Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu · wersja 1.0 · obowiązuje od 28 września 2026 r.

§ 1. Strony i przedmiot

1. Klient (administrator) powierza Waszcz.uk sp. z o.o., Al. Wojska Polskiego 43/37, 18-300 Zambrów, NIP 7231637770 („Procesor"), przetwarzanie danych osobowych na warunkach poniżej, na podstawie art. 28 RODO.
2. Umowa zostaje zawarta z chwilą akceptacji Regulaminu i obowiązuje przez okres świadczenia Usługi.

§ 2. Zakres i cel przetwarzania

1. Charakter przetwarzania: odbieranie, przechowywanie, wyświetlanie Klientowi, przekazywanie do modelu AI, wysyłanie odpowiedzi oraz usuwanie danych.
2. Cel: świadczenie Usługi zgodnie z Regulaminem i konfiguracją ustaloną przez Klienta w panelu.
3. Rodzaje danych: identyfikatory rozmówców nadane przez Meta, treść wiadomości (mogą w niej znajdować się dane kontaktowe i inne informacje podane dobrowolnie przez rozmówców), identyfikatory autorów komentarzy, znaczniki czasu.
4. Kategorie osób: osoby piszące lub komentujące na kontach i stronach Klienta.
5. Procesor nie zbiera celowo szczególnych kategorii danych (art. 9 RODO). Klient nie powinien konfigurować bota tak, aby je pozyskiwał.

§ 3. Obowiązki Procesora

1. Przetwarza dane wyłącznie na udokumentowane polecenie Klienta, którym są: Regulamin, ta umowa i konfiguracja w panelu. Jeśli uzna polecenie za sprzeczne z prawem, niezwłocznie poinformuje Klienta.
2. Zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.
3. Stosuje środki bezpieczeństwa opisane w § 4.
4. Korzysta z podprocesorów na zasadach § 5.
5. Pomaga Klientowi w realizacji praw osób, których dane dotyczą, w terminie do 7 dni roboczych od zgłoszenia.
6. Pomaga Klientowi w wypełnianiu obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków), w zakresie wynikającym z charakteru przetwarzania.
7. Po zakończeniu świadczenia Usługi usuwa dane zgodnie z § 9.
8. Udostępnia Klientowi informacje potrzebne do wykazania zgodności z art. 28 RODO i umożliwia audyty zgodnie z § 10.

§ 4. Środki bezpieczeństwa

• Transmisja szyfrowana (HTTPS/TLS).
• Hasła użytkowników przechowywane wyłącznie jako skróty (bcrypt); tokeny dostępu do kont Instagram i Facebook przechowywane w postaci zaszyfrowanej.
• Izolacja danych między klientami: każdy widzi wyłącznie własne konta i rozmowy. Izolacja jest sprawdzana testami automatycznymi.
• Weryfikacja podpisu wywołań przychodzących od Meta; limity prób logowania i rejestracji; ręczna aktywacja kont.
• Limity liczby wiadomości i odpowiedzi AI chroniące przed nadużyciami.
• Kopie zapasowe bazy danych z ograniczonym okresem przechowywania; rotacja logów technicznych.
• Dostęp administracyjny do serwera wyłącznie kluczem SSH, z zaporą sieciową i ochroną przed atakami siłowymi.

§ 5. Podprocesorzy

1. Klient wyraża ogólną zgodę na korzystanie z podprocesorów wskazanych na stronie likeflow.pl/podprocesorzy.html. Obecnie są to: OVH (OVHcloud): hosting serwerów w centrum danych w Polsce; Anthropic, PBC: generowanie odpowiedzi przez model AI (siedziba w USA).
2. O zamiarze dodania lub zmiany podprocesora Procesor informuje Klienta z wyprzedzeniem 14 dni. Klient może w tym czasie zgłosić uzasadniony sprzeciw. Jeśli strony nie znajdą rozwiązania, Klient może zakończyć korzystanie z Usługi.
3. Procesor nakłada na podprocesorów obowiązki ochrony danych co najmniej równoważne obowiązkom z tej umowy i odpowiada za ich wykonanie.
4. Komunikacja odbywa się przez platformy Meta Platforms Ireland Limited, która działa jako odrębny administrator na własnych zasadach i nie jest podprocesorem Procesora.

§ 6. Przekazywanie poza EOG

Przekazanie danych podprocesorowi z siedzibą w USA odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, zawartych w umowie z tym podprocesorem.

§ 7. Naruszenia ochrony danych

Procesor zgłasza Klientowi stwierdzone naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, wraz z informacjami niezbędnymi do oceny przez Klienta obowiązku zgłoszenia organowi nadzorczemu.

§ 8. Prawa osób, których dane dotyczą

Jeśli osoba zwróci się do Procesora ze swoimi prawami w sprawie danych powierzonych przez Klienta, Procesor przekaże żądanie Klientowi i sam nie udzieli odpowiedzi, chyba że Klient go o to poprosi.

§ 9. Zakończenie przetwarzania

1. Po usunięciu konta przez Klienta (funkcja „Usuń moje konto" w panelu) dane są niezwłocznie usuwane z systemu produkcyjnego. Dane w kopiach zapasowych są usuwane w terminie 30 dni.
2. Na żądanie Klienta zgłoszone przed usunięciem konta Procesor udostępni kopię danych w powszechnie używanym formacie, w terminie 14 dni.

§ 10. Audyt

Klient może raz w roku, po uprzednim uzgodnieniu terminu i zakresu, przeprowadzić audyt zgodności z tą umową, na własny koszt i bez naruszania bezpieczeństwa danych innych klientów. Procesor może w zamian przedstawić dokumentację i wyniki własnych testów bezpieczeństwa.

§ 11. Postanowienia końcowe

Odpowiedzialność stron względem siebie określa Regulamin, z zastrzeżeniem przepisów RODO. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Kontakt: lukasz@waszcz.uk.