Umowa powierzenia przetwarzania (DPA)

Niniejsza Umowa powierzenia przetwarzania (DPA) reguluje przetwarzanie danych osobowych przez Podmiot przetwarzający w imieniu Administratora w związku z Usługą opisaną w Umowie. Pojęcia pisane wielką literą, niezdefiniowane w niniejszym dokumencie, mają znaczenie nadane im w Umowie.

• „Obowiązujące przepisy o ochronie danych": RODO, brytyjskie UK GDPR, szwajcarska Federalna ustawa o ochronie danych (FADP) oraz wszelkie inne przepisy o ochronie danych mające zastosowanie do przetwarzania.
• „Administrator", „Podmiot przetwarzający", „Podprocesor", „Osoba, której dane dotyczą", „Dane osobowe", „Naruszenie ochrony danych osobowych", „Przetwarzanie": zgodnie z definicjami w art. 4 RODO.
• „Dane osobowe Klienta": dane osobowe przetwarzane przez Podmiot przetwarzający w imieniu Administratora, opisane w Załączniku 1.
• „SCC" (Standardowe Klauzule Umowne): standardowe klauzule umowne zatwierdzone decyzją wykonawczą Komisji (UE) 2021/914, z późniejszymi zmianami.
• „UK Addendum" (Załącznik UK do SCC): brytyjski Międzynarodowy Załącznik do SCC dotyczący transferu danych, wydany przez ICO.
• „Transfer ograniczony": przekazanie danych osobowych z UE/EOG, Wielkiej Brytanii lub Szwajcarii do kraju nieuznanego za zapewniający odpowiedni stopień ochrony przez Komisję Europejską, brytyjski ICO lub szwajcarski FDPIC.
• „Lista Podprocesorów": lista zatwierdzonych podprocesorów prowadzona pod adresem /sub-processors.
• „TOM" (Środki techniczne i organizacyjne): środki techniczne i organizacyjne opisane w Załączniku 4.

Strony przyjmują do wiadomości i zgadzają się, że w odniesieniu do przetwarzania danych osobowych Klienta:

• Administrator jest administratorem danych w rozumieniu art. 4 pkt 7 RODO;
• Podmiot przetwarzający jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO;
• Każda ze Stron odpowiada za zgodność z Obowiązującymi przepisami o ochronie danych w zakresie właściwym dla swojej roli.

W celu uniknięcia wątpliwości: Klient jest administratorem danych osobowych Klientów końcowych przetwarzanych podczas Połączeń. Podmiot przetwarzający jest również odrębnym, niezależnym administratorem w odniesieniu do ograniczonych kategorii danych opisanych w Polityce prywatności (np. dane rozliczeniowe i konto Klienta); to przetwarzanie na poziomie administratora znajduje się poza zakresem niniejszej DPA.

Przedmiot, czas trwania, charakter, cel, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, opisano w Załączniku 1. Podmiot przetwarzający będzie przetwarzał dane osobowe Klienta wyłącznie:

1. na udokumentowane polecenie Administratora, w tym w odniesieniu do Transferów ograniczonych, chyba że obowiązek inny wynika z prawa UE lub państwa członkowskiego (w takim przypadku Podmiot przetwarzający poinformuje Administratora o tym wymogu prawnym przed przetwarzaniem, chyba że przepisy zakazują takiej informacji z ważnych względów interesu publicznego);
2. w celu świadczenia Usługi, wykonywania Umowy oraz przestrzegania udokumentowanych poleceń Administratora;
3. zgodnie z TOM określonymi w Załączniku 4.

Umowa, niniejsza DPA, Lista Podprocesorów oraz konfiguracja Usługi przez Administratora (np. zatwierdzenie skryptu, włączenie/wyłączenie nagrywania, okres przechowywania) stanowią pełne udokumentowane polecenia Administratora. Wszelkie dodatkowe polecenia muszą zostać uzgodnione na piśmie.

Jeżeli Podmiot przetwarzający w swojej uzasadnionej opinii uzna, że polecenie narusza Obowiązujące przepisy o ochronie danych, niezwłocznie poinformuje o tym Administratora i może wstrzymać przetwarzanie do czasu rozstrzygnięcia sprawy.

Kategorie danych osobowych i osób, których dane dotyczą, opisano w Załączniku 1. Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO nie są wymagane przez Usługę z założenia. Warstwa redakcji danych PII Podmiotu przetwarzającego wykrywa i zastępuje wrażliwe identyfikatory (np. numery kart, krajowe numery identyfikacyjne, adresy e-mail) w transkrypcjach przed zapisem do pamięci długoterminowej. Jeżeli konfiguracja Administratora mimo to powoduje przetwarzanie danych szczególnych kategorii, Administrator ponosi wyłączną odpowiedzialność za podstawę prawną zgodnie z art. 9 RODO i musi powiadomić Podmiot przetwarzający na piśmie.

4.1 Dźwięk głosowy jest przetwarzany wyłącznie do celów komunikacyjnych — nie do identyfikacji biometrycznej

Usługa obejmuje przetwarzanie dźwięku głosowego (surowych plików audio i transkrypcji) w celu prowadzenia, transkrybowania i podsumowywania rozmów głosowych w imieniu Administratora. Podmiot przetwarzający nie stosuje i nie będzie stosował żadnego technicznego przetwarzania ani analizy dźwięku głosowego w celu jednoznacznej identyfikacji osoby fizycznej w rozumieniu art. 4 pkt 14 RODO (dane biometryczne) ani w żadnym innym celu, który skutkowałby przetwarzaniem danych biometrycznych w rozumieniu art. 9 ust. 1 RODO. Przetwarzanie danych głosowych jest ograniczone do komunikacji, transkrypcji mowy na tekst, klasyfikacji intencji, wskaźników sentymentu (gdy Administrator je włączy) oraz innych analiz opartych na treści, niezbędnych do świadczenia Usługi. Generowanie odcisków głosu, rozpoznawanie mówcy, uwierzytelnianie głosowe i podobne techniki identyfikacji nie są funkcjami Usługi. W związku z tym dźwięk głosowy przetwarzany przez Usługę nie stanowi sam w sobie ani w konfiguracji określonej w niniejszej DPA danych szczególnej kategorii zgodnie z art. 9 RODO.

Jeżeli Administrator zamierza wdrożyć jakąkolwiek funkcję, konfigurację lub integrację, która spowodowałaby, że Usługa będzie przetwarzała dźwięk głosowy w celu jednoznacznej identyfikacji osoby fizycznej, Administrator musi (a) uzyskać wyraźną zgodę od każdej osoby, której dane dotyczą, zgodnie z art. 9 ust. 2 lit. a RODO lub oprzeć się na innej podstawie prawnej z art. 9 ust. 2, (b) wydać Podmiotowi przetwarzającemu uprzednie polecenie na piśmie oraz (c) wdrożyć wszelkie dodatkowe zabezpieczenia techniczne i organizacyjne, których Podmiot przetwarzający może rozsądnie wymagać.

Podmiot przetwarzający będzie:

1. Poufność: zapewni, że personel uprawniony do przetwarzania danych osobowych Klienta jest zobowiązany do zachowania poufności lub podlega odpowiedniemu ustawowemu obowiązkowi zachowania poufności;
2. Bezpieczeństwo: wdroży i będzie utrzymywał TOM określone w Załączniku 4, w tym, zgodnie z art. 32 RODO, szyfrowanie danych osobowych, ciągłą poufność, integralność, dostępność i odporność systemów przetwarzania, zdolność do szybkiego przywrócenia dostępności i dostępu po incydencie oraz proces regularnego testowania skuteczności TOM;
3. Dalsze powierzanie: będzie korzystał z Podprocesorów wyłącznie zgodnie z punktem 6;
4. Pomoc w zakresie żądań osób, których dane dotyczą: biorąc pod uwagę charakter przetwarzania, wspomoże Administratora odpowiednimi środkami technicznymi i organizacyjnymi, w miarę możliwości, w wypełnieniu obowiązku Administratora odpowiedzi na żądania dotyczące wykonywania praw osób, których dane dotyczą, na podstawie art. 12–22 RODO;
5. Pomoc w zakresie bezpieczeństwa, naruszeń, DPIA i konsultacji uprzednich: wspomoże Administratora w zapewnieniu zgodności z art. 32–36 RODO, biorąc pod uwagę charakter przetwarzania i informacje dostępne Podmiotowi przetwarzającemu;
6. Zwrot lub usunięcie: według wyboru Administratora, usunie lub zwróci Administratorowi wszystkie dane osobowe Klienta po zakończeniu świadczenia usług, jak opisano w punkcie 11;
7. Audyt: udostępni Administratorowi wszystkie informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwi i przyczyni się do audytów, jak opisano w punkcie 8.

6.1 Ogólne upoważnienie

Administrator udziela Podmiotowi przetwarzającemu ogólnego upoważnienia do korzystania z Podprocesorów do przetwarzania danych osobowych Klienta, z zastrzeżeniem zgodności z niniejszym punktem 6.

6.2 Aktualna lista

Aktualna lista Podprocesorów jest publikowana pod adresem /sub-processors i odzwierciedlona w Załączniku 2. Administrator przyjmuje do wiadomości i zatwierdza Podprocesorów wymienionych tam na Datę wejścia w życie.

6.3 Powiadomienie o zmianach

Podmiot przetwarzający powiadomi Administratora z wyprzedzeniem co najmniej 30 dni o dodaniu, zastąpieniu lub usunięciu jakiegokolwiek Podprocesora poprzez aktualizację Listy Podprocesorów oraz albo (i) wysłanie e-maila do podstawowego kontaktu Klienta zarejestrowanego w aktach, albo (ii) zamieszczenie powiadomienia w aplikacji. Podmiot przetwarzający prowadzi kanał subskrypcji opt-in dla Klientów, którzy chcą otrzymywać zmiany Podprocesorów pocztą elektroniczną niezależnie od istotności.

6.4 Prawo sprzeciwu

Administrator może sprzeciwić się proponowanej zmianie Podprocesora w oparciu o udokumentowane podstawy ochrony danych w ciągu 30 dni od otrzymania powiadomienia. Strony omówią sprawę w dobrej wierze. Jeżeli nie rozwiążą sprzeciwu w ciągu kolejnych 30 dni, Administrator może, jako jedyny i wyłączny środek zaradczy, wypowiedzieć dotkniętą część Usługi z powodu istotnego naruszenia zgodnie z Umową i otrzymać proporcjonalny zwrot wszelkich opłat zapłaconych z góry, przypisanych do nieużywanego okresu.

6.5 Umowy z Podprocesorami

Podmiot przetwarzający zawrze pisemną umowę z każdym Podprocesorem, która nakłada obowiązki w zakresie ochrony danych nie mniej ochronne niż te zawarte w niniejszej DPA, w tym obowiązki dotyczące bezpieczeństwa, poufności, dalszego powierzania, zwrotu/usunięcia, audytu oraz pomocy w zakresie praw osób, których dane dotyczą. Podmiot przetwarzający pozostaje odpowiedzialny wobec Administratora za wykonanie obowiązków każdego Podprocesora w zakresie ochrony danych, jak gdyby Podmiot przetwarzający sam wykonywał te obowiązki.

6.6 Łańcuch zero-retention

Podprocesorzy działający w warstwach orchestracji AI, LLM i TTS działają na podstawie umownych ograniczeń zero-retention: nie przechowują, nie rejestrują ani nie wykorzystują danych osobowych Klienta po zakończeniu każdego żądania poza minimum niezbędnym do dostarczenia żądanej odpowiedzi i nie używają danych osobowych Klienta do trenowania ani dostrajania jakiegokolwiek modelu.

Podmiot przetwarzający będzie przetwarzał dane osobowe Klienta w państwie trzecim wyłącznie wtedy, gdy wdrożył odpowiednie zabezpieczenia zgodnie z art. 44–49 RODO. W przypadku gdy Podmiot przetwarzający lub jakikolwiek Podprocesor przetwarza dane osobowe Klienta w kraju, który nie jest objęty decyzją Komisji o odpowiednim stopniu ochrony (lub, dla transferów do Wielkiej Brytanii, regulacją ICO o odpowiednim stopniu ochrony; dla transferów do Szwajcarii, decyzją FDPIC o odpowiednim stopniu ochrony), zastosowanie mają SCC (oraz, w stosownych przypadkach, UK Addendum i adaptacje szwajcarskie), jak opisano w Załączniku 3.

Strony zgadzają się, że:

• Moduł 2 SCC (administrator–podmiot przetwarzający) ma zastosowanie pomiędzy Administratorem (eksporterem danych) a Podmiotem przetwarzającym (importerem danych) w odniesieniu do Transferów ograniczonych od Administratora do Podmiotu przetwarzającego;
• Moduł 3 SCC (podmiot przetwarzający–podprocesor) ma zastosowanie pomiędzy Podmiotem przetwarzającym (eksporterem danych) a każdym Podprocesorem (importerem danych) w odniesieniu do Transferów ograniczonych dalej w łańcuchu;
• Załącznik 3 określa Załączniki I, II i III do SCC;
• Strony akceptują SCC bez modyfikacji.

Podmiot przetwarzający przeprowadził Ocenę skutków transferu („TIA") dla każdego Transferu ograniczonego objętego niniejszą DPA, biorąc pod uwagę przepisy i praktyki kraju przeznaczenia oraz uzupełniające środki w Załączniku 4. Podsumowanie TIA jest prowadzone jako wewnętrzny rejestr zgodności i stanowi podstawę projektowania zabezpieczeń przez Podmiot przetwarzający.

8.1 Dokumentacja

Podmiot przetwarzający dostarczy Administratorowi wszystkie informacje niezbędne do wykazania zgodności z art. 28 RODO, w tym TOM, Listę Podprocesorów, podsumowanie procedury reagowania na naruszenia oraz najnowszy raport bezpieczeństwa strony trzeciej (jeśli jest dostępny).

8.2 Audyt

Jeżeli dokumentacja w punkcie 8.1 jest niewystarczająca, Administrator (lub niezależny audytor wyznaczony przez Administratora i racjonalnie akceptowalny dla Podmiotu przetwarzającego) może zaudytować zgodność Podmiotu przetwarzającego raz na dwanaście miesięcy (lub częściej w następstwie naruszenia ochrony danych dotyczącego Administratora lub w razie wymogu właściwego organu nadzorczego), z zastrzeżeniem następujących warunków:

• z co najmniej 30-dniowym uprzednim pisemnym powiadomieniem;
• w normalnych godzinach pracy i bez zakłócania działalności Podmiotu przetwarzającego;
• na podstawie umowy o zachowaniu poufności racjonalnie akceptowalnej dla Podmiotu przetwarzającego;
• ograniczony do informacji i personelu istotnych dla zgodności Podmiotu przetwarzającego z niniejszą DPA i SCC;
• na koszt Administratora (Podmiot przetwarzający obciąży rozsądnymi kosztami time-and-materials za godziny personelu wymagane do wsparcia audytu wykraczające poza domyślny limit 1 dnia);
• z wyłączeniem dostępu do danych innych klientów, informacji handlowo wrażliwych Podmiotu przetwarzającego niezwiązanych ze zgodnością oraz wszelkich systemów, które ujawniłyby informacje poufne Podprocesorów.

W przypadku gdy Podmiot przetwarzający uzyska raport SOC 2 Type II lub równoważny certyfikat strony trzeciej, Administrator zgadza się, że obowiązek audytu może zostać spełniony poprzez odwołanie do tego certyfikatu w ramach kanałów dokumentacji opisanych w punkcie 8.1, z wyjątkiem przypadków, gdy organ nadzorczy wymaga inaczej.

9.1 Powiadomienie

Podmiot przetwarzający powiadomi Administratora bez zbędnej zwłoki, a w każdym przypadku w ciągu 24 godzin od powzięcia wiedzy, o jakimkolwiek naruszeniu ochrony danych osobowych dotyczącym danych osobowych Klienta. Pierwotne powiadomienie będzie zawierało wówczas dostępne informacje; kolejne aktualizacje będą następowały w miarę uzyskiwania kolejnych informacji. Ostateczne szczegóły zostaną dostarczone w ciągu 72 godzin, jeśli będzie to wykonalne.

9.2 Przekazywane informacje

Powiadomienie obejmie, w miarę dostępnych informacji: charakter naruszenia (w tym, jeśli to możliwe, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz rekordów danych osobowych); prawdopodobne konsekwencje; środki podjęte lub proponowane w celu zaadresowania naruszenia i złagodzenia możliwych negatywnych skutków; oraz nazwę i dane kontaktowe punktu kontaktowego Podmiotu przetwarzającego.

9.3 Brak zgłoszenia do organu nadzorczego przez Podmiot przetwarzający

Podmiot przetwarzający nie powiadomi organu nadzorczego w imieniu Administratora ani nie ujawni naruszenia publicznie, dopóki Administrator nie miał rozsądnej możliwości skoordynowania komunikacji, z wyjątkiem przypadków wymaganych prawem.

Podmiot przetwarzający, biorąc pod uwagę charakter przetwarzania, wspomoże Administratora odpowiednimi środkami technicznymi i organizacyjnymi, w miarę możliwości, w wypełnieniu obowiązku Administratora odpowiedzi na żądania osób, których dane dotyczą, dotyczące wykonywania ich praw na podstawie art. 12–22 RODO. W przypadku gdy Podmiot przetwarzający otrzyma żądanie bezpośrednio od osoby, której dane dotyczą, dotyczące danych osobowych Klienta, Podmiot przetwarzający (a) nie odpowie merytorycznie bez upoważnienia Administratora; (b) przekaże żądanie Administratorowi bez zbędnej zwłoki; oraz (c) potwierdzi otrzymanie osobie, której dane dotyczą, wskazując, że odpowiedzialnym podmiotem jest Administrator.

W przypadku rozwiązania lub wygaśnięcia Umowy Podmiot przetwarzający, według wyboru Administratora:

• Zwróci dane osobowe Klienta Administratorowi w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (CSV / JSON / WAV dla nagrań) w ciągu 30 dni; lub
• Usunie dane osobowe Klienta, z zastrzeżeniem prawnych obowiązków przechowywania mających zastosowanie do Operatora i jego Merchant of Record (np. przepisy o rachunkowości lub podatkowe wymagające przechowywania metadanych faktur przez kilka lat po zakończeniu roku obrachunkowego).

Jeżeli Administrator nie określi wyboru w ciągu 30 dni od rozwiązania, Podmiot przetwarzający zapewni ostatni 30-dniowy okres karencji, w którym Administrator może dokonać eksportu, po czym Podmiot przetwarzający usunie lub zanonimizuje dane.

Kopie zapasowe zawierające szczątkowe dane osobowe Klienta są przechowywane w postaci zaszyfrowanej przez maksymalnie 90 dni w celach disaster recovery i są automatycznie włączane do cyklu usuwania.

12.1 Limit odpowiedzialności wynika z Umowy

12.2 Bezpośrednie roszczenia osób, których dane dotyczą

Niezależnie od punktu 12.1, w przypadku gdy osoba, której dane dotyczą, posiada prawo beneficjenta-osoby trzeciej na podstawie SCC do wniesienia bezpośredniego roszczenia przeciwko Podmiotowi przetwarzającemu lub Podprocesorowi, ograniczenia odpowiedzialności w Umowie nie mają zastosowania do takiego roszczenia w zakresie zabronionym przez SCC.

12.3 Odszkodowanie za bezprawne polecenia

Administrator zwolni Podmiot przetwarzający z odpowiedzialności za jakiekolwiek roszczenie, zobowiązanie, karę lub koszt wynikające z (a) braku przekazania przez Administratora Podmiotowi przetwarzającemu udokumentowanych poleceń, które są wystarczające i zgodne z Obowiązującymi przepisami o ochronie danych; (b) przetwarzania danych osobowych przez Administratora z naruszeniem Obowiązujących przepisów o ochronie danych; lub (c) braku uzyskania zgód lub przekazania powiadomień wymaganych przez Obowiązujące przepisy o ochronie danych przez Administratora.

W przypadku konfliktu między Umową, niniejszą DPA i SCC:

1. SCC mają pierwszeństwo w odniesieniu do Transferów ograniczonych;
2. Niniejsza DPA ma pierwszeństwo nad Umową w sprawach ochrony danych;
3. Umowa reguluje wszystkie pozostałe sprawy.

Wszelkie pytania i powiadomienia związane z niniejszą DPA należy kierować na [email protected] (Podmiot przetwarzający) i/lub [email protected] (wyznaczony przedstawiciel Operatora w UE — pełna tożsamość w naszym Ogłoszeniu prawnym).