Umowa powierzenia przetwarzania danych (DPA)
- §1 Strony i role
- §2 Charakter i cel
- §3 Rodzaje danych
- §4 Obowiązki Procesora
- §5 SMS po rozmowie
- §6 Podprocesorzy
- Załącznik A — Kategorie podprocesorów
- §7 Retencja i usuwanie
- §8 Transfer, audyt, czas trwania
§1 Strony i role
- Klient jest Administratorem danych osób dzwoniących / klientów końcowych w ramach Usługi.
- Celestial Agency — [PEŁNA NAZWA INKUBATORA], [ADRES], KRS [KRS], NIP [NIP], REGON [REGON] („Procesor”) — przetwarza dane na udokumentowane polecenie Klienta, zgodnie z Regulaminem.
- Niniejsze DPA stanowi umowę powierzenia w rozumieniu art. 28 RODO i jest integralną częścią relacji umownej z Klientem.
§2 Charakter i cel przetwarzania
- Odbiór i obsługa połączeń głosowych (w tym nagrania / transkrypcje, gdy włączone).
- Umawianie terminów i przekazywanie leadów według scenariusza Klienta.
- SMS / e-mail po rozmowie (np. link do wizyty lub opinii), jeśli aktywowane — zob. §5.
- Wsparcie techniczne i poprawa jakości w ramach utrzymania Usługi.
- Synchronizacja z narzędziami wskazanymi przez Klienta (kalendarz, CRM), w zakresie niezbędnym do wyniku operacyjnego.
§3 Rodzaje danych i osoby
Typowo: numer telefonu, treść rozmowy / transkrypcja, imię / dane podane przez dzwoniącego, dane wizyty, ewentualnie adres e-mail, metadane połączenia. Kategorie osób: klienci / leady / kontrahenci Klienta. Klient nie powinien celowo przekazywać Procesorowi danych szczególnych kategorii, chyba że uzgodniono to osobno i zapewniono podstawę prawną.
§4 Obowiązki Procesora
- Przetwarzanie wyłącznie zgodnie z umową i poleceniami Klienta (w tym niniejszym DPA).
- Zachowanie poufności przez osoby upoważnione.
- Wdrożenie odpowiednich środków technicznych i organizacyjnych (szyfrowanie w tranzycie, ograniczenie dostępu, logi operacyjne).
- Pomoc Klientowi w realizacji praw osób oraz w zgłoszeniach naruszeń — bez zbędnej zwłoki. Procesor powiadamia Klienta o naruszeniu ochrony danych w terminie 48 godzin od stwierdzenia, o ile dotyczy danych powierzonych.
- Brak wykorzystywania treści rozmów do trenowania publicznych modeli AI lub własnych celów marketingowych Procesora.
- Po zakończeniu Usługi: usunięcie lub zwrot danych, o ile prawo nie wymaga dłuższego przechowywania.
§5 SMS po rozmowie (wiadomości follow-up)
- Na życzenie Klienta Celestial Agency może skonfigurować automatyczne wysyłanie wiadomości SMS do rozmówców po zakończeniu rozmowy z asystentem głosowym.
-
Numer nadawcy SMS może być:
- numerem / nadawcą Celestial Agency (konfiguracja demonstracyjna / testowa), albo
- numerem wirtualnym przypisanym do usługi Klienta (konfiguracja produkcyjna — numer z konta Klienta lub numer wirtualny w ramach infrastruktury telefonicznej).
- SMS wysyłany jest wyłącznie po rozmowie spełniającej kryteria jakościowe (meaningful call) i nie po spamie, pomyłce lub bardzo krótkich połączeniach.
-
Klient jest odpowiedzialny za zapewnienie odpowiedniej podstawy prawnej do wysyłania SMS
do swoich rozmówców, w szczególności:
- połączenia przychodzące: SMS jako kontynuacja obsługi zainicjowanej przez rozmówcę — Klient informuje o praktyce (np. w rozmowie),
- połączenia wychodzące: wyraźna zgoda rozmówcy przed wysłaniem SMS.
§6 Podprocesorzy
- Klient upoważnia Procesora do korzystania z podprocesorów niezbędnych do Usługi, w kategoriach wskazanych w Załączniku A. Szczegółową listę podmiotów Procesor udostępnia Klientowi na żądanie.
- O istotnej zmianie podprocesora Procesor informuje z co najmniej 14-dniowym wyprzedzeniem e-mailem. Klient może zgłosić sprzeciw z ważnych powodów związanych z ochroną danych.
Załącznik A — Kategorie podprocesorów
Dotyczy wyłącznie danych rozmówców Klienta powierzonych w ramach Usługi Voice (nie danych rozliczeniowych Klienta ani witryny marketingowej). Procesor może korzystać z podprocesorów w poniższych rolach — w zakresie niezbędnym do świadczenia Usługi:
- infrastruktura telekomunikacyjna i numeracja (połączenia głosowe),
- infrastruktura głosowa, rozpoznawania i syntezy mowy oraz modeli językowych,
- automatyzacja przepływu danych i integracji,
- operator wiadomości tekstowych (gdy funkcja włączona),
- narzędzia kalendarza lub CRM wskazane przez Klienta (gdy skonfigurowane),
- hosting i infrastruktura chmurowa przetwarzająca dane powierzone.
Transfer poza EOG — wyłącznie z zabezpieczeniami zgodnymi z RODO (np. SCC). Aktualną listę podmiotów w tych kategoriach Klient może uzyskać na żądanie (kontakt w §8).
§7 Retencja i usuwanie
Dane operacyjne (nagrania, transkrypcje) przechowujemy standardowo 30 dni, chyba że Klient ustali inaczej. Po zakończeniu Usługi usuwamy lub zwracamy dane powierzone w tym samym terminie, o ile prawo nie wymaga dłużej.
§8 Transfer, audyt, czas trwania
- Jeśli podprocesor przetwarza dane poza EOG, Procesor zapewnia mechanizm zgodny z RODO (np. standardowe klauzule umowne) lub korzysta z podmiotu z adekwatną ochroną.
- Klient może żądać informacji o środkach bezpieczeństwa. Audyty on-site / zewnętrzne — po uzgodnieniu zakresu, z zachowaniem poufności; na etapie inkubatora preferowane są kwestionariusze i oświadczenia.
- DPA obowiązuje przez okres świadczenia Usługi i przetwarzania danych na jej potrzeby. Postanowienia o poufności trwają odpowiednio dłużej.
- Kontakt Procesora: kontakt@celestial-growth.pl, +48 95 780 0300.
Szablon DPA na etapie inkubatora — nie zastępuje indywidualnej umowy prawnej ani porady prawnej.