Umowa o przetwarzaniu danych (szablon)

To jest szablon umowy o przetwarzaniu danych (DPA), którą GPT Workspace podpisuje z klientami biznesowymi. Aby otrzymać go wypełniony, napisz na adres contact@gpt.space, podając pełną nazwę firmy, adres, osobę kontaktową oraz liczbę licencji. Wymienieni w nim podprocesorzy są wymienieni i aktualizowani na stronie Trust Center.

Ten szablon jest udostępniony w celach informacyjnych i nie stanowi porady prawnej. Przed podpisaniem należy go skonsultować ze swoim doradcą prawnym. Pola w nawiasach kwadratowych są wypełniane przed podpisaniem.

---

Niniejsza Umowa o przetwarzaniu danych („DPA”) stanowi część umowy o korzystanie z GPT Workspace („Usługa”) zawartej pomiędzy:

• [PEŁNA NAZWA KLIENTA], [ADRES KLIENTA], [NUMER REJESTRACYJNY] („Klient” lub „Administrator”), oraz
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA („Dostawca” lub „Procesor”),

wspólnie „Strony”. Zostaje zawarta w dniu [DATA WEJŚCIA W ŻYCIE] i obowiązuje tak długo, jak Dostawca przetwarza Dane osobowe w imieniu Klienta.

„RODO” oznacza Rozporządzenie (UE) 2016/679 oraz, w odpowiednich przypadkach, brytyjskie RODO zdefiniowane w ustawie Data Protection Act 2018. „Dane osobowe”, „Przetwarzanie”, „Administrator”, „Procesor”, „Podmiot danych”, „Organ nadzorczy” i „Naruszenie ochrony danych osobowych” mają znaczenia nadane w art. 4 RODO. „Podprocesor” oznacza stronę trzecią zaangażowaną przez Dostawcę do przetwarzania Danych osobowych w imieniu Klienta. „Dane klienta” oznaczają Dane osobowe, które Dostawca przetwarza dla Klienta w ramach umowy o świadczenie usług, zgodnie z opisem w Załączniku 1.

2.1 Klient jest Administratorem, a Dostawca jest Procesorem Danych klienta. Jeśli Klient działa jako procesor dla własnych klientów, Dostawca działa jako podprocesor, a Klient gwarantuje, że jego własne instrukcje są autoryzowane przez właściwego administratora.

2.2 Przedmiot, czas trwania, charakter i cel Przetwarzania, rodzaje Danych osobowych oraz kategorie Podmiotów danych są określone w Załączniku 1.

3.1 Dostawca przetwarza Dane klienta wyłącznie na podstawie udokumentowanych instrukcji Klienta, w tym w odniesieniu do przekazywania danych do państwa trzeciego, chyba że prawo Unii lub państwa członkowskiego, któremu podlega Dostawca, wymaga innego postępowania. W takim przypadku Dostawca informuje Klienta o tym wymogu prawnym przed przetwarzaniem, chyba że prawo tego zabrania.

3.2 Instrukcjami Klienta są: umowa o świadczenie usług, niniejsza DPA, konfiguracja ustawiona przez Klienta i jego użytkowników w Usłudze oraz żądania wysyłane przez użytkowników Klienta do Usługi. Dostawca niezwłocznie informuje Klienta, jeśli w jego opinii instrukcja narusza RODO.

Dostawca zapewnia, że osoby upoważnione do przetwarzania Danych klienta zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi poufności, oraz że dostęp jest ograniczony do tego, co każda osoba potrzebuje do świadczenia Usługi.

Dostawca wdraża środki techniczne i organizacyjne wymienione w Załączniku 2 i poddaje je stałej weryfikacji. Biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele Przetwarzania, środki te zapewniają poziom bezpieczeństwa odpowiedni do ryzyka.

6.1 Klient udziela Dostawcy ogólnego pisemnego upoważnienia do zaangażowania Podprocesorów wymienionych w Załączniku 3.

6.2 Dostawca informuje Klienta o planowanym dodaniu lub zastąpieniu Podprocesora co najmniej na [30] dni przed wejściem zmiany w życie, drogą elektroniczną na adres [POWIADOMIENIE E-MAIL KLIENTA] oraz poprzez aktualizację listy na stronie https://gpt.space/trust. Klient może zgłosić sprzeciw na uzasadnionych podstawach ochrony danych w tym okresie. Jeśli Strony nie rozwiążą sprzeciwu, Klient może rozwiązać dotkniętą część Usługi bez kary.

6.3 Dostawca nakłada na każdego Podprocesora, w drodze umowy, te same obowiązki w zakresie ochrony danych, co określone w niniejszej DPA, w szczególności zapewniając wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Jeśli Podprocesor nie wywiąże się ze swoich obowiązków, Dostawca pozostaje w pełni odpowiedzialny wobec Klienta za wykonywanie obowiązków tego Podprocesora.

Biorąc pod uwagę charakter Przetwarzania, Dostawca wspiera Klienta za pomocą odpowiednich środków technicznych i organizacyjnych, w zakresie, w jakim jest to możliwe, w wypełnieniu obowiązku Klienta polegającego na reagowaniu na żądania dotyczące wykonywania praw Podmiotu danych na podstawie rozdziału III RODO. Dostawca przekazuje Klientowi bez zbędnej zwłoki każde żądanie otrzymane bezpośrednio od Podmiotu danych dotyczące Danych klienta i nie odpowiada na nie, z wyjątkiem instrukcji Klienta lub wymogów prawnych.

Dostawca wspiera Klienta w zapewnieniu zgodności z obowiązkami wynikającymi z art. 32–36 RODO (bezpieczeństwo, powiadomienie o naruszeniu, oceny skutków dla ochrony danych i wcześniejsze konsultacje), biorąc pod uwagę charakter Przetwarzania oraz informacje dostępne dla Dostawcy.

Dostawca powiadamia Klienta bez zbędnej zwłoki, a w każdym przypadku w ciągu [48] godzin, po stwierdzeniu Naruszenia ochrony danych osobowych dotyczącego Danych klienta, drogą elektroniczną na adres [POWIADOMIENIE E-MAIL KLIENTA]. Powiadomienie opisuje, w zakresie, w jakim jest to znane w danym momencie, charakter naruszenia, kategorie i przybliżoną liczbę dotkniętych Podmiotów danych i rekordów, prawdopodobne skutki, podjęte lub proponowane środki oraz punkt kontaktowy. Informacje, które nie są jeszcze dostępne, są dostarczane etapami bez dalszej zbędnej zwłoki.

10.1 Na wybór Klienta, Dostawca usuwa lub zwraca wszystkie Dane klienta po zakończeniu świadczenia Usługi i usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga przechowywania Danych osobowych.

10.2 Niezależnie od pkt 10.1, Klient i każdy z jego użytkowników mogą usunąć swoje konto oraz dane przechowywane przez Dostawcę w Usłudze w dowolnym momencie. Usunięcie jest wykonywane w ciągu 24 godzin od żądania. Faktury i dokumenty płatnicze są przechowywane przez czas wymagany przez przepisy podatkowe.

11.1 Dostawca udostępnia Klientowi wszystkie informacje niezbędne do wykazania zgodności z obowiązkami określonymi w art. 28 RODO oraz umożliwia i wspiera audyty, w tym inspekcje, przeprowadzane przez Klienta lub audytora wyznaczonego przez Klienta.

11.2 Dostawca w pierwszej kolejności spełnia żądania audytowe, udostępniając swój certyfikat ISO 27001 oraz raport z audytu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), ocenę CASA Tier III oraz pisemne odpowiedzi na kwestionariusz bezpieczeństwa. Inspekcja na miejscu lub zdalna jest przeprowadzana najwyżej [raz w roku], na [30] dni pisemnego powiadomienia, w godzinach pracy, na podstawie umowy o poufności i na koszt Klienta, chyba że Organ nadzorczy wymaga inaczej lub wystąpiło Naruszenie ochrony danych osobowych.

12.1 Dostawca ma siedzibę w Stanach Zjednoczonych, a Usługa jest hostowana na platformie Google Cloud Platform w Stanach Zjednoczonych. Jeśli Dane klienta Podmiotów danych z EOG, Wielkiej Brytanii lub Szwajcarii są przekazywane do państwa bez decyzji o odpowiednim poziomie ochrony, Strony opierają się na Standardowych Klauzulach Umownych przyjętych przez Komisję Europejską w Decyzji (UE) 2021/914 (Moduł drugi, administrator do procesora, lub Moduł trzeci, procesor do procesora, w zależności od potrzeb), które są włączone przez odniesienie, wraz z brytyjskim załącznikiem UK International Data Transfer Addendum, gdy dotyczy to danych z Wielkiej Brytanii. Podprocesorzy Dostawcy, którzy otrzymują Dane klienta, uczestniczą w systemie EU-US Data Privacy Framework, gdy jest on dla nich dostępny. Standardowe Klauzule Umowne regulują każde przekazanie danych dokonywane przez samego Dostawcę.

12.2 Dla opcji w Standardowych Klauzulach Umownych: Klauzula 7 (przystąpienie) ma zastosowanie; Klauzula 9 opcja 2 (ogólne upoważnienie) z okresem powiadomienia z sekcji 6.2; opcjonalny tekst Klauzuli 11 nie ma zastosowania; Klauzula 13 i Klauzula 17: prawo [PAŃSTWO CZŁONKOWSKIE, np. Irlandia]; Klauzula 18: sądy [PAŃSTWO CZŁONKOWSKIE]. Załącznik I i Załącznik II Klauzul stanowią Załączniki 1 i 2 niniejszej DPA.

13.1 Odpowiedzialność każdej ze Stron wynikająca z niniejszej DPA podlega ograniczeniom i wyłączeniom odpowiedzialności określonym w umowie o świadczenie usług, z wyjątkiem przypadków, w których nie mogą one być ograniczone na podstawie obowiązującego prawa ochrony danych.

13.2 Niniejsza DPA wchodzi w życie w Dacie wejścia w życie i pozostaje w mocy tak długo, jak Dostawca przetwarza Dane klienta. W przypadku sprzeczności między niniejszą DPA a umową o świadczenie usług, niniejsza DPA ma pierwszeństwo w odniesieniu do Przetwarzania Danych osobowych.

13.3 Niniejsza DPA podlega prawu regulującemu umowę o świadczenie usług, z zastrzeżeniem, że Standardowe Klauzule Umowne podlegają prawu wybranemu w sekcji 12.2.

W imieniu Klienta	W imieniu Dostawcy
Imię i nazwisko: [IMIĘ I NAZWISKO]	Imię i nazwisko: [IMIĘ I NAZWISKO]
Stanowisko: [STANOWISKO]	Stanowisko: [STANOWISKO]
Data: [DATA]	Data: [DATA]
Podpis:	Podpis:

---

Pozycja	Opis
Przedmiot	Świadczenie usługi GPT Workspace: asystent AI w Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, rozszerzeniu Chrome i serwerach MCP.
Czas trwania	Okres obowiązywania umowy o świadczenie usług, plus okresy przechowywania określone w Załączniku 2.
Charakter i cel	Odczytywanie treści, na które wskazuje użytkownik w swoim koncie Google, wysyłanie jej wraz z zapytaniem użytkownika do dostawcy modelu AI oraz zapisywanie odpowiedzi z powrotem do pliku lub czatu użytkownika. Administracja kontem, rozliczenia i wsparcie.
Kategorie Podmiotów danych	Pracownicy i wykonawcy Klienta korzystający z Usługi; osoby, których dane znajdują się w dokumentach, arkuszach, wiadomościach e-mail i plikach Klienta przetwarzanych za pośrednictwem Usługi.
Rodzaje Danych osobowych	Dane konta (imię i nazwisko, adres e-mail, zdjęcie profilowe, identyfikator konta Google); dane rozliczeniowe (nazwa rozliczeniowa, adres, numer VAT); metadane użytkowania (liczba żądań, daty, tytuły dokumentów); treść zapytań oraz plików Google, wiadomości e-mail i załączników przesłanych przez użytkownika, które mogą zawierać każdą kategorię Danych osobowych umieszczonych tam przez Klienta.
Kategorie specjalne	Brak z założenia. Usługa nie wymaga danych specjalnej kategorii; Klient decyduje, co jego użytkownicy przesyłają. [Klient wskazuje, czy przewiduje się kategorie specjalne: BRAK / OPISAĆ]
Częstotliwość	Ciągłe, przy każdym żądaniu użytkownika.
Przechowywanie	Patrz Załącznik 2, „Przechowywanie”.

Obszar	Środek
Certyfikaty	Certyfikowany system zarządzania bezpieczeństwem informacji ISO 27001 (raport z audytu dostępny). Ocena CASA Tier III (App Defense Alliance) dla integracji z Google Workspace. Zgodność z polityką Google API Services User Data Policy, w tym wymogami Limited Use.
Hosting	Google Cloud Platform (Firebase), Stany Zjednoczone, regiony US East i US West. Komponenty przetwarzające Dane klienta działają wewnątrz prywatnej sieci Dostawcy, za modułami równoważenia obciążenia i zaporą aplikacji webowych.
Szyfrowanie	TLS 1.2 lub nowszy dla wszystkich danych w ruchu. Szyfrowanie po stronie serwera AES-256 w spoczynku na Firebase, zarządzanie kluczami przez GCP IAM. Tokeny dostępu i odświeżania Google szyfrowane w spoczynku.
Brak kopii plików Klienta	Pliki Google, wiadomości e-mail i arkusze są odczytywane w czasie rzeczywistym przy użyciu tokena OAuth użytkownika i nie są kopiowane do pamięci Dostawcy. Jedynym wyjątkiem jest plik załączony przez użytkownika do wyszukiwania w plikach, który jest przesyłany do magazynu wektorowego OpenAI (patrz Załącznik 3): indeks wyszukiwania jest usuwany 1 dzień po ostatnim użyciu, a kopia po 7 dniach.
Dostawcy modeli	Stosowani na warunkach API, które zabraniają trenowania na żądaniach. Dostawca nigdy nie trenuje ani nie dostraja modelu na Danych klienta.
Kontrola dostępu	Dostęp do systemów produkcyjnych ograniczony do upoważnionego personelu z indywidualnymi kontami, uwierzytelnianiem wieloskładnikowym i zasadą najmniejszych uprawnień przez GCP IAM. Izolacja danych poszczególnych użytkowników egzekwowana przez reguły bezpieczeństwa Firebase. Uwierzytelnianie wieloskładnikowe jest obowiązkowe dla każdego konta z dostępem produkcyjnym; uprawnienia są weryfikowane co tydzień.
Monitorowanie i testowanie	GCP Security Command Center ciągłe skanowanie luk we wszystkich zasobach w zakresie; polityka ujawniania luk dla badaczy zewnętrznych.
Przechowywanie	Dane konta, wątki czatu, ustawienia i metadane użytkowania: 18 miesięcy po ostatniej aktywności użytkownika lub 24 godziny po żądaniu usunięcia. Pliki załączone do wyszukiwania w plikach: indeks wyszukiwania usuwany 1 dzień po ostatnim użyciu, przesłana kopia usuwana po 7 dniach. Logi żądań bramy modeli: 30 dni, wyłącznie do celów wsparcia. Zapytania i odpowiedzi: przetwarzane w czasie rzeczywistym, nieprzechowywane długoterminowo przez Dostawcę. Faktury: okres wymagany przez przepisy podatkowe.
Usuwanie	Samodzielne usuwanie konta i wszystkich powiązanych danych w Usłudze; usuwanie na żądanie w ciągu 24 godzin.
Ciągłość działania	Natywne kopie zapasowe Google Cloud i narzędzia dostępności wieloregionowej; pełne kopie zapasowe co 7 dni.
Personel	Obowiązki poufności w umowach o pracę i z wykonawcami; szkolenia z bezpieczeństwa dla personelu z dostępem produkcyjnym.

Aktualna lista jest prowadzona na stronie https://gpt.space/trust i powielona tutaj według stanu na Datę wejścia w życie.

Podprocesor	Cel	Lokalizacja
Google Cloud Platform / Firebase (Google LLC)	Hosting, baza danych, pamięć masowa, uwierzytelnianie, sekrety	Stany Zjednoczone
OpenRouter, Inc.	Bramka kierująca każde żądanie modelu do poniższego dostawcy; logi żądań przechowywane 30 dni wyłącznie do celów wsparcia, nigdy nie używane do trenowania	Stany Zjednoczone
OpenAI	Modele tekstowe i obrazowe; magazyn wektorowy do wyszukiwania w plikach	Stany Zjednoczone
Anthropic	Modele Claude (przypięte do własnego punktu końcowego Anthropic)	Stany Zjednoczone
Google (AI Studio)	Modele tekstowe i obrazowe Gemini	Stany Zjednoczone
Perplexity	Modele wyszukiwania w sieci	Stany Zjednoczone
Hosty inferencyjne OpenRouter	Hosty inferencyjne dla modeli open-weight GLM-5.3-flash i gpt-oss-120b	Przez OpenRouter
Typesafe	Model decyzyjny stojący za formułą GPT_CLASSIFY	Przez OpenRouter
Google Programmable Search	Wyszukiwanie zdjęć stockowych dla generowanych slajdów (tylko zapytanie)	Stany Zjednoczone
Stripe	Płatności, faktury, portal rozliczeniowy	Stany Zjednoczone i Irlandia, na podstawie DPA Stripe
PostHog (instancja self-hosted)	Analityka produktowa	Unia Europejska
Sentry	Monitorowanie błędów	Unia Europejska (region danych UE)