Umowa Powierzenia Przetwarzania Danych Osobowych

(Data Processing Agreement / DPA)

Wersja: 1.0 Data: 10.03.2026

---

STRONY UMOWY

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa") zostaje zawarta pomiędzy:

ADMINISTRATOREM:

Podmiot (osoba fizyczna prowadząca działalność gospodarczą, osoba prawna lub jednostka organizacyjna), który zarejestrował Konto na Platformie Guestivo i zaakceptował Regulamin Świadczenia Usług Drogą Elektroniczną. Dane Administratora (nazwa, adres siedziby, NIP, dane reprezentanta) są tożsame z danymi podanymi podczas rejestracji i dostępnymi w Panelu Administracyjnym.

zwanym dalej „Administratorem" lub „Hotelem"

a

PODMIOTEM PRZETWARZAJĄCYM:

Guestivo sp. z o.o. ul. Łęczycka 4/3, 53-632 Wrocław NIP: 8952299447 REGON: 543938450 KRS: 0001221700

zwanym dalej „Podmiotem przetwarzającym" lub „Guestivo"

zwanymi łącznie „Stronami", a każda z osobna „Stroną".

---

PREAMBUŁA

Zważywszy, że:

1. Administrator korzysta z platformy Guestivo do zarządzania usługami hotelowymi;
2. W ramach świadczenia usług Guestivo przetwarza dane osobowe gości hotelowych w imieniu Administratora;
3. Strony zamierzają uregulować zasady powierzenia przetwarzania danych osobowych zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO);

Strony postanawiają zawrzeć niniejszą Umowę.

Zawarcie Umowy: Niniejsza Umowa zostaje zawarta z chwilą akceptacji Regulaminu Świadczenia Usług Drogą Elektroniczną przez Administratora podczas rejestracji Konta na Platformie Guestivo. Akceptacja Regulaminu jest równoznaczna z akceptacją niniejszej Umowy, która stanowi jego integralną część (§ 16.4 Regulaminu). Forma dokumentowa zawarcia Umowy (art. 77² Kodeksu cywilnego) jest zachowana poprzez elektroniczną akceptację z rejestracją daty, adresu IP i wersji dokumentu.

---

§ 1. DEFINICJE

1. Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, przetwarzane w ramach Platformy Guestivo.

2. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

3. Naruszenie ochrony danych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

4. Subprocesor – inny podmiot przetwarzający, któremu Podmiot przetwarzający powierza przetwarzanie danych osobowych.

5. Platforma – system informatyczny Guestivo służący do zarządzania usługami hotelowymi.

6. Umowa Główna – umowa o świadczenie usług platformy Guestivo zawarta między Stronami.

---

§ 2. PRZEDMIOT UMOWY

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych na warunkach określonych w niniejszej Umowie.

2. Przetwarzanie danych odbywa się w związku z realizacją Umowy Głównej dotyczącej korzystania z Platformy Guestivo do zarządzania usługami hotelowymi.

3. Niniejsza Umowa stanowi integralną część Umowy Głównej.

---

§ 3. ZAKRES PRZETWARZANIA

3.1. Charakter i cel przetwarzania

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu:

• Świadczenia usług Platformy Guestivo na rzecz Administratora
• Obsługi zamówień gości hotelowych
• Realizacji próśb serwisowych
• Obsługi komunikacji między gośćmi a personelem
• Obsługi meldunków online
• Realizacji płatności gości (za pośrednictwem Tpay lub Stripe Connect, w zależności od konfiguracji Hotelu)
• Rejestrowania wartości transakcji w celu rozliczeń prowizyjnych między Guestivo a Hotelem
• Integracji z systemami zewnętrznymi (PMS, zamki cyfrowe)

3.2. Rodzaj przetwarzania

Przetwarzanie obejmuje następujące operacje:

• Zbieranie
• Przechowywanie
• Modyfikowanie
• Usuwanie
• Udostępnianie (w zakresie niezbędnym do świadczenia usług)

3.3. Rodzaj danych osobowych

Przetwarzane są następujące kategorie danych osobowych:

3.4. Kategorie osób, których dane dotyczą

• Goście hotelowi korzystający ze Stron Gościa
• Osoby towarzyszące gościom (w przypadku meldunku grupowego)

3.5. Czas trwania przetwarzania

Przetwarzanie trwa przez okres obowiązywania Umowy Głównej oraz przez okres niezbędny do:

• Zakończenia bieżących procesów
• Realizacji obowiązków prawnych
• Usunięcia lub zwrotu danych zgodnie z § 10

---

§ 4. OBOWIĄZKI PODMIOTU PRZETWARZAJĄCEGO

Podmiot przetwarzający zobowiązuje się:

4.1. Przetwarzanie zgodne z instrukcjami

a) Przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do przekazywania danych do państw trzecich lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego.

b) Informować Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

4.2. Poufność

a) Zapewnić, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

b) Udzielać dostępu do danych osobowych wyłącznie osobom, które tego potrzebują do wykonywania swoich obowiązków.

4.3. Bezpieczeństwo

a) Podejmować wszelkie środki wymagane na mocy art. 32 RODO, w tym:

• Pseudonimizację i szyfrowanie danych osobowych
• Zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów
• Zdolność do szybkiego przywrócenia dostępności danych w razie incydentu
• Regularne testowanie skuteczności środków technicznych i organizacyjnych

b) Stosować środki bezpieczeństwa określone w Załączniku A do niniejszej Umowy.

4.4. Subprocesoring

a) Przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego określonych w § 5.

4.5. Pomoc Administratorowi

a) Pomagać Administratorowi wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO.

b) Uwzględniając charakter przetwarzania i dostępne informacje, pomagać Administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, konsultacje).

4.6. Usunięcie lub zwrot danych

a) Po zakończeniu świadczenia usług, zależnie od decyzji Administratora, usunąć lub zwrócić wszystkie dane osobowe oraz usunąć wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje przechowywanie danych.

4.7. Audyt i kontrole

a) Udostępnić Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO.

b) Umożliwić Administratorowi lub audytorowi upoważnionemu przez Administratora przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich, z zastrzeżeniem § 8.

---

§ 5. DALSZE POWIERZENIE (SUBPROCESORING)

5.1. Ogólna zgoda

Administrator udziela ogólnej zgody na korzystanie przez Podmiot przetwarzający z usług subprocesorów w zakresie niezbędnym do świadczenia usług Platformy Guestivo.

5.2. Lista subprocesorów

Aktualna lista subprocesorów jest dostępna pod adresem: https://guestivo.pl/pl/subprocessors

Na dzień zawarcia niniejszej Umowy lista obejmuje:

5.3. Powiadomienie o zmianach

a) Podmiot przetwarzający poinformuje Administratora o zamiarze dodania lub zmiany subprocesora z odpowiednim wyprzedzeniem, chyba że pilna zmiana jest niezbędna ze względów bezpieczeństwa lub zgodności z przepisami prawa.

b) Powiadomienie zostanie przesłane na adres e-mail wskazany w Koncie Administratora.

5.4. Sprzeciw

a) Administrator może zgłosić uzasadniony sprzeciw wobec nowego subprocesora w rozsądnym terminie od otrzymania powiadomienia.

b) W przypadku braku sprzeciwu zmiana uznawana jest za zaakceptowaną.

c) W przypadku zgłoszenia sprzeciwu Strony podejmą negocjacje w dobrej wierze w celu znalezienia rozwiązania. Jeśli rozwiązanie nie zostanie znalezione w ciągu 30 dni, Administrator może wypowiedzieć Umowę Główną.

5.5. Umowy z subprocesorami

Podmiot przetwarzający zapewni, że każdy subprocesor jest związany umową zawierającą zobowiązania dotyczące ochrony danych co najmniej równoważne tym określonym w niniejszej Umowie.

5.6. Odpowiedzialność za subprocesorów

Podmiot przetwarzający ponosi odpowiedzialność za działania subprocesorów zgodnie z art. 28 ust. 4 RODO.

---

§ 6. PRZEKAZYWANIE DANYCH POZA EOG

6.1. Zasada ogólna

Przekazywanie danych osobowych do państw trzecich (poza Europejski Obszar Gospodarczy) może odbywać się wyłącznie: a) Do państw, wobec których Komisja Europejska wydała decyzję o adekwatności b) Na podstawie Standardowych Klauzul Umownych (SKU) c) Na podstawie innych mechanizmów przewidzianych w RODO

6.2. Aktualne transfery

Podmiot przetwarzający potwierdza, że transfery do USA odbywają się na podstawie Standardowych Klauzul Umownych zatwierdzonych Decyzją Komisji (UE) 2021/914.

6.3. Środki uzupełniające

Podmiot przetwarzający stosuje odpowiednie środki uzupełniające, w tym:

• Szyfrowanie danych w tranzycie
• Szyfrowanie danych w spoczynku
• Minimalizacja przekazywanych danych
• Pseudonimizacja gdzie możliwe

---

§ 7. NARUSZENIA OCHRONY DANYCH

7.1. Powiadomienie

a) Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłasza je Administratorowi.

b) Zgłoszenie nastąpi na adres e-mail wskazany w Koncie Administratora.

7.2. Treść zgłoszenia

Zgłoszenie powinno zawierać, w zakresie dostępnym w momencie zgłoszenia: a) Opis charakteru naruszenia b) Informacje o kategoriach i liczbie osób, których dane dotyczą (w miarę możliwości) c) Możliwe konsekwencje naruszenia d) Środki zaradcze podjęte lub proponowane

Dodatkowe informacje mogą być przekazywane sukcesywnie w miarę postępu dochodzenia.

7.3. Współpraca

Podmiot przetwarzający będzie współpracować z Administratorem w celu: a) Ustalenia pełnego zakresu naruszenia b) Minimalizacji skutków naruszenia c) Przygotowania zawiadomień do organu nadzorczego i osób, których dane dotyczą d) Dokumentowania naruszenia

7.4. Dokumentacja

Podmiot przetwarzający prowadzi dokumentację wszelkich naruszeń ochrony danych, obejmującą okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

---

§ 8. AUDYTY I KONTROLE

8.1. Prawo do audytu

Administrator lub upoważniony przez niego audytor ma prawo przeprowadzić audyt Podmiotu przetwarzającego w zakresie zgodności z niniejszą Umową i przepisami o ochronie danych.

8.2. Warunki audytu

a) Administrator powiadomi Podmiot przetwarzający o zamiarze przeprowadzenia audytu z rozsądnym wyprzedzeniem.

b) Audyt będzie przeprowadzany w godzinach roboczych i w sposób minimalizujący zakłócenia działalności Podmiotu przetwarzającego.

c) Audytor jest zobowiązany do zachowania poufności uzyskanych informacji.

8.3. Alternatywne formy audytu

Zamiast inspekcji na miejscu Administrator może zaakceptować: a) Certyfikaty audytu przeprowadzonego przez niezależny podmiot b) Certyfikaty zgodności (np. SOC 2, ISO 27001) c) Odpowiedzi na standardowy kwestionariusz bezpieczeństwa

8.4. Koszty

Koszty audytu ponosi Administrator.

---

§ 9. ODPOWIEDZIALNOŚĆ

9.1. Odpowiedzialność za naruszenia

Każda Strona ponosi odpowiedzialność za naruszenia przepisów o ochronie danych osobowych wynikające z jej działań lub zaniechań.

9.2. Współodpowiedzialność

Jeżeli Podmiot przetwarzający narusza przepisy RODO, określając cele i sposoby przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania zgodnie z art. 28 ust. 10 RODO.

9.3. Regres

Strona, która zapłaciła odszkodowanie za całą szkodę, jest uprawniona do żądania od drugiej Strony zwrotu części odszkodowania odpowiadającej jej części odpowiedzialności za szkodę.

---

§ 10. ZAKOŃCZENIE UMOWY I USUNIĘCIE DANYCH

10.1. Zakończenie przetwarzania

Po zakończeniu Umowy Głównej Podmiot przetwarzający:

a) Na żądanie Administratora – zwróci dane osobowe w formacie możliwym do odczytu w rozsądnym terminie.

b) W przypadku braku żądania zwrotu – usunie wszystkie dane osobowe oraz ich kopie w rozsądnym terminie od zakończenia Umowy Głównej.

10.2. Potwierdzenie usunięcia

Na żądanie Administratora Podmiot przetwarzający wyda potwierdzenie usunięcia danych.

10.3. Wyjątki

Obowiązek usunięcia danych nie dotyczy sytuacji, gdy przechowywanie jest wymagane przez prawo Unii lub prawo polskie.

---

§ 11. CZAS TRWANIA UMOWY

11.1. Okres obowiązywania

Niniejsza Umowa obowiązuje przez cały okres obowiązywania Umowy Głównej.

11.2. Rozwiązanie

Umowa ulega rozwiązaniu z chwilą rozwiązania Umowy Głównej.

11.3. Przetrwanie

Postanowienia dotyczące poufności, odpowiedzialności i usunięcia danych pozostają w mocy po rozwiązaniu Umowy.

---

§ 12. POSTANOWIENIA KOŃCOWE

12.1. Zmiany Umowy

Wszelkie zmiany niniejszej Umowy wymagają formy dokumentowej pod rygorem nieważności.

12.2. Prawo właściwe

Do niniejszej Umowy stosuje się prawo polskie.

12.3. Spory

Wszelkie spory wynikające z niniejszej Umowy będą rozstrzygane przez sąd właściwy dla siedziby Podmiotu przetwarzającego.

12.4. Rozdzielność postanowień

Jeżeli którekolwiek postanowienie niniejszej Umowy zostanie uznane za nieważne, pozostałe postanowienia pozostają w mocy.

12.5. Załączniki

Integralną część niniejszej Umowy stanowią:

• Załącznik A: Środki techniczne i organizacyjne
• Załącznik B: Lista subprocesorów (aktualna wersja online)

---

ZAŁĄCZNIK A: ŚRODKI TECHNICZNE I ORGANIZACYJNE

Podmiot przetwarzający stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, uwzględniając stan wiedzy technicznej, koszty wdrażania oraz charakter, zakres, kontekst i cele przetwarzania.

A.1. Środki techniczne

Środki techniczne obejmują w szczególności:

• Szyfrowanie danych w tranzycie i w spoczynku
• Systemy kontroli dostępu
• Mechanizmy uwierzytelniania
• Bezpieczne przechowywanie danych uwierzytelniających
• Architektura zapewniająca separację danych między klientami
• Kopie zapasowe
• Monitorowanie i logowanie zdarzeń bezpieczeństwa

A.2. Środki organizacyjne

Środki organizacyjne obejmują w szczególności:

• Szkolenia personelu w zakresie ochrony danych
• Zasadę minimalnych uprawnień
• Procedury reagowania na incydenty
• Prowadzenie wymaganej dokumentacji
• Regularne przeglądy bezpieczeństwa

A.3. Środki dla danych szczególnych kategorii

W przypadku przetwarzania danych wymagających szczególnej ochrony stosowane są dodatkowe odpowiednie środki bezpieczeństwa.

---

Wersja dokumentu: 1.0 Data publikacji: 10.03.2026 Ostatnia aktualizacja: Marzec 2026