Umowa powierzenia danych z dostawcą CRM i oprogramowania: co sprawdzić przed podpisaniem

Kto jest kim w relacji z dostawcą oprogramowania

RODO rozróżnia trzy role, które mogą dotyczyć Twojej firmy:

Administrator — to Ty jako właściciel firmy lub zarządca. To Ty decydujesz, po co i jak przetwarzane są dane klientów. Odpowiadasz za całość procesu, nawet jeśli fizycznie nic nie robisz — to administrator ponosi odpowiedzialność, gdy coś pójdzie nie tak.

Podmiot przetwarzający (procesor) — to dostawca CRM, systemu rezerwacji, bramki SMS, telefonii VoIP czy innego oprogramowania, które przetwarza dane osobowe w Twoim imieniu. Robi to na Twoje polecenie, nie z własnej inicjatywy.

Podpowierzenie — sytuacja, gdy Twój dostawca korzysta z usług innego podmiotu. Przykład: dostawca CRM trzyma dane na serwerze zewnętrznego hostingodawcy lub wysyła SMS-y przez zewnętrzny gateway. Wtedy potrzebujesz umowy również z tym pod dostawcą.

Według art. 29 RODO podmiot przetwarzający i każda osoba działająca z upoważnienia administratora, mająca dostęp do danych, przetwarza je wyłącznie na polecenie administratora. Administrator musi mieć kontrolę, kto i w jakim zakresie ma dostęp do danych.

Dlaczego to ważne dla Twojej firmy

Jako administrator ponosisz odpowiedzialność za wszystko, co dzieje się z danymi klientów. Nawet jeśli sam nie przetwarzasz danych — odpowiadasz za dostawcę. Jeśli dostawca wycieknie dane, to UODO przyjdzie do Ciebie, nie do niego. Dlatego warto wiedzieć, komu powierzasz dane i jakie ma zobowiązania.

Mapa dostawców: co warto sprawdzić

Zanim zaczniesz szukać umów, spisz wszystkie usługi, z których korzystasz. Wiele małych firm nie zdaje sobie sprawy, ile narzędzi faktycznie przetwarza dane klientów. Oto tabela, która pomoże Ci uporządkować ten proces:

Najczęściej zapominane elementy to darmowe wtyczki do strony, próbne wersje narzędzi i usługi podłączone przez pracownika na swoim koncie. Każde z nich to potencjalny portal do danych Twoich klientów — i potencjalna dziura w Twoim łańcuchu powierzenia.

Typowe narzędzia, o których zapominasz

Wiele firm zapomina o narzędziach, które wydają się „darmowe" lub „mało istotne". Ale każde z nich przetwarza dane klientów: wtyczki do formularzy na stronie, narzędzia do ankiet, darmowe CRM-y z reklamami, aplikacje do obsługi wiadomości na Instagramie czy Facebooku. Nawet jeśli używasz ich tylko „na próbę" — odpowiedzialność za dane jest taka sama.

Co musi zawierać umowa powierzenia według UODO

UODO wskazuje dokładnie, co powinna zawierać umowa powierzenia przetwarzania danych. To nie są zalecenia — to elementy, bez których umowa nie spełnia wymogów prawnych:

UODO podkreśla, że umowa musi być zawarta na piśmie — to dotyczy również przypadków, gdy dostawca oferuje „akceptację regulaminu" jako formę umowy. Regulamin może być elementem umowy, ale sam regulamin nie zastępuje pisemnej umowy powierzenia. Więcej o tym, gdzie fizycznie lądują dane, przeczytaj w artykule Automatyzacja a RODO.

Co to znaczy w praktyce

Umowa powierzenia to nie jest dokument, który pobierasz z internetu i podpisujesz. To musi być umowa dostosowana do Twojej sytuacji. Jeśli korzystasz z pięciu różnych narzędzi, potrzebujesz pięciu osobnych umów — lub jednej „rozszerzonej", jeśli dostawca ją oferuje. Ale nie możesz założyć, że jedna umowa na wszystko automatycznie obejmuje wszystkie usługi.

Weryfikacja dostawcy przed podpisaniem

Sam fakt, że dostawca oferuje umowę powierzenia, nie oznacza, że możesz ją po prostu podpisać. UODO wskazuje, że administrator musi zweryfikować, czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

Zanim podpiszesz umowę, zadaj dostawcy te pytania:

1. Gdzie fizycznie znajdują się serwery, na których przetwarzane są dane? Czy dane opuszczają Europejski Obszar Gospodarczy?
2. Kto ma dostęp do danych? Ilu pracowników i na jakiej podstawie?
3. Jak wygląda proces powiadamiania o naruszeniu? W jakim czasie dostanę informację, że doszło do wycieku?
4. Co stanie się z danymi po zakończeniu współpracy? Czy dostanę je z powrotem, czy zostaną usunięte?
5. Czy korzystacie z podwykonawców? Jeśli tak — kto to jest i czy z nimi też mam podpisać umowę?
6. Jakie certyfikaty bezpieczeństwa posiadacie? (ISO 27001, SOC 2, etc.)
7. Czy przeprowadzacie regularne audyty bezpieczeństwa?

Nie zadowalaj się ogólnikami typu „dane są bezpieczne". Poproś o konkretne odpowiedzi na piśmie — to Ty odpowiadasz przed UODO, więc musisz mieć na co powołać się w razie kontroli.

Więcej o tym, jak wygląda proces weryfikacji dostawcy, przeczytaj w porównaniu n8n vs Make — artykuł pokazuje, jak wygląda analiza narzędzi pod kątem bezpieczeństwa.

Przypadek Sułkowickiego Ośrodka Kultury — 2,5 tys. zł za brak umowy

UODO nałożył 2,5 tys. zł kary na Sułkowicki Ośrodek Kultury za powierzenie przetwarzania danych bez pisemnej umowy powierzenia i bez sprawdzenia, czy podmiot przetwarzający zapewnia wystarczające gwarancje. Co ważne — chodziło o prowadzenie ksiąg rachunkowych, ewidencji, raportów i przechowywanie dokumentacji. To nie był żaden „egzotyczny" dostawca, ale standardowa usługa księgowa.

Umowa powierzenia określała m.in. przedmiot i czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Sułkowski Ośrodek Kultury nie miał takiej umowy — i zapłacił karę. Więcej o tym przypadku przeczytaj w oficjalnym komunikacie UODO: Powierzenie przetwarzania danych trzeba udokumentować.

Dla małej firmy 2,5 tys. zł to nie jest kwota, która zrujnuje biznes. Ale pokazuje, że UODO traktuje poważnie nawet drobne naruszenia. A co ważniejsze — Sułkowski Ośrodek Kultury musiał później zawrzeć umowę i dostosować się do wymogów. Lepiej zrobić to wcześniej, niż płacić karę i potem gonić straty.

Przypadek McDonald’s Polska — 16,9 mln zł za zaufanie bez weryfikacji

McDonald’s Polska przekazał dane pracowników zewnętrznej firmie w celu zarządzania grafikami pracy. Nie zweryfikował, czy podmiot przetwarzający zapewnia odpowiednie zabezpieczenia. Efekt? Łączna kara 16 932 657 zł dla McDonald’s i 183 858 zł dla podmiotu przetwarzającego 24/7 Communication.

Co poszło nie tak:

• Brak analizy ryzyka przed powierzeniem danych.
• Brak weryfikacji, czy podmiot przetwarzający stosuje odpowiednie zabezpieczenia.
• Umowa powierzenia była podpisana, ale nie była faktycznie realizowana — brak audytów i inspekcji.
• Podmiot przetwarzający korzystał z innego podmiotu bez zawartej umowy podpowierzenia.

UODO podkreślił, że administrator i podmiot przetwarzający są odpowiedzialni wspólnie — i obie strony poniosły konsekwencje. Umowa to nie jest dokument, który zakładasz do teczki i zapominasz. To żywa umowa, którą trzeba egzekwować. Szczóły tej sprawy znajdziesz w komunikacie UODO: Za ochronę danych odpowiedzialni są administrator i podmiot przetwarzający.

Podpowierzenie — gdy Twój dostawca korzysta z podwykonawcy

Kiedy Twój dostawca CRM korzysta z zewnętrznego hostingu, a bramka SMS — z zewnętrznego operatora, mówimy o podpowierzeniu. Art. 28 ust. 4 i 9 RODO wymaga, aby podmiot przetwarzający korzystał z podwykonawców tylko na podstawie odrębnej umowy podpowierzenia.

W przypadku McDonald’s jeden z problemów polegał właśnie na tym, że 24/7 Communication korzystało z innego podmiotu bez umowy podpowierzenia. Nawet jeśli Twój dostawca jest „solidny" — sprawdź, czy jego podwykonawcy też mają umowy.

Pytania do dostawcy:

• Z jakich usług zewnętrznych korzystacie przy przetwarzaniu moich danych?
• Czy z tymi podmiotami zawarte są umowy podpowierzenia?
• Czy mogę poznać nazwy tych podmiotów?
• Jak wygląda proces weryfikacji podwykonawców?

Cykl życia umowy powierzenia — od wyboru do zakończenia

Umowa powierzenia to nie jednorazowy dokument. To proces, który towarzyszy całemu cyklowi życia współpracy z dostawcą:

Weryfikacja realizacji umowy to nie jest formalność. W przypadku McDonald’s umowa była podpisana, ale nikt nie sprawdzał, czy jest faktycznie realizowana. Regularne pytania typu „czy przeprowadziliście audyt?", „ile osób miało dostęp do danych w ostatnim kwartale?" to standard, nie agresja.

Dowiedz się więcej o tym, jakie błędy popełniają firmy przy wdrażaniu automatyzacji, w artykule Błędy przy wdrażaniu automatyzacji — często dotyczą one właśnie kwestii bezpieczeństwa i przetwarzania danych.

Typowe błędy małych firm

Wiele małych firm popełnia te same błędy, które potem kosztują ich czas i pieniądze:

Serwis podłączony „na kartkę" pracownika — jeden pracownik zakłada konto w usłudze na swoją skrzynkę, bez wiedzy właściciela. Firma nie ma umowy, nie wie, gdzie dane są przetwarzane, nie może ich odzyskać po odejściu pracownika.

Darmowy tariff bez umowy — wiele narzędzi oferuje darmowe wersje bez umowy powierzenia. To nie znaczy, że dane nie są przetwarzane. Oznacza to, że przetwarzanie odbywa się na ryzyko firmy.

Wyjście bazy do zewnętrznego narzędzia „na próbę" — wgrać listę klientów do nowego narzędzia marketingowego, żeby „sprawdzić, jak działa". Bez umowy, bez weryfikacji, bez kontroli. Klasyczny scenariusz naruszenia.

Brak weryfikacji przy zmianie dostawcy — firma zmienia CRM na inny, ale nie sprawdza, co dzieje się ze starymi danymi. Czy zostały usunięte? Czy są nadal gdzieś przetwarzane?

Porównaj różne podejścia do automatyzacji w artykule Własna automatyzacja czy gotowe SaaS — czasem gotowe rozwiązanie z jednym dostawcą to mniejsze ryzyko niż dziesiątki osobnych narzędzi.

Zrób to sam w dwie godziny — plan działania

To nie jest zadanie na tygodnie. Możesz zrobić podstawową weryfikację w około dwie godziny:

Krok 1: Spisz wszystkie narzędzia (20 minut) Otwórz listę z tabeli powyżej i wpisz wszystkie usługi, z których korzystasz. Nie pomijaj darmowych wtyczek, próbnych wersji i narzędzi podłączonych przez pracowników.

Krok 2: Znajdź umowy (40 minut) Wejdź na stronę każdego dostawcy i poszukaj sekcji „Umowa powierzenia danych" (DPA — Data Processing Agreement) lub „Regulamin". Pobierz dokument. Jeśli go nie ma — to pierwszy sygnał ostrzegawczy.

Krok 3: Wypełnij tabelę (30 minut) Dla każdego narzędzia wpisz: czy umowa istnieje, co zawiera, gdzie leży, kto odpowiada za kontakt z dostawcą.

Krok 4: Zidentyfikuj luki (20 minut) Zaznacz narzędzia bez umów lub z niepełnymi umowami. To są Twoje priorytety.

Krok 5: Działaj (10 minut) Zacznij od najbardziej krytycznych narzędzi — tych, które przetwarzają najwięcej danych klientów (CRM, rezerwacje, SMS-y).

Jeśli masz wątpliwości — konkretny przypadek warto skonsultować z prawnikiem lub Inspektorem Ochrony Danych (IOD). Niektóre sytuacje wymagają indywidualnej oceny, zwłaszcza gdy dane są szczególnego rodzaju lub skala przetwarzania jest duża.

Jak to wygląda w nowoczesnym systemie

Mniej osobnych narzędzi to mniej umów powierzenia do zarządzania, mniej miejsc, w których dane klientów są przechowywane, i mniej ryzyka, że coś umknie. Zamiast pięciu osobnych usług (CRM, kalendarz, SMS-y, e-mail marketing, telefon) — jedna platforma, w której wszystko jest w jednym miejscu.

W systemie typu CRM i automatyzacje Aura wszystkie kanały — telefon, formularz, komunikatory i wizytówka Google — zapisują w jednym miejscu. Potwierdzenie przychodzi od razu, przypomnienie przychodzi na dobę i na kilka godzin przed terminem.

To nie oznacza, że umowa powierzenia przestaje być potrzebna. Wręcz przeciwnie — nadal musisz sprawdzić dostawcę i podpisać umowę. Ale zarządzanie jedną umową zamiast pięcioma to po prostu mniej pracy i mniej ryzyka.

Dowiedz się więcej o integracjach w artykule CRM czy ERP — różnica między jednym zintegrowanym systemem a wieloma osobnymi narzędziami ma bezpośredni wpływ na liczbę umów i ryzyko.

Jeśli chcesz zobaczyć, jak wygląda jeden system zamiast wielu osobnych narzędzi, sprawdź integracje Aura — łączenie kasy, kalendarza, CRM i innych usług w jeden przepływ danych. Dowiedz się więcej o danych klientów — jedna karta klienta zamiast pięciu list w pięciu systemach. Zobacz, jak działa API — programistyczny dostęp do danych i działań systemu. Dedykowany panel admina pozwala zarządzać wszystkimi danymi z jednego miejsca z dostępem opartym na rolach.

Najczęściej zadawane pytania

Czy umowa powierzenia musi być podpisana na piśmie?

Tak. UODO jednoznacznie wskazuje, że umowa powierzenia przetwarzania danych osobowych musi być zawarta na piśmie. Nie wystarcza akceptacja regulaminu czy kliknięcie „zgadzam się" w panelu użytkownika. Dokument powinien zawierać wszystkie elementy wymienione wcześniej: przedmiot, czas, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki i prawa administratora.

Co jeśli dostawca nie oferuje umowy powierzenia?

To jest sygnał ostrzegawczy. Jeśli dostawca odmawia podpisania umowy lub mówi, że „regulamin wystarczy" — rozważ innego dostawcę. Bez umowy powierzenia ryzykujesz karę od UODO i ponosisz pełną odpowiedzialność jako administrator. Niektóre firmy oferują umowę jako załącznik do regulaminu — to może być akceptowalne, ale upewnij się, że dokument jest podpisany i zawiera wszystkie wymagane elementy.

Czy muszę zawierać umowę z każdym dostawcą?

Nie każdy dostawca jest podmiotem przetwarzającym. Jeśli dostawca przetwarza dane we własnym celu (np. dostawca płatności przetwarza dane w ramach własnej usługi płatniczej, nie na Twoje polecenie), to nie potrzebujesz umowy powierzenia. Ale jeśli dostawca przetwarza dane w Twoim imieniu, według Twoich instrukcji — potrzebujesz umowy. Wątpliwości? Skonsultuj się z IOD lub prawnikiem.

Czy mogę korzystać z darmowych narzędzi bez umowy?

Korzystanie z darmowego narzędzia nie zwalnia z obowiązku posiadania umowy, jeśli narzędzie przetwarza dane osobowe w Twoim imieniu. Wiele darmowych wersji CRM czy narzędzi do e-mail marketingu przetwarza dane na Twoje polecenie — a więc wymaga umowy. To, że nie płacisz za usługę, nie oznacza, że nie odpowiadasz za dane klientów.

Co musi zawierać umowa podpowierzenia?

Umowa podpowierzenia (gdy Twój dostawca korzysta z podwykonawcy) powinna zawierać te same elementy co umowa powierzenia, plus informację o tym, kto jest podprzetwarzającym. Jako administrator masz prawo wiedzieć, kto dokładnie przetwarza dane Twoich klientów. Jeśli Twój dostawca odmawia podania informacji o podwykonawcach — to poważny sygnał ostrzegawczy.

Jak często powinienem weryfikować realizację umowy?

Zalecamy przynajmniej raz w roku. Zapytaj dostawcę o wyniki audytów bezpieczeństwa, sprawdź, czy zmienił się zakres usług lub podwykonawców. W przypadku dużych zmian (np. zmiana lokalizacji serwerów, nowi podwykonawcy) — od razu żądaj aktualizacji umowy. W przypadku McDonald’s umowa była podpisana, ale nikt nie weryfikował jej realizacji — to doprowadziło do ogromnej kary.

Czy mogę podpisać jedną umowę dla wszystkich narzędzi jednego dostawcy?

Zależy od tego, co oferuje dostawca. Niektórzy oferują „rozszerzoną" umowę obejmującą wszystkie swoje usługi — to wygodne. Inni wymagają osobnych umów dla każdego produktu. W obu przypadkach upewnij się, że umowa faktycznie obejmuje wszystkie usługi, z których korzystasz, i że wszystkie elementy są na piśmie.

Co zrobić, gdy dostawca znika z rynku?

To jest jeden z najczęściej pomijanych scenariuszy. Przed podpisaniem umowy zapytaj: co stanie się z danymi, jeśli współpraca się skończy? Większość odpowie, że dane zostaną usunięte lub zwrócone. Ale warto to mieć na piśmie. W przypadku upadłości dostawcy odzyskanie danych może być bardzo trudne — dlatego warto regularnie archiwizować dane po swojej stronie.