Powierzenie danych
z jasnym zakresem i instrukcją.

§ 1. Przedmiot i czas powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w imieniu Administratora, w zakresie i celu niezbędnym do wykonania Umowy głównej, zgodnie z rozporządzeniem (UE) 2016/679 („RODO”).
2. Przedmiot, charakter, cel, rodzaj danych i kategorie osób określa Załącznik A. Przetwarzanie danych spoza Załącznika A wymaga jego aktualizacji w formie dokumentowej.
3. Powierzenie trwa przez czas obowiązywania Umowy głównej oraz czas niezbędny do zwrotu lub usunięcia danych (§ 11).
4. Umowa nie obejmuje danych, które każda ze Stron przetwarza jako odrębny administrator (dane osób reprezentujących i kontaktowych, rozliczenia, dochodzenie roszczeń).
5. Jeżeli Umowę główną zawarto w Panelu Klienta Rankora™, niniejszą umowę zawiera się w formie dokumentowej, a moduły objęte powierzeniem wynikają z zakresu Usług wybranego w Kreatorze współpracy.

§ 2. Obowiązki Administratora

1. Administrator oświadcza, że jest uprawniony do przetwarzania powierzanych danych, posiada podstawę prawną ich przetwarzania i powierzenia oraz wykonał obowiązki informacyjne wobec osób, których dane dotyczą (art. 13–14 RODO), w tym poinformował o kategoriach odbiorców obejmujących Procesora.
2. Administrator nie powierza danych szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących (art. 10 RODO), chyba że Strony odrębnie uzgodnią zakres, podstawę i dodatkowe zabezpieczenia.
3. Administrator udziela poleceń w formie dokumentowej przez osoby wskazane w Załączniku A.
4. Administrator odpowiada za zgodność z prawem swoich poleceń i za to, że powierzone dane zostały zebrane zgodnie z prawem. Jeżeli Procesor poniesie szkodę lub koszty w związku z roszczeniem osoby, której dane dotyczą, lub z postępowaniem organu, wynikającymi z naruszenia przez Administratora jego obowiązków albo z wykonania przez Procesora zgodnego z prawem polecenia Administratora, Administrator zwraca je Procesorowi w części odpowiadającej jego odpowiedzialności (art. 82 ust. 5 RODO).

§ 3. Przetwarzanie wyłącznie na polecenie

1. Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora — także w odniesieniu do przekazywania danych do państwa trzeciego — chyba że obowiązek przetwarzania nakłada na niego prawo Unii lub prawo polskie; w takim przypadku informuje Administratora przed rozpoczęciem przetwarzania, o ile prawo nie zabrania tego z uwagi na ważny interes publiczny (art. 28 ust. 3 lit. a RODO). Umowa główna, niniejsza umowa i Załącznik A stanowią udokumentowane polecenie.
2. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych, i może wstrzymać wykonanie polecenia do czasu jego potwierdzenia lub zmiany.
3. Procesor nie wykorzystuje powierzonych danych do własnych celów, w tym do marketingu ani do trenowania modeli sztucznej inteligencji, i nie włącza u dalszych podmiotów przetwarzających opcji wykorzystania danych do trenowania.

§ 4. Poufność

Procesor dopuszcza do danych wyłącznie osoby upoważnione, które zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy (art. 28 ust. 3 lit. b RODO). Obowiązek trwa także po zakończeniu współpracy z tymi osobami.

§ 5. Bezpieczeństwo przetwarzania

1. Procesor stosuje środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający ryzyku (art. 32 RODO), opisane w Załączniku C.
2. Procesor może zmieniać środki, o ile nie obniża to poziomu bezpieczeństwa.

§ 6. Sztuczna inteligencja

1. Procesor może wykorzystywać modele AI dostawców zewnętrznych wyłącznie w zakresie wskazanym w Załączniku A i z zachowaniem następujących zasad:
   1. dane osobowe są przekazywane do modelu tylko wtedy, gdy jest to niezbędne do wykonania zadania; w pozostałych przypadkach przekazywane są treści publiczne, dane zanonimizowane lub zagregowane;
   2. dane osobowe mogą być przekazywane wyłącznie dalszym podmiotom przetwarzającym z Załącznika B oznaczonym jako dopuszczone do danych osobowych — mającym siedzibę i przetwarzającym dane w EOG albo objętym mechanizmem z rozdziału V RODO, których warunki wykluczają wykorzystanie danych do trenowania modeli;
   3. dane osobowe nie są przekazywane dostawcom z siedzibą lub przetwarzaniem w Chińskiej Republice Ludowej ani w innych państwach spoza UE / USA — dotyczy to także modeli chińskich twórców udostępnianych przez pośredników (np. OpenRouter);
   4. nie używa się bezpłatnych lub konsumenckich wersji usług AI, których warunki dopuszczają wykorzystanie danych do ulepszania usług (w szczególności darmowego poziomu Google AI Studio i darmowych wariantów modeli w OpenRouter) — przy danych Administratora nie są one używane w ogóle, także bez danych osobowych;
   5. zapytania z danymi osobowymi kierowane przez OpenRouter są wysyłane z ustawieniami data_collection: "deny" i listą dozwolonych dostawców (only) wskazaną w Załączniku B — OpenRouter nie przekazuje ich innym dostawcom; pozostałe zapytania z danymi Administratora — z data_collection: "deny".
2. Środki techniczne stosowane przez Procesora przed każdym zapytaniem do modelu (bramka LLM):
   1. automatyczne wykrywanie danych osobowych (adres e-mail, numer telefonu, PESEL, NIP osoby prowadzącej działalność lub podmiotu o nieustalonej formie, numer rachunku, adres z kodem pocztowym, imię i nazwisko) oraz oznaczenie zadań, które z natury dotyczą osób (kontakt z osobami, wiadomości, czat, wpisy z nasłuchu), jako zawierających dane osobowe;
   2. filtr: zadanie z danymi osobowymi trafia wyłącznie do modeli dopuszczonych (Załącznik B, „dane osobowe: tak”); gdy żaden nie jest dostępny, zadanie nie zostaje wykonane;
   3. pseudonimizacja: w zadaniach niewymagających treści danych osobowych (analiza strony, ocena trafności wpisu, raport, tekst) wykryte dane są zastępowane znacznikami (np. [EMAIL_1]) przed przekazaniem modelowi spoza Załącznika B „dane osobowe: tak”, a oryginalne wartości są wstawiane z powrotem wyłącznie w infrastrukturze Procesora; zadania z natury dotyczące osób nie są pseudonimizowane, tylko kierowane do modeli dopuszczonych;
   4. rejestr wywołań modeli: czy zapytanie zawierało dane osobowe (rodzaj, bez treści), czy zastosowano filtr lub pseudonimizację.
3. Na żądanie Administratora Procesor wskazuje, którzy dostawcy AI przetwarzali dane w danym okresie.
4. Dostawcom z siedzibą lub przetwarzaniem w Chińskiej Republice Ludowej Procesor może przekazywać, wyłącznie przez interfejsy API, treści publiczne oraz materiały Administratora pozbawione danych osobowych, w tym po pseudonimizacji (ust. 2 pkt 3). Administrator może tego zakazać w Załączniku A.

§ 7. Dalsze powierzenie

1. Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w Załączniku B (art. 28 ust. 2 RODO).
2. O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego Procesor informuje Administratora w formie dokumentowej co najmniej 14 dni przed przekazaniem mu danych, podając nazwę podmiotu, usługę, lokalizację, zakres danych i mechanizm transferu.
3. Administrator może w tym terminie zgłosić uzasadniony sprzeciw z przyczyn dotyczących ochrony danych. Do czasu rozstrzygnięcia dane nie są przekazywane temu podmiotowi. Strony w ciągu 14 dni poszukują rozwiązania; jeżeli nie jest możliwe, każda Strona może wypowiedzieć Umowę główną w zakresie modułu, którego dotyczy zmiana, ze skutkiem natychmiastowym, z rozliczeniem wykonanych usług i zwrotem niewykorzystanej przedpłaty, bez dodatkowych opłat.
4. Procesor nakłada na dalszy podmiot przetwarzający, w drodze umowy, te same obowiązki ochrony danych, co wynikające z niniejszej umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków (art. 28 ust. 4 RODO). Procesor odpowiada wobec Administratora za wypełnienie obowiązków przez dalszy podmiot przetwarzający.

§ 8. Przekazywanie danych poza EOG

Przekazanie danych do państwa trzeciego następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w przypadku USA — EU–US Data Privacy Framework wobec podmiotu certyfikowanego) albo standardowych klauzul umownych (decyzja (UE) 2021/914) wraz z oceną transferu i środkami dodatkowymi, gdy są potrzebne. Mechanizm dla każdego podmiotu wskazuje Załącznik B.

§ 9. Pomoc Administratorowi

1. Procesor, uwzględniając charakter przetwarzania, pomaga Administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO). Żądanie skierowane bezpośrednio do Procesora przekazuje Administratorowi nie później niż w ciągu 2 dni roboczych, nie odpowiadając na nie samodzielnie bez polecenia.
2. Procesor pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), uwzględniając dostępne mu informacje. Pomoc niezbędna w związku z naruszeniem ochrony danych nie jest uzależniona od dodatkowej opłaty. Pomoc wykraczająca poza zwykły zakres (np. przygotowanie oceny skutków na zlecenie Administratora) może być wyceniona po uprzednim uzgodnieniu.

§ 10. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, na adres kontaktu alarmowego z Załącznika A. Nie czeka na zakończenie wyjaśniania; brakujące informacje przekazuje sukcesywnie.
2. Zgłoszenie zawiera w miarę możliwości: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób i rekordów, możliwe konsekwencje, zastosowane i proponowane środki zaradcze oraz dane osoby kontaktowej (art. 33 ust. 3 RODO).
3. Procesor dokumentuje naruszenia, zabezpiecza dowody i współpracuje z Administratorem. Zgłoszenie naruszenia przez Procesora nie stanowi uznania odpowiedzialności.

§ 11. Usunięcie lub zwrot danych

1. Po zakończeniu świadczenia usług Procesor, zależnie od decyzji Administratora przekazanej w ciągu 14 dni od zakończenia Umowy głównej, zwraca dane w dostępnym formacie albo usuwa je wraz z kopiami — w terminie 30 dni, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie. Brak decyzji Administratora po wezwaniu oznacza polecenie usunięcia.
2. Kopie zapasowe są usuwane w ramach cyklu retencji, nie później niż po 90 dniach; do tego czasu pozostają zabezpieczone i nie są używane. W razie odtworzenia kopii Procesor ponownie wykonuje usunięcie.
3. Procesor potwierdza usunięcie w formie dokumentowej.

§ 12. Informacje i audyty

1. Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwia przeprowadzanie audytów, w tym inspekcji, przez Administratora lub upoważnionego audytora związanego obowiązkiem poufności (art. 28 ust. 3 lit. h RODO).
2. Audyt zapowiada się z wyprzedzeniem co najmniej 7 dni roboczych, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych lub żąda tego organ nadzorczy. Audyt przeprowadza się w godzinach pracy, w sposób niezakłócający działalności Procesora i chroniący dane innych klientów oraz tajemnicę przedsiębiorstwa Procesora.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie umowy przez Procesora.

§ 13. Odpowiedzialność

1. Każda Strona odpowiada za szkody wyrządzone osobom, których dane dotyczą, na zasadach art. 82 RODO. Ograniczenia odpowiedzialności z Umowy głównej nie ograniczają praw osób, których dane dotyczą, ani uprawnień organu nadzorczego.
2. W stosunkach między Stronami do odpowiedzialności stosuje się postanowienia Umowy głównej, w tym wyłączenia i limit odpowiedzialności, z zastrzeżeniem ust. 1 i § 2 ust. 4. Procesor odpowiada wobec Administratora wyłącznie za szkody wynikające z niedopełnienia obowiązków nałożonych na podmiot przetwarzający przez RODO lub z działania poza zgodnymi z prawem poleceniami Administratora albo wbrew nim (art. 82 ust. 2 RODO).
3. Administracyjne kary pieniężne ponosi Strona, na którą zostały nałożone; nie podlegają one przerzuceniu na drugą Stronę, chyba że wynikają z jej zawinionego naruszenia niniejszej umowy.

§ 14. Postanowienia końcowe

1. W sprawach ochrony danych osobowych niniejsza umowa ma pierwszeństwo przed Umową główną.
2. Zmiana Załączników A–C następuje w formie dokumentowej; zmiana Załącznika B — w trybie § 7. Zmiana Załącznika C nie wymaga zgody Administratora, jeżeli nie obniża poziomu bezpieczeństwa (§ 5 ust. 2).
3. W sprawach nieuregulowanych stosuje się RODO, prawo polskie i Umowę główną.

ADMINISTRATOR — data i podpis: ______________________ PROCESOR — data i podpis: ______________________

Załącznik A — Opis przetwarzania

(zaznaczyć moduły objęte Umową główną; niezaznaczone są wyłączone z powierzenia)

• Osoby uprawnione do wydawania poleceń po stronie Administratora: [●]
• Kontakt alarmowy Administratora (e-mail, telefon): [●]
• Kontakt alarmowy Procesora: biuro@samael.pl, +48 690 500 402
• Przekazywanie dostawcom z Chin materiałów Administratora pozbawionych danych osobowych (§ 6 ust. 4): ☐ dozwolone ☐ niedozwolone (w braku zaznaczenia — dozwolone)
• Przekazywanie danych osobowych do modeli AI: ☐ niedozwolone ☐ dozwolone wyłącznie dostawcom z Załącznika B oznaczonym „dane osobowe: tak”

Załącznik B — Dalsze podmioty przetwarzające

Załącznik C — Środki techniczne i organizacyjne

1. Szyfrowanie transmisji TLS (serwis, API, poczta z przypiętym certyfikatem).
2. Szyfrowanie dostępów do systemów Administratora, kluczy API i sekretów MFA algorytmem AES-256-GCM; dostępy nie są przekazywane do modeli AI. 2a. Bramka LLM z filtrem danych osobowych (UE / USA), pseudonimizacją i ustawieniami OpenRouter data_collection: "deny" / only — § 6 ust. 1–2.
3. Hasła przechowywane wyłącznie jako skróty scrypt z solą; MFA (TOTP) dla kont administracyjnych; limity prób logowania; unieważnianie sesji.
4. Skróty adresów IP (SHA-256 z „pieprzem”) zamiast pełnych adresów w dziennikach; nieusuwalny dziennik zdarzeń bezpieczeństwa; rejestr zmian (Change Log) każdej publikacji.
5. Separacja danych klientów (organizacje / tenanci), bazy danych dostępne wyłącznie w wewnętrznej sieci kontenerów, kontenery bez uprawnień administratora systemu, odczyt danych przez systemy wewnętrzne z rolami tylko do odczytu.
6. Codzienne kopie zapasowe baz danych przechowywane przez 14 dni na serwerze w Polsce; dodatkowa kopia poza serwerem produkcyjnym jest w przygotowaniu — Procesor poinformuje Administratora o jej uruchomieniu.
7. Akceptacja człowieka przed publikacją treści i przed każdą wysyłką wiadomości do osób trzecich.
8. Upoważnienia i zobowiązania do poufności; przegląd uprawnień przy zmianie ról.
9. Procedura obsługi naruszeń z 24-godzinnym terminem zawiadomienia Administratora.