Umowa o przetwarzaniu danych

1. Załącznik dotyczący przetwarzania danych

GPTHorizon dba o prywatność i bezpieczeństwo danych klientów oraz o zgodność ich przetwarzania z przepisami. Niniejszy Załącznik dotyczący przetwarzania danych (“DPA”) określa zasady przetwarzania, przechowywania i ochrony danych osobowych zgodnie z obowiązującymi przepisami. DPA uzupełnia naszą główną umowę z Klientem i ma zastosowanie, gdy GPTHorizon przetwarza dane osobowe w jego imieniu jako podmiot przetwarzający.

Określa obowiązki obu stron przy przetwarzaniu danych, aby zapewnić zgodność z właściwymi przepisami o prywatności. Korzystając z GPTHorizon, Klienci akceptują warunki niniejszego DPA. Jeśli potrzebujesz podpisanego egzemplarza do celów dokumentacyjnych związanych ze zgodnością z przepisami, napisz na [email protected].

2. Definicje

Podmiot stowarzyszony oznacza dowolny podmiot, który bezpośrednio lub pośrednio kontroluje, jest kontrolowany przez stronę lub znajduje się pod wspólną kontrolą ze stroną. “Kontrola” oznacza bezpośrednie lub pośrednie posiadanie co najmniej 50% akcji z prawem głosu, udziałów w kapitale lub podobnych praw w podmiocie. Uważa się, że podmioty stowarzyszone są związane obowiązkami i odpowiedzialnością określonymi w niniejszej Umowie ochrony danych w zakresie, w jakim angażują się w przetwarzanie danych osobowych.

Upoważniony dalszy podmiot przetwarzający oznacza zewnętrznego dostawcę, usługodawcę lub wykonawcę, któremu GPTHorizon powierza przetwarzanie Danych osobowych Klienta wyłącznie w imieniu i zgodnie z instrukcjami GPTHorizon. Wszystkie dalsze podmioty przetwarzające muszą przestrzegać tych samych obowiązków ochrony danych oraz zapewniać bezpieczeństwo, poufność i zgodność z przepisami.

Dane konta odnoszą się do wszystkich informacji związanych z działalnością gospodarczą gromadzonych, przechowywanych i przetwarzanych przez GPTHorizon w związku z jego stosunkiem umownym z Klientem. Obejmuje to nazwiska, adresy e-mail, numery telefonów, szczegóły płatności i dane dostępu osób upoważnionych przez Klienta do zarządzania i obsługi jego konta na platformie. Dane konta są wykorzystywane wyłącznie do celów administracyjnych, rozliczeniowych i wsparcia.

Przepisy o ochronie danych obejmują wszystkie obowiązujące przepisy i ramy prawne regulujące zbieranie, przetwarzanie, przechowywanie, przekazywanie i ochronę danych osobowych — w tym ogólne rozporządzenie o ochronie danych Unii Europejskiej (RODO), brytyjskie RODO, kalifornijską ustawę o ochronie prywatności konsumentów (CCPA) oraz inne krajowe i międzynarodowe przepisy o prywatności mające zastosowanie do przetwarzania danych na mocy niniejszej Umowy.

Dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (“Osoby, której dane dotyczą”). Nie obejmują danych zanonimizowanych ani zagregowanych, których nie można wykorzystać do zidentyfikowania konkretnej osoby.

Przetwarzanie oznacza dowolną operację lub zestaw operacji wykonywanych na Danych Osobowych w sposób zautomatyzowany lub ręczny — w tym zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie, przekazywanie, ograniczanie, usuwanie lub niszczenie Danych Osobowych.

Środki bezpieczeństwa odnoszą się do zabezpieczeń technicznych i organizacyjnych wdrożonych w celu zapewnienia poufności, integralności i dostępności Danych osobowych. Należą do nich szyfrowanie, kontrola dostępu, zapory sieciowe, maskowanie danych, pseudonimizacja, regularne audyty bezpieczeństwa i mechanizmy powiadamiania o naruszeniach.

Organ nadzorczy oznacza niezależny organ publiczny odpowiedzialny za monitorowanie i egzekwowanie przestrzegania przepisów o ochronie danych — na przykład Europejską Radę Ochrony Danych (EDPB), brytyjskie Biuro Komisarza ds. Informacji (ICO) i Kalifornijską Agencję Ochrony Prywatności (CPPA).

Prawa osób, których dane dotyczą to prawa przyznane osobom fizycznym na mocy obowiązujących przepisów o ochronie danych, w tym prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz złożenia skargi do organu nadzorczego.

3. Przetwarzanie danych

Klient może działać jako Administrator Danych lub Podmiot Przetwarzający, zależnie od relacji z osobą, której dane dotyczą, oraz od celów przetwarzania. We wszystkich przypadkach GPTHorizon działa jako Podmiot Przetwarzający i przetwarza Dane Osobowe w imieniu Klienta oraz zgodnie z jego instrukcjami.

Klient jest odpowiedzialny za zapewnienie, że wszystkie czynności związane z przetwarzaniem danych prowadzone przy użyciu naszych usług są zgodne z obowiązującymi Przepisami o ochronie danych. Klient potwierdza, że ma podstawę prawną do przetwarzania Danych Osobowych i zabezpiecza GPTHorizon przed wszelkimi roszczeniami, zobowiązaniami lub szkodami wynikającymi z nieprzestrzegania niniejszych wymogów prawnych.

GPTHorizon przetwarza Dane Osobowe wyłącznie zgodnie z pisemnymi instrukcjami Klienta i wyłącznie w zakresie niezbędnym do świadczenia usług, chyba że prawo stanowi inaczej. Nie wykorzystujemy, nie ujawniamy ani nie udostępniamy Danych Osobowych w żadnym innym celu niż cel zatwierdzony przez Klienta lub wyraźnie określony w niniejszej Umowie.

Po rozwiązaniu Umowy lub na żądanie Klienta GPTHorizon, według uznania Klienta, albo (a) bezpiecznie usunie wszystkie Dane Osobowe przetwarzane na mocy niniejszej Umowy, upewniając się, że nie pozostały żadne kopie, chyba że jest to wymagane przez prawo, albo (b) zwróci Dane Osobowe Klientowi w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego przed usunięciem.

4. Bezpieczeństwo i poufność

GPTHorizon zobowiązuje się do ochrony bezpieczeństwa i poufności Danych Osobowych przetwarzanych w imieniu Klienta. Wdrażamy i utrzymujemy wiodące w branży środki bezpieczeństwa mające na celu zapobieganie nieuprawnionemu dostępowi, ujawnieniu, zmianie lub zniszczeniu Danych Osobowych, w tym:

• Szyfrowanie danych. Dane osobowe są szyfrowane podczas przesyłania (TLS 1.2+) i przechowywania (AES-256) przy użyciu standardowych protokołów branżowych.
• Kontrola dostępu. Ścisłe zasady zarządzania dostępem zapewniają, że tylko upoważniony personel ma dostęp do Danych osobowych w oparciu o zasadę najmniejszych uprawnień.
• Bezpieczeństwo sieci i systemów. Zapory sieciowe, systemy wykrywania włamań i ciągłe monitorowanie pomagają zapobiegać nieuprawnionemu dostępowi i cyberzagrożeniom.
• Anonimizacja danych & Pseudonimizacja. W stosownych przypadkach Dane osobowe są anonimizowane lub pseudonimizowane w celu ograniczenia ryzyka związanego z ujawnieniem danych.
• Regularne audyty bezpieczeństwa. Okresowe oceny bezpieczeństwa, testy podatności i kontrole zgodności identyfikują i minimalizują ryzyko.
• Plan reagowania na incydenty. Ustrukturyzowany protokół zapewnia szybką identyfikację, łagodzenie i zgłaszanie incydentów związanych z bezpieczeństwem zgodnie z obowiązującymi przepisami o ochronie danych.

Każda osoba — pracownik, wykonawca lub upoważniony usługodawca — przetwarzająca Dane Osobowe w naszym imieniu podlega ścisłym obowiązkom poufności, w tym podpisanym umowom o zachowaniu poufności i wewnętrznym zasadom postępowania z danymi.

5. Dalsze podmioty przetwarzające

GPTHorizon angażuje dalsze podmioty przetwarzające do pomocy w świadczeniu i utrzymywaniu usługi. Wykonują one określone zadania, takie jak hosting infrastruktury, przetwarzanie płatności, wysyłka e-maili transakcyjnych i zapewnianie bezpieczeństwa. Wymagamy od nich przestrzegania obowiązków ochrony danych równoważnych obowiązkom określonym w niniejszym DPA, co potwierdzają podpisane umowy.

Aktualną listę można uzyskać, pisząc na [email protected]. Obecnie do dalszych podmiotów przetwarzających należą między innymi:

• Stripe — przetwarzanie płatności, fakturowanie i wykrywanie oszustw.
• Mailgun — wysyłka e-maili transakcyjnych i powiadomień.
• Cloudflare — CDN, ochrona przed DDoS i weryfikacja Cloudflare Turnstile.
• Dostawcy zarządzanych baz danych — przechowywanie danych aplikacji w postaci zaszyfrowanej.

Punkty końcowe silnika AI

Aby zmierzyć, jak asystenci generatywni opisują działalność klienta, GPTHorizon wysyła starannie przygotowane zapytania publiczne do oficjalnych API firm ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek i Grok (xAI). Silniki te są niezależnymi dostawcami usług obsługującymi własną infrastrukturę na własnych warunkach.

• Wysyłamy wyłącznie zapytania przygotowane przez nasz zespół na potrzeby optymalizacji — nie wysyłamy danych Twojego konta, prywatnych plików ani danych osobowych Twoich klientów.
• Nigdy nie przekazujemy danych osobowych ani treści zastrzeżonych jako materiałów do trenowania modeli. Jeśli dostawca udostępnia opcję “nie używaj moich danych do trenowania modeli”, włączamy ją na naszych kontach usługowych.
• Każdy silnik przetwarza prompty zgodnie z własną polityką prywatności i harmonogramem przechowywania. Linki do tych zasad znajdują się w załączniku Polityka dotycząca plików cookie oraz są dostępne na żądanie.

Prawa Klienta i sprzeciw. GPTHorizon powiadomi Klientów o zaangażowaniu każdego nowego dalszego podmiotu przetwarzającego z co najmniej 10-dniowym wyprzedzeniem. W tym terminie Klient może złożyć pisemny sprzeciw, jeśli ma uzasadnione obawy dotyczące ochrony danych. Będziemy szukać rozwiązania w dobrej wierze; jeśli nie uda się osiągnąć porozumienia akceptowalnego dla obu stron, Klient może mieć prawo do zakończenia korzystania z objętych sprawą usług.

6. Przekazywanie danych osobowych

GPTHorizon może przekazywać Dane Osobowe poza Europejski Obszar Gospodarczy (EOG), Wielką Brytanię lub Szwajcarię na potrzeby świadczenia usług. W takich przypadkach zapewniamy odpowiednie zabezpieczenia prawne, w tym:

• Standardowe klauzule umowne (SCCs) zatwierdzone przez Komisję Europejską lub inne właściwe organy.
• Środki uzupełniające — dodatkowe zabezpieczenia techniczne, organizacyjne i umowne.
• Wiążące reguły korporacyjne (BCRs), jeśli mają zastosowanie do podmiotów stowarzyszonych.
• Inne zatwierdzone mechanizmy przekazywania danych uznawane na mocy obowiązującego prawa.

7. Prawa osób, których dane dotyczą

GPTHorizon uznaje i szanuje prawa osób, których dane dotyczą, wynikające z obowiązujących przepisów o ochronie danych. Pomożemy Klientowi, jako Administratorowi Danych, odpowiadać na żądania osób fizycznych dotyczące ich Danych Osobowych:

• Prawo dostępu — potwierdzenie, czy dane są przetwarzane i dostęp do nich.
• Prawo do sprostowania — sprostowania nieprawidłowych lub niekompletnych danych.
• Prawo do usunięcia danych (“Prawo do bycia zapomnianym”) — usunięcie Danych osobowych, z zastrzeżeniem zobowiązań prawnych i umownych.
• Prawo do ograniczenia przetwarzania — ograniczenie przetwarzania Danych osobowych pod pewnymi warunkami.
• Prawo do przenoszenia danych — pozyskiwanie i przesyłanie Danych osobowych innemu administratorowi, jeśli jest to technicznie wykonalne.
• Prawo do sprzeciwu — wobec przetwarzania opartego na prawnie uzasadnionych interesach, marketingu bezpośrednim lub zautomatyzowanym podejmowaniu decyzji.
• Prawo do wycofania zgody — w dowolnym momencie, jeśli przetwarzanie odbywa się na podstawie zgody.

8. Powiadomienie o naruszeniu ochrony danych

GPTHorizon wdraża środki zapobiegawcze w celu ochrony Danych Osobowych. W przypadku potwierdzonego naruszenia danych osobowych:

• Ocenimy skutki naruszenia i natychmiast podejmiemy działania ograniczające jego następstwa;
• Powiadomimy Klienta bez zbędnej zwłoki (zwykle w ciągu 48 godzin od potwierdzenia);
• Przekażemy szczegóły dotyczące charakteru i zakresu naruszenia, rodzaju danych, potencjalnych konsekwencji i podjętych środków;
• Pomożemy Klientowi wypełnić obowiązki powiadomienia organów nadzorczych i osób, których dane dotyczą;
• Wdrożymy działania naprawcze, aby zapobiec ponownemu wystąpieniu naruszenia.

Klient jest odpowiedzialny za podjęcie decyzji, czy powiadomić organy regulacyjne i Osoby, których dane dotyczą, zgodnie z obowiązującymi Przepisami o ochronie danych.

9. Przechowywanie i usuwanie danych

GPTHorizon przechowuje Dane Osobowe tylko tak długo, jak jest to konieczne do wykonania zobowiązań wynikających z niniejszej Umowy lub obowiązujących przepisów. Stosujemy zasadę minimalizacji danych: przechowujemy je wyłącznie na uzasadnione potrzeby biznesowe i związane ze zgodnością z przepisami, a gdy nie są już potrzebne, usuwamy je lub anonimizujemy.

Klienci mogą w każdej chwili zażądać usunięcia Danych Osobowych. Po zakończeniu świadczenia usług GPTHorizon usunie lub zwróci Dane Osobowe zgodnie z instrukcjami Klienta. Jeżeli nie zostanie złożony żaden wniosek o usunięcie, Dane Osobowe zostaną automatycznie usunięte w rozsądnym terminie, chyba że mają zastosowanie prawne wymogi dotyczące przechowywania (rejestry podatkowe, dochodzenia w sprawie zapobiegania oszustwom itp.).

10. Prawo właściwe & rozstrzyganie sporów

Niniejszy DPA podlega prawu i jurysdykcji określonym w głównej umowie między GPTHorizon a Klientem i jest zgodnie z nimi interpretowany. Spory będą najpierw rozwiązywane w drodze negocjacji w dobrej wierze; jeśli nie dojdzie do porozumienia, spór może zostać skierowany do mediacji, arbitrażu lub właściwych sądów danej jurysdykcji. W razie sprzeczności z umową główną postanowienia niniejszego DPA mają pierwszeństwo w sprawach ochrony danych.

11. Postanowienia końcowe

Niniejsza Umowa o ochronie danych stanowi integralną część ogólnej umowy pomiędzy GPTHorizon a Klientem. Kontynuując korzystanie z usług, Klient przyjmuje do wiadomości i akceptuje warunki niniejszej Umowy o ochronie danych. Jeżeli którekolwiek postanowienie zostanie uznane za nieważne lub niewykonalne, pozostałe postanowienia zachowują pełną moc i skuteczność.

GPTHorizon zastrzega sobie prawo do modyfikacji lub aktualizacji niniejszej Umowy o ochronie danych w celu odzwierciedlenia zmian w obowiązujących przepisach o ochronie danych, praktykach branżowych lub potrzebach operacyjnych. Klienci zostaną powiadomieni o istotnych zmianach; dalsze korzystanie z usług oznacza akceptację zaktualizowanego regulaminu.

12. Kontakt

Pytania, formalne wnioski i prośby o podpisany egzemplarz DPA kieruj na [email protected]. W ogólnych sprawach prywatności skontaktuj się z [email protected].