Umowa powierzenia przetwarzania danych osobowych (DPA)
Projekt do weryfikacji prawnej. Wersja z 3 sierpnia 2026. *To jest dokument o najwyższym ryzyku z całej trójki - nie publikować bez kancelarii.*
Zawarta pomiędzy Klientem korzystającym z usługi Rebutta ("Administrator") a LEMON AGENCY JAKUB ZWOLIŃSKI, al. Solidarności 68/121, 00-240 Warszawa, NIP 7712932784 (jednoosobowa działalność gospodarcza wpisana do CEIDG) ("Podmiot przetwarzający").
Umowa stanowi integralną część regulaminu i jest zawierana z chwilą jego akceptacji.
1. Przedmiot i cel
Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usługi Rebutta, w zakresie i na zasadach określonych poniżej.
2. Kategorie osób i danych
Osoby: rozmówcy Administratora (potencjalni i obecni klienci Administratora) oraz pracownicy i współpracownicy Administratora korzystający z usługi.
Dane rozmówców: imię i nazwisko, nazwa firmy, numer telefonu, adres e-mail, treść wypowiedzi utrwalona w transkrypcie rozmowy, informacje o statusie w CRM Administratora.
Dane użytkowników: imię i nazwisko, adres e-mail, dane logowania, historia aktywności.
Podmiot przetwarzający nie przechowuje nagrań audio rozmów.
3. Czas trwania
Przez czas obowiązywania umowy o świadczenie usługi oraz 60 dni po jej zakończeniu, przeznaczone na eksport danych przez Administratora.
4. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest korzystanie z funkcji usługi;
- zapewnia, że osoby mające dostęp do danych są zobowiązane do zachowania poufności;
- stosuje środki techniczne i organizacyjne opisane w punkcie 7;
- nie korzysta z podprocesorów innych niż wymienieni w punkcie 6 bez uprzedniego poinformowania Administratora i umożliwienia mu sprzeciwu;
- pomaga Administratorowi w realizacji żądań osób, których dane dotyczą;
- zgłasza Administratorowi naruszenie ochrony danych **bez zbędnej zwłoki, nie później niż w ciągu 48 godzin** od jego stwierdzenia;
- po zakończeniu umowy usuwa dane albo zwraca je Administratorowi, zgodnie z jego decyzją;
- udostępnia informacje niezbędne do wykazania zgodności i umożliwia audyt, nie częściej niż raz w roku kalendarzowym, po uprzednim uzgodnieniu terminu.
5. Obowiązki Administratora
Administrator:
- odpowiada za posiadanie podstawy prawnej przetwarzania danych rozmówców;
- odpowiada za poinformowanie rozmówców o transkrypcji rozmowy - Podmiot przetwarzający nie ma z nimi kontaktu i nie jest w stanie tego obowiązku wykonać;
- odpowiada za treść materiałów wgrywanych do systemu;
- odpowiada za nadawanie i odbieranie dostępów swoim pracownikom.
6. Podprocesorzy
| Podmiot | Zakres | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Railway Corp. | hosting aplikacji i bazy | UE / USA | standardowe klauzule umowne |
| OpenAI Ireland / OpenAI L.L.C. | zamiana mowy na tekst | USA | standardowe klauzule umowne |
| Anthropic PBC | generowanie podpowiedzi i podsumowań | USA | standardowe klauzule umowne |
| Stripe Payments Europe | płatności (dane rozliczeniowe) | UE / USA | standardowe klauzule umowne |
Aktualna lista jest publikowana pod adresem rebutta.app/podprocesorzy.html. O zmianie Administrator zostanie poinformowany z 30-dniowym wyprzedzeniem, na adres e-mail przypisany do konta. Sprzeciw uprawnia go do rozwiązania umowy bez zachowania okresu wypowiedzenia.
Podprocesorzy udostępniający modele językowe przetwarzają dane wyłącznie w celu wygenerowania odpowiedzi i nie wykorzystują ich do trenowania modeli - zgodnie z warunkami ich API.
7. Środki techniczne i organizacyjne
- szyfrowanie połączeń (TLS) w transporcie oraz szyfrowanie danych w spoczynku po stronie hostingu,
- rozdział danych między Klientami wymuszony w warstwie dostępu do bazy: zapytanie bez identyfikatora firmy nie zostaje wykonane,
- role i uprawnienia po stronie Klienta (właściciel, manager, handlowiec),
- hasła przechowywane wyłącznie jako skróty (bcrypt),
- brak przechowywania nagrań audio,
- automatyczne usuwanie transkryptów po okresie retencji ustawionym przez Administratora (domyślnie 90 dni),
- kopie zapasowe bazy danych po stronie dostawcy hostingu.
8. Odpowiedzialność
Odpowiedzialność Podmiotu przetwarzającego regulują postanowienia regulaminu, z zastrzeżeniem bezwzględnie obowiązujących przepisów o ochronie danych osobowych.