Ostatnia aktualizacja: 10 maja 2026 r. Niniejsza wersja odzwierciedla aktualną konfigurację podprzetwarzających, w tym OpenAI w zakresie osadzeń tekstowych (embeddings) oraz kontekstowych odpowiedzi AI. W odniesieniu do przyszłych zmian wymaganych podprzetwarzających zastosowanie mają zasady powiadamiania i sprzeciwu określone w punkcie 7.3.

Wiążąca prawnie jest niemiecka wersja niniejszej Umowy o Powierzeniu Przetwarzania Danych. Tłumaczenia są udostępniane w celach informacyjnych; w przypadku rozbieżności decydujące znaczenie ma wersja niemiecka.

1. Preambuła i zakres

Niniejsza Umowa o Powierzeniu Przetwarzania Danych (DPA) reguluje przetwarzanie danych osobowych zgodnie z art. 28 GDPR pomiędzy:

  • Administrator danych: Klient PlotonIQ (dalej „Administrator danych")
  • Podmiot przetwarzający: K-Werbetechnik, właściciel: Ralph Kowalski, Banatstraße 31, 66424 Homburg, Niemcy, reprezentowany przez platformę PlotonIQ (dalej „Podmiot przetwarzający")

Niniejsza DPA stanowi integralną część Regulaminu Świadczenia Usług i reguluje przetwarzanie danych osobowych w imieniu Administratora danych w kontekście usług PlotonIQ.

2. Przedmiot i czas trwania przetwarzania

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w imieniu i zgodnie z udokumentowanymi instrukcjami Administratora danych.

2.1 Przedmiot przetwarzania

Przetwarzanie danych obejmuje następujące kategorie:

  • Dane klientów: Imiona i nazwiska, adresy, e-mail, telefon, nazwa firmy klientów Administratora danych
  • Dane zamówień: Opisy projektów, harmonogramy, wymagania, zmiany
  • Dane wykonawcze: Kalkulacje, specyfikacje materiałowe, wymiary, powierzchnie
  • Dane komunikacyjne: E-maile, wiadomości czatu, notatki oraz nagrania audio w działalności biznesowej
  • Dane zespołu: Dane pracowników, dane lokalizacji (jeśli włączone jest geofencing), uprawnienia
  • Dane finansowe: Informacje rozliczeniowe, dane płatności (tokenizowane), dane kart kredytowych (wyłącznie Stripe)
  • Dane wizualne: Zdjęcia do rozpoznawania wymiarów przez AI, zrzuty ekranu, propozycje projektowe

2.2 Czas trwania przetwarzania

Przetwarzanie danych odbywa się przez cały okres obowiązywania umowy oraz dłużej zgodnie z punktem 8 (Usuwanie i przechowywanie danych).

3. Charakter i cel przetwarzania

Podmiot przetwarzający przetwarza dane w następujących celach:

  • Świadczenie i zarządzanie usługami PlotonIQ (kalkulacje ofert, rozpoznawanie wymiarów, zarządzanie zleceniami, CRM, ewidencja czasu pracy)
  • Kalkulacje i analizy oparte na AI z wykorzystaniem Anthropic Claude API
  • Osadzenia tekstowe (embeddings) z OpenAI text-embedding-3-large (1536 wymiarów) na potrzeby wyszukiwania semantycznego oraz kontekstowych odpowiedzi AI (RAG)
  • Automatyczne rozpoznawanie wymiarów ze zdjęć z wykorzystaniem Computer Vision (SAM/DINO)
  • Komunikacja z użytkownikami (e-maile transakcyjne, powiadomienia)
  • Realizacja płatności i fakturowanie
  • Wdrażanie środków bezpieczeństwa i uwierzytelniania
  • Logowanie i monitorowanie systemu w celach bezpieczeństwa i diagnostyki błędów
  • Geofencing i zarządzanie zespołem (opcjonalnie, wyłącznie po włączeniu)

4. Kategorie osób, których dane dotyczą

Podmiot przetwarzający przetwarza dane następujących osób:

  • Klientów Administratora danych (klientów końcowych usług reklamy zewnętrznej)
  • Pracowników Administratora danych (użytkowników platformy)
  • Podwykonawców i partnerów Administratora danych
  • Osób kontaktowych i przedstawicieli

5. Kategorie danych osobowych

Podmiot przetwarzający przetwarza następujące kategorie:

  • Dane podstawowe: Imię i nazwisko, tytuł, adres, telefon, adres e-mail, nazwa firmy
  • Dane identyfikacyjne: ID użytkownika, tokeny JWT, pliki cookie sesji, odcisk przeglądarki (zhaszowany)
  • Dane lokalizacyjne: Adres IP, współrzędne GPS (tylko gdy włączone jest geofencing)
  • Dane biznesowe: Opisy projektów, kalkulacje, oferty, zamówienia, faktury
  • Dane komunikacyjne: Wiadomości, transkrypcje audio, e-maile
  • Dane techniczne: Pliki dziennika, logi serwera, dostęp do systemu, protokoły błędów
  • Kategorie szczególne: Brak (z wyjątkiem dobrowolnie podanych informacji identyfikujących)

6. Obowiązki Podmiotu przetwarzającego — Środki techniczne i organizacyjne

6.1 Techniczne środki bezpieczeństwa

  • Szyfrowanie danych:
    • Szyfrowanie AES-256 dla danych wrażliwych w bazie danych
    • TLS 1.2+ do transmisji (HTTPS)
    • Uwierzytelnianie JWT z plikami cookie httpOnly (niedostępnymi dla JavaScript)
  • Ochrona bazy danych:
    • Baza danych PostgreSQL z silnym uwierzytelnianiem
    • Szyfrowane połączenia między aplikacją a bazą danych
    • Regularne automatyczne kopie zapasowe z szyfrowaniem
    • Redundantne przechowywanie i odzyskiwanie po awarii
  • Kontrola dostępu:
    • Kontrola dostępu oparta na rolach (RBAC)
    • Architektura wielu najemców (multi-tenant) z rygorystyczną izolacją najemców
    • Dzienniki audytowe dla wszystkich dostępów administracyjnych
    • Zasada najmniejszych uprawnień: brak zbędnych uprawnień
  • Bezpieczeństwo sieci:
    • Ochrona przed DDoS przez Cloudflare
    • Reguły zapory sieciowej i wykrywanie włamań
    • Regularne aktualizacje bezpieczeństwa i poprawki
  • Bezpieczeństwo API:
    • Uwierzytelnianie API oparte na JWT
    • Ograniczanie liczby żądań w celu zapobiegania atakom brute-force
    • Brak danych wrażliwych w adresach URL lub parametrach zapytania

6.2 Organizacyjne środki bezpieczeństwa

  • Personel i szkolenia:
    • Ograniczona liczba pracowników z dostępem do danych klientów
    • Umowy o zachowaniu poufności (NDA) ze wszystkimi pracownikami
    • Szkolenia z ochrony danych dla odpowiedniego personelu
  • Ład w zakresie ochrony danych:
    • Polityka prywatności i niniejsza DPA
    • Inspektor ochrony danych (gdy wymagany)
    • Zasady ochrony i wykorzystywania danych osobowych
  • Reagowanie na incydenty:
    • Procedury wykrywania i zgłaszania naruszeń ochrony danych
    • Powiadomienie Administratora danych w ciągu 24 godzin od stwierdzenia incydentu bezpieczeństwa
    • Współpraca w zakresie obowiązków powiadamiania organów i osób, których dane dotyczą
  • Dokumentacja i monitorowanie:
    • Rejestr czynności przetwarzania zgodnie z art. 30 GDPR
    • Regularne audyty bezpieczeństwa
    • Logowanie wszystkich dostępów do danych (gdy jest to technicznie wykonalne)
  • Bezpieczeństwo fizyczne:
    • Hosting u Hetzner Online GmbH (Falkenstein, Niemcy) z certyfikatem ISO-27001
    • Kontrola fizycznego dostępu do centrum danych
    • Monitoring i środki bezpieczeństwa dostawcy hostingu

7. Podprzetwarzający i podmioty trzecie

Podmiot przetwarzający korzysta z następujących podprzetwarzających i usługodawców w celu świadczenia usług:

7.1 Wymagani podprzetwarzający

Usługa Dostawca Lokalizacja Cel Transfer danych
Hosting serwerów Hetzner Online GmbH Falkenstein, Niemcy Baza danych, serwer aplikacji Wewnątrz UE (DE)
CDN / Ochrona DDoS Cloudflare, Inc. San Francisco, USA Wydajność strony, bezpieczeństwo USA (EU-US DPF, SCC)
E-maile transakcyjne Brevo SAS Paryż, Francja E-maile potwierdzające i powiadomienia Wewnątrz UE (FR)
Realizacja płatności Stripe, Inc. San Francisco, USA Płatności kartą, zarządzanie subskrypcjami USA (SCC) — tokenizowane
API AI (kalkulacje) Anthropic, PBC San Francisco, USA Kalkulacje AI, generowanie tekstu USA (SCC) — Zero Data Retention
API AI (opcjonalna transkrypcja audio, podstawowa) Groq, Inc. Mountain View, USA Podstawowa transkrypcja STT dla notatek głosowych z whisper-large-v3, gdy opcjonalna funkcja transkrypcji audio jest używana przez Administratora danych USA (SCC) — przetwarzanie na podstawie GroqCloud DPA w celu udostępnienia funkcji STT
API AI (osadzenia tekstowe i pomoc kontekstowa) OpenAI, L.L.C. San Francisco, USA Osadzenia tekstowe z text-embedding-3-large (1536 wymiarów) na potrzeby wyszukiwania semantycznego oraz kontekstowych odpowiedzi AI (RAG); wybrane funkcje tekstowe i asystenta tam, gdzie są aktywne USA (EU-US DPF, SCC) — dane API domyślnie nie są wykorzystywane do treningu; dzienniki monitorowania nadużyć przechowywane do 30 dni
API AI (opcjonalna transkrypcja audio) OpenAI, L.L.C. San Francisco, USA OpenAI gpt-4o-transcribe wyłącznie jako ścieżka zapasowa STT, gdy Groq STT jest niedostępne, transkrypcja audio jest używana przez Administratora danych i odpowiednio skonfigurowana USA (EU-US DPF, SCC) — opcjonalna ścieżka, oddzielona od osadzeń/RAG

7.2 Transfery do państw trzecich

Dla transferów danych do USA mają zastosowanie następujące mechanizmy:

  • EU-US Data Privacy Framework (DPF): Cloudflare i OpenAI są reprezentowane przez dostawców jako certyfikowane w ramach EU-US Data Privacy Framework
  • Standardowe klauzule umowne (SCC): Dla Anthropic, Groq, OpenAI i Stripe w przypadku transferów do państw trzecich

Administrator danych wyraża zgodę na te transfery, akceptując Regulamin Świadczenia Usług.

7.3 Zmiany w gronie podprzetwarzających

Podmiot przetwarzający poinformuje Administratora danych przed zaangażowaniem nowych wymaganych podprzetwarzających lub istotną zmianą istniejących wymaganych podprzetwarzających. Administrator danych ma prawo wnieść sprzeciw wobec wykorzystywania nowych lub istotnie zmienionych wymaganych podprzetwarzających, składając pisemne oświadczenie w terminie 30 dni od powiadomienia. Jeśli sprzeciw nie zostanie zgłoszony w terminie, wykorzystanie przyszłych zmian uznaje się za zaakceptowane po upływie okresu powiadomienia. W takim przypadku każda ze stron może rozwiązać stosunek umowny.

8. Usuwanie i przechowywanie danych

8.1 Okresy usuwania po rozwiązaniu umowy

  • Dane klientów i projektów: Zostaną usunięte na żądanie Administratora danych, najpóźniej 30 dni po rozwiązaniu umowy
  • Kopie zapasowe: Zostaną automatycznie usunięte zgodnie z polityką retencji Hetzner po około 30-90 dniach
  • Pliki dziennika i dane systemowe: Zostaną automatycznie zanonimizowane lub usunięte po 90 dniach
  • Dokumentacja finansowa i faktury: Będą przechowywane zgodnie z niemieckim prawem podatkowym (§14 StGB, §239 HGB) przez 6-10 lat

8.2 Prawo do usunięcia w trakcie korzystania

Administrator danych może w każdej chwili zażądać usunięcia poszczególnych rekordów, chyba że stoi temu na przeszkodzie prawo. Usunięte dane nie zostaną przywrócone.

8.3 Eksport danych

Administrator danych może zażądać eksportu danych w ustrukturyzowanym, powszechnie używanym formacie (np. CSV, JSON) w celu umożliwienia przenoszenia danych.

9. Prawa i obowiązki Administratora danych

9.1 Instrukcje Administratora danych

Administrator danych może wydawać instrukcje dotyczące przetwarzania danych osobowych poprzez:

  • Konfigurację ustawień platformy
  • Wyraźną pisemną instrukcję drogą e-mailową na adres [email protected]
  • Korzystanie z punktów końcowych API z odpowiednimi parametrami

9.2 Współpraca Administratora danych

Administrator danych jest odpowiedzialny za:

  • Zabezpieczenie danych logowania i kodów dostępu
  • Zgodność z obowiązującymi przepisami prawa przy zbieraniu danych klientów
  • Dokładność i legalność przetwarzanych danych
  • Dokumentację podstawy prawnej przetwarzania danych
  • Powiadamianie osób, których dane dotyczą zgodnie z GDPR (gdy wymagane)

9.3 Polityka prywatności Administratora danych

Administrator danych jest odpowiedzialny za udostępnienie własnej polityki prywatności klientom końcowym, ujawniając, że dane są przekazywane do PlotonIQ / Podmiotu przetwarzającego.

10. Prawa i obowiązki osób, których dane dotyczą

Podmiot przetwarzający wspiera Administratora danych w realizacji praw osób, których dane dotyczą:

  • Prawo dostępu (art. 15 GDPR): Administrator danych może wystąpić o dostęp; Podmiot przetwarzający odpowie w ciągu 14 dni
  • Prawo do sprostowania (art. 16 GDPR): Osoby, których dane dotyczą mogą skorygować lub zażądać sprostowania błędnych danych
  • Prawo do usunięcia (art. 17 GDPR): Żądania usunięcia będą rozpatrywane w ciągu 14 dni (z wyjątkiem ustawowych obowiązków retencji)
  • Prawo do ograniczenia przetwarzania (art. 18 GDPR): Dostępne za pośrednictwem ustawień platformy
  • Prawo do przenoszenia danych (art. 20 GDPR): Administrator danych może wyeksportować dane w standardowym formacie
  • Prawo sprzeciwu (art. 21 GDPR): Dotyczy przetwarzania opartego na prawnie uzasadnionych interesach

11. Naruszenia ochrony danych i obowiązki powiadamiania

11.1 Powiadomienie o naruszeniu ochrony danych

W przypadku naruszenia ochrony danych Podmiot przetwarzający niezwłocznie, jednak nie później niż w ciągu 24 godzin, powiadomi Administratora danych w formie pisemnej. Powiadomienie obejmuje:

  • Charakter i zakres naruszenia
  • Kategorie i przybliżoną liczbę osób, których dotyczy naruszenie
  • Prawdopodobne konsekwencje naruszenia
  • Środki podjęte i planowane w celu naprawienia naruszenia oraz złagodzenia szkód
  • Imię i nazwisko oraz dane kontaktowe Inspektora ochrony danych lub osoby kontaktowej

11.2 Współpraca z organami

Podmiot przetwarzający będzie współpracował z Administratorem danych i właściwymi organami ochrony danych oraz będzie wspierał Administratora danych w:

  • Powiadamianiu osób, których dane dotyczą
  • Zgłaszaniu właściwemu organowi nadzorczemu
  • Postępowaniach wyjaśniających i audytach

12. Prawa Administratora danych do audytu

12.1 Prawa kontrolne

Administrator danych ma prawo zbadać, w jaki sposób Podmiot przetwarzający przetwarza dane osobowe na żądanie:

  • Dostęp do Rejestru czynności przetwarzania
  • Przegląd środków bezpieczeństwa
  • Audyty z wcześniejszym powiadomieniem

Audyty powinny odbywać się w normalnych godzinach pracy i nie mogą istotnie zakłócać działalności.

12.2 Certyfikaty i audyty

Podmiot przetwarzający przedstawi następujące dowody:

  • Certyfikat ISO-27001 firmy Hetzner (dostawcy hostingu)
  • Raport SOC-2 (jeśli dostępny)
  • Polityki bezpieczeństwa i katalog środków

13. Privacy by Design i Privacy by Default

Podmiot przetwarzający wdraża privacy by design zgodnie z art. 25 GDPR:

  • Minimalne zbieranie danych: zbierane są tylko niezbędne dane
  • Pseudonimizacja: odciski przeglądarki są haszowane
  • Szyfrowanie: AES-256 dla danych wrażliwych
  • Kontrola dostępu: uprawnienia oparte na rolach
  • Regularny przegląd: audyty i testy penetracyjne

14. Przetwarzanie AI i zautomatyzowane podejmowanie decyzji

14.1 Charakter przetwarzania AI

PlotonIQ wykorzystuje AI do:

  • Kalkulacji ofert (Anthropic Claude API)
  • Osadzeń tekstowych z OpenAI text-embedding-3-large (1536 wymiarów) na potrzeby wyszukiwania semantycznego oraz kontekstowych odpowiedzi AI (RAG)
  • Rozpoznawania powierzchni i wymiarów ze zdjęć (SAM/DINO — lokalnie u Hetzner)
  • Transkrypcji notatek głosowych (opcjonalna funkcja STT; głównie Groq whisper-large-v3, OpenAI gpt-4o-transcribe wyłącznie jako rozwiązanie zapasowe, gdy jest używane i skonfigurowane)
  • Generowania spostrzeżeń biznesowych i rekomendacji

W przypadku osadzeń OpenAI i RAG przesyłane są wyłącznie fragmenty tekstu związane z określonym celem, w szczególności fragmenty z tekstów zamówień, notatek i szans sprzedażowych. W zależności od treści wprowadzonych przez użytkownika mogą być włączone nazwy klientów, dane kontaktowe, adresy oraz dane wymiarów, projektów lub notatek.

Do OpenAI w celach osadzeń/RAG nie są przesyłane dane płatności Stripe, dane logowania ani hasze haseł, surowe zrzuty bazy danych backendu lub eksporty danych, dane obrazowe SAM/DINO do segmentacji wizualnej ani celowo szczególne kategorie danych osobowych zgodnie z art. 9 GDPR.

14.2 Brak wyłącznie zautomatyzowanego podejmowania decyzji

Zgodnie z art. 22 GDPR NIE występuje wyłącznie zautomatyzowane podejmowanie decyzji wywołujące skutki prawne. Oznacza to:

  • Kalkulacje AI to PROPOZYCJE, nie są wiążące
  • Użytkownicy zawsze decydują ręcznie
  • Brak zautomatyzowanego odrzucania zamówień lub klientów

14.3 Transparentność w zakresie wykorzystania AI

Użytkownicy są wyraźnie informowani, gdy AI uczestniczy w procesie, poprzez:

  • Oznakowane obszary w interfejsie użytkownika (np. „Sugestia AI")
  • Wyjaśnienie podejścia AI w tekstach pomocy
  • Niniejszą Politykę prywatności i niniejszą DPA

15. EU AI Act — Zgodność

Systemy AI używane w PlotonIQ są klasyfikowane zgodnie z EU AI Act:

  • Generowanie tekstu (Claude API): Ograniczone ryzyko — wymagania dotyczące transparentności spełnione
  • Wyszukiwanie semantyczne i RAG (OpenAI text-embedding-3-large, 1536 wymiarów): Ograniczone ryzyko — funkcja asystencka i kontekstowa, brak zautomatyzowanej decyzji
  • Rozpoznawanie wymiarów (SAM/DINO): Ograniczone ryzyko — wykonywane lokalnie, brak transferu do państw trzecich
  • Transkrypcja audio (Groq whisper-large-v3, OpenAI gpt-4o-transcribe jako rozwiązanie zapasowe): Ograniczone ryzyko — wymagana zgoda użytkownika (opt-in)

NIE występują aplikacje AI wysokiego ryzyka zgodnie z AI Act.

16. Opłaty i koszty

Niniejsza Umowa o Powierzeniu Przetwarzania Danych jest częścią umowy abonamentowej. NIE ma dodatkowych opłat za zgodność z niniejszą DPA.

17. Podstawa prawna i zakres

  • Podstawowa podstawa prawna: EU GDPR (2016/679), GDPR, dyrektywa ePrivacy (Niemcy)
  • Zakres: Wszyscy użytkownicy z siedzibą w Niemczech lub UE
  • Obowiązuje od: 1 kwietnia 2026 r.
  • Język: niemiecki; w przypadku rozbieżności obowiązuje wersja niemiecka

18. Czas trwania i rozwiązanie

18.1 Okres związany z umową

Niniejsza DPA obowiązuje równolegle z umową abonamentową. Po rozwiązaniu subskrypcji niniejsza DPA również wygasa.

18.2 Rozwiązanie

Rozwiązanie niniejszej DPA jest możliwe wyłącznie łącznie z rozwiązaniem umowy abonamentowej.

18.3 Skutki rozwiązania

Po rozwiązaniu dane klientów zostaną usunięte zgodnie z punktem 8 lub zachowane, jeśli wymaga tego prawo.

19. Zmiany w niniejszej DPA

Podmiot przetwarzający może zmodyfikować niniejszą DPA z 30-dniowym wyprzedzeniem, jeśli:

  • Wymagają tego wymagania prawne lub regulacyjne
  • Zmiana poprawia ochronę danych osobowych
  • Administrator danych nie wniesie pisemnego sprzeciwu w ciągu 30 dni

Administrator danych zostanie z wyprzedzeniem poinformowany o zmianach w formie pisemnej.

20. Kontakt i skargi

20.1 Adres kontaktowy Podmiotu przetwarzającego

K-Werbetechnik / PlotonIQ
Banatstraße 31
66424 Homburg
Niemcy
E-mail: [email protected]
Telefon: +49 (0)6821-6797414

20.2 Organ ochrony danych

Skargi dotyczące przetwarzania danych można składać do właściwego organu ochrony danych. Dane kontaktowe dla Niemiec (Saara) to:

Independent Data Protection Center Saarland
Fritz-Dobisch-Straße 12
66111 Saarbrücken, Niemcy
E-mail: [email protected]
Strona internetowa: www.datenschutz.saarland.de

21. Klauzula ważności i salwatoryjna

Jeżeli jakiekolwiek postanowienie niniejszej DPA okaże się nieważne, nie wpływa to na ważność całej umowy. Strony uzgodnią ważne postanowienie zastępcze, które odpowiada gospodarczemu celowi pierwotnej umowy.

22. Postanowienia końcowe

Niniejsza Umowa o Powierzeniu Przetwarzania Danych wchodzi w życie 1 kwietnia 2026 r. i jest wiążąca dla wszystkich klientów PlotonIQ, którzy zawierają umowę od tego dnia lub odnawiają istniejące umowy.

Wersja: 1.1

Obowiązuje od: 1 kwietnia 2026 r.

Ostatnia aktualizacja: 10 maja 2026 r.