Data Processing Agreement

Umowa Powierzenia Przetwarzania Danych, wersja 1

Obowiązuje od 2026-09-20. AstroWay API, api.astroway.info.

1. Kim jesteśmy i czego dotyczy ta umowa

Niniejsza umowa jest zawarta pomiędzy Tobą, Klientem, działającym jako administrator danych, a Maksymem Burkhanem, indywidualnym przedsiębiorcą (ФОП), Ukraina, prowadzącym api.astroway.info jako Twój podmiot przetwarzający dane zgodnie z art. 28 RODO.

Obowiązuje ona tak długo, jak istnieje Twoje konto i wysyłasz żądania do API, i reguluje wyłącznie dane, które przesyłasz za pośrednictwem API. Twoje własne dane konta są odrębną kwestią, w której jesteśmy administratorem, a nasza polityka prywatności ma zastosowanie.

2. Co przetwarzamy i dlaczego

Przedmiot i cel. Przesyłasz dane urodzeniowe do API: datę, godzinę, strefę czasową lub przesunięcie oraz współrzędne. Obliczamy wynik astrologiczny i zwracamy go. To jest cały cel, a wywołanie API jest Twoją instrukcją.

Kategorie osób, których dane dotyczą. Twoi użytkownicy końcowi lub każda osoba, której moment urodzenia przesyłasz.

Rodzaje danych. Data i godzina urodzenia, współrzędne oraz opcjonalne pola name i city. Pola name i city nigdy nie są przechowywane: są one przechowywane w pamięci przez czas trwania żądania i nigdzie nie są zapisywane.

Okres przetwarzania. Przez cały okres istnienia Twojego konta, z zastrzeżeniem sekcji 9.

Co logujemy o wywołaniu, a nie o osobie. Endpoint, metoda, status, opóźnienie, liczba bajtów, zasolony, nieodwracalny skrót adresu IP wywołującego i pierwsze 16 bitów tego adresu, User-Agent, pochodzenie oraz przybliżony kraj, miasto i operator sieci. Przechowujemy to przez 30 dni.

3. Co zobowiązujemy się zrobić

• Przetwarzamy Twoje dane wyłącznie na podstawie Twoich udokumentowanych instrukcji, którymi są wywołania API, które wykonujesz, oraz wszelkie pisemne instrukcje, które nam przesyłasz, chyba że prawo UE lub państwa członkowskiego wymaga inaczej, w którym to przypadku informujemy Cię przed przetwarzaniem, chyba że prawo tego zabrania.
• Jeśli instrukcja wydaje nam się niezgodna z prawem, natychmiast o tym informujemy, zamiast ją cicho wykonywać.
• Usługa jest obsługiwana przez jedną osobę, która jest zobowiązana do zachowania poufności i jest jedyną osobą z dostępem administracyjnym.
• Stosujemy środki bezpieczeństwa opisane w sekcji 5.
• Pomagamy Ci odpowiedzieć na żądanie osoby, której dane dotyczą, oraz pomagamy w wypełnianiu Twoich obowiązków wynikających z art. 32 do 36, o ile jest to możliwe i biorąc pod uwagę to, co posiadamy. To zastrzeżenie jest własnym zastrzeżeniem prawa i tutaj jest konkretne: nie przechowujemy żadnych imion, adresów e-mail ani identyfikatorów Twoich użytkowników końcowych, więc zazwyczaj nie możemy znaleźć w naszych systemach wierszy dotyczących jednej osoby. Możesz to zrobić za pośrednictwem własnych rejestrów, a DELETE /v1/me/account usuwa wszystko, co posiadamy dla Twojego konta.
• Nie wykorzystujemy Twoich danych do własnych celów, nie sprzedajemy ich i nie używamy ich do szkolenia modeli.

4. Podprocesorzy

Dwóch, i są to dostawcy infrastruktury:

Podprocesor	Rola	Lokalizacja
Hetzner Online GmbH	obliczenia, baza danych i przechowywanie plików	Norymberga, Niemcy
Cloudflare, Inc.	CDN, DNS i ochrona przed atakami DDoS, z zasadami buforowania dla regionu UE	Firma z USA, krawędzie w UE obsługują ruch z UE

Nakładamy na nich te same obowiązki w zakresie ochrony danych, które sami ponosimy, i pozostajemy w pełni odpowiedzialni wobec Ciebie za ich działania.

Udzielasz ogólnego upoważnienia dla tych dwóch podmiotów. Poinformujemy Cię e-mailem przed dodaniem lub zastąpieniem któregoś z nich, a Ty możesz zgłosić sprzeciw z uzasadnionych przyczyn związanych z ochroną danych; jeśli nie będziemy w stanie rozwiązać sprzeciwu, możesz zaprzestać korzystania z usługi, a my zwrócimy niewykorzystaną część opłaconego okresu.

Nasi dostawcy płatności i poczty e-mail celowo nie znajdują się w tej tabeli, ponieważ nigdy nie widzą danych objętych niniejszą umową. Brevo wysyła do Ciebie wiadomości transakcyjne, a Monobank przyjmuje płatności kartą, z LiqPay dodanym w październiku 2026. Obie te kwestie dotyczą Twojego konta, a nie Twoich użytkowników końcowych, dlatego są wymienione w polityce prywatności.

5. Bezpieczeństwo

• Transport odbywa się wyłącznie za pomocą TLS, a zwykłe HTTP jest przekierowywane.
• Hasła są haszowane za pomocą bcrypt, a klucze API są przechowywane w postaci zahaszowanej.
• Adresy IP są przechowywane wyłącznie jako zasolony SHA-256, obliczany w momencie zapisu wiersza. Sól znajduje się w środowisku serwera, nigdy w kodzie.
• Konta baz danych są oddzielone dla każdego konsumenta, każde z najwęższymi możliwymi uprawnieniami, a baza danych nasłuchuje tylko na interfejsie sprzężenia zwrotnego.
• Kopie zapasowe są szyfrowane za pomocą AES-256 przed opuszczeniem maszyny.
• Dostęp administracyjny odbywa się za pomocą klucza SSH, dla jednej osoby, bez współdzielonych poświadczeń.

Czego nie posiadamy, ponieważ twierdzenie inaczej byłoby gorsze niż powiedzenie tego: nie posiadamy własnego raportu SOC 2 ani certyfikatu ISO 27001. Hetzner posiada certyfikat ISO/IEC 27001 dla centrum danych, w którym znajdują się nasze serwery.

6. Przekazywanie danych, jasno określone

Twoje dane są przetwarzane na serwerach w Norymberdze, Niemcy, i nie replikujemy ich poza EOG.

Jesteśmy jednak zarejestrowani w Ukrainie, która nie posiada decyzji stwierdzającej odpowiedni stopień ochrony zgodnie z art. 45. Zgodnie z wytycznymi EROD 05/2021 samo to sprawia, że jest to przekazanie do państwa trzeciego, podobnie jak dostęp administracyjny z Ukrainy do tych niemieckich serwerów, ponieważ dostęp zdalny się liczy, nawet jeśli nic nie jest kopiowane. Nie mówimy więc, że nie ma przekazywania transgranicznego; jest ono, i to właśnie ta umowa je obejmuje.

Zawieramy Standardowe Klauzule Umowne Decyzji Wykonawczej (UE) 2021/914, Moduł Drugi (administrator do podmiotu przetwarzającego), które są włączone do niniejszej umowy przez odniesienie i mają pierwszeństwo w przypadku konfliktu. Sekcje 2, 5 i 4 niniejszej umowy służą odpowiednio jako Załączniki I, II i III. Podpisana kopia z nazwami obu stron jest dostępna na żądanie pod adresem legal@astroway.info.

W praktyce przekazywany jest uwierzytelniony dostęp administracyjny do systemów w Niemczech, a nie eksport bazy danych.

7. Wykazanie zgodności

Udostępniamy Ci informacje potrzebne do wykazania zgodności z art. 28 poprzez niniejszą umowę i nasz powyższy opis bezpieczeństwa, a także wypełnimy jeden rozsądny pisemny kwestionariusz bezpieczeństwa w dowolnym dwunastomiesięcznym okresie bezpłatnie.

Jeśli to nie wystarczy, możesz audytować zgodność z niniejszą umową raz w dowolnym dwunastomiesięcznym okresie, po trzydziestodniowym pisemnym powiadomieniu, zdalnie, w godzinach pracy, obejmując wyłącznie przetwarzanie, które wykonujemy dla Ciebie, i nigdy danych innego klienta. Ponosisz koszty audytu i wszelkich audytorów, których wyznaczysz. Te ograniczenia nie mają zastosowania, gdy organ nadzorczy wymaga inspekcji.

8. W przypadku naruszenia

Powiadamiamy Cię bez zbędnej zwłoki po uzyskaniu informacji o naruszeniu ochrony danych osobowych dotyczących danych, które przetwarzamy dla Ciebie, za pośrednictwem wiadomości e-mail na adres Twojego konta. Pierwsze powiadomienie może być niekompletne, a my będziemy aktualizować informacje w miarę ich pozyskiwania.

Nie posiadamy danych kontaktowych Twoich użytkowników końcowych, więc powiadomienie ich zgodnie z art. 34 pozostaje Twoim obowiązkiem.

9. Zakończenie umowy

Po zakończeniu Twojego konta, poinformuj nas, czy chcesz, aby dane, które posiadamy dla Ciebie, zostały zwrócone czy usunięte, a my to zrobimy. Jeśli nic nam nie powiesz, usuniemy je.

Jedynym wyjątkiem jest to, co prawo podatkowe wymaga od nas przechowywania: dokumentacja płatności, przez 1095 dni zgodnie z §44.3 Kodeksu Podatkowego Ukrainy. Trzy lata, a nie siedem, jak zakładał wcześniejszy projekt tego tekstu. Artykuł 17 ust. 3 lit. b) RODO wyłącza z prawa do usunięcia danych rejestry przechowywane z powodu obowiązku prawnego, dlatego żądanie usunięcia ich nie obejmuje.

10. Akceptacja niniejszej umowy

Akceptujesz ją w swoim panelu, a zapis tej akceptacji zawiera nazwę Twojego konta, wersję i moment akceptacji. Artykuł 28 ust. 9 wymaga, aby umowa była sporządzona na piśmie, „w tym w formie elektronicznej”, więc ten zapis jest umową i nie ma na co czekać. Plik PDF, który możesz pobrać, zawiera ten sam zapis. Podpisana papierowa kopia jest dostępna na żądanie.

Jeśli istotnie zmienimy ten tekst, stanie się on nową wersją i poprosimy Cię o jej akceptację; wersja, którą zaakceptowałeś, pozostaje tą, na którą się zgodziłeś.