To jest informacyjne tłumaczenie na język polski. Wersją prawnie wiążącą jest wersja norweska (bokmål); w razie rozbieżności rozstrzyga tekst norweski.
Niniejsza strona przedstawia standardową umowę powierzenia przetwarzania danych (DPA) AI-Flow. Dla konkretnego zlecenia zawierana jest podpisana i opatrzona datą wersja jako załącznik do Statement of Work (SOW); w przypadku rozbieżności między tą stroną a podpisaną umową pierwszeństwo ma podpisana umowa.
1. Podstawa i status
Niniejsza umowa zawierana jest między Klientem („administrator”) a AI-Flow (nazwa rejestrowa: AI-Flow Nowak, numer organizacyjny 937 399 359) („podmiot przetwarzający”) i reguluje przetwarzanie przez AI-Flow danych osobowych w imieniu Klienta w związku z uzgodnionymi usługami. Umowa spełnia wymogi art. 28 ust. 3 RODO i została oparta na strukturze decyzji wykonawczej Komisji (UE) 2021/915 w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi, włączonej do Porozumienia EOG (decyzja Wspólnego Komitetu EOG nr 336/2022).
Zamawiający publiczni: jeżeli Klient nabywa usługę w trybie Statens standardavtaler (SSA), własna umowa powierzenia przetwarzania danych zawarta w załącznikach SSA ma pierwszeństwo przed niniejszą umową w kwestiach jasno i jednoznacznie związanych z ochroną danych osobowych.
2. Charakter, cel i czas trwania przetwarzania
Charakter i cel przetwarzania wynikają z poszczególnego SOW i obejmują zazwyczaj: obsługę chatbotów obsługi klienta, infolinii telefonicznych, generowanie leadów lub bazy danych kandydatów budowane dla Klienta. Przetwarzanie trwa przez cały okres realizacji danego zlecenia, chyba że uzgodniono inaczej.
Kategorie osób, których dane dotyczą, oraz kategorie danych osobowych określane są konkretnie w SOW dla danego zlecenia i mogą obejmować np. pracowników, klientów lub kandydatów do pracy Klienta, wraz z danymi kontaktowymi i treścią rozmów/zapytań obsługiwanych przez dane rozwiązanie.
3. Obowiązki podmiotu przetwarzającego
AI-Flow zobowiązuje się:
- przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Klienta, w tym w zakresie przekazywania danych do państw trzecich, oraz niezwłocznie poinformować Klienta, jeżeli w ocenie AI-Flow polecenie jest sprzeczne z przepisami o ochronie danych osobowych;
- zapewnić, że osoby mające dostęp do danych są związane obowiązkiem zachowania poufności, umownym lub ustawowym;
- wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku, zgodnie z art. 32 (zob. sekcja 6);
- wspierać Klienta w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie realizacji ich praw (dostęp, sprostowanie, usunięcie itd.);
- wspierać Klienta w wypełnianiu obowiązków wynikających z art. 32–36, w tym przy ocenie skutków dla ochrony danych (DPIA), gdy jest to istotne dla danego zlecenia;
- zgłaszać Klientowi bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych, z informacjami wystarczającymi do wypełnienia przez Klienta własnego obowiązku zgłoszenia do organu nadzorczego oraz ewentualnie osób, których dane dotyczą;
- według wyboru Klienta, po zakończeniu zlecenia, usunąć lub zwrócić wszystkie dane osobowe oraz usunąć istniejące kopie, chyba że przechowywanie wymagane jest przepisami prawa, i na żądanie udokumentować dokonanie usunięcia;
- udostępniać Klientowi wszelkie informacje niezbędne do wykazania zgodności z niniejszą umową oraz umożliwiać przeprowadzanie audytów, w tym inspekcji, przez Klienta lub wyznaczonego przez niego audytora, z odpowiednim wyprzedzeniem.
4. Podprocesorzy (dalsi podmioty przetwarzające)
Klient udziela AI-Flow ogólnego pisemnego upoważnienia do angażowania podprocesorów. AI-Flow poinformuje Klienta o każdej planowanej zmianie (dodaniu lub zastąpieniu) z odpowiednim wyprzedzeniem, umożliwiającym Klientowi zgłoszenie sprzeciwu. AI-Flow nałoży na każdego podprocesora te same obowiązki w zakresie ochrony danych, jakie wynikają z niniejszej umowy.
Aktualni podprocesorzy
| Podprocesor | Usługa | Lokalizacja |
|---|---|---|
| Cloudflare, Inc. | Hosting i techniczna obsługa (Cloudflare Pages) | Regiony UE/EOG tam, gdzie to technicznie możliwe; spółka amerykańska — zob. sekcja 5 |
Matomo działają na własnej infrastrukturze AI-Flow (self-hosted) i nie są traktowane jako podprocesorzy — to narzędzia, którymi AI-Flow zarządza bezpośrednio i nad którymi ma pełną kontrolę. Jeśli AI-Flow wykorzysta usługi AI podmiotów trzecich (np. Anthropic) przy realizacji konkretnego rozwiązania, zostanie to określone w SOW dla danego zlecenia, wraz z odrębną oceną podstawy transferu.
Niniejsza lista jest aktualizowana na bieżąco i opatrywana datą przy każdej zmianie.
5. Przekazywanie danych do państw trzecich
Jeżeli przetwarzanie wiąże się z przekazywaniem danych osobowych poza EOG, odbywa się to na podstawie standardowych klauzul umownych UE (decyzja wykonawcza Komisji (UE) 2021/914) i/lub ram EU-US Data Privacy Framework, gdy odbiorca posiada odpowiedni certyfikat. AI-Flow stosuje się do wytycznych Datatilsynet dotyczących przekazywania danych do USA i poinformuje Klienta o istotnej zmianie podstawy transferu.
6. Środki bezpieczeństwa
AI-Flow wdraża następujące środki, proporcjonalne do ryzyka danego przetwarzania:
- szyfrowaną transmisję (HTTPS/TLS) dla całego ruchu do i z usług;
- kontrolę dostępu — dostęp do danych Klienta mają wyłącznie osoby, którym jest on niezbędny do świadczenia usługi;
- anonimizację adresów IP, wyłączone pliki cookies i ograniczony czas przechowywania w samodzielnie hostowanej infrastrukturze analitycznej;
- regularne kopie zapasowe systemów krytycznych dla działalności;
- ograniczenie retencji logów — logi operacyjne usuwane są po określonym czasie, zwykle 90 dniach.
Konkretne środki dla danego zlecenia mogą zostać doprecyzowane w SOW.
7. Odpowiedzialność
Odpowiedzialność odszkodowawcza stron wynikająca z niniejszej umowy regulowana jest klauzulą odpowiedzialności zawartą w ogólnych warunkach sprzedaży i realizacji usług, chyba że dla danego zlecenia wyraźnie uzgodniono inaczej. Żadne postanowienie niniejszej umowy nie ogranicza odpowiedzialności żadnej ze stron wobec osób, których dane dotyczą, ani wobec organów nadzorczych na podstawie przepisów o ochronie danych osobowych.
8. Wejście w życie i czas trwania
Dla poszczególnego zlecenia niniejsza umowa obowiązuje od rozpoczęcia przetwarzania do momentu usunięcia lub zwrotu danych osobowych zgodnie z sekcją 3, lub do zastąpienia jej podpisaną umową o takiej samej lub bardziej rygorystycznej treści.
9. Kontakt i podpisanie
Aby otrzymać gotową do podpisania wersję niniejszej umowy dostosowaną do konkretnego zlecenia, skontaktuj się:
AI-Flow · Toni Nowak · nr organizacyjny 937 399 359 MVA (Enhetsregisteret) [email protected] · +47 458 66 499