Umowa powierzenia przetwarzania danych osobowych

zawarta pomiędzy:

Usługodawcą (dalej także: "Podmiot przetwarzający"),

a

Usługobiorcą (dalej także: "Administrator"),

zwanymi dalej łącznie "Stronami", a każde z osobna "Stroną".

Preambuła

Zważywszy, że:

1) pomiędzy Usługodawcą a Usługobiorcą została zawarta Umowa o dostarczanie Usługi korzystania z Aplikacji (dalej: "Umowa główna");

2) świadczenie Usługi korzystania z Aplikacji wymaga przetwarzania przez Usługodawcę danych osobowych w rozumieniu przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: "RODO"), co rodzi obowiązek spełnienia wymogów wskazanych w art. 28 RODO, w tym zawarcia umowy określonej w tym przepisie;

3) Aplikacja stosuje architekturę, w której wskazane kategorie danych są szyfrowane w przeglądarce Administratora kluczem wyprowadzanym z jego hasła, który nie jest przekazywany Podmiotowi przetwarzającemu ani przez niego przechowywany, co ma wpływ na zakres obowiązków Stron opisany w Umowie powierzenia;

Strony postanowiły, co następuje:

§ 1.Powierzenie przetwarzania danych osobowych

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w trybie art. 28 RODO.

2. Administrator oświadcza, że jest administratorem danych powierzanych Podmiotowi przetwarzającemu na mocy Umowy powierzenia lub podmiotem przetwarzającym upoważnionym do ich dalszego powierzenia Podmiotowi przetwarzającemu.

3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie określonym w § 2 Umowy powierzenia.

4. Pisane wielką literą pojęcia stosowane w Umowie powierzenia mają znaczenie nadane im w Regulaminie lub w RODO, chyba że szczególne postanowienie Umowy powierzenia stanowi inaczej.

5. Zawarcie Umowy głównej jest równoznaczne z zawarciem Umowy powierzenia. Strony nie zawierają odrębnych dokumentów dotyczących powierzenia przetwarzania danych osobowych.

§ 2.Przedmiot, charakter, cel i czas przetwarzania danych

1. Powierzone przez Administratora dane osobowe będą przetwarzane przez Podmiot przetwarzający wyłącznie na udokumentowane polecenie Administratora oraz wyłącznie w celu świadczenia Usług. Za "udokumentowane polecenie" Strony uznają w szczególności zawarcie Umowy głównej oraz każdorazowe wprowadzenie przez Administratora danych do Aplikacji.

2. Kategorie danych osobowych będących przedmiotem powierzenia (dalej: "powierzone dane osobowe") oraz kategorie osób, których powierzone dane osobowe dotyczą, zostały wskazane w Załączniku nr 1 do Umowy powierzenia.

3. Dane osobowe powierzane przez Administratora na podstawie Umowy powierzenia nie stanowią danych szczególnej kategorii, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO. Administrator zobowiązuje się nie wprowadzać do Aplikacji danych należących do tych kategorii.

4. Przetwarzanie powierzonych danych osobowych odbywa się wyłącznie przy wykorzystaniu systemów informatycznych, w sposób zautomatyzowany.

5. Strony zgodnie ustalają, że przeważająca część powierzonych danych osobowych jest przekazywana Podmiotowi przetwarzającemu w postaci zaszyfrowanej i przechowywana wyłącznie w tej postaci. Podmiot przetwarzający nie dysponuje kluczem umożliwiającym ich odszyfrowanie i nie ma technicznej możliwości zapoznania się z ich treścią. Kategorie danych przekazywanych w postaci jawnej oraz w postaci zaszyfrowanej wskazuje Załącznik nr 1.

6. Wyjątkiem od zasady wskazanej w ust. 5 powyżej jest funkcja analizy zapisów projektu z wykorzystaniem systemu sztucznej inteligencji, opisana w § 11 Regulaminu. Uruchomienie tej funkcji przez Administratora lub przez osobę korzystającą z utworzonego przez niego Konta Pracowniczego powoduje odszyfrowanie zapisów wybranego projektu w przeglądarce i przekazanie ich w postaci jawnej dostawcy modelu językowego, wskazanemu w Załączniku nr 2. Uruchomienie tej funkcji stanowi udokumentowane polecenie Administratora w rozumieniu ust. 1 powyżej.

7. Umowa powierzenia zostaje zawarta na czas obowiązywania Umowy głównej, zgodnie z § 7 Umowy powierzenia.

§ 3.Obowiązki, prawa i oświadczenia Podmiotu przetwarzającego

1. Podmiot przetwarzający zobowiązuje się do zabezpieczenia powierzonych danych osobowych poprzez wdrożenie, jeszcze przed przystąpieniem do przetwarzania, oraz utrzymywanie środków technicznych i organizacyjnych odpowiednich do charakteru, zakresu, kontekstu i celu przetwarzania powierzonych danych, w tym środków wymaganych przez odpowiednie przepisy powszechnie obowiązującego prawa, by przetwarzanie powierzonych danych osobowych spełniało wymogi RODO.

2. Podmiot przetwarzający zobowiązuje się zapewnić, aby osoby upoważnione do przetwarzania danych osobowych powierzonych na podstawie Umowy powierzenia zobowiązane były do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.

3. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia i w miarę możliwości, pomagać Administratorowi w wywiązywaniu się przez niego z obowiązku odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania przez te osoby praw wynikających z przepisów prawa powszechnie obowiązującego, w tym z rozdziału III RODO.

4. Strony zgodnie przyjmują, że w odniesieniu do danych przekazanych w postaci zaszyfrowanej pomoc, o której mowa w ust. 3 powyżej, polega na udostępnieniu Administratorowi funkcjonalności Aplikacji umożliwiających mu samodzielne odczytanie, sprostowanie, usunięcie oraz pobranie tych danych z poziomu jego Konta. Podmiot przetwarzający nie może wykonać tych czynności w imieniu Administratora, ponieważ nie dysponuje kluczem umożliwiającym odszyfrowanie danych.

5. Podmiot przetwarzający zobowiązuje się niezwłocznie zawiadomić Administratora o:

1) każdym naruszeniu ochrony powierzonych danych osobowych, przy czym przez "naruszenie ochrony powierzonych danych" należy rozumieć każde przypadkowe lub niezgodne z prawem zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do powierzonych danych osobowych. Zawiadomienia należy dokonać najpóźniej w ciągu 24 godzin od wykrycia naruszenia ochrony powierzonych danych. Zawiadomienie zawiera informację, czy naruszenie objęło dane przechowywane w postaci zaszyfrowanej, czy w postaci jawnej;

2) każdym żądaniu otrzymanym od osoby, której dane przetwarza, powstrzymując się jednocześnie od odpowiedzi na żądanie do czasu otrzymania stanowiska Administratora. Zawiadomienia należy dokonać najpóźniej w ciągu 24 godzin od otrzymania żądania;

3) każdym prawnie umocowanym żądaniu udostępnienia danych osobowych właściwemu organowi państwa, chyba że zakaz zawiadomienia wynika z przepisów prawa, w szczególności przepisów postępowania karnego, gdy zakaz ma na celu zapewnienie poufności wszczętego dochodzenia;

4) przeprowadzeniu przez Prezesa Urzędu Ochrony Danych Osobowych lub inny organ nadzorczy kontroli zgodności przetwarzania danych osobowych i jej wynikach oraz o innych czynnościach organów władzy publicznej dotyczących tych danych.

6. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia i dostępnymi mu informacjami, pomagać Administratorowi w wywiązywaniu się przez niego z obowiązków wynikających z przepisów prawa powszechnie obowiązującego, w tym z art. 32-36 RODO, dotyczących bezpieczeństwa przetwarzania danych osobowych, zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu i osobie, której dane dotyczą, oceny skutków dla ochrony danych oraz związanych z tą oceną konsultacji z organem nadzorczym.

7. Podmiot przetwarzający zobowiązuje się:

1) udostępniać Administratorowi w terminie 14 dni od dnia otrzymania żądania wszelkie informacje i dokumenty niezbędne do wykazania spełnienia przez Administratora ciążących na nim obowiązków określonych w przepisach prawa powszechnie obowiązującego;

2) umożliwić Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich, na zasadach określonych w ust. 8-11 poniżej.

8. Audyt, o którym mowa w ust. 7 pkt 2 powyżej, może zostać przeprowadzony:

1) nie częściej niż raz w okresie kolejnych 12 miesięcy, chyba że konieczność przeprowadzenia dodatkowego audytu wynika ze stwierdzonego naruszenia ochrony powierzonych danych osobowych albo z żądania organu nadzorczego;

2) nie wcześniej niż 14 dni od dnia otrzymania przez Podmiot przetwarzający zapowiedzi jego przeprowadzenia, w terminie ustalonym przez Strony;

3) po zawarciu pomiędzy Podmiotem przetwarzającym a Administratorem lub upoważnionym przez niego audytorem umowy o zachowaniu poufności;

4) w sposób zdalny, chyba że Strony uzgodnią inaczej;

5) na koszt Administratora, z wyjątkiem audytu przeprowadzanego w następstwie stwierdzonego naruszenia ochrony powierzonych danych osobowych, którego koszty ponosi Podmiot przetwarzający.

9. Audyt nie może obejmować dostępu do danych innych klientów Podmiotu przetwarzającego ani do informacji stanowiących tajemnicę przedsiębiorstwa Podmiotu przetwarzającego, w tym kodu źródłowego Aplikacji.

10. Po zakończeniu audytu Strony sporządzą protokół w 2 egzemplarzach, które podpiszą upoważnieni przedstawiciele obu Stron. Podmiot przetwarzający może wnieść zastrzeżenia do protokołu w ciągu 5 dni roboczych od dnia jego podpisania przez przedstawicieli Stron.

11. W razie stwierdzenia w toku audytu uchybień mających wpływ na bezpieczeństwo przetwarzania powierzonych danych osobowych Podmiot przetwarzający zobowiązuje się dostosować do zaleceń sformułowanych przez Administratora lub upoważnionego przez niego audytora.

§ 4.Obowiązki Administratora

1. Administrator zobowiązany jest zapewnić, aby przez cały okres obowiązywania Umowy powierzenia dysponował podstawą prawną przetwarzania powierzanych danych osobowych i aby przysługiwały mu odpowiednie uprawnienia umożliwiające ich powierzenie na rzecz Podmiotu przetwarzającego. W razie utraty podstawy prawnej lub uprawnień wobec określonych powierzanych danych osobowych Administrator zobowiązany jest niezwłocznie przedsięwziąć kroki niezbędne do zaprzestania ich powierzania, w szczególności zawiadomić o tym Podmiot przetwarzający.

2. Administrator zobowiązuje się nie wydawać Podmiotowi przetwarzającemu poleceń dotyczących przetwarzania powierzanych danych osobowych, które byłyby niezgodne z przepisami prawa powszechnie obowiązującego, postanowieniami Umowy powierzenia lub innymi zobowiązaniami umownymi.

3. Administrator ponosi wyłączną odpowiedzialność za zachowanie w poufności danych umożliwiających dostęp do Konta oraz danych służących do odszyfrowania powierzonych danych osobowych, a także za nadawanie i odbieranie uprawnień osobom korzystającym z utworzonych przez niego Kont Pracowniczych.

4. Administrator przyjmuje do wiadomości, że utrata przez niego hasła oraz klucza odzyskiwania powoduje trwałą i nieodwracalną utratę dostępu do powierzonych danych osobowych przechowywanych w postaci zaszyfrowanej, zarówno dla Administratora, jak i dla Podmiotu przetwarzającego.

5. Administrator, uruchamiając funkcję, o której mowa w § 2 ust. 6 powyżej, oświadcza, że jest uprawniony do przekazania objętych nią danych do przetwarzania przez dostawcę modelu językowego oraz że wywiązał się wobec osób, których dane dotyczą, z obowiązków informacyjnych w tym zakresie.

§ 5.Dalsze powierzenie danych osobowych

1. Administrator wyraża ogólną zgodę na dokonywanie przez Podmiot przetwarzający dalszego powierzania przetwarzania danych osobowych (dalej: "podpowierzenie") wybranym przez siebie podwykonawcom.

2. Lista podwykonawców, którym Podmiot przetwarzający podpowierzył przetwarzanie powierzonych danych osobowych na dzień zawarcia Umowy powierzenia, stanowi Załącznik nr 2 do Umowy powierzenia. Aktualna lista dostępna jest pod adresem: https://cadlify.com/podprocesorzy/.

3. Podmiot przetwarzający zobowiązuje się zapewnić, aby:

1) podmiot, wobec którego dokonuje podpowierzenia, stosował odpowiednie środki techniczne i organizacyjne w celu zagwarantowania przetwarzania powierzonych danych osobowych zgodnie z przepisami RODO;

2) zakres obowiązków dalszego podmiotu przetwarzającego w zakresie ochrony danych odpowiadał obowiązkom Podmiotu przetwarzającego przewidzianym w Umowie powierzenia.

4. W przypadku zamiaru podpowierzenia przetwarzania danych osobowych nowemu podwykonawcy albo zmiany zakresu podpowierzenia Podmiot przetwarzający zobowiązany jest zawiadomić o tym Administratora nie później niż na 7 (siedem) dni przed dokonaniem podpowierzenia, za pomocą poczty elektronicznej albo poprzez opublikowanie zaktualizowanej listy pod adresem wskazanym w ust. 2 powyżej wraz z powiadomieniem wysłanym pocztą elektroniczną. Administrator może sprzeciwić się dokonaniu podpowierzenia poprzez zgłoszenie sprzeciwu za pomocą poczty elektronicznej, w terminie 7 (siedmiu) dni od dnia otrzymania zawiadomienia.

5. Po bezskutecznym upływie terminu na zgłoszenie sprzeciwu, o którym mowa w ust. 4 powyżej, Podmiot przetwarzający może dokonać podpowierzenia przetwarzanych danych osobowych wybranemu podwykonawcy.

6. W przypadku zgłoszenia sprzeciwu, o którym mowa w ust. 4 powyżej, Podmiot przetwarzający może wypowiedzieć Umowę główną z zachowaniem 30-dniowego okresu wypowiedzenia. Opłata Subskrypcyjna za niewykorzystaną część opłaconego Okresu Subskrypcji podlega w takim wypadku zwrotowi proporcjonalnie.

7. Dokonanie podpowierzenia zgodnie z ust. 4-5 powyżej nie stanowi zmiany Umowy powierzenia.

§ 6.Poufność

Strony zobowiązują się wykorzystać materiały, dane oraz wszelkie informacje pozyskane od drugiej Strony w celu wykonania Umowy powierzenia wyłącznie do jej realizacji oraz zachować te materiały, dane oraz informacje w tajemnicy, zarówno w czasie trwania Umowy powierzenia, jak i po jej rozwiązaniu.

§ 7.Czas obowiązywania Umowy powierzenia

Umowa powierzenia zostaje zawarta na czas obowiązywania Umowy głównej i rozwiązuje się wraz z jej wypowiedzeniem, rozwiązaniem lub wygaśnięciem. Zakończenie Okresu Subskrypcji i przejście Konta w tryb wyłącznie do odczytu nie powoduje rozwiązania Umowy głównej ani Umowy powierzenia.

§ 8.Skutki rozwiązania Umowy powierzenia

1. Po rozwiązaniu Umowy powierzenia Administrator decyduje, czy powierzone dane osobowe mają zostać mu wydane, czy usunięte. Strony ustalają następujące zasady realizacji tego uprawnienia, wynikające z architektury Aplikacji opisanej w § 2 ust. 5.

2. Wydanie powierzonych danych osobowych następuje poprzez samodzielne pobranie ich przez Administratora z poziomu Konta, po zalogowaniu i podaniu danych umożliwiających odszyfrowanie. Podmiot przetwarzający zapewnia w tym celu funkcjonalność eksportu danych. Podmiot przetwarzający nie może wydać danych przechowywanych w postaci zaszyfrowanej w innej formie niż szyfrogram, ponieważ nie dysponuje kluczem umożliwiającym ich odszyfrowanie.

3. Do czasu usunięcia Konta przez Administratora Konto pozostaje dostępne w trybie wyłącznie do odczytu, obejmującym przeglądanie, odszyfrowanie i pobranie powierzonych danych osobowych, bez ograniczenia terminem, z zastrzeżeniem ust. 6 poniżej.

4. Usunięcie powierzonych danych osobowych następuje z chwilą usunięcia Konta przez Administratora. Usunięcie Konta powoduje:

1) trwałe usunięcie danych osobowych Administratora,

2) anonimizację powierzonych danych osobowych przechowywanych w postaci jawnej, w sposób uniemożliwiający przypisanie ich do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej,

3) trwałą utratę możliwości odszyfrowania powierzonych danych osobowych przechowywanych w postaci zaszyfrowanej, wynikającą z unieważnienia hasła, z którego wyprowadzany jest klucz szyfrujący.

5. Strony zgodnie przyjmują, że dane poddane anonimizacji zgodnie z ust. 4 pkt 2 powyżej przestają być danymi osobowymi w rozumieniu RODO. Podmiot przetwarzający może przechowywać je bezterminowo i wykorzystywać w celach statystycznych, zgodnie z art. 89 RODO.

6. Jeżeli Administrator nie zaloguje się do Konta przez okres 24 (dwudziestu czterech) kolejnych miesięcy, Podmiot przetwarzający zawiadomi go o tym za pomocą poczty elektronicznej, a po bezskutecznym upływie 30 (trzydziestu) dni od dnia zawiadomienia dokona czynności opisanych w ust. 4 powyżej. Zalogowanie się do Konta przed upływem tego terminu znosi skutki zawiadomienia. Postanowienia niniejszego ustępu nie stosuje się do Kont objętych opłaconą subskrypcją. Postanowienie to służy realizacji zasady ograniczenia przechowywania, o której mowa w art. 5 ust. 1 lit. e RODO.

7. Postanowienia ust. 4 nie dotyczą tych danych osobowych, których przechowywanie przez Podmiot przetwarzający, zgodnie z przepisami powszechnie obowiązującego prawa, wymagane jest przez czas dłuższy niż okres obowiązywania Umowy powierzenia, w szczególności danych zawartych w dokumentacji księgowej i podatkowej.

§ 9.Postanowienia końcowe

1. Integralną częścią Umowy powierzenia są:

1) Załącznik nr 1 - Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą,

2) Załącznik nr 2 - Lista podwykonawców, którym podpowierzono przetwarzanie danych osobowych.

2. Do zmian Umowy powierzenia stosuje się odpowiednie postanowienia Regulaminu.

3. W sprawach nieuregulowanych w Umowie powierzenia mają zastosowanie postanowienia Regulaminu, przepisy RODO oraz odpowiednie przepisy prawa polskiego.

ZAŁĄCZNIK NR 1

Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą

CZĘŚĆ A. DANE PRZETWARZANE W POSTACI ZASZYFROWANEJ

(Podmiot przetwarzający przechowuje wyłącznie szyfrogram i nie ma technicznej możliwości zapoznania się z treścią tych danych)

CZĘŚĆ B. DANE PRZETWARZANE W POSTACI JAWNEJ

(Podmiot przetwarzający ma techniczną możliwość zapoznania się z treścią tych danych)

ZAŁĄCZNIK NR 2

Lista podwykonawców, którym podpowierzono przetwarzanie powierzonych danych osobowych

Stan na dzień 22 sierpnia 2026 r.

1. Railway Corp. (Stany Zjednoczone)

Zakres: hosting Aplikacji oraz bazy danych. Podmiot ma dostęp do wszystkich powierzonych danych osobowych w postaci, w jakiej są przechowywane, to jest w przeważającej części zaszyfrowanej.

Region przetwarzania: EU West (Amsterdam, Holandia). Dane są przechowywane na terytorium Europejskiego Obszaru Gospodarczego.

Transfer poza EOG: dane nie są przechowywane poza EOG. Dostawca ma siedzibę w Stanach Zjednoczonych, w związku z czym nie można wykluczyć zdalnego dostępu jego personelu spoza EOG w celach wsparcia technicznego. Podstawą takiego dostępu są standardowe klauzule umowne.

2. Cloudflare, Inc. (Stany Zjednoczone)

Zakres: warstwa dostarczania i ochrony Aplikacji. Adres IP oraz dane techniczne połączenia.

Transfer poza EOG: tak, standardowe klauzule umowne.

3. Stripe, Inc. oraz Stripe Payments Europe, Ltd. (Stany Zjednoczone, Irlandia)

Zakres: obsługa płatności i subskrypcji. Dane rozliczeniowe Administratora. Podmiot nie ma dostępu do powierzonych danych osobowych klientów Administratora.

Transfer poza EOG: tak, standardowe klauzule umowne.

4. Fakturownia sp. z o.o. (Polska)

Zakres: wystawianie i przechowywanie faktur. Dane rozliczeniowe Administratora. Podmiot nie ma dostępu do powierzonych danych osobowych klientów Administratora.

Transfer poza EOG: nie.

5. Resend, Inc. (Stany Zjednoczone)

Zakres: wysyłka wiadomości transakcyjnych. Adres poczty elektronicznej Administratora oraz osób korzystających z Kont Pracowniczych.

Transfer poza EOG: tak, standardowe klauzule umowne.

6. UAB MailerLite (Litwa)

Zakres: komunikacja marketingowa i obsługa listy oczekujących. Adres poczty elektronicznej. Podmiot nie ma dostępu do powierzonych danych osobowych klientów Administratora.

Transfer poza EOG: nie.

7. Anthropic PBC (Stany Zjednoczone)

Zakres: dostarczenie modelu językowego wykorzystywanego w funkcjach opisanych w § 11 Regulaminu. Podmiot otrzymuje dane wyłącznie w momencie uruchomienia danej funkcji przez Administratora lub osobę korzystającą z Konta Pracowniczego. W funkcji asystenta analitycznego są to wyłącznie dane liczbowe i kategorie, bez nazw i imion. W funkcji analizy zapisów projektu jest to odszyfrowana treść zapisów wybranego projektu, mogąca zawierać dane osobowe. Dane nie są wykorzystywane do trenowania modeli.

Transfer poza EOG: tak, standardowe klauzule umowne.

8. Google Ireland Limited (Irlandia)

Zakres: analityka strony internetowej, wyłącznie po wyrażeniu zgody na pliki cookies analityczne. Podmiot nie ma dostępu do powierzonych danych osobowych klientów Administratora.

Transfer poza EOG: możliwy w ramach infrastruktury Google, standardowe klauzule umowne.

9. CookieYes Limited (Wielka Brytania)

Zakres: obsługa panelu zarządzania zgodami na pliki cookies. Podmiot nie ma dostępu do powierzonych danych osobowych klientów Administratora.

Transfer poza EOG: Wielka Brytania objęta decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony.