Umowa powierzenia przetwarzania danych (DPA)

Przedmiotem jest przetwarzanie danych wprowadzanych do platformy w związku z korzystaniem z usługi (m.in. sprawy, klienci, dokumenty, terminy, rozliczenia).

Powierzenie trwa przez okres obowiązywania umowy głównej. Po jej zakończeniu dane są zwracane lub usuwane zgodnie z sekcją 8.

Przetwarzanie obejmuje przechowywanie, organizowanie, udostępnianie uprawnionym użytkownikom kancelarii oraz operacje niezbędne do działania funkcji platformy.

Podmiot przetwarzający działa wyłącznie na udokumentowane polecenie administratora, którym jest także korzystanie z funkcji platformy zgodnie z jej przeznaczeniem.

Dane pracowników i współpracowników kancelarii oraz dane klientów i osób występujących w sprawach (w zakresie wprowadzonym przez administratora).

Administrator odpowiada za zgodność z prawem zakresu danych wprowadzanych do platformy oraz za podstawę prawną ich przetwarzania.

Przetwarzanie wyłącznie na polecenie administratora; zapewnienie poufności osobom upoważnionym; wdrożenie środków bezpieczeństwa zgodnie z art. 32 RODO.

Wsparcie administratora w realizacji praw osób, których dane dotyczą, oraz w obowiązkach z art. 32 do 36 RODO, z uwzględnieniem charakteru przetwarzania i dostępnych informacji.

Podmiot przetwarzający korzysta z zaufanych dostawców na podstawie umów zapewniających poziom ochrony nie niższy niż w niniejszym wzorze. Aktualna lista:

Vercel (hosting, region UE), Supabase (baza danych i uwierzytelnianie, region UE), Anthropic (funkcje AI), Resend (poczta e-mail), Stripe (płatności, gdy dotyczy).

Administrator jest informowany o zmianach listy subprocesorów, z prawem zgłoszenia uzasadnionego sprzeciwu.

Szyfrowanie w tranzycie i w spoczynku, izolacja danych każdej kancelarii na poziomie bazy (RLS), kontrola dostępu według ról, weryfikacja dwuetapowa oraz dziennik audytu.

Sekrety integracji przechowywane w zaszyfrowanym sejfie. Modele AI nie są trenowane na danych kancelarii. Dla danych najwrażliwszych dostępna jest opcja klucza kontrolowanego przez kancelarię.

Podmiot przetwarzający zgłasza administratorowi naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje niezbędne do wypełnienia obowiązku zgłoszenia do organu nadzorczego w terminie 72 godzin (art. 33 RODO).

Po zakończeniu świadczenia usługi dane są, wedle wyboru administratora, zwracane lub usuwane wraz z kopiami, o ile prawo nie wymaga ich dalszego przechowywania.

Administrator może w każdej chwili wyeksportować swoje dane w toku obowiązywania umowy (przenaszalność, brak uzależnienia od dostawcy).

Administratorowi przysługuje prawo do informacji niezbędnych do wykazania zgodności oraz do audytu na warunkach uzgodnionych między stronami.

Dane hostowane są w Unii Europejskiej. Ewentualne przekazywanie poza EOG następuje wyłącznie na podstawie mechanizmów z rozdziału V RODO.