Umowa powierzenia przetwarzania danych osobowych

Niniejsza Umowa powierzenia przetwarzania danych osobowych („Umowa powierzenia”) stanowi część Regulaminu i obowiązuje każdego klienta Aftertalk, na każdym planie, od chwili akceptacji Regulaminu. Nie trzeba jej osobno podpisywać. Jeśli potrzebujesz egzemplarza podpisanego przez obie strony, napisz na privacy@aftertalk.co. Spełnia ona wymogi art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”).

1. Strony

• Administrator: klient Aftertalk, czyli podmiot, który zaakceptował Regulamin i przesyła do Usługi nagrania rozmów („Klient”).
• Podmiot przetwarzający: Kacper Kądziołka, prowadzący działalność gospodarczą pod nazwą Aftertalk, ul. Czerwone Maki 31B/21, 30-392 Kraków, NIP 6762706032, REGON 543141869 („Aftertalk”).

Pojęcia pisane wielką literą, które nie zostały tu zdefiniowane (np. Usługa, Treści Klienta), mają znaczenie nadane im w Regulaminie. Pojęcia z RODO (np. przetwarzanie, naruszenie ochrony danych osobowych) mają znaczenie nadane im w RODO.

2. Przedmiot, charakter i cel przetwarzania

Klient powierza Aftertalk przetwarzanie danych osobowych zawartych w Treściach Klienta wyłącznie w celu świadczenia Usługi opisanej w Regulaminie: przechowywania nagrań, transkrypcji mowy, rozpoznawania mówców, maskowania danych osobowych w tekście przekazywanym do analizy AI, analizy rozmów według kryteriów Klienta oraz udostępniania wyników w aplikacji i przez API.

• Rodzaje danych: nagrania głosu, transkrypcje i ich tłumaczenia, imiona, nazwiska, dane kontaktowe i inne dane osobowe wypowiedziane w rozmowie, etykiety mówców nadane przez Klienta oraz wyniki analizy (podsumowania, oceny, zadania).
• Kategorie osób: pracownicy i współpracownicy Klienta prowadzący rozmowy oraz rozmówcy Klienta (jego klienci, kontrahenci i inne osoby, z którymi prowadzone są rozmowy).
• Szczególne kategorie danych: Usługa nie jest przeznaczona do ich przetwarzania (np. danych o zdrowiu). Jeśli rozmowy Klienta mogą je zawierać, Klient odpowiada za posiadanie podstawy prawnej i przed rozpoczęciem przetwarzania powinien uzgodnić to z Aftertalk na adres privacy@aftertalk.co. Maskowanie obejmuje tekst przekazywany do analizy AI, a nie nagrania, które trafiają do dostawcy transkrypcji bez zmian. Aftertalk nie przetwarza głosu jako danych biometrycznych i nie tworzy odcisków głosu.

3. Czas trwania

Umowa powierzenia obowiązuje przez okres korzystania z Usługi i po jego zakończeniu, dopóki Aftertalk przechowuje Treści Klienta zgodnie z punktem 10.

4. Przetwarzanie na udokumentowane polecenie

Aftertalk przetwarza dane wyłącznie na udokumentowane polecenie Klienta. Poleceniami są: Regulamin, niniejsza Umowa powierzenia oraz konfiguracja i działania Klienta w Usłudze (np. przesłanie nagrania, ustawienia projektu, szablony analizy, usunięcie danych). Dotyczy to także przekazywania danych do państwa trzeciego (punkt 8). Jeśli prawo Unii lub państwa członkowskiego nakłada na Aftertalk obowiązek innego przetwarzania, Aftertalk poinformuje o tym Klienta przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.

Aftertalk niezwłocznie poinformuje Klienta, jeśli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych. Aftertalk nie wykorzystuje Treści Klienta do własnych celów, nie sprzedaje ich i nie używa ich do trenowania ani ulepszania żadnych modeli AI.

5. Poufność

Aftertalk zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi zachowania tajemnicy. Dostęp do Treści Klienta mają wyłącznie osoby, którym jest on niezbędny do świadczenia Usługi lub obsługi zgłoszenia Klienta.

6. Bezpieczeństwo przetwarzania

Aftertalk stosuje środki, o których mowa w art. 32 RODO, w tym:

• szyfrowanie transmisji (HTTPS/TLS) oraz szyfrowanie nagrań i transkrypcji w stanie spoczynku;
• przechowywanie Treści Klienta w regionie Amazon Web Services we Frankfurcie (UE), wraz z kopiami zapasowymi bazy danych przechowywanymi przez 7 dni;
• kontrolę dostępu opartą na rolach w organizacji i projekcie, dwuskładnikowe uwierzytelnianie oraz rozdzielenie danych poszczególnych klientów;
• automatyczne maskowanie (pseudonimizację) danych osobowych w tekście przekazywanym do analizy AI;
• ograniczenie danych przekazywanych do narzędzi diagnostycznych i analitycznych (maskowanie treści, usuwanie tokenów z adresów URL);
• regularne przeglądy bezpieczeństwa i aktualizacje oprogramowania.

Aftertalk może zmieniać te środki, o ile nie obniży to ogólnego poziomu ochrony danych.

7. Dalsze powierzenie przetwarzania

Klient udziela Aftertalk ogólnej zgody na korzystanie z usług dalszych podmiotów przetwarzających (art. 28 ust. 2 RODO). Aktualna lista, z zakresem przetwarzania i lokalizacją każdego z nich, jest dostępna na stronie Dalsze podmioty przetwarzające.

• Aftertalk nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych co najmniej takie jak w niniejszej Umowie powierzenia i odpowiada wobec Klienta za ich wykonanie.
• O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Aftertalk informuje co najmniej 30 dni wcześniej, aktualizując stronę „Dalsze podmioty przetwarzające” oraz wysyłając wiadomość e-mail do właściciela organizacji.
• W tym czasie Klient może zgłosić uzasadniony sprzeciw na adres privacy@aftertalk.co. Jeśli strony nie znajdą rozwiązania, Klient może wypowiedzieć umowę o świadczenie Usługi ze skutkiem przed wprowadzeniem zmiany, a Aftertalk zwróci opłatę za niewykorzystany, opłacony okres.

8. Przekazywanie danych poza EOG

Część dalszych podmiotów przetwarzających (np. dostawcy transkrypcji i analizy AI) przetwarza dane w Stanach Zjednoczonych. Aftertalk przekazuje dane poza Europejski Obszar Gospodarczy wyłącznie na podstawie mechanizmów z rozdziału V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym w ramach EU–US Data Privacy Framework, dla certyfikowanych odbiorców) lub standardowych klauzul umownych. Podstawa przekazania dla każdego z nich jest podana na stronie „Dalsze podmioty przetwarzające”. Do dostawcy analizy AI trafia tekst z zamaskowanymi danymi osobowymi; nagrania są przekazywane dostawcy transkrypcji bez maskowania.

9. Pomoc dla Klienta

• Prawa osób, których dane dotyczą: Usługa pozwala Klientowi samodzielnie przeglądać, poprawiać i usuwać Treści Klienta, a transkrypcje i wyniki analizy pobierać przez API. Na żądanie Aftertalk przekaże też kopię danych w formacie nadającym się do odczytu maszynowego. Jeśli osoba zwróci się z żądaniem bezpośrednio do Aftertalk, Aftertalk przekaże je Klientowi i nie odpowie na nie samodzielnie, chyba że Klient o to poprosi.
• Obowiązki z art. 32–36 RODO: Aftertalk udostępni informacje potrzebne Klientowi do oceny bezpieczeństwa, oceny skutków dla ochrony danych oraz ewentualnych uprzednich konsultacji z organem nadzorczym.
• Naruszenia ochrony danych: Aftertalk zawiadomi Klienta o stwierdzonym naruszeniu ochrony danych osobowych dotyczącym Treści Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia. Zawiadomienie obejmie informacje, o których mowa w art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne, a Aftertalk będzie je uzupełniać w miarę ustalania faktów.

10. Usunięcie danych

• Klient może w każdej chwili usunąć pojedyncze rozmowy w Usłudze lub przez API. Usunięcie rozmowy trwale usuwa jej nagranie, transkrypcję i wyniki analizy z systemów Aftertalk.
• Przed zakończeniem korzystania z Usługi Klient może pobrać swoje dane przez API albo poprosić Aftertalk o ich kopię.
• Po zakończeniu świadczenia Usługi Aftertalk, według wyboru Klienta, zwraca lub usuwa wszystkie pozostałe Treści Klienta w terminie 30 dni od zgłoszenia żądania na adres privacy@aftertalk.co i potwierdza to Klientowi, chyba że prawo Unii lub państwa członkowskiego nakazuje dalsze przechowywanie.
• Usunięcie organizacji w Usłudze natychmiast blokuje dostęp do jej danych. Dane pozostają zablokowane do czasu ich trwałego usunięcia na żądanie Klienta zgodnie z poprzednim punktem.
• Kopie zapasowe bazy danych są przechowywane przez 7 dni i usuwane automatycznie, więc dane usunięte z systemów Aftertalk znikają z kopii zapasowych najpóźniej po 7 dniach.

11. Informacje i audyty

Aftertalk udostępni Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności odpowiedzi na kwestionariusze bezpieczeństwa. Klient może przeprowadzić audyt, w tym inspekcję, samodzielnie lub przez niezależnego audytora związanego obowiązkiem poufności, nie częściej niż raz w roku (chyba że audyt wynika z naruszenia ochrony danych lub żądania organu nadzorczego), po zawiadomieniu z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy i w sposób, który nie zakłóca działania Usługi ani nie narusza poufności danych innych klientów. Koszty audytu ponosi Klient.

12. Postanowienia końcowe

• W sprawach ochrony danych osobowych niniejsza Umowa powierzenia ma pierwszeństwo przed Regulaminem. Zasady odpowiedzialności określa Regulamin, z zastrzeżeniem bezwzględnie obowiązujących przepisów.
• Aftertalk może zmieniać Umowę powierzenia w trybie zmiany Regulaminu, informując o tym co najmniej 30 dni wcześniej. Zmiana nie może obniżyć poziomu ochrony danych Klienta. Jeśli Klient nie akceptuje zmiany, może wypowiedzieć umowę o świadczenie Usługi przed jej wejściem w życie.
• Umowa powierzenia podlega prawu polskiemu. W razie rozbieżności między wersją polską a angielską rozstrzyga wersja polska.