Umowa powierzenia przetwarzania danych osobowych (Klarsi, wzór dla Firm)

Wersja z dnia 23.10.2026, obowiązuje od 23.10.2026.

Strony:

1. Administrator: Firma korzystająca z Klarsi, oznaczona w Koncie zespołu: [nazwa], [adres], NIP [numer], reprezentowana przez osobę, która akceptuje Umowę w Koncie albo ją podpisuje;
2. Podmiot przetwarzający („Procesor”): EMBER FORGE SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Krakowie, ul. Konrada Wallenroda 53/93, 30-867 Kraków, KRS 0001161846 (Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie, XI Wydział Gospodarczy KRS), NIP 6793325940, REGON 541179419, kapitał zakładowy 5 000,00 zł; kontakt w sprawach danych: [email protected].

Zawarcie. Umowa wykonuje art. 28 ust. 3 RODO (odpowiedniki liter a-h wskazano w nawiasach). Umowę zawiera się w formie elektronicznej (art. 28 ust. 9 RODO):

1. automatycznie przy utworzeniu Konta zespołu, przez akceptację Umowy przy jego zakładaniu;
2. w przypadku Firmy korzystającej z Konta indywidualnego, przez akceptację Umowy w ustawieniach Konta.

Na żądanie Administratora strony mogą też podpisać Umowę w pliku PDF. Procesor zapisuje datę, wersję Umowy i osobę akceptującą.

§1. Pojęcia

1. RODO: rozporządzenie (UE) 2016/679.
2. Dane: dane osobowe, które Administrator i osoby z jego zespołu wprowadzają do Serwisu Klarsi: w Pytaniach, Dopytaniach, Plikach, kartach klientów i notatkach, oraz dane zawarte w Odpowiedziach wygenerowanych na ich podstawie.
3. Serwis, Regulamin, Konto zespołu, Pytanie, Dopytanie, Odpowiedź, Plik: jak w Regulaminie Klarsi.
4. Podprocesor: podmiot, któremu Procesor powierza dalsze przetwarzanie Danych.
5. Naruszenie: naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO dotyczące Danych.

§2. Przedmiot, charakter i cel przetwarzania

1. Administrator powierza Procesorowi przetwarzanie Danych w celu świadczenia usług opisanych w Regulaminie: przygotowania Odpowiedzi ze źródłami, prowadzenia Rozmów i kart klientów, przechowywania Plików i eksportu.
2. Charakter przetwarzania: zbieranie, przechowywanie, porządkowanie, przetwarzanie przez system SI w celu przygotowania Odpowiedzi, wyświetlanie, eksport, kopie zapasowe i usuwanie.
3. Procesor nie przetwarza Danych do własnych celów, w szczególności nie trenuje na nich modeli SI, nie publikuje ich i nie używa w materiałach marketingowych.
4. Umowa nie obejmuje danych, które Procesor przetwarza jako administrator według Polityki prywatności: danych Konta i osób z zespołu (e-mail, rola, limity, zużycie Kredytów), danych płatności i faktur, logów bezpieczeństwa i danych do ochrony przed nadużyciami.

§3. Rodzaj Danych i kategorie osób

1. Rodzaj Danych: dane identyfikacyjne i kontaktowe (imię i nazwisko, nazwa, NIP, REGON, adres, e-mail, telefon), dane o sytuacji prawnej, podatkowej, księgowej i kadrowej opisanej w Pytaniach i Plikach, dane finansowe (przychody, koszty, wynagrodzenia, zaległości).
2. Administrator nie powinien wprowadzać numerów PESEL ani danych szczególnych kategorii (art. 9 RODO), jeżeli nie są potrzebne do Pytania. Jeżeli je wprowadzi, Procesor przetwarza je na zasadach tej Umowy, a Administrator zapewnia podstawę ich przetwarzania.
3. Kategorie osób: klienci Administratora i ich kontrahenci, pracownicy, współpracownicy i członkowie organów klientów, a także inne osoby opisane w Pytaniach i Plikach.

§4. Czas trwania

Umowa obowiązuje przez czas korzystania przez Administratora z Konta zespołu, a po jego zakończeniu do usunięcia albo zwrotu Danych zgodnie z §13.

§5. Polecenia Administratora (lit. a)

1. Procesor przetwarza Dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest ta Umowa, Regulamin, korzystanie z funkcji Serwisu przez Administratora i jego zespół, w tym ustawienia Konta zespołu (np. widoczność Rozmów dla członków zespołu), oraz polecenia przesłane e-mailem z adresu właściciela Konta zespołu.
2. Administrator poleca przekazywanie Danych do państw trzecich w zakresie potrzebnym do korzystania z Podprocesorów wymienionych w Załączniku 1, na zasadach §9.
3. Jeżeli prawo Unii albo prawo polskie nakłada na Procesora obowiązek innego przetwarzania, Procesor informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji z uwagi na ważny interes publiczny.
4. Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

§6. Poufność i dostęp do Danych (lit. b)

1. Procesor dopuszcza do Danych tylko osoby upoważnione, które zobowiązały się do zachowania tajemnicy.
2. Osoby działające w imieniu Procesora mają dostęp do treści Rozmów i Plików tylko, gdy jest to potrzebne do:
   1. obsługi zgłoszenia, reklamacji albo prośby o pomoc dotyczącej danej Rozmowy;
   2. przeglądu Odpowiedzi ocenionej negatywnie przez osobę z zespołu Administratora; taka ocena z komentarzem jest poleceniem przejrzenia tej Rozmowy w celu poprawy jakości Serwisu;
   3. wyjaśnienia incydentu bezpieczeństwa albo nadużycia;
   4. wykonania obowiązku prawnego.
3. Procesor dokumentuje każdy taki dostęp do treści Rozmów (kto, kiedy, jaka Rozmowa, cel) i na żądanie Administratora udostępnia tę dokumentację w zakresie jego Danych.

§7. Bezpieczeństwo (lit. c)

1. Procesor stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w Załączniku 2, i regularnie ocenia ich skuteczność.
2. Procesor może zmieniać środki z Załącznika 2, jeżeli nie obniża to poziomu bezpieczeństwa.

§8. Podprocesorzy (lit. d)

1. Administrator wyraża ogólną zgodę na korzystanie przez Procesora z Podprocesorów wymienionych w Załączniku 1.
2. O zamiarze dodania albo zmiany Podprocesora Procesor informuje Administratora e-mailem i w Koncie zespołu co najmniej 14 dni wcześniej. W tym czasie Administrator może zgłosić uzasadniony sprzeciw. Jeżeli strony się nie porozumieją, Administrator może wypowiedzieć Umowę i umowę o korzystanie z Konta zespołu ze skutkiem na dzień zmiany; Procesor zwraca wtedy cenę niewykorzystanych Kredytów według Regulaminu.
3. Procesor nakłada na każdego Podprocesora, w drodze umowy, te same obowiązki ochrony danych co w tej Umowie, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych.
4. Jeżeli Podprocesor nie wywiąże się ze swoich obowiązków ochrony danych, pełna odpowiedzialność wobec Administratora za wypełnienie jego obowiązków spoczywa na Procesorze (art. 28 ust. 4 RODO).

§9. Przekazywanie Danych poza Europejski Obszar Gospodarczy

1. Procesor przekazuje Dane poza EOG tylko do Podprocesorów z Załącznika 1, na podstawie:
   1. decyzji Komisji stwierdzającej odpowiedni stopień ochrony (w szczególności decyzji wykonawczej (UE) 2023/1795, jeżeli Podprocesor jest uczestnikiem EU-US Data Privacy Framework) albo
   2. standardowych klauzul umownych (decyzja wykonawcza (UE) 2021/914, art. 46 ust. 2 lit. c RODO); na tej podstawie Dane trafiają do dostawcy modelu SI.
2. Dla przekazania do dostawcy modelu SI Procesor prowadzi ocenę skutków przekazania (klauzula 14 standardowych klauzul umownych), aktualizuje ją przy zmianie warunków dostawcy i udostępnia ją Administratorowi na żądanie.
3. Na żądanie Administratora Procesor udostępnia informacje o podstawie przekazania i kopię zastosowanych zabezpieczeń.

§10. Pomoc Administratorowi (lit. e i f)

1. Procesor pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO). Administrator może sam wyszukiwać, eksportować i usuwać Dane w Serwisie. Żądanie, które trafi do Procesora, Procesor przekazuje Administratorowi w ciągu 3 dni roboczych i nie odpowiada na nie samodzielnie, chyba że Administrator tak poleci.
2. Uwzględniając charakter przetwarzania i dostępne informacje, Procesor pomaga Administratorowi wywiązać się z obowiązków z art. 32-36 RODO: bezpieczeństwa, zgłaszania Naruszeń organowi nadzorczemu i zawiadamiania osób, oceny skutków dla ochrony danych i uprzednich konsultacji.
3. Pomoc w zakresie dostępnych informacji i funkcji Serwisu jest bezpłatna. Pomoc wymagającą znacznego nakładu pracy strony rozliczają według uzgodnionej stawki.

§11. Naruszenia ochrony danych

1. Procesor zgłasza Administratorowi Naruszenie bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, e-mailem na adres właściciela Konta zespołu.
2. Zgłoszenie zawiera, w miarę dostępnych informacji: opis charakteru Naruszenia, kategorie i przybliżoną liczbę osób i wpisów, dane kontaktowe osoby, od której można uzyskać informacje, możliwe konsekwencje oraz zastosowane i proponowane środki zaradcze. Informacje, których nie da się podać od razu, Procesor przekazuje sukcesywnie bez zbędnej zwłoki.
3. Procesor dokumentuje Naruszenia i współpracuje z Administratorem przy zgłoszeniu do organu nadzorczego i zawiadomieniu osób. Nie zgłasza Naruszenia organowi nadzorczemu w imieniu Administratora bez jego polecenia.

§12. Informacje i audyt (lit. h)

1. Procesor udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO, w pierwszej kolejności w formie opisu środków bezpieczeństwa i odpowiedzi na pytania. Odpowiada w ciągu 14 dni.
2. Administrator może przeprowadzić audyt, w tym inspekcję, sam albo przez audytora, który nie jest konkurentem Procesora i zobowiązał się do zachowania poufności, raz w roku oraz po Naruszeniu dotyczącym Danych, po uzgodnieniu terminu z co najmniej 14-dniowym wyprzedzeniem. Audyt nie może naruszać danych innych klientów Procesora ani jego tajemnicy przedsiębiorstwa.
3. Koszty audytu ponosi Administrator, chyba że audyt wykaże istotne naruszenie Umowy przez Procesora.

§13. Zakończenie przetwarzania (lit. g)

1. Po zakończeniu korzystania z Konta zespołu Administrator ma 30 dni na eksport Danych (Rozmowy, karty klientów) w formacie elektronicznym udostępnionym w Serwisie.
2. Po tym terminie Procesor usuwa Dane z systemów produkcyjnych, a z kopii zapasowych w ciągu kolejnych 30 dni, chyba że prawo Unii albo prawo polskie nakazuje ich dalsze przechowywanie. Na żądanie Procesor potwierdza usunięcie e-mailem.
3. Pliki Procesor usuwa także w trakcie trwania Umowy, po 30 dniach od ich dodania, zgodnie z Regulaminem.
4. Podprocesorzy usuwają Dane według swoich okresów przechowywania wskazanych w Załączniku 1.

§14. Odpowiedzialność

1. Wobec osób, których dane dotyczą, strony odpowiadają zgodnie z art. 82 RODO.
2. W stosunkach między stronami do odpowiedzialności Procesora z tej Umowy stosuje się ograniczenia z §22 Regulaminu (suma opłat zapłaconych przez Administratora w ciągu 12 miesięcy przed zdarzeniem), z wyjątkiem szkody wyrządzonej umyślnie albo z rażącego niedbalstwa.
3. Jeżeli na Administratora zostanie nałożona administracyjna kara pieniężna z powodu naruszenia, za które odpowiada Procesor, Procesor zwraca Administratorowi jej równowartość w części odpowiadającej jego udziałowi w naruszeniu, w granicach limitu z ust. 2.

§15. Postanowienia końcowe

1. W sprawach ochrony Danych Umowa ma pierwszeństwo przed Regulaminem.
2. Zmiana Umowy wymaga akceptacji w Koncie zespołu albo formy dokumentowej. Zmiana listy Podprocesorów następuje według §8 ust. 2.
3. Do Umowy stosuje się RODO i prawo polskie. Spory rozstrzyga sąd właściwy według przepisów ogólnych.
4. Nieważność jednego postanowienia nie wpływa na ważność pozostałych.

---

Załącznik 1. Podprocesorzy

Lista jest zgodna z Polityką prywatności, pkt 6, gdzie wymieniamy także dostawców, którzy nie otrzymują Danych objętych Umową.

Resend, Inc. (e-maile systemowe), Zoho Corporation B.V. (poczta firmowa), Fakturownia sp. z o.o. (faktury) i Stripe Payments Europe, Ltd (płatności) nie otrzymują Danych objętych Umową, chyba że Administrator sam prześle je w korespondencji: e-maile systemowe zawierają tylko powiadomienia i linki, bez treści Pytań i Odpowiedzi, a operator płatności przetwarza wyłącznie dane płatności.

Załącznik 2. Środki techniczne i organizacyjne

1. Szyfrowanie: szyfrowanie połączeń; hasła zapisywane wyłącznie w postaci skrótu; dostęp do serwera i kopii zapasowych tylko dla upoważnionych administratorów.
2. Izolacja: oddzielenie danych każdego Konta; system SI nie ma dostępu do danych innych Kont.
3. Kontrola dostępu: role w Koncie zespołu (właściciel, administrator, członek; Regulamin §20 ust. 1) i ustawienie widoczności Rozmów wybierane przez właściciela, domyślnie autor, właściciel i administrator; dostęp administracyjny Procesora tylko dla upoważnionych osób, przez imienne konta; zasada minimalnych uprawnień.
4. Rozliczalność: rejestr zdarzeń w Koncie i rejestr działań administracyjnych przechowywane 90 dni; dokumentacja dostępu do treści Rozmów (§6 ust. 3) przechowywana 12 miesięcy.
5. Ochrona Serwisu: zapora sieciowa, aktualizacje bezpieczeństwa, ochrona przed atakami i automatami, limity zapytań, blokady po nieudanych próbach logowania, kontrola dodawanych Plików.
6. Ochrona systemu SI: zabezpieczenia techniczne przed próbami zmiany zasad działania systemu SI.
7. Ciągłość działania: codzienne kopie zapasowe baz danych i plików przechowywane 14 dni, ze sprawdzaniem integralności (sumy kontrolne), kopia przed każdym wdrożeniem nowej wersji, okresowe próby odtworzenia.
8. Minimalizacja: ostrzeżenie przy polu Pytania przed wpisywaniem numerów PESEL i nazwisk innych osób, automatyczne usuwanie Plików po 30 dniach, e-maile systemowe bez treści Rozmów.
9. Organizacja: upoważnienia i zobowiązania do poufności, procedura obsługi Naruszeń (ocena w ciągu 24 godzin, zgłoszenie do organu nadzorczego w 72 godziny, gdy Procesor działa jako administrator), procedura obsługi żądań osób, przegląd środków co najmniej raz w roku, ocena skutków dla ochrony danych i rejestr czynności przetwarzania prowadzone przez Procesora.