Umowa powierzenia przetwarzania danych osobowych — ArenaPay

§ 1. Strony i zawarcie umowy

1. Administrator — Klient wskazany w zgłoszeniu do ArenaPay, przyjmujący płatności od Płatników i decydujący o celach oraz sposobach przetwarzania powierzanych danych.
2. Podmiot przetwarzający — Rimset sp. z o.o. z siedzibą w Polanicy-Zdroju, ul. Tadeusza Kościuszki 7/5, 57-320 Polanica-Zdrój, KRS 0000597051, NIP 8831859309, dalej Rimset. Kontakt w sprawach tej umowy, w tym incydentów: adres e-mail wskazany w § 1 regulaminu.
3. Administrator akceptuje tę umowę w osobnym polu formularza rejestracji. Umowa zostaje zawarta w tej samej chwili co umowa o Usługę (§ 3 regulaminu). Stanowi powierzenie na podstawie art. 28 RODO.
4. Dane kontowe Klienta, jego przedstawicieli i Użytkowników Rimset przetwarza jako odrębny administrator (§ 18 regulaminu). Nie daje to Rimset prawa do używania powierzonych danych Płatników do własnych celów.

§ 2. Przedmiot, zakres, cel i czas

1. Przedmiotem jest przetwarzanie danych Płatników na potrzeby przyjmowania przez Administratora płatności internetowych: wystawiania linków do płatności, obsługi stron płatności, przekazywania transakcji Operatorowi płatności Administratora, wysyłki wiadomości do Płatników, ewidencji i statystyki wpłat oraz obsługi powiadomień Operatora.
2. Przetwarzanie obejmuje przyjmowanie danych — wpisanych w panelu albo przesłanych przez program Administratora na adres wystawiania linków — zapis, przechowywanie, wyświetlanie, przekazanie Operatorowi płatności i dostawcy SMS Administratora, wysyłanie wiadomości e-mail i SMS w imieniu Administratora, odbiór i zapis powiadomień Operatora, liczenie statystyk, wykonywanie kopii, odtwarzanie awaryjne, ograniczenie dostępu, zwrot i usuwanie.
3. Kategorie osób: Płatnicy oraz osoby, na których rzecz lub w których imieniu dokonywana jest płatność.
4. Kategorie danych: imię i nazwisko, adres e-mail, numer telefonu, numer rezerwacji lub inne oznaczenie płatności, tytuł płatności i jednorazowa wiadomość od Administratora, kwoty (z opłatą serwisową), waluta, termin i status płatności, znaczniki czasu (wystawienie, pierwsze otwarcie strony płatności, wysyłka wiadomości, przypomnienie), identyfikatory i wynik transakcji u Operatora płatności, pełna treść powiadomień Operatora płatności (może zawierać m.in. adres e-mail i opis płatności), treść wysłanych wiadomości e-mail i SMS do czasu ich doręczenia, dziennik doręczeń (adres albo numer odbiorcy, zdarzenie, wynik) oraz adres IP Płatnika — przekazywany Operatorowi PayU i zapisywany przez 24 godziny przy wystawianiu linku z programu Administratora (ochrona przed nadużyciami). Adresu IP i przeglądarki Płatnika Rimset nie zapisuje przy płatności.
5. Usługa nie jest przeznaczona do danych z art. 9 lub 10 RODO ani numerów kart płatniczych; Administrator nie wprowadza ich w tytułach, wiadomościach ani nazwach. Jeżeli mimo to trafią do Usługi, pozostają chronione.
6. Powierzenie trwa przez czas umowy o Usługę, a następnie przez okres konieczny do zwrotu i usunięcia danych (§ 9).
7. Administrator określa cel, podstawę prawną, zakres i czas przetwarzania danych Płatników oraz realizuje obowiązki informacyjne wobec nich — także na stronie płatności (regulamin § 8).

§ 3. Polecenia i dopuszczalne wykorzystanie

1. Rimset działa wyłącznie na udokumentowane polecenia Administratora: postanowienia tej umowy, działania uprawnionych osób w panelu, wywołania adresu wystawiania linków przez program Administratora oraz instrukcje przekazane w utrwalonej postaci po sprawdzeniu uprawnienia osoby, która je składa.
2. Rimset nie wykorzystuje powierzonych danych do własnego marketingu, sprzedaży baz, trenowania modeli ani tworzenia profili. Wiadomości do Płatników wysyła wyłącznie w związku z płatnością, zgodnie z ustawieniami Administratora.
3. Gdy przetwarzania wymaga prawo, Rimset informuje o tym Administratora, o ile przepisy tego nie zabraniają.
4. Jeżeli polecenie narusza zdaniem Rimset przepisy ochrony danych, Rimset niezwłocznie informuje Administratora i wstrzymuje jego wykonanie do wyjaśnienia.

§ 4. Poufność i uprawnienia

1. Dostęp otrzymują tylko osoby, którym jest potrzebny do wykonania Usługi, upoważnione i zobowiązane do poufności.
2. Uprawnienia są nadawane w niezbędnym zakresie i odbierane po ustaniu potrzeby.

§ 5. Bezpieczeństwo

1. Rimset stosuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO (Załącznik 1) i sprawdza ich skuteczność.
2. Brak gwarancji SLA nie wyłącza obowiązków bezpieczeństwa ani pomocy Administratorowi.

§ 6. Dalsze powierzenie i lokalizacja danych

1. Administrator udziela ogólnego upoważnienia do dalszego powierzenia podmiotom z Załącznika 2. O planowanym dodaniu lub zastąpieniu podmiotu Rimset powiadamia e-mailem co najmniej 14 dni wcześniej; Administrator może w tym terminie zgłosić sprzeciw z przyczyn dotyczących ochrony danych.
2. Serwer główny znajduje się w Polsce. Przekazanie poza EOG wymaga spełnienia rozdziału V RODO i wcześniejszej informacji.
3. Operator płatności, konto SMS i serwer poczty Administratora nie są dalszymi podmiotami Rimset. Wybiera je i umowy z nimi zawiera Administrator. Bramka SMS Usługodawcy (pula SMS Konta) jest dalszym podmiotem z Załącznika 2. Rimset przekazuje im dane wyłącznie na polecenie Administratora, w zakresie potrzebnym do transakcji albo wysyłki wiadomości; ich przetwarzanie reguluje umowa Administratora z tymi podmiotami. Operatorzy płatności przetwarzają dane transakcji także jako odrębni administratorzy na podstawie przepisów o usługach płatniczych. Dotyczy to także Konta Tpay założonego w panelu (regulamin § 6 ust. 7): umowę z Tpay zawiera Administrator, a Rimset jedynie przekazuje na jego zlecenie wniosek o założenie konta.
4. Google Analytics 4, jeżeli Administrator je włączy (regulamin § 8 ust. 4), otrzymuje dane bezpośrednio z przeglądarki Płatnika na podstawie konfiguracji Administratora. Rimset nie przekazuje Google danych Płatników ze swojej bazy.
5. Powiadomienia na telefonie i komputerze (push), jeżeli osoba korzystająca z panelu włączy je na swoim urządzeniu, Rimset wysyła zaszyfrowane kluczem tego urządzenia (standard Web Push) przez usługę powiadomień przeglądarki, której ta osoba używa (np. Google, Apple, Mozilla, Microsoft). Usługa przekazuje wiadomość, ale nie ma klucza i nie odczytuje jej treści (kwota, imię i nazwisko Płatnika, tytuł i numer płatności); widzi tylko adres urządzenia i czas wysyłki. Usługa powiadomień przeglądarki jest pośrednikiem transmisji, a nie dalszym podmiotem przetwarzającym: przekazuje zaszyfrowaną wiadomość i przechowuje ją najwyżej do doręczenia, bez dostępu do jej treści. Powiadomienia wyłącza się w panelu albo w ustawieniach przeglądarki.

§ 7. Pomoc i naruszenia ochrony danych

1. Rimset pomaga Administratorowi w realizacji praw osób; jeżeli funkcje panelu nie wystarczają, obsługuje uprawnione polecenia poza panelem. Żądanie otrzymane od Płatnika przekazuje bez zbędnej zwłoki Administratorowi.
2. Rimset pomaga w realizacji obowiązków z art. 32–36 RODO.
3. Rimset zgłasza Administratorowi naruszenie dotyczące jego danych bez zbędnej zwłoki po stwierdzeniu, z opisem charakteru naruszenia, kategorii i przybliżonej liczby osób i rekordów, możliwych skutków, środków i kontaktu; brakujące informacje uzupełnia sukcesywnie. Zgłoszenia do organu i osób należą do Administratora.

§ 8. Informacje i audyty

1. Rimset udostępnia informacje potrzebne do wykazania wykonania obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje. Rutynowy audyt uzgadnia się z co najmniej 14-dniowym wyprzedzeniem; nie wyłącza to kontroli przy incydencie.
2. Audyt nie może naruszać praw innych klientów. Administrator ponosi koszty wybranego przez siebie audytora.

§ 9. Zwrot i usunięcie danych

1. Administrator wybiera zwrot danych z późniejszym usunięciem albo ich usunięcie — w trakcie umowy, przy jej zakończeniu lub w ciągu 30 dni od zakończenia. Brak dyspozycji oznacza polecenie usunięcia po tym okresie.
2. Zwrot obejmuje wszystkie dane Płatników danego Administratora (linki do płatności, płatności z powiadomieniami Operatora, obciążenia zwrotne, wypłaty, dziennik doręczeń) w formacie CSV albo JSON, bez opłaty, w ciągu 30 dni od kompletnego żądania.
3. Przechowywanie w trakcie umowy. Dane Płatników są przechowywane przez czas umowy, bo Administrator korzysta z nich w ewidencji i statystyce wpłat, z wyjątkami: treść wiadomości w kolejce wysyłki — do doręczenia albo porzucenia (potem 30 dni bez treści), dziennik doręczeń — 90 dni, adres IP przy wystawianiu linku — 24 godziny. Na polecenie Administratora Rimset usuwa wskazane dane wcześniej.
4. Po okresie odbioru Rimset usuwa dane z aktywnych systemów; pozostałości w kopiach wygasają w ciągu 14 dni i nie są używane do bieżącej obsługi. Na żądanie Rimset potwierdza wykonanie zwrotu lub usunięcia.

§ 10. Odpowiedzialność i zmiany

1. Każda ze stron odpowiada za wykonanie własnych obowiązków zgodnie z prawem, w tym art. 82 RODO. Do odpowiedzialności stron wobec siebie stosuje się ograniczenia i wyjątki z § 12 ust. 3 i 4 regulaminu. Umowa nie ogranicza praw osób, których dane dotyczą, ani uprawnień organu nadzorczego.
2. Zmiany tej umowy wymagające zgody Administratora wymagają jej wyraźnego udokumentowania. W sprawach ochrony powierzonych danych niniejsza umowa ma pierwszeństwo przed regulaminem.

Załącznik 1. Środki techniczne i organizacyjne

Izolacja i kontrola dostępu

• Dane Obiektów rozdziela PostgreSQL Row Level Security, włączony i wymuszony dla tabel Usługi.
• Role panelu: właściciel (wszystko, w tym dane Operatora płatności i wypłaty — po ponownym podaniu hasła), menedżer, recepcja (wystawianie linków i podgląd wpłat). Użytkowników dodaje Rimset na wniosek Klienta.
• Hasła jako skróty Argon2id; blokada po 5 nieudanych próbach na adres albo 25 na IP w ciągu 15 minut; jednorazowe linki do hasła ważne 60 minut; alerty e-mail/SMS przy blokadzie, logowaniu z nowego adresu IP i zmianie hasła; zapamiętanie urządzenia z wykrywaniem kradzieży tokenu. Dziennik zdarzeń Obiektu (logowania, zmiany ustawień, wystawienie i anulowanie linków, wypłaty) — bez możliwości zmiany i usunięcia przez aplikację.

Dane dostępowe i transmisja

• Dane dostępowe do kont Administratora u Operatorów płatności, dostawców SMS i jego serwera poczty są szyfrowane (AES-256-GCM, klucz obiektu wyprowadzany z klucza głównego przechowywanego poza bazą i poza kopiami); nigdy nie wracają do przeglądarki.
• HTTPS z HSTS; ciasteczka sesji HttpOnly, SameSite=Lax, Secure; tokeny CSRF; Content Security Policy — panel tylko własne skrypty, strony płatności bez skryptów (poza opcjonalnym GA4).
• Powiadomienia Operatorów płatności weryfikowane podpisem kluczami Administratora; kwota płatności zawsze z bazy, nigdy z adresu strony.

Serwer, kopie i organizacja — jak w umowie powierzenia ArenaBooking (Załącznik 1): zapora, fail2ban, aktualizacje, dostęp do bazy lokalny z SCRAM-SHA-256, codzienna kopia bazy z 14-dniową retencją. Od 3 października 2026 r. kopie zaszyfrowane kluczem publicznym (RSA 4096, AES-256-GCM) są przechowywane także na serwerze kopii u innego dostawcy (Załącznik 2), w Polsce: serwer kopii sam je pobiera kontem z prawem wyłącznie do odczytu, główny serwer nie ma do niego dostępu, retencja również 14 dni. Klucz prywatny przechowuje Rimset poza oboma serwerami, chroniony hasłem. Dostęp administracyjny do serwera ma wyłącznie Rimset (logowanie kluczem SSH, bez hasła); osoby upoważnione są zobowiązane do zachowania poufności. Test odtworzenia kopii lokalnej: 1 października 2026 r. Test odczytu kopii zewnętrznej: 3 października 2026 r. (kopię pobraną z serwera kopii odszyfrowano poza serwerami i sprawdzono spis treści zrzutu bazy).

Załącznik 2. Dalsze podmioty przetwarzające