Uzgodnienia współadministratorów

§ 1. Strony i przedmiot

1. Współadministratorami danych Autorów są: VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (dalej: „VERTOM”) oraz Klient.

2. Współadministrowanie obejmuje odczytanie publicznych Wpisów we wskazanych Źródłach, ich ocenę, przygotowanie Szkicu odpowiedzi, przechowywanie Leadów i wysyłkę powiadomień.

3. Współadministrowanie nie obejmuje tego, co Klient robi z Leadem po jego otrzymaniu: kontaktu z Autorem, zapisania danych we własnych systemach i dalszej korespondencji. W tym zakresie Klient jest samodzielnym administratorem i odpowiada za to sam.

4. Uzgodnienia obowiązują przez czas trwania umowy o korzystanie z Serwisu i do chwili usunięcia danych zgodnie z § 9.

§ 2. Charakter, cel, rodzaj danych i kategorie osób

1. Charakter przetwarzania: zautomatyzowane zbieranie, utrwalanie, porządkowanie, przechowywanie, analiza treści, udostępnianie Klientowi i usuwanie.

2. Cel: identyfikacja publicznych Wpisów, w których Autor wyraża zapotrzebowanie na produkt lub usługę Klienta, w celu umożliwienia Klientowi nawiązania kontaktu.

3. Rodzaj danych: imię i nazwisko albo nazwa profilu Autora, odnośnik do profilu, jeśli jest publiczny, treść Wpisu, data publikacji, adres Źródła, publiczne liczniki reakcji i komentarzy, wynik oceny Wpisu wraz z uzasadnieniem wygenerowanym przez Serwis, treść Szkicu odpowiedzi oraz status Leada nadany przez Klienta.

4. Kategorie osób: Autorzy publicznych Wpisów w Źródłach wskazanych przez Klienta, w serwisach Facebook, Reddit i X.

5. Nie przetwarzamy w sposób zamierzony danych szczególnych kategorii. Katalog Źródeł zakazanych ustala VERTOM (Regulamin § 7 ust. 3) i obowiązuje on niezależnie od woli Klienta. Jeżeli mimo to Wpis zawiera takie dane, są one przetwarzane wyłącznie jako element treści Wpisu, bez odrębnej analizy, i podlegają temu samemu okresowi usuwania co pozostałe.

§ 3. Podział obowiązków (art. 26 ust. 1 RODO)

1. VERTOM ustala i wykonuje: sposób odczytania Wpisów, zakres zapisywanych pól, okres przechowywania, model używany do oceny, usuwanie danych identyfikujących z treści przekazywanej modelowi, katalog Źródeł zakazanych oraz środki techniczne i organizacyjne (§ 4).

2. Klient ustala i wykonuje: listę Źródeł, kryteria oceny, harmonogram Skanów, kanały powiadomień oraz cel i sposób wykorzystania Leada po jego otrzymaniu.

3. Obowiązek informacyjny wobec Autorów (art. 14 RODO) wykonuje VERTOM. Informacja jest publikowana pod adresem useleadscanner.com/legal/notice-for-authors, w każdym języku, w którym dostępny jest Serwis. Klient wskazuje ten adres Autorowi, który zapyta go o źródło swoich danych.

4. Punktem kontaktowym dla Autorów w rozumieniu art. 26 ust. 1 zdanie trzecie RODO jest VERTOM: [email protected]. VERTOM przyjmuje i realizuje żądania Autorów (§ 8) także wtedy, gdy dotyczą danych w Organizacji Klienta. Klient, który otrzyma żądanie bezpośrednio, przekazuje je niezwłocznie pod ten adres.

5. Niezależnie od powyższego podziału Autor może wykonywać przysługujące mu prawa wobec każdego ze współadministratorów (art. 26 ust. 3 RODO), a każdy z nich odpowiada wobec Autora na zasadach art. 82 RODO.

6. Jeżeli VERTOM uzna, że ustawienie wprowadzone przez Klienta narusza przepisy o ochronie danych, informuje o tym Klienta i może wstrzymać Skany do czasu wyjaśnienia.

§ 4. Środki i obowiązki VERTOM

1. VERTOM zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy, a dostęp do danych Autorów mają wyłącznie osoby, którym jest on niezbędny; każdy odczyt danych Autorów przez operatora Serwisu poza zwykłym działaniem Serwisu jest rejestrowany w dzienniku audytu.

2. Wdraża środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie połączeń, szyfrowanie sekretów integracji w spoczynku, izolację danych każdej Organizacji z identyfikatorami nieprzewidywalnymi, uwierzytelnianie dwuskładnikowe dla kont operatorów, ograniczenie liczby prób logowania, automatyczne usuwanie danych po upływie okresu przechowywania, kopie zapasowe w Europejskim Obszarze Gospodarczym oraz usuwanie danych identyfikujących z treści przekazywanej modelowi językowemu przed jej wysłaniem.

3. Realizuje żądania Autorów centralnie (§ 8) i informuje o nich Klienta, gdy jest to możliwe. Żądanie skierowane do Klienta VERTOM realizuje w ciągu 7 dni od jego przekazania.

4. Udostępnia Klientowi informacje niezbędne do wykazania spełnienia obowiązków z art. 26 oraz art. 32–36 RODO w zakresie, w jakim dotyczą one części przetwarzania prowadzonej przez VERTOM.

5. O naruszeniu ochrony danych osobowych, które dotyczy danych Autorów, informuje Klienta bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, podając znane mu okoliczności, kategorie i przybliżoną liczbę osób oraz podjęte środki. Zgłoszenia do organu nadzorczego w zakresie przetwarzania, o którym mowa w § 3 ust. 1, dokonuje VERTOM.

6. Umożliwia Klientowi weryfikację wykonywania tych uzgodnień na zasadach § 6.

§ 5. Podmioty przetwarzające i źródła danych

1. VERTOM korzysta z podmiotów przetwarzających wymienionych na liście pod adresem useleadscanner.com/legal/subprocessors, w zakresie tam opisanym. Klient wyraża na to ogólną zgodę.

2. Ta sama lista wskazuje źródła danych: podmioty udostępniające publiczne treści serwisów Reddit i X. Nie działają one na nasze zlecenie — same ustalają, w jaki sposób zbierają te treści, i wobec danych Autorów występują jako niezależni administratorzy. Nie są podmiotami przetwarzającymi i nie zawieramy z nimi umów powierzenia z art. 28 RODO; wymieniamy je, bo dane Autorów pochodzą od nich, a Klient ma prawo wiedzieć, skąd.

3. O zamiarze dodania albo zmiany podmiotu przetwarzającego lub źródła danych VERTOM informuje Klienta e-mailem co najmniej 30 dni wcześniej. Klient może w tym terminie zgłosić sprzeciw z podaniem uzasadnionych przyczyn dotyczących ochrony danych. Jeżeli strony nie dojdą do porozumienia, Klient może rozwiązać umowę o korzystanie z Serwisu ze skutkiem na dzień wprowadzenia zmiany, a opłata za niewykorzystany okres jest zwracana proporcjonalnie.

4. Na każdy podmiot przetwarzający VERTOM nakłada, w drodze umowy, te same obowiązki ochrony danych, które ciążą na nim, i odpowiada wobec Klienta za wypełnienie tych obowiązków przez ten podmiot.

§ 6. Weryfikacja i audyt

1. Klient może zweryfikować wykonywanie tych uzgodnień, występując o informacje i dokumenty, w tym o wyniki audytów i certyfikaty podmiotów przetwarzających. VERTOM odpowiada w ciągu 14 dni.

2. Jeżeli informacje z ust. 1 nie wystarczą, Klient może przeprowadzić audyt, samodzielnie lub przez audytora związanego tajemnicą, nie częściej niż raz w roku, chyba że doszło do naruszenia ochrony danych, z uprzedzeniem co najmniej 14 dni, w godzinach pracy i w sposób, który nie zakłóca działania Serwisu ani nie narusza poufności danych innych klientów. Koszty audytu ponosi Klient, chyba że audyt wykaże istotne naruszenie uzgodnień.

§ 7. Przekazywanie danych poza EOG

1. Dane Autorów są przechowywane na serwerach w Europejskim Obszarze Gospodarczym.

2. Przekazanie danych poza EOG następuje wyłącznie do podmiotów przetwarzających wskazanych na liście z § 5 ust. 1, na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (w tym w ramach EU-U.S. Data Privacy Framework), a w jej braku lub na wypadek jej uchylenia — na podstawie standardowych klauzul umownych przyjętych przez Komisję, uzupełnionych oceną skutków przekazania.

3. Dostawcą modelu językowego używanego w Trybie AI jest OpenAI Ireland Ltd (EOG), na podstawie umowy powierzenia OpenAI. Zapytania do modelu są przetwarzane na serwerach OpenAI w Stanach Zjednoczonych; podstawą tego przekazania są standardowe klauzule umowne włączone do tej umowy. Treść przekazana przez API nie jest używana do trenowania modeli. Treść Wpisu przekazywana modelowi jest wcześniej pozbawiana imion i nazwisk, adresów e-mail, numerów telefonu i odnośników do profili.

4. Dostawca dostępu do publicznych treści serwisów Reddit i X ma siedzibę poza EOG, ale kierunek przepływu jest tu odwrotny niż w ust. 2 i 3. Nie udostępniamy mu danych Autorów: wysyłamy nazwę Źródła i frazę wyszukiwania, a otrzymujemy publiczne treści wraz z danymi ich Autorów. Odebranie danych ze źródła spoza EOG jest zebraniem danych, nie przekazaniem w rozumieniu rozdziału V RODO, i podlega tym samym zasadom, co każde inne zbieranie opisane w tych uzgodnieniach.

5. Jeden przepływ idzie jednak na zewnątrz i może identyfikować osobę: gdy Źródłem jest konkretne publiczne konto w serwisie X, jego nazwa opuszcza EOG. Nazwa jest publiczna, wysyłamy ją wyłącznie po to, żeby odczytać publiczne wpisy tego konta, i nie łączymy jej z żadnymi innymi danymi. Kwalifikacja prawna tego jednego przepływu jest przedmiotem konsultacji prawnej; jej wynik wpiszemy w to miejsce. Poza nim dane osobowe nie mogą opuszczać EOG tą drogą, dlatego Regulamin § 7 ust. 2 lit. e zakazuje Klientowi używania danych osobowych jako frazy wyszukiwania.

6. Ocena legalności źródła w rozumieniu Opinii EROD 28/2024 dla obu tych źródeł jest w opracowaniu. Do czasu jej sporządzenia korzystamy z nich, przyjmując świadomie ryzyko opisane w § 5 ust. 2 i w tym ustępie; udostępnimy tę ocenę Klientowi na żądanie, gdy powstanie.

§ 8. Sprzeciw Autora i lista wykluczeń

1. Autor, który sprzeciwi się przetwarzaniu albo zażąda usunięcia danych, może zwrócić się do VERTOM na [email protected] — jako do punktu kontaktowego współadministratorów (§ 3 ust. 4) — albo bezpośrednio do Klienta. VERTOM usuwa wtedy dane Autora ze wszystkich Organizacji, w tym z Organizacji Klienta, oraz zapisuje nieodwracalny skrót identyfikatora Autora na liście wykluczeń, dzięki której kolejne Skany pomijają jego Wpisy.

2. Klient przyjmuje do wiadomości, że sprzeciw Autora jest realizowany bez odrębnej zgody Klienta i że z powodu lokalnego charakteru identyfikatora nie zawsze da się ustalić, której Organizacji dotyczył; gdy jest to możliwe, VERTOM informuje Klienta o usunięciu.

3. Lista wykluczeń jest zbiorem, który VERTOM prowadzi samodzielnie jako administrator, na podstawie art. 6 ust. 1 lit. c RODO (obowiązek realizacji praw osób) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes w skutecznym wykonaniu sprzeciwu). Lista zawiera wyłącznie skróty, z których nie da się odtworzyć danych Autora, i jest prowadzona bezterminowo, bo jej usunięcie oznaczałoby ponowne pobranie danych osoby, która sobie tego nie życzy.

§ 9. Zakończenie przetwarzania

1. Dane Autorów są usuwane automatycznie po upływie okresu przechowywania wynikającego z Planu (Regulamin § 5 ust. 6), a Wpisy, które nie zostały ocenione jako Lead — w tym samym trybie i nie później niż Leady.

2. Po zakończeniu umowy o korzystanie z Serwisu, z upływem 30-dniowej karencji, VERTOM usuwa wszystkie dane Autorów przetwarzane w związku z Organizacją Klienta wraz z ich kopiami, z wyjątkiem listy wykluczeń (§ 8) oraz danych, których przechowywania wymaga prawo Unii lub państwa członkowskiego.

3. Przed zakończeniem umowy Klient może pobrać w panelu kopię Leadów w formacie otwartym. Od chwili pobrania Klient jest wobec tej kopii samodzielnym administratorem i sam ustala okres jej przechowywania.

§ 10. Postanowienia końcowe

1. Każdy ze współadministratorów odpowiada wobec Autora za szkody wyrządzone przetwarzaniem na zasadach art. 82 RODO; Autor może dochodzić roszczenia od każdego z nich. Rozliczenia między stronami z tego tytułu następują według podziału obowiązków z § 3. Wobec Klienta niebędącego Klientem uprzywilejowanym stosuje się ograniczenie odpowiedzialności z § 10 Regulaminu, o ile nie jest to sprzeczne z bezwzględnie obowiązującymi przepisami.

2. W sprawach nieuregulowanych stosuje się Regulamin i RODO. Zmiana uzgodnień następuje w trybie zmiany Regulaminu.

3. Uzgodnienia sporządzono w siedmiu językach; w razie rozbieżności wiążąca jest wersja polska. Obowiązują od 7 września 2026 r. Zastąpiły Umowę powierzenia przetwarzania danych osobowych z 2 września 2026 r., która opierała się na błędnym założeniu, że administratorem danych Autorów jest wyłącznie Klient.