Umowa Powierzenia Przetwarzania Danych — Seatly Room

Stanowi załącznik do Regulaminu Seatly Room. Reguluje zasady przetwarzania danych osobowych Gości hotelowych przez Seatly na zlecenie Właściciela Obiektu (ADO).

1. Przedmiot i czas trwania

Przedmiotem powierzenia jest przetwarzanie danych osobowych Gości rezerwujących i przebywających w obiektach noclegowych zarządzanych przez Właściciela za pomocą Seatly Room. Powierzenie trwa przez okres obowiązywania umowy SaaS.

2. Charakter i cel przetwarzania

Przetwarzanie obejmuje: zbieranie danych rezerwacyjnych Gości, rejestrację meldunkową, zarządzanie dostępnością pokoi, obsługę płatności/kaucji, generowanie faktur pobytowych i udostępnianie raportów Właścicielowi.

3. Kategorie danych i osób

Kategorie osób: Goście hotelowi (Główny Gość i osoby towarzyszące), osoby dokonujące rezerwacji online.
Zakres danych (standardowy): Imię i nazwisko, e-mail, numer telefonu, daty przyjazdu/wyjazdu, numer pokoju, metadane transakcji.
Zakres danych (rozszerzony — wg konfiguracji ADO): Imiona i nazwiska osób towarzyszących, wiek dzieci, numer rejestracyjny pojazdu, preferencje pokojowe, dane do faktury VAT (NIP, adres).

Zakres zbieranych danych wynika wyłącznie z konfiguracji formularza rezerwacyjnego dokonanej przez Właściciela Obiektu jako ADO. Seatly przetwarza wyłącznie dane faktycznie przekazane przez Gościa.

4. Obowiązki Podmiotu Przetwarzającego (Seatly)

Polecenia ADO: Przetwarzanie wyłącznie na udokumentowane polecenie Właściciela (konfiguracja systemu).
Poufność: Zobowiązanie personelu Seatly do zachowania tajemnicy.
Bezpieczeństwo: Szyfrowanie TLS 1.3, kontrola dostępu, regularne backupy, centrum danych ISO 27001 (art. 32 RODO).
Wsparcie praw Gości: Pomoc Właścicielowi w realizacji żądań dostępu, usunięcia i przenoszenia danych Gości.
Naruszenia danych: Niezwłoczne (maks. 72h) powiadomienie Właściciela o naruszeniu ochrony danych osobowych Gości.

5. Podpowierzenie (Sub-processing)

Stripe Payments Europe, Ltd. (Irlandia/USA) — zaliczki i preautoryzacja kaucji.
Supabase / AWS Frankfurt (UE) — baza danych PostgreSQL, kopie zapasowe.
Resend, Inc. (USA) — potwierdzenia rezerwacji i przypomnienia o przyjeździe.
Hetzner Online GmbH (Niemcy, UE) — serwery aplikacji Seatly.

6. Prawo do audytu

Właściciel Obiektu ma prawo do audytu z min. 14-dniowym wyprzedzeniem.

7. Zakończenie przetwarzania

Po rozwiązaniu umowy Seatly usuwa dane Gości powierzone przez Właściciela, chyba że prawo (np. 5-letni obowiązek podatkowy lub przepisy ewidencji meldunkowej) nakazuje ich dalsze przechowywanie.