Umowa powierzenia przetwarzania danych osobowych

(Data Processing Agreement — DPA)  ·  Wersja 1.2  ·  PROJEKT — NIE OBOWIĄZUJE  ·  Stan na dzień: 2026-07-29

§1. Strony i podstawa zawarcia

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „DPA”) zawierana jest pomiędzy ADO (Mecenas) a Procesorem (OSFORYOU FUTURE INTELLIGENCE Fundacja) na podstawie art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO). Akceptacja DPA jest warunkiem korzystania z platformy MecenasPorada w roli ADO (panel mecenasa).

§2. Przedmiot i cel przetwarzania

Procesor przetwarza dane osobowe wyłącznie w celu świadczenia usługi MecenasPorada na rzecz ADO, w szczególności:

1. prowadzenia akt sprawy klientów ADO w panelu mecenasa,
2. generowania pism, opinii i umów na podstawie danych dostarczonych przez ADO,
3. komunikacji z klientem końcowym przez portal klienta,
4. wspomagającej redakcji treści za pomocą modeli językowych (AI) zgodnie z §5,
5. przechowywania i wersjonowania dokumentów oraz dossier spraw.

§3. Kategorie danych i osób, których dane dotyczą

Powierzenie obejmuje następujące kategorie danych osobowych klientów ADO i osób trzecich występujących w aktach sprawy:

• dane identyfikacyjne (imię, nazwisko, PESEL, NIP, REGON),
• dane kontaktowe (adres, e-mail, telefon),
• dane dotyczące postępowań (sygnatury, sądy, sędziowie, strony postępowania),
• dane finansowe (wartości przedmiotu sporu, roszczenia, faktury),
• treści dokumentów sprawy (mogą zawierać szczególne kategorie danych z art. 9 RODO, np. dane o zdrowiu, przekonaniach lub seksualności),
• dane dotyczące wyroków skazujących i czynów zabronionych, do których stosuje się odrębny art. 10 RODO,
• treści wiadomości i notatek sporządzonych w toku sprawy.

§4. Czas trwania powierzenia

Powierzenie obowiązuje przez okres obowiązywania umowy głównej między ADO a Procesorem oraz dodatkowy okres niezbędny do zwrotu lub usunięcia danych po rozwiązaniu umowy. Dla spraw zakończonych platforma tworzy harmonogram retencji i egzekwuje wyłącznie zatwierdzone reguły techniczne. Okresy, wyjątki oraz legal hold wymagają przeglądu prawnego i zatwierdzenia zgodnie z procedurą ADO przed usunięciem lub anonimizacją danych.

§5. Sub-procesorzy (dalsze powierzenie)

Po aktywacji DPA ogólna zgoda ADO może obejmować wyłącznie dalsze podmioty przetwarzające wskazane poniżej. Każda istotna zmiana listy wymaga aktualizacji dokumentu i ponownej akceptacji przez ADO.

Żaden dalszy podmiot przetwarzający nie został jeszcze zatwierdzony do danych rzeczywistych Klientów. Rejestr pozostaje celowo pusty do decyzji M4.

Profil produkcyjny dla danych rzeczywistych pozostaje wyłączony. Jego uruchomienie wymaga zatwierdzonej listy podmiotów, umów i lokalizacji przetwarzania oraz profilu AI blokującego niedopuszczonych dostawców. Profil testowy może korzystać wyłącznie z danych syntetycznych.

§6. Retencja danych w warstwie AI

Do czasu aktywacji M4 dane rzeczywiste nie mogą być przekazywane do zewnętrznej warstwy modeli językowych. Po aktywacji będą obowiązywały okresy zatwierdzone w finalnym harmonogramie retencji i umowach z dostawcami, w szczególności:

• Prompty i odpowiedzi: okres po stronie dostawcy musi wynikać z zatwierdzonej umowy i zasady minimalizacji.
• Cache odpowiedzi i logi techniczne: okres określa zatwierdzony harmonogram retencji Platformy.
• Embeddingi i pamięć sprawy: podlegają okresowi właściwemu dla danej sprawy i decyzjom dotyczącym akt zawodowych.

§7. Zakaz wykorzystywania danych do trenowania modeli (opt-out)

Warunkiem zatwierdzenia każdego dostawcy AI będzie umowne wyłączenie wykorzystywania danych ADO i klientów ADO do trenowania lub fine-tuningu modeli oraz udokumentowanie właściwych ustawień endpointu. Do czasu przedstawienia takiego dowodu dostawca nie może zostać wpisany do listy w §5 ani otrzymać danych rzeczywistych.

§8. Bezpieczeństwo i naruszenia (Breach SLA)

Procesor stosuje środki techniczne i organizacyjne adekwatne do ryzyka (art. 32 RODO), w szczególności:

• szyfrowanie połączeń (TLS 1.2+) oraz szyfrowanie wrażliwych pól w bazie danych (np. lawyer_strategy_text),
• kontrolę dostępu opartą na rolach (RBAC) i tokenach Sanctum z ograniczonymi scope,
• niezmienialny audit_log dla operacji na danych spraw,
• kopie zapasowe z rolowaną retencją.

SLA na zgłoszenie naruszenia ochrony danych osobowych:

• Procesor → ADO: nie później niż 24 godziny od wykrycia naruszenia (czas reakcji ułatwiający ADO dotrzymanie własnego 72-godzinnego obowiązku z art. 33 RODO),
• ADO → osoba, której dane dotyczą (jeżeli wymagane art. 34 RODO): w terminie wynikającym z przepisów (zalecane do 48 godzin od potwierdzenia naruszenia przez Procesora).

§9. Prawa osób, których dane dotyczą

Procesor wspomaga ADO w realizacji żądań osób, których dane dotyczą (art. 12–22 RODO), w szczególności:

• prawa dostępu (eksport danych sprawy),
• prawa do sprostowania,
• prawa do usunięcia („prawo do bycia zapomnianym”), z zastrzeżeniem nadrzędnych obowiązków zachowania akt prawnych,
• prawa ograniczenia przetwarzania,
• prawa do przenoszenia danych.

Uwierzytelniony klient może złożyć wniosek przez funkcję portalu POST /portal/moje-dane/usuwanie. Wniosek trafia do chronionego rejestru administratora /admin/rodo/requests, gdzie przechodzi weryfikację tożsamości, analizę prawną i retencyjną oraz kontrolowane rozstrzygnięcie. Samo rozstrzygnięcie w rejestrze nie uruchamia automatycznej anonimizacji; wykonanie następuje dopiero po udokumentowanym review obowiązków retencyjnych, legal hold, tajemnicy zawodowej i praw osób trzecich.

§10. Odpowiedzialność i ograniczenia

Procesor odpowiada za szkody wynikające z przetwarzania danych w zakresie określonym przepisami RODO oraz umową główną. Odpowiedzialność Procesora z tytułu DPA podlega ograniczeniu do wysokości łącznych opłat uiszczonych przez ADO na rzecz Procesora w okresie 12 miesięcy poprzedzających zdarzenie szkodzące, z wyłączeniem sytuacji winy umyślnej lub rażącego niedbalstwa. Powyższe ograniczenie nie obejmuje przypadków, w których przepisy bezwzględnie obowiązujące nie pozwalają na ograniczenie odpowiedzialności.

Disclaimer (AI): Treści generowane przez modele AI mają charakter pomocniczy i nie zastępują samodzielnej analizy prawnej Mecenasa. ADO każdorazowo weryfikuje treści przed ich użyciem wobec klientów lub w obrocie procesowym (HITL — human-in-the-loop).

§11. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się przepisy prawa polskiego oraz RODO. Wszelkie zmiany DPA wymagają ponownej akceptacji ADO w panelu mecenasa (ścieżka: footer → „Zobacz DPA”). Aktualnie prezentowana wersja 1.2 pozostaje projektem i nie ma daty wejścia w życie.

Akceptacja jest obecnie zablokowana. Wersja zostanie udostępniona dopiero po decyzji M4 i przeglądzie prawnym. ↓ Pobierz wersję do druku (PDF/HTML)