Umowa Powierzenia Przetwarzania Danych Osobowych (DPA)

Strony Umowy

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych zostaje zawarta pomiędzy:

Administrator i Procesor zwani są dalej łącznie „Stronami”, a każdy z osobna „Stroną”.

§ 1. Przedmiot Umowy i Czas Trwania Powierzenia

1. Na warunkach określonych w niniejszej Umowie Administrator powierza Procesorowi przetwarzanie danych osobowych, a Procesor zobowiązuje się do ich przetwarzania w sposób bezpieczny i zgodny z obowiązującymi przepisami prawa, w szczególności z RODO.

2. Powierzenie następuje w celu realizacji umowy o świadczenie usług drogą elektroniczną (Regulaminu Serwisu AutoPilot AI), w ramach której Procesor udostępnia Administratorowi oprogramowanie w modelu SaaS (Wirtualną Recepcję AI, system rezerwacji terminów, powiadomienia transakcyjne, terminarz wizyt oraz moduł Human Handoff).

3. Niniejsza Umowa zostaje zawarta na czas trwania Umowy Głównej (korzystania z platformy AutoPilot AI) i wygasa wraz z usunięciem konta Administratora z Serwisu.

§ 2. Charakter i Cel Przetwarzania

1. Charakter przetwarzania: Przetwarzanie danych w systemach teleinformatycznych Procesora z wykorzystaniem automatycznych algorytmów rezerwacyjnych i sztucznej inteligencji. Operacje obejmują zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, modyfikowanie, przeglądanie, ujawnianie poprzez przesłanie (powiadomienia e-mail/SMS) oraz usuwanie.

2. Cel przetwarzania: Automatyczna obsługa procesu rezerwacji wizyt fryzjerskich i barberskich, synchronizacja kalendarza stanowisk i stylistów, komunikacja transakcyjna z klientem (potwierdzenia, zmiany terminu, anulowania) oraz przekazywanie zgłoszeń do personelu (funkcja Human Handoff).

§ 3. Rodzaj Danych Osobowych i Kategorie Osób

1. Powierzenie obejmuje następujące kategorie osób:

• Klienci końcowi Administratora dokonujący rezerwacji wizyt przez chat lub widget na stronie WWW,
• Pracownicy i styliści Administratora przypisani do obsługi rezerwacji.

2. Powierzenie obejmuje następujące rodzaje danych osobowych:

• Imię i nazwisko (lub imię),
• Numer telefonu komórkowego,
• Adres poczty elektronicznej (e-mail),
• Szczegóły zamawianej usługi (np. strzyżenie, koloryzacja, uwagi klienta),
• Data i godzina planowanej wizyty,
• Zanonimizowany identyfikator sesji i skrót kryptograficzny adresu IP (hasz SHA-256 z serwerową solą, wykluczający identyfikację surowego adresu IP),
• Treść konwersacji klienta z wirtualną recepcjonistką AI w danej sesji rezerwacji.

§ 4. Obowiązki i Uprawnienia Procesora (art. 28 ust. 3 RODO)

Procesor zobowiązuje się do:

1. Przetwarzania wyłącznie na udokumentowane polecenie: Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora — za takie polecenie uważa się konfigurację parametrów w panelu salonu oraz korzystanie z funkcjonalności Serwisu zgodnie z Regulaminem.
2. Poufności personelu: Zapewnienia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub podlegały ustawowemu obowiązkowi zachowania tajemnicy.
3. Środków bezpieczeństwa (art. 32 RODO): Podjęcia wszelkich niezbędnych środków technicznych i organizacyjnych, w tym:
   • szyfrowania transmisji danych z użyciem protokołu TLS 1.3 / HTTPS,
   • szyfrowania danych w spoczynku (bazy danych PostgreSQL, tokenów 2FA kluczem AES-256-GCM),
   • kryptograficznego haszowania adresów IP uniemożliwiającego ich odczytanie w bazie,
   • zabezpieczeń przed atakami siłowymi (brute-force lockouts) oraz automatycznych filtrów anty-spamowych.
4. Wsparcia w realizacji praw osób (art. 12-22 RODO): Pomagania Administratorowi poprzez odpowiednie środki techniczne w wywiązywaniu się z obowiązku odpowiadania na żądania osób (w szczególności udostępniając w panelu CRM narzędzia do modyfikacji, anonimizacji i usuwania danych leada).
5. Zgłaszania naruszeń: Zgłaszania Administratorowi każdego stwierdzonego przypadku naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od wykrycia zdarzenia, wraz z podaniem charakteru incydentu i zalecanych środków naprawczych.
6. Usunięcia danych po zakończeniu usługi: Po zakończeniu świadczenia usług związanych z przetwarzaniem, zależnie od decyzji Administratora, trwałego usunięcia lub zwrotu wszelkich danych osobowych oraz usunięcia wszelkich ich kopii (z wyjątkiem sytuacji, gdy prawo Unii lub prawo krajowe nakazuje ich przechowywanie).
7. Wykazania zgodności i audytów: Udostępnienia Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwienia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzania audytów i inspekcji (po uprzednim powiadomieniu z co najmniej 14-dniowym wyprzedzeniem).

§ 5. Dalsze Powierzenie Przetwarzania (Subprocesorzy)

1. Administrator wyraża ogólną pisemną zgodę na korzystanie przez Procesora z usług innych podmiotów przetwarzających (subprocesorów) w celu realizacji Umowy Głównej.

2. Aktualna lista autoryzowanych subprocesorów Procesora obejmuje wyłącznie podmioty spełniające rygorystyczne standardy bezpieczeństwa RODO:

3. Procesor poinformuje Administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających drogą elektroniczną, dając Administratorowi możliwość wyrażenia sprzeciwu w terminie 7 dni.

4. Jeżeli inny podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie obowiązków tego podmiotu spoczywa na Procesorze.

§ 6. Przekazywanie Danych do Państw Trzecich

1. Dane osobowe co do zasady przetwarzane są na terenie Europejskiego Obszaru Gospodarczego (EOG).

2. W przypadku transferu danych do państw trzecich (w szczególności USA na potrzeby usług chmurowych podprocesorów), Procesor zapewnia, że transfer odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) lub w oparciu o Standardowe Klauzule Umowne (SCC) przyjęte przez Komisję Europejską.

§ 7. Postanowienia Końcowe

1. W sprawach nieuregulowanych niniejszą Umową zastosowanie mają odpowiednie przepisy RODO oraz prawa polskiego.

2. Akceptacja niniejszych postanowień DPA następuje automatycznie w chwili rejestracji i zaakceptowania Regulaminu Serwisu AutoPilot AI przez Administratora drogą elektroniczną, stanowiąc integralny załącznik do umowy świadczenia usług SaaS.