Umowa powierzenia przetwarzania danych osobowych

(Data Processing Agreement — DPA)  ·  Wersja 1.0, obowiązuje od 2026-06-01  ·  Stan na dzień: 2026-07-03

§1. Strony i podstawa zawarcia

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: „DPA”) zawierana jest pomiędzy ADO (Mecenas) a Procesorem (OSFORYOU FUTURE INTELLIGENCE Fundacja) na podstawie art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO). Akceptacja DPA jest warunkiem korzystania z platformy MecenasPorada w roli ADO (panel mecenasa).

§2. Przedmiot i cel przetwarzania

Procesor przetwarza dane osobowe wyłącznie w celu świadczenia usługi MecenasPorada na rzecz ADO, w szczególności:

1. prowadzenia akt sprawy klientów ADO w panelu mecenasa,
2. generowania pism, opinii i umów na podstawie danych dostarczonych przez ADO,
3. komunikacji z klientem końcowym przez portal klienta,
4. wspomagającej redakcji treści za pomocą modeli językowych (AI) zgodnie z §5,
5. przechowywania i wersjonowania dokumentów oraz dossier spraw.

§3. Kategorie danych i osób, których dane dotyczą

Powierzenie obejmuje następujące kategorie danych osobowych klientów ADO i osób trzecich występujących w aktach sprawy:

• dane identyfikacyjne (imię, nazwisko, PESEL, NIP, REGON),
• dane kontaktowe (adres, e-mail, telefon),
• dane dotyczące postępowań (sygnatury, sądy, sędziowie, strony postępowania),
• dane finansowe (wartości przedmiotu sporu, roszczenia, faktury),
• treści dokumentów sprawy (mogą zawierać dane szczególnej kategorii w rozumieniu art. 9 RODO — np. dane o stanie zdrowia, sytuacji rodzinnej, wyrokach),
• treści wiadomości i notatek sporządzonych w toku sprawy.

§4. Czas trwania powierzenia

Powierzenie obowiązuje przez okres obowiązywania umowy głównej między ADO a Procesorem oraz dodatkowy okres niezbędny do zwrotu lub usunięcia danych po rozwiązaniu umowy. Szczegóły retencji per kategoria danych określa harmonogram retencji platformy (panel: Compliance → Retencja).

§5. Sub-procesorzy (dalsze powierzenie)

Na podstawie art. 28 ust. 2 i 4 RODO ADO udziela Procesorowi ogólnej zgody na korzystanie z poniższych dalszych podmiotów przetwarzających. Lista aktualizowana jest w niniejszym dokumencie; istotne zmiany skutkują koniecznością ponownej akceptacji DPA.

Wszystkie wymienione sub-procesory są rezydentami Europejskiego Obszaru Gospodarczego (EOG). Procesor utrzymuje twardy lock („EU residency hard-lock”) na poziomie konfiguracji aplikacji — zadania AI nie są routowane poza UE.

§6. Retencja danych w warstwie AI

Procesor stosuje agresywne zasady minimalizacji w warstwie modeli językowych:

• Prompty (zapytania do modelu): nie są retencjonowane dłużej niż 24 godziny u sub-procesora (przeciwko nadużyciom); po tym czasie usuwane.
• Cache odpowiedzi: maksymalnie 7 dni w systemie Procesora (Redis); używany wyłącznie do optymalizacji kosztów i wydajności.
• Logi inwokacji (LlmInvocation): 90 dni — bez treści promptu/odpowiedzi, jedynie metadane (model, tokeny, status, koszt).
• Embeddingi i pamięć sprawy: przechowywane na czas obowiązywania sprawy plus 6 lat zgodnie z obowiązkiem przechowywania akt prawnych.

§7. Zakaz wykorzystywania danych do trenowania modeli (opt-out)

Procesor zapewnia, a wszyscy sub-procesorzy wymienieni w §5 potwierdzili umownie, że dane ADO i klientów ADO nie są wykorzystywane do trenowania, fine-tuningu ani walidacji modeli językowych ani żadnych innych modeli uczenia maszynowego. Opt-out jest domyślny i nieodwracalny dla wszystkich endpointów wykorzystywanych przez platformę.

§8. Bezpieczeństwo i naruszenia (Breach SLA)

Procesor stosuje środki techniczne i organizacyjne adekwatne do ryzyka (art. 32 RODO), w szczególności:

• szyfrowanie połączeń (TLS 1.2+) oraz szyfrowanie wrażliwych pól w bazie danych (np. lawyer_strategy_text),
• kontrolę dostępu opartą na rolach (RBAC) i tokenach Sanctum z ograniczonymi scope,
• niezmienialny audit_log dla operacji na danych spraw,
• kopie zapasowe z rolowaną retencją.

SLA na zgłoszenie naruszenia ochrony danych osobowych:

• Procesor → ADO: nie później niż 24 godziny od wykrycia naruszenia (czas reakcji ułatwiający ADO dotrzymanie własnego 72-godzinnego obowiązku z art. 33 RODO),
• ADO → osoba, której dane dotyczą (jeżeli wymagane art. 34 RODO): w terminie wynikającym z przepisów (zalecane do 48 godzin od potwierdzenia naruszenia przez Procesora).

§9. Prawa osób, których dane dotyczą

Procesor wspomaga ADO w realizacji żądań osób, których dane dotyczą (art. 12–22 RODO), w szczególności:

• prawa dostępu (eksport danych sprawy),
• prawa do sprostowania,
• prawa do usunięcia („prawo do bycia zapomnianym”), z zastrzeżeniem nadrzędnych obowiązków zachowania akt prawnych,
• prawa ograniczenia przetwarzania,
• prawa do przenoszenia danych.

Endpoint operacyjny realizacji prawa do usunięcia: POST /api/v1/erasure (na żądanie ADO; szczegóły w dokumentacji API).

§10. Odpowiedzialność i ograniczenia

Procesor odpowiada za szkody wynikające z przetwarzania danych w zakresie określonym przepisami RODO oraz umową główną. Odpowiedzialność Procesora z tytułu DPA podlega ograniczeniu do wysokości łącznych opłat uiszczonych przez ADO na rzecz Procesora w okresie 12 miesięcy poprzedzających zdarzenie szkodzące, z wyłączeniem sytuacji winy umyślnej lub rażącego niedbalstwa. Powyższe ograniczenie nie obejmuje przypadków, w których przepisy bezwzględnie obowiązujące nie pozwalają na ograniczenie odpowiedzialności.

Disclaimer (AI): Treści generowane przez modele AI mają charakter pomocniczy i nie zastępują samodzielnej analizy prawnej Mecenasa. ADO każdorazowo weryfikuje treści przed ich użyciem wobec klientów lub w obrocie procesowym (HITL — human-in-the-loop).

§11. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się przepisy prawa polskiego oraz RODO. Wszelkie zmiany DPA wymagają ponownej akceptacji ADO w panelu mecenasa (ścieżka: footer → „Zobacz DPA”). Aktualnie obowiązuje wersja 1.0 (data wejścia w życie: 2026-06-01).

Aby zaakceptować DPA, zaloguj się do panelu mecenasa. ↓ Pobierz wersję do druku (PDF/HTML)