Umowa Powierzenia Przetwarzania Danych Osobowych

Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej: „Umowa" lub „DPA") zawierana jest pomiędzy:

Umowa wchodzi w życie z chwilą akceptacji Regulaminu OdbierzAI przez Operatora i obowiązuje przez cały czas trwania subskrypcji.

Expathia przetwarza dane osobowe w imieniu Operatora wyłącznie w celu świadczenia usługi OdbierzAI — automatycznej obsługi połączeń telefonicznych przychodzących do placówki Operatora.

Zakres danych osobowych objętych powierzeniem:

Expathia nie przetwarza danych medycznych w rozumieniu art. 9 RODO (dokumentacji medycznej, diagnoz, wyników badań). Dane podane przez rozmówcę w rozmowie mogą zawierać ogólne informacje o zdrowiu (np. “ból zęba”) — są one traktowane jak dane zwykłe i nie są analizowane poza kontekstem rezerwacji.

Expathia zobowiązuje się do:

• Przetwarzania danych osobowych wyłącznie na udokumentowane polecenie Administratora (Operatora) i wyłącznie w celach określonych w §2.
• Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
• Wdrożenia środków technicznych i organizacyjnych zapewniających odpowiedni poziom bezpieczeństwa (szyfrowanie danych w spoczynku AES-256, szyfrowanie transmisji TLS 1.3, kontrola dostępu oparta na UUID tenantów, logi dostępu).
• Przestrzegania warunków korzystania z usług podprzetwarzających (§5) i nieangażowania nowych podprzetwarzających bez uprzedniego poinformowania Operatora.
• Uwzględniania charakteru przetwarzania i udzielania Operatorowi pomocy w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO).
• Usunięcia lub zwrotu wszystkich danych osobowych po zakończeniu świadczenia usług, zgodnie z §6.
• Udostępniania wszelkich informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwienia przeprowadzenia audytów.
• Niezwłocznego (nie później niż w ciągu 72 godzin) informowania Operatora o każdym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych.

Operator jako Administrator jest odpowiedzialny za:

• Posiadanie ważnej podstawy prawnej przetwarzania danych rozmówców (pacjentów, klientów) — w szczególności dla gabinetów medycznych: zgody RODO i spełnienie wymogów ustawy o prawach pacjenta.
• Poinformowanie rozmówców o tym, że rozmowę odbiera system AI (obowiązek wynikający z art. 52 EU AI Act — OdbierzAI realizuje ten obowiązek przez komunikat powitalny).
• Konfigurację nagrywania rozmów zgodnie z obowiązującym prawem — dla gabinetów medycznych i kancelarii prawnych wymagane jest włączenie bramki zgody DTMF.
• Odpowiadanie na żądania osób, których dane dotyczą, w zakresie danych przetwarzanych przez OdbierzAI (Expathia udziela wsparcia technicznego na żądanie).
• Nieudostępnianie innym podmiotom danych osobowych uzyskanych za pośrednictwem OdbierzAI bez odrębnej podstawy prawnej.

Operator upoważnia Expathia do korzystania z następujących podprzetwarzających w celu świadczenia usługi:

Expathia zobowiązuje się do poinformowania Operatora o wszelkich planowanych zmianach dotyczących podprzetwarzających z 30-dniowym wyprzedzeniem, umożliwiając Operatorowi zgłoszenie sprzeciwu.

Po rozwiązaniu umowy z Operatorem wszystkie dane są usuwane w ciągu 30 dni, z wyjątkiem danych wymaganych przez przepisy prawa (np. dane finansowe — 5 lat).

Expathia wdrożyła następujące środki techniczne i organizacyjne:

• Szyfrowanie danych w spoczynku: AES-256-GCM (Cloud SQL, Cloud Storage)
• Szyfrowanie transmisji: TLS 1.3 dla wszystkich połączeń API i WebSocket
• Izolacja danych: każdy Operator ma unikalny UUID tenant — dane różnych Operatorów nigdy nie są mieszane
• Kontrola dostępu: JWT z czasem ważności, role (admin/user), oddzielne klucze per środowisko
• Sekrety: wszystkie klucze API i hasła przechowywane w GCP Secret Manager, nie w kodzie
• Monitorowanie: Sentry (logi błędów), Cloud Logging (logi dostępu), alerty na anomalie
• Kopie zapasowe: automatyczne backupy Cloud SQL co 24h, retencja 7 dni
• Testy bezpieczeństwa: testy jednostkowe obejmujące scenariusze ataków (SQL injection, XSS, IDOR)

W przypadku żądania osoby dzwoniącej (rozmówcy) dotyczącego jej danych (prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia — art. 15–20 RODO):

1. Rozmówca kieruje żądanie do Operatora (gabinetu, firmy) — to Operator jest administratorem danych rozmówcy.
2. Operator realizuje żądanie korzystając z panelu OdbierzAI (usunięcie nagrań, transkrypcji) lub przekazuje je do Expathia.
3. Expathia odpowiada na żądania przekazane przez Operatora w ciągu 5 dni roboczych.
4. W wyjątkowych przypadkach rozmówca może kontaktować się bezpośrednio z Expathia pod adresem: dpo@odbierz.ai

W przypadku stwierdzenia naruszenia ochrony danych osobowych dotyczącego powierzonych danych Expathia zobowiązuje się:

• Poinformować Operatora bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od wykrycia.
• Przekazać co najmniej: opis charakteru naruszenia, kategorie i przybliżoną liczbę osób, możliwe konsekwencje, podjęte środki zaradcze.
• Udzielić Operatorowi pomocy w realizacji obowiązku zgłoszenia naruszenia do UODO (art. 33 RODO) i powiadomienia osób (art. 34 RODO), jeśli jest wymagane.

Kanał zgłoszeń bezpieczeństwa dla Operatorów: security@odbierz.ai

Expathia nie ma ustawowego obowiązku powołania Inspektora Ochrony Danych (IOD/DPO) na podstawie art. 37 RODO (mała firma, brak przetwarzania na dużą skalę danych szczególnych kategorii).

W sprawach ochrony danych osobowych Operator może kontaktować się z wyznaczonym punktem kontaktowym ds. RODO: dpo@odbierz.ai

Operator ma prawo do przeprowadzenia audytu zgodności Expathia z niniejszą Umową, nie częściej niż raz na 12 miesięcy, pod warunkiem:

• Pisemnego powiadomienia Expathia z co najmniej 30-dniowym wyprzedzeniem.
• Prowadzenia audytu w godzinach pracy, bez naruszania działalności operacyjnej.
• Podpisania przez audytora zobowiązania do zachowania poufności.

Expathia udostępnia na żądanie certyfikaty bezpieczeństwa, wyniki testów penetracyjnych i polityki bezpieczeństwa w zakresie nienaruszającym tajemnicy handlowej.

Niniejsza Umowa wygasa automatycznie z chwilą rozwiązania umowy o świadczenie usługi OdbierzAI. Po wygaśnięciu Expathia usuwa wszystkie powierzone dane zgodnie z §6.

W sprawach nieuregulowanych niniejszą Umową zastosowanie mają przepisy RODO oraz prawa polskiego. Sądem właściwym jest sąd właściwy dla siedziby Expathia (Gdynia).

Niniejsza Umowa stanowi integralną część Regulaminu OdbierzAI dostępnego pod adresem odbierz.ai/regulamin.