Wersja z 22 października 2026 r.
Umowa powierzenia przetwarzania danych osobowych
Umowa (art. 28 RODO) zawierana jest w panelu klienta czat.iwaszka.pl/konto razem z akceptacją Regulaminu usługi — przez zaznaczenie pola „Zawieram umowę powierzenia przetwarzania danych” (forma elektroniczna, art. 28 ust. 9 RODO). Panel zapisuje wersję umowy, skrót jej treści, datę oraz konto, z którego ją zawarto.
Strony: Klient — przedsiębiorca albo instytucja, dla której założono konto w panelu (dane z zamówienia), jako Administrator; oraz Jacek Iwaszkiewicz, prowadzący działalność gospodarczą pod firmą Iwaszka Jacek Iwaszkiewicz, Odonów 168, 28-500 Kazimierza Wielka, NIP 795-25-38-265, jako Podmiot przetwarzający. Umowa jest związana z umową o świadczenie usługi „Czat AI · Iwaszka” (dalej: Umowa główna).
§ 1. Przedmiot, charakter i cel
- Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych wyłącznie w celu świadczenia Usługi: prowadzenia rozmów asystenta AI z odwiedzającymi strony Administratora, przekazywania spraw „Napisz do nas” na adres wskazany przez Administratora, wyszukiwania w katalogu i — gdy Usługa to obejmuje — obsługi zapytań zalogowanych klientów sklepu Administratora, raportów i propozycji poprawek.
- Charakter przetwarzania: zbieranie (rozmowa), zapisywanie, przechowywanie, przekazywanie do modelu AI w celu przygotowania odpowiedzi, przekazywanie mailem do Administratora, wyświetlanie Administratorowi w panelu (z zamaskowanymi adresami e-mail i numerami telefonów), usuwanie.
- Czas: przez okres obowiązywania Umowy głównej oraz do usunięcia danych zgodnie z § 7.
§ 2. Rodzaj danych i kategorie osób
- Odwiedzający strony Administratora: treść wiadomości w czacie (w tym dane, które odwiedzający sam poda), ocena odpowiedzi, skrót adresu IP utworzony tajnym kluczem (bez samego adresu IP), czas i język rozmowy.
- Osoby wysyłające sprawę „Napisz do nas”: imię, adres e-mail, treść wiadomości, zapis rozmowy i jej streszczenie.
- Zalogowani klienci sklepu Administratora (gdy Usługa to obejmuje): identyfikator konta, imię, dane zamówień i zgłoszeń pokazywane przez sklep w odpowiedzi na pytanie klienta.
Usługa nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO). Asystent o nie nie pyta, a polityka prywatności prosi odwiedzających, by ich nie podawali. Jeżeli odwiedzający je poda, są przetwarzane wyłącznie jako treść rozmowy i usuwane w terminach z § 7.
§ 3. Obowiązki Podmiotu przetwarzającego
Podmiot przetwarzający:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora — Umowa główna, niniejsza umowa i ustawienia w panelu stanowią takie polecenie; o poleceniu, które jego zdaniem narusza prawo, niezwłocznie informuje Administratora;
- zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy;
- stosuje środki bezpieczeństwa z § 5;
- korzysta z dalszych podmiotów przetwarzających wyłącznie na zasadach § 4;
- pomaga Administratorowi w odpowiadaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, sprzeciw) — w szczególności wyszukuje i usuwa rozmowy wskazanej osoby w ciągu 7 dni od prośby;
- pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO, w tym zgłasza mu naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, z informacjami z art. 33 ust. 3 RODO;
- po zakończeniu Usługi usuwa albo zwraca dane zgodnie z § 7;
- udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków i umożliwia audyt (§ 6).
§ 4. Dalsze podmioty przetwarzające
Administrator wyraża ogólną zgodę na korzystanie z dalszych podmiotów przetwarzających następujących rodzajów:
- Dostawca modelu AI — model językowy przygotowujący odpowiedzi; przetwarza treść rozmowy przez API. Dostawca może mieć siedzibę poza Europejskim Obszarem Gospodarczym — transfer na podstawie standardowych klauzul umownych (decyzja Komisji (UE) 2021/914). Dostawca nie trenuje modeli na danych z API i usuwa je w ciągu 30 dni (dłużej wyłącznie przy naruszeniu zasad korzystania albo z obowiązku prawnego).
- Dostawca serwera — serwer, na którym działa Usługa i baza rozmów; centrum danych w Unii Europejskiej.
- Dostawca poczty i kopii zapasowych — wysyłka maili (sprawy, kody logowania, powiadomienia) oraz przechowywanie szyfrowanych kopii zapasowych; transfery poza EOG na podstawie standardowych klauzul umownych.
Nazwy, siedziby i podstawy transferu tych podmiotów zawiera lista dalszych podmiotów przetwarzających, udostępniona Administratorowi w panelu klienta (czat.iwaszka.pl/konto, karta „Regulamin i umowa powierzenia”) przed zawarciem umowy i przez cały czas jej obowiązywania. Lista jest częścią tej umowy.
- O zamiarze dodania albo zmiany dalszego podmiotu Podmiot przetwarzający informuje Administratora mailem co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw; jeżeli strony się nie porozumieją, Administrator może wypowiedzieć Umowę główną ze skutkiem natychmiastowym.
- Podmiot przetwarzający nakłada na dalsze podmioty obowiązki ochrony danych nie mniejsze niż w tej umowie i odpowiada wobec Administratora za ich wykonanie (art. 28 ust. 4 RODO).
- Jeżeli Administrator korzysta z podglądu rozmów we własnym systemie (Regulamin § 2 ust. 5), sam odpowiada za nadanie i odebranie dostępu do tego podglądu swoim pracownikom.
§ 5. Środki bezpieczeństwa (art. 32 RODO)
- Połączenia szyfrowane (HTTPS, HSTS); okienko czatu bez plików cookie; rozmowa dostępna tylko z jednorazowym kluczem w przeglądarce odwiedzającego.
- Adres IP odwiedzającego nie jest zapisywany — tylko skrót utworzony tajnym kluczem; dzienniki serwera bez adresów IP i bez treści rozmów.
- Panel klienta: logowanie kodem z maila (limity prób, blokada), sesja z ochroną przed fałszywymi żądaniami; Administrator widzi wyłącznie swoje strony, a adresy e-mail i numery telefonów w rozmowach są maskowane.
- Filtr odpowiedzi zatrzymujący liczby, adresy e-mail i domeny spoza wiedzy strony; klucze dostępu poza bazą danych.
- Serwer łączy się wyłącznie z adresami publicznymi (zapora wyjściowa); witryna Administratora jest czytana jak przez zwykłego gościa — bez logowania i bez wysyłania formularzy.
- Kopie zapasowe szyfrowane (AES-256) przed wysłaniem poza serwer, z próbą odtworzenia; dostęp administracyjny do serwera wyłącznie kluczem SSH; zmiany oprogramowania przez procedurę wdrożenia ze sprawdzianami.
§ 6. Audyt
- Administrator może raz w roku (i dodatkowo po naruszeniu ochrony danych) przeprowadzić audyt — w pierwszej kolejności przez kwestionariusz i dokumenty, a jeżeli to nie wystarczy — przez audytora zobowiązanego do poufności, po uzgodnieniu terminu z 14-dniowym wyprzedzeniem.
- Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie tej umowy.
§ 7. Okresy przechowywania i usunięcie danych
- Rozmowy — 90 dni od ostatniej wiadomości; rozmowy ze sprawą „Napisz do nas” i rozmowy zalogowanych klientów sklepu — 12 miesięcy; dane usuwane są automatycznie (codzienna retencja).
- Szyfrowane kopie zapasowe — dzienne 30 dni, miesięczne 12 miesięcy; dane usunięte z bazy znikają z kopii po upływie tych okresów.
- Po zakończeniu Umowy głównej Podmiot przetwarzający — według wyboru Administratora zgłoszonego w ciągu 14 dni — przekazuje mu eksport rozmów, a następnie usuwa dane z bazy w ciągu 30 dni; kopie zapasowe wygasają w terminach z ust. 2. Na żądanie potwierdza usunięcie w formie dokumentowej.
§ 8. Postanowienia końcowe
- Odpowiedzialność stron za szkody wynikłe z naruszenia przepisów o ochronie danych określa art. 82 RODO.
- Umowa obowiązuje przez okres Umowy głównej. Zmiany wymagają formy dokumentowej (mail albo akceptacja nowej wersji w panelu).
- W sprawach nieuregulowanych stosuje się RODO, przepisy prawa polskiego i Umowę główną. W razie sprzeczności w sprawach ochrony danych pierwszeństwo ma ta umowa.
- Umowa jest dostępna także w języku angielskim — wyłącznie dla wygody. W razie rozbieżności rozstrzyga wersja polska.