Umowa powierzenia przetwarzania danych osobowych

Wersja: 2026-10 · dotyczy adresu dentmargin.pl

---

Strony

Umowa zostaje zawarta w chwili, w której właściciel gabinetu zaznacza akceptację przy zakładaniu konta (albo później w panelu), pomiędzy:

Administratorem — gabinetem, który założył konto w DentMargin, reprezentowanym przez osobę zakładającą konto; nazwa, NIP i adres gabinetu są zapisane w koncie,

a

Maciejem Jakubcem, prowadzącym działalność gospodarczą pod firmą MACIEJ JAKUBIEC DENTPRIME, ul. Imbirowa 1, 51-311 Kiełczówek, NIP 5472181968 — dostawcą usługi DentMargin, zwanym dalej „Podmiotem przetwarzającym”.

Umowa stanowi załącznik do Regulaminu i jest integralną częścią umowy o świadczenie usługi DentMargin (dalej: „Umowa główna”). Dowodem zawarcia jest zapis akceptacji: konto, gabinet, wersja umowy, skrót SHA-256 jej treści oraz data i godzina. Właściciel gabinetu widzi zapis w panelu.

§1. Przedmiot, cel i czas przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym w niniejszej umowie, wyłącznie w celu świadczenia usługi DentMargin: analizy finansowej gabinetu (wynik, gotówka, marże, prowizje, koszty), prowadzenia przypadków leczenia w ujęciu administracyjno-finansowym oraz — wyłącznie gdy Administrator go włączy — modułu koordynacji z przypomnieniami dla pacjentów.
2. Przetwarzanie trwa przez okres obowiązywania Umowy głównej, a po jej zakończeniu — do czasu usunięcia albo zwrotu danych zgodnie z §9.
3. Charakter przetwarzania: zapisywanie, przechowywanie, porządkowanie, wyliczanie zestawień, udostępnianie członkom zespołu Administratora w ramach nadanych ról, wysyłka wiadomości (tylko moduł koordynacji), usuwanie.

§2. Rodzaj danych i kategorie osób

1. Pacjenci Administratora:
   1. pseudonim pacjenta (skrót kryptograficzny identyfikatora z programu gabinetowego, liczony w przeglądarce z kluczem gabinetu przed zapisem),
   2. numer karty pacjenta z programu gabinetowego przy planach leczenia (np. „P-42”),
   3. daty wizyt, rodzaje świadczeń, kwoty, wpłaty, plany leczenia i ich etapy,
   4. wyłącznie w module koordynacji, jeśli Administrator go włączy: adres e-mail i numer telefonu pacjenta oraz historia przypomnień.
   Dane z lit. c, w powiązaniu z osobą, mogą stanowić dane dotyczące zdrowia (art. 9 RODO). Pseudonimizacja nie jest anonimizacją (motyw 26 RODO). Podmiot przetwarzający nie przetwarza imion i nazwisk pacjentów, numerów PESEL ani dokumentacji medycznej; import pomija te kolumny.
2. Personel Administratora: imię i nazwisko lub etykieta lekarza (np. „Lekarz A”), zasady wynagrodzenia (stawka i podstawa prowizji), wyniki finansowe przypisane do lekarza; dane użytkowników kont: imię, adres e-mail, rola.

§3. Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się Umowę główną, niniejszą umowę oraz działania Administratora w panelu.
2. Zapewnia, by osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy.
3. Stosuje środki techniczne i organizacyjne z art. 32 RODO opisane w Załączniku 1.
4. Pomaga Administratorowi w wywiązaniu się z obowiązków wobec osób, których dane dotyczą (art. 12–23 RODO), w szczególności umożliwia usunięcie danych kontaktowych pacjenta i eksport danych. Wniosek osoby, której dane dotyczą, który trafi do Podmiotu przetwarzającego, przekazuje Administratorowi w ciągu 5 dni roboczych i sam nie odpowiada na niego co do istoty.
5. Pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje; w szczególności udostępnia opis przetwarzania i środków bezpieczeństwa potrzebny do oceny skutków dla ochrony danych (art. 35 RODO) i konsultacji z organem nadzorczym (art. 36 RODO), a także informuje o naruszeniach zgodnie z §6.
6. Informuje Administratora niezwłocznie, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO.

§4. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na dalsze powierzenie podmiotom wskazanym w Załączniku 2.
2. O zamiarze dodania lub zmiany dalszego podmiotu Podmiot przetwarzający informuje Administratora z wyprzedzeniem co najmniej 14 dni na adres e-mail konta właściciela. Administrator ma prawo wnieść sprzeciw w tym terminie; w razie braku porozumienia może wypowiedzieć Umowę główną ze skutkiem natychmiastowym.
3. Dalszy podmiot przetwarzający jest związany obowiązkami ochrony danych nie mniejszymi niż określone w niniejszej umowie. Podmiot przetwarzający odpowiada wobec Administratora za wykonanie obowiązków przez dalszy podmiot.

§5. Przekazywanie danych poza EOG

Dane są przechowywane w bazie w regionie UE (Irlandia). Dalsi podmioci przetwarzający, którzy mają siedzibę w USA albo przetwarzają dane w USA (Załącznik 2), przetwarzają dane na podstawie standardowych klauzul umownych Komisji Europejskiej albo certyfikacji w ramach EU–U.S. Data Privacy Framework — dla każdego z nich wskazanych w Załączniku 2. Kopie zapasowe są wyłącznie zaszyfrowane kluczem przechowywanym poza dostawcą kopii.

§6. Naruszenia ochrony danych

1. Podmiot przetwarzający informuje Administratora o stwierdzonym naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia, na adres e-mail konta właściciela gabinetu.
2. Informacja zawiera co najmniej dane z art. 33 ust. 3 RODO, w zakresie, w jakim są znane; brakujące informacje przekazuje się sukcesywnie.
3. Zgłoszenie naruszenia organowi nadzorczemu (art. 33 RODO) i zawiadomienie osób, których dane dotyczą (art. 34 RODO), należy do Administratora. Podmiot przetwarzający udziela mu informacji niezbędnych do tych czynności.

§7. Kontrola

1. Administrator ma prawo sprawdzić zgodność przetwarzania z umową, w szczególności przez żądanie informacji i dokumentów. Audyt na miejscu — po uzgodnieniu terminu, nie częściej niż raz w roku, chyba że zaszło naruszenie.
2. Podmiot przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§8. Moduł koordynacji (dane kontaktowe pacjentów)

1. Dane kontaktowe pacjentów są przetwarzane wyłącznie po włączeniu modułu przez Administratora w panelu. Włączenie jest możliwe dopiero po zaakceptowaniu niniejszej umowy w imieniu gabinetu — panel sprawdza istnienie zapisu akceptacji.
2. Każdy dostęp do danych kontaktowych jest zapisywany w dzienniku dostępnym dla właściciela i menedżera gabinetu.
3. Dane kontaktowe są usuwane automatycznie 90 dni po zamknięciu przypadku albo po wyłączeniu modułu; Administrator może ustawić okres od 1 do 730 dni.
4. Za podstawę prawną wysyłki wiadomości do pacjentów oraz za treść reguł przypomnień odpowiada Administrator.

§9. Zakończenie przetwarzania

1. Po zakończeniu Umowy głównej Podmiot przetwarzający, według wyboru Administratora, zwraca dane w formie eksportu albo je usuwa, w terminie 30 dni, chyba że prawo wymaga ich dalszego przechowywania.
2. Kopie zapasowe zawierające dane Administratora są usuwane w cyklu rotacji kopii, nie później niż 14 dni po usunięciu danych z bazy (14 ostatnich kopii dziennych).

§10. Obowiązki Administratora

1. Administrator odpowiada za podstawę prawną przetwarzania danych pacjentów i personelu (art. 6 oraz art. 9 ust. 2 RODO), za wykonanie wobec tych osób obowiązków informacyjnych (art. 13 i 14 RODO) oraz za zakres danych, które wprowadza do panelu.
2. Administrator nie wprowadza do panelu danych wykraczających poza zakres z §2, w szczególności dokumentacji medycznej i numerów PESEL.
3. Administrator nadaje dostęp do panelu tylko osobom, które go potrzebują, w roli odpowiedniej do zadań, i odbiera go po ustaniu potrzeby.

§11. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się Umowę główną i przepisy RODO. Odpowiedzialność stron wobec osób, których dane dotyczą, wynika z art. 82 RODO; między stronami — z Regulaminu.
2. Zmiany niniejszej umowy ogłaszamy jako nową wersję, z zachowaniem terminu z Regulaminu; nowa wersja wymaga nowej akceptacji, którą panel zapisuje tak samo jak pierwszą.
3. W razie sprzeczności z Umową główną w zakresie ochrony danych pierwszeństwo ma niniejsza umowa.

---

Załącznik 1. Środki techniczne i organizacyjne (art. 32 RODO)

Stan na 13 października 2026 r.; opis publiczny: Bezpieczeństwo danych.

Załącznik 2. Dalsi podmioci przetwarzający

Stripe Payments Europe, Limited przetwarza dane płatności jako odrębny administrator i nie otrzymuje danych pacjentów; nie jest dalszym podmiotem przetwarzającym. Biuro rachunkowe Administratora uzyskuje dostęp do panelu wyłącznie z jego zaproszenia, jako jego użytkownik.