Umowa powierzenia przetwarzania danych osobowych (SZKIC)

Zawarta w dniu [DATA] pomiędzy:

Klientem: [NAZWA, ADRES, NIP, REPREZENTACJA] (dalej „Administrator”), a Sławomirem Starostą prowadzącym działalność Centroomz, ul. Sienkiewicza 4/28, 00-015 Warszawa, NIP 1180072118, e-mail: [email protected] (dalej „Podmiot przetwarzający”).

§1. Przedmiot i czas trwania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w związku z korzystaniem z usługi czat-bot.pl na podstawie Regulaminu (dalej „Usługa”), w zakresie opisanym w Załączniku A.
2. Przetwarzanie odbywa się w celu świadczenia Usługi: obsługi rozmów użytkowników z botem, przyjmowania zamówień i przekazywania ich Administratorowi (panel, powiadomienia e-mail).
3. Umowa obowiązuje przez czas obowiązywania umowy o świadczenie Usługi i wygasa wraz z nią, z zastrzeżeniem §10.

§2. Charakter i rodzaj przetwarzania

Przetwarzanie obejmuje: odbieranie, przekazywanie dostawcy modelu AI w celu wygenerowania odpowiedzi, wyświetlanie w panelu, przesyłanie e-mailem, przechowywanie przez ograniczony czas i usuwanie. Zakres danych i kategorie osób określa Załącznik A.

§3. Polecenia Administratora

1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest niniejsza umowa, Regulamin oraz ustawienia bota wprowadzone przez Administratora w panelu (w tym włączenie lub wyłączenie dziennika pytań i adres powiadomień).
2. Jeśli polecenie narusza przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.

§4. Poufność

Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania ich w tajemnicy.

§5. Środki bezpieczeństwa

Podmiot przetwarzający stosuje środki techniczne i organizacyjne opisane w Załączniku B, odpowiednie do ryzyka (art. 32 RODO).

§6. Dalsze powierzenie

1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z podmiotów wymienionych w Załączniku C.
2. O zamiarze dodania lub zmiany takiego podmiotu Podmiot przetwarzający informuje Administratora e-mailem z wyprzedzeniem [14 dni]; Administrator może w tym czasie zgłosić sprzeciw. Jeżeli sprzeciw jest zasadny i nie da się go uwzględnić, Administrator może wypowiedzieć umowę o świadczenie Usługi.
3. Podmiot przetwarzający nakłada na dalszych przetwarzających obowiązki ochrony danych co najmniej takie jak w niniejszej umowie i odpowiada wobec Administratora za ich wykonanie.

§7. Pomoc Administratorowi

Z uwzględnieniem charakteru przetwarzania Podmiot przetwarzający pomaga Administratorowi, w niezbędnym zakresie, w realizacji praw osób, których dane dotyczą, oraz w wypełnieniu obowiązków z art. 32 do 36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków).

§8. Naruszenia ochrony danych

Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu [48 godzin] od jego stwierdzenia, na adres e-mail wskazany przez Administratora w panelu lub w umowie o Usługę, wraz z informacjami niezbędnymi do oceny naruszenia.

§9. Kontrola

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia audyty, w tym inspekcje, w sposób nieuciążliwy dla działalności Podmiotu przetwarzającego, po uprzednim powiadomieniu z wyprzedzeniem [14 dni]. Koszty audytu ponosi [ADMINISTRATOR] [DO WERYFIKACJI].

§10. Zwrot lub usunięcie danych

1. Po zakończeniu świadczenia Usługi bot zostaje wyłączony, a link do panelu unieważniony. Podmiot przetwarzający usuwa dane Administratora (baza wiedzy, ustawienia, zamówienia) w ciągu 30 dni, zgodnie z Regulaminem, a na żądanie Administratora wcześniej albo wydaje ich kopię przed usunięciem.
2. Zamówienia: numer telefonu i adres dostawy są usuwane automatycznie po 30 dniach od złożenia zamówienia, niezależnie od zakończenia umowy.
3. Usunięcie nie dotyczy danych, których przechowywanie wynika z przepisów prawa (np. dokumenty księgowe), i dotyczy kopii zapasowych w zakresie wynikającym z ich cyklu retencji [DO WERYFIKACJI: okres kopii zapasowych w Supabase].

§11. Transfery poza EOG

Dane przetwarzane są w EOG (hosting: Holandia; baza danych: Frankfurt). Dostawca modelu AI może przetwarzać dane poza EOG; transfer odbywa się na podstawie standardowych klauzul umownych zawartych w jego umowie o przetwarzaniu danych [DO WERYFIKACJI: aktualna podstawa transferu i czy DPA dostawcy obowiązuje automatycznie].

§12. Zasady odpowiedzialności

1. Odpowiedzialność stron regulują przepisy RODO i Regulamin. Limit odpowiedzialności z Regulaminu stosuje się odpowiednio, w zakresie dopuszczalnym przez prawo [DO WERYFIKACJI].
2. Administrator odpowiada za legalność powierzonych danych i za informowanie użytkowników bota o przetwarzaniu (w tym o dzienniku pytań, jeśli jest włączony).
3. Kopia zamówienia dostarczona e-mailem na skrzynkę Administratora znajduje się poza kontrolą Podmiotu przetwarzającego; za jej zabezpieczenie odpowiada Administrator.

§13. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO, Kodeks cywilny i Regulamin.
2. Umowa może być zawarta w formie elektronicznej (akceptacja przy zawarciu umowy o Usługę lub podpis elektroniczny) [DO WERYFIKACJI: forma zawarcia].
3. Zmiany wymagają formy pisemnej lub elektronicznej pod rygorem nieważności.

Załącznik A. Zakres danych i kategorie osób

Dane szczególnych kategorii (art. 9 RODO) nie są przedmiotem powierzenia. Bot jest zaprojektowany tak, by delikatnie przypominać użytkownikowi, że nie musi podawać danych osobowych. [DO WERYFIKACJI: bot dla organizacji wsparcia, np. LGBT+, może otrzymywać dane szczególnych kategorii od użytkownika; ustalić, jak to opisać.]

Załącznik B. Środki techniczne i organizacyjne

Środki opisane tylko takimi faktami, które wynikają z kodu i konfiguracji; do potwierdzenia przed podpisaniem [DO WERYFIKACJI]:

• szyfrowane połączenie (HTTPS) do strony, widżetu, panelu i API,
• panel chroniony tajnym linkiem; w bazie przechowywany jest skrót tokenu, nie sam token; możliwość unieważnienia tokenu,
• nagłówki panelu: no-store, noindex, no-referrer, polityka CSP,
• ograniczanie liczby zapytań (limit na adres IP, skrót w pamięci, niezapisywany w bazie) oraz limit powiadomień e-mail na bota na dobę,
• automatyczne usuwanie telefonu i adresu z zamówień po 30 dniach oraz dziennika pytań po 30 dniach,
• uprawnienia roli aplikacji w bazie ograniczone na tabelach panelu do odczytu, wstawiania i aktualizacji (bez usuwania),
• dane w bazie we Frankfurcie, aplikacja w UE,
• bot nie wykonuje poleceń użytkownika zmieniających jego zasady (zabezpieczenia przed nadużyciem promptu).

Załącznik C. Dalsi przetwarzający