Umowa powierzenia przetwarzania danych osobowych (DPA)

AppointHero — wersja 1.1
Data wersji: 13 października 2026 r.

§1. Strony umowy

Niniejsza umowa powierzenia przetwarzania danych osobowych („Umowa”) zostaje zawarta pomiędzy:

Administratorem danych („Salonem”) — osobą fizyczną, osobą prawną lub jednostką organizacyjną prowadzącą salon usługowy, której dane identyfikacyjne, w tym nazwa lub imię i nazwisko, adres oraz NIP (jeżeli dotyczy), zostały podane w związku z zawarciem umowy o korzystanie z AppointHero,

a

Podmiotem przetwarzającym („AppointHero”) — Pawłem Walaskiem, osobą fizyczną prowadzącą działalność nierejestrowaną pod nazwą AppointHero, adres do kontaktu: ul. Modzelewskiego 94/49, 02-679 Warszawa, e-mail: kontakt@appointhero.com.

Osoba akceptująca Umowę w imieniu Salonu oświadcza, że jest uprawniona do jego reprezentowania.

Umowa stanowi część warunków korzystania z AppointHero i może być zawarta w formie elektronicznej.

§2. Przedmiot i czas trwania powierzenia

Salon powierza AppointHero przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi chatbotów AI, obsługi zapytań klientów oraz rezerwacji.

Powierzenie trwa przez okres obowiązywania umowy o świadczenie usługi, a po jej zakończeniu wyłącznie w zakresie niezbędnym do zwrotu lub usunięcia danych zgodnie z §10.

§3. Charakter i cele przetwarzania

Przetwarzanie danych obejmuje:

1. Odbieranie, utrwalanie i przechowywanie wiadomości klientów.
2. Przekazywanie niezbędnego kontekstu rozmowy do systemu AI oraz generowanie odpowiedzi.
3. Przyjmowanie i obsługę rezerwacji.
4. Obsługę próśb o kontakt.
5. Udostępnianie Salonowi historii rozmów i danych klientów.
6. Zapewnienie bezpieczeństwa oraz prawidłowego działania usługi.
7. Usuwanie lub zwrot danych po zakończeniu współpracy.

§4. Kategorie osób i danych

Powierzenie obejmuje dane klientów Salonu i osób kontaktujących się z Salonem za pośrednictwem AppointHero.

Kategorie danych obejmują w szczególności:

• imię i nazwisko;
• numer telefonu;
• adres e-mail;
• termin i szczegóły rezerwacji;
• treść wiadomości oraz historię rozmów;
• informacje przekazane w zapytaniach;
• dane techniczne związane z korzystaniem z usługi.

AppointHero nie jest przeznaczony do celowego lub systematycznego gromadzenia szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO.

Salon nie powinien konfigurować chatbota w sposób wymagający podawania informacji o stanie zdrowia, alergiach lub innych szczególnych kategoriach danych, jeżeli nie zostały zapewnione odpowiednie podstawy prawne i zabezpieczenia.

W przypadku ujawnienia takich informacji w treści rozmowy AppointHero współpracuje z Salonem w celu ograniczenia dalszego przetwarzania, oceny konieczności usunięcia danych oraz zastosowania odpowiednich środków ochrony. Niniejszy zapis sam w sobie nie stanowi podstawy prawnej przetwarzania danych szczególnych kategorii.

§5. Obowiązki AppointHero

AppointHero zobowiązuje się:

1. Przetwarzać dane osobowe wyłącznie na udokumentowane polecenie Salonu, w tym w zakresie przekazywania danych poza EOG, chyba że obowiązek przetwarzania wynika z prawa. W takim przypadku AppointHero poinformuje Salon o tym obowiązku przed rozpoczęciem przetwarzania, chyba że prawo zabrania przekazania takiej informacji z uwagi na ważny interes publiczny.
2. Zapewnić, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy.
3. Stosować środki techniczne i organizacyjne odpowiednie do ryzyka, zgodnie z art. 32 RODO.
4. Pomagać Salonowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą.
5. Informować Salon bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony powierzonych danych osobowych.
6. Wspierać Salon w realizacji obowiązków wynikających z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje.
7. Udostępniać informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO.
8. Umożliwiać audyty i inspekcje wymagane przez art. 28 RODO, z zachowaniem uzasadnionych wymogów bezpieczeństwa i poufności.
9. Niezwłocznie informować Salon, jeżeli jego zdaniem otrzymane polecenie narusza przepisy o ochronie danych.

§6. Obowiązki Salonu

Salon zobowiązuje się:

1. Zapewnić zgodną z prawem podstawę przetwarzania danych klientów.
2. Spełniać obowiązki informacyjne wobec klientów.
3. Korzystać z AppointHero zgodnie z przeznaczeniem usługi.
4. Nie konfigurować chatbota do nieuzasadnionego zbierania danych wrażliwych.
5. Wydawać zgodne z prawem instrukcje dotyczące przetwarzania danych.
6. Rozpatrywać żądania osób, których dane dotyczą, jako administrator danych.

§7. Dalsze powierzenie przetwarzania danych

Salon udziela AppointHero ogólnego pisemnego upoważnienia do korzystania z dalszych podmiotów przetwarzających wskazanych w Załączniku nr 1.

AppointHero powierza dane dalszym podmiotom przetwarzającym na podstawie umów nakładających obowiązki ochrony danych wymagane przez art. 28 RODO i pozostaje odpowiedzialny wobec Salonu za wykonanie tych obowiązków przez dalsze podmioty przetwarzające.

AppointHero informuje Salon drogą elektroniczną, na adres e-mail przypisany do konta, o planowanym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego co najmniej 14 dni przed zmianą. Salon może w tym terminie zgłosić sprzeciw dotyczący ochrony danych na kontakt@appointhero.com.

W przypadku sprzeciwu strony ustalają możliwość dalszego świadczenia usługi bez udziału wskazanego dostawcy. Jeżeli nie jest to możliwe, Salon może zakończyć współpracę przed rozpoczęciem przetwarzania danych przez nowego dostawcę.

AppointHero zawarł z Railway umowę powierzenia przetwarzania danych wraz ze standardowymi klauzulami umownymi. Groq i Resend udostępniają standardowe DPA stanowiące część warunków korzystania z ich usług. Niniejszy dokument nie deklaruje zawarcia odrębnych, indywidualnie negocjowanych umów z Groq ani Resend.

§8. Przekazywanie danych poza EOG

Aplikacja i baza danych AppointHero korzystają z infrastruktury Railway w regionie US East. Dane są w związku z tym przetwarzane w Stanach Zjednoczonych. Transfer do Railway jest objęty podpisanymi standardowymi klauzulami umownymi (SCC).

Udokumentowane polecenia Salonu obejmują korzystanie z dostawców wskazanych w Załączniku nr 1, z zachowaniem wymagań rozdziału V RODO.

Standardowe DPA Groq i Resend przewidują standardowe klauzule umowne Komisji Europejskiej, w tym moduł 3 dotyczący przekazywania danych przez podmiot przetwarzający dalszemu podmiotowi przetwarzającemu. Opis ten odnosi się do publicznych warunków dostawców; samo ich opublikowanie nie stanowi potwierdzenia zastosowania tych warunków do konkretnego konta AppointHero.

Informacje o stosowanych zabezpieczeniach transferu można uzyskać, kontaktując się z AppointHero pod adresem kontakt@appointhero.com.

§9. Naruszenia ochrony danych

AppointHero informuje Salon bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony powierzonych danych osobowych.

Powiadomienie obejmuje dostępne informacje dotyczące charakteru zdarzenia, możliwych konsekwencji oraz działań podjętych lub planowanych w celu ograniczenia jego skutków.

AppointHero współpracuje z Salonem w zakresie niezbędnym do realizacji obowiązków wynikających z RODO.

§10. Zwrot i usuwanie danych

Po zakończeniu świadczenia usługi AppointHero, zgodnie z wyborem Salonu, zwraca powierzone dane osobowe w formacie XLSX albo je usuwa. Czynność następuje w terminie do 30 dni od zakończenia świadczenia usługi, jeżeli dyspozycję przekazano wcześniej, albo od otrzymania późniejszej dyspozycji Salonu.

Po zwrocie AppointHero usuwa pozostałe dane z aplikacji, w tym rozmowy, rezerwacje, zgłoszenia kontaktowe i powiązane uploady. Wyjątek stanowią dane wymagające dalszego przechowywania na podstawie prawa.

Przesłane pliki, których nie można jednoznacznie przypisać do Salonu, oraz pliki współdzielone wymagają ręcznego rozstrzygnięcia zakresu usunięcia, tak aby nie naruszyć danych innych Salonów. Nie są usuwane automatycznie.

Dane zawarte w kopiach zapasowych są usuwane ręcznie, bez zbędnej zwłoki, w ramach realizacji dyspozycji Salonu. Usunięcie może obejmować całą kopię. Do tego czasu kopie pozostają zabezpieczone i wyłączone z bieżącego wykorzystania. W razie odtworzenia kopii AppointHero ponownie stosuje dyspozycję usunięcia przed udostępnieniem odtworzonych danych do użytkowania.

Dyspozycje należy kierować na kontakt@appointhero.com.

§11. Zawarcie umowy

Umowa jest zawierana elektronicznie przez osobę uprawnioną do reprezentowania Salonu poprzez zaznaczenie obowiązkowego, domyślnie niezaznaczonego checkboxa akceptacji DPA podczas rejestracji. Przed akceptacją Salon ma dostęp do pełnej treści Umowy pod adresem /dpa.

AppointHero zapisuje datę i godzinę akceptacji w UTC oraz wersję zaakceptowanej Umowy — 1.1. Akceptacja stanowi elektroniczne potwierdzenie zawarcia Umowy.

§12. Postanowienia końcowe

Umowa stanowi uzupełnienie warunków świadczenia usługi AppointHero.

W sprawach nieuregulowanych zastosowanie mają przepisy RODO oraz prawa polskiego.

Kontakt w sprawach dotyczących przetwarzania danych osobowych: kontakt@appointhero.com.

Załącznik nr 1 — Dalsze podmioty przetwarzające