Załącznik dotyczący przetwarzania danych

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Holandia · Nr w rejestrze handlowym (KvK) 74188445 · Wersja 1.0, obowiązująca od 22 października 2026 r.

1. Zakres i strony

1.1 Niniejszy dodatek dotyczący przetwarzania danych (“DPA”) stanowi część Warunków świadczenia usług Fabrixa (“Warunki”) zawartych między spółką Fabrixa B.V. (“Fabrixa”) a klientem biznesowym posiadającym konto w Fabrixa (“Klient”). Ma ono zastosowanie w każdym przypadku, gdy Fabrixa przetwarza dane osobowe w imieniu Klienta w ramach świadczenia Usług.

1.2 W odniesieniu do danych klientów końcowych (nazwiska odbiorców, adresy dostawy, dane kontaktowe oraz wszelkie dane osobowe zawarte w materiałach graficznych lub uwagach do zamówienia) Klient pełni rolę administratora danych lub podmiotu przetwarzającego działającego na rzecz własnych klientów, a firma Fabrixa pełni rolę podmiotu przetwarzającego lub podwykonawcy przetwarzającego. W przypadku, gdy Klient sam pełni rolę podmiotu przetwarzającego, Klient gwarantuje, że jego administrator danych wyraził zgodę na zaangażowanie firmy Fabrixa oraz na warunki niniejszej umowy o przetwarzaniu danych (DPA).

1.3 W odniesieniu do danych dotyczących konta klienta, rozliczeń, pomocy technicznej i korzystania z usług firma Fabrixa pełni rolę niezależnego administratora danych; przetwarzanie tych danych zostało opisane w Polityce prywatności, a nie w niniejszej umowie o przetwarzaniu danych (DPA).

1.4 Przyjęcie. Niniejsza umowa o przetwarzaniu danych (DPA) zostaje przyjęta w formie elektronicznej poprzez akceptację Warunków. Na żądanie firma Fabrixa dostarcza Klientowi kopię z kontrasygnatą do celów archiwizacyjnych; podpisana kopia ma tę samą treść i nie zmienia daty wejścia w życie.

2. Szczegóły dotyczące przetwarzania danych

2.1 Przedmiot, czas trwania, charakter, cel, kategorie danych oraz osoby, których dane dotyczą, zostały określone w załączniku 1. Przetwarzanie trwa tak długo, jak długo Klient korzysta z Usług, powiększone o okres usunięcia określony w punkcie 10.

3. Wytyczne klienta

3.1 Fabrixa przetwarza dane osobowe wyłącznie zgodnie z udokumentowanymi instrukcjami Klienta, w tym w odniesieniu do przekazywania danych do państwa trzeciego, chyba że wymaga tego prawo UE lub prawo państwa członkowskiego; w takim przypadku Fabrixa informuje Klienta o tym wymogu prawnym przed rozpoczęciem przetwarzania, chyba że prawo zabrania tego ze względu na istotny interes publiczny.

3.2 Instrukcje Klienta obejmują: Warunki, niniejszą Umowę o przetwarzaniu danych (DPA), zlecenia, ustawienia oraz zgłoszenia kierowane do API przez Klienta za pośrednictwem platformy, a także pisemne instrukcje przesłane na kanał pomocy technicznej Fabrixa. Fabrixa może naliczyć opłatę za instrukcje wykraczające poza zakres Usług.

3.3 Fabrixa niezwłocznie informuje Klienta, jeśli w jego opinii zlecenie narusza przepisy RODO lub inne obowiązujące przepisy dotyczące ochrony danych. Fabrixa może zawiesić realizację zlecenia do czasu jego potwierdzenia lub zmiany przez Klienta.

3.4 Klient ponosi odpowiedzialność za zgodność z prawem przekazywanych przez siebie danych osobowych, za informacje przekazywane klientom końcowym oraz za nieprzekazywanie danych należących do kategorii szczególnych (art. 9 RODO) ani danych dotyczących dzieci w materiałach graficznych lub uwagach do zamówienia.

4. Poufność

4.1 Fabrixa zapewnia, że każda osoba upoważniona przez firmę do przetwarzania danych osobowych — pracownicy, wykonawcy oraz partner inżynieryjny — jest zobowiązana umownym lub ustawowym obowiązkiem zachowania poufności i przetwarza dane wyłącznie w zakresie niezbędnym do wykonywania powierzonych jej zadań.

5. Bezpieczeństwo

5.1 Fabrixa wdraża i utrzymuje środki techniczne i organizacyjne określone w załączniku 2, biorąc pod uwagę aktualny stan techniki, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko dla osób, których dane dotyczą (art. 32 RODO). Fabrixa może aktualizować załącznik 2, pod warunkiem że ogólny poziom ochrony nie ulegnie obniżeniu.

6. Podwykonawcy przetwarzania danych

6.1 Ogólne upoważnienie. Klient udziela firmie Fabrixa ogólnego pisemnego upoważnienia do angażowania podwykonawców w zakresie przetwarzania danych opisanego w załączniku 1.

6.2 Aktualna lista. Podwykonawcy przetwarzania danych zaangażowani w dniu wejścia w życie są wymienieni na stronie https://www.fabrixa.com/sub-processors/ (załącznik 3 odnosi się do tej listy). Lista ta zawiera dla każdego podwykonawcy przetwarzania danych informacje dotyczące usługi, miejsca przetwarzania oraz mechanizmu przekazywania danych.

6.3 Powiadomienie o zmianach. Fabrixa publikuje na tej stronie wszelkie planowane dodania lub zmiany podwykonawców oraz wysyła wiadomość e-mail do właściciela konta co najmniej 30 dni przed rozpoczęciem przetwarzania danych Klienta przez nowego podwykonawcę. Zmiany wprowadzone w celu ochrony Usług przed bezpośrednim zagrożeniem bezpieczeństwa mogą wejść w życie natychmiast, a powiadomienie o nich zostanie przekazane jak najszybciej po ich wprowadzeniu.

6.4 Prawo do wniesienia sprzeciwu. Klient może zgłosić sprzeciw na piśmie na adres privacy@fabrixa.com w ciągu 30 dni od otrzymania powiadomienia, podając uzasadnione i udokumentowane powody związane z ochroną danych. Strony omawiają sprzeciw w duchu dobrej wiary. Jeżeli firma Fabrixa nie będzie w stanie zaproponować rozsądnej alternatywy w ciągu 30 dni, Klient może wypowiedzieć dotknięte Usługi bez ponoszenia kary, poprzez pisemne zawiadomienie; przedpłacone salda portfela zostaną zwrócone proporcjonalnie.

6.5 Przeniesienie. Fabrixa nakłada na każdego podwykonawcę, na mocy pisemnej umowy, obowiązki w zakresie ochrony danych, które zapewniają co najmniej taki sam poziom ochrony, jaki przewiduje niniejsza umowa o przetwarzaniu danych (DPA), oraz ponosi pełną odpowiedzialność wobec Klienta za wykonanie obowiązków przez podwykonawcę.

6.6 Partnerzy produkcyjni i logistyczni są angażowani na potrzeby poszczególnych zamówień i wymienieni według kategorii oraz kraju. Na żądanie Klienta oraz po podpisaniu zobowiązania do zachowania poufności firma Fabrixa ujawnia Klientowi nazwę partnera, który zrealizował konkretne zamówienie.

7. Pomoc dla klienta

7.1 Wnioski osób, których dane dotyczą. Fabrixa przekazuje wszelkie wnioski otrzymane od Klienta końcowego do Klienta w ciągu 5 dni roboczych i nie odpowiada na nie bezpośrednio, chyba że Klient postanowi inaczej. Fabrixa wspiera Klienta w zakresie odpowiednich środków technicznych i organizacyjnych niezbędnych do udzielenia odpowiedzi na wnioski zgodnie z rozdziałem III RODO.

7.2 Fabrixa wspiera Klienta, biorąc pod uwagę charakter przetwarzania oraz informacje dostępne Fabrixa, w wypełnianiu obowiązków Klienta wynikających z art. 32–36 RODO (bezpieczeństwo, powiadamianie o naruszeniach, oceny skutków dla ochrony danych oraz uprzednie konsultacje).

8. Naruszenie ochrony danych osobowych

8.1 Fabrixa powiadamia Klienta bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych, które dotyczy danych Klienta. Powiadomienie zawiera opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz liczby rekordów, których dotyczy naruszenie, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz dane kontaktowe. Informacje mogą być przekazywane etapami.

8.2 Fabrixa nie powiadamia klientów końcowych ani organów nadzorczych w imieniu Klienta, chyba że Klient wyda takie polecenie lub wymaga tego prawo.

9. Przelewy międzynarodowe

9.1 Fabrixa przetwarza dane klientów na terenie Europejskiego Obszaru Gospodarczego. Przekazywanie danych do państwa trzeciego odbywa się wyłącznie z zachowaniem zabezpieczeń określonych w rozdziale V RODO: decyzji stwierdzającej odpowiedni poziom ochrony lub standardowych klauzul umownych (decyzja Komisji (UE) 2021/914) wraz z dodatkowymi środkami w razie potrzeby. Mechanizm przekazywania danych dla poszczególnych podwykonawców przetwarzania danych jest określony w wykazie podwykonawców przetwarzania danych.

10. Usunięcie i zwrot

10.1 Po zakończeniu świadczenia Usług lub na pisemny wniosek Klienta firma Fabrixa usuwa dane Klienta w ciągu 30 dni, chyba że przepisy prawa UE lub państwa członkowskiego wymagają dalszego przechowywania tych danych. Faktury oraz dokumentacja zamówień niezbędna do celów podatkowych są przechowywane przez 7 lat zgodnie z prawem holenderskim; dokumentacja dotycząca sporów i roszczeń jest przechowywana przez okres przedawnienia. Dane objęte prawnym obowiązkiem przechowywania pozostają zablokowane i nie mogą być wykorzystywane do żadnych innych celów.

10.2 Przed usunięciem konta Klient może wyeksportować dane dotyczące zamówień za pośrednictwem platformy oraz serwisu API. Serwis Fabrixa zapewnia odpowiednią pomoc w zakresie innych formatów eksportu zgodnie ze standardowymi stawkami.

11. Audyty i informacje

11.1 Fabrixa udostępnia Klientowi wszystkie informacje niezbędne do wykazania zgodności z art. 28 RODO: niniejszą umowę o przetwarzaniu danych, wykaz podwykonawców przetwarzających dane, załącznik 2 oraz, na żądanie, wypełniony kwestionariusz dotyczący bezpieczeństwa i najnowsze raporty lub certyfikaty stron trzecich dotyczące dostawców usług hostingowych.

11.2 W przypadku, gdy informacje te są w uzasadniony sposób niewystarczające, Klient lub niezależny audytor zobowiązany do zachowania poufności może przeprowadzić audyt odpowiednich czynności przetwarzania danych przez Fabrixa raz na 12 miesięcy, po uprzednim pisemnym zawiadomieniu z 30-dniowym wyprzedzeniem, w godzinach pracy, bez zakłócania działalności operacyjnej, na koszt Klienta. Kontrole wymagane przez organ nadzorczy lub przeprowadzane w następstwie naruszenia ochrony danych osobowych nie podlegają ograniczeniom co do częstotliwości. Kontrole nie obejmują danych innych klientów ani obiektów partnerów produkcyjnych; w tych przypadkach firma Fabrixa opiera się na gwarancjach umownych oraz własnych kontrolach dostawców.

12. Informacje ogólne

12.1 Odpowiedzialność wynikająca z niniejszej umowy o przetwarzaniu danych (DPA) regulowana jest zgodnie z punktem 13 Warunków.

12.2 W przypadku sprzeczności między niniejszym DPA a Warunkami w kwestiach dotyczących ochrony danych, pierwszeństwo ma niniejsze DPA. W przypadku gdy do przekazania danych mają zastosowanie standardowe klauzule umowne, mają one pierwszeństwo przed niniejszym DPA.

12.3 Fabrixa może aktualizować niniejszą Umowę o przetwarzaniu danych (DPA) w celu uwzględnienia zmian w przepisach prawa lub w Usługach; istotne zmiany są ogłaszane w taki sam sposób, jak zmiany dotyczące podwykonawców przetwarzających dane (punkt 6.3). Dalsze korzystanie z Usług po dacie wejścia w życie stanowi wyrażenie zgody.

12.4 Niniejsza umowa powierzenia przetwarzania danych zostaje zawarta w języku angielskim. Tłumaczenia na stronie internetowej mają charakter wyłącznie pomocniczy; pierwszeństwo ma wersja angielska. Prawo właściwe i sądy podlegają postanowieniom punktu 16 Warunków (Holandia; Amsterdam).

12.5 Osoba kontaktowa w sprawie niniejszej polityki ochrony danych, powiadomień oraz pytań dotyczących ochrony danych: privacy@fabrixa.com.

Załącznik 1 — Szczegóły dotyczące przetwarzania

Załącznik 2 — Środki techniczne i organizacyjne

Załącznik 3 — Podwykonawcy przetwarzający dane

Aktualna lista jest prowadzona pod adresem https://www.fabrixa.com/sub-processors/ i stanowi część niniejszej umowy o przetwarzaniu danych (DPA) w brzmieniu obowiązującym w dniu wejścia w życie; późniejsze zmiany są zgodne z punktem 6.