Umowa powierzenia przetwarzania danych osobowych (DPA)

Ta umowa dotyczy klientów biznesowych, którzy przesyłają do Circla nagrania zawierające dane osobowe osób trzecich. Określa warunki, na jakich przetwarzamy te dane w Twoim imieniu, zgodnie z art. 28 RODO.

Jeżeli jesteś Konsumentem — ta umowa Cię nie dotyczy. Zobacz Politykę Prywatności.

§ 1. Strony i zakres

1.1. Administrator (dalej: Ty, Klient) — Użytkownik korzystający z Usługi w ramach działalności gospodarczej lub zawodowej, który przesyła do Usługi Treści Użytkownika zawierające dane osobowe osób trzecich.

1.2. Podmiot przetwarzający (dalej: Circla, my) — Mateusz Czerwiński, przedsiębiorca prowadzący działalność gospodarczą pod firmą „Mateusz Czerwiński", wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), adres do doręczeń: ul. Twarda 18, 00-105 Warszawa, NIP 9571051219, REGON 362940234.

1.3. Umowa zostaje zawarta wraz z zawarciem umowy o świadczenie Usługi (Regulamin § 17) i obowiązuje przez czas jej trwania.

1.4. Umowa ma pierwszeństwo przed Regulaminem w zakresie przetwarzania danych osobowych powierzonych przez Klienta.

§ 2. Przedmiot, charakter i cel przetwarzania

2.1. Przedmiot: dane osobowe zawarte w Treściach Użytkownika przesłanych przez Klienta do Usługi oraz w Materiałach Wygenerowanych.

2.2. Charakter i cel: przetwarzanie wyłącznie w celu świadczenia Usługi na rzecz Klienta, to jest: przechowywanie nagrań, ich normalizacja techniczna, wydzielenie ścieżki dźwiękowej, transkrypcja mowy na tekst, analiza transkryptu przez modele językowe w celu wskazania fragmentów, wykrywanie położenia twarzy w kadrze na potrzeby kadrowania, generowanie klipów i napisów, indeksowanie transkryptu na potrzeby wyszukiwania oraz udostępnianie wyników Klientowi.

2.3. Circla nie przetwarza powierzonych danych w żadnym innym celu. W szczególności nie wykorzystuje ich do trenowania modeli uczenia maszynowego, nie profiluje osób, których dane dotyczą, i nie udostępnia danych w celach marketingowych.

2.4. Czas trwania: przez okres obowiązywania umowy o świadczenie Usługi, z zastrzeżeniem § 9.

§ 3. Kategorie osób i danych

3.1. Kategorie osób, których dane dotyczą:

• osoby występujące w nagraniach Klienta — rozmówcy, prelegenci, goście, pracownicy;
• osoby, których dane pojawiają się na nagraniu ekranu — w szczególności klienci i kontrahenci Klienta;
• osoby wymienione w treści wypowiedzi utrwalonej na nagraniu.

3.2. Kategorie danych:

• wizerunek i głos;
• treść wypowiedzi oraz jej transkrypcja;
• dane widoczne na nagraniu ekranu — mogą obejmować imiona i nazwiska, adresy e-mail, numery telefonów, treść korespondencji, dane w systemach Klienta;
• współrzędne położenia twarzy w kadrze (bez tworzenia szablonu biometrycznego — zob. Polityka Prywatności § 11).

3.3. Dane szczególnych kategorii (art. 9 RODO). Usługa nie jest przeznaczona do przetwarzania danych szczególnych kategorii ani danych dotyczących wyroków skazujących. Jeżeli nagrania Klienta mogą takie dane zawierać — na przykład dane o zdrowiu w nagraniach konsultacji — Klient zobowiązuje się poinformować nas przed rozpoczęciem przetwarzania, żeby można było ocenić dopuszczalność i ewentualnie uzgodnić dodatkowe zabezpieczenia.

§ 4. Obowiązki Circla

4.1. Przetwarzamy dane wyłącznie na udokumentowane polecenie Klienta, którym jest korzystanie z funkcji Usługi. Jeżeli prawo Unii albo prawo polskie nałoży na nas obowiązek przetwarzania wykraczający poza to polecenie, poinformujemy Klienta przed przetwarzaniem, chyba że prawo tego zabrania.

4.2. Jeżeli w naszej ocenie polecenie Klienta narusza RODO — niezwłocznie go o tym poinformujemy.

4.3. Zapewniamy, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.

4.4. Wdrażamy odpowiednie środki techniczne i organizacyjne (art. 32 RODO) — wykaz w § 5.

4.5. Pomagamy Klientowi w wywiązaniu się z obowiązków z art. 32-36 RODO, w szczególności przy zgłaszaniu naruszeń i przy ocenie skutków dla ochrony danych.

4.6. Pomagamy Klientowi w realizacji żądań osób, których dane dotyczą — zob. § 7.

4.7. Prowadzimy rejestr kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

§ 5. Środki bezpieczeństwa (art. 32 RODO)

5.1. Stosujemy w szczególności:

a) szyfrowanie transmisji — TLS dla całego ruchu;

b) szyfrowanie w spoczynku — baza danych i cache;

c) brak dostępu publicznego do magazynu plików — dostęp wyłącznie przez odnośniki podpisane, ważne domyślnie 1 godzinę;

d) kontrolę dostępu — uwierzytelnianie tokenami, sesje w cookies httpOnly, ochrona przed CSRF, rozdzielenie uprawnień;

e) rejestrowanie zdarzeń bezpieczeństwa i wszystkich działań administracyjnych, w tym każdego skorzystania z podglądu Konta;

f) zaporę aplikacyjną i ograniczanie liczby żądań;

g) kopie zapasowe bazy danych;

h) automatyczne usuwanie danych po upływie okresów retencji, realizowane zadaniami cyklicznymi.

5.2. Uczciwe zastrzeżenie o dojrzałości procesów. Nie mamy dziś sformalizowanego, udokumentowanego harmonogramu testów odtwarzania kopii zapasowych ani cyklicznego przeglądu uprawnień dostępu wykraczającego poza bieżącą kontrolę opisaną w § 5.1, ani osobnej, spisanej procedury zarządzania podatnościami. Jeżeli jest to dla Ciebie istotne kryterium wyboru dostawcy, zapytaj nas o aktualny stan tych procesów przed zawarciem umowy — wolimy to ujawnić wprost, niż zadeklarować coś, czego jeszcze nie robimy.

§ 6. Dalsze podmioty przetwarzające (podprocesorzy)

6.1. Klient udziela ogólnej zgody na korzystanie przez nas z dalszych podmiotów przetwarzających wymienionych w § 6.3.

6.2. Zawieramy z każdym podprocesorem umowę nakładającą obowiązki nie mniejsze niż wynikające z tej umowy, i odpowiadamy za jego działania i zaniechania.

6.3. Aktualna lista podprocesorów:

6.4. O zamierzonej zmianie — dodaniu albo zastąpieniu podprocesora — poinformujemy Klienta co najmniej 30 dni przed zmianą, e-mailem oraz przez aktualizację tej listy.

6.5. Klient może wnieść uzasadniony sprzeciw wobec zmiany w terminie 14 dni od powiadomienia. Jeżeli nie znajdziemy rozwiązania uwzględniającego sprzeciw, Klient może wypowiedzieć umowę o świadczenie Usługi ze skutkiem na dzień wejścia zmiany w życie, bez ponoszenia kosztów i z proporcjonalnym zwrotem opłat za okres niewykorzystany.

§ 7. Prawa osób, których dane dotyczą

7.1. Jeżeli osoba, której dane dotyczą, zgłosi się bezpośrednio do nas z żądaniem dotyczącym danych powierzonych przez Klienta, nie rozpatrzymy go samodzielnie — niezwłocznie przekażemy je Klientowi.

7.2. Na żądanie Klienta udzielamy pomocy technicznej w realizacji praw z art. 15-22 RODO. Klient realizuje je przede wszystkim samodzielnie, korzystając z funkcji Usługi:

• dostęp i przenoszenie — eksport danych oraz pobranie nagrań i klipów;
• usunięcie — usunięcie nagrania albo Konta;
• sprostowanie — edycja transkryptu i napisów w edytorze.

7.3. Pomoc wykraczająca poza funkcje Usługi i wymagająca istotnego nakładu pracy może podlegać rozliczeniu według uzgodnionej stawki, o czym uprzedzimy Klienta przed jej podjęciem.

§ 8. Naruszenia ochrony danych

8.1. O naruszeniu ochrony danych powierzonych powiadomimy Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia.

8.2. Powiadomienie obejmie: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne konsekwencje, zastosowane i proponowane środki zaradcze oraz dane kontaktowe osoby prowadzącej sprawę — w zakresie, w jakim informacje te są nam znane.

8.3. Zgłoszenia naruszenia organowi nadzorczemu oraz osobom, których dane dotyczą, dokonuje Klient jako administrator. Udzielamy mu w tym niezbędnej pomocy.

8.4. Nie powiadamiamy organu ani osób w imieniu Klienta bez jego wyraźnego polecenia.

§ 9. Zakończenie umowy i zwrot danych

9.1. Po zakończeniu umowy o świadczenie Usługi usuwamy powierzone dane, zgodnie z terminami z Polityki Prywatności § 8 — to jest po upływie 30-dniowego okresu przywracania.

9.2. Przed usunięciem Klient może pobrać dane — nagrania i klipy z Biblioteki, dane Konta przez eksport. Zalecamy zrobić to przed usunięciem Konta.

9.3. Zachowujemy dane wyłącznie w zakresie, w jakim wymaga tego prawo Unii albo prawo polskie — w szczególności dokumentację rozliczeniową przez 5 lat od końca roku podatkowego. Dane te podlegają dalszej ochronie na warunkach tej umowy.

9.4. Zastrzeżenie: kopie zapasowe bazy danych są usuwane wraz z ich rotacją, a dane u podprocesorów wymienionych w Polityce Prywatności § 8.4 wymagają obecnie ręcznej procedury usunięcia — realizujemy ją na żądanie Klienta. Automatyzacja tego procesu jest planowanym usprawnieniem, nie dzisiejszym stanem — do czasu jej wdrożenia obowiązuje procedura ręczna opisana powyżej.

9.5. Na żądanie Klienta potwierdzimy usunięcie danych pisemnie.

§ 10. Audyt i kontrola

10.1. Na żądanie Klienta udostępniamy informacje niezbędne do wykazania zgodności z art. 28 RODO.

10.2. Umożliwiamy Klientowi albo upoważnionemu przez niego audytorowi przeprowadzenie audytu, w tym inspekcji, przy zachowaniu następujących zasad:

a) audyt zapowiedziany co najmniej 30 dni wcześniej;

b) nie częściej niż raz w roku, chyba że audyt wynika z naruszenia ochrony danych albo z żądania organu nadzorczego;

c) w godzinach pracy i w sposób nie zakłócający działania Usługi;

d) audytor zobowiązany do poufności i niebędący naszym konkurentem;

e) audyt nie może obejmować danych innych klientów ani informacji stanowiących tajemnicę przedsiębiorstwa osób trzecich.

10.3. Koszty audytu ponosi Klient, z wyjątkiem audytu, który wykaże istotne naruszenie tej umowy z naszej strony.

10.4. Stan obecny. Nie posiadamy dziś certyfikacji ISO 27001 ani raportu SOC 2 — na obecnym etapie działalności byłoby to nieproporcjonalne do skali firmy. Mechanizmem weryfikacji pozostają więc indywidualne audyty na zasadach z § 10.2-10.3. Zrewidujemy tę decyzję, jeżeli skala współpracy z Klientami biznesowymi będzie tego wymagać.

§ 11. Transfery poza Europejski Obszar Gospodarczy

11.1. Powierzone dane są przetwarzane w Stanach Zjednoczonych, ponieważ infrastruktura Usługi działa w regionie AWS us-east-1. Dane trafiają również do pozostałych podprocesorów wskazanych w § 6.3.

11.2. Podstawy przekazania dla poszczególnych podprocesorów, zweryfikowane we wrześniu 2026, wskazuje Polityka Prywatności § 6.3 — część z nich to aktualna certyfikacja EU-US Data Privacy Framework, część to standardowe klauzule umowne (SCC) zawarte w standardowej umowie powierzenia danego dostawcy. Nie przeprowadziliśmy odrębnej, sformalizowanej oceny skutków transferu (TIA) dla żadnego z podprocesorów — jeżeli potrzebujesz takiej oceny do własnej dokumentacji zgodności, napisz do nas na adres z § 12.4.

11.3. Klient przyjmuje do wiadomości, że lokalizacja infrastruktury w USA jest istotną cechą Usługi, i że przed jej wybraniem powinien ocenić dopuszczalność takiego transferu dla swoich celów.

§ 12. Odpowiedzialność i postanowienia końcowe

12.1. Odpowiedzialność stron regulują Regulamin oraz art. 82 RODO.

12.2. W sprawach nieuregulowanych stosuje się Regulamin oraz prawo polskie.

12.3. Umowa sporządzona w wersji polskiej i angielskiej. W razie rozbieżności wiąże wersja polska.

12.4. Kontakt w sprawach tej umowy: [email protected].