ZAŁĄCZNIK NR 1 DO REGULAMINU B2B EIGHT GATE

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Wersja 1.0 | obowiązuje od: 1 listopada 2026 r.

Spis treści

• § 1. Postanowienia ogólne
• § 2. Zakres powierzenia
• § 3. Polecenia Klienta B2B
• § 4. Obowiązki Eight Gate
• § 5. Bezpieczeństwo przetwarzania
• § 6. Dalsze podmioty przetwarzające
• § 7. Przekazywanie Danych do państw trzecich
• § 8. Naruszenie ochrony Danych
• § 9. Wykazanie zgodności i audyt
• § 10. Usunięcie i zwrot Danych
• § 11. Odpowiedzialność
• § 12. Postanowienia końcowe

§ 1. Postanowienia ogólne

1. Umowa Powierzenia określa zasady, na jakich EIGHT GATE spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie (dalej: „Eight Gate”) przetwarza w imieniu Klienta B2B dane osobowe Klientów Końcowych i innych odbiorców przesyłek, związane z realizacją Zamówień, w zakresie określonym w § 2 (dalej: „Dane”). Umowa Powierzenia stanowi Załącznik nr 1 do Regulaminu B2B, a pełne dane Eight Gate i sposoby kontaktu z nim wskazuje § 1 Regulaminu B2B.

2. Umowa Powierzenia zostaje zawarta w postaci elektronicznej, spełniającej wymóg formy określony w art. 28 ust. 9 RODO, wraz z Umową B2B, na podstawie akceptacji Regulaminu B2B wraz z Umową Powierzenia, dokonanej przy rejestracji Konta B2B. Umowa Powierzenia obowiązuje przez czas obowiązywania Umowy B2B, a po jej rozwiązaniu do chwili zakończenia przetwarzania Danych zgodnie z § 10.

3. W zakresie Danych Klient B2B jest administratorem, a Eight Gate podmiotem przetwarzającym w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: „RODO”). Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie B2B, a pojęcia dotyczące ochrony danych osobowych znaczenie nadane im w RODO.

4. Umowa Powierzenia nie dotyczy danych osobowych, które Eight Gate przetwarza jako administrator, w szczególności danych osób działających w imieniu Klienta B2B, o których mowa w § 11 ust. 1 Regulaminu B2B, ani przetwarzania Danych w zakresie określonym w § 3 ust. 4 i 5. Zasady takiego przetwarzania określa Polityka Prywatności.

5. W sprawach ochrony danych osobowych Umowa Powierzenia ma pierwszeństwo przed pozostałymi postanowieniami Regulaminu B2B, a w sprawach w niej nieuregulowanych stosuje się Regulamin B2B.

§ 2. Zakres powierzenia

1. Przedmiot, charakter, cel i czas przetwarzania oraz rodzaj Danych i kategorie osób, których one dotyczą, określa poniższe zestawienie:

2. Powierzenie nie obejmuje szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących i czynów zabronionych.

§ 3. Polecenia Klienta B2B

1. Eight Gate przetwarza Dane wyłącznie na udokumentowane polecenie Klienta B2B, także w zakresie ich przekazywania do państwa trzeciego. Poleceniem są Regulamin B2B wraz z Umową Powierzenia, Zamówienia oraz dyspozycje złożone przez Klienta B2B w Panelu B2B, za pomocą Integracji albo wiadomością e-mail przesłaną z adresu przypisanego do Konta B2B.

2. Złożenie Zamówienia, a także zlecenie ponownej wysyłki Produktu, stanowi polecenie przekazania Danych Dostawcy, który wysyła Produkt, także wtedy, gdy Dostawca przetwarza Dane w państwie spoza Europejskiego Obszaru Gospodarczego wskazanym w Wykazie, o którym mowa w § 6 ust. 2, oraz przekazania ich, przez Dostawcę albo Eight Gate, przewoźnikowi, który doręcza przesyłkę.

3. Jeżeli zdaniem Eight Gate polecenie narusza RODO lub inne przepisy o ochronie danych osobowych, Eight Gate niezwłocznie informuje o tym Klienta B2B i może wstrzymać wykonanie polecenia do czasu jego zmiany albo wyjaśnienia wątpliwości, nie pozostając w tym czasie w opóźnieniu. Jeżeli Klient B2B podtrzymuje takie polecenie, Eight Gate może wypowiedzieć Umowę B2B ze skutkiem natychmiastowym.

4. Eight Gate przetwarza Dane także w zakresie, w jakim wymagają tego przepisy prawa Unii Europejskiej lub prawa polskiego, którym Eight Gate podlega, w szczególności przepisy celne i podatkowe dotyczące Produktów sprowadzanych spoza Unii Europejskiej oraz przepisy o bezpieczeństwie produktów, w tym wtedy, gdy konieczne jest bezpośrednie powiadomienie Klientów Końcowych o wycofaniu lub odzyskaniu Produktu. O innym obowiązku prawnym wymagającym przetwarzania Danych Eight Gate informuje Klienta B2B przed rozpoczęciem przetwarzania, chyba że prawo zabrania udzielenia takiej informacji z uwagi na ważny interes publiczny.

5. Eight Gate może ponadto przetwarzać jako odrębny administrator Dane dotyczące Zamówienia, w związku z którym zgłoszono reklamację lub roszczenie albo powstał spór, w tym z Dostawcą lub przewoźnikiem, w zakresie niezbędnym do ustalenia, dochodzenia lub obrony roszczeń, nie dłużej niż do upływu terminu ich przedawnienia.

6. Klient B2B odpowiada za zgodność swoich poleceń z prawem, w szczególności za posiadanie podstawy prawnej do przetwarzania Danych i powierzenia ich Eight Gate oraz za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą, w tym w zakresie wskazanym w § 11 ust. 2 Regulaminu B2B.

§ 4. Obowiązki Eight Gate

1. Eight Gate:

a. dopuszcza do przetwarzania Danych wyłącznie upoważnione przez siebie osoby, które zobowiązały się do zachowania ich w tajemnicy albo podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;

b. stosuje środki bezpieczeństwa określone w § 5;

c. korzysta z usług dalszych podmiotów przetwarzających wyłącznie na zasadach określonych w § 6;

d. biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga Klientowi B2B, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, w zakresie wykonywania ich praw określonych w rozdziale III RODO;

e. uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga Klientowi B2B wywiązać się z obowiązków określonych w art. 32 do 36 RODO;

f. udostępnia Klientowi B2B informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów na zasadach określonych w § 9.

2. Pomoc, o której mowa w ust. 1 lit. d i e, polega w szczególności na:

a. sprostowaniu albo usunięciu na polecenie Klienta B2B Danych dotyczących wskazanego Zamówienia, w zakresie, w jakim jest to możliwe na danym etapie jego realizacji, z zastrzeżeniem § 3 ust. 4 i 5;

b. przekazaniu Klientowi B2B informacji o Danych przetwarzanych w związku z danym Zamówieniem przez Eight Gate i dalsze podmioty przetwarzające;

c. udostępnieniu informacji o przetwarzaniu Danych, środkach bezpieczeństwa i dalszych podmiotach przetwarzających, potrzebnych Klientowi B2B do oceny skutków dla ochrony danych, uprzednich konsultacji z organem nadzorczym i zgłoszenia naruszenia ochrony danych osobowych.

3. Żądanie osoby, której dane dotyczą, skierowane bezpośrednio do Eight Gate albo przekazane mu przez dalszy podmiot przetwarzający, Eight Gate przekazuje Klientowi B2B w terminie 3 Dni Roboczych od jego otrzymania i nie udziela na nie odpowiedzi w imieniu Klienta B2B.

4. Pomoc wykraczającą poza zakres określony w ust. 2, funkcje Panelu B2B i informacje, którymi Eight Gate dysponuje, Eight Gate może uzależnić od zwrotu uzasadnionych i udokumentowanych kosztów, o których wysokości informuje Klienta B2B przed jej udzieleniem, chyba że potrzeba pomocy wynika z naruszenia przez Eight Gate Umowy Powierzenia lub RODO.

§ 5. Bezpieczeństwo przetwarzania

1. Eight Gate wdraża i utrzymuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób, których dane dotyczą, w szczególności:

a. szyfruje Dane przesyłane przez sieć Internet;

b. nadaje dostęp do Danych w ramach indywidualnych kont, wyłącznie w zakresie niezbędnym do wykonywania obowiązków danej osoby, i chroni ten dostęp mechanizmami uwierzytelniania odpowiednimi do uprawnień konta;

c. chroni Panel B2B i Integracje przed nieuprawnionym dostępem i atakami, w szczególności przez zabezpieczenia sieciowe, filtrowanie ruchu sieciowego i monitorowanie zdarzeń bezpieczeństwa;

d. rejestruje istotne operacje wykonywane w systemach przetwarzających Dane;

e. wykonuje i zabezpiecza kopie zapasowe oraz zapewnia możliwość odtworzenia Danych po awarii;

f. aktualizuje oprogramowanie i usuwa wykryte podatności;

g. przekazuje Dostawcom wyłącznie Dane niezbędne do wysyłki danego Produktu;

h. utrzymuje bazę danych Panelu B2B na serwerach położonych w Unii Europejskiej, w centrach danych zapewniających ochronę fizyczną i kontrolę dostępu;

i. stosuje procedurę postępowania w razie naruszenia ochrony danych osobowych.

2. Eight Gate regularnie ocenia skuteczność środków bezpieczeństwa i w razie potrzeby je aktualizuje. Zmiana środków bezpieczeństwa, która nie obniża poziomu ochrony Danych, nie wymaga zgody Klienta B2B ani zmiany Umowy Powierzenia.

§ 6. Dalsze podmioty przetwarzające

1. Klient B2B udziela Eight Gate ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających, w szczególności:

a. Dostawców, którzy wysyłają Produkty na adres dostawy wskazany w Zamówieniu, w tym Dostawców przetwarzających Dane w państwach spoza Europejskiego Obszaru Gospodarczego;

b. dostawców infrastruktury informatycznej, w tym usług hostingu, ochrony sieci i poczty elektronicznej;

c. podmiotów świadczących na rzecz Eight Gate usługi informatyczne, w tym usługi utrzymania i rozwoju Panelu B2B i Integracji.

2. Eight Gate prowadzi wykaz dalszych podmiotów przetwarzających, wskazujący ich nazwę i siedzibę, zakres powierzonych im czynności, państwo, w którym przetwarzają Dane, a w przypadku państwa spoza Europejskiego Obszaru Gospodarczego także podstawę przekazania Danych (dalej: „Wykaz”). Eight Gate udostępnia Wykaz w Panelu B2B przed złożeniem pierwszego Zamówienia, a jego aktualną wersję także na żądanie Klienta B2B. Wykaz stanowi informację poufną w rozumieniu § 15 Regulaminu B2B.

3. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Eight Gate informuje Klienta B2B wiadomością e-mail co najmniej 7 dni przed wprowadzeniem zmiany. W tym terminie Klient B2B może wyrazić sprzeciw wobec zmiany, wskazując jego uzasadnienie dotyczące ochrony Danych. W razie sprzeciwu Eight Gate nie powierza Danych Klienta B2B temu podmiotowi, w szczególności wyłączając możliwość zamawiania przez Klienta B2B Produktów wysyłanych przez danego Dostawcę. Jeżeli nie jest to możliwe, Eight Gate informuje o tym Klienta B2B, a każda ze stron może wypowiedzieć Umowę B2B ze skutkiem natychmiastowym. Do czasu rozwiązania Umowy B2B Eight Gate może wstrzymać przyjmowanie Zamówień, których realizacja wymagałaby powierzenia Danych temu podmiotowi.

4. Jeżeli zastąpienie dalszego podmiotu przetwarzającego jest niezbędne ze względu na bezpieczeństwo Danych albo nagłe zaprzestanie lub istotne zakłócenie świadczenia usług przez dotychczasowy podmiot, Eight Gate może dokonać go przed upływem terminu określonego w ust. 3, informując o tym Klienta B2B przed wprowadzeniem zmiany. Klient B2B może wyrazić sprzeciw w terminie 7 dni od otrzymania tej informacji, ze skutkami określonymi w ust. 3.

5. Eight Gate powierza Dane dalszemu podmiotowi przetwarzającemu na podstawie umowy lub innego instrumentu prawnego, który nakłada na ten podmiot obowiązki ochrony danych odpowiadające obowiązkom Eight Gate wynikającym z Umowy Powierzenia, w zakresie właściwym dla powierzonych mu czynności, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Takim instrumentem mogą być standardowe warunki powierzenia stosowane przez dany podmiot, jeżeli spełniają wymogi art. 28 RODO. Wybierając dalszy podmiot przetwarzający, Eight Gate uwzględnia jego wiedzę fachową, wiarygodność i zasoby, a za wykonanie przez niego obowiązków ochrony danych odpowiada wobec Klienta B2B na zasadach określonych w § 11.

6. Przewoźnicy, którym Dostawcy albo Eight Gate przekazują Dane w celu doręczenia przesyłki, przetwarzają je jako odrębni administratorzy w związku ze świadczeniem usług przewozu i doręczania przesyłek i nie są dalszymi podmiotami przetwarzającymi, chyba że przewoźnik przetwarza Dane wyłącznie w imieniu Eight Gate, a wtedy Eight Gate wskazuje go w Wykazie.

§ 7. Przekazywanie Danych do państw trzecich

1. Eight Gate przekazuje Dane do państwa spoza Europejskiego Obszaru Gospodarczego wyłącznie dalszym podmiotom przetwarzającym wskazanym w Wykazie i tylko wtedy, gdy przekazanie spełnia warunki określone w rozdziale V RODO, w szczególności na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914, wraz ze środkami dodatkowymi, jeżeli są one niezbędne do zapewnienia Danym odpowiedniego stopnia ochrony.

2. Na żądanie Klienta B2B Eight Gate udostępnia mu kopię zabezpieczeń stosowanych przy przekazaniu Danych, z pominięciem postanowień handlowych i informacji stanowiących tajemnicę przedsiębiorstwa, w zakresie potrzebnym Klientowi B2B do wykonania obowiązków wobec osób, których dane dotyczą.

§ 8. Naruszenie ochrony Danych

1. Eight Gate zgłasza Klientowi B2B naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w terminie 36 godzin od jego stwierdzenia, wiadomością e-mail przesłaną na adres przypisany do Konta B2B.

2. Zgłoszenie zawiera informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są w tym czasie dostępne Eight Gate, a pozostałe informacje Eight Gate przekazuje sukcesywnie, bez zbędnej zwłoki. Eight Gate podejmuje działania niezbędne do zaradzenia naruszeniu i zminimalizowania jego skutków oraz informuje o nich Klienta B2B.

3. Zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osób, których dane dotyczą, dokonuje Klient B2B jako administrator, a Eight Gate dokonuje ich w imieniu Klienta B2B tylko wtedy, gdy strony tak uzgodnią w formie dokumentowej.

4. Zgłoszenie naruszenia przez Eight Gate nie oznacza uznania jego odpowiedzialności za to naruszenie.

§ 9. Wykazanie zgodności i audyt

1. Eight Gate wykazuje spełnienie obowiązków określonych w art. 28 RODO i w Umowie Powierzenia przede wszystkim przez udzielenie Klientowi B2B wyjaśnień w formie dokumentowej i udostępnienie dokumentów, w tym dotyczących dalszych podmiotów przetwarzających, w terminie 14 dni od otrzymania żądania.

2. Jeżeli Klient B2B wskaże w formie dokumentowej, dlaczego informacje te nie wystarczą do wykazania zgodności, może przeprowadzić audyt, w tym inspekcję, samodzielnie albo przez niezależnego audytora, zobowiązanego do zachowania poufności i niebędącego podmiotem konkurencyjnym wobec Eight Gate. Audyt może być przeprowadzony nie częściej niż raz na 12 miesięcy, po zawiadomieniu Eight Gate z co najmniej 30-dniowym wyprzedzeniem, a ponadto, po zawiadomieniu z co najmniej 7-dniowym wyprzedzeniem, po naruszeniu ochrony Danych, w razie uzasadnionego podejrzenia naruszenia przez Eight Gate Umowy Powierzenia albo na żądanie organu nadzorczego.

3. Audyt odbywa się w Dni Robocze, w godzinach pracy Eight Gate i w sposób niezakłócający jego działalności, w formie zdalnej, chyba że Klient B2B wskaże, że do osiągnięcia celu audytu niezbędna jest inspekcja na miejscu. Audyt obejmuje wyłącznie przetwarzanie Danych i nie daje dostępu do danych innych klientów Eight Gate ani do informacji stanowiących tajemnicę przedsiębiorstwa, które nie są niezbędne do jego przeprowadzenia.

4. W zakresie dalszych podmiotów przetwarzających Eight Gate umożliwia audyt przez udostępnienie posiadanych informacji i dokumentów dotyczących tych podmiotów, w tym ich raportów i certyfikatów, a w razie potrzeby przez skorzystanie z uprawnień kontrolnych przysługujących mu wobec nich.

5. Jeżeli audyt wykaże niezgodność przetwarzania Danych z Umową Powierzenia lub RODO, Eight Gate usuwa ją w terminie uzgodnionym z Klientem B2B, odpowiednim do jej wagi.

6. Każda ze stron ponosi własne koszty audytu.

§ 10. Usunięcie i zwrot Danych

1. Po upływie czasu przetwarzania określonego w § 2 ust. 1 Eight Gate usuwa Dane dotyczące danego Zamówienia albo trwale je anonimizuje, z zastrzeżeniem ust. 3.

2. Po rozwiązaniu Umowy B2B Klient B2B może, w terminie 14 dni od dnia jej rozwiązania, zażądać zwrotu Danych, a Eight Gate przekazuje mu je w powszechnie używanym formacie elektronicznym w terminie 14 dni od otrzymania żądania. Po zwrocie Danych albo po bezskutecznym upływie terminu na zgłoszenie żądania Eight Gate usuwa Dane wraz z ich kopiami w terminie 30 dni, z zastrzeżeniem ust. 3.

3. Obowiązek usunięcia Danych nie dotyczy:

a. Danych niezbędnych do wykonania Umów Sprzedaży zawartych przed rozwiązaniem Umowy B2B i zakończenia związanych z nimi spraw, o których mowa w § 8 i § 9 Regulaminu B2B, które Eight Gate przetwarza na zasadach Umowy Powierzenia do czasu ich zakończenia;

b. Danych przetwarzanych w zakresie określonym w § 3 ust. 4 i 5;

c. Danych zawartych w kopiach zapasowych, które są usuwane w cyklu ich rotacji, a do tego czasu pozostają zabezpieczone i nie są wykorzystywane do bieżącego przetwarzania.

4. Na żądanie Klienta B2B Eight Gate potwierdza usunięcie Danych w formie dokumentowej.

§ 11. Odpowiedzialność

1. Umowa Powierzenia nie ogranicza odpowiedzialności stron wobec osób, których dane dotyczą, ani wobec organu nadzorczego.

2. Do odpowiedzialności stron wobec siebie związanej z Umową Powierzenia, w tym do roszczeń, o których mowa w art. 82 ust. 5 RODO, stosuje się § 12 Regulaminu B2B.

§ 12. Postanowienia końcowe

1. Klient B2B składa oświadczenia i żądania dotyczące Umowy Powierzenia, w tym sprzeciw, o którym mowa w § 6 ust. 3 i 4, oraz żądania, o których mowa w § 6 ust. 2, § 7 ust. 2, § 9 i § 10, w formie dokumentowej, w szczególności na adres e-mail: privacy@eightgate.pl. Eight Gate przesyła Klientowi B2B informacje dotyczące Umowy Powierzenia na adres e-mail przypisany do Konta B2B.

2. Eight Gate może zmienić Umowę Powierzenia na zasadach określonych w § 16 Regulaminu B2B. Zmiana Wykazu dokonana zgodnie z § 6 nie stanowi zmiany Umowy Powierzenia.

3. Umowa Powierzenia wchodzi w życie z dniem 1 listopada 2026 r.