# Aneks o przetwarzaniu danych Ostatnia aktualizacja: 26 kwietnia 2026 To tłumaczenie ma charakter pomocniczy. Prawnie wiążąca jest [wersja angielska](https://v3.shoprocket.io/gdpr.md), która ma pierwszeństwo w razie rozbieżności. Niniejszy Aneks o przetwarzaniu danych Shoprocket („Aneks") zmienia Regulamin Shoprocket („Umowa") zawarty między tobą („Ty") a **Shoprocket LTD** (nr rejestrowy 12656598, zarejestrowaną w Anglii i Walii pod adresem 20-22 Wenlock Road, London, NG 17U). Jeśli masz z Shoprocket odrębną umowę SLA, odniesienia do Umowy oznaczają tę umowę SLA. Niniejszy Aneks podlega Umowie i jest do niej włączony. Każde pojęcie pisane wielką literą, które nie zostało tu zdefiniowane, ma znaczenie nadane mu w Umowie. --- ## Definicje - **Ustawienia konta**: Konfiguracje twojego Konta Shoprocket (w tym zabezpieczeń), które pozwalają zarządzać tym, jak Shoprocket przetwarza Dane osobowe. - **Cele biznesowe**: Usługi zdefiniowane w Umowie. - **Dane konta klienta**: Dane osobowe dotyczące twojej relacji z Shoprocket (np. upoważnione osoby kontaktowe, dane rozliczeniowe) oraz informacje, które Shoprocket zbiera na potrzeby zarządzania kontem, weryfikacji tożsamości lub wymogów prawnych. - **Dane o korzystaniu przez klienta**: Dane o użytkowaniu przetwarzane przez Shoprocket w związku z korzystaniem przez ciebie z Usług (np. logi, metryki wydajności, dane służące zapobieganiu nadużyciom). - **Przepisy o ochronie danych**: Obejmują CCPA, RODO UE, szwajcarską ustawę federalną o ochronie danych, RODO Wielkiej Brytanii, DPA 2018 i PECR 2003, każdy w aktualnym brzmieniu. Pojęcia (np. „Administrator danych", „Podmiot przetwarzający") są zgodne z RODO UE. - **EOG**: Europejski Obszar Gospodarczy. - **SCC UE**: Standardowe klauzule umowne zgodnie z Decyzją Komisji 2021/914. - **Transfer z EOG**: Przekazanie Danych osobowych (na mocy RODO UE) poza EOG bez decyzji o adekwatności na podstawie art. 45 RODO UE. - **Transfer z Wielkiej Brytanii**: Przekazanie Danych osobowych (na mocy RODO Wielkiej Brytanii) poza Wielką Brytanię bez decyzji o adekwatności wydanej przez brytyjskiego Sekretarza Stanu. - **Usługodawca**: Zgodnie z definicją w CCPA. - **Usługi**: Narzędzia Shoprocket do tworzenia i zarządzania sklepami internetowymi („Sklep Shoprocket"), obsługi produktów, płatności, wysyłki, marketingu oraz wszelkie narzędzia lub usługi, które Shoprocket może oferować. - **Konto Shoprocket**: Twoje konto dające dostęp do Usług, w tym do Ustawień konta, pod adresem [https://www.shoprocket.io](https://www.shoprocket.io). - **Polityka prywatności Shoprocket**: Informacja dostępna pod adresem [https://shoprocket.io/privacy](https://shoprocket.io/privacy), w aktualnym brzmieniu. - **Sklep Shoprocket**: Twoja witryna e-commerce hostowana lub obsługiwana przez Shoprocket. - **Dane szczególnych kategorii**: Zgodnie z definicją w art. 4 ust. 13, 4 ust. 14, 4 ust. 15 i art. 9 RODO UE/Wielkiej Brytanii (w zależności od przypadku). - **Standardowe klauzule umowne (SCC)**: SCC UE i SCC Wielkiej Brytanii, w zależności od przypadku. - **SCC Wielkiej Brytanii**: SCC UE zmienione przez Aneks IDTA brytyjskiego ICO. - **My/Nas/Nasz**: Shoprocket LTD (w tym „Shoprocket" i „Shoprocket.io"). - **Ty/Twój**: Strona umowy wskazana w Umowie. --- ## Polecenia klienta Niniejszy Aneks i Umowa (w tym polecenia zawarte w twoich Ustawieniach konta) stanowią **Udokumentowane polecenia** dotyczące sposobu, w jaki Shoprocket przetwarza Dane osobowe. Shoprocket będzie przetwarzać Dane osobowe wyłącznie zgodnie z poleceniami. Dodatkowe polecenia wykraczające poza niniejsze warunki wymagają uprzedniej pisemnej zgody (i mogą wiązać się z dodatkowymi opłatami). Shoprocket może wypowiedzieć niniejszy Aneks i Umowę, jeśli twoje polecenia naruszają Przepisy o ochronie danych lub odbiegają od uzgodnionych poleceń. Biorąc pod uwagę charakter przetwarzania, Shoprocket zasadniczo nie może ocenić, czy twoje polecenia naruszają prawo; jeśli jednak wyrobi sobie taką opinię, poinformuje cię o tym, a ty możesz zmodyfikować lub wycofać polecenia. --- ## Przetwarzanie danych 1. **Przetwarzanie przez Shoprocket** - **Podmiot przetwarzający/Usługodawca**: Z wyjątkiem Danych konta klienta i Danych o korzystaniu przez klienta Shoprocket przetwarza Dane osobowe (na mocy RODO UE/Wielkiej Brytanii) lub informacje osobowe (na mocy CCPA) w twoim imieniu. - **Niezależny administrator danych**: Shoprocket jest Administratorem danych w odniesieniu do Danych osobowych zbieranych bezpośrednio od klientów Sklepu oraz Danych konta klienta lub Danych o korzystaniu przez klienta. 2. **Przechowywanie** - Dane osobowe są przechowywane na: 1. serwerach AWS w Irlandii (lub w innych regionach EOG), 2. serwerach Hetzner w Norymberdze/Falkenstein (Niemcy). 3. **Zakres i cel** - Shoprocket przetwarza Dane osobowe wyłącznie w zakresie niezbędnym do Celów biznesowych, które określisz (zgodnych z zakupionymi Usługami), i zgodnie z Przepisami o ochronie danych. - Jeśli prawo wymaga innego przetwarzania, Shoprocket powiadomi cię o tym, chyba że prawo tego zabrania. - Shoprocket niezwłocznie wykonuje twoje pisemne polecenia dotyczące zmiany, przekazania lub usunięcia Danych osobowych albo zaprzestania nieuprawnionego przetwarzania. - Shoprocket zachowuje poufność Danych osobowych, chyba że ujawnienie jest dozwolone lub wymagane prawem. - Shoprocket pomaga w spełnieniu twoich obowiązków w zakresie zgodności (np. żądania osób, których dane dotyczą, oceny skutków dla ochrony danych) bez dodatkowych kosztów. - Shoprocket powiadamia cię o zmianach prawnych, które mogą wpłynąć na Umowę lub niniejszy Aneks. 4. **Shoprocket jako niezależny administrator danych** - W odniesieniu do Danych konta klienta i Danych o korzystaniu przez klienta Shoprocket nie jest współadministratorem, lecz przetwarza te dane w celu zarządzania relacją z tobą, zapobiegania oszustwom i incydentom bezpieczeństwa, wypełniania obowiązków prawnych itp., zgodnie z Polityką prywatności Shoprocket. 5. **CCPA** - Z wyjątkiem Danych konta klienta i Danych o korzystaniu przez klienta Shoprocket jest twoim Usługodawcą w rozumieniu CCPA; nie będzie „sprzedawać" takich informacji osobowych i będzie ich używać wyłącznie do świadczenia Usług lub w inny sposób dozwolony prawem. 6. **Dodatki** - Możesz integrować dodatki stron trzecich („Dodatki") na podstawie odrębnych licencji EULA z każdym wydawcą. Shoprocket przekazuje niezbędne Dane osobowe Wydawcy Dodatku, ale nie odpowiada za ich przetwarzanie. Obecne Dodatki oferowane przez Shoprocket obejmują: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Wielokanałowa realizacja zamówień i synchronizacja. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Integracje płatności obsługujące różne metody i waluty. - **Zapier**: Automatyzuje przesyłanie danych i przepływy pracy między Shoprocket a innymi aplikacjami. - Jeśli Shoprocket i ty macie SCC, twoje polecenie zintegrowania Dodatków stanowi zgodę na przekazanie Danych osobowych tym Wydawcom Dodatków, jeżeli wymagają tego SCC. 7. **Twoje obowiązki** - Jesteś Administratorem danych w odniesieniu do wszelkich Danych osobowych zbieranych lub przetwarzanych przez Shoprocket w twoim imieniu. - Odpowiadasz za spełnienie wymogów dotyczących informacji i zgód oraz za zapewnienie zgodności z Przepisami o ochronie danych. --- ## Rodzaje Danych osobowych i cele przetwarzania - **Przedmiot**: Dane osobowe, które przesyłasz do Usług, w tym do swojego Konta lub Sklepu Shoprocket. - **Czas trwania**: Określany przez ciebie (do czasu zawieszenia/zakończenia subskrypcji Shoprocket lub odpowiednich integracji). - **Cel**: Świadczenie Usług na twoje polecenie (np. obsługa twojego Sklepu/Konta Shoprocket). - **Charakter przetwarzania**: Platforma e-commerce Shoprocket (oraz wszelcy Podwykonawcy przetwarzania/Wydawcy Dodatków) może przechowywać lub przetwarzać Dane osobowe. - **Rodzaje Danych osobowych**: Dane, które przesyłasz (np. dane kontaktowe, dane klientów, rejestry transakcji). - **Osoby, których dane dotyczą**: Ty, twoi klienci, pracownicy, wykonawcy, agenci, dostawcy lub sprzedawcy. --- ## Bezpieczeństwo przetwarzania danych Shoprocket będzie utrzymywać odpowiednie środki techniczne i organizacyjne chroniące Dane osobowe przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem, przypadkową utratą lub zniszczeniem, zgodnie z **art. 32** RODO UE/Wielkiej Brytanii. Środki obejmują (w stosownych przypadkach): - Pseudonimizację/szyfrowanie danych; - Zapewnienie poufności, integralności, dostępności i odporności systemów; - Terminowe przywracanie dostępności danych po incydentach; - Regularne testowanie, mierzenie i ocenianie tych środków. ### Pracownicy Shoprocket - Shoprocket zapewnia, że pracownicy, wykonawcy i agenci przetwarzający Dane osobowe są przeszkoleni, zobowiązani do zachowania poufności i w pełni świadomi swoich obowiązków w zakresie ochrony danych. ### Bezpieczeństwo (powtórzenie) - Shoprocket stale aktualizuje zabezpieczenia techniczne i organizacyjne zapobiegające nieuprawnionemu przetwarzaniu, w tym szyfrowanie, odporność systemów, możliwość odtworzenia i testowanie skuteczności. --- ## Naruszenie ochrony danych osobowych 1. **Powiadomienie** - Shoprocket powiadamia cię w ciągu **72 godzin** (i bez zbędnej zwłoki), jeśli dowie się o: 1. Utracie/uszkodzeniu Danych osobowych; 2. Jakimkolwiek przypadkowym, nieuprawnionym lub niezgodnym z prawem przetwarzaniu; 3. Naruszeniu ochrony danych osobowych. 2. **Informacje** - Shoprocket przekazuje opis incydentu, dotknięte kategorie i liczby danych oraz podjęte lub proponowane środki łagodzące skutki. 3. **Współpraca** - Shoprocket koordynuje z tobą dochodzenie i nie poinformuje osób trzecich bez twojej pisemnej zgody, chyba że wymaga tego prawo. 4. **Koszty** - Shoprocket pokrywa uzasadnione wydatki związane z tymi obowiązkami, chyba że incydent wynika z twoich poleceń, zaniedbania lub naruszenia, w którym to przypadku ty pokrywasz uzasadnione wydatki Shoprocket (w tym doradców zawodowych). --- ## Podwykonawcy przetwarzania Shoprocket obecnie korzysta z następujących **Podwykonawców przetwarzania** do hostowania/przetwarzania danych, usług infrastrukturalnych/sieciowych lub innych funkcji usługowych: | **Nazwa** | **Opis** | **Lokalizacja** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Raportowanie/analityka subskrypcji. | MA, USA | | **Amazon Web Services EMEA SARL** | Hosting w chmurze, moc obliczeniowa, przechowywanie. | Luksemburg, UE | | **Automattic, Inc. (Gravatar)** | Pozwala użytkownikom przesyłać zdjęcia profilowe do kont Shoprocket. | CA, USA | | **Cloudflare, Inc.** | Bezpieczeństwo i łączność sieciowa. | CA, USA | | **Crisp IM SAS** | Czat na żywo i aplikacja do komunikacji z klientami na potrzeby wsparcia użytkowników. | Francja, UE | | **Facebook Technologies Ireland** | Piksele Facebooka do konwersji, optymalizacji reklam, budowania odbiorców. | Irlandia, UE | | **Google Ireland Limited** | Google Analytics (analityka zachowań), Adwords (umieszczanie reklam/monetyzacja). | Irlandia, UE | | **GmbH** | Hosting w chmurze, moc obliczeniowa i przechowywanie. | Niemcy, UE | | **TPS Unlimited, Inc. (Taxjar)** | Automatyzacja podatków dla VAT UE i amerykańskiego podatku od sprzedaży w Sklepach Shoprocket. | CA, USA | | **Twilio, Inc. (Sendgrid)** | Komunikacja wielokanałowa (e-mail, SMS, WhatsApp). | Irlandia, UE | | **Twitter, Inc.** | Piksel Twittera do śledzenia konwersji i metryk skuteczności reklam. | CA, USA | Upoważniasz Shoprocket do korzystania z powyższych Podwykonawców przetwarzania i udzielasz ogólnej zgody na dodawanie kolejnych („Upoważnieni podwykonawcy przetwarzania"). Shoprocket powiadomi cię z co najmniej **30-dniowym** wyprzedzeniem (przez stronę internetową, e-mail lub powiadomienie na Koncie) przed użyciem nowego Podwykonawcy przetwarzania. Możesz zgłosić sprzeciw w ciągu **10 dni** od powiadomienia, na piśmie, z uzasadnionych powodów związanych z ochroną danych. Jeśli zaangażowany jest istotny Podwykonawca przetwarzania i w ciągu **90 dni** nie zostanie znaleziona alternatywa, możesz zaprzestać korzystania z odpowiednich Usług lub je wypowiedzieć (nadal płacąc należne opłaty). Jeśli nie zgłosisz sprzeciwu w ciągu 10 dni, nowy Podwykonawca przetwarzania uznawany jest za zatwierdzonego. Gdy Shoprocket angażuje Podwykonawcę przetwarzania, to: - Ogranicza dostęp wyłącznie do tego, co niezbędne do świadczenia lub ulepszania Usług; - Nakłada na niego te same obowiązki w zakresie ochrony danych; - Pozostaje odpowiedzialny za jego zgodność. Jeśli mają zastosowanie SCC, twoje upoważnienie jest uprzednią pisemną zgodą w rozumieniu klauzuli 9 lit. c lub odpowiednich klauzul SCC Wielkiej Brytanii. Shoprocket może zanonimizować nieistotne szczegóły handlowe przed udostępnieniem ci umów o dalszym powierzeniu przetwarzania. --- ## Przekazywanie Danych osobowych Shoprocket może przekazywać Dane osobowe poza EOG, Wielką Brytanię lub Szwajcarię w celu świadczenia Usług (np. niektórym Wydawcom Dodatków/Podwykonawcom przetwarzania w USA). Tam, gdzie nie ma decyzji o adekwatności, Shoprocket zapewni odpowiednie zabezpieczenia zgodnie z Przepisami o ochronie danych. - **Transfery z EOG**: Objęte SCC UE (Moduł Pierwszy, gdy Shoprocket jest Administratorem, Moduł Drugi, gdy Shoprocket jest Podmiotem przetwarzającym). Niektóre klauzule (np. dołączanie z klauzuli 7) nie mają zastosowania; spory podlegają prawu i sądom irlandzkim. - **Transfery z Wielkiej Brytanii**: Objęte Aneksem IDTA. - **Transfery ze Szwajcarii**: Podobnie jak w SCC UE, z modyfikacjami dla szwajcarskiej FADP. - **Środki uzupełniające**: - Na dzień niniejszego Aneksu nie istnieją żadne formalne rządowe żądania dostępu do danych. - Jeśli Shoprocket zostanie zmuszony do ujawnienia twoich danych, powiadomi cię o tym (chyba że jest to zakazane) i pomoże ci ubiegać się o środki ochronne. - Shoprocket i ty będziecie regularnie omawiać, czy prawo kraju importera zapewnia równoważną ochronę lub wymaga dodatkowych środków. - Jeśli jakikolwiek mechanizm transferu przestanie być ważny lub Organ nadzorczy go zawiesi, Shoprocket może wprowadzić alternatywne rozwiązania lub zawiesić transfery. Jeśli zatwierdzasz Podwykonawcę przetwarzania/Dodatek spoza EOG, upoważniasz również Shoprocket do podpisania SCC w twoim imieniu. --- ## Skargi, żądania osób, których dane dotyczą, i prawa osób trzecich Shoprocket niezwłocznie przekaże ci wszelkie informacje lub pomoc, których potrzebujesz, aby: 1. Realizować prawa osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie, sprzeciw itd.). 2. Odpowiadać na zawiadomienia informacyjne/oceniające organów regulacyjnych lub się do nich stosować. Shoprocket powiadamia cię niezwłocznie, jeśli otrzyma skargi lub komunikaty dotyczące przetwarzania, oraz w ciągu **14 dni**, jeśli otrzyma żądanie osoby, której dane dotyczą. Shoprocket pomaga w udzieleniu odpowiedzi i nie ujawni Danych osobowych osobom trzecim, chyba że wymaga tego prawo lub twoje polecenia. --- ## Okres obowiązywania i rozwiązanie Niniejszy Aneks obowiązuje tak długo, jak Umowa, lub dopóki Shoprocket przechowuje jakiekolwiek powiązane Dane osobowe. Postanowienia, które muszą przetrwać ze względu na ochronę danych, pozostają w mocy. Każde istotne naruszenie niniejszej DPA jest istotnym naruszeniem Umowy, uprawniającym cię do natychmiastowego wypowiedzenia bez dalszej odpowiedzialności. Jeśli zmiany w Przepisach o ochronie danych uniemożliwiają stronie wykonanie jej obowiązków, strony mogą zawiesić przetwarzanie do czasu osiągnięcia zgodności. Jeśli nie zostanie to rozwiązane w ciągu **90 dni**, każda ze stron może wypowiedzieć ze skutkiem natychmiastowym po zawiadomieniu. --- ## Zwrot i zniszczenie danych - **Na żądanie** Shoprocket przekazuje tobie (lub osobie trzeciej wskazanej przez ciebie na piśmie) kopie Danych osobowych lub dostęp do nich w określonym przez ciebie formacie (jeśli to uzasadnione). - **Po rozwiązaniu** Shoprocket zwraca lub usuwa Dane osobowe, chyba że dalsze przechowywanie jest wymagane prawem. Jeśli usunięcie jest niewykonalne lub niezgodne z prawem, Shoprocket blokuje dalsze przetwarzanie i nadal chroni dane. - **Poświadczenia SCC**: Jeśli mają zastosowanie SCC, Shoprocket poświadczy usunięcie zgodnie z klauzulą 8.1 lit. d SCC UE (lub SCC Wielkiej Brytanii) na twoje pisemne żądanie. - Jeśli jakiekolwiek prawo lub przepis wymaga od Shoprocket zachowania niektórych danych, powiadomi cię o podstawie i terminie, a następnie usunie je, gdy nie będą już wymagane. - Shoprocket poświadcza usunięcie w ciągu **30 dni** od jego zakończenia. --- ## Rejestry Shoprocket prowadzi szczegółowe, dokładne i aktualne rejestry wszelkiego przetwarzania Danych osobowych (np. środków bezpieczeństwa, podwykonawców przetwarzania, celów przetwarzania, wszelkich transferów międzynarodowych). Rejestry te muszą umożliwiać ci weryfikację zgodności Shoprocket. Kopie są udostępniane na żądanie. --- ## Gwarancje Shoprocket gwarantuje, że: 1. Jego pracownicy, podwykonawcy lub agenci mający dostęp do Danych osobowych są rzetelni, godni zaufania i odpowiednio przeszkoleni. 2. Będzie przetwarzać Dane osobowe w pełnej zgodności z Przepisami o ochronie danych i powiązanymi przepisami. 3. Nie ma powodu sądzić, że prawo uniemożliwia świadczenie uzgodnionych Usług. 4. Uwzględniając technologię i koszty, podejmie odpowiednie środki zapobiegające nieuprawnionemu przetwarzaniu lub przypadkowemu uszkodzeniu/utracie, zapewniając bezpieczeństwo proporcjonalne do ryzyka i wrażliwości danych. --- ## Zawarcie i zmiany Podpisując Umowę, zgadzasz się na niniejszy Aneks i jesteś nim związany. Shoprocket może zaktualizować niniejszy Aneks za **30-dniowym pisemnym powiadomieniem**, jeśli jest to konieczne z powodów prawnych lub regulacyjnych. Jeśli zgłosisz sprzeciw i nie zostanie osiągnięte wspólne rozwiązanie, możesz wypowiedzieć dotknięte Usługi pisemnym zawiadomieniem w tym terminie (płacąc poniesione opłaty). Z takiego wypowiedzenia nie wynikają dalsze roszczenia. ## Załącznik A **Standardy bezpieczeństwa Shoprocket** (Pojęcia pisane wielką literą, które nie zostały tu zdefiniowane, mają znaczenia nadane w Aneksie.) Niniejszy Załącznik opisuje środki techniczne i organizacyjne Shoprocket, których celem jest: 1. Zabezpieczenie Danych osobowych przed przypadkową lub niezgodną z prawem utratą, dostępem lub ujawnieniem; 2. Identyfikacja możliwych do przewidzenia zagrożeń dla bezpieczeństwa i zapobieganie nieuprawnionemu dostępowi do Usług (w tym do twojego konta Shoprocket); 3. Minimalizacja ryzyk dla bezpieczeństwa poprzez ocenę ryzyka i testowanie. Shoprocket wyznacza jednego lub więcej pracowników do nadzorowania tych praktyk bezpieczeństwa informacji i odpowiadania na powiązane zapytania. --- ## 1. Model współdzielonej odpowiedzialności Shoprocket jest aplikacją **chmurową, SaaS** hostowaną przez: - **Amazon Web Services (AWS)** w regionie eu-west-1 (Irlandia) - **Hetzner Online** w Falkenstein, Niemcy **AWS** obsługuje główną platformę Shoprocket, infrastrukturę i hosting danych. **Hetzner Online** zapewnia dodatkową dedykowaną przestrzeń serwerową na obrazy, pobrania cyfrowe, logi i faktury. W tym modelu: - **Shoprocket** zarządza bezpieczeństwem na poziomie aplikacji (np. dostępem użytkowników, poprawkami aplikacji). - **AWS / Hetzner** zarządzają bezpieczeństwem fizycznym i podstawowym środowiskiem chmurowym. Więcej szczegółów o bezpieczeństwie AWS i Hetzner znajdziesz w ich dokumentacji. --- ## 2. Serwery AWS i Hetzner Online ### AWS Shoprocket wybrał AWS po starannej analizie na podstawie art. 28 ust. 3 lit. c i art. 32 RODO Wielkiej Brytanii. AWS posiada certyfikaty wielu standardów (np. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) i zapewnia obszerną dokumentację zgodności. Shoprocket konfiguruje AWS tak, by przechowywał Dane osobowe wyłącznie w UE/EOG. ### Hetzner Online Hetzner Online, certyfikowany według DIN ISO/IEC 27001, zapewnia dedykowaną przestrzeń serwerową na niektóre kopie zapasowe danych i logi. Centra danych Hetzner Online w Norymberdze i Falkenstein są audytowane i certyfikowane przez strony trzecie, wdrażając System Zarządzania Bezpieczeństwem Informacji (ISMS). --- ## 3. Projekt, integralność i dostępność aplikacji Shoprocket - **Architektura**: Zbudowana we frameworku JavaScript aplikacja Shoprocket opiera się na usłudze Amazon Relational Database Service (Amazon RDS) dla MySQL. - **Wysoka wydajność i redundancja**: AWS automatycznie obsługuje równoważenie obciążenia, a Shoprocket utrzymuje codzienne kopie zapasowe w Amazon S3. Kopie są przechowywane w różnych regionach AWS dla odporności. Dodatkowo kopie są przechowywane na dedykowanych serwerach Hetzner Online (z systemami dysków RAID-1). - **Bezpieczeństwo w projekcie**: Shoprocket regularnie sprawdza znane podatności webowe (np. OWASP Top Ten) i wdraża ochronę przed XSS oraz sanityzację. Wyspecjalizowana strona trzecia co roku testuje kod i infrastrukturę pod kątem podatności, uzupełniona usługą skanowania podatności strony trzeciej. --- ## 4. Szyfrowanie - **W spoczynku**: Dane osobowe w AWS/Hetzner są szyfrowane za pomocą **AES-256** lub silniejszego. - **Zarządzanie kluczami**: AWS Key Management Service (KMS) zapewnia, że nikt (w tym pracownicy AWS) nie ma dostępu do kluczy w postaci jawnej; klucze są rotowane co roku. Hetzner wdraża pełne szyfrowanie dysków AES-256 oraz obowiązkowe uwierzytelnianie. - **W tranzycie**: Wszystkie zewnętrzne transfery danych używają **TLS 1.2+**. API i interfejsy webowe wymagają HTTPS (bez niezaszyfrowanych połączeń). --- ## 5. Ograniczenie lokalizacji serwerów do EOG/UE Shoprocket przechowuje dane **wyłącznie w EOG** (AWS w Irlandii, Hetzner w Niemczech), minimalizując ryzyka związane z transferami danych poza EOG (np. zgodność z orzeczeniem Schrems II). --- ## 6. Strefy dostępności Systemy front-end/back-end Shoprocket są **redundantnie rozproszone** w wielu strefach dostępności (zarówno AWS, jak i Hetzner). Każda strefa ma wielu dostawców internetu, źródeł zasilania i szybkich łączy, co zapewnia wysoką dostępność i optymalną wydajność. --- ## 7. Wykrywanie włamań Shoprocket używa **Systemu wykrywania włamań (IDS)** do monitorowania: - Plików logów pod kątem nietypowych wpisów, - Zmian integralności plików, - Ruchu sieciowego (spoofing, znane exploity, rootkity), - Zmian portów oraz - Zdarzeń na koncie AWS (np. zmian konfiguracji). Krytyczne anomalie uruchamiają automatyczne środki zapobiegawcze. IDS wspiera również wymagania PCI DSS 3.0. --- ## 8. Logowanie / ślad audytowy Shoprocket loguje: - Zdarzenia systemowe, - Błędy, - Aktywność użytkowników, - Logowania/żądania do bazy danych, - Inne zdarzenia związane z bezpieczeństwem. Za pomocą **AWS CloudTrail** Shoprocket rejestruje wszystkie zdarzenia w swoich środowiskach chmurowych dla przejrzystości i analiz kryminalistycznych. --- ## 9. Monitorowanie Shoprocket stosuje wiele **narzędzi monitorowania**, aby zapewnić dostępność i wydajność, śledząc: - **Dostępność**: dostępność aplikacji, kondycję backendu/systemu; - **Zasoby**: CPU, interfejsy sieciowe, wykorzystanie przestrzeni dyskowej; - **Wydajność**: czasy odpowiedzi aplikacji/bazy danych; - **Bezpieczeństwo**: status IDS, aktualizacje systemu, logi błędów/dostępu. Personel Shoprocket monitoruje także aktualizacje bezpieczeństwa, raporty o podatnościach i odpowiednie blogi o bezpieczeństwie (np. OWASP). --- ## 10. Audyty bezpieczeństwa i testy penetracyjne Shoprocket okresowo przeprowadza **wewnętrzne i zewnętrzne testy bezpieczeństwa**. Zewnętrzni dostawcy sprawdzają podatności, a audyty wewnętrzne oceniają skuteczność środków technicznych i organizacyjnych. --- ## 11. Zarządzanie zmianami Shoprocket utrzymuje wersjonowane **repozytoria** dla zmian w kodzie, ze środowiskiem staging odzwierciedlającym produkcję. Zmiany są testowane przed wdrożeniem, co zapewnia możliwość prześledzenia czasu i treści. --- ## 12. Kontrola dostępu - **Zasada need-to-know**: Dostęp do systemów otrzymują tylko pracownicy, których role tego wymagają. - **Systemy IAM**: Kontrola dostępu korzysta z zarządzania tożsamością AWS/Hetzner. - **Bezpieczeństwo**: Systemy backendowe są dostępne wyłącznie przez bezpieczne, uwierzytelnione połączenia. Bardzo ograniczona liczba osób ma bezpośredni dostęp do danych w celach diagnostycznych; taki dostęp jest rejestrowany i monitorowany. ## Załącznik B **Transfery transgraniczne** ## CZĘŚĆ 1 - transfery z EOG 1. **Załącznik I.A do Standardowych klauzul umownych (SCC)** - **Eksporter danych**: Ty (zgodnie z Umową). - Dane kontaktowe: Jak w Umowie. - Rola: Administrator danych. - **Moduł Pierwszy**: Importer danych jest Administratorem danych (dla Danych konta klienta i Danych o korzystaniu przez klienta). - **Moduł Drugi**: Importer danych jest Podmiotem przetwarzającym (dla wszystkich pozostałych Danych osobowych). - Podpis/Data: Przez zawarcie Umowy i DPA Eksporter danych uznawany jest za podpisującego SCC z Datą wejścia w życie. - **Importer danych**: Shoprocket. - Dane kontaktowe: Jak w Umowie. - Podpis/Data: Przez zawarcie Umowy i DPA Importer danych uznawany jest za podpisującego SCC z Datą wejścia w życie. 2. **Załącznik I.B do SCC** - Osoby, których dane dotyczą: Opisane w klauzuli 4.6 Aneksu. - Kategorie Danych osobowych: Opisane w klauzuli 4.5 Aneksu. - Nie przewiduje się przekazywania Danych szczególnych kategorii. - Częstotliwość: Ciągła przez czas obowiązywania Umowy. - Charakter: Zobacz klauzulę 4.4 Aneksu. - Cel: Zobacz klauzulę 4.3 Aneksu. - Przechowywanie: Czas obowiązywania Umowy, chyba że wskazano inaczej. - Transfery do podwykonawców przetwarzania: Przedmiot, charakter i czas trwania zgodnie z klauzulą 9 Aneksu. 3. **Załącznik I.C do SCC** - Właściwy Organ nadzorczy: Jak w klauzuli 10(e) Aneksu. - **Standardy bezpieczeństwa Shoprocket (Załącznik A)** spełniają wymogi Załącznika II do SCC. 4. **Konflikt** - W razie jakiejkolwiek sprzeczności między SCC a DPA lub Umową pierwszeństwo mają SCC. --- ## CZĘŚĆ 2 - transfery z Wielkiej Brytanii 1. **Aneks IDTA** ma zastosowanie do Transferów z Wielkiej Brytanii, obowiązuje od **21 marca 2022**. 2. Pojęcia niezdefiniowane w Umowie lub DPA mają znaczenie określone w **Części 2 Załącznika 2** (Klauzule obowiązkowe). ### Część 1: Tabele ### Tabela 1 Aneksu IDTA 1. **Tabela 1** - **Eksporter danych**: Ty (zgodnie z Umową). - Dane kontaktowe: Jak w Umowie. - Podpis/Data: Przez zawarcie Umowy i Aneksu Eksporter uznawany jest za podpisującego Aneks IDTA z Datą wejścia w życie. - **Importer danych**: Shoprocket. - Dane kontaktowe: Jak w Umowie. - Podpis/Data: Przez zawarcie Umowy i DPA Importer uznawany jest za podpisującego Aneks IDTA z Datą wejścia w życie. ### Tabela 2 Aneksu IDTA 1. **Tabela 2** - **Zatwierdzone SCC UE**: Klauzule/moduły z Zatwierdzonych SCC UE obowiązujące na potrzeby niniejszego Aneksu. - Użyte moduły/klauzule: - Moduł 1 i Moduł 2, Klauzula 7 i Klauzula 11 (opcja) nie mają zastosowania, Klauzula 9a to Ogólne upoważnienie z 30-dniowym okresem powiadomienia (klauzula 9.2 Aneksu). - Brak łączenia Danych osobowych od Importera z danymi Eksportera. ### Tabela 3 Aneksu IDTA 1. **Załącznik I.A** - **Eksporter danych**: Ty (administrator). - **Importer danych**: Shoprocket (administrator dla Danych konta/o korzystaniu; podmiot przetwarzający dla pozostałych Danych osobowych). - Podpis/Data: Uznawany za podpisanego z chwilą zawarcia Umowy i DPA. 2. **Załącznik I.B** - Osoby, których dane dotyczą, kategorie danych, brak Danych szczególnych kategorii, transfery ciągłe, charakter/cel przetwarzania i przechowywanie odpowiadają klauzulom 4.4, 4.3, 4.5, 4.6 Aneksu. - Informacje o podwykonawcach przetwarzania zgodnie z klauzulą 9 Aneksu. - Załącznik III (lista Podwykonawców przetwarzania) nie ma zastosowania, ponieważ Shoprocket stosuje ogólne upoważnienie. ### Tabela 4 Aneksu IDTA 1. Importer może zakończyć niniejszy Aneks IDTA na podstawie klauzuli 26 niniejszego Aneksu IDTA. ### Część 2: Klauzule obowiązkowe 1. Każda Strona jest związana niniejszymi warunkami Aneksu IDTA w zamian za zgodę drugiej Strony, umożliwiając osobom, których dane dotyczą, egzekwowanie praw w opisanym zakresie. 2. Zawarcie niniejszego Aneksu IDTA jest równoznaczne z podpisaniem Zatwierdzonych SCC UE (w tym wszelkiego wymaganego podpisu zgodnie z Załącznikiem 1A/Klauzulą 7). ### Wykładnia 1. Pojęcia z Zatwierdzonych SCC UE mają tu to samo znaczenie; dodatkowe istotne pojęcia (np. „SCC UE Aneksu", „Zatwierdzony Aneks", „Brytyjskie przepisy o ochronie danych") są zdefiniowane w niniejszym Aneksie IDTA. 2. Niniejszy Aneks IDTA należy interpretować zgodnie z Brytyjskimi przepisami o ochronie danych i musi on spełniać wymóg „Odpowiednich zabezpieczeń". 3. Każda zmiana Zatwierdzonych SCC UE niedozwolona na ich mocy ani na mocy Zatwierdzonego Aneksu jest nieważna. Sprzeczne postanowienia wracają do niezmienionych warunków SCC. 4. W razie sprzeczności z Brytyjskimi przepisami o ochronie danych stosuje się te drugie. 5. Każda niejasność jest rozstrzygana tak, aby jak najlepiej zgadzała się z Brytyjskimi przepisami o ochronie danych. 6. Odniesienia do przepisów obejmują ich zmienione lub skonsolidowane wersje. ### Hierarchia 1. Klauzula 5 Zatwierdzonych SCC UE stanowi, że mają one pierwszeństwo przed innymi umowami, ale w przypadku Transferów ograniczonych zastosowanie ma hierarchia z Sekcji 17 poniżej. 2. W razie niezgodności lub sprzeczności z Zatwierdzonymi SCC UE Zatwierdzony Aneks ma pierwszeństwo, z wyjątkiem sytuacji, gdy SCC zapewniają osobom, których dane dotyczą, **większą ochronę**, w którym to przypadku pierwszeństwo mają warunki SCC. 3. Nic w niniejszym dokumencie nie wpływa na jakiekolwiek SCC stosowane przez strony w celu zgodności z RODO UE. ### Włączenie i zmiany SCC UE 1. Aneks IDTA włącza Zatwierdzone SCC UE z niezbędnymi modyfikacjami, aby działały przy transferach związanych z Wielką Brytanią, uchylał hierarchię z Klauzuli 5 i zapewniał, że podlegają one **prawu i sądom angielskim** (chyba że wybrano inaczej dla Szkocji lub Irlandii Północnej). 2. Jeśli nie uzgodniono konkretnej alternatywy, stosuje się Sekcję 22. 3. Poza tym, co jest niezbędne zgodnie z Sekcją 19, nie są dozwolone dalsze zmiany Zatwierdzonych SCC UE. 4. **Zmiany** SCC UE Aneksu obejmują wyjaśnienia dotyczące odniesień do Brytyjskich przepisów o ochronie danych, zastąpienie odniesień do Rozporządzenia (UE) 2016/679 odniesieniem do „Brytyjskich przepisów o ochronie danych", usunięcie odniesień do Rozporządzenia (UE) 2018/1725, dostosowanie Klauzuli 17/18 do prawa i sądów angielskich itd. Przypisy nie stanowią części IDTA poza przypisami 8, 9, 10, 11. ### Zmiany niniejszego IDTA 1. Strony mogą zmienić Klauzule 17 lub 18, aby odnosiły się do sądów szkockich lub północnoirlandzkich. 2. Strony mogą także dostosować formatowanie Tabel za wzajemną pisemną zgodą, zapewniając zachowanie tego samego poziomu ochrony. 3. ICO może od czasu do czasu wydać zmieniony Zatwierdzony Aneks, który automatycznie zmienia niniejszy Aneks IDTA od daty wejścia w życie, co może wymagać przeglądu przez strony. 4. Jeśli zmiany ICO istotnie i nieproporcjonalnie zwiększają koszty lub ryzyko strony, a ograniczenie tych kosztów/ryzyk nie jest możliwe, ta strona może zakończyć niniejszy IDTA z rozsądnym wypowiedzeniem wobec drugiej strony przed wejściem w życie zmienionego Aneksu. 5. Zgoda osoby trzeciej na zmiany nie jest wymagana, ale modyfikacje muszą spełniać warunki niniejszego Aneksu IDTA. --- - HTML version: https://v3.shoprocket.io/pl/rodo - Language: Polski (pl) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)