← Strona główna

Umowa powierzenia przetwarzania danych osobowych — Librent

Wersja: 1.0.2-2026-11-01 · Data wejścia w życie: 1 listopada 2026

Niniejsza Umowa powierzenia przetwarzania danych osobowych (dalej „Umowa") zostaje zawarta w formie elektronicznej (art. 28 ust. 9 RODO) pomiędzy:

  1. Usługobiorcą — podmiotem prowadzącym działalność, w imieniu którego utworzono Organizację w serwisie Librent, reprezentowanym przez osobę akceptującą Umowę (dalej „Administrator"), a
  2. DydlakCloud Dawid Dydliński, prowadzącym działalność gospodarczą w formie Indywidualna działalność gospodarcza (CEIDG), NIP 6423227346, REGON 387752266, z siedzibą pod adresem ul. Zebrzydowicka 12 lok. 5, 44-200 Rybnik, operatorem serwisu Librent (dalej „Podmiot przetwarzający").

Umowa jest wykonaniem art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej „RODO") i uzupełnia Regulamin. Pojęcia pisane wielką literą, niezdefiniowane w Umowie, mają znaczenie nadane im w Regulaminie.

§ 1. Zawarcie Umowy i umocowanie

  1. Umowa stanowi część umowy o świadczenie usług zawartej na podstawie Regulaminu i wiąże strony od chwili akceptacji Regulaminu. Właściciel Organizacji potwierdza ją w Serwisie, akceptując Umowę i podając dane Administratora (nazwę, adres, adres e-mail do spraw danych osobowych).
  2. Osoba akceptująca Umowę oświadcza, że jest umocowana do zawarcia jej w imieniu Administratora. Podmiot przetwarzający odnotowuje datę akceptacji, wersję Umowy oraz Konto, z którego jej dokonano.
  3. Umowa jest zawierana odrębnie dla każdej Organizacji. Członkowie Organizacji zaproszeni przez Administratora działają w jego imieniu i na jego rzecz i nie są stronami Umowy.

§ 2. Przedmiot, charakter i cel przetwarzania

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wprowadzanych do Serwisu w ramach Organizacji — samodzielnie przez Administratora i członków jego Organizacji albo bezpośrednio przez klientów Administratora za pośrednictwem publicznych funkcji Serwisu (dalej „Dane").
  2. Cel przetwarzania: świadczenie na rzecz Administratora usług Serwisu, w szczególności zarządzanie sprzętem, klientami, rezerwacjami, kaucjami i płatnościami, generowanie i podpisywanie dokumentów, wysyłka powiadomień, obsługa publicznego formularza rezerwacji i widżetu, komunikacja z klientami (w tym przez WhatsApp i asystenta AI, jeżeli Administrator je włączy) oraz kalendarz.
  3. Charakter przetwarzania: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, szyfrowanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie (w tym wiadomości e-mail i WhatsApp do osób wskazanych przez Administratora), tworzenie kopii zapasowych, usuwanie i niszczenie.
  4. Kategorie osób, których Dane dotyczą: klienci i potencjalni klienci Administratora (w tym osoby kontaktowe klientów biznesowych), osoby korespondujące z Administratorem przez funkcje Serwisu, członkowie Organizacji oraz osoby zapraszane do Organizacji.
  5. Rodzaje Danych:
    • dane identyfikacyjne: imię, nazwisko, nazwa firmy, NIP lub inny numer identyfikacji podatkowej, seria i numer dokumentu tożsamości;
    • dane kontaktowe: adres e-mail, numer telefonu, adres (ulica, kod pocztowy, miasto, kraj), język komunikacji;
    • dane dotyczące rezerwacji i rozliczeń: wypożyczany sprzęt, terminy, ceny, kaucje, statusy, notatki;
    • treść generowanych i podpisywanych dokumentów (umów, protokołów) wraz z datą i sposobem ich podpisania;
    • treść korespondencji prowadzonej za pośrednictwem Serwisu (w tym wiadomości WhatsApp i rozmów z asystentem AI) oraz numer telefonu nadawcy;
    • dane członków Organizacji: imię, nazwisko, adres e-mail, rola, historia działań w Organizacji.
  6. Umowa nie obejmuje szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do Serwisu.
  7. Zakres Danych w poszczególnych przypadkach zależy od pól i funkcji, z których Administrator korzysta. Administrator odpowiada za to, by zbierane Dane były adekwatne i ograniczone do niezbędnych (art. 5 ust. 1 lit. c RODO), w tym za decyzję o zbieraniu numeru dokumentu tożsamości.

§ 3. Udokumentowane polecenia

  1. Podmiot przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego, chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie — wówczas przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo tego nie zabrania.
  2. Udokumentowanym poleceniem są: niniejsza Umowa, Regulamin, konfiguracja Organizacji (w tym włączenie funkcji takich jak publiczny formularz rezerwacji, WhatsApp, asystent AI, powiadomienia e-mail, eksport kalendarza) oraz czynności wykonywane w Serwisie przez Administratora i członków jego Organizacji. Inne polecenia Administrator przekazuje na adres [email protected].
  3. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych.
  4. Podmiot przetwarzający nie wykorzystuje Danych do celów własnych, w szczególności nie sprzedaje ich, nie wykorzystuje do marketingu ani do trenowania modeli sztucznej inteligencji. Podmiot przetwarzający może przetwarzać dane zagregowane lub zanonimizowane, które nie są danymi osobowymi, w celu utrzymania i rozwoju Serwisu.

§ 4. Poufność i dostęp do Danych

  1. Podmiot przetwarzający dopuszcza do Danych wyłącznie osoby, które posiadają jego upoważnienie i zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy. Obowiązek ten trwa także po ustaniu współpracy.
  2. Osoby działające w imieniu Podmiotu przetwarzającego uzyskują dostęp do Danych wyłącznie w zakresie niezbędnym do utrzymania i zabezpieczenia Serwisu, usuwania awarii, realizacji poleceń Administratora lub zgłoszeń wsparcia technicznego, albo gdy wymaga tego prawo.

§ 5. Bezpieczeństwo przetwarzania

  1. Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, opisane w Załączniku nr 1. Środki te mogą być zmieniane, o ile nie obniża to ogólnego poziomu ochrony Danych.
  2. Administrator odpowiada za bezpieczeństwo po swojej stronie, w szczególności za nadawanie i odbieranie dostępu członkom Organizacji, poufność danych logowania, włączenie uwierzytelniania dwuskładnikowego, bezpieczeństwo urządzeń oraz Danych pobranych z Serwisu (np. wygenerowanych dokumentów, eksportu kalendarza).

§ 6. Dalsze powierzenie (podprocesorzy)

  1. Administrator udziela ogólnej zgody na dalsze powierzenie przetwarzania Danych podmiotom wskazanym w Załączniku nr 2 (dalej „Podprocesorzy").
  2. O zamiarze dodania lub zastąpienia Podprocesora Podmiot przetwarzający informuje Administratora e-mailem lub komunikatem w Serwisie co najmniej 14 dni przed zmianą. W tym terminie Administrator może wnieść uzasadniony sprzeciw. Jeżeli strony nie uzgodnią rozwiązania, Administrator może wypowiedzieć Umowę i Regulamin ze skutkiem na dzień zmiany, bez dodatkowych kosztów.
  3. Podmiot przetwarzający zawiera z Podprocesorami umowy nakładające na nich obowiązki ochrony danych co najmniej takie, jak w Umowie, i odpowiada wobec Administratora za ich wykonanie.
  4. Funkcje, które Administrator włącza samodzielnie i które wiążą się z korzystaniem z usług podmiotów trzecich na podstawie odrębnych umów zawartych przez Administratora (w szczególności komunikator WhatsApp powiązany z numerem telefonu Administratora albo kalendarz zewnętrzny subskrybujący eksport kalendarza), nie stanowią dalszego powierzenia przez Podmiot przetwarzający. Administrator samodzielnie ocenia zgodność korzystania z takich usług z RODO.

§ 7. Przekazywanie Danych poza EOG

  1. Baza danych Serwisu i magazyn plików znajdują się na serwerach w Europejskim Obszarze Gospodarczym (Polska). Dane mogą być przetwarzane poza EOG wyłącznie przez Podprocesorów i w zakresie wskazanym w Załączniku nr 2.
  2. Przekazanie Danych do państwa trzeciego może nastąpić wyłącznie do Podprocesora wskazanego w Załączniku nr 2 i wyłącznie przy zastosowaniu mechanizmu z rozdziału V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework w odniesieniu do certyfikowanych odbiorców) albo standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 8. Pomoc w realizacji praw osób, których Dane dotyczą

  1. Uwzględniając charakter przetwarzania, Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których Dane dotyczą (art. 12–22 RODO), przede wszystkim przez udostępnienie w Serwisie funkcji przeglądania, poprawiania i usuwania Danych, a w pozostałym zakresie — przez realizację wniosków przesłanych na adres [email protected] (np. eksport danych osoby albo usunięcie jej danych z historii rozmów i dziennika zdarzeń).
  2. Jeżeli żądanie osoby, której Dane dotyczą, wpłynie bezpośrednio do Podmiotu przetwarzającego, przekazuje on je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 7 dni, i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
  3. Gdy realizacja żądania nie jest możliwa za pomocą funkcji Serwisu, Podmiot przetwarzający, na wniosek Administratora, wykonuje ją w terminie umożliwiającym Administratorowi dochowanie terminu z art. 12 ust. 3 RODO.

§ 9. Naruszenia ochrony danych

  1. Podmiot przetwarzający bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od stwierdzenia naruszenia ochrony Danych, zgłasza je Administratorowi na adres e-mail właściciela Organizacji.
  2. Zgłoszenie zawiera, w miarę dostępności, informacje wymienione w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, dane kontaktowe, prawdopodobne konsekwencje oraz zastosowane lub proponowane środki. Informacje niedostępne w chwili zgłoszenia są przekazywane sukcesywnie.
  3. Podmiot przetwarzający niezwłocznie podejmuje działania w celu ograniczenia skutków naruszenia, dokumentuje je oraz współpracuje z Administratorem przy zgłoszeniu do organu nadzorczego i zawiadomieniu osób, których Dane dotyczą.
  4. Zgłoszenie naruszenia nie stanowi uznania odpowiedzialności Podmiotu przetwarzającego.

§ 10. Pozostała pomoc dla Administratora

Uwzględniając charakter przetwarzania i dostępne informacje, Podmiot przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO, w tym przy ocenie skutków dla ochrony danych i uprzednich konsultacjach z organem nadzorczym. Pomoc wykraczająca poza udostępnienie informacji o Serwisie może podlegać odrębnemu, uzgodnionemu z góry wynagrodzeniu.

§ 11. Audyt i informacje

  1. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie pisemnych odpowiedzi na pytania i dokumentacji.
  2. Jeżeli przekazane informacje są niewystarczające, Administrator może przeprowadzić audyt, w tym inspekcję, samodzielnie lub przez audytora związanego obowiązkiem poufności, niebędącego konkurentem Podmiotu przetwarzającego. Audyt odbywa się nie częściej niż raz na 12 miesięcy — chyba że jest uzasadniony stwierdzonym naruszeniem ochrony Danych lub żądaniem organu nadzorczego — po zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, w dniach roboczych i w sposób niezakłócający działania Serwisu ani nienaruszający danych innych usługobiorców.
  3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Podmiot przetwarzający.

§ 12. Czas trwania i zakończenie przetwarzania

  1. Umowa obowiązuje przez czas korzystania z Serwisu w ramach Organizacji i wygasa z chwilą usunięcia Organizacji lub rozwiązania Regulaminu wobec Administratora.
  2. Przed usunięciem Organizacji Administrator może zażądać zwrotu Danych, kierując wniosek na [email protected]. Podmiot przetwarzający przekazuje Dane w ciągu 30 dni, w powszechnie używanym formacie elektronicznym (np. CSV lub JSON oraz pliki dokumentów).
  3. W terminie 30 dni od zakończenia Umowy Podmiot przetwarzający usuwa Dane z systemów produkcyjnych. Kopie zapasowe zawierające Dane są usuwane w ramach cyklu rotacji, nie później niż po 30 dniach od usunięcia Danych z systemów produkcyjnych; do tego czasu są chronione i nie są wykorzystywane do żadnego celu poza odtworzeniem Serwisu po awarii.
  4. Zdanie poprzedzające nie dotyczy Danych, których przechowywanie nakazuje prawo Unii lub prawo polskie.

§ 13. Odpowiedzialność

  1. Każda ze stron odpowiada za szkody wyrządzone osobom, których Dane dotyczą, na zasadach określonych w art. 82 RODO.
  2. Podmiot przetwarzający nie odpowiada za skutki wykonania poleceń Administratora ani za Dane wprowadzone do Serwisu bez podstawy prawnej lub z naruszeniem obowiązku informacyjnego.
  3. W pozostałym zakresie do odpowiedzialności stron stosuje się postanowienia Regulaminu, z zastrzeżeniem, że ograniczenia odpowiedzialności nie dotyczą szkód wyrządzonych umyślnie.

§ 14. Postanowienia końcowe

  1. Umowa jest nieodpłatna; wynagrodzenie za usługi Serwisu określa Regulamin.
  2. W razie sprzeczności między Umową a Regulaminem w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.
  3. Zmiany Umowy następują w trybie przewidzianym dla zmiany Regulaminu. Zmiany wynikające wyłącznie z aktualizacji Załącznika nr 2 następują w trybie § 6 ust. 2.
  4. Umowa podlega prawu polskiemu. Wersja polska jest wiążąca; tłumaczenia mają charakter informacyjny.

Załącznik nr 1. Środki techniczne i organizacyjne

Załącznik nr 2. Lista Podprocesorów