Umowa powierzenia przetwarzania danych

Administrator (Klient): Klient, który korzysta z platformy ComLayer — [do ustalenia: firma, adres i reprezentacja Klienta]. Dane te zostają uzupełnione przy podpisaniu wersji indywidualnej.

Nie wyznaczono inspektora ochrony danych: podmiot przetwarzający nie osiąga progów z § 38 BDSG. Na zgłoszenia dotyczące ochrony danych odpowiada zarząd pod adresem wskazanym w punkcie 13.

Przedmiotem przetwarzania jest udostępnianie i eksploatacja platformy ComLayer na rzecz Klienta zgodnie z Regulaminem świadczenia usług. Celem jest wyłącznie świadczenie tej usługi, czyli przyjmowanie zgłoszeń wsparcia klientów końcowych Klienta, odpowiadanie na nie i zarządzanie nimi.

Charakter przetwarzania obejmuje zbieranie, utrwalanie, przechowywanie, porządkowanie, przeglądanie, wykorzystywanie, przekazywanie dalszym podmiotom przetwarzającym wskazanym w punkcie 8, ograniczanie i usuwanie danych. Podmiot przetwarzający nie przetwarza danych do własnych celów; w szczególności nie analizuje ich w celu trenowania własnych modeli.

To samo dotyczy wykorzystywanych dostawców modeli i embeddingów: Obaj dostawcy zobowiązali się umownie do tego samego wyłączenia: dostawca modelu w warunkach przetwarzania danych Google Cloud, dostawca embeddingów w warunkach korzystania z Voyage AI.

Przetwarzanie odbywa się przez okres obowiązywania umowy głównej. Kończy się wraz z jej zakończeniem i następującym po nim usunięciem danych zgodnie z punktem 11.

• Klienci końcowi oraz odwiedzający stronę internetową Klienta, którzy korzystają z kanału wsparcia
• Pracownicy i osoby działające na zlecenie Klienta, które pracują na platformie jako członkowie zespołu
• Osoby wymienione w wiadomościach, treściach wiedzy lub feedbacku Klienta

• Dane podstawowe odwiedzającego: imię i nazwisko oraz adres e-mail, o ile zostały podane, otwarta strona, przybliżona lokalizacja, moment pierwszego kontaktu
• Treści komunikacji: wiadomości z czatu i z przekazania do pracowników, znaczniki czasu, przypisanie do rozmowy, jej status obsługi oraz przesłane załączniki
• Dane użytkowników członków zespołu: imię i nazwisko, adres e-mail, rola, przypisanie do obszaru roboczego
• Treści bazy wiedzy oraz wygenerowane z nich embeddingi
• Wpisy do feedbacku i roadmapy wraz z danymi osoby, która je zgłasza

Szczególne kategorie danych osobowych w rozumieniu art. 9 RODO nie są przedmiotem niniejszej umowy. Jeżeli Klient mimo to przekaże takie dane kanałem wsparcia, czyni to na własną odpowiedzialność; strony uzgadniają wtedy odrębnie niezbędne dodatkowe środki.

Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Klienta. Niniejsza umowa oraz korzystanie z platformy przez Klienta i członków jego zespołu stanowią to polecenie. Dalsze polecenia są przekazywane w formie dokumentowej na adres info@comlayer.app.

Jeżeli podmiot przetwarzający uzna, że polecenie narusza prawo ochrony danych, niezwłocznie informuje o tym Klienta i może wstrzymać wykonanie do czasu jego potwierdzenia. O przekazaniu danych do państwa trzeciego wynikającym z obowiązku prawnego informuje Klienta wcześniej, o ile prawo tego nie zakazuje.

Do przetwarzania podmiot przetwarzający dopuszcza wyłącznie osoby zobowiązane do zachowania poufności i zapoznane z właściwymi przepisami o ochronie danych. Zobowiązanie to trwa również po zakończeniu ich działalności. Krąg osób uprawnionych do dostępu jest ograniczony do zakresu niezbędnego do prowadzenia usługi.

Podmiot przetwarzający stosuje następujące środki; odpowiadają one stanowi techniki i są na bieżąco dostosowywane. Zmiana nie może obniżyć poziomu ochrony.

• Szyfrowanie wszystkich połączeń przez TLS; połączenie z bazą danych odbywa się przez obustronnie uwierzytelniane, krótkotrwałe certyfikaty
• Szyfrowane przechowywanie danych w spoczynku
• Separacja danych klientów: każdy rekord jest przypisany do obszaru roboczego, a każdy dostęp jest sprawdzany po stronie serwera pod kątem członkostwa w tym obszarze roboczym
• Model ról i uprawnień z oddzielnymi rolami dla administracji i obsługi
• Załączniki znajdują się w niepublicznym magazynie i są udostępniane wyłącznie przez ścieżkę aplikacji z kontrolą dostępu
• Publiczny klucz widgetu można rotować dla każdego obszaru roboczego; dozwolone domeny osadzenia można ograniczyć
• Ograniczenie liczby zapytań przeciwko nadużyciom w korzystaniu z publicznych interfejsów
• Regularne kopie zapasowe i monitorowana eksploatacja; czasy przywracania: czas przywrócenia (RTO) i maksymalna utrata danych (RPO) po 24 godziny
• Procedura regularnego sprawdzania skuteczności: corocznie przez zarząd

Klient udziela ogólnej zgody na korzystanie z wymienionych poniżej dalszych podmiotów przetwarzających. Podmiot przetwarzający zobowiązuje je do poziomu ochrony odpowiadającego niniejszej umowie i odpowiada za ich zachowanie jak za własne.

Jeżeli Klient osadza własną rezerwację terminów za pośrednictwem Cal.com, Cal.com jest jego dostawcą usług, a nie dalszym podmiotem przetwarzającym podmiotu przetwarzającego; podmiot przetwarzający przyjmuje jedynie powiadomienie o zarezerwowanych terminach.

Treści pozostają w UE. Rozmowy, baza wiedzy i konta znajdują się w regionie bazy danych europe-west3 (Frankfurt), załączniki i logo w magazynie plików tego samego regionu, aktualizacja otwartych rozmów na żywo działa w europe-west1, a agent AI odpowiada z multiregionu Vertex eu; modele pomocnicze do tematów wiadomości i analizy dokumentów działają w europe-west1. Region magazynu plików sprawdzono 7 sierpnia 2026 na używanych bucketach; wszystkie pozostałe są zapisane w konfiguracji wdrożenia.

Cztery usługi przetwarzają dane poza UE, a mianowicie w USA: Clerk do logowania, kont i sesji, Stripe do obsługi płatności, Resend do wysyłki powiadomień dla zespołu — zawierają one dosłowne fragmenty rozmów — oraz Voyage AI do embeddingów wyszukiwania semantycznego, które otrzymuje w tym celu treści wiedzy. Przekazania te opierają się na standardowych klauzulach umownych Komisji Europejskiej; która wersja i która ocena skutków obowiązuje dla danego dostawcy, określa umowa powierzenia przetwarzania danych. Prowadzenie samej aplikacji spoczywa na Vercel, koncernie ze Stanów Zjednoczonych; region dostarczania tego wdrożenia nie został zmierzony i jest tam również oznaczony jako miejsce otwarte.

O zmianie lub dodaniu kolejnych dalszych podmiotów przetwarzających podmiot przetwarzający informuje Klienta w formie dokumentowej co najmniej tydzień wcześniej. Klient może wnieść sprzeciw z ważnego powodu wynikającego z ochrony danych; w takim przypadku każda ze stron może wypowiedzieć umowę główną ze skutkiem na dzień zmiany.

Przekazywanie danych do Stanów Zjednoczonych podmiot przetwarzający opiera na standardowych klauzulach umownych Komisji Europejskiej zgodnie z art. 46 ust. 2 lit. c RODO, w brzmieniu decyzji wykonawczej (UE) 2021/914 z 4 czerwca 2021, moduł 2 (przekazanie od administratora do podmiotu przetwarzającego). Wykorzystywani dostawcy udostępniają własne oceny skutków przekazania danych, na których się opieramy; dodatkowej własnej oceny w konkretnym przypadku nie przeprowadzamy. Dopóki ten punkt pozostaje otwarty, lista jest kompletna, a droga przekazania wskazana, jednak ocena w konkretnym przypadku nie jest zakończona.

Podmiot przetwarzający wspiera Klienta w rozsądnym zakresie w realizacji praw osób, których dane dotyczą, zgodnie z art. 15-22 RODO oraz przy ocenach skutków dla ochrony danych i konsultacjach zgodnie z art. 35 i 36 RODO.

Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do podmiotu przetwarzającego, przekazuje on sprawę niezwłocznie Klientowi i sam na nią nie odpowiada. Informacja o zapisanych danych oraz ich wydanie lub usunięcie następują na zgłoszenie przesłane na adres info@comlayer.app w ciągu 48 godzin.

Dla danych własnego obszaru roboczego Klientowi przysługuje dodatkowo droga samoobsługowa: w sekcji Einstellungen → Allgemein jego administratorzy mogą w każdej chwili wygenerować pełny, nadający się do odczytu maszynowego eksport („Daten exportieren”, format JSON) i zlecić usunięcie obszaru roboczego („Workspace löschen”). Usunięcie danych zostaje zarejestrowane z okresem karencji 30 dni i można je odwołać do ostatniego dnia. Obie drogi są dostępne niezależnie od wykupionego planu.

Podmiot przetwarzający zgłasza Klientowi każde naruszenie ochrony danych osobowych, o którym się dowiedział, niezwłocznie, najpóźniej w ciągu 72 godzin od powzięcia wiadomości. Zgłoszenie zawiera informacje wymagane przez art. 33 ust. 3 RODO, o ile są dostępne; brakujące informacje są uzupełniane później. Zgłoszenie organowi nadzorczemu i w stosownych przypadkach osobom, których dane dotyczą, należy do Klienta.

Po zakończeniu umowy głównej podmiot przetwarzający usuwa dane przetwarzane na zlecenie wraz z istniejącymi kopiami w ciągu 30 dni, o ile Klient nie zażąda wcześniej ich zwrotu. Kopie zapasowe są nadpisywane w ramach zwykłego cyklu tworzenia kopii.

Ustawowe obowiązki przechowywania pozostają nienaruszone; objęte nimi dane podlegają ograniczeniu przetwarzania na okres przechowywania.

Podmiot przetwarzający wykazuje przestrzeganie niniejszej umowy na zgłoszenie w odpowiedni sposób, w szczególności przez informację o zastosowanych środkach. Klient ma prawo przekonać się o przestrzeganiu umowy po wcześniejszym powiadomieniu z rozsądnym wyprzedzeniem i bez zakłócania toku pracy; audyty na miejscu są ograniczone do uzasadnionych powodów. Własne certyfikaty ani raporty z badań obecnie nie istnieją; dowód następuje przez informację według zdania 1. Dla wykorzystywanych dalszych podmiotów przetwarzających obowiązują ich certyfikacje.

W razie sprzeczności postanowienia niniejszej umowy mają pierwszeństwo przed postanowieniami umowy głównej w zakresie przetwarzania danych osobowych. Obowiązuje prawo niemieckie. W pozostałym zakresie obowiązuje Regulamin świadczenia usług, uzupełniająco Polityka prywatności.