Dokument

Umowa powierzenia przetwarzania danych

Wersja 1.3. Obowiązuje od 17 października 2026.

§1. Strony i zawarcie

  1. Administrator: Klient SkalujOnline, sprzedawca Allegro, który zawarł umowę o świadczenie Usługi. Administrator decyduje o celach i sposobach przetwarzania danych swoich kupujących.
  2. Podmiot przetwarzający: Markazan Sp. z o.o. z siedzibą w Walawie (Walawa 229, 37-716 Orły), NIP 7952562654, KRS 0000886962, operator SkalujOnline. Kontakt: skalujonline.pl@gmail.com.
  3. Umowa jest częścią umowy zawieranej na podstawie Regulaminu (Regulamin §3 ust. 5) i zostaje zawarta w formie elektronicznej przy zakładaniu konta (art. 28 ust. 9 RODO).

§2. Przedmiot, charakter, cel i czas przetwarzania

  1. Przedmiotem jest przetwarzanie danych osobowych kupujących Allegro w zakresie potrzebnym do świadczenia Usługi. Charakter przetwarzania: pobieranie danych z Allegro przez interfejs Allegro, zapisywanie, przeglądanie w panelu, przygotowywanie i wysyłanie wiadomości, tworzenie zestawień, usuwanie.
  2. Cele, zależnie od modułów włączonych przez Administratora:
    • Automatyczne odpowiedzi i Silnik AI: odpowiadanie na wiadomości kupujących według konfiguracji Administratora;
    • Wiadomości po zakupie: wysyłanie wiadomości napisanych przez Administratora po zdarzeniach zamówienia („Kupione, jeszcze nieopłacone”, „Zamówienie do realizacji”, „Paczka wysłana”, „Zamówienie anulowane”);
    • Zamówienia, Raporty sprzedaży i Oferty: przegląd zamówień i ofert, zestawienia sprzedaży;
    • Mapa klientów: wyświetlenie miejscowości kupujących na mapie;
    • utrzymanie i bezpieczeństwo Usługi (kopie zapasowe, monitoring, diagnostyka).
  3. Przetwarzanie trwa przez czas świadczenia Usługi, w okresach przechowywania opisanych w punkcie 7 Polityki prywatności, i kończy się zgodnie z §5 ust. 1 lit. g.

§3. Rodzaj danych i kategorie osób

  1. Kategorie osób: kupujący Allegro, którzy piszą do Administratora albo kupują u niego.
  2. Rodzaj danych:
    • login kupującego na Allegro;
    • treść wiadomości otrzymanych od kupującego i wysłanych do niego, z czasem;
    • dane zamówień: numer i status zamówienia, status realizacji i wysyłki, numer oferty, tytuł kupionego produktu, liczba sztuk i pozycji, wartość i waluta, nazwa metody dostawy (bez adresu odbiorcy), data zakupu i czas zmiany statusu;
    • dane zwrotów: numer i stan zwrotu, login kupującego, powód wybrany przez kupującego, numer oferty, liczba sztuk i kwota, liczba paczek zwrotnych i przewoźnik (bez numeru przesyłki), data zgłoszenia i decyzji; komentarz kupującego do powodu zwrotu tylko do zamknięcia zwrotu, najdłużej 30 dni od zgłoszenia;
    • dane reklamacji i dyskusji z Allegro: numer, rodzaj i stan sprawy, temat nadany przez Allegro, login kupującego, oczekiwanie kupującego, termin decyzji i liczba wiadomości (bez ich treści), oraz wysłana pierwsza wiadomość potwierdzająca przyjęcie sprawy;
    • dane wniosków o zwrot prowizji (rabat transakcyjny): numer zamówienia i pozycji, numer oferty, liczba sztuk, stan wniosku i kwota prowizji, bez danych kupującego;
    • w module Silnik AI: status przesyłki, numer przesyłki i nazwa przewoźnika, pobierane na bieżąco z Allegro i przekazywane do modelu AI razem z treścią rozmowy, oraz treść przygotowanej odpowiedzi;
    • w module Mapa klientów: miasto, kod pocztowy, kraj i inicjały kupującego (tworzone z imienia i nazwiska), pobierane na bieżąco z Allegro i przetwarzane bez zapisu w bazie;
    • treść ofert Administratora, jeżeli zawiera dane osobowe.
  3. Podmiot przetwarzający nie zapisuje adresu dostawy, numeru telefonu, adresu e-mail ani imienia i nazwiska kupującego ani danych płatności.
  4. Przetwarzanie nie ma na celu danych szczególnych kategorii (art. 9 RODO). Tytuł produktu połączony z loginem może jednak pośrednio je ujawniać; Administrator, który sprzedaje takie produkty, uwzględnia to w swojej ocenie, a Podmiot przetwarzający stosuje do tych danych okresy przechowywania z ust. 5.
  5. Okresy przechowywania: wiadomości 3, 4, 5 albo 7 dni od ostatniej aktywności w wątku (wybór Administratora, domyślnie 4); zamówienia 365 dni od zakupu, z możliwością skrócenia do 180 albo 90 dni, potem wyłącznie zestawienia zbiorcze bez danych kupujących; zwroty tak samo jak zamówienia, liczone od zgłoszenia zwrotu; reklamacje, dyskusje i wnioski o zwrot prowizji tak samo jak zamówienia; wysłane wiadomości po zakupie 30 dni; dziennik odpowiedzi AI: treść 14 dni, wpis bez treści 90 dni.

§4. Obowiązki Administratora

  1. Administrator odpowiada za to, że ma podstawę prawną do przetwarzania danych kupujących, oraz za treść szablonów, reguł i bazy wiedzy i ich zgodność z prawem i zasadami Allegro.
  2. Administrator sprawdza konfigurację w podglądzie, zanim uruchomi wysyłkę na żywo.

§5. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający:
    1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora, co dotyczy też przekazywania danych do państwa trzeciego. Poleceniami są: Regulamin, ta umowa oraz ustawienia, które Administrator wybiera w panelu (np. włączenie modułu, wybór modułu Silnik AI, uruchomienie wysyłki). Jeżeli obowiązek przetwarzania nakłada na Podmiot przetwarzający prawo Unii lub prawo polskie, informuje o nim Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji z uwagi na ważny interes publiczny;
    2. zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy albo podlegały ustawowemu obowiązkowi tajemnicy;
    3. stosuje środki wymagane na mocy art. 32 RODO (§6);
    4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego (§7);
    5. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Administratorowi odpowiednimi środkami technicznymi i organizacyjnymi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą; żądanie skierowane wprost do Podmiotu przetwarzającego przekazuje Administratorowi;
    6. uwzględniając charakter przetwarzania i dostępne mu informacje, pomaga Administratorowi wywiązać się z obowiązków z art. 32-36 RODO;
    7. po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usuwa dane albo je zwraca (plik z danymi konta) oraz usuwa ich istniejące kopie, chyba że prawo Unii lub prawo polskie nakazują ich przechowywanie; kopie zapasowe są nadpisywane w ramach rotacji, w ciągu 14 dni;
    8. udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.
  2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych.
  3. Po stwierdzeniu naruszenia ochrony danych osobowych Podmiot przetwarzający bez zbędnej zwłoki zgłasza je Administratorowi (art. 33 ust. 2 RODO), z informacjami, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim je posiada.

§6. Środki bezpieczeństwa

  • Połączenie szyfrowane (HTTPS) w całej Usłudze.
  • Tokeny dostępu do Allegro zaszyfrowane (AES-256-GCM); hasła użytkowników zapisane wyłącznie jako skrót.
  • Ochrona logowania limitem prób; logowanie dwuskładnikowe dostępne dla kont zespołu Operatora.
  • Dostęp do danych ograniczony do konta Administratora, do którego należą.
  • Kopie zapasowe bazy, monitoring działania i dziennik działań.
  • Automatyczne usuwanie danych po okresach z §3 ust. 5.

§7. Dalsze powierzenie

  1. Administrator udziela ogólnej zgody na korzystanie z usług następujących podmiotów przetwarzających:
    • Hostinger International Ltd.: hosting serwera Usługi, centrum danych w Unii Europejskiej;
    • Anthropic PBC (USA): model językowy modułu Silnik AI, wyłącznie gdy Administrator wybierze ten moduł albo sam poprosi o ogólną odpowiedź na grupę pytań („Grupy pytań”: do trzech przykładowych pytań i do pięciu odpowiedzi sklepu z tej grupy, po uogólnieniu, bez loginów i danych kontaktowych); przekazanie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework), jeżeli dostawca jest w nim certyfikowany, albo standardowych klauzul umownych (decyzja Komisji 2021/914).
  2. O zamiarze dodania lub zastąpienia podmiotu Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. W tym czasie Administrator może wyrazić sprzeciw; jeżeli strony go nie rozstrzygną, Administrator może wypowiedzieć umowę bez dodatkowych kosztów albo przestać korzystać z modułu, którego zmiana dotyczy.
  3. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający te same obowiązki ochrony danych co w tej umowie i odpowiada wobec Administratora za ich wykonanie.
  4. Allegro nie jest podmiotem dalej przetwarzającym: jest platformą, na której Administrator sprzedaje. Dane pobierane z Allegro i wysyłane do Allegro przepływają na podstawie zgody Administratora udzielonej w logowaniu Allegro (OAuth).

§8. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się RODO i prawo polskie.
  2. Zmiany umowy wprowadza się w trybie zmiany Regulaminu (Regulamin §15 ust. 3).
  3. Aktualna wersja umowy jest dostępna pod adresem skalujonline.pl/legal/dpa.