§ 1. Przedmiot powierzenia
1. Administrator powierza Procesorowi przetwarzanie danych osobowych w celu i zakresie niezbędnym do wykonania Umowy Głównej dotyczącej korzystania z Platformy „Witly”.
2. Przetwarzanie odbywa się za pośrednictwem infrastruktur informatycznych Platformy, obejmując operacje takie jak zbieranie, utrwalanie, organizowanie, analizowanie, modyfikowanie, przechowywanie oraz usuwanie danych w imieniu Administratora.
3. Powierzenie obejmuje również dane przetwarzane w ramach aktywowanej przez Administratora usługi Witly Browse.
§ 2. Cel, charakter i czas trwania
Cel: Automatyzacja i wsparcie procesów sklepu internetowego Administratora przy użyciu Agentów AI, w tym wysyłka automatycznych wiadomości e-mail do klientów końcowych Administratora (sekwencje powitalne, przypomnienia o porzuconych koszykach, wiadomości po zakupie, kampanie newsletterowe) na zlecenie Administratora.
Charakter: Przetwarzanie w systemach SaaS, w szczególności przetwarzanie danych w formie elektronicznej.
Czas trwania: Niniejsza umowa obowiązuje przez cały okres świadczenia Usługi na podstawie Umowy Głównej.
§ 3. Rodzaj danych i kategorie osób
1. Kategorie osób, których dane dotyczą
- klienci i użytkownicy sklepu Administratora;
- potencjalni klienci kontaktujący się poprzez formularze lub czaty;
- osoby składające zamówienia oraz zgłaszające reklamacje.
2. Zakres powierzanych danych osobowych
- dane identyfikacyjne (imię, nazwisko);
- dane kontaktowe (adres e-mail, numer telefonu, adres dostawy);
- dane transakcyjne i komunikacyjne (historia zamówień, treść zapytań, logi kontaktu, adresy IP);
- dane operacyjne niezbędne do obsługi Agentów AI (kontekst rozmów, notatki operacyjne);
- logi działań Witly Browse (czas, akcja, wynik, oznaczenie Zweryfikowanej Strony);
- dane behawioralne zbierane przez skrypt analityczny witly.js: wyświetlenia stron, produktów i kategorii; kliknięcia w produkty i wyniki wyszukiwania (wraz z pozycją elementu); zapytania wyszukiwania; dodania do koszyka; przejścia przez etapy zamówienia i potwierdzenia zakupu; zawartość koszyka (produkty, wartość, waluta); identyfikator sesji przeglądarki; rozdzielczość ekranu.
Administrator oświadcza, że nie będzie powierzania danych szczególnych kategorii w rozumieniu art. 9 RODO ani danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO).
§ 4. Obowiązki Procesora
Procesor zobowiązuje się do:
- przetwarzania danych wyłącznie na udokumentowane polecenie Administratora, w tym dotyczące transferu do państwa trzeciego;
- zapewnienia, aby osoby upoważnione do przetwarzania danych zachowały poufność i były odpowiednio przeszkolone;
- wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka, spełniających wymogi art. 32 RODO (m.in. kontrola dostępu, monitoring naruszeń, środki bezpieczeństwa transmisji danych);
- wspierania Administratora w realizacji obowiązków dotyczących praw osób, których dane dotyczą (art. 12–23 RODO);
- wspierania Administratora przy ocenie skutków dla ochrony danych (DPIA), audytach bezpieczeństwa i zgłaszaniu naruszeń do organu nadzorczego;
- po zakończeniu świadczenia Usługi, zależnie od decyzji Administratora, usunięcia lub zwrócenia powierzonych danych, chyba że prawo wymaga ich dalszego przechowywania. Zwrot danych następuje w formacie wybranym przez Procesora i może wiązać się z dodatkową opłatą, jeśli wymaga pracy programistycznej wykraczającej poza standardowe operacje eksportu danych;
- udostępniania Administratorowi informacji niezbędnych do wykazania spełnienia obowiązków wynikających z niniejszej umowy i RODO, a także umożliwienia audytu na uzasadniony wniosek Administratora.
§ 5. Korzystanie z pod-procesorów
1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z usług podwykonawców przetwarzających dane (Pod-procesorów), w tym dostawców hostingu, usług chmurowych oraz technologii AI wymienionych w Regulaminie świadczenia usług.
2. Na dzień zawarcia niniejszej umowy Procesor korzysta z następujących Pod-procesorów AI:
| Nazwa | Siedziba | Cel przetwarzania | Podstawa transferu |
|---|---|---|---|
| Anthropic, PBC | San Francisco, USA | Przetwarzanie zapytań przez modele językowe AI (Claude) | Standardowe klauzule umowne (SCC) / DPF |
| Google LLC | Mountain View, USA | Przetwarzanie zapytań przez modele językowe AI (Gemini) | EU-US Data Privacy Framework (DPF) / SCC |
| OpenAI Ireland Limited | Dublin, Irlandia (przetwarzanie: USA/EU) | Przetwarzanie zapytań przez modele językowe AI (GPT) | Standardowe klauzule umowne (SCC) |
3. Procesor zobowiązuje się informować Administratora o planowanych zmianach listy Pod-procesorów, umożliwiając zgłoszenie uzasadnionego sprzeciwu.
4. Procesor zapewni, aby Pod-procesorzy byli związani co najmniej takimi samymi obowiązkami w zakresie ochrony danych jak wynikające z niniejszej umowy.
5. Procesor korzysta wyłącznie z wersji biznesowych/API usług Pod-procesorów AI, które gwarantują, że dane nie są wykorzystywane do trenowania modeli AI ani udostępniane osobom trzecim.
§ 6. Odpowiedzialność
1. Strony ponoszą odpowiedzialność za niewykonanie lub nienależyte wykonanie niniejszej umowy zgodnie z zasadami określonymi w Umowie Głównej, w szczególności w § 5 Regulaminu świadczenia usług.
2. Procesor nie ponosi odpowiedzialności za skutki wynikające z naruszenia niniejszej umowy przez Administratora lub z naruszenia przez Administratora przepisów o ochronie danych.
3. Wszelkie spory wynikłe na tle niniejszej umowy będą rozstrzygane zgodnie z prawem polskim przez sąd właściwy dla siedziby Procesora.