Umowa powierzenia przetwarzania danych

1. Przedmiot i czas trwania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usługi telefonicznego asystenta AI Telofia, na czas obowiązywania umowy o świadczenie usługi oraz przez okres niezbędny do usunięcia lub zwrotu danych po jej zakończeniu.

2. Charakter i cel przetwarzania

Odbieranie i prowadzenie rozmów telefonicznych i internetowych, rozpoznawanie i synteza mowy, generowanie odpowiedzi przez modele językowe, umawianie wizyt i przekazywanie rozmów, wysyłanie SMS-ów i e-maili związanych z rozmową, sporządzanie nagrań (jeżeli Administrator je włączył), transkrypcji, podsumowań i ocen jakości rozmów, przechowywanie historii rozmów oraz synchronizacja z integracjami podłączonymi przez Administratora.

3. Kategorie danych i osób, których dane dotyczą

Osoby, których dane dotyczą: osoby dzwoniące do Administratora lub rozmawiające z jego asystentem, klienci i kontakty Administratora oraz jego personel.

Kategorie danych: numery telefonów, imiona i nazwiska, adresy e-mail, nagrania głosu, transkrypcje i podsumowania rozmów, szczegóły wizyt i zgłoszeń oraz inne informacje przekazane przez rozmówców. Administrator nie powinien konfigurować asystenta w sposób, który prowadzi do zbierania szczególnych kategorii danych (art. 9 RODO), jeżeli nie jest to niezbędne i nie ma do tego podstawy prawnej.

4. Polecenia Administratora

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym są w szczególności Regulamin, niniejsza Umowa powierzenia i ustawienia wybrane przez Administratora w panelu (np. włączenie nagrywania, okres przechowywania, integracje). Jeżeli polecenie w ocenie Podmiotu przetwarzającego narusza przepisy o ochronie danych, Podmiot przetwarzający niezwłocznie informuje o tym Administratora.

5. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający: zapewnia, aby osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności; wdraża odpowiednie środki techniczne i organizacyjne (art. 32 RODO); pomaga Administratorowi w realizacji żądań osób, których dane dotyczą, oraz w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO; nie wykorzystuje powierzonych danych do własnych celów, w tym do trenowania modeli sztucznej inteligencji.

6. Podprocesorzy

Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych na stronie podprocesorów. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych nie mniej rygorystyczne niż wynikające z niniejszej Umowy powierzenia i odpowiada za ich działania jak za własne. O zamierzonych zmianach listy Podmiot przetwarzający informuje z co najmniej 14-dniowym wyprzedzeniem; Administrator może w tym terminie zgłosić uzasadniony sprzeciw, a w razie braku porozumienia — wypowiedzieć umowę.

7. Przekazywanie danych do państw trzecich

Dane są przechowywane przede wszystkim w UE (Frankfurt). Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony (w tym Ram ochrony danych UE–USA) lub standardowych klauzul umownych wraz ze środkami uzupełniającymi.

8. Środki bezpieczeństwa

Szyfrowanie transmisji i danych w spoczynku, szyfrowanie tokenów integracji, kontrola dostępu i zasada minimalnych uprawnień, logiczna separacja danych klientów, prywatny magazyn nagrań z dostępem przez krótkotrwałe podpisane odnośniki, rejestrowanie zdarzeń, kopie zapasowe, zarządzanie podatnościami oraz procedury reagowania na incydenty.

9. Naruszenia ochrony danych osobowych

Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki — w miarę możliwości w ciągu 48 godzin — po stwierdzeniu naruszenia ochrony danych osobowych i przekazuje informacje niezbędne do dokonania przez Administratora zgłoszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą.

10. Przechowywanie, usunięcie i zwrot danych

Nagrania i transkrypcje są przechowywane przez okres ustawiony przez Administratora w panelu (Tryb prywatności) albo do ich usunięcia przez Administratora. Po zakończeniu umowy Podmiot przetwarzający — według wyboru Administratora zgłoszonego na adres support@aiagenthub.pl — zwraca lub usuwa powierzone dane w terminie 30 dni, chyba że przepisy prawa nakazują ich dalsze przechowywanie.

11. Audyty i odpowiedzialność

Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO i umożliwia przeprowadzanie audytów, w tym inspekcji, po uprzednim zawiadomieniu z co najmniej 14-dniowym wyprzedzeniem, nie częściej niż raz w roku (chyba że doszło do naruszenia ochrony danych). Do odpowiedzialności stron stosuje się postanowienia Regulaminu, z zastrzeżeniem art. 82 RODO.