Umowa powierzenia przetwarzania danych

Stan na: wrzesień 2026

pomiędzy klientem („administratorem") a Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlin („podmiotem przetwarzającym").

§ 1 Przedmiot i czas trwania

(1) Podmiot przetwarzający świadczy na rzecz administratora opisane w umowie o korzystanie usługi telefonicznego odbierania połączeń opartego na AI. Przedmiotem niniejszej Umowy powierzenia jest dokonywane przy tym przetwarzanie danych osobowych na zlecenie.

(2) Czas trwania niniejszej Umowy powierzenia odpowiada czasowi trwania umowy o korzystanie. Kończy się ona wraz z jej zakończeniem, najpóźniej jednak z całkowitym usunięciem lub zwrotem danych zgodnie z § 8.

§ 2 Rodzaj i cel przetwarzania

Przetwarzanie obejmuje telefoniczne odbieranie połączeń przychodzących, transkrypcję rozmów w czasie rzeczywistym, maszynowe podsumowywanie i strukturalną ewidencję zgłoszeń (w szczególności próśb o oddzwonienie i życzeń terminów) oraz powiadamianie administratora e-mailem i udostępnianie danych w panelu. Celem jest osiągalność administratora oraz uporządkowana obsługa jego połączeń.

§ 3 Kategorie danych i krąg osób, których dane dotyczą

Kategorie danych:

• Dane podstawowe dzwoniących, o ile podane w rozmowie (np. imię i nazwisko, firma)
• Numery telefonów i dane o połączeniach (czas, długość)
• Treści rozmów w formie tekstowej (transkrypcja, podsumowanie, ewidencjonowane zgłoszenia, takie jak numer do oddzwonienia i życzenie terminu)

Krąg osób, których dane dotyczą: dzwoniący do administratora (w szczególności klienci, potencjalni klienci, dostawcy i inne osoby kontaktowe).

§ 4 Obowiązki podmiotu przetwarzającego

Podmiot przetwarzający

1. przetwarza dane wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO); umowa o korzystanie oraz konfiguracja asystenta przez administratora uznawane są za polecenia. Jeżeli uzna polecenie za niezgodne z prawem, niezwłocznie informuje administratora;
2. zapewnia, że osoby uprawnione do przetwarzania zobowiązały się do zachowania poufności (art. 28 ust. 3 lit. b RODO);
3. stosuje wszelkie wymagane zgodnie z art. 32 RODO środki techniczne i organizacyjne (załącznik 1);
4. wspiera administratora odpowiednimi środkami w odpowiadaniu na żądania osób, których dane dotyczą (art. 12–23 RODO) oraz w obowiązkach wynikających z art. 32–36 RODO, w szczególności przy zgłaszaniu naruszeń ochrony danych osobowych; takie naruszenia zgłasza administratorowi niezwłocznie;
5. usuwa lub zwraca dane zgodnie z § 8;
6. udostępnia administratorowi wszelkie informacje niezbędne do wykazania przestrzegania art. 28 RODO (§ 7).

§ 5 Podprocesorzy

(1) Administrator zatwierdza podprocesorów wymienionych w załączniku 2. Podmiot przetwarzający zawarł z każdym podprocesorem umowę nakładającą na niego te same obowiązki w zakresie ochrony danych, jakie określono w niniejszej Umowie powierzenia.

(2) O planowanym zaangażowaniu lub zastąpieniu podprocesorów podmiot przetwarzający informuje administratora w formie tekstowej. Administrator może wnieść sprzeciw wobec zmiany w terminie 14 dni z ważnego powodu związanego z ochroną danych. Jeżeli polubowne rozwiązanie nie jest możliwe, obu stronom przysługuje szczególne prawo wypowiedzenia.

§ 6 Przekazywanie do państw trzecich

Przetwarzanie w państwach trzecich odbywa się wyłącznie na warunkach określonych w art. 44 i nast. RODO, w szczególności na podstawie standardowych klauzul umownych UE (SCC) z podprocesorami wymienionymi w załączniku 2, uzupełnionych o dodatkowe środki ochronne (w szczególności szyfrowanie transmisji, pseudonimizacja tam, gdzie to możliwe).

§ 7 Prawa kontrolne administratora

(1) Administrator jest uprawniony do kontrolowania przestrzegania niniejszej Umowy powierzenia. Podmiot przetwarzający umożliwia i wspiera kontrole — w tym inspekcje — przeprowadzane przez administratora lub wyznaczonego przez niego audytora.

(2) Kontrole odbywają się po odpowiednim uprzedzeniu w zwykłych godzinach pracy. Podmiot przetwarzający może w pierwszej kolejności przedstawić dowody w formie odpowiedniej dokumentacji, atestów lub certyfikatów.

§ 8 Usuwanie i zwrot

(1) Podmiot przetwarzający usuwa pojedyncze zbiory danych w każdym czasie na polecenie administratora.

(2) Po zakończeniu umowy o korzystanie podmiot przetwarzający, według wyboru administratora, usuwa wszystkie dane osobowe albo zwraca je w powszechnie stosowanym formacie i usuwa istniejące kopie, o ile nie sprzeciwiają się temu ustawowe obowiązki przechowywania.

§ 9 Postanowienia końcowe

(1) W razie sprzeczności pomiędzy niniejszą Umową powierzenia a umową o korzystanie w kwestiach ochrony danych pierwszeństwo mają postanowienia niniejszej Umowy powierzenia.

(2) Obowiązuje prawo niemieckie. Zmiany i uzupełnienia wymagają formy tekstowej.

Załącznik 1: Środki techniczne i organizacyjne

• Szyfrowanie: wszelkie transmisje danych odbywają się z szyfrowaniem transportu (TLS); przechowywane dane utrzymywane są w szyfrowanych systemach dostawców infrastruktury.
• Kontrola dostępu: dostęp do danych połączeń mają wyłącznie dany klient (panel z ochroną dostępu, ciasteczka sesyjne HttpOnly) oraz upoważnieni pracownicy podmiotu przetwarzającego zgodnie z zasadą minimalnej wiedzy; dostępy administracyjne są dodatkowo zabezpieczone.
• Wybór lokalizacji: przetwarzanie i przechowywanie odbywają się w centrach danych w UE, tam gdzie umożliwiają to wykorzystywani dostawcy.
• Przechowywanie nagrań audio z polityką usuwania: rozmowy są po uprzedniej zapowiedzi nagrywane jako audio i transkrybowane; nagranie i transkrypcja są przechowywane i usuwane zgodnie z uzgodnioną polityką usuwania.
• Rejestrowanie zdarzeń: zdarzenia systemowe i dostępy administracyjne są rejestrowane i regularnie analizowane.
• Separacja: dane klientów są rozdzielone logicznie (przypisanie wszystkich danych połączeń do danego klienta).
• Odtwarzalność: regularne kopie zapasowe bazy danych oraz udokumentowane procedury odtwarzania.

Załącznik 2: Zatwierdzeni podprocesorzy