Niniejsza umowa (art. 28 RODO) stanowi Załącznik nr 1 do Regulaminu aplikacji Kairyo (§ 15 ust. 2 Regulaminu) i jego integralną część. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie. Umowa jest zawierana między:
- Administratorem - Usługobiorcą w rozumieniu Regulaminu (przedsiębiorcą korzystającym z aplikacji Kairyo), oraz
- Podmiotem przetwarzającym (Procesorem) - Damianem Wietechą, prowadzącym działalność gospodarczą pod firmą SubWise Damian Wietecha, NIP 6852349558, Sadki 85, 38-230 Nowy Żmigród, kontakt: support@kairyo.pl (Usługodawcą w rozumieniu Regulaminu).
Akceptacja Regulaminu jest równoznaczna z zawarciem niniejszej umowy.
§1. Przedmiot, charakter i cel przetwarzania
- Administrator powierza Procesorowi przetwarzanie danych osobowych wyłącznie w celu i zakresie niezbędnym do świadczenia usługi Kairyo zgodnie z Regulaminem: wykonywania pracy zespołu Administratora z wykorzystaniem sztucznej inteligencji na danych jego firmy, w tym na danych z Integracji, oraz wykonywania Poleceń Użytkowników w narzędziach Administratora.
- Przetwarzanie obejmuje czynności: zbieranie, utrwalanie, przechowywanie, organizowanie, analizowanie (w tym z wykorzystaniem modeli AI), wykonywanie działań w narzędziach Administratora na Polecenie jego Użytkowników (także w Maszynie Wirtualnej, której sesje są nagrywane), prowadzenie w imieniu Administratora rozmów z osobami odwiedzającymi jego stronę internetową i umawianie z nimi spotkań, udostępnianie treści osobom wskazanym przez Administratora, udostępnianie podprocesorom w zakresie §6 oraz usuwanie/anonimizację.
- Czas trwania: na czas obowiązywania umowy o świadczenie usługi (Regulamin), z uwzględnieniem okresów retencji.
§2. Kategorie osób i danych
- Kategorie osób, których dane dotyczą: kontrahenci Administratora (w tym osoby prowadzące jednoosobową działalność), klienci i potencjalni klienci Administratora (leady/kontakty CRM), osoby odwiedzające stronę internetową Administratora i rozmawiające z asystentem Kairyo, osoby umawiające spotkania przez link rezerwacji, odbiorcy treści udostępnionych przez Administratora, pracownicy/współpracownicy Administratora (np. przypisani do zadań operacyjnych), osoby wskazane w przesłanych dokumentach oraz osoby, których dane są widoczne w narzędziach Administratora podczas sesji Maszyny Wirtualnej.
- Kategorie danych: dane identyfikacyjne i kontaktowe (imię, nazwisko, nazwa firmy, NIP, e-mail, telefon), dane transakcyjne i finansowe (kwoty, faktury, terminy), dane dotyczące relacji handlowych (etapy sprzedaży, wartości, źródła leadów), dane operacyjne (zadania, przypisania), dane o wizytach z systemów rezerwacji (termin, usługa, stan wizyty, identyfikator klienta w tym systemie), treść korespondencji z kanałów komunikacji podłączonych przez Administratora (m.in. wiadomości WhatsApp, Messenger, Instagram Direct - w tym historia rozmów udostępniona przez Administratora przy podłączeniu kanału) oraz nagrania głosowe i ich transkrypcje, jeżeli Administrator włączy funkcję transkrypcji, nagrania sesji Maszyny Wirtualnej i zaszyfrowane dane logowania do narzędzi, z których Kairyo korzysta w Maszynie Wirtualnej. Procesor nie przetwarza świadomie szczególnych kategorii danych (art. 9 RODO) - Administrator zobowiązuje się ich nie wprowadzać.
§3. Obowiązki Procesora (art. 28 ust. 3 RODO)
Procesor:
- przetwarza dane wyłącznie na udokumentowane polecenie Administratora (którym jest korzystanie z usługi zgodnie z Regulaminem oraz ustawienia konfiguracyjne), chyba że obowiązek wynika z prawa;
- zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności;
- stosuje środki bezpieczeństwa odpowiednie do ryzyka (art. 32 RODO) - m.in. szyfrowanie transmisji (TLS) i wrażliwych danych w spoczynku, oddzielenie danych każdej organizacji od danych innych organizacji, kontrolę dostępu, 2FA, rejestry audytowe;
- korzysta z podprocesorów wyłącznie na zasadach z §6;
- w miarę możliwości pomaga Administratorowi wywiązać się z obowiązków odpowiadania na żądania osób (rozdz. III RODO) oraz z obowiązków z art. 32-36 (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków);
- zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu;
- po zakończeniu świadczenia usługi usuwa lub zwraca dane (wg wyboru Administratora) oraz usuwa istniejące kopie, chyba że przepisy nakazują dalsze przechowywanie (np. faktury);
- udostępnia Administratorowi informacje niezbędne do wykazania zgodności i umożliwia audyty (w tym inspekcje) w rozsądnym zakresie, z poszanowaniem poufności i bezpieczeństwa innych klientów; audyt może być realizowany przez dostarczenie dokumentacji/oświadczeń.
§4. Obowiązki Administratora (Klienta)
- Administrator oświadcza, że posiada podstawę prawną do przetwarzania powierzanych danych i do ich udostępnienia Procesorowi (w tym danych pobieranych z integracji).
- Administrator odpowiada za legalność poleceń i za to, że nie naruszają one przepisów o ochronie danych.
§5. Anti-data-portability a powierzenie
Ograniczenia eksportu opisane w Regulaminie i Polityce prywatności dotyczą korzystania z Aplikacji i nie ograniczają praw Administratora jako powierzającego do uzyskania zwrotu/usunięcia danych po zakończeniu umowy (§3 pkt 7).
§6. Podprocesorzy
- Administrator wyraża ogólną zgodę na korzystanie przez Procesora z podprocesorów wymienionych poniżej, niezbędnych do świadczenia usługi. Procesor zapewnia, że podprocesorów wiążą obowiązki ochrony danych nie mniejsze niż w niniejszej umowie.
- Procesor informuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów, umożliwiając wyrażenie sprzeciwu.
- Wykaz podprocesorów (stan na 18.09.2026). Ten sam wykaz, razem z odnośnikami do dokumentów dostawców i datą wglądu, jest utrzymywany w kairyo.pl/prawne/podprocesorzy i pokazywany Administratorowi w aplikacji (Ustawienia → Prywatność).
| Podprocesor | Funkcja | Lokalizacja / transfer |
|---|---|---|
| Anthropic, PBC | modele AI - przetwarzanie treści i kontekstu potrzebnych do wykonania Poleceń | USA - SCC / EU-US DPF |
| Voyage AI (MongoDB, Inc.) | wyszukiwanie informacji zapisanych w Koncie | USA - podstawa transferu nieudokumentowana po stronie dostawcy (patrz §7 pkt 2) |
| OpenAI, L.L.C. | transkrypcja nagrań głosowych z kanałów komunikacji (WhatsApp) - wyłącznie gdy Administrator włączy tę funkcję | USA - SCC / EU-US DPF |
| Resend | wysyłka e-maili transakcyjnych | USA - SCC / EU-US DPF |
| Stripe | obsługa płatności i faktur (bez danych karty u Procesora) | grupa USA, podmiot w UE - SCC / DPF |
| SMSAPI (ZenBox/Linkplus) | wysyłka SMS (np. kody 2FA) | Polska (EOG) |
| Hetzner Online GmbH | hosting | Niemcy (EOG) |
| CEIDG (rejestr publiczny) | sprawdzenie firmy po numerze NIP przy zakładaniu konta i uzupełnianiu danych | Polska (EOG) |
| Brave Search albo Tavily | wyszukiwanie w sieci na polecenie Administratora - wyłącznie gdy funkcja jest włączona (na 18.09.2026 wyłączona: brak klucza) | USA - SCC / EU-US DPF |
| Dostawcy integracji autoryzowanych przez Administratora (np. Google, Meta, HubSpot, Pipedrive, Asana, ClickUp, KSeF/MF) | przepływ danych z/do systemów wskazanych przez Administratora | różne (część USA - odpowiednie mechanizmy transferu) |
§7. Transfery poza EOG
- W zakresie, w jakim podprocesorzy przetwarzają dane poza EOG (USA), transfer odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską lub na podstawie decyzji o adekwatności (EU-US Data Privacy Framework), jeżeli dany podprocesor jest certyfikowany, wraz z dodatkowymi środkami, jeśli są wymagane.
- Voyage AI - łańcuch nieudokumentowany (stan na 18.09.2026). Polityka prywatności Voyage AI (wersja z 20.02.2025) nie wymienia ani RODO, ani SCC, ani Data Privacy Framework. MongoDB, Inc. jako właściciel Voyage AI deklaruje SCC oraz certyfikację EU-US DPF (polityka prywatności z 04.11.2025, sekcja 11), ale nie wymienia Voyage AI z nazwy, a Voyage AI nie wymienia MongoDB poza stopką z prawami autorskimi. Do czasu uzyskania pisemnego potwierdzenia od dostawcy Procesor nie deklaruje tu SCC ani DPF.
§8. Odpowiedzialność
Odpowiedzialność stron z tytułu niniejszej umowy podlega ograniczeniom przewidzianym w Regulaminie (§12), z zastrzeżeniem bezwzględnie obowiązujących przepisów RODO.
§9. Postanowienia końcowe
W sprawach nieuregulowanych stosuje się RODO oraz prawo polskie. W razie sprzeczności między niniejszą umową a Regulaminem w zakresie ochrony danych - pierwszeństwo ma niniejsza umowa.