Umowa powierzenia (DPA)

Projekt roboczy (wersja 2.1, 26.08.2026). Nie stanowi porady prawnej. Pełny tekst: docs/prawne/02-umowa-powierzenia-dpa.md.

Jak się zawiera

Akceptacja Regulaminu / założenie konta (click-wrap) = zawarcie tej umowy w formie elektronicznej z art. 28 ust. 9 RODO. W ochronie danych Leadów DPA wygrywa z Regulaminem.

Strony i role

Procesor: ZIELIŃSKI DIGITAL SP. Z O.O., Gaboń 304, 33-388 Gołkowice Górne. IOD: Adrian Zieliński, Prezes Zarządu — adrian.wspolpraca@gmail.com.

Administrator: Klient SaaS — dane Leadów IG i treści DM. Danych konta i faktur ta umowa nie obejmuje (to nasz reżim administratora).

Co powierzamy

Publiczne dane profilu IG, treści DM (w tym głos), dane podane przez Leada, kwalifikacja. Cel: narzędzie do umawiania rozmów (model warm: własni obserwujący, oferta po zgodzie). Czas: subskrypcja + usunięcie/zwrot (30 dni, jeśli brak innej dyspozycji). Anonimizacja Leadów po 24 miesiącach nieaktywności działa w trakcie umowy.

Podprocesorzy

Ogólna zgoda. Lista: /legal/podprocesorzy. Powiadomienie i 30 dni na sprzeciw zanim nowy podmiot dostanie dane. Na podprocesora nakładamy obowiązki back-to-back. Odpowiadamy wobec Klienta za podprocesora (art. 28 ust. 4).

Transfery

USA: SCC jako podstawa; DPF jeśli na liście. DPF Active (26.08.2026): Google LLC, Calendly LLC. Baza: Supabase eu-west-1 IE. Front: Vercel Dublin dub1. Kolejki: Railway Redis (USA). Upstash nie jest używany.

No-training u płatnego API czterech: tak. Zero-retention: nie włączone (okno 30 dni). Eksport przez Klienta poza listę — ryzyko Klienta.

Bezpieczeństwo i incydent

TLS, izolacja org, role, maskowanie PII gdy flaga ON, Sentry bez domyślnego PII. Naruszenie: zgłoszenie do Klienta nie później niż 48 h od wiadomości (łańcuch podprocesorów wliczony), żeby Klient zdążył na 72 h do PUODO.

Audyt i koniec

Informacje i audyt (co do zasady raz w roku, 14 dni zapowiedzi). Po końcu: zwrot albo usunięcie, kopie zapasowe do rotacji.

Prawo i sąd

Prawo polskie. Sąd B2B: właściwy dla siedziby Procesora (Małopolska / Gaboń). Art. 82 RODO wobec osób, których dane dotyczą, umowa nie obcina.