Umowa powierzenia przetwarzania danych - kiedy sklep internetowy jej potrzebuje

Co musi zawierać umowa powierzenia przetwarzania danych

Art. 28 ust. 3 RODO wymienia elementy, które musi mieć każda umowa powierzenia. Po pierwsze, opis samego przetwarzania: przedmiot i czas trwania, charakter i cel, rodzaj danych osobowych, kategorie osób oraz obowiązki i prawa administratora. Po drugie, zobowiązania podmiotu przetwarzającego, które najprościej zapamiętać jako zestaw kluczowych klauzul:

[#chart:wit57b]

• Udokumentowane polecenie - dostawca przetwarza dane tylko na Twoje polecenie, także w zakresie przekazywania ich poza Europejski Obszar Gospodarczy.

• Poufność - osoby z dostępem do danych są zobowiązane do zachowania tajemnicy.

• Bezpieczeństwo - dostawca stosuje środki z art. 32 RODO, odpowiednie do ryzyka.

• Dalsze powierzenie - zasady korzystania z podwykonawców wymagają Twojej zgody.

• Pomoc administratorowi - wsparcie przy realizacji praw osób, zgłaszaniu naruszeń i ocenie skutków.

• Koniec współpracy - usunięcie lub zwrot danych po zakończeniu usług.

• Kontrola - udostępnianie informacji i umożliwienie audytów.

Dalsze powierzenie, czyli podwykonawcy dostawcy

Prawie każdy dostawca usług IT korzysta z podwykonawców: centrów danych, dostawców chmury, firm wysyłających e-maile. Zgodnie z art. 28 ust. 2 RODO podmiot przetwarzający może ich angażować tylko za Twoją uprzednią szczegółową lub ogólną pisemną zgodą. Przy zgodzie ogólnej dostawca musi informować o planowanych zmianach podwykonawców, a Ty masz prawo wyrazić sprzeciw. W praktyce dostawcy publikują listę podprocesorów na swojej stronie i wysyłają powiadomienia o zmianach - warto zapisać się na takie powiadomienia i sprawdzić, czy wiadomości trafiają na aktywną skrzynkę, a nie na adres byłego pracownika.

Umowa w regulaminie czy osobny dokument?

RODO wymaga formy pisemnej, w tym elektronicznej, więc akceptacja umowy w panelu dostawcy albo postanowienia w regulaminie usługi są dopuszczalne, jeśli zawierają wszystkie elementy z art. 28 ust. 3. Duzi dostawcy rzadko negocjują indywidualne umowy z małymi sklepami, dlatego najczęściej Twoim zadaniem jest odszukanie dokumentu, sprawdzenie jego treści i zapisanie, gdzie się znajduje. Z mniejszymi firmami, np. lokalnym informatykiem czy biurem rachunkowym, zwykle podpisujesz osobną umowę lub aneks do umowy o współpracy.

Jak uporządkować umowy powierzenia w sklepie krok po kroku

W firmie, która działa od kilku lat, temat umów powierzenia najlepiej potraktować jak jednorazowy projekt porządkowy, a potem dopisać go do procedury zakupu każdej nowej usługi. Pracę dzielimy na kilka etapów:

[#chart:wit57c]

Punktem wyjścia jest lista dostawców, którą możesz zbudować z trzech źródeł: rejestru czynności przetwarzania, listy faktur za usługi i oprogramowanie oraz listy kont z dostępem do panelu sklepu i systemu zamówień. Jak przygotować rejestr, opisujemy w poradniku rejestr czynności przetwarzania w sklepie - jak go prowadzić krok po kroku. Gdy masz listę, przy każdej pozycji zapisz rolę dostawcy, link do umowy lub jej plik, datę akceptacji i informację, czy dane trafiają poza EOG. Taki arkusz to w praktyce mapa ryzyka: od razu widać, kto ma dostęp do danych klientów bez żadnej umowy.

Umowa powierzenia przy sprzedaży na marketplace

Sprzedawca działający na Allegro, Amazonie czy Empiku otrzymuje dane kupujących od operatora platformy i od tego momentu sam jest ich administratorem. Jeśli dalej przekazuje je zewnętrznym firmom do realizacji zamówień, potrzebuje z nimi umów powierzenia. Dotyczy to najczęściej integratora zamówień i systemu do wysyłek, zewnętrznego magazynu prowadzącego fulfillment, firmy lub freelancera odpowiadających na wiadomości kupujących w imieniu sprzedawcy oraz biura rachunkowego, które otrzymuje faktury z danymi klientów. Wirtualna asystentka logująca się do konta sprzedawcy, żeby obsługiwać zwroty, przetwarza dane osobowe tak samo jak pracownik - tyle że bez umowy o pracę i zobowiązania do poufności, jeśli ich nie zawarłeś.

[#uwaga] Najczęstsza luka w małych sklepach to dostęp „na chwilę”: login administratora dany informatykowi, freelancerowi albo agencji do jednej poprawki, który działa jeszcze rok później. Taki dostęp oznacza powierzenie danych bez umowy i bez kontroli. Zawsze nadawaj osobne konto z ograniczoną rolą i usuwaj je po zakończeniu pracy.

Odpowiedzialność za dostawcę i kontrola podmiotu przetwarzającego

Podpisanie umowy powierzenia nie przenosi na dostawcę całej odpowiedzialności. Art. 28 ust. 1 RODO wymaga, by administrator korzystał wyłącznie z usług podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. To Ty wybierasz dostawcę, więc to Ty musisz umieć wykazać, że wybór był przemyślany. W małej firmie nie chodzi o audyty na miejscu, ale o kilka prostych sprawdzeń przed rozpoczęciem współpracy:

• Czy dostawca udostępnia umowę powierzenia i listę podwykonawców?

• Gdzie przechowuje dane i czy przekazuje je poza EOG?

• Czy jego panel obsługuje weryfikację dwuetapową i osobne konta użytkowników?

• Jak szybko powiadamia klientów o naruszeniach ochrony danych?

• Czy po zakończeniu współpracy da się wyeksportować i usunąć dane?

Równie ważny jak początek jest koniec współpracy. Gdy rezygnujesz z narzędzia do newslettera, zmieniasz hosting albo kończysz pracę z informatykiem, sprawdź, czy dostawca usunął lub zwrócił dane zgodnie z umową. W praktyce oznacza to eksport potrzebnych danych, usunięcie konta lub projektu w panelu dostawcy, odebranie dostępów i kluczy API oraz zapisanie daty zakończenia w zestawieniu umów. Bez tego stare konta w nieużywanych usługach latami przechowują bazy klientów, o których nikt w firmie już nie pamięta - a wyciek z takiego konta nadal obciąża Twój sklep.

Ostatni punkt łączy się z bezpieczeństwem kont. Jeśli dostawca pozwala nadawać role, korzystaj z tego zamiast dzielić jedno konto między kilka osób - zasady opisujemy w artykule dostępy pracowników do sklepu i marketplace'ów - jak nadawać role i uprawnienia. Pamiętaj też, że podmiot przetwarzający musi zgłosić Ci naruszenie ochrony danych bez zbędnej zwłoki, a Ty masz 72 godziny na ewentualne zgłoszenie do UODO (stan na marzec 2026 - sprawdź aktualne przepisy). Dlatego w umowie lub w notatce przy dostawcy zapisz, na jaki adres e-mail ma przychodzić takie powiadomienie.

Jak Vinson pomaga uporządkować powierzenie danych w sklepie

Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base, autoryzowany partner Shoper i partner Empik Place, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. Nie przygotowujemy umów prawnych, ale w ramach wsparcia informatycznego dla firm i sklepów robimy techniczny przegląd dostawców: spisujemy systemy i integracje, które mają dostęp do danych klientów, sprawdzamy konta i role w panelach sklepu, systemu zamówień i marketplace'ów, usuwamy nieużywane dostępy i klucze API, a przy każdym narzędziu wskazujemy, gdzie dostawca publikuje swoją umowę powierzenia i listę podwykonawców. Taki spis przekazujesz prawnikowi lub inspektorowi ochrony danych jako gotowy materiał do oceny.

Najczęściej zadawane pytania

Czy z hostingiem sklepu trzeba mieć umowę powierzenia danych?

Tak. Hosting przechowuje bazę sklepu z danymi klientów i zamówień, więc przetwarza dane osobowe w Twoim imieniu. Większość firm hostingowych udostępnia umowę powierzenia w regulaminie lub do akceptacji w panelu klienta - wystarczy ją odszukać, sprawdzić i zapisać.

Czy biuro rachunkowe to podmiot przetwarzający?

Zwykle tak, bo przetwarza dane klientów, kontrahentów i pracowników sklepu na Twoje zlecenie, aby prowadzić księgowość i kadry. Umowę powierzenia warto podpisać razem z umową o świadczenie usług księgowych albo jako aneks do niej.

Czy z firmą kurierską trzeba podpisać umowę powierzenia?

Zwykle nie, bo firma kurierska przetwarza dane odbiorców jako odrębny administrator, w celu realizacji własnej usługi przewozu. Kuriera wskazujesz jako odbiorcę danych w polityce prywatności i w rejestrze. Przed decyzją sprawdź jednak regulamin konkretnego przewoźnika.

Czy umowę powierzenia można zaakceptować online?

Tak. RODO dopuszcza formę elektroniczną, więc akceptacja umowy w panelu dostawcy lub postanowienia w regulaminie są wystarczające, jeśli zawierają elementy z art. 28 ust. 3 RODO. Zapisz datę akceptacji i link lub kopię dokumentu.

Czy agencja marketingowa potrzebuje umowy powierzenia?

Tylko wtedy, gdy przetwarza dane osobowe Twoich klientów, np. wgrywa listy mailingowe do systemów reklamowych, ma dostęp do panelu zamówień albo prowadzi newsletter. Agencja, która ustawia kampanie wyłącznie na zagregowanych danych i nie widzi danych klientów, zwykle umowy powierzenia nie potrzebuje.

Co grozi za brak umowy powierzenia?

Naruszenie art. 28 RODO podlega administracyjnej karze pieniężnej do 10 mln euro lub do 2% rocznego światowego obrotu zgodnie z art. 83 ust. 4 RODO. W praktyce największym ryzykiem jest jednak incydent u dostawcy, którego nie da się wyjaśnić, bo nie ustalono zasad przetwarzania i powiadamiania.

Jeśli chcesz sprawdzić, kto ma dziś dostęp do danych w Twoim sklepie i na kontach marketplace, napisz do nas w sprawie wsparcia IT. Wspólną listę obowiązków znajdziesz też w artykule RODO w sklepie internetowym - praktyczna lista obowiązków sprzedawcy.