Umowa powierzenia przetwarzania danych osobowych

Po co ta umowa: gdy opowiadasz nam o swojej firmie, wgrywasz materiały albo podłączasz MasterBraina do poczty i kalendarza, trafiają do nas dane Twoich pracowników, klientów i kontrahentów. Wobec tych osób to Ty jesteś administratorem, a my przetwarzamy ich dane tylko na Twoje polecenie. RODO wymaga, żeby taka relacja była spisana. Ta umowa to robi. Nie musisz jej podpisywać osobno — obowiązuje z chwilą akceptacji Regulaminu (założenie Konta lub zakup Usługi). Jest Załącznikiem nr 1 do Regulaminu.

§ 1. Strony

1. Administrator — Ty: osoba lub firma, która założyła Konto w MySpace lub zamówiła Usługę MasterBrain, działająca jako administrator danych osobowych swoich pracowników, klientów, kontrahentów i innych osób, których dane przekazuje (dalej: „Administrator”).
2. Podmiot przetwarzający — Smart AI Flow sp. z o.o., ul. Poświęcka 53/22, 51-128 Wrocław, KRS 0001219519, NIP 8952299016 (dalej: „Procesor” lub „my”).
3. Jeśli Konto zakładasz jako osoba fizyczna wyłącznie w celach prywatnych i nie przekazujesz nam danych innych osób w związku z działalnością gospodarczą lub zawodową, ta umowa nie ma zastosowania (art. 2 ust. 2 lit. c RODO); w takim przypadku jesteśmy administratorem Twoich danych na zasadach z Polityki prywatności.

§ 2. Przedmiot, cel i czas trwania

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usług opisanych w Regulaminie: prowadzenia Rozmowy i Dogrywki technicznej, wygenerowania Mapy i Ustaleń, przygotowania i Instalacji MasterBraina, Mentoringu, wsparcia technicznego, obsługi Gwarancji i reklamacji oraz — po Instalacji — transkrypcji notatek głosowych wysyłanych przez MasterBraina Administratora do usługi rozpoznawania mowy na koncie Procesora.
2. Procesor przetwarza dane wyłącznie w celu z ust. 1. Nie używa ich do własnych celów, w szczególności do marketingu, profilowania, budowy zbiorów ani trenowania modeli AI.
3. Umowa obowiązuje od założenia Konta i trwa, dopóki Procesor przetwarza powierzone dane: do usunięcia Konta lub zakończenia Usługi i upływu okresów retencji z § 12, a dla transkrypcji notatek głosowych z ust. 1 — dopóki MasterBrain Administratora korzysta z konta Procesora w usłudze rozpoznawania mowy.

§ 3. Charakter przetwarzania, rodzaj danych, kategorie osób

§ 4. Polecenia Administratora

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za polecenia uznaje się: Regulamin i tę umowę, odpowiedzi i materiały wprowadzane przez Administratora w MySpace, zaakceptowane Ustalenia, ustawienia Konta oraz dyspozycje przesłane e-mailem z adresu Konta.
2. Jeśli Procesor uzna, że polecenie narusza RODO lub inne przepisy, niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie polecenia do czasu wyjaśnienia.
3. Procesor może przetwarzać dane poza poleceniem tylko wtedy, gdy wymaga tego prawo Unii lub prawo polskie; wtedy informuje Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

§ 5. Obowiązki Procesora

Procesor zobowiązuje się:

1. przetwarzać dane zgodnie z RODO, tą umową i poleceniami Administratora;
2. dopuszczać do danych wyłącznie osoby upoważnione, zobowiązane do zachowania tajemnicy (umownie lub ustawowo) i przeszkolone w zakresie ochrony danych;
3. stosować środki bezpieczeństwa z § 8 i aktualizować je wraz ze zmianą ryzyka;
4. pomagać Administratorowi w odpowiadaniu na wnioski osób, których dane dotyczą (§ 10);
5. pomagać Administratorowi w wypełnianiu obowiązków z art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków, konsultacje z organem), w zakresie dostępnych Procesorowi informacji;
6. po zakończeniu usług usunąć lub zwrócić dane (§ 12);
7. udostępniać informacje niezbędne do wykazania zgodności i umożliwiać audyty (§ 11);
8. prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO);
9. nie przekazywać danych do państwa trzeciego inaczej niż na zasadach z § 7.

§ 6. Obowiązki Administratora

Administrator zobowiązuje się:

1. przekazywać tylko dane, które ma prawo przetwarzać i powierzać, w zakresie niezbędnym do przygotowania MasterBraina (zasada minimalizacji: przykłady zamiast całych baz, bez danych szczególnych kategorii);
2. spełnić obowiązek informacyjny wobec swoich pracowników, klientów i kontrahentów (art. 13–14 RODO), w tym poinformować ich, że korzysta z narzędzi AI do obsługi korespondencji, gdy wymaga tego prawo;
3. mieć podstawę prawną przetwarzania wobec tych osób i uprawnienia do podłączenia skrzynek, kalendarzy i systemów (w tym zgodę administratora IT, gdy jest wymagana);
4. nie przekazywać w Rozmowie haseł, tokenów ani innych sekretów;
5. odpowiadać na pytania Procesora o legalność przetwarzania i informować go o okolicznościach, które mają wpływ na przetwarzanie (np. sprzeciw osoby, której dane dotyczą).

§ 7. Dalsze podmioty przetwarzające (podpowierzenie) i transfer poza EOG

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających. Aktualna lista wraz z rolą i lokalizacją znajduje się w Polityce prywatności § 5; na dzień tej wersji są to:

Stripe, Plausible, Meta, Google i biuro księgowe nie przetwarzają danych powierzonych (dotyczą danych samego Administratora jako naszego klienta) i są opisane w Polityce prywatności.

2. Procesor nakłada na dalsze podmioty przetwarzające, w drodze umowy, obowiązki ochrony danych co najmniej takie, jak w tej umowie, i odpowiada wobec Administratora za ich działania jak za własne.
3. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Procesor informuje Administratora e-mailem na adres Konta co najmniej 14 dni wcześniej. Administrator może w tym terminie wnieść uzasadniony sprzeciw; jeśli strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę o Usługę w części, której zmiana dotyczy, na zasadach Regulaminu.
4. Transfer poza EOG odbywa się wyłącznie na podstawie: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework dla certyfikowanych dostawców) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO) z oceną skutków transferu. Dane audio nie opuszczają EOG; poza EOG trafia tekst Rozmowy do Anthropic (analiza przez model). Administrator, akceptując tę umowę, upoważnia Procesora do zawarcia standardowych klauzul umownych w jego imieniu z dalszymi podmiotami przetwarzającymi, w zakresie danych powierzonych.

§ 8. Środki bezpieczeństwa (art. 32 RODO)

Procesor stosuje co najmniej następujące środki:

1. Szyfrowanie w tranzycie (TLS) dla wszystkich połączeń: przeglądarka–serwer, serwer–baza, serwer–dostawcy; szyfrowanie w spoczynku bazy danych i plików u dostawcy hostingu bazy (Supabase) oraz dysków serwera.
2. Izolacja danych na poziomie wierszy (RLS): każdy użytkownik ma dostęp tylko do własnych rekordów; nagrania i pliki w prywatnych kubełkach w folderze per użytkownik; zapis stanu Rozmowy wyłącznie przez serwer (klucz serwisowy nigdy w przeglądarce).
3. Dostęp operatora: do panelu i infrastruktury ma dostęp wyłącznie upoważniony personel Procesora (na dzień tej wersji: jedna osoba), z uwierzytelnianiem wieloskładnikowym u dostawców; dostęp jest przeglądany przy każdej zmianie personelu.
4. Brak haseł użytkowników: logowanie linkiem jednorazowym; system Rozmowy przerywa zapis sekretów; sekrety do systemów Administratora są wprowadzane wyłącznie na jego komputerze.
5. Sekrety infrastruktury poza kodem i repozytorium (zmienne środowiskowe z ograniczonymi uprawnieniami), oddzielne klucze dla środowisk, osobny klucz API Anthropic dla MySpace z limitem kosztów.
6. Kopie zapasowe bazy danych wykonywane automatycznie przez dostawcę (Supabase Pro), szyfrowane, w regionie EU; procedura odtworzenia testowana przy wdrożeniu.
7. Automatyczne usuwanie nagrań i materiałów po 90 dniach od Instalacji i kont nieaktywnych po 12 miesiącach (D-100).
8. Logowanie zdarzeń bezpieczeństwa i dostępu operatora (do 90 dni), monitoring błędów bez treści danych powierzonych.
9. Minimalizacja u dostawców: do modeli językowych trafia tekst potrzebny do analizy, nie nagrania; do powiadomień operatora nie trafiają dane powierzone.
10. Sesja zdalna podczas Instalacji: szyfrowane połączenie, Administrator widzi wszystkie działania i może przerwać sesję; sesje zdalne i konsultacje są nagrywane za zgodą Administratora wyrażoną przed sesją, w celu zapewnienia jakości i jako dowód wykonania Usługi; nagrania są przechowywane 90 dni i nie są przekazywane dalej.
11. Dane w EOG: aplikacja, baza, nagrania i pliki przechowywane w Irlandii i Niemczech.
12. Aktualizacje bezpieczeństwa systemów i zależności, przegląd uprawnień i środków co najmniej raz w roku.

§ 9. Naruszenia ochrony danych

1. Procesor zawiadamia Administratora o naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, e-mailem na adres Konta.
2. Zawiadomienie zawiera, w miarę dostępnych informacji: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, podjęte i proponowane środki, dane do kontaktu. Informacje, których nie ma od razu, Procesor uzupełnia sukcesywnie.
3. Procesor pomaga Administratorowi w ocenie, czy naruszenie trzeba zgłosić Prezesowi UODO (72 godziny, art. 33 RODO) i zawiadomić osoby (art. 34 RODO), oraz dostarcza potrzebnych informacji. Zgłoszenia dokonuje Administrator; Procesor nie kontaktuje się w jego imieniu z organem ani z osobami, chyba że Administrator o to poprosi.
4. Procesor dokumentuje naruszenia dotyczące powierzonych danych.

§ 10. Pomoc Administratorowi

1. Jeśli osoba, której dane powierzono, zwróci się bezpośrednio do Procesora, Procesor w ciągu 3 dni roboczych przekazuje wniosek Administratorowi (bez odpowiadania merytorycznie, chyba że Administrator o to poprosi).
2. Na polecenie Administratora Procesor w ciągu 7 dni roboczych dostarcza dane potrzebne do realizacji praw osób (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) albo samodzielnie wykonuje operację w systemie (np. usuwa dane wskazanej osoby z transkrypcji i Ustaleń), jeśli jest to technicznie możliwe bez naruszenia integralności dokumentów umowy.
3. Procesor wspiera Administratora przy ocenie skutków dla ochrony danych (DPIA) i konsultacjach z organem, przekazując opis przetwarzania i środków bezpieczeństwa.
4. Pomoc wynikająca z tej umowy jest w cenie Usługi. Za wnioski wykraczające poza zwykły zakres (np. powtarzające się audyty na miejscu, obszerne analizy na potrzeby postępowań Administratora) Procesor może zaproponować wynagrodzenie według wyceny indywidualnej, o czym informuje przed rozpoczęciem prac.

§ 11. Audyt

1. Administrator ma prawo sprawdzić, czy Procesor wykonuje tę umowę. W pierwszej kolejności Procesor odpowiada na pisemne pytania (kwestionariusz) i udostępnia opis środków, polityki i — gdy istnieją — raporty lub certyfikaty dostawców (np. SOC 2 / ISO 27001 Supabase, Hetzner, AssemblyAI, Anthropic).
2. Jeśli to nie wystarczy, Administrator lub upoważniony przez niego audytor (niebędący konkurentem Procesora, zobowiązany do poufności) może przeprowadzić audyt raz w roku albo po stwierdzonym naruszeniu, po uprzedzeniu co najmniej 14 dni wcześniej, w godzinach pracy, bez zakłócania działania Serwisu i bez dostępu do danych innych klientów.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Procesora.
4. Audyt u dalszych podmiotów przetwarzających odbywa się na zasadach przewidzianych w ich umowach (zwykle przez raporty i certyfikaty, nie wizyty).

§ 12. Usunięcie i zwrot danych po zakończeniu

1. Nagrania głosowe i wgrane materiały Procesor usuwa automatycznie 90 dni po Instalacji (D-100), a na Koncie darmowym — 90 dni po wygenerowaniu Mapy lub wcześniej, razem z Kontem (jak w Regulaminie § 18). Wcześniejsze usunięcie następuje na polecenie Administratora, o ile dane nie są już potrzebne do wykonania Usługi.
2. Po zakończeniu Usługi lub usunięciu Konta Procesor, na wybór Administratora zgłoszony e-mailem: (a) zwraca dane w czytelnym formacie (transkrypcje, Mapa, Ustalenia — JSON lub Markdown; pliki — w oryginalnym formacie) w ciągu 30 dni, a następnie je usuwa, albo (b) usuwa je bez zwrotu. Brak wyboru w ciągu 30 dni od zakończenia oznacza wybór (b) z zachowaniem ust. 3.
3. Procesor może zachować dane w zakresie i przez czas, jakiego wymaga prawo (dokumenty księgowe) lub jaki jest potrzebny do ustalenia, dochodzenia lub obrony roszczeń (transkrypcje, Ustalenia, potwierdzenia Gwarancji — do końca okresu przedawnienia, Regulamin § 18); w tym czasie dane są przechowywane bez innego przetwarzania i usuwane po upływie okresu.
4. Usunięcie obejmuje też kopie u dalszych podmiotów przetwarzających, w cyklu ich kopii zapasowych (do 30 dni) i retencji (Anthropic: ograniczony okres na wykrywanie nadużyć; AssemblyAI: po transkrypcji).
5. Na żądanie Administratora Procesor potwierdza usunięcie e-mailem.
6. Pliki MasterBraina zainstalowane na komputerze Administratora są poza kontrolą Procesora; Procesor może przechowywać kopię wygenerowanej paczki (do serwisu i regeneracji) do końca okresu wsparcia technicznego (3 miesiące od Instalacji), a następnie ją usuwa; nie przechowuje jej dłużej.

§ 13. Odpowiedzialność

1. Strony odpowiadają na zasadach art. 82 RODO: każda za szkodę spowodowaną przetwarzaniem naruszającym RODO w zakresie swoich obowiązków; Procesor — gdy nie dopełnił obowiązków nałożonych na podmioty przetwarzające lub działał wbrew zgodnym z prawem poleceniom Administratora.
2. Administrator odpowiada za legalność powierzenia (podstawy prawne, obowiązki informacyjne, uprawnienia do systemów) i zwalnia Procesora z roszczeń osób trzecich wynikających z ich braku.
3. Wobec Administratora niebędącego konsumentem ani przedsiębiorcą na prawach konsumenta łączna odpowiedzialność Procesora z tej umowy jest ograniczona do wysokości ceny zapłaconej za Usługę, z wyjątkiem szkody umyślnej i kar administracyjnych nałożonych bezpośrednio na Procesora za jego własne naruszenia.

§ 14. Postanowienia końcowe

1. W sprawach przetwarzania powierzonych danych ta umowa ma pierwszeństwo przed Regulaminem i Polityką prywatności; w pozostałym zakresie stosuje się Regulamin.
2. Zmiana listy dalszych podmiotów przetwarzających odbywa się w trybie § 7 i nie wymaga zmiany Regulaminu. Inne zmiany tej umowy następują w trybie zmian Regulaminu (14 dni uprzedzenia), z zastrzeżeniem, że zmiany wynikające z przepisów prawa lub decyzji organów wchodzą w życie w terminie wymaganym przez prawo.
3. Prawem właściwym jest prawo polskie, z uwzględnieniem RODO. Spory rozstrzyga sąd właściwy według Regulaminu.
4. Umowa jest zawierana w języku polskim i w formie elektronicznej; dowodem zawarcia jest zapis akceptacji Regulaminu (czas, wersja, adres e-mail) w systemie Procesora. Na życzenie Administratora Procesor wystawia egzemplarz PDF z datą akceptacji.
5. Jeśli Administrator potrzebuje umowy powierzenia w innej formie (np. własny wzór, podpis kwalifikowany, umowa dwustronna dla większej firmy), uzgadniamy to indywidualnie przy wycenie indywidualnej (Regulamin § 7 ust. 6).