Umowa powierzenia przetwarzania danych

Ta umowa określa zasady, na jakich operator Yuteki przetwarza dane osobowe w imieniu organizacji korzystającej z obszaru roboczego. Dokument jest wersją przygotowaną przed publicznym uruchomieniem i może zostać zaktualizowany przed startem; każda wersja ma oznaczenie i datę.

1. Strony i role

Podmiotem przetwarzającym jest Michał Piłat, przedsiębiorca wpisany do CEIDG, NIP 9222839601, REGON 542359454. Miejsce wykonywania działalności: Jatutów 90, 22-400 Jatutów, Polska. Adres do doręczeń: Rabindranatha Tagore 5A/54, 93-503 Łódź, Polska. Kontakt: biuro@yuteki.eu. W tej umowie nazywamy go operatorem.

Administratorem jest organizacja, na przykład agencja, która utworzyła obszar roboczy w Yuteki i wprowadza do niego dane osobowe, w tym dane swoich pracowników, współpracowników, klientów i ich osób kontaktowych. W tej umowie nazywamy ją klientem. W imieniu klienta działa właściciel obszaru roboczego oraz osoby, którym klient nadał uprawnienia administracyjne.

Umowa dotyczy treści obszaru roboczego: zadań, projektów, wiadomości, komentarzy, plików, kontaktów CRM, czasu pracy, rozliczeń, ofert i raportów. Nie obejmuje danych, które operator przetwarza we własnych celach jako administrator: kont użytkowników, rozliczeń z klientem za płatne moduły, listy oczekujących oraz bezpieczeństwa usługi. Te dane opisuje Polityka prywatności. Jeżeli klient sam przetwarza dane w imieniu innego administratora, operator jest wobec tych danych dalszym podmiotem przetwarzającym na zasadach tej umowy.

2. Zawarcie umowy i czas jej trwania

Umowa stanowi część Regulaminu. Klient zawiera ją z operatorem z chwilą utworzenia obszaru roboczego. Umowa obowiązuje przez czas świadczenia usługi dla obszaru roboczego klienta, a po jego zakończeniu do czasu obsługi danych zgodnie z punktem 10.

3. Przedmiot, charakter i cel przetwarzania

Przedmiotem przetwarzania są dane osobowe wprowadzone do obszaru roboczego klienta. Operator udostępnia aplikację do organizacji pracy, projektów, komunikacji, plików, czasu pracy, rozliczeń, ofert i raportów oraz, po włączeniu przez klienta, asystenta AI. Przetwarzanie obejmuje zapisywanie, przechowywanie, porządkowanie, wyszukiwanie, wyświetlanie uprawnionym osobom, zmienianie, eksportowanie, wysyłanie powiadomień, tworzenie kopii zapasowych i usuwanie, w zakresie funkcji, z których klient korzysta.

Celem przetwarzania jest wyłącznie świadczenie klientowi usługi Yuteki zgodnie z Regulaminem i tą umową.

4. Udokumentowane polecenia klienta

Operator przetwarza dane wyłącznie na udokumentowane polecenie klienta. Poleceniami są Regulamin, ta umowa oraz ustawienia i działania wykonywane w aplikacji przez osoby uprawnione przez klienta: zapraszanie osób, nadawanie ról i uprawnień, udostępnianie linków, eksporty, usuwanie treści oraz włączenie asystenta AI. Inne polecenia klient może przekazać na adres kontaktowy operatora.

Operator nie przetwarza danych w innych celach, chyba że obowiązek taki nakłada na niego prawo Unii lub prawo polskie; wtedy informuje klienta o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania. Jeżeli polecenie klienta jest w ocenie operatora sprzeczne z przepisami o ochronie danych, operator niezwłocznie informuje o tym klienta.

Klient odpowiada za to, że ma podstawę prawną do przetwarzania danych, które wprowadza do obszaru, oraz za poinformowanie osób, których dane dotyczą. Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych, w tym danych o zdrowiu; klient nie powinien ich wprowadzać.

5. Poufność

Operator dopuszcza do danych wyłącznie osoby, które zobowiązały się do zachowania tajemnicy albo podlegają ustawowemu obowiązkowi tajemnicy. Dostęp tych osób jest ograniczony do zakresu potrzebnego do utrzymania, wsparcia i bezpieczeństwa usługi. Operator nie zapewnia, że upoważnione osoby nigdy nie mogą zobaczyć żadnych danych, ale nie przegląda treści klienta bez takiej potrzeby.

6. Bezpieczeństwo przetwarzania

Operator stosuje środki techniczne i organizacyjne opisane w załączniku B. Żaden opis zabezpieczeń nie jest gwarancją pełnego bezpieczeństwa. Klient odpowiada za zabezpieczenia po swojej stronie, w szczególności za nadawanie uprawnień, ochronę haseł i tokenów oraz kontrolę udostępnianych linków.

7. Dalsze podmioty przetwarzające

Klient udziela operatorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w załączniku C. Operator nakłada na nie obowiązki ochrony danych odpowiadające tej umowie i odpowiada wobec klienta za ich działania jak za własne.

O zamiarze dodania lub zastąpienia dalszego podmiotu przetwarzającego operator informuje klienta z co najmniej 14-dniowym wyprzedzeniem, e-mailem do właściciela obszaru lub w aplikacji. W tym terminie klient może zgłosić sprzeciw na adres kontaktowy operatora. Jeżeli strony nie uzgodnią rozwiązania, klient może przed wprowadzeniem zmiany zakończyć korzystanie z usługi zgodnie z Regulaminem.

Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie mechanizmów przewidzianych w rozdziale V RODO, wskazanych w załączniku C.

8. Pomoc w realizacji praw osób i obowiązków klienta

Aplikacja pozwala klientowi samodzielnie wyszukiwać, poprawiać, eksportować w dostępnym zakresie i usuwać treści obszaru. Jeżeli osoba, której dane dotyczą, zwróci się z żądaniem do operatora w sprawie treści obszaru, operator niezwłocznie przekaże je klientowi i nie będzie go rozpatrywał samodzielnie, chyba że klient tak poleci. W razie potrzeby operator pomaga klientowi w zakresie danych i narzędzi, którymi dysponuje.

Operator udostępnia klientowi informacje potrzebne do oceny skutków dla ochrony danych, uprzednich konsultacji z organem nadzorczym oraz wykazania bezpieczeństwa przetwarzania, w zakresie, w jakim nimi dysponuje.

9. Naruszenia ochrony danych

Operator zawiadamia klienta o stwierdzonym naruszeniu ochrony danych osobowych w obszarze klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, e-mailem do właściciela obszaru. Zawiadomienie zawiera dostępne informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i rekordów, możliwych konsekwencjach oraz podjętych lub proponowanych środkach. Informacje, których nie da się podać od razu, operator przekazuje stopniowo. Zawiadomienie organu nadzorczego i osób, których dane dotyczą, należy do klienta jako administratora.

10. Zakończenie przetwarzania

W trakcie korzystania z usługi klient może eksportować dane dostępnymi w aplikacji eksportami i usuwać treści. Część funkcji usuwania w aplikacji ukrywa rekord zamiast usuwać go fizycznie od razu. Dostępne eksporty mają własny zakres i nie stanowią kompletnego archiwum wszystkich danych obszaru.

Standardowe zakończenie obszaru roboczego uruchamia 90-dniowy tryb odzyskiwania. W tym czasie właściciel obszaru może korzystać z dozwolonych odczytów i istniejących eksportów oraz wznowić obszar. Po tym terminie obszar oczekuje na dalszą obsługę usunięcia. W obecnej wersji nie następuje automatyczne fizyczne usunięcie wszystkich danych; klient może w tej sprawie skontaktować się z operatorem.

Logi aplikacji, logi bezpieczeństwa, historia zmian i kopie zapasowe mają odrębny cykl życia opisany w Polityce prywatności. Operator może zachować dane, jeżeli wymaga tego prawo Unii lub prawo polskie.

11. Informacje i audyty

Na wniosek klienta przesłany na adres kontaktowy operator udostępnia informacje potrzebne do wykazania spełnienia obowiązków z tej umowy. Operator umożliwia klientowi lub upoważnionemu przez niego audytorowi przeprowadzenie audytu, w tym inspekcji, po uzgodnieniu terminu i zakresu. Audyt nie może obejmować danych innych klientów ani naruszać bezpieczeństwa usługi, a audytor jest zobowiązany do zachowania poufności.

12. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Regulamin i przepisy RODO. Zmiany tej umowy operator wprowadza w trybie przewidzianym dla zmian Regulaminu.

Załącznik A - kategorie osób i danych

• Użytkownicy obszaru klienta, jego pracownicy i współpracownicy: imię i nazwisko lub nazwa, adres e-mail, zdjęcie profilu, role i uprawnienia, przydziały zadań, harmonogramy, czas pracy, nieobecności, stawki i rozliczenia.
• Klienci klienta i ich osoby kontaktowe, także bez konta w Yuteki: dane kontaktowe i firmowe, adresy, identyfikatory firmowe, notatki CRM, oferty i rozliczenia.
• Autorzy i osoby opisane w treściach: wiadomości, komentarze, opisy zadań, checklisty, nazwy i zawartość plików oraz metadane, takie jak daty i autorzy zmian.
• Odbiorcy udostępnionych linków i ofert: dane podane przy decyzji dotyczącej oferty oraz związane z nią metadane.
• Osoby, których dotyczą treści analizowane przez asystenta AI, jeżeli klient go włączy: wybrane treści zadań, kryteria jakości i fragmenty dozwolonych rozmów, w tym wiadomości użytkowników klienta, oraz wyniki analizy. Zakres opisuje Informacja o AI.

Załącznik B - środki techniczne i organizacyjne

• Kontrola dostępu: logowanie hasłem przechowywanym w postaci skrótu, opcjonalne uwierzytelnianie dwuskładnikowe kodami TOTP, wymagane potwierdzenie adresu e-mail, role i uprawnienia nadawane przez klienta oraz oddzielenie danych poszczególnych obszarów roboczych.
• Ochrona sesji i tokenów: zmiana lub reset hasła kończy pozostałe sesje użytkownika i unieważnia tokeny MCP; tokeny MCP mają ograniczony zakres i można je unieważnić.
• Szyfrowanie: treść wiadomości czatu jest zapisywana w bazie danych w postaci zaszyfrowanej kluczem aplikacji.
• Transmisja: połączenia z usługą odbywają się przez HTTPS (TLS) zapewniany przez konfigurację serwera; przy połączeniu HTTPS aplikacja wysyła nagłówek HSTS.
• Ochrona przed nadużyciami: ograniczanie liczby prób logowania i innych żądań, automatyczna blokada po powtarzających się zdarzeniach bezpieczeństwa oraz ochrona publicznych formularzy przez Cloudflare Turnstile.
• Rejestrowanie zdarzeń: logi bezpieczeństwa przechowywane przez 90 dni i historia zmian w obszarach przechowywana przez 365 dni, w domyślnej konfiguracji usługi.
• Udostępnianie: linki do plików i ofert zawierają losowy token i mogą mieć termin ważności, a linki do plików także hasło; w trybie odzyskiwania obszaru publiczne linki nie działają.
• Kopie zapasowe: przed każdym wdrożeniem nowej wersji aplikacji wykonywana jest kopia zapasowa bazy danych.
• Organizacja: dostęp personelu operatora ograniczony do potrzeb utrzymania, wsparcia i bezpieczeństwa oraz objęty obowiązkiem poufności.

Załącznik C - dalsze podmioty przetwarzające

• OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francja: hosting aplikacji, baz danych, plików i kopii zapasowych oraz wysyłka poczty elektronicznej. Przetwarzanie w Europejskim Obszarze Gospodarczym.
• Anthropic: asystent AI (Claude API), wyłącznie gdy klient włączy asystenta w swoim obszarze. Dane mogą być przetwarzane poza EOG; mechanizmy transferu, w tym standardowe klauzule umowne, przewiduje umowa powierzenia Anthropic. Szczegóły opisuje Informacja o AI.
• Cloudflare, Inc. (USA): ochrona publicznych formularzy przez Cloudflare Turnstile. Otrzymuje token weryfikacji i metadane połączenia przeglądarki, bez treści obszaru. Podstawa transferu: decyzja Komisji Europejskiej w sprawie EU-US Data Privacy Framework, a pomocniczo standardowe klauzule umowne.
• imoje, usługa płatności ING Banku Śląskiego S.A. (Polska): płatności za moduły. Otrzymuje nazwę i adres e-mail organizacji, kwotę i identyfikator zamówienia, bez treści obszaru.
• Operatorzy usług push właściwi dla przeglądarki użytkownika: dostarczanie powiadomień push, wyłącznie gdy użytkownik je włączy. Treść powiadomienia jest przesyłana w postaci zaszyfrowanej.

Powiązane informacje

Regulamin · Polityka prywatności · Polityka cookies · Informacja o AI · Umowa powierzenia przetwarzania danych