Legal

Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część Umowy pomiędzy Catchy Media Sp. z o.o. a Klientem i zostaje włączona do Ogólnych Warunków Umowy ("OWU") przez odniesienie. Po włączeniu do Umowy ma pierwszeństwo przed OWU w zakresie spraw dotyczących przetwarzania danych.

Wersja: v2026-06

Data wejścia w życie: 30 czerwca 2026

Rejestracja: NIP 9571150950, Gdańsk, Polska

Prawo właściwe: prawo polskie, sądy właściwe dla siedziby Catchy Media Sp. z o.o. w Gdańsku

Kontakt: Catchy Media Sp. z o.o., Al. Grunwaldzka 56/113, 80-241 Gdańsk, Polska — [email protected] (godziny robocze)

Catchy Media Sp. z o.o. działa jako Podmiot Przetwarzający w odniesieniu do Danych Osobowych Klienta przetwarzanych w imieniu Klienta.

Klient działa jako Administrator Danych w odniesieniu do Danych Osobowych Klienta.

Strony zamierzają wdrożyć umowę powierzenia przetwarzania danych zgodną z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych ("RODO").

Strony określają swoje prawa i obowiązki zgodnie z art. 28 RODO.

W niniejszej DPA poniższe terminy pisane wielką literą mają znaczenie wskazane niżej. Termin użyty w liczbie pojedynczej obejmuje również liczbę mnogą i odwrotnie.

Catchy Media / My / Nas Catchy Media Sp. z o.o., spółka z ograniczoną odpowiedzialnością z siedzibą w Gdańsku, Polska, NIP 9571150950.

Klient / Ty osoba fizyczna lub prawna zawierająca Umowę z Catchy Media Sp. z o.o. o świadczenie Usług, działająca jako Administrator Danych w odniesieniu do Danych Osobowych Klienta.

Umowa niniejsza DPA, OWU, odpowiednia oferta lub potwierdzenie zamówienia oraz wszystkie załączniki.

Dane Osobowe Klienta wszelkie Dane Osobowe przetwarzane przez Catchy Media Sp. z o.o. w imieniu Klienta na podstawie Umowy lub w związku z nią.

Przepisy o Ochronie Danych RODO oraz właściwe krajowe przepisy wykonawcze, ze zmianami lub aktami zastępującymi.

EOG Europejski Obszar Gospodarczy

RODO Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.

Usługi narzędzia cyfrowe, platformy i usługi świadczone przez Catchy Media Sp. z o.o. zgodnie z OWU.

Sub-processor każdy podmiot trzeci zaangażowany przez Catchy Media Sp. z o.o. do przetwarzania Danych Osobowych Klienta w jej imieniu w związku z Umową.

Terminy "Administrator", "Osoba, której dane dotyczą", "Dane Osobowe", "Naruszenie Ochrony Danych Osobowych", "Przetwarzanie", "Podmiot Przetwarzający" oraz "Organ Nadzorczy" mają znaczenie nadane im w RODO.

Przedmiot

Catchy Media Sp. z o.o. przetwarza Dane Osobowe Klienta w imieniu Klienta w celu świadczenia Usług opisanych w niniejszej DPA i Umowie.

Charakter i cel

Charakter i cel przetwarzania, rodzaje Danych Osobowych oraz kategorie osób, których dane dotyczą, określono w sekcji Czynności przetwarzania niniejszej DPA.

Czas trwania

Catchy Media Sp. z o.o. przetwarza Dane Osobowe Klienta przez czas obowiązywania Umowy, chyba że strony uzgodnią inaczej na piśmie albo wymagają tego przepisy prawa. Po rozwiązaniu lub wygaśnięciu Umowy Catchy Media Sp. z o.o. postępuje z Danymi Osobowymi Klienta zgodnie z sekcją Usunięcie lub zwrot Danych Osobowych Klienta.

Catchy Media Sp. z o.o. zobowiązuje się:

przetwarzać Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, chyba że obowiązek przetwarzania wynika z prawa; w takim przypadku Catchy Media Sp. z o.o., w zakresie dozwolonym prawem, informuje Klienta o tym obowiązku przed rozpoczęciem przetwarzania;

zapewnić, aby osoby upoważnione do przetwarzania Danych Osobowych Klienta były związane odpowiednimi zobowiązaniami do zachowania poufności;

wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa adekwatny do ryzyka przetwarzania, zgodnie z art. 32 RODO i sekcją Środki bezpieczeństwa niniejszej DPA;

pomagać Klientowi w realizacji obowiązków dotyczących odpowiedzi na żądania osób, których dane dotyczą, wynikających z rozdziału III RODO, z uwzględnieniem charakteru przetwarzania;

pomagać Klientowi w realizacji obowiązków wynikających z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA i uprzednie konsultacje), z uwzględnieniem charakteru przetwarzania i informacji dostępnych Catchy Media Sp. z o.o.;

według wyboru Klienta usunąć lub zwrócić Klientowi wszystkie Dane Osobowe Klienta po rozwiązaniu lub wygaśnięciu Umowy oraz usunąć istniejące kopie, chyba że ich przechowywania wymagają przepisy prawa;

udostępniać Klientowi wszelkie informacje rozsądnie niezbędne do wykazania zgodności z niniejszą DPA oraz obowiązkami określonymi w art. 28 RODO; oraz

niezwłocznie powiadomić Klienta, jeżeli w ocenie Catchy Media Sp. z o.o. polecenie Klienta narusza obowiązujące Przepisy o Ochronie Danych.

Ogólna autoryzacja

Klient udziela Catchy Media Sp. z o.o. ogólnej zgody na korzystanie z Sub-processorów w celu świadczenia Usług. Aktualna lista zatwierdzonych Sub-processorów znajduje się w sekcji Zatwierdzeni Sub-processorzy niniejszej DPA. Aktualna lista jest dostępna dla Klientów na pisemny wniosek pod adresem [email protected].

Nowi Sub-processorzy

Catchy Media Sp. z o.o. może dodawać lub zastępować Sub-processorów w dowolnym czasie. Aktualna lista zatwierdzonych Sub-processorów jest dostępna na pisemny wniosek pod adresem [email protected] zgodnie z sekcją Ogólna autoryzacja. Klient może w dowolnym czasie zgłosić pisemny sprzeciw wobec Sub-processora. Jeżeli Catchy Media Sp. z o.o. nie może uwzględnić rozsądnego, udokumentowanego sprzeciwu, Klient może wypowiedzieć Umowę lub odpowiednią część Usług z 30-dniowym okresem wypowiedzenia, bez kary.

Sprzeciw

Jeżeli Klient zgłosi rozsądny, udokumentowany sprzeciw wobec nowego Sub-processora, a Catchy Media Sp. z o.o. nie może go uwzględnić, Klient może wypowiedzieć Umowę lub odpowiednią część Usług z 30-dniowym okresem wypowiedzenia, bez kary.

Obowiązki Sub-processorów

Catchy Media Sp. z o.o. nakłada na każdego Sub-processora obowiązki ochrony danych nie mniej ochronne niż obowiązki określone w niniejszej DPA. Catchy Media Sp. z o.o. pozostaje wobec Klienta w pełni odpowiedzialna za wykonanie obowiązków każdego Sub-processora.

Pomoc przy żądaniach osób, których dane dotyczą

Catchy Media Sp. z o.o., z uwzględnieniem charakteru przetwarzania, pomaga Klientowi poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych umożliwiających Klientowi odpowiadanie na żądania osób, których dane dotyczą, wykonujących prawa z rozdziału III RODO (w tym prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu).

Powiadomienie o żądaniach

Catchy Media Sp. z o.o. niezwłocznie powiadomi Klienta, jeśli otrzyma żądanie osoby, której dane dotyczą, odnoszące się do Danych Osobowych Klienta, i nie odpowie na takie żądanie inaczej niż na udokumentowane polecenie Klienta albo gdy wymagają tego przepisy prawa.

Środki techniczne

Uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych, Catchy Media Sp. z o.o. wdraża i utrzymuje odpowiednie środki techniczne i organizacyjne, w tym:

szyfrowanie Danych Osobowych Klienta w tranzycie i spoczynku;

zapewnienie poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania;

zdolność do szybkiego przywrócenia dostępności i dostępu do Danych Osobowych Klienta w razie incydentu fizycznego lub technicznego;

proces regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych służących bezpieczeństwu przetwarzania;

kontrole dostępu zapewniające, że Dane Osobowe Klienta są dostępne wyłącznie dla upoważnionych osób zgodnie z zasadą niezbędnej wiedzy;

pseudonimizację Danych Osobowych Klienta, gdy jest to właściwe i rozsądnie możliwe.

Obowiązek poufności

Catchy Media Sp. z o.o. podejmuje rozsądne działania, aby osoby mające dostęp do Danych Osobowych Klienta były objęte odpowiednimi zobowiązaniami do zachowania poufności.

Przetwarzanie na udokumentowane polecenie

Catchy Media Sp. z o.o. zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych Klienta robią to wyłącznie zgodnie z udokumentowanymi poleceniami Klienta oraz warunkami niniejszej DPA.

Obowiązek powiadomienia

Catchy Media Sp. z o.o. powiadomi Klienta bez zbędnej zwłoki, a w każdym razie w terminie 72 godzin od stwierdzenia, o każdym Naruszeniu Ochrony Danych Osobowych dotyczącym Danych Osobowych Klienta.

Treść powiadomienia

Takie powiadomienie będzie zawierać, w zakresie dostępnych w danym momencie informacji:

opis charakteru Naruszenia Ochrony Danych Osobowych, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów objętych naruszeniem;

imię i dane kontaktowe osoby kontaktowej ds. ochrony danych w Catchy Media Sp. z o.o.;

opis prawdopodobnych konsekwencji Naruszenia Ochrony Danych Osobowych; oraz

opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym w razie potrzeby środków ograniczających jego możliwe negatywne skutki.

Powiadomienie etapowe

Jeżeli wszystkie informacje wymagane zgodnie z sekcją Treść powiadomienia nie są dostępne w chwili pierwszego powiadomienia, Catchy Media Sp. z o.o. przekaże pozostałe informacje etapami bez zbędnej zwłoki.

Współpraca i działania naprawcze

Catchy Media Sp. z o.o. będzie współpracować z Klientem i podejmie rozsądne działania wspierające zbadanie, ograniczenie i usunięcie skutków Naruszenia Ochrony Danych Osobowych. Catchy Media Sp. z o.o. przekaże Klientowi informacje wystarczające do wykonania przez Klienta jego własnych obowiązków notyfikacyjnych wynikających z Przepisów o Ochronie Danych.

Pomoc przy DPIA

Catchy Media Sp. z o.o. zapewni Klientowi rozsądną pomoc przy ocenach skutków dla ochrony danych (DPIA) oraz uprzednich konsultacjach z Organami Nadzorczymi lub innymi właściwymi organami ochrony prywatności, które Klient rozsądnie uzna za wymagane na podstawie art. 35 i 36 RODO, wyłącznie w zakresie przetwarzania Danych Osobowych Klienta przez Catchy Media Sp. z o.o. oraz z uwzględnieniem charakteru przetwarzania i informacji dostępnych Catchy Media Sp. z o.o.

Proaktywne powiadomienie o DPIA

Jeżeli Catchy Media Sp. z o.o. dowie się, że nowa czynność przetwarzania prawdopodobnie wymaga DPIA na podstawie art. 35 RODO, poinformuje o tym Klienta.

Informacje i dowody zgodności

Catchy Media Sp. z o.o. udostępni Klientowi, na rozsądny pisemny wniosek, wszelkie informacje rozsądnie niezbędne do wykazania zgodności z obowiązkami określonymi w niniejszej DPA oraz art. 28 RODO.

Audyt i inspekcja

Catchy Media Sp. z o.o. umożliwi i przyczyni się do audytów oraz inspekcji prowadzonych przez Klienta lub upoważnionego zewnętrznego audytora, pod warunkiem że:

Klient przekaże co najmniej 30 dni wcześniejszego pisemnego powiadomienia o audycie;

audyty będą prowadzone w godzinach pracy i w sposób minimalizujący zakłócenia działalności Catchy Media Sp. z o.o.;

audytor będzie związany odpowiednimi zobowiązaniami do zachowania poufności; oraz

koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie niniejszej DPA przez Catchy Media Sp. z o.o.

Certyfikacje jako odpowiednik audytu

Catchy Media Sp. z o.o. może spełnić obowiązki audytowe w całości lub częściowo poprzez udostępnienie odpowiedniej dokumentacji bezpieczeństwa albo dostępnych wewnętrznych raportów audytowych.

Rezydencja danych w UE

Catchy Media Sp. z o.o. domyślnie przechowuje i przetwarza Dane Osobowe Klienta na terenie Europejskiego Obszaru Gospodarczego (EOG), korzystając z infrastruktury hostowanej w UE tam, gdzie jest dostępna.

Transfery poza EOG

Jeżeli korzystanie z Sub-processora wymaga przekazania Danych Osobowych Klienta do państwa spoza EOG, które nie korzysta z decyzji stwierdzającej odpowiedni stopień ochrony na podstawie art. 45 RODO, Catchy Media Sp. z o.o. zapewni, że taki transfer podlega odpowiednim zabezpieczeniom, w tym:

standardowym klauzulom umownym (SCC) przyjętym przez Komisję Europejską na podstawie art. 46 ust. 2 lit. c RODO; lub

innemu mechanizmowi transferu uznawanemu za ważny na podstawie obowiązujących Przepisów o Ochronie Danych.

Mechanizmy transferu Sub-processorów

Właściwe mechanizmy transferu dla każdego Sub-processora określono w sekcji Zatwierdzeni Sub-processorzy.

Zwrot lub usunięcie po zakończeniu Umowy

Po rozwiązaniu lub wygaśnięciu Umowy Catchy Media Sp. z o.o., według wyboru Klienta:

udostępni Dane Osobowe Klienta do eksportu przez Platformę przez okres 30 dni po zakończeniu Umowy; i/lub

bezpiecznie usunie lub zanonimizuje wszystkie Dane Osobowe Klienta w terminie 30 dni od końca okresu eksportu.

Potwierdzenie usunięcia

Catchy Media Sp. z o.o. potwierdzi zakończenie usuwania na rozsądny wniosek Klienta, z zastrzeżeniem obowiązków przechowywania wynikających z prawa.

Prawnie wymagane przechowywanie

Niezależnie od powyższego Catchy Media Sp. z o.o. może przechowywać Dane Osobowe Klienta w zakresie wymaganym przez obowiązujące przepisy prawa (w tym polskie przepisy podatkowe i rachunkowe wymagające przechowywania dokumentacji finansowej); w takim przypadku Catchy Media Sp. z o.o. zapewni, że dane będą przetwarzane wyłącznie w celach wymaganych prawem i chronione odpowiednimi środkami bezpieczeństwa.

Obowiązki usunięcia po stronie Sub-processorów

Catchy Media Sp. z o.o. zapewni, aby Sub-processorzy usunęli lub zwrócili Dane Osobowe Klienta zgodnie z niniejszą DPA po zakończeniu odpowiedniego stosunku dalszego powierzenia.

Relacja z Umową

Niniejsza DPA stanowi część Umowy i podlega jej postanowieniom. W razie sprzeczności pomiędzy niniejszą DPA a OWU w zakresie spraw dotyczących przetwarzania danych, pierwszeństwo ma niniejsza DPA.

Poufność

Każda ze stron zachowa w poufności warunki niniejszej DPA oraz informacje otrzymane o drugiej stronie w związku z DPA, z wyjątkiem sytuacji wymaganych przez prawo lub niezbędnych do wykonania obowiązków wynikających z niniejszej DPA.

Odpowiedzialność

Odpowiedzialność każdej ze stron na podstawie niniejszej DPA podlega ograniczeniom i wyłączeniom wskazanym w postanowieniach o odpowiedzialności OWU, chyba że obowiązujące Przepisy o Ochronie Danych przewidują szerszą odpowiedzialność.

Zawiadomienia

Wszelkie zawiadomienia na podstawie niniejszej DPA będą przekazywane zgodnie z postanowieniami o zawiadomieniach OWU.

Zmiany

Catchy Media Sp. z o.o. może aktualizować niniejszą DPA w celu odzwierciedlenia zmian w Przepisach o Ochronie Danych lub swoich czynnościach przetwarzania, z co najmniej 30-dniowym wcześniejszym pisemnym powiadomieniem Klienta.

Prawo właściwe

Niniejsza DPA podlega prawu polskiemu. Spory wynikające z niniejszej DPA podlegają jurysdykcji sądów powszechnych właściwych dla siedziby Catchy Media Sp. z o.o. w Gdańsku, z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa.

Poniższe zestawienie określa przedmiot, charakter, cel, kategorie danych osobowych i kategorie osób, których dane dotyczą, dla każdej czynności przetwarzania wykonywanej przez Catchy Media Sp. z o.o. w imieniu Klienta.

Czynność przetwarzania Kategorie Danych Osobowych Osoby, których dane dotyczą Cel Retencja

Zarządzanie kontem i dostęp do Platformy Imię i nazwisko, adres e-mail, nazwa firmy, stanowisko, dane logowania, logi użycia Upoważnieni użytkownicy Klienta (pracownicy / współpracownicy) Dostęp do Platformy, zarządzanie subskrypcją, rozliczenia, wsparcie Czas trwania Umowy + 30 dni

PPCMax AI Agent Identyfikatory kont Google Ads, dane kampanii, identyfikatory segmentów odbiorców, metryki efektywności, treści związane z kontami Klienta Klient i odbiorcy reklam Klienta Automatyczne raportowanie, analiza odbiorców, sugestie treści Sesyjnie; logi przechowywane do 90 dni

Obsługa klienta Imię i nazwisko, adres e-mail, treść rozmów wsparcia, kontekst użycia Upoważnieni użytkownicy Klienta Rozwiązywanie problemów i wsparcie klienta 2 lata od ostatniej interakcji

E-mail transakcyjny Imię i nazwisko, adres e-mail Upoważnieni użytkownicy Klienta Powiadomienia systemowe, alerty rozliczeniowe, wiadomości onboardingowe Czas trwania Umowy + 30 dni

Analityka produktu Adres IP, dane sesji, zdarzenia użycia funkcji, typ urządzenia/przeglądarki Upoważnieni użytkownicy Klienta Rozwój Platformy i analityka produktu Do 12 miesięcy

Rejestrowanie błędów i monitoring Adres IP, kontekst błędu, identyfikatory użytkownika w logach Upoważnieni użytkownicy Klienta Stabilność i bezpieczeństwo Platformy oraz diagnostyka błędów Do 90 dni

Uwierzytelnianie Adres e-mail, tokeny uwierzytelniające, identyfikatory użytkownika Upoważnieni użytkownicy Klienta Bezpieczne uwierzytelnianie i zarządzanie sesją Czas trwania Umowy + 30 dni

Szczególne kategorie danych osobowych: Catchy Media Sp. z o.o. w zwykłych warunkach świadczenia Usług nie przetwarza w imieniu Klienta szczególnych kategorii danych osobowych (w rozumieniu art. 9 RODO). Jeżeli Klient wymaga przetwarzania takich danych, musi to zostać uzgodnione na piśmie z udokumentowaną konkretną podstawą prawną przed rozpoczęciem przetwarzania.

Poniżsi Sub-processorzy są zatwierdzeni na dzień wejścia w życie niniejszej DPA. Klienci mogą w dowolnym czasie poprosić o aktualną wersję listy, kontaktując się pod adresem [email protected].

Sub-processor Cel Lokalizacja Mechanizm transferu

Convex, Inc. Baza danych Platformy, obsługa uwierzytelniania, przechowywanie plików i stan operacyjny Usługi USA / infrastruktura globalna SCC (Convex Data Processing Addendum)

Vercel Inc. Hosting Platformy i strony internetowej, infrastruktura wdrożeniowa, przekazywanie danych monitoringu oraz pośredniczenie w zapytaniach do dostawców modeli AI USA / infrastruktura globalna SCC (Vercel Data Processing Addendum)

Cloudflare, Inc. Hosting wewnętrznych usług integracyjnych Google Analytics 4 i Google Tag Manager oraz routing edge USA / infrastruktura globalna SCC (Cloudflare Data Processing Addendum)

Google LLC Google OAuth, Google Ads API, Google Merchant Center API, Google Cloud Logging i wnioskowanie modeli Gemini, gdy wybrane UE / USA / infrastruktura globalna SCC (Google Data Processing Terms)

Google LLC (Google Analytics 4) Dostęp do właściwości analitycznych, raportowanie analityczne i pobieranie danych GA4, gdy połączone przez Klienta UE / USA / infrastruktura globalna SCC (Google Data Processing Terms)

Google LLC (Google Tag Manager) Dostęp do kont, kontenerów i przestrzeni roboczych Tag Manager, gdy połączone przez Klienta UE / USA / infrastruktura globalna SCC (Google Data Processing Terms)

Firecrawl Pobieranie i przetwarzanie treści publicznie dostępnych stron produktowych lub stron konkurencji USA / infrastruktura globalna SCC lub warunki przetwarzania danych dostawcy, gdy mają zastosowanie

Browser Use Zdalna automatyzacja przeglądarki i zarządzane sesje przeglądarkowe do zbierania danych ze stron internetowych USA / infrastruktura globalna SCC lub warunki przetwarzania danych dostawcy, gdy mają zastosowanie

OpenAI, L.L.C. Wnioskowanie modeli AI, gdy model OpenAI zostanie wybrany przez Vercel AI Gateway USA / infrastruktura globalna SCC (OpenAI Data Processing Addendum)

Anthropic, PBC Wnioskowanie modeli AI, gdy model Anthropic Claude zostanie wybrany przez Vercel AI Gateway USA / infrastruktura globalna SCC (Anthropic Data Processing Addendum)

Stripe Payments Europe, Limited / Stripe, Inc. Konfiguracja metody płatności, przetwarzanie płatności, portal rozliczeniowy i rekordy płatności związane z subskrypcją UE / USA / infrastruktura globalna SCC (Stripe Data Processing Agreement)

Metronome Technologies, Inc. Katalog pakietów, pomiar użycia, kontrakty rozliczeniowe i rekordy użycia związane z fakturowaniem USA / infrastruktura globalna SCC (Metronome Data Processing Addendum)

Sentry, Inc. Monitoring błędów aplikacji i kontekst zdarzeń diagnostycznych USA / region UE tam, gdzie dostępny SCC (Sentry Data Processing Addendum)

Uwaga: Catchy Media Sp. z o.o. dąży do korzystania z infrastruktury w regionie UE tam, gdzie jest dostępna. Niektórzy Sub-processorzy są używani wyłącznie wtedy, gdy odpowiednia funkcja jest włączona lub wybrana przez Klienta, w tym dostęp do Google Analytics 4 / Google Tag Manager, pobieranie treści stron internetowych oraz opcjonalni dostawcy modeli AI. Jeżeli Sub-processor znajduje się poza EOG, stosowane są odpowiednie zabezpieczenia transferu (standardowe klauzule umowne lub decyzje stwierdzające odpowiedni stopień ochrony). Klienci mogą poprosić o kopie właściwych SCC, kontaktując się pod adresem [email protected].

Ostatnia aktualizacja: 30 czerwca 2026 — Wersja v2026-06