Umowa powierzenia przetwarzania danych

Umowa powierzenia przetwarzania danych osobowych dotycząca usługi Aion Discovery („Umowa”) zostaje zawarta z chwilą akceptacji Regulaminu Serwisu Aion Discovery i zawarcia Umowy o Usługę Discovery – albo w dniu [DATA ZAWARCIA] – pomiędzy:

[NAZWA KLIENTA], [ADRES KLIENTA], NIP: [NIP KLIENTA], reprezentowanym przez [IMIĘ I NAZWISKO, FUNKCJA] – zwanym dalej „Administratorem”,

a

Aion Automation Andrzej Niemiec, przedsiębiorcą prowadzącym jednoosobową działalność gospodarczą wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), ze stałym miejscem wykonywania działalności: Siemiechów 264, 33-181 Siemiechów, NIP: 8733298270, REGON: 529656432 – zwanym dalej „Podmiotem Przetwarzającym”,

zwanymi dalej łącznie „Stronami”.

1. Pojęcia użyte w Umowie mają znaczenie nadane im w rozporządzeniu (UE) 2016/679 („RODO”), a ponadto:
   1. Umowa Główna – umowa o świadczenie Usługi Discovery zawarta na podstawie Regulaminu Serwisu Aion Discovery (wraz z Zamówieniem);
   2. Dane – dane osobowe zawarte w Danych Klienta (w rozumieniu Regulaminu) przetwarzane przez Podmiot Przetwarzający w imieniu Administratora, opisane w Załączniku 1;
   3. Dalszy Podmiot Przetwarzający – podmiot, któremu Podmiot Przetwarzający powierza przetwarzanie Danych (art. 28 ust. 2 i 4 RODO);
   4. Naruszenie – naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO;
   5. Dzień roboczy – dzień od poniedziałku do piątku z wyłączeniem dni ustawowo wolnych od pracy w Polsce.
2. Administrator powierza Podmiotowi Przetwarzającemu przetwarzanie Danych w zakresie i celu określonym w Załączniku 1, a Podmiot Przetwarzający zobowiązuje się przetwarzać je zgodnie z Umową, RODO i innymi przepisami.
3. Zakres ról. Umowa nie dotyczy danych, które Podmiot Przetwarzający przetwarza jako odrębny administrator, w szczególności: (i) danych Użytkowników Konta i osób kontaktowych Administratora przetwarzanych w celu zawarcia i wykonania Umowy Głównej, zapewnienia bezpieczeństwa Serwisu i rozliczeń, (ii) danych pozyskiwanych przez Podmiot Przetwarzający ze źródeł publicznych w ramach własnej metodologii analiz, (iii) logów technicznych Serwisu. Te dane przetwarzane są na zasadach Polityki prywatności.
4. Charakter przetwarzania: zautomatyzowane i ręczne operacje obejmujące w szczególności zbieranie (pobranie z integracji), utrwalanie, przechowywanie, organizowanie, strukturyzowanie, indeksowanie (w tym tworzenie reprezentacji wektorowych), analizowanie z użyciem systemów AI, przeglądanie, wykorzystywanie do tworzenia Wyników, udostępnianie Administratorowi i osobom przez niego upoważnionym oraz usuwanie.

1. Podmiot Przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora, także w odniesieniu do przekazywania Danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega – w takim przypadku przed rozpoczęciem przetwarzania informuje Administratora o tym obowiązku, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny (art. 28 ust. 3 lit. a RODO).
2. Za udokumentowane polecenia uznaje się: Umowę, Umowę Główną, Zamówienie, konfigurację i działania podejmowane przez Administratora lub Użytkowników w Serwisie (np. przesłanie materiałów, uruchomienie integracji, zlecenie Raportu, zaproszenie osoby, usunięcie danych) oraz polecenia przesłane e-mailem z adresu Administratora wskazanego w § 15.
3. Podmiot Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie narusza RODO lub inne przepisy o ochronie danych. Może wstrzymać wykonanie takiego polecenia do czasu jego potwierdzenia lub zmiany przez Administratora.
4. Zakaz wykorzystania Danych do celów własnych. Podmiot Przetwarzający nie przetwarza Danych w celach własnych, w tym nie wykorzystuje Danych do trenowania, dostrajania ani oceny modeli AI, do profilowania ani do świadczenia usług innym klientom. Może tworzyć i wykorzystywać zagregowane statystyki techniczne dotyczące działania Serwisu, niezawierające Danych.

1. Podmiot Przetwarzający dopuszcza do przetwarzania Danych wyłącznie osoby posiadające upoważnienie, przeszkolone w zakresie ochrony danych i bezpiecznego korzystania z systemów AI, które zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy – w trakcie współpracy i po jej zakończeniu (art. 28 ust. 3 lit. b RODO).
2. Dostęp do Danych jest przyznawany wyłącznie w zakresie niezbędnym do wykonania Umowy Głównej (zasada wiedzy koniecznej).

1. Podmiot Przetwarzający wdraża i utrzymuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku, określone w Załączniku 2, uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych (art. 28 ust. 3 lit. c i art. 32 RODO).
2. Podmiot Przetwarzający regularnie testuje, mierzy i ocenia skuteczność środków. Może je zmieniać, o ile nie obniży to ogólnego poziomu ochrony.

1. Administrator udziela Podmiotowi Przetwarzającemu ogólnej pisemnej zgody na korzystanie z Dalszych Podmiotów Przetwarzających wskazanych w Załączniku 3 oraz na zmianę tej listy na zasadach ust. 2–3 (art. 28 ust. 2 RODO).
2. Podmiot Przetwarzający informuje Administratora o zamierzonym dodaniu lub zastąpieniu Dalszego Podmiotu Przetwarzającego – e-mailem lub przez aktualizację publicznej listy w Załączniku 3 – co najmniej 14 dni przed zmianą, wskazując kategorię i nazwę podmiotu, zakres przetwarzania, lokalizację oraz podstawę transferu (jeżeli dotyczy).
3. Administrator może w tym terminie wnieść uzasadniony sprzeciw. W razie sprzeciwu Strony w dobrej wierze poszukują rozwiązania (np. niekorzystanie z danego podmiotu dla Danych Administratora); jeżeli to niemożliwe, każda ze Stron może wypowiedzieć Umowę Główną w zakresie usług, których dotyczy zmiana, ze skutkiem natychmiastowym – bez kosztów dla Administratora.
4. Podmiot Przetwarzający nakłada na Dalszy Podmiot Przetwarzający, w drodze umowy, te same obowiązki ochrony danych, co określone w Umowie, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. W przypadku dostawców usług standardowych, których warunki nie podlegają negocjacji, Podmiot Przetwarzający weryfikuje, czy ich warunki zapewniają poziom ochrony równoważny co do istoty z Umową, dokumentuje tę ocenę i przekazuje ją Administratorowi na żądanie.
5. Podmiot Przetwarzający dobiera Dalszych Podmiotów Przetwarzających z należytą starannością, w szczególności wybierając konfiguracje, w których dostawca modelu AI nie wykorzystuje Danych do trenowania i ogranicza ich przechowywanie do minimum.
6. Podmiot Przetwarzający ponosi pełną odpowiedzialność wobec Administratora za wypełnienie obowiązków przez Dalszy Podmiot Przetwarzający (art. 28 ust. 4 RODO).
7. Na żądanie Administratora Podmiot Przetwarzający przekazuje kopię odpowiednich postanowień umowy z Dalszym Podmiotem Przetwarzającym (z możliwością usunięcia informacji poufnych handlowo).

1. Podmiot Przetwarzający może przekazywać Dane do państwa trzeciego lub organizacji międzynarodowej wyłącznie na udokumentowane polecenie Administratora – za które uznaje się akceptację listy z Załącznika 3 – i przy spełnieniu warunków rozdziału V RODO, w szczególności na podstawie:
   1. decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO), w tym ramowego porozumienia UE–USA w sprawie ochrony danych (decyzja wykonawcza (UE) 2023/1795) – wobec podmiotów certyfikowanych; lub
   2. standardowych klauzul umownych (decyzja wykonawcza (UE) 2021/914, moduł 3 – podmiot przetwarzający do podmiotu przetwarzającego) zawartych z Dalszym Podmiotem Przetwarzającym, wraz z oceną skutków transferu i dodatkowymi środkami ochrony, jeżeli są wymagane.
2. Podmiot Przetwarzający nie przekazuje Danych do państw, w których ocena skutków transferu wskazuje na brak możliwości zapewnienia ochrony równoważnej co do istoty z ochroną gwarantowaną w Unii Europejskiej – ani bezpośrednio, ani za pośrednictwem Dalszych Podmiotów Przetwarzających.
3. W razie unieważnienia lub zawieszenia podstawy transferu Podmiot Przetwarzający niezwłocznie informuje Administratora i wdraża alternatywny mechanizm albo zaprzestaje transferu.

1. Uwzględniając charakter przetwarzania, Podmiot Przetwarzający w miarę możliwości pomaga Administratorowi, poprzez odpowiednie środki techniczne i organizacyjne, wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO; art. 28 ust. 3 lit. e RODO).
2. Jeżeli Podmiot Przetwarzający otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, w sprawie Danych, przekazuje je Administratorowi w terminie 3 Dni roboczych i nie odpowiada na nie samodzielnie, chyba że Administrator go do tego upoważni.
3. Podmiot Przetwarzający wykonuje polecenia Administratora dotyczące usunięcia, sprostowania, ograniczenia lub eksportu Danych w terminie 5 Dni roboczych od otrzymania polecenia albo udostępnia Administratorowi funkcje Serwisu umożliwiające samodzielne wykonanie tych operacji.

1. Podmiot Przetwarzający pomaga Administratorowi wywiązać się z obowiązków określonych w art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, zawiadamianie osób, ocena skutków dla ochrony danych, uprzednie konsultacje), uwzględniając charakter przetwarzania oraz dostępne mu informacje (art. 28 ust. 3 lit. f RODO).
2. Podmiot Przetwarzający zgłasza Administratorowi stwierdzenie Naruszenia dotyczącego Danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, na adres e-mail Administratora wskazany w § 15 – tak, aby umożliwić Administratorowi dotrzymanie 72-godzinnego terminu z art. 33 RODO.
3. Zgłoszenie zawiera co najmniej (w miarę dostępności – informacje mogą być przekazywane etapami):
   1. opis charakteru Naruszenia, w tym – jeśli to możliwe – kategorie i przybliżoną liczbę osób oraz wpisów danych;
   2. dane kontaktowe osoby, od której można uzyskać więcej informacji;
   3. opis możliwych konsekwencji Naruszenia;
   4. opis zastosowanych lub proponowanych środków w celu zaradzenia Naruszeniu i zminimalizowania jego skutków.
4. Podmiot Przetwarzający dokumentuje Naruszenia dotyczące Danych i nie zawiadamia o nich organu nadzorczego ani osób, których dane dotyczą, bez uzgodnienia z Administratorem, chyba że wymaga tego prawo.
5. Podmiot Przetwarzający przekazuje Administratorowi informacje niezbędne do przeprowadzenia oceny skutków dla ochrony danych (art. 35 RODO), w szczególności opis przetwarzania, kategorii Dalszych Podmiotów Przetwarzających i stosowanych zabezpieczeń.

1. Po zakończeniu świadczenia usług związanych z przetwarzaniem Podmiot Przetwarzający, zależnie od decyzji Administratora, usuwa lub zwraca Administratorowi wszelkie Dane oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje przechowywanie Danych (art. 28 ust. 3 lit. g RODO).
2. Jeżeli Administrator nie wskaże wyboru w terminie 30 dni od zakończenia Umowy Głównej, Podmiot Przetwarzający usuwa Dane. Usunięcie obejmuje także indeksy, reprezentacje wektorowe i pamięci podręczne utworzone na podstawie Danych. Kopie zapasowe są usuwane w cyklu ich rotacji, nie dłuższym niż 35 dni; do tego czasu są chronione i nie są przetwarzane w innym celu.
3. Na żądanie Administratora Podmiot Przetwarzający potwierdza usunięcie Danych e-mailem.

1. Podmiot Przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich (art. 28 ust. 3 lit. h RODO).
2. W pierwszej kolejności Podmiot Przetwarzający wykazuje zgodność poprzez odpowiedzi na kwestionariusz Administratora oraz przedstawienie dokumentacji, polityk lub raportów z niezależnych audytów i certyfikatów (jeśli je posiada). Nie wyłącza to prawa Administratora do audytu, jeżeli przedstawione informacje są niewystarczające.
3. Audyt przeprowadza się po uprzednim powiadomieniu z wyprzedzeniem co najmniej 14 dni, w Dni robocze, w godzinach pracy, nie częściej niż raz na 12 miesięcy (z wyjątkiem audytu po Naruszeniu lub na żądanie organu nadzorczego), w sposób nie zakłócający nadmiernie działalności Podmiotu Przetwarzającego, z poszanowaniem tajemnicy przedsiębiorstwa i poufności danych innych klientów. Audytor jest zobowiązany do zachowania poufności i nie może być podmiotem konkurencyjnym wobec Podmiotu Przetwarzającego.
4. Koszty audytu ponosi Administrator, z wyjątkiem audytu, który wykazał istotne naruszenie Umowy przez Podmiot Przetwarzający – wówczas koszty ponosi Podmiot Przetwarzający.
5. Podmiot Przetwarzający niezwłocznie informuje Administratora o kontroli organu nadzorczego dotyczącej Danych.

1. Administrator oświadcza, że jest administratorem Danych lub jest umocowany przez administratora do zawarcia Umowy (w takim przypadku Umowa jest umową dalszego powierzenia, a Administrator zapewnia jej zgodność z umową z administratorem), że posiada ważną podstawę prawną przetwarzania i powierzenia Danych oraz że wykonał obowiązki informacyjne wobec osób, których dane dotyczą.
2. Administrator nie przekazuje Podmiotowi Przetwarzającemu danych szczególnych kategorii (art. 9 RODO), danych o wyrokach skazujących (art. 10 RODO) ani danych dzieci, chyba że Strony postanowią inaczej w formie pisemnej lub elektronicznej, z określeniem dodatkowych zabezpieczeń.
3. Administrator ocenia, czy środki z Załącznika 2 są dla niego odpowiednie, oraz – jeżeli jest wymagana – przeprowadza ocenę skutków dla ochrony danych.

1. Każda ze Stron odpowiada wobec osób, których dane dotyczą, na zasadach art. 82 RODO.
2. Podmiot Przetwarzający odpowiada wobec Administratora za szkody spowodowane przetwarzaniem Danych niezgodnie z Umową lub RODO, w tym przez Dalszych Podmiotów Przetwarzających, z zastrzeżeniem limitów określonych w § 13 Regulaminu. Ograniczenie to nie dotyczy szkody wyrządzonej umyślnie lub wskutek rażącego niedbalstwa ani roszczeń z art. 82 RODO.
3. Administrator odpowiada wobec Podmiotu Przetwarzającego za szkody wynikające z wydania polecenia niezgodnego z prawem lub braku podstawy prawnej do powierzenia.

1. Umowa obowiązuje przez czas trwania Umowy Głównej oraz do czasu usunięcia lub zwrotu Danych zgodnie z § 9.
2. Administrator może wypowiedzieć Umowę i Umowę Główną ze skutkiem natychmiastowym, jeżeli Podmiot Przetwarzający rażąco narusza Umowę lub przepisy o ochronie danych i nie usunie naruszenia w terminie 14 dni od wezwania.
3. Rozwiązanie Umowy powoduje rozwiązanie Umowy Głównej w zakresie usług wymagających przetwarzania Danych.

Z tytułu wykonywania Umowy Podmiotowi Przetwarzającemu nie przysługuje odrębne wynagrodzenie poza wynagrodzeniem z Umowy Głównej (w fazie alpha – brak wynagrodzenia).

1. Adres e-mail Administratora do zgłoszeń (w tym Naruszeń i zmian Dalszych Podmiotów Przetwarzających): [E-MAIL ADMINISTRATORA], a w razie jego braku – adres e-mail Konta właściciela Klienta.
2. Adres e-mail Podmiotu Przetwarzającego: dane@aionflow.pl.

1. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Kodeksu cywilnego.
2. W razie sprzeczności między Umową a Umową Główną w zakresie ochrony danych osobowych pierwszeństwo ma Umowa.
3. Zmiany Umowy wymagają formy pisemnej lub dokumentowej, z wyjątkiem aktualizacji Załącznika 3 w trybie § 5.
4. Spory rozstrzyga sąd właściwy zgodnie z Umową Główną. Prawem właściwym jest prawo polskie.
5. Umowa zostaje zawarta w formie dokumentowej poprzez akceptację w Serwisie.

1. Szyfrowanie: transmisja danych szyfrowana (TLS); [szyfrowanie danych w spoczynku]; [szyfrowane kopie zapasowe].
2. Kontrola dostępu: uwierzytelnianie Użytkowników przez centralny system logowania z możliwością uwierzytelniania wieloskładnikowego; cookies sesyjne niedostępne dla skryptów i przesyłane wyłącznie bezpiecznym połączeniem; separacja dostępu do Raportów na poziomie Klienta; tokeny zaproszeń o ograniczonym zakresie [i czasie ważności]; dostęp administracyjny do serwerów wyłącznie z użyciem kluczy kryptograficznych, ograniczony do upoważnionych osób; zasada minimalnych uprawnień.
3. Rozdzielenie danych: logiczne rozdzielenie Danych różnych Klientów; bazy danych i indeksy dostępne wyłącznie z sieci wewnętrznej (bez publicznej ekspozycji).
4. Ochrona przed nadużyciami: ograniczenia liczby żądań, mechanizmy antyspamowe w formularzach, monitorowanie błędów.
5. Rozliczalność: logi dostępu serwera z okresem przechowywania 14 dni; rejestr dostępu do Raportów; rejestr czynności przetwarzania i rejestr Naruszeń.
6. Ciągłość działania: regularne kopie zapasowe ([CZĘSTOTLIWOŚĆ]), procedura odtworzenia, nadzór nad procesami aplikacji z automatycznym restartem.
7. Bezpieczeństwo systemów AI: korzystanie z usług dostawców modeli w konfiguracjach wyłączających trenowanie na przekazanych danych; minimalizacja danych przekazywanych do modeli; zabezpieczenia przed próbami wydobycia poleceń systemowych i danych innych Klientów (prompt injection); [weryfikacja człowieka dla kluczowych Wyników].
8. Organizacja: upoważnienia i zobowiązania do poufności; szkolenia z ochrony danych i kompetencji w zakresie AI (art. 4 AI Act); procedura obsługi Naruszeń; procedura obsługi żądań osób; ocena dostawców przed ich zaangażowaniem; aktualizacje bezpieczeństwa oprogramowania.
9. Usuwanie danych: procedura usuwania Danych i ich pochodnych (indeksy, reprezentacje wektorowe, pamięci podręczne) po zakończeniu Umowy.

Lista jest aktualizowana w trybie § 5 Umowy. Datę ostatniej zmiany wskazuje nagłówek dokumentu.