Data Processing Agreement

Administrator (Controller / Business): Klient określony w Order Form ("Administrator", "Klient").

Podmiot przetwarzający (Processor / Service Provider):

• Aidvocates, Inc. (USA) — 136 Madison Avenue, New York, NY 10016, Delaware File No: 10564433 | EIN: 36-5174390
• Aidvocates Group sp. z o.o. (UE) — ul. Hutnicza 6, 40-241 Katowice, KRS 0001219549

(łącznie "Podmiot przetwarzający", "LEGAION").

LEGAION zobowiązuje się:

• (a) przetwarzać dane wyłącznie na udokumentowane polecenie Administratora
• (b) zapewnić poufność osób upoważnionych do przetwarzania
• (c) wdrożyć środki techniczne i organizacyjne wymagane Art. 32 RODO (Annex II)
• (d) przestrzegać warunków angażowania subprocesorów (Sekcja 6)
• (e) pomagać w odpowiadaniu na żądania DSAR (Art. 12-22 RODO)
• (f) pomagać w wywiązywaniu się z obowiązków Art. 32-36 RODO
• (g) po zakończeniu — usunąć lub zwrócić wszelkie dane oraz kopie
• (h) udostępnić informacje niezbędne do wykazania spełnienia obowiązków + umożliwić audyty (Sekcja 9)

5.1 Polecenia Administratora są określone w niniejszym DPA, Regulaminie, Order Form, ustawieniach panelu administratora w Platformie oraz innych pisemnych instrukcjach.

5.2 Jeżeli LEGAION uważa, że polecenie Administratora narusza RODO lub inne przepisy, niezwłocznie informuje o tym Administratora (Art. 28 ust. 3 zd. 2 RODO).

• 6.1 Administrator udziela LEGAION ogólnej zgody na korzystanie z subprocesorów wymienionych pod adresem /subprocessors.
• 6.2 LEGAION zawiadomi Administratora o planowanej zmianie wykazu z 30-dniowym wyprzedzeniem.
• 6.3 Administrator może wnieść uzasadniony sprzeciw przed wdrożeniem zmiany. W razie braku porozumienia w 30 dni — wypowiedzenie umowy bez kar.
• 6.4 Każdy subprocesor jest związany identycznymi zobowiązaniami w zakresie ochrony danych (Art. 28 ust. 4 RODO).
• 6.5 LEGAION pozostaje w pełni odpowiedzialny wobec Administratora za działania subprocesorów.

7.1 EU-only data residency. Dane Customer Data przechowywane wyłącznie w EOG. Niektóre operacje mogą wymagać transferu (AI inference do USA przez API w trybie zero-retention, wsparcie techniczne).

7.2 Mechanizmy transferu:

• decyzje o adekwatności (Art. 45 RODO), w tym EU-US Data Privacy Framework
• Standardowe Klauzule Umowne KE (Decyzja 2021/914) — moduły 2 (C2P) i 3 (P2P)
• Transfer Impact Assessment (TIA) zgodnie z wytycznymi EROD 01/2020
• środki uzupełniające (AES-256-GCM, TLS 1.3, zero-retention API, RBAC)

7.4 UK Addendum. Dla transferów z UK stosujemy UK International Data Transfer Addendum zatwierdzony przez ICO (luty 2022) lub IDTA.

8.1 LEGAION powiadomi Administratora o stwierdzonym naruszeniu bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia, umożliwiając Administratorowi spełnienie obowiązku notyfikacyjnego z Art. 33 RODO (72h do organu nadzorczego).

8.2 Notyfikacja zawiera elementy z Art. 33 ust. 3 RODO: charakter naruszenia, kategorie i liczbę dotkniętych podmiotów, dane kontaktowe IOD, możliwe konsekwencje, zastosowane środki.

8.3 LEGAION dokumentuje wszystkie naruszenia oraz zastosowane środki, udostępnia dokumentację Administratorowi na żądanie.

9.1 Administrator ma prawo do audytu zgodności przetwarzania nie częściej niż raz na 12 miesięcy, za 30-dniowym uprzedzeniem, w godzinach pracy, na własny koszt, z zachowaniem poufności.

9.2 LEGAION może spełnić obowiązek audytowy przedstawiając aktualną dokumentację:

• mapa kontroli framework SOC 2 (gap-assessment) — udostępniana pod NDA
• raport zgodności z EU AI Act (Art. 17)
• wstępne raporty wewnętrznych przeglądów bezpieczeństwa
• raporty zewnętrzne (SOC 2 Type II, ISO 27001, pen-test) — udostępniane po ich uzyskaniu

9.3 Audyt na miejscu — tylko gdy raporty nie wystarczają lub gdy zaszło istotne naruszenie. Audytorzy zewnętrzni muszą podpisać NDA.

10.1 LEGAION zapewnia funkcjonalności techniczne pozwalające Administratorowi realizować żądania:

• eksport danych w JSON/CSV (Art. 20 RODO — przenośność)
• usunięcie danych (Art. 17)
• sprostowanie (Art. 16)
• ograniczenie przetwarzania (Art. 18)
• dostęp (Art. 15)

10.2 Jeśli żądanie podmiotu danych trafi bezpośrednio do LEGAION — zostanie przekazane Administratorowi bez zbędnej zwłoki (zwykle 5 dni roboczych).

LEGAION dostarcza informacje niezbędne do przeprowadzenia DPIA przez Administratora oraz do konsultacji uprzedniej z organem nadzorczym (Art. 36 RODO). Dokumentacja AI Act, raport SOC 2, mapa subprocesorów, lista transferów — udostępniane na żądanie.

12.1 Po zakończeniu świadczenia usług Administrator wybiera:

• (a) eksport danych w okresie 30 dni od wypowiedzenia, w formatach JSON/CSV/PDF
• (b) natychmiastowe usunięcie — bez okna eksportu

12.2 LEGAION poświadcza pisemnie wykonanie usunięcia (Certificate of Deletion).

12.3 Wyjątek: dane wymagane prawem do retencji (np. ust. o rachunkowości — 5 lat) — pozostają w archiwum, dostęp tylko dla compliance.

13.1 W zakresie Personal Information mieszkańców Kalifornii LEGAION działa jako Service Provider (CCPA §1798.140(ag)).

13.2 LEGAION:

• przetwarza Personal Information wyłącznie w celu wykonania umowy z Business
• nie sprzedaje ani nie udostępnia Personal Information
• nie zachowuje, nie wykorzystuje ani nie ujawnia w celu innym niż wskazany w umowie
• nie łączy Personal Information od różnych Klientów w sposób zabroniony §1798.140(ag)(1)(B)
• pomaga Klientowi w odpowiadaniu na consumer requests

W zakresie Personal Data mieszkańców UK stosujemy UK GDPR oraz Data Protection Act 2018. Transfery z UK do państw trzecich — na podstawie UK IDTA lub UK Addendum do EU SCC. Organ nadzorczy: ICO.

Pełna lista: /subprocessors.

18.1 W razie sprzeczności między DPA a Regulaminem/Order Form/SLA — DPA ma pierwszeństwo w zakresie ochrony danych.

18.2 Zmiany DPA wymagają formy pisemnej (w tym dokumentowej z potwierdzeniem doręczenia).

18.3 Prawo właściwe i jurysdykcja — zgodnie z umową główną.