Umowa powierzenia przetwarzania danych osobowych

§1. Strony i definicje

1. Podmiot przetwarzający (Procesor): sukcesytoprocesy.pl Remigiusz Pelica, e-mail: konsultacje@sukcesytoprocesy.pl — operator usługi VoiceForms.
2. Administrator: podmiot prowadzący działalność gospodarczą lub zawodową, który korzysta z usługi VoiceForms i powierza Procesorowi przetwarzanie danych osobowych swoich Pracowników.
3. Dane osobowe: wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej przetwarzane za pośrednictwem usługi VoiceForms, w szczególności numery telefonów i treści wiadomości Pracowników.
4. Umowa wchodzi w życie z chwilą akceptacji Regulaminu VoiceForms przez Administratora i obowiązuje przez cały czas świadczenia usługi.

§2. Przedmiot i cel powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych Pracowników w celu świadczenia usługi VoiceForms, obejmującego:
   • przechowywanie numerów telefonów Pracowników i przypisywanie ich do formularzy,
   • odbieranie wiadomości WhatsApp wysyłanych przez Pracowników,
   • transkrypcję wiadomości głosowych i ekstrakcję danych za pomocą systemów AI,
   • przechowywanie zgłoszeń (wypełnionych formularzy) wraz z załączonymi zdjęciami,
   • generowanie dokumentów DOCX i PDF na żądanie Administratora.
2. Przetwarzanie odbywa się wyłącznie w celu realizacji usługi VoiceForms na rzecz Administratora. Procesor nie przetwarza danych w żadnym innym celu, w szczególności nie wykorzystuje ich do celów marketingowych ani do doskonalenia własnych modeli AI.

§3. Rodzaj danych i kategorie osób

Kategorie osób, których dane dotyczą: pracownicy, współpracownicy i podwykonawcy Administratora korzystający z usługi VoiceForms.

Usługa nie jest przeznaczona do przetwarzania danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO). Administrator zobowiązuje się nie wprowadzać takich danych do systemu.

§4. Obowiązki Procesora

Procesor zobowiązuje się w szczególności do:

1. Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora, za które uznaje się korzystanie z funkcji usługi VoiceForms opisanych w §2.
2. Zapewnienia, że osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Wdrożenia i utrzymywania odpowiednich środków technicznych i organizacyjnych zgodnie z art. 32 RODO, w tym:
   • szyfrowanie danych w tranzycie (HTTPS/TLS) i w spoczynku,
   • kontrola dostępu oparta na rolach (RLS — Row Level Security),
   • uwierzytelnianie przez jednorazowe linki (magic link),
   • regularne kopie zapasowe bazy danych.
4. Niezwłocznego poinformowania Administratora o wszelkich naruszeniach ochrony danych osobowych, nie później niż w ciągu 24 godzin od ich wykrycia, w zakresie niezbędnym do wypełnienia przez Administratora obowiązku zgłoszenia naruszenia do UODO w terminie 72 godzin (art. 33 RODO).
5. Udzielenia Administratorowi pomocy, w rozsądnym zakresie, w wypełnianiu obowiązków wynikających z art. 32–36 RODO (bezpieczeństwo, naruszenia, DPIA, uprzednie konsultacje).
6. Udzielenia pomocy Administratorowi w realizacji praw osób, których dane dotyczą (art. 15–22 RODO), poprzez zapewnienie narzędzi eksportu i usuwania danych dostępnych w panelu administracyjnym lub, w razie braku narzędzi automatycznych, na pisemne żądanie Administratora.
7. Po zakończeniu świadczenia usługi — usunięcia wszystkich danych osobowych lub zwrotu ich Administratorowi (na żądanie), a następnie usunięcia istniejących kopii, chyba że prawo Unii lub prawo polskie nakazuje przechowywanie danych. Usunięcie następuje w ciągu 30 dni od rozwiązania umowy.
8. Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w niniejszej DPA oraz umożliwienia przeprowadzenia audytów i inspekcji — na pisemny wniosek z 14-dniowym wyprzedzeniem.

§5. Podprocesory

1. Administrator niniejszym wyraża ogólne upoważnienie na korzystanie przez Procesora z podprocesorów (art. 28 ust. 2 RODO). Aktualna lista podprocesorów:

2. Procesor poinformuje Administratora o planowanych zmianach dotyczących dodania lub zastąpienia podprocesorów z 14-dniowym wyprzedzeniem, dając Administratorowi możliwość zgłoszenia sprzeciwu. Brak sprzeciwu w tym terminie oznacza akceptację zmiany.
3. Procesor nakłada na podprocesorów obowiązki ochrony danych równoważne obowiązkom określonym w niniejszej DPA.

§6. Obowiązki Administratora

1. Administrator zapewnia, że podstawa prawna przetwarzania danych osobowych Pracowników jest zgodna z RODO (np. art. 6 ust. 1 lit. b — umowa o pracę, lub lit. f — prawnie uzasadniony interes pracodawcy).
2. Administrator informuje Pracowników o przetwarzaniu ich danych przez VoiceForms, w tym o fakcie przetwarzania przez systemy AI (obowiązek wynikający z AI Act — patrz §5 Regulaminu), przed aktywowaniem ich dostępu do systemu.
3. Administrator nie wprowadza do systemu danych szczególnych kategorii (art. 9 RODO), danych dotyczących dzieci poniżej 16 roku życia ani danych wyroków skazujących.
4. Administrator jest odpowiedzialny za weryfikację, czy zakres danych zbieranych w formularzach jest adekwatny do celu (zasada minimalizacji danych, art. 5 ust. 1 lit. c RODO).

§7. Transfer danych do państw trzecich

1. Przetwarzanie danych przez podprocesorów Twilio i OpenAI wiąże się z transferem danych do USA. Podstawą prawną transferu są standardowe klauzule umowne (SCC) przyjęte przez Komisję Europejską decyzją 2021/914/UE.
2. Supabase przechowuje dane w serwerowni Frankfurt (UE). Transfer do USA może nastąpić wyłącznie w związku z obsługą techniczną i jest zabezpieczony SCC.
3. Procesor zobowiązuje się do aktualizacji podstaw prawnych transferu w przypadku zmiany przepisów lub decyzji Komisji Europejskiej.

§8. Czas przetwarzania i usunięcie danych

1. Dane osobowe są przetwarzane przez czas świadczenia usługi VoiceForms na rzecz Administratora.
2. Po usunięciu konta przez Administratora lub rozwiązaniu umowy z innej przyczyny, Procesor usuwa wszystkie dane osobowe Administratora i jego Pracowników w ciągu 30 dni, chyba że Administrator zażąda wcześniej ich eksportu zgodnie z §4 pkt 7.
3. Dane z logów systemowych mogą być przechowywane przez do 90 dniwyłącznie w celach diagnostyki i bezpieczeństwa, po czym są trwale usuwane.

§9. Postanowienia końcowe

1. Niniejsza DPA stanowi integralną część Regulaminu VoiceForms i jest z nim zgodna w rozumieniu art. 28 ust. 3 RODO.
2. W przypadku sprzeczności między DPA a Regulaminem, w zakresie ochrony danych osobowych pierwszeństwo mają postanowienia DPA.
3. Prawem właściwym jest prawo polskie i unijne (RODO). Wszelkie spory rozstrzyga sąd właściwy dla siedziby Procesora, chyba że właściwe przepisy stanowią inaczej.
4. Administrator może w każdej chwili zażądać pisemnego egzemplarza tej DPA podpisanego przez Procesora, kierując żądanie na adres: konsultacje@sukcesytoprocesy.pl.