Wzajemna Umowa o Zachowaniu Poufności (NDA)

NDA zawierają następujące strony, z których każda występuje jako Ujawniająca i jako Otrzymująca:

• GetUp: AUTH spółka z ograniczoną odpowiedzialnością (AUTH sp. z o.o.), Marszałkowska 58 / 15, 00-545 Warszawa, Polska. KRS: 0001043319 · NIP: 5273062913 · REGON: 525652590.
• Klient: osoba prawna lub zarejestrowany przedsiębiorca, do którego skierowana jest oferta i który podpisuje NDA przez akceptację elektroniczną.

Cel: ochrona informacji niepublicznych wzajemnie ujawnianych w toku Usług Custom realizowanych w ramach MSA (analiza zakresu, wytwarzanie, integracja, audyt, wsparcie).

„Informacje Poufne” oznaczają wszelkie informacje niepubliczne lub nie­łatwo dostępne ujawnione przez jedną stronę drugiej lub uzyskane w ramach MSA, w formie ustnej, pisemnej, elektronicznej, wizualnej lub innej, w tym w szczególności:

• Po stronie GetUp: kod źródłowy (istniejący/wytwarzany), architektura, modele danych, szczegóły integracji KSeF, kompilacje, dokumentacja, mapa drogowa produktu, struktura cenowa, historia negocjacji cenowych, lista klientów, zachowania użytkowników, dane finansowe, struktura organizacji, lista podwykonawców, szczegóły kontroli bezpieczeństwa, podatności, testy bezpieczeństwa, raporty pentest, klucze, sekrety, treść dzienników audytu, dane dostępu demo.
• Po stronie Klienta: tajemnice przedsiębiorstwa, mapy procesów, lista klientów/dostawców, struktura podatkowa, marże i ceny, strategia sprzedaży, lista pracowników, schemat organizacyjny, raporty finansowe, plany działalności, postępowania prawne, wykazy danych osobowych, zapisy KSeF (uzupełniane przez DPA).
• Wspólnie: listy intencyjne wymieniane podczas negocjacji, plany, oferty cenowe, dokumenty zakresu, wewnętrzne notatki ze spotkań, prototypy, makiety, projekty umów.

Brak oznaczenia „poufne” nie pozbawia ochrony informacji, której rozsądna osoba traktowałaby z uwagi na charakter jako poufną (test obiektywny zgodnie z art. 11 UZNK).

Otrzymujący jest zwolniony z obowiązków NDA tylko w zakresie, w jakim wykaże, że informacja:

1. (a) była powszechnie dostępna w chwili ujawnienia;
2. (b) stała się powszechnie dostępna później bez winy Otrzymującego;
3. (c) była już w posiadaniu Otrzymującego przed ujawnieniem, co jest udowodnione zapisami pisemnymi;
4. (d) została zgodnie z prawem uzyskana od osoby trzeciej niezobowiązanej do poufności;
5. (e) została niezależnie wytworzona przez Otrzymującego bez odniesień do Informacji Poufnych.

Ujawnienie wymuszone bezwzględnie obowiązującym poleceniem właściwego organu (sąd, organ podatkowy, UODO, prokuratura) nie stanowi wyłączenia; jednakże Otrzymujący — jeśli to prawnie możliwe — uprzedza Ujawniającego pisemnie i pozostawia czas na zastosowanie środków ochronnych.

Otrzymujący zobowiązuje się w odniesieniu do Informacji Poufnych:

• (a) Ścisła ochrona. Stosować co najmniej taki sam stopień staranności, jak wobec własnych informacji najbardziej wrażliwych, a w każdym razie środki rozsądne i zgodne ze standardami branżowymi (kontrola dostępu, szyfrowanie, hasła, urządzenia służbowe).
• (b) Ograniczone użycie. Wykorzystywać Informacje Poufne wyłącznie do oceny, negocjacji, wytwarzania, dostarczania, audytu i utrzymywania Usług Custom w ramach MSA („Cel Dozwolony”), i do żadnego innego celu.
• (c) Zasada wiedzy koniecznej. Ujawniać Informacje Poufne wyłącznie pracownikom, członkom organów i wcześniej zaakceptowanym podwykonawcom, którym są one konieczne do Celu Dozwolonego, zobowiązanym pisemnie do poufności co najmniej tak rygorystycznej jak NDA, lub objętym poufnością ustawową.
• (d) Zakaz ponownego ujawniania. Bez uprzedniej pisemnej zgody Ujawniającego Otrzymujący nie ujawni Informacji Poufnych żadnej osobie trzeciej, mediom, postom w mediach społecznościowych, blogom, tweetom, podcastom, konferencjom czy publikacjom akademickim.
• (e) Zakaz odtwarzania. Otrzymujący nie odtwarza, nie dekompiluje ani nie dezasembluje oprogramowania, algorytmu, struktury danych ani infrastruktury w zakresie Informacji Poufnych (z zastrzeżeniem bezwzględnie obowiązującego prawa).
• (f) Brak referencji. Otrzymujący nie odnosi się do współpracy Ujawniającego, integracji produktu, cen ani istnienia MSA w referencjach, case study, prezentacjach, materiałach sprzedażowych ani inwestorskich bez uprzedniej pisemnej zgody.

Strony uznają, że istotna część Informacji Poufnych stanowi tajemnicę przedsiębiorstwa w rozumieniu art. 11 polskiej ustawy o zwalczaniu nieuczciwej konkurencji z 16 kwietnia 1993 r. oraz Dyrektywy UE 2016/943, ponieważ:

• Ujawniający podjął rozsądne środki zachowania ich w poufności (kontrola dostępu, NDA, oznaczenia).
• Nie są ogólnie znane ani łatwo dostępne dla kręgów, których mogą one dotyczyć.
• Mają wartość gospodarczą ze względu na poufność.

Naruszenie może rodzić skutki przewidziane w prawie polskim aż do odpowiedzialności karnej oraz roszczenia z art. 18 UZNK (zaniechanie, wycofanie, oświadczenie, wydanie korzyści).

Otrzymujący stosuje co najmniej:

• Szyfrowanie w tranzycie TLS 1.2+; szyfrowanie dysków w spoczynku.
• Silne hasła i, gdzie to możliwe, uwierzytelnianie dwuskładnikowe.
• Brak zbędnych wydruków, urządzeń prywatnych, prywatnej poczty, publicznego cloud storage, konsumenckich komunikatorów.
• Pisemne zawiadomienie w 24 h od podejrzenia naruszenia.
• Niezwłoczne odebranie dostępu w razie odejścia pracownika; wycofanie tokenów, kluczy, rozszerzeń.

W razie istotnego naruszenia NDA (w szczególności nieuprawnione ujawnienie, nadużycie tajemnicy przedsiębiorstwa, odtwarzanie, nieautoryzowane ogłoszenie) Ujawniający ma prawo do kary umownej na podstawie art. 483 i nast. k.c. Kara umowna wynosi 50.000 EUR za każde istotne naruszenie albo 50% łącznych opłat wniesionych w MSA w 12 miesiącach poprzedzających, w zależności od tego, która kwota jest wyższa.

Kara umowna nie wyłącza dochodzenia odszkodowania w wysokości przekraczającej karę (art. 484 § 1 k.c.). Ujawniający może dodatkowo żądać:

• Zadośćuczynienia za szkodę niemajątkową (art. 23, 24, 448 k.c.);
• Zaniechania, wycofania, ogłoszenia, wydania korzyści — art. 18 UZNK;
• Zwrotu bezpodstawnego wzbogacenia — art. 405 k.c.;
• Zabezpieczenia roszczeń — art. 730 i nast. k.p.c.;
• Wszelkich innych zgodnych z prawem środków powstrzymania naruszenia.

Strona naruszająca pokrywa wszystkie uzasadnione koszty obrony i egzekucji (adwokaci, doradcy, biegli, tłumacze).

Nieuprawnione ujawnienie Informacji Poufnych może wyrządzić zarówno szkodę majątkową, jak i niemajątkową (na dobrach osobistych) osobom fizycznym powiązanym z Ujawniającym lub identyfikowalnym za jego pośrednictwem — w szczególności właścicielom, członkom zarządu, założycielom, wspólnikom/akcjonariuszom, pracownikom, doradcom, klientom i partnerom biznesowym. Otrzymujący zobowiązuje się naprawić taką szkodę bezpośrednio i pośrednio, w pełnej wysokości.

Szkody majątkowe (finansowe — art. 361, 415 i 471 k.c.): utrata dochodu, utracone korzyści (lucrum cessans), utrata zatrudnienia, rozwiązane umowy, utracone inwestycje, spadek wartości udziałów/akcji, utrata klientów/partnerów, koszty obrony prawnej i administracyjnej, koszty relokacji oraz wszelkie inne wymierne straty finansowe poniesione przez te osoby lub przez Ujawniającego w wyniku ujawnienia.

Szkody niemajątkowe (na dobrach osobistych — art. 23–24, 448 k.c.): naruszenie imienia, dobrego imienia, prywatności, godności, wizerunku, tajemnicy korespondencji i reputacji zawodowej tych osób; cierpienia psychiczne, uszczerbek na zdrowiu oraz utrata pozycji społecznej lub zawodowej spowodowane ujawnieniem.

W razie naruszenia Otrzymujący przyjmuje łącznie następujące obowiązki:

• Odszkodowanie: pełne naprawienie szkody majątkowej osób powiązanych — art. 361 § 2 k.c. (damnum emergens + lucrum cessans);
• Zadośćuczynienie: odpowiednia suma pieniężna z art. 448 k.c. za naruszenie dóbr osobistych;
• Publikacja korygująca: opublikowanie oświadczeń korygujących w formie i kanale rozsądnie wskazanym przez Ujawniającego lub osoby poszkodowane, w celu usunięcia skutków naruszenia;
• Zniszczenie kopii: zniszczenie wszystkich istniejących kopii fizycznych i cyfrowych, kopii zapasowych i treści pochodnych;
• Koszty: opłaty sądowe, uzasadnione koszty zastępstwa procesowego, biegłych/doradców oraz koszty ugody pozasądowej.

Osoby powiązane są bezpośrednimi beneficjentami niniejszego postanowienia w rozumieniu art. 393 k.c. (umowa na rzecz osoby trzeciej) i art. 449 k.c. i mogą występować z roszczeniami bezpośrednio przeciwko Otrzymującemu. Ujawniający dodatkowo zachowuje prawo dochodzenia roszczeń we własnym imieniu lub w imieniu tych osób.

Środki te kumulują się z karą umowną z sekcji 7 i jej nie zastępują; wszystkie kwoty mogą być dochodzone łącznie zgodnie z art. 484 § 1 k.c.

W razie rozwiązania MSA, pisemnego żądania jednej ze stron lub zakończenia Celu Dozwolonego, Otrzymujący w ciągu 30 dni kalendarzowych:

• Zwraca lub niszczy wszystkie kopie fizyczne i cyfrowe Informacji Poufnych;
• Kopie pozostające w systemach kopii zapasowych są chronione przez cykl backupu i niszczone w naturalnym terminie;
• Na żądanie udostępnia certyfikat zniszczenia podpisany przez upoważnioną osobę;
• Dokumenty objęte ustawowym obowiązkiem przechowywania (podatkowe, KSeF, dowodowe) są przechowywane w poufności przez ustawowy okres.

Obowiązki poufności obowiązują:

• (a) od chwili ujawnienia w trakcie MSA, oraz
• (b) przez 5 (pięć) lat od rozwiązania MSA z jakiejkolwiek przyczyny.

W odniesieniu do informacji stanowiących tajemnicę przedsiębiorstwa obowiązek jest bezterminowy, dopóki informacja zachowuje charakter tajemnicy (art. 11 UZNK i art. 721 k.c.). Obowiązki dotyczące danych osobowych podążają za RODO i okresami retencji w DPA.

Żadne ujawnienie Informacji Poufnych nie skutkuje udzieleniem dorozumianej ani wyraźnej licencji, przeniesieniem prawa ani prawem własności. Wszelkie prawa pozostają przy Ujawniającym. Odtwarzanie, tworzenie utworów zależnych ani wykorzystywanie do zgłoszeń własności intelektualnej są wyraźnie zakazane.

Żadna ze stron nie wyda komunikatu prasowego, postu w mediach społecznościowych, prezentacji inwestorskiej, case study ani publicznego wydarzenia o istnieniu MSA, nawiązaniu współpracy lub charakterze relacji bez wcześniejszego, wspólnego, pisemnego porozumienia. Standardowe wyświetlanie logotypów klientów wymaga pisemnej zgody.

Jeżeli Informacje Poufne obejmują dane osobowe, role i obowiązki stron reguluje DPA. Niniejsza NDA nie ogranicza uprawnień osób, których dane dotyczą, na podstawie RODO ani polskiego prawa ochrony danych; należy ją wykładać tak, by te uprawnienia wspierać.

Pozyskanie Informacji Poufnych przez podstęp, ukryte kopie zapasowe, podstawione osoby trzecie, kopiowanie podczas odejścia pracownika i podobne działania w złej wierze stanowi poważne naruszenie w rozumieniu art. 86 k.c. (podstęp) i art. 11–18 UZNK; uprawnia drugą stronę do natychmiastowego rozwiązania, kary umownej, dodatkowego odszkodowania oraz środków karnych.

Strony zachowują prawo do żądania zabezpieczenia roszczeń, zabezpieczenia dowodów i ochrony sądowej na podstawie art. 730 i nast. k.p.c. wobec rzeczywistego lub bezpośrednio grożącego nieuprawnionego ujawnienia. Wniesienie takich żądań nie narusza prawa do kary umownej i odszkodowania.

• Niezależność. Podpisanie NDA nie tworzy spółki, joint venture ani stosunku pracy; określa granice wymiany Informacji Poufnych.
• Cesja. Żadna ze stron nie może przenieść NDA bez pisemnej zgody drugiej; reorganizacja w grupie AUTH sp. z o.o. stanowi wyjątek.
• Całość. NDA wraz z MSA, DPA, Regulaminem i Polityką prywatności stanowi całość uzgodnień stron w sprawie poufności.
• Klauzula salwatoryjna. Nieważność części postanowień nie wpływa na pozostałe (art. 58 § 3 k.c.).
• Prawo właściwe. Prawo polskie i bezpośrednio stosowane prawo UE.
• Właściwość. Sąd Rejonowy / Sąd Okręgowy w Warszawie albo inny sąd polski właściwy ogólnie.
• Wersjonowanie. Aktualną wersją NDA jest 2026-04-19, publikowana pod getup.dev/nda.
• Dowód akceptacji. Klient potwierdza, że w chwili akceptacji elektronicznej GetUp zbiera i przechowuje znacznik czasu, adres IP, przybliżoną lokalizację geograficzną wyprowadzoną z IP (kraj/region/miasto/współrzędne/strefa czasowa), odcisk cyfrowy przeglądarki i urządzenia, wersję zaakceptowanego dokumentu oraz rejestr zaznaczonych checkboxów, w celu udowodnienia zawarcia umowy. Podstawy prawne: art. 6 ust. 1 lit. b, c (eIDAS 910/2014) i f RODO. Retencja: do 6 lat od rozwiązania, zgodnie z art. 118 i nast. k.c. Szczegóły: DPA i Polityka prywatności.