legal basis under Art. 9(2) GDPR (in particular explicit consent). (4) The Controller does not enter criminal-conviction data (Art. 10 GDPR), national ID numbers, identity documents or payment card data.

§4. Processor obligations (Art. 28(3) GDPR)

The Processor: (1) processes data only on documented instructions — this agreement, the Terms and actions taken by the Controller and its team through App features; if EU or member-state law requires other processing, it informs the Controller beforehand unless the law prohibits this; (2) promptly informs the Controller if an instruction infringes data-protection law; (3) ensures persons authorised to process data are bound by confidentiality and access data only as needed to run and support the service; (4) applies the Art. 32 measures in Annex A; (5) uses sub-processors only under §5; (6) assists, through App features (search, edit, delete a client and their records, consent management) and on request, with data-subject requests, forwarding requests received directly without undue delay and not answering them on the merits without instruction; (7) assists with Art. 32–36 obligations; (8) deletes or returns data under §9; (9) makes available all information necessary to demonstrate compliance and allows audits under §7.

§5. Sub-processors

(1) General authorisation is given; the current list is Annex B and is also published in the Privacy Policy (§5). (2) The Processor gives at least 14 days’ notice by e-mail or in the App of adding or replacing a sub-processor; the Controller may raise a reasoned objection within that period; failing agreement, the Controller may terminate the service with immediate effect and, for a paid subscription, request a pro-rata refund through the relevant app store. Shorter notice may apply in emergencies affecting security or continuity. (3) Sub-processors are bound by the same data-protection obligations by contract; the Processor remains liable for them. (4) Third-country transfers only under GDPR Chapter V (adequacy incl. EU-US Data Privacy Framework, or SCCs with supplementary measures).

§6. Personal data breaches

(1) Notified to the Controller without undue delay and no later than 48 hours after discovery, to the e-mail of the workspace owner’s account. (2) The notice contains, as available, the Art. 33(3) information; missing information follows as it becomes available. (3) The Controller decides on notifying the supervisory authority and data subjects; the Processor assists.

§7. Audits

(1) On request, information on security measures and sub-processors, including copies or summaries of their certifications/reports (e.g. SOC 2, ISO 27001) where providers allow. (2) If insufficient, an audit by the Controller or an independent auditor under confidentiality, with at least 30 days’ notice, on business days, at most once a year (unless following a breach or an authority request), without disrupting other users or accessing their data, at the Controller’s cost.

§8. Controller obligations

The Controller: (1) ensures a legal basis for processing, including an Art. 9(2) basis for health data, and informs its clients and team under Arts. 13–14 GDPR (the Booking Site shows a notice naming the Controller; the Controller supplements it with its own purposes); (2) sends marketing only to persons who consented as required by law (incl. Art. 398 of the Polish Electronic Communications Law); (3) grants team members only necessary permissions and is responsible for their actions; (4) keeps its login credentials confidential.

§9. Termination and deletion

(1) Deleting the owner account or workspace in the App is an instruction to delete all entrusted data of that workspace. (2) Before deletion the Controller may request a copy of the data in a common machine-readable format (e.g. CSV/JSON) at support@dianiquebeauty.com. (3) Data is deleted from production systems immediately and from backups within 30 days of account deletion or termination, unless EU or member-state law requires retention. (4) A client deleting their Booking Site account does not delete their record in the Controller’s client list.

§10. Liability and final provisions

(1) Liability under Art. 82 GDPR; otherwise the Terms apply, excluding limitations contrary to the GDPR. (2) This agreement prevails over the Terms on data-protection matters. (3) Amended in the same way as the Terms. (4) Governed by Polish law.

Annex A — Technical and organisational measures

TLS in transit, encryption at rest at the infrastructure provider, bcrypt password hashes; PostgreSQL Row Level Security on every workspace table, team permissions enforced in the database, column-level restrictions on pay data; private file storage with time-limited links; service keys only server-side, provider consoles accessible only to the Processor with individual credentials, production data accessed only when necessary; Turnstile, rate limits, cap on active booking holds, short IP retention; no contact data in error reports and statistics; daily database backups and a documented restore/rollback procedure; code review, type checking and versioned database migrations.

Annex B — Sub-processors

Supabase, Inc. (database, auth, storage, functions — all §3 data — EU/Frankfurt (eu-central-1), support US); Cloudflare, Inc. (booking-site hosting, CDN, bot protection — booking-form data in transit, IP — global incl. US); Plus Five Five, Inc. (Resend) (e-mail — e-mail, name, message content — US); 650 Industries, Inc. / Expo (push relay — device token, notification content — US); Google Ireland Ltd. / Google LLC (FCM — Android push — EU/US); Apple Inc. (APNs — iOS push — US).