Umowa powierzenia przetwarzania danych osobowych

Wersja 2.3 — obowiązuje od 17 września 2026 r.

Niniejsza Umowa powierzenia przetwarzania danych osobowych, dalej „Umowa”, zostaje zawarta pomiędzy:

1. Gabinetem korzystającym z Serwisu gabinet.one, którego dane identyfikacyjne znajdują się w Koncie Gabinetu, dalej „Administratorem” albo „Gabinetem”,

a

2. Radość Zmysłów Gabinet Terapeutyczny Karolina Szafrankiewicz, ul. Mariana Pelczara 14/1, 80-175 Gdańsk, e-mail: kontakt@mapaterapii.pl, operatorem Serwisu gabinet.one, dalej „Procesorem” albo „Operatorem”.

Administrator i Procesor są dalej łącznie zwani „Stronami”.

§1. Przedmiot i charakter Umowy

1. Umowa stanowi umowę powierzenia przetwarzania danych osobowych w rozumieniu art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

2. Umowa określa zasady przetwarzania przez Procesora danych osobowych powierzonych przez Administratora w związku z korzystaniem z Serwisu gabinet.one.

3. Umowa obowiązuje wraz z Regulaminem Serwisu. Może zostać zawarta przez elektroniczną akceptację w Koncie właściciela Gabinetu. Zapis akceptacji obejmuje co najmniej identyfikator użytkownika i Gabinetu, wersję dokumentu, czas akceptacji oraz dane techniczne służące wykazaniu jej złożenia.

4. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, w zakresie wynikającym z: a) konfiguracji i korzystania z funkcji Serwisu; b) operacji wykonywanych przez uprawnionych użytkowników Gabinetu; c) ustawień retencji i dyspozycji usunięcia lub eksportu; d) zgłoszeń Administratora przekazanych przez bezpieczny kanał; e) obowiązującego prawa Unii Europejskiej lub prawa państwa członkowskiego.

5. Jeżeli prawo wymaga od Procesora przetwarzania danych bez polecenia Administratora, Procesor informuje Administratora o takim obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania przekazania tej informacji z uwagi na ważny interes publiczny.

6. Procesor nie określa samodzielnie celów przetwarzania powierzonych danych pacjentów, klientów, dzieci i opiekunów oraz nie wykorzystuje ich do własnych celów marketingowych, profilowania reklamowego ani trenowania modeli sztucznej inteligencji.

§2. Czas trwania, charakter i cele przetwarzania

1. Powierzenie trwa przez okres obowiązywania umowy o korzystanie z Serwisu oraz przez czas niezbędny do zwrotu, usunięcia lub wygaśnięcia technicznych kopii danych zgodnie z §12.

2. Przetwarzanie ma charakter zautomatyzowany i może obejmować zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, przeglądanie, pobieranie, wykorzystywanie, dopasowywanie, przesyłanie, ograniczanie, eksportowanie, wykonywanie kopii zapasowych, odtwarzanie oraz usuwanie danych.

3. Celem przetwarzania jest zapewnienie Gabinetowi funkcji Serwisu, w szczególności: a) prowadzenia Konta i Panelu Gabinetu; b) zarządzania personelem, rolami i uprawnieniami; c) prowadzenia bazy klientów, pacjentów, uczestników, dzieci, rodziców i opiekunów; d) prowadzenia kalendarza, dostępności, urlopów, wizyt, zajęć indywidualnych i grupowych; e) obsługi rezerwacji online, list oczekujących, obecności, odwołań i nieobecności; f) obsługi rozliczeń, sald, płatności, pakietów i dokumentów sprzedaży; g) prowadzenia dokumentacji terapeutycznej w zakresie funkcji udostępnionych przez Serwis, w tym informacji przekazanych przez gabinet, notatek, celów i załączników; h) obsługi zgód, dokumentów Gabinetu i ich akceptacji przez rodziców lub opiekunów; i) komunikacji e-mail, SMS i web push; j) zapewnienia bezpieczeństwa, kontroli dostępu, rejestrowania zdarzeń i przeciwdziałania nadużyciom; k) tworzenia, sprawdzania i odtwarzania kopii zapasowych; l) realizacji eksportu, usunięcia, ograniczenia i innych udokumentowanych dyspozycji Administratora.

§3. Kategorie osób

Powierzone dane mogą dotyczyć:

1. klientów, pacjentów i uczestników usług Gabinetu;
2. dzieci korzystających z usług Gabinetu;
3. rodziców, przedstawicieli ustawowych i opiekunów;
4. osób dokonujących rezerwacji lub płatności;
5. właściciela Gabinetu;
6. terapeutów, recepcji, pracowników, współpracowników i innych osób upoważnionych przez Gabinet;
7. osób kontaktujących się z Gabinetem za pomocą funkcji Serwisu;
8. innych osób, których dane Administrator zgodnie z prawem wprowadzi do Serwisu.

§4. Kategorie danych

1. Powierzenie może obejmować, zależnie od konfiguracji i sposobu korzystania z Serwisu: a) dane identyfikacyjne, w tym imię, nazwisko, data urodzenia i identyfikatory wewnętrzne; b) dane kontaktowe, w tym adres e-mail, numer telefonu i adres; c) dane rodzica, opiekuna lub przedstawiciela ustawowego oraz informacje o przypisaniu dziecka do jednego konta opiekuna; d) dane konta, roli, uprawnień, uwierzytelnienia i aktywności; e) dane Gabinetu i jego personelu; f) dane dotyczące wizyt, rezerwacji, zajęć, grup, obecności, nieobecności, odwołań, list oczekujących i harmonogramów; g) dane dotyczące usług, pakietów, cen, rabatów, płatności, sald, rozliczeń i dokumentów sprzedaży; h) treść zgód, dokumentów, akceptacji i podpisów elektronicznych; i) treść komunikacji oraz preferencje dotyczące powiadomień; j) notatki organizacyjne i terapeutyczne; k) informacje przekazane przez gabinet, informacje o stanie zdrowia, trudnościach, potrzebach i przebiegu korzystania z usług i celach; l) pliki i załączniki przekazane przez Administratora lub uprawnionego użytkownika; m) adres IP, User-Agent, identyfikatory sesji, logi bezpieczeństwa, identyfikatory urządzeń i inne dane techniczne; n) dane niezbędne do tworzenia kopii zapasowych, wykazania integralności i odtworzenia systemu.

2. Zakres może obejmować szczególne kategorie danych osobowych w rozumieniu art. 9 ust. 1 RODO, w szczególności dane dotyczące zdrowia.

3. Serwis może służyć do przechowywania informacji stanowiących dokumenty gabinetu, a zależnie od statusu Administratora, rodzaju świadczeń i treści wpisów — również dokumentację podlegającą szczególnym przepisom dotyczącym dokumentów podlegających szczególnym przepisom. To Administrator ustala kwalifikację prawną dokumentacji, właściwą podstawę przetwarzania i wymagany okres przechowywania.

4. Administrator nie powinien wprowadzać danych wykraczających poza zakres niezbędny do celów prowadzonej przez niego działalności.

§5. Obowiązki i oświadczenia Administratora

1. Administrator: a) jest uprawniony do powierzenia danych Procesorowi; b) określa cele i podstawy prawne przetwarzania; c) zapewnia spełnienie przesłanki z art. 6 RODO, a w przypadku danych szczególnych również właściwej przesłanki z art. 9 ust. 2 RODO; d) realizuje obowiązki informacyjne wobec osób, których dane dotyczą; e) zapewnia legalność przetwarzania danych dzieci i działania przedstawicieli ustawowych; f) nadaje dostęp wyłącznie osobom upoważnionym i niezwłocznie odbiera niepotrzebne uprawnienia; g) odpowiada za prawidłowość danych oraz treść dokumentacji tworzonej przez swój personel; h) samodzielnie kwalifikuje, czy określone informacje stanowią dokumentację medyczną lub inną dokumentację podlegającą szczególnym regulacjom; i) samodzielnie ustala i dokumentuje okresy retencji danych swoich pacjentów, klientów, dzieci i opiekunów; j) korzysta z ustawień oraz funkcji usunięcia, eksportu i ograniczenia danych zgodnie z własnymi obowiązkami; k) ocenia ryzyko przetwarzania i przeprowadza ocenę skutków dla ochrony danych, jeżeli jest wymagana; l) nie przekazuje Procesorowi poleceń sprzecznych z RODO lub innymi przepisami.

2. Procesor może poinformować Administratora, jeżeli w jego ocenie polecenie narusza RODO lub inne przepisy o ochronie danych. Procesor może wstrzymać wykonanie polecenia w zakresie koniecznym do wyjaśnienia jego zgodności z prawem.

3. Procesor nie świadczy porady prawnej i nie przejmuje obowiązków Administratora dotyczących wyboru podstawy prawnej, kwalifikacji dokumentacji ani ustalenia okresu jej przechowywania.

§6. Obowiązki Procesora

1. Procesor: a) przetwarza dane wyłącznie na udokumentowane polecenie Administratora; b) zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi poufności; c) wdraża środki wymagane zgodnie z art. 32 RODO; d) przestrzega zasad korzystania z dalszych podmiotów przetwarzających określonych w §8; e) uwzględniając charakter przetwarzania, pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne w realizacji praw osób; f) pomaga Administratorowi w realizacji obowiązków wynikających z art. 32–36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji; g) po zakończeniu świadczenia usług usuwa albo zwraca dane zgodnie z wyborem i instrukcją Administratora, z zastrzeżeniem prawa oraz cyklu kopii zapasowych; h) udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO; i) umożliwia audyty na zasadach §14; j) prowadzi wymagany rejestr kategorii czynności przetwarzania; k) stosuje zasady ochrony danych w fazie projektowania i domyślnej ochrony danych; l) nie sprzedaje powierzonych danych ani nie udostępnia ich osobom nieuprawnionym.

2. Dostęp personelu Procesora do danych jest ograniczony do przypadków niezbędnych do utrzymania bezpieczeństwa, obsługi zgłoszenia, wykonania instrukcji Administratora, odtworzenia danych albo usunięcia awarii.

§7. Środki techniczne i organizacyjne

1. Procesor stosuje środki adekwatne do ryzyka, obejmujące w szczególności: a) szyfrowanie transmisji z użyciem aktualnych protokołów TLS; b) szyfrowanie danych przechowywanych przez dostawców infrastruktury w zakresie oferowanym przez ich usługi; c) kontrolę dostępu opartą na rolach i zasadzie najmniejszych uprawnień; d) logiczną separację danych Gabinetów, w tym reguły autoryzacyjne i polityki dostępu do danych; e) silne uwierzytelnianie oraz uwierzytelnianie wieloskładnikowe dla uprzywilejowanych funkcji administracyjnych; f) rejestrowanie istotnych zdarzeń bezpieczeństwa i operacji administracyjnych; g) ochronę sekretów i kluczy dostępowych oraz ich rotację; h) mechanizmy blokowania funkcji wychodzących w sytuacji incydentu; i) walidację danych wejściowych i zabezpieczenia przed nadużyciami; j) aktualizowanie komponentów oraz usuwanie zidentyfikowanych podatności; k) kopie zapasowe bazy i plików, kontrolę integralności, testy odczytu i mechanizmy odtwarzania; l) szyfrowanie AWS KMS oraz S3 Object Lock w trybie GOVERNANCE dla kopii w AWS European Sovereign Cloud zgodnie z aktualną konfiguracją techniczną; m) procedury reagowania na incydenty, ograniczania skutków i przywracania dostępności; n) rozdzielenie środowiska produkcyjnego od zwykłych środowisk rozwojowych i testowych; o) zakaz wykorzystywania pełnej produkcyjnej kopii danych do zwykłych testów lub demonstracji; p) okresowe przeglądy uprawnień i środków bezpieczeństwa.

2. Produkcyjna aplikacja działa w Scalingo w regionie osc-fr1 we Francji jako aplikacja oznaczona HDS. Główna baza i Storage Supabase działają w regionie eu-west-1 w Irlandii.

3. Oznaczenie aplikacji Scalingo jako HDS nie stanowi oświadczenia, że każdy element całego łańcucha technicznego posiada odrębną certyfikację HDS. Administrator powinien oceniać cały łańcuch przetwarzania na podstawie tej Umowy, aktualnej Listy podprocesorów oraz dokumentacji dostawców.

4. Szczegółowy opis środków może być aktualizowany bez obniżania ogólnego poziomu bezpieczeństwa. Informacje, których publiczne ujawnienie mogłoby osłabić bezpieczeństwo, są udostępniane Administratorowi w odpowiednim zakresie na uzasadniony wniosek.

§8. Dalsze podmioty przetwarzające

1. Administrator udziela Procesorowi ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających wskazanych w aktualnej „Liście dalszych podmiotów przetwarzających gabinet.one”.

2. Aktualna lista określa co najmniej nazwę dostawcy, rolę, zakres danych, lokalizację lub zasady jej ustalania oraz informacje o możliwych transferach.

3. W dniu przyjęcia tej wersji Umowy w produkcyjnym łańcuchu mogą uczestniczyć w szczególności: Supabase, Scalingo i jego dostawca infrastruktury OUTSCALE, Amazon Data Services European Sovereign Cloud GmbH w zakresie Amazon S3 i AWS KMS, Google Workspace Business Standard, SMSAPI/LINK Mobility, Cloudflare Turnstile oraz właściwi dostawcy web push.

4. Procesor zapewnia, aby na dalszy podmiot zostały nałożone obowiązki ochrony danych zapewniające co najmniej poziom wymagany przez art. 28 ust. 4 RODO, z uwzględnieniem charakteru danej usługi.

5. Procesor pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków dalszego podmiotu w zakresie przewidzianym przez RODO.

6. Procesor informuje Administratora o planowanym dodaniu lub zastąpieniu dalszego podmiotu przed rozpoczęciem przez niego przetwarzania danych powierzonych. Administrator może zgłosić uzasadniony sprzeciw dotyczący ochrony danych w terminie 14 dni od otrzymania informacji.

7. Strony podejmą w dobrej wierze próbę rozwiązania sprzeciwu. Jeżeli nie jest możliwe zapewnienie rozsądnego rozwiązania, Administrator może zaprzestać korzystania z funkcji zależnej od danego podmiotu, a gdy nie jest to możliwe — rozwiązać umowę dotyczącą Serwisu zgodnie z Regulaminem.

8. Usługi PayU i Fakturownia mogą być uruchamiane przez Gabinet jako integracje opcjonalne. Ich kwalifikacja prawna zależy od sposobu zawarcia umowy, konfiguracji i rzeczywistego podziału celów przetwarzania.

§9. Transfery poza Europejski Obszar Gospodarczy

1. Procesor nie przekazuje danych poza EOG bez zapewnienia podstawy zgodnej z rozdziałem V RODO.

2. Jeżeli dostawca lub dalszy podprocesor ma siedzibę poza EOG albo umożliwia dostęp spoza EOG, transfer odbywa się na podstawie: a) decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, jeżeli ma zastosowanie; b) standardowych klauzul umownych przyjętych przez Komisję Europejską; c) innego prawnie dopuszczalnego mechanizmu transferowego.

3. Procesor uwzględnia dodatkowe środki techniczne i organizacyjne odpowiednie do ryzyka transferu oraz udostępnia Administratorowi informacje o stosowanych mechanizmach w zakresie niezbędnym do wykazania zgodności.

§10. Pomoc przy realizacji praw osób

1. Uwzględniając charakter przetwarzania, Procesor zapewnia funkcje lub pomoc umożliwiającą Administratorowi realizację prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia danych i sprzeciwu.

2. Jeżeli Procesor otrzyma żądanie osoby dotyczące danych, dla których Administratorem jest Gabinet, nie rozstrzyga samodzielnie żądania, lecz: a) informuje osobę o roli właściwego Gabinetu, o ile jest to możliwe; b) przekazuje żądanie Administratorowi bez zbędnej zwłoki; c) nie usuwa ani nie udostępnia danych bez instrukcji Administratora, chyba że wymaga tego prawo.

3. Administrator odpowiada za ocenę zasadności żądania, identyfikację osoby i terminową odpowiedź.

4. Pomoc wykraczająca poza standardowe funkcje Serwisu może wymagać uzgodnienia zakresu, terminu i uzasadnionych kosztów, o ile nie ogranicza to praw osoby ani ustawowych obowiązków Procesora.

§11. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu.

2. W miarę dostępności zgłoszenie obejmuje: a) opis charakteru naruszenia; b) kategorie danych i osób; c) przybliżoną liczbę osób oraz rekordów; d) możliwe konsekwencje; e) zastosowane lub proponowane środki ograniczające skutki; f) dane punktu kontaktowego; g) informacje potrzebne Administratorowi do wykonania obowiązków z art. 33 i 34 RODO.

3. Jeżeli wszystkich informacji nie można przekazać jednocześnie, Procesor przekazuje je etapami bez nieuzasadnionej zwłoki.

4. Procesor dokumentuje incydent, podjęte działania oraz wnioski. Samo zawiadomienie Administratora nie stanowi uznania odpowiedzialności.

5. Administrator odpowiada za ocenę obowiązku zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą. Procesor udziela racjonalnie wymaganej pomocy.

§12. Retencja, usuwanie, eksport i kopie zapasowe

1. Każdy Gabinet jako Administrator samodzielnie ustala okresy retencji danych swoich pacjentów, klientów, dzieci, opiekunów i dokumentacji, uwzględniając swój status prawny, charakter udzielanych świadczeń, podstawy przetwarzania, obowiązki dokumentacyjne i terminy dochodzenia roszczeń.

2. Procesor nie narzuca jednego okresu retencji danych pacjentów wszystkim Gabinetom i nie przejmuje odpowiedzialności Administratora za kwalifikację dokumentacji.

3. Procesor udostępnia funkcje służące wykonaniu instrukcji Administratora w zakresie usuwania, eksportowania, archiwizowania lub ograniczania danych. Dostępność konkretnej funkcji może zależeć od rodzaju danych i uprawnień użytkownika.

4. Usunięcie danych z aktywnego środowiska nie powoduje natychmiastowego usunięcia wszystkich kopii zapasowych. Kopie są odizolowane od zwykłego użycia i służą wyłącznie zapewnieniu ciągłości działania, bezpieczeństwa oraz odtworzeniu po incydencie.

5. Aktualne kopie zapasowe są przechowywane w AWS European Sovereign Cloud w regionie eusc-de-east-1 w Niemczech, szyfrowane kluczem zarządzanym w AWS KMS i chronione mechanizmem S3 Object Lock w trybie GOVERNANCE przez co najmniej 60 dni. Dane usunięte z aktywnego środowiska mogą pozostawać w istniejących kopiach do końca ich cyklu życia. Po odtworzeniu kopii Procesor ponownie stosuje zapisane dyspozycje usunięcia lub inne mechanizmy zapobiegające przywróceniu danych do zwykłego użycia.

6. Po zakończeniu korzystania z Serwisu Administrator powinien wybrać eksport oraz usunięcie danych. Procesor, zgodnie z wyborem Administratora, zwraca dane w dostępnym formacie i usuwa je z aktywnego środowiska, chyba że prawo wymaga ich dalszego przechowywania.

7. Procesor może zachować ograniczone dane dowodowe dotyczące bezpieczeństwa, akceptacji dokumentów, rozliczeń z Administratorem, obsługi roszczeń i realizacji dyspozycji, gdy działa wobec tych danych jako odrębny administrator i posiada własną podstawę prawną. Takie dane nie są wykorzystywane do dalszego świadczenia terapii.

8. W przypadku prawnego zakazu usunięcia, zabezpieczenia dowodów albo udokumentowanego polecenia zachowania danych Procesor może zastosować blokadę usunięcia w wymaganym zakresie.

§13. Ocena skutków i konsultacje

1. Procesor udostępnia Administratorowi informacje o funkcjach, kategoriach danych, środkach bezpieczeństwa, lokalizacjach i dalszych podmiotach, które są racjonalnie potrzebne do oceny ryzyka oraz oceny skutków dla ochrony danych.

2. Administrator samodzielnie ustala, czy jego sposób korzystania z Serwisu wymaga DPIA, w szczególności z uwagi na dane zdrowotne, dane dzieci, skalę przetwarzania albo systematyczność przetwarzania.

3. Jeżeli ocena wykaże wysokie ryzyko, którego Administrator nie może ograniczyć, Administrator odpowiada za przeprowadzenie uprzednich konsultacji z organem nadzorczym. Procesor udziela pomocy w zakresie dotyczącym jego usług.

§14. Informacje, audyty i kontrole

1. Procesor udostępnia Administratorowi informacje potrzebne do wykazania zgodności z art. 28 RODO, w szczególności niniejszą Umowę, Listę podprocesorów i opis środków bezpieczeństwa.

2. Administrator może raz w roku przeprowadzić audyt zgodności Procesora lub zlecić go niezależnemu audytorowi związanym poufnością, chyba że: a) wystąpiło naruszenie dotyczące danych Administratora; b) organ nadzorczy wymaga audytu; c) istnieją uzasadnione przesłanki istotnej niezgodności.

3. Audyt powinien być poprzedzony co najmniej 30-dniowym zawiadomieniem, odbywać się w godzinach pracy, nie zakłócać bezpieczeństwa ani świadczenia usług i nie może ujawniać danych innych Gabinetów, tajemnic innych klientów ani informacji zwiększających ryzyko ataku.

4. W pierwszej kolejności Strony wykorzystują dokumentację, odpowiedzi pisemne, raporty dostawców i zdalną kontrolę. Kontrola na miejscu jest stosowana, gdy powyższe środki są niewystarczające.

5. Administrator ponosi uzasadnione koszty dodatkowego audytu, chyba że audyt wykaże istotne naruszenie obowiązków Procesora.

6. Procesor współpracuje z właściwym organem nadzorczym w zakresie wymaganym prawem.

§15. Poufność

1. Strony zachowują w poufności informacje uzyskane w związku z Umową, z wyjątkiem przypadków wymaganych prawem albo niezbędnych do realizacji praw i obowiązków dotyczących ochrony danych.

2. Procesor zapewnia, że osoby mające dostęp do powierzonych danych są odpowiednio upoważnione i objęte obowiązkiem poufności.

3. Obowiązek poufności trwa również po zakończeniu Umowy.

§16. Odpowiedzialność

1. Każda Strona odpowiada za wykonanie obowiązków przypisanych jej przez RODO i niniejszą Umowę.

2. Administrator odpowiada w szczególności za legalność celów, podstawy prawne, obowiązki informacyjne, treść dokumentacji, nadanie uprawnień, realizację praw osób oraz ustalenie retencji danych swoich pacjentów.

3. Procesor odpowiada za przetwarzanie niezgodne z udokumentowanym poleceniem Administratora oraz za niewykonanie obowiązków nałożonych bezpośrednio na podmiot przetwarzający.

4. Postanowienia dotyczące odpowiedzialności nie ograniczają praw osób ani odpowiedzialności, której nie można ograniczyć na podstawie art. 82 RODO lub innych bezwzględnie obowiązujących przepisów.

§17. Zakończenie Umowy

1. Umowa wygasa po zakończeniu świadczenia Serwisu i wykonaniu obowiązków zwrotu lub usunięcia danych, z uwzględnieniem cyklu kopii zapasowych i danych przechowywanych na podstawie prawa.

2. Postanowienia dotyczące poufności, audytów, odpowiedzialności, danych dowodowych i ochrony danych zachowują skuteczność w zakresie niezbędnym po zakończeniu Umowy.

3. Administrator powinien przed zamknięciem Konta pobrać dane, które ma obowiązek zachować. Procesor udziela informacji o dostępnych sposobach eksportu.

§18. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, polskie przepisy o ochronie danych oraz postanowienia Regulaminu, o ile nie są sprzeczne z niniejszą Umową.

2. W przypadku sprzeczności dotyczącej przetwarzania powierzonych danych pierwszeństwo ma niniejsza Umowa.

3. Aktualna Lista dalszych podmiotów przetwarzających stanowi integralną część Umowy w zakresie informacji o produkcyjnym łańcuchu podpowierzenia.

4. Zmiana Umowy wymagająca ponownej akceptacji jest publikowana jako nowa wersja. Historyczne wersje i dowody akceptacji pozostają zachowane.

5. Kontaktem Procesora w sprawach ochrony danych jest: kontakt@mapaterapii.pl.