Umowa powierzenia przetwarzania danych

Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa”) zawierana jest pomiędzy Użytkownikiem serwisu PODATKI AI („Administrator” — biuro rachunkowe lub inny podmiot korzystający z serwisu w celach zawodowych) a operatorem serwisu — PODATKI-AI sp. z o.o. z siedzibą w Rzeszowie (35-006) przy ul. Jana i Jędrzeja Śniadeckich 20D/7, wpisaną do rejestru przedsiębiorców KRS pod numerem 0001252876, NIP 5170473332, REGON 545202753 („Podmiot przetwarzający”).

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych swoich klientów i kontrahentów w zakresie niezbędnym do świadczenia usług serwisu (analiza treści rozmów i przesłanych dokumentów przez asystenta AI).

Umowa zostaje zawarta z chwilą akceptacji jej warunków przez Administratora przy zakładaniu konta w serwisie — przez zaznaczenie odrębnego pola wyboru. Zaakceptowana wersja Umowy jest odnotowywana na koncie Administratora, a link do niej wysyłany w wiadomości powitalnej.

Podmiot przetwarzający przetwarza powierzone dane wyłącznie w celu i w zakresie niezbędnym do wykonania usługi: przyjmowania zapytań, analizy przesłanych dokumentów oraz generowania odpowiedzi. Podmiot przetwarzający przetwarza powierzone dane wyłącznie na udokumentowane polecenie Administratora, za które uznaje się niniejszą Umowę oraz korzystanie przez Administratora z funkcji serwisu, w tym w zakresie przekazywania danych do państwa trzeciego. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO. Rodzaje danych obejmują w szczególności dane identyfikacyjne i finansowe zawarte w treści wiadomości oraz przesłanych plikach (m.in. faktury, dokumenty księgowe). Kategorie osób: klienci i kontrahenci Administratora.

Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych celów. Powierzone dane nie są wykorzystywane do trenowania modeli sztucznej inteligencji — ani modeli Podmiotu przetwarzającego, ani modeli dostawców zewnętrznych.

Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z dalszych podmiotów przetwarzających (subprocesorów) niezbędnych do świadczenia usługi. Aktualna lista obejmuje:

• Google (model AI Gemini) — analiza treści zapytań i dokumentów;
• OpenAI (model AI GPT) — analiza treści zapytań i dokumentów;
• Supabase — hosting bazy danych i przechowywanie plików (na terytorium EOG);
• Stripe — obsługa płatności (dane rozliczeniowe);
• Vercel — hosting aplikacji;
• Resend — wysyłka e-maili transakcyjnych (np. reset hasła).

Podmiot przetwarzający informuje Administratora o zamierzonym dodaniu lub zastąpieniu subprocesora z co najmniej 7-dniowym wyprzedzeniem, pocztą elektroniczną na adres przypisany do konta. Administrator może w tym terminie wnieść sprzeciw, który uprawnia go do wypowiedzenia Umowy ze skutkiem na dzień wejścia zmiany w życie. Jeżeli zastąpienie subprocesora jest niezbędne niezwłocznie ze względu na bezpieczeństwo danych lub ciągłość świadczenia usługi, Podmiot przetwarzający informuje Administratora niezwłocznie po dokonaniu zmiany, a Administrator zachowuje prawo sprzeciwu i wypowiedzenia Umowy. Podmiot przetwarzający zapewnia, że subprocesorzy są związani obowiązkami ochrony danych odpowiadającymi obowiązkom z niniejszej Umowy.

Dane konta i historia rozmów przechowywane są na terytorium Europejskiego Obszaru Gospodarczego. Część wymienionych dostawców (w szczególności Google, OpenAI, Stripe, Vercel i Resend) może przetwarzać dane poza EOG — transfer odbywa się wówczas na podstawie mechanizmów przewidzianych w rozdziale V RODO, takich jak standardowe klauzule umowne (SCC) lub decyzja o adekwatności (EU–US Data Privacy Framework). Lista subprocesorów jest tożsama z listą podmiotów przetwarzających wskazaną w Polityce prywatności.

Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo powierzonych danych (art. 32 RODO), zapewnia poufność osób upoważnionych do przetwarzania oraz pomaga Administratorowi w realizacji praw osób, których dane dotyczą, a także w wykonaniu obowiązków z art. 32–36 RODO.

Podmiot przetwarzający zgłasza Administratorowi naruszenie ochrony powierzonych danych bez zbędnej zwłoki po jego stwierdzeniu.

Umowa obowiązuje przez czas korzystania z serwisu. Po zakończeniu świadczenia usług Podmiot przetwarzający, zgodnie z decyzją Administratora, usuwa albo zwraca powierzone dane oraz usuwa ich istniejące kopie — w terminie do 30 dni — chyba że przepisy prawa nakazują dalsze przechowywanie.

Zwrot powierzonych danych następuje przez funkcję eksportu danych dostępną w ustawieniach konta; usunięcie — przez usunięcie danych lub konta w tym samym miejscu.

Administrator ma prawo kontroli przestrzegania warunków Umowy. Tryb i zakres kontroli strony uzgadniają indywidualnie; wniosek należy zgłosić na adres kontakt@podatki-ai.pl.