Umowa powierzenia przetwarzania danych osobowych

zawarta pomiędzy:

[nazwa gabinetu albo ośrodka], NIP: [NIP], [adres] — dalej „Administrator”,

a

Understand sp. z o.o., pl. Władysława Andersa 3, 61-894 Poznań, KRS 0000266342, NIP 7792299247, REGON 300456802 — operator systemu MentAI, dalej „Podmiot przetwarzający”.

§1. Przedmiot i czas trwania

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu określonym niniejszą umową, na czas korzystania z systemu MentAI. Umowa obowiązuje od dnia akceptacji warunków korzystania z systemu i wygasa po zakończeniu dostępu do konta oraz upływie 30-dniowego okresu zwrotu danych (§3 pkt 6).

§2. Charakter, cel i zakres przetwarzania

Przetwarzanie odbywa się w celu świadczenia usługi prowadzenia gabinetu (terminarz, rezerwacja online, przypomnienia, rozliczenia i dokumenty sprzedaży, szkice notatek z pomocą AI). Kategorie osób: klienci, opiekunowie klientów małoletnich, osoby i podmioty płacące za klienta (nabywcy i odbiorcy dokumentów sprzedaży), uczestnicy dodatkowi wizyt online (np. rodzic, partner, tłumacz), personel gabinetu. Rodzaje danych: dane identyfikacyjne i kontaktowe, terminy i statusy wizyt, dane rozliczeniowe. System jest zaprojektowany do pracy bez danych klinicznych (zasada minimum) — Administrator zobowiązuje się nie wprowadzać treści sesji ani dokumentacji medycznej poza modułem klinicznym. Jeżeli Administrator świadomie włączy opcjonalny moduł kliniczny (sekcja 3c warunków korzystania), zakres powierzenia obejmuje także dane dotyczące zdrowia (art. 9 RODO), przechowywane w wydzielonym magazynie szyfrowanym dedykowanym kluczem. Jeżeli Administrator włączy także moduł transkrypcji sesji (sekcja 3d warunków korzystania), zakres obejmuje nagrania rozmów i ich automatyczne transkrypcje; nagranie i surowy transkrypt są przechowywane w wydzielonym magazynie modułu klinicznego, bez kopii zapasowych, i usuwane automatycznie najpóźniej 24 godziny od nagrania (wcześniej na polecenie terapeuty).

§3. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 RODO)

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora (korzystanie z funkcji systemu = polecenie);
2. zapewnia, by osoby upoważnione zobowiązały się do zachowania tajemnicy;
3. stosuje środki bezpieczeństwa wymagane art. 32 RODO (szyfrowanie w spoczynku i transmisji, konta imienne z rolami, dziennik zdarzeń, infrastruktura w UE);
4. przestrzega warunków korzystania z podpowierzenia (§4);
5. w miarę możliwości pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą, oraz z obowiązków z art. 32-36 RODO;
6. po zakończeniu świadczenia usługi zwraca dane (eksport dostępny w panelu przez 30 dni od zakończenia dostępu, w tym czasie konto działa w trybie tylko do odczytu, a Administrator otrzymuje dwa przypomnienia o eksporcie), a następnie trwale je usuwa ze wszystkich systemów produkcyjnych; kopie zapasowe wygasają w ciągu kolejnych 35 dni; na wniosek Administratora usuwa dane wcześniej i wystawia pisemne potwierdzenie usunięcia z datą;
7. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia audyty, w tym inspekcje: nie częściej niż raz na 12 miesięcy (częściej wyłącznie po naruszeniu ochrony danych albo na żądanie organu nadzorczego), po pisemnym uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem, w pierwszej kolejności w formie pisemnej (kwestionariusz, dokumentacja), w godzinach pracy Podmiotu przetwarzającego, bez dostępu do danych innych administratorów; każda ze stron ponosi koszty audytu w swoim zakresie;
8. zgłasza Administratorowi naruszenia ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od wykrycia.

§4. Podpowierzenie

Administrator wyraża ogólną zgodę na korzystanie z następujących dalszych podmiotów przetwarzających (o zamierzonych zmianach Podmiot przetwarzający poinformuje z co najmniej 14-dniowym wyprzedzeniem na adres e-mail konta, z możliwością sprzeciwu):

1. Amazon Web Services EMEA SARL — hosting i usługi chmurowe w Unii Europejskiej: region Frankfurt oraz kopie zapasowe w regionie Sztokholm, w tym wysyłka SMS, transkrypcja nagrań (Amazon Transcribe) i przetwarzanie efemeryczne szkiców AI w regionach UE (bez zapisu treści szkiców i bez trenowania modeli).
2. SEOHOST sp. z o.o., ul. Obornicka 330, 60-689 Poznań — serwer poczty (wysyłka e-maili: przypomnienia, dokumenty, portal klienta).
3. Meta Platforms Ireland Limited — kanał WhatsApp (przypomnienia), WYŁĄCZNIE jeżeli Administrator włączy ten kanał w ustawieniach.
4. Krajowy Integrator Płatności S.A. (Tpay) — obsługa płatności online. (pozycja warunkowa: tylko gdy gabinet włączy płatności online klientów)

§4a. Przekazywanie danych do usług wskazanych przez Administratora (integracje)

1. Jeżeli Administrator włączy w panelu integrację z usługą zewnętrzną, z której korzysta na podstawie własnej umowy z jej dostawcą, Podmiot przetwarzający przekazuje temu dostawcy dane wyłącznie w zakresie opisanym przy tej integracji w warunkach korzystania z systemu i przyjmuje od niego dane rezerwacji. Włączenie integracji stanowi udokumentowane polecenie Administratora w rozumieniu art. 28 ust. 3 lit. a RODO; data, godzina i osoba włączająca są zapisywane.
2. Dostawca usługi wskazanej przez Administratora nie jest dalszym podmiotem przetwarzającym Podmiotu przetwarzającego. Przetwarza dane na podstawie umowy zawartej bezpośrednio z Administratorem. Za podstawę prawną przekazania, w tym przy danych, o których mowa w art. 9 RODO, oraz za poinformowanie osób, których dane dotyczą, odpowiada Administrator.
3. Dane rezerwacji przyjęte od dostawcy są przetwarzane w systemie na zasadach niniejszej umowy.
4. Wyłączenie integracji w panelu wstrzymuje przekazywanie danych niezwłocznie. Dane przekazane wcześniej pozostają u dostawcy na zasadach umowy Administratora z dostawcą.
5. Podmiot przetwarzający prowadzi dziennik przekazań (kto, kiedy, jaka operacja — bez treści danych) i udostępnia go Administratorowi na żądanie.
6. Ust. 1–5 stosuje się odpowiednio do adresów webhooków dodanych przez Administratora w panelu (sekcja 3a-bis warunków), także gdy adres należy do systemu samego Administratora. Na taki adres Podmiot przetwarzający wysyła wyłącznie dane opisane w tej sekcji — bez imienia i nazwiska, danych kontaktowych klienta i danych z modułu klinicznego — i wyłącznie połączeniem szyfrowanym (HTTPS).

(akapit warunkowy: lista integracji włączonych przez Administratora, z datą akceptacji zasad, gdy gabinet włączy integrację)

§5. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Umowa może zostać zawarta poprzez akceptację warunków korzystania z systemu MentAI albo podpisana w formie pisemnej na życzenie Administratora.

Kontakt w sprawach danych osobowych: rodo@mentai.pl.