Umowa powierzenia przetwarzania danych osobowych, Załącznik 1 do Regulaminu

Umowa sporządzona zgodnie z art. 28 ust. 3 rozporządzenia (UE) 2016/679 („RODO”). Wiąże z chwilą zawarcia umowy o Usługę, bez odrębnego podpisu, jako część Regulaminu. Wersja 1.2. Obowiązuje od 2026-11-01.

§ 1. Strony i przedmiot

1. Administrator: klient w rozumieniu Regulaminu § 2 ust. 1.
2. Podmiot przetwarzający: VIGELION Tomasz Czubkowski, ul. Wiosenna 25, 60-185 Skórzewo, Polska, NIP 973-024-00-52 („featureloom”, „my”).
3. Przedmiot: powierzenie nam przetwarzania danych osobowych w zakresie potrzebnym do świadczenia Usługi featureloom opisanej w Regulaminie (§ 5). Ta umowa nie obejmuje danych, których jesteśmy administratorem (Regulamin § 10 ust. 1).

§ 2. Charakter, cel i czas trwania przetwarzania

1. Charakter: przechowywanie z historią wersji, porządkowanie, udostępnianie osobom, agentom i automatom Administratora, generowanie dokumentów z użyciem modelu językowego na polecenie Administratora, eksport, usuwanie.
2. Cel: wykonanie Usługi.
3. Czas: przez czas umowy o Usługę i okres usunięcia danych po jej ustaniu (§ 9).

§ 3. Rodzaj danych i kategorie osób

§ 4. Nasze obowiązki (art. 28 ust. 3 RODO)

1. Przetwarzamy dane wyłącznie na udokumentowane polecenie Administratora, także w zakresie przekazania danych do państwa trzeciego. Poleceniem są Regulamin, ta umowa oraz czynności i ustawienia osób, agentów i automatów Administratora w Usłudze. Jeżeli prawo Unii albo państwa członkowskiego nakłada na nas obowiązek przetwarzania, informujemy o tym przed przetwarzaniem, chyba że prawo tego zabrania (lit. a).
2. Osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy (lit. b).
3. Stosujemy środki z art. 32 RODO opisane w § 6 (lit. c).
4. Pomagamy wywiązać się z obowiązków z art. 32 do 36 RODO: zgłaszamy naruszenia (§ 10) i dostarczamy informacje do oceny skutków (lit. f).
5. Udostępniamy informacje niezbędne do wykazania spełnienia obowiązków i umożliwiamy audyty (§ 11) (lit. h). Informujemy niezwłocznie, jeżeli naszym zdaniem polecenie narusza RODO albo inne przepisy o ochronie danych.

§ 5. Obowiązki Administratora

1. Administrator odpowiada za legalność przetwarzania powierzonych danych.
2. Administrator nie kieruje Usługi na pozyskiwanie danych szczególnych kategorii i nie wskazuje do generowania treści zawierających takie dane (art. 9 i 10 RODO).

§ 6. Środki techniczne i organizacyjne (art. 32 RODO)

1. Izolacja Organizacji w bazie danych: plany, prompty, epiki, projekty, zespoły, materiał źródłowy, pytania, wersje, zlecenia generowania oraz ustawienia integracji i modelu mają w bazie wymuszoną regułę oddzielania danych Organizacji; zaproszenia, członkostwa, konta, konsole i klucze automatów izoluje warunek Organizacji w każdym zapytaniu do bazy danych, sprawdzany testami, które przechodzi każda zmiana kodu.
2. Uwierzytelnianie: hasła przechowujemy tylko jako skróty kryptograficzne; sesje są odwoływalne, wygasają 14 dni od zalogowania i po 3 dniach bez użycia; po 5 nieudanych próbach w 15 minut logowanie jest opóźniane; Administratorzy Organizacji, która ma więcej niż jedną osobę, muszą mieć logowanie dwuetapowe; może je włączyć każdy, a Administrator Organizacji może wymagać go od wszystkich członków. O logowaniu z nowej przeglądarki (nieużywanej 90 dni) i o nowym miejscu użycia konsoli informujemy jej osobę e-mailem, a o nowym miejscu użycia klucza automatu Administratorów Organizacji, raz dziennie.
3. Dostęp maszynowy: konsole i klucze automatów mają terminy ważności i limity (Regulamin § 4 ust. 6 i 7) i są odwoływalne.
4. Szyfrowanie transmisji: w sieci publicznej wyłącznie HTTPS (do Cloudflare i dalej do naszego serwera pośredniczącego); szyfrowanie kończy się na naszym serwerze pośredniczącym, a stamtąd do aplikacji ruch idzie naszą siecią wewnętrzną bez szyfrowania, w pomieszczeniach z ust. 9. Sekrety integracji i logowania dwuetapowego są szyfrowane w bazie.
5. Dane w spoczynku: dysk bazy nie jest dziś szyfrowany na poziomie nośnika; jego nośnik jest pod naszą wyłączną kontrolą, w pomieszczeniach i na sprzęcie z ust. 9.
6. Usuwanie z rejestrem: usunięcie materiału źródłowego i samoczynne usunięcie Organizacji usuwa treść i pozostawia wpis rejestru bez treści.
7. Logi: z dziennika naszego serwera pośredniczącego usuwamy dane uwierzytelniające i maskujemy kody z linków zaproszeń i resetu hasła; aplikacja nie zapisuje treści planów, haseł ani sekretów w logach.
8. Wydania i zmiany bazy danych: zmiany wdrażamy z oznaczonych wersji i sprawdzamy, że wdrażany program jest dokładnie tym z oznaczonej wersji; zmiany budowy bazy danych wprowadzamy po wykonaniu kopii i po niezależnym przeglądzie zmiany.
9. Kopie zapasowe i lokalizacja: kopia nocna bazy (z Treściami Organizacji), przechowywana najwyżej 6 miesięcy; każdą kopię sprawdzamy przy wykonaniu, a odtworzenie ćwiczymy. Miejsca przetwarzania: serwer produkcyjny, serwer pośredniczący (dzieli go kilka usług właściciela), serwer wewnętrzny i składowisko kopii znajdują się w Polsce, na sprzęcie i w pomieszczeniach featureloom, bez dostawcy hostingu. Dodatkową, zaszyfrowaną kopię zapasową przechowujemy osobno.
10. Personel i operator: dostęp administracyjny ma wyłącznie właściciel i osoby przez niego upoważnione. Panel operatora pokazuje liczniki i metadane Organizacji, nie Treści; operator może technicznie wystawić zaproszenie do Organizacji i zresetować logowanie dwuetapowe osoby, a robi to tylko na żądanie Administratora albo z obowiązku prawnego.

§ 7. Dalsze podmioty przetwarzające

1. Administrator wyraża ogólną zgodę na korzystanie z podmiotów wymienionych w Załączniku 3 część 1 (lista publiczna z datą ostatniej zmiany) oraz z ich dalszych podmiotów wymienionych na ich publicznych listach wskazanych w Załączniku 3.
2. O zamiarze dodania albo zmiany podmiotu z części 1 informujemy Administratorów Organizacji e-mailem co najmniej 30 dni wcześniej; o zmianie u dostawcy, który sam daje nam krótsze uprzedzenie, informujemy w 3 dni robocze od jego zawiadomienia. Administrator może w tym terminie wnieść sprzeciw; jeżeli nie możemy go uwzględnić, każda ze stron może wypowiedzieć umowę o Usługę ze skutkiem na dzień zmiany, ze zwrotem za niewykorzystany okres, a gdy wypowiadamy my, także zapłaty za niewykorzystaną, opłaconą część salda razem z podatkiem, w 14 dni.
3. Nakładamy na każdy taki podmiot, umową, te same obowiązki ochrony danych, o których mowa w art. 28 ust. 3 RODO (art. 28 ust. 4); terminy i tryb wynikają z umów wskazanych w Załączniku 3, który wymienia różnice wobec tej umowy. Za wykonanie tych obowiązków odpowiadamy wobec Administratora.
4. Nasze przekazanie danych do państwa trzeciego następuje wyłącznie do podmiotu z Załącznika 3 część 1 na podanej tam podstawie: decyzja o adekwatności albo standardowe klauzule umowne Komisji.
5. Do odbiorców wybranych przez Administratora (Slack i programy łączące się przez MCP, Załącznik 3 część 2) dane trafiają wyłącznie na jego udokumentowane polecenie; podstawę przekazania poza EOG zapewnia umowa Administratora z tym odbiorcą.

§ 8. Pomoc w realizacji praw osób

1. Żądanie osoby skierowane do nas, a dotyczące danych powierzonych, przekazujemy Administratorowi w 3 dni robocze, bez odpowiedzi co do meritum.
2. Administrator realizuje żądania narzędziami Usługi: edycja i usunięcie planu, promptu, materiału źródłowego, usunięcie osoby z Organizacji, eksport całości danych. Edycja planu albo promptu nie usuwa jego wcześniejszych wersji (Załącznik 2); trwałe usunięcie fragmentu wymaga zapisu treści bez niego i usunięcia wcześniejszych wersji w Usłudze (nie dotyczy powodów werdyktu) albo usunięcia planu albo promptu wraz z historią, a gdy to niemożliwe, polecenia do nas (ust. 3).
3. Czynności, których Administrator nie może wykonać sam w Usłudze, wykonujemy na jego polecenie w 14 dni; wynagrodzenie tylko wtedy, gdy żądanie jest nadmierne i strony tak uzgodnią.

§ 9. Zakończenie przetwarzania

1. Po końcu umowy o Usługę eksport działa przez cały okres pobierania (Regulamin § 13 ust. 2 i § 14 ust. 1), a potem usuwamy wszystkie powierzone dane, także z kopii zapasowych w cyklu ich retencji według Załącznika 2 (najwyżej 6 miesięcy), i na żądanie potwierdzamy usunięcie pisemnie, z datą zniknięcia ostatniej kopii. Danych zatrzymanych przez dostawcę modelu na podstawie jego zasad użycia albo prawa (Załącznik 3) nie możemy usunąć sami.

§ 10. Naruszenia ochrony danych

1. Naruszenie ochrony powierzonych danych zgłaszamy Administratorowi bez zbędnej zwłoki, nie później niż 48 godzin od chwili, gdy dowiemy się o naruszeniu, także z zawiadomienia dalszego podmiotu, na adresy e-mail Administratorów Organizacji, z informacjami z art. 33 ust. 3 RODO w zakresie dostępnym, uzupełnianymi sukcesywnie.

§ 11. Audyt i informacje

1. Na żądanie Administratora, nie częściej niż raz na 12 miesięcy, chyba że doszło do naruszenia ochrony powierzonych danych, istnieją przesłanki naruszenia tej umowy albo żąda tego organ nadzorczy, udostępniamy wyniki własnych przeglądów i rejestr usunięć dotyczący jego Organizacji.
2. Audyt, w tym inspekcję, przeprowadza Administrator albo upoważniony przez niego audytor zobowiązany do poufności, na miejscu po uzgodnieniu terminu (co najmniej 14 dni wcześniej), w godzinach pracy, bez dostępu do danych innych klientów, na koszt Administratora, chyba że audyt wykaże naruszenie tej umowy.

§ 12. Odpowiedzialność i postanowienia końcowe

1. Wzajemną odpowiedzialność stron określa Regulamin § 9.
2. W razie sprzeczności z Regulaminem w sprawach ochrony danych pierwszeństwo ma ta umowa.