Umowa powierzenia przetwarzania danych

Załącznik nr 2 do Regulaminu serwisu ConverterSEO

§ 1. Strony i charakter umowy

1. Umowa stanowi Załącznik nr 2 do Regulaminu i wiąże strony od chwili zaakceptowania Regulaminu. Nie wymaga odrębnego podpisu.
2. Administratorem danych powierzonych na podstawie tej Umowy jest Klient.
3. Podmiotem przetwarzającym jest DESEO DESIGN sp. z o.o., al. Korfantego 125a, 40-156 Katowice, KRS 0000975111 (dalej: Przetwarzający).
4. Umowa realizuje obowiązek z art. 28 ust. 3 rozporządzenia 2016/679 (RODO).

§ 2. Rozgraniczenie ról

1. Powierzeniu podlegają wyłącznie dane zawarte w plikach graficznych przesyłanych przez Klienta do przetworzenia oraz adres strony internetowej, z której zapytanie pochodzi.
2. W odniesieniu do danych samego Klienta — adresu poczty elektronicznej, nazwy firmy, Profilu firmy, Kluczy licencyjnych, danych subskrypcji i statystyk zużycia — Przetwarzający jest samodzielnym administratorem, a nie podmiotem przetwarzającym. Zasady ich przetwarzania określa Polityka prywatności.
3. Rozgraniczenie z ust. 1 i 2 jest istotne: te same przepisy nakładają na administratora i na podmiot przetwarzający różne obowiązki.

§ 3. Przedmiot, cel i zakres powierzenia

1. Cel: wygenerowanie metadanych dla pliku graficznego — tytułu, tekstu alternatywnego, opisu oraz propozycji nazwy pliku.
2. Kategorie danych: dane osobowe, które mogą znajdować się w treści plików graficznych, w szczególności wizerunki osób fizycznych, a także dane zawarte w metadanych plików, jeżeli Klient ich nie usunął.
3. Kategorie osób, których dane dotyczą: osoby widoczne na plikach graficznych przesyłanych przez Klienta, w tym pracownicy, klienci i kontrahenci Klienta.
4. Charakter przetwarzania: przesłanie, odczyt i analiza obrazu, przekazanie podprzetwarzającemu, zwrócenie wyniku. Przetwarzanie jest jednorazowe i nietrwałe.
5. Czas przetwarzania: czas realizacji pojedynczego zapytania. Przetwarzający nie zapisuje ani nie przechowuje przesłanych plików graficznych — ani w bazie danych, ani na dysku, ani w logach.
6. Klient nie ma obowiązku przesyłania plików zawierających dane osobowe. Decyzja o tym, co przesyła, należy wyłącznie do niego.

§ 4. Obowiązki Przetwarzającego

Przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie na udokumentowane polecenie Klienta, którym jest każde zapytanie wysłane z Wtyczki lub panelu;
2. nie wykorzystywać powierzonych danych do własnych celów, w szczególności nie wykorzystywać przesłanych plików do trenowania modeli ani do budowy zbiorów danych;
3. zapewnić, aby dostęp do danych miały wyłącznie osoby upoważnione, zobowiązane do zachowania poufności;
4. stosować środki techniczne i organizacyjne odpowiadające ryzyku, w tym szyfrowanie transmisji (HTTPS), uwierzytelnianie zapytań Kluczem licencyjnym oraz ograniczenie dostępu do serwerów;
5. pomagać Klientowi w wykonywaniu obowiązków wynikających z art. 32–36 RODO, w szczególności przy zgłaszaniu naruszeń i przy ocenie skutków dla ochrony danych;
6. pomagać Klientowi w realizacji żądań osób, których dane dotyczą — z tym że ze względu na brak przechowywania plików graficznych Przetwarzający nie dysponuje danymi, które mógłby wydać, sprostować lub usunąć;
7. zawiadomić Klienta o naruszeniu ochrony powierzonych danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego wykrycia;
8. po zakończeniu świadczenia usług usunąć wszelkie dane powierzone — obowiązek ten jest spełniony z chwilą zakończenia każdego zapytania, ponieważ dane nie są przechowywane;
9. udostępniać Klientowi informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwiać audyt na zasadach z § 7.

§ 5. Obowiązki Klienta

1. Klient oświadcza, że posiada podstawę prawną przetwarzania danych zawartych w przesyłanych plikach oraz prawa do tych plików.
2. Klient odpowiada za spełnienie obowiązku informacyjnego wobec osób, których dane dotyczą, w tym za poinformowanie ich o korzystaniu z ConverterSEO, jeżeli jest to wymagane.
3. Klient nie przesyła plików zawierających dane szczególnych kategorii (art. 9 RODO) ani danych dotyczących wyroków skazujących, chyba że wcześniej ustali z Przetwarzającym odrębne warunki.

§ 6. Podprzetwarzający

1. Klient wyraża ogólną zgodę na korzystanie z podprzetwarzających.
2. Na dzień zawarcia Umowy Przetwarzający korzysta z:

3. Przetwarzający informuje Klienta o zamierzonej zmianie listy podprzetwarzających co najmniej 30 dni przed jej wprowadzeniem, publikując informację w Serwisie i wysyłając ją pocztą elektroniczną. Klient może wnieść sprzeciw, a wówczas jest uprawniony do wypowiedzenia umowy o świadczenie usług bez zachowania terminu i bez ponoszenia kosztów.
4. Przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych nie mniejsze niż wynikające z tej Umowy i odpowiada za ich działania jak za własne.

§ 7. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Analiza obrazu odbywa się u podprzetwarzającego mającego siedzibę w Stanach Zjednoczonych, co stanowi przekazanie danych do państwa trzeciego.
2. Podstawą przekazania są standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji Europejskiej (UE) 2021/914 z 4 czerwca 2021 r., zawarte w dokumencie Data Processing Addendum Anthropic PBC, stanowiącym część umowy Przetwarzającego z tym podmiotem.
3. Ponieważ Przetwarzający występuje wobec Klienta jako podmiot przetwarzający, zastosowanie ma Moduł trzeci klauzul — przekazanie od podmiotu przetwarzającego do podmiotu przetwarzającego.
4. Anthropic PBC nie powołuje się w tym dokumencie na certyfikację w ramach EU–US Data Privacy Framework. Podstawą przekazania pozostają klauzule umowne, o których mowa w ust. 2.
5. Aktualną listę dalszych podprzetwarzających Anthropic PBC publikuje pod adresem trust.anthropic.com/subprocessors.
6. Pozostałe operacje przetwarzania odbywają się na serwerze w Polsce.

§ 8. Audyt

1. Klient ma prawo skontrolować sposób wykonywania Umowy.
2. Kontrolę zgłasza się z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku kalendarzowym, z zastrzeżeniem kontroli po naruszeniu ochrony danych, którą można przeprowadzić niezwłocznie.
3. Kontrola nie może naruszać tajemnicy przedsiębiorstwa Przetwarzającego ani ochrony danych innych klientów.
4. Przetwarzający może wykazać spełnienie obowiązków, przedstawiając wyniki własnych audytów lub dokumentację techniczną.

§ 9. Odpowiedzialność

1. Każda ze stron odpowiada za szkody wyrządzone przetwarzaniem niezgodnym z RODO, na zasadach określonych w art. 82 RODO.
2. Ograniczenie odpowiedzialności z § 13 Regulaminu stosuje się także do tej Umowy, w zakresie dopuszczalnym przez przepisy prawa.

§ 10. Czas trwania i postanowienia końcowe

1. Umowa obowiązuje przez czas obowiązywania umowy o świadczenie usług ConverterSEO i wygasa razem z nią.
2. Zmiany Umowy następują na zasadach zmiany Regulaminu (§ 15 Regulaminu).
3. W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie.
4. Umowa obowiązuje od dnia 24 sierpnia 2026 r.