Umowa powierzenia przetwarzania danych osobowych (DPA)

Strony

Administrator (Klient): podmiot (Organizacja), który korzysta z platformy HUBAL na podstawie Regulaminu („Umowa Główna") i wprowadza do niej dane osobowe.

Podmiot przetwarzający (Procesor): ANTONI SUROWIAK EMA STUDIO, ul. Westerplatte 6, 38-200 Jasło, NIP 6852286869, REGON 383714040 (dalej: „Procesor" lub „HUBAL").

Niniejsza Umowa jest zawierana przez odniesienie — wraz z akceptacją Regulaminu przez Klienta działającego jako administrator danych — i obowiązuje przez czas korzystania z usługi. Na żądanie Klienta udostępniamy egzemplarz do podpisu (kontakt: legal@hubal-project.com).

§1. Definicje

1. RODO — rozporządzenie (UE) 2016/679. Pojęcia: „dane osobowe", „przetwarzanie", „administrator", „podmiot przetwarzający", „naruszenie ochrony danych", „podprocesor" rozumie się zgodnie z RODO.
2. Dane powierzone — dane osobowe przetwarzane przez Procesora w imieniu Administratora w ramach świadczenia usługi HUBAL, opisane w Załączniku A.

§2. Przedmiot, charakter, cel i czas powierzenia

1. Administrator powierza Procesorowi przetwarzanie Danych powierzonych wyłącznie w celu i zakresie niezbędnym do świadczenia usługi HUBAL zgodnie z Umową Główną oraz udokumentowanymi poleceniami Administratora.
2. Charakter, cel, rodzaj danych i kategorie osób określa Załącznik A.
3. Powierzenie trwa przez czas obowiązywania Umowy Głównej, z zastrzeżeniem §11.

§3. Polecenia Administratora

1. Procesor przetwarza Dane powierzone wyłącznie na udokumentowane polecenie Administratora, w tym w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek taki nakłada prawo (wówczas Procesor informuje Administratora, o ile prawo tego nie zakazuje).
2. Za udokumentowane polecenia uznaje się Umowę Główną, niniejszą Umowę oraz konfigurację i działania podejmowane przez Administratora w Platformie.
3. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy.

§4. Obowiązki Procesora

Procesor zobowiązuje się, zgodnie z art. 28 ust. 3 RODO:

1. Poufność — zapewnić, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi poufności.
2. Bezpieczeństwo (art. 32) — wdrożyć odpowiednie środki techniczne i organizacyjne; ich opis zawiera Załącznik C.
3. Podprocesorzy — korzystać z dalszych podmiotów przetwarzających na zasadach z §7.
4. Pomoc przy prawach osób — w miarę możliwości pomagać Administratorowi (za pomocą odpowiednich środków technicznych i organizacyjnych) w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–23 RODO).
5. Pomoc przy obowiązkach z art. 32–36 — pomagać Administratorowi w zapewnieniu bezpieczeństwa, zgłaszaniu naruszeń, zawiadamianiu osób oraz przeprowadzaniu ocen skutków (DPIA) i uprzednich konsultacji, uwzględniając charakter przetwarzania i dostępne informacje.
6. Naruszenia — zgłaszać Administratorowi naruszenia ochrony Danych powierzonych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od ich stwierdzenia, przekazując informacje niezbędne do wypełnienia obowiązków Administratora (art. 33–34 RODO).
7. Zwrot/usunięcie — po zakończeniu świadczenia usług, zależnie od decyzji Administratora, usunąć lub zwrócić Dane powierzone i usunąć istniejące kopie, chyba że prawo nakazuje ich przechowywanie (zob. §11).
8. Audyt — udostępniać Administratorowi informacje niezbędne do wykazania zgodności z art. 28 oraz umożliwiać audyty (w tym inspekcje) prowadzone przez Administratora lub upoważnionego audytora i przyczyniać się do nich, na zasadach z §8.

§5. Środki bezpieczeństwa

1. Procesor stosuje środki odpowiednie do ryzyka, w tym szyfrowanie w tranzycie (TLS) i szyfrowanie danych w spoczynku (AES-256) — po stronie infrastruktury (klucze dostawcy chmury) oraz dodatkowo, dla wybranych danych wrażliwych, w warstwie aplikacji kluczem organizacji zarządzanym przez Procesora w Google Cloud KMS — a także kontrolę dostępu, uwierzytelnianie wieloskładnikowe dla personelu administracyjnego Procesora, kopie zapasowe i monitoring. Szczegóły — Załącznik C.
2. Model szyfrowania: Strony przyjmują, że Procesor zarządza kluczami szyfrującymi (model „provider-managed", nie „end-to-end / zero-knowledge"), co umożliwia kontrolowany dostęp opisany w §6.

§6. Dostęp personelu Procesora do treści (wsparcie/diagnostyka)

1. Administrator poleca Procesorowi — jako udokumentowane polecenie — uzyskiwanie przez uprawniony personel Procesora dostępu do Danych powierzonych wyłącznie w celu: świadczenia wsparcia, zapewnienia bezpieczeństwa, diagnostyki awarii oraz realizacji żądań Administratora.
2. Taki dostęp odbywa się w minimalnym niezbędnym zakresie, jest ograniczony rolami i rejestrowany (kto, kiedy, której organizacji, w jakim celu). Procesor udostępnia Administratorowi informacje o takim dostępie na żądanie.
3. Administrator może ograniczyć lub wyłączyć dostęp diagnostyczny w zakresie technicznie możliwym (np. ustawienia organizacji), co może wpłynąć na zakres wsparcia.

§6a. Tworzenie i wykorzystanie danych zanonimizowanych (ulepszanie usługi)

1. Administrator poleca i upoważnia Procesora do tworzenia z Danych powierzonych danych zanonimizowanych — w szczególności: (a) zagregowanych statystyk czasów realizacji typów zadań oraz (b) syntetycznych, przekształconych przez model językowy opisów zadań („parafraz") — pozbawionych identyfikatorów Administratora, użytkowników i osób trzecich oraz oryginalnej treści.
2. Etap anonimizacji (przetworzenie realnego zadania, w tym z udziałem podprocesora AI) jest przetwarzaniem Danych powierzonych w celu, o którym mowa w ust. 1; jego podstawą jest prawnie uzasadniony interes Procesora (ulepszanie funkcji szacowania i jakości usługi), z poszanowaniem zasady minimalizacji.
3. Po skutecznej anonimizacji dane te nie stanowią danych osobowych (motyw 26 RODO); Procesor przetwarza je dalej jako administrator we własnym celu (ulepszanie estymatora, benchmarki). Oryginalna treść Danych powierzonych nie jest udostępniana innym Administratorom.
4. Procesor stosuje zabezpieczenia ograniczające ryzyko ponownej identyfikacji, w tym: usuwanie danych identyfikujących i oryginalnej treści; deterministyczne wykrywanie i odrzucanie rekordów zawierających dane osobowe; progi minimalnej liczby źródeł przed wykorzystaniem; dostęp do danych zanonimizowanych wyłącznie przez funkcje serwera (bez otwartego odczytu przez użytkowników).
5. Administrator może wyłączyć (opt-out) udział swojej Organizacji w tworzeniu danych zanonimizowanych w ustawieniach Platformy; nie wpływa to na pozostałe funkcje usługi. Dane już zanonimizowane, jako nieosobowe, nie podlegają usunięciu na podstawie art. 17 RODO.

§7. Podprocesorzy

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z podprocesorów wskazanych w Załączniku B.
2. Procesor zapewnia, by podprocesorzy byli związani obowiązkami ochrony danych nie mniej rygorystycznymi niż w niniejszej Umowie (w szczególności art. 28 ust. 4 RODO), i odpowiada za ich działania jak za własne.
3. O zamierzonej zmianie podprocesorów (dodaniu/zastąpieniu) Procesor informuje Administratora z wyprzedzeniem 14 dni (e-mailem lub komunikatem w Platformie), umożliwiając zgłoszenie uzasadnionego sprzeciwu. W razie sprzeciwu Strony w dobrej wierze poszukują rozwiązania; jeżeli nie jest ono możliwe, Administrator może wypowiedzieć Umowę Główną w części dotkniętej zmianą.

§8. Audyty

1. Procesor wykazuje zgodność, udostępniając dokumentację, opisy środków (Załącznik C) oraz — w razie potrzeby — raporty/certyfikaty (jeśli dostępne).
2. Administrator może przeprowadzić audyt nie częściej niż raz w roku (oraz po naruszeniu), po uprzednim powiadomieniu z rozsądnym wyprzedzeniem, w sposób niezakłócający nadmiernie działania Procesora i z poszanowaniem poufności innych klientów.

§9. Przekazywanie poza EOG

1. Dane powierzone są przechowywane w Unii Europejskiej (region europe-central2 — Warszawa). Niektóre operacje (w szczególności funkcje AI — asystent głosowy, funkcje korzystające z modeli Anthropic Claude, w tym rozmowy z asystentami AI, weryfikacja „Multi-AI" — a także obsługa płatności) wiążą się z transferem do USA. Transfery w Dodatkach opisują ich Warunki dodatku (Załącznik B).
2. Transfery opierają się na decyzji o adekwatności (EU-US Data Privacy Framework) dla certyfikowanych odbiorców oraz na standardowych klauzulach umownych (SCC) wraz z dodatkowymi zabezpieczeniami. Kopie zabezpieczeń Procesor udostępnia na żądanie.

§10. Obowiązki Administratora

1. Administrator oświadcza, że posiada podstawę prawną przetwarzania Danych powierzonych i przekazywania ich Procesorowi (w tym danych pracowników i osób trzecich), oraz że jego polecenia są zgodne z prawem.
2. Administrator jest odpowiedzialny za realizację obowiązków informacyjnych wobec osób, których dane dotyczą, oraz za zgodność z prawem celów przetwarzania.

§11. Czas obowiązywania i zakończenie

1. Umowa obowiązuje przez czas trwania Umowy Głównej.
2. Po jej zakończeniu Procesor — zgodnie z wyborem Administratora dokonanym w rozsądnym terminie — zwróci lub usunie Dane powierzone i ich kopie, z zastrzeżeniem: (a) okna eksportu udostępnianego Administratorowi, (b) usuwania z kopii zapasowych w cyklu do 90 dni, (c) danych, których przechowywanie nakazuje prawo.

§12. Odpowiedzialność i postanowienia końcowe

1. Odpowiedzialność Stron podlega zasadom RODO oraz Umowie Głównej (wraz z Załącznikiem B2B, jeśli ma zastosowanie). Niniejsza Umowa nie ogranicza odpowiedzialności w zakresie, w jakim jest to niedozwolone.
2. W razie sprzeczności, w sprawach ochrony danych niniejsza Umowa ma pierwszeństwo przed Umową Główną.
3. Prawem właściwym jest prawo polskie; spory rozstrzyga sąd właściwy zgodnie z Umową Główną.
4. Zmiany wymagają formy właściwej dla Umowy Głównej (w tym akceptacji aktualizowanej wersji udostępnionej przez Procesora).

Załącznik A — Szczegóły przetwarzania

• Przedmiot: przetwarzanie danych w ramach świadczenia usługi HUBAL (zarządzanie projektami, dokumenty, finanse, kadry/czas pracy, poczta, czat, asystenci AI), a w Organizacjach, które włączyły Dodatek — także w ramach Dodatku (Załącznik B).
• Czas: czas obowiązywania Umowy Głównej.
• Charakter i cel: przechowywanie, organizowanie, udostępnianie w obrębie Organizacji, przetwarzanie przez funkcje Platformy i AI — wyłącznie w celu świadczenia usługi.
• Rodzaj danych osobowych: dane identyfikacyjne i kontaktowe; dane konta; treści projektów; dane finansowe; dane pracowników i czasu pracy (profile, ewidencja, obłożenie, wnioski urlopowe, alerty wydajności); treść i metadane korespondencji e-mail oraz dane logowania/tokeny do skrzynek; wiadomości czatu; dane wynikające z integracji (kalendarz); treść rozmów z asystentami AI, tematy rozmów i ich instrukcje, profile asystentów AI Organizacji; w Dodatkach — dane wskazane w Warunkach dodatku. Administrator może doprecyzować lub ograniczyć zakres, informując Procesora (legal@hubal-project.com).
• Kategorie osób: użytkownicy Organizacji (pracownicy, współpracownicy), kontrahenci, klienci i inne osoby, których dane Organizacja wprowadza do Platformy.
• Szczególne kategorie danych (art. 9): co do zasady nieprzewidziane; Administrator nie powinien wprowadzać danych szczególnych kategorii bez odrębnych ustaleń z Procesorem.

Załącznik B — Lista podprocesorów

Status certyfikacji DPF każdego dostawcy weryfikujemy na dataprivacyframework.gov/list. O zmianach listy informujemy zgodnie z §7 ust. 3.

Podprocesorzy Dodatków. W Organizacjach, które włączyły Dodatek (np. Media Kreator), listę uzupełniają podprocesorzy wskazani w Warunkach dodatku (Warunki dodatku Media Kreator). Włączając Dodatek i akceptując jego Warunki, Administrator udziela zgody (§7 ust. 1) na korzystanie z tych podprocesorów wyłącznie w zakresie Dodatku. Organizacji, które nie włączyły Dodatku, ci podprocesorzy nie dotyczą. O zmianach podprocesorów Dodatku informujemy Administratorów, którzy go włączyli, zgodnie z §7 ust. 3.

Załącznik C — Środki techniczne i organizacyjne (TOM)

• Szyfrowanie: TLS 1.3 w tranzycie; w spoczynku AES-256 dwuwarstwowo — warstwa infrastruktury (Firestore i magazyn plików, klucze Google Cloud) oraz warstwa aplikacji dla danych wrażliwych (AES-256-GCM kluczem organizacji, chronionym kluczem głównym Procesora w Google Cloud KMS): treść poczty i jej streszczenia AI, nazwy projektów, notatki, profil finansowy, dane z faktur, fragmenty dokumentów używane przez AI, poświadczenia KSeF; poświadczenia skrzynek pocztowych szyfrowane odrębnym kluczem po stronie usługi pocztowej.
• Kontrola dostępu: uprawnienia oparte na rolach; uwierzytelnianie wieloskładnikowe dla personelu administracyjnego Procesora; zasada minimalnego dostępu; rejestrowanie dostępu personelu do treści (§6).
• Ciągłość działania: kopie zapasowe z okresowymi testami odtwarzania; hosting w certyfikowanej infrastrukturze (UE).
• Bezpieczeństwo aplikacji: reguły dostępu (Firestore/Storage), serwerowa kontrola uprawnień na punktach końcowych, monitoring, reagowanie na incydenty (zgłoszenie naruszenia do Administratora w 48 h).
• Funkcje AI: asystenci AI działają w granicach uprawnień osoby, która z nich korzysta (w czacie grupowym — tylko treści dostępne dla wszystkich uczestników, bez zapisów); polecenia pracy i zadań cyklicznych asystentów AI szyfrowane w warstwie aplikacji. Środki właściwe dla Dodatków opisują Warunki dodatku.
• Organizacyjne: zobowiązania do poufności; procedura naruszeń; ocena podprocesorów.

Załącznik aktualizowany wraz z rozwojem zabezpieczeń.