Umowa powierzenia przetwarzania danych — Soblogic Start

PROJEKT — dane operatora i podprocesorów wymagają uzupełnienia. Nie jest to umowa dostępna do akceptacji.

Usługa: https://start.soblogic.pl

Wersja: 2026-10-25.2

Data: 25 października 2026



Warunki przetwarzania danych klientów i innych osób w organizacji użytkownika Soblogic Start. Umowa dotyczy usługi WEB; polityka prywatności odrębnie opisuje dane konta przetwarzane przez Soblogic we własnych celach.



1. Dane podmiotu przetwarzającego

Arkadiusz Sobczak, działający pod marką Soblogic

Adres: do uzupełnienia przed publikacją umowy

Kontakt: kontakt@soblogic.pl



2. Strony i zawarcie umowy

Administratorem powierzanych danych jest osoba fizyczna albo podmiot wskazany w formularzu zawarcia umowy. Osoba dokonująca akceptacji podaje imię i nazwisko, dane administratora i jego adres oraz potwierdza uprawnienie do działania w jego imieniu. Dane te, identyfikator organizacji i konta oraz adres e-mail tego konta znajdują się w pobieranym potwierdzeniu.

Podmiotem przetwarzającym jest Arkadiusz Sobczak, działający pod marką Soblogic, wskazany w danych stron. Opublikowanie kompletnej wersji tych warunków stanowi ofertę zawarcia umowy. Umowa zostaje zawarta elektronicznie przez wyraźną akceptację opublikowanej wersji przez upoważnionego administratora organizacji. Akceptacja regulaminu, samo utworzenie konta, milczenie ani korzystanie z wersji demonstracyjnej nie są akceptacją tej umowy.

Potwierdzenie zawiera datę w UTC, wersję, skrót SHA-256 edycji oraz treść umowy i wykazu podprocesorów obowiązującą przy akceptacji. Można je pobrać w ustawieniach. Zapis elektroniczny nie jest kwalifikowanym podpisem elektronicznym. Projektu z nieuzupełnionymi danymi nie można zaakceptować.



3. Przedmiot, cel, charakter i czas przetwarzania

Administrator powierza dane w celu prowadzenia swojej ewidencji w Soblogic Start: obsługi sprzedaży, klientów i oferty, wydatków, wpłat, dokumentów, załączników oraz zleconych integracji i eksportów. Zakres wynika z danych wprowadzonych lub importowanych do jego organizacji i uruchomionych przez niego funkcji.

Operacje obejmują przyjmowanie, utrwalanie, porządkowanie, przechowywanie, odczyt, aktualizowanie, wyszukiwanie, wyliczenia, generowanie i przekazywanie wskazanych dokumentów, wykonywanie kopii, odtwarzanie oraz usuwanie. Przetwarzanie jest głównie zautomatyzowane; upoważniony człowiek może uzyskać dostęp w zakresie niezbędnym do wsparcia, bezpieczeństwa lub wykonania polecenia.

Umowa obowiązuje przez czas świadczenia usługi dla danej organizacji oraz przez okres niezbędny do zwrotu i usunięcia powierzonych danych, z uwzględnieniem opisanej retencji kopii. Nie uprawnia do wykorzystywania powierzonych dokumentów do własnego marketingu Soblogic ani trenowania własnych modeli AI.



4. Osoby i kategorie danych

Osoby, których dane mogą dotyczyć, to klienci, potencjalni klienci, kontrahenci, dostawcy, ich osoby kontaktowe i przedstawiciele, odbiorcy dokumentów oraz współpracownicy administratora wymienieni w ewidencji.

Dane obejmują imiona i nazwiska, nazwy działalności, adresy, e-mail i telefon, identyfikatory podatkowe i dane reprezentacji, informacje o zamówieniach, usługach, sprzedaży, kosztach, kwotach i płatnościach, rachunkach, korespondencji, podstawach kontaktu marketingowego, dokumentach i ich załącznikach oraz historii operacji. Nie wszystkie kategorie występują u każdego administratora.

Usługa nie jest przeznaczona do zbierania danych szczególnych kategorii z art. 9 RODO ani danych o wyrokach i czynach zabronionych z art. 10 RODO. Administrator ogranicza dane do potrzeb prowadzonej ewidencji i usuwa zbędne informacje z opisów i załączników. Zauważenie danych wykraczających poza uzgodniony zakres wymaga uzgodnienia ich usunięcia lub zgodnego z prawem sposobu obsługi.



5. Polecenia i obowiązki administratora

Podmiot przetwarzający działa wyłącznie na udokumentowane polecenie administratora. Poleceniami są niniejsza umowa, operacje wykonane przez uprawnionych użytkowników w aplikacji i dodatkowe ustalenia przekazane na kontakt@soblogic.pl z możliwego do zweryfikowania adresu. Polecenie przekazania danych poza EOG podlega także warunkom dotyczącym transferów.

Jeżeli przetwarzania wymaga prawo Unii lub państwa członkowskiego, podmiot przetwarzający informuje o tym administratora przed wykonaniem obowiązku, o ile prawo nie zabrania takiej informacji. O poleceniu, które w jego ocenie narusza przepisy ochrony danych, informuje niezwłocznie i uzgadnia zgodny z prawem sposób postępowania.

Administrator ustala cele i podstawy prawne przetwarzania, spełnia obowiązki informacyjne wobec osób, dba o prawidłowość danych, nadaje właściwe dostępy i weryfikuje zakres poleceń. Może zmieniać dane, eksportować je, ograniczać dostępy i polecić usunięcie. Nie przenosi to na niego odpowiedzialności za obowiązki podmiotu przetwarzającego wynikające z prawa i tej umowy.



6. Poufność i dostęp

Dostęp do powierzonych danych otrzymują tylko osoby upoważnione w zakresie wymaganym do wykonania powierzonych czynności. Podmiot przetwarzający zapewnia zobowiązanie tych osób do poufności albo odpowiedni ustawowy obowiązek poufności, również po zakończeniu ich dostępu.

Uprawnienia użytkowników aplikacji ograniczają dostęp do ich organizacji i roli. Administrator nie przekazuje haseł ani kodów 2FA w zgłoszeniach wsparcia. Dostęp administracyjny operatora służy utrzymaniu i wykonaniu uzgodnionych zadań; nie oznacza dowolności korzystania z dokumentów.



7. Środki bezpieczeństwa i ich utrzymanie

Podmiot przetwarzający stosuje środki odpowiednie do ryzyka zgodnie z art. 32 RODO, uwzględniając charakter i zakres danych oraz aktualny stan wiedzy technicznej. Utrzymuje ich skuteczność, ocenia zagrożenia i usuwa ujawnione słabości. Poniższy opis nie stanowi zapewnienia, że system jest wolny od podatności.

• Szyfrowanie połączeń WEB przez HTTPS; kontrola sesji i uprawnień organizacji, ochrona operacji przed CSRF oraz limity prób dostępu.

• Hasła przechowywane jako skróty scrypt, zalecane opcjonalne 2FA, unieważnianie sesji przy zmianie zabezpieczeń i jednorazowe mechanizmy odzyskiwania.

• Szyfrowanie sekretów integracji z powiązaniem z organizacją i przeznaczeniem; ograniczone prawa plików kluczy. Nie jest to szyfrowanie całej bazy niedostępne operatorowi.

• Ograniczenia formatów, rozmiarów i przetwarzania załączników; odrębny proces i ograniczony czas pracy OCR; aktualizowanie zależności.

• Oddzielna sieć bazy bez publicznego portu, firewall i ograniczenia procesu aplikacji; kontrola konfiguracji podczas wdrożeń.

• Szyfrowane kopie, określona retencja, podpisany rejestr usunięć i weryfikacja odtworzenia. Zewnętrzne kopie wymagają również ochrony i terminowego usuwania.

• Rejestracja istotnych operacji bezpieczeństwa i administracyjnych oraz okresowa ocena zabezpieczeń. Brak deklaracji certyfikacji ISO, pełnej zgodności ASVS lub gwarantowanego SLA.



8. Dalsze powierzenie i zmiany wykazu

Administrator udziela ogólnego pisemnego upoważnienia do korzystania z podprocesorów wymienionych w kompletnym wykazie stanowiącym część zaakceptowanej edycji. Podmiot przetwarzający nakłada na każdego podprocesora obowiązki ochrony powierzonych danych co najmniej odpowiadające tej umowie i pozostaje wobec administratora odpowiedzialny za ich wykonanie zgodnie z art. 28 ust. 4 RODO.

O planowanym dodaniu lub zastąpieniu podprocesora Soblogic aktywnie informuje administratora na adres kontaktowy konta co najmniej 14 dni przed rozpoczęciem takiego podpowierzenia. Informacja wskazuje podmiot, zakres, miejsce przetwarzania, datę zmiany i sposób zgłoszenia sprzeciwu. Samo podmienienie wykazu na stronie nie wystarcza.

Administrator może zgłosić sprzeciw z przyczyn dotyczących ochrony danych przed rozpoczęciem zmiany. Strony uzgadniają rozwiązanie, np. utrzymanie dotychczasowego sposobu, wyłączenie określonej funkcji lub zakończenie usługi ze zwrotem i usunięciem danych. Brak rozwiązania nie upoważnia do przekazania danych objętych sprzeciwem nowemu podprocesorowi. Pilna zmiana wymaga takiego uzgodnienia, które zapewnia rzeczywistą możliwość sprzeciwu przed podpowierzeniem.

Wykaz podprocesorów: /podprocesorzy



9. Integracje wskazane przez administratora i transfery

Administrator może polecić wysłanie wybranego dokumentu przez własny SMTP, do KSeF lub systemu JPK albo uruchomienie opcjonalnego chmurowego AI z własną konfiguracją. Zakres przekazania wynika z zatwierdzonej operacji. OCR w instalacji nie wysyła sam dokumentu do chmurowego AI.

Dostawcy usług wybranych i zakontraktowanych bezpośrednio przez administratora wymagają oceny ich roli i warunków przez administratora. Ich wskazanie w interfejsie nie zawiera za niego umowy ani nie zastępuje oceny transferu. Soblogic odpowiada za zgodne z poleceniem wykonanie przekazania w swoim zakresie. Wykaz podprocesorów Soblogic nie obejmuje automatycznie każdego dostawcy wybranego przez użytkownika.

Transfer poza EOG wymaga udokumentowanego polecenia oraz spełnienia wymagań rozdziału V RODO, w tym właściwego mechanizmu transferowego, gdy jest potrzebny. Zgoda na uruchomienie funkcji nie zastępuje tych wymagań. Zmiana własnego dostawcy przez Soblogic podlega procedurze podpowierzenia.



10. Prawa osób, oceny ryzyka i współpraca

Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga administratorowi przez odpowiednie środki techniczne i organizacyjne w realizacji praw osób z rozdziału III RODO. Może to obejmować wyszukanie, eksport, sprostowanie, ograniczenie i usunięcie wskazanych danych.

Wniosek osoby dotyczący powierzonych danych przekazuje administratorowi bez zbędnej zwłoki i nie rozstrzyga go samodzielnie bez upoważnienia, chyba że wynika to z prawa. Pomaga również w obowiązkach z art. 32–36 RODO: ocenie bezpieczeństwa, ocenie skutków, konsultacji uprzedniej i obsłudze naruszeń, biorąc pod uwagę posiadane informacje. Żądania kieruje się na kontakt@soblogic.pl.



11. Naruszenia ochrony danych

Po stwierdzeniu naruszenia dotyczącego powierzonych danych podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki. Przekazuje dostępne informacje o charakterze i czasie zdarzenia, kategoriach i przybliżonej liczbie osób oraz rekordów, możliwych skutkach, podjętych działaniach i punkcie kontaktowym. Brak wszystkich informacji nie opóźnia pierwszego zgłoszenia; dalsze informacje są uzupełniane etapami.

Podmiot przetwarzający zabezpiecza dostępne dowody, ogranicza skutki i współpracuje z administratorem. Administrator ocenia obowiązek zawiadomienia organu i osób; współpraca nie uchyla samodzielnych obowiązków podmiotu przetwarzającego wynikających z prawa.



12. Informacje, audyty i inspekcje

Podmiot przetwarzający udostępnia informacje potrzebne do wykazania wykonania obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, prowadzone przez administratora albo upoważnionego przez niego audytora, i współpracuje przy nich.

Strony uzgadniają sposób i zakres kontroli proporcjonalny do celu, chroniąc dane innych organizacji i bezpieczeństwo infrastruktury. Uzgodnienia organizacyjne nie mogą pozbawiać administratora prawa kontroli ani uniemożliwiać pilnej kontroli uzasadnionej incydentem. Dokumentacja i kontrola zdalna mogą poprzedzać inspekcję, jeżeli pozwalają osiągnąć jej cel.



13. Zwrot, zakończenie i usunięcie

Po zakończeniu świadczenia usługi administrator wybiera zwrot albo usunięcie powierzonych danych. Może wcześniej pobrać ewidencję i dokumenty z aplikacji. W razie trudności Soblogic pomaga uzgodnić dostępny format i bezpieczny sposób przekazania. Następnie usuwa pozostałe dane, chyba że prawo Unii lub państwa członkowskiego wymaga ich przechowania; w takim przypadku wskazuje zakres i podstawę.

Usunięcie ostatniego konta organizacji usuwa jej aktywną ewidencję, dokumenty, załączniki, sekrety oraz zapis tej umowy. Usunięcie pojedynczego konta ze współdzielonej organizacji nie zamyka umowy organizacji; jej dokumentacja, w tym potwierdzenie umocowanego zawarcia umowy, pozostaje do zakończenia obsługi organizacji.

Dane mogą pozostawać w szyfrowanych kopiach do wygaśnięcia ich retencji, maksymalnie 30 dni od utworzenia kopii. Kopie nie służą bieżącej pracy. Odtworzenie uwzględnia aktualny rejestr usunięć przed udostępnieniem danych. Rejestr losowych identyfikatorów i zakresu usunięcia jest przechowywany 31 dni. Administrator odpowiada za własne wyeksportowane kopie; nie pozostają one pod kontrolą Soblogic.



14. Relacja do regulaminu i zmiany

W sprawach powierzenia pierwszeństwo mają niniejsze warunki. Pozostałe zasady bezpłatnej usługi określa regulamin. Umowa nie ogranicza odpowiedzialności wynikającej z bezwzględnie obowiązujących przepisów, praw osób, uprawnień organu nadzorczego ani obowiązków administratora.

Nowa wersja dokumentów nie nadpisuje przyjętej edycji ani daty akceptacji. Istotne zmiany umowy wymagają udostępnienia treści możliwej do zachowania i odrębnej akceptacji; zmiany podprocesorów podlegają także opisanej procedurze wcześniejszego zawiadomienia i sprzeciwu. Ograniczenie zapisu do czasu akceptacji nie odbiera dostępu do eksportu i zamknięcia konta.

RODO — art. 28 i 32–36: https://eur-lex.europa.eu/eli/reg/2016/679/oj/pol

UODO — podpowierzenie i aktywne informowanie: https://uodo.gov.pl/pl/676/4259