Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu · obowiązuje od 2026-10-31 · whisp.so

§ 1. Strony i przedmiot

1. Umowę zawierają Klient (Administrator) i Whisp sp. z o.o., ul. Polna 5, 00-625 Warszawa (Przetwarzający), z chwilą akceptacji Regulaminu.
2. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych Użytkowników w zakresie i celu potrzebnym do świadczenia usług z Regulaminu (art. 28 RODO).

§ 2. Zakres powierzenia

1. Kategorie osób: osoby piszące z Asystentem na stronie Administratora (klienci i potencjalni klienci Administratora).
2. Rodzaje danych: treść rozmów i przesłanych zapytań; identyfikator sesji; adres IP; dane, które Użytkownik sam poda - zwykle imię, adres e-mail, numer telefonu, miejscowość lub adres realizacji, opis potrzeby. Usługa nie jest przeznaczona do szczególnych kategorii danych (art. 9 RODO), a Administrator nie kieruje Asystenta do ich zbierania.
3. Charakter i cel: przechowywanie rozmów; tworzenie odpowiedzi przez modele sztucznej inteligencji; przyjmowanie zapytań i przekazywanie ich Administratorowi; powiadomienia e-mail i SMS do Użytkownika, gdy wyrazi na nie zgodę w czacie; przygotowywanie wycen i zestawień; ulepszanie dopasowania zapytań do oferty w usłudze świadczonej Administratorowi; zabezpieczenie usługi przed nadużyciami.
4. Sieć Whisp: zapytanie Użytkownika, którego Administrator nie realizuje, może zostać przekazane innym firmom z Sieci - bez danych kontaktowych Użytkownika. Firma widzi opis zapytania (pełną treść, gdy ma Abonament), a jej odpowiedź trafia do Użytkownika przez stronę statusu zapytania. Treść zapytania może zawierać dane, które Użytkownik sam w nim napisał.
5. Czas: przez czas trwania umowy oraz do usunięcia danych zgodnie z § 8.

§ 3. Obowiązki Przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora - poleceniem jest Regulamin, ta umowa i ustawienia wybrane przez Administratora - także w zakresie przekazywania danych do państwa trzeciego, chyba że obowiązek wynika z prawa; wtedy informuje o nim Administratora, o ile prawo tego nie zabrania.
2. Zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności.
3. Stosuje środki bezpieczeństwa z § 4.
4. Korzysta z dalszych podmiotów przetwarzających na zasadach § 5.
5. Pomaga Administratorowi wykonywać obowiązki wobec osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw), m.in. przez wgląd w rozmowy i usunięcie rozmowy na żądanie Administratora.
6. Pomaga Administratorowi w obowiązkach z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne informacje.
7. Udostępnia informacje potrzebne do wykazania spełnienia obowiązków i umożliwia kontrolę (§ 7).
8. Niezwłocznie informuje Administratora, jeśli jego polecenie narusza w ocenie Przetwarzającego przepisy o ochronie danych.

§ 4. Środki bezpieczeństwa (art. 32 RODO)

1. Szyfrowanie połączeń (HTTPS/TLS) między przeglądarką, serwerami i dostawcami; szyfrowanie danych w spoczynku po stronie dostawców infrastruktury.
2. Kontrola dostępu: hasła Klientów przechowywane wyłącznie jako skrót kryptograficzny; dostęp administracyjny tylko z tajnym kluczem; Klient widzi wyłącznie swoje dane.
3. Rozdzielenie danych Klientów w bazie i magazynie plików.
4. Maskowanie danych osobowych przed przekazaniem zapytania do modelu, który przygotowuje wyceny i zestawienia.
5. Limity zapytań, limity kosztów i rejestr nadużyć chroniące przed atakami i nadmiernym obciążeniem.
6. Automatyczne, codzienne usuwanie danych po upływie okresów z § 8.
7. Dostęp personelu Przetwarzającego do danych tylko w zakresie potrzebnym do obsługi usługi, zgłoszeń i bezpieczeństwa.

§ 5. Dalsze podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie z dalszych podmiotów przetwarzających. Aktualna lista:

2. O zamiarze dodania lub zmiany dalszego podmiotu Przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej; Administrator może zgłosić sprzeciw, a gdy sprzeciw uniemożliwia świadczenie usługi - rozwiązać umowę.
3. Przetwarzający nakłada na dalsze podmioty obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada za ich wykonanie.

§ 6. Przekazywanie danych poza EOG

Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (Ramy ochrony danych UE-USA) albo standardowych klauzul umownych przyjętych przez Komisję Europejską.

§ 7. Kontrola

1. Administrator może sprawdzać, jak Przetwarzający wykonuje umowę - w pierwszej kolejności przez pytania na piśmie, na które Przetwarzający odpowiada w ciągu 14 dni.
2. Audyt na miejscu jest możliwy po uprzedzeniu co najmniej 14 dni wcześniej, w godzinach pracy, nie częściej niż raz w roku (chyba że doszło do naruszenia), na koszt Administratora, przez audytora zobowiązanego do poufności.

§ 8. Naruszenia i usuwanie danych

1. O naruszeniu ochrony danych Przetwarzający informuje Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, podając znane informacje z art. 33 ust. 3 RODO.
2. Okresy przechowywania: rozmowy z czatu i zapisane decyzje modeli - 365 dni od wiadomości; zapytania i ich pliki - 30 dni od utworzenia i od ostatniej aktywności; zdarzenia bezpieczeństwa - do 90 dni.
3. Po zakończeniu umowy dane Użytkowników są usuwane w terminach z ust. 2, chyba że prawo wymaga ich przechowywania; na żądanie Administratora zgłoszone przed końcem umowy Przetwarzający przekazuje mu rozmowy w formacie elektronicznym.

§ 9. Postanowienia końcowe

1. Odpowiedzialność stron określa RODO i Regulamin.
2. W sprawach nieuregulowanych stosuje się Regulamin, RODO i prawo polskie.
3. W razie sprzeczności z Regulaminem w sprawach ochrony danych pierwszeństwo ma ta umowa.