Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu aplikacji founder360 (dalej: „Umowa powierzenia”)

zawarta pomiędzy:

Usługodawcą – CodeYourBrand spółką z ograniczoną odpowiedzialnością z siedzibą w Warszawie, Aleje Jerozolimskie 109/70, 02-011 Warszawa, KRS 0001073645, NIP 5273088516 (dalej także: „Podmiot przetwarzający”),

a

Usługobiorcą – Przedsiębiorcą, który zawarł z Usługodawcą Umowę o świadczenie Usługi, wskazanym w formularzu zawarcia Umowy (dalej także: „Administrator”),

zwanymi dalej łącznie „Stronami”, a każde z osobna „Stroną”.

Preambuła

Zważywszy, że:

1. pomiędzy Usługodawcą a Usługobiorcą została zawarta Umowa o świadczenie Usługi korzystania z aplikacji founder360 na warunkach określonych w Regulaminie dostępnym pod adresem founder360.ai/regulamin (dalej: „Umowa główna”);
2. świadczenie Usługi wymaga przetwarzania przez Usługodawcę danych osobowych w rozumieniu przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: „RODO”), w szczególności danych klientów Usługobiorcy pobieranych przez Agenta z narzędzi podłączonych jako Integracje oraz danych zawartych w wiadomościach Użytkowników, co rodzi obowiązek spełnienia wymogów wskazanych w art. 28 RODO, w tym zawarcia umowy określonej w tym przepisie;

Strony postanowiły, co następuje:

§ 1. Powierzenie przetwarzania danych osobowych

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w trybie art. 28 RODO.
2. Administrator oświadcza, że jest administratorem danych powierzanych Podmiotowi przetwarzającemu na mocy Umowy powierzenia lub podmiotem przetwarzającym upoważnionym do ich dalszego powierzenia Podmiotowi przetwarzającemu.
3. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie określonym w § 2 Umowy powierzenia.
4. Pisane wielką literą pojęcia stosowane w Umowie powierzenia mają znaczenie nadane im w Regulaminie lub RODO, chyba że szczególne postanowienie Umowy powierzenia stanowi inaczej.
5. Umowa powierzenia zostaje zawarta z chwilą zawarcia Umowy głównej, poprzez zaznaczenie przez Administratora pola wyboru przy oświadczeniu o zawarciu Umowy powierzenia w formularzu zawarcia Umowy głównej i potwierdzenie jednorazowym kodem.
6. Umowa powierzenia nie obejmuje danych osobowych Użytkowników i osób kontaktowych Administratora przetwarzanych przez Usługodawcę jako administratora w celu prowadzenia Konta, rozliczeń i kontaktu (imię i nazwisko, numer telefonu, rola w Zespole, adres e-mail); zasady ich przetwarzania opisuje Polityka prywatności.

§ 2. Przedmiot, charakter, cel i czas przetwarzania danych

1. Powierzone przez Administratora dane osobowe będą przetwarzane przez Podmiot przetwarzający wyłącznie na udokumentowane polecenie Administratora oraz wyłącznie w celu świadczenia Usługi. Za „udokumentowane polecenie” Strony uznają w szczególności zawarcie Umowy głównej, podłączenie przez Administratora Integracji w Panelu lub zlecenie jej podłączenia Usługodawcy oraz polecenia wydawane Agentowi przez Użytkowników w Kanale komunikacji.
2. Kategorie danych osobowych będących przedmiotem powierzenia (dalej: „powierzone dane osobowe”) oraz kategorie osób, których powierzone dane osobowe dotyczą, zostały wskazane w Załączniku nr 1 do Umowy powierzenia.
3. Charakter przetwarzania obejmuje w szczególności: odczyt powierzonych danych z Integracji na polecenie Użytkowników, ich analizowanie i podsumowywanie przez modele AI, przechowywanie w dedykowanym środowisku Agenta (w tym w pamięci Agenta i w historii rozmów), przekazywanie Użytkownikom przez Kanał komunikacji oraz – wyłącznie na wyraźne polecenie Użytkownika – wprowadzanie zmian w Integracjach.
4. Dane osobowe powierzane przez Administratora na podstawie Umowy powierzenia nie stanowią danych szczególnej kategorii, o których mowa w art. 9 RODO, ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO. Administrator zobowiązuje się nie powierzać takich danych, w szczególności nie podłączać jako Integracji narzędzi zawierających dane o stanie zdrowia, i nie przekazywać ich Agentowi w wiadomościach. Jeżeli działalność Administratora obejmuje przetwarzanie takich danych (np. usługi medyczne), Administrator odpowiada za to, aby nie trafiały one do Aplikacji, chyba że Strony uzgodnią odrębnie zasady ich przetwarzania.
5. Przetwarzanie powierzonych danych osobowych będzie odbywało się przy wykorzystaniu systemów informatycznych (w sposób zautomatyzowany).
6. Powierzone dane osobowe są przetwarzane przez czas obowiązywania Umowy głównej oraz przez okres 30 (trzydziestu) dni po jej zakończeniu, zgodnie z § 8 Umowy powierzenia.

§ 3. Obowiązki, prawa i oświadczenia Podmiotu przetwarzającego

1. Podmiot przetwarzający zobowiązuje się do zabezpieczenia powierzonych danych osobowych poprzez wdrożenie (jeszcze przed przystąpieniem do przetwarzania) oraz utrzymywanie środków technicznych i organizacyjnych odpowiednich do charakteru, zakresu, kontekstu i celu przetwarzania powierzonych danych, w tym środków wymaganych przez odpowiednie przepisy powszechnie obowiązującego prawa, by przetwarzanie powierzonych danych osobowych spełniało wymogi RODO. Środki te obejmują w szczególności: odrębne, izolowane środowisko Agenta dla każdego Administratora (własna instancja, własny wolumen danych, własna pamięć i własne poświadczenia do Integracji), szyfrowanie transmisji, dostęp do Agenta ograniczony do numerów telefonów Użytkowników wskazanych w Zespole, przechowywanie poświadczeń Integracji w postaci sekretów, kontrolę dostępu do środowisk po stronie Usługodawcy oraz procedury usuwania danych po zakończeniu Umowy.
2. Podmiot przetwarzający zobowiązuje się zapewnić, aby osoby upoważnione do przetwarzania danych osobowych powierzonych na podstawie Umowy powierzenia zobowiązane były do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia, w miarę możliwości, pomagać Administratorowi w wywiązywaniu się przez niego z obowiązku odpowiedzi na żądania osób, których dane dotyczą, w zakresie wykonywania przez te osoby praw wynikających z przepisów prawa powszechnie obowiązującego, w tym z rozdziału III RODO.
4. Podmiot przetwarzający zobowiązuje się niezwłocznie zawiadomić Administratora o:
   1. każdym naruszeniu ochrony powierzonych danych osobowych, przy czym przez „naruszenie ochrony powierzonych danych” należy rozumieć każde przypadkowe lub niezgodne z prawem zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do powierzonych danych osobowych. Zawiadomienia, o którym mowa w niniejszym pkt 1, należy dokonać najpóźniej w ciągu 24 godzin od wykrycia naruszenia ochrony powierzonych danych;
   2. każdym żądaniu otrzymanym od osoby, której dane przetwarza, powstrzymując się jednocześnie od odpowiedzi na żądanie do czasu otrzymania opinii Administratora. Zawiadomienia, o którym mowa w niniejszym pkt 2, należy dokonać najpóźniej w ciągu 24 godzin od otrzymania żądania;
   3. każdym prawnie umocowanym żądaniu udostępnienia danych osobowych właściwemu organowi państwa, chyba że zakaz zawiadomienia wynika z przepisów prawa, a w szczególności przepisów postępowania karnego, gdy zakaz ma na celu zapewnienie poufności wszczętego dochodzenia;
   4. przeprowadzeniu przez Prezesa Urzędu Ochrony Danych Osobowych lub inny organ nadzorczy kontroli zgodności przetwarzania danych osobowych i jej wynikach oraz o innych czynnościach organów władzy publicznej dotyczących tych danych.
5. Podmiot przetwarzający zobowiązuje się, w zakresie uzasadnionym przedmiotem Umowy powierzenia i dostępnymi mu informacjami, pomagać Administratorowi w wywiązywaniu się przez niego z obowiązków wynikających z przepisów prawa powszechnie obowiązującego, w tym z art. 32–36 RODO, dotyczących bezpieczeństwa przetwarzania danych osobowych, zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu i osobie, której dane te dotyczą, oceny skutków dla ochrony danych i związanych z tą oceną konsultacji z organem nadzorczym.
6. Podmiot przetwarzający zobowiązuje się:
   1. udostępniać Administratorowi w terminie 14 dni od dnia otrzymania żądania wszelkie informacje i dokumenty niezbędne do wykazania spełnienia przez Administratora ciążących na nim obowiązków określonych w przepisach prawa powszechnie obowiązującego;
   2. umożliwić Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczyniać się do nich, na zasadach każdorazowo określonych przez Strony oraz z zastrzeżeniem postanowień niniejszego paragrafu.
7. Audyt, o którym mowa w ust. 6 pkt 2 powyżej, może zostać przeprowadzony:
   1. nie wcześniej niż 14 dni od dnia otrzymania przez Podmiot przetwarzający zapowiedzi jego przeprowadzenia, w terminie ustalonym przez Strony, nie częściej niż raz w roku kalendarzowym, chyba że audyt jest następstwem naruszenia ochrony danych, oraz
   2. po zawarciu pomiędzy Podmiotem przetwarzającym a Administratorem lub upoważnionym przez niego audytorem umowy o zachowaniu poufności.
8. Po zakończeniu audytu Strony sporządzą protokół w 2 egzemplarzach, które podpiszą upoważnieni przedstawiciele obu Stron. Podmiot przetwarzający może wnieść zastrzeżenia do protokołu w ciągu 5 dni roboczych od dnia jego podpisania przez przedstawicieli Stron.
9. W razie stwierdzenia w toku audytu uchybień mających wpływ na bezpieczeństwo przetwarzania powierzonych danych osobowych Podmiot przetwarzający zobowiązuje się dostosować do zaleceń sformułowanych przez Administratora lub upoważnionego przez niego audytora.
10. Podmiot przetwarzający nie wykorzystuje powierzonych danych osobowych do trenowania modeli AI ani do żadnych własnych celów.

§ 4. Obowiązki Administratora

1. Administrator zobowiązany jest zapewnić, aby przez cały okres obowiązywania Umowy powierzenia dysponował prawną podstawą przetwarzania powierzanych danych osobowych i aby przysługiwały mu odpowiednie uprawnienia umożliwiające ich powierzenie na rzecz Podmiotu przetwarzającego, w tym w zakresie danych pobieranych z Integracji. W razie utraty ww. podstawy prawnej lub uprawnień wobec określonych powierzanych danych osobowych Administrator zobowiązany jest niezwłocznie przedsięwziąć kroki niezbędne do zaprzestania ich powierzania, w szczególności odłączyć odpowiednią Integrację i zawiadomić o tym Podmiot przetwarzający.
2. Administrator zobowiązuje się nie wydawać Podmiotowi przetwarzającemu (w tym Agentowi) poleceń dotyczących przetwarzania powierzanych danych osobowych, które byłyby niezgodne z przepisami prawa powszechnie obowiązującego, postanowieniami Umowy powierzenia lub innymi zobowiązaniami umownymi.
3. Administrator odpowiada za to, kto należy do Zespołu, i za polecenia wydawane Agentowi przez Użytkowników. Administrator zobowiązuje się usuwać z Zespołu osoby, które utraciły upoważnienie do dostępu do powierzonych danych.
4. Administrator zobowiązuje się spełnić obowiązek informacyjny wobec osób, których powierzone dane dotyczą, w zakresie wynikającym z przepisów prawa, w tym poinformować je o korzystaniu z podmiotu przetwarzającego i systemów AI, jeżeli przepisy tego wymagają.

§ 5. Dalsze powierzenie danych osobowych

1. Administrator wyraża ogólną zgodę na dokonywanie przez Podmiot przetwarzający dalszego powierzania przetwarzania danych osobowych (dalej: „podpowierzenie”) wybranym przez siebie podwykonawcom.
2. Aktualna lista podwykonawców, którym Podmiot przetwarzający podpowierza przetwarzanie danych w dniu zawarcia Umowy powierzenia, wraz z celem podpowierzenia i lokalizacją przetwarzania, stanowi Załącznik nr 2 do Umowy powierzenia. Podwykonawcy oznaczeni w Załączniku nr 2 jako „jeżeli Administrator podłączy” przetwarzają powierzone dane wyłącznie wtedy, gdy Administrator podłączy daną Integrację.
3. Podmiot przetwarzający zobowiązuje się zapewnić, aby:
   1. podmiot, wobec którego dokonuje podpowierzenia, stosował odpowiednie środki techniczne i organizacyjne w celu zagwarantowania przetwarzania powierzonych danych osobowych zgodnie z przepisami RODO;
   2. zakres obowiązków dalszego podmiotu przetwarzającego w zakresie ochrony danych odpowiadał obowiązkom Podmiotu przetwarzającego przewidzianym w Umowie powierzenia;
   3. przekazanie powierzonych danych do podwykonawcy mającego siedzibę poza Europejskim Obszarem Gospodarczym odbywało się na podstawie mechanizmu przewidzianego w rozdziale V RODO (w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym w ramach EU-US Data Privacy Framework, albo standardowych klauzul umownych).
4. W przypadku zamiaru podpowierzenia przetwarzania danych osobowych nowemu podwykonawcy Podmiot przetwarzający zobowiązany jest zawiadomić o tym Administratora nie później niż na 7 (siedem) dni przed dokonaniem podpowierzenia za pomocą poczty elektronicznej, na adres e-mail wskazany przez Administratora w formularzu zawarcia Umowy głównej lub w Panelu. Administrator może sprzeciwić się dokonaniu podpowierzenia, o którym mowa w zdaniu poprzedzającym, poprzez zgłoszenie sprzeciwu za pomocą poczty elektronicznej, w terminie 7 (siedmiu) dni od dnia otrzymania zawiadomienia o podpowierzeniu.
5. Po bezskutecznym upływie terminu na zgłoszenie sprzeciwu, o którym mowa w ust. 4 powyżej, Podmiot przetwarzający może dokonać podpowierzenia przetwarzanych danych osobowych wybranemu podwykonawcy.
6. W przypadku zgłoszenia sprzeciwu, o którym mowa w ust. 4 powyżej, każda ze Stron może wypowiedzieć Umowę główną ze skutkiem natychmiastowym, jeżeli świadczenie Usługi bez udziału danego podwykonawcy nie jest możliwe.
7. Podpowierzenie, o którym mowa w ust. 4 powyżej, nie stanowi zmiany Umowy powierzenia. Aktualna lista podwykonawców jest publikowana wraz z Umową powierzenia pod adresem founder360.ai/powierzenie-danych.

§ 6. Poufność

Strony zobowiązują się wykorzystać materiały, dane oraz wszelkie informacje pozyskane od drugiej Strony w celu wykonania Umowy powierzenia wyłącznie do jej realizacji oraz zachować te materiały, dane oraz informacje w tajemnicy, zarówno w czasie trwania Umowy powierzenia, jak i po jej rozwiązaniu.

§ 7. Czas obowiązywania Umowy powierzenia

Umowa powierzenia zostaje zawarta na czas obowiązywania Umowy głównej i rozwiązuje się wraz z wypowiedzeniem, rozwiązaniem lub wygaśnięciem Umowy głównej, z zastrzeżeniem § 8 Umowy powierzenia.

§ 8. Skutki rozwiązania Umowy powierzenia

1. W przypadku rozwiązania Umowy powierzenia Podmiot przetwarzający, na żądanie Administratora zgłoszone w terminie 30 (trzydziestu) dni od dnia rozwiązania, zwraca Administratorowi powierzone dane osobowe przechowywane w Aplikacji w powszechnie stosowanym formacie elektronicznym.
2. Po upływie 30 (trzydziestu) dni od dnia rozwiązania Umowy powierzenia Podmiot przetwarzający trwale usuwa wszelkie powierzone dane osobowe z własnych systemów i nośników, w tym z dedykowanego środowiska Agenta, jego pamięci i historii rozmów, oraz zapewnia ich usunięcie u podwykonawców. Na żądanie Administratora usunięcie może nastąpić wcześniej. Postanowienia zdania pierwszego nie dotyczą tych danych osobowych, których przechowywanie przez Podmiot przetwarzający, zgodnie z przepisami powszechnie obowiązującego prawa, wymagane jest przez czas dłuższy niż okres obowiązywania Umowy powierzenia.
3. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych za pomocą poczty elektronicznej.

§ 9. Postanowienia końcowe

1. Integralną częścią Umowy powierzenia są: Załącznik nr 1 – Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą, oraz Załącznik nr 2 – Lista podwykonawców.
2. Do zmian Umowy powierzenia stosuje się odpowiednie postanowienia Regulaminu dotyczące zmiany Regulaminu.
3. W sprawach nieuregulowanych w Umowie powierzenia mają zastosowanie postanowienia Regulaminu, przepisy RODO oraz odpowiednie przepisy prawa polskiego.
4. Aktualna wersja Umowy powierzenia (wersja 1.1) obowiązuje od dnia 26 września 2026 r.

Załącznik nr 1 – Kategorie powierzonych danych osobowych oraz kategorie osób, których powierzone dane osobowe dotyczą

Załącznik nr 2 – Lista podwykonawców (dalszych podmiotów przetwarzających)

Stan na dzień 12 października 2026 r.

Podwykonawca płatności (Stripe Payments Europe, Ltd., Irlandia) przetwarza dane osób opłacających Usługę jako odrębny administrator i nie jest podwykonawcą w rozumieniu Umowy powierzenia.