Umowa Powierzenia Przetwarzania Danych (DPA)

1.1. Niniejsza Umowa Powierzenia Przetwarzania Danych Osobowych (dalej „DPA") stanowi integralną część umowy o świadczenie usług platformy SaldoVia i reguluje zasady powierzenia przetwarzania danych osobowych dłużników.

1.2. Administrator — klient korzystający z platformy SaldoVia, będący administratorem danych osobowych swoich dłużników.

1.3. Podmiot Przetwarzający — DOKA Jarosław Górecki (jednoosobowa działalność gospodarcza), ul. Traugutta 24, 09-200 Sierpc, Polska, NIP 7761655853, REGON 383084709, wpis do CEIDG — operator platformy SaldoVia, przetwarzający dane osobowe wyłącznie na udokumentowane polecenie Administratora.

2.1. Podmiot Przetwarzający przetwarza następujące kategorie danych osobowych:

• Dane identyfikacyjne dłużników (imię, nazwisko, PESEL/NIP)
• Dane kontaktowe (telefon, e-mail, adres)
• Dane dotyczące zobowiązań (kwoty, terminy, historia płatności)
• Dane z komunikacji (transkrypcje rozmów, korespondencja)
• Dane behawioralne (scoring, analiza ryzyka)

2.2. Cel przetwarzania: realizacja procesów pilnowania należności z wykorzystaniem AI na zlecenie Administratora.

2.3. Czas trwania przetwarzania: przez okres obowiązywania umowy głównej oraz przez okres wymagany przepisami prawa po jej zakończeniu.

3.1. Podmiot Przetwarzający zobowiązuje się do:

• Przetwarzania danych wyłącznie na udokumentowane polecenie Administratora
• Zapewnienia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy
• Wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 32 RODO)
• Przestrzegania warunków korzystania z usług podprzetwarzających (art. 28 ust. 2 i 4 RODO)
• Pomagania Administratorowi w realizacji obowiązku odpowiadania na żądania osób, których dane dotyczą
• Pomagania Administratorowi w zapewnieniu wypełnienia obowiązków z art. 32-36 RODO
• Usunięcia lub zwrotu danych po zakończeniu świadczenia usług
• Udostępniania Administratorowi wszelkich informacji niezbędnych do wykazania zgodności z art. 28 RODO

4.1. Administrator wyraża ogólną zgodę na korzystanie z następujących podprzetwarzających:

• Supabase Inc. — hosting bazy danych i infrastruktura (EOG, Frankfurt)
• Anthropic PBC / Google LLC — modele AI (Claude, Gemini) sterujące agentem (SCC, zero-retention API)
• OpenAI, L.L.C. — dodatkowe modele transkrypcji i analizy (SCC)
• Telnyx LLC — telefonia SIP/PSTN, SMS, nagrywanie rozmów (SCC, EOG POP: Amsterdam)
• ElevenLabs Inc. — konwersacyjny agent głosowy, synteza mowy, transkrypcja (SCC; nagrania i transkrypcje ≤ 30 dni)
• Stripe Payments Europe Ltd. — przetwarzanie płatności (PCI DSS L1, SCC)
• Lovable / Resend — e-mail transakcyjny (notify.saldovia.ai) — EOG/USA, SCC

4.2. Podmiot Przetwarzający informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprzetwarzających z 14-dniowym wyprzedzeniem.

5.1. Podmiot Przetwarzający powiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia naruszenia.

5.2. Powiadomienie zawiera co najmniej: opis charakteru naruszenia, dane kontaktowe IOD, opis prawdopodobnych konsekwencji oraz opis podjętych środków zaradczych.

6.1. Podmiot Przetwarzający wdrożył następujące środki techniczne i organizacyjne:

• Szyfrowanie danych w spoczynku (AES-256) i w transmisji (TLS 1.3)
• Row-Level Security (RLS) zapewniający izolację danych między tenantami
• Uwierzytelnianie wieloskładnikowe (MFA) dla użytkowników administracyjnych
• Regularne testy penetracyjne i audyty bezpieczeństwa
• Automatyczne kopie zapasowe z retencją 30 dni
• Monitoring i alerting w czasie rzeczywistym
• Polityka minimalnych uprawnień (principle of least privilege)