Warunki współpracy

WARUNKI WSPÓŁPRACY (UMOWA O WSPÓŁPRACY)

Wersja 1.0 z dnia 06.10.2026. Umowa zawierana jest w sposób opisany w § 13 pomiędzy:

RS SUN SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Henryka Sienkiewicza 85/87 lok. 8, 90-057 Łódź, KRS 0001134322 (Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy Krajowego Rejestru Sądowego), kapitał zakładowy 5 000,00 zł, NIP 7252349438, REGON 540167779, reprezentowaną przez Artura Żurka, członka zarządu uprawnionego do samodzielnej reprezentacji, zwaną dalej „Spółką”,

a

Partnerem: przedsiębiorcą, którego firma, adres i NIP zostały podane w formularzu akceptacji, reprezentowanym przez osobę, która zaakceptowała umowę, zwanym dalej „Partnerem”.

§ 1. Definicje

1. Program: program priorytetowy „Przydomowe magazyny energii, część 2” finansowany z Funduszu Modernizacyjnego, prowadzony przez Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej („Fundusz”).
2. Nabór: nabór wniosków w Programie, trwający od 20.10.2026 godz. 9:00 do 01.10.2027 godz. 20:00 albo do wcześniejszego wyczerpania budżetu, zgodnie z regulaminem naboru.
3. Klient: osoba fizyczna, klient Partnera, wskazana przez Partnera do objęcia Usługą.
4. Wniosek: wniosek o dofinansowanie Klienta w Programie składany przez Generator Wniosków o Dofinansowanie (GWD).
5. Komplet: wszystkie dane i dokumenty wymagane przez Program dla danego Klienta, w tym podpisane pełnomocnictwo, oświadczenie DNSH i protokół odbioru, zweryfikowane przez Spółkę.
6. Raport: zestawienie dla Partnera z wynikiem oceny każdego Klienta (spełnia warunki / spełni po zmianach / brak danych / nie spełnia), listą brakujących danych i dokumentów oraz ewentualnych zmian w instalacji.

§ 2. Przedmiot umowy

1. Spółka świadczy na rzecz Partnera, w odniesieniu do wskazanych Klientów, następujące usługi („Usługi”):
   a) Analiza: ocena, czy Klient spełnia warunki Programu, na podstawie danych i dokumentów od Partnera, zakończona Raportem;
   b) Zgłoszenie: przygotowanie dokumentów do podpisu Klienta (pełnomocnictwo, oświadczenie DNSH, protokół odbioru), skompletowanie Wniosku, złożenie Wniosku w GWD jako pełnomocnik Klienta i prowadzenie sprawy do decyzji Funduszu, w tym odpowiedzi na wezwania do uzupełnienia;
   c) Pakiet: Analiza i Zgłoszenie łącznie.
2. Poza zakresem Usług są w szczególności: odwołanie od decyzji Funduszu, ponowne złożenie Wniosku po odmowie lub pozostawieniu bez rozpatrzenia, montaż, domontaż i serwis urządzeń, korekty faktur, uzyskanie zaświadczeń zakładu energetycznego, koszty notarialne. Mogą one być przedmiotem odrębnego zlecenia.
3. Zlecenie Usługi dla konkretnych Klientów następuje przez przekazanie danych zgodnie z § 6 i potwierdzenie Spółki e-mailem z listą numerów spraw.

§ 3. Brak gwarancji dofinansowania

1. Decyzję o przyznaniu dofinansowania i jego wysokości podejmuje wyłącznie Fundusz. Spółka nie gwarantuje przyznania dofinansowania ani jego kwoty.
2. Nabór trwa do wyczerpania budżetu Programu. Spółka nie gwarantuje, że środki wystarczą dla Wniosków złożonych w danym dniu.
3. Raport jest oceną na podstawie danych i dokumentów przekazanych przez Partnera oraz warunków Programu obowiązujących w dniu jego sporządzenia. Zmiana warunków Programu lub danych może zmienić wynik.

§ 4. Obowiązki Spółki

1. Spółka wykonuje Usługi z należytą starannością wymaganą od podmiotu profesjonalnie przygotowującego wnioski.
2. Spółka przekazuje Raport w ciągu [5] dni roboczych od otrzymania danych Klientów, a przy partii powyżej 50 Klientów w terminie uzgodnionym e-mailem.
3. Spółka składa Wniosek nie później niż w ciągu [5] dni roboczych od skompletowania Kompletu, a w pierwszym tygodniu Naboru w kolejności skompletowania Kompletów wszystkich klientów Spółki.
4. Gwarancja złożenia: Spółka gwarantuje złożenie Wniosku przed końcem Naboru, jeśli Komplet zostanie skompletowany co najmniej 7 dni przed ogłoszonym dniem zakończenia Naboru, a Nabór nie zostanie wcześniej zamknięty z powodu wyczerpania budżetu.
5. Spółka odpowiada na wezwania Funduszu do uzupełnienia w terminie wynikającym z wezwania, pod warunkiem przekazania przez Partnera lub Klienta potrzebnych dokumentów najpóźniej 3 dni robocze przed upływem tego terminu. Poprawa Wniosku po wezwaniu jest w cenie Zgłoszenia.
6. Spółka przekazuje Partnerowi raport statusu (złożone Wnioski z numerami, braki, wezwania, decyzje) [co tydzień].
7. Spółka nie kontaktuje się z Klientami w sprawach innych niż Usługa (zob. § 7).

§ 5. Wynagrodzenie i rozliczenia

1. Ceny netto (do kwot dolicza się VAT według obowiązującej stawki):

2. Przy co najmniej 50 Wnioskach Strony mogą uzgodnić inne ceny w aneksie.
3. Wynagrodzenie jest płatne z góry. Po każdym zamówieniu Usług dla wskazanych Klientów Spółka wysyła Partnerowi e-mailem fakturę proforma z zestawieniem numerów spraw. Termin płatności: 7 dni od jej wystawienia, przelewem na rachunek Spółki. Po zaksięgowaniu wpłaty Spółka wystawia fakturę przez Krajowy System e-Faktur (KSeF) i rozpoczyna Usługi.
4. Spółka rozpoczyna Usługę po zaksięgowaniu wpłaty na rachunku Spółki. Terminy z § 4 ust. 2 i 3 biegną nie wcześniej niż od dnia zaksięgowania.
5. Jeśli budżet Programu wyczerpie się albo Nabór zostanie zamknięty, zanim Spółka złoży Wniosek, Spółka zwraca wynagrodzenie za Zgłoszenie, a przy Pakiecie zatrzymuje wyłącznie 100 zł netto za wykonaną Analizę. Zwrot następuje w ciągu 14 dni, z fakturą korygującą. Nie dotyczy to sytuacji, gdy Wniosek nie został złożony z powodu braku Kompletu z przyczyn leżących po stronie Partnera lub Klienta.
6. Odmowa dofinansowania przez Fundusz nie zmienia wynagrodzenia za Usługi wykonane.

§ 6. Obowiązki Partnera

1. Umowę powierzenia (załącznik nr 1) Partner akceptuje razem z Warunkami. Bez akceptacji Spółka nie przyjmuje danych.
2. Partner przekazuje dane i dokumenty wyłącznie kanałami z umowy powierzenia (folder w chmurze, formularz), nie e-mailem. Spółka nie loguje się do systemów Partnera.
3. Partner zapewnia, że faktury wystawione Klientom jednoznacznie wskazują urządzenia, w tym magazyn energii i system zarządzania energią (EMS), a w razie potrzeby wystawia faktury korygujące.
4. Partner podpisuje protokoły odbioru jako wykonawca i organizuje podpisy Klientów pod dokumentami przygotowanymi przez Spółkę, chyba że Strony ustalą, że Spółka kontaktuje się z Klientem bezpośrednio w sprawie podpisu.
5. Partner przekazuje Spółce niezwłocznie, nie później niż w 2 dni robocze, korespondencję z Funduszu, którą otrzymał od Klienta.
6. Partner nie składa ani nie zleca innym podmiotom złożenia Wniosku dla Klienta objętego Zgłoszeniem.
7. Partner odpowiada za prawdziwość danych i dokumentów, które przekazuje, w zakresie, w jakim pochodzą od niego.

§ 7. Ochrona relacji z Klientami

1. W czasie obowiązywania umowy i przez [24] miesiące po jej zakończeniu Spółka nie oferuje Klientom Partnera, z wykorzystaniem danych uzyskanych od Partnera, montażu, domontażu, serwisu ani innych produktów i usług, w szczególności z zakresu fotowoltaiki i magazynów energii.
2. Kontakt Spółki z Klientem dotyczy wyłącznie Usługi: danych i dokumentów, podpisów, statusu Wniosku i korespondencji z Funduszem.
3. Jeśli Klient sam zwróci się do Spółki o inną usługę, Spółka odsyła go do Partnera i informuje o tym Partnera.
4. Domontaż wynikający z Raportu wykonuje Partner albo wskazany przez niego podmiot. Spółka wykonuje go tylko na pisemne zlecenie Partnera.

§ 8. Ochrona danych osobowych

1. Do chwili udzielenia pełnomocnictwa przez Klienta Spółka przetwarza jego dane jako podmiot przetwarzający Partnera na podstawie umowy powierzenia.
2. Od chwili udzielenia pełnomocnictwa Spółka przetwarza dane Klienta potrzebne do złożenia Wniosku i prowadzenia sprawy jako odrębny administrator i samodzielnie informuje o tym Klienta.

§ 9. Odpowiedzialność

1. Spółka odpowiada za szkody wynikłe z niewykonania lub nienależytego wykonania Usług z jej winy, w szczególności za niezłożenie Wniosku mimo Kompletu w terminie z § 4 ust. 4 albo za uchybienie terminowi odpowiedzi na wezwanie z § 4 ust. 5.
2. Spółka nie odpowiada za:
   a) odmowę dofinansowania z przyczyn dotyczących instalacji, urządzeń, faktur, dokumentów lub danych przekazanych przez Partnera lub Klienta;
   b) zmianę warunków Programu, wyczerpanie budżetu, awarie GWD i inne okoliczności po stronie Funduszu;
   c) niedotrzymanie terminów z powodu opóźnień Partnera lub Klienta.
3. Odpowiedzialność Spółki wobec Partnera z tytułu Usług dotyczących jednego Klienta jest ograniczona do kwoty wynagrodzenia netto należnego za tego Klienta, a łącznie do wynagrodzenia netto zapłaconego w ostatnich 12 miesiącach. Spółka nie odpowiada za utracone korzyści. Ograniczenia nie dotyczą szkody wyrządzonej umyślnie.

§ 10. Poufność

1. Strony zachowują w tajemnicy informacje handlowe drugiej Strony, w tym ceny, warunki umowy i listy Klientów, przez czas umowy i 3 lata po jej zakończeniu.
2. Spółka może wymieniać Partnera jako klienta w materiałach marketingowych tylko za jego zgodą wyrażoną e-mailem.

§ 11. Czas trwania i rozwiązanie

1. Umowa zostaje zawarta na czas nieokreślony.
2. Każda Strona może ją wypowiedzieć z zachowaniem miesięcznego okresu wypowiedzenia ze skutkiem na koniec miesiąca kalendarzowego.
3. Każda Strona może wypowiedzieć umowę ze skutkiem natychmiastowym przy rażącym naruszeniu przez drugą Stronę, w szczególności umowy powierzenia, § 7 lub zaległości w płatnościach powyżej 30 dni.
4. Usługi zlecone przed rozwiązaniem umowy Spółka dokończy, chyba że Partner postanowi inaczej. Wtedy rozlicza się Usługi wykonane.

§ 12. Postanowienia końcowe

1. Korespondencja w sprawach umowy odbywa się e-mailem na adresy: Spółka: artur@arturzurek.pl, Partner: adres podany w formularzu akceptacji (Partner może go zmienić e-mailem).
2. Zmiany umowy wymagają formy dokumentowej pod rygorem nieważności, z zastrzeżeniem § 13 ust. 4.
3. W sprawach nieuregulowanych stosuje się przepisy Kodeksu cywilnego.
4. Spory rozstrzyga sąd właściwy dla siedziby Spółki.
5. Załączniki: 1. Umowa powierzenia przetwarzania danych osobowych.

§ 13. Zawarcie umowy i zmiana Warunków

1. Umowa zostaje zawarta z chwilą akceptacji Warunków i umowy powierzenia przez Partnera w formularzu akceptacji udostępnionym przez Spółkę (zaznaczenie wymaganych pól i kliknięcie „Akceptuję i zawieram umowę”). Przed akceptacją Spółka udostępnia Warunki i umowę powierzenia w formie, która pozwala je pobrać, zapisać i wydrukować.
2. Osoba akceptująca oświadcza, że jest umocowana do reprezentowania Partnera. Spółka może poprosić o dokument potwierdzający umocowanie przed przyjęciem danych.
3. Spółka niezwłocznie potwierdza zawarcie umowy e-mailem na adres Partnera, załączając treść Warunków i umowy powierzenia (PDF) z numerem wersji, datą i godziną akceptacji. Spółka przechowuje zapis akceptacji: dane z formularza, datę i godzinę, adres e-mail, wersję Warunków.
4. Spółka może zmienić Warunki z ważnych przyczyn (zmiana przepisów, warunków Programu, podprocesorów, zakresu Usług), informując Partnera e-mailem co najmniej 14 dni przed wejściem zmian w życie. Partner może do tego dnia wypowiedzieć umowę ze skutkiem natychmiastowym. Zmiany nie dotyczą Usług zleconych przed ich wejściem w życie ani cen, chyba że Partner je zaakceptuje.
5. Indywidualne ustalenia, w szczególności ceny przy co najmniej 50 Wnioskach, wymagają aneksu w formie dokumentowej (e-mail potwierdzony przez obie Strony).

Załącznik 1: Umowa powierzenia przetwarzania danych

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Wersja 1.0 z dnia 06.10.2026. Umowa zawierana jest razem z Warunkami współpracy w sposób opisany w § 16 ust. 2 pomiędzy:

przedsiębiorcą, którego firma, adres i NIP zostały podane w formularzu akceptacji, reprezentowanym przez osobę, która zaakceptowała umowę, zwanym dalej „Administratorem” albo „Partnerem”,

a

RS SUN SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Łodzi, ul. Henryka Sienkiewicza 85/87 lok. 8, 90-057 Łódź, wpisaną do rejestru przedsiębiorców KRS prowadzonego przez Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem 0001134322, kapitał zakładowy 5 000,00 zł, NIP 7252349438, REGON 540167779, reprezentowaną przez Artura Żurka, członka zarządu uprawnionego do samodzielnej reprezentacji, zwaną dalej „Procesorem” albo „Spółką”,

łącznie „Stronami”.

§ 1. Definicje

1. RODO: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
2. Umowa główna: Umowa o współpracy zawarta między Stronami, do której ta umowa jest załącznikiem nr 1.
3. Klient: osoba fizyczna, klient Partnera, której dane Partner przekazuje Spółce w celu oceny warunków lub przygotowania wniosku w programie „Przydomowe magazyny energii, część 2” (dalej „Program”), finansowanym przez NFOŚiGW (dalej „Fundusz”).
4. Pełnomocnictwo: pełnomocnictwo na wzorze Programu udzielone przez Klienta osobie wskazanej przez Spółkę do złożenia wniosku i prowadzenia sprawy w Funduszu.
5. Dane: dane osobowe powierzone Spółce na podstawie tej umowy.
6. Pozostałe pojęcia (przetwarzanie, naruszenie ochrony danych, podmiot przetwarzający) mają znaczenie nadane im w RODO.

§ 2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie Danych w zakresie i celu określonym w tej umowie, a Procesor zobowiązuje się przetwarzać je zgodnie z tą umową, RODO i innymi przepisami.
2. Celem przetwarzania jest wykonanie Umowy głównej, w szczególności:
   a) ocena, czy Klienci spełniają warunki Programu (analiza bazy), i przygotowanie raportu dla Partnera;
   b) ustalenie brakujących danych i dokumentów;
   c) przygotowanie dokumentów do podpisu Klienta (pełnomocnictwo, oświadczenie DNSH, protokół odbioru) do chwili udzielenia Pełnomocnictwa.
3. Przetwarzanie obejmuje: zbieranie (odbiór od Partnera), utrwalanie, porządkowanie, przechowywanie, odczyt z dokumentów (także z pomocą narzędzi sztucznej inteligencji, załącznik 3), porównywanie, przeglądanie, wykorzystywanie, przekazywanie Partnerowi, zwrot i usuwanie.
4. Przetwarzanie odbywa się w systemach informatycznych Procesora i jego podprocesorów, w sposób zautomatyzowany i ręczny.

§ 3. Czas przetwarzania i zmiana roli Spółki

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej, a po jej zakończeniu do chwili zwrotu lub usunięcia Danych zgodnie z § 11.
2. Dane konkretnego Klienta Procesor przetwarza na podstawie tej umowy do chwili udzielenia przez tego Klienta Pełnomocnictwa.
3. Od chwili udzielenia Pełnomocnictwa Spółka przetwarza dane tego Klienta potrzebne do złożenia wniosku, prowadzenia sprawy w Funduszu i rozliczenia jako odrębny administrator, w celach i na zasadach, które sama ustala, oraz informuje o tym Klienta (art. 13 RODO). W tym zakresie ta umowa nie ma zastosowania.
4. Spółka informuje Partnera o udzieleniu Pełnomocnictwa przez Klienta w raporcie statusu (Umowa główna).

§ 4. Kategorie osób i danych

1. Kategorie osób, których dane dotyczą:
   a) Klienci;
   b) współwłaściciele, małżonkowie i inne osoby wskazane w dokumentach Klienta (np. druga strona umowy z zakładem energetycznym);
   c) osoby kontaktowe i pracownicy Partnera wskazani w dokumentach (np. podpisujący protokół odbioru).
2. Kategorie danych:
   a) dane identyfikacyjne: imię, nazwisko, numer PESEL, adres zamieszkania i adres instalacji;
   b) dane kontaktowe: telefon, adres e-mail;
   c) numer rachunku bankowego;
   d) numer punktu poboru energii (PPE), dane umowy z zakładem energetycznym i sposób rozliczenia (net-billing, net-metering);
   e) dane instalacji fotowoltaicznej, magazynu energii, falownika i EMS: moc, pojemność, modele, numery seryjne, daty montażu i zgłoszenia;
   f) faktury, potwierdzenia zapłaty, umowy, zaświadczenia operatora systemu dystrybucyjnego, protokoły odbioru, karty katalogowe;
   g) zdjęcia urządzeń i tabliczek znamionowych (mogą przypadkowo obejmować wnętrze domu albo wizerunek);
   h) informacje o wcześniejszych dotacjach.
3. Partner nie przekazuje danych szczególnych kategorii (art. 9 RODO) ani danych o wyrokach skazujących (art. 10 RODO). Jeśli takie dane znajdą się w przekazanych materiałach, Procesor ich nie wykorzystuje i usuwa je niezwłocznie, informując Partnera.

§ 5. Udokumentowane polecenia

1. Ta umowa i Umowa główna stanowią udokumentowane polecenie przetwarzania. Dodatkowe polecenia Partner wydaje w formie dokumentowej (e-mail z adresu wskazanego w Umowie głównej).
2. Procesor nie przetwarza Danych w innym celu ani w szerszym zakresie, chyba że wymaga tego prawo Unii lub prawo polskie. W takim przypadku informuje Partnera przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
3. Procesor niezwłocznie informuje Partnera, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy, i może wstrzymać wykonanie takiego polecenia do czasu jego potwierdzenia albo zmiany.

§ 6. Poufność i upoważnienia

1. Do Danych mają dostęp wyłącznie osoby upoważnione pisemnie przez Procesora, zobowiązane do zachowania tajemnicy także po ustaniu zatrudnienia lub współpracy.
2. Procesor prowadzi ewidencję upoważnień i przekazuje ją Partnerowi na żądanie. W dniu zawarcia umowy jedyną upoważnioną osobą jest Artur Żurek.
3. Procesor nie loguje się do systemów Partnera (CRM, poczta) i nie pobiera z nich danych.

§ 7. Bezpieczeństwo (art. 32 RODO)

1. Procesor stosuje środki techniczne i organizacyjne opisane w załączniku 2, odpowiednie do ryzyka, w szczególności dla numeru PESEL i numeru rachunku.
2. Procesor może zmieniać środki z załącznika 2, jeśli nie obniża to poziomu ochrony.

§ 8. Dalsze powierzenie (podprocesorzy)

1. Partner udziela ogólnej zgody na dalsze powierzenie Danych podprocesorom z załącznika 3.
2. O zamiarze dodania lub zmiany podprocesora Procesor informuje Partnera e-mailem co najmniej 14 dni wcześniej. W tym terminie Partner może zgłosić uzasadniony sprzeciw. Jeśli Strony nie dojdą do porozumienia, Partner może wypowiedzieć Umowę główną i tę umowę ze skutkiem natychmiastowym, a Procesor nie przekazuje mu Danych nowemu podprocesorowi.
3. Procesor nakłada na podprocesorów te same obowiązki ochrony danych co w tej umowie (art. 28 ust. 4 RODO) i odpowiada wobec Partnera za ich wykonanie.
4. Przekazanie Danych poza Europejski Obszar Gospodarczy następuje wyłącznie na podstawie rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, albo standardowe klauzule umowne), jak wskazano w załączniku 3.
5. Odczyt dokumentów z pomocą sztucznej inteligencji odbywa się wyłącznie w modelach uruchomionych w regionie UE (Google Vertex AI, region „eu”). Wynik odczytu sprawdza człowiek. Dane nie są używane do trenowania modeli.

§ 9. Pomoc Partnerowi

1. Procesor pomaga Partnerowi:
   a) wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15-22 RODO). Żądanie skierowane bezpośrednio do Procesora przekazuje Partnerowi w ciągu 3 dni roboczych i nie odpowiada na nie samodzielnie, chyba że Partner tak poleci;
   b) przy ocenie skutków dla ochrony danych i uprzednich konsultacjach (art. 35-36 RODO), jeśli dotyczą przetwarzania objętego tą umową;
   c) przy zapewnianiu bezpieczeństwa i obsłudze naruszeń (art. 32-34 RODO).
2. Pomoc w zakresie przekraczającym zwykłe informacje Procesor może rozliczyć według stawki uzgodnionej przed jej wykonaniem.

§ 10. Naruszenia ochrony danych

1. Procesor zgłasza Partnerowi naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem i telefonicznie na dane kontaktowe z Umowy głównej.
2. Zgłoszenie zawiera co najmniej informacje z art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, zastosowane i proponowane środki, dane kontaktowe osoby udzielającej informacji. Informacje niedostępne w chwili zgłoszenia Procesor przekazuje niezwłocznie, gdy je uzyska.
3. Procesor nie zawiadamia Prezesa UODO ani osób, których dane dotyczą, w imieniu Partnera, chyba że Partner tak poleci w formie dokumentowej.
4. Procesor dokumentuje każde naruszenie w rejestrze incydentów (rodo/procedura-naruszen.md).

§ 11. Zwrot i usunięcie Danych

1. Po zakończeniu świadczenia usług, a w każdym razie po rozwiązaniu Umowy głównej, Procesor w ciągu 30 dni, zgodnie z wyborem Partnera wskazanym w formie dokumentowej, zwraca Dane albo je usuwa, i usuwa wszelkie istniejące kopie. Brak wyboru w ciągu 14 dni od zakończenia oznacza polecenie usunięcia.
2. Dane w kopiach zapasowych dostawców usuwane są w ich standardowym cyklu, nie dłuższym niż [sprawdzić u dostawców, np. 30 dni po usunięciu w Google Workspace].
3. Obowiązek z ust. 1 nie dotyczy danych Klientów, którzy udzielili Pełnomocnictwa (§ 3 ust. 3), oraz danych, których przechowywanie nakazuje prawo.
4. Procesor potwierdza zwrot lub usunięcie oświadczeniem w formie dokumentowej.

§ 12. Kontrola (audyt)

1. Procesor udostępnia Partnerowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty, w tym inspekcje.
2. Audyt jest poprzedzony kwestionariuszem. Inspekcja na miejscu odbywa się nie częściej niż raz w roku, po zapowiedzi co najmniej 14 dni wcześniej, w godzinach pracy Procesora, z zachowaniem tajemnicy przedsiębiorstwa i danych innych klientów Procesora. Ograniczenie częstotliwości nie dotyczy kontroli po naruszeniu.
3. Koszty audytu ponosi Partner, chyba że audyt wykaże istotne naruszenie tej umowy przez Procesora.
4. Audyt może przeprowadzić Partner albo niezależny audytor zobowiązany do poufności. Nie może to być podmiot konkurencyjny wobec Procesora.

§ 13. Przekazywanie Danych przez Partnera

1. Partner przekazuje Dane wyłącznie przez:
   a) udostępnienie Procesorowi (konkretne konto w domenie arturzurek.pl) folderu na Dysku Google lub w innym repozytorium chmurowym Partnera, z dostępem tylko dla tego konta; albo
   b) wgranie plików do folderu Procesora udostępnionego wyłącznie Partnerowi (konkretne konto Partnera); albo
   c) formularz z osobistym linkiem przygotowany przez Procesora.
2. Partner nie wysyła Danych e-mailem, komunikatorami ani SMS-em. Dane przesłane w ten sposób Procesor przenosi do folderu Klienta, usuwa ze skrzynki i informuje Partnera o właściwym kanale.
3. Hasła do plików, jeśli Partner ich używa, przekazuje się innym kanałem niż pliki (np. telefonicznie).
4. Partner udostępnia tylko dane Klientów objętych zleceniem, a nie całą bazę lub cały system CRM. Eksport bazy w arkuszu ogranicza się do kolumn potrzebnych do usługi.

§ 14. Oświadczenia Partnera

1. Partner oświadcza, że:
   a) jest administratorem Danych i ma podstawę prawną do ich przetwarzania i powierzenia Procesorowi (w szczególności art. 6 ust. 1 lit. b lub f RODO);
   b) poinformował Klientów, przed przekazaniem Danych lub najpóźniej przy pierwszym kontakcie po przekazaniu, o przekazaniu ich danych podmiotowi przygotowującemu wniosek o dofinansowanie, w zakresie wymaganym przez art. 13 lub 14 RODO;
   c) przekazane Dane są prawidłowe i aktualne według jego najlepszej wiedzy.
2. Partner ponosi odpowiedzialność za skutki nieprawdziwości tych oświadczeń, w tym roszczenia osób trzecich wobec Procesora.

§ 15. Odpowiedzialność

1. Procesor odpowiada za szkody wyrządzone przetwarzaniem Danych niezgodnym z tą umową lub RODO, na zasadach art. 82 RODO.
2. W stosunkach między Stronami odpowiedzialność Procesora jest ograniczona jak w Umowie głównej, z wyjątkiem szkody wyrządzonej umyślnie.

§ 16. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, przepisy polskie i Umowę główną. W razie sprzeczności z Umową główną w zakresie ochrony danych pierwszeństwo ma ta umowa.
2. Umowa zostaje zawarta z chwilą jej akceptacji przez Partnera w formularzu akceptacji, razem z Umową główną (§ 13 Umowy głównej). Procesor potwierdza zawarcie e-mailem z treścią umowy w PDF. Na żądanie Partnera Strony mogą zawrzeć umowę o tej samej treści z podpisami elektronicznymi.
3. Zmiany wymagają formy dokumentowej pod rygorem nieważności, z wyjątkiem aktualizacji załącznika 3 w trybie § 8 ust. 2 i zmian w trybie § 13 ust. 4 Umowy głównej.
4. Spory rozstrzyga sąd właściwy dla siedziby Procesora.
5. Załączniki: 1. Wykaz osób kontaktowych · 2. Środki techniczne i organizacyjne · 3. Lista podprocesorów.

Akceptacja elektroniczna Partnera: firma, NIP, osoba akceptująca, e-mail, data i godzina, wersja (zapis w potwierdzeniu e-mail).

Załącznik 1. Osoby kontaktowe

Załącznik 2. Środki techniczne i organizacyjne (art. 32 RODO)

Dostęp i konta

• Dostęp do Danych ma wyłącznie osoba upoważniona (Artur Żurek), tylko na kontach firmowych Spółki (domena arturzurek.pl). Bez kont prywatnych i bez gości z kont prywatnych.
• Wymuszona weryfikacja dwuetapowa we wszystkich systemach z Danymi.
• Przegląd uprawnień co kwartał i przy każdej zmianie składu osób z dostępem.

Minimalizacja i oznaczanie

• Numer PESEL i numer rachunku nie trafiają do nazw plików i folderów, tytułów stron Notion, treści e-maili, wiadomości Telegram ani logów. Folder Klienta nosi nazwę „ Nazwisko Imię”.
• Alerty na Telegram nie zawierają numeru sprawy ani żadnych danych osobowych, tylko rodzaj zdarzenia (np. „nowy komplet do sprawdzenia”, „błąd workflow”). Szczegóły są w Notion.
• Dokumenty z PESEL lub numerem rachunku wysyłane są jako link ograniczony do adresu odbiorcy, nie jako załącznik.

Systemy

• Google Workspace: udostępnianie poza domenę wyłączone (bez „każdy z linkiem”), ostrzeżenie o odbiorcach spoza domeny, blokada automatycznego przekazywania poczty.
• Notion: plan płatny z umową powierzenia, funkcje AI Notion wyłączone na bazie z Danymi, bez publikowania stron.
• Tally: bez powiadomień e-mail z treścią odpowiedzi w formularzach z PESEL, bez zapisu częściowych odpowiedzi, zgłoszenia usuwane po zapisaniu na Dysku.
• n8n (serwer w UE): zapisywane są tylko wykonania z błędem, przechowywane maks. 7 dni; aktualna wersja; webhooki zabezpieczone sekretem; klucz szyfrowania przechowywany poza serwerem; weryfikacja dwuetapowa.
• Odczyt dokumentów z AI: wyłącznie Claude w Google Vertex AI w regionie UE; dane nie służą do trenowania; pola odczytane przez AI oznaczane „do weryfikacji” i zatwierdzane przez człowieka; ocena spełnienia warunków Programu liczona regułami, nie przez AI.
• Narzędzia programistyczne z AI nie mają dostępu do Danych, chyba że na koncie API Spółki z umową powierzenia.

Organizacja

• Pisemne upoważnienia i zobowiązania do poufności (rodo/upowaznienie.md).
• Procedura obsługi naruszeń i rejestr incydentów (rodo/procedura-naruszen.md).
• Harmonogram retencji z automatycznym usuwaniem (rodo/retencja.md).
• Szkolenie z ochrony danych i korzystania z AI raz w roku.
• Testy narzędzi wyłącznie na danych fikcyjnych.

Załącznik 3. Podprocesorzy