Umowa powierzenia przetwarzania danych (DPA)

• Administrator — Klient B2B, który decyduje o celach i sposobach przetwarzania danych końcowych użytkowników;
• Podmiot przetwarzający — Mateusz Popielarz, działający pod marką Cortify Labs (cortifylabs.com), przetwarzający dane wyłącznie na udokumentowane polecenie Administratora;
• RODO — Rozporządzenie (UE) 2016/679.

Przetwarzanie obejmuje czynności niezbędne do świadczenia usługi asystenta AI: przyjmowanie i przechowywanie treści rozmów, generowanie odpowiedzi z wykorzystaniem modeli językowych oraz obsługę powiązanych funkcji (np. podsumowania, formularze). Cel i zakres wyznacza Administrator.

Przetwarzane mogą być dane identyfikacyjne i kontaktowe (np. imię, e-mail, telefon, firma) oraz treść wiadomości użytkowników końcowych Administratora. Administrator zobowiązuje się nie powierzać danych szczególnych kategorii bez odrębnych ustaleń.

Przetwarzanie trwa przez okres obowiązywania umowy głównej o świadczenie usług, z zastrzeżeniem postanowień o zwrocie i usunięciu danych.

• przetwarzanie wyłącznie na udokumentowane polecenie Administratora;
• zapewnienie poufności przez osoby upoważnione do przetwarzania;
• wdrożenie środków bezpieczeństwa odpowiednich do ryzyka (art. 32 RODO);
• niezwłoczne informowanie Administratora, jeśli polecenie narusza przepisy o ochronie danych.

Administrator wyraża ogólną zgodę na korzystanie z podprocesorów. Aktualna lista obejmuje: Railway, Cloudflare, Resend, Microsoft (Azure), Langfuse, Sentry oraz ipapi. Podmiot przetwarzający zobowiązuje się nakładać na podprocesorów obowiązki nie mniej rygorystyczne niż w niniejszej DPA oraz informować Administratora o planowanych zmianach na liście, umożliwiając zgłoszenie sprzeciwu.

Przekazywanie danych do podprocesorów spoza EOG odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską oraz dodatkowych zabezpieczeń (art. 46 RODO).

Podmiot przetwarzający, w miarę możliwości, wspiera Administratora w realizacji żądań osób, których dane dotyczą, oraz w wypełnianiu obowiązków z art. 32–36 RODO, w tym w zakresie oceny skutków dla ochrony danych (DPIA).

Po zakończeniu świadczenia usług Podmiot przetwarzający, według wyboru Administratora, usuwa lub zwraca dane oraz usuwa istniejące kopie, chyba że obowiązek przechowywania wynika z przepisów prawa.

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, prowadzone przez Administratora lub upoważnionego audytora, w rozsądnym zakresie i terminie.

Podmiot przetwarzający bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia, zgłasza Administratorowi naruszenie ochrony danych osobowych, przekazując informacje niezbędne do realizacji obowiązków z art. 33–34 RODO.

Odpowiedzialność stron regulują RODO oraz umowa główna. W sprawach nieuregulowanych stosuje się prawo polskie i przepisy unijne. W celu zawarcia podpisanej DPA prosimy o kontakt: [email protected].