Umowa Powierzenia Danych (DPA)

Strony umowy

Administrator danych (Klient):
Firma rejestrująca konto w Partflow — dane wskazane przy rejestracji.

Podmiot Przetwarzający:

SISBRAT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ

Mszalnica 191, 33-334 Kamionka Wielka · KRS: 0000825653

✉️ hello@partflow.cloud · 📞 +48 518 498 403

§1. Przedmiot umowy

Niniejsza umowa reguluje przetwarzanie danych osobowych pracowników Administratora przez SISBRAT Sp. z o.o. w celu świadczenia usługi zarządzania magazynem Partflow, zgodnie z art. 28 RODO.

ℹ️ Forma zawarcia umowy (art. 28 ust. 9 RODO): Zaznaczenie pola akceptacji DPA podczas rejestracji konta stanowi zawarcie niniejszej umowy w formie elektronicznej, co jest równoważne formie pisemnej zgodnie z art. 28 ust. 9 RODO oraz art. 61 Kodeksu Cywilnego. Data zawarcia umowy = data rejestracji konta.

§2. Rodzaj przetwarzanych danych i kategorie osób

Rodzaj danych (art. 28 ust. 3 lit. a RODO):

Imiona / pseudonimy pracowników
Role i uprawnienia w systemie
Historia operacji magazynowych
Hasła do logowania (przechowywane wyłącznie jako nieodwracalny skrót kryptograficzny — Podmiot Przetwarzający nie ma dostępu do haseł w postaci jawnej)

Kategorie osób, których dane dotyczą (art. 28 ust. 3 lit. a RODO):

Pracownicy i współpracownicy Administratora (magazynierzy, operatorzy, administratorzy systemu)

ℹ️ Brak danych szczególnej kategorii w rozumieniu art. 9 RODO (brak danych zdrowotnych, biometrycznych, politycznych itp.).

§3. Obowiązki Podmiotu Przetwarzającego (SISBRAT Sp. z o.o.)

Przetwarzanie wyłącznie na udokumentowane polecenie Administratora
Zapewnienie poufności osobom upoważnionym do przetwarzania
Wdrożenie środków bezpieczeństwa: szyfrowanie TLS, Row Level Security (RLS), codzienne backupy
Pomoc Administratorowi w realizacji praw osób (art. 15–22 RODO)
Powiadomienie o naruszeniu ochrony danych w ciągu 72 godzin od wykrycia
Usunięcie lub zwrot danych po zakończeniu umowy
Udostępnienie informacji niezbędnych do wykazania zgodności i audytu

§4. Dalsze powierzenie — subprocesorzy

Administrator wyraża ogólną zgodę na korzystanie z następujących subprocesorów:

Podmiot	Siedziba	Rola	Podstawa transferu
Supabase Inc.	USA	Baza danych i uwierzytelnianie	SCC (decyzja KE 2021/914)
Resend Inc.	USA	Wysyłka emaili systemowych	SCC
Stripe Inc.	USA	Przetwarzanie płatności	SCC
Hostinger UAB	Litwa (UE)	Hosting plików statycznych	Adequacy — EOG

O zmianach subprocesorów informujemy z 14-dniowym wyprzedzeniem emailem. Administrator może wnieść sprzeciw w tym terminie.

§5. Transfery poza EOG

Transfery do USA realizowane na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską — decyzja 2021/914/UE.

§6. Czas trwania i zakończenie

Umowa obowiązuje przez cały czas korzystania z Partflow.
Po rozwiązaniu umowy: dane usuwane w ciągu 30 dni.
Administrator może żądać potwierdzenia usunięcia danych na piśmie.

§7. Kontakt w sprawach DPA

✉️ hello@partflow.cloud
📞 +48 518 498 403
SISBRAT Sp. z o.o., Mszalnica 191, 33-334 Kamionka Wielka

Parties

Data Controller (Client):
The company registering an account on Partflow — details provided at registration.

Data Processor:

SISBRAT SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ

Mszalnica 191, 33-334 Kamionka Wielka, Poland · KRS: 0000825653

✉️ hello@partflow.cloud · 📞 +48 518 498 403

§1. Subject matter

This agreement governs the processing of personal data of the Controller's employees by SISBRAT Sp. z o.o. for the purpose of providing the Partflow warehouse management service, pursuant to Art. 28 GDPR.

ℹ️ Electronic form (Art. 28(9) GDPR): Checking the DPA acceptance box during account registration constitutes the conclusion of this agreement in electronic form, which is valid under Art. 28(9) GDPR. The date of the agreement = the date of account registration.

§2. Categories of data and data subjects

Categories of data (Art. 28(3)(a) GDPR):

First names / nicknames of employees
Roles and access permissions in the system
Warehouse operation history
Login credentials (stored only as irreversible cryptographic hash — Processor has no access to plaintext passwords)

ℹ️ No special category data under Art. 9 GDPR (no health, biometric, political, or similar data).

Categories of data subjects (Art. 28(3)(a) GDPR):

Employees and collaborators of the Controller (warehouse operators, administrators, and other staff with system access)

§3. Obligations of the Data Processor

Process data only on documented instructions from the Controller
Ensure confidentiality of authorized personnel
Implement security measures: TLS encryption, Row Level Security (RLS), daily backups
Assist the Controller in fulfilling data subject rights (Art. 15–22 GDPR)
Notify of data breaches within 72 hours of detection
Delete or return data after termination of the agreement
Provide information necessary to demonstrate compliance and support audits

§4. Sub-processors

The Controller grants general authorization for the use of the following sub-processors:

Sub-processor	Location	Role	Transfer basis
Supabase Inc.	USA	Database and authentication	SCC (EC Decision 2021/914)
Resend Inc.	USA	System email delivery	SCC
Stripe Inc.	USA	Payment processing	SCC
Hostinger UAB	Lithuania (EU)	Static file hosting	Adequacy — EEA

Changes to sub-processors are notified by email with 14 days' notice. The Controller may object within this period.

§5. International data transfers

Transfers to the USA are based on Standard Contractual Clauses (SCCs) approved by the European Commission — Decision 2021/914/EU.

§6. Duration and termination

This agreement is in force for the duration of the Partflow subscription.
Upon termination: data deleted within 30 days.
The Controller may request written confirmation of deletion.

§7. DPA contact

✉️ hello@partflow.cloud
📞 +48 518 498 403
SISBRAT Sp. z o.o., Mszalnica 191, 33-334 Kamionka Wielka, Poland

Umowa Powierzenia Danych Osobowych

Data Processing Agreement (DPA)