nyxbtbeta
Cennik Wypróbuj za darmo
← Wróć na stronę główną

Umowa powierzenia przetwarzania danych

Art. 28 RODO · usługa onyxbot · wersja z 17 października 2026

Strony i zawarcie umowy

Administrator — Klient, czyli właściciel kanału na platformie Kick, który w panelu streamera (onyxbot.live/panel) zaznacza akceptację dokumentów przy aktywacji usługi. Administratora identyfikuje konto i kanał Kick, z którego dokonano akceptacji; moment i wersja akceptacji są zapisywane.

Podmiot przetwarzający — osoba fizyczna z Krakowa prowadząca działalność nierejestrowaną i świadcząca usługę onyxbot (dane do kontaktu: kontakt@onyxbot.live).

Umowa zostaje zawarta w formie elektronicznej z chwilą akceptacji i obowiązuje na czas świadczenia usługi onyxbot na rzecz Administratora. Zwana jest dalej „umową”, a Strony — „Stronami”.

§ 1. Przedmiot umowy

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych widzów swojego kanału na platformie Kick, w zakresie i na zasadach określonych w niniejszej umowie.
  2. Powierzenie następuje wyłącznie w celu świadczenia usługi bota czatu „onyxbot”, obejmującej naliczanie punktów kanału, prowadzenie rankingu widzów, obsługę gier czatowych i nakładek transmisji (OBS) oraz odpowiadanie na komendy widzów na czacie kanału Administratora.
  3. Podmiot przetwarzający oświadcza, że zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 28 ust. 1 i art. 32 RODO.
  4. Strony zgodnie ustalają, że operator platformy Kick pozostaje odrębnym administratorem danych przetwarzanych w ramach tej platformy, a niniejsza umowa nie obejmuje przetwarzania dokonywanego przez tę platformę.

§ 2. Zakres, charakter i czas przetwarzania

  1. Kategorie osób, których dane dotyczą, rodzaje danych oraz czynności przetwarzania określa Załącznik nr 1.
  2. Przetwarzanie ma charakter ciągły i odbywa się w formie zautomatyzowanej, z wykorzystaniem systemów teleinformatycznych Podmiotu przetwarzającego.
  3. Powierzenie obowiązuje przez czas świadczenia usługi na rzecz Administratora i wygasa z chwilą jej zakończenia, z zastrzeżeniem § 9.
  4. Podmiot przetwarzający nie przetwarza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO); Administrator zobowiązuje się nie przekazywać takich danych w ramach usługi.

§ 3. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się do:

  1. przetwarzania danych wyłącznie na udokumentowane polecenie Administratora, przy czym za takie polecenie uznaje się również zawarcie niniejszej umowy oraz konfigurację usługi dokonaną przez Administratora; dotyczy to także przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada prawo Unii lub prawo krajowe;
  2. niezwłocznego poinformowania Administratora, jeżeli w ocenie Podmiotu przetwarzającego wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych;
  3. zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
  4. stosowania środków bezpieczeństwa wymaganych na mocy art. 32 RODO, opisanych w Załączniku nr 3;
  5. przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego, określonych w § 5;
  6. pomagania Administratorowi — w miarę możliwości i za pomocą odpowiednich środków technicznych — w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO);
  7. pomagania Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, przy uwzględnieniu charakteru przetwarzania i dostępnych informacji;
  8. udostępniania Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia audytów na zasadach określonych w § 8;
  9. prowadzenia rejestru kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO), o ile obowiązek taki go dotyczy.

§ 4. Obowiązki Administratora

  1. Administrator oświadcza, że jest administratorem powierzonych danych i że ich przetwarzanie w celu określonym w § 1 ust. 2 ma podstawę prawną.
  2. Administrator zobowiązuje się poinformować widzów swojego kanału — w sposób przyjęty na tym kanale, na przykład w panelu informacyjnym kanału — o tym, że na kanale działa bot punktowy, kto jest jego operatorem oraz gdzie znajduje się informacja o przetwarzaniu danych (strona onyxbot.live/bot-dane; gotowy tekst do wklejenia jest w panelu).
  3. Administrator nie udostępnia osobom trzecim kluczy dostępowych do nakładek OBS oraz panelu usługi i niezwłocznie zgłasza Podmiotowi przetwarzającemu podejrzenie ich ujawnienia.

§ 5. Dalsze powierzenie (podprocesorzy)

  1. Administrator udziela Podmiotowi przetwarzającemu ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających, wymienionych w Załączniku nr 2.
  2. Podmiot przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia dalszych podmiotów przetwarzających — pocztą elektroniczną lub w panelu, z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie wnieść sprzeciw; wniesienie sprzeciwu uprawnia każdą ze Stron do rozwiązania umowy usługi ze skutkiem na koniec opłaconego okresu.
  3. Na dalszy podmiot przetwarzający Podmiot przetwarzający nakłada, w drodze umowy, te same obowiązki ochrony danych, które wynikają z niniejszej umowy. Podmiot przetwarzający ponosi wobec Administratora pełną odpowiedzialność za wywiązanie się przez taki podmiot z jego obowiązków.

§ 6. Zgłaszanie naruszeń

  1. Podmiot przetwarzający zgłasza Administratorowi każde naruszenie ochrony powierzonych danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia — w panelu streamera lub na adres e-mail, który Administrator wskazał w kontakcie z Podmiotem przetwarzającym.
  2. Zgłoszenie zawiera co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych.
  3. Podmiot przetwarzający współpracuje z Administratorem przy wyjaśnianiu okoliczności naruszenia oraz przy ewentualnym zawiadamianiu organu nadzorczego i osób, których dane dotyczą.

§ 7. Prawa osób, których dane dotyczą

  1. Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Podmiotu przetwarzającego, Podmiot przetwarzający przekazuje żądanie Administratorowi bez zbędnej zwłoki i nie realizuje go samodzielnie, chyba że Administrator poleci inaczej.
  2. Na żądanie Administratora Podmiot przetwarzający usuwa dane wskazanego widza lub udostępnia Administratorowi informacje o danych tej osoby przetwarzanych w ramach usługi — w terminie 7 dni roboczych.

§ 8. Kontrola i audyt

  1. Administrator ma prawo kontroli, czy przetwarzanie odbywa się zgodnie z umową i RODO. Kontrola odbywa się po uprzednim zawiadomieniu Podmiotu przetwarzającego z co najmniej 14-dniowym wyprzedzeniem, w dni robocze i w sposób nieprzerywający ciągłości świadczenia usługi.
  2. Podmiot przetwarzający udziela odpowiedzi na pytania Administratora dotyczące przetwarzania w terminie 14 dni od ich otrzymania.
  3. Kontrola nie może naruszać tajemnicy przedsiębiorstwa Podmiotu przetwarzającego ani danych innych jego klientów. Koszty kontroli ponosi Administrator, chyba że kontrola wykaże naruszenie umowy przez Podmiot przetwarzający.

§ 9. Czas obowiązywania i zakończenie

  1. Umowa zostaje zawarta na czas świadczenia usługi na rzecz Administratora.
  2. Po zakończeniu świadczenia usługi Podmiot przetwarzający — zgodnie z decyzją Administratora — usuwa powierzone dane albo zwraca je Administratorowi w powszechnie używanym formacie pliku, a następnie usuwa istniejące kopie, chyba że prawo Unii lub prawo krajowe nakazuje ich dalsze przechowywanie.
  3. Decyzję, o której mowa w ust. 2, Administrator przekazuje w terminie 14 dni od zakończenia usługi. W braku decyzji dane zostają usunięte.
  4. Usunięcie następuje w terminie 30 dni od zakończenia usługi lub od otrzymania decyzji Administratora, przy czym kopie zapasowe, w których dane mogą się jeszcze znajdować, są nadpisywane w cyklu nie dłuższym niż 14 dni.
  5. Każda ze Stron może wypowiedzieć niniejszą umowę z zachowaniem 30-dniowego okresu wypowiedzenia; wypowiedzenie umowy powierzenia jest równoznaczne z zakończeniem świadczenia usługi.

§ 10. Odpowiedzialność

  1. Każda ze Stron odpowiada za szkody wyrządzone drugiej Stronie oraz osobom trzecim w związku z niewykonaniem lub nienależytym wykonaniem obowiązków wynikających z RODO i niniejszej umowy, na zasadach określonych w art. 82 RODO.
  2. Podmiot przetwarzający nie odpowiada za skutki udostępnienia przez Administratora kluczy dostępowych osobom nieuprawnionym ani za treści publikowane przez widzów na czacie kanału Administratora.

§ 11. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego.
  2. Zmiany umowy wymagają formy dokumentowej: nowa wersja jest publikowana na tej stronie i akceptowana w panelu, a wcześniej ogłaszana Administratorowi z wyprzedzeniem co najmniej 14 dni (§ 5 ust. 2 stosuje się odpowiednio).
  3. Umowa wchodzi w życie z dniem akceptacji, nie wcześniej niż z dniem uruchomienia usługi na kanale Administratora.
  4. Spory rozstrzyga sąd właściwy dla miejsca zamieszkania pozwanego.
  5. Załączniki stanowią integralną część umowy. Pytania: kontakt@onyxbot.live.

Załącznik nr 1 — zakres powierzenia

Kategorie osób, których dane dotyczą:

  • widzowie kanału Administratora na platformie Kick, którzy napisali wiadomość na czacie tego kanału;
  • moderatorzy kanału Administratora (w zakresie komend moderatorskich).

Rodzaje danych osobowych:

  • identyfikator użytkownika Kick (numer konta) — z wiadomości czatu; klucz konta punktowego widza;
  • nazwa użytkownika (nick) na Kicku — z wiadomości czatu; wyświetlanie w rankingu, w odpowiedziach bota i na nakładkach transmisji;
  • informacja o subskrypcji i uprawnieniach moderatora — ze znaczników wiadomości czatu; mnożnik punktów i dostęp do komend moderatorskich;
  • czas ostatniej aktywności na czacie oraz łączna liczba minut obecności — wyliczane z czasu wiadomości; naliczanie punktów za oglądanie;
  • saldo punktów kanału i historia ich zmian — wynik działania usługi; ranking i gry;
  • udział w grach czatowych: zakłady, stawki, wygrane, wyniki i miejsca — wynik działania usługi; rozliczanie gier i wyświetlanie na transmisji;
  • treść wiadomości czatu — przetwarzana wyłącznie w pamięci operacyjnej w celu rozpoznania komendy; nie jest zapisywana.

Usługa nie zbiera adresów e-mail, numerów telefonu, adresów IP widzów ani danych płatniczych.

Czynności przetwarzania: odbieranie zdarzeń czatu kanału Administratora z interfejsu platformy Kick; zapis i aktualizacja stanu konta punktowego widza; rozliczanie gier czatowych i wyświetlanie ich wyników na nakładce transmisji; publikowanie odpowiedzi bota na czacie kanału Administratora; przechowywanie danych i wykonywanie kopii zapasowych; usuwanie danych po zakończeniu usługi.

Załącznik nr 2 — dalsze podmioty przetwarzające

  • OVH SAS (OVHcloud) — hosting serwera wirtualnego, na którym działa usługa i baza danych, wraz z kopiami zapasowymi; Unia Europejska.

Na dzień zawarcia umowy Podmiot przetwarzający nie korzysta z innych dalszych podmiotów przetwarzających. Dane nie są przekazywane poza Europejski Obszar Gospodarczy. Platforma Kick, z której pochodzą wiadomości czatu, jest odrębnym administratorem danych i nie jest podmiotem przetwarzającym w rozumieniu niniejszej umowy.

Załącznik nr 3 — środki techniczne i organizacyjne (art. 32 RODO)

  • szyfrowanie transmisji: cały ruch do serwisu i nakładek transmisji odbywa się po HTTPS;
  • weryfikacja pochodzenia zdarzeń czatu podpisem kryptograficznym platformy Kick — zdarzenia bez poprawnego podpisu są odrzucane;
  • rozdzielenie danych poszczególnych kanałów: dane każdego kanału są zapisane pod odrębnym identyfikatorem, a dostęp do funkcji kanału wymaga indywidualnego klucza, który nie działa wobec innego kanału;
  • baza danych dostępna wyłącznie lokalnie na serwerze, bez połączeń z sieci publicznej; konto aplikacji ma uprawnienia ograniczone do niezbędnych tabel;
  • dostęp administracyjny do serwera wyłącznie przez SSH z uwierzytelnianiem kluczem, bez logowania hasłem, tylko dla upoważnionych osób;
  • dane uwierzytelniające przechowywane w pliku konfiguracyjnym o uprawnieniach dostępnych wyłącznie właścicielowi serwera, poza kodem aplikacji; klucze dostępu do kont Kick przechowywane w postaci zaszyfrowanej;
  • panel administracyjny chroniony wieloetapowym logowaniem (PIN, hasło, jednorazowy kod), z dziennikiem zdarzeń; bez zalogowania adresy panelu nie ujawniają swojego istnienia;
  • codzienne kopie zapasowe bazy danych, przechowywane przez 14 dni w katalogu dostępnym wyłącznie dla konta systemowego bazy danych;
  • możliwość natychmiastowego wstrzymania przetwarzania dla pojedynczego kanału bez wpływu na pozostałe;
  • aktualizacje oprogramowania serwera i aplikacji wykonywane na bieżąco.