Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Data wejścia w życie: 24 września 2026. Data ostatniej modyfikacji: 24 września 2026.

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (DPA) określa zasady powierzenia przetwarzania danych osobowych zgodnie z art. 28 ust. 3 RODO i zostaje zawarta w momencie instalacji Usługi w Portalu pomiędzy:

1. Użytkownikiem, czyli podmiotem, który zainstalował aplikację „NIP Lookup by RevPack” w swoim portalu HubSpot, zwanym dalej „Administratorem”

a

2. LeadPack RevPack sp. z o.o. z siedzibą w Warszawie, zwanym dalej „Podmiotem przetwarzającym”

(pojęcia pisane wielką literą, które nie zostały odrębnie zdefiniowane w niniejszej DPA, mają znaczenie nadane im w Regulaminie)

1. Przedmiot, charakter i cel przetwarzania

  1. Przedmiotem niniejszej DPA jest powierzenie przez Administratora danych osobowych do przetwarzania Podmiotowi przetwarzającemu na zasadach określonych w art. 28 RODO.
  2. Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu i w zakresie niezbędnym do świadczenia Usługi, tj. w celu automatycznego wyszukania danych podmiotów gospodarczych w publicznym Rejestrze REGON prowadzonym przez GUS na podstawie numeru identyfikacyjnego przekazanego przez Administratora, a następnie umożliwienia Administratorowi transferu tych danych do jego właściwości rekordu Firmy w platformie HubSpot.
  3. Czynności przetwarzania obejmują wyłącznie operacje o charakterze technicznym i tranzytowym wykonywane w infrastrukturze Podmiotu przetwarzającego: odczyt identyfikatora (NIP/REGON/KRS) z rekordu Firmy w Portalu za pośrednictwem protokołu OAuth, przekazanie tego identyfikatora za pośrednictwem API BIR do systemów GUS, przesłanie i wyświetlenie wyniku Administratorowi oraz techniczną transmisję zwrotną danych w celu ich zapisu na rekordzie Firmy w Portalu Administratora.

2. Okres powierzenia

Powierzenie danych następuje na czas oznaczony: na okres obowiązywania umowy o korzystanie z Usługi zawartej na podstawie Regulaminu. Wygaśnięcie powierzenia następuje automatycznie i bezpowrotnie z chwilą odinstalowania aplikacji z Portalu HubSpot przez Administratora, co stanowi jednoczesne i bezwarunkowe rozwiązanie niniejszej DPA.

3. Rodzaj danych osobowych i kategorie osób, których dane dotyczą

  1. Rodzaj danych osobowych: Dane rejestrowe i teleadresowe podmiotów gospodarczych pobierane z Rejestru REGON (nazwa, NIP, REGON, KRS, adres wykonywania działalności), które w przypadku osób fizycznych prowadzących jednoosobową działalność gospodarczą (JDG) stanowią dane osobowe; techniczne identyfikatory konta HubSpot w zakresie niezbędnym do uwierzytelnienia komunikacji (Portal ID, tokeny dostępowe OAuth oraz companyId).
  2. Kategorie osób, których dane dotyczą: Osoby fizyczne prowadzące działalność gospodarczą na terytorium Rzeczypospolitej Polskiej, których Numery identyfikacyjne są wprowadzane przez Administratora do Portalu.
  3. Administrator oświadcza, że nie będzie wprowadzał do Usługi ani przetwarzał przy jej użyciu szczególnych kategorii danych osobowych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). W przypadku naruszenia tego postanowienia przez Administratora, Podmiot przetwarzający nie ponosi żadnej odpowiedzialności z tego tytułu.

4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się do:

  1. Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie strony uznają konfigurację Usługi oraz inicjowanie przez Administratora zapytań z poziomu karty aplikacji w Portalu.
  2. Zapewnienia, by osoby upoważnione do przetwarzania danych w imieniu Podmiotu przetwarzającego zobowiązały się do zachowania poufności.
  3. Stosowania środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku, zgodnie z wymogami art. 32 RODO, określonych w Sekcji 7 Polityki Prywatności. Administrator akceptuje te środki jako wystarczające dla zabezpieczenia powierzonych danych.
  4. Wspierania Administratora, w miarę możliwości i wyłącznie w zakresie posiadanych informacji, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdz. III RODO) oraz obowiązków z art. 32 do 36 RODO. Podmiot przetwarzający zastrzega sobie prawo do naliczenia uzasadnionych kosztów za realizację tego wsparcia, jeżeli wymagać ono będzie dodatkowego nakładu pracy, o czym Administrator zostanie uprzedzony.
  5. Zgłoszenia Administratorowi naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później jednak niż w ciągu 48 godzin od momentu jednoznacznego potwierdzenia przez Podmiot przetwarzający, że taki incydent miał miejsce. Treść i harmonogram powiadomień dotyczących platformy HubSpot będą koordynowane zgodnie z HubSpot Developer Terms.
  6. Po zakończeniu świadczenia Usługi i odinstalowaniu aplikacji przez Administratora, trwałego usunięcia z pamięci operacyjnej i podręcznej swojej infrastruktury tokenów dostępowych oraz plików konfiguracyjnych, chyba że obowiązek dalszego przechowywania określonych danych wynika z przepisów prawa.
  7. Udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiania audytów na zasadach opisanych w pkt 6.

5. Podpowierzenie przetwarzania danych (Sub-processing)

  1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (podprocesorów).
  2. Podprocesorami na dzień zawarcia umowy są: Neon (neon.com) oraz Cloudflare (cloudflare.com), na co Administrator wyraża zgodę.
  3. Podmiot przetwarzający informuje o zmianie listy podprocesorów poprzez aktualizację wykazu pod adresem https://www.revpack.co/nip-lookup/dpa#podprocesorzy lub drogą e-mailową. Administrator ma prawo wnieść pisemny, uzasadniony sprzeciw w terminie 7 dni od dnia publikacji lub otrzymania informacji. Brak sprzeciwu w tym terminie oznacza akceptację nowego podprocesora. W przypadku zgłoszenia sprzeciwu, Podmiot przetwarzający ma prawo rozwiązać umowę ze skutkiem natychmiastowym bez ponoszenia jakiejkolwiek odpowiedzialności odszkodowawczej, a Administrator zobowiązany jest odinstalować Usługę.

6. Prawo do audytu

  1. Administrator ma prawo do przeprowadzenia audytu lub inspekcji wyłącznie w zakresie bezpośrednio związanym z realizacją niniejszej DPA, nie częściej niż raz w roku kalendarzowym.
  2. Wszelkie koszty związane z przeprowadzeniem audytu w tym koszty zaangażowania personelu Podmiotu przetwarzającego, ponosi w całości Administrator.
  3. Warunkiem przeprowadzenia audytu jest powiadomienie Podmiotu przetwarzającego z co najmniej 30-dniowym wyprzedzeniem oraz podpisanie przez audytorów zobowiązania do zachowania poufności (NDA).
  4. Obowiązek umożliwienia audytu uznaje się za w pełni spełniony, jeżeli Podmiot przetwarzający przedstawi Administratorowi aktualne, niezależne raporty z audytów bezpieczeństwa lub oświadczenia o zgodności, bez konieczności udostępniania fizycznego dostępu do infrastruktury serwerowej (z uwagi na bezpieczeństwo danych innych klientów).

7. Lokalizacja przetwarzania i transfery międzynarodowe

  1. Podmiot przetwarzający oświadcza, że operacje przetwarzania danych osobowych są realizowane w centrach danych zlokalizowanych na terytorium Europejskiego Obszaru Gospodarczego (EOG).
  2. Administrator przyjmuje do wiadomości i wyraża zgodę na to, że globalny charakter usług Cloudflare może wiązać się z technicznym transferem danych (routingiem sieciowym) poza EOG, co odbywa się w oparciu o Standardowe Klauzule Umowne (SCC) wdrożone przez tego podprocesora.

8. Tryb wprowadzania zmian

Zmiany niniejszej DPA mogą być dokonywane jednostronnie przez Podmiot przetwarzający w trybie i na zasadach określonych w §10 Regulaminu Usługi (Postanowienia końcowe).

9. Postanowienia końcowe

W sprawach nieuregulowanych niniejszą DPA zastosowanie mają odpowiednie postanowienia Regulaminu Usługi, przepisy RODO oraz przepisy Kodeksu cywilnego.

Wykaz podprocesorów

  • Neon (neon.com)
  • Cloudflare (cloudflare.com)