Umowa powierzenia przetwarzania danych (DPA)

Data wejścia w życie: 2026-10-16

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część Regulaminu zawartego między YAStuning OÜ („Podmiot przetwarzający”, „my”) a klientem („Administrator”, „Ty”) i ma zastosowanie zawsze, gdy przetwarzamy dane osobowe w Twoim imieniu. Zawarta jest na podstawie art. 28 RODO. W razie sprzeczności z Regulaminem niniejsza DPA ma pierwszeństwo w sprawach przetwarzania danych osobowych.

1. Role

W odniesieniu do danych osobowych zawartych w danych sklepu i katalogu, które podłączasz, administratorem jesteś Ty (lub podmiot przetwarzający działający na rzecz Twojego klienta), a my jesteśmy podmiotem przetwarzającym. Dane Twojego konta i użytkowników przetwarzamy jako administrator zgodnie z Polityką prywatności; nie wchodzą one w zakres niniejszej DPA. To samo dotyczy statystyk sklepu opisanych w pkt 2.12 Polityki prywatności.

2. Szczegóły przetwarzania (art. 28 ust. 3)

Przedmiot i cel: przetwarzanie danych sklepu i katalogu w celu świadczenia Usługi, z której korzystasz, w tym audytów, sugestii, zmian w Twoim sklepie, feedów, treści oraz - gdy go włączysz - monitoringu widoczności w AI.
Czas trwania: okres obowiązywania Regulaminu, do usunięcia lub zwrotu danych zgodnie z pkt 9.
Charakter: zbieranie, przechowywanie, analiza, przetwarzanie przez dostawców AI, zmiany w Twoim sklepie, gdy je włączysz, a gdy włączysz monitoring widoczności w AI - ujawnianie danych katalogu dostawcom silników odpowiedzi, także poza EOG.
Rodzaje danych osobowych: dane osobowe zawarte w treści Twojego katalogu, np. imiona i nazwiska osób.
Kategorie osób, których dane dotyczą: osoby wymienione w treści Twojego katalogu.

Nie wolno podłączać szczególnych kategorii danych (art. 9 RODO), danych klientów Twojego sklepu ani pojedynczych zamówień.

3. Polecenia

3.1 Przetwarzamy dane osobowe wyłącznie na Twoje udokumentowane polecenie, w tym zgodnie z Twoimi ustawieniami w Usłudze i w zakresie przekazywania danych poza EOG, chyba że prawo UE lub państwa członkowskiego wymaga innego postępowania; w takim przypadku informujemy Cię o tym przed rozpoczęciem przetwarzania, o ile to prawo tego nie zakazuje.

3.2 Informujemy Cię, jeżeli naszym zdaniem polecenie narusza przepisy o ochronie danych.

4. Poufność

Osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności.

5. Bezpieczeństwo (art. 32)

Stosujemy środki techniczne i organizacyjne wymagane przez art. 32 RODO. Ich opis udostępniamy Ci na żądanie, z zachowaniem poufności (Regulamin, pkt 16).

6. Podmioty podprzetwarzające (art. 28 ust. 2 i 4)

6.1 Udzielasz ogólnego upoważnienia do korzystania przez nas z podmiotów podprzetwarzających. Aktualną listę publikujemy na stronie Podmioty przetwarzające.

6.2 Nakładamy umownie na każdy podmiot podprzetwarzający obowiązki ochrony danych równoważne obowiązkom z niniejszej DPA.

6.3 Informujemy Cię z wyprzedzeniem o zamierzonym dodaniu lub zastąpieniu podmiotu podprzetwarzającego i dajemy Ci rozsądny termin na wniesienie sprzeciwu z uzasadnionych powodów dotyczących ochrony danych. Jeżeli nie zdołamy rozwiązać sprzeciwu, możesz wypowiedzieć daną część Usługi. Nie dotyczy to dostawców modeli, z których Perplexity AI korzysta przy odpowiadaniu na zapytania i które Perplexity AI może zmieniać bez powiadomienia; jeśli tego nie akceptujesz, nie włączaj monitoringu widoczności w AI.

6.4 Zgodnie z art. 28 ust. 4 RODO odpowiadamy wobec Ciebie za wykonanie obowiązków ochrony danych przez nasze podmioty podprzetwarzające, z zastrzeżeniem pkt 12.

7. Żądania osób, których dane dotyczą (art. 28 ust. 3 lit. e)

Uwzględniając charakter przetwarzania, w miarę możliwości pomagamy Ci odpowiednimi środkami technicznymi i organizacyjnymi w realizacji żądań na podstawie rozdziału III RODO. Osobę, która zwróci się do nas w sprawie Twoich danych, kierujemy do Ciebie.

8. Wsparcie i zgłaszanie naruszeń (art. 28 ust. 3 lit. f, art. 33)

8.1 Pomagamy Ci wywiązać się z obowiązków z art. 32-36 RODO, uwzględniając charakter przetwarzania i dostępne nam informacje.

8.2 Powiadamiamy Cię bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Twoich danych.

9. Usunięcie i zwrot (art. 28 ust. 3 lit. g)

9.1 Po zakończeniu świadczenia Usługi, zależnie od Twojej decyzji, usuwamy albo zwracamy dane osobowe przetwarzane w Twoim imieniu oraz usuwamy wszelkie ich kopie, chyba że prawo UE lub państwa członkowskiego nakazuje ich przechowywanie. Jeżeli nie dokonasz wyboru, usuwamy je.

9.2 Kopie w kopiach zapasowych usuwamy w normalnym cyklu rotacji; do tego czasu pozostają chronione niniejszą DPA.

9.3 Dostawcy AI, w tym OpenAI, Perplexity AI i Google, przechowują zapytania i odpowiedzi przez okresy określone w ich warunkach, a następnie je usuwają. Do tego czasu wiążą ich obowiązki ochrony danych wynikające z ich umów z nami. Punkty 9.1 i 9.2 dotyczą naszych systemów.

10. Audyty (art. 28 ust. 3 lit. h)

Udostępniamy informacje niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwiamy audyty i przyczyniamy się do nich, z zastrzeżeniem rozsądnego wyprzedzenia, poufności i limitów częstotliwości, na Twój koszt i bez nadmiernego zakłócania naszej działalności.

11. Przekazywanie poza EOG

Gdy podmiot podprzetwarzający przetwarza dane osobowe poza EOG, przekazanie opiera się na zawartych z nim standardowych klauzulach umownych Komisji Europejskiej (decyzja 2021/914) albo, gdy odbiorca posiada certyfikat, na ramach ochrony danych UE-USA.

12. Odpowiedzialność

Odpowiedzialność wynikająca z niniejszej DPA lub z nią związana, w tym za podmioty podprzetwarzające, podlega ograniczeniom i wyłączeniom odpowiedzialności z pkt 11 Regulaminu i wlicza się do określonego tam limitu.

13. Okres obowiązywania, prawo i akceptacja

Niniejsza DPA obowiązuje tak długo, jak przetwarzamy dane osobowe w Twoim imieniu, i podlega prawu Estonii. Akceptacja Regulaminu stanowi akceptację niniejszej DPA.