Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych („Umowa DPA”) stanowi część Regulaminu świadczenia usług Lixor („Regulamin”) zawieranego między Intelliwav LLC, prowadzącą działalność pod nazwą Lixor, spółką z ograniczoną odpowiedzialnością z siedzibą w stanie Waszyngton, 37 103rd Ave NE, Unit 502, Bellevue, WA 98004, USA („Lixor”, „my”), a przedsiębiorcą posiadającym konto Lixor („Klient”, „Państwo”). Ma ona zastosowanie, ilekroć przetwarzamy dane osobowe w imieniu Klienta i do tych danych stosuje się przepis o ochronie danych wymieniony w punkcie 1. W razie rozbieżności między niniejszą Umową DPA a Regulaminem w odniesieniu do danych osobowych pierwszeństwo ma niniejsza Umowa DPA.

Obowiązuje od daty wskazanej powyżej. Potrzebują Państwo podpisanego egzemplarza do swojej dokumentacji? Prosimy napisać na adres support@lixor.ai. Podpis nie jest potrzebny, aby niniejsza Umowa DPA była wiążąca.

„Prawo o ochronie danych” oznacza, w zakresie, w jakim każdy z tych aktów ma zastosowanie: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych („RODO”); UK GDPR oraz Data Protection Act 2018; szwajcarską federalną ustawę o ochronie danych; brazylijską Lei Geral de Proteção de Dados (ustawa 13.709/2018); japońską ustawę o ochronie informacji osobowych; meksykańską Ley Federal de Protección de Datos Personales en Posesión de los Particulares; oraz stanowe ustawy USA o prywatności.

„Dane Osobowe Klienta” oznaczają dane osobowe, które Klient lub jego pracownicy wprowadzają do Lixor albo które Lixor otrzymuje w imieniu Klienta z połączonego systemu, takiego jak strumień danych z systemu sprzedaży (punktu sprzedaży) lub od dystrybutora, i które przetwarzamy w imieniu Klienta. Nie obejmują one danych opisanych w punkcie 3.

„Administrator”, „podmiot przetwarzający”, „dane osobowe”, „przetwarzanie” i „osoba, której dane dotyczą” mają znaczenia nadane w RODO. Jeżeli inne Prawo o ochronie danych używa innego określenia dla tej samej roli (na przykład „operador” w Brazylii, „encargado” w Meksyku albo podmiot przetwarzający, któremu powierzono dane, w Japonii), stosuje się odpowiadające mu znaczenie.

„Podprocesor” oznacza inną spółkę, z której korzystamy przy przetwarzaniu Danych Osobowych Klienta.

„Standardowe Klauzule Umowne” lub „SCC” oznaczają klauzule stanowiące załącznik do decyzji wykonawczej Komisji Europejskiej (UE) 2021/914 z dnia 4 czerwca 2021 r.

Klient jest administratorem Danych Osobowych Klienta. My jesteśmy jego podmiotem przetwarzającym. Klient decyduje, których pracowników dodać, co rejestrują oraz jak długo nadal korzysta z Lixor. My prowadzimy usługę.

Klient odpowiada za posiadanie zgodnej z prawem podstawy do wprowadzania danych swoich pracowników do Lixor oraz za poinformowanie swoich pracowników, że z niego korzysta. Nasza Polityka prywatności została napisana tak, aby Klient mógł ich do niej odesłać.

W ograniczonym zakresie danych sami decydujemy o sposobie ich przetwarzania i w odniesieniu do tych danych jesteśmy administratorem, a nie podmiotem przetwarzającym Klienta: dane konta i logowania osób posiadających konta Lixor; dokumentacja rozliczeniowa i podatkowa; nasza korespondencja z Klientem w ramach wsparcia; dzienniki bezpieczeństwa i audytu; oraz analityka korzystania z produktu. Te dane obejmuje nasza Polityka prywatności. Nie wykorzystujemy ich do reklamowania produktów innych spółek pracownikom Klienta i nie sprzedajemy ich.

Przetwarzamy Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta. Regulamin, niniejsza Umowa DPA, ustawienia konta Klienta oraz działania Klienta i jego pracowników w produkcie stanowią kompletne polecenia Klienta. Jeżeli Klient potrzebuje czegoś dodatkowego, powinien napisać na adres support@lixor.ai, a my to wykonamy, o ile jest to technicznie uzasadnione i zgodne z prawem, albo poinformujemy, że nie możemy tego zrobić.

Poinformujemy Klienta, jeżeli uznamy, że polecenie narusza Prawo o ochronie danych. Jeżeli przepis prawa, który nas dotyczy, wymaga od nas przetwarzania Danych Osobowych Klienta w inny sposób, powiadomimy o tym Klienta z wyprzedzeniem, chyba że ten przepis tego zakazuje.

Załącznik 1 określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych oraz kategorie osób, których one dotyczą.

Każda osoba, którą upoważniamy do przetwarzania Danych Osobowych Klienta, jest związana obowiązkiem zachowania poufności, na mocy umowy lub przepisu prawa.

Utrzymujemy środki techniczne i organizacyjne określone w Załączniku 2. Możemy je zmieniać, o ile ogólny poziom ochrony nie ulega obniżeniu. Klient odpowiada za korzystanie z udostępnianych przez nas funkcji bezpieczeństwa, takich jak silne hasła, usuwanie odchodzących pracowników i dobór właściwej roli dla każdego użytkownika.

8.1 Klient udziela nam ogólnej zgody na korzystanie z Podprocesorów. Aktualna lista znajduje się pod adresem lixor.ai/legal/subprocessors i stanowi Załącznik 3.

8.2 Co najmniej 30 dni przed dodaniem lub zastąpieniem Podprocesora powiadamiamy o tym przez aktualizację tej strony oraz pocztą elektroniczną właścicieli kont, którzy zasubskrybowali aktualizacje tej strony. Jeżeli musimy pilnie zastąpić Podprocesora ze względów bezpieczeństwa lub ciągłości działania, powiadomimy o tym z możliwie największym wyprzedzeniem, jakie jest rozsądnie możliwe.

8.3 Klient może w ciągu tych 30 dni wnieść sprzeciw z uzasadnionych powodów związanych z ochroną danych, pisząc na adres support@lixor.ai. Postaramy się zaproponować rozwiązanie zastępcze. Jeżeli nie będzie to możliwe, Klient może zrezygnować z danej usługi, a my zwrócimy wszelkie opłaty wniesione z góry za okres następujący po rezygnacji. Jest to jedyny środek ochrony prawnej Klienta w razie sprzeciwu.

8.4 Z wyjątkiem Telegramu, z którym nie mamy umowy powierzenia przetwarzania danych (zob. stronę Podprocesorów), do każdego Podprocesora ma automatycznie zastosowanie jego własna standardowa umowa powierzenia przetwarzania danych, w momencie gdy zaczynamy korzystać z jego usługi, a jej treść odpowiada w istocie niniejszej Umowie DPA; żaden z nich nie wymagał od nas podpisania odrębnego egzemplarza. Pozostajemy wobec Klienta odpowiedzialni za to, co nasi Podprocesorzy robią z Danymi Osobowymi Klienta.

Jeżeli jeden z pracowników Klienta lub ktokolwiek inny zwróci się do nas o dostęp do Danych Osobowych Klienta, ich sprostowanie, usunięcie, ograniczenie przetwarzania, przeniesienie lub o wniesienie sprzeciwu wobec ich wykorzystywania, przekażemy to żądanie Klientowi bez zbędnej zwłoki i nie odpowiemy na nie sami, poza poinformowaniem o jego przekazaniu. Lixor umożliwia Klientowi poprawianie danych w produkcie, usunięcie konta w aplikacji mobilnej oraz pobieranie wyników liczenia w postaci arkuszy Excel. W każdej innej sprawie, takiej jak pełny eksport produktów, dostawców i faktur, udzielimy rozsądnej pomocy na żądanie.

Uwzględniając charakter naszych działań i posiadane informacje, udzielimy Klientowi rozsądnej pomocy w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych oraz konsultacji z organami nadzorczymi. Jeżeli potrzebna Klientowi pomoc wykracza znacznie poza to, czego potrzebuje zwykły klient, możemy obciążyć go naszymi uzasadnionymi kosztami, po wcześniejszym uzgodnieniu ich z Klientem.

Jeżeli dowiemy się o naruszeniu bezpieczeństwa prowadzącym do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia Danych Osobowych Klienta lub nieuprawnionego dostępu do nich, powiadomimy właściciela konta pocztą elektroniczną bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od jego potwierdzenia. W miarę jak się dowiadujemy, będziemy przekazywać to, co wiemy: co się stało, jakie dane i mniej więcej ilu osób dotyczy naruszenie, jakie są prawdopodobne skutki oraz co w związku z tym robimy. Poinformowanie Klienta o naruszeniu nie jest przyznaniem się do winy.

12.1 Lixor przechowuje i przetwarza Dane Osobowe Klienta w Stanach Zjednoczonych. Korzystając z Lixor, Klient zleca nam to.

12.2 UE i EOG. Jeżeli do Klienta stosuje się RODO, a przekazanie nam Danych Osobowych Klienta stanowi transfer podlegający ograniczeniom, SCC są włączone do niniejszej Umowy DPA i mają zastosowanie w następujący sposób: Moduł Drugi (administrator do podmiotu przetwarzającego); Klient jest eksporterem danych, a my importerem danych; klauzula 7 (dołączanie) nie ma zastosowania; ma zastosowanie klauzula 9 lit. a) Opcja 2 (ogólne zezwolenie) z okresem powiadomienia wynoszącym 30 dni; fakultatywne brzmienie w klauzuli 11 lit. a) nie ma zastosowania; zgodnie z klauzulą 13 właściwym organem nadzorczym jest organ właściwy dla Klienta; zgodnie z klauzulą 17 stosuje się Opcję 1, a SCC podlegają prawu Irlandii; zgodnie z klauzulą 18 lit. b) spory wynikające z SCC rozstrzygają sądy Irlandii; Załącznik I do SCC jest uzupełniony przez Załącznik 1 do niniejszej Umowy DPA oraz dane stron podane powyżej; Załącznik II przez Załącznik 2; Załącznik III przez Załącznik 3.

12.3 Wielka Brytania. Jeżeli stosuje się UK GDPR, SCC mają zastosowanie w brzmieniu zmienionym przez Międzynarodowy Aneks do Transferów Danych (International Data Transfer Addendum) wydany przez brytyjskiego Komisarza ds. Informacji (wersja B1.0, obowiązująca od 21 marca 2022 r.), który jest włączony do niniejszej Umowy DPA. Tabele 1-3 Aneksu są uzupełnione przez informacje zawarte w punkcie 12.2 i w Załącznikach. W odniesieniu do Tabeli 4 każda ze stron może zakończyć obowiązywanie Aneksu zgodnie z jego postanowieniami.

12.4 Szwajcaria. Jeżeli stosuje się szwajcarską federalną ustawę o ochronie danych, SCC mają zastosowanie z następującymi zmianami: odesłania do RODO obejmują ustawę szwajcarską; właściwym organem nadzorczym jest szwajcarski Federalny Pełnomocnik ds. Ochrony Danych i Jawności (Federal Data Protection and Information Commissioner); „państwo członkowskie” należy rozumieć tak, aby osoby w Szwajcarii mogły dochodzić swoich praw przed sądami w Szwajcarii; a SCC podlegają prawu szwajcarskiemu w zakresie, w jakim transfer podlega wyłącznie ustawie szwajcarskiej.

12.5 Brazylia. Jeżeli stosuje się Lei Geral de Proteção de Dados, a przekazanie nam przez Klienta Danych Osobowych Klienta jest transferem międzynarodowym wymagającym zabezpieczenia, między nami mają zastosowanie standardowe klauzule umowne zatwierdzone przez Autoridade Nacional de Proteção de Dados w Uchwale CD/ANPD nr 19/2024, w których Klient jest eksporterem, a my importerem, uzupełnione Załącznikami do niniejszej Umowy DPA. Podpiszemy je jako odrębny dokument na żądanie Klienta.

12.6 Transfery dalsze. Przekazujemy Dane Osobowe Klienta Podprocesorom wyłącznie na podstawie zgodnego z prawem instrumentu transferu: ich certyfikacji w ramach Ram ochrony danych UE-USA (EU-US Data Privacy Framework) (oraz jego rozszerzenia dla Wielkiej Brytanii i szwajcarskiego odpowiednika) albo SCC wraz z Aneksem dla Wielkiej Brytanii, w razie potrzeby.

12.7 Jeżeli instrument transferu, na którym się opieramy, zostanie unieważniony lub wycofany, w dobrej wierze podejmiemy z Klientem współpracę w celu wprowadzenia innego. W razie rozbieżności między SCC a niniejszą Umową DPA pierwszeństwo mają SCC.

Jeżeli organ władzy zwróci się do nas o Dane Osobowe Klienta, powiadomimy o tym Klienta, chyba że prawo tego zakazuje, zakwestionujemy żądanie, które uznamy za niezgodne z prawem, i przekażemy wyłącznie to, co jest ściśle wymagane. Według stanu na 24 września 2026 r. nigdy nie otrzymaliśmy takiego żądania.

Udostępnimy Klientowi informacje rozsądnie potrzebne do wykazania, że przestrzegamy niniejszej Umowy DPA, w tym pisemne odpowiedzi na rozsądny kwestionariusz bezpieczeństwa raz w roku. Jeżeli to nie wystarcza do wypełnienia obowiązku prawnego Klienta lub jeżeli wymaga tego organ nadzorczy, Klient może przeprowadzić u nas audyt raz w roku, po 30-dniowym pisemnym powiadomieniu, w godzinach pracy, na podstawie umowy o zachowaniu poufności, na własny koszt i bez dostępu do danych innych klientów. Klient może skorzystać z niezależnego audytora, który nie jest naszym konkurentem.

Niektóre funkcje wysyłają Dane Osobowe Klienta do dostawców sztucznej inteligencji wymienionych w Załączniku 3, na przykład tekst pytania zadanego asystentowi w aplikacji, nagranie głosu do transkrypcji albo zdjęcie faktury dostawy wysłane do Gemini API firmy Google w celu odczytania. Warunki OpenAI nie pozwalają mu wykorzystywać danych przesłanych przez jego interfejs programistyczny do trenowania jego modeli. Korzystamy z Gemini API firmy Google w ramach jej usługi płatnej, a nie poziomu bezpłatnego; zgodnie z warunkami Google dla usługi płatnej Google nie wykorzystuje tych danych do ulepszania swoich produktów. Nie wykorzystujemy Danych Osobowych Klienta do trenowania modeli sztucznej inteligencji.

Dopóki konto Klienta jest otwarte, Klient może pobierać wyniki liczenia w postaci arkuszy Excel, a my pomożemy przy każdym innym eksporcie, o który Klient poprosi. Przechowujemy Dane Osobowe Klienta do czasu usunięcia konta Klienta. Po zamknięciu konta Klienta, lub wcześniej na jego żądanie, usuwamy je z naszej bazy danych w ciągu 30 dni; nasze kopie zapasowe bazy danych są przechowywane w cyklu kroczącym 7-dniowym, więc usunięte dane znikają z nich w tym okresie. Usunięcie dotyczy rekordów bazy danych; obecnie nie usuwa ono z naszego magazynu plików zdjęć ani nagrań głosowych, które mogą pozostać po usunięciu. Możemy przechowywać dane dłużej wyłącznie wtedy, gdy wymaga tego prawo, i wówczas tylko w tym celu.

Do niniejszej Umowy DPA stosuje się ograniczenia odpowiedzialności zawarte w Regulaminie. Żadne postanowienie niniejszej Umowy DPA nie ogranicza praw osób fizycznych wynikających z Prawa o ochronie danych lub z SCC ani odpowiedzialności żadnej ze stron wobec nich.

Niniejsza Umowa DPA obowiązuje tak długo, jak długo przechowujemy Dane Osobowe Klienta. Podlega ona prawu, któremu podlega Regulamin, z wyjątkiem przypadków, w których punkt 12 stanowi inaczej. Możemy ją aktualizować, aby uwzględnić zmiany w prawie, wśród naszych Podprocesorów lub w usłudze. O każdej zmianie, która obniża ochronę Klienta, powiadomimy z 30-dniowym wyprzedzeniem.

• Dane są szyfrowane podczas przesyłania za pomocą TLS, a w spoczynku są szyfrowane przez naszych dostawców bazy danych i hostingu (AES-256).
• Dane każdego klienta są oddzielone od danych każdego innego klienta przez kontrole na naszych serwerach, które wiążą każde żądanie z organizacją zalogowanego użytkownika. Zabezpieczenia na poziomie wierszy bazy danych (row-level security) są włączone dla każdej tabeli zawierającej dane klientów lub dane osobowe; jedna tabela wewnętrzna niezawierająca danych osobowych (dziennik wcześniejszych korekt kosztów) go nie posiada.
• Wyjątek: zdjęcia, które Klient przesyła (butelek, półek, faktur), są przechowywane pod długimi adresami internetowymi, które może otworzyć każdy, kto zna adres, bez logowania. Dostęp do nich nie jest kontrolowany.
• Hasła są przechowywane wyłącznie w postaci solonych skrótów przez naszego dostawcę uwierzytelniania. Nigdy ich nie widzimy.
• Dostęp do systemów produkcyjnych (Supabase, Vercel, Stripe, GitHub, PostHog, Sentry, OpenAI, ElevenLabs i rejestrator domen) jest ograniczony do założyciela; żaden inny pracownik ani zleceniobiorca nie posiada dostępu do systemów produkcyjnych.
• Uprawnienia oparte na rolach wewnątrz produktu, dzięki czemu Klient decyduje, którzy pracownicy mogą co widzieć lub zmieniać.
• Dane karty płatniczej są obsługiwane w całości przez Stripe i nigdy nie docierają do naszych serwerów.
• Kopie zapasowe bazy danych są wykonywane codziennie i przechowywane przez 7 dni w cyklu kroczącym. Odtwarzanie do dowolnego punktu w czasie (point-in-time recovery) nie jest obecnie włączone.
• Zmiany kodu źródłowego są weryfikowane i wdrażane za pomocą systemu kontroli wersji, a sekrety są przechowywane poza kodem.
• Monitorowanie błędów i awarii, z wyłączaniem danych osobowych z raportów o błędach w praktycznie możliwym zakresie.
• Pisemny proces usuwania danych organizacji na żądanie, sprawdzony w praktyce.
• Pisemny proces reagowania na incydenty: powstrzymanie, ocena, powiadomienie dotkniętych klientów zgodnie z punktem 11, naprawa i rejestracja.
• Podprocesorzy są wybierani ze względu na opublikowaną pozycję w zakresie bezpieczeństwa. Supabase, Vercel i OpenAI publikują obecnie raporty SOC 2 Type II; aktualną certyfikację każdego z dostawców można sprawdzić na jego własnej stronie zaufania. Każdy z nich podlega własnej standardowej umowie o ochronie danych, która stosuje się automatycznie, gdy zaczynamy korzystać z jego usługi.

Lista dostępna pod adresem lixor.ai/legal/subprocessors na dzień wejścia w życie.