# Umowa powierzenia przetwarzania danych dla Brixovo

**Wersja 0.1 · 24 września 2026 r. · PROJEKT – bez wypełnionych załączników nie nadaje się do stosowania**

## Strony i przyporządkowanie

**Zleceniodawca:** [KLIENT: pełne imię i nazwisko/firma, forma prawna, adres, reprezentacja, kontakt w sprawach ochrony danych]

**Zleceniobiorca:** Martin Tomczak, Holstenstraße 3d, 25560 Schenefeld, Niemcy, działający pod nazwą Brixovo. Kontakt w sprawach ochrony danych: [DO ZATWIERDZENIA: adres kontaktowy].

**Umowa główna:** [ID UMOWY, data i zakres usług].

**Rola Zleceniodawcy, do ustalenia dla każdego przetwarzania:** [administrator / podmiot przetwarzający na zlecenie wskazanych administratorów].

> Niniejszy wzór umowy sporządzono dla usługi SaaS obsługiwanej przez Brixovo, a nie dla licencji na samodzielnie hostowany zestaw oprogramowania. Załączniki A–D stanowią część umowy i muszą odzwierciedlać konkretne realia operacyjne. Starsze pliki w katalogu nadrzędnym nie są włączane w sposób dorozumiany.

## § 1 Przedmiot, cel i czas trwania

1. Zleceniobiorca przetwarza dane osobowe wyłącznie w celu świadczenia usług platformy uzgodnionych w umowie głównej i wskazanych w załączniku A. Operacje przetwarzania mogą obejmować w szczególności zbieranie, przechowywanie, organizowanie, ekstrakcję, indeksowanie, wyszukiwanie i pobieranie (retrieval), przekazywanie zatwierdzonym partnerom dostarczającym modele i infrastrukturę, generowanie, wyświetlanie, eksport, ograniczanie i usuwanie.

2. Zlecenie obejmuje wyłącznie rzeczywiście zamówione funkcje: odpowiednio przetwarzanie wiedzy i czat, widżety, strony internetowe i zapytania kontaktowe, zatwierdzone integracje i automatyzacje oraz powiązane z nimi zarządzanie i wsparcie techniczne. Nie udziela się ogólnego upoważnienia do dowolnych dalszych celów.

3. Umowa zaczyna obowiązywać przed rozpoczęciem powierzonego przetwarzania i obowiązuje przez cały jego okres, włącznie z uzgodnionymi fazami zwrotu, zmiany dostawcy i usuwania. Kończy się dopiero wtedy, gdy ani u Zleceniobiorcy, ani u jego dalszych podmiotów przetwarzających nie pozostają żadne dane podlegające przetwarzaniu na zlecenie, o ile nie stoi temu na przeszkodzie ustawowy obowiązek przechowywania.

4. Własne przetwarzanie przez Zleceniobiorcę na potrzeby rozliczania umowy, własnych obowiązków ustawowych i innych samodzielnie określonych celów jest dopuszczalne wyłącznie na własnej, prawnie skutecznej podstawie i wymaga odrębnego, przejrzystego poinformowania. Zakwalifikowanie jako „bezpieczeństwo” lub „metadane” nie wyłącza danych automatycznie spod prawa ochrony danych.

## § 2 Role w łańcuchu przetwarzania

1. Jeżeli Zleceniodawca jest administratorem, określa cele i zasadnicze sposoby przetwarzania w granicach prawa. Jeżeli sam jest podmiotem przetwarzającym klienta końcowego, powierza Brixovo przetwarzanie jako dalszemu podmiotowi przetwarzającemu wyłącznie na podstawie odpowiedniej zgody i dopuszczalnych poleceń swojego zleceniodawcy.

2. Zleceniodawca dokumentuje administratorów i dopuszczalne drogi przekazywania poleceń w załączniku A. Przekazuje właściwe obowiązki wzdłuż łańcucha. Brixovo wspiera niezbędne uprawnienia do uzyskiwania dowodów i kontroli administratora ponoszącego ostateczną odpowiedzialność, nie otwierając nieuprawnionego bezpośredniego dostępu do innych klientów.

3. Konsumenci nabywający usługi do celów prywatnych nie są z tego tylko powodu administratorami przetwarzania danych dokonywanego przez Klienta dla jego własnych celów umownych. Role są ustalane odrębnie dla danego przetwarzania, a nie wyłącznie na podstawie nazwy konta.

## § 3 Polecenia

1. Zleceniobiorca przetwarza dane wyłącznie na udokumentowane polecenie, także w odniesieniu do przekazywania do państw trzecich. Jeżeli istnieje ustawowy obowiązek przetwarzania, informuje Zleceniodawcę o tym obowiązku przed rozpoczęciem przetwarzania, o ile prawo nie zabrania tego ze względu na ważny interes publiczny.

2. Początkowe polecenia wynikają z umowy głównej, niniejszej umowy i wypełnionych załączników. Dalsze polecenia mogą być wydawane w formie tekstowej lub za pośrednictwem uzgodnionego, udokumentowanego procesu administracyjnego. Dopuszczalne konfiguracje stanowią polecenia wyłącznie w granicach uzgodnionego celu; sama techniczna możliwość wprowadzenia ustawienia nie rozszerza zlecenia.

3. Jeżeli Zleceniobiorca uzna polecenie za niezgodne z prawem, niezwłocznie informuje Zleceniodawcę i wstrzymuje daną operację do czasu zgodnego z prawem wyjaśnienia. Samo potwierdzenie polecenia, które nadal jest niezgodne z prawem, nie zobowiązuje do jego wykonania.

4. Osoby uprawnione do wydawania poleceń i osoby kontaktowe są wskazane w załączniku D. Szczególne działania, takie jak eksporty, usunięcia, dostępy pomocy technicznej i zatwierdzenia odbiorców zewnętrznych, wymagają odpowiedniej weryfikacji uprawnień.

## § 4 Poufność i bezpieczeństwo

1. Osoby upoważnione do przetwarzania są przed rozpoczęciem czynności zobowiązywane do zachowania poufności albo podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy. Dostęp odbywa się zgodnie z zasadą niezbędności. Obowiązek pozostaje w mocy po zakończeniu umowy.

2. Zleceniobiorca wdraża środki techniczne i organizacyjne konkretnie opisane w załączniku B. Środki zapewniają odpowiedni poziom ochrony przy uwzględnieniu stanu wiedzy technicznej, kosztów oraz charakteru, zakresu, okoliczności i celów przetwarzania. Samo istnienie funkcji oprogramowania nie stanowi dowodu jej bezpiecznej eksploatacji.

3. Zmiany środków są dopuszczalne, o ile nie obniżają uzgodnionego poziomu ochrony. Istotne zmiany są dokumentowane i w razie potrzeby komunikowane. Zleceniobiorca regularnie sprawdza skuteczność, możliwość odtworzenia i wymagane dostosowania.

4. Pseudonimizowane identyfikatory, wartości skrótów i metadane zdarzeń mogą nadal stanowić dane osobowe. Automatyczne rozpoznawanie danych umożliwiających identyfikację osób (PII) nie jest pełną anonimizacją; jego ograniczenia i objęte nim ścieżki przetwarzania należy prawidłowo wskazać w załączniku B.

5. Przetwarzanie treści Klientów w celu trenowania modeli ogólnego zastosowania lub do własnych celów reklamowych nie jest częścią tego zlecenia. Zleceniobiorca odpowiednio zobowiązuje wykorzystywanych przez siebie partnerów i sprawdza rzeczywisty stan umów i konfiguracji. Nie wolno na podstawie tej klauzuli fikcyjnie przyjmować uzgodnienia odmiennego opcjonalnego przetwarzania.

## § 5 Dalsze podmioty przetwarzające i odbiorcy

1. Udziela się ogólnej zgody na dalsze podmioty przetwarzające w pełni wskazane w załączniku C przy zawarciu umowy. O nowych lub zastępujących dotychczasowe dalszych podmiotach przetwarzających należy poinformować przed rozpoczęciem korzystania z ich usług. **Propozycja umowna:** Powiadomienie następuje co do zasady co najmniej 30 dni kalendarzowych przed zamierzonym rozpoczęciem korzystania; Zleceniodawca otrzymuje możliwość wniesienia przed rozpoczęciem uzasadnionego sprzeciwu związanego z ochroną danych.

2. Strony rozpatrują sprzeciw i poszukują odpowiedniej alternatywy. Nowy usługodawca objęty sprzeciwem nie jest angażowany do danego przetwarzania, dopóki sprzeciw nie zostanie zgodnie z prawem rozstrzygnięty. Jeżeli kontynuacja bez niego nie jest możliwa, wymagane jest odrębne uzgodnienie lub uporządkowane zakończenie danej usługi. Przedpłaty za usługi, które następnie nie będą już świadczone, należy rozliczyć i zwrócić.

3. Zleceniobiorca nakłada na dalszy podmiot przetwarzający co najmniej te same właściwe obowiązki ochrony danych i pozostaje odpowiedzialny wobec Zleceniodawcy za ich wykonanie. Sprawdza wystarczające gwarancje i udostępnia niezbędne dowody.

4. Przekazywanie poza EOG wymaga spełnienia przesłanek rozdziału V RODO (DSGVO). Odbiorcy, państwa, podstawa przekazania, ewentualne środki uzupełniające i ocena transferu są dokumentowane w załączniku C. Sam region przechowywania w UE nie dowodzi wykluczenia wszelkiego dostępu z państw trzecich.

5. Docelowe usługi integracji samodzielnie wybrane przez Zleceniodawcę należy sklasyfikować według ich rzeczywistej funkcji jako dalsze podmioty przetwarzające, odrębnych administratorów lub innych odbiorców. Zleceniobiorca nie może bez weryfikacji wykonywać poleceń dotyczących przekazania, którego niedopuszczalność jest rozpoznawalna. Konserwacja ani pomoc techniczna nie są ogólnie wyłączone z pojęcia dalszego powierzenia przetwarzania.

## § 6 Prawa osób, których dane dotyczą, incydenty i wsparcie

1. Zleceniobiorca wspiera Zleceniodawcę odpowiednimi środkami technicznymi i organizacyjnymi przy udzielaniu dostępu do danych, sprostowaniu, usuwaniu, ograniczaniu, przenoszeniu danych i realizacji innych praw osób, których dane dotyczą. Wnioski otrzymane bezpośrednio są niezwłocznie przekazywane właściwemu Zleceniodawcy, o ile nie istnieje własny obowiązek ustawowy.

2. Tożsamość i uprawnienie są odpowiednio sprawdzane. Danych innych osób, których dane dotyczą, Klientów lub Zleceniodawców nie wolno wydawać bez uprawnienia. Wewnętrzne procesy zgłoszeń lub płatności nie przedłużają terminów ustawowych.

3. Zleceniobiorca zgłasza Zleceniodawcy każde stwierdzone przez siebie naruszenie ochrony danych osobowych **niezwłocznie**. Niepełne jeszcze ustalenie stanu faktycznego nie może opóźniać pierwszego zgłoszenia. Brakujące szczegóły są przekazywane sukcesywnie. Strony mogą uzgodnić dodatkowy konkretny docelowy czas reakcji; nie przyjmuje się tutaj fikcyjnie niezweryfikowanego zobowiązania operacyjnego wynoszącego 24 lub 48 godzin.

4. Zgłoszenie zawiera, o ile informacje są dostępne, rodzaj i zakres incydentu, objęte nim dane i grupy osób, prawdopodobne konsekwencje, podjęte i proponowane środki oraz kontakt do pytań uzupełniających. Zleceniobiorca zabezpiecza wymagane dowody z zachowaniem minimalizacji danych i wspiera zgłoszenia oraz zawiadomienia dokonywane przez administratora.

5. Zleceniobiorca, odpowiednio do posiadanych informacji i dokonywanego przetwarzania, wspiera przestrzeganie obowiązków dotyczących bezpieczeństwa, oceny skutków dla ochrony danych i, w razie potrzeby, uprzednich konsultacji. Własne ustawowe obowiązki Zleceniobiorcy pozostają w mocy.

6. Wsparcie należne ustawowo nie jest uzależnione od uprzedniej szczególnej zapłaty. Odrębne usługi dodatkowe wykraczające poza zakres należny wymagają przejrzystej oferty; nie uzgadnia się dodatkowych opłat za skutki własnych naruszeń obowiązków.

## § 7 Dowody i kontrola

1. Zleceniobiorca udostępnia wszystkie informacje niezbędne do wykazania przestrzegania swoich obowiązków i umożliwia audyty, w tym inspekcje, przeprowadzane przez Zleceniodawcę lub odpowiedniego audytora, któremu Zleceniodawca je zleci. Certyfikaty partnerów infrastrukturalnych nie zastępują dowodów własnych środków organizacyjnych.

2. Audyty są co do zasady koordynowane z odpowiednim wyprzedzeniem, z zachowaniem poufności i możliwie najmniejszym zakłóceniem działalności. Nie ogranicza to pilnych audytów wynikających z konkretnej przyczyny, praw ustawowych ani uprawnień organów i nie ogranicza ich do jednego razu w roku.

3. Należy chronić dane i tajemnice przedsiębiorstwa innych klientów oraz bezpieczeństwo i poufność. Można uzgodnić alternatywne dowody, o ile rzeczywiście umożliwiają wymaganą kontrolę. Nie uzgadnia się ogólnego zrzeczenia się praw do kontroli.

4. Zleceniobiorca prowadzi ustawowo wymagane rejestry i dokumentację oraz wyznacza inspektora ochrony danych, jeżeli jest to wymagane. Nie stwierdza się bez weryfikacji istnienia obowiązku wyznaczenia ani faktycznego wyznaczenia inspektora.

## § 8 Zwrot, usuwanie i przechowywanie

1. Po zakończeniu usług przetwarzania Zleceniobiorca, według wyboru Zleceniodawcy, zwraca dane i usuwa istniejące kopie albo usuwa dane, o ile nie stoi temu na przeszkodzie ustawowy obowiązek przechowywania. Terminy zmiany dostawcy i pobierania danych są uzgadniane z dopuszczalnym poleceniem; umowa powierzenia przetwarzania danych (AVV) obowiązuje nadal w tym okresie.

2. Załącznik B zawiera konkretne terminy i mechanizmy usuwania plików źródłowych, indeksów wyszukiwania i osadzeń (embeddings), czatów, leadów, danych automatyzacji, dzienników, pamięci podręcznych i kopii zapasowych. Samo usunięcie logiczne nie jest uznawane za całkowite zniszczenie. Odbiorców zewnętrznych należy uwzględnić zgodnie z dopuszczalnym zleceniem.

3. Ustawowo niezbędne dowody są przechowywane oddzielnie, z ograniczeniem dostępu i tylko tak długo, jak jest to wymagane. Łańcuch skrótów ani oznaczenie „Compliance” nie ustanawiają ogólnego wyjątku pozwalającego na przechowywanie danych osobowych. Zleceniobiorca dokumentuje usunięcie lub prawnie niezbędne dalsze przechowywanie pozostałych danych i wykazuje je na żądanie.

## § 9 Odpowiedzialność i postanowienia końcowe

1. Ustawowe prawa osób, których dane dotyczą, i odpowiedzialność na podstawie art. 82 RODO (DSGVO) pozostają nienaruszone. Strony nie mogą wyłączyć swojej ustawowej odpowiedzialności przez nazwanie roli. Bezwzględnie obowiązujące obowiązki wobec innych uczestników pozostają w mocy.

2. Do innych roszczeń umownych zasady odpowiedzialności z umowy głównej mają zastosowanie wyłącznie w zakresie, w jakim nie sprzeciwia się temu bezwzględnie obowiązujące prawo. Niniejsze uregulowanie nie ogranicza wymaganych obowiązków ochrony, współdziałania i przedstawiania dowodów.

3. W kwestiach ochrony danych pierwszeństwo ma niniejsza umowa. Indywidualne uzgodnienia i bezwzględnie obowiązujące standardowe klauzule umowne zachowują pierwszeństwo. Umowa wraz z załącznikami może zostać zawarta w udokumentowanej formie elektronicznej. W razie nieważności obowiązują ustawowe skutki prawne.

---

## Załącznik A – Konkretne zlecenie przetwarzania

**Informacje obowiązkowe, do wypełnienia przed zastosowaniem:**

| Pole | Wpis |
|---|---|
| Umowa główna i aktywowane moduły | [WYPEŁNIĆ] |
| Administrator lub administratorzy dla każdego przetwarzania | [WYPEŁNIĆ; w przypadku łańcucha powierzenia udokumentować ich zgodę] |
| Cel danego przetwarzania | [WYPEŁNIĆ; bez ogólnego zatwierdzania wszystkich celów klientów] |
| Osoby, których dane dotyczą | [Wybór: administratorzy systemu/pracownicy, klienci końcowi, odwiedzający, osoby kontaktowe, osoby, których dane występują w dokumentach] |
| Rzeczywiste rodzaje danych | [Wybór: dane podstawowe/kontaktowe, treści dokumentów, czat, leady, identyfikatory techniczne, powiązania z umowami/rozliczeniami, dane działań] |
| Szczególne kategorie/dane dotyczące przestępstw/tajemnice zawodowe | Wyłączone w standardzie; przypadek szczególny wyłącznie na podstawie konkretnego uzgodnienia |
| Zakres czasowy | [Początek, czas trwania umowy głównej, faza czynności związanych z zakończeniem umowy] |
| Dopuszczalni odbiorcy i docelowe usługi integracji | [WYPEŁNIĆ] |
| Państwa przetwarzania i państwa dostępu | [WYPEŁNIĆ; nie tylko miejsce przechowywania] |

## Załącznik B – Wykaz środków technicznych i organizacyjnych (TOM) oraz usuwania: macierz wypełnienia i dowodów

**Ta tabela jest formularzem zatwierdzenia, a nie jeszcze w pełni uzgodnionym opisem TOM. Dla każdego wiersza należy wpisać konkretne środki i dowody; przed zastosowaniem uzupełnić wszystkie braki.**

| Obszar | Co należy konkretnie ustalić i wykazać |
|---|---|
| Fizyczna eksploatacja | Centra danych/strona umowy, lokalizacje, koncepcja dostępu fizycznego, zweryfikowane odniesienia do certyfikacji |
| Dostępy administracyjne | Osoby odpowiedzialne, zasada MFA, bezpieczne dostępy awaryjne, odejście pracowników |
| Separacja Klientów | Granice uprawnień, testy, ochrona pobrań/eksportów/indeksów i dostępów pomocy technicznej |
| Szyfrowanie | Transmisja, bazy danych, magazyny obiektowe, kopie zapasowe, odpowiedzialność za klucze i ich rotacja |
| Integracje | Przechowywanie sekretów, minimalne zakresy uprawnień, zatwierdzanie odbiorców, odbieranie uprawnień i bezpieczne ponawianie |
| Przetwarzanie AI | Zatwierdzenia modeli/punktów końcowych, regiony, przechowywanie treści przez partnerów, wyłączenie trenowania, ograniczenia PII |
| Rejestrowanie zdarzeń | Rzeczywiste pola zdarzeń, dostęp, cel, miejsce przechowywania i termin usunięcia; uwzględnić metadane osobowe |
| Dostępność i odtwarzanie | Zakres/częstotliwość kopii zapasowych, cele odtwarzania, testy odtwarzania, organizacja postępowania w razie awarii/sytuacji nadzwyczajnej |
| Podatności i zmiany | Aktualizacje, kontrole, zatwierdzenia, kontrole operacyjne, ochrona tajemnic |
| Prawa osób, których dane dotyczą | Weryfikacja tożsamości, zakresy odpowiedzialności, ścieżki eksportu/usuwania we wszystkich miejscach przechowywania |
| Incydenty | Monitorowany kanał zgłoszeń, organizacja dyżurów/zastępstw, pierwsze zgłoszenie, eskalacja i uzupełnienie |
| Usuwanie treści | Dokumenty, pliki, fragmenty (chunks), osadzenia (embeddings), czat, leady, szablony, treści działań: konkretny termin dla każdej kategorii |
| Usuwanie kopii zapasowych | Maksymalny termin, ochrona przed ponownym użyciem produkcyjnym, postępowanie przy odtwarzaniu |
| Ustawowe przechowywanie | Konkretna kategoria danych, podstawa prawna, okres i usunięcie po upływie terminu |

## Załącznik C – Dalsze podmioty przetwarzające i transfery

**Wpisać wyłącznie partnerów, z których rzeczywiście się korzysta. Kandydaci z repozytorium nie stanowią zatwierdzonej listy dla działającej usługi.**

| Strona umowy wraz z adresem | Usługa/typ danych | Państwa przechowywania i dostępu | Umowa powierzenia/podstawa transferu | Środki/dowody |
|---|---|---|---|---|
| [Microsoft: konkretna spółka będąca stroną umowy] | [Konkretne usługi Azure/usługa modelu] | [WYPEŁNIĆ] | [Wersja umowy, ewentualnie SCC/decyzja stwierdzająca odpowiedni stopień ochrony] | [WYPEŁNIĆ] |
| [Partnerzy poczty elektronicznej/pomocy technicznej/monitoringu, o ile rzeczywiście wykorzystywani] | [WYPEŁNIĆ] | [WYPEŁNIĆ] | [WYPEŁNIĆ] | [WYPEŁNIĆ] |
| [Inni rzeczywiście wykorzystywani partnerzy] | [WYPEŁNIĆ] | [WYPEŁNIĆ] | [WYPEŁNIĆ] | [WYPEŁNIĆ] |

Stripe należy sklasyfikować oddzielnie dla każdej usługi i każdego przetwarzania; ogólne zakwalifikowanie wszystkich operacji płatniczych, kontroli oszustw i operacji ustawowych jako dalszego powierzenia przetwarzania nie byłoby uzasadnione. Przetwarzanie w charakterze odrębnego administratora należy ująć we właściwych informacjach o ochronie danych.

## Załącznik D – Kontakty i zawarcie umowy

- Osoby uprawnione do wydawania poleceń po stronie Zleceniodawcy: [Imię i nazwisko/funkcja/kontakt].
- Odbiorcy poleceń po stronie Zleceniobiorcy: [Imię i nazwisko/funkcja/kontakt].
- Kontakt w sprawach incydentów wraz z zastępstwem: [WYPEŁNIĆ].
- Inspektor ochrony danych, o ile wyznaczony: [WYPEŁNIĆ albo zgodnie ze stanem faktycznym wskazać, że nie wyznaczono].
- Oznaczenia wersji wszystkich załączników: [WYPEŁNIĆ].
- Udokumentowana zgoda elektroniczna lub podpisy obu stron z datą i umocowaniem do reprezentacji: [WYPEŁNIĆ].