Umowa powierzenia przetwarzania danych osobowych Dativio

Wersja: 2026-10-26.1.

1. Strony i zawarcie umowy

Umowa zostaje zawarta między klientem wskazanym w koncie firmy i zamówieniu Dativio, dalej „Klient”, a Szymonem Jędrzejczakiem prowadzącym działalność pod firmą NewNetwork.pl Szymon Jędrzejczak, ul. Cicha 10/1, 72-100 Goleniów, NIP 9552016771, dalej „Procesor”. Kontakt Procesora: biuro@dativio.pl.

Klient działa jako administrator danych osobowych. Jeśli sam jest procesorem innego administratora, oświadcza, że ma odpowiednie upoważnienie do dalszego powierzenia, i przekazuje Procesorowi wymagane instrukcje administratora. Niniejsza umowa jest wtedy umową dalszego powierzenia w odpowiednim zakresie.

Umowę zawiera osoba uprawniona do reprezentowania Klienta albo posiadająca stosowne pełnomocnictwo. Konto technicznego administratora nie przesądza o tym umocowaniu. Elektroniczna akceptacja wskazanej wersji, z zachowaniem jej treści i dowodu akceptacji, stanowi udokumentowane zawarcie umowy. Nie domniemywa się akceptacji przez wcześniej zarejestrowanych klientów.

Umowa stanowi uzupełnienie regulaminu Dativio. W sprawach ochrony danych powierzonych ma pierwszeństwo przed sprzecznymi postanowieniami regulaminu. Nie ogranicza bezwzględnie obowiązujących praw osób ani uprawnień organu nadzorczego.

2. Przedmiot, cel, charakter i czas

Klient powierza Procesorowi dane w zakresie niezbędnym do świadczenia Dativio: odczytu przez integracje, rozmów z agentem AI, wyszukiwania, analiz, widoków, raportów, eksportów, obsługi zatwierdzonych działań i skonfigurowanych automatyzacji oraz zapewnienia bezpieczeństwa i wsparcia tej usługi.

Przetwarzanie obejmuje pozyskiwanie, przesyłanie, organizowanie, przechowywanie, odczyt, analizę, tworzenie wyników, aktualizację w zakresie zleconych działań, udostępnianie uprawnionym odbiorcom, eksport i usuwanie. Szczegóły określa załącznik nr 1.

Powierzenie trwa przez okres świadczenia usługi oraz czas niezbędny do zwrotu lub usunięcia danych po jej zakończeniu. Procesor nie uzyskuje prawa do przetwarzania treści Klienta do własnych celów reklamowych, sprzedaży danych lub trenowania modeli.

3. Polecenia Klienta

Procesor przetwarza dane wyłącznie na udokumentowane polecenie Klienta, także w odniesieniu do przekazywania danych poza EOG, chyba że wymaga tego prawo UE lub państwa członkowskiego, któremu podlega. W takim przypadku informuje Klienta przed przetwarzaniem, chyba że prawo zabrania tego ze względu na ważny interes publiczny.

Poleceniami są niniejsza umowa, zamówienie, konfiguracja i uprawnienia ustanowione przez Klienta, działania jego upoważnionych użytkowników w aplikacji oraz pisemne lub elektroniczne instrukcje przesłane zweryfikowanym kanałem. Treść dokumentu, wiadomości lub odpowiedź AI sama w sobie nie stanowi upoważnienia do zmiany zasad przetwarzania lub obejścia wymaganych zatwierdzeń.

Procesor niezwłocznie informuje Klienta, jeżeli uważa, że polecenie narusza RODO lub inne przepisy o ochronie danych. Może wstrzymać wykonanie konkretnego zakwestionowanego polecenia do jego wyjaśnienia. Nie zmienia samodzielnie celu przetwarzania.

Klient odpowiada za zgodną z prawem podstawę i cele przetwarzania, obowiązki informacyjne wobec osób, prawidłowość poleceń oraz nadanie uprawnień swoim użytkownikom. Nie zwalnia to Procesora z własnych obowiązków wynikających z RODO.

4. Poufność i zabezpieczenia

Procesor dopuszcza do danych wyłącznie osoby upoważnione w niezbędnym zakresie, zobowiązane do poufności lub podlegające ustawowemu obowiązkowi tajemnicy. Obowiązek poufności trwa po zakończeniu współpracy.

Procesor stosuje odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, uwzględniając ryzyko, charakter danych i dostępne technologie. Zabezpieczenia oraz sposób ich weryfikacji opisuje załącznik nr 2. Ich zmiana nie może istotnie obniżać uzgodnionego poziomu ochrony.

Klient zapewnia bezpieczeństwo własnych urządzeń, kont, Subiekta, uprawnień i danych uwierzytelniających pozostających pod jego kontrolą. Procesor odpowiada za obszar pozostający pod jego kontrolą; sam podział obowiązków nie wyłącza obowiązku współpracy w razie zagrożenia.

5. Dalsze powierzenie

Upoważnienie do dalszego powierzenia obejmuje podmioty wskazane w załączniku nr 3 w zakresie udokumentowanej akceptacji Klienta. Sama publikacja tej umowy nie oznacza jej zawarcia ani akceptacji przez dotychczasowych klientów. Nie stanowi również zgody na nieokreślonych podwykonawców.

Procesor informuje Klienta o planowanym dodaniu lub zastąpieniu dalszego procesora co najmniej 30 dni wcześniej, e-mailem na adres kontaktowy firmy. Informacja obejmuje tożsamość podmiotu, zakres usług, miejsca przetwarzania, ewentualny transfer oraz datę rozpoczęcia. Samo podmienienie listy na stronie nie jest wystarczającym powiadomieniem.

Klient może przed proponowaną datą zgłosić uzasadniony ochroną danych sprzeciw. Strony podejmują działania w celu znalezienia rozwiązania, np. wyłączenia określonej funkcji lub zastosowania innego dostawcy. Do rozstrzygnięcia sprzeciwu Procesor nie przekazuje danych tego Klienta nowemu podmiotowi. Gdy rozwiązanie nie jest możliwe, Klient może zakończyć objętą zmianą usługę przed rozpoczęciem takiego przetwarzania, z proporcjonalnym rozliczeniem niewykorzystanych opłat. Pilna sytuacja nie zastępuje upoważnienia; w razie potrzeby ogranicza się usługę albo uzyskuje zgodę szczegółową.

Procesor nakłada na dalszego procesora obowiązki ochrony danych co najmniej równoważne obowiązkom wynikającym z tej umowy, w szczególności odpowiednie gwarancje bezpieczeństwa. Pozostaje odpowiedzialny wobec Klienta za wykonanie tych obowiązków przez dalszego procesora zgodnie z art. 28 ust. 4 RODO.

6. AI, ZDR i transfery

Do przetwarzania treści przez modele językowe Procesor korzysta wyłącznie z dostawców z USA lub Europy zapewniających ZDR dla konkretnej używanej usługi oraz niewykorzystywanie treści Klienta do treningu modeli. Zasady obejmują także routing awaryjny. Niedostępność zgodnego dostawcy nie uprawnia do odstąpienia od ZDR.

Pośrednik AI i faktyczni operatorzy endpointów muszą być objęci właściwymi ustaleniami umownymi oraz wykazem podmiotów. Przechowywanie historii, plików, wyników i niezbędnych metadanych w Dativio jest odrębnym przetwarzaniem objętym niniejszą umową. ZDR dostawcy modelu nie zastępuje uzgodnionej retencji danych Dativio.

Transfer poza EOG następuje wyłącznie na udokumentowane polecenie obejmujące zatwierdzone usługi oraz z zastosowaniem mechanizmu z rozdziału V RODO. Przed realizacją transferu należy udokumentować właściwy mechanizm: odpowiednią decyzję Komisji Europejskiej, w tym aktywny i właściwy zakresowo DPF, albo właściwe standardowe klauzule transferowe, ocenę warunków transferu i potrzebne środki uzupełniające. Nie należy utożsamiać klauzul powierzenia z decyzji 2021/915 z klauzulami transferowymi z decyzji 2021/914.

Jeżeli nie można utrzymać wymaganych zabezpieczeń, Procesor wstrzymuje objęty problemem transfer i informuje Klienta. Informuje także o prawnie wiążącym żądaniu ujawnienia danych przez organ, o ile prawo tego nie zabrania, oraz ogranicza ujawnienie do zakresu wymaganego prawem.

7. Pomoc w wykonywaniu praw i obowiązków

Procesor, uwzględniając charakter przetwarzania i dostępne informacje, pomaga Klientowi realizować prawa osób z rozdziału III RODO oraz obowiązki z art. 32–36 RODO, w szczególności dotyczące bezpieczeństwa, zgłoszeń naruszeń, oceny skutków i uprzednich konsultacji.

Żądanie osoby dotyczące danych powierzonych Procesor przekazuje Klientowi bez zbędnej zwłoki. Samodzielnie nie rozstrzyga o jego zasadności ani nie zmienia danych, chyba że Klient go do tego upoważnił lub wymaga tego prawo. Pomoc musi umożliwiać Klientowi dotrzymanie ustawowych terminów.

Za ponadstandardowe, dodatkowe prace niewynikające z naruszenia obowiązków Procesora strony mogą uprzednio uzgodnić wynagrodzenie. Spór o koszt nie wstrzymuje pilnej pomocy koniecznej do wykonania obowiązku prawnego ani nie pozbawia Klienta praw z art. 28 RODO.

8. Naruszenia ochrony danych

Procesor zawiadamia Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych powierzonych, nie później niż w ciągu 24 godzin. Jest to termin pierwszego powiadomienia, a nie zakończenia dochodzenia. Nie czeka na komplet informacji ani ostateczne ustalenie odpowiedzialności. Obowiązek ten dotyczy także weekendów i dni wolnych.

Zgłoszenie kierowane jest na adres bezpieczeństwa wskazany przez Klienta, a przy jego braku na adres właściciela konta firmy. Obejmuje znane informacje o charakterze naruszenia, przybliżonych kategoriach i liczbach osób oraz rekordów, możliwych konsekwencjach, środkach zaradczych i kontakcie do osoby prowadzącej sprawę. Brakujące informacje są uzupełniane sukcesywnie bez zbędnej zwłoki.

Procesor zabezpiecza dowody, ogranicza skutki, dokumentuje zdarzenie i współpracuje z Klientem. Klient podejmuje decyzję o zgłoszeniu organowi i zawiadomieniu osób, chyba że przepis bezpośrednio nakłada dany obowiązek również na Procesora. Zawiadomienie nie oznacza samo w sobie uznania odpowiedzialności.

9. Informacje, audyty i kontrole

Procesor udostępnia informacje potrzebne do wykazania wykonania obowiązków z art. 28 RODO oraz umożliwia audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego przez niego audytora, i przyczynia się do nich.

Strony uzgadniają proporcjonalny zakres, termin i zasady poufności, chroniące dane innych klientów oraz bezpieczeństwo systemów. Zwykły audyt można poprzedzić przeglądem dokumentacji. Takie ustalenia nie mogą wyłączyć inspekcji, gdy jest potrzebna do wykazania zgodności. W razie naruszenia, uzasadnionego podejrzenia niezgodności lub żądania organu nie stosuje się warunków, które bezzasadnie opóźniłyby kontrolę.

Klient nie otrzymuje dostępu do danych innych klientów ani uprawnienia do nieuzgodnionych testów zakłócających usługę. Uzasadnione koszty dodatkowych audytów można uzgodnić uprzednio; opłata nie może faktycznie pozbawiać prawa do audytu. Procesor nie ogranicza ustawowych uprawnień organu nadzorczego.

10. Zakończenie, zwrot i usunięcie

Po zakończeniu usług związanych z przetwarzaniem Procesor, według wyboru Klienta, zwraca dane w uzgodnionym powszechnie używanym formacie albo je usuwa oraz usuwa istniejące kopie, chyba że prawo UE lub państwa członkowskiego nakazuje ich przechowywanie.

Procesor zapewnia możliwość odzyskania danych przez okres wynikający z regulaminu i obowiązujących przepisów. Dane w tym okresie wykorzystuje wyłącznie do zabezpieczenia, eksportu i zakończenia świadczenia, chyba że Klient wyda inne zgodne z prawem polecenie.

Terminy usuwania danych aktywnych i wygaśnięcia kopii zapasowych określa załącznik nr 2, udostępniony przed akceptacją. Kopie oczekujące na bezpieczne usunięcie pozostają odizolowane i nie są używane operacyjnie. Jeśli odtworzenie jest konieczne dla ciągłości, ponownie stosuje się wykonane wcześniej polecenia usunięcia. Procesor potwierdza wykonanie usunięcia na żądanie.

Zakończenie Dativio nie usuwa bazy Subiekta GT ani plików pozostających wyłącznie na urządzeniach Klienta. Klient może odłączyć integrację i odinstalować agenta. Procesor odbiera dostępy i usuwa swoje kopie zgodnie z umową.

11. Postanowienia końcowe

Zmiany umowy wymagają udokumentowania. Nowe warunki nie są uznawane za zaakceptowane tylko dlatego, że pracownik zalogował się do aplikacji. Zmiany podwykonawców podlegają odrębnej procedurze z pkt 5.

Odpowiedzialność stron podlega właściwym przepisom i dopuszczalnym ustaleniom umownym. Żadne ograniczenie z regulaminu nie narusza praw osób z art. 82 RODO ani obowiązków Procesora, których nie można wyłączyć. Nie przenosi się na Klienta odpowiedzialności Procesora za jego własne naruszenia pod pozorem działania AI.

Integralnymi załącznikami są: 1 — zakres przetwarzania i SgtAgenta, 2 — środki techniczne i organizacyjne oraz retencja, 3 — imienny wykaz dalszych procesorów i transferów.

Załącznik nr 1 — zakres przetwarzania

Kategorie osób: kontrahenci będący osobami fizycznymi, przedstawiciele i osoby kontaktowe kontrahentów, pracownicy i współpracownicy Klienta, użytkownicy kont, nadawcy i odbiorcy korespondencji oraz osoby wskazane w dokumentach objętych poleceniem.

Kategorie danych: dane identyfikacyjne i kontaktowe, dane działalności gospodarczej, NIP i inne identyfikatory na dokumentach, adresy, dane faktur i zamówień, rozrachunki, kwoty, terminy i informacje o płatnościach, rachunki bankowe, dane przypisania dokumentów do użytkowników, korespondencja i załączniki, polecenia i odpowiedzi AI, ustawienia i logi niezbędne do wykonania usługi. Zakres zależy od integracji i faktycznego polecenia; nie oznacza pobierania całej bazy przy każdym zapytaniu.

Dane szczególnych kategorii i dane o wyrokach: standardowa usługa nie jest przeznaczona do ich celowego przetwarzania. Klient nie powinien ich przekazywać bez wcześniejszego uzgodnienia zgodnego z prawem zakresu i zabezpieczeń. W razie przypadkowego przekazania strony ograniczają dostęp i uzgadniają usunięcie lub inne właściwe postępowanie; nie znosi to ochrony takich danych.

Częstotliwość: na żądanie użytkowników, przy odświeżaniu widoków i według skonfigurowanych harmonogramów.

SgtAgent: działa w środowisku Klienta, zestawia skonfigurowane połączenie i wykonuje obsługiwane czynności w zakresie nadanych kont i uprawnień. Odczytuje dane Subiekta GT i metadane potrzebne do obsługi integracji. Zapis jest wykonywany przez Sferę w zakresie obsługiwanych akcji po wymaganym zatwierdzeniu. Instalacja wymaga uprawnień opisanych w instrukcji, lecz nie stanowi zgody na dowolny zdalny dostęp do wszystkich zasobów komputera. Należy stosować możliwie wąskie uprawnienia kont technicznych.

Załącznik nr 2 — środki techniczne i organizacyjne

1. Szyfrowanie transmisji: HTTPS oraz prywatny tunel WireGuard w obsługiwanym wdrożeniu. Nie udostępnia się publicznie serwera SQL w celu działania tej integracji.
2. Ochrona sekretów: hasła skrzynek i klucze integracji chronione AES-256-GCM; hasła użytkowników przechowywane jako bezpieczne skróty. Nie oznacza to automatycznie szyfrowania każdej bazy lub każdej kopii zapasowej.
3. Kontrola dostępu: imienne konta, role i uprawnienia, rozdzielenie firm, odbieranie dostępu po zakończeniu upoważnienia, podgląd i zatwierdzanie obsługiwanych zapisów.
4. Organizacja: upoważnienia i poufność personelu, minimalizacja dostępów, obsługa incydentów, żądań osób, audytów i zakończenia usługi.
5. Integralność i dostępność: serwer aplikacji i poczty jest wynajmowany w OVH w Warszawie; kopie znajdują się na własnym serwerze Procesora w Szczecinie.
6. Rejestrowanie: aplikacja przewiduje okres przechowywania technicznych rejestrów AI wynoszący 90 dni. Nie jest to deklaracja okresu przechowywania wszystkich logów infrastruktury.
7. Retencja: sesja do 7 dni; dane robocze przez okres świadczenia i udostępniania do eksportu. Po zakończeniu okresu na odzyskanie danych Procesor usuwa dane aktywne w ciągu 30 dni, a pozostałości w kopiach w kolejnych maksymalnie 90 dniach. Wcześniejsze zgodne z prawem polecenie usunięcia jest realizowane bez zbędnej zwłoki w uzgodnionym terminie. Wyjątki wyłącznie w zakresie i przez czas wymagany prawem.
8. Weryfikacja: Procesor zobowiązuje się okresowo sprawdzać skuteczność środków ochrony.

Załącznik nr 3 — dalsi procesorzy

Potwierdzone informacje na dzień publikacji: infrastruktura aplikacji i poczty — OVH, Warszawa, Polska; pośrednictwo AI — OpenRouter, Inc., USA. Kopie zapasowe znajdują się na własnym serwerze Procesora w Szczecinie i nie stanowią dalszego powierzenia odrębnemu dostawcy. Szczegóły są dostępne w wykazie podwykonawców. Identyfikacja operatorów endpointów AI i mechanizmy transferów pozostają do uzupełnienia. Publikacja nie stanowi potwierdzenia kompletności tego załącznika ani upoważnienia do przekazywania danych niezidentyfikowanym podmiotom.