Umowa Powierzenia Przetwarzania Danych (DPA)

§ 1. Przedmiot powierzenia

1. Administrator powierza Procesorowi przetwarzanie danych osobowych w celu i zakresie niezbędnym do wykonania Umowy Głównej dotyczącej korzystania z Platformy „Witly”.

2. Przetwarzanie odbywa się za pośrednictwem infrastruktur informatycznych Platformy, obejmując operacje takie jak zbieranie, utrwalanie, organizowanie, analizowanie, modyfikowanie, przechowywanie oraz usuwanie danych w imieniu Administratora.

3. Powierzenie obejmuje również dane przetwarzane w ramach aktywowanej przez Administratora usługi Witly Browse.

§ 2. Cel, charakter i czas trwania

Cel: Automatyzacja i wsparcie procesów sklepu internetowego Administratora przy użyciu Agentów AI, w tym wysyłka automatycznych wiadomości e-mail do klientów końcowych Administratora (sekwencje powitalne, przypomnienia o porzuconych koszykach, wiadomości po zakupie, kampanie newsletterowe) oraz generowanie poglądowych wizualizacji produktów na podstawie zdjęć przesłanych przez klientów końcowych (moduł wirtualnej aranżacji/przymiarki — § 3e Regulaminu) na zlecenie Administratora, a także obsługa wiadomości e-mail i rozmów na czacie kierowanych do Administratora, w tym przygotowanie i — na polecenie Administratora — wysyłka odpowiedzi, a jeżeli Administrator na to zezwolił, także zmiana adresu dostawy i anulowanie zamówienia na prośbę osoby, której zamówienie dotyczy (§ 3f ust. 6a Regulaminu).

Charakter: Przetwarzanie w systemach SaaS, w szczególności przetwarzanie danych w formie elektronicznej.

Czas trwania: Niniejsza umowa obowiązuje przez cały okres świadczenia Usługi na podstawie Umowy Głównej.

§ 3. Rodzaj danych i kategorie osób

1. Kategorie osób, których dane dotyczą

• klienci i użytkownicy sklepu Administratora;
• osoby kontaktujące się z Administratorem przez e-mail, czat lub formularze — także gdy nie są jego klientami — oraz osoby wymienione w treści tej korespondencji;
• osoby składające zamówienia oraz zgłaszające reklamacje.

2. Zakres powierzanych danych osobowych

• dane identyfikacyjne (imię, nazwisko);
• dane kontaktowe (adres e-mail, numer telefonu, adres dostawy);
• dane transakcyjne i komunikacyjne (historia zamówień, treść zapytań, logi kontaktu, adresy IP);
• treść wiadomości e-mail i rozmów na czacie oraz załączniki wiadomości (np. zdjęcia, dokumenty PDF) — załączniki wyłącznie gdy Administrator uruchomi przygotowanie projektu odpowiedzi dla danej wiadomości albo gdy zezwolił autopilotowi na odczyt załączników (opcja domyślnie wyłączona); bez tego zezwolenia w trybie automatycznym przetwarzana jest jedynie nazwa i typ załącznika; Administrator nie uruchamia tego przetwarzania dla wiadomości, których załączniki zawierają dane, o których mowa w art. 9 ust. 1 lub art. 10 RODO, skany dokumentów tożsamości albo wizerunki osób niezwiązane z obsługą zamówienia (§ 3f ust. 2a Regulaminu);
• dane operacyjne niezbędne do obsługi Agentów AI (kontekst rozmów, wcześniejsza korespondencja tej samej osoby, notatki operacyjne, artykuły wiedzy, przykłady podobnych rozmów budowane automatycznie z zakończonych rozmów, w których sklep odpowiedział, oraz z porównania projektu AI z odpowiedzią wysłaną — ze streszczeniem sprawy zamiast treści wiadomości klienta i polami do uzupełnienia w miejscu danych osób; bez załączników);
• logi działań Witly Browse (czas, akcja, wynik, oznaczenie Zweryfikowanej Strony);
• dane behawioralne zbierane przez skrypt analityczny witly.js: wyświetlenia stron, produktów i kategorii; kliknięcia w produkty i wyniki wyszukiwania (wraz z pozycją elementu); zapytania wyszukiwania; dodania do koszyka; przejścia przez etapy zamówienia i potwierdzenia zakupu; zawartość koszyka (produkty, wartość, waluta); identyfikator sesji przeglądarki; rozdzielczość ekranu;
• zdjęcia przesyłane przez klientów końcowych w ramach modułów Platformy (m.in. wirtualnej aranżacji/przymiarki — § 3e Regulaminu — oraz opinii produktowych), w tym wizerunek osoby przesyłającej (sylwetka lub twarz), wraz z wygenerowanymi obrazami wynikowymi.

Administrator nie powierza celowo danych szczególnych kategorii w rozumieniu art. 9 RODO ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO). Jeżeli poda je z własnej inicjatywy osoba kontaktująca się z Administratorem, Procesor przetwarza je tylko w zakresie potrzebnym do obsługi wiadomości. Dla uniknięcia wątpliwości: zdjęcia przesyłane przez klientów końcowych nie są przetwarzane przez Procesora metodami technicznymi umożliwiającymi jednoznaczną identyfikację osoby fizycznej (Procesor nie tworzy szablonów biometrycznych ani nie stosuje rozpoznawania twarzy), w związku z czym nie stanowią danych biometrycznych w rozumieniu art. 9 RODO (zgodnie z motywem 51 RODO).

§ 4. Obowiązki Procesora

Procesor zobowiązuje się do:

• przetwarzania danych wyłącznie na udokumentowane polecenie Administratora, w tym dotyczące transferu do państwa trzeciego;
• zapewnienia, aby osoby upoważnione do przetwarzania danych zachowały poufność i były odpowiednio przeszkolone;
• wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka, spełniających wymogi art. 32 RODO (m.in. kontrola dostępu, monitoring naruszeń, środki bezpieczeństwa transmisji danych);
• wspierania Administratora w realizacji obowiązków dotyczących praw osób, których dane dotyczą (art. 12–23 RODO);
• wspierania Administratora przy ocenie skutków dla ochrony danych (DPIA), audytach bezpieczeństwa i zgłaszaniu naruszeń do organu nadzorczego;
• po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usunięcia lub zwrócenia powierzonych danych, chyba że prawo wymaga ich dalszego przechowywania. Zwrot danych następuje w formacie wybranym przez Procesora i może wiązać się z dodatkową opłatą, jeśli wymaga pracy programistycznej wykraczającej poza standardowe operacje eksportu danych;
• udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków wynikających z niniejszej umowy i RODO, a także umożliwienia audytu na uzasadniony wniosek Administratora;
• niezwłocznego poinformowania Administratora, jeżeli jego zdaniem wydane polecenie narusza przepisy o ochronie danych;
• zgłoszenia Administratorowi naruszenia ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia;
• niewykorzystywania powierzonych danych do celów własnych, na rzecz innych klientów ani do trenowania modeli AI.

§ 5. Korzystanie z pod-procesorów

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z usług podwykonawców przetwarzających dane (Pod-procesorów), w tym dostawców hostingu, usług chmurowych oraz technologii AI wymienionych w Regulaminie świadczenia usług.

2. Na dzień zawarcia niniejszej umowy Procesor korzysta z następujących Pod-procesorów:

3. Procesor zobowiązuje się informować Administratora o planowanych zmianach listy Pod-procesorów, umożliwiając zgłoszenie uzasadnionego sprzeciwu.

4. Procesor zapewni, aby Pod-procesorzy byli związani co najmniej takimi samymi obowiązkami w zakresie ochrony danych jak wynikające z niniejszej umowy.

5. Procesor korzysta wyłącznie z wersji biznesowych/API usług Pod-procesorów AI, które gwarantują, że dane nie są wykorzystywane do trenowania modeli AI ani udostępniane osobom trzecim.

§ 6. Odpowiedzialność

1. Strony ponoszą odpowiedzialność za niewykonanie lub nienależyte wykonanie niniejszej umowy zgodnie z zasadami określonymi w Umowie Głównej, w szczególności w § 5 Regulaminu świadczenia usług.

2. Procesor nie ponosi odpowiedzialności za skutki wynikające z naruszenia niniejszej umowy przez Administratora lub z naruszenia przez Administratora przepisów o ochronie danych.

3. Wszelkie spory wynikłe na tle niniejszej umowy będą rozstrzygane zgodnie z prawem polskim przez sąd właściwy dla siedziby Procesora.