AUTERA × Fix Forum

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH (DPA)

Załącznik nr 4 do Umowy Ramowej nr [●] z dnia [●] r.
Draft do weryfikacji prawnej · pola [DO UZUPEŁNIENIA] do uzupełnienia danymi rejestrowymi

zawarta pomiędzy Administratorem (Zamawiający / Salon — jak w Umowie Ramowej i Przystąpieniu) a Przetwarzającym — Autera sp. z o.o. z siedzibą w ____________, ul. ____________, ____________, wpisaną do rejestru przedsiębiorców KRS pod nr ____________, NIP ____________, REGON ____________, kapitał zakładowy ____________ zł, reprezentowana przez ____________.

Powierzenie następuje na podstawie art. 28 RODO, w związku z realizacją Umowy Ramowej („Umowa Podstawowa”). Celem DPA jest określenie warunków, na jakich Przetwarzający przetwarza dane osobowe w imieniu Administratora.

§ 1. Przedmiot, charakter, cel i czas przetwarzania

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Ekosystemu Autera.

2. Charakter i cel przetwarzania: obsługa i kwalifikacja leadów, kontakt z klientami (czat, telefon), umawianie jazd próbnych, rejestracja, transkrypcja i analiza rozmów, raportowanie skuteczności.

3. Zakres czynności obejmuje: zbieranie, utrwalanie, przechowywanie, przeglądanie, modyfikowanie, analizowanie, przekazywanie (Sub-procesorom) oraz usuwanie danych.

4. Czas przetwarzania: okres obowiązywania Umowy Podstawowej, z zastrzeżeniem § 11. Rodzaje danych — Załącznik nr 1; kategorie osób — Załącznik nr 2.

§ 2. Polecenia Administratora

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest również niniejsza DPA i Umowa Podstawowa, chyba że obowiązek przetwarzania nakłada prawo.

2. Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.

3. Przetwarzający nie przetwarza danych w celach własnych ani w sposób wykraczający poza Umowę Podstawową.

§ 3. Obowiązki Przetwarzającego

§ 4. Podpowierzenie (Sub-procesorzy)

1. Administrator wyraża ogólną zgodę na korzystanie przez Przetwarzającego z Sub-procesorów wymienionych w Załączniku nr 3.

2. O zamierzonych zmianach (dodaniu lub zastąpieniu Sub-procesora) Przetwarzający informuje Administratora z wyprzedzeniem, umożliwiając zgłoszenie uzasadnionego sprzeciwu w terminie 14 dni. W razie sprzeciwu Strony w dobrej wierze uzgodnią rozwiązanie; brak rozwiązania może uprawniać do wypowiedzenia usługi, której dotyczy Sub-procesor.

3. Przetwarzający zawiera z każdym Sub-procesorem umowę nakładającą obowiązki ochrony danych nie mniej rygorystyczne niż w niniejszej DPA i ponosi wobec Administratora pełną odpowiedzialność za działania i zaniechania Sub-procesorów.

§ 5. Bezpieczeństwo przetwarzania

Przetwarzający stosuje środki techniczne i organizacyjne adekwatne do ryzyka, uwzględniając stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres i cele przetwarzania, w szczególności wskazane w Załączniku nr 4. Przetwarzający okresowo testuje i ocenia skuteczność tych środków.

§ 6. Prawa osób, których dane dotyczą

Przetwarzający, biorąc pod uwagę charakter przetwarzania, wspiera Administratora odpowiednimi środkami technicznymi i organizacyjnymi w realizacji żądań osób (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Żądania kierowane bezpośrednio do Przetwarzającego są niezwłocznie przekazywane Administratorowi.

§ 7. Przekazywanie danych poza EOG

1. Część Sub-procesorów (dostawcy modeli AI, telefonii, transkrypcji) ma siedzibę w USA. Przekazywanie danych do tych podmiotów odbywa się na podstawie:

2. Status i mechanizm transferu dla każdego Sub-procesora wskazuje Załącznik nr 3. Administrator, akceptując Załącznik nr 3, poleca i akceptuje opisany w nim transfer.

3. Brak zgody na transfer poza EOG może uniemożliwić świadczenie niektórych funkcji opartych na AI; Strony uzgodnią wówczas zakres usług możliwy do realizacji wyłącznie w EOG.

§ 8. Naruszenia ochrony danych

Przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje niezbędne do wykonania przez Administratora obowiązków z art. 33–34 RODO (charakter naruszenia, kategorie i przybliżona liczba osób oraz rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki).

§ 9. Audyt

1. Administrator ma prawo do audytu (w tym inspekcji) zgodności przetwarzania, samodzielnie lub przez upoważnionego audytora zobowiązanego do poufności.

2. Audyt poprzedza zawiadomienie z wyprzedzeniem co najmniej 14 dni; audyt odbywa się w Dni Robocze, w sposób niezakłócający działalności Przetwarzającego, nie częściej niż raz w roku (poza przypadkiem naruszenia lub żądania organu). Koszty własne audytu ponosi Administrator.

§ 10. Odpowiedzialność

Każda ze Stron odpowiada za szkody wyrządzone przetwarzaniem niezgodnym z RODO w zakresie, w jakim naruszyła obowiązki nałożone na nią przepisami lub niniejszą DPA. Zasady i ograniczenia odpowiedzialności określone w Umowie Podstawowej stosuje się odpowiednio.

§ 11. Czas obowiązywania i zakończenie

DPA obowiązuje przez czas obowiązywania Umowy Podstawowej. Po jej zakończeniu Przetwarzający — według wyboru Administratora wyrażonego w terminie 30 dni — usuwa lub zwraca dane oraz usuwa istniejące kopie, chyba że prawo nakazuje dalsze przechowywanie; usunięcie potwierdza na żądanie.

§ 12. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego. W razie sprzeczności DPA z Umową Podstawową w kwestiach ochrony danych pierwszeństwo ma DPA. Załączniki 1–4 stanowią integralną część DPA.

Załącznik nr 1 — Rodzaje danych osobowych

Nie przewiduje się przetwarzania danych szczególnych kategorii (art. 9 RODO); Administrator zobowiązuje się nie wprowadzać takich danych do Ekosystemu.

Załącznik nr 2 — Kategorie osób, których dane dotyczą

Załącznik nr 3 — Lista Sub-procesorów

Dla czatbota (Radziborz) silnikiem AI jest OpenAI. Dla asystenta głosowego: Twilio (telefonia/nagrywanie) + OpenAI (przetwarzanie) + AssemblyAI (transkrypcja). Lista aktualizowana w trybie § 4.

Załącznik nr 4 — Środki techniczne i organizacyjne

Administrator: ____________________
Przetwarzający (Autera): ____________________